Die unsichtbare Armee im Home-Office
Nordkorea hat ein Problem: Das Land ist international isoliert, mit massiven Sanktionen belegt, und die Wirtschaft liegt am Boden. Die Lösung des Regimes? Cyberkriminalität im industriellen Maßstab. Doch anders als klassische Hacker-Angriffe verfolgt Nordkorea eine perfide Doppelstrategie: Einerseits spektakuläre Raubzüge auf Kryptobörsen, andererseits die systematische Infiltration westlicher Unternehmen durch gefälschte IT-Fachkräfte.
Im Bereich der Software-Entwicklung ist es oft schwer, geeignetes Personal zu finden – gleichzeitig sollen diese ihr Spezialwissen nur für wenige Monate in ein Projekt einbringen und ein spezifisches Problem lösen. Weltweit gibt es daher viele seriöse ITler, die zu Fix-Preisen für ein spezifisches Projekt engagiert werden. Die Lingua-Franca im IT-Bereich ist ohnehin Englisch. Genau hier setzen die Hacker aus Nordkorea an. Diese Remote-Arbeiter nutzen Plattformen wie LinkedIn und Freelancer-Seiten wie fiverr, um Kontakt zu Unternehmen aufzunehmen. Mit gefälschten Identitäten, gestohlenen Fotos und sorgsam konstruierten Lebensläufen bewerben sie sich auf offene Stellen.
Nicht nur Rüstung: Jedes Unternehmen ist ein Ziel
Die Warnung des deutschen Verfassungsschutzes und des südkoreanischen Geheimdienstes im Februar 2024 richtete sich zwar primär an die Rüstungsbranche – doch wäre es fatal zu glauben, nur dieser Sektor sei betroffen. In Wien versuchten nordkoreanische Cybertruppen laut „Standard“, an Daten der Forschungsgruppe Open Nuclear Network zu gelangen. Im Juni berichteten ZDF und „Spiegel“ von Spionageangriffen auf Diehl Defence, einen deutschen Hersteller von Luftabwehrsystemen.
Doch auch mittelständische Unternehmen ohne direkten Militärbezug stehen im Fadenkreuz. Nordkorea interessiert sich für jedes Unternehmen, das technologisches Know-how besitzt, sensible Daten verarbeitet oder Zugang zu finanziellen Ressourcen hat. Die Methoden sind dabei immer ähnlich: Social Engineering über gefälschte Jobangebote, Spear-Phishing-Kampagnen oder die direkte Infiltration durch vermeintliche Mitarbeiter.
Die Lazarus-Gruppe: Meister der Täuschung
Hinter den meisten nordkoreanischen Cyberangriffen steckt die berüchtigte Lazarus-Gruppe – eine hochprofessionelle APT (Advanced Persistent Threat), die seit 2009 aktiv ist und international für spektakuläre Angriffe bekannt wurde. Von der Attacke auf Sony Pictures 2014 über die WannaCry-Ransomware 2017 bis zu aktuellen Kampagnen: Lazarus kombiniert technische Raffinesse mit psychologischer Manipulation.
Die perfide Logik der Infiltration
Ein besonders beunruhigendes Beispiel aus dem Jahr 2022 zeigt, wie ausgeklügelt nordkoreanische Angriffe ablaufen können. Ende 2022 drang ein vermutlich nordkoreanischer Cyberakteur in die Netze eines Forschungszentrums für See- und Schifffahrtstechnologien ein. Die Vorgehensweise: ein klassischer Supply-Chain-Angriff.
Der Cyberakteur infiltrierte zunächst einen Dienstleister, der für die Wartung eines Webservers des Forschungszentrums zuständig war. Über gestohlene SSH-Zugangsdaten verschafften sich die Angreifer Zugang zum eigentlichen Ziel. Anschließend versuchten sie, ferngesteuerte Malware über ein Patch-Management-System auszuliefern.
Der Akteur verzichtete auf die Durchführung eines direkten Angriffs auf sein Ziel, das ein hohes Sicherheitsniveau aufrechterhielt, und griff ersatzweise zunächst dessen Dienstleister an. Eine Strategie, die erschreckend effektiv ist: Viele mittelständische IT-Dienstleister haben nicht die Sicherheitsressourcen großer Konzerne und sind damit das perfekte Einfallstor.
