Was ist ein Schwellenwert für die Erkennung von Kostenanomalien in der Cloud und wie legt man einen solchen fest?

Ein Schwellenwert für die Erkennung von Anomalien bei den Cloud-Kosten ist die Grenze, die festlegt, ab wann eine Veränderung der Cloud-Ausgaben signifikant genug ist, um eine Warnmeldung auszulösen. Sie legen diesen fest, indem Sie zunächst ein Referenzszenario für das normale Ausgabeverhalten definieren und anschließend einen Toleranzbereich festlegen – entweder als festen Dollarbetrag, als prozentuale Abweichung oder als statistisch ermitteltes Band –, jenseits dessen das System ungewöhnliche Aktivitäten meldet. Der richtige Schwellenwert schafft ein Gleichgewicht zwischen Empfindlichkeit und Störsignalen: Ist er zu eng gefasst, werden Sie von Fehlalarmen überschwemmt; ist er zu weit gefasst, bleiben echte Kostenspitzen unbemerkt. In den folgenden Abschnitten wird erläutert, wie die Anomalieerkennung funktioniert, was sie erfasst und wie Sie Schwellenwerte konfigurieren, die Ihrem Team tatsächlich nützen.

Wie funktioniert die Erkennung von Kostenabweichungen in der Cloud eigentlich?

Die Erkennung von Anomalien bei den Cloud-Kosten funktioniert so, dass aktuelle Ausgabemuster kontinuierlich mit einer erlernten Basislinie verglichen und Abweichungen markiert werden, die einen definierten Schwellenwert überschreiten. Das System erfasst Abrechnungsdaten Ihrer Cloud-Anbieter, erstellt ein Modell der normalen Ausgaben für einen bestimmten Dienst, ein Konto oder ein Tag und löst dann eine Warnmeldung aus, wenn die tatsächlichen Kosten um mehr als die konfigurierte Toleranz von diesem Modell abweichen.

Die meisten modernen Tools zur Anomalieerkennung, darunter auch die in AWS Cost Anomaly Detection, Azure Cost Management und von Drittanbietern integrierten FinOps-Plattformen, arbeiten in einer Endlosschleife. Sie rufen detaillierte Abrechnungsdaten ab – häufig mit stündlicher oder täglicher Auflösung –, aktualisieren ihr Basismodell, sobald neue Daten eintreffen, und vergleichen jeden neuen Datenpunkt mit dem aktuellen Schwellenwert. Wenn ein Datenpunkt außerhalb des erwarteten Bereichs liegt, generiert das System eine Warnmeldung und leitet diese an das zuständige Team oder den Kostenverantwortlichen weiter.

Die Qualität der Anomalieerkennung hängt maßgeblich von zwei Faktoren ab: der Aussagekraft der dem Modell zugeführten Tagging- und Zuordnungsdaten sowie der Ausgereiftheit des Basismodells selbst. Ein System, das mit gut getaggten Ressourcen und einer langen Historie sauberer Abrechnungsdaten arbeitet, liefert weitaus mehr verwertbare Warnmeldungen als ein System, das auf nicht zugeordneten, schlecht gekennzeichneten Ausgaben basiert.

Welche Arten von Anomalien bei den Cloud-Kosten lassen sich mithilfe eines Schwellenwerts erkennen?

Ein Schwellenwert zur Erkennung von Anomalien bei den Cloud-Kosten kann jedes Ausgabeverhalten erfassen, das erheblich von den etablierten Normen abweicht, darunter plötzliche Spitzen, unerwartete allmähliche Anstiege und ungewöhnliche Einbrüche, die auf eine Fehlallokation oder einen Dienstausfall hindeuten können. Die häufigsten Arten von Anomalien lassen sich in vier Kategorien einteilen.

