Pattern-of-Life-Analyse (PoL) ist ein Zweig der Verhaltensaufklärung, der Basislinienverhaltsnormen für Ziele etabliert und Abweichungen von diesen Normen erkennt. Im ISR-Kontext kann „Ziel" eine Person, ein Fahrzeug, eine Einrichtung oder eine Einheit bedeuten — und „Muster" umfasst wohin sie gehen, wann sie kommunizieren, wie sie sich bewegen und welche Aktivitäten sie durchführen. Wenn das Muster sich ändert, ist dies ein Signal, das es wert ist, untersucht zu werden.

PoL-Analyse befindet sich auf JDL-Stufe 2 — sie operiert auf korrelierten Spurdaten und Geheimdienstberichten, nicht auf rohen Sensordaten. Ihre Ausgaben sind Anomalie-Alarme und aktualisierte Zielprofile. Der Mehrwert gegenüber einfacher Spurkorrelation ist zeitliche Aufklärung: nicht nur zu verstehen, wo sich etwas befindet, sondern ob sein heutiges Verhalten mit dem der vergangenen Wochen übereinstimmt.

Definition des Baseline-Verhaltens für ISR-Ziele

Der erste Schritt der PoL-Analyse ist die Feststellung, wie „normal" für ein gegebenes Ziel aussieht. Für ein Fahrzeug könnte normal sein: täglich zwischen 21:00 und 07:00 an Grid-Position X geparkt, um 08:30 auf Route 5 ostwärts fahrend, um 09:00 bei Anlage X angekommen. Baseline-Modellierung erfordert ausreichende Beobachtungshistorie — mindestens 7–14 Tage konsistenter Daten für die meisten Verhaltensmuster.

Datenquellen für die Pattern-of-Life-Analyse

SIGINT-Abfangvorgänge liefern die reichhaltigsten PoL-Daten für kommunikationsaktive Ziele. Ein Ziel, das dreimal täglich mit vorhersehbarem Zeitplan unter Verwendung konsistenter Frequenzen und Verschlüsselungsparameter kommuniziert, erzeugt ein charakterisierbares Kommunikationsmuster. Das Ausbleiben erwarteter Kommunikation ist ebenso informativ wie das Auftreten unerwarteter.

AIS-Schiffsspuren sind für maritime PoL-Analyse äußerst wertvoll. Handelsschiffe folgen vorhersehbaren Routen zwischen Häfen mit konsistenter Zeitplanung. Ein Tanker, der von seiner etablierten Route abweicht, seine Geschwindigkeit an einem ungewöhnlichen Ort reduziert oder seinen AIS-Transponder deaktiviert, zeigt anomales Verhalten.

Mobilgerät-Muster aus SIGINT-Erfassung — Gerätekennung-Emissionen aus Mobilfunknetzen, WLAN-Probe-Anfragen, Bluetooth-Ankündigungen — liefern hochauflösende PoL-Daten für einzelne Ziele.

Technische Implementierung: Baseline-Modellierung und Anomalie-Erkennung

Die Kernanforderung ist die Pflege eines probabilistischen Modells des Zielverhaltens und die Berechnung von Anomalie-Scores für neue Beobachtungen. Der Standardansatz verwendet eine gleitende Fenster-Baseline. Für kontinuierliche Attribute wird üblicherweise ein multivariates Gaußmodell verwendet. Der Anomalie-Score für eine neue Beobachtung ist die Mahalanobis-Distanz vom Modellmittelwert.

Falsch-Positiv-Management und Analysten-in-the-Loop-Workflows

PoL-Systeme erzeugen hohe Alarmvolumina — viele davon sind nicht operationell bedeutsam. Standardansatz ist ein zweistufiger Workflow: automatisierte Anomalie-Bewertung produziert eine Warteschlange von Kandidaten-Alarmen, der Analyst prüft die höchstbewerteten Alarme und klassifiziert sie als „operationell bedeutsam", „erklärt" oder „falsch positiv".

Wichtige Erkenntnis: Die nützlichsten PoL-Alarme sind nicht Einzelquellen-Anomalien — sie sind Multi-Source-korrelierte Anomalien. Eine Spurabweichung eines Fahrzeugs gleichzeitig mit Kommunikationsstille und einer Änderung der Einrichtungsaktivität ist ein deutlich stärkerer Indikator für absichtliche Verhaltensänderung.

Datenschutz und rechtliche Einschränkungen in Koalitionsoperationen

PoL-Analyse gegen die Zivilbevölkerung wirft erhebliche rechtliche Einschränkungen auf, insbesondere in Koalitionsoperationen der Bundeswehr mit unterschiedlichen nationalen Rechtsrahmen. Die primären Einschränkungen sind Datensparsamkeit, Zweckbindung und Aufbewahrungsfristen. In Softwarebegriffen erfordern diese Einschränkungen Klassifikations- und Behandlungsflags für Zielprofile, automatisierte Löschrichtlinien auf Datenbankebene und Audit-Protokollierung aller Analysten-Zugriffe.