Ransomware Attack
Ransomware-Angriff
Structured response for suspected or confirmed ransomware incidents — from early detection and containment through identity and backup protection, evidence preservation, trusted recovery and post-incident review.
Strukturiertes Reaktions-Playbook für vermutete oder bestätigte Ransomware-Vorfälle — von früher Erkennung und Eindämmung über den Schutz von Identitäten und Backups bis hin zu Beweissicherung, vertrauenswürdiger Wiederherstellung und Nachbereitung.
Detect
Contain
Investigate
Eradicate
Recover
Review
Erkennen
Eindämmen
Untersuchen
Beseitigen
Wiederanlauf
Nachbereitung
Use this playbook when one or more of the following are observed:
- Files are encrypted, renamed or made inaccessible unexpectedly.
- Ransom notes found on endpoints, servers, VMs or file shares.
- Security tools detect ransomware behavior, mass file modification, shadow copy deletion, backup tampering or security control suppression.
- Signs of data theft, extortion, leak-site threats or unauthorized large-scale data transfer.
- Threat actor activity indicates ransomware staging, even if encryption has not yet started.
Also applies to precursor events: domain-wide malicious tool rollout, mass credential abuse, widespread security tooling tampering or simultaneous privilege escalation.
Escalate immediately if domain controllers, backup systems, hypervisors, identity providers, EDR / SIEM, or cloud tenant administration are affected or suspected compromised.
Verwenden Sie dieses Playbook, wenn einer oder mehrere der folgenden Indikatoren beobachtet werden:
- Dateien werden unerwartet verschlüsselt, umbenannt oder unzugänglich gemacht.
- Lösegeldforderungen werden auf Endpunkten, Servern, virtuellen Maschinen oder Dateifreigaben gefunden.
- Sicherheitstools erkennen Ransomware-Verhalten, massenhafte Dateimodifikationen, das Löschen von Shadow Copies, Backup-Manipulationen oder die Unterdrückung von Sicherheitskontrollen.
- Es gibt Anzeichen für Datendiebstahl, Erpressung, Leak-Site-Drohungen oder unautorisierte großflächige Datenübertragungen.
- Die Aktivität eines Bedrohungsakteurs deutet auf eine Ransomware-Vorphase hin, auch wenn die Verschlüsselung noch nicht begonnen hat.
Dieses Playbook gilt auch für Vorläuferereignisse: domänenweites Ausrollen bösartiger Tools, massenhafter Missbrauch von Zugangsdaten, weitreichende Manipulation von Security-Tools oder gleichzeitige Privilegieneskalation auf mehreren Systemen.
Sofort eskalieren wenn Domänencontroller, Backup-Systeme, Hypervisoren, Identitätsprovider, EDR / SIEM oder Cloud-Tenant-Administration betroffen oder verdächtig kompromittiert sind.
▶ Act immediately
- Activate the incident response lead or incident commander.
- Start an incident timeline and decision log.
- Confirm whether encryption or attacker activity is still active.
- Isolate actively affected systems — do not power off unless encryption is spreading and no safer isolation method exists.
- Preserve immediately available evidence: alerts, screenshots, ransom notes, timestamps, hostnames, usernames.
- Protect backups immediately — restrict admin access, stop deletion paths, verify immutable or offline copies.
- Review suspicious privileged accounts: backup admins, domain admins, tenant admins, remote access administrators.
- Inform management, legal / privacy and crisis communication contacts per policy.
Core response principles: Preserve evidence before destructive remediation. Contain first, rebuild later. Treat identity compromise as likely until disproven. Maintain a single incident timeline and decision log. Do not let business urgency override recovery trust decisions.
▶ Sofort handeln
- Den Incident-Response-Lead oder Incident Commander aktivieren.
- Eine Incident-Timeline und ein Entscheidungsprotokoll starten.
- Bestätigen, ob Verschlüsselung oder Angreiferaktivität noch aktiv ist.
