Malware on an Endpoint
Malware auf einem Endpunkt
Response to executed malware — from isolating without losing evidence and invalidating stolen credentials and sessions to searching for further systems and reimaging cleanly.
Reaktion auf ausgeführte Schadsoftware — vom Isolieren ohne Beweisverlust über das Ungültigmachen gestohlener Zugangsdaten und Sitzungen bis zur Suche nach weiteren Systemen und zum sauberen Neuaufsetzen.
Detect
Contain
Investigate
Eradicate
Recover
Review
Erkennen
Eindämmen
Untersuchen
Beseitigen
Wiederanlauf
Nachbereitung
This playbook structures the response to malware on a single endpoint or a few endpoints: workstations, laptops and servers. Typical cases are infostealers, remote access trojans (RATs), loaders, backdoors, crypto miners and unwanted remote access tools.
"EDR deleted it" does not answer whether the malware had already stolen credentials, downloaded further tools or spread.
The core of this playbook: The question is not whether the file is gone, but what it did before.
Dieses Playbook strukturiert die Reaktion auf Schadsoftware auf einem einzelnen oder wenigen Endpunkten: Arbeitsplatzrechner, Laptops und Server. Typische Fälle sind Infostealer, Remote-Access-Trojaner (RAT), Loader, Backdoors, Krypto-Miner und unerwünschte Fernwartungswerkzeuge.
„EDR hat es gelöscht“ beantwortet nicht, ob die Schadsoftware zuvor Zugangsdaten gestohlen, weitere Werkzeuge nachgeladen oder sich ausgebreitet hat.
Der Kern dieses Playbooks: Die Frage ist nicht, ob die Datei weg ist, sondern was sie vorher getan hat.
Scope
Use this playbook if:
- EDR or antivirus reports malware that was executed
- a user ran a suspicious file, macro, script or installer
- an endpoint connects to known command-and-control servers
- unknown remote access software was installed without authorization
- infostealer logs with data from your organization appear
- an endpoint shows crypto mining, unusual load or unexplained processes
Boundaries:
- With encryption, mass spread or domain admin misuse, the ransomware playbook takes the lead.
- If delivered by email, the phishing playbook runs in parallel.
- An attachment blocked at download without execution is an event, not an incident: document it, block the IOC, check the recipients.
Severity
- Medium: Brief execution without recognizable credential or persistence capability, single standard endpoint, no follow-on activity
- High: Executed infostealer, RAT, keylogger, loader, unknown remote access software, or an affected server or admin workstation
- Critical: Lateral movement, credential dumping, domain rights, ransomware preparation or multiple affected systems
The incident lead documents the severity with time, justification and approval to move to the next phase.
Anwendungsbereich
Verwenden Sie dieses Playbook, wenn:
- EDR oder Antivirus Schadsoftware meldet, die ausgeführt wurde
- ein Benutzer eine verdächtige Datei, ein Makro, Skript oder Installationsprogramm ausgeführt hat
- ein Endpunkt Verbindungen zu bekannten Command-and-Control-Servern aufbaut
- unbekannte Fernwartungssoftware ohne Auftrag installiert wurde
- Infostealer-Logs mit Daten aus Ihrer Organisation auftauchen
- ein Endpunkt Krypto-Mining, ungewöhnliche Last oder unerklärliche Prozesse zeigt
Abgrenzung:
- Bei Verschlüsselung, Massenausbreitung oder Domänen-Admin-Missbrauch führt das Ransomware-Playbook.
- Bei Zustellung per E-Mail läuft das Phishing-Playbook parallel.
- Ein beim Download blockierter Anhang ohne Ausführung ist ein Ereignis, kein Incident: dokumentieren, IOC blockieren, Empfänger prüfen.
Schweregrad
- Mittel: Kurze Ausführung ohne erkennbare Credential- oder Persistenzfähigkeit, einzelner Standardendpunkt, keine Folgeaktivität
- Hoch: Ausgeführter Infostealer, RAT, Keylogger, Loader, unbekannte Fernwartungssoftware oder betroffener Server/Admin-Arbeitsplatz
- Kritisch: Laterale Bewegung, Credential Dumping, Domänenrechte, Ransomware-Vorbereitung oder mehrere betroffene Systeme
Der Incident-Lead dokumentiert den Schweregrad mit Zeitpunkt, Begründung und Freigabe zur nächsten Phase.
▶ Act immediately
- Name an incident lead, start the timeline and decision log.
- Read the alert: was the file executed or only detected? Which process, which user, what time and which parent processes?
- If executed: isolate the endpoint via EDR. Without EDR: pull the network cable or disconnect Wi-Fi, leave the device powered on.
