Australien geht mit Sanktionen gegen nordkoreanische IT-Arbeiternetzwerke und ihre Unternehmen und Finanzvermittler vor

Vier Ziele in einem Netzwerk, das Arbeit im Homeoffice zur Waffenfinanzierung nutzt

Australien verhängte am 23. Oktober 2026 Sanktionen gegen zwei nordkoreanische Unternehmen und zwei Finanzvermittler. Sie richten sich gegen ein System, das nach Angaben der Regierung Einnahmen aus IT-Fernarbeit in die nordkoreanischen Atomwaffen- und ballistischen Raketenprogramme lenkt.

Betroffen sind die Korea Mangyongdae Computer Technology Company, die Chinyong Information Technology Cooperation Company, Sim Hyon Sop und Yu Py Ung, dessen Name auch als Yu Pu Ung erscheint. Gegen die beiden Männer wurden gezielte Finanzsanktionen und Reiseverbote verhängt, gegen die Unternehmen gelten finanzielle Beschränkungen.

Außenministerin Penny Wong sagte, nordkoreanische Arbeitskräfte nähmen Stellen im Homeoffice an, indem sie sich als Staatsangehörige anderer Länder ausgäben, und leiteten ihre Einkünfte anschließend an Stellen weiter, die dem Regime dienten. In der Sanktionsankündigung Australiens heißt es, die Listungen stützten sich auf Erkenntnisse des Multilateral Sanctions Monitoring Team (MSMT), das die Umgehung von Sanktionen der Vereinten Nationen durch Nordkorea untersucht.

Wong zufolge arbeitet Australien mit anderen Regierungen daran, die Netzwerke einzuschränken. Sie beschrieb die Zusammenarbeit so:

Wir ergreifen diese Maßnahmen in Abstimmung mit internationalen Partnern, darunter der Europäischen Union.

Für Arbeitgeber geht es dabei nicht nur um die falsche Identität eines Bewerbers. Ein Auftragnehmer kann tatsächlich Programmierarbeit leisten und zugleich sein Honorar an eine sanktionierte Organisation weiterleiten sowie Zugang zu Unternehmenssystemen, Kundendaten oder Software erhalten.

Australiens Maßnahmen bündeln drei zusammenhängende Probleme: verschleierte Beschäftigung, Geldtransfers über Mittelsleute und Sicherheitsrisiken, die entstehen, wenn eine Organisation einer nicht identifizierten Person Zugang zu ihren Systemen gewährt. Die Regierung hat nicht bekannt gegeben, wie viel Umsatz die vier Betroffenen mit australischen Arbeitgebern erzielt haben.

Wer sind die Unternehmen und Finanzvermittler?

Die Korea Mangyongdae Computer Technology Company betreibt IT-Arbeiterdelegationen von Shenyang und Dandong in China aus. Die Chinyong Information Technology Cooperation Company setzt Unternehmen und Vertreter ein, um Teams in Russland und Laos zu organisieren, wie aus Beschreibungen ihrer Tätigkeit des US-Finanzministeriums hervorgeht.

Gegen beide Unternehmen und beide Männer hatten die USA bereits Sanktionen verhängt. Australiens Listungen weiten die Beschränkungen auf australische Finanz- und Geschäftsbeziehungen aus. Damit werden die Unternehmen und Vermittler zu unmittelbaren Compliance-Risiken für australische Institutionen, Unternehmen und Privatpersonen.

Yu lebt in China. Südkorea und die USA verhängten im März 2024 Sanktionen gegen ihn wegen mutmaßlicher Geldwäsche von Einkünften nordkoreanischer IT-Arbeitskräfte und der Beschaffung von Material für die Entwicklung von Atomwaffen und Raketen. US-Behörden werfen ihm vor, dabei geholfen zu haben, die Einkünfte der Arbeitskräfte in Käufe für die nordkoreanische Rüstungsindustrie umzuleiten.

Die USA verhängten im April 2023 Sanktionen gegen Sim. Das US-Finanzministerium bezeichnete ihn damals als stellvertretenden Vertreter der Korea Kwangson Banking Corporation mit Sitz in Dandong. Die Behörden werfen ihm vor, Einkünfte nordkoreanischer Arbeitskräfte verwaltet, durch Hackerangriffe erlangte Kryptowährungen gewaschen und Geldtransfers über das internationale Bankensystem unterstützt zu haben.

