Laptop-Farmen für Nordkorea: Razzien und zwei Festnahmen

US-Behörden haben zwei Männer festgenommen und mehr als 40 mutmaßliche "Laptop-Farmen" durchsucht. Das harte Vorgehen richtet sich gegen Machenschaften, über die nordkoreanische IT-Kräfte Gehälter von amerikanischen Unternehmen kassieren. Nach Angaben des US-Justizministeriums verschafften sich die Arbeiter mit gestohlenen und erfundenen Identitäten Fernarbeitsjobs bei mehr als 70 US-Firmen.

Eine Laptop-Farm ist eine Wohnung oder ein anderer Ort in den USA, an dem von Unternehmen ausgegebene Computer eingeschaltet und mit dem Netz verbunden bleiben. So können sich Arbeiter im Ausland aus der Ferne anmelden und dabei den Anschein erwecken, sie säßen im Land.

Zwei Männer nach Anklage in Ohio in Haft

Michael James Bostelle aus Pennsylvania und Juan Cecilio Pena Carrillo aus Texas wurden auf Grundlage einer in Ohio erhobenen Anklage festgenommen. Ihnen werden Betrug mittels elektronischer Kommunikation, Geldwäsche und Identitätsdiebstahl vorgeworfen. In derselben Anklageschrift sind zehn Beschuldigte mit Sitz in China aufgeführt. Zwei weitere Beschuldigte wurden nicht öffentlich benannt, da ihre Identitäten weiterhin unter Verschluss stehen.

Laut Staatsanwaltschaft lief das System von 2019 bis etwa Juli 2025. In diesem Zeitraum sollen die beiden Männer und ihre Mittäter Laptops entgegengenommen haben, die geschädigte Unternehmen an ihre vermeintlichen Angestellten ausgegeben hatten. Sie installierten Fernzugriffssoftware auf den Geräten und leiteten anschließend die Löhne, rund 3 Millionen Dollar, auf Konten weiter, die von Nordkorea kontrolliert werden.

Die betroffenen Unternehmen sind in den Bereichen Gesundheitswesen, Kommunikation, Einzelhandel und Industrie tätig. Sie verteilen sich auf 17 Bundesstaaten und den District of Columbia.

Operation Lonestar Roundup

Unabhängig davon durchsuchten FBI-Agenten in Texas zwischen dem 21. und 25. September mehr als 40 mutmaßliche Laptop-Farmen. Bei der Aktion mit dem Namen Operation Lonestar Roundup wurden rund 187 Laptops und KVM-Geräte beschlagnahmt. Mit KVM-Switches (Keyboard, Video, Mouse) kann eine Person mehrere Computer über einen einzigen Satz Tastatur, Bildschirm und Maus steuern.

Ryan Raybould, US-Bundesstaatsanwalt für den Northern District of Texas, sagte, der Fall gehe über einfachen Betrug hinaus.

"Es geht um ein feindliches ausländisches Regime, das mithilfe gestohlener Identitäten und verdeckter Zugangspunkte innerhalb unserer eigenen Grenzen amerikanische Unternehmen unterwandert. Jede Laptop-Farm, die wir zerschlagen, kappt eine Einnahmequelle, auf die die nordkoreanische Regierung angewiesen ist, um Waffenprogramme zu finanzieren, die die globale Stabilität bedrohen", sagte er.

CrowdStrike half dem FBI dabei, die Operation zu stören. Das US-Sicherheitsunternehmen verfolgt die nordkoreanischen Arbeiter und ihre Helfer unter dem Namen "Famous Chollima".

In einem Blogbeitrag erklärte CrowdStrike, warum die Farmen für die Gruppe so wichtig sind. Sie lösten "physische, finanzielle und rechtliche" Probleme, die die Agenten von außerhalb des Landes nicht ohne Weiteres bewältigen könnten. Ohne jemanden auf US-Boden, so das Unternehmen, könnten die Arbeiter weder Hardware des Arbeitgebers entgegennehmen und einrichten noch standortbasierte Betrugsprüfungen umgehen oder die Identitätsprüfungen bestehen, die zwischen Bewerbern und echten Jobs stehen.

