Im Zentrum von Nordkoreas weltweitem Betrug mit IT-Fachkräften: falsche Identitäten, Laptop-Farmen und die geheime Finanzierung eines Schurkenregimes

Nordkoreas geheime IT-Armee: Der weltweite Betrug wird aufgedeckt

Im digitalen Zeitalter, in dem mobiles Arbeiten zur Norm geworden ist, hat Nordkorea den globalen Arbeitsmarkt für technische Berufe als Waffe eingesetzt. Tausende nordkoreanische IT-Fachkräfte haben sich mit gefälschten Identitäten und ausgeklügelten Legenden in Unternehmen in den USA, Europa und darüber hinaus eingeschleust. Ihr Auftrag: Devisen für das Regime verdienen, internationale Sanktionen umgehen und Millionen, mitunter sogar Hunderte Millionen Dollar in Kim Jong Uns Atom- und Raketenprogramme schleusen.

Diese verdeckte Operation, die durch Maßnahmen von Strafverfolgungsbehörden, Cybersicherheitsforschung und seltene Berichte aus erster Hand ans Licht kam, offenbart ein ausgeklügeltes Netzwerk, das Cyberkriminalität, Identitätsdiebstahl und staatlich gelenkte Spionage miteinander verbindet. Ausmaß und Dreistigkeit des Vorgehens haben Branchenkenner wie Regierungsvertreter schockiert und dringende Fragen zur Sicherheit der globalen digitalen Arbeitswelt aufgeworfen.

So funktioniert der Betrug: gefälschte Ausweise, Laptop-Farmen und Täuschung weltweit

Im Zentrum der nordkoreanischen Operation steht eine einfache, aber wirksame Strategie: Die Täter geben sich als qualifizierte IT-Fachkräfte aus anderen Ländern aus, um bei ausländischen Unternehmen Stellen für mobiles Arbeiten zu bekommen. Dafür verwenden nordkoreanische Arbeitskräfte eine Kombination aus gestohlenen und erfundenen Identitäten, KI-generierten Dokumenten und digitalen Täuschungsmanövern. Sie erstellen überzeugende LinkedIn- und GitHub-Profile, fälschen akademische Unterlagen und setzen sogar Deepfake-Technologie ein, um Videogespräche im Bewerbungsverfahren zu bestehen.

Nach ihrer Einstellung arbeiten diese Akteure nur selten direkt in Nordkorea. Stattdessen sind sie in Ländern wie China, Russland und Südostasien stationiert, wo der Internetzugang weniger eingeschränkt ist und sich Überwachung leichter umgehen lässt. Einige operieren sogar aus Afrika oder dem Nahen Osten. Um ihre Herkunft weiter zu verschleiern, nutzen sie VPNs (virtuelle private Netzwerke), Fernwartungsprogramme und Komplizen im Westen, die als Vermittler auftreten: Sie nehmen Firmenlaptops entgegen, richten den Fernzugriff ein und kümmern sich um die Gehaltszahlungen.

Eine berüchtigte Methode ist der Einsatz sogenannter „Laptop-Farmen“: physische Standorte in den USA oder Europa, an denen Dutzende Computer eingerichtet und von nordkoreanischen Arbeitskräften im Ausland ferngesteuert werden. So entsteht der Eindruck, die Beschäftigten meldeten sich von regulären Standorten im jeweiligen Land aus an. Einfache Sicherheitsprüfungen lassen sich auf diese Weise umgehen.

Nach Angaben des US-Justizministeriums wurden mehr als 80 US-Amerikanern ihre Identitäten für diese Betrugsmaschen gestohlen. Hunderte Unternehmen, von Tech-Start-ups bis hin zu Rüstungsunternehmen, beschäftigten unwissentlich nordkoreanische Akteure. Das FBI hat Hunderte Computer, Dutzende Webdomains und Kryptowährungen im Wert von Millionen Dollar beschlagnahmt, die mit diesen Operationen in Verbindung stehen.

