SEOUL — Nordkoreas erfolgreichste Hacker – die Einheit, die für den Diebstahl von 6,3 Milliarden US-Dollar aus der Kryptobörse Binance im vergangenen Monat verantwortlich gemacht wird – werden mit Vergünstigungen belohnt, darunter geräumige Wohnungen in Pjöngjang und hohe Devisenprämien, obwohl sie grausame Arbeitszeiten ertragen müssen.

Der Machthaber Kim Jong Un hat auf der Grundlage solcher Anreize eine Armee von Weltklasse-Hackern aufgebaut – mit einem Programm, das auf über einem Jahrzehnt Geschichte zurückblickt und jährlich rund 200 der klügsten Mittelschüler des Landes auswählt, um Computertechnik zu studieren, wie Überläufer und Analysten berichten.

Nur ein Teil der Rekruten wird tatsächlich Hacker, doch die Investition hat sich dramatisch ausgezahlt: Die Gruppe hat sich von den Anfängen mit illegalen Glücksspiel-Webseiten bis zur Ausführung des größten Cyber-Raubzugs der Welt entwickelt, der sich vergangenen Monat ereignete.

„Sie sind tatsächlich eine der geheimen Waffen von Kim Jong Un“, sagte Kim Heung-kwang, ein nordkoreanischer Überläufer, der im Auftrag des Staates Hacker ausgebildet hatte, bevor er 2004 nach Südkorea floh. „Es gibt kein anderes Land, das Hacker derart formt, systematisch nach den klügsten Kindern sucht, nur um daraus Agenten zu machen. Ob sie Hacker sein wollen oder nicht, spielt keine Rolle.“

Das FBI und Binance haben erklärt, Nordkorea sei für den Hack von Binance verantwortlich, was Pjöngjang bestreitet. Blockchain-Ermittlungsfirmen führen den Angriff auf eine nordkoreanische Gruppe namens „TraderTraitor“ zurück. Die Ablehnung passt in ein langjähriges Muster, mit dem das Nordens solche Vorwürfe als inszenierte politische Provokationen zurückweist.

Systematische Auswahl

Nordkorea richtete 1998 eine Cyber-Einheit ein, wertete diese jedoch nach Kims Machtübernahme auf und erklärte 2013, der Cyberkrieg sei neben Atomwaffen und Raketen ein „Universalschwert“, das entscheidend für die Angriffsfähigkeit des Landes sei.

Die Auswahl beginnt in der Mittelschule, wobei Kinder bereits im Alter von 11 oder 12 Jahren von den Behörden identifiziert werden; jährlich werden etwa 150 bis 200 ausgewählt, um Informatik zu studieren, sagte Kim Heung-kwang, der frühere Ausbilder, und zwei Überläufer, die im IT-Bereich arbeiteten.

Mit 17 werden die besten Absolventen an Nordkoreas beste Universitäten geschickt und einer weiteren Prüfung unterzogen, bevor ein ausgewählter paar schließlich als Hacker in die militärische Cyber-Einheit eintritt, sagten die Überläufer. Die Auszubildenden studieren Kryptowährungs-Protokolle und das Reverse-Engineering ausländischer Hardwaregeräte, neben klassischeren Fächern wie höherer Mathematik und Fremdsprachen, sagte einer von ihnen.

Wer nicht Hacker wird, wird stattdessen ausgebildet, über Remote-Jobs Software oder Apps für westliche Firmen zu entwickeln. Diese Trennung schafft für das Programm ein Einnahmemodell mit zwei Wegen – auf der einen Seite Beute aus Raubzügen, auf der anderen Seite Löhne aus verdeckter Fernarbeit in westlichen Firmen.

„Während Südkoreas beste Schüler möglicherweise Medizin oder andere angesehene Laufbahnen einschlagen, leitet Nordkorea die besten Talente in Atom- und Cyberprogramme und sichert ihnen damit im Grunde ihre Zukunft“, sagte Lim Jongin, emeritierter Professor an der Fakultät für Cybersicherheit der Korea University.

Privilegien des Berufs

Zu den gebotenen Privilegien gehören Auslandsreisen in verbündete Länder wie China, wo der Internetzugang freier möglich ist. Erfolgreiche Angriffe können der Militäreinheit der Hacker bis zu 30 % der Raubbeute in US-Dollar einbringen, und die Aktiven können sogar eine Wohnung in der Hauptstadt erhalten, in der auch ihre Eltern wohnen können, sagte Kim Heung-kwang.

„Es gibt Berichte, dass erfolgreiche Cyberkräfte Wohnungen in Pjöngjang erhalten“, sagte Lim, unter Verweis auf Wohnungen mit bis zu 132 Quadratmetern (1.420 Quadratfuß).

Leistungsstarke Kräfte kommen zudem für eine Mitgliedschaft in der Regierungspartei und hochrangige Ehen in Elitefamilien in Frage, sagte einer der Überläufer.

Es bleibt eine kleine Gruppe: Nordkoreas Cyberkriegsführung beschäftigt etwa 8.400 Menschen, wie der südkoreanische Geheimdienst 2024 schätzte.

