Fake-IT-Mitarbeiter erkennen: Insider-Bedrohung bei Remote-Einstellungen

Das Auswärtige Amt warnt aktuell vor einer Entwicklung, die viele Unternehmen bisher nicht auf dem Schirm hatten: Staatlich gelenkte IT-Fachkräfte bewerben sich unter falscher Identität auf Remote-Stellen bei westlichen Firmen – und werden tatsächlich eingestellt. Was nach einem Einzelfall klingt, ist längst ein systematisches Problem, das nicht nur Großkonzerne betrifft. Gerade KMU, die remote arbeitende Entwickler oder IT-Freelancer über internationale Plattformen suchen, sind ein attraktives Ziel, weil ihre Bewerbungsprozesse oft weniger streng geprüft werden als in großen Personalabteilungen.

Was steckt hinter der Insider-Bedrohung durch Fake-IT-Mitarbeiter?

Das Prinzip ist einfach, aber wirkungsvoll: Mit gestohlenen oder komplett erfundenen Identitäten, gefälschten Lebensläufen und teils gekauften Referenzen bewerben sich Akteure auf reale Remote-Stellen für Entwicklung, IT-Administration oder Support. Nach erfolgreicher Einstellung erledigen sie die Arbeit oft tatsächlich – manchmal sogar zuverlässig – während im Hintergrund ein zweites Ziel verfolgt wird: Zugriff auf interne Systeme, Quellcode, Kundendaten oder Geschäftsgeheimnisse. In einigen dokumentierten Fällen wurden Firmenlaptops an sogenannte “Laptop Farms” verschickt, von wo aus mehrere fingierte Mitarbeiter gleichzeitig über VPN-Verbindungen “aus dem Homeoffice” arbeiteten.

Die Motivation ist unterschiedlich: Bei staatlich gelenkten Akteuren fließt das erzielte Gehalt teilweise in Sanktionsumgehung oder Programmfinanzierung. In anderen Fällen geht es schlicht um Industriespionage oder späteren Erpressungsdruck durch abgezogene Daten. Für das betroffene Unternehmen ist der Schaden in beiden Fällen real – von abgeflossenem geistigem Eigentum bis zu eingeschleusten Backdoors in produktiven Systemen.

Warum diese Insider-Bedrohung auch ostdeutsche KMU betrifft

Remote-first-Arbeit ist längst auch bei mittelständischen Betrieben in Dresden und Sachsen Alltag: Entwicklerstellen werden über internationale Plattformen ausgeschrieben, Freelancer für einzelne Projekte hinzugebucht, IT-Support teils komplett extern organisiert. Diese Flexibilität bringt wirtschaftliche Vorteile – senkt aber gleichzeitig die Hürde für gefälschte Bewerbungen, wenn keine strukturierte Identitätsprüfung stattfindet.

Ein zusätzlicher Faktor: Während große Konzerne eigene Security-Teams für die Prüfung von Neueinstellungen haben, läuft das bei KMU häufig allein über die Personalabteilung oder die Geschäftsführung – ohne technische Unterstützung. Genau diese Lücke zwischen HR-Prozess und IT-Sicherheit macht ostdeutsche KMU zu einem lohnenden Ziel, ohne dass es bislang im Bewusstsein vieler Verantwortlicher angekommen ist.

Warnsignale bei Remote-Bewerbungen erkennen

Nicht jede ungewöhnliche Bewerbung ist ein Betrugsversuch – aber bestimmte Muster häufen sich bei dokumentierten Fällen auffällig:

Auffälligkeiten im Bewerbungsprozess

• Kamera bleibt beim Videointerview konsequent aus, oder es gibt technische Ausreden, sobald konkrete Rückfragen zum Lebenslauf kommen.
• Mimik und Lippenbewegung wirken beim Videocall leicht verzögert oder unnatürlich – ein Hinweis auf Deepfake- oder Voice-Changer-Software.
• Mehrere Bewerber nutzen auffällig ähnliche Lebensläufe, Formulierungen oder Referenzen.
• Die angegebene Bankverbindung für die Gehaltszahlung unterscheidet sich vom Wohnsitzland, oder es wird um Zahlung an einen Zahlungsdienstleister statt an ein reguläres Konto gebeten.
• Ungewöhnlich hohe Eile beim Onboarding, verbunden mit dem Wunsch, den Firmenlaptop an eine Adresse zu senden, die nicht mit dem angegebenen Wohnort übereinstimmt.

Technische Warnsignale nach der Einstellung

• Regelmäßige VPN-Verbindungen aus wechselnden Ländern trotz angegebenem festen Wohnsitz.
• Mehrere gleichzeitige Logins mit demselben Account von unterschiedlichen Standorten.
• Auffällige Nutzung von Remote-Access-Software oder KVM-over-IP-Geräten auf einem eigentlich privat genutzten Firmenlaptop.

