Das Auswärtige Amt hat gemeinsam mit zehn weiteren Staaten eine förmliche Warnung herausgegeben: Nordkoreanische IT-Fachkräfte schleusen sich systematisch in westliche Unternehmen ein - unter falschen Identitäten, über Remote-Plattformen, mit dem Ziel, Devisen für das Atomwaffenprogramm Pjöngjangs zu beschaffen. Die Warnung ist keine Routinemeldung. Sie markiert einen Punkt, an dem das Thema von einer US-amerikanischen Behördenangelegenheit zu einem gesamtwestlichen Sicherheitsproblem geworden ist - mit direkter Relevanz für den deutschen Mittelstand.
Photo: Albert Stoynov / UnsplashElf Länder, eine Erklärung
Der Warnhinweis wurde von Deutschland gemeinsam mit den USA, Japan, Südkorea, Australien, Frankreich, Italien, Kanada, Neuseeland, Großbritannien und den Niederlanden veröffentlicht. Eine solche Koalition ist ungewöhnlich - und signalisiert, dass die Bedrohung längst nicht mehr auf einzelne Länder beschränkt ist.
Japan, die Vereinigten Staaten und die Republik Korea hatten bereits im August 2025 eine gemeinsame Erklärung zu nordkoreanischen IT-Fachkräften abgegeben, und das multilaterale Sanktionsüberwachungsteam (MSMT) veröffentlichte im Oktober 2025 seinen zweiten Bericht über die Verletzung und Umgehung von VN-Sanktionen durch Nordkorea mittels Cyber-Aktivitäten und IT-Fachkräften. Der jetzt veröffentlichte Warnhinweis des Auswärtigen Amts ist damit keine Erstreaktion, sondern der vorläufige Höhepunkt einer sich verdichtenden internationalen Erkenntnislage.
Das Geschäftsmodell hinter der Masche
Das Grundprinzip ist so simpel wie effektiv: Nordkorea stützt sich auf ein Netzwerk qualifizierter IT-Fachkräfte, die innerhalb und außerhalb Nordkoreas eingesetzt werden, um sich falsche Identitäten zu beschaffen und in Remote-Arbeit Einkommen zu erzielen, mit dem die rechtswidrigen Kernwaffen- und Raketenprogramme Nordkoreas finanziert werden.
Nordkoreanische IT-Fachkräfte verfügen häufig über sehr gute Kenntnisse in IT-Tätigkeiten und suchen über Online-Plattformen und andere Kanäle Arbeit in einem breiten Spektrum - von der Website-Entwicklung über mobile Anwendungen und Software bis hin zu Blockchain-Anwendungen. Sie sind also nicht leicht als Betrüger zu erkennen: Die Qualifikation stimmt, die Arbeit wird geliefert - das Geld fließt nur nicht an den vermeintlichen Auftragnehmer, sondern nach Pjöngjang.
Die IT-Fachkräfte geben sich häufig als Staatsangehörige anderer Länder aus, um über Online-Plattformen Arbeit zu finden und ihre Gehälter an nordkoreanische Agenturen weiterzuleiten.
Rechtliches Risiko für Unternehmen: Der Abschluss von Verträgen mit nordkoreanischen IT-Fachkräften kann gegen nationale Gesetze verstoßen und rechtliche Konsequenzen nach sich ziehen. Laut Resolution 2397 des UN-Sicherheitsrats müssen alle VN-Mitgliedstaaten nordkoreanische Staatsangehörige, die Einkommen erzielen, nach Nordkorea repatriieren. Die Arbeitsgruppe zur Geldwäschebekämpfung (FATF) stuft Nordkorea als Hochrisiko-Land ein.
Technische Infrastruktur: Laptop-Farmen und KI-Deepfakes
Was die Bedrohung von einem gewöhnlichen Bewerbungsbetrug unterscheidet, ist die dahinterstehende Infrastruktur. Viele nordkoreanische IT-Fachkräfte halten sich in Nordkorea, China und Russland sowie in südostasiatischen und afrikanischen Ländern auf, verschleiern aber ihren tatsächlichen Standort durch Proxyserver, VPN, Remote-Desktop-Software und ähnliche Tools. Bekannt ist zudem, dass sie Dritte als Mittelsmänner im Ausland - etwa in den USA - zum Betreiben sogenannter "Laptop-Farmen" nutzen.
In vielen Fällen senden Unternehmen ihren neuen Remote-Mitarbeitern firmeneigene Hardware zu. Was sie nicht wissen: Die Geräte landen oft nicht bei den vermeintlichen Mitarbeitern, sondern in sogenannten "Laptop-Farmen" - zentralen Einrichtungen in westlichen Ländern, in denen Dutzende dieser Endgeräte betrieben und gesteuert werden.
Dabei setzen die Akteure immer raffiniertere Methoden ein, auch unter Nutzung von Künstlicher Intelligenz, um ihre Identitäten zu verschleiern und ihre Aktivitäten weltweit auszuweiten. KI-generierte Bewerbungsfotos, synthetische Stimmen in Videointerviews, automatisch optimierte Lebensläufe - das Täuschungspotenzial wächst mit der Verfügbarkeit generativer KI-Tools.
Nicht nur Gehaltsabschöpfung: Die innere Bedrohung
Wer glaubt, das Risiko beschränke sich auf Sanktionsverstöße und abgezweigte Gehälter, unterschätzt das Problem. Zudem sollen die eingeschleusten Fachkräfte Unternehmen von innen bedrohen und an Datenabfluss sowie dem Diebstahl von Kryptowährungen und sensiblen Informationen beteiligt sein.
