Die Erfindung bezieht sich auf ein Verfahren zur Datenmanipulationserkennung von numerischen Datenwerten, insbesondere von numerischen Zugriffsdaten auf Mediendatenströme, mit einer Prüfvorrichtung.

Bei der Authentizitätsprüfung von numerischen Datenwerten ist der Einsatz des Benfordtests bekannt. Der Benfordtest beruht auf der Beobachtung, dass bei einem Datensatz mit ausreichend vielen Zahlenwerten die Anfangsziffernhäufigkeit bj der Ziffern j= 1 , ..., 9 unterschiedlich, nämlich gemäß einer Benfordverteilung

, verteilt sind. Folgen die zu überprüfenden Zahlen nicht dieser Benfordverteilung, so deutet dies auf einen manipulierten Datensatz hin. Nachteilig daran ist allerdings, dass die Datensätze als Voraussetzung für den Einsatz des Benfordtests zufälligen Ursprungs sein müssen, sodass eine voranstehende Vorauswahl bzw. Gruppierung der Datensätze das Ergebnis verfälschen kann. Aus diesem Grund ist der Einsatz eines klassischen Benfordtests für ein Verfahren zur Datenmanipulationserkennung für aus einem großen Datensatz vorausgewählte numerische Datenwerte einer bestimmten Kategorie oder Gruppe, beispielsweise Zugriffszahlen auf Mediendatenströme eines Künstlers oder eines Songtitels eines Netzwerks, wie eine Streamingplattform, nur bedingt geeignet.

Speziell zur Datenmanipulationserkennung von vorausgewählten Datenwerten ist aus der WO2018211060A1 ein Verfahren bekannt, welches von unterschiedlichen Netzwerken, beispielsweise unterschiedliche Streamingplattformen, bezogene Datensätze miteinander vergleicht. Die zu vergleichenden numerischen Datenwerte der Datensätze, beispielsweise Zugriffszahlen auf Mediendatenströme eines Songtitels über einen bestimmten Zeitraum, werden dabei einer Kompositionsdatentransformation unterzogen. Unter der Annahme, dass sich die Datenwerte unterschiedlicher Netzwerke für einen gleichen Zeitraum ähnlich verhalten, deuten Irregularitäten in diesem Ähnlichkeitsverhalten zueinander auf eine Manipulation hin. Nachteilig daran ist allerdings, dass für diese Datenmanipulationserkennung bereits ein relativ spezifischer Datensatz, bestehend aus Datenwerten wenigstens drei unterschiedlicher Netzwerke für den gleichen Beobachtungszeitraum, notwendig ist. Demnach kann eine Datenmanipulationserkennung nur für Netzwerke erfolgen, für die es auch wenigstens zwei sich bezüglich des Datenstromverhaltens ähnlich verhaltende Referenznetzwerke gibt.

Der Erfindung liegt somit die Aufgabe zugrunde, ein ressourcenschonendes und rasch durchzuführendes Verfahren zur Datenmanipulationserkennung vorzuschlagen, welches unabhängig von Grad der Aufbereitung und weitgehend unabhängig vom Umfang des Datensatzes eine valide Aussage über potentielle Datenmanipulationen von Gruppen zugeordneten Datenwerten erlaubt, ohne dabei auf Datenwerte von Referenznetzwerken angewiesen zu sein.

Die Erfindung löst die gestellte Aufgabe dadurch, dass zunächst aus den nach der Benfordverteilung erwarteten Häufigkeiten vorgegebener Anfangszifferngruppen in einer Transformationseinheit der Prüfvorrichtung durch eine die Häufigkeiten in Relation zueinander abbildende Kompositionsdatentransformation ein Benfordvektor ermittelt wird, wiederholt mit einem Zufallsgenerator der Prüfvorrichtung zufallsverteilte Zahlenwerte erzeugt und aus den Häufigkeiten der Anfangszifferngruppen der zufallsverteilten Zahlenwerte durch die Transformationseinheit mehrere Simulationsvektoren ermittelt werden, für jeden Simulationsvektor mittels einer Detektionseinheit eine Simulationsabweichung vom Benfordvektor ermittelt und in einem Prüfspeicher der Prüfvorrichtung abgespeichert wird, wonach eine Gruppe von numerischen Datenwerten über eine Eingabeschnittstelle der Prüfvorrichtung eingelesen, aus den Häufigkeiten der Anfangszifferngruppen in den numerischen Datenwerten der Gruppen durch die Transformationseinheit ein Testvektor und eine Testabweichung des Testvektors vom Benfordvektor durch die Detektionseinheit ermittelt wird, wonach durch eine Prüfeinheit der Prüfvorrichtung die relative Anzahl jener abgespeicherter Simulationsabweichungen ermittelt wird, die größer als die Testabweichung sind und ein positiver Manipulationswert über eine Ausgabeschnittstelle ausgegeben wird, wenn die relative Anzahl einen vorgegeben Schwellwert unterschreitet. Der Erfindung liegt die Überlegung zugrunde, dass ein Benfordtest für vorausgewählte Gruppen von numerischen Datenwerten eine nur unzureichende Genauigkeit für die Erkennung von Manipulationen aufweist, weil einerseits die Anzahl der numerischen Datenwerte verhältnismäßig klein sein kann und andererseits die Datenwerte nicht notwendigerweise ein natürliches Wachstumsverhalten abbilden. Insbesondere ergibt sich daraus die Schwierigkeit, dass für eine technische Anwendung der Grenzwert für eine zulässige Abweichung von der Benfordverteilung unbekannt ist.

