# Was ist ein False Negative?
> Ein False Negative ist das Nicht-Erkennen oder Nicht-Melden einer echten Bedrohung — das gefährliche Gegenstück zum False Positive, weil er stille Fehlschläge statt Rauschen erzeugt.
- Kanonische URL: https://yellowcube.eu/de/glossary/false-negative/
- Herausgeber: Yellow Cube
- Sprache: de
- Kontakt: hello@yellowcube.eu
## Inhalt
Ein False Negative liegt vor, wenn eine Kontrolle, Erkennungsregel, ein Modell oder ein Analyst bösartige oder richtlinienverletzende Aktivität als harmlos oder nicht vorhanden beurteilt. Ursachen sind Abdeckungslücken, Evasion, veraltete Signaturen, falsch abgegrenzte Regeln, verschlüsselter Verkehr, Logverlust und auf Rauschreduktion abgestimmte Schwellen.
### Wichtigste Punkte
- **Schätzung der Fehlrate:** Purple-Team-Tests, Breach-and-Attack-Simulation, retrospektive Hunts und Vorfall-Nachbereitung nutzen, um Fehlraten zu schätzen, die Dashboards nicht zeigen.
- **Bewusste Abstimmung:** Jede Schwellenänderung tauscht False Positives gegen False Negatives; festhalten, wer diesen Tausch akzeptiert hat und warum.
- **Wichtige Einschränkung:** Fehlende Alarme sind kein Beweis des Fehlens. Erkennungsabdeckung kann geschätzt und getestet, aber nie als vollständig bewiesen werden.
### Verwandte Begriffe
[False Positive]() · [Alert-Triage]() · [Detection Engineering]() · [Breach and Attack Simulation (BAS)]() · [Security Telemetry]()
### Quellen
[MITRE ATT&CK](https://attack.mitre.org/) · [NIST SP 800-94, Guide to Intrusion Detection and Prevention Systems](https://csrc.nist.gov/pubs/sp/800/94/final)
## Quellenangabe und Geltungsbereich
Diese Markdown-Darstellung wird aus denselben freigegebenen Inhalten wie die kanonische HTML-Seite erzeugt. Verwenden Sie beim Zitieren die kanonische URL.