Die Methoden nordkoreanischer IT-Betrüger werden zunehmend ausgeklügelter – und damit schwieriger zu durchschauen. Wie Sicherheitsexperten warnen, agieren die Täter oft unter falscher Identität und nutzen dabei ein ganzes Arsenal an digitalen Täuschungsmanövern: Sie greifen auf gestohlene oder gemietete Identitäten zurück, die auf die geografische Lage der anvisierten Unternehmen zugeschnitten sind. Anschließend richten sie authentisch wirkende E-Mail-Adressen und Social-Media-Konten ein, vervollständigt durch gefälschte Portfolios auf Entwicklerplattformen wie GitHub oder LinkedIn. Ziel ist es, sich als legitime Remote-Fachkräfte auszugeben.
Eine Schlüsselrolle bei dieser Täuschung spielt mittlerweile Künstliche Intelligenz. Mit Hilfe von KI-generierten Profilbildern und Software zur Stimmklonung gelingt es den Tätern, glaubhafte Bewerbungen zu simulieren, Bewerbungsgespräche zu führen und sogar Remote-Arbeiten auszuführen – alles unter falscher Identität. Am Ende dieser professionell durchgeführten Betrugsmasche stehen oftmals erfolgreich erschlichene Honorare.
Angesichts dieser hochentwickelten Taktiken rät Microsoft zu erhöhter Wachsamkeit. Unternehmen sollten strengere Prüfverfahren im Einstellungsprozess einführen, etwa durch Identitätsverifikation und Hintergrundchecks. Darüber hinaus sei es entscheidend, technische Richtlinien zu etablieren, die den Einsatz nicht autorisierter IT-Management-Tools unterbinden. Nur so lasse sich die wachsende Bedrohung durch professionelle Cyberakteure eindämmen.
Nordkoreanische IT-Schattenarmee nutzt KI für Cyber-Operationen
Seit 2024 beobachtet Microsofts Threat Intelligence Team verstärkte Aktivitäten nordkoreanischer IT-Fachkräfte, die aus dem Homeoffice agieren – jedoch nicht im herkömmlichen Sinne. Unter dem Deckmantel scheinbar legitimer Remote-Arbeit nutzen diese Mitarbeiter gezielt Künstliche Intelligenz, um ihre wahre Identität zu verschleiern, sensible Daten zu entwenden und Einnahmen für das Regime in Pjöngjang zu generieren.
Professionalisierter Identitätsdiebstahl mithilfe von KI
Die nordkoreanischen Akteure setzen auf fortschrittliche KI-Werkzeuge, um gestohlene Arbeits- und Ausweisdokumente zu manipulieren – etwa durch das Ersetzen von Fotos oder die Bearbeitung von Bildern, um ein professionelleres Erscheinungsbild zu erzeugen. Auch Software zur Stimmveränderung kommt zum Einsatz, um Täuschungsversuche in Bewerbungsgesprächen glaubhafter zu gestalten.
Unterwanderung weltweit – Ziel sind technologieorientierte Branchen
Die Strategie des Regimes geht über Einzelaktionen hinaus: Tausende IT-Fachkräfte, vor allem aus Nordkorea, China und Russland, arbeiten systematisch daran, Unternehmen weltweit zu infiltrieren. Mithilfe von VPNs, Fernwartungstools (RMM) und menschlichen Mittelsmännern verschleiern sie ihren Standort und ihre wahre Identität. Zunächst lag der Fokus auf US-Unternehmen in der Technologie-, Fertigungs- und Transportbranche. Inzwischen weiten sie ihre Aktivitäten auf weitere Branchen und Regionen aus.
Seit 2020 konnten die US-Regierung und die internationale Cybersicherheits-Community Tausende dieser verdeckten Mitarbeiter identifizieren. Die Bedrohung ist real und global.
Schutzmaßnahmen für Unternehmen
Microsoft empfiehlt Unternehmen dringend, ihre Prüfverfahren im Bewerbungsprozess zu verschärfen. Dazu zählen etwa:
-
Gründliche Überprüfung beruflicher und sozialer Online-Profile
-
Abgleich von Kontaktdaten und digitaler Historie
-
Video-Interviews zur Identitätsbestätigung
-
Vorsicht bei externen Personalvermittlungen
-
Richtlinien gegen nicht genehmigte IT-Tools
Microsofts Gegenmaßnahmen
Unter dem Namen Jasper Sleet (ehemals Storm-0287) verfolgt Microsoft gezielt nordkoreanische Akteure, die sich auf betrügerische Remote-Jobs spezialisiert haben. Weitere Gruppen wie Storm-1877 und Moonstone Sleet agieren mit ähnlichen Methoden. Microsoft hat bereits 3.000 Outlook- und Hotmail-Konten gesperrt, die von diesen IT-Fachkräften für ihre Operationen genutzt wurden.
Darüber hinaus wurden in Produkten wie Microsoft Entra ID Protection und Microsoft Defender XDR neue Erkennungsmethoden implementiert, um Kunden frühzeitig auf verdächtige Aktivitäten hinzuweisen. Betroffene Unternehmen wurden individuell informiert und mit Empfehlungen zur Sicherung ihrer Systeme unterstützt.
Transparenz und Prävention
Der aktuelle Blogbeitrag von Microsoft bietet tiefere Einblicke in die Taktiken nordkoreanischer IT-Akteure – von der Nutzung gefälschter Identitäten über den Einsatz von KI bis hin zu konkreten Erkennungs- und Gegenmaßnahmen. Ziel ist es, nicht nur über die Gefahr aufzuklären, sondern Unternehmen weltweit zu befähigen, sich aktiv gegen diese Form der Cyberkriminalität zu schützen.