Zufolge der erfindungsgemäßen Merkmale kann diese Schwierigkeit überwunden werden, indem die erwartete Abweichung der Häufigkeiten der Anfangszifferngruppen einer vorausgewählten Gruppe von numerischen Datenwerten von einer Benfordverteilung anhand der Simulation mit zufallsverteilten Zahlenwerten ermittelt und daraus eine für die Datenmanipulationserkennung maximal zulässige Testabweichung T für die zu überprüfenden numerischen Datenwerte abgeleitet werden. Darüber hinaus bringt das Vorsehen einer Kompositionsdatentransformation für die Häufigkeit vorgegebener Anfangszifferngruppen den wesentlichen Vorteil mit sich, dass nicht die Häufigkeiten der Anfangszifferngruppen für sich, sondern deren Verhältnisse zueinander bei der Überprüfung berücksichtigt werden. Die erfindungsgemäße Kompositionsdatentransformation erhöht somit die Manipulationssicherheit, weil selbst bei innerhalb eines akzeptablen Bereichs liegenden Häufigkeiten der Anfangszifferngruppen für sich eine Manipulation detektiert werden kann, wenn sich lediglich deren Verhältnisse zueinander ändern. Eine solche Kompositionsdatentransformation kann beispielsweise eine Transformation eines Vektors an Häufigkeiten der vorgegebenen Anfangszifferngruppen in Pivot- Koordinaten sein. Aufgrund der Kompositionsdatentransformation und aufgrund des Umstandes, dass für eine valide Datenmanipulationserkennung eine große Anzahl von die Häufigkeiten der Anfangszifferngruppen einer Gruppe von Zufallszahlen abbildenden Simulationsvektoren sowie deren Simulationsabweichung Ti von einer Benfordverteilung bestimmt werden müssen, ist die Simulation rechenintensiv und somit zeitaufwendig. Ein wesentlicher Vorteil der Erfindung besteht daher darin, dass die Simulationsabweichungen Ti nach der Simulation in einem Prüfspeicher einer Prüfvorrichtung abgespeichert werden, sodass zu überprüfende numerische Datenwerte in weiterer Folge ohne die Durchführung von Simulationen und ohne das Erfordernis von Vergleichsdatensätzen ressourcensparend auf etwaige Manipulationen überprüft werden können.

Ein erster rechenintensiver Schritt erfolgt somit ohne die zu überprüfenden Datenwerte. Hierzu wird zunächst ein Häufigkeitsvektor b bestimmt, welcher die gemäß einer Benfordverteilung zu erwartende Häufigkeit (bi, ..., bo) vorgegebener Anfangszifferngruppen, beispielsweise die ersten Ziffern 1 -9 oder die ersten beiden Ziffern 10-99, jedes Zahlenwertes abbildet. Die Dimension D des Häufigkeitsvektor b ist demnach von der Anzahl der vorgegebenen Anfangszifferngruppen abhängig. Grundsätzlich kann die Auswahl der Anfangszifferngruppen beliebig sein, jedoch muss jeder zu überprüfende Datenwert eine Anfangszifferngruppe enthalten, sodass sich je nach Datenwerten entsprechende Einschränkungen für die mögliche Wahl der Anfangszifferngruppen ergeben.