- Ask the user briefly: what was opened, where did it come from, what happened afterwards?
- Record hash, file name, path, origin and first IOC data.
- Search for further hits by hash and origin in EDR, mail gateway, proxy and DNS.
- If an infostealer or RAT is possible, bring in the identity owners immediately.
- Start evidence preservation before any cleanup begins.
▸ Contacts and Escalation
Pre-fill these for your organization and keep them available offline:
- Incident lead on call
- SOC / detection engineering
- Endpoint administration
- IAM / Entra ID / AD / SSO owners
- Helpdesk for password and device replacement
- External forensics / incident response
- Communications and management escalation
▶ Sofort handeln
- Incident-Lead benennen, Timeline und Entscheidungsprotokoll starten.
- Alarm lesen: Wurde die Datei ausgeführt oder nur erkannt? Welcher Prozess, welcher Benutzer, welche Uhrzeit und welche Elternprozesse?
- Wenn ausgeführt: Endpunkt per EDR isolieren. Ohne EDR: Netzwerkkabel ziehen oder WLAN trennen, Gerät eingeschaltet lassen.
- Benutzer kurz befragen: Was wurde geöffnet, woher kam es, was ist danach passiert?
- Hash, Dateiname, Pfad, Herkunft und erste IOC-Daten festhalten.
- Mit Hash und Herkunft nach weiteren Treffern in EDR, Mail-Gateway, Proxy und DNS suchen.
- Bei möglichem Infostealer oder RAT Identitätsverantwortliche sofort einbinden.
- Beweissicherung einleiten, bevor Bereinigungsmaßnahmen starten.
▸ Kontakte und Eskalation
Diese Angaben organisationsspezifisch vorbelegen und offline verfügbar halten:
- Incident-Lead on call
- SOC / Detection Engineering
- Endpoint-Administration
- IAM / Entra ID / AD / SSO-Verantwortliche
- Helpdesk für Passwort- und Gerätewechsel
- Externe Forensik / Incident Response
- Kommunikations- und Management-Eskalation
Purpose
- Classify malware findings quickly: false positive, blocked or executed
- Contain the endpoint without destroying the evidence
- Determine the malware's capabilities and impact
- Invalidate stolen credentials and sessions
- Find further affected systems
- Restore the endpoint to a trustworthy state
Incident Objectives
- Establish whether the malware was executed.
- Isolate the endpoint without destroying evidence.
- Determine family, capabilities and persistence.
- Invalidate stolen credentials and sessions.
- Find further affected endpoints.
- Restore the endpoint cleanly.
Core Response Principles
- Executed is executed. Once code ran, a quarantine message does not close the case.
- Isolate, do not power off. EDR network isolation keeps memory and running processes; powering off destroys them.
- Capabilities determine the approach. A miner calls for different steps than an infostealer or a RAT.
- An infostealer is an identity incident. Stolen browser sessions can bypass MFA; a password reset alone is not enough.
- Reimaging is the norm. Cleaning only when capabilities and persistence are fully understood.
- Record time consistently. Document the timeline, forensic artifacts and log exports in UTC; note local time zone differences.
- A finding rarely comes alone. Search for further systems by hash, domain, file path and behavior.
Zweck
- Schadsoftware-Befunde schnell einordnen: Fehlalarm, blockiert oder ausgeführt
- Den Endpunkt eindämmen, ohne die Beweislage zu zerstören
- Die Fähigkeiten und Auswirkungen der Schadsoftware bestimmen
- Gestohlene Zugangsdaten und Sitzungen ungültig machen
- Weitere betroffene Systeme finden
- Den Endpunkt vertrauenswürdig wiederherstellen
Incident-Ziele
- Klären, ob die Schadsoftware ausgeführt wurde.
- Den Endpunkt isolieren, ohne Beweise zu vernichten.
- Familie, Fähigkeiten und Persistenz bestimmen.
- Gestohlene Zugangsdaten und Sitzungen ungültig machen.
- Weitere betroffene Endpunkte finden.
- Den Endpunkt sauber wiederherstellen.
Zentrale Reaktionsprinzipien
- Ausgeführt ist ausgeführt. Sobald Code lief, ist eine Quarantäne-Meldung kein Abschluss.
- Isolieren statt ausschalten. EDR-Netzwerkisolation erhält Arbeitsspeicher und laufende Prozesse; Ausschalten zerstört sie.
- Fähigkeiten bestimmen das Vorgehen. Ein Miner verlangt andere Schritte als ein Infostealer oder RAT.
- Infostealer ist ein Identitätsvorfall. Gestohlene Browser-Sitzungen können MFA umgehen; Passwort-Reset allein genügt nicht.