• Plötzliche Spitzen: Bei einem Dienst oder einer Ressource kommt es zu einem starken, kurzzeitigen Kostenanstieg, der häufig durch eine falsch konfigurierte Autoscaling-Richtlinie, einen außer Kontrolle geratenen Job oder die versehentliche Bereitstellung überdimensionierter Instanzen verursacht wird.
• Anhaltende Abdrift: Die Kosten in einem bestimmten Konto oder für einen bestimmten Dienst steigen im Laufe von Tagen oder Wochen schleichend an, ohne dass dafür eine entsprechende geschäftliche Begründung vorliegt. Häufig ist dies darauf zurückzuführen, dass sich ungenutzte Ressourcen ansammeln oder eine neue Arbeitslast ohne Genehmigung des Budgets bereitgestellt wird.
• Unerwartete neue Ausgaben: Es werden Kosten für einen Dienst oder eine Region ausgewiesen, die zuvor noch nie genutzt wurden. Dies kann auf eine Sicherheitslücke, „Shadow-IT“-Aktivitäten oder einen Entwickler hindeuten, der außerhalb der genehmigten Umgebungen experimentiert.
• Ungewöhnliche Tropfen: Die Ausgaben liegen deutlich unter den erwarteten Werten, was darauf hindeuten kann, dass ein wichtiger Dienst ausgefallen ist, Datenpipelines nicht mehr laufen oder Abrechnungsdaten im Berichts-Feed fehlen.

Um alle vier Arten zu erkennen, muss Ihr Schwellenwert für jede Ausgabenkategorie separat kalibriert werden. Ein einziger globaler Schwellenwert, der auf die gesamten Cloud-Ausgaben angewendet wird, lässt Anomalien bei einzelnen Diensten unentdeckt, die durch gegenläufige Bewegungen an anderer Stelle in der Rechnung überdeckt werden.

Welche Faktoren bestimmen den richtigen Schwellenwert für die Anomalieerkennung?

Der richtige Schwellenwert für die Anomalieerkennung hängt von der Volatilität Ihrer Cloud-Workloads, der Detailgenauigkeit Ihrer Kostenüberwachung, der finanziellen Wesentlichkeit der betreffenden Dienste und der Fähigkeit Ihres Teams ab, auf Warnmeldungen zu reagieren. Es gibt keinen allgemein gültigen Wert.

Mehrere Faktoren beeinflussen diese Entscheidung unmittelbar:

• Schwankungen der Arbeitsauslastung: Stark schwankende Arbeitslasten, wie beispielsweise Batch-Verarbeitungsaufträge oder ereignisgesteuerte Funktionen, führen naturgemäß zu starken Schwankungen bei den täglichen Kosten. Ein enger prozentualer Schwellenwert führt bei diesen Diensten zu ständigen Schwankungen. Ein breiterer Schwellenwertbereich oder ein dynamischer Schwellenwert auf Basis historischer Schwankungen ist hier besser geeignet.
• Finanzielle Wesentlichkeit: Ein 20%-Spitzenwert bei einem Dienst, der 50 Euro pro Monat kostet, rechtfertigt wahrscheinlich nicht dieselbe Dringlichkeit wie ein 10%-Spitzenwert bei einem Dienst, der 50.000 Euro pro Monat kostet. Durch die Kombination von prozentualen und absoluten Schwellenwerten, sodass eine Warnmeldung erst dann ausgelöst wird, wenn beide Bedingungen erfüllt sind, wird unerwünschtes Rauschen bei geringem Wert reduziert.
• Hinweis an den Eigentümer: Wenn Warnmeldungen an ein Team weitergeleitet werden, das nicht innerhalb weniger Stunden darauf reagieren kann, führt ein zu strenger Schwellenwert eher zu Rückständen als zu Reaktionen. Passen Sie die Empfindlichkeit an die tatsächliche Reaktionskapazität Ihres Teams an.
• Aktualität der Daten: Schwellenwerte, die auf der Grundlage von täglichen Abrechnungsdaten festgelegt werden, verhalten sich anders als solche, die auf der Grundlage von stündlichen Daten festgelegt werden. Eine feinere Granularität ermöglicht eine frühzeitigere Erkennung, verstärkt jedoch auch kurzfristige Schwankungen.
• Saisonabhängigkeit der Geschäftstätigkeit: Vorhersehbare Zeiträume mit hohen Ausgaben, wie beispielsweise Berichtszyklen zum Quartalsende oder saisonale Zugriffsspitzen, sollten in der Basislinie berücksichtigt werden, damit erwartete Anstiege keine falschen Warnmeldungen auslösen.