Die staatlichen Medien Nordkoreas feiern die Erfolge solcher Hacker nicht öffentlich, heben aber regelmäßig Schüler hervor, die Talent für Programmierung zeigen. 2015 eröffnete das Land die Mirae Scientists Street in der Hauptstadt, ein Bauprojekt, an dem Kim Jong Un persönlich eng beteiligt war, wie Staatsmedien berichteten. Die offizielle Bezeichnung der Hacker im Norden sei „Wissenschaftler“ oder „Forscher“, sagte einer der Überläufer.

Der staatliche Vorteil

Weitere mit Nordkorea verbundene Hackergruppen sind die Lazarus Group, auch bekannt als APT38, der die USA 2022 vorwarfen, Kryptowährungen im Wert von Hunderten Millionen Dollar aus der Ronin-Blockchain gestohlen zu haben. Das FBI hat erklärt, TraderTraitor sei Lazarus zugehörig.

Die staatliche Unterstützung macht die Hacker des Nordens nach Angaben von Analysten gefährlicher und schwerer abzuwehren, weil sie für Hack nach Hack keine Konsequenzen fürchten müssen und so ihre Strategien perfektionieren können. Für Kryptowährungsplattformen ist diese Hartnäckigkeit der Kern der Bedrohung: Anders als übliche kriminelle Banden kann das Programm Fehlschläge verkraften, sein Handwerk über mehrere Operationen hinweg verfeinern und sich immer wieder derselben Zielkategorie zuwenden.

„In der Welt des Cyberverbrechens genügt oft schon ein Fehler … damit die Strafverfolgung dich fasst“, sagte Alec Zebrick, Senior Manager for Asia-Pacific Global Services bei Chainalysis. Doch Nordkoreas Hacker „tun dies für das Regime, also werden sie fortfahren, auch nach Erfolgen“, fügte er hinzu. „Auch nach Fehlschlägen werden sie weitermachen, weil es für die internationale Gemeinschaft sehr schwer ist, gegen sie vorzugehen.“

Gruppen, die mit nordkoreanischen IT-Kräften zu tun hatten – die für das Kim-Regime Gelder durch Remote-Tech-Jobs bei westlichen Firmen erwirtschaften –, beschreiben sie als hochgradig organisiert, höflich im Umgang und eifrige Nutzer von KI.

„Es gab eindeutig eine Struktur, wie man sie aus dem Militär kennt. Strenge Zeiten, Stiefelputzen, sehr ordentlich“, sagte der YouTuber Deeveeaar, der behauptet, in Kameras eingebrochen zu sein, die nordkoreanische IT-Kräfte bei der Arbeit beobachteten. „Zu sagen, sie ‚nutzen viel KI‘, ist eine Untertreibung. KI ist das eigentliche Rückgrat ihrer Operation“, sagte er unter Verweis auf bezahlte ChatGPT-Konten, Claude Code und Cursor unter vielen KI-Tools. „Damit schreiben sie Code, ändern ihre Lebensläufe und erstellen neue. Und fälschen sogar Dokumente und Identitäten.“

Binance sagte, die Hacker hätten ein Scheinbewertungsgespräch und in einer Werbung versteckte Software genutzt, um die Rechner der Mitarbeitenden zu kompromittieren, und anschließend ein internes KI-Tool eingesetzt, um die Kontrolle über Systeme zu übernehmen. 2025 erklärte ein aus 11 UN-Mitgliedstaaten gebildetes Sanktionsüberwachungsteam, TraderTraitor habe sowohl ChatGPT- als auch DeepSeek-Konten erhalten.

Harte Arbeitsbedingungen

Doch der Lebensstil eines Hackers oder Elite-Techkräfte für Nordkorea ist hart, besonders bei einer Mission oder einem Auslandseinsatz, sagen ehemalige IT-Kräfte und Menschenrechtsgruppen.

Beengtes Wohnen, oft mehr als 10 Stunden Arbeit am Tag, ständige Überwachung und strenge Ziele gehören zu den Nachteilen, sagten ehemalige IT-Kräfte, die für einen Bericht der Menschenrechtsorganisation PSCORE aus dem Vorjahr befragt wurden.

„Es gibt immer Druck, weiter Geld zu verdienen“, sagte die Geschäftsführende Direktorin der Organisation, Nam Bada. „Der Stress ist extrem, und wegen der psychischen Belastung entwickeln Menschen Gesundheitsprobleme, die sie vorher nicht hatten.“

IT-Kräfte müssen ein monatliches Ziel in Dollar erreichen oder Demütigungen und andere Strafen fürchten, sagte sie.

Dennoch dürfte der Erfolg der Hacker den nordkoreanischen Machthaber ermutigen, je besser sie werden und je ehrgeiziger sie auftreten, sagen Analysten.

„Wir sehen, dass sie sich zunehmend dem zuneigen, was wir ‚Big Game Hunting‘ nennen“, sagte Zebrick. „Sie zielen also auf einige dieser größeren Organisationen ab, die potenziell größere Geldbestände haben, die sie erlangen könnten. Das sind schwerere Ziele. Wie der Fall Binance jedoch zeigt, kann die Auszahlung die Mühe durchaus wert sein.“

— Reuters