- Neuaufsetzen ist der Normalfall. Bereinigung nur, wenn Fähigkeiten und Persistenz vollständig verstanden sind.
- Zeit konsistent erfassen. Timeline, Forensik-Artefakte und Log-Exporte grundsätzlich in UTC dokumentieren; lokale Zeitzonenabweichungen festhalten.
- Ein Befund kommt selten allein. Mit Hash, Domain, Dateipfad und Verhalten nach weiteren Systemen suchen.
Incident lead
- Steers the response and classifies the incident.
- Prioritizes reimaging or cleaning.
- Documents handovers to other playbooks and confirms exit criteria.
SOC / analysis
- Evaluates the alert, process tree and telemetry.
- Determines family and capabilities.
- Searches for further hits and follow-on activity.
Endpoint and client administration
- Isolates devices.
- Preserves artifacts.
- Reimages systems and provides replacement devices.
Identity and access
- Revokes sessions.
- Rotates passwords, tokens, keys and certificates.
- Reviews sign-in activity and privileged use.
User, line manager and helpdesk
- Provide context.
- Support communication measures.
- Restore the ability to work.
Incident-Lead
- Steuert die Reaktion und klassifiziert den Vorfall.
- Priorisiert Neuaufsetzen oder Bereinigung.
- Dokumentiert Übergänge zu anderen Playbooks und bestätigt Exit-Kriterien.
SOC / Analyse
- Wertet Alarm, Prozessbaum und Telemetrie aus.
- Bestimmt Familie und Fähigkeiten.
- Sucht nach weiteren Treffern und Folgeaktivität.
Endpoint- und Client-Administration
- Isoliert Geräte.
- Sichert Artefakte.
- Setzt Systeme neu auf und stellt Ersatzgeräte bereit.
Identität und Zugriff
- Widerruft Sitzungen.
- Rotiert Passwörter, Tokens, Schlüssel und Zertifikate.
- Prüft Anmeldeaktivität und privilegierte Nutzung.
Benutzer, Führungskraft und Helpdesk
- Liefern Kontext.
- Unterstützen Kommunikationsmaßnahmen.
- Stellen Arbeitsfähigkeit wieder her.
Rule 1: Was the malware executed?
Not executed if the file was blocked on write or download and no process execution is visible:
- Document the event
- Block the hash, sender and URL
- Search for further recipients
- Document the closure
Executed if a process started, a script ran, a macro was enabled or network connections of the process are visible — even if EDR terminated the process afterwards.
Unclear: Treat as executed until the opposite is established.
Rule 2: Reimage or clean?
Reimage if:
- a RAT, loader, backdoor or unknown malware is involved
- persistence was found or cannot be ruled out
- administrator rights on the device were obtained
- security software was tampered with
- a server or admin workstation is affected
Cleaning is only justifiable for well-documented, low-risk malware with fully known persistence and no download capability — and only with a subsequent EDR follow-up check.
Rule 3: Which credentials are affected?
With infostealers, RATs and keyloggers, the following are generally considered compromised:
- passwords stored in the browser
- browser sessions and cookies
- password manager contents, if the vault was unlocked
- stored credentials for VPN, RDP, FTP, messengers and other clients
- credentials entered while the malware was running
- SSH keys, API tokens and cloud credentials in files or environment variables
Change passwords only from a clean device. Revoke sessions, rotate tokens and keys, check MFA methods.
Rule 4: When to hand over to other playbooks?
- Ransomware playbook in the lead if encryption, mass spread, or compromise of domain, backup or hypervisor systems is visible.
- Identity compromise in parallel if sessions, tokens, MFA bypass or privileged accounts may be affected.
- Data breach in parallel if exfiltration of personal data is likely.
Regel 1: Wurde die Schadsoftware ausgeführt?
Nicht ausgeführt, wenn die Datei beim Schreiben oder Download blockiert wurde und keine Prozessausführung sichtbar ist:
- Ereignis dokumentieren
- Hash, Absender und URL blockieren
- Nach weiteren Empfängern suchen
- Abschluss dokumentieren
Ausgeführt, wenn ein Prozess gestartet wurde, ein Skript lief, ein Makro aktiviert wurde oder Netzwerkverbindungen des Prozesses sichtbar sind — auch wenn EDR den Prozess danach beendet hat.
Unklar: Wie ausgeführt behandeln, bis das Gegenteil feststeht.
Regel 2: Neuaufsetzen oder bereinigen?
