Nordkorea hat eine seit Langem bestehende Operation ausgeweitet, bei der gefälschte IT-Arbeitskräfte in US-amerikanischen und globalen Technologieunternehmen platziert werden. Dabei setzt das Land auf angeworbene Personen in Drittstaaten, die seinen Operativen helfen, Vorstellungsgespräche zu bestehen und Identitätsprüfungen zu umgehen.

JUST IN: North Korea is reportedly using foreign workers to help its operatives infiltrate U.S. companies through fake remote job applications. pic.twitter.com/m3D3TJQ43R — EyeWhales (@EyeWhales) September 12, 2026

Laut einem Bericht von NBC News vom 11. September 2026, der sich auf US-Beamte und Cybersicherheitsforscher beruft, umfasst das Netzwerk inzwischen Vermittler in Nigeria, Südafrika, Iran, Indien und Teilen Lateinamerikas.

Die grundlegende Methode besteht darin, dass nordkoreanische IT-Arbeitskräfte sich bei ausländischen Unternehmen auf Remote-Stellen im Technologiebereich bewerben. Sobald ein Vertrag abgeschlossen ist, übernimmt typischerweise ein nordkoreanischer Operativer die Position, während das daraus resultierende Gehalt nach Pjöngjang überwiesen wird. Das Geld soll sanktionierte Programme finanzieren, darunter Nordkoreas Bemühungen zur Entwicklung von Waffen.

Der Einsatz von Vermittlern aus Drittstaaten trennt die Person, die während des Einstellungsverfahrens auftritt, von der Person, die die Arbeit letztlich ausführt. Dadurch werden herkömmliche identitätsbasierte Prüfungen in Vorstellungsgesprächen weniger zuverlässig, wenn Arbeitgeber nicht überprüfen, wer die vertraglich vereinbarte Arbeit tatsächlich erledigt.

Wie Vermittler rekrutiert werden

Das Cybersicherheitsunternehmen Flare stellte fest, dass nordkoreanische Operative auf Plattformen wie LinkedIn gezielt nach Entwicklern suchen. In einigen Fällen werden angeworbene Personen mit etwa $500 pro Monat dafür bezahlt, als „interview associates“ zu fungieren. Sie erscheinen während der Vorstellungsgespräche vor der Kamera und geben sich als die tatsächlichen Bewerber aus.

In einer von Forschern geprüften Nachricht sagte ein nordkoreanischer Operativer zu einem potenziellen Rekruten: „You’re from a country that is under sanctions. If you’re still interested in the role, I need to confirm whether you’re comfortable working under someone else’s identity.“

Iran gehört teilweise deshalb zu den Zielländern, weil lokale Entwickler infolge der gegen ihr eigenes Land verhängten Sanktionen nur eingeschränkten Zugang zu internationaler Arbeit haben. Diese Einschränkung könnte dazu führen, dass einige Entwickler solchen Vereinbarungen offener gegenüberstehen.

Die Cybersicherheitsunternehmen Kudelski Security und DTEX bestätigten unabhängig voneinander, dass Entwickler in Südafrika, Syrien, Iran, Nigeria, Pakistan und Teilen Lateinamerikas über das Netzwerk kontaktiert wurden.

Umfang der Operation

Die Vereinten Nationen schätzen, dass Nordkoreas Programme mit Remote-IT-Arbeitskräften jährlich bis zu $600 Millionen einbringen. Eine von den USA geführte Bewertung zur Überwachung von Sanktionen bezifferte den Betrag für 2024 auf bis zu $800 Millionen.

Umfassendere Einschätzungen des US-Geheimdienstes gehen davon aus, dass Nordkoreas jährliche Gesamteinnahmen aus Cyberaktivitäten, einschließlich IT-Arbeitskräfteprogrammen und Kryptowährungsdiebstahl, mindestens $1 Milliarde betragen. Für das Programm mit Remote-Arbeitskräften wird ebenfalls ein jährlicher Ertrag von $600 Millionen bis $800 Millionen geschätzt.

Im Mai 2026 berichtete das Cybersicherheitsunternehmen CrowdStrike, dass staatlich verbundene nordkoreanische Hacker 2025 für Kryptowährungsverluste von mehr als $2 Milliarden verantwortlich gewesen seien. Dies entsprach einem Anstieg von 51% gegenüber dem Vorjahr.

Das Bruttoinlandsprodukt Nordkoreas wuchs nach Angaben der Bank of Korea 2025 trotz der anhaltenden internationalen Sanktionen schätzungsweise um 3,5%.

Im Juli 2026 gaben das US-Außenministerium und das US-Justizministerium gemeinsam mit ausländischen Behörden eine Warnung heraus. Darin hieß es, Nordkorea setze „increasingly sophisticated“ Methoden ein, um außerhalb seiner Grenzen Personen zu rekrutieren und die Identitäten seiner Operativen zu verschleiern.

Das Blockchain-Unternehmen Consensys hatte zuvor offengelegt, dass es Entwicklerarbeiten unwissentlich an einen nordkoreanischen Operativen ausgelagert hatte.