Nordkoreanische Netzwerke schleusen seit Jahren IT-Fachkräfte mit falschen, gestohlenen oder geliehenen Identitäten in westliche Unternehmen ein – meist als Remote-Freelancer für Softwareentwicklung, Cloud-Administration oder App-Projekte. In einem Fall wurden 309 US-Unternehmen getäuscht, das Netzwerk erwirtschaftete über 17 Millionen US-Dollar; in einem weiteren, im April 2026 abgeschlossenen Verfahren erlangte ein Betrugsnetzwerk mit gestohlenen Identitäten Jobs bei mehr als 100 Firmen und nahm über 5 Millionen US-Dollar ein. Das sind die zentralen Zahlen aus dem Fachbeitrag "Fake-IT-Mitarbeiter: Wie CIOs den Betrug erkennen", den Reto Marti - Managing Partner von Validato am 23. Juli 2026 bei CIO.de veröffentlicht hat.

Wie funktioniert das Betrugsschema?

Die Struktur ist arbeitsteilig organisiert. IT-Fachkräfte übernehmen die eigentliche Projektarbeit, Rekruter suchen passende Stellen, Mittelsleute beschaffen Identitäten und Konten, weitere Personen treten in Interviews auf oder wickeln Verträge und Zahlungen ab. Lokale Helfer nehmen Firmenhardware entgegen und betreiben sie in sogenannten "Laptop Farms" – die Geräte stehen physisch im Land des vermeintlichen Mitarbeiters, werden aber über Fernwartungssoftware oder KVM-Technik aus dem Ausland bedient. Generative KI verstärkt die Täuschung zusätzlich: KI-bearbeitete Profilbilder, verbesserte Bewerbungsunterlagen und Stimmveränderungssoftware machen einen fehlerfreien Lebenslauf zu einem unzuverlässigen Identitätsnachweis.

Warum reicht ein einmaliger Background-Check nicht aus?

Ein einmaliger, dokumentenbasierter Check bestätigt bestenfalls, dass vorgelegte Daten zu einer realen Identität passen. Er beantwortet nicht, ob diese Identität tatsächlich der Person im Interview gehört oder ob später dieselbe Person arbeitet. Identitätsprüfung muss deshalb als Prozess gedacht werden – vom Recruiting über das Onboarding bis zu risikobasierten Kontrollen während der laufenden Beschäftigung.

Warnsignale im Bewerbungsprozess

  1. Kontaktdaten, insbesondere VoIP-Nummern, E-Mail-Adressen oder Zahlungsinformationen, tauchen bei mehreren angeblich unabhängigen Bewerbungen identisch auf.
  2. Lebenslauf, Portfolio und öffentliches Profil passen zeitlich oder inhaltlich nicht zusammen.
  3. Der Kandidat weicht einem stabilen Video-Interview aus, oder Bild und Stimme wirken wiederholt asynchron.
  4. Kurz vor oder nach Vertragsstart ändern sich Lieferadresse, Bankverbindung oder Zahlungsplattform.
  5. Der Kandidat drängt auf einen sehr schnellen Start oder fordert weitreichende Rechte vor Abschluss der Prüfungen.

Warnsignale nach dem ersten Arbeitstag

Auch nach der Einstellung liefern technische Indikatoren wichtige Hinweise: mehrere Anmeldungen desselben Kontos aus weit entfernten Ländern innerhalb kurzer Zeit, nicht genehmigte Fernwartungs- oder Remote-Desktop-Software, wechselnde Gerätefingerabdrücke sowie grossflächiges Kopieren von Quellcode in private Cloudspeicher. Keines dieser Signale beweist für sich allein einen Betrug – entscheidend ist laut Marti immer die Kombination mehrerer voneinander unabhängiger Auffälligkeiten.

Was CIOs jetzt konkret tun sollten

Reto Marti leitet aus seiner Analyse fünf Massnahmen ab: Rollen nach Risiko staffeln, Identität mehrfach über unabhängige Quellen verifizieren, Hardware- und Zahlungswege konsequent kontrollieren, Least-Privilege-Zugriffe technisch durchsetzen und Dienstleister sowie einen klaren Eskalationsweg in das Kontrollmodell einbeziehen. Für Unternehmen in Deutschland, Österreich und der Schweiz gilt dabei: Die Prüfung muss verhältnismässig und datenschutzkonform bleiben – Ziel ist die nachvollziehbare Prüfung relevanter Risiken für eine konkrete Rolle, nicht die möglichst umfassende Sammlung von Personendaten.

Quelle

Reto Marti, "Fake-IT-Mitarbeiter: Wie CIOs den Betrug erkennen", CIO.de, 23. Juli 2026.

Validato unterstützt Unternehmen mit einer digitalen Plattform bei der mehrstufigen Identitäts- und Background-Prüfung von Bewerbenden und externen Dienstleistern – von der Einstellung bis zur risikobasierten Kontrolle während der Beschäftigung. Mehr dazu unter validato.com.