Unternehmensweite Leitlinie zur Vermeidung nordkoreanischer IT-Scams im Recruiting und bei Freelancern/Sub-Vendoren

Nordkoreanische IT-Fachkräfte tarnen sich häufig als Freelancer aus anderen Ländern – ein Risiko für Unternehmen. Wer unbemerkt solche getarnten IT-Worker beschäftigt, setzt sich erheblichen Gefahren aus, darunter Reputationsverluste, Sanktionsverstöße sowie Diebstahl von geistigem Eigentum und Firmendaten. Diese Richtlinie legt verbindliche Schritte fest, um von der Bedarfsmeldung bis zum Offboarding sicherzustellen, dass keine unbeabsichtigte Beauftragung nordkoreanischer IT-Arbeiter erfolgt. Sie umfasst strenge Due-Diligence-Prüfungen, verpflichtende Vertragsklauseln, technische Kontrollen der IT-Umgebung und einen klar definierten Eskalationsprozess für Verdachtsfälle.

1) Richtlinientext (stichpunktbasiert)

• Bedarf & Freigabe:
  Jede Anfrage nach externen IT-Leistungen (Freelancer oder Sub-Vendor) ist vom anfordernden Fachbereich schriftlich zu begründen und vom Management freizugeben. HR bzw. Procurement müssen frühzeitig eingebunden werden, um Compliance-Aspekte von Anfang an zu berücksichtigen. Ohne Genehmigung und Budgetfreigabe darf kein Rekrutierungs- oder Beauftragungsprozess gestartet werden.
• Due Diligence & Auswahl:
  Vor jeder Beauftragung erfolgt eine umfassende Identitäts- und Hintergrundprüfung des Kandidaten bzw. der anbietenden Firma gemäß der Checkliste (siehe Abschnitt 2). HR (bei Einzelpersonen) bzw. Procurement (bei Dienstleistern) verantworten die KYC/KYB-Prüfung, einschließlich Verifizierung der Identität (Abgleich von Ausweisdokumenten und Live-Video-Interview zur Gesichtskontrolle). Es sind Sanktionslisten-Screenings gegen die relevanten Datenbanken (UN/EU sowie z. B. OFAC und UK) durchzuführen. Widersprüche in Angaben (Name, Standort, Arbeitgeberhistorie etc.) über verschiedene Profile hinweg führen zum Ausschluss. Kandidaten müssen einem Live-Video-Call zustimmen – Ablehnung von Video- oder Telefonanrufen oder auffälliges Verhalten (z. B. lange Pausen, abgelesene Antworten) gilt als Alarmzeichen. Alle freien Mitarbeitenden müssen vor Vertragsabschluss ein NDA und Vereinbarungen zur IP-Rechteübertragung unterzeichnen. Zahlungen werden ausschließlich auf verifizierte Bankkonten im echten Namen des Empfängers und in zulässigen Währungen ausgeführt; Kryptowährungszahlungen sind ausgeschlossen.
• Vertrag & Verpflichtung:
  Vertragsdokumente sind durch Legal aufzusetzen und müssen alle relevanten Schutzklauseln enthalten (siehe Abschnitt 4 „Mustervertragsklauseln“). Insbesondere sind Sanktions-Compliance, Verbot von Subunterbeauftragung ohne Zustimmung, Recht zur Überprüfung/Audit, Vertraulichkeit/NDA sowie Kündigungsrechte bei Verdacht vertraglich festzuschreiben. Der Vertragspartner bestätigt schriftlich die Kenntnis dieser Richtlinie und verpflichtet sich zur Einhaltung aller genannten Sicherheitsauflagen. Ohne gegengezeichnete Vereinbarung mit den genannten Klauseln erfolgt keine Beauftragung.
• Onboarding & Zugriffseinrichtung:
  Nach Vertragsunterzeichnung koordiniert HR/Procurement gemeinsam mit IT das Onboarding. IT richtet ausschließlich benötigte Benutzerkonten mit minimalen Rechten ein (Prinzip der geringsten Berechtigung). Conditional Access Policies werden aktiviert, um Zugriffe nur unter definierten Bedingungen zu erlauben (z. B. nur mit firmengesicherten Geräten, nur aus freigegebenen Regionen/IP-Bereichen). Geo-Blocking ist für Länder/Regionen mit hohem Risiko (insb. Nordkorea und umliegende) auf allen relevanten Systemen zu konfigurieren. Externe erhalten möglichst ein vom Unternehmen gestelltes, vorkonfiguriertes Arbeitsgerät; alternativ ist ein privates Gerät vor Einsatz im MDM der Firma zu registrieren (Geräte-Compliance). Hardware wird ausschließlich an die im Ausweis verifizierte Anschrift versendet – kann keine Zustellung an die offizielle Adresse erfolgen, wird der Vorgang abgebrochen. Auf Firmenrechnern sind Installationsrechte strikt beschränkt; eigene Software, insbesondere Fernwartungs- oder Remote-Desktop-Tools, dürfen nicht ohne ausdrückliche Genehmigung installiert werden. IT-Security stellt sicher, dass alle Login- und Zugriffsaktivitäten vom ersten Tag an protokolliert werden (zentralisiertes Logging).
• Projektbetrieb & Überwachung:
  Aktivitäten externer IT-Kräfte unterliegen einer verstärkten Überwachung. Zugriffe und Arbeitszeiten werden durch IT-Security analysiert – ungewöhnliche Login-Muster oder Auffälligkeiten (z. B. Logins von wechselnden Ländern/IP-Adressen, dauerhafte 24/7-Sessions, Nutzung von Anonymisierungsdiensten) lösen umgehend eine Meldung an Security aus. Code-Reviews sind verpflichtend: Alle Code-Beiträge externer Entwickler dürfen nur im Vier-Augen-Prinzip geprüft und durch interne Entwickler freigegeben werden. Zusätzlich sind automatisierte Sicherheitsprüfungen einzusetzen: kontinuierliches Secret-Scanning auf Hardcoded Credentials, Static/Dynamic Analysis sowie Quality Gates in der CI/CD-Pipeline, die Builds/Deployments bei Regelverstößen blockieren. Jump-Host-Pflicht: Externe greifen ausschließlich über einen kontrollierten Jump-Server oder eine Virtual-Desktop-Umgebung auf interne Systeme zu – direkter Zugriff auf produktive Umgebungen ist untersagt. Berechtigungen werden regelmäßig überprüft und bei Bedarf angepasst.
• Offboarding & Nachkontrolle:
  Nach Abschluss/Abbruch des Projekts sorgt HR/Procurement in Abstimmung mit IT für ein schnelles Offboarding. IT deaktiviert alle Konten umgehend und entzieht Zugriffsrechte spätestens mit Vertragsende. Überlassene Geräte/Ausweise sind zurückzufordern; Rückgabe sowie ordnungsgemäße Löschung aller Unternehmensdaten sind schriftlich zu bestätigen. Security prüft die letzten Aktivitäten in den Logs (z. B. Massen-Downloads kurz vor Abgang) und veranlasst bei Bedarf präventive Maßnahmen wie Passwortänderungen oder Geheimnisrotation. Legal/HR stellen sicher, dass fortwirkende Pflichten (v. a. Vertraulichkeit) schriftlich bestätigt werden.
• Eskalation & Meldung:
  Bei Verdachtsmomenten oder Sicherheitsvorfällen greift unverzüglich der Eskalationsplan. Erstes Alarmzeichen (technischer Alarm oder Compliance-Hinweis) ist an IT-Security und Legal/Compliance zu melden. Ein bereichsübergreifendes Incident Response Team (HR, Legal, IT, Security, Procurement) prüft die Faktenlage und leitet Sofortmaßnahmen ein: sofortige Sperrung der Zugänge, forensische Analyse, rechtliche Prüfung von Vertragsverstößen sowie Vorbereitung einer fristlosen Kündigung des Vertrags. Legal bewertet etwaige Meldepflichten an Behörden (z. B. Verdacht eines Sanktionsverstoßes). Externe Kommunikation erfolgt nur über autorisierte Stellen. Alle Maßnahmen werden gemäß RACI (Abschnitt 3) dokumentiert. Ziel ist Schadensabwehr, Wiederherstellung der Compliance und Prävention durch „Lessons Learned“.

