110 ms zu viel: Wie Amazon einen Nordkoreaner enttarnte
Eine Tipp-Verzögerung von 110 ms brachte Amazon auf die Spur eines nordkoreanischen IT-Maulwurfs. Der Fall zeigt neue Risiken der Remote-Arbeit.
Ein IT-Spezialist aus Nordkorea hat Undercover bei Amazon in den USA gearbeitet. Das fiel dadurch auf, dass die Tastatureingaben mit Verzögerung auf den Servern ankamen.
Foto: Smarterpix / ronniechua
Ein externer Admin, ein Laptop in Arizona, ein Homeoffice-Job. Auf dem Papier sah alles sauber aus. Doch bei Amazon reichte ein winziges technisches Detail, um die Tarnung auffliegen zu lassen: Tastatureingaben kamen mit rund 110 ms Verzögerung auf den Servern an. Für Menschen nicht spürbar. Für Netzwerkspezialisten ein klarer Ausreißer. Zu viel für einen Arbeitsplatz innerhalb der USA. Genau dieser Wert machte das Sicherheitsteam misstrauisch.
Inhaltsverzeichnis
Verdacht aus der Leitung
Der Administrator war über einen Personaldienstleister ins Unternehmen gekommen. Amazon schickte ihm die Hardware nach Arizona. Von dort sollte gearbeitet werden. Auf dem Laptop lief allerdings Sicherheitssoftware, die ständig misst, wie lange Signale vom Gerät bis zu den internen Systemen brauchen. Normal wären ein paar Dutzend Millisekunden. Gemessen wurden stabil rund 110.
Solche Laufzeiten passen nicht zu einer Verbindung innerhalb der USA. Sie deuten darauf hin, dass die Daten deutlich weiter reisen. Für sich genommen kein Beweis, aber ein starkes Indiz. Amazon ließ den Zugang weiterlaufen, beobachtete genau – und zog dann die Reißleine.
„Wir hätten ihn sonst nicht entdeckt“
Öffentlich wurde der Fall erst später. Amazons Sicherheitschef schilderte den Ablauf gegenüber Bloomberg erstaunlich offen. Sein Fazit fiel nüchtern aus: Ohne gezielte Suche hätte man den Zugriff vermutlich nie bemerkt.
Der Administrator kam nicht an sensible Daten. Trotzdem wertete Amazon den Vorfall als Warnsignal. Die Tarnung war professionell. Und sie funktionierte lange genug, um gefährlich zu werden.
Die Helfer vor Ort
Die Adresse in Arizona war kein Arbeitsplatz. Sie war eine Zwischenstation. Dort lebte eine Frau, die den Laptop entgegennahm, ans Netz anschloss und einen Fernzugang einrichtete. Die eigentliche Arbeit erledigte jemand tausende Kilometer entfernt in Asien. Auch das Gehalt lief über diese Adresse und wurde weitergeleitet.
Solche Konstruktionen sind kein Einzelfall. In einem US-Strafverfahren wurde dieselbe Frau später zu achteinhalb Jahren Haft verurteilt. Das Gericht sah es als erwiesen an, dass sie mehr als 300 US-Unternehmen beim Einschleusen nordkoreanischer IT-Fachkräfte unterstützt hatte.
Homeoffice als Schwachstelle
Für Unternehmen ist das kein exotisches Randproblem. Remote-Arbeit spart Geld, beschleunigt Projekte und erweitert den Talentpool. Gleichzeitig wächst die Angriffsfläche. Bewerbungen lassen sich fälschen. Lebensläufe kopieren. Video-Interviews manipulieren. Was sich kaum überlisten lässt, ist Physik – konkret die Laufzeit von Datenpaketen.
Amazon spricht von einer vierstelligen Zahl an Bewerbungen, die als nordkoreanische Betrugsversuche eingestuft wurden. Seit April 2024 habe der Konzern mehr als 1800 Anläufe blockiert. Tendenz steigend. In der direkt angestellten Belegschaft will Amazon bislang keine verdeckten Fälle gefunden haben.
Muster jenseits der Technik
Die Analyse endet nicht bei der Netzwerktechnik. Auch die Bewerbungsunterlagen liefern Hinweise. Immer wieder tauchen dieselben ausländischen Bildungseinrichtungen und Arbeitgeber auf, die sich kaum überprüfen lassen. Auffällig sind auch kleine sprachliche Brüche: fehlende Artikel, untypische Redewendungen, leicht „unrundes“ Englisch.
Ein einzelnes Detail reicht nicht für eine Enttarnung. Zusammengenommen ergeben sie jedoch ein klares Muster. Amazon gibt offen zu, gezielt nach solchen Profilen zu suchen.
Geld, Sanktionen, Zugang
Das Motiv ist bekannt. Nordkorea nutzt Remote-Jobs im Ausland, um Devisen zu beschaffen. Internationale Sanktionen blockieren den regulären Handel. Einnahmen aus IT-Dienstleistungen fließen dagegen in harter Währung. Zusätzlich geht es um potenziellen Informationszugang – selbst dann, wenn dieser im konkreten Fall begrenzt bleibt.
Im November bekannten sich in den USA fünf weitere Unterstützerinnen und Unterstützer schuldig. Die Ermittler gehen davon aus, dass ähnliche Netzwerke weiterhin aktiv sind. Und dass es nur eine Frage der Zeit ist, bis der nächste Fall auffliegt – vielleicht wieder wegen ein paar Millisekunden.
Ein Beitrag von:
