Das US-Justizministerium (DOJ) gab am 13. Oktober 2026 bekannt, dass 14 Personen im Zuge eines Vorgehens gegen Remote-IT-Operationen aus Nordkorea angeklagt wurden. Darunter sind zwei US-Staatsbürger, denen vorgeworfen wird, eine Infrastruktur betrieben zu haben, mit der Mitarbeiter aus dem Ausland als Angestellte in den Vereinigten Staaten auftreten konnten.
Zu den koordinierten Maßnahmen gehörten zwei Festnahmen, eine Anklageschrift, Durchsuchungen in mehr als 40 Wohnungen in Texas, die als sogenannte Laptop-Farmen bekannt sind oder verdächtigt werden, solche zu sein, sowie die Beschlagnahme von rund 187 Laptops und Tastatur-Video-Maus-Geräten (KVM). Die Durchsuchungen in Texas fanden zwischen dem 21. und 25. September im Rahmen der Operation Lonestar Roundup statt.
Laut der Ankündigung des DOJ zielte die breiter angelegte Operation auf Machenschaften ab, mit denen die Demokratische Volksrepublik Korea (DVRK) durch betrügerische Beschäftigung bei US-Unternehmen Einnahmen erzielen wollte.
Zwei US-Vermittler verhaftet, zwölf weitere Beschuldigte angeklagt
Die Behörden nahmen Michael James Bostelle aus Pennsylvania und Juan Cecilio Pena Carrillo aus Texas fest. Das DOJ beschrieb beide als Beteiligte an einer über mehrere Jahre laufenden Verschwörung. Die Anklageschrift mit vier Anklagepunkten, die im Northern District of Ohio eingereicht wurde, umfasst laut Behörde Vorwürfe wegen Betrugs per Telekommunikation, Geldwäsche und Identitätsdiebstahls.
Im selben Verfahren, Sun Sheng Ming u. a., sind zehn in China ansässige Beschuldigte benannt:
- Sun Sheng Ming
- Pei Li Guang
- Weng Shou Cheng
- Han Guo Bin
- Wang Jian Jun
- Sheng Zhang Kun
- Zhang Wei Ping
- Zhang Li Ping
- Yu Yang
- Jin Long
Zwei weitere Beschuldigte bleiben versiegelt. Zusammen mit Bostelle und Pena Carrillo ergibt sich damit eine Gesamtzahl von 14 angeklagten Personen.
Die Vorwürfe wurden bisher nicht gerichtlich geprüft.
So funktionierte das System der Laptop-Farmen
Laut DOJ beschafften sich IT-Mitarbeiter der DVRK Remote-Stellen mit gestohlenen oder gefälschten Identitätsdokumenten. VPNs und Proxy-Infrastruktur halfen dabei, den Eindruck zu erwecken, sie seien in den USA ansässige Mitarbeiter, die von inländischen Standorten aus arbeiten.
In den USA ansässige Vermittler sollen Firmencomputer an ihre Privatadressen erhalten haben, sodass Laptop-Farmen entstanden. Sie richteten die Systeme ein und installierten Fernzugriffssoftware, damit Mitarbeiter aus dem Ausland die Rechner bedienen konnten, während der Netzwerkverkehr und die physische Hardware in den USA blieben.
Die Vermittler erhielten nach Angaben der Staatsanwaltschaft Zahlungen für die Wartung der Geräte. Die Einnahmen aus den Remote-Stellen wurden anschließend auf Konten überwiesen, die von der DVRK kontrolliert werden, laut Staatsanwaltschaft.
Das Ministerium erklärt, dass nordkoreanische Mitarbeiter immer mehr US-Vermittler anwerben, weil Arbeitgeber und Strafverfolgungsbehörden ihre Erkennungsmethoden verbessern. Die Aufgaben der Vermittler können über das Hosten von Laptops hinausgehen: In manchen Fällen übernehmen sie zusätzliche operative Aufgaben, während ganze Stellen an weitere ausländische Staatsangehörige untervergeben werden können.
Diese Konstellation birgt Risiken, die über betrügerische Gehaltszahlungen hinausgehen. Das DOJ teilt mit, dass IT-Mitarbeiter der DVRK auch Datenerpressung betrieben und proprietäre oder sensible Informationen aus US-Unternehmen abgezogen haben. Ein Unternehmen, das einen solchen Mitarbeiter einstellt, kann somit sowohl Einnahmen als auch authentifizierten Zugang zu internen Systemen bereitstellen.
Mehr als 70 Arbeitgeber angeblich betroffen
Die Anklage in Ohio betrifft Handlungen von 2019 bis etwa Juli 2025. Die Staatsanwaltschaft wirft vor, dass das Vorgehen mehr als 70 US-Arbeitgeber betraf und rund 3 Millionen US-Dollar Einnahmen für IT-Mitarbeiter erzeugte. Die Regierung geht davon aus, dass die Gelder an sanktionierte Stellen geflossen sind, die von der DVRK kontrolliert werden.
Die betroffenen Arbeitgeber waren im Gesundheitswesen, in der Kommunikationsbranche, im Bereich Cyber-Support, im Einzelhandel und in der Industrie tätig. Sie hatten ihren Sitz in Ohio, in 16 weiteren Bundesstaaten und im District of Columbia.
Diese Zahlen beziehen sich auf Arbeitgeber und nicht auf die Zahl einzelner Opfer von Identitätsdiebstahl oder kompromittierter Konten.
Laut DOJ unterstützte CrowdStrike das FBI und identifizierte die beteiligte Gruppe als Famous Chollima. CrowdStrike erklärte, die Laptop-Infrastruktur habe es den Betreibern ermöglicht, sich als legitime Mitarbeiter auszugeben, Gehälter umzuleiten und sich Zugang zu betroffenen Organisationen zu verschaffen. Diese Darstellung ist die Einschätzung des Unternehmens zu den Aktivitäten.
Die Operation Lonestar Roundup wurde von der US-Staatsanwaltschaft für den Northern District of Texas, dem FBI-Außenbüro Dallas und der FBI-Abteilung für Cyberkriminalität koordiniert, unterstützt vom Northern District of Ohio. Das FBI-Außenbüro Cleveland untersuchte den Fall in Ohio.
E-Mail-Konten, die Arbeitgeber in die Überprüfung aufnehmen sollten
Laut DOJ haben Ermittler ein Netzwerk von E-Mail-Konten identifiziert, die mutmaßlich von den Akteuren genutzt wurden. Das Ministerium forderte Arbeitgeber auf, folgende Adressen in ihre Prüfindikatoren aufzunehmen:
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
Eine Übereinstimmung ist als Hinweis zu behandeln, der überprüft werden muss, und nicht allein als Beweis dafür, dass eine Bewerberin, ein Bewerber oder eine Beschäftigte bzw. ein Beschäftigter mit der Operation in Verbindung steht.
Das FBI veröffentlichte am 13. Oktober 2026 außerdem eine Public Service Announcement mit Schutzempfehlungen für US-Unternehmen. Der Bericht von SecurityAffairs nennt mehrere Warnzeichen, die auf diese Empfehlungen zurückgeführt werden: widersprüchliche berufliche Werdegänge, Zurückhaltung, sich per Video zu zeigen, Anfragen, die Lieferung von Firmenlaptops umzuleiten, und Zahlungskonten, die über Mittelsleute laufen.
Für Arbeitgeber bedeutet das zunächst, die aufgeführten Konten und Verhaltensindikatoren in die Prüfung von Bewerbungen einzubeziehen und Anfragen genau zu prüfen, bei denen der angebliche Wohnort der Beschäftigten vom Zielort der Firmenhardware abweicht.
Das US-Außenministerium stellt zudem mögliche Belohnungen von bis zu 5 Millionen US-Dollar für Hinweise in Aussicht, die internationale Bemühungen gegen illegale Finanzaktivitäten der DVRK unterstützen, darunter Cyberkriminalität, Geldwäsche und die Umgehung von Sanktionen.
