Sieben Sicherheitsbehörden aus Japan, den USA, Australien und Deutschland, darunter Bundesnachrichtendienst und Bundesamt für Verfassungsschutz, haben am 18. September 2026 einen gemeinsamen Sicherheitshinweis veröffentlicht. Er beschreibt unter anderem, wie sich nordkoreanische IT-Kräfte über fremde Identitäten Remote-Stellen verschaffen und die dienstlichen Rechner aus sogenannten Laptop-Farmen fernsteuern (Sicherheitshinweis, NPA Japan). Seine Empfehlungen für Arbeitgeber setzen vor allem im Bewerbungsverfahren an und beim Entzug von Zugängen. Zu Geräte-Enrollment, Gerätezertifikaten oder dem Versand von Firmengeräten sagt das Dokument nichts.
Für das Remote-Onboarding folgt daraus aus unserer Sicht eine zweite Prüfstelle, die die IT selbst in der Hand hat: das Firmengerät. Wer es bekommt, wohin es geht und wann es Zugang erhält, gehört zur Identitätsprüfung dazu.
Der Hinweis nennt die beteiligten Stellen selbst: National Police Agency of Japan (NPA), National Cybersecurity Office of Japan (NCO), US Federal Bureau of Investigation (FBI), US Department of Defense Cyber Crime Center (DC3), Australian Signals Directorate's Australian Cyber Security Centre (ASD's ACSC), Bundesnachrichtendienst (BND) und Bundesamt für Verfassungsschutz (BfV). Das BfV fasst den Teil, der Unternehmen betrifft, in seiner deutschen Kurznote zusammen: Die Akteure versuchen weiterhin, „bei Unternehmen Anstellungen als Remote-Developer zu erhalten“, und zwar „über die Identitäten von Mittelspersonen in Europa oder anderen Ländern“.
Für das Bewerbungsverfahren empfiehlt der Hinweis unter anderem:
Für den laufenden Betrieb empfiehlt das Dokument Unternehmen unter anderem, Informationen und Zugriffsrechte auf das Nötige zu beschränken und bei Verdacht Konten und Sitzungen umgehend zu entziehen („promptly revoke accounts and sessions“). Dass es nicht nur um Lohnzahlungen geht, zeigt der Hinweis an zwei Fällen: In einem hat eine IT-Kraft ein Unternehmen erpresst und dessen Quellcode veröffentlicht, in einem anderen die Website des Arbeitgebers verunstaltet.
Eine Laptop-Farm ist laut Hinweis ein Ort, oft die Wohnung einer Mittelsperson, an dem dienstliche Rechner aufgestellt und von nordkoreanischen IT-Kräften aus der Ferne gesteuert werden. Die Arbeitskräfte selbst sitzen nach Angaben der Behörden meist in Nordkorea, China oder Russland. Ausweisbilder und Bankkonten stellen Mittelspersonen, virtuelle Server verschleiern den tatsächlichen Arbeitsort. In Japan haben die Behörden nach eigener Angabe erstmals eine solche Farm eines Mittelsmanns im Inland ausgehoben.
Für die IT heißt das: Das Firmengerät steht dort, wohin es geliefert wurde. Meldet es sich regelmäßig aus dem Heimnetz, beweist das nur, dass jemand an diesem Anschluss das Gerät eingeschaltet hat.
Das Folgende ist unsere Ableitung, keine Empfehlung der Behörden. Im beschriebenen Muster sind die eingestellte Person und die arbeitende Person nicht dieselbe. Endet die Identitätsprüfung mit dem Bewerbungsgespräch per Video, geht danach ein Gerät an die Adresse aus dem Vertrag, und von da an meldet sich dieses Gerät jeden Tag an, ohne dass noch jemand fragt, wer davor sitzt.
Genau an dieser Übergabe treffen Person, Ort und Gerät zusammen. Personalabteilung und Fachbereich verantworten das Gespräch und die Zahlungswege. Die IT verantwortet, wohin das Gerät geht, wann es verwaltet ist und wann es Zugang bekommt. Wenn beide Prüfungen dieselben Daten nutzen, wird aus einer einmaligen Prüfung eine zweite Gelegenheit, Widersprüche zu sehen.
Diese vier Schritte empfehlen wir für jede Einstellung, bei der Sie die Person vor dem ersten Arbeitstag nicht persönlich treffen:
Konten und Sitzungen werden umgehend entzogen, so steht es im Hinweis. Bei Verdacht auf nordkoreanische IT-Kräfte raten die Behörden, sofort die Polizei einzuschalten. Das Gerät gehört aus unserer Sicht in denselben Schritt: sperren, Rückgabe veranlassen und festhalten, an welche Adresse es gegangen ist. Ob und wann Sie es löschen, entscheiden Sie mit Blick auf mögliche Ermittlungen; ein gelöschtes Gerät zeigt nicht mehr, was darauf lief.
Das Bewerbungsgespräch und die Prüfung von Ausweisen und Zahlungswegen bleiben bei Ihrer Personalabteilung. Ab der Geräteausgabe übernehmen wir: Im ISEC7 Endpoint Lifecycle Management begleiten wir Geräte vom Onboarding bis zum Offboarding. Unser Service-Desk-Team bereitet sie vor dem Versand vor, mit Funktionsprüfung, Betriebssystem-Updates und Aufnahme in das UEM-Management bis zur Inventarisierung. Mit ISEC7 DEVICE AS A SERVICE liefern wir Geräte an den richtigen Ort, ins Büro oder ins Homeoffice, und kümmern uns um die Rückgabe der Hardware, wenn jemand das Unternehmen verlässt. Was das für iPhone, iPad und Mac heißt, steht auf der Seite Apple im Unternehmen, für Android-Flotten auf Android Enterprise, ChromeOS und Google Workspace.
In ISEC7 SPHERE laufen die Verwaltungsschritte für On- und Offboarding zusammen, von der Hardware-Bestellung über den Genehmigungsworkflow bis zum Asset-Management. René Graute hat im ISEC7-Webcast vom 18. November 2025 On- und Offboarding als typischen Fall für Automatisierung genannt und die Benutzeransicht vorgeführt: Sie führt die zugeordneten Geräte und Dienste einer Person und die Historie der Vorgänge an Person und Gerät aus allen angebundenen Systemen zusammen. Bestätigt sich ein Verdacht, sehen Sie dort, welche Geräte und Dienste an dieser Person hängen.
Wie Identitätsprüfung im Onboarding grundsätzlich funktioniert, beschreibt unser englischsprachiger Beitrag Digital ID Verification. Die Einrichtung selbst üben Administratoren in unseren Trainings zu Apple, Android Enterprise und Samsung Knox. Die Aufzeichnungen der genannten Webcasts bekommen Sie kostenfrei nach Registrierung; alle Termine stehen in der Webcast-Übersicht.
Laut dem gemeinsamen Sicherheitshinweis vom 18. September 2026 ist eine Laptop-Farm ein Ort, oft die Wohnung einer Mittelsperson, an dem dienstliche Rechner aufgestellt und von nordkoreanischen IT-Kräften aus der Ferne gesteuert werden. Die Arbeitskräfte selbst sitzen nach Angaben der Behörden meist in Nordkorea, China oder Russland; virtuelle Server verschleiern den tatsächlichen Arbeitsort.
Der Hinweis empfiehlt, IP-Adressen mit dem angegebenen Wohnort abzugleichen, Kontaktdaten zu prüfen und die Telefonnummer anzurufen, Fähigkeiten aus dem Lebenslauf im Gespräch genau erklären zu lassen und Zertifikate über ihre Registriernummer zu prüfen. Unternehmen sollen Zugriffsrechte auf das Nötige beschränken. Bei Verdacht sollen sie Konten und Sitzungen umgehend entziehen.
Nein. Der Hinweis behandelt Bewerbungsverfahren, Zahlungswege, Zugriffsrechte und den Entzug von Zugängen. Zu Geräte-Enrollment, Gerätezertifikaten oder dem Versand von Firmengeräten enthält er keine Empfehlung. Die Verbindung von Identitätsprüfung und Geräteausgabe in diesem Beitrag ist eine Ableitung von ISEC7, die vier Schritte zur Lieferadresse sind unsere Empfehlung.
Die Behörden raten, Konten und Sitzungen umgehend zu entziehen und bei Verdacht auf nordkoreanische IT-Kräfte sofort die Polizei einzuschalten. Aus unserer Sicht gehört das Gerät in denselben Schritt: sperren, Rückgabe veranlassen und festhalten, an welche Adresse es gegangen ist. Ob und wann es gelöscht wird, entscheiden Sie mit Blick auf mögliche Ermittlungen.