Die Nachfrage nach Entwicklerkapazität übersteigt in Österreich und Deutschland seit Jahren das Angebot. Der übliche Ausweg ist externe Vergabe: ein Freelancer über eine Plattform, ein Team im Ausland, ein Vertrag mit einer Agentur. Der Prozess ist eingespielt, das Onboarding dauert einen Tag, der Zugang zum Repository ist schnell erteilt.
Genau dieser eingespielte Prozess ist das Einfallstor, vor dem Sicherheitsbehörden in Europa, Nordamerika und Ostasien seit Jahren warnen.
Das Muster hinter den Behördenwarnungen
Der Kern der Warnungen, die Sicherheitsbehörden mehrerer Staaten wiederholt veröffentlicht haben: Nordkoreanische IT-Kräfte nehmen die Identität von Staatsangehörigen anderer Länder an und bewerben sich damit über Online-Vermittlungsplattformen auf Fernarbeitsverhältnisse in westlichen Unternehmen. In den Vereinigten Staaten ist das Muster seit 2015 dokumentiert, europäische Stellen haben in den vergangenen Jahren nachgezogen.
Zwei Schadensdimensionen werden genannt. Erstens fließen die Einnahmen nach Darstellung der Behörden dem Nuklear- und Raketenprogramm des Landes zu. Zweitens, und für ein Unternehmen unmittelbar relevanter: Diese Personen sitzen als Innentäter im System. Genannt werden Datenabfluss, Diebstahl von Kryptowährungen und das Ausleiten von Firmeninformationen.
Neu ist nicht das Phänomen, neu sind die Methoden. Gefälschte Lebensläufe und Ausweise waren früher an handwerklichen Fehlern erkennbar, mit generativen Werkzeugen ist das nicht mehr verlässlich der Fall. Die Behörden verweisen ausdrücklich auf zunehmend ausgefeiltes Vorgehen einschließlich KI-gestützter Identitätsverschleierung. Ebenfalls dokumentiert sind Komplizen im Zielland, die Geldwäsche und den Betrieb von Gerätefarmen übernehmen, sowie Sanktionen gegen einzelne Mittelsleute in Europa und den USA.
Wichtige Abgrenzung: Es geht hier nicht darum, Bewerbungen nach Herkunft zu bewerten. Das wäre rechtlich angreifbar und praktisch wirkungslos, weil die verwendeten Identitäten gerade nicht nordkoreanisch sind. Wirksam ist ausschließlich ein Prüfverfahren, das für alle Auftragnehmer gleich abläuft.
Wie das Vorgehen in der Praxis aussieht
Aus den bisher öffentlich gewordenen Fällen ergibt sich ein wiederkehrendes Muster in vier Schritten.
1. Die Identität wird zusammengesetzt
Grundlage ist ein Profil mit fremdem Namen, dazu Lebenslauf, Berufsprofil und Referenzen. Was früher an einem schlecht gefälschten Ausweis oder holprigem Englisch scheiterte, ist heute mit generativen Werkzeugen deutlich schwerer zu unterscheiden. Genau darauf zielt der Hinweis auf KI-gestützte Verschleierung in der Warnung.
2. Die Vermittlung läuft über eine Plattform
Freelancer-Marktplätze sind der bevorzugte Kanal, weil sie den Prozess standardisieren und die Prüfpflicht faktisch an den Auftraggeber weiterreichen. Die Plattform bestätigt, dass ein Konto existiert, nicht dass die Person hinter dem Konto die angegebene ist.
3. Das Firmengerät geht an einen Mittelsmann
Der beauftragende Betrieb verschickt Notebook und Zugangsdaten an eine Adresse im erwarteten Land. Dort nimmt ein Komplize mehrere solcher Geräte entgegen, stellt sie an einem Ort auf und schaltet Fernzugriff frei. Für das Unternehmen sieht jede Verbindung danach unauffällig aus. Die Konsequenz für die Praxis: Die IP-Adresse taugt nicht als Nachweis des Arbeitsorts.