Der Häufigkeitsvektor b wird durch eine Transformationseinheit der Prüfvorrichtung mittels Kompositionsdatentransformation zu einem Benfordvektor transformiert, wodurch die Relationen der durch einen Häufigkeitsvektor abgebildeten Häufigkeiten der Ziffern zueinander beschrieben werden, um in weiterer Folge die Manipulationserkennung zu verbessern. Bei der Kompositionsdatentransformation reduziert sich die Dimension D des Benfordvektors um 1 , in dem beispielsweise eine Komponente des Vektors durch die anderen Komponenten und der bekannten Gesamtsumme aller Komponenten ausgedrückt wird. Hierfür ist in der Regel eine Normalisierung des Vektors erforderlich. Neben der Ermittlung des Benfordvektors zb wird eine Vielzahl N _s , beispielsweise 1000 - 1000000, vorzugsweise 10000 - 100000, an Sätzen zufallsverteilter Zahlenwerte ermittelt, für die die Häufigkeiten der gewählten Anfangszifferngruppen je Satz in einem Häufigkeitsvektor bi zusammengefasst und daraus durch die Transformationseinheit ein Simulationsvektor zbi erstellt wird. Sind die zufallsverteilten Zahlenwerte gleichverteilt, so folgen die Anfangszifferngruppen je Satz grundsätzlich der Benfordverteilung, weichen aber im Einzelfall mit einem gewissen Fehler davon ab, genauso wie dies auch für die zu überprüfenden Datenwerte zu erwarten ist. Dementsprechend weichen auch die Simulationsvektoren zbi vom Benfordvektor Zb ab. Mittels einer Detektionseinheit wird zum Abschluss des rechenintensiven Schrittes für jeden Simulationsvektor zbi eine Simulationsabweichung Ti vom Benfordvektor zb ermittelt und in einem Prüfspeicher der Prüfvorrichtung abgespeichert. Zwar erfordert dieser erste Schritt große Rechenleistung, jedoch können die abgespeicherten Simulationsabweichungen Ti zum Überprüfen beliebiger numerischer Datenwerte herangezogen werden, die einer hinreichend ähnlichen Zufallsverteilung folgen.

Hierzu werden in einem zweiten, ressourcenschonenden und damit rasch durchzuführenden Schritt die zu überprüfenden Datenwerte über eine Eingabeschnittstelle der Prüfvorrichtung eingelesen, wonach in analoger Weise aus den Häufigkeiten (x1, ..., XD) der gewählten Anfangszifferngruppen, beispielsweise die Anfangsziffern 1 - 9, der Datenwerte ein Häufigkeitsvektor mit Hilfe einer Zähleinheit erzeugt wird. Dieser Häufigkeitsvektor x wird mit Hilfe der Transformationseinheit einer Kompositionsdatentransformation unterzogen, wodurch ein Testvektor erzeugt wird. Anschließend wird durch die Detektionseinheit eine Testabweichung T zwischen Testvektor z und Benfordvektor ermittelt.

In einem finalen Schritt ermittelt eine Prüfeinheit der Prüfvorrichtung die relative Anzahl p jener abgespeicherter Simulationsabweichungen Ti, die größer als die Testabweichung T sind.

Bei Unterschreitung dieser relativen Anzahl p unter einen vorgegebenen Schwellwert wird ein positiver Manipulationswert für die über die Eingabeschnittstelle eingelesenen Datenwerte über eine Ausgabeschnittstelle ausgegeben.

Zwar bietet bereits die Manipulationserkennung von numerischen Datenwerte eines Gesamtdatensatzes, beispielsweise sämtlicher Zugriffszahlen auf alle Mediendatenströme eines Netzwerks, Vorteile, allerdings ist in der Praxis relevant, ob die Datenwerte einer bestimmten Kategorie dieses Datensatzes manipuliert wurden. Beispielsweise soll also überprüft werden, ob die Zugriffszahlen auf Mediendatenströme eines bestimmten Künstlers oder eines bestimmten Musikstückes manipuliert wurden. Es ist daher im Sinne einer zeiteffizienten Datenmanipulationserkennung und einer an variierende Überprüfungsanforderungen anpassbaren Datenmanipulationserkennung, dass aus einem Datensatz von unterschiedlichen Kategorien zugeordneten numerischen Datenwerten mit einer Filtereinheit anhand vorgegebener Filterparameter Kategorien ausgewählt und die den Kategorien zugewiesenen numerischen Datenwerte als Gruppe an die Eingabeschnittstelle der Prüfvorrichtung übergeben werden. Gerade diese Vorauswahl beeinträchtigt eine zuverlässige Überprüfung per Benfordtest für sich und erst die erfindungsgemäßen Maßnahmen, insbesondere die Simulation einer Vielzahl solcher möglicher Gruppen, ermöglichen eine zuverlässige Manipulationserkennung, ohne dass Vergleichswerte aus anderen Datenquellen herangezogen werden müssten.

