US-Behörden haben in Texas und weiteren US-Bundesstaaten ein Netzwerk von „Laptop-Farmen“ zerschlagen. Nordkoreanische IT-Kräfte nutzten diese Infrastruktur, um sich unter falschen Identitäten Remote-Jobs bei US-Unternehmen zu verschaffen. Die Ermittler sind überzeugt, dass die Einnahmen aus diesen Schemata der Finanzierung nordkoreanischer Atomwaffen- und ballistischer Raketenprogramme dienten.

Die Aktion macht die Gefahr staatlich organisierter Cyberkriminalität und Identitätsdiebstahls deutlich. Dieser Fall verdeutlicht zudem, wie externe Akteure Schwachstellen in globalen Remote-Arbeitsmärkten ausnutzen können.

Nordkoreas verdeckte Finanzierung über US-Firmen

Das US-Justizministerium (DOJ) und das FBI führen Ermittlungen gegen ein System, das nordkoreanischen IT-Arbeitern ermöglichte, unerkannt für US-Firmen zu arbeiten. Die Arbeiter nutzten gefälschte Identitäten, um Remote-Verträge zu erhalten und sich als US-Bürger auszugeben. Schätzungen zu den generierten Einnahmen variieren erheblich.

Das US-Finanzministerium schätzt, dass allein im Fiskaljahr 2024 über 800 Millionen US-Dollar an Nordkorea geflossen sind. UN-Schätzungen beziffern die Summe auf 250 bis 600 Millionen US-Dollar pro Jahr. Ermittler gehen davon aus, dass ein Großteil der Gehälter – Schätzungen nennen 85 bis 90 Prozent – an die nordkoreanische Regierung abgeführt wurde.

Zerschlagung eines weitreichenden Netzwerks

Als „Laptop-Farmen“ bezeichnen Ermittler Wohnsitze oder andere Standorte, an denen US-basierte Unterstützer von Unternehmen bereitgestellte Laptops hosteten. Dort installierten sie Remote-Zugriffssoftware, damit nordkoreanische Arbeiter aus Nordkorea oder Drittstaaten auf die Systeme zugreifen konnten. Zwischen dem 21. und 25.

September dieses Jahres durchsuchten die Behörden in Texas rund 40 Standorte.

Sie beschlagnahmten dabei über 185 Laptops und weitere Geräte. Bereits am 30. Juni 2025 berichtete das DOJ von Durchsuchungen von 29 bekannten oder mutmaßlichen „Laptop-Farmen“ in 16 US-Bundesstaaten. Die Behörden beschlagnahmten dabei etwa 200 Computer, 29 Finanzkonten und 21 betrügerische Websites.

Hoher Schaden für die US-Wirtschaft

Quellen nennen unterschiedliche Zahlen zur Betroffenheit von Unternehmen. Berichte sprechen von über 70 bis mehr als 100 betroffenen US-Unternehmen. Darunter befinden sich Fortune-500-Firmen und mindestens ein Verteidigungsunternehmen mit Zugang zu sensibler Militärtechnologie.

Angaben zur Zahl kompromittierter US-Identitäten schwanken – von rund 25 bis zu über 80 Personen. U.S. Attorney Ryan Raybould nannte für einen Remote-Job Durchschnittsgehälter von 80.000 bis 100.000 US-Dollar pro Jahr.

Der geschätzte Schaden für betroffene Unternehmen, inklusive Kosten für Rechtsberatung und IT-Wiederherstellung, beziffert sich auf über 3 Millionen US-Dollar. In einem Fall entwendeten nordkoreanische IT-Arbeiter Kryptowährung im Wert von rund 900.000 US-Dollar von einem in Atlanta ansässigen Blockchain-Forschungs- und Entwicklungsunternehmen.

Verhaftungen und internationale Warnungen

Im Zuge der Ermittlungen sind mehrere Personen in den USA angeklagt und teils festgenommen worden. Am 13. Oktober 2026 kündigte das DOJ die Festnahme zweier US-Staatsbürger an, Michael James Bostelle und Juan Ceclilio Pena Carrillo.

Beiden werden unter anderem Drahtbetrug, Geldwäsche und Identitätsdiebstahl vorgeworfen. Berichten zufolge erhielten die beiden zusammen mindestens 3 Millionen US-Dollar aus dem Schema. Zhenxing „Danny“

Wang aus New Jersey wurde ebenfalls festgenommen und steht im Zusammenhang mit einer Gruppe, die Einnahmen generierte.

Mandiant-Analyst Michael Barnhart weist darauf hin, dass nordkoreanische IT-Arbeiter in Fortune-500-Unternehmen verbreitet auftraten. Die Bedrohung wird international wahrgenommen: Im Juli 2025 gaben mehrere Regierungen, darunter Deutschland, die USA, Japan und Großbritannien, eine gemeinsame Warnung vor nordkoreanischen IT-Fachkräften heraus. Das FBI hatte bereits im Mai 2025 vor eskalierenden Aktivitäten gewarnt.

Behörden berichten zudem über eine zunehmende Nutzung künstlicher Intelligenz durch nordkoreanische Akteure im Bewerbungs- und Beschäftigungsprozess.

Ausblick auf weitere Entwicklungen

Beteiligte bewerten die Zerschlagung der „Laptop-Farmen“ als deutlichen Eingriff in die Finanzierungswege nordkoreanischer Akteure. Die Ermittlungen laufen weiter, um zusätzliche Netzwerke aufzudecken und Hintermänner zu identifizieren. Unklar bleibt, ob die jüngsten Razzien in Texas Teil der im Juni 2025 gemeldeten, landesweiten Aktion sind oder eine separate Entwicklung darstellen.

Behörden und Analysten betonen die Bedeutung internationaler Zusammenarbeit. Sie fordern Unternehmen auf, ihre Due Diligence bei der Einstellung von Remote-Mitarbeitern zu stärken, namentlich wird die Nutzung von Systemen wie E-Verify empfohlen. Behörden und Sicherheitsexperten gehen davon aus, dass die Bedrohung durch derartige Aktivitäten weiterhin besteht und sich weiterentwickeln wird.