Neuaufsetzen, wenn:
- RAT, Loader, Backdoor oder unbekannte Schadsoftware vorliegt
- Persistenz gefunden wurde oder nicht ausgeschlossen werden kann
- Administratorrechte auf dem Gerät erlangt wurden
- Sicherheitssoftware manipuliert wurde
- ein Server oder Admin-Arbeitsplatz betroffen ist
Bereinigen ist nur bei gut dokumentierter, wenig gefährlicher Schadsoftware mit vollständig bekannter Persistenz und ohne Nachladefunktion vertretbar — und nur mit anschließender EDR-Nachkontrolle.
Regel 3: Welche Zugangsdaten sind betroffen?
Bei Infostealern, RATs und Keyloggern gelten grundsätzlich als kompromittiert:
- im Browser gespeicherte Passwörter
- Browser-Sitzungen und Cookies
- Passwortmanager-Inhalte, wenn der Tresor entsperrt war
- gespeicherte Zugangsdaten für VPN, RDP, FTP, Messenger und weitere Clients
- während der Laufzeit eingegebene Zugangsdaten
- SSH-Schlüssel, API-Tokens und Cloud-Zugangsdaten in Dateien oder Umgebungsvariablen
Passwörter nur von einem sauberen Gerät ändern. Sitzungen widerrufen, Tokens und Schlüssel rotieren, MFA-Methoden prüfen.
Regel 4: Wann an andere Playbooks übergeben?
- Ransomware-Playbook führend, wenn Verschlüsselung, Massenausbreitung oder Domänen-, Backup- oder Hypervisor-Befall sichtbar ist.
- Identitätskompromittierung parallel, wenn Sessions, Tokens, MFA-Bypass oder privilegierte Konten betroffen sein können.
- Datenpanne parallel, wenn Abfluss personenbezogener Daten wahrscheinlich ist.
| Category | Main risk | Most important step besides isolation |
|---|---|---|
| Infostealer | Theft of passwords and sessions | Revoke sessions, change passwords, rotate tokens |
| RAT / backdoor | Remote control by the attacker | Reconstruct activity, search for spread, reimage |
| Loader | Downloading further malware | Find downloaded components, check network connections |
| Unwanted remote access tool | Direct attacker access | Check the tool's sessions, block the tool organization-wide |
| Crypto miner | Resource abuse, often a sign of a vulnerability | Find the entry path, often a vulnerable service |
| Adware / PUP | Low risk | Clean up, clarify origin |
| Kategorie | Hauptrisiko | Wichtigster Schritt neben Isolation |
|---|---|---|
| Infostealer | Diebstahl von Passwörtern und Sitzungen | Sitzungen widerrufen, Passwörter ändern, Tokens rotieren |
| RAT / Backdoor | Fernsteuerung durch Angreifer | Aktivität rekonstruieren, Ausbreitung suchen, neu aufsetzen |
| Loader | Nachladen weiterer Schadsoftware | Nachgeladene Komponenten finden, Netzwerkverbindungen prüfen |
| Unerwünschte Fernwartung | Direkter Angreiferzugang | Sitzungen des Tools prüfen, Tool organisationsweit sperren |
| Krypto-Miner | Ressourcenmissbrauch, oft Zeichen einer Lücke | Eintrittsweg finden, oft ein verwundbarer Dienst |
| Adware / PUP | Geringes Risiko | Bereinigen, Herkunft klären |
If infostealer logs relating to your organization appear externally or are reported through threat intelligence:
- Document source, date, scope and validity.
- Identify the associated users, hosts, browser profiles and services.
- Have passwords changed only from clean devices.
- Revoke sessions, refresh tokens, OAuth consents and app passwords.
- Prioritize cloud admin portals, email, VPN, code repositories, password managers and finance systems.
- Tell users clearly which private and business accounts may be affected.
Wenn Infostealer-Logs mit Bezügen zu Ihrer Organisation extern auftauchen oder durch Threat Intelligence gemeldet werden:
- Quelle, Datum, Umfang und Validität dokumentieren.
- Zugeordnete Benutzer, Hosts, Browser-Profile und Dienste identifizieren.
- Passwörter ausschließlich von sauberen Geräten ändern lassen.
- Sitzungen, Refresh Tokens, OAuth-Consent und App-Passwörter widerrufen.
- Cloud-Admin-Portale, E-Mail, VPN, Code-Repositories, Passwortmanager und Finanzsysteme priorisieren.
- Benutzer klar informieren, welche privaten und geschäftlichen Konten betroffen sein können.
