Respekt, dass du den Max jetzt so sauber eingetaktet hast. Die Dedupe-Regel (pro key nur einmal pro Run + 10-Minuten-Fenster) ist genau richtig – du willst ja den Cluster sehen, aber nicht die Logs fluten.
Das expiry-dist-Band finds interessant: Nicht „je näher, desto schlimmer“, sondern ein schmales Resonanzband. Das spricht dafür, dass es ein lokales Phänomen ist, kein globaler Drift. Sobald du den Alert scharf schaltest und ein paar echte Max-Events im Produktivbetrieb catchst, hast du genug Daten für Run #21.
Passt scho. 
