Ein Freelance-Entwickler mit makellosem Lebenslauf, sauberem Portfolio und überzeugendem Video-Interview – und trotzdem kein einzelner Kandidat, sondern ein Glied in einem staatlich gelenkten Betrugsnetzwerk. Was nach Spionagefilm klingt, ist laut übereinstimmenden Berichten von Behörden und Sicherheitsforschern ein konkretes Insider-Risiko für Unternehmen weltweit.

Unser Managing Partner Reto Marti hat das Thema in seiner aktuellen Analyse für CIO.de eingeordnet: „Fake-IT-Mitarbeiter: Wie CIOs den Betrug erkennen" (CIO.de, 23. Juli 2026). Dieser Beitrag fasst die wichtigsten Punkte zusammen und ordnet sie aus Sicht von Validato ein.

Quelle: cio.de/article/4198226


Worum es geht

Seit Jahren schleusen nordkoreanische Netzwerke IT-Fachkräfte mit falschen, gestohlenen oder geliehenen Identitäten in westliche Unternehmen ein – meist als Remote-Freelancer für Softwareentwicklung, Datenbanken, Cloud-Administration oder App-Projekte. Laut Behördenangaben, die im CIO.de-Artikel zitiert werden, sind Tausende solcher Arbeitskräfte weltweit im Einsatz. Wie groß einzelne Netzwerke werden können, zeigen abgeschlossene Strafverfahren: In einem Fall wurden 309 US-Unternehmen getäuscht, das Netzwerk erwirtschaftete mehr als 17 Millionen US-Dollar. Ein im April 2026 abgeschlossenes Verfahren betraf eine Struktur, die mit gestohlenen Identitäten Jobs bei mehr als 100 Unternehmen erlangte und über fünf Millionen US-Dollar einnahm.


Für Unternehmen ist das kein akademisches Risiko. Wer regulär eingestellt wird, erhält reguläre Zugangsdaten – und damit unter Umständen Zugriff auf Quellcode, Kundendaten, Entwicklungsumgebungen oder internes Wissen. Der Zugriff sieht technisch legitim aus, obwohl Identität, Standort und Zweck der Tätigkeit falsch sein können.

Wie das Schema funktioniert

Die Struktur ist arbeitsteilig: IT-Fachkräfte übernehmen die eigentliche Projektarbeit, Rekruter suchen passende Stellen, Mittelsleute beschaffen Identitäten und Konten, andere Personen treten in Interviews auf oder wickeln Verträge und Zahlungen ab. Hinzu kommen lokale Helfer, die Firmenhardware entgegennehmen. Ein Unternehmen kann also im Bewerbungsgespräch, beim Laptop-Versand und im täglichen Arbeitsalltag mit jeweils unterschiedlichen Personen desselben Netzwerks interagieren.


Eine Schlüsselrolle spielen sogenannte Laptop Farms: Firmenrechner stehen physisch im Land des vermeintlichen Mitarbeiters, werden aber über Fernwartungssoftware oder KVM-Technik aus dem Ausland bedient. Für einfache Standortkontrollen wirkt der Zugriff dadurch lokal. Generative KI verschärft das Problem zusätzlich – laut dem Artikel beobachtet Microsoft unter anderem KI-bearbeitete Profilbilder und den Einsatz von Stimmveränderungssoftware bei Bewerbungen.

Warum klassische Prüfungen zu kurz greifen

Ein einmaliger, dokumentenbasierter Background-Check bestätigt bestenfalls, dass vorgelegte Daten zu einer realen Identität passen. Er beantwortet nicht, ob diese Identität wirklich zur Person im Interview gehört, ob später dieselbe Person arbeitet oder ob dieselben Kontaktdaten bereits in anderen Bewerbungen aufgetaucht sind. Identitätsprüfung muss deshalb als Prozess gedacht werden – vom Recruiting über das Onboarding bis zu risikobasierten Kontrollen während der Beschäftigung. Genau hier setzt Validato mit skalierbaren, datenschutzkonformen Screening-Prozessen für Unternehmen in der DACH-Region an.

Die wichtigsten Warnsignale auf einen Blick

Im Bewerbungsprozess:

  1. Identische Kontaktdaten (VoIP-Nummern, E-Mail-Adressen, Zahlungsinformationen) bei mehreren angeblich unabhängigen Bewerbungen
  2. Inhaltlich nicht zusammenpassende Lebensläufe und Portfolios
  3. Ausweichen vor einem stabilen Video-Interview
  4. Auffällig vage Antworten zu Standort oder Ausbildung
  5. Drängen auf einen sehr schnellen Start

Nach dem ersten Arbeitstag:

  1. Anmeldungen desselben Kontos aus weit auseinanderliegenden Ländern
  2. Nicht genehmigte Fernwartungssoftware
  3. Wechselnde Gerätefingerabdrücke
  4. Großflächiges Kopieren von Quellcode in private Cloudspeicher
  5. Wiederkehrende technische Probleme bei Video-Calls, die auf Unterstützung durch Dritte hindeuten könnten


Der vollständige Artikel auf CIO.de beschreibt diese Signale im Detail und ergänzt sie um fünf konkrete Maßnahmen für CIOs: Rollen nach Risiko staffeln, Identität mehrfach verifizieren, Hardware und Zahlungen kontrollieren, Least Privilege technisch durchsetzen und Dienstleister sowie Eskalationswege einbeziehen.

Was das für Ihr Unternehmen bedeutet

Cybersicherheit beginnt nicht erst an der Firewall. Sie beginnt dort, wo eine digitale Identität erstmals Vertrauen, Hardware und Zugriffsrechte erhält – und endet nicht mit dem ersten Arbeitstag. Validato unterstützt Unternehmen in der DACH-Region dabei, Identitätsprüfungen entlang des gesamten Employee-Lifecycles zu verankern: verhältnismäßig, datenschutzkonform und passend zum Risiko der jeweiligen Rolle.


Quelle: Reto Marti, „Fake-IT-Mitarbeiter: Wie CIOs den Betrug erkennen", CIO.de, 23. Juli 2026