Nordkoreanische IT-Fachkräfte zielen auf Großbritannien ab: Was sollten Sie tun?

By Phil Muncaster • 9. Juni 2026 • 8 Minuten Lesezeit

Bis vor Kurzem galt das Insiderrisiko weitgehend als auf Einzelfälle beschränkt. Gefährlich, ja. Doch meist die Folge fahrlässiger Mitarbeiter oder eines einzelnen Täters, der von Gier oder Rache getrieben war. Die Entdeckung einer jahrelangen Kampagne Nordkoreas zur Infiltration westlicher Unternehmen hat diese Annahmen jedoch grundlegend verändert. Die schlechte Nachricht für britische CISOs: Laut Google betrifft das Problem nicht mehr nur US-amerikanische Unternehmen.

Da Pjöngjang die Bedrohung durch Insider auf eine ganz neue Ebene hebt, was können Sicherheitsverantwortliche und ihre Kollegen aus der Personalabteilung tun, um die Übeltäter auszusortieren? Und wie kann verhindert werden, dass die nächste Welle von Spionen sich in interne IT-Positionen einschleicht?

Die neuesten TTPs

Gemäß MicrosoftNordkoreas „betrügerisches Fernarbeitsprogramm“ läuft mindestens seit 2020 und hat Tausende von IT-Fachkräften in Positionen in westlichen Organisationen vermittelt. Anklagen nordkoreanischer Spione und lokaler Moderatoren Weitere Untersuchungen folgten und enthüllten das Ausmaß der Operation. Laut Jamie Collier, leitender Berater der Google Threat Intelligence Group (GTIG), scheint sie sich nun nach Europa auszudehnen.

„Das Ausmaß der Bedrohung durch IT-Mitarbeiter aus Nordkorea nimmt stetig zu, und britische Organisationen stehen fest im Fokus. Was als vorwiegend auf die USA ausgerichtete Operation begann, hat sich zu einer globalen Kampagne ausgeweitet, wobei Europa nun ein Hauptziel ist“, erklärt er gegenüber IO (ehemals ISMS.online).

„In einem Fall nutzte ein IT-Mitarbeiter der DVRK Mittelsmänner in den USA und Großbritannien. Ein Firmenlaptop, der eigentlich für New York bestimmt war, erwies sich in London als betriebsbereit. Dies deutet auf eine komplexe Logistikkette hin, in der Geräte und Zugänge effektiv über vertrauenswürdige Standorte umgeleitet werden, wodurch die Akteure ihre wahre Identität und ihren Standort verschleiern können.“

Diese Arbeiter erstellen, mieten oder kaufen Identitäten, die dem Standort der Zielorganisation entsprechen, und eröffnen neue E-Mail-, Social-Media- und GitHub-Konten, um eine überzeugende berufliche Online-Identität aufzubauen. Ihre Helfer bestätigen diese gefälschten Identitäten und unterstützen sie, indem sie Firmengeräte weiterleiten und Laptop-Farmen betreiben. Die Arbeiter nutzen Fernwartungstools, um sich mit diesen Gerätefarmen, die sich in der Nähe ihres Einsatzortes befinden, zu verbinden, während VPNs, virtuelle private Server (VPS) und Proxy-Dienste ihre wahre Identität verschleiern. KI-gestützte Deepfake-Bilder und -Videos sowie Software zur Stimmveränderung werden ebenfalls eingesetzt, um die Arbeitgeber im Dunkeln zu lassen.

Ein aktueller Bericht Die Studie von Flare und IBM X-Force enthüllt weitere Details zur Raffinesse dieser Machenschaften. Sie zeigt den Einsatz nordkoreanischer IT-Management-Plattformen wie „RB Site“ und „NetkeyRegister“ auf, die für einen strukturierten Backoffice-Betrieb zur Arbeitsverfolgung, Geräteverwaltung und Verteilung von Software-Updates genutzt werden. Zudem wird IP Messenger für verdeckte Kommunikation eingesetzt.

Die Arbeit der Sicherheits- und Personalabteilungen wird dadurch erschwert, dass das Ziel der Kampagne in den meisten Fällen nicht unbedingt Datendiebstahl oder Erpressung ist, sondern schlichtweg die Generierung von Geld für das Kim-Jong-un-Regime. Flare schätzt, dass dadurch jährlich bis zu 500 Millionen US-Dollar eingenommen werden, wobei einige Mitarbeiter gleichzeitig mehrere Jobs ausüben.