Bezahlte Helfer und Erpressungsdrohungen

Das FBI veröffentlichte am selben Tag eine öffentliche Warnung. Darin heißt es, die meisten Namen und Adressen, die die Arbeiter gegenüber Arbeitgebern angeben, gehörten echten Menschen. Einige der Agenten ergatterten Stellen mit Zugriff auf sensible personenbezogene Daten. Diese Daten stahlen sie und nutzten sie für ihre Machenschaften, in Einzelfällen versuchten sie auch, die Betroffenen zu erpressen.

Die Behörde erklärte zudem, dass die Arbeiter immer mehr Amerikaner dafür bezahlen, ihnen zu helfen. Diese Helfer treten vor der Kamera auf, sitzen in Vorstellungsgesprächen, bestätigen gefälschte Identitäten, überlassen ihre Social-Media- oder Karrierenetzwerk-Konten oder verschicken Pakete. Laut FBI nehmen die Agenten "gezielt Menschen in finanziellen Schwierigkeiten ins Visier".

"Diese Handlungen sind illegal, und wer sich daran beteiligt, riskiert, ins Visier der Strafverfolgungsbehörden zu geraten", warnte das FBI.

Die Behörde schilderte auch aggressiveres Verhalten. Nach ihrer Entlassung schickten einige Arbeiter Morddrohungen an frühere Vorgesetzte und deren Familien. Andere drohten damit, Unternehmensdaten zu veröffentlichen, falls sie kein Geld erhielten. Das FBI schätzt, dass 85-90 % des Geldes, das die Arbeiter verdienen, an die nordkoreanische Regierung fließen.

Eine wachsende Liste von Fällen

Die Festnahmen reihen sich in eine Serie von US-Strafverfahren gegen Personen ein, die solche Machenschaften unterstützt haben. Im November 2025 gaben fünf Männer zu, nordkoreanischen IT-Kräften zu Anstellungen bei US-Unternehmen verholfen zu haben. Im April 2026 wurden zwei Männer aus New Jersey wegen ihrer Rolle in einem System, das Nordkorea 5 Millionen Dollar einbrachte, zu neun beziehungsweise knapp acht Jahren Haft verurteilt.

Forscher berichten außerdem, dass mutmaßliche nordkoreanische Arbeiter inzwischen über die IT hinaus in Vertrieb, Marketing und Gesundheitswesen vorgedrungen sind.

Unsere Einschätzung

Der Fall zeigt, dass das Problem mit nordkoreanischen Fernarbeitern von Menschen im Zielland abhängt. Namen und Lebensläufe lassen sich vom Ausland aus fälschen, aber jemand muss trotzdem einen Laptop anschließen, ein Paket annehmen oder vor einer Webcam sitzen. Damit ist das lokale Helfernetz das schwächste Glied, und das FBI scheint sich genau darauf zu konzentrieren, ähnlich wie bei anderen aktuellen Fällen gegen Geldkurier-Netzwerke, die kriminelle Erlöse verschieben.

Für Arbeitgeber ist das ein Insider-Risiko, das schon bei der Einstellung beginnt. Es passt zu einem breiteren Muster, bei dem Angreifer eigene Leute in Organisationen einschleusen, statt von außen einzubrechen. Die berichteten Drohungen gegen frühere Vorgesetzte deuten darauf hin, dass eine bloße Entlassung eines verdächtigen Mitarbeiters das Risiko nicht unbedingt beendet.

Es lohnt sich zu beobachten, ob der Vorstoß in Vertrieb, Marketing und Gesundheitswesen Unternehmen dazu bringt, strengere Identitätsprüfungen auch bei Stellen einzuführen, die bisher nicht als sensibel galten.