Diebstähle von Kryptogeld: Nachrichtendienste warnen vor Cyberangriffen aus Nordkorea

Diebstähle von KryptogeldNachrichtendienste warnen vor Cyberangriffen aus Nordkorea

18.09.2026, 10:56 Uhr

Vor einer nordkoreanischen Cybergruppierung sollten sich besonders IT-Fachleute auf Arbeitssuche in Acht nehmen. Das berichten mehrere internationale Sicherheitsbehörden, darunter deutsche Nachrichtendienste. Es ist nicht die einzige Kampagne aus Nordkorea, vor der gewarnt wird.

Deutsche Nachrichtendienste warnen arbeitssuchende IT-Fachleute vor einer Cybergruppierung, die Kryptodevisen zur Umgehung von Sanktionen gegen Nordkorea und zur Finanzierung seines Rüstungsprogramms stiehlt. Ziel der Gruppe "Waterplum" sei es, Finanzmittel für die "Gehälter für das Kim-Regime und sein Militär" zu beschaffen, heißt es in der Mitteilung. Spionage und Diebstahl geistigen Eigentums könnten im Einzelfall jedoch ebenfalls eine Rolle spielen.

In dem Hinweis, den das Bundesamt für Verfassungsschutz und der Bundesnachrichtendienst (BND) gemeinsam mit Sicherheitsbehörden in Japan, den USA und Australien veröffentlicht haben, heißt es, die nordkoreanischen Cyberkriminellen setzten bei ihrer Kampagne auf sogenanntes Social Engineering. Dabei geht es darum, Menschen gezielt zu manipulieren, damit sie vertrauliche Informationen preisgeben oder etwas tun, das dem Angreifer nützt. In der IT-Sicherheitsszene wird die Kampagne, hinter der wohl in staatlichem Auftrag handelnde Akteure stecken, "Contagious Interview" genannt.

Demnach tritt die Gruppierung zuerst über soziale Medien, Job-Plattformen oder Internet-Marktplätze für freiberufliche Aufträge in Kontakt mit Softwareentwicklern und anderen arbeitssuchenden IT-Fachleuten. Sie geben sich dabei unter anderem als Vertreter von KI-Firmen oder Unternehmen aus der Kryptobranche aus. Im Verlauf des vermeintlichen Online-Bewerbungsprozesses sollen die Job-Kandidaten dann eine Aufgabe erfüllen, für die sie eine Datei herunterladen sollen. Diese enthält ein Schadprogramm. Sobald sich die Angreifer mittels dieses Programms Zugang zum System der Betroffenen verschafft haben, stehlen sie sensible Daten und Kryptowährung. Trojaner halten unterdessen Zugangswege für weitere Angriffe auf andere Systeme des Opfers aufrecht.

Weitere Kampagne bekannt

Gleichzeitig setzt Nordkorea den Angaben zufolge auf eine andere Kampagne, zu der es bereits im Oktober 2024 einen öffentlichen Hinweis gab. Hier besorgen sich nordkoreanische IT-Spezialisten unter falscher Identität Jobs als Remote-Entwickler bei Unternehmen. Auch hier soll es darum gehen, Zahlungen zu erhalten und Geld für den nordkoreanischen Staat zu beschaffen. Um nicht als Nordkoreaner sichtbar zu werden, nutzen die Arbeitskräfte teilweise sogenannte Laptop-Farmen - Orte in einem anderen Land, an denen Rechner stehen, auf die der IT-Spezialist aus der Ferne Zugriff hat.

Bei dieser Kampagne sollten Arbeitgeber misstrauisch werden, wenn ein Bewerber etwa Ausreden erfinde, um ein persönliches Treffen zu vermeiden, um Bezahlung in Kryptowährung bitte oder während des Online-Bewerbungsgesprächs häufig zur Seite schaue, so als würde er von einem zweiten Monitor ablesen.

Nordkorea unterliegt wegen seines Atom- und Raketenprogramms seit rund zwei Jahrzehnten umfangreichen UN-Sanktionen. Zuletzt hatten China und Russland im UN-Sicherheitsrat weitere Strafmaßnahmen gegen Nordkorea blockiert. Zudem verhinderten sie die Verlängerung des Mandats eines UN-Expertengremiums, das die Umsetzung der Sanktionen überwacht hatte.