Zehn Personen und eine russische Operation im Visier
Die USA verhängten am 28. Oktober Sanktionen gegen acht Nordkoreaner, zwei Russen und eine von Nordkorea kontrollierte Organisation in Russland. Im Visier steht ein Netzwerk, dem vorgeworfen wird, Arbeitsplätze bei legitimen Unternehmen in eine Finanzierungsquelle für Pyongyangs Waffenprogramme zu verwandeln.
Inhalt
- Zehn Personen und eine russische Operation im Visier
- Wie ein regulärer Arbeitsplatz zur versteckten Einnahmequelle wird
- Das russische Zentrum und seine Finanzvermittler
- Warum Arbeitgeber mehr als nur Gehaltszahlungen riskieren
- Kryptowährungen und KI unterstützen die Operation
- Was die Sanktionen bewirken
- Umfassendere Maßnahmen über mehrere Monate
- Warum Washington eine internationale Reaktion anstrebt
- Waffenfinanzierung und Diplomatie bleiben miteinander verknüpft
- Die wichtigsten Punkte
Das Office of Foreign Assets Control (OFAC) des US-Finanzministeriums setzte das First Financial and Technical Development Center sowie Personen auf die Sanktionsliste, denen vorgeworfen wird, betrügerische IT-Beschäftigung zu unterstützen. Sechs der sanktionierten Personen stehen nach Angaben des Finanzministeriums mit dem Zentrum in Verbindung.
Die Finanzdaten zeigen, wie Vermittler die Erlöse mutmaßlich weiterleiteten. Das Finanzministerium beschuldigte den russischen Staatsangehörigen Vitold Viktorovich Obertas, seit Januar 2025 für nordkoreanische Amtsträger Kryptowährungen im Wert von knapp 2 Millionen US-Dollar umgetauscht und mindestens 1,25 Millionen US-Dollar an weiteren Währungstransaktionen abgewickelt zu haben. Ein weiterer Russe, Ilya Aleksandrovich Boykov, soll seit 2024 Kryptowährungstransaktionen im Wert von 3,5 Millionen US-Dollar für eine bereits sanktionierte nordkoreanische Organisation abgewickelt haben.
Nach Angaben des Finanzministeriums erzielt die umfassendere Operation jährlich Hunderte Millionen US-Dollar, indem nordkoreanische IT-Fachkräfte mithilfe gestohlener Identitäten und gefälschter Dokumente in Unternehmen eingeschleust werden. Der Staat vereinnahme den Großteil ihrer Löhne, so das Ministerium, und nutze die Einnahmen zur Unterstützung von Massenvernichtungswaffen- und ballistischen Raketenprogrammen.
Wie ein regulärer Arbeitsplatz zur versteckten Einnahmequelle wird
Nordkoreanische Arbeitskräfte verschleiern mutmaßlich ihre Staatsangehörigkeit und Identität, um IT-Jobs bei US-Unternehmen und Unternehmen in verbündeten Ländern zu bekommen. Die Arbeitgeber glauben, gewöhnliche Bewerber einzustellen, während die Arbeitenden zu einer von Pyongyang gesteuerten Operation im Ausland gehören.
Die Fernarbeit eröffnet Möglichkeiten, weil sich Arbeitskraft und Arbeitgeber möglicherweise nie persönlich begegnen. Gefälschte Dokumente, gestohlene persönliche Daten und erfundene berufliche Identitäten können den Eindruck erwecken, ein Bewerber lebe an einem anderen Ort oder habe einen anderen Hintergrund.
Die Arbeit selbst kann echt sein. Ein Unternehmen erhält möglicherweise Software oder andere technische Dienstleistungen, während seine Gehaltszahlungen zu Einnahmen für die nordkoreanische Regierung werden. Das Finanzministerium beschreibt eine Operation mit Tausenden verdeckt arbeitenden IT-Fachkräften, die in westlichen Ländern und anderen internationalen Märkten nach Fernarbeitsplätzen suchen.
Die Abläufe wurden im August in einem Bericht über Nordkoreas Fernarbeitsmodelle untersucht. Darin war von Vermittlern die Rede, die Firmenlaptops entgegennahmen und den Fernzugriff organisierten. So kann jemand im Ausland einen Computer bedienen, der sich physisch an dem Ort befindet, an dem der Arbeitgeber die Arbeitskraft vermutet.