Praktische Schutzmaßnahmen für Remote-Einstellungen

Vollständige Sicherheit gibt es nicht – aber mit strukturierten Prozessen lässt sich das Risiko deutlich senken.

1. Identität vor Vertragsschluss verifizieren

Ein Video-Call, bei dem der Bewerber einen amtlichen Ausweis in die Kamera hält und Fragen dazu live beantwortet, filtert einen Großteil der einfachen Betrugsversuche heraus. Bei sensiblen Positionen lohnt sich zusätzlich eine externe Identitätsprüfung über spezialisierte Verifizierungsdienste.

2. Referenzen aktiv selbst anrufen

Nicht auf die im Lebenslauf angegebene Telefonnummer verlassen – frühere Arbeitgeber über offizielle, selbst recherchierte Kontaktwege erreichen. Auffällig ist es, wenn Referenzen nur per E-Mail oder Chat, aber nie telefonisch erreichbar sind.

3. Zugriffsrechte nach dem Prinzip der geringsten Berechtigung vergeben

Neue Remote-Mitarbeiter sollten in den ersten Wochen nur Zugriff auf das erhalten, was für die konkrete Aufgabe nötig ist – kein pauschaler Zugang zu Quellcode-Repositories, Kundendatenbanken oder internen Systemen ab Tag eins. Ein gestuftes Rechtekonzept mit klar definierten Freigabeprozessen ist hier Pflicht.

4. Firmenhardware zentral verwalten und überwachen

Firmenlaptops sollten über eine zentrale Geräteverwaltung (MDM) mit Standortprüfung, EDR-Software und Protokollierung ausgestattet sein. Ungewöhnliche Login-Muster oder VPN-Verbindungen aus wechselnden Ländern lassen sich so frühzeitig erkennen, statt erst nach einem Datenabfluss aufzufallen.

5. HR und IT-Sicherheit als gemeinsamen Prozess etablieren

Die Personalabteilung kennt die Auffälligkeiten im Bewerbungsgespräch, die IT-Abteilung die technischen Warnsignale danach. Ein gemeinsamer Onboarding-Prozess mit klaren Checklisten für beide Seiten schließt die Lücke, die aktuell viele KMU angreifbar macht.

Rexoma unterstützt KMU in Dresden bei der Absicherung von Remote-Arbeitsplätzen

Sie stellen remote IT-Fachkräfte ein oder arbeiten mit externen Entwicklern zusammen und möchten technisch absichern, was der Bewerbungsprozess allein nicht leisten kann? Rexoma unterstützt KMU in Dresden und Sachsen beim Aufbau gestufter Zugriffskonzepte, zentraler Geräteverwaltung und Monitoring für Remote-Arbeitsplätze – damit Insider-Bedrohungen frühzeitig auffallen, statt erst nach dem Schaden entdeckt zu werden.

Häufige Fragen zur Insider-Bedrohung durch Fake-IT-Mitarbeiter

Betrifft das Thema wirklich auch kleine Unternehmen, nicht nur Konzerne? Ja. Dokumentierte Fälle zeigen, dass gerade kleinere Remote-Stellen mit weniger strengen Prüfprozessen gezielt angegangen werden, weil der Aufwand für Angreifer geringer ist als bei großen, gut abgesicherten Unternehmen.

Reicht ein normales Vorstellungsgespräch per Video als Schutz aus? Nein. Ein Videocall allein verhindert Betrug nicht zuverlässig, da mittlerweile auch Deepfake-Technologie eingesetzt wird. Entscheidend ist die Kombination aus Ausweisprüfung, aktiver Referenzkontrolle und technischer Rechtebeschränkung nach der Einstellung.

Wie schnell sollte man reagieren, wenn ein Verdacht besteht? Sofort. Zugriffsrechte sollten umgehend eingeschränkt oder gesperrt werden, bevor eine vollständige Prüfung erfolgt – im Zweifel lieber einmal zu vorsichtig als zu spät.

Welche Rolle spielt Zwei-Faktor-Authentifizierung in diesem Kontext? MFA verhindert keine Fake-Bewerbung, erschwert aber den Missbrauch gestohlener Zugangsdaten erheblich und sollte für jeden Remote-Zugang verpflichtend sein.

Muss man Remote-Einstellungen deswegen grundsätzlich meiden? Nein. Remote-Arbeit bleibt für viele KMU wirtschaftlich sinnvoll – entscheidend ist ein strukturierter, technisch abgesicherter Onboarding-Prozess statt eines pauschalen Verzichts.