Das Startup Endorsed warnt vor einer signifikanten Entwicklung auf dem Arbeitsmarkt: Etwa die Hälfte der Remote-IT-Bewerbungen weist demnach nordkoreanische Betrugsmuster auf. Diese Schemata dienen der Einschleusung von IT-Kräften in Unternehmen, um Devisen für das nordkoreanische Regime zu beschaffen. Die Bedrohung hat sich zu einem globalen Problem entwickelt.

Bedrohungslage: Nordkorea unterwandert Remote-IT-Stellen

Nordkoreanische IT-Kräfte geben sich laut Endorsed unter falscher Identität als IT-Arbeiter aus, um an Remote-Jobs in westlichen Unternehmen zu gelangen. Die Vereinten Nationen dokumentieren, dass solche Arbeitsweisen dem Regime Einnahmen verschaffen können. Diese Gelder kommen unter anderem dem Atomwaffenprogramm zugute.

Endorsed, ein Identitätsüberprüfungs-Startup aus San Francisco, hat das Ausmaß dieser Aktivitäten mit KI-gestützten Analysen untersucht. Das Unternehmen analysierte mehr als 11 Millionen Bewerbungen und identifizierte Muster, die auf nordkoreanische Schemata hindeuten.

Bei US-basierten Remote-IT-Rollen stieg der Anteil der Bewerbungen mit solchen Mustern von elf Prozent im dritten Quartal 2024 auf 44 Prozent im dritten Quartal 2025. Für das jüngste Quartal schätzt Endorsed den Anteil auf 47 Prozent, was eine deutliche Zunahme darstellt.

Typische Muster und die Verteilung des Betrugs

Die Akteure verschleiern ihre Identität und versuchen, Vertrauen zu erzeugen. In Bewerbungen tauchen häufig gängige Vornamen wie Sai, Michael, David oder Kevin auf. Von allen als verdächtig eingestuften Bewerbungen gaben 26,5 Prozent an, aus Texas zu stammen.

Kalifornien mit 14,4 Prozent und Florida mit 7,2 Prozent waren ebenfalls häufig genannte angebliche Herkunftsorte. Die häufigsten fiktiven Heimatstädte waren Dallas, Austin und Houston.

Bei Arbeits- und Ausbildungshistorien werden oft bekannte Firmen und Hochschulen angegeben. Als Arbeitgeber nannten die Bewerber unter anderem Amazon, Google, Meta, Microsoft oder Stripe. Als Ausbildungsstätten tauchen etwa die University of North Texas, UT Austin und die University of Central Missouri auf.

David Head, CEO und Mitbegründer von Endorsed, warnte, dass keines dieser Merkmale für sich allein zwingend verdächtig sein sollte: „One or even several of these traits should never make an applicant seem suspicious on their own. The risk comes from a broader pattern of inconsistencies and behavior, not someone’s name or background.” Mehr als die Hälfte der als gefälscht eingestuften Bewerbungen enthielt ein LinkedIn-Profil.

Zur Verschleierung des tatsächlichen Standorts nutzen die Akteure häufig VPN-Dienste. Der reale Standort liegt laut Untersuchungen öfter in China, Russland oder Afrika, seltener direkt in Nordkorea. Der Einsatz von KI-Tools und Deepfakes für Video-Interviews nimmt zu.

Die Sicherheitsfirma Mandiant stellte bereits Ende 2024 fest, dass nordkoreanische IT-Fachkräfte gezielt Aufträge in Deutschland und der Schweiz suchen. Die Schweiz hat die gemeinsame Warnung von elf Staaten zu diesem Thema nicht unterzeichnet, wird in Berichten aber wegen vergleichsweise hoher Löhne als lohnendes Ziel genannt.

Wirtschaftliche Implikationen und Gegenmaßnahmen

Erfolgreiche Einschleusungen können Unternehmen schaden. Berichtet werden unter anderem Zugriffe auf sensible Firmendaten, Beteiligung an Kryptodiebstahl und Datenextortion. In einzelnen Fällen drohten nach Entlassungen Personen mit der Veröffentlichung vertraulicher Informationen und forderten Lösegeld.

Zu den strafrechtlichen Folgen zählt ein Urteil, das in einer Quelle für April 2026 genannt wird. Dort wurde eine in New Jersey tätige Person zu neun Jahren Gefängnis verurteilt. Sie leitete ein Netzwerk, das angeblich Operative in über 100 US-Unternehmen platzierte.

Andere Berichte nennen eine Verurteilung einer US-Frau im August 2025 durch ein IT-Worker-Betrugsschema. Ob es sich um denselben Fall handelt, ist unklar.

Ende Juli 2026 veröffentlichten elf Staaten, darunter die USA, Japan, Südkorea, Australien, Deutschland, Frankreich, Italien, Kanada, Neuseeland, die Niederlande und Großbritannien, eine gemeinsame Warnung vor nordkoreanischen IT-Fachkräften. Diese Warnung richtet sich an Unternehmen und Behörden, um auf die Risiken aufmerksam zu machen.

Die Entwicklungen spiegeln sich auch im Investmentmarkt wider. Cybersecurity-Venture-Funding lag im ersten Halbjahr 2026 bei 8,5 Milliarden US-Dollar. Die Zahl der Deals ging um 23,8 Prozent zurück.

Im zweiten Quartal 2026 wurden 3,8 Milliarden US-Dollar über 165 Transaktionen registriert, laut Berichten der niedrigste Quartalswert seit Ende 2024. Im Bereich Identity and Access Management (IAM) sank die Finanzierung von 0,8 Milliarden US-Dollar im ersten Quartal 2026 auf 0,3 Milliarden US-Dollar im zweiten Quartal 2026. Zugleich übertreffen nicht-menschliche Identitäten in typischen Unternehmen menschliche Identitäten etwa im Verhältnis 45 zu 1.

Ausblick: Verschärfte Kontrollen und internationale Zusammenarbeit

Die zunehmenden Betrugsmuster sind Gegenstand staatlicher Warnungen und strafrechtlicher Verfolgung. Die gemeinsame Warnung der elf Staaten richtet sich an Unternehmen, Personalverantwortliche und Sicherheitsbehörden. Dies unterstreicht die Relevanz des Themas für Überprüfungsprozesse und Identitätsprüfungen in der Personal- und Sicherheitsstrategie.

Die internationale Zusammenarbeit von Staaten und Sicherheitsbehörden ist ein zentraler Bestandteil der Reaktion. Sie soll die Finanzierungswege, die den Fällen zugrunde liegen, unterbinden und die Risiken für Unternehmen senken. Analysten gehen davon aus, dass der Druck auf Unternehmen, ihre Verifizierungsprozesse zu verschärfen, weiter zunehmen wird, insbesondere im Remote-IT-Sektor.

Dies könnte sich in einem verstärkten Investitionsbedarf für entsprechende Technologien und Dienstleistungen manifestieren.