Die Bedrohung durch nordkoreanische IT-Fachkräfte im Remote-Modus ist kein Einzelfall, sondern Teil eines staatlich orchestrierten Einnahmeprogramms.
Das Ökosystem nordkoreanischer IT-Fachkräfte / Quelle: Microsoft
Um diese Bedrohung einzudämmen, empfiehlt Microsoft eine dreistufige Sicherheitsstrategie, die auf sorgfältige Überprüfung, kontinuierliche Überwachung und gezielte Reaktion setzt.
1. Prüfung: Verdächtige Bewerber enttarnen
Der erste Schutzschild ist ein robustes Überprüfungsverfahren bei der Rekrutierung. Unternehmen sollten darauf achten, ob Bewerber eine glaubwürdige digitale Identität vorweisen können. Dazu zählen eine reale Wohnadresse, keine VoIP-Telefonnummern und gepflegte Social-Media-Profile, die nicht auffällig vielen anderen ähneln.
Auch bei den Bewerbungsunterlagen lohnt ein kritischer Blick: Stimmen Namen, Daten und frühere Arbeitgeber überein? Microsoft rät zudem, Referenzen nicht nur per E-Mail, sondern auch telefonisch oder via Videocall zu kontaktieren – um sicherzustellen, dass es sich um reale Personen handelt.
Ein weiteres Warnsignal: Bewerber, die sich beharrlich weigern, während Online-Gesprächen ihre Kamera einzuschalten oder technische Probleme vorschieben. In solchen Fällen sollten Unternehmen auf einer verifizierbaren Identitätsprüfung bestehen – etwa durch das Vorzeigen eines Ausweises vor der Kamera oder durch einen notariell beglaubigten Identitätsnachweis. Vorstellungsgespräche sollten dokumentiert und sicher archiviert werden.
Besondere Vorsicht gilt bei Kandidaten, die über Personalvermittlungsagenturen vermittelt werden – ein beliebter Angriffsweg nordkoreanischer IT-Fachkräfte, so Microsoft.
2. Überwachung: Auffälliges Verhalten erkennen
Auch nach der Einstellung ist Wachsamkeit geboten. Microsoft zufolge weisen nordkoreanische Fernarbeiter oft ein auffälliges digitales Verhalten auf:
-
Sie nutzen IP-Adressen, die bekannten nordkoreanischen IT-Zentren oder chinesischen sowie russischen Netzwerken zugeordnet werden.
-
Ihre Laptops authentifizieren sich aus Regionen, die nicht mit dem angeblichen Wohn- oder Arbeitsort übereinstimmen.
-
Direkt nach Erhalt eines Firmen-Laptops installieren sie Remote-Management-Software (RMM) in Kombination mit VPNs.
-
Ihre Arbeitszeiten weichen stark von denen ihrer Kollegen ab, und sie beteiligen sich nur minimal an firmeninternen Kommunikationskanälen.
-
Häufig sind sie unter derselben Identität bei mehreren Unternehmen gleichzeitig tätig – besonders bei Freelance-Plattformen oder über Recruiter.
3. Reaktion: Frühzeitiges Eingreifen
Sobald verdächtige Muster – sogenannte „Jasper-Sleet“-Signale – erkannt werden, sollte das Unternehmen unverzüglich in enger Abstimmung mit seinem Insider-Risiko-Team reagieren. Die Devise: Je schneller die potenzielle Bedrohung identifiziert und isoliert wird, desto geringer ist der Schaden.
Nordkoreanische IT-Fachkräfte agieren oft geschickt und gut vorbereitet. Unternehmen sind daher gefordert, ihre Sicherheitsprozesse bei der Einstellung von Remote-Mitarbeitern zu verschärfen – und verdächtige Aktivitäten auch im Arbeitsalltag nicht auf die leichte Schulter zu nehmen.
Fachartikel
Unsicherer Systemstart: Sicherheitslücke in initramfs erlaubt Umgehung von Linux-Bootschutz
SAP Patch Day: Juli 2025
Zweifelhafte Datensätze im Dark Web: Warum Combolists und ULP-Dateien oft keine verlässlichen Hinweise auf Sicherheitsvorfälle liefern
Ransomware-Gruppe BERT attackiert Unternehmen in Asien und Europa auf breiter Front
Streamen Sie Red Sift-Telemetriedaten an Sentinel, Splunk und mehr mit Event Hub
Studien
WatchGuard Internet Security Report: Einzigartige Malware steigt um 171 Prozent – KI-Boom treibt Bedrohungen voran
Zwei Drittel der EU-Institutionen erfüllen grundlegende Cybersicherheitsstandards nicht
Splunk-Studie: Datenflut bedroht Sicherheit und bremst KI – Deutsche Unternehmen im Spannungsfeld von Informationsexplosion und Compliance
Neue CSC-Umfrage: Überwältigende Mehrheit der CISOs rechnet in den nächsten drei Jahren mit einem Anstieg der Cyberangriffe
Accenture-Studie: Unternehmen weltweit kaum gegen KI-basierte Cyberangriffe gewappnet
Whitepaper
ISACA veröffentlicht Leitfaden zu NIS2 und DORA: Orientierungshilfe für Europas Unternehmen
CISA und US-Partner warnen kritische Infrastrukturen vor möglichen Cyberangriffen aus dem Iran
Dating-Apps: Intime Einblicke mit Folgen
Europol-Bericht warnt vor KI-Vorurteilen in der Strafverfolgung – Leitfaden für verantwortungsvollen Technologieeinsatz veröffentlicht