Wie legt man Schritt für Schritt einen Schwellenwert für die Erkennung von Anomalien bei den Cloud-Kosten fest?

Sie legen einen Schwellenwert für die Erkennung von Anomalien bei den Cloud-Kosten fest, indem Sie die bisherigen Ausgaben analysieren, um eine Basislinie zu ermitteln, einen Schwellenwerttyp auswählen, Toleranzwerte definieren, den Schwellenwert anhand historischer Daten testen und anschließend auf der Grundlage der Alarmqualität Anpassungen vornehmen. Dieser Prozess erfordert zu Beginn einen gewissen Aufwand, reduziert jedoch im Laufe der Zeit die Anzahl unerwünschter Alarme erheblich.

1. Segmentieren Sie Ihre Ausgaben: Gliedern Sie die Gesamtkosten für Cloud-Dienste in aussagekräftige Überwachungseinheiten auf – nach Dienst, Konto, Team-Tag oder Umgebung. Die Erkennung von Anomalien funktioniert am besten, wenn sie auf homogene Ausgabenströme angewendet wird und nicht auf aggregierte Gesamtwerte.
2. Eine Ausgangsbasis schaffen: Verwenden Sie mindestens 30 Tage an historischen Abrechnungsdaten, idealerweise 60 bis 90 Tage, um die durchschnittlichen täglichen oder wöchentlichen Ausgaben für jedes Segment zu berechnen. Beziehen Sie Abweichungskennzahlen wie die Standardabweichung mit ein, um zu verstehen, in welchem Umfang natürliche Schwankungen auftreten.
3. Wählen Sie einen Schwellenwerttyp aus: Entscheiden Sie, ob Sie einen festen Betrag (Warnung, wenn die Ausgaben den Basiswert um mehr als X Euro überschreiten), eine prozentuale Abweichung (Warnung, wenn die Ausgaben den Basiswert um mehr als Y% überschreiten) oder ein statistisches Band (Warnung, wenn die Ausgaben außerhalb von N Standardabweichungen vom Mittelwert liegen) verwenden möchten. Statistische Bänder eignen sich in der Regel am besten für schwankende Arbeitslasten.
4. Anfangswerte festlegen: Beginnen Sie konservativ, beispielsweise mit zwei Standardabweichungen oder einer 20%-Abweichung in Kombination mit einem absoluten Mindestbetrag von 100 Euro. Dadurch werden unwesentliche Signale herausgefiltert, während aussagekräftige Ereignisse erfasst werden.
5. Backtest anhand historischer Daten: Wenden Sie Ihren Schwellenwert auf die letzten 30 bis 60 Tage an und zählen Sie, wie viele Warnmeldungen ausgelöst worden wären. Prüfen Sie, ob jede einzelne davon handlungsrelevant gewesen wäre. Passen Sie die Toleranzwerte so lange an, bis das Verhältnis von handlungsrelevanten Warnmeldungen zu Fehlalarmen akzeptabel ist.
6. Zuständigkeit und Weiterleitung zuweisen: Jede Warnmeldung muss an einen namentlich benannten Verantwortlichen weitergeleitet werden, der sowohl über den nötigen Kontext als auch über die Befugnis verfügt, Nachforschungen anzustellen und Maßnahmen zu ergreifen. Warnmeldungen ohne zugewiesenen Verantwortlichen sind der häufigste Grund dafür, dass Programme zur Erkennung von Anomalien versagen.
7. Regelmäßig überprüfen und neu kalibrieren: Mit der Entwicklung der Arbeitslasten verschieben sich auch die Basiswerte. Planen Sie eine monatliche Überprüfung der Leistungsschwellenwerte ein und passen Sie die Basiswerte an die aktuellen Ausgabemuster an.

Was ist der Unterschied zwischen statischen und dynamischen Schwellenwerten für die Anomalieerkennung?

