# Incident Response Playbooks Incident Response Playbooks

Betriebsnahe Playbooks für Ransomware, Token Theft, Insider Threat, Data Breach, kompromittierte OAuth-Apps und Azure-Resource-Incidents. Operational playbooks for ransomware, token theft, insider threat, data breach, compromised OAuth apps, and Azure resource incidents.

📚 Playbook Index 📚 Playbook index

Welches Playbook zu welchem Signal passt. Which playbook fits which signal.

🧨 Ransomware 🧨 Ransomware

Detection, Containment, Recovery. Detection, containment, recovery.

🎟️ Token Theft / AiTM 🎟️ Token theft / AiTM

Tokens widerrufen und Phishing-resistente MFA etablieren. Revoke tokens and establish phishing-resistant MFA.

🧑‍⚖️ Insider Threat 🧑‍⚖️ Insider threat

Legal/HR-Koordination und Beweissicherung. Legal/HR coordination and evidence preservation.

📢 Data Breach 📢 Data breach

72h-Meldepflicht und Dokumentation. 72-hour notification and documentation.

🧩 OAuth App / Supply Chain 🧩 OAuth app / supply chain

Compromised app response. Compromised app response.

☁️ Azure Subscription ☁️ Azure subscription

Crypto mining und API-Missbrauch eindämmen. Contain crypto mining and API abuse.

✅ Universal Checklist ✅ Universal checklist

30 Punkte für jeden Incident. 30 steps for any incident.

## Playbook Index Playbook index

Incident Incident | Primäre Signale Primary signals | Erste 30 Minuten First 30 minutes
--- | --- | ---
Ransomware Ransomware | Mass file deletions, device encryption behavior, EDR alerts Mass file deletions, device encryption behavior, EDR alerts | Geräte isolieren, kompromittierte Konten sperren, Beweise sichern Isolate devices, block compromised accounts, preserve evidence
Token Theft / AiTM Token theft / AiTM | Risky sign-ins, impossible travel, suspicious URL clicks Risky sign-ins, impossible travel, suspicious URL clicks | Sessions widerrufen, Re-Auth erzwingen, Nutzer informieren Revoke sessions, force reauthentication, inform the user
Insider Threat Insider threat | DLP alerts, mass downloads, resignation context DLP alerts, mass downloads, resignation context | HR/Legal aktivieren, Scope sichern, Monitoring erhöhen Engage HR and legal, secure scope, increase monitoring
Data Breach Data breach | Exfiltration, exposed records, regulatorisches Risiko Exfiltration, exposed records, regulatory risk | Datenumfang quantifizieren, Containment, Meldeentscheidung vorbereiten Quantify data scope, contain, prepare notification decision
OAuth Supply Chain OAuth supply chain | Suspicious consent grants, Graph exports Suspicious consent grants, Graph exports | App deaktivieren, Consents entziehen, Blast Radius bestimmen Disable app, revoke consents, determine blast radius
Azure Resource Compromise Azure resource compromise | Unusual resource creation, crypto mining, key abuse Unusual resource creation, crypto mining, key abuse | Keys rotieren, Rollen entziehen, Subscription scopen Rotate keys, revoke roles, scope the subscription

## Ransomware Response Ransomware response

Erkennung Detection | Indikatoren Indicators | Sofortmaßnahme Immediate action
--- | --- | ---
Endpoint Alerts Endpoint alerts | Ransomware behavior, suspicious encryption, shadow copy deletion Ransomware behavior, suspicious encryption, shadow copy deletion | Betroffene Geräte isolieren Isolate affected devices
Identity Signals Identity signals | Laterale Bewegung, privilegierte Logons, Kerberoasting Lateral movement, privileged logons, Kerberoasting | Kompromittierte Konten sperren Disable compromised accounts
Data Signals Data signals | Mass delete, sync spikes, exfiltration before encryption Mass delete, sync spikes, exfiltration before encryption | Datenabfluss separat bewerten Evaluate exfiltration separately

Isolieren Isolate

Isolieren Sie kompromittierte Endpunkte sofort. Trennen Sie VPN, WLAN und Remote-Zugriff, aber erhalten Sie Beweisdaten. Immediately isolate compromised endpoints. Cut VPN, Wi-Fi, and remote access while preserving evidence.

Privilegierte Konten schützen Protect privileged accounts

Sperren Sie bekannte kompromittierte Konten und rotieren Sie exponierte Admin-Credentials. Block known compromised accounts and rotate exposed admin credentials.

Infektionsvektor bestimmen Determine infection vector

Prüfen Sie E-Mail, RDP, VPN, Browser-Downloads, Initial Access Broker oder Softwareverteilung. Review email, RDP, VPN, browser downloads, initial access brokers, or software distribution.

Lateral Movement scopen Scope lateral movement

Untersuchen Sie Identitäten, privilegierte Sessions, SMB-, PsExec- oder Remote-Tool-Nutzung. Investigate identities, privileged sessions, SMB, PsExec, or remote tool usage.

Recovery-Modell entscheiden Decide recovery model

Treffen Sie eine belastbare Entscheidung zwischen Clean Rebuild und Restore aus validierten Backups. Make a defensible decision between clean rebuild and restore from validated backups.

Post-Incident-Härtung Post-incident hardening

Schließen Sie Lücken bei MFA, CA, Segmentierung, Backup und Device-Hardening. Close gaps in MFA, conditional access, segmentation, backup, and device hardening.

Recovery-Pfad Recovery path | Wann bevorzugt When preferred | Kontrollen Controls
--- | --- | ---
Clean Rebuild Clean rebuild | Wenn Persistenz oder Integrität nicht sicher ausgeschlossen werden kann When persistence or integrity cannot be ruled out | Golden Image, neue Secrets, härtere Baseline Golden image, new secrets, stronger baseline
Restore from Backup Restore from backup | Wenn Backup verifiziert, unverändert und zeitnah ist When backup is verified, unmodified, and recent | Offline-Kopie, Malware-Scan, Access Review vor Freigabe Offline copy, malware scan, access review before release

## Token Theft / AiTM Phishing Token theft / AiTM phishing

Detektion Detection | Frage Question | Aktion Action
--- | --- | ---
Sign-in Logs Sign-in logs | Gab es nach einem Phishing-Klick einen erfolgreichen Login von neuem Gerät oder Ort? Was there a successful login from a new device or location after a phishing click? | Sessions widerrufen und Vergleich mit URL-Klick herstellen Revoke sessions and correlate with URL click activity
Browser Artefakte Browser artifacts | Wurde ein AiTM-Proxy oder adversary-in-the-middle-Flow genutzt? Was an adversary-in-the-middle flow used? | Phishing-Domäne, User-Agent und Redirect-Kette sichern Capture phishing domain, user agent, and redirect chain
PRT / Device Trust PRT / Device trust | Ist Device Trust oder PRT betroffen? Is device trust or the PRT affected? | Gerät scopen, Re-Join und Defender-Analyse einplanen Scope the device, consider rejoin, and run Defender analysis

PowerShell PowerShell

    $UserUpn = "user@contoso.com"
    Import-Module Microsoft.Graph.Users
    Import-Module Microsoft.Graph.Identity.SignIns
    Connect-MgGraph -Scopes "User.ReadWrite.All","AuditLog.Read.All"
    Revoke-MgUserSignInSession -UserId $UserUpn
    # Update-MgUser -UserId $UserUpn -AccountEnabled:$false
    Get-MgAuditLogSignIn -Filter "userPrincipalName eq '$UserUpn'" -All |
        Select CreatedDateTime,IPAddress,AppDisplayName,ClientAppUsed,ConditionalAccessStatus,Status,DeviceDetail
    Get-MgUserAuthenticationMethod -UserId $UserUpn
    "1. Force password change"
    "2. Re-register MFA"
    "3. Move user to phishing-resistant MFA"
    "4. Review device compliance and browser session hygiene"
    "5. Validate conditional access for token binding and sign-in frequency"

- Erzwingen Sie eine vollständige Reauthentifizierung und prüfen Sie, ob Sign-in-Frequency oder Continuous Access Evaluation den Missbrauch begrenzen. Force full reauthentication and evaluate whether sign-in frequency or continuous access evaluation can further limit abuse.
- Migrieren Sie betroffene Benutzer auf FIDO2, Passkeys oder Zertifikatsbasierte MFA. Move affected users to FIDO2, passkeys, or certificate-based MFA.
- Erstellen Sie Conditional-Access-Regeln, die riskante Browserpfade, unmanaged devices und OAuth-Risiken stärker begrenzen. Create conditional access rules that more strongly limit risky browser paths, unmanaged devices, and OAuth risk.

## Insider Threat Response Insider threat response

Bereich Area | Leitfrage Guiding question | Hinweis Note
--- | --- | ---
Detection Detection | Gab es DLP-Alerts, Resignation-Kontext, ungewöhnliche Downloads oder Freigaben? Were there DLP alerts, resignation context, or unusual downloads or sharing? | Unterscheiden Sie Fehlverhalten, Fehler und legitime Ausnahmefälle Differentiate misconduct, mistakes, and legitimate exceptions
Legal / HR Legal / HR | Welche Kommunikation und welche Maßnahmen sind zulässig? Which communications and actions are allowed? | Frühzeitig juristisch und personalrechtlich abstimmen Coordinate early with legal and HR
Technische Untersuchung Technical investigation | Welche Daten, Geräte, Mails und Speicherorte sind betroffen? Which data, devices, emails, and locations are affected? | Forensische Nachvollziehbarkeit priorisieren Prioritize forensic defensibility
Evidence Preservation Evidence preservation | Wie werden Logs, Gerätedaten und Screenshots gesichert? How are logs, device data, and screenshots preserved? | Chain of custody dokumentieren Document chain of custody

- Begrenzen Sie vorläufige Zugriffe nur so stark wie nötig, bis HR und Legal die Kommunikationsstrategie freigegeben haben. Limit access only as much as necessary until HR and legal approve the communication strategy.
- Sichern Sie Audit-Logs, DLP-Ereignisse, Sharing-Änderungen, USB-Indikatoren und Device-Telemetrie in einem zentralen Beweissatz. Preserve audit logs, DLP events, sharing changes, USB indicators, and device telemetry as a centralized evidence package.
- Prüfen Sie, ob der Benutzer kurz vor Austritt Berechtigungen erweitert, private Cloud-Speicher genutzt oder sensible Daten per E-Mail exportiert hat. Check whether the user expanded privileges, used personal cloud storage, or exported sensitive data by email shortly before departure.

## Data Breach Response Data breach response

Schritt Step | Inhalt Content | Nachweis Evidence
--- | --- | ---
Discovery Discovery | Was ist passiert, wann wurde es erkannt, welche Systeme sind betroffen? What happened, when was it discovered, and which systems are affected? | Incident-Zeitstrahl Incident timeline
Assessment Assessment | Welche Daten, wie viele Betroffene, welche Länder und welche Schutzbedarfe? What data, how many affected persons, which countries, and what sensitivity? | Datenklassifizierung, Volumen, DLP-Nachweis Data classification, volume, DLP evidence
Containment Containment | Wie wird weiterer Zugriff verhindert? How is further access prevented? | Access revoke, key rotation, purge, isolation Access revoke, key rotation, purge, isolation
Notification Notification | Besteht Meldepflicht nach DSGVO Art. 33 oder Vertragspflichten? Is notification required under GDPR Article 33 or contractual terms? | Rechtliche Bewertung, DPA-Entwurf Legal assessment, DPA draft
Documentation Documentation | Wie werden Entscheidungen und Maßnahmen revisionssicher festgehalten? How will decisions and actions be documented defensibly? | Case Record, Freigaben, Abschlussbericht Case record, approvals, closure report

