Remote-Onboarding: erst die Identität prüfen, dann das Firmengerät ausgeben

Sieben Sicherheitsbehörden aus Japan, den USA, Australien und Deutschland, darunter Bundesnachrichtendienst und Bundesamt für Verfassungsschutz, haben am 18. September 2026 einen gemeinsamen Sicherheitshinweis veröffentlicht. Er beschreibt unter anderem, wie sich nordkoreanische IT-Kräfte über fremde Identitäten Remote-Stellen verschaffen und die dienstlichen Rechner aus sogenannten Laptop-Farmen fernsteuern (Sicherheitshinweis, NPA Japan). Seine Empfehlungen für Arbeitgeber setzen vor allem im Bewerbungsverfahren an und beim Entzug von Zugängen. Zu Geräte-Enrollment, Gerätezertifikaten oder dem Versand von Firmengeräten sagt das Dokument nichts.

Für das Remote-Onboarding folgt daraus aus unserer Sicht eine zweite Prüfstelle, die die IT selbst in der Hand hat: das Firmengerät. Wer es bekommt, wohin es geht und wann es Zugang erhält, gehört zur Identitätsprüfung dazu.

Was BfV, BND und FBI bei der Einstellung von Remote-Fachkräften empfehlen

Der Hinweis nennt die beteiligten Stellen selbst: National Police Agency of Japan (NPA), National Cybersecurity Office of Japan (NCO), US Federal Bureau of Investigation (FBI), US Department of Defense Cyber Crime Center (DC3), Australian Signals Directorate's Australian Cyber Security Centre (ASD's ACSC), Bundesnachrichtendienst (BND) und Bundesamt für Verfassungsschutz (BfV). Das BfV fasst den Teil, der Unternehmen betrifft, in seiner deutschen Kurznote zusammen: Die Akteure versuchen weiterhin, „bei Unternehmen Anstellungen als Remote-Developer zu erhalten“, und zwar „über die Identitäten von Mittelspersonen in Europa oder anderen Ländern“.

Für das Bewerbungsverfahren empfiehlt der Hinweis unter anderem:

• IP-Adressen mit dem angegebenen Wohnort abgleichen, soweit möglich.
• Kontaktdaten sorgfältig prüfen; ein Anruf kann zeigen, dass die Nummer nicht in Betrieb ist.
• Die im Lebenslauf genannten Fähigkeiten im Gespräch ausführlich erklären lassen und Zertifikate über ihre Registriernummer prüfen.
• Auf Warnzeichen achten: Wunsch nach Bezahlung in Kryptowährung oder auf ein Konto unter fremdem Namen, Ausflüchte bei persönlichen Treffen.

Für den laufenden Betrieb empfiehlt das Dokument Unternehmen unter anderem, Informationen und Zugriffsrechte auf das Nötige zu beschränken und bei Verdacht Konten und Sitzungen umgehend zu entziehen („promptly revoke accounts and sessions“). Dass es nicht nur um Lohnzahlungen geht, zeigt der Hinweis an zwei Fällen: In einem hat eine IT-Kraft ein Unternehmen erpresst und dessen Quellcode veröffentlicht, in einem anderen die Website des Arbeitgebers verunstaltet.

Was ist eine Laptop-Farm?

Eine Laptop-Farm ist laut Hinweis ein Ort, oft die Wohnung einer Mittelsperson, an dem dienstliche Rechner aufgestellt und von nordkoreanischen IT-Kräften aus der Ferne gesteuert werden. Die Arbeitskräfte selbst sitzen nach Angaben der Behörden meist in Nordkorea, China oder Russland. Ausweisbilder und Bankkonten stellen Mittelspersonen, virtuelle Server verschleiern den tatsächlichen Arbeitsort. In Japan haben die Behörden nach eigener Angabe erstmals eine solche Farm eines Mittelsmanns im Inland ausgehoben.

Für die IT heißt das: Das Firmengerät steht dort, wohin es geliefert wurde. Meldet es sich regelmäßig aus dem Heimnetz, beweist das nur, dass jemand an diesem Anschluss das Gerät eingeschaltet hat.

Warum die Geräteausgabe zur Identitätsprüfung gehört

Das Folgende ist unsere Ableitung, keine Empfehlung der Behörden. Im beschriebenen Muster sind die eingestellte Person und die arbeitende Person nicht dieselbe. Endet die Identitätsprüfung mit dem Bewerbungsgespräch per Video, geht danach ein Gerät an die Adresse aus dem Vertrag, und von da an meldet sich dieses Gerät jeden Tag an, ohne dass noch jemand fragt, wer davor sitzt.

Genau an dieser Übergabe treffen Person, Ort und Gerät zusammen. Personalabteilung und Fachbereich verantworten das Gespräch und die Zahlungswege. Die IT verantwortet, wohin das Gerät geht, wann es verwaltet ist und wann es Zugang bekommt. Wenn beide Prüfungen dieselben Daten nutzen, wird aus einer einmaligen Prüfung eine zweite Gelegenheit, Widersprüche zu sehen.

An welche Adresse ein Firmengerät geht und wann es registriert wird

Diese vier Schritte empfehlen wir für jede Einstellung, bei der Sie die Person vor dem ersten Arbeitstag nicht persönlich treffen:

1. Lieferadresse abgleichen. Das Gerät geht an die Adresse aus dem Arbeitsvertrag. Bittet jemand kurz vor dem Versand um eine andere Adresse oder um Weiterleitung an Dritte, klären Sie das über die Personalabteilung, bevor das Paket das Haus verlässt.
2. Vor dem Versand erfassen. Das Gerät ist inventarisiert und in der Geräteverwaltung aufgenommen, bevor es verschickt wird. Dann steht fest, welche Seriennummer an welche Adresse gegangen ist. Für Android-Geräte im Zero-Touch-Portal gibt es dafür neue, feinere Rollen: Ein „Assigner“ weist Geräten eine Konfiguration zu, ohne sonst etwas ändern zu können, ein „Viewer“ sieht nur. Oliver Schiemann und Magnus Wonschik haben das im ISEC7-Webcast zu Android 17 vorgestellt. Wer Geräten Konfigurationen zuweisen darf, gehört aus unserer Sicht zur selben Kontrolle wie die Lieferadresse.
3. Zugänge mit dem Gerät freischalten, nicht vorher. Konten und Berechtigungen werden erst aktiv, wenn das Gerät angekommen ist und ein zweiter Abgleich stattgefunden hat, etwa im Einrichtungstermin per Video mit derselben Person wie im Bewerbungsgespräch. Die Rechte bleiben zunächst auf das beschränkt, was die Rolle braucht, wie es der Hinweis empfiehlt. Beim Web-based Enrollment über die Android Management API stellt das UEM einen Weblink bereit, und das Arbeitsprofil entsteht ohne App-Download in drei Schritten und drei bis fünf Minuten; auch das zeigt der Android-17-Webcast. Den Link schicken Sie deshalb erst nach dem zweiten Abgleich, und nur an die geprüfte Person. Auf dem Mac bindet Platform SSO ab macOS 27 die Anmeldung an Ihren Identity Provider, mit Touch ID als zweitem Faktor, den Sie auch verpflichtend machen können. Das war Thema im ISEC7-Webcast zu iOS 27 vom 14. Juli 2026.
4. Den Abgleich später wiederholen. Der Hinweis rät im Bewerbungsverfahren, IP-Adresse und angegebenen Wohnort zu vergleichen. Dieselbe Frage lässt sich nach der Einstellung an die Anmeldungen des Geräts stellen.

Was passiert mit Zugängen und Gerät, wenn sich ein Verdacht bestätigt?

Konten und Sitzungen werden umgehend entzogen, so steht es im Hinweis. Bei Verdacht auf nordkoreanische IT-Kräfte raten die Behörden, sofort die Polizei einzuschalten. Das Gerät gehört aus unserer Sicht in denselben Schritt: sperren, Rückgabe veranlassen und festhalten, an welche Adresse es gegangen ist. Ob und wann Sie es löschen, entscheiden Sie mit Blick auf mögliche Ermittlungen; ein gelöschtes Gerät zeigt nicht mehr, was darauf lief.

Was ISEC7 dabei übernimmt

Das Bewerbungsgespräch und die Prüfung von Ausweisen und Zahlungswegen bleiben bei Ihrer Personalabteilung. Ab der Geräteausgabe übernehmen wir: Im ISEC7 Endpoint Lifecycle Management begleiten wir Geräte vom Onboarding bis zum Offboarding. Unser Service-Desk-Team bereitet sie vor dem Versand vor, mit Funktionsprüfung, Betriebssystem-Updates und Aufnahme in das UEM-Management bis zur Inventarisierung. Mit ISEC7 DEVICE AS A SERVICE liefern wir Geräte an den richtigen Ort, ins Büro oder ins Homeoffice, und kümmern uns um die Rückgabe der Hardware, wenn jemand das Unternehmen verlässt. Was das für iPhone, iPad und Mac heißt, steht auf der Seite Apple im Unternehmen, für Android-Flotten auf Android Enterprise, ChromeOS und Google Workspace.

In ISEC7 SPHERE laufen die Verwaltungsschritte für On- und Offboarding zusammen, von der Hardware-Bestellung über den Genehmigungsworkflow bis zum Asset-Management. René Graute hat im ISEC7-Webcast vom 18. November 2025 On- und Offboarding als typischen Fall für Automatisierung genannt und die Benutzeransicht vorgeführt: Sie führt die zugeordneten Geräte und Dienste einer Person und die Historie der Vorgänge an Person und Gerät aus allen angebundenen Systemen zusammen. Bestätigt sich ein Verdacht, sehen Sie dort, welche Geräte und Dienste an dieser Person hängen.

Wie Identitätsprüfung im Onboarding grundsätzlich funktioniert, beschreibt unser englischsprachiger Beitrag Digital ID Verification. Die Einrichtung selbst üben Administratoren in unseren Trainings zu Apple, Android Enterprise und Samsung Knox. Die Aufzeichnungen der genannten Webcasts bekommen Sie kostenfrei nach Registrierung; alle Termine stehen in der Webcast-Übersicht.

Häufige Fragen

Was ist eine Laptop-Farm?

Laut dem gemeinsamen Sicherheitshinweis vom 18. September 2026 ist eine Laptop-Farm ein Ort, oft die Wohnung einer Mittelsperson, an dem dienstliche Rechner aufgestellt und von nordkoreanischen IT-Kräften aus der Ferne gesteuert werden. Die Arbeitskräfte selbst sitzen nach Angaben der Behörden meist in Nordkorea, China oder Russland; virtuelle Server verschleiern den tatsächlichen Arbeitsort.

Was empfehlen BfV, BND und FBI bei der Einstellung von Remote-IT-Fachkräften?

Der Hinweis empfiehlt, IP-Adressen mit dem angegebenen Wohnort abzugleichen, Kontaktdaten zu prüfen und die Telefonnummer anzurufen, Fähigkeiten aus dem Lebenslauf im Gespräch genau erklären zu lassen und Zertifikate über ihre Registriernummer zu prüfen. Unternehmen sollen Zugriffsrechte auf das Nötige beschränken. Bei Verdacht sollen sie Konten und Sitzungen umgehend entziehen.

Sagt der Behördenhinweis etwas zum Versand von Firmengeräten?

Nein. Der Hinweis behandelt Bewerbungsverfahren, Zahlungswege, Zugriffsrechte und den Entzug von Zugängen. Zu Geräte-Enrollment, Gerätezertifikaten oder dem Versand von Firmengeräten enthält er keine Empfehlung. Die Verbindung von Identitätsprüfung und Geräteausgabe in diesem Beitrag ist eine Ableitung von ISEC7, die vier Schritte zur Lieferadresse sind unsere Empfehlung.

Was tun, wenn sich bei einer Remote-Fachkraft ein Verdacht bestätigt?

Die Behörden raten, Konten und Sitzungen umgehend zu entziehen und bei Verdacht auf nordkoreanische IT-Kräfte sofort die Polizei einzuschalten. Aus unserer Sicht gehört das Gerät in denselben Schritt: sperren, Rückgabe veranlassen und festhalten, an welche Adresse es gegangen ist. Ob und wann es gelöscht wird, entscheiden Sie mit Blick auf mögliche Ermittlungen.

Quellen

• National Police Agency of Japan u. a., gemeinsamer Sicherheitshinweis „North Korean ‚WaterPlum,‘ commonly referred to as ‚Contagious Interview,‘ Cyber Actor Group Targeting IT Professionals; Activities of North Korean IT Workers in Japan, the United States and Europe“, 18.09.2026: npa.go.jp (PDF)
• Bundesamt für Verfassungsschutz, „Internationaler Sicherheitshinweis: Illegale Devisenbeschaffung durch nordkoreanische Cyberaktivitäten“, 18.09.2026: verfassungsschutz.de

ISEC7-Ressourcen

• ISEC7-Webcast „What’s new in Android 17 for Enterprise?“, 11.06.2026, Oliver Schiemann und Magnus Wonschik: isec7.com
• ISEC7-Webcast „Apple und iOS 27: was für Unternehmen wichtig ist“, 14.07.2026, Oliver Schiemann und Magnus Wonschik: isec7.com
• ISEC7-Webcast „Die Zukunft gehört denen, die ihre IT verstehen und aktiv steuern“ (ISEC7 SPHERE), 18.11.2025, René Graute: isec7.com
• ISEC7, Endpoint Lifecycle Management: isec7.com
• ISEC7, ISEC7 SPHERE: isec7.com
• ISEC7, Apple im Unternehmen: isec7.com
• ISEC7-Blog, „Demystifying Cybersecurity: Digital ID Verification“ (englisch): blog.isec7.com