Nordkorea hat den Cyberkrieg in die Personalabteilung verlagert: Mit KI-generierten Identitäten, Deepfake-Interviews und professionell gefälschten Bewerbungsunterlagen schleusen staatlich gesteuerte Akteure IT-„Fachkräfte” in amerikanische – und zunehmend europäische – Unternehmen ein. Das Recruiting ist zur neuen Frontlinie der Cybersicherheit geworden.
Nordkoreanische Akteure nutzen KI-Tools für systematischen Bewerbungsbetrug bei US-Unternehmen
Wie das Schema funktioniert
Die Vorgehensweise ist erschreckend systematisch: Nordkoreanische Operatoren generieren mit Large Language Models überzeugende Lebensläufe, Anschreiben und LinkedIn-Profile für fiktive IT-Fachkräfte. Ergänzt werden diese Identitäten durch KI-generierte Porträtfotos sowie professionell wirkende Online-Präsenzen.
In Video-Interviews setzen die Akteure teils auf Echtzeit-Deepfake-Technologie oder nutzen Mittelsmänner in westlichen Ländern, die stellvertretend an Gesprächen teilnehmen.
Ziel sind vor allem Remote-Stellen im Bereich Softwareentwicklung – naturgemäß mit wenig physischer Präsenz und breitem Systemzugang.
Einmal eingestellt, nutzen die eingeschleusten Personen ihre Position, um sensible Daten abzugreifen, Hintertüren zu installieren oder schlicht reguläre Gehälter zu beziehen, die über Verschleierungskanäle nach Nordkorea transferiert werden.
Bekannte Fälle und staatliche Reaktion
US-Behörden – darunter FBI und Justizministerium – haben das Phänomen bereits 2023 öffentlich adressiert und mehrere Anklagen erhoben. Schätzungen zufolge haben nordkoreanische IT-Arbeiter auf diese Weise Millionenbeträge erwirtschaftet, die dem Raketenprogramm des Regimes zugutekommen sollen.
Betroffen waren nachweislich Unternehmen aus den Bereichen Technologie, Verteidigung und Finanzdienstleistungen – mehrheitlich in den USA, zunehmend aber auch in Europa.
„Der Einsatz von KI-Werkzeugen hat die Qualität der gefälschten Unterlagen deutlich erhöht. Sprachliche Auffälligkeiten, die früher als Warnsignal galten, sind durch Textgeneratoren weitgehend eliminiert worden.”
Technische und organisatorische Gegenmaßnahmen
Sicherheitsexperten empfehlen Unternehmen, ihre Identitätsverifikation im Recruiting-Prozess grundlegend zu überprüfen. Konkrete Maßnahmen umfassen:
- Live-Videointerviews ohne Filter oder virtuelle Hintergründe
- Anforderung physischer Ausweisdokumente mit mehrstufiger Prüfung
- Abgleich technischer Angaben durch praxisnahe Aufgaben
- Analyse von Metadaten eingereicherter Unterlagen auf automatisierte Erstellung
Auf technischer Ebene empfehlen Fachleute zusätzlich:
- Strikte Zero-Trust-Architekturen für neue Mitarbeitende
- Restriktive Rechtevergabe in den ersten Beschäftigungswochen
- Früherkennung von Anomalien im Nutzerverhalten durch SIEM-Systeme (Security Information and Event Management)
Einordnung für deutsche Unternehmen
Für deutsche Unternehmen ist das Thema keineswegs abstrakt. Remote-First-Strukturen, der anhaltende IT-Fachkräftemangel und die damit verbundene Bereitschaft, Bewerber aus dem Ausland ohne persönlichen Kontakt einzustellen, schaffen strukturell ähnliche Angriffsflächen wie in den USA.
Der Bundesverfassungsschutz hat staatlich gesteuerte Wirtschaftsspionage durch nordkoreanische und andere staatliche Akteure bereits als relevante Bedrohung eingestuft.
Personalverantwortliche und IT-Sicherheitsteams sollten ihre Onboarding- und Verifikationsprozesse gemeinsam auf Schwachstellen prüfen – bevor eine gefälschte Identität zur internen Bedrohung wird.