Ein statischer Schwellenwert zur Erkennung von Anomalien ist ein fester Wert, der sich unabhängig vom Ausgabeverhalten nicht ändert, während sich ein dynamischer Schwellenwert automatisch an das historische Verhalten, saisonale Schwankungen und Abweichungen anpasst. Statische Schwellenwerte lassen sich einfacher konfigurieren, sind jedoch weniger genau; dynamische Schwellenwerte erfordern zwar mehr Daten und einen höheren Konfigurationsaufwand, führen bei variablen Arbeitslasten jedoch zu deutlich weniger Fehlalarmen.

Statische Schwellenwerte

Statische Schwellenwerte definieren eine feste Grenze, beispielsweise eine Warnmeldung, wenn die täglichen Ausgaben für einen Dienst 500 Euro überschreiten oder im Vergleich zum Vortag um mehr als 25% steigen. Sie sind leicht verständlich, lassen sich den Beteiligten einfach erklären und sind schnell zu konfigurieren. Ihr Nachteil ist, dass sie alle Tage als gleichwertig behandeln. Ein Dienst, der am letzten Tag jedes Monats berechtigterweise 800 Euro kostet, löst jeden Monat einen statischen Schwellenwert von 500 Euro aus, unabhängig davon, ob der Anstieg auf ein echtes Problem zurückzuführen ist.

Dynamische Schwellenwerte

Dynamische Schwellenwerte berechnen den erwarteten Ausgabenbereich für jeden Zeitraum auf der Grundlage historischer Muster. Sie berücksichtigen Wochentagseffekte, monatliche Zyklen und langfristige Wachstumstrends, sodass der Schwellenwert an einem ausgabenstarken Freitag automatisch weiter gefasst ist als an einem verkehrsarmen Sonntag. Die auf maschinellem Lernen basierende Anomalieerkennung, wie sie von Tools wie Apptio Cloudability angeboten wird, nutzt dynamische Basiswerte, um Fehlalarme zu reduzieren und gleichzeitig die Empfindlichkeit gegenüber echten Anomalien aufrechtzuerhalten. Der Nachteil dabei ist, dass dynamische Schwellenwerte ausreichende historische Daten erfordern, um zuverlässig zu sein, und dass es schwieriger sein kann, sie nicht-technischen Stakeholdern zu erklären, die wissen möchten, warum an einem bestimmten Tag ein Alarm ausgelöst wurde.

Für die meisten Unternehmen mit etablierten Cloud-Workloads ist ein dynamischer Schwellenwert, der pro Dienst und pro Konto kalibriert wird, einem statischen Schwellenwert überlegen. Für neue Umgebungen mit begrenzter Abrechnungshistorie ist ein statischer Schwellenwert ein praktischer Ausgangspunkt, bis genügend Daten vorliegen, um ein zuverlässiges dynamisches Modell zu erstellen.

Warum lösen Warnmeldungen zu Kostenabweichungen in der Cloud immer wieder Fehlalarme aus?

Warnmeldungen zu Anomalien bei den Cloud-Kosten führen vor allem deshalb zu Fehlalarmen, weil der Schwellenwert angesichts der natürlichen Schwankungen der Arbeitslast zu eng gefasst ist, die Basislinie bekannte saisonale Muster nicht berücksichtigt oder die Granularität der Überwachung nicht auf den Ausgabenrhythmus des Dienstes abgestimmt ist. Um Fehlalarme zu reduzieren, ist eine Feinabstimmung erforderlich – nicht nur strengere Regeln.

Die häufigsten Ursachen sind:

