Mobile-Menu

Wie Nordkorea Künstliche Intelligenz missbraucht Mit Deepfakes und KI zum Jobbetrug

Ein Gastbeitrag von Arkadiusz Krowczynski 5 min Lesedauer

Anbieter zum Thema

Okta
Fsas Technologies GmbH
FTAPI Software GmbH

Nordkorea schleust mithilfe von generativer KI gefälschte Bewerber in westliche Unternehmen ein, erstellt realistische Deepfake-Profile und nutzt Laptop-Farmen für Wirtschaftsspionage. So können HR- und IT-Teams diese Angriffe erkennen, abwehren und Sicherheitsrisiken im Bewerbungsprozess gezielt minimieren.

Das Threat Intelligence Team von Okta hat aufgedeckt, wie nordkoreanische Staatsagenten mit Hilfe generativer KI an Jobs in westlichen Unternehmen gelangen – mit dem Ziel, das Regime in Pjöngjang zu unterstützen.(Bild: Midjourney / KI-generiert)
Das Threat Intelligence Team von Okta hat aufgedeckt, wie nordkoreanische Staatsagenten mit Hilfe generativer KI an Jobs in westlichen Unternehmen gelangen – mit dem Ziel, das Regime in Pjöngjang zu unterstützen.
(Bild: Midjourney / KI-generiert)

Für viele Bewerber stellt generative KI mittlerweile eine enorme Hilfe dar. Von der Erstellung von Lebensläufen und Anschreiben bis hin zur gezielten Vorbereitung auf Vorstellungs­ge­spräche bieten die gängigsten Chatmodelle vielfältige Möglichkeiten, um den Prozess zu beschleunigen und die Selbstpräsentation zu optimieren. Während auf Social Media vielfältige Tipps zur Nutzung von KI im Bewerbungsprozess geteilt werden, haben auch die großen Jobbörsen dieses Potenzial schon früh erkannt und bieten Nutzern KI-Tools an, um Be­wer­bungs­unterlagen zu optimieren. Wie so oft wird aber auch hier klar: „Wo viel Licht ist, ist auch starker Schatten“ – dass dieser Aphorismus aus Goethes Götz von Berlichingen auch hier voll zum Tragen kommt, verdeutlicht der böswillige Einsatz von KI durch das Regime in Nordkorea.

Jobsuche im Kampf gegen Sanktionen

Nordkorea steht seit vielen Jahren unter massiven internationalen Sanktionen. Um dennoch dringend benötigte Devisen zu beschaffen, bedient sich das Regime in Pjöngjang eines perfiden Tricks: Technisch versierte Staatsagenten werden über Mittelsmänner in westlichen Ländern als scheinbar unabhängige Bewerber in internationale Unternehmen eingeschleust – bevorzugt in IT- und Softwarepositionen, die keine Anwesenheit im Büro erfordern.

Die Täuschung beginnt dabei bereits vor der eigentlichen Bewerbung, auf die das System abzielt. Um herauszufinden, wie die besten und vielversprechendsten Bewerbungsunterlagen aussehen und aufgebaut sind, werden im Internet ähnlich geartete IT-Jobs ausgeschrieben – dass sich hinter den angegebenen Firmen und Positionen natürlich kein wirklicher Job, sondern eine bizarre Betrugsmaschinerie befindet, wissen die Bewerber nicht. Die eingehenden Be­wer­bungen werden sorgfältig mit KI-Tools analysiert und dienen im Nachgang zum Aufbau von hundert- bis tausendfachen gefälschten Unterlagen, die wiederum bei echten Unternehmen eingereicht werden. Mithilfe von KI lassen sich diese Unterlagen kontinuierlich gegen gängige Bewerbermanagementsysteme testen und optimieren, bis sie eine möglichst hohe Erfolgswahrscheinlichkeit erreichen.

Echte Bewerbung, falsche Bewerber

Dass sich hinter den optimierten und vielversprechenden Bewerbungen nur falsche Existenzen und Bots befinden, können die Personalabteilungen eingangs nur schwer ahnen. GenAI dient nämlich nicht nur der Erstellung von Text und Inhalten, sondern unterstützt auch bei der Erstellung von Fake-Identitäten samt Social-Media-Profilen, E-Mail-Adressen und der Fälschung von persönlichen Qualifikationsnachweisen und Dokumenten. Sprachbarrieren verlieren dabei zunehmend an Bedeutung – mit KI-basierten Übersetzungs- und Tran­skrip­ti­ons­diensten gelingt eine nahezu reibungslose Kommunikation zwischen Betrügern und den involvierten Personal- und Fachabteilungen. Um die Menge an Bewerbungen zu skalieren und genügend Jobangebote einzuholen, ermöglichen KI-Tools das gleichzeitige Management vielfacher Bewerberidentitäten sowie die Koordination von hundert bis tausenden Bewerbungen hinter einem einzigen Steuerpult.

„Stellen Sie sich doch bitte vor“

Sobald ein Bewerber zum Interview eingeladen wird, kommen weitere Mittel zum Einsatz. In mehreren Fällen beobachtete Okta Threat Intelligence den Einsatz von Deepfake-Technologien zur Generierung von Videobildern und Stimmen. Die Täter nutzen diese Methode, um falsche Identitäten visuell zu untermauern und persönliche Interviews zu bestehen, ohne jemals real vor der Kamera zu sitzen. Unterstützt werden sie dabei von KI-gestützten Interview-Trainern, die typische Gesprächssituationen simulieren, visuelle Effekte anpassen und sogar automatisierte Verbesserungsvorschläge liefern.