- Aktiv betroffene Systeme nach Möglichkeit vom Netzwerk isolieren — Systeme nicht ausschalten, es sei denn, die Verschlüsselung breitet sich aktiv aus und es gibt keine sicherere Isolationsmöglichkeit.
- Sofort verfügbare Beweise sichern: Alerts, Screenshots, Lösegeldforderungen, Zeitstempel, Hostnamen, Benutzernamen und Systemkontext.
- Backups sofort schützen — administrativen Zugriff einschränken, Lösch- und Manipulationspfade stoppen, unveränderbare oder Offline-Kopien prüfen.
- Verdächtige privilegierte Konten überprüfen: Backup-Admins, Domänen-Admins, Tenant-Admins und Administratoren für Remote-Zugänge.
- Management, Legal/Privacy-Stakeholder und Krisenkommunikationskontakte gemäß Vorgabe informieren.
Zentrale Reaktionsprinzipien: Beweise vor destruktiver Bereinigung sichern. Erst eindämmen, dann neu aufbauen. Von einer möglichen Identitätskompromittierung ausgehen, bis das Gegenteil bewiesen ist. Eine einzige Incident-Timeline und ein zentrales Entscheidungsprotokoll führen. Geschäftlicher Druck darf keine Recovery-Entscheidungen ohne Vertrauensbasis erzwingen.
Rule 1 — Isolate or monitor?
■ Isolate immediately if
- Encryption is active.
- System is spreading to shares or other hosts.
- Privileged system shows suspicious remote admin or tooling tampering.
- Asset is business-critical and compromise confidence is high.
▲ Monitor briefly only if
- No sign of ongoing destructive activity.
- Evidence from high-value system would be significantly harmed by immediate isolation.
- IR commander and forensics lead explicitly agree.
Rule 2 — Shut down or keep powered on?
■ Keep powered on if
- Memory evidence is needed.
- EDR isolation is available.
- Encryption is no longer actively progressing.
- Forensic context would be lost by shutdown.
■ Shut down only if
- Network isolation is impossible.
- Encryption is actively spreading and causing major harm.
- Host is destroying backup access or threatening safety-critical operations.
Rule 3 — Clean or rebuild? Prefer rebuild if administrative access was obtained, security tooling was disabled, persistence cannot be excluded, or the system is internet-facing, privileged or business-critical. Cleaning is only acceptable for low-value systems with high-confidence visibility and limited scope.
Rule 4 — Recovery allowed? Start only when: access vector is closed, high-risk credentials are reset, backup source is trusted, and monitoring is active on the restored environment.
Regel 1 — Isolieren oder beobachten?
■ Sofort isolieren, wenn
- Die Verschlüsselung aktiv ist.
- Ein System bösartige Aktivität auf Freigaben oder andere Hosts verbreitet.
- Ein privilegiertes System verdächtige Remote-Administration oder Manipulation von Security-Tools zeigt.
- Das Asset geschäftskritisch ist und das Vertrauen in eine Kompromittierung hoch ist.
▲ Kurz beobachten, nur wenn
- Keine Anzeichen für aktuell destruktive Aktivität bestehen.
- Sofortige Isolation die Beweissicherung eines hochkritischen Systems erheblich beeinträchtigen würde.
- Incident Commander und Forensik-Leitung dem ausdrücklich zustimmen.
Regel 2 — Ausschalten oder eingeschaltet lassen?
■ Eingeschaltet lassen, wenn
- Speicherforensik benötigt wird.
- Eine EDR-Isolation verfügbar ist.
- Die Verschlüsselung nicht mehr aktiv fortschreitet.
- Forensischer Kontext durch sofortiges Ausschalten verloren ginge.
■ Nur ausschalten, wenn
- Netzwerkisolation nicht möglich ist.
- Verschlüsselung sich aktiv ausbreitet und erheblichen Schaden verursacht.
- Der Host Backup-Zugriffe zerstört oder sicherheitskritische Betriebsabläufe gefährdet.