„In manchen Fällen sichern sie sich nicht nur Positionen, sondern zeichnen sich darin auch aus“, sagt Collier von Google. „Als wir einen Kunden darüber informierten, dass einer seiner Mitarbeiter ein nordkoreanischer Agent sei, lautete die Antwort: ‚Sind Sie sich hundertprozentig sicher? Er ist schließlich einer unserer besten Mitarbeiter.‘“

Die Bedrohung durch Insider zähmen

Doch selbst wenn nordkoreanische IT-Mitarbeiter nicht aktiv Daten stehlen oder ihre Arbeitgeber erpressen, stellt allein ihre Anwesenheit ein erhebliches Compliance-Risiko dar.

„Die Empfehlung des Office of Financial Sanctions Implementation vom September 2024 lässt kaum Raum für Unklarheiten. Die Bezahlung eines IT-Mitarbeiters aus Nordkorea, selbst unwissentlich, kann einen Verstoß gegen die Finanzsanktionen Großbritanniens und der Vereinten Nationen darstellen. Die Strafen sind zivilrechtlicher Natur (Gefährdungshaftung, Unwissenheit schützt also nicht vor Strafe) oder strafrechtlicher Natur (bis zu sieben Jahre Haft)“, erklärt Adrian Cheek, leitender Cyberkriminalitätsforscher bei Flare.

„OFSI verhängte im Geschäftsjahr 2024/25 Bußgelder in Höhe von rund 500,000 £ und unterzeichnete im selben Jahr eine neue Vereinbarung mit dem US-Finanzministerium, was eine verstärkte transatlantische Zusammenarbeit in diesen Fällen bedeutet. Wenn Ihr Unternehmen auch in den USA tätig ist, sind Sie auf beiden Seiten Risiken ausgesetzt, und das damit verbundene Reputationsrisiko liegt auf der Hand.“

Cheek beschreibt mehrere Schritte, die Organisationen in Betracht ziehen sollten, um die Bedrohung zu mindern. Dabei sollte zunächst der Einstellungsprozess optimiert werden, da sich so der größte Schaden verhindern lässt.

„Beginnen Sie mit den Grundlagen: Überprüfen Sie die Identität anhand eines amtlichen Ausweises, bestätigen Sie das Recht auf Arbeit und prüfen Sie unabhängig den beruflichen Werdegang und die Referenzen. Rufen Sie nicht einfach die Nummer im Lebenslauf an“, erklärt er gegenüber IO (ehemals ISMS.online). „Bei allem, was sensible Systeme oder Daten betrifft, sollten Sie weitergehende Prüfungen durchführen. Die Sicherheitsüberprüfung nach BS 7858 umfasst eine verifizierte fünfjährige Beschäftigungshistorie ohne unerklärliche Lücken, Überprüfungen auf Sanktions- und Beobachtungslisten sowie – sofern gesetzlich zulässig – Prüfungen der finanziellen Integrität.“

Als nächstes sollte ein verbessertes Auswahlverfahren für Vorstellungsgespräche folgen.

„Das ist der Punkt, den die meisten Ratgeber übersehen. Standardmäßige technische Vorstellungsgespräche lassen sich mit KI auf einem zweiten Bildschirm kinderleicht bestehen – genau das tun diese Mitarbeiter. Man muss Interviews entwickeln, die diesen Ablauf unterbrechen“, sagt Cheek. „Bauen Sie etwas Falsches ein und beobachten Sie die Reaktion. Stellen Sie Fragen, die eine echte Meinung erfordern, keine Standardantwort. Vermeiden Sie alles, was ein Kandidat mit einem auswendig gelernten Text beantworten könnte.“

Personalverantwortliche sollten zudem auf Live-Bildschirmübertragung bestehen und die Interviewformate zwischen den Runden ändern, um potenzielle Betrüger zu entlarven. „Wenn die Sprachgewandtheit der Kandidaten deutlich nachlässt, weil sie sich nicht vorbereiten können und keine KI-Unterstützung zur Verfügung steht, ist das ein deutliches Warnsignal“, so Cheek.

Für Positionen mit Zugriff auf sensible Daten ist mindestens ein persönliches Treffen unerlässlich.

Schließlich können Organisationen das Risiko, einen potenziellen nordkoreanischen Mitarbeiter in ihren Reihen zu haben, mindern, indem sie das Prinzip der minimalen Berechtigungen anwenden, lokale Administratorkonten deaktivieren und die Möglichkeit zur Installation von Remote-Desktop-Tools einschränken, schlussfolgert Cheek.