4. Der Zugriff wird ausgeweitet
Ist der Zugang einmal erteilt, unterscheidet sich das weitere Vorgehen nicht mehr von jedem anderen Innentäter-Fall: Rechte werden schrittweise erweitert, Datenbestände kopiert, Zugangsdaten aus Konfigurationsdateien gesammelt. Wer hier keine technische Begrenzung eingezogen hat, merkt es erst, wenn die Daten schon draußen sind.
Warnsignale im Vergabeprozess
Kein einzelner Punkt aus dieser Liste ist ein Beweis. Für alle gibt es harmlose Erklärungen, und ein Verdacht auf Basis eines einzelnen Merkmals ist weder fair noch belastbar. Ein Muster aus mehreren Punkten rechtfertigt jedoch eine genauere Prüfung, bevor Zugriff erteilt wird.
| Beobachtung | Harmlose Erklärung | Sinnvolle Reaktion |
|---|---|---|
| Videogespräch wird vermieden oder Kamera fällt wiederholt aus | Schlechte Verbindung, Scheu vor Kamera | Ein kurzes Gespräch mit Kamera zur festen Bedingung vor Vertragsschluss machen, für alle gleich |
| Lieferadresse für Firmengeräte weicht von der Wohnadresse ab | Umzug, Zweitwohnsitz, Paketannahme durch Dritte | Abweichung dokumentieren lassen, Gerät alternativ an eine bestätigte Meldeadresse senden |
| Zahlung soll auf ein Konto Dritter oder in Kryptowährung erfolgen | Steuerliche Konstruktion, Zahlungsdienstleister | Zahlung ausschließlich auf ein Konto, das auf den Vertragspartner lautet |
| Arbeitszeiten passen dauerhaft nicht zur angegebenen Zeitzone | Nachtarbeiter, familiäre Gründe | Feste Überschneidungszeit vertraglich vereinbaren und nachhalten |
| Lebenslauf und Berufsprofil tauchen mit anderem Namen erneut auf | Vorlage aus dem Netz kopiert | Fachgespräch zu konkreten Projektentscheidungen statt Abfrage von Technologien |
| Fernwartungssoftware auf dem Firmengerät ohne Anlass | Eigener Support, zweiter Arbeitsplatz | Installationsrechte einschränken, Abweichung im Geräteinventar prüfen |
Das mit Abstand wirksamste Einzelinstrument ist das fachliche Tiefengespräch. Fragen Sie nicht ab, welche Technologien jemand kennt, sondern warum in einem konkreten früheren Projekt eine bestimmte Entscheidung so und nicht anders getroffen wurde. Eine übernommene Identität hält dieser Nachfrage selten drei Ebenen lang stand.
Absicherung, die unabhängig von der Person wirkt
Jede Prüfung im Auswahlprozess kann fehlschlagen. Deshalb ist die zweite Ebene die wichtigere: technische Grenzen, die den Schaden begrenzen, egal wer am anderen Ende sitzt. Diese Maßnahmen helfen gleichermaßen gegen einen übernommenen Zugang, ein kompromittiertes Notebook oder einen unzufriedenen Mitarbeiter am Ende der Kündigungsfrist.
- Zugriff nur auf das tatsächlich benötigte Repository. Ein Auftragnehmer für die mobile App braucht keinen Lesezugriff auf die Abrechnungssysteme.
- Keine Zugangsdaten zu Produktivsystemen. Externe arbeiten gegen Testumgebungen mit anonymisierten Daten. Das ist ohnehin datenschutzrechtlich der sauberere Weg.
- Vier-Augen-Prinzip bei jeder Zusammenführung von Code. Keine Ausnahme für dringende Korrekturen, denn genau diese Ausnahme wird gesucht.
- Kurzlebige Zugangsschlüssel. Keine dauerhaft gültigen Tokens in Entwicklungsumgebungen, kein gemeinsam genutztes Administratorkonto.