Regel 3 — Bereinigen oder neu aufbauen? Neuaufbau bevorzugen, wenn administrative Zugriffe erlangt wurden, Security-Tools deaktiviert wurden, Persistenz nicht ausgeschlossen werden kann oder das System internetexponiert, privilegiert oder geschäftskritisch ist. Bereinigung kann nur bei Low-Value-Systemen mit hoher Transparenz und klar begrenztem Scope vertretbar sein.
Regel 4 — Recovery jetzt erlaubt? Nur beginnen, wenn: Eintrittsvektor geschlossen ist, hochriskante Zugangsdaten zurückgesetzt wurden, die Backup-Quelle vertrauenswürdig ist und Monitoring in der wiederhergestellten Umgebung aktiv ist.
Confirm incident type
Assess active spread
Initial scope
Preserve first evidence
- Collect initial reports from users, helpdesk, EDR, SIEM, firewall, email gateway, remote access and backup tools.
- Identify patient-zero candidates or first-known affected assets.
- Record the first known timestamp and discovery source.
- Search for ransom notes, encrypted file extensions, suspicious scheduled tasks, security tool tampering and abnormal processes.
- Determine whether encryption is local, file-share based, server-side or hypervisor / storage related.
- Review identity systems for suspicious sign-ins, privilege escalation, newly created admin accounts and MFA changes.
- Check for data staging, large outbound transfers or extortion-related exfiltration indicators.
- Create and maintain an initial incident timeline.
Exit criteria
- Incident type is sufficiently validated.
- Active spread risk is assessed.
- Initial affected systems / accounts identified.
- Backup and identity protection measures have started.
Typ bestätigen
Ausbreitung prüfen
Erster Scope
Beweise sichern
- Erste Meldungen von Benutzern, Helpdesk, EDR, SIEM, Firewall, E-Mail-Gateway, Remote-Access-Systemen und Backup-Tools sammeln.
- Patient-Zero-Kandidaten oder zuerst betroffene Assets identifizieren.
- Den ersten bekannten Zeitstempel und die Entdeckungsquelle erfassen.
- Nach Lösegeldforderungen, verschlüsselten Dateiendungen, verdächtigen geplanten Aufgaben, Manipulation von Security-Tools und anomalen Prozessen suchen.
- Bestimmen, ob die Verschlüsselung lokal, über Dateifreigaben, serverseitig oder auf Hypervisor-/Storage-Ebene stattfindet.
- Identitätssysteme auf verdächtige Logins, Privilegieneskalation, neu angelegte Admin-Konten und MFA-Änderungen prüfen.
- Auf Anzeichen für Datenstaging, große ausgehende Transfers oder exfiltrationsbezogene Erpressung prüfen.
- Eine erste Incident-Timeline erstellen und pflegen.
Exit-Kriterien
- Der Incident-Typ ist ausreichend validiert.
- Das Risiko einer aktiven Ausbreitung ist eingeschätzt.
- Erste betroffene Systeme und Konten sind identifiziert.
- Schutzmaßnahmen für Backup und Identität wurden gestartet.
Stop spread
Protect crown-jewel systems
Preserve recovery options
- Isolate affected endpoints and servers from the network.
- Restrict lateral movement paths: SMB, RDP, WinRM, WMI, PsExec, SSH, remote support tooling.
- Disable compromised or suspicious accounts, beginning with privileged identities.
- Revoke suspicious sessions and tokens.
- Temporarily restrict VPN and remote administration access if the attack path is not yet understood.
- Protect backup infrastructure from deletion, encryption, retention changes or replication tampering.
- Suspend synchronization to cloud storage if encrypted or malicious data is being replicated.
- Preserve forensic images or memory captures for selected high-value systems.
Do not
- Do not immediately wipe all affected systems.
- Do not restore systems into a still-compromised environment.
- Do not delete ransom notes, scripts, tools or artifacts before collection.
- Do not assume the incident is limited to visibly encrypted systems.
- Do not reset all credentials at once without a controlled sequence.
Exit criteria
- Active spread is reduced or paused.
- High-risk assets are shielded.
- Backup and identity controls are under active review.
