Fake-Jobangebote: Wenn Angreifer IT-Fachleute mit Coding-Tests ködern

Ihr Administrator bekommt eine Nachricht von einer Personalberaterin: spannende Stelle, gutes Gehalt, vorab eine kleine Programmieraufgabe. Er lädt das Projekt herunter, startet es – und hat sich Schadsoftware auf den Rechner geholt, auf dem auch Ihre Firmenzugänge liegen. Heise berichtet aktuell über eine nordkoreanische Cybergruppe, die genau so vorgeht: Die Kampagne „Contagious Interview” zielt gezielt auf IT-Fachleute, die auf Jobsuche sind. Fake-Jobangebote sind damit nicht mehr nur ein Problem der Bewerber, sondern auch der Arbeitgeber, deren Geräte und Konten dahinterstehen. Für KMU in Dresden und Sachsen, in denen oft zwei oder drei Personen die gesamte IT tragen, ist das ein reales Risiko.

Wie die Masche mit den Fake-Jobangeboten funktioniert

Die Details der Kampagne stammen aus öffentlichen Analysen von Sicherheitsfirmen; heise fasst sie in der aktuellen Meldung nur knapp zusammen. Das Grundmuster ist gut dokumentiert und lässt sich in vier Schritten beschreiben:

1. Kontaktaufnahme: Ein angeblicher Recruiter oder Personalvermittler schreibt über ein berufliches Netzwerk oder per E-Mail. Profil, Firmenname und Stellenbeschreibung wirken professionell, oft sind sie kopiert oder frei erfunden.
2. Vertrauensaufbau: Es folgen ein oder zwei freundliche Gespräche, meist über Chat oder Videocall. Die Stelle klingt passend zum Lebenslauf der Zielperson.
3. Die Aufgabe: Kurz vor dem Gespräch oder danach soll der Kandidat eine Programmieraufgabe lösen. Das Projekt liegt in einem Repository oder als Archiv bereit und enthält Abhängigkeiten, die beim Installieren Schadcode nachladen. Alternativ meldet die Videokonferenz-Software angeblich einen Fehler bei Kamera oder Mikrofon und fordert dazu auf, einen „Fix” im Terminal auszuführen.
4. Der Datendiebstahl: Die Schadsoftware durchsucht den Rechner nach gespeicherten Browser-Passwörtern, Session-Cookies, SSH-Schlüsseln, API-Tokens und Krypto-Wallets und schickt sie an die Angreifer.

Der Trick liegt darin, dass das Opfer selbst den Code ausführt. Viele Schutzmechanismen greifen dadurch schlechter, denn aus Sicht des Betriebssystems startet ein berechtigter Benutzer ein Programm. Wer die ähnliche Logik hinter ClickFix-Angriffen kennt, erkennt das Muster wieder.

Warum das ein Firmenproblem ist

Auf den ersten Blick ist die Jobsuche Privatsache. In der Praxis verschwimmen die Grenzen:

• Der Firmenlaptop ist oft das einzige Gerät. Wer abends „nur kurz” die Testaufgabe eines potenziellen neuen Arbeitgebers probiert, tut das häufig auf dem Rechner, den er auch tagsüber nutzt.
• Administratoren und Entwickler sind besonders wertvolle Ziele. Auf ihren Geräten liegen SSH-Schlüssel, Zugänge zu Servern, Cloud-Konsolen, Repositories und Passwortmanagern. Ein einziger Treffer öffnet mehr Türen als das Konto einer Sachbearbeiterin.
• Der Diebstahl fällt lange nicht auf. Ein Infostealer hinterlässt keine verschlüsselten Dateien und keine Lösegeldforderung. Die gestohlenen Zugangsdaten werden erst später genutzt, teils Wochen danach.
• Mitarbeiter kündigen ungern laut. Wer sich bewirbt, spricht mit niemandem darüber. Kommt es zu einem Vorfall, meldet er ihn womöglich aus Scham oder Sorge um die eigene Stelle verspätet.

Wichtig ist dabei die Einordnung: Nicht jede Bewerbung ist ein Angriff, und nicht jeder Recruiter ist ein Krimineller. Es geht darum, dass eine Firma die Folgen eines solchen Vorfalls nicht allein vom Verhalten einzelner Personen abhängig machen darf.

Praxisteil: So schützen sich KMU

1. Klare Regel für Testaufgaben und fremden Code

Legen Sie schriftlich fest: Externe Programmieraufgaben, Repositories und Installationsskripte werden nie auf Firmengeräten ausgeführt, auch nicht „nur zum Ansehen”. Das gilt ebenso für Code, den ein Bewerber Ihnen selbst schickt. Wenn jemand fremden Code prüfen muss, dann in einer isolierten virtuellen Maschine ohne Zugriff auf Firmenzugänge.

2. Trennung von Geräten und Konten

Private Aktivitäten gehören auf private Geräte. Das ist als Regel schnell aufgeschrieben, aber nur durchsetzbar, wenn Mitarbeiter auch ein privates Gerät haben und wissen, wo die Grenze verläuft. Sprechen Sie das Thema offen an, ohne Vorwürfe. Wer weiß, dass eine Jobsuche kein Tabu ist, meldet einen Verdacht eher.