Das FBI hat für Hinweise zu Sim eine Belohnung von 5 Millionen US-Dollar ausgeschrieben. Auch das US-Außenministerium soll eine Belohnung von 7 Millionen US-Dollar angeboten haben. Die von den Behörden genannten Beträge unterscheiden sich. Sim wird vom FBI wegen mutmaßlicher Finanzgeschäfte zur Unterstützung Nordkoreas gesucht.

Wie wird ein gewöhnlicher Auftrag zum Finanzierungsweg?

Nordkoreanische IT-Arbeitskräfte suchen Stellen in der Website- und Softwareentwicklung, bei mobilen Anwendungen, im Grafikdesign und für Blockchain-Anwendungen. Die im Juli veröffentlichte internationale Warnung besagt, viele verfügten über fortgeschrittene technische Kenntnisse und könnten Aufträge direkt von Unternehmen ebenso wie über Online-Plattformen erhalten.

Ein Beschäftigter kann sich mit gestohlenen Ausweispapieren, gefälschten Dokumenten oder einer von einer Person in einem anderen Land bereitgestellten Identität registrieren. Ein Helfer kann an einem Vorstellungsgespräch teilnehmen oder einen potenziellen Arbeitgeber treffen, während die Person, die programmiert, an einem anderen Ort bleibt.

Auch die Bezahlung kann über einen weiteren verschleierten Weg erfolgen. Der Arbeitgeber überweist das Geld auf ein Konto einer dritten Person. Diese behält eine Gebühr ein und leitet den Rest an ein benanntes ausländisches Konto weiter. Kryptowährungen und Geldtransferdienste bieten weitere Wege, die von Regierungen beschrieben werden.

In der gemeinsamen Warnung der US-Regierung wird auch automatisierter Devisenbetrug als Einnahmequelle genannt. Das größere Netzwerk verbindet somit die Bezahlung echter Dienstleistungen mit anderen Finanzgeschäften. Mittelsleute verschleiern dabei, wer das Geld verdient und erhält.

Computerfarmen verschleiern, wo die Arbeit stattfindet

Eine Computerfarm ist eine Sammlung von Arbeitscomputern, die ein Helfer in einem Land betreibt, in dem die Beschäftigten angeblich leben. Der Helfer nimmt die Geräte entgegen und installiert Software, mit der eine Person im Ausland sie steuern kann.

Für den Arbeitgeber scheint es, als kämen die Aktivitäten von einem Computer, der sich tatsächlich im erwarteten Land befindet. Die programmierende Person kann Tausende Kilometer entfernt sein. Virtuelle private Netzwerke (VPN), die den Internetverkehr über einen anderen Standort leiten, und Fernzugriffssoftware bieten weitere Möglichkeiten, die Verbindung zu verschleiern.

US-Ermittlungen verdeutlichen das Ausmaß dieser Infrastruktur. Bei der vom 21. bis 25. September durchgeführten Operation Lonestar Roundup durchsuchte das FBI mehr als 40 Wohnhäuser in Texas und beschlagnahmte rund 187 Laptops und Netzwerk-Switches. Im Oktober teilten die Behörden außerdem mit, dass zwei Personen festgenommen und 14 weitere in zwei Anklageschriften beschuldigt worden seien.

Eine Anklageschrift im Northern District of Ohio beschreibt ein von 2019 bis Mitte 2025 betriebenes System, das mehr als 70 Arbeitgeber in 17 Bundesstaaten und im District of Columbia betraf. Die Staatsanwaltschaft beziffert die Einnahmen auf rund 3 Millionen US-Dollar. Das Geld soll an sanktionierte nordkoreanische Organisationen geflossen sein. Die Arbeitgeber waren im Gesundheitswesen, in der Kommunikationsbranche, bei Cybersicherheitsdiensten, im Einzelhandel und in der Fertigungsindustrie tätig.

US-Behörden zufolge übernehmen Vermittler zunehmend auch Aufgaben, die über das Bereitstellen der Geräte hinausgehen. In manchen Fällen werden ganze Aufträge an andere ausländische Staatsangehörige weitervergeben. CrowdStrike, das die FBI-Ermittlungen unterstützte, führt die Aktivitäten unter dem Namen Famous Chollima.

Die Warnungen gingen Australiens Entscheidung voraus

Australiens Sanktionen folgten auf wiederholte Warnungen und Ermittlungen in mehreren Ländern. Das aus elf Ländern, darunter Australien, Südkorea, Japan und die USA, bestehende MSMT hat untersucht, wie Cyberoperationen und IT-Arbeit im Ausland die Umgehung von Sanktionen unterstützen.

