Nordkorea flutet den Jobmarkt mehr denn je

Während Personalabteilungen noch mit klassischen Lebenslauf-Checks arbeiten, hat Nordkorea die Bewerbung längst industrialisiert.

Ein neuer Bericht der Recorded-Future-Sparte Insikt Group zeigt, wie eine als „PurpleDelta“ bezeichnete Gruppe mit KI-Tools im großen Stil westliche Unternehmen unterwandert und dabei ein Tempo vorlegt, mit dem herkömmliche Einstellungsprozesse kaum mithalten können.

60 Bewerbungen am Tag

Laut dem am 18. August 2026 veröffentlichten Bericht bewarben sich Operatoren eines einzelnen PurpleDelta-Clusters bei über 1.100 Unternehmen, mit bis zu 60 Bewerbungen pro Tag, teils sogar mehrfach auf dieselbe Stelle unter verschiedenen Identitäten. Im Fokus stehen vor allem Software- und IT-Dienstleister (rund 41 Prozent), gefolgt von Personaldienstleistern (26 Prozent) sowie Gesundheits- und Biotech-Firmen (10 Prozent). Etwa 80 Prozent der Zielunternehmen sitzen in Nordamerika, betroffen sind aber Firmen aus allen Regionen.

Insgesamt identifizierte Insikt Group mindestens 22 frei erfundene Personas, die angeblich aus den USA, Deutschland oder Brasilien stammen, auffällig viele davon mit angeblichem Wohnsitz in Florida. Für die Jobsuche greifen Fake-Bewerber auf gängige Plattformen wie Indeed, Upwork, ZipRecruiter oder SimplyHired zurück.

Um bei diesem Tempo den Überblick zu behalten, pflegen die Angreifer detaillierte Google Sheets, in denen Jobtitel, Firmenname und der Bewerbungsstatus jeder einzelnen Persona vermerkt sind. Jede Fake-Identität bekommt ihr eigenes Chrome-Profil und einen eigenen Google-Kalender. In einem Fall experimentierten die Täter sogar mit Wavebox, einem Tool für Multi-Account-Browsing. Die Profilfotos stammen von einem Gesichtstausch-Dienst namens insertFace.com, gefälschte Ausweisdokumente liefert der Anbieter TrustID Card. Zusätzlich sollen die Gruppen in Telegram-Kanälen aktiv sein, die gestohlene Zugangsdaten aus Infostealer-Logs verkaufen, sowie fremde US- und ukrainische Identitäten und Freelancer-Accounts aufgekauft haben. Auch das Fälschen von GitHub-Beitragsverläufen gehört offenbar zum Repertoire, jenem Detail, auf das viele Tech-Recruiter noch immer blind vertrauen.

ChatGPT besteht das Interview

Besonders deutlich wird die Lücke zwischen Angreifer-Tempo und Unternehmens-Reaktion im Vorstellungsgespräch selbst. Für jede Persona legen die Operatoren einen individuell konfigurierten ChatGPT-Assistenten an, der im Interview-Modus konsistente Backstorys liefert. Auf die Frage nach seiner eigenen Konfiguration antwortete ein solcher Bot laut Bericht sinngemäß auf Deutsch übersetzt: „Ich soll Projekte praxisnah durchsprechen, erklären, was die Firma macht, woran ich gearbeitet habe und warum bestimmte Entscheidungen getroffen wurden.“ Und weiter: „Das Ziel ist, wie ein echter Kandidat im Gespräch zu klingen, nicht wie eine abgelesene KI-Antwort.“

Während des Gesprächs läuft im Hintergrund Screen-Recording- und Transkriptions-Software (unter anderem iTop Screen Recorder, Krisp, Caption.Ed) mit, die Fragen live in ChatGPT einspeist. Die Antworten werden dann teils wortwörtlich vorgelesen, selbst wenn die KI offensichtlich falsch liegt, ein Warnsignal, das in der Praxis trotzdem regelmäßig übersehen wird. Klassische Erkennungsmerkmale versagen zusehends: Während das Verweigern der Videokamera früher als klares Indiz für nordkoreanische IT-Arbeiter galt, zeigen sich die Kriminellen inzwischen bewusst vor der Kamera, kompensiert durch KI-gestützte Deepfake- und Transkriptionstools. Die Verteidiger laufen den Methoden also nicht nur hinterher, die Angreifer haben die alten Warnsignale längst gezielt entschärft.