Als geeignete Kompositionsdatentransformation der Transformationseinheit hat sich eine Pivot-Koordinatentransformation herausgestellt. Die Transformation beispielsweise eines Häufigkeitsvektors zum Benfordvektor kann demnach für die einzelnen Vektorkomponenten Zj nach der Formel erfolgen. Die Transformation zum Testvektor und zu den Simulationsvektoren erfolgt analog. Der Einsatz der Pivot-Koordinatentransformation hat den Vorteil, dass Pivot-Koordinaten isometrisch sind und einen orthogonalen Vektorraum aufspannen, sodass die Bestimmung der Abweichung zwischen solchen Pivot- Koordinaten besonders einfach erfolgen kann.

Zur Ermittlung der Simulationsabweichungen Ti und der Testabweichung T durch die Detektionseinheit können multivariate Verfahren eingesetzt werden. Hierzu kann die Detektionseinheit für einen eingehenden Vektor beispielsweise dessen Mahalanobis-Abstand zum Benfordvektor ausgeben.

Dieser Mahalanobis-Abstand zwischen den Simulationsvektoren und dem Benfordvektor bzw. zwischen dem Testvektor z und dem Benfordvektor . kann durch berechnet werden.

D ist dabei die Diagonalmatrix D = diag(S) der Kovarianzmatrix S der Simulationsvektoren ist eine inverse rangreduzierte Korrelationsmatrix, welche durch Eigenwertzerlegung von

R = D ^-1/2 SD ^-1/2 mit

R = GAG’

, wobei G (g1, gk) der Eigenvektor von R und A die korrespondierenden Eigenwerte ai, aD-1 sind, zu mit Gk = (g1, ..., gk) und umgeformt werden kann.

Da der Term bei der Berechnung von Ti und T nur von den Simulationsvektoren zbi abhängig ist, kann dieser ebenfalls unabhängig von den zu überprüfenden Datenwerten erfolgen und im Prüfspeicher hinterlegt werden. Die Verwendung einer rangreduzierten Korrelationsmatrix bringt dabei den Vorteil mit sich, dass die Manipulationsprüfung für nachfolgende Gruppen von Datenwerten besonders ressourcenschonend und damit rasch durchgeführt werden kann, weil damit die benötigten Rechenoperationen in jedem Prüfschritt deutlich reduziert werden können. Insbesondere wird erfindungsgemäß eine Rangreduktion um einen Faktor von 10 - 30 vorgeschlagen, wobei gute Ergebnisse mit einer Korrelationsmatrix eines Rangs k von 3 bis 10, vorzugsweise von 3 oder 4, erreicht werden können. In der Zeichnung ist der Erfindungsgegenstand beispielsweise dargestellt. Die Zeichnung zeigt ein schematisches Fließschema des erfindungsgemäßen Verfahrens.

Ein erfindungsgemäßes Verfahren zur Datenmanipulationserkennung von numerischen Datenwerten wird durch eine Prüfvorrichtung 1 durchgeführt, welche eine Transformationseinheit 2a, b, c umfasst. Eine Transformationseinheit 2b empfängt dabei Datenströme aus einem Benfordspeicher 3, auf dem Häufigkeitsvektoren , welcher die gemäß einer Benfordverteilung zu erwartende Häufigkeit vorgebbarer Anfangszifferngruppen (b1, ..., bD) abbilden, abgespeichert sind. Werden als Anfangszifferngruppe (b1, ..., bD) die ersten Ziffern 1 bis 9 gewählt, so lautet der Benfordvektor

Eine Transformationseinheit 2c empfängt Datenströme von einem Zufallsgenerator 4, der Sätze zufallsverteilter Zahlenwerte erzeugt. Eine Zähleinheit 5b ermittelt die Anzahl der in einem Speicher 6 vorgegebenen Anfangszifferngruppen in den zufallsverteilten Zahlenwerten und gibt daraus N _s Zufallsvektoren aus, welche die Häufigkeiten der vorgegebenen Anfangszifferngruppen der zufallsverteilten Zahlenwerte abbilden. N _s kann beispielsweise 1000 - 100000 betragen. Als zufallsverteilte Zahlenwerte können die Werte 10 ^ul herangezogen werden, wobei ul Zufallszahlen aus einer Gleichverteilung sind, und I = 1 , ..., N ist, wobei N beispielsweise gleichhoch wie N _s gewählt sein kann. Auf diese Weise kann sichergestellt werden, dass N _s Sätze von N Zahlenwerten erzeugt werden, wobei die Anzahl Anfangszifferngruppen mit Abweichungen der Benfordverteilung folgt. Eine Transformationseinheit 2a empfängt Datenwerte eines Datensatzes 8, wobei über eine Zähleinheit 5a aus den Häufigkeiten der Anfangszifferngruppen (xi, ..., XD) der Datenwerte ein Häufigkeitsvektor erzeugt wird, wobei die Komponenten die Häufigkeiten der Angangszifferngruppen repräsentieren. Beginnen beispielsweise 183 Datenwerte mit der Ziffer 1 , 93 Datenwerte mit der Ziffer 2 usw. so kann xi = 183, X2 =93 usw. sein.