Die menschliche Seite: Das Leben nordkoreanischer IT-Fachkräfte im Ausland

Seltene Zeugenaussagen von Überläufern wie „Jin-su“ geben Einblick in die persönlichen Kosten und den Alltag dieser geheimen Arbeit. Jin-su, der mit der BBC sprach, berichtete, er habe sich mit Hunderten gefälschten Ausweisen auf Stellen für mobiles Arbeiten beworben, oft mehrere Jobs gleichzeitig ausgeübt und bis zu 5.000 Dollar im Monat verdient. 85 Prozent davon seien an das Regime gegangen. „Wir wissen, dass es wie Raub ist, aber wir akzeptieren es einfach als unser Schicksal“, sagte er. „Es ist trotzdem viel besser als damals in Nordkorea.“

Die meisten nordkoreanischen IT-Fachkräfte arbeiten in Teams und werden eng von staatlichen Aufpassern überwacht. Zwar genießen sie mehr Freiheit und haben besseren Zugang zu westlichen Medien als ihre Landsleute zu Hause, doch ist die Gefahr einer Flucht groß, und die Folgen wären für sie und ihre Familien schwerwiegend. Trotz der Risiken entscheiden sich nur wenige zur Flucht, denn das Geld, das sie behalten dürfen, kann nach nordkoreanischen Maßstäben ihr Leben verändern, auch wenn es nur einen Bruchteil ihres Verdienstes ausmacht.

Warum Jobs in der IT aus der Ferne? Die perfekte Tarnung zur Umgehung von Sanktionen

Die nordkoreanische Wirtschaft ist durch internationale Sanktionen gelähmt, insbesondere durch jene gegen die Waffenprogramme des Landes. Traditionelle Devisenquellen, etwa Arbeitskräfte, die in chinesische Fabriken oder auf russische Baustellen geschickt werden, versiegen. In diesem Zusammenhang bietet IT-Arbeit aus der Ferne mehrere Vorteile:

• Hohe Bezahlung: Qualifizierte IT-Fachkräfte können bis zu 300.000 Dollar im Jahr verdienen, deutlich mehr als Arbeitskräfte im Ausland, die manuelle Tätigkeiten verrichten.
• Geringe Sichtbarkeit: Bei mobiler Arbeit sind persönliche Treffen selten erforderlich, sodass sich die wahre Identität leichter verbergen lässt.
• Globale Reichweite: Über das Internet können nordkoreanische Akteure Unternehmen weltweit ins Visier nehmen, von den USA und Europa bis nach Neuseeland und in die Vereinigten Arabischen Emirate.
• Zugang zu sensiblen Daten: Sind sie erst einmal im Unternehmen, können die Arbeitskräfte geistiges Eigentum, Geschäftsgeheimnisse und sogar sensible Verteidigungsinformationen stehlen.

Schätzungen der Vereinten Nationen zufolge erwirtschaften nordkoreanische IT-Fachkräfte jährlich zwischen 250 und 600 Millionen Dollar für das Regime. Das Geld wird über ein Netz aus Vermittlern, Kryptowährungstransaktionen und Scheinfirmen gewaschen, sodass die Behörden es nur schwer zurückverfolgen können.

Einblick in die Methoden: KI, Deepfakes und Social Engineering

Nordkoreanische IT-Akteure sind nicht nur versierte Programmierer, sondern auch Meister der Täuschung. Cybersicherheitsforscher haben detaillierte Gesprächsleitfäden für Bewerbungsgespräche, gefälschte Lebensläufe und mit KI bearbeitete Fotos entdeckt, mit denen sich die Täter als westliche Fachkräfte ausgeben. Einige bezahlen sogar echte Personen in Europa oder den USA dafür, ihre Identität zu „vermieten“. Als Gegenleistung erhalten diese einen Anteil an den Einnahmen, während die Täter Zugang zu echten Dokumenten und Bankkonten bekommen.

Das Threat-Intelligence-Team von Microsoft verfolgt diese Aktivitäten unter dem Decknamen „Jasper Sleet“. Seinen Erkenntnissen zufolge nutzen nordkoreanische Arbeitskräfte KI, um falsche Identitäten zu erstellen, Bilder für Bewerbungsunterlagen zu bearbeiten und sogar ihre Stimme in Vorstellungsgesprächen zu verändern. Helfer unterstützen sie dabei, die Überprüfung durch Arbeitgeber zu umgehen, Geräte entgegenzunehmen und den Fernzugriff einzurichten. Zur Verschleierung ihres tatsächlichen Aufenthaltsorts setzen sie unter anderem VPNs, virtuelle private Server und Fernwartungsprogramme ein.

