Deepfakes: Ghostworker und Fake-Jobs bedrohen den Arbeitsmarkt

HR-Abteilungen und Entwickler rücken zunehmend ins Visier von Angreifern.

Für seine Identity Security Landscape 2025 untersucht CyberArk Trends, die sich auf Entscheidungen in der Sicherheitsstrategie auswirken können. Die Ergebnisse der diesjährigen Umfrage zeigen ein digitales Ökosystem, das unter starkem Druck steht und von drei konvergierenden Bedrohungen angetrieben wird:

• Eine wachsende Angriffsfläche, die durch KI-Innovationen noch verstärkt wird.
• Ein Anstieg der Maschinenidentitäten.
• Anhaltende Identitätssilos innerhalb von Organisationen.

Die weit verbreitete Einführung von sanktionierter und nicht sanktionierter KI führt zu einer explosionsartigen Zunahme ungesicherter Maschinenidentitäten mit privilegiertem Zugriff. Gleichzeitig können mit KI täuschend echte menschliche Identitäten erschaffen werden, was HR-Abteilungen und bestimmte Berufsgruppen wie Software-Entwickler gleichermaßen bedroht. In diesem Beitrag stellen wir zwei Bedrohungsszenarien dar, bei denen KI eine Hauptrolle spielt. Beide Szenarien gehen weit über klassische Spam- und Phishingangriffe hinaus. Abhilfe schaffen erhöhte Awareness und moderne Sicherheitsmechanismen.

Eine Gruppe von Angreifern hat es auf potenzielle Bewerber abgesehen. Die andere Gruppe wird selbst zu Bewerbern:

• DeceptiveDevelopment ist eine nordkoreanische Gruppe von Bedrohungsakteuren. Mitglieder der Gruppe geben sich als Personalvermittler aus und nutzen falsche Stellenangebote, um die Systeme von Arbeitssuchenden zu kompromittieren. Mit ClickFix – einer bekannten Angriffstechnik – wollen sich die Angreifer Zutritt zu den Netzwerken ihrer Opfer verschaffen. Die eingesetzten Schadprogramme sind für Windows, Linux und macOS ausgelegt.
• Asiatische, vor allem nordkoreanische Bedrohungsakteure geben sich als arbeitssuchende IT-Spezialisten aus, um sich für eine echte Stelle zu bewerben. Das Ziel ist eine tatsächliche Anstellung, um das Gehalt zu beziehen. Aber auch der Zugang in Firmennetze und der Zugriff auf sensible Informationen ist ein mögliches Ziel. Dazu können verschiedene Taktiken angewendet werden, darunter Proxy-Vorstellungsgespräche, die Verwendung gestohlener Identitäten und die Fälschung synthetischer Identitäten mit KI-gesteuerten Tools. Zum Teil nutzen diese betrügerischen Bewerber die von den DeceptiveDevelopment-Akteuren gewonnenen Informationen.

Beide Gruppen haben unterschiedliche Ziele und Mittel, können aber eng miteinander verbunden sein. Der Schwerpunkt der Angriffe liegt auf Social-Engineering-Methoden.

DeceptiveDevelopment: Von primitiven Kryptodiebstählen bis hin zu ausgeklügelten KI-basierten Betrugsmethoden

Neu ist die Idee von Scheinjobs nicht. Allerdings verblüffen die höchst-professionelle, technisch versierte Vorgehensweise sowie das Tempo der DeceptiveDevelopment-Akteure. „Die Angreifer setzen weniger auf spektakuläre Exploits und mehr auf Glaubwürdigkeit und Geschwindigkeit“, sagt Peter Kálnai aus dem ESET Research Team. „Gute Profile, plausible Projekte und am Ende ein kurzer Befehl genügen, um selbst erfahrene Entwickler auszutricksen.“

Überraschend ist die neue Zielgruppe. Hatte man in der Vergangenheit die Krypto- und Web3-Branche mit Geld bzw. Wallet-Schlüssel für Krypto-Vermögen als Beute im Visier, rücken zunehmend Entwickler in den Fokus der Angriffe. Nach Erkenntnissen des IT-Sicherheitsherstellers ESET geben sich die Täter als Recruiter aus und locken die Opfer auf eine gefälschte Website mit der Bitte, ein umfangreiches Bewerbungsformular auszufüllen.

Im letzten Schritt folgt manchmal eine Aufforderung, ein kurzes Bewerbungsvideo aufzunehmen. Die manipulierte Website zeigt dann einen vorgetäuschten Kamerafehler und fordert die Nutzer mit dem Hinweis zur Problembehebung zum Handeln auf. Oder es gibt Probleme mit dem Absenden des Formulars. Eine Anleitung zur Fehlerbehebung fordert den Bewerber zum Ausführen eines Terminalbefehls auf. Tatsächlich wird mit dem Befehl Schadsoftware nachgeladen, die sich zusammen mit verstecktem Code in den Bewerbungsaufgaben aktiviert. Gelegentlich werden auch native, komplexere Windows-Backdoors in die Ausführungskette aufgenommen, was dann auch von anderen Akteuren genutzt werden kann.

Die Angriffstechnik ist als ClickFix bekannt. Vor allem Zugangsdaten und Cloud-Tokens sollen so erlangt werden. Das Ausfüllen soll absichtlich viel Zeit und Mühe kosten. Christian Lueg, Head of Communication and PR bei ESET bestätigt: “Entwickler werden angeschrieben und gesagt, hey, kannst du dir vorstellen, bei uns zu arbeiten? Und die werden dann auf eine gefälschte Bewerbungswebseite gelockt, wo man seitenweise Daten eingeben muss, und am Ende kommt eine Fehlermeldung. Und wenn man sich schon so viel Mühe gegeben hat, dann will man den Job ja auch. Und dann gibt man den Code ein.”

Security-Experten von ESET geben in einem Blogpost Einblicke in die operativen Details der Angriffe, z. B. Arbeitsaufträge, Zeitpläne und Kommunikation mit Kunden.

Gefährdet sind auch Recruiter und Personalabteilungen, die remote agieren und im Zuge des Assessments Coding-Aufgaben vergeben. Eine neue Bedrohung kommt jedoch aus einer ganz anderen Ecke.

Fachkräfte, dringend gesucht!

Die Sicherheitsforscher bei ESET haben öffentlich verfügbare OSINT-Daten („Open Source Intelligence“) ausgewertet und Verbindungen zu nordkoreanischen IT-Arbeitskräften in weiteren betrügerischen Beschäftigungsmodellen gefunden. Mit gefälschten Identitäten, manipulierten Profilfotos und Deepfakes in Videointerviews erschleichen sich die Akteure echte Arbeitsverträge und kassieren die Gehälter.

“Dieser Weg ist gar nicht so neu, dass Fake-Bewerbungen an die HR-Abteilung geschickt werden. Das hatten wir schon vor acht Jahren, als es damals diesen großen Ransomware-Angriff gab. Da enthielten Bewerbungsunterlagen manipulierte oder schadhafte PDF-Dateien, die beim Öffnen was ausgelöst haben und dadurch Zugriff auf die Systeme des Unternehmens ermöglicht haben”, erinnert sich Christ. “Neu sind die Möglichkeiten durch KI. Die Lernkurve ist noch sehr steil, sowohl für die Angreifer als auch für uns. Gerade mit KI entstehen quasi jede Sekunde neue Angriffsmuster und die verändern sich auch stündlich.”

Und das weckt auch völlig neue Begehrlichkeiten. So genannte Geistermitarbeiter (Ghostworker) sind ein völlig neues Geschäftsmodell der Bad Actors. Fake-Bewerber ergaunern sich mit von KI gefälschten Bewerbungsunterlagen und Deepfakes Remote-Jobs als Admin oder Entwickler. Michael Veit, Technology Evangelist und Manager Sales Engineering bei Sophos, erklärt: “Das eine Ziel ist, erstmal das Gehalt abzugreifen, ohne etwas dafür zu tun. Das andere ist, Betriebsspionage zu betreiben. Gerade China oder Nordkorea setzen es für ein, um an Betriebsgeheimnisse zu kommen. Und das Nächste ist dann, wenn man schon an einer neuralgischen Stelle sitzt, entsprechend das Unternehmen zu bestehlen und zu erpressen, entweder mit der Veröffentlichung gestohlener Daten oder indem auch Schadsoftware wie Ransomware eingeschleust wurde. Aber das primäre Ziel ist tatsächlich, die Devisen zu bekommen.”

Allein das Nichtstun kann enormen Schaden verursachen. Schon ein Junior-Admin oder Entwickler verdient durchschnittlich zwischen 40.000 und 50.000 Euro im Jahr. Je größer die Erfahrung, desto höher sind die Gehälter. Erfahrene Entwickler können zwischen 70.000 und 80.000 oder mehr im Jahr verdienen.

Dark Offices at Scale

Die Angriffe sind hochgradig automatisiert für eine maximale Skalierbarkeit. Die Automatisierung beginnt bereits vor der Bewerbung. Die Vorlagen für die Bewerbungen kommen von Gruppen wie DeceptiveDevelopment. KI und Deepfakes erledigen den Rest.

Mit Hilfe von Bots können Tausende von Bewerbungen koordiniert und gleichzeitig verwaltet werden.

In sogenannten Laptop-Farmen können Hunderte verschiedener Geräte gleichzeitig betrieben werden. Regelmäßige Remote-Zugriffe, Softwareupdates und andere Aktivitäten täuschen eine tatsächliche Beschäftigung authentisch vor.

In der Kombination von remote Jobs und Abteilungen mit wenigen zwischenmenschlichen Begegnungen können sich solche Ghostworker sehr lange verstecken.

Awareness, Zero Trust, MFA und Stand der Technik

Ein effektiver Schutz kann nur eine Kombination aus technischen und organisatorischen Maßnahmen sein. An erster Stelle ist Awareness gefragt. Zu perfekte Angaben und Matches können ein Zeichen für eine künstlich generierte Bewerbung sein. Genauso wie zu glatte Gesichter oder ungewöhnliche Artefakte bei plötzlichen Bewegungen ein Zeichen für Deepfakes von Gesichtern in Videos sein können.

Fake-Bewerber können auch durch unvorhergesehene oder fachspezifische Fragen entlarvt werden. Christian Lueg sagt: “Wenn man dann zum Beispiel mal eine Frage außerhalb des Schemas stellt, dann wird das mit der KI schon schwieriger.” Auch Michael Veit empfiehlt, “Fachabteilungen zum Bewerbungsgespräch hinzuzuziehen."

Umfassende Hintergrund- und Plausibilitätsprüfungen sind unerlässlich, um Fake-Bewerber bereits im Vorfeld auszufiltern. “Natürlich kann ich versuchen, einen Fake zu erkennen, bevor jemand eingestellt wird, indem ich einen ordentlichen Background-Check mache”, sagt Veith. “Also, ob Angaben wie Ausbildung oder Wohnort realistisch sind, und ob da auch entsprechende Beweise vorhanden sind, oder darauf achten, ob Referenzen und Lebenslauf richtig gut screenen.”

Das gleiche gilt für ClickFix-Angriffe. “Ich würde gucken, wenn es eine Recruitingfirma ist oder eine Agentur, gibt es überhaupt stimmende Daten? Z. B. stimmt die Web-Adresse, stimmen die Informationen, ist das alles plausibel?”, sagt Christian Lueg. Er empfiehlt auch hier tiefergehende Checks wie “Gibt es diese Stelle überhaupt? Ist die ausgeschrieben? Weil meistens sind ja solche Recruiter zusätzlich beauftragt und es ist meistens woanders auch ausgeschrieben. Wenn eine Geschichte drumherum gebaut wurde: Kann die so stimmen? Und wenn ich dann trotzdem drauf reinfalle und jemand mir sagt, führ doch bitte eine Kommandozeile aus, dann müsste eigentlich jede Alarmglocke läuten. Vielleicht ist es eine Einstellung im Browser? Da kann ja immer was schief gehen. Und wenn die Webcam nicht funktioniert, gucke ich zuerst, was ich im Browser einstellen muss. Aber da muss ich keine Kommandozeile eingeben!”

Haben es Angreifer doch ins Netzwerk geschafft, sind technische und menschliche Überwachung von Verhaltensweisen in der Infrastruktur entscheidend. Vor allem die Korrelation von Ereignissen ist wichtig, weiß Michael Veith: “Die Sichtbarkeit haben viele Unternehmen noch nicht geschaffen – plus eine Möglichkeit, die Ereignisse zu analysieren und zu korrelieren. Also sprich, nicht nur auf Sicherheitsereignisse wie ‘da versucht jemand eine Ransomware-Verschlüsselung’ achten, sondern auch verdächtige Anmeldungen, verdächtige Kommunikation, sich umschauen im Netzwerk, wie Angreifer zaghaft die ersten Schritte gehen, bevor sie tatsächlich dann ihren Angriff starten.”

Allerdings würde sich der Experte nicht allein auf die Technik verlassen: ”Ich brauche neben den Schutztechnologien auch die Menschen, die diese Technologie rund um die Uhr bedienen und die auch schon auf die schwachen Signale, schwachen Anzeichen achten und das dann umgehend untersuchen. 90% der Angriffe starten außerhalb der Bürozeiten des jeweiligen Unternehmens und wenn die IT-Sicherheit von der IT mitgemacht wird und nicht von einem dedizierten Team rund um die Uhr, haben die Angreifer im schlimmsten Fall die langen Weihnachtsferien und von Freitagabend bis Montagmorgen Zeit, ohne dass auch irgendeiner nur auf die blinkenden Lämpchen schaut, die schon auf dem Angriff hindeuten können.”

Um den potentiellen Schaden möglichst gering zu halten, helfen Rollen- und Berechtigungskonzepte. Zugang und Zugriff sollte jeder Mitarbeiter nur auf das Nötigste haben. Veit appelliert: “Natürlich ist wichtig, dass Unternehmen Technologien wie Zero Trust Network Access einsetzen und dass nicht jeder Mitarbeiter automatisch vollen Zugriff auf alle Netzwerkressourcen hat. Tatsächlich sollte ich jedem Mitarbeiter nur Zugriff auf die Ressourcen geben, auf die er für die Erfüllung seiner Aufgabe Zugriff braucht.”

Ihm ist wichtig, dass sich Unternehmen nicht mehr “auf das Konzept von vor 15, 20 Jahren verlassen, dass man mit Schutztechnologien alles abhalten kann.”. Er fordert Verantwortliche auf: “Hausaufgaben machen, ein XDR-Ökosystem mit Telemetrie füttern. Das heißt, ich brauche die Telemetrie-Informationen von allen Bereichen meines Netzwerks, vom Anmeldesystem, von Microsoft 365, Backup-System, alles. Das muss ich an zentraler Stelle mit KI entsprechend analysieren und korrelieren.” Er weist auch noch einmal darauf hin, dass das nur mit Menschen funktioniert, “die das Ganze rund um die Uhr mit Fachwissen bedienen und die wissen, auf welche Signale sie achten müssen, wie Angreifer vorgehen und die dann auch sofort reagieren können.”

Auch Zero Trust und starke Authentifikation gehören für Michael Veith zu den Basics: “Ich setze sichere Authentifizierung – Multifaktor-Authentifizierung oder Passkeys – ein und ich patche immer auf dem aktuellen Stand. Das sind die Nummer-1-Basics. Multifaktor oder Passkey unterstützt mittlerweile jeder Dienst. Und wenn man mal einen Dienst hat, der kein Multifaktor hat, dann erzeuge ich natürlich für jeden Dienst einzelne Passwörter, die dann auch entsprechend stark generiert sind.”

Das sieht auch Lueg so. Auf die Frage nach Schutzmechanismen, die ein Unternehmen ergreifen kann, antwortet er: “Das klingt plump, aber es ist immer noch Zwei-Faktor-Authentifizierung. Das ist keine Raketentechnik, aber viele Unternehmen sind zu bequem, es einzusetzen, weil es halt Aufwand bedeutet.”

Computing traf ESET und Sophos auf der IT-SA 2025 in Nürnberg. Die Gespräche fanden unabhängig voneinander statt.