Nordkoreanische IT-Fachkräfte können sich von Übersee aus über Firmenlaptops einloggen und so den Anschein erwecken, sie würden aus dem Inland arbeiten. Dies ermöglicht es ihnen, Zugang zu sensiblen Unternehmensdaten zu erhalten und gleichzeitig Einnahmen für das nordkoreanische Regime zu erzielen.
Der finanzielle Schaden ist dabei dokumentiert: Allein eine in Arizona verurteilte Organisatorin ermöglichte Hunderten von Unternehmen die Anstellung vermeintlicher US-Mitarbeiter und generierte so rund 17 Millionen US-Dollar, die nach Einschätzung des US-Justizministeriums der Finanzierung des nordkoreanischen Raketen- und Nuklearprogramms dienen konnten. Das belegen US-amerikanische Strafverfahren aus dem Jahr 2025.
Die USA verhängten Sanktionen gegen sechs Personen und zwei Organisationen, die das globale Netzwerk nordkoreanischer IT-Fachkräfte aufrechterhalten. Washington sieht hinter dem Vorgehen Nordkoreas eine globale Strategie.
Erkennungsmerkmale: Worauf HR-Abteilungen achten sollten
Das Auswärtige Amt listet in seiner Erklärung konkrete Warnsignale auf. Konten, die mit nordkoreanischen IT-Fachkräften in Verbindung stehen, weisen häufig spezifische Merkmale auf. Wenn mehrere dieser Merkmale auf eine Person zutreffen, die sich um eine Stelle bewirbt, handelt es sich möglicherweise um eine nordkoreanische IT-Fachkraft, die in betrügerischer Absicht nach Arbeit sucht.
Strenge Prüfung von Ausweisdokumenten im Original, Bestehen auf persönlichen Vorstellungsgesprächen per Video mit eingeschalteter Kamera. Deepfake-Erkennung in Videocalls einsetzen.
Vor dem Versand firmeneigener Hardware den physischen Aufenthaltsort des Bewerbers unabhängig verifizieren. Adressen, an die Geräte gesendet werden sollen, auf Auffälligkeiten prüfen (z. B. bekannte Weiterleitungsadressen).
Ungewöhnliche Login-Zeiten, VPN-Nutzung oder Fernzugriffssoftware (AnyDesk, AirDroid) auf Firmengeräten als Warnsignal behandeln. Zugriffe aus Hochrisikoregionen protokollieren.
Konten, auf die Gehälter überwiesen werden sollen, auf Auffälligkeiten prüfen — insbesondere häufige Weiterleitungen oder Konten in Drittländern ohne erkennbaren Bezug zum angegebenen Wohnort.
Unternehmen, die IT-Dienstleistungen auslagern, müssen sicherstellen, dass auch ihre Dienstleister strenge Verifizierungs- und Sicherheitsprotokolle anwenden.
Compliance-Risiko für deutsche Unternehmen
Der Abschluss von Verträgen mit nordkoreanischen IT-Fachkräften könnte gegen nationale Gesetze verstoßen und rechtliche Konsequenzen nach sich ziehen. Die Arbeitsgruppe zur Geldwäschebekämpfung stuft Nordkorea als Hochrisiko-Land ein.
Für Unternehmen ab den einschlägigen Schwellenwerten und in den regulierten Sektoren ist die Absicherung von Remote-Zugängen einschließlich einer robusten Identitätsprüfung beim Onboarding heute keine freiwillige Best Practice mehr, sondern eine gesetzlich verankerte Maßnahme der Risikobeherrschung. Versäumnisse in diesem Bereich können direkte Bußgeldrisiken auslösen - unabhängig davon, ob ein konkreter Schadensfall eingetreten ist.
Der Bundesverfassungsschutz hatte bereits im Oktober 2024 eine eigene Warnung vor nordkoreanischen IT-Freelancern herausgegeben. Auch der Bundesverfassungsschutz in Deutschland hat bereits in der Vergangenheit vor angeblichen IT-Freelancern aus Nordkorea gewarnt. Die aktuelle Erklärung des Auswärtigen Amts ist damit keine Überraschung - aber ein deutliches Signal, dass die Bedrohung nicht abgenommen hat.
Einordnung: Ein strukturelles Problem des Remote-Arbeitsmarkts
Die Warnung trifft einen Arbeitsmarkt, der sich nach der Pandemie strukturell verändert hat. Remote-Arbeit ist Standard, internationale Freelancer-Plattformen sind etablierte Beschaffungskanäle - und Identitätsprüfungen hinken dieser Realität oft hinterher. Es handelt sich nicht um einen klassischen Hackerangriff durch Malware, sondern um ein laborbasiertes Zugangsmodell, das auf menschlicher Täuschung und der Manipulation globaler Arbeitsplattformen beruht.
Unternehmen, die Online-Plattformen betreiben, sollten ihre Gegenmaßnahmen weiter verstärken, etwa durch die Verbesserung von Identitätsprüfungsverfahren - strenge Prüfung von Ausweisdokumenten, Bestehen auf persönlichen Vorstellungsgesprächen.
Für den deutschen Mittelstand, der im globalen Wettbewerb auf externe IT-Kapazitäten angewiesen ist, bedeutet das: Der Onboarding-Prozess für Remote-Mitarbeiter und Freelancer ist kein administrativer Formalismus, sondern ein sicherheitsrelevanter Vorgang. Die Warnung des Auswärtigen Amts liefert dafür jetzt den offiziellen Rahmen.