Die Abfolge zeigt, wie Regierungen von Warnungen vor den Rekrutierungsmethoden zu Beschränkungen gegen die dahinterstehenden Organisationen und Vermittler übergingen:

• 26. August 2024: Das Australian Sanctions Office veröffentlichte erstmals seine Warnung vor nordkoreanischen IT-Arbeitskräften.
• August 2025: Japan, Südkorea und die USA veröffentlichten eine gemeinsame Erklärung zu den Arbeitskräften.
• Oktober 2025: Das MSMT legte seinen zweiten Bericht vor, der Cyberaktivitäten und den Einsatz nordkoreanischer IT-Arbeitskräfte untersuchte.
• 31. Juli 2026: Australien und Partnerregierungen veröffentlichten eine umfassendere Warnung; Australien aktualisierte zudem seine Hinweise für Arbeitgeber.
• 21. bis 25. September 2026: Das FBI führte in Texas die Operation Lonestar Roundup durch.
• 22. Oktober 2026: Australien nahm die vier Betroffenen in sein Sanktionsregister auf.
• 23. Oktober 2026: Wong kündigte die Sanktionen öffentlich an.

Die gemeinsame Erklärung vom Juli des australischen Außen- und Handelsministeriums brachte Behörden aus Australien, Kanada, Frankreich, Deutschland, Italien, Japan, den Niederlanden, Neuseeland, Südkorea, dem Vereinigten Königreich und den USA zusammen. Die Unterzeichner warnten, künstliche Intelligenz helfe den Arbeitskräften dabei, ihre Identität zu verschleiern und ihre Tätigkeiten international auszuweiten.

Was australische Arbeitgeber prüfen sollen

Australiens vergleichsweise hohe Gehälter und die Nachfrage nach IT-Fachkräften auf Vertragsbasis machten das Land zu einem attraktiven Ziel, so das Australian Sanctions Office. Unternehmen seien über LinkedIn, Fiverr, Freelancer und offizielle Personalvermittlungen kontaktiert worden.

Die aktualisierten Hinweise zu den Arbeitskräften der Behörde besagen, dass nordkoreanische Beschäftigte gestohlene oder manipulierte australische Reisepässe und Führerscheine genutzt haben. Arbeitgeber sollten eigene Prüfungen vornehmen, selbst wenn eine Personalvermittlung den Bewerber vermittelt, heißt es darin.

Die Behörden nennen Kombinationen verdächtiger Angaben, die genauer geprüft werden sollten:

• Unterschiedliche Namen, Wohnorte oder berufliche Werdegänge in Bewerbungen, Portfolios und Zahlungskonten.
• Ein Gehaltskonto auf den Namen einer anderen Person oder die Bitte, Zahlungen über Mittelsleute umzuleiten.
• Wiederholt verwendete Ausweisdokumente bei mehreren Konten oder Dokumente mit Anzeichen von Manipulation.
• Eine Weigerung, an Videogesprächen teilzunehmen, Abweichungen von den Ausweisfotos oder erkennbare Gesichtsfilter.
• Anmeldungen aus mehreren Ländern innerhalb kurzer Zeit, Sitzungen von mehr als 24 Stunden oder ungewöhnlich viele dokumentierte Arbeitsstunden.
• Die Bitte, Laptop-Lieferungen umzuleiten oder Fernzugriffssoftware zur Steuerung eines Arbeitgebercomputers zu verwenden.

Künstliche Intelligenz kann überzeugende Profile, ausgefeilte Nachrichten und Antworten auf Bewerbungsgespräche erstellen. Die Warnung empfiehlt daher, Dokumente und beruflichen Werdegang direkt bei den jeweiligen Institutionen zu überprüfen und dafür unabhängig von der Bewerbung beschaffte Kontaktdaten zu verwenden.

Arbeitgebern wird außerdem geraten, zu prüfen, ob die Namen auf den Bankkonten mit den Identitäten der Beschäftigten übereinstimmen, offizielle Bankkanäle zu nutzen, nicht verifizierte Fernwartungssoftware einzuschränken und den Zugriff auf sensible Informationen zu begrenzen. Ziel ist es, Identität, Standort und Zahlungsmodalitäten nicht nur vor, sondern auch nach der Einstellung weiter zu überprüfen.