Rob Henley, Personalverantwortlicher bei Ally Security, beschrieb die Schwierigkeit, die Fälschungen zu erkennen: „Anfangs war es für manche gewissermaßen wie ein Spiel, herauszufinden, wer echt und wer gefälscht war. Aber das wurde ziemlich schnell ziemlich nervig.“ Schließlich bat er die Bewerber, bei Videoanrufen Tageslicht zu zeigen. Dieser einfache Trick entlarvte oft diejenigen, die sich in der falschen Zeitzone befanden.

Von den USA nach Europa: wechselnde Ziele und neue Methoden

Da US-Unternehmen und Strafverfolgungsbehörden wachsamer geworden sind, haben nordkoreanische Akteure ihren Schwerpunkt nach Europa verlagert. Dort sind Einstellungsverfahren und Identitätsprüfungen häufig weniger streng. Die Google Threat Intelligence Group und andere Cybersicherheitsexperten warnen, dass europäische Tech-Unternehmen nun besonders stark ins Visier geraten, vor allem solche mit „Bring Your Own Device“-Regelungen (BYOD) und beschleunigten Einstellungsverfahren.

In diesen Umgebungen können sich nordkoreanische Arbeitskräfte als gewöhnliche Beschäftigte im mobilen Arbeiten ausgeben und mit eigenen Geräten auf die Systeme des Unternehmens zugreifen. Sind sie erst einmal im System, können sie Daten stehlen, mit der Veröffentlichung vertraulicher Informationen drohen oder bei einer Kündigung Kryptowährungszahlungen fordern. KI-generierte Identitäten und Deepfakes erschweren die Erkennung zusätzlich, da herkömmliche Warnsignale wie widersprüchliche Lebensläufe oder mangelnde Englischkenntnisse durch Technologie zunehmend kaschiert werden.

Die Rolle westlicher Helfer: Unterstützer und Vermittler

Das nordkoreanische System mit IT-Arbeitskräften stützt sich stark auf ein Netzwerk von Unterstützern im Westen. Diese Helfer, die teils unwissentlich, teils wissentlich handeln, leisten wichtige Unterstützung, indem sie:

• Firmenlaptops entgegennehmen und für den Fernzugriff einrichten
• Bankkonten und Scheinfirmen eröffnen, über die Gehälter empfangen werden
• gefälschte Reisepässe, lokale Telefonnummern und Referenzen beschaffen
• die Akteure mit landestypischen Verhaltensweisen und Strategien für Bewerbungsverfahren vertraut machen

Mehrere US-Amerikaner wurden angeklagt, weil sie „Laptop-Farmen“ betrieben oder als Finanzvermittler agiert haben sollen. In einem Fall wurde ein US-Bürger beschuldigt, von seinem Haus aus eine Laptop-Farm betrieben zu haben. Dadurch konnten nordkoreanische Arbeitskräfte Dutzende Computer steuern und ihre Gehälter waschen. Andere wurden wegen Beihilfe zum Diebstahl und Transfer von Kryptowährungen strafrechtlich verfolgt. Das Justizministerium beschlagnahmte Kryptowährungen im Wert von Millionen Dollar.

Trotz dieser Maßnahmen sind viele Helfer wegen des enormen Umfangs und der Anpassungsfähigkeit der Operation weiterhin aktiv. Neue Unterstützer werden über soziale Medien und Onlineforen angeworben.

Mehr als Gehälter: Spionage, Datendiebstahl und Cyberkriminalität

Zwar besteht das Hauptziel des nordkoreanischen Systems mit IT-Arbeitskräften darin, Devisen zu verdienen, doch reichen die Risiken weit über entgangene Gehaltszahlungen hinaus. Sind die Akteure erst einmal in einem Unternehmen, können sie:

• geistiges Eigentum und Geschäftsgeheimnisse stehlen
• auf sensible Daten von Rüstungsunternehmen zugreifen, darunter exportkontrollierte Informationen
• Schadsoftware für spätere Erpressungs- oder Spionagekampagnen einschleusen
• interne Informationen für nordkoreanische Hackergruppen wie die berüchtigte Lazarus Group sammeln

In mehreren dokumentierten Fällen haben nordkoreanische IT-Fachkräfte ihren Zugang genutzt, um Kryptowährungen zu stehlen, Arbeitgeber zu erpressen oder größere Cyberangriffe zu ermöglichen. Allein die Lazarus Group soll seit 2007 Kryptowährungen im Wert von mehr als drei Milliarden Dollar gestohlen haben, darunter bei einem Rekordbeutezug im Jahr 2025 Kryptowährungen im Wert von 1,5 Milliarden Dollar.