- Protokollierung von Zugriffen auf Datenbestände. Wer welchen Datensatz wann in welchem Umfang exportiert hat, muss nachvollziehbar sein.
- Abmeldeprozess mit Datum. Der Entzug aller Rechte gehört als Aufgabe mit Fälligkeitsdatum ins System, nicht in den Kopf einer Person.
Praxistipp: Prüfen Sie diese Woche eine einzige Frage: Wie viele aktive Zugänge zu Ihren Systemen gehören zu Personen, die nicht mehr für Sie arbeiten? Diese Zahl ist in den meisten Unternehmen höher als erwartet und lässt sich an einem Nachmittag bereinigen. Für Betriebe im Anwendungsbereich der neuen Sicherheitsvorgaben ist sie ohnehin nachzuweisen, siehe dazu NIS2 und NISG 2026 für KMU.
Plattform, Nearshore, Partner: was das Risiko verschiebt
Die Vergabeform entscheidet, wer die Identitätsprüfung tatsächlich durchführt und wer im Schadensfall haftet. Das ist der eigentliche Unterschied zwischen den Modellen, nicht der Tagessatz.
Freelancer-Plattform
Schnell verfügbar und flexibel, aber die Prüfung liegt vollständig bei Ihnen. Die Plattform bestätigt die Existenz eines Kontos, nicht die Identität dahinter. Bei kurzen, klar abgegrenzten Aufgaben ohne Zugriff auf sensible Daten ist das vertretbar. Bei Arbeiten am Kernsystem ist es das Modell mit dem höchsten Restrisiko.
Nearshore-Team mit Vertragspartner
Ein Vertragspartner im EU-Raum unterliegt derselben Rechtsordnung, ist greifbar und hat die Personen üblicherweise regulär angestellt. Damit verlagert sich die Prüfpflicht dorthin, wo sie erfüllbar ist. Was Sie sich vertraglich zusichern lassen sollten: Namen und Rollen der eingesetzten Personen, Meldepflicht bei Wechsel, sowie das Verbot der Weitervergabe ohne Zustimmung. Die Details dazu behandelt der Artikel zu IT-Outsourcing in Österreich.
Regionaler Partner
Das teuerste Modell pro Stunde und das mit dem geringsten Prüfaufwand: Sie kennen die Personen, die an Ihrem System arbeiten, und können sie treffen. Für Systeme, in denen Kundendaten, Zahlungsverkehr oder Geschäftsgeheimnisse liegen, ist der Aufpreis meist niedriger als der Aufwand einer belastbaren Prüfung im Plattformmodell. Wir arbeiten in unserer Softwareentwicklung und in der App-Entwicklung bewusst so.
Für die meisten Unternehmen ist die Antwort keine Entscheidung für ein Modell, sondern eine Zuordnung: Kernsystem und Kundendaten regional oder mit festem Vertragspartner, klar abgegrenzte Zuarbeit auch über den flexibleren Kanal. Wer diese Trennlinie schriftlich hat, muss sie nicht bei jedem Projekt neu diskutieren.
Fazit: Der Prozess ist die Verteidigung
Die Behördenwarnungen beschreiben einen Angriff, der keine technische Schwachstelle ausnutzt, sondern eine organisatorische: Vergabeprozesse, die Identität voraussetzen, statt sie zu prüfen, und Zugriffsrechte, die großzügiger sind als die Aufgabe.
Beides lässt sich ohne Sicherheitsprojekt beheben. Ein verbindliches Videogespräch vor Vertragsschluss, Zahlung nur an den Vertragspartner, Zugriff nur auf das benötigte Repository und ein Abmeldeprozess mit Datum: Das sind vier Punkte, die in eine bestehende Vergaberichtlinie passen. Wer keine hat, hat jetzt einen guten Anlass, eine halbe Seite davon zu schreiben.