Mimikatz

https://github.com/gentilkiwi/mimikatz

Wenn er sich danach einloggt wieder

Auslesen der logs: C:\windows\system32\mimilsa.log mit type c:\windows\system32\mimilsa.log