Ausbreitung stoppen
Kronjuwelen schützen
Recovery sichern
- Betroffene Endpunkte und Server vom Netzwerk isolieren.
- Lateral-Movement-Pfade einschränken: SMB, RDP, WinRM, WMI, PSExec, SSH und Remote-Support-Tools.
- Kompromittierte oder verdächtige Konten deaktivieren, beginnend mit privilegierten Identitäten.
- Verdächtige Sessions und Tokens widerrufen.
- VPN- und Remote-Administrationszugänge vorübergehend einschränken, wenn der Angriffsweg noch nicht verstanden ist.
- Backup-Infrastruktur vor Löschung, Verschlüsselung, Retention-Änderung oder Manipulation der Replikation schützen.
- Synchronisation zu Cloud-Speichern aussetzen, wenn verschlüsselte oder bösartige Daten repliziert werden.
- Forensische Images oder Memory Captures für ausgewählte High-Value-Systeme sichern.
Nicht tun
- Nicht sofort alle betroffenen Systeme löschen oder neu aufsetzen.
- Systeme nicht in eine weiterhin kompromittierte Umgebung zurückspielen.
- Lösegeldforderungen, Skripte, Tools oder Artefakte nicht vor der Sicherung löschen.
- Nicht annehmen, dass der Incident auf sichtbar verschlüsselte Systeme begrenzt ist.
- Nicht alle Zugangsdaten gleichzeitig ohne kontrollierte Reihenfolge zurücksetzen.
Exit-Kriterien
- Die aktive Ausbreitung ist reduziert oder gestoppt.
- High-Risk-Assets sind abgeschirmt.
- Backup- und Identity-Kontrollen werden aktiv überprüft.
Initial access
Attacker path
Persistence
Exfiltration
Recovery boundaries
- Analyze authentication logs for suspicious sign-ins, impossible travel, unusual source IPs, token abuse and abnormal admin activity.
- Review privileged account use, service account activity and group membership changes.
- Review remote access: VPN, RDP gateways, exposed services, remote monitoring tools and jump hosts.
- Check scheduled tasks, services, startup folders, GPO changes, WMI event subscriptions and remote execution artifacts.
- Analyze outbound traffic for large transfers, archive staging, cloud sync misuse or unusual destinations.
- Determine whether backups predate the compromise and whether management planes were touched.
- Build the preliminary attack timeline: access → privilege escalation → discovery → lateral movement → exfiltration → encryption.
Exit criteria
- A plausible access path exists.
- Trust boundaries crossed by the attacker are understood well enough to act.
- Priority compromised systems and accounts identified.
- Recovery candidates can be separated from non-trusted assets.
Eintrittsvektor
Angreiferpfad
Persistenz
Exfiltration
Recovery-Grenzen
- Authentifizierungslogs auf verdächtige Logins, Impossible Travel, ungewöhnliche Quell-IPs, Token-Missbrauch und anomale Admin-Aktivitäten analysieren.
- Nutzung privilegierter Konten, Service-Accounts und Gruppenmitgliedschaftsänderungen prüfen.
- Remote-Access-Systeme überprüfen: VPN, RDP-Gateways, exponierte Services, Remote-Monitoring-Tools und Jump Hosts.
- Geplante Aufgaben, Services, Startup-Ordner, GPO-Änderungen, WMI-Event-Subscriptions und Artefakte für Remote-Ausführung prüfen.
- Ausgehenden Traffic auf große Transfers, Archiv-Staging, Missbrauch von Cloud-Synchronisierung oder ungewöhnliche Ziele analysieren.
- Prüfen, ob Backups vor der Kompromittierung erstellt wurden und ob Management-Ebenen betroffen waren.
- Vorläufige Angriffstimeline erstellen: Zugriff → Privilegieneskalation → Discovery → Lateral Movement → Exfiltration → Verschlüsselung.
Exit-Kriterien
- Ein plausibler Zugriffspfad liegt vor.
- Die vom Angreifer überschrittenen Trust Boundaries sind hinreichend verstanden.
- Priorisierte kompromittierte Systeme und Konten sind identifiziert.