Verstöße können Haftstrafen und hohe Geldbußen nach sich ziehen

Australisches Sanktionsrecht kann greifen, wenn ein Unternehmen einer sanktionierten Person oder Organisation direkt oder indirekt Geld oder andere Vermögenswerte zur Verfügung stellt. Die Beschäftigung und Bezahlung nordkoreanischer IT-Arbeitskräfte kann außerdem verbotene Geschäftsaktivitäten mit Nordkorea darstellen.

Das Australian Sanctions Office nennt auf Grundlage der seit dem 1. Juli 2026 geltenden Beträge Höchststrafen von bis zu zehn Jahren Haft für Einzelpersonen und einer Geldstrafe von 910.000 australischen Dollar oder dem Dreifachen des Transaktionswerts, je nachdem, welcher Betrag höher ist. Unternehmen drohen Geldstrafen von bis zu 3,64 Millionen australischen Dollar oder dem Dreifachen des Transaktionswerts, je nachdem, welcher Betrag höher ist.

Ein Unternehmen kann sich verteidigen, wenn es nachweisen kann, angemessene Vorkehrungen getroffen und die gebotene Sorgfalt walten gelassen zu haben, um einen Verstoß zu verhindern. Dokumentierte Identitätsprüfungen, Zahlungskontrollen und Beschränkungen des Computerzugangs können dabei helfen, diese Vorkehrungen nachzuweisen.

Das Sanktionsbüro gibt an, bei Compliance-Problemen abgestuft vorzugehen. Schwerwiegende Fälle können zu einer Strafverfolgung führen; Unternehmen, die sich um die Einhaltung der Vorschriften bemühen, erhalten in der Regel Informationen und Beratung. Wenn das Büro Informationen von einem betroffenen Unternehmen anfordert, erfolgt die Kontaktaufnahme laut seinen Hinweisen über [email protected].

Unternehmen drohen auch Datendiebstahl und Erpressung

Neuseelands Cybersicherheitsbehörde teilte im September mit, ein nordkoreanischer Agent habe unter falscher Identität eine Stelle im Homeoffice bei einem örtlichen Unternehmen erhalten. Nachdem seine Identität aufgedeckt worden sei, habe der Beschäftigte damit gedroht, vertrauliche Informationen zu veröffentlichen.

Auch die südkoreanische Nationalpolizei leitete 2025 Ermittlungen wegen einer mutmaßlichen Platzierung eines Nordkoreaners in einem heimischen Privatunternehmen ein. Der Beschäftigte soll tatsächlich Entwicklungsaufgaben übernommen haben. Das zeigt, dass eine verschleierte Identität mit produktiver Arbeit einhergehen kann.

Die Warnung der Regierungen vom Juli weist auf Datenabfluss, also das Herauskopieren von Informationen aus einer Organisation, sowie auf den Diebstahl von Kryptowährungen und sensiblen Unterlagen hin. Die australischen Hinweise nennen geistiges Eigentum, personenbezogene Daten und Unternehmensmittel als gefährdete Werte.

Deshalb ist es neben der Prüfung von Bewerbern auch wichtig, Zugriffsrechte zu kontrollieren. Ein Auftragnehmer, der seine Aufgaben erfüllen kann, hat möglicherweise trotzdem Zugang zu weitaus mehr Informationen, als dafür erforderlich ist. Australiens Leitlinien empfehlen, den Zugriff auf das Notwendige zu beschränken und Software zu kontrollieren, mit der andere Personen aus der Ferne auf einen Unternehmenscomputer zugreifen können.

Arbeitskräfte im Ausland verbinden das Thema mit Russland

Die im Dezember 2017 verabschiedete Resolution 2397 des UN-Sicherheitsrats verpflichtet Länder, Nordkoreaner, die in ihrem Hoheitsgebiet Einkommen erzielen, zurückzuführen. Es gelten begrenzte Ausnahmen. In der Erklärung vom Juli wird zudem darauf verwiesen, dass die Financial Action Task Force Nordkorea als Gebiet eingestuft hat, in dem Gegenmaßnahmen gegen illegale Finanzströme erforderlich sind.

Das Thema Arbeit reicht über Programmierung aus der Ferne hinaus. Eine am 14. Oktober veröffentlichte Studie des Center for Strategic and International Studies und des George W. Bush Institute schätzte, dass bis zu 12.000 Nordkoreaner in der russischen Drohnenfabrik Jelaguga in der Region Tatarstan arbeiteten. Nordkorea behalte bis zu 90 Prozent ihrer Löhne ein, sodass den Beschäftigten nur 10 Prozent blieben.

