IT-Fachkräfte aus Nordkorea: Ausweisprüfung längst umgangen

Ein Profil auf einer Vermittlungsplattform, ein Videogespräch, ein hochgeladener Ausweis, und die Arbeit beginnt. Persönlich begegnet ist dem Entwickler dabei niemand. Genau dort setzt eine Warnung an, die elf Staaten am 31. Juli 2026 gemeinsam unterschrieben haben. Sie gilt IT-Fachkräften aus Nordkorea, die sich unter fremder Staatsangehörigkeit auf solchen Plattformen anmelden, und sie empfiehlt den Betreibern die „Verbesserung von Identitätsprüfungsverfahren (strenge Prüfung von Ausweisdokumenten, Bestehen auf persönlichen Vorstellungsgesprächen usw.)“.

Zusammengefasst hat den Warnhinweis Mathis Gann mit AFP und dpa unter dem Titel „IT-Branche: Auswärtiges Amt warnt vor IT-Fachkräften aus Nordkorea“ am 31. Juli 2026 für DIE ZEIT. Für einen Auftraggeber hängt daran eine ältere Frage: Wie stellt man die Identität eines Menschen fest, den man nie sehen wird? Bei einem Werkvertrag über eine Vermittlungsplattform greift keine Arbeitserlaubnis, keine Meldepflicht, keine Sozialversicherung.

Nordkoreas IT-Fachkräfte bringen die Identität eines anderen mit#

Ein paar Absätze unter der Empfehlung beschreibt dasselbe Dokument, woher die Ausweisbilder stammen: von Dritten, „etwa Mittelsmänner in Drittstaaten“. Dieselben Mittelsleute werden dort zunehmend genutzt, „um die Erstellung von Online-Konten zu erleichtern, an Vorstellungsgesprächen teilzunehmen und sogar persönlichen Kontakt herzustellen“ (Auswärtiges Amt, 31. Juli 2026¹). Das Bundesamt für Verfassungsschutz hatte das Muster schon 2024 benannt: gestohlene Identitäten, und als häufigste angegebene Herkunftsländer Südkorea und Japan (BfV, Sicherheitshinweis 02/2024 verfassungsschutz.de ↗).

Von fünfzehn Merkmalen prüft eines das Ausweisdokument selbst#

Neun Merkmale richten sich an Plattformbetreiber, sechs an einstellende Stellen. Genau eines fragt, ob der Ausweis echt ist, nämlich ob er „gefälscht oder mit Bildbearbeitungssoftware manipuliert“ wirkt. Zwei weitere benutzen das Dokument nur als Vergleichsgröße: mehrere Konten, angelegt mit demselben Ausweis, und Abweichungen vom Lichtbild in der Videokonferenz. Die übrigen zwölf zielen auf Verhalten, Geld und Technik. Zugriffe von derselben IP-Adresse auf mehrere Konten, ungewöhnlich lange Login-Zeiten, ungewöhnlich hohe Arbeitsstunden, selbst geschriebene Rezensionen fürs eigene Konto, geforderte Zahlung in Kryptowährung. Den Standort verdecken Mittelsleute im Ausland, die „Laptop-Farmen“ betreiben: Sie nehmen die vom Unternehmen gestellten Geräte entgegen, zugegriffen wird aus der Ferne. Solche Auffälligkeiten zeigen sich im laufenden Betrieb, so wie der Angriff auf Anthropic, der mindestens drei Monate unbemerkt blieb².

Die Videokonferenz war 2024 noch die empfohlene Gegenprobe#

Am 1. Oktober 2024 riet das Bundesamt für Verfassungsschutz: „Halten Sie Bewerbungsgespräche persönlich oder als Videoanruf ab, um die Identität von selbstständigen Arbeitskräften zu verifizieren.“ Wer Videoanrufe mied, machte sich verdächtig. Einundzwanzig Monate später führt der gemeinsame Warnhinweis die Videokonferenz doppelt, als verweigerten Termin und als Ort der Auffälligkeit. In demselben Papier von 2024 stehen die Vermittlungsplattformen beim Namen, Fiverr, Upwork und freelancer.com, und ein Satz, den die aktuellen Meldungen nicht führen: Auch deutsche Firmen standen bereits in Vertragsbeziehungen mit nordkoreanischen IT-Workern.

Resolution 2397 knüpft an das Hoheitsgebiet, der Auftrag über die Plattform an keines#

Resolution 2397 des VN-Sicherheitsrats verpflichtet die Mitgliedstaaten, alle nordkoreanischen Staatsangehörigen zu repatriieren, „die im Hoheitsgebiet des jeweiligen Mitgliedstaats Einkommen erzielen“. Fernarbeit aus Pjöngjang für einen Auftraggeber in München erreicht kein solches Hoheitsgebiet. Das Instrument setzt an einem Ort an, die Arbeit hat keinen. Deshalb wandert die Sorgfaltspflicht dorthin, wo sie zuletzt noch jemand tragen kann, zur einstellenden Stelle und zum Plattformbetreiber. Was eine Empfehlung an Betreiber bewirkt, zeigte sich bei den KI-Baukästen: Sicher wurden dort die Anwendungen, die die Plattform per Voreinstellung schloss³.

Neun der fünfzehn Merkmale hängen an Kontodaten, die auf der Plattform anfallen. Für die einstellende Stelle bleiben sechs, und eines davon nimmt der Warnhinweis in Klammern gleich wieder zurück: Nordkoreaner könnten „durch Übersetzungsdienste oder große Sprachmodelle in einer Fremdsprache Profile erstellen und kommunizieren, ohne Misstrauen zu erregen“. Zwei weitere hängen an der Videokonferenz. Was davon soll ein mittelständischer Auftraggeber prüfen, bevor er den Auftrag vergibt?

Anlass war die Meldung „IT-Branche: Auswärtiges Amt warnt vor IT-Fachkräften aus Nordkorea“ von Mathis Gann mit AFP und dpa für DIE ZEIT vom 31. Juli 2026. Wortlaut, Merkmalslisten und der Verweis auf Resolution 2397 stammen aus dem gemeinsamen Warnhinweis vom 31. Juli 2026 in der Fassung des Auswärtigen Amts, dessen englisches Original das IC3 des FBI ic3.gov ↗ veröffentlicht hat; die Angaben zu Herkunftsländern, Plattformen und deutschen Vertragsbeziehungen aus dem Sicherheitshinweis für die Wirtschaft 02/2024 des Bundesamts für Verfassungsschutz vom 1. Oktober 2024.