Die Bedrohungslage für IT-Fachkräfte in Deutschland und weltweit hat eine neue, gefährliche Dimension erreicht. Deutsche Nachrichtendienste, darunter das Bundesamt für Verfassungsschutz und der Bundesnachrichtendienst (BND), haben in einer gemeinsamen Warnung mit internationalen Partnern aus den USA, Japan und Australien eine akribisch geplante Cyberkampagne der staatlich gelenkten nordkoreanischen Gruppierung „Waterplum“ aufgedeckt. Diese verfolgt ein klares Ziel: den Diebstahl von Kryptodevisen, um die durch UN-Sanktionen isolierte Führung in Pjöngjang mit dringend benötigten Geldmitteln zu versorgen und letztlich das umstrittene Atom- und Raketenprogramm zu finanzieren.
Die perfide Masche: Wie die Angreifer IT-Fachkräfte manipulieren
Die Strategie der Gruppe, die in der IT-Sicherheitsszene unter dem Namen „Contagious Interview“ bekannt wurde, basiert nicht auf dem Knacken hochkomplexer Firewalls, sondern auf der Manipulation des schwächsten Glieds jeder Sicherheitskette: dem Menschen. Diese als Social Engineering bezeichnete Methode zielt darauf ab, bei den Opfern Vertrauen aufzubauen und sie so dazu zu bringen, Sicherheitsvorkehrungen eigenhändig zu umgehen.
Der erste Kontakt: Eine Stellenanzeige als Köder
Die Vorgehensweise folgt einem präzisen Muster. Zunächst nehmen die nordkoreanischen Akteure über verschiedene Kanäle Kontakt zu ihren Opfern auf. Sie nutzen dafür nicht nur gängige soziale Netzwerke, sondern auch etablierte Job-Plattformen und Internet-Marktplätze für freiberufliche Aufträge. Um ihre Glaubwürdigkeit zu erhöhen, geben sich die Angreifer als Personalverantwortliche renommierter Unternehmen aus, insbesondere solcher aus der boomenden Künstliche-Intelligenz-Branche oder dem Kryptowährungssektor. Dies sind Felder, in denen die Nachfrage nach qualifizierten Entwicklern immens ist und ein gewisses Maß an Anonymität bei der Kommunikation als normal gilt.
Die Infektionskette: Vom Bewerbungsgespräch zum Datenraub
Entscheidend ist der weitere Verlauf des vermeintlichen Einstellungsprozesses. Nach ersten Gesprächen und im Rahmen einer fachlichen Aufgabe, die die Bewerber zur Demonstration ihrer Fähigkeiten absolvieren sollen, werden diese aufgefordert, eine spezielle Datei herunterzuladen. Diese Datei ist jedoch weit mehr als eine simple Programmieraufgabe; sie enthält einen hochentwickelten Schadcode. Sobald dieser auf dem Rechner des Opfers ausgeführt wird, verschaffen sich die Angreifer vollständige Fernzugriffsmöglichkeiten auf das System. In der Folge ist es ihnen möglich, nicht nur sensible Firmendaten und private Informationen zu stehlen, sondern auch direkt auf Kryptowährungs-Wallets zuzugreifen und diese zu entwenden. Darüber hinaus installieren die Angreifer weitere Schadsoftware, um auch zukünftige Angriffe auf andere Systeme des Opfers, etwa im beruflichen Umfeld, vorzubereiten.
Die zweite Front: Nordkoreanische IT-Arbeiter unter falscher Flagge
Neben diesen direkten Angriffen auf Arbeitssuchende existiert parallel eine zweite, nicht minder gefährliche Kampagne, auf die der Verfassungsschutz bereits im Oktober 2024 hingewiesen hatte. Bei dieser Vorgehensweise geht es nicht um den Diebstahl von IT-Geräten, sondern um die Unterwanderung von Unternehmen. Nordkoreanische IT-Spezialisten bewerben sich unter gefälschten Identitäten als Remote-Entwickler und schleusen sich so als Angestellte in westliche Firmen ein. Das Ziel ist hier ein zweifaches: Zum einen generieren die Deviseneinnahmen aus diesen Gehältern eine direkte Einnahmequelle für den nordkoreanischen Staat, zum anderen erhalten die Spione Zugang zu den internen Netzwerken und dem geistigen Eigentum der angegriffenen Unternehmen.
Laptop-Farmen als Tarnung: So verschleiern die Angreifer ihre Herkunft
Um bei dieser Methode nicht durch sprachliche oder kulturelle Eigenheiten aufzufallen, nutzen die in Nordkorea ansässigen Fachkräfte ausgeklügelte technische Hilfsmittel. Eine besonders perfide Masche ist der Einsatz von sogenannten Laptop-Farmen. Dabei handelt es sich um speziell eingerichtete Büros oder Wohnungen in Drittländern, in denen leistungsfähige Rechner stehen. Der in Nordkorea sitzende IT-Spezialist loggt sich aus der Ferne in diese Systeme ein und arbeitet von dort aus. Für das angestellte Unternehmen sieht es so aus, als sitze der Mitarbeiter in einem völlig normalen Büro in einem anderen Land. Die Verbindung zu Nordkorea wird durch diese Zwischenstationen geschickt verschleiert.
Erkennungszeichen für Unternehmen: Warnsignale im Bewerbungsprozess
Angesichts dieser Bedrohungslage ist es für Unternehmen überlebenswichtig, bei der Einstellung von Remote-Personal, insbesondere aus dem IT-Sektor, wachsam zu sein. Es gibt jedoch eine Reihe von Indikatoren, die auf einen möglichen Betrugsversuch hindeuten können. Dazu zählen etwa Bewerber, die ständig Ausreden erfinden, um ein persönliches Treffen oder ein Videogespräch mit eingeschalteter Kamera zu vermeiden. Auch ein auffälliges Verhalten während des Online-Interviews, wie das häufige, unbeabsichtigt wirkende Zur-Seite-Schauen auf einen zweiten Monitor, um offenbar Formulierungen abzulesen, ist ein klares Alarmsignal. Ungewöhnlich ist zudem die Forderung nach Bezahlung in Kryptowährung anstelle einer herkömmlichen Banküberweisung. Die Behörden raten deshalb dringend dazu, die Identität und berufliche Vita von Remote-Bewerbern besonders intensiv zu prüfen.
Warum der Fall Waterplum so gefährlich ist: Finanzierung des Regimes und Sanktionsbruch
Die Aktivitäten der Waterplum-Gruppe sind kein Kavaliersdelikt. Nordkorea unterliegt seit über zwei Jahrzehnten massiven UN-Sanktionen, die das Atom- und Raketenprogramm des Landes unterbinden sollen. Die durch Cyberverbrechen erbeuteten Kryptodevisen stellen eine der wenigen verbliebenen Einnahmequellen des Regimes dar. Sie fließen nach Erkenntnissen der Geheimdienste direkt in die Staatskasse und werden für die Gehälter der Eliten, die Aufrechterhaltung des Militärs und eben die Weiterentwicklung der Waffenprogramme verwendet. Es ist ein Kreislauf: Der Diebstahl digitaler Vermögenswerte im Westen ermöglicht die Aufrüstung im Osten und untergräbt damit die Bemühungen der internationalen Gemeinschaft zur nuklearen Abrüstung auf der koreanischen Halbinsel.
Eine wachsende, länderübergreifende Bedrohung
Die nun veröffentlichte Warnung ist kein Einzelfall, sondern dokumentiert eine konzertierte Aktion internationaler Sicherheitsbehörden, die die Gefahr ernst nehmen. Die Kooperation zwischen dem Bundesamt für Verfassungsschutz, dem BND, dem FBI sowie japanischen und australischen Stellen zeigt, dass es sich um ein globales Problem handelt, das nur gemeinsam bekämpft werden kann. Gleichzeitig verdeutlicht die Einzigartigkeit der Kampagne, die sowohl Angriffe auf Individuen als auch Unterwanderungen von Firmen umfasst, wie flexibel und anpassungsfähig die Bedrohung ist. IT-Fachkräfte und Personalverantwortliche müssen sich dieser doppelten Gefahr bewusst sein. Während sich die Angriffe auf Arbeitssuchende primär gegen das private Umfeld richten, zielt die Einschleusung von Scheinmitarbeitern auf die Verwundbarkeit von Unternehmen ab. In einer zunehmend digitalisierten Arbeitswelt ist es unabdingbar, sowohl bei der Jobsuche als auch bei der Einstellung neuer Kollegen eine gesunde Portion Misstrauen an den Tag zu legen und etablierte Sicherheitsprotokolle konsequent einzuhalten. Die Sicherheitsbehörden erwarten, dass die Gruppe ihre Methoden weiter verfeinern wird, was die Bedeutung von Aufklärung und präventiven Maßnahmen in den kommenden Jahren weiter erhöht.
