FBI bestätigt: Nordkoreanischer IT-Mitarbeiter arbeitete für US-Bundesbehörde

So funktioniert die nordkoreanische IT-Arbeiter-Masche

Der Vorfall ist Teil einer großflächig orchestrierten Aktion, die die US-Regierung als „IT-Worker-Initiative“ Nordkoreas bezeichnet. Das Programm soll dem Regime Einnahmen verschaffen und gleichzeitig geistiges Eigentum stehlen. Die wichtigsten Merkmale:

• Gestohlene Identitäten und Deepfakes: Die Arbeiter geben sich als US-Bürger aus, indem sie gestohlene Identitäten, gefälschte Dokumente und KI-generierte Deepfakes für Video-Interviews nutzen .
• Remote-Verträge als Einfallstor: Sie bewerben sich gezielt auf Remote-Stellen, da diese oft weniger streng geprüft werden als Festanstellungen . Das FBI betont, dass die Durchdringungsrate in der Privatwirtschaft sogar noch höher ist als im Regierungssektor .
• Massiver Umfang: Nordkoreanische IT-Arbeiter haben sich Jobs bei über 100 US-Unternehmen erschlichen , unterstützt von einem globalen Netzwerk an Drahtziehern .
• Mehrstufige Unterstützung: US-Bürger, chinesische Staatsbürger und andere Helfer beschaffen falsche Papiere, gründen Scheinfirmen und waschen die Gehälter über Konten nach Pjöngjang .

Nationale Sicherheitsrisiken

Der Einbruch in eine Bundesbehörde verschärft eine seit Jahren bekannte Bedrohung drastisch. Die Folgen sind weitreichend:

Finanzierung von Massenvernichtungswaffen. Das US-Außenministerium stellte in einer gemeinsamen globalen Warnung vom 31. Juli 2026 klar, dass Nordkorea mit dieser Masche „seine illegalen Nuklear- und Raketenprogramme finanziert“ . Finanz- und Justizbehörden bestätigten, dass die Gehälter – oft in Kryptowährungen gezahlt und über Scheinkonten geschleust – direkt dem Waffenprogramm zugutekommen . Das Finanzministerium schätzte die Einnahmen aus IT-Betrug für 2024 auf knapp 800 Millionen Dollar .

Diebstahl von geistigem Eigentum und Insider-Gefahr. Einmal im Unternehmen oder in der Behörde, können diese Arbeiter Quellcodes, Geschäftsgeheimnisse und sensible technische Daten entwenden. Das FBI spricht von einem „umfassenden Insider-Risiko“ ; die Warnung des Außenministeriums hob zudem hervor, dass die Arbeiter ihre Arbeitgeber erpressen, indem sie mit der Veröffentlichung gestohlener Daten drohen .

Schaden für Unternehmen und kritische Infrastruktur. Das Justizministerium gab im November 2025 fünf Schuldbekenntnisse und mehr als 15 Millionen Dollar an Zivilstrafen bekannt . Im März 2026 verhängte das Finanzministerium Sanktionen gegen sechs weitere Personen und zwei Organisationen, die an der Geldwäsche aus dem IT-Betrug beteiligt waren .

Zeitleiste der Strafverfolgung: Maßnahmen gegen nordkoreanischen IT-Betrug

Die US-Regierung reagiert mit einem konzertierten Vorgehen aus Strafanzeigen, Sanktionen und öffentlichen Warnungen:

Die Strategie der US-Regierung

Die Antwort ist eine konzertierte Aktion mehrerer Behörden:

• Strafrechtliche Verfolgung durch das Justizministerium gegen Nordkoreaner und ihre Helfer (US-Bürger und Ausländer) .
• Vermögensbeschlagnahmungen von Kryptowährungen, Domains und Immobilien .
• Finanzsanktionen des OFAC gegen Personen, Organisationen und Scheinfirmen .
• Öffentliche Warnungen – inklusive der gemeinsamen globalen Warnung vom 31. Juli 2026 mit über 15 Partnern – mit Hinweisen für Arbeitgeber, Remote-Einstellungen besonders zu prüfen, etwa bei VPN-Nutzung, Proxy-Laptops oder Verweigerung persönlicher Identitätsprüfungen .
• FBI-Fahndungsliste für Schlüsselfiguren wie Jin Sung-Il und Pak Jin-Song .

Was das für Remote-Hiring und die Sicherheit von Behörden bedeutet

Die Bestätigung, dass ein nordkoreanischer IT-Mitarbeiter eine Bundesbehörde infiltriert hat, ist eine gefährliche Eskalation einer gut dokumentierten, staatlich gelenkten Betrugskampagne. Pjöngjang nutzt diese Arbeiter, um geistiges Eigentum zu stehlen, Opfer zu erpressen und Geld direkt in seine Atom- und Raketenprogramme zu leiten. Die USA haben mit Anklagen, Sanktionen, Vermögensbeschlagnahmen und globalen Warnungen reagiert, doch der jüngste Vorfall zeigt, dass erhebliche Lücken in der Überprüfung von Remote-Einstellungen bestehen – insbesondere bei Vertragsarbeit.

Für Arbeitgeber und Sicherheitsexperten ist die Botschaft klar: Remote-Einstellungen – vor allem für Vertragsrollen – erfordern eine rigorose Identitätsprüfung, die über die üblichen Background-Checks hinausgeht. Dazu gehören persönliche oder per Video durchgeführte Identitätsbestätigungen und die Überprüfung auf bekannte Anzeichen nordkoreanischen IT-Betrugs wie VPN-Nutzung, Proxy-Laptop-Regelungen und die Weigerung, sich persönlich zu identifizieren .