- Recovery-Kandidaten können von nicht vertrauenswürdigen Assets getrennt werden.
Remove attacker access
Eliminate persistence
Close entry vector
- Remove malware, backdoors and persistence mechanisms where appropriate.
- Rebuild compromised systems where trust cannot be restored.
- Patch exploited vulnerabilities and close exposed services.
- Rotate credentials in correct order: privileged accounts → backup / security admins → service accounts → broader user scope.
- Reset Kerberos-related secrets if domain compromise is suspected.
- Remove unauthorized accounts, groups, mailbox rules, scheduled tasks, scripts and remote access methods.
- Revoke suspicious sessions, tokens, OAuth grants and cloud persistence methods.
- Re-enable or strengthen MFA where bypassed or weakened.
- Validate EDR, logging, identity monitoring and backup protections before recovery.
Exit criteria
- Access vector closure confirmed or compensating controls live.
- High-risk identities remediated.
- Persistence removed or systems rebuilt.
- Security monitoring functioning in the recovery path.
Zugang entfernen
Persistenz beseitigen
Eintrittsvektor schließen
- Malware, Backdoors und Persistenzmechanismen dort entfernen, wo dies sinnvoll und belastbar ist.
- Kompromittierte Systeme neu aufbauen, wenn Vertrauen nicht wiederhergestellt werden kann.
- Ausgenutzte Schwachstellen beheben und exponierte Services schließen.
- Zugangsdaten in der richtigen Reihenfolge rotieren: privilegierte Konten → Backup-/Security-Admins → Service-Accounts → breiterer Benutzerscope.
- Kerberos-bezogene Secrets zurücksetzen, wenn eine Domänenkompromittierung vermutet wird.
- Unautorisierte Konten, Gruppen, Mailbox-Regeln, geplante Aufgaben, Skripte und Remote-Zugriffsmethoden entfernen.
- Verdächtige Sessions, Tokens, OAuth-Freigaben und Persistenzmethoden in Cloud-Umgebungen widerrufen.
- MFA wieder aktivieren oder stärken, wenn sie umgangen oder geschwächt wurde.
- EDR, Logging, Identity-Monitoring und Backup-Schutz vor der Recovery validieren.
Exit-Kriterien
- Eintrittsvektor geschlossen oder kompensierende Kontrollen aktiv.
- High-Risk-Identitäten remediated.
- Persistenzmechanismen entfernt oder Systeme neu aufgebaut.
- Security-Monitoring im Recovery-Pfad funktionsfähig.
Restore safely
Prevent reinfection
Validate integrity
Monitor aggressively
- Define recovery order by business criticality and dependency mapping.
- Restore from clean, verified backups or trusted golden images.
- Scan and validate restored systems before reconnecting.
- Bring systems online in controlled segments first.
- Validate application functionality, business data integrity and authentication behavior.
- Monitor authentication, network traffic, file activity and endpoint behavior during recovery.
- Keep enhanced monitoring active for at least 14–30 days depending on scope and confidence.
Suggested recovery priority:
1Trusted admin workstations and identity foundations
2DNS, DHCP, NTP and core network / security services
3Backup and recovery orchestration
4Logging, EDR and security visibility
5Core file, database and application services
6Business-critical applications and integrations
7End-user systems
8Non-critical services
Sicher wiederherstellen
Reinfektion verhindern
Integrität validieren
Engmaschig überwachen
- Die Wiederherstellungsreihenfolge nach Geschäftskritikalität und Abhängigkeitsmapping definieren.
- Aus sauberen, validierten Backups oder vertrauenswürdigen Golden Images wiederherstellen.
- Wiederhergestellte Systeme scannen und validieren, bevor sie erneut verbunden werden.
- Systeme zunächst in kontrollierten Segmenten online bringen.
- Anwendungsfunktionalität, geschäftliche Datenintegrität und Authentifizierungsverhalten validieren.
- Authentifizierung, Netzwerkverkehr, Dateiverhalten und Endpunktaktivität während der Recovery überwachen.