• Zu eng festgelegte Schwellenwerte: Eine prozentuale Abweichung von 5% oder 10% löst bei Arbeitslasten mit einer natürlichen täglichen Streuung von 15% oder mehr ständig einen Alarm aus. Durch eine Verbreiterung des Bandes oder die Umstellung auf einen statistischen Schwellenwert, der auf der tatsächlichen Streuung basiert, lässt sich ein Großteil dieser Störsignale beseitigen.
• Keine saisonale Bereinigung: Vorhersehbare Ereignisse mit hohem Datenverkehr, wie beispielsweise Batch-Jobs zum Monatsende, wöchentliche Berichtsläufe oder bekannte Verkehrsspitzen, sollten aus den Basisberechnungen ausgeschlossen oder als erwartete Schwankungen modelliert werden. Ist dies nicht der Fall, behandelt das System normale Spitzen als Anomalien.
• Überwachung mit zu hoher Granularität: Stündliche Kostendaten weisen mehr Rauschen auf als tägliche Daten. Wenn Ihr Team die Warnmeldungen einmal täglich überprüft, führt eine Überwachung im stündlichen Raster zu einer Vervielfachung der Fehlalarme, ohne dass sich die Reaktionszeit verbessert.
• Globale Schwellenwerte anstelle von Schwellenwerten pro Dienst: Ein einheitlicher Schwellenwert, der für alle Dienste gilt, lässt außer Acht, dass verschiedene Dienste grundlegend unterschiedliche Kostenprofile und Volatilitätsniveaus aufweisen.
• Veraltete Baselines: Wenn die Basislinie vor Monaten festgelegt wurde und sich die Arbeitsauslastung seitdem erhöht oder verändert hat, spiegelt das Modell das aktuelle Normalverhalten nicht mehr wider. Eine regelmäßige Neukalibrierung der Basislinie ist kein optionaler Schritt, sondern Teil der laufenden Cloud-Kostenmanagement Hygiene.

Der Umgang mit Fehlalarmen ist ein iterativer Prozess. Verfolgen Sie jeden Alarm, kennzeichnen Sie ihn als „handlungsrelevant“ oder „Störsignal“ und nutzen Sie diese Daten, um Ihre Schwellenwerte systematisch zu verfeinern. Teams, die dies konsequent tun, reduzieren die Anzahl der Störsignale in der Regel innerhalb von zwei oder drei Überprüfungszyklen um mehr als die Hälfte.

So unterstützen wir Sie bei der Erkennung von Anomalien bei den Cloud-Kosten

Wir unterstützen Unternehmen dabei, den Schritt von reaktiven Warnmeldungen hin zu einer strukturierten FinOps-Praxis zu gehen, bei der die Erkennung von Anomalien Teil eines umfassenderen Kostenmanagementmodells ist. Wenn Sie mit uns zusammenarbeiten, profitieren Sie von folgenden Vorteilen:

• Grundkonfiguration und Schwellenwertfestlegung: Wir analysieren Ihre historischen Abrechnungsdaten und legen Schwellenwerte für die Anomalieerkennung fest, die die tatsächliche Volatilität und Wesentlichkeit Ihrer Workloads widerspiegeln, wodurch Störsignale von Anfang an reduziert werden.
• Einrichtung der Kennzeichnung und Zuordnung: Eine effektive Anomalieerkennung hängt von einer sauberen und konsistenten Kostenzuordnung ab. Wir unterstützen Sie beim Aufbau der Tagging-Struktur und der Zuordnungsregeln, die eine zuverlässige Überwachung auf Service- und Teamebene ermöglichen.
• Implementierung der Werkzeuge: Als Apptio-Partner implementieren und konfigurieren wir Apptio Cloudability für die Erkennung von Anomalien im Rahmen von FinOps und bieten Ihren Teams damit dynamische, maschinell lernbasierte Schwellenwerte sowie eine umsetzbare Alarmweiterleitung über AWS, Azure und GCP hinweg.
• Eigentumsverhältnisse und Governance-Struktur: Wir legen fest, wer für die einzelnen Warnkategorien verantwortlich ist, wie der Reaktionsprozess aussieht und wie die festgestellten Anomalien in Ihren übergeordneten Überprüfungszyklus der Cloud-Ausgaben einfließen.
• Bewertung des Reifegrades von FinOps: Wenn Sie sich nicht sicher sind, wie es um Ihre derzeitigen Fähigkeiten zur Anomalieerkennung steht, verschafft Ihnen unsere Bewertung einen klaren Überblick über bestehende Lücken und liefert Ihnen einen nach Prioritäten geordneten Fahrplan für Verbesserungen.

Wenn Sie nicht mehr im Lärm untergehen und stattdessen die wichtigen Ereignisse erkennen möchten, Nehmen Sie Kontakt mit uns auf um zu besprechen, wie wir Ihnen dabei helfen können, eine Anomalieerkennung aufzubauen, die dem Umfang und der Komplexität Ihrer Cloud-Umgebung gerecht wird.