WaterPlum und Nordkoreas Schein-IT-Kräfte: Zwei Risiken aus derselben Struktur

WaterPlum – in der Sicherheitsbranche auch als Contagious Interview bekannt – und der Einsatz nordkoreanischer IT-Kräfte unter falscher Identität sind mehr als zwei Varianten von Bewerbungsbetrug. Nach Einschätzung der japanischen National Police Agency (NPA) und des FBI operieren WaterPlum-Akteure und ein Teil dieser IT-Kräfte unter dem 313. Generalbüro. Dieses ist dem Munitionsindustrie-Departement unterstellt, das wiederum dem Zentralkomitee der Partei der Arbeit Koreas zugeordnet ist.5

Die Methoden unterscheiden sich, ergänzen sich aber strategisch:

• WaterPlum täuscht Jobsuchende mit falschen Recruitern und vermeintlichen Auswahlverfahren, um Geräte zu kompromittieren, sensible Daten abzugreifen und Kryptowährungen zu stehlen.
• Schein-IT-Kräfte erschleichen sich mit verdeckter Identität und verschleiertem Standort echte Remote-Aufträge. Das schafft Einnahmen – und kann zugleich einen potenziellen Insider-Zugang zu Unternehmen eröffnen.517

Die Zuordnung bedeutet nicht, dass jedes Opfer eines WaterPlum-Angriffs später Teil des IT-Arbeiter-Schemas wird oder jede betrügerisch beschäftigte IT-Kraft an WaterPlum beteiligt ist. Der Zusammenhang ist laut Behörden organisatorisch und strategisch.5

Sieben Behörden hinter der Warnung vom 18. September

Die gemeinsame Cybersecurity-Warnung vom 18. September wurde von sieben Stellen aus Japan, den USA, Australien und Deutschland veröffentlicht:1

1. der japanischen National Police Agency (NPA),
2. dem japanischen National Cybersecurity Office (NCO),
3. dem Federal Bureau of Investigation der USA (FBI),
4. dem Cyber Crime Center des US-Verteidigungsministeriums (DC3),
5. dem Australian Cyber Security Centre (ACSC) beim Australian Signals Directorate,
6. dem Bundesnachrichtendienst (BND) und
7. dem Bundesamt für Verfassungsschutz (BfV).

Die Behörden benennen die Gruppe als WaterPlum und verweisen auf ihre Verbindung zur weithin als Contagious Interview bezeichneten Kampagne.1

Das Bewerbungsgespräch als Einfallstor

WaterPlum gab sich als Recruiter oder potenzieller Arbeitgeber aus. Zielpersonen waren IT-Fachleute – darunter Webdesigner, Entwickler sowie Beschäftigte aus den Bereichen Kryptowährungen, Blockchain und Web3.14

Die Kontaktaufnahme wirkte wie ein gewöhnlicher technischer Einstellungsprozess: Betroffene erhielten etwa eine angebliche Programmieraufgabe oder sollten während eines Videointerviews eine vermeintliche Fehlerbehebung für die Konferenzsoftware installieren. Tatsächlich führten die Dateien oder Anweisungen zur Installation von Schadsoftware.15

Damit wird ein eigentlich vertrauter Vorgang zum Angriffsweg. Statt direkt ein Unternehmen anzugreifen, nutzen die Täter Vertrauen, Zeitdruck und die Aussicht auf eine attraktive Stelle bei den Bewerbenden aus.

Mindestens 30.000 infizierte Geräte und 10,71 Millionen US-Dollar

Nach Einschätzung der Behörden infizierte WaterPlum von Dezember 2025 bis Juli 2026 mindestens 30.000 Geräte in mehr als 100 Ländern. Gelder oder Zugangsdaten im Zusammenhang mit mehr als 7.000 Krypto-Wallets wurden kompromittiert; die Operation erhielt Kryptowährungen im Wert von rund 10,71 Millionen US-Dollar.14

Die Zahlen zeigen eine breit angelegte Kampagne gegen technische Fachkräfte mit klarer finanzieller Zielsetzung. Besonders problematisch ist der Diebstahl von Zugangsdaten: Selbst wenn ein unmittelbarer Geldtransfer scheitert, können kompromittierte Konten für weitere Betrugsversuche missbraucht werden.

Schein-IT-Kräfte: Der andere Weg ins Unternehmen

Beim separaten IT-Arbeiter-Schema verschleiern die Beteiligten ihre wahre Identität und ihren Aufenthaltsort, um Remote-Verträge zu erhalten. US-Behörden warnen, dass nordkoreanische IT-Kräfte dabei auch Drittpersonen als Vermittler oder Helfer einsetzen können. Unternehmen sollen deshalb ihre Identitätsprüfung verschärfen und verdächtige Kontoaktivitäten erkennen.17

Der praktische Unterschied ist entscheidend:

• WaterPlum greift Bewerbende von außerhalb an – über falsche Recruiter und präparierte Unterlagen für Interviews.
• Schein-IT-Kräfte versuchen, als scheinbar reguläre Auftragnehmer oder Beschäftigte in Organisationen zu gelangen – mithilfe falscher Angaben zu Identität und Standort.

Im ersten Fall stehen unmittelbare Kompromittierung und Krypto-Diebstahl im Vordergrund. Im zweiten entsteht das Risiko eines längerfristigen Zugangs zu Systemen, Daten, Zugängen oder Firmengeräten.

Der Fall Neuseeland: Identitätsbetrug kann in Erpressung münden

Das neuseeländische National Cyber Security Centre berichtete über ein großes Unternehmen, das einen Remote-IT-Auftragnehmer unter falscher Identität eingestellt hatte. Als das Unternehmen misstrauisch wurde, drohte der Auftragnehmer damit, sensible Informationen zu veröffentlichen.18

Der Fall macht deutlich: Identitätsbetrug ist nicht bloß ein Problem für Personalabrechnung oder Compliance. Wer unter falschem Namen eingestellt wird, kann bis zur Aufdeckung bereits Zugriff auf Unternehmensdaten, IT-Systeme, Zugangsdaten oder bereitgestellte Hardware erhalten haben.

Welche Schutzmaßnahmen Arbeitgeber priorisieren sollten

Personalabteilung, Recruiting, IT, Informationssicherheit und Einkauf sollten bei Remote-Technikrollen abgestimmt handeln. Die US-Leitlinien empfehlen insbesondere eine strenge Prüfung von Identitätsdokumenten, persönliche Gespräche, wo angemessen, sowie Systeme zum Erkennen auffälliger Angaben in Konten.17

Wichtige Maßnahmen sind:

• Unabhängig verifizieren: Ausweisdokumente, beruflichen Werdegang, Referenzen, Zahlungsdaten und den angegebenen Standort über Quellen prüfen, die nicht allein vom Bewerber stammen.
• Live-Prüfungen ernst nehmen: Live-Interviews nutzen und Widersprüche bei Identität, Standort oder technischer Präsenz untersuchen. Ein Videogespräch allein ist kein abschließender Identitätsnachweis.
• Geräte und Zugriffe kontrollieren: Firmenhardware nicht versenden, bevor Identität und Beschäftigungsmodell plausibel geprüft sind. Danach sollten verwaltete Geräte und das Prinzip minimaler Berechtigungen gelten.
• Auffällige Zugriffe beobachten: Unerwartete Proxy-Nutzung, widersprüchliche Login-Standorte, ungewöhnliche Fernsteuerungsaktivitäten und auffällige Datenbewegungen überprüfen.
• Eskalation vorbereiten: Klare Abläufe für Sicherheitsuntersuchungen, Sperrung von Zugängen, Rechtsprüfung und den Umgang mit Erpressungsversuchen festlegen.

Fazit: Beide Seiten des Einstellungsprozesses absichern

WaterPlum zeigt, dass ein Bewerbungsgespräch als Mechanismus zur Verbreitung von Schadsoftware missbraucht werden kann. Das Schema der Schein-IT-Kräfte zeigt die Gegenrichtung: Auch die Einstellung selbst kann ein Einfallstor sein.

Die von NPA und FBI festgestellte Verbindung über das 313. Generalbüro unterstreicht die zentrale Konsequenz: Organisationen müssen beide Seiten des Arbeitsmarkts schützen – Jobsuchende vor falschen Recruitern und Arbeitgeber vor identitätsbasierter Unterwanderung.5