Der frühere Bericht verwies auf Erkenntnisse des Justizministeriums, wonach für diese Modelle die Identitäten von mehr als 80 US-Amerikanern gestohlen wurden. Für die Betroffenen geht die Täuschung über einen unbekannten Namen in einer Bewerbung hinaus: Ihre persönlichen Daten werden Teil der Beschäftigungsgeschichte und der Finanzaktivitäten einer anderen Person.
Das russische Zentrum und seine Finanzvermittler
Das First Financial and Technical Development Center ist eine von Nordkorea kontrollierte Organisation mit Sitz in Russland. Nach Angaben des Finanzministeriums setzte es hoch qualifizierte nordkoreanische IT-Fachkräfte ein und nutzte ausgefeilte Kryptowährungstransaktionen, um Millionenbeträge für das Regime zu erwirtschaften.
Sechs der gelisteten Personen stehen mit dem Zentrum in Verbindung, das damit im Zentrum dieser Sanktionsmaßnahme steht. Die Sanktionen richten sich auch gegen Personen, denen vorgeworfen wird, dem umfassenderen Netzwerk beim Geldtransfer geholfen zu haben. Washington nimmt damit sowohl die Beschäftigungsoperation als auch deren finanzielle Unterstützung ins Visier.
Obertas soll seit Januar 2025 Kryptowährungen im Wert von knapp 2 Millionen US-Dollar umgetauscht und mindestens 1,25 Millionen US-Dollar an weiteren Währungstransaktionen abgewickelt haben. Der Währungsumtausch ist relevant, weil Einnahmen, die in einer Form eingehen, möglicherweise erst umgetauscht werden müssen, bevor eine andere Person oder Organisation sie verwenden kann.
Boykov soll seit 2024 Kryptowährungstransaktionen im Gegenwert von 3,5 Millionen US-Dollar für eine bereits sanktionierte nordkoreanische Organisation ermöglicht haben. Seine mutmaßliche Rolle verdeutlicht, warum das Finanzministerium neben den Organisationen, die das Geld erhalten, auch Vermittler verfolgt.
Die Transaktionsbeträge beziehen sich auf unterschiedliche Zeiträume und Aktivitäten. Die umfassendere Schätzung des Finanzministeriums von jährlich Hunderten Millionen US-Dollar betrifft die internationale Operation mit IT-Fachkräften. Die hier genannten Beträge beschreiben einzelne Vermittler, denen vorgeworfen wird, die Operation unterstützt zu haben.
Warum Arbeitgeber mehr als nur Gehaltszahlungen riskieren
Nach Angaben des Finanzministeriums installierten einige nordkoreanische IT-Fachkräfte Schadsoftware, stahlen sensible Daten und geschützte Informationen und erpressten Unternehmen, nachdem sie Zugriff auf Firmennetzwerke erhalten hatten. Schadsoftware ist ein Programm, das schädliche oder nicht autorisierte Aktionen ausführen soll. Geschützte Informationen können Softwarecode, Entwürfe und andere vertrauliche Geschäftsinformationen umfassen.
Ein Mitarbeiterkonto kann Zugang zu Systemen ermöglichen, die Außenstehenden normalerweise nicht offenstehen. Für Arbeitgeber kann sich das Risiko daher von Gehaltszahlungen auf gestohlene Geschäftsinformationen und Geldforderungen ausweiten.
Finanzminister Scott Bessent beschrieb die Bedrohung für Unternehmen in einer Erklärung zur Bekanntgabe der Sanktionen:
Das nordkoreanische Regime nimmt weiterhin US-Unternehmen ins Visier und nutzt sie durch betrügerische Aktivitäten seiner im Ausland tätigen IT-Mitarbeiter aus, die sensible Daten als Waffe einsetzen und Unternehmen um hohe Zahlungen erpressen.
Bessent sagte außerdem, das Finanzministerium werde unter Präsident Donald Trump weiterhin seine verfügbaren Befugnisse nutzen, um US-Unternehmen zu schützen und Verantwortliche zur Rechenschaft zu ziehen.
Die Vorwürfe verknüpfen zwei Einnahmequellen: Löhne, die unter falschen Identitäten verdient werden, und Geldforderungen, nachdem sensible Informationen entwendet wurden. Beides beginnt mit einem Zugang, den ein Unternehmen jemandem gewährt hat, den es für einen legitimen Mitarbeiter hält.