3. Zugangsdaten so ablegen, dass ein Diebstahl weniger schadet

• Passwörter gehören in einen Passwortmanager, nicht in den Browser.
• SSH-Schlüssel und Admin-Zugänge sollten durch Passphrasen oder Hardware-Token geschützt sein. Ein Schlüssel, der nur zusammen mit einem physischen Token funktioniert, lässt sich nicht einfach kopieren.
• Multi-Faktor-Authentifizierung mit Hardware-Schlüsseln oder Passkeys erschwert die Wiederverwendung gestohlener Passwörter. Gestohlene Session-Cookies lassen sich damit allerdings nicht in jedem Fall abfangen, daher sind kurze Sitzungsdauern für Admin-Konten sinnvoll.
• Privilegierte Konten sind von der täglichen Arbeit getrennt. Wer im Alltag ohne Admin-Rechte arbeitet, trifft mit einer Schadsoftware auf weniger Angriffsfläche.

4. Technische Schutzschicht

Ein Endpoint-Schutz mit Verhaltenserkennung kann verdächtige Prozessketten erkennen, etwa wenn ein Paketmanager plötzlich Skripte startet, die Browser-Datenbanken auslesen. Bei Entwicklerrechnern helfen außerdem:

• Installation von Abhängigkeiten ohne automatische Skriptausführung, wo das möglich ist (bei npm etwa mit der Option --ignore-scripts)
• Beschränkung ausgehender Verbindungen von Entwicklerrechnern auf das Nötige
• Application Allowlisting auf Geräten, die mit besonders sensiblen Zugängen arbeiten

5. Der Ernstfall: Was tun, wenn jemand den Code ausgeführt hat?

Wichtig ist, dass Mitarbeiter wissen: Sofort melden ist besser als schweigen. Der Ablauf danach:

1. Gerät vom Netzwerk trennen, nicht ausschalten.
2. Alle Passwörter und Tokens ändern, die auf dem Gerät gespeichert oder dort genutzt wurden – von einem sauberen Gerät aus.
3. SSH-Schlüssel und API-Tokens widerrufen und neu erstellen.
4. Aktive Sitzungen in Cloud-Diensten und beim Identitätsanbieter beenden.
5. Logs auf ungewöhnliche Anmeldungen der letzten Wochen prüfen.
6. Das Gerät neu aufsetzen, statt es zu „bereinigen”.

Hilfreich ist ein vorbereiteter Ablauf, wie ihn der Leitfaden für die ersten 24 Stunden nach einem Cyberangriff beschreibt.

Was Sie als Arbeitgeber zusätzlich beachten sollten

Die Gegenrichtung gibt es ebenfalls: Auch Ihre eigene Personalabteilung kann Ziel gefälschter Bewerbungen sein, etwa mit manipulierten Lebensläufen im Anhang. Zum Risiko, dass sich Angreifer mit falscher Identität in ein Unternehmen einstellen lassen, finden Sie mehr im Beitrag zu Fake-IT-Mitarbeitern. Für beide Fälle gilt: Bewerbungsunterlagen werden nicht auf dem Arbeitsplatz-Rechner mit Admin-Rechten geöffnet, und Anhänge mit ausführbaren Inhalten sind tabu.

Sie suchen Unterstützung in Dresden?

Rexoma hilft KMU in Dresden, Sachsen und ganz Ostdeutschland dabei, Fake-Jobangebote und ähnliche Social-Engineering-Angriffe technisch abzufedern: von Richtlinien für Firmengeräte über Endpoint-Schutz und Passwortmanager bis zu einem vorbereiteten Ablauf für den Ernstfall. Sprechen Sie uns an, wir prüfen mit Ihnen, wo Ihre Administratorenzugänge heute ungeschützt liegen.

Häufige Fragen

Was ist die Kampagne „Contagious Interview”?

Es handelt sich um eine Angriffskampagne, die Sicherheitsforscher einer nordkoreanischen Gruppe zuordnen. Die Täter geben sich als Personalvermittler aus, laden IT-Fachleute zu Bewerbungsgesprächen ein und lassen sie dabei präparierte Programmieraufgaben oder Software ausführen. Ziel sind Zugangsdaten und Geld, etwa aus Krypto-Wallets.

Woran erkenne ich ein Fake-Jobangebot?

Typische Warnzeichen sind sehr gute Konditionen ohne konkrete Angaben zur Firma, Druck bei Terminen, ein Recruiter-Profil mit wenigen Kontakten oder frischem Datum und vor allem die Aufforderung, Code oder Programme aus unbekannter Quelle auszuführen. Ein seriöser Bewerbungsprozess verlangt das nicht auf Ihrem Arbeitsgerät.

Dürfen Mitarbeiter sich auf Firmengeräten bewerben?

Das ist arbeitsrechtlich eine Frage der internen Regeln. Aus Sicherheitssicht gilt: Firmengeräte sollten für private Vorgänge mit Fremdcode nicht genutzt werden. Legen Sie das klar und ohne Schuldzuweisung fest.

Reicht ein Virenscanner als Schutz?

Nicht allein. Da der Nutzer den Schadcode selbst startet, sind klassische signaturbasierte Scanner oft zu spät oder umgehbar. Sinnvoll ist die Kombination aus Verhaltenserkennung, eingeschränkten Rechten, geschützten Zugangsdaten und geschulten Mitarbeitern.

Wie schnell muss ich nach einem Vorfall reagieren?

So schnell wie möglich. Gestohlene Zugangsdaten und Sitzungen können innerhalb kurzer Zeit missbraucht werden. Trennen Sie das Gerät vom Netz, ändern Sie die betroffenen Zugangsdaten von einem sauberen Gerät aus und prüfen Sie die Protokolle auf verdächtige Anmeldungen.