Before reimaging or cleaning, preserve where possible:
- EDR alert ID, rule name, severity and the full process tree
- Process command line, parent/child processes and user context
- Hashes, file name, download URL, referrer, mail metadata or USB origin
- Active network connections, DNS queries, proxy destinations and TLS SNI, where available
- Persistence mechanisms: scheduled tasks, services, registry run keys, WMI, browser extensions and startup items
- List of local administrators and recent changes
- Relevant security and operating system logs
- Memory image or volatile artifacts, where practical and forensically useful
Vor Neuaufsetzen oder Bereinigung möglichst sichern:
- EDR-Alarm-ID, Regelname, Severity und vollständiger Prozessbaum
- Prozess-Commandline, Parent-/Child-Prozesse und Benutzerkontext
- Hashes, Dateiname, Download-URL, Referrer, Mail-Metadaten oder USB-Herkunft
- Aktive Netzwerkverbindungen, DNS-Anfragen, Proxy-Ziele und TLS-SNI, soweit verfügbar
- Persistenzmechanismen: Scheduled Tasks, Services, Registry Run Keys, WMI, Browser Extensions und Startup Items
- Liste lokaler Administratoren und jüngste Änderungen
- Relevante Security- und Betriebssystem-Logs
- Speicherabbild oder volatile Artefakte, wenn praktikabel und forensisch sinnvoll
| Affected context | Minimum action |
|---|---|
| Standard user | Reset password, revoke sessions, check MFA |
| Privileged account | Immediate rotation, session and token revocation, review roles and use |
| Developer device | Rotate API tokens, cloud credentials, SSH keys, package registry tokens and CI/CD secrets |
| Admin workstation | Start the identity playbook in parallel, review lateral movement and admin activity |
| Password manager unlocked | Rotate all prioritized reachable credentials |
| Betroffener Kontext | Mindestmaßnahme |
|---|---|
| Standardbenutzer | Passwort zurücksetzen, Sessions widerrufen, MFA prüfen |
| Privilegiertes Konto | Sofortige Rotation, Session- und Token-Widerruf, Rollen und Nutzung prüfen |
| Entwicklergerät | API-Tokens, Cloud-Credentials, SSH-Keys, Paket-Registry-Tokens und CI/CD-Secrets rotieren |
| Admin-Workstation | Identitäts-Playbook parallel starten, laterale Bewegung und Admin-Aktivität prüfen |
| Passwortmanager entsperrt | Alle priorisierten erreichbaren Zugangsdaten rotieren |
Clarify execution, capabilities and initial reach
Preserve evidence before reimaging or automatic cleanup destroys it
- Assess user context, process tree, network communication and origin.
- Preserve file system, memory and persistence artifacts.
- Search for further devices, users and hits with IOCs.
- Set the triage classification: blocked, executed, credential risk or follow-on activity.
Exit criteria
- Preliminary classification documented.
- Essential triage artifacts preserved.
- Search for further hits running.
Ausführung, Fähigkeiten und erste Reichweite klären
Beweise sichern, bevor Neuaufsetzen oder automatische Bereinigung sie zerstören
- Benutzerkontext, Prozessbaum, Netzkommunikation und Herkunft bewerten.
- Dateisystem-, Speicher- und Persistenzartefakte sichern.
- Mit IOCs nach weiteren Geräten, Benutzern und Treffern suchen.
- Triage-Klassifizierung festlegen: blockiert, ausgeführt, Credential-Risiko oder Folgeaktivität.
Exit-Kriterien
- Vorläufige Klassifizierung dokumentiert.
- Wesentliche Triage-Artefakte gesichert.
- Suchauftrag nach weiteren Treffern läuft.
Stop further communication and spread
Contain misuse of affected credentials
- Isolate the device and keep it isolated.
- Revoke sessions and handle accounts according to the credential rotation matrix.
- Block known C2 destinations, hashes, file paths and tools.
- With multiple hits, examine a spread or campaign hypothesis.
- Provide a replacement device so there is no pressure to keep using the affected one.
Exit criteria
- Affected endpoint isolated or out of service.
- First identity measures implemented.
- Further at-risk systems identified or the search widened.
Weitere Kommunikation und Ausbreitung stoppen
Missbrauch betroffener Zugangsdaten eingrenzen
- Gerät isolieren und im isolierten Zustand lassen.
- Sessions widerrufen und Konten gemäß Credential-Rotation-Matrix behandeln.
- Bekannte C2-Ziele, Hashes, Dateipfade und Tools blockieren.
- Bei mehreren Treffern Ausbreitungs- oder Kampagnenhypothese prüfen.
- Ersatzgerät bereitstellen, damit kein Druck zur Weiternutzung entsteht.
Exit-Kriterien
- Betroffener Endpunkt isoliert oder außer Betrieb.
- Erste Identitätsmaßnahmen umgesetzt.
- Weitere gefährdete Systeme identifiziert oder Suchauftrag erweitert.