Kryptowährungen und KI unterstützen die Operation
Das Finanzministerium nannte Kryptowährungen, komplexe Geldwäschemethoden und Werkzeuge der künstlichen Intelligenz als Bestandteile der Aktivitäten der Netzwerke. Geldwäsche bedeutet, Gelder zu bewegen oder zu verschleiern, um ihre Herkunft oder die Kontrolle darüber zu verbergen.
Kryptowährungen ermöglichen es, digitale Vermögenswerte grenzüberschreitend zwischen Konten zu transferieren. Vermittler, die solche Vermögenswerte umtauschen oder Überweisungen organisieren, können einer Organisation dabei helfen, Einnahmen einzuziehen und weiterzuverteilen. Das erklärt, warum auch sie zu den Zielen der Sanktionen gehören.
Nach Angaben des Finanzministeriums nutzten die Beschäftigten des First Financial and Technical Development Center „Super Intelligence (SI) tools“. Das Ministerium machte keine technischen Angaben zu diesen Werkzeugen oder ihrer konkreten Funktion innerhalb der Operation.
Frühere Berichte über die umfassenderen Beschäftigungsmodelle beschrieben KI-generierte Dokumente, bearbeitete Bilder und manipulierte Videos, die falsche Identitäten stützen sollten. Diese Methoden lösen ein praktisches Problem des Netzwerks: Fernbewerber durch Unterlagen, Online-Profile und Vorstellungsgespräche überzeugend erscheinen zu lassen.
Was die Sanktionen bewirken
Die Maßnahme des OFAC blockiert Vermögenswerte und Ansprüche auf Vermögenswerte der gelisteten Personen und Organisation, wenn sich diese in den USA befinden oder im Besitz beziehungsweise unter der Kontrolle einer US-Person stehen. Eine Blockierung bedeutet in der Regel, dass Vermögenswerte eingefroren und weder übertragen noch genutzt werden dürfen.
US-Personen ist es grundsätzlich ebenfalls untersagt, Geschäfte mit den gelisteten Parteien abzuwickeln, sofern das OFAC sie nicht genehmigt. Für Unternehmen und Finanzinstitute, die diesen Regeln unterliegen, sind Zahlungen und andere Geschäfte mit den gelisteten Zielen eingeschränkt.
Die Maßnahme reicht über Bewerbungen und Arbeitsverträge hinaus. Indem das Finanzministerium Finanzvermittler und das russische Zentrum auf die Sanktionsliste setzt, versucht es, die Organisationen und Dienstleistungen einzuschränken, über die Einnahmen durch das Netzwerk fließen.
Für Unternehmen, die mit einer gelisteten Partei in Kontakt kommen, hat die Maßnahme konkrete Folgen: Eine Zahlung, eine Geschäftsbeziehung oder ein Vermögenswert kann unter die Sanktionsbeschränkungen fallen. Zudem werden die genannten Personen und die Organisation bei Banken und anderen Unternehmen erfasst, die prüfen müssen, mit wem sie Geschäfte machen.
Umfassendere Maßnahmen über mehrere Monate
Die Maßnahme vom Oktober folgt auf frühere Sanktionen und strafrechtliche Schritte gegen nordkoreanische IT-Beschäftigungsoperationen. Die Maßnahmen betreffen verschiedene Teile desselben Problems: mutmaßliche Organisatoren der Beschäftigung ebenso wie Computer und Finanzkonten, die sie unterstützen.
- 12. März: Das OFAC verhängte Sanktionen gegen sechs Personen und zwei Organisationen wegen nordkoreanischer IT-Beschäftigungsmodelle, die mit der Finanzierung von Waffenprogrammen in Verbindung standen.
- 9. August: Frühere Berichte schilderten den Identitätsdiebstahl zulasten von mehr als 80 US-Amerikanern und Operationen, die Hunderte Unternehmen erreichten. Zudem ging es um die Beschlagnahmung von Computern, Webdomains und Kryptowährungen.
- Anfang Oktober: Das Justizministerium gab Maßnahmen gegen Modelle mit IT-Fernarbeit bekannt, von denen mehr als 70 US-Unternehmen betroffen waren und die mutmaßlich mit Nordkorea verbundene Einnahmen in Millionenhöhe generierten.
- 28. Oktober: Das OFAC setzte weitere zehn Personen und eine Organisation auf die Sanktionsliste, darunter zwei russische Finanzvermittler und das First Financial and Technical Development Center.