Das Ziel ist stets dasselbe: die Erfolgschance im Bewerbungsprozess zu maximieren und mit dem Feedback zukünftige Bewerbungen zu optimieren. Sofern es tatsächlich zu einer Anstellung kommt, setzt die nächste Eskalationsstufe ein.

Laptop-Farmen und Remote-Zugriff

In vielen Fällen senden Unternehmen ihren neuen Remote-Mitarbeitern firmeneigene Hardware zu. Was sie nicht wissen: Die Geräte landen oft nicht bei den vermeintlichen Mitarbeitern, sondern in sogenannten "Laptop-Farmen" – zentralen Einrichtungen in westlichen Ländern, in denen Dutzende dieser Endgeräte betrieben und gesteuert werden. Die dort tätigen Mittelsmänner kümmern sich um die technische Einrichtung, um Remote-Zugriffe, Software-Updates und Authentifizierungen im Namen der Fake-Mitarbeiter durchzuführen.

Das Ausmaß dieser Operationen ist alarmierend: Im Mai 2024 wurde eine Einrichtung in Arizona enttarnt, die über 300 gefälschte Beschäftigte in US-Firmen untergebracht haben soll. Im Januar 2025 wurde ein weiterer Fall bekannt, in dem zwei Personen aus North Carolina im Verdacht stehen, ein ähnliches Netzwerk für 64 Unternehmen betrieben zu haben.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Welche Unternehmen besonders gefährdet sind

Gefährdet sind vor allem Unternehmen, die remote-freundliche Strukturen pflegen und global rekrutieren. Zwar sind Technologieunternehmen besonders häufig betroffen, doch heißt das nicht unbedingt, dass nur diese Branche dem Betrug zum Opfer fällt. Auch Industrie­unter­nehmen, Behörden oder Dienstleister mit digitalen Rollen und internationalem Sourcing können ins Visier geraten.

Die Angreifer agieren eher opportunistisch: Sobald eine passende Stelle mit Remote-Option ausgeschrieben ist, werden automatisiert Dutzende Bewerbungen eingereicht – von verschiedenen Identitäten, gesteuert von einem einzigen Netzwerk. Ein Okta-Partner zählte über 1.000 Bewerbungen von rund 300 eindeutig verbundenen Identitäten. Die Gefahr besteht dabei nicht nur im wirtschaftlichen Schaden durch unbegründete Gehaltszahlungen, sondern auch in potenziellen Sicherheitsrisiken durch Datendiebstahl, Industriespionage und dem Einbau schädlicher Strukturen durch einen unkontrollierten Zugriff.

Was Unternehmen jetzt tun sollten

Die gute Nachricht: Es gibt wirksame Maßnahmen, um sich vor diesen professionellen Täuschungsversuchen zu schützen. Voraussetzung ist jedoch, dass Unternehmen den Bewerbungsprozess als sicherheitskritischen Bereich verstehen – und nicht nur als HR-Thema. Okta empfiehlt in diesem Zusammenhang drei zentrale Schutzmechanismen:

  • Erstens sollten Unternehmen ihre Talent- und Recruiting-Teams schulen, verdächtige Bewerbungen zu erkennen. Wiederkehrende Formulierungen, untypische Kommunikations­zeiten oder auffällig generische CVs können Hinweise auf automatisierte Massen­ein­rei­chung­en sein. Auch Social-Media-Auftritte und widersprüchliche Online-Profile müssen umso genauer begutachtet werden, sofern kein zwischenmenschlicher Kontakt stattfindet.
  • Zweitens ist eine durchgängige Identitätsprüfung entlang des gesamten Be­wer­bungs­prozesses essenziell. Moderne ID-Verifikationslösungen ermöglichen eine kontinuierliche Überprüfung, vom ersten Kontakt bis zum Onboarding. Besonders bei Remote-Rollen empfiehlt es sich, Bewerber vor der Geräteauslieferung mit Sanktionslisten abzugleichen und bei kritischen Rollen zusätzliche Authentifizierungsmaßnahmen zu etablieren.
  • Drittens müssen Remote-Zugriffe technisch abgesichert und überwacht werden. Verdächtige Aktivitäten – wie simultane Logins auf verschiedenen Geräten, ungewöhnliche Arbeitszeiten oder die Nutzung von Remote Management Tools (RMM) – sollten automatisiert erkannt und gemeldet werden. Technische Zugriffsbeschränkungen für Remote-Mitarbeiter können das Risiko zusätzlich verringern.

Fazit: Deepfakes, KI und eine neue Form der Cyberbedrohung

Die von Okta untersuchten Operationen zeigen eindrucksvoll, wie weit der Missbrauch von KI im Kontext staatlich gelenkter Angriffe bereits fortgeschritten ist. Nordkorea setzt GenAI-Technologie nicht nur defensiv, sondern offensiv ein – als Hebel für wirtschaftliche Infiltration. Unternehmen, die auf remote-fähige Arbeitsmodelle setzen, müssen sich dieser Realität bewusstwerden.

Denn die nächste brillante Bewerbung könnte nicht von einem echten Menschen stammen – sondern von einem gut trainierten Bot im Auftrag Pjöngjangs. Ausführliche Details zu den Erkenntnissen finden Sie in diesem Videointerview mit Brett Winterford, Vice President Okta Threat Intelligence sowie in diesem Okta-Blogbeitrag.

Über den Autor: Arkadiusz Krowczynski ist Principal Product Acceleration Specialist bei Okta.

(ID:50485307)

Weiterführende Inhalte