IR Playbook Library
Publicly available incident response playbooks for common attack scenarios. Each playbook covers the full lifecycle from detection to post-incident review and is available in English and German.
Frei verfügbare Incident-Response-Playbooks für häufige Angriffsszenarien. Jedes Playbook deckt den ganzen Ablauf von der Erkennung bis zur Nachbereitung ab und liegt auf Deutsch und Englisch vor.
Ransomware Attack
Ransomware-Angriff
Step-by-step response guide for ransomware incidents — from initial detection and network isolation through evidence preservation, recovery and post-incident review.
Schritt-für-Schritt Leitfaden für Ransomware-Vorfälle — von der Ersterkennung und Netzwerkisolierung über Beweissicherung bis zu Wiederherstellung und Nachbesprechung.
Phishing & Business Email Compromise
Phishing & Business Email Compromise
Response procedures for targeted phishing attacks and BEC incidents — including credential theft, account takeover and fraudulent wire transfer scenarios.
Reaktionsverfahren bei gezielten Phishing-Angriffen und BEC-Vorfällen — inkl. Zugangsdatendiebstahl, Kontoübernahme und betrügerischen Überweisungsszenarien.
Data Breach
Datenpanne / Datenschutzverletzung
Structured response for confirmed or suspected data breaches — including scope assessment, regulatory notification obligations under GDPR Art. 33/34 and communication guidelines.
Strukturierter Leitfaden bei bestätigten oder vermuteten Datenpannen — inkl. Schadensumfang, Meldepflichten nach DSGVO Art. 33/34 und Kommunikationsleitlinien.
Identity Compromise
Identitätskompromittierung
Response guide for compromised user, service, and privileged accounts — covering credential theft, unauthorized access, MFA abuse, token theft, lateral movement detection and identity recovery procedures.
Reaktionsleitfaden bei kompromittierten Benutzer-, Dienst- oder privilegierten Konten — inkl. Zugangsdatendiebstahl, unbefugtem Zugriff, MFA-Missbrauch, Token-Diebstahl, Lateral-Movement-Erkennung und Identitätswiederherstellung.
Edge Device Exploitation
Ausnutzung von Edge-Geräten
Response to exploited vulnerabilities in firewalls, VPN gateways, ADCs and file transfer systems: preserve evidence before patching, limit the attack surface, rotate secrets and investigate follow-on activity in the internal network.
Reaktion auf ausgenutzte Schwachstellen in Firewalls, VPN-Gateways, ADCs und Datei-Transfer-Systemen: Beweise vor dem Patch sichern, Angriffsfläche begrenzen, Geheimnisse rotieren und Folgeaktivität im internen Netz untersuchen.
Malware on an Endpoint
Malware auf einem Endpunkt
Response to executed malware — from isolating without losing evidence and invalidating stolen credentials and sessions to searching for further systems and reimaging cleanly.
Reaktion auf ausgeführte Schadsoftware — vom Isolieren ohne Beweisverlust über das Ungültigmachen gestohlener Zugangsdaten und Sitzungen bis zur Suche nach weiteren Systemen und zum sauberen Neuaufsetzen.
Supply Chain Compromise
Kompromittierung in der Lieferkette
Response to manipulated updates, compromised service providers, malicious packages and incidents at partners — establish exposure through the inventory, withdraw trust relationships, renew secrets and decide on continued use or replacement.
Reaktion auf manipulierte Updates, kompromittierte Dienstleister, schädliche Pakete und Vorfälle bei Partnern — Betroffenheit über das Inventar klären, Vertrauensstellungen entziehen, Geheimnisse erneuern und über Weiternutzung oder Ersatz entscheiden.
DDoS Attack
DDoS-Angriff
Response to flooding attacks and DDoS extortion: distinguish an attack from a fault, determine the layer, bring in the ISP and protection provider with reliable data, prioritize critical services and watch for accompanying attacks.
Reaktion auf Überlastungsangriffe und DDoS-Erpressung: Angriff von Störung unterscheiden, Ebene bestimmen, ISP und Schutzdienstleister mit belastbaren Daten einschalten, kritische Dienste priorisieren und auf Begleitangriffe achten.
Insider Incident
Insider-Vorfall
Response to data theft, sabotage and misuse of rights by people with legitimate access — with HR, legal, data protection and co-determination, proportionate, confidential and with evidence that holds up in court.
Reaktion auf Datenmitnahme, Sabotage und Rechtemissbrauch durch Personen mit legitimem Zugang — mit Personal, Recht, Datenschutz und Mitbestimmung, verhältnismäßig, vertraulich und mit gerichtsfester Beweissicherung.
Cloud Tenant Compromise
Cloud-Tenant-Kompromittierung
Response to compromised cloud tenants and identity providers: secure administrative control, export logs before they expire, remove persistence in roles, apps and policies, and decide whether the tenant can still be trusted — with appendices for Microsoft, AWS, Google and Okta.
Reaktion auf kompromittierte Cloud-Tenants und Identity Provider: administrative Kontrolle sichern, Logs vor dem Ablauf exportieren, Persistenz in Rollen, Apps und Richtlinien entfernen und entscheiden, ob dem Tenant noch zu trauen ist — mit Anhängen für Microsoft, AWS, Google und Okta.