Die jüngste Maßnahme nennt vier Personen mehr als die Maßnahme vom März und erhöht deren Zahl von sechs auf zehn. Zugleich wird eine statt zwei Organisationen gelistet. Jede Maßnahme richtet sich gegen eine bestimmte Gruppe von Zielen innerhalb der umfassenderen Operation.
Die Ankündigung des Justizministeriums im Oktober zeigt ebenfalls, dass die Beschäftigungsmodelle weit mehr als ein einzelnes Unternehmen betreffen. Allein von den dortigen Maßnahmen waren mehr als 70 US-Unternehmen betroffen.
Warum Washington eine internationale Reaktion anstrebt
Nach Angaben des Finanzministeriums verhängten auch Australien und die Europäische Union im Oktober Sanktionen im Zusammenhang mit Nordkorea. Die US-Maßnahme richtet sich gegen Personen und Operationen in Nordkorea und Russland, während der mutmaßliche Beschäftigungsbetrug Unternehmen in mehreren Ländern erreicht.
Das Finanzministerium beschrieb in seiner Erklärung die Notwendigkeit der Zusammenarbeit:
Diese Netzwerke reichen tief in das globale Finanzsystem hinein und machen eine gemeinsame Reaktion erforderlich, die der Bedrohung gerecht wird.
Eine Arbeitskraft kann sich bei einem Unternehmen in einem Land bewerben, von einem anderen aus arbeiten und über Vermittler andernorts bezahlt werden. Wer einen Teil dieser Kette einschränken will, muss Aktivitäten jenseits der eigenen Grenzen berücksichtigen.
Nordkoreas Vertretung bei den Vereinten Nationen in New York reagierte zunächst nicht auf eine Bitte um Stellungnahme zu den Sanktionen.
Waffenfinanzierung und Diplomatie bleiben miteinander verknüpft
Washington will nach eigenen Angaben die verfügbaren Mittel für Nordkoreas Massenvernichtungswaffen- und ballistische Raketenprogramme verringern. Die Beschäftigungsmodelle sind für dieses Ziel relevant, weil sie gewöhnliche Geschäftstätigkeiten, darunter Softwarearbeit und Gehaltszahlungen, in Einnahmen für eine international mit Beschränkungen belegte Regierung verwandeln.
Die Sanktionen werden zudem verhängt, während Trump Interesse an einer Wiederaufnahme der Gespräche mit Nordkorea bekundet hat. 2018 und 2019 traf er Kim Jong Un bei mehreren Gipfeltreffen. Die diplomatischen Bemühungen scheiterten jedoch an der Forderung der USA, Nordkorea solle seine Atomwaffen aufgeben.
Anfang Oktober spielte Trump die Aussicht auf ein weiteres prominentes Treffen mit Kim im darauffolgenden Monat in China herunter. Pyongyang hat wenig Interesse an einer Diplomatie zur Eindämmung seines Atomprogramms gezeigt.
Trump hat Nordkorea wiederholt als „Atommacht“ bezeichnet, während seine Regierung weiter eine Denuklearisierung fordert und das Land nicht formell als Atomwaffenstaat anerkannt hat. Mit den jüngsten Sanktionen setzt Washington den finanziellen Druck auf die Programme fort, die nach eigener Aussage abgeschafft werden sollen.
Die wichtigsten Punkte
- Das OFAC verhängte am 28. Oktober Sanktionen gegen acht Nordkoreaner, zwei Russen und das First Financial and Technical Development Center.
- Nach Angaben des Finanzministeriums erschleichen sich nordkoreanische IT-Fachkräfte unter falscher Identität reguläre Arbeitsplätze und leiten den Großteil ihrer Löhne an das Regime weiter.
- Zwei russische Vermittler sollen Kryptowährungs- und andere Währungstransaktionen in Millionenhöhe abgewickelt haben.
- Einigen Beschäftigten wird außerdem vorgeworfen, Schadsoftware eingesetzt, vertrauliche Informationen gestohlen und Unternehmen erpresst zu haben.
- Die Sanktionen frieren erfasste Vermögenswerte ein und verbieten US-Personen grundsätzlich Geschäfte mit den gelisteten Parteien, sofern keine Genehmigung vorliegt.
- Die Maßnahme folgt auf Sanktionen vom 12. März und eine Aktion des Justizministeriums im Oktober, von der mehr als 70 US-Unternehmen betroffen waren.