---

2) Due-Diligence-Checkliste (zum Abhaken)

• Identitätsprüfung (KYC): Stammdaten erfassen; Ausweiskopie einholen und Live-Video-Ident (Videotelefonat) zur Abgleichung mit dem Dokument durchführen.
• Unternehmensprüfung (KYB): Bei Dienstleistern Handelsregisterauszug, Eigentümerstruktur, wirtschaftlich Berechtigte prüfen; Selbstauskunft zu fehlenden nordkoreanischen Beteiligungen; Referenzen validieren.
• Sanktions-Screening: Abgleich gegen konsolidierte Sanktionslisten (UN/EU/OFAC/UK); Ergebnis mit Datum dokumentieren; Zusammenarbeit bei Treffern nur nach Freigabe durch Legal/Compliance.
• Profil- und Hintergrund-Check: Konsistenz von Name, Nationalität, Standort, Kontaktinfos, Historie (CV, LinkedIn, GitHub, Referenzen) prüfen; Widersprüche führen zum Abbruch; ggf. Direktverifizierung bei früheren Arbeitgebern/Bildungseinrichtungen.
• Persönliches Gespräch: Mindestens ein Live-Video-Interview (oder persönlich); auf Identitätstäuschungszeichen achten (Vermeidung Kamera, abgelesene Antworten etc.); Verweigerung von Video-Gesprächen führt zur Ablehnung.
• IP- und Standortprüfung: Während Video-Call/Testaufgaben IP-Adresse prüfen; passt Standort zum Profil? Hinweise auf VPN/Proxy oder nicht deklarierte Länder führen zur vertieften Prüfung bzw. Ablehnung.
• Geräte-Compliance: Bevorzugt Unternehmensgerät; alternativ BYOD nur mit MDM-Registrierung, aktueller Software, Vollverschlüsselung, AV-Schutz; keine selbstinstallierten Remote-Tools auf Unternehmensgeräten.
• NDA & IP-Vereinbarung: Vor Arbeitsbeginn Geheimhaltungsvereinbarung und IP-Rechteübertragung unterzeichnen lassen.
• Zahlungsmodalitäten: Nur nachvollziehbare Banküberweisungen auf verifizierte Konten des Vertragspartners; keine Zahlungen in Kryptowährungen oder anonyme E-Wallets; Inhaber ↔ Vertragspartner abgleichen.
• Freigabe vor Onboarding: Abschließende Compliance-Freigabe (HR/Legal/Compliance). Bei unbehebbaren Zweifeln keine Beauftragung.

---

3) RACI-Tabelle (HR/Legal/IT/Security/Procurement)

Legende: R = Responsible (durchführend), A = Accountable (gesamtverantwortlich), C = Consulted (konsultiert), I = Informed (zu informieren)

Schritt/Task	HR	Legal	IT	Security	Procurement
Bedarf genehmigen & initiieren	I	I	I	I	I
Due Diligence durchführen (KYC/KYB/Sanctions)	R	A/C	C	C	C
Vertrag & NDA aufsetzen	C	R/A	I	I	C
Vertrag abschließen	R	A	I	I	C
Onboarding & Zugriffe (MDM, Conditional Access, Geo)	C	C	R	C	C
Durchführung der Tätigkeit (Fachkoordination)	R	I	C	C	I
Technische Überwachung (Logs, Reviews, CI/CD)	I	C	C	R/A	I
Offboarding & Entzug der Zugriffe	R	C	R	C	C
Eskalation bei Verdacht/Vorfall	C	A	C	R	I

Hinweis: Bei externen Dienstleistern kann Procurement die R-Verantwortung für Due Diligence und Vertragsabschluss übernehmen.

---

4) Musterklauseln (je 2–3 Sätze)

• Sanktions-Compliance:
  Der Auftragnehmer versichert, dass weder er selbst noch von ihm eingesetzte Personen oder Unterauftragnehmer auf Sanktionslisten (insbesondere EU, UN, OFAC, UK) geführt werden und verpflichtet sich zur strikten Einhaltung aller anwendbaren Exportkontroll- und Sanktionsvorschriften. Bei Verstoß – oder begründetem Verdacht – ist der Auftraggeber zur fristlosen Kündigung berechtigt.
• Sub-Sub-Contracting-Verbot:
  Der Auftragnehmer erbringt die Leistungen ausschließlich mit eigenem Personal. Die Einschaltung Dritter oder die Weitergabe von Leistungsteilen an weitere Unterauftragnehmer ist ohne vorherige schriftliche Zustimmung des Auftraggebers untersagt.
• Right to Audit (Prüfungsrecht):
  Der Auftraggeber ist berechtigt, die Einhaltung der vertraglichen Pflichten und Sicherheitsvorgaben jederzeit zu überprüfen. Der Auftragnehmer erteilt hierfür Auskunft, gewährt Einsicht in relevante Unterlagen und ermöglicht angemessenen Zugang zu betroffenen Räumen und IT-Systemen.
• Logging- und Zugriffskontrollen:
  Der Auftragnehmer nutzt ausschließlich autorisierte Zugänge/Systeme des Auftraggebers. Sämtliche Aktivitäten können aus Sicherheitsgründen protokolliert werden; Weitergabe von Zugangsdaten oder Ermöglichung von Zugriffen für Unbefugte ist untersagt.
• Vertraulichkeit (NDA):
  Der Auftragnehmer behandelt alle Informationen des Auftraggebers streng vertraulich und schützt diese vor unbefugter Offenlegung. Die Geheimhaltungspflicht gilt unbefristet über das Vertragsende hinaus.
• Exit-Klausel (außerordentliche Kündigung):
  Der Auftraggeber kann bei wichtigem Grund fristlos kündigen, insbesondere bei Falschangaben zur Identität, Verstößen gegen Compliance-Pflichten oder sicherheitsrelevanten Vorfällen. Im Kündigungsfall sind sämtliche Daten/Unterlagen sowie überlassene Geräte unverzüglich herauszugeben bzw. nachweislich zu löschen.