- Erhöhtes Monitoring mindestens 14 bis 30 Tage aktiv halten.
Empfohlene Recovery-Priorität:
1Vertrauenswürdige Admin-Workstations und Identitätsgrundlagen
2DNS, DHCP, NTP sowie zentrale Netzwerk- und Security-Services
3Backup- und Recovery-Orchestrierung
4Logging, EDR und Security-Visibility
5Zentrale Datei-, Datenbank- und Applikationsservices
6Geschäftskritische Anwendungen und Integrationen
7Endanwendersysteme
8Nicht-kritische Services
Root cause
Control improvements
Prevent recurrence
- Conduct post-incident review within 5–10 business days after stabilization.
- Finalize the incident timeline and key decisions.
- Confirm the initial access vector and escalation path where possible.
- Identify control failures in identity, segmentation, logging, EDR, patching, backup resilience and administrative governance.
- Review communication, escalation and executive decision quality.
- Update detections, hardening baselines and response procedures.
- Track remediation actions to named owners and closure dates.
Root Cause
Kontrollen verbessern
Wiederholung verhindern
- Innerhalb von 5 bis 10 Geschäftstagen nach der Stabilisierung eine strukturierte Nachbesprechung durchführen.
- Incident-Timeline und Schlüsselentscheidungen finalisieren.
- Den Eintrittsvektor und Eskalationspfad soweit möglich bestätigen.
- Kontrollversagen in den Bereichen Identität, Segmentierung, Logging, EDR, Patch-Management, Backup-Resilienz und administrativer Governance identifizieren.
- Kommunikation, Eskalation und Qualität der Management-Entscheidungen bewerten.
- Detection-Regeln, Hardening-Baselines und Response-Verfahren aktualisieren.
- Remediation-Maßnahmen mit namentlichen Verantwortlichen und Abschlussdaten nachverfolgen.
Evidence to preserve
- Ransom notes and screenshots
- Encrypted file samples and extensions
- Malware samples / loaders / scripts
- EDR detections and alert metadata
- Windows Event Logs / Linux system logs
- Firewall, proxy, VPN and DNS logs
- Authentication and domain controller logs
- Backup system logs and admin actions
- Identity provider logs and MFA events
- Incident timeline and decision log
Communication checklist
- Notify IR stakeholders and management
- Coordinate with legal, privacy and compliance
- Prepare internal staff guidance
- Maintain single source of truth for updates
- Prepare customer / partner communication if required
- Align legal / privacy review before notifications
- Avoid unsupported statements on root cause or data theft before investigation confirms them
- Coordinate with cyber insurance and external IR
Zu sichernde Beweise
- Lösegeldforderungen und Screenshots
- Beispiele verschlüsselter Dateien und Dateiendungen
- Malware-Samples, Loader oder Skripte
- EDR-Detections und Alert-Metadaten
- Windows Event Logs und Linux-Systemlogs
- Firewall-, Proxy-, VPN- und DNS-Logs
- Authentifizierungslogs und Logs der Domänencontroller
- Backup-System-Logs und administrative Aktionen
- Logs des Identitätsproviders und MFA-Events
- Incident-Timeline und Entscheidungsprotokoll
Kommunikations-Checkliste
- Incident-Response-Stakeholder und Management informieren
- Mit Legal, Privacy und Compliance abstimmen
- Interne Hinweise vorbereiten
- Einzige verlässliche Quelle für Incident-Updates pflegen
- Kommunikation für Kunden oder Partner vorbereiten, falls erforderlich
- Rechtliche und datenschutzrechtliche Prüfung vor Meldungen abstimmen
- Keine nicht bestätigten Aussagen zu Root Cause oder Datendiebstahl treffen
- Cyber-Versicherung und externe IR-Unterstützung koordinieren
Immediate Response
Scope
Containment
Investigation
Recovery
Post-Incident
Sofortreaktion
Scope
Eindämmung
Untersuchung
Recovery
Nach dem Incident
Threat Sentinel IR Playbook Library · CC BY 4.0