Determine family, capabilities, persistence and possible follow-on activity
- Assess the malware family, TTPs and download behavior.
- Investigate persistence, privilege escalation and credential access.
- Check for lateral movement, cloud sign-ins, email access and further sessions.
- For RATs, reconstruct attacker actions, commands, file access and possible exfiltration.
Exit criteria
- A plausible picture of capabilities and effects documented.
- Decision on reimaging or cleaning confirmed.
- Handover to related playbooks completed where required.
Familie, Fähigkeiten, Persistenz und mögliche Folgeaktivität bestimmen
- Malware-Familie, TTPs und Nachladeverhalten bewerten.
- Persistenz, Privilegienausweitung und Credential-Zugriffe untersuchen.
- Auf laterale Bewegung, Cloud-Logins, E-Mail-Zugriffe und weitere Sessions prüfen.
- Bei RATs Angreiferaktionen, Befehle, Dateizugriffe und möglichen Datenabfluss rekonstruieren.
Exit-Kriterien
- Plausibles Bild von Fähigkeiten und Wirkungen dokumentiert.
- Entscheidung Neuaufsetzen oder Bereinigung bestätigt.
- Übergabe an verbundene Playbooks erfolgt, falls erforderlich.
Completely remove the malware and its persistence
Clean up affected credentials and systems
- Default: reimage from a trusted source.
- Restore only from verified backups or golden images.
- Do not carry over executables, scripts or macro documents from the user's backup without checking them.
- Remove unwanted remote access tools, persistence and helper tools.
- Document rotated accounts, tokens, keys and certificates.
- Close the entry path: mail filter, macro policy, application control, patch or browser hardening.
Exit criteria
- Endpoint reimaged or verified clean.
- Persistence removed.
- Relevant credential measures completed or scheduled.
- Entry path closed.
Schadsoftware und Persistenz vollständig entfernen
Betroffene Zugangsdaten und Systeme bereinigen
- Standardfall: Neuaufsetzen aus vertrauenswürdiger Quelle.
- Nur aus geprüften Sicherungen oder Golden Images wiederherstellen.
- Keine ausführbaren Dateien, Skripte oder Makro-Dokumente ungeprüft aus der Benutzersicherung übernehmen.
- Unerwünschte Fernwartungstools, Persistenz und Hilfswerkzeuge entfernen.
- Rotierte Konten, Tokens, Schlüssel und Zertifikate dokumentieren.
- Eintrittsweg schließen: Mailfilter, Makro-Richtlinie, Anwendungskontrolle, Patch oder Browser-Härtung.
Exit-Kriterien
- Endpunkt neu aufgesetzt oder sauber verifiziert.
- Persistenz entfernt.
- Relevante Zugangsdatenmaßnahmen abgeschlossen oder terminiert.
- Eintrittsweg geschlossen.
Restore the ability to work in a controlled way
Detect recurrence early
- Provide a replacement device or a freshly built device.
- Monitor browser sessions, SSO sign-ins and privileged activity closely for 14 to 30 days, depending on severity.
- Brief the user specifically: password changes, suspicious follow-up requests and handling private accounts.
Exit criteria
- User able to work.
- Monitoring without new anomalies.
- Residual risks documented and accepted.
Arbeitsfähigkeit kontrolliert wiederherstellen
Wiederauftreten früh erkennen
- Ersatzgerät oder frisch aufgebautes Gerät bereitstellen.
- Browser-Sessions, SSO-Logins und privilegierte Tätigkeiten für 14 bis 30 Tage eng überwachen, je nach Schweregrad.
- Benutzer gezielt unterweisen: Passwortwechsel, verdächtige Folgeanfragen und Umgang mit privaten Konten.
Exit-Kriterien
- Benutzer arbeitsfähig.
- Monitoring ohne neue Auffälligkeiten.
- Restrisiken dokumentiert und akzeptiert.
- Analyze the entry path: mail, download, macro, script, remote access tool or browser exploit.
- Update detection rules, blocklists and hardening measures.
- Check whether training, application control (allowlisting), browser hardening or removing local admin rights would have prevented the incident.
- Hold the review within ten business days.
- Eintrittsweg analysieren: Mail, Download, Makro, Skript, Fernwartungstool oder Browser-Exploit.
- Erkennungsregeln, Blocklisten und Härtungsmaßnahmen aktualisieren.
- Prüfen, ob Schulung, Anwendungskontrolle (Allowlisting), Browser-Härtung oder der Entzug lokaler Adminrechte den Vorfall verhindert hätten.
- Review innerhalb von zehn Geschäftstagen durchführen.