72-Stunden-Fenster 72-hour window

Wenn ein meldepflichtiger Verstoß wahrscheinlich ist, muss die Bewertung so organisiert sein, dass eine fundierte Entscheidung und gegebenenfalls eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden möglich ist. If a reportable breach is likely, organize the assessment so that an informed decision and, if necessary, a notification to the supervisory authority can be completed within 72 hours.

## Compromised OAuth App / Supply Chain Compromised OAuth app / supply chain

App identifizieren Identify the app

Ermitteln Sie App-ID, Publisher, Service Principal, Owners, Consent-Zeitpunkte und betroffene Benutzer. Identify app ID, publisher, service principal, owners, consent timestamps, and affected users.

Datenzugriff bewerten Assess data access

Bestimmen Sie, welche Graph-Berechtigungen vorhanden waren und welche Aktivitäten tatsächlich stattgefunden haben. Determine which Graph permissions existed and what activity actually occurred.

Containment Containment

Deaktivieren Sie den Service Principal, widerrufen Sie Secrets und entfernen Sie Consents. Disable the service principal, revoke secrets, and remove consents.

Audit aller Einwilligungen Audit all consents

Identifizieren Sie alle Benutzer und Administratoren, die derselben App zugestimmt haben. Identify all users and administrators who granted consent to the same app.

Policy-Härtung Policy hardening

Überarbeiten Sie Consent Policies, Publisher-Vertrauen und Approval-Flows. Rework consent policies, publisher trust, and approval workflows.

## Compromised Azure Subscription Compromised Azure subscription

Signal Signal | Beispiele Examples | Erste Aktion First action
--- | --- | ---
Compute Abuse Compute abuse | Neue VMs, Kubernetes-Knoten oder GPU-Instanzen für Mining New VMs, Kubernetes nodes, or GPU instances for mining | Verdächtige Ressourcen stoppen oder isolieren Stop or isolate suspicious resources
Access Key Abuse Access key abuse | Speicher- oder Service-Keys außerhalb des Change-Fensters genutzt Storage or service keys used outside change windows | Keys rotieren und Secrets neu verteilen Rotate keys and redistribute secrets
Role Assignment Abuse Role assignment abuse | Neue Contributor-/Owner-Zuweisungen New contributor or owner assignments | Nicht autorisierte Zuweisungen entfernen Remove unauthorized assignments
API Anomalien API anomalies | Ungewöhnliche ARM-, Graph- oder Management-Plane-Calls Unusual ARM, Graph, or management plane calls | Activity Log und Azure Resource Graph scopen Scope through activity logs and Azure Resource Graph

PowerShell PowerShell

    Connect-AzAccount
    $SubscriptionId = "00000000-0000-0000-0000-000000000000"
    Set-AzContext -SubscriptionId $SubscriptionId
    Get-AzActivityLog -StartTime (Get-Date).AddDays(-3) |
        Select EventTimestamp,OperationName,Caller,ResourceGroupName,ResourceId,Status
    Get-AzRoleAssignment |
        Select ObjectType,DisplayName,RoleDefinitionName,Scope
    # New-AzStorageAccountKey -ResourceGroupName "rg-prod" -Name "stprod01" -KeyName key1