Die Transformationseinheiten 2a, 2b, 2c verarbeiten die Häufigkeitsvektoren (i = 1 ...Ns) und führen für jeden Vektor eine Kompositionsdatentransformation durch, wodurch die durch die Koordinaten der Häufigkeitsvektoren ( 1 ...Ns) repräsentierten Häufigkeiten der Anfangszifferngruppen in Relation zueinander gebracht werden. Dies kann durch Transformation in Pivot-Koordinaten erfolgen.

Eine Detektionseinheit 9a empfängt die Datenströme der Transformationseinheit 2a, 2b und ermittelt anschließend eine der Testabweichung T zwischen dem Testvektor z und dem Benfordvektor zb. Eine Detektionseinheit 9b empfängt die Datenströme der Transformationseinheit 2b, 2c und ermittelt anschließend eine der Simulationsabweichungen Ti zwischen dem Simulationsabweichungen Ti (i=1 ,...,N _s ) und dem Benfordvektor zb. Eine erfindungsgemäße Prüfvorrichtung kann ein oder mehrere Transformationseinheiten 2a, 2b, 2c und ein oder mehrere Detektionseinheiten 9a, 9b umfassen. In der Zeichnung sind zur besseren Illustration der Datenflüsse mehrere Transformationseinheiten 2a, 2b, 2c und mehrere Detektionseinheiten 9a, 9b dargestellt. Gleiches gilt für die Zähleinheiten 5a und 5b. Zur Ermittlung der Simulationsabweichungen Ti und der Testabweichung T durch die Detektionseinheit 9a, 9b können multivariate Verfahren eingesetzt werden. Hierfür eignet sich beispielsweise die Berechnung des Mahalanobis- Abstands zwischen den Simulationsvektoren und dem Benfordvektor zb bzw. zwischen dem Testvektor z und dem Benfordvektor

Da die Verfahrensschritte zum Erlangen der Simulationsabweichungen Ti (i=1 , ..., Ns) unabhängig vom zu überprüfenden Datensatz 8 durchgeführt werden können, können diese zeitintensiven Schritte vorab in einem Bereich 10 durchgeführt und die Simulationsabweichungen Ti (i=1 , N _s ) in einem Prüfspeicher 11 hinterlegt werden.

Eine Prüfeinheit 12 kann auf die auf dem Prüfspeicher 11 hinterlegten Simulationsabweichungen Ti zugreifen und ermittelt die relative Anzahl jener abgespeicherten Simulationsabweichungen Ti, die größer als die von der Detektionseinheit 9a empfangene Testabweichung T sind. Bei Unterschreitung der relativen Anzahl p unter einen bestimmten Schwellwert, beispielsweise 0,05, wird ein positiver Manipulationswert durch eine Ausgabeschnittstelle 13 ausgegeben.

Ein p-Wert von p=1 bedeutet beispielsweise, dass alle Simulationsabweichungen Ti größer als T sind. In diesem Fall sind die Anfangszifferngruppen der numerischen Datenwerte benfordverteilt, was auf einen nicht manipulierten Datensatz hinweist. Ein signifikant niedrigerer p-Wert deutet hingegen auf eine Datenmanipulation hin.

Der Eingabeschnittstelle 7 kann eine Filtereinheit 14 vorgeschaltet sein, welche aus einem Datensatz 8 von unterschiedlichen Kategorien zugeordneten numerischen Datenwerten anhand vorgegebener Filterparameter Kategorien auswählt und nur die den ausgewählten Kategorien zugewiesenen numerische Datenwerte als Gruppe an die Eingabeschnittstelle 7 übergibt. Auf diese Weise kann nur ein Teil des Datensatzes überprüft werden, wodurch beispielsweise nur bestimmte Sachverhalte, wie die Zugriffszahlen auf Mediendatenströme eines bestimmten Künstlers, überprüft werden können.