So können sich Unternehmen schützen: Erkenntnisse und Empfehlungen

Der Betrug mit nordkoreanischen IT-Fachkräften hat gravierende Schwachstellen bei der Einstellung und Verwaltung von Beschäftigten im mobilen Arbeiten offengelegt. Experten empfehlen einen mehrschichtigen Schutzansatz:

• Gründlichere Überprüfungen: Digitale Spuren überprüfen, Referenzen einholen und Identitäten per Videoanruf bestätigen.
• Unregelmäßigkeiten überwachen: Auf verdächtige IP-Adressen, gemeinsam genutzte Telefonnummern und den Einsatz von Fernwartungsprogrammen achten.
• Risiken durch BYOD begrenzen: Endpoint-Sicherheit durchsetzen, den Zugriff persönlicher Geräte einschränken und sensible Systeme segmentieren.
• Mitarbeiter schulen: Personal- und IT-Teams darin schulen, Warnsignale zu erkennen und bei der Identitätsprüfung zusammenzuarbeiten.
• Schnell reagieren: Wird eine nordkoreanische IT-Fachkraft identifiziert, sollte die Reaktion auf eine vertrauenswürdige Gruppe beschränkt, mögliche Verbindungen zu Helfern untersucht und Beweise für die Strafverfolgungsbehörden gesichert werden.

Die Behörden raten Unternehmen außerdem, bei ungewöhnlich niedrigen Vertragsangeboten, Forderungen nach Zahlungen in Kryptowährungen und Bewerbern, die Video-Interviews vermeiden oder widersprüchliche Unterlagen vorlegen, vorsichtig zu sein.

Das größere Bild: Sanktionen, Cyberkrieg und die internationale Reaktion

Der Einsatz von IT-Fachkräften im Ausland ist Teil einer umfassenderen nordkoreanischen Strategie zur Umgehung von Sanktionen und Finanzierung der Waffenprogramme. Den Vereinten Nationen zufolge generieren Cyberangriffe inzwischen rund die Hälfte der nordkoreanischen Deviseneinnahmen und 40 Prozent der Mittel für Massenvernichtungswaffen. Die Fähigkeit des Regimes, sich anzupassen, vom Einsatz manueller Arbeitskräfte zur hochqualifizierten Fernarbeit und vom Schwerpunkt USA zu Europa, verdeutlicht die Herausforderungen für internationale Regulierungsbehörden.

Regierungen in den USA, Japan, Südkorea und Europa haben Warnungen herausgegeben, die Durchsetzung verschärft und sowohl ausländische Unterstützer als auch einheimische Komplizen strafrechtlich verfolgt. Freelancer-Plattformen und Tech-Unternehmen werden aufgefordert, die Identitätsprüfung zu verbessern und verdächtige Aktivitäten zu überwachen. Doch wie ein Experte anmerkte: „Nordkoreas Versuche, westliche Unternehmen zum Zweck der Gewinnerzielung und Spionage zu infiltrieren, werden weitergehen. Die Razzien werden die Aktivitäten stören, doch Nordkorea dürfte sich anpassen.“

Zusammenfassung

• Nordkorea hat Tausende IT-Fachkräfte mit gefälschten Identitäten ins Ausland entsandt, um Unternehmen zu infiltrieren und Devisen für das Regime zu verdienen.
• Die Akteure nutzen KI, Deepfakes und ausgeklügelte Methoden des Social Engineering, um sich als legitime Beschäftigte im mobilen Arbeiten auszugeben. Dabei helfen ihnen häufig Unterstützer im Westen.
• Sind sie erst einmal im Unternehmen, können sie Daten und geistiges Eigentum stehlen und sogar Cyberangriffe ermöglichen. Gehälter und gestohlene Gelder fließen in Nordkoreas Waffenprogramme.
• Die Strafverfolgungsbehörden in den USA und anderen Ländern haben Vermögenswerte im Wert von Millionen beschlagnahmt, Unterstützer strafrechtlich verfolgt und Unternehmen zu besseren Einstellungs- und Cybersicherheitspraktiken aufgerufen.
• Da die Durchsetzung strenger wird, hat sich die Operation von den USA nach Europa verlagert. Unternehmen weltweit sollten angesichts dieser sich wandelnden Bedrohung wachsam bleiben.