Sind die Fake-Bewerber erst einmal angestellt, laut Bericht bei mindestens zehn Organisationen aus den Bereichen KI, Fintech, IT-Services, Medien und Non-Profit, wird das Problem für Unternehmen erst richtig sichtbar, meist zu spät. Die Fake-Worker zeichnen interne Meetings auf und nutzen Google Translate, um vorformulierte Ausreden zu verfassen, etwa warum sie private statt Firmengeräte nutzen. In einer im Bericht dokumentierten Nachricht heißt es zur Begründung: „Aufgrund einer dringenden familiären Situation konnte ich den Laptop nicht in Empfang nehmen, da bei meiner Mutter kürzlich Brustkrebs diagnostiziert wurde und ich sie derzeit zu Hause pflege und unterstütze.“ Anschließend bittet der Verfasser darum, vorerst das eigene Privatgerät nutzen zu dürfen, ein Vorwand, der in vielen HR-Abteilungen aus Mitgefühl unhinterfragt akzeptiert wird.

Über Telegram und Slack koordinieren sich die Operator zudem untereinander, etwa um bei Abwesenheit gegenseitig Arbeitsaufgaben zu übernehmen. Ein Hinweis darauf, dass hinter den Personas ein arbeitsteiliges Team steckt und nicht nur ein Einzeltäter, den man mit einer einzelnen Kündigung wieder loswird.

Ein Schattenmarkt, der schneller wächst als jede Abwehrmaßnahme

Der Bericht beschreibt außerdem ein Netzwerk von „Facilitatoren“, Mittelspersonen in den Zielländern, die Firmenlaptops entgegennehmen, mit Fernzugriffssoftware wie AnyDesk präparieren und bei Bedarf sogar weiterverkaufen, etwa wenn ein Gerät durch die IT-Abteilung gesperrt wird. Insikt Group fand zudem Webseiten, auf denen offen „Tech-Repräsentanten“ in der EU und den USA gesucht werden, die gegen 10 bis 15 Prozent Gewinnbeteiligung ihre Identität, Freelancer-Accounts oder Rechner zur Verfügung stellen. Diese Infrastruktur lässt sich fast beliebig skalieren, während Unternehmen ihre Prüfprozesse oft noch manuell und einzelfallbezogen abarbeiten.

Insikt Group rät Firmen unter anderem zu:

• gründlichen Video-Identitätschecks gegen amtliche Ausweisdokumente
• Zero-Trust-Architekturen mit Least-Privilege-Zugriff
• Geräte-Geolocation-Abgleich mit den Login-Standorten der Mitarbeiter
• Vorsicht bei Bitten um Auszahlung auf private statt Firmenkonten oder in Kryptowährung
• Skepsis bei Auffälligkeiten wie Adressänderungen zwischen Einstellung und Gerätelieferung

Fazit: Der Abstand wird größer, nicht kleiner

Insikt Group geht davon aus, dass die PurpleDelta-Aktivitäten nicht nur anhalten, sondern mit zunehmender KI-Integration an Umfang und Raffinesse weiter zulegen werden. Da Personas, VPN-Endpunkte und Lebenslauf-Vorlagen mit minimalem Aufwand ersetzt werden können, lässt sich die Kampagne kaum durch das Aufdecken einzelner Fake-Profile stoppen. Unternehmen, die weiterhin auf klassische, manuelle Prüfprozesse setzen, geraten dabei strukturell ins Hintertreffen. Die Analysten schließen nicht aus, dass über diese Anstellungen bereits gezielt Quellcode, interne Kommunikation oder sonstige sensible Daten zugunsten nordkoreanischer Staatsinteressen abgegriffen werden, oft, ohne dass die betroffenen Firmen es überhaupt bemerken.

(red)