Evidence to Preserve
- Alert data, screenshots, EDR exports, rule and telemetry data
- Process trees, hashes, network communication and relevant logs
- Forensic images or selected artifacts with hash values
- Sign-in and audit logs of affected accounts
- Timeline, decision log and the rotations performed
Communication Checklist
- Inform the user and line manager briefly, factually and with clear actions.
- Prepare the helpdesk for password and device replacement.
- Do not give the all-clear while credential risks have not been assessed.
- Involve legal and data protection if data may have been exfiltrated.
▸ Proof and Retention
- Store evidence in an access-controlled incident repository.
- Document hash values, export time, the person performing the export and the source.
- Set the retention period according to internal policy, regulation and possible legal proceedings.
▸ Template: notice to affected users
Malware was found on your device that can read stored passwords and sign-ins. We have already secured your work accounts. Please also change the passwords of private accounts that you used on this device or stored in the browser — only from another, secure device. Please stop using the affected device. You will receive your replacement device via [channel].
The affected person is an important source of information here, not the cause of the problem. Ask specifically and without blame: What was opened? Where did the file come from? Which sign-ins or unusual windows appeared afterwards? This often provides usable context faster than a long technical first search.
Zu sichernde Beweise
- Alarmdaten, Screenshots, EDR-Exports, Regel- und Telemetriedaten
- Prozessbäume, Hashes, Netzkommunikation und relevante Logs
- Forensische Images oder ausgewählte Artefakte mit Hashwerten
- Anmelde- und Audit-Logs betroffener Konten
- Timeline, Entscheidungsprotokoll und durchgeführte Rotationen
Kommunikations-Checkliste
- Benutzer und Führungskraft knapp, sachlich und handlungsorientiert informieren.
- Helpdesk auf Passwort- und Geräteaustausch vorbereiten.
- Keine Entwarnung kommunizieren, solange Credential-Risiken nicht bewertet sind.
- Bei möglichem Datenabfluss Legal und Datenschutz einbinden.
▸ Nachweis und Aufbewahrung
- Beweise in einem zugriffsgeschützten Incident-Repository speichern.
- Hashwerte, Exportzeitpunkt, ausführende Person und Quelle dokumentieren.
- Aufbewahrungsdauer nach interner Policy, Regulierung und möglicher Rechtsverfolgung festlegen.
▸ Vorlage: Information an betroffene Benutzer
Auf Ihrem Gerät wurde Schadsoftware gefunden, die gespeicherte Passwörter und Anmeldungen auslesen kann. Wir haben Ihre dienstlichen Zugänge bereits abgesichert. Bitte ändern Sie zusätzlich die Passwörter privater Konten, die Sie auf diesem Gerät genutzt oder im Browser gespeichert haben — ausschließlich von einem anderen, sicheren Gerät aus. Bitte nutzen Sie das betroffene Gerät nicht weiter. Ihr Ersatzgerät erhalten Sie über [Weg].
Die betroffene Person ist hier eine wichtige Informationsquelle, nicht die Ursache des Problems. Fragen Sie konkret und ohne Vorwurf: Was wurde geöffnet? Woher kam die Datei? Welche Anmeldungen oder ungewöhnlichen Fenster waren danach sichtbar? Das liefert oft schneller verwertbaren Kontext als eine lange technische Erstsuche.
Guidance, not legal advice (as of October 2026). Whether an obligation applies depends on the country, sector, size and role of the organization. Deadlines, reporting channels and contacts should be set in advance and confirmed with legal and data protection when an incident happens.
Reporting obligations for cybersecurity incidents
- Germany — NIS2 (§ 32 BSIG, since 6 December 2025): Particularly important and important entities report significant security incidents to the BSI: early warning within 24 hours, notification within 72 hours, final report within one month.
- Austria — NISG 2026 (since 1 October 2026): Essential and important entities report significant security incidents to the competent CSIRT: early warning within 24 hours, notification within 72 hours.
- Switzerland — Information Security Act (ISA, since 1 April 2025): Operators of critical infrastructure report cyberattacks to the Federal Office for Cybersecurity (NCSC/BACS) within 24 hours.
Data protection
- Germany and Austria — GDPR Art. 33/34: Report personal data breaches to the supervisory authority within 72 hours of becoming aware, unless the breach is unlikely to result in a risk to the individuals; if the risk is high, notify the individuals as well.
- Switzerland — FADP Art. 24: Report to the FDPIC as soon as possible if the breach is likely to result in a high risk for the individuals.
All deadlines run from awareness of the incident, not from the end of the technical investigation. An incomplete early warning within the deadline is better than a complete report after it.