## Universal Incident Checklist Universal incident checklist

Checkliste Checklist | Statusziel Target state
--- | ---
Incident owner benannt Incident owner benannt | Erledigt oder bewusst bewertet Completed or consciously assessed
Schweregrad bestätigt Schweregrad bestätigt | Erledigt oder bewusst bewertet Completed or consciously assessed
War-Room eröffnet War-Room eröffnet | Erledigt oder bewusst bewertet Completed or consciously assessed
Zeitpunkt der ersten Erkennung dokumentiert Zeitpunkt der ersten Erkennung dokumentiert | Erledigt oder bewusst bewertet Completed or consciously assessed
Primäre Indikatoren gesammelt Primäre Indikatoren gesammelt | Erledigt oder bewusst bewertet Completed or consciously assessed
Betroffene Konten identifiziert Betroffene Konten identifiziert | Erledigt oder bewusst bewertet Completed or consciously assessed
Betroffene Geräte identifiziert Betroffene Geräte identifiziert | Erledigt oder bewusst bewertet Completed or consciously assessed
Betroffene Apps identifiziert Betroffene Apps identifiziert | Erledigt oder bewusst bewertet Completed or consciously assessed
Betroffene Daten identifiziert Betroffene Daten identifiziert | Erledigt oder bewusst bewertet Completed or consciously assessed
Containment-Optionen bewertet Containment-Optionen bewertet | Erledigt oder bewusst bewertet Completed or consciously assessed
Genehmigungen eingeholt Genehmigungen eingeholt | Erledigt oder bewusst bewertet Completed or consciously assessed
Reversible Maßnahmen bevorzugt Reversible Maßnahmen bevorzugt | Erledigt oder bewusst bewertet Completed or consciously assessed
Break-Glass-Ausnahmen geprüft Break-Glass-Ausnahmen geprüft | Erledigt oder bewusst bewertet Completed or consciously assessed
Sessions widerrufen falls nötig Sessions widerrufen falls nötig | Erledigt oder bewusst bewertet Completed or consciously assessed
Passwörter/Secrets rotiert falls nötig Passwörter/Secrets rotiert falls nötig | Erledigt oder bewusst bewertet Completed or consciously assessed
Verdächtige Regeln oder Weiterleitungen entfernt Verdächtige Regeln oder Weiterleitungen entfernt | Erledigt oder bewusst bewertet Completed or consciously assessed
Erste Kommunikation an Stakeholder gesendet Erste Kommunikation an Stakeholder gesendet | Erledigt oder bewusst bewertet Completed or consciously assessed
Legal/HR eingebunden falls relevant Legal/HR eingebunden falls relevant | Erledigt oder bewusst bewertet Completed or consciously assessed
Beweissicherung gestartet Beweissicherung gestartet | Erledigt oder bewusst bewertet Completed or consciously assessed
KQL- oder Log-Scoping abgeschlossen KQL- oder Log-Scoping abgeschlossen | Erledigt oder bewusst bewertet Completed or consciously assessed
Root-Cause-Hypothese dokumentiert Root-Cause-Hypothese dokumentiert | Erledigt oder bewusst bewertet Completed or consciously assessed
Blast Radius abgeschätzt Blast Radius abgeschätzt | Erledigt oder bewusst bewertet Completed or consciously assessed
Recovery-Pfad definiert Recovery-Pfad definiert | Erledigt oder bewusst bewertet Completed or consciously assessed
Monitoring verstärkt Monitoring verstärkt | Erledigt oder bewusst bewertet Completed or consciously assessed
Detection Gaps identifiziert Detection Gaps identifiziert | Erledigt oder bewusst bewertet Completed or consciously assessed
Hardening-Maßnahmen abgeleitet Hardening-Maßnahmen abgeleitet | Erledigt oder bewusst bewertet Completed or consciously assessed
Lessons Learned Meeting geplant Lessons Learned Meeting geplant | Erledigt oder bewusst bewertet Completed or consciously assessed
Abschlusskriterien definiert Abschlusskriterien definiert | Erledigt oder bewusst bewertet Completed or consciously assessed
Abschlussbericht erstellt Abschlussbericht erstellt | Erledigt oder bewusst bewertet Completed or consciously assessed
Nachverfolgungstermine festgelegt Nachverfolgungstermine festgelegt | Erledigt oder bewusst bewertet Completed or consciously assessed