Beobachtung
Nordkoreanische IT-Worker bieten bereits seit Längerem ihre Arbeitskraft unter falschen Identitäten per Telearbeit an, um dem nordkoreanischen Regime Devisen zu verschaffen. Die Cyberabwehr warnte zuletzt im Juli 2026 in einem Sicherheitshinweis vor der Einstellung solcher IT-Spezialisten. Ein aktueller Bericht des IT-Sicherheitsdienstleisters Silent Push zeigt, dass nordkoreanische IT-Worker Mittelsmänner aus der EU, den USA und südamerikanischen Ländern rekrutieren, um ihre Identität zu verschleiern. In einer Warnmeldung machte auch das Auswärtige Amt mit weiteren internationalen Partnern auf die zunehmende Nutzung von Mittelsmännern durch nordkoreanische IT-Worker aufmerksam.
Methodik
Dem Bericht zufolge wurde eine entsprechende Ausschreibung über den Onlinedienst Discord verbreitet. Demzufolge werden Personen aus den vorgenannten Regionen gesucht, welche die Kommunikation mit dem Kunden übernehmen und dafür am Gewinn beteiligt werden sollen. Der Aufgabenbeschreibung nach sollen die Mittelsmänner vorgeben, für einen Auftraggeber zu arbeiten, während die eigentliche Arbeit vom IT-Worker übernommen wird. Dabei unterstützt der nordkoreanische Hintermann seinen Mittelsmann mit Briefings, Instant Messages sowie der Übernahme etwaiger Programmieraufgaben im Einstellungsprozess.
Attribution
Viele Indizien sprechen dafür, dass es sich um eine Variante des Modus Operandi „IT-Worker“ handelt, welcher Nordkorea zugeordnet werden kann. Nordkoreanische Nachrichtendienste bemühen sich so darum, Anstellungen oder Projektaufträge bei Unternehmen weltweit, auch in Baden-Württemberg, zu erlangen. Unternehmen, die IT-Fachkräfte Nordkoreas beschäftigen, unterstützen die Devisenbeschaffung des Regimes und helfen mittelbar deren Nuklear- und Raketenprogramm zu finanzieren. Weiterhin können Sanktionsverletzungen zu juristischen Konsequenzen und Compliance-Verstöße zu einem Reputationsverlust führen.
Empfehlung
Wir empfehlen weiterhin vorbeugende Einstellungs- und Sicherheitsprozesse im Unternehmen (Pre-Employment Screening).
Die Identität von Bewerbern sollte vor der Einstellung sicher verifiziert werden. Auch hinter Personen vom europäischen und amerikanischen Kontinent könnte ein nordkoreanischer Hintermann stecken. Referenzen, Qualifikation und Lebenslauf sollten auf Plausibilität geprüft und eine besondere Aufmerksamkeit auf ausschließlich remote durchgeführte Einstellungsverfahren gelegt werden. Zugriffsrechte empfehlen wir nach dem Least-Privilege-Prinzip zu vergeben und regelmäßig das Erfordernis von privilegierten Rechten zu prüfen. Achten Sie weiter auf ungewöhnliche Anmeldeorte, Gerätewechsel sowie entsprechende Netzwerkaktivitäten.
Abschließend raten wir zur Sensibilisierung von HR-, Recruiting- und IT-Sicherheitsbereichen im Unternehmen auch hinsichtlich dieser Variante des IT-Workers. Melden Sie Verdachtsfälle möglichst frühzeitig den Sicherheitsbehörden.