Die Studie beschrieb ein Produktionsnetzwerk, in dem die Fabrik monatlich mehr als 5.500 Drohnen für Russland herstellt, China Bauteile liefert, die sowohl zivil als auch militärisch genutzt werden können, und iranische Shahed-Konstruktionen russische Varianten unterstützen. Sie forderte Maßnahmen gegen Menschenhandelsnetzwerke und eine Untersuchung der Bedingungen in der Anlage durch die Vereinten Nationen.

Song Young-Chae, Wissenschaftler und Menschenrechtsaktivist bei der Worldwide Coalition to Stop Genocide in North Korea, beschrieb die Behandlung der Arbeitskräfte mit deutlichen Worten:

Das Leben in Nordkorea ist nicht einfach, aber diese Menschen werden wie Sklaven nach Russland geschickt. Sie haben keine Freiheit und dürfen nur einen Bruchteil des Geldes behalten, das sie verdienen.

Dan Pinkston, Professor für internationale Beziehungen am Campus Seoul der Troy University, argumentierte, dass gemeinsame Grenzen und die Zusammenarbeit zwischen den Ländern ein internationales Eingreifen extrem schwierig machten. Die Studie äußerte zudem die Sorge, dass die Arbeit in der Drohnenproduktion Nordkorea praktische Kenntnisse vermitteln könnte, die für die eigene Waffenentwicklung nützlich wären.

Druck auf das Netzwerk und grenzüberschreitende Durchsetzung

Australien erklärt, die Sanktionen sollten Einnahmequellen unterbrechen und den Druck auf Nordkorea erhöhen, seine Atomwaffen- und ballistischen Raketenprogramme aufzugeben. Wong forderte die Einhaltung der Resolutionen des Sicherheitsrats und konkrete Schritte zu einer vollständigen, überprüfbaren und unumkehrbaren Denuklearisierung.

Nordkorea hat wiederholt bestritten, verschleierte Finanznetzwerke zu betreiben, und Vorwürfe zu seinen Aktivitäten im Ausland als erfunden bezeichnet. Die Regierungen beschreiben in ihrer Warnung vom Juli ein wachsendes Netzwerk, das mit falschen Identitäten, Mittelsleuten und Technologie Arbeitgeber weltweit erreicht.

Die Maßnahmen richten sich gleichzeitig gegen mehrere Teile dieses Netzwerks. Finanzielle Beschränkungen betreffen Unternehmen und Vermittler, die Einnahmen erhalten oder weiterleiten. Arbeitgeberprüfungen setzen bei den falschen Identitäten an, mit denen Stellen erlangt werden. Durchsuchungen von Computerfarmen beseitigen Geräte, mit denen Beschäftigte vorgeben können, sich vor Ort zu befinden.

Für australische Unternehmen bedeutet das konkret eine erweiterte Sanktionsliste sowie detaillierte behördliche Vorgaben zu Einstellungen, Zahlungen und Systemzugriffen. Die Verantwortung reicht von der Person, die einen Auftragnehmer einstellt, bis zu den Beschäftigten, die Rechnungen bezahlen und Unternehmenscomputer verwalten.

Die wichtigsten Punkte

• Australien kündigte am 23. Oktober 2026 Sanktionen gegen zwei nordkoreanische Unternehmen sowie die Finanzvermittler Sim Hyon Sop und Yu Py Ung an.
• Nach Angaben der Regierung trägt verschleierte IT-Beschäftigung zur Finanzierung der nordkoreanischen Atomwaffen- und ballistischen Raketenprogramme bei.
• Die Beschäftigten nutzen falsche Identitäten, Zahlungsintermediäre, KI-Werkzeuge und ausländische Computerfarmen, um Fernarbeit zu finden und auszuführen.
• Australischen Arbeitgebern wird geraten, Identitäten unabhängig zu überprüfen, Zahlungskonten zu kontrollieren und den Zugang zu sensiblen Systemen einzuschränken.
• Sanktionsverstöße können für Einzelpersonen Haftstrafen und für Unternehmen Geldbußen von 3,64 Millionen australischen Dollar oder dem Dreifachen des Transaktionswerts nach sich ziehen, je nachdem, welcher Betrag höher ist.
• Ermittlungen in den USA, Südkorea und Neuseeland zeigen Risiken im Zusammenhang mit Löhnen, Unternehmensdaten und Erpressung.