For this scenario
- A single endpoint without spread is usually not a significant incident under NIS2 or the ISA. If servers or several systems are affected, or ransomware preparation is suspected, reassess significance.
- Infostealers and RATs can capture personal data: mailboxes, files, customer data, credentials. In that case the data protection reporting obligations above apply.
- Analyze browser history and private data on work devices only to the extent required; involve data protection and employee representatives according to internal agreements.
Orientierung, keine Rechtsberatung (Stand: Oktober 2026). Ob eine Pflicht greift, hängt von Land, Sektor, Größe und Rolle der Organisation ab. Fristen, Meldewege und Ansprechpartner sollten vorab festgelegt sein und im Ernstfall mit Recht und Datenschutz bestätigt werden.
Meldepflichten für Cybersicherheitsvorfälle
- Deutschland — NIS2 (§ 32 BSIG, seit 6. Dezember 2025): Besonders wichtige und wichtige Einrichtungen melden erhebliche Sicherheitsvorfälle an das BSI: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats.
- Österreich — NISG 2026 (seit 1. Oktober 2026): Wesentliche und wichtige Einrichtungen melden erhebliche Sicherheitsvorfälle an das zuständige CSIRT: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden.
- Schweiz — Informationssicherheitsgesetz (ISG, seit 1. April 2025): Betreiber kritischer Infrastrukturen melden Cyberangriffe binnen 24 Stunden an das Bundesamt für Cybersicherheit (BACS).
Datenschutz
- Deutschland und Österreich — DSGVO Art. 33/34: Verletzungen des Schutzes personenbezogener Daten binnen 72 Stunden ab Kenntnis an die Aufsichtsbehörde melden, sofern ein Risiko für die Betroffenen nicht unwahrscheinlich ist; bei hohem Risiko auch die Betroffenen benachrichtigen.
- Schweiz — DSG Art. 24: Meldung an den EDÖB so rasch als möglich, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die Betroffenen führt.
Alle Fristen laufen ab Kenntnis des Vorfalls, nicht erst ab Abschluss der technischen Untersuchung. Eine unvollständige Frühwarnung innerhalb der Frist ist besser als eine vollständige Meldung danach.
Für dieses Szenario
- Ein einzelner Endpunkt ohne Ausbreitung ist meist kein erheblicher Vorfall im Sinne von NIS2 oder ISG. Bei Befall von Servern, mehreren Systemen oder Verdacht auf Ransomware-Vorbereitung die Erheblichkeit neu bewerten.
- Infostealer und RATs können personenbezogene Daten abgreifen: Postfächer, Dateien, Kundendaten, Zugangsdaten. Dann gelten die Datenschutz-Meldepflichten oben.
- Browser-Verlauf und private Daten auf dienstlichen Geräten nur im erforderlichen Umfang auswerten; Datenschutz und Arbeitnehmervertretung nach den internen Vereinbarungen einbinden.
Preventive Controls
- EDR with isolation capability on all endpoints and servers
- No local admin rights for standard users
- Macros from the internet blocked, script execution restricted
- Application control or allowlisting, at least for servers and admin workstations
- Replace browser password storage with a managed password manager
- Block unwanted remote access tools by policy
- Use DNS filtering, proxy, conditional access and phishing-resistant MFA
References
- NIST SP 800-61 Rev. 3
- NIST SP 800-83 Rev. 1
- MITRE ATT&CK: T1204, T1555, T1539, T1219
- BSI IT-Grundschutz: DER.2.1
Disclaimer
This playbook is a practical community resource. It does not replace legal advice, forensic expertise or organization-specific incident response planning.
Präventive Kontrollen
- EDR auf allen Endpunkten und Servern mit Isolationsfunktion
- Keine lokalen Admin-Rechte für Standardbenutzer
- Makros aus dem Internet blockiert, Skript-Ausführung eingeschränkt
- Anwendungskontrolle beziehungsweise Allowlisting, mindestens für Server und Admin-Workstations
- Browser-Passwortspeicher durch verwalteten Passwortmanager ersetzen
- Unerwünschte Fernwartungstools per Richtlinie blockieren
- DNS-Filter, Proxy, Conditional Access und phishingsichere MFA einsetzen
Referenzen
- NIST SP 800-61 Rev. 3
- NIST SP 800-83 Rev. 1
- MITRE ATT&CK: T1204, T1555, T1539, T1219
- BSI IT-Grundschutz: DER.2.1
Disclaimer
Dieses Playbook ist eine praktische Community-Ressource. Es ersetzt keine Rechtsberatung, forensische Expertise oder organisationsspezifische Incident-Response-Planung.
Threat Sentinel IR Playbook Library · CC BY 4.0