Die neue Dimension: KI-gestützte Angriffe
Seit 2024 setzt die Lazarus-Gruppe nordkoreanische Agenten ein, die sich als legitime Remote-IT-Arbeiter ausgeben, um Unternehmen zu infiltrieren, besonders in den USA und Großbritannien. Diese Agenten arbeiten teilweise monatelang unauffällig, sammeln Zugangsdaten und Informationen und schlagen erst zu, wenn sie maximalen Schaden anrichten können. 2025 hat eine neue Qualität erreicht:
Nordkoreanische Angreifer nutzen die „ClickFix“-Taktik, bei der Opfer mit gefälschten Fehlermeldungen dazu gebracht werden, auf ihrem Computer maliziöse Befehle auszuführen. In Kombination mit KI-generierten Deepfakes für Video-Interviews wird die Unterscheidung zwischen echten und gefälschten Bewerbern nahezu unmöglich.
Was können Unternehmen tun?
Die gute Nachricht: Nordkoreanische Cyberangriffe sind nicht unabwendbar. Mit den richtigen Maßnahmen lassen sich die Risiken erheblich reduzieren:
Bewerbungsprozesse überdenken
- Führen Sie bei kritischen Positionen persönliche Vor-Ort-Gespräche durch.
- Überprüfen Sie Referenzen telefonisch bei den angegebenen Unternehmen.
- Achten Sie auf ungewöhnliche Zahlungsmodalitäten (z. B. Krypto-Zahlungen).
- Seien Sie misstrauisch bei perfekten LinkedIn-Profilen ohne echte Verbindungen.
Supply-Chain-Risiken minimieren
- Überwachen Sie die Zugriffsrechte externer Dienstleister kontinuierlich.
- Implementieren Sie strikte Authentifizierungsverfahren für Fernwartung.
- Führen Sie regelmäßige Audits der Dienstleister-Aktivitäten durch.
- Nutzen Sie Netzwerksegmentierung, um Angriffsflächen zu reduzieren.
Mitarbeiter sensibilisieren
- Schulen Sie Ihr Team zu den Methoden des Social Engineering.
- Warnen Sie vor lukrativen, unerwarteten Jobangeboten über LinkedIn.
- Etablieren Sie eine Fehlerkultur, in der Mitarbeiter verdächtige Kontakte melden können.
- Führen Sie regelmäßige Simulationen durch.
Technische Schutzmaßnahmen verstärken
- Implementieren Sie Multi-Faktor-Authentifizierung konsequent.
- Halten Sie alle Systeme durch rigorose Update-Routinen aktuell.
- Überwachen Sie Netzwerkaktivitäten auf Anomalien.
- Setzen Sie auf Zero-Trust-Architekturen mit minimalen Berechtigungen.
Besondere Vorsicht bei Remote-Mitarbeitern
- Nutzen Sie biometrische Verifizierung für kritische Systeme.
- Führen Sie verstärkte Hintergrundüberprüfungen durch.
- Überwachen Sie Datenabflüsse und ungewöhnliche Zugriffsmuster.
- Setzen Sie auf Data Loss Prevention(DLP)-Technologien.
Fazit: Die Bedrohung ernst nehmen
81 Prozent aller deutschen Unternehmen waren von Datendiebstahl, Spionage oder Sabotage betroffen und nordkoreanische Akteure spielen dabei eine zunehmend wichtige Rolle. Die Kombination aus staatlicher Unterstützung, fehlender Strafverfolgung im Heimatland und der Nutzung modernster Technologien macht Nordkorea zu einem der gefährlichsten Cyber-Akteure weltweit. Für mittelständische Unternehmen bedeutet dies: Die Zeit der Sorglosigkeit ist vorbei. Cybersicherheit ist keine optionale Zusatzinvestition mehr, sondern geschäftskritisch. Wer heute nicht handelt, riskiert morgen nicht nur finanzielle Verluste, sondern möglicherweise die Existenz des gesamten Unternehmens.