„Geben Sie neuen Auftragnehmern nicht gleich am ersten Tag die Schlüssel zu allen Repositories und internen Tools. Gewähren Sie den Zugriff schrittweise und überprüfen Sie ihn regelmäßig“, sagt er. „Und falls Sie kein verwaltetes Gerät bereitstellen können, stellen Sie sicher, dass eine gleichwertige Protokollierung und Endpunkttransparenz vorhanden ist.“

Zusammenarbeit mit der Personalabteilung

Viele dieser Maßnahmen erfordern, dass die Sicherheitsteams Brücken zu ihren HR-Kollegen schlagen, sagt Adenike Cosgrove, Cybersicherheitsstrategin bei Mimecast.

„Zusammenarbeit muss standardmäßig in den Rekrutierungsprozess integriert werden und darf nicht als Eskalationsschritt behandelt werden“, erklärt sie gegenüber IO. „Die Personalabteilung ist oft die erste Verteidigungslinie. Sie erkennt die ersten Anzeichen: Kandidaten, die Fragen zur Identität ausweichen, sich der Verifizierung widersetzen oder sich inkonsistent verhalten. Ohne einen klaren Kommunikationskanal, um diese Bedenken der Sicherheitsabteilung zu melden, gehen diese Anzeichen verloren.“

Das Gleiche sollte auch für das Offboarding gelten, um sicherzustellen, dass der Netzwerkzugriff nach der Kündigung eines mutmaßlich böswilligen Insiders sofort entfernt wird, sagt sie.

„Nichts davon funktioniert ohne vorherige Absprache: darüber, was die Personalabteilung dem Sicherheitsdienst meldet, was der Sicherheitsdienst zurückmeldet und wie Entscheidungen getroffen werden, wenn die Lage unklar ist“, fügt Cosgrove hinzu.

„Insiderrisiken sind letztendlich ein Problem der Mitarbeiter. Die Teams, die am engsten mit den Mitarbeitern zu tun haben, und die Teams, die am engsten mit den Daten arbeiten, müssen nach denselben Richtlinien vorgehen. Wenn Personalabteilung und Sicherheit nicht als ein System zusammenarbeiten, kann diese Bedrohung ungehindert die Lücke zwischen ihnen ausnutzen.“

Die Rolle von Best-Practice-Rahmenwerken

Die gute Nachricht ist, dass Normen wie ISO 27001 zwar angesichts solcher Bedrohungen „losgelöst“ erscheinen mögen, „in der Praxis aber relevanter denn je sind“, sagt Cosgrove.

„ISO 27001 bietet Struktur“, fügt sie hinzu. „Es erzwingt die Abstimmung zwischen Personalüberprüfung, Zugangskontrollen und Sicherheitsaufsicht, und genau dort liegt diese Bedrohung.“

Flare's Cheek geht noch weiter. Er nennt NIST CSF 2.0 als relevant für multinationale Konzerne oder Unternehmen, die mit US-Kunden zusammenarbeiten. Cyber Essentials sei zwar grundlegend, enthalte aber nützliche Anforderungen an die Zugriffskontrolle. ISO 27001 sei jedoch die umfassendste Norm zur Bekämpfung der nordkoreanischen Bedrohung, argumentiert er.

Cheek nennt folgende Punkte als nützlich und relevant:

Anhang A 6.1 (Screening), der Hintergrundüberprüfungen im Verhältnis zum Risikoniveau der Stelle sowie ein fortlaufendes Screening vorschreibt
Anhang A 5.16 (Identitätsmanagement) erfordert eine eindeutige Benutzeridentifizierung und verbietet gemeinsam genutzte Konten
Anhang A 6.5 und 6.6, die vorschreiben, dass die Vertraulichkeitsverpflichtungen auch nach Beendigung des Arbeitsverhältnisses fortbestehen und der Zugriff sofort widerrufen wird, mindern die Risiken der Erpressung.
Anhang A 6.7 (Fernarbeit), der die Risiken unkontrollierter Geräte zur Überprüfung der physischen Anwesenheit von Fernarbeitern abdeckt

„Der eigentliche Wert von ISO 27001 liegt jedoch im kulturellen Aspekt“, schlussfolgert er. „Forscher betonen seit über einem Jahr, dass die Verantwortung für Insiderrisiken eine gemeinsame Aufgabe der Bereiche Sicherheit, Personalwesen, Recht, Revision und Finanzen sein muss. ISO 27001 bietet die nötige Struktur, um dies zu erreichen.“