OFAC sanktioniert Drahtzieher des DPRK-IT-Mitarbeiter-Schemas: Was Buchhaltungsfirmen und CFOs jetzt tun müssen
Am 8. Juli 2025 hat das Office of Foreign Assets Control (OFAC) des US-Finanzministeriums Song Kum Hyok, einen in Nordkorea ansässigen Cyber-Akteur der Andariel-Hacking-Einheit, wegen seiner zentralen Rolle bei der Durchführung eines illegalen IT-Mitarbeiter-Schemas zur Erzielung von Deviseneinnahmen für das Kim-Regime sanktioniert. Die gleiche Maßnahme sanktionierte eine weitere Person und vier Unternehmen, die mit einem in Russland ansässigen Netzwerk verbunden sind, das nordkoreanische Arbeiter direkt an Technologie- und Krypto-Unternehmen weltweit vermittelte. Für Buchhaltungsfirmen, Wirtschaftsprüfer und CFOs, die Krypto-Zahlungen für Lohn- oder Vertragsnehmer verwalten, ist diese Maßnahme nicht nur geopolitische Nachricht: Sie bringt direkte Compliance-Pflichten nach US-Sanktionsrecht mit sich.
Was das OFAC tatsächlich sanktioniert hat und warum es wichtig ist
Die Sanktionierung von Song Kum Hyok
Song Kum Hyok wird vom OFAC als Vermittler beschrieben, der unter dem Aufklärungsbüro (RGB) arbeitet, der nordkoreanischen Geheimdienstbehörde, die zuvor mit der Lazarus-Gruppe, Bluenoroff und dem Technischen Aufklärungsbüro in Verbindung gebracht wurde. Seine spezifische Rolle bestand darin, DPRK-Staatsangehörige zu rekrutieren, sie mit falschen Identitäten auszustatten, die aus echten persönlichen Daten von US-Bürgern erstellt wurden, und sie in Remote-Positionen bei Unternehmen zu platzieren, die keine Ahnung hatten, dass sie nordkoreanische Operative einstellten. Die Arbeiter operierten physisch von China und Russland aus und präsentierten sich als in den USA ansässige Freiberufler oder Angestellte.
Der stellvertretende Finanzminister Michael Faulkender erklärte, dass die Maßnahme die Bedeutung der Wachsamkeit gegenüber den Bemühungen der DVRK unterstreicht, ihre Massenvernichtungswaffen- und ballistischen Raketenprogramme heimlich durch Diebstahl digitaler Vermögenswerte, Identitätsdiebstahl von Amerikanern und bösartige Cyber-Operationen zu finanzieren. Diese Einordnung ist bedeutsam: Das Finanzministerium behandelt Krypto-basierten Auftragnehmerbetrug als Sanktionsumgehungsmechanismus auf derselben Ebene wie direkte Hacking-Angriffe.
Das breitere Netzwerk: In Russland ansässige Unternehmen
Die fünf zusätzlichen Sanktionen betreffen Unternehmen mit Sitz in Russland, die langfristige Vereinbarungen mit nordkoreanischen Handelsfirmen eingegangen sind und effektiv als legitim aussehende Vermittlungsschicht zwischen DPRK-Arbeitskräften und westlichen Arbeitgebern fungierten. Diese Struktur ermöglichte es dem Schema, routinemäßige Due-Diligence-Prüfungen zu überstehen: Der Vertragspartner auf dem Papier war ein russisches Unternehmen, nicht ein DPRK-Staatsangehöriger. Unternehmen, die sich bei der Prüfung nur auf die Namen von Unternehmen verlassen, ohne die wirtschaftlichen Eigentümer und die Identitätsebene der Arbeiter zu prüfen, sind genau die Art von Ziel, das diese Struktur ausnutzen sollte.
Wie die Zahlungs- und Geldwäschekette funktionierte
Stablecoin-Gehälter und Wallet-Fragmentierung
Arbeiter in dem Schema wurden typischerweise in USDC oder USDT bezahlt, den beiden dominierenden Stablecoins für grenzüberschreitende Lohnzahlungen. Nach Erhalt flossen die Gelder durch eine mehrschichtige Geldwäschesequenz: Erhalt auf selbst verwalteten oder börsenverwalteten Wallets, Fragmentierung über mehrere Adressen, um die Transaktionsspur zu verschleiern, und schließlich Konsolidierung vor der Überweisung an ranghohe DPRK-Operative. Das OFAC und das Justizministerium haben zuvor zwei dieser ranghohen Empfänger sanktioniert: Kim Sang Man und Sim Hyon Sop.
Die Ermittler stellten fest, dass OTC-Broker, darunter einer, der Ende 2024 vom OFAC sanktioniert wurde, genutzt wurden, um aggregierte Krypto-Bestände in Fiat-Währung umzuwandeln. Russische und VAE-basierte Infrastruktur, IP-Adressen und gefälschte Dokumente bildeten das operative Rückgrat der Tarnschicht des Schemas.
Die Verfallsklage des Justizministeriums vom Juni 2025
Eine parallele Aktion des Justizministeriums, eingereicht am 5. Juni 2025 im District of Columbia, forderte die Einziehung von mehr als 7,7 Millionen US-Dollar in Kryptowährungen, NFTs und anderen digitalen Vermögenswerten, die mit demselben Geldwäschenetzwerk verbunden sind. Die Ermittler des DOJ identifizierten Arbeiter, die erfundene Identitäten verwendeten, und verfolgten Erlöse, die über zentralisierte Börsen und selbst verwaltete Wallets geleitet wurden, bevor sie DPRK-kontrollierte Adressen erreichten. Die beschlagnahmten Vermögenswerte umfassten USDC, ETH und hochwertige NFTs, was zeigt, dass das Schema nicht auf einfache Token-Zahlungen beschränkt war: Es erstreckte sich auf das gesamte Ökosystem digitaler Vermögenswerte.
Ausmaß: Nordkoreas Krypto-Bedrohung im ersten Halbjahr 2025
1,6 Milliarden US-Dollar auf DPRK-Akteure zurückgeführt
Das IT-Mitarbeiter-Schema fügt sich in ein viel größeres Bild ein. Im ersten Halbjahr 2025 stahlen Bedrohungsakteure mehr als 2,1 Milliarden US-Dollar bei 75 Hacks und Exploits, die im Krypto-Ökosystem verfolgt wurden. Nordkorea-verbundene Akteuren werden etwa 1,6 Milliarden US-Dollar dieser Summe zugeschrieben, was fast 70 % aller Krypto-Diebstähle in diesem Zeitraum entspricht. Der Großteil dieser Zahl ist auf den 1,5 Milliarden US-Dollar schweren Bybit-Hack zurückzuführen, aber der IT-Mitarbeiter-Kanal stellt ein strukturell anderes Risiko dar: Er generiert Einnahmen durch Täuschung und nicht durch technische Ausbeutung, was es für herkömmliche Sicherheitskontrollen auf Börsenseite schwieriger macht, ihn zu erkennen.
Der Wandel ist beabsichtigt. Da Blockchain-Analytik und Strafverfolgungsfähigkeiten besser darin werden, Hack-Erlöse zu erkennen und einzufrieren, hat die DVRK ihre Einnahmequellen diversifiziert, um sich in gewöhnliche Geschäftsaktivitäten einzufügen: Remote-Arbeit, freiberufliche Entwicklungsverträge und Web3-Projektarbeit. Die Tatsache, dass Zahlungen in USDC oder USDT erfolgen, denselben Instrumenten, die auch Tausende legitime Remote-Teams verwenden, ist kein Zufall.
Auswirkungen auf Buchhaltung und AML für Unternehmen und CFOs
Sanktionsgefahr bei Stablecoin-Lohnzahlungen
Nach dem International Emergency Economic Powers Act und den einschlägigen OFAC-Vorschriften ist es US-Personen und -Unternehmen untersagt, Transaktionen mit sanktionierten Personen oder Unternehmen durchzuführen, und dieses Verbot erstreckt sich auf indirekte Transaktionen. Ein Unternehmen, das einen DPRK-verbundenen Arbeiter in USDC bezahlt hat, ohne die wahre Identität des Arbeiters zu kennen, ist nicht automatisch von der Haftung befreit: OFACs Rahmenwerk der strengen Haftung bedeutet, dass guter Glaube allein keine vollständige Verteidigung ist, obwohl es ein Faktor ist, der bei der Strafzumessung berücksichtigt wird.
Für jedes Unternehmen, das Stablecoin-denominierte Lohn- oder Auftragnehmerzahlungen abwickelt, besteht die praktische Konsequenz darin, dass die Überprüfung von Wallet-Adressen gegen die OFAC-Liste der Specially Designated Nationals (SDN-Liste) vor jeder Zahlung erfolgen muss, nicht nur beim Onboarding. Adressen, die mit sanktionierten Parteien verbunden sind, können in der Zahlungskette auftauchen, selbst wenn der direkte Vertragspartner sauber erscheint. Unternehmen, die nur ein einmaliges Onboarding-Screening durchführen und dann wiederkehrende Überweisungen automatisieren, tragen ein Restrisiko von Sanktionen.
KYC- und Lieferanten-Due-Diligence-Lücken
Das Schema nutzte eine spezifische Lücke aus: Der Identitätsprüfungsprozess wurde auf erfundene Identitäten angewendet und nicht auf echte Personen. Standard-KYC für Remote-Auftragnehmer im Krypto-Bereich stützt sich oft auf die Einreichung von Dokumenten und Live-Checks, aber das DPRK-Netzwerk verwendete gestohlene persönliche Daten von US-Bürgern, die diese Prüfungen bestanden. Für Buchhaltungsfirmen, die Krypto-native Kunden beraten, oder für CFOs, die Web3-Teams verwalten, ist die Lehre, dass Dokumentauthentizität nicht dasselbe ist wie Identitätsauthentizität.
Unternehmen sollten eine mehrschichtige Verifizierung in Betracht ziehen: Abgleich der eingereichten Identitätsdokumente mit Arbeitgeberidentifikationsdatensätzen, Verwendung von Videoanrufprotokollen mit zufälligen Aufforderungsfragen und Anforderung von Steueridentifikationsnummern, die gegen IRS-Datensätze für als US-Präsenz auftretende Auftragnehmer validiert werden können. Wenn Auftragnehmer über zwischengeschaltete Unternehmen bezahlt werden (wie im Fall des in Russland ansässigen Netzwerks), sollte die Due-Diligence-Prüfung auf die wirtschaftlichen Eigentümer dieser Zwischenunternehmen ausgedehnt werden und nicht bei deren eingetragener Adresse aufhören.
Krypto-Buchhaltungssoftware und Transaktionsüberwachung
Robuste Krypto-Buchhaltungssoftware sollte mehr tun, als nur Journaleinträge für Stablecoin-Lohnzahlungen zu erfassen. Der in der Software eingebettete Prüfpfad, einschließlich Wallet-Adressen, Transaktions-Hashes und Gegenpartei-Metadaten, wird zur primären Beweisaufzeichnung, falls eine Aufsichtsbehörde oder Strafverfolgungsbehörde später in Frage stellt, ob eine Zahlung eine sanktionierte Partei erreicht hat. Unternehmen, die Software für digitale Vermögenswerte verwenden, ohne Transaktionsdaten auf Ebene der AML-Überwachung zu exportieren, schaffen einen blinden Fleck, den diese Art von Schema gezielt ausnutzt.
Die Verbindung von Krypto-Buchhaltungssoftware-Ausgaben mit Sanktions-Screening-APIs und die Aufbewahrung dieser Screening-