Symbolbild eines Besprechungsraums für Bewerbungsgespräche, keine Aufnahme des berichteten Falls. Bildquelle: Pexels 6899396, CC0-Lizenz.

Stand: 18.09.2026

Ein Bewerbungsgespräch für einen IT-Job kann mit einer Programmieraufgabe beginnen. Genau diesen üblichen Schritt nutzen nordkoreanische Angreifer, um fremden Code auf die Rechner von Bewerbern zu bringen. Das Bundesamt für Verfassungsschutz und der Bundesnachrichtendienst haben gemeinsam mit internationalen Partnern einen neuen Sicherheitshinweis veröffentlicht. Er betrifft ausdrücklich auch Deutschland. Neben Kryptowährungen stehen persönliche Daten und Unternehmenszugänge im Risiko.

Die Warnung vom 18. September beschreibt Aktivitäten der Gruppe WaterPlum, deren Kampagne als „Contagious Interview“ bekannt ist. Laut dem gemeinsamen Behördenpapier wurden mindestens 30.000 Geräte in mehr als 100 Ländern infiziert. Diese Gesamtzahlen beschreiben die untersuchte Kampagne, keinen heute entdeckten Einzelangriff. Für Deutschland nennt die Veröffentlichung keine gesonderte Zahl betroffener Rechner.

Die Arbeitsprobe öffnet den Zugang

Die Täter geben sich als Arbeitgeber aus, etwa aus der KI- oder Kryptobranche. Sie sprechen Softwareentwickler über Jobplattformen, soziale Netzwerke und Vermittlungsdienste für freie Mitarbeit an. Im vermeintlichen Auswahlverfahren sollen die Kandidaten Dateien herunterladen und ausführen. Als Vorwand dient eine Programmieraufgabe oder die angebliche Behebung eines Problems mit der Videokonferenz.

Wie heise berichtet, verschaffen sich die Angreifer so Zugang zum System und halten weitere Zugriffswege offen. Das Behördenpapier benennt den möglichen Datenabfluss genauer: gespeicherte Anmeldedaten aus Browsern, Inhalte der Zwischenablage, protokollierte Tastatureingaben und Bildschirmaufnahmen. Auch Dateien auf dem Rechner oder in freigegebenen Ordnern können erbeutet werden. Darunter fallen Ausweiskopien, die später für Identitätsmissbrauch genutzt werden können.

Für Unternehmen reicht das Risiko deshalb über die private Jobsuche eines Mitarbeiters hinaus. Hat ein infizierter Rechner Zugriff auf betriebliche Systeme, können die Täter diesen Zugang für weitere Angriffe verwenden. Ein vorhandenes Kundenkonto oder eine erreichbare Dateiablage macht aus der manipulierten Arbeitsprobe ein mögliches Datenschutzproblem im Betrieb. Ob tatsächlich personenbezogene Daten abgeflossen sind, muss im konkreten Vorfall untersucht werden.

Testaufgaben brauchen Abstand zu echten Daten

Die Behörden empfehlen, unbekannten Code nur in einer abgeschotteten Testumgebung auszuführen und ihn vorher zu prüfen. Auf einem Rechner mit persönlichen Daten oder Kryptowerten soll fremder Code aus unvertrauenswürdigen Quellen nicht gestartet werden. Für Unternehmen lässt sich daraus eine konkrete Vorgabe für technische Auswahlverfahren ableiten: Arbeitsproben gehören in eine vorbereitete Umgebung ohne produktive Zugänge und ohne echte Kundendaten. Diese betriebliche Umsetzung ist eine redaktionelle Empfehlung.

Auch seriöse Arbeitgeber können Bewerbern unnötige Risiken ersparen. Sie sollten vorab erklären, welche Werkzeuge eine Aufgabe benötigt, und keine spontanen Installationen im laufenden Gespräch verlangen. Ein angeblich defektes Konferenzprogramm rechtfertigt keinen ungeprüften Download. Die Identität eines neuen Ansprechpartners lässt sich über einen unabhängig ermittelten Kontakt des Unternehmens gegenprüfen.

Besondere Vorsicht verlangt die Warnung beim Öffnen fremder Projekte im Code-Editor Visual Studio Code. Wer den Projektdateien vertraut, kann damit die automatische Ausführung von Code zulassen. Die Behörden raten zum eingeschränkten Modus und zur Prüfung der Projektkonfiguration. Ein vertrauter Editor oder eine bekannte Plattform für Quellcode sagt noch nichts über die Sicherheit der einzelnen Arbeitsprobe aus.

Bei Verdacht die erreichbaren Daten eingrenzen

Nach einem vermuteten Befall soll das betroffene Gerät laut Sicherheitshinweis sofort vom Internet getrennt werden. Die Entfernung einer erkannten Schadsoftware beweist nicht, dass zuvor keine Daten abgeflossen sind. Für die betriebliche Untersuchung sollten IT-Sicherheit und Datenschutzverantwortliche deshalb feststellen, welche Konten, Ordner und personenbezogenen Daten erreichbar waren. Verdächtige Zugänge und Sitzungen müssen gesperrt werden; eine etwaige Meldepflicht ist anhand der festgestellten Datenschutzverletzung zu prüfen.

Das Papier behandelt außerdem nordkoreanische IT-Arbeitskräfte, die unter verschleierter Identität Aufträge annehmen. Dieser Zugang über eine tatsächliche Beschäftigung ist vom Angriff auf Bewerber zu unterscheiden. Bei der Vergabe von Entwicklungsarbeiten empfehlen die Behörden begrenzte Zugriffsrechte und die Prüfung nachgelagerter Auftragnehmer. Ein auffälliges Bewerbungsgespräch allein belegt weder eine bestimmte Herkunft noch eine Straftat. Für Schutzmaßnahmen zählen überprüfbare Identitäten, nachvollziehbare Arbeitsabläufe und die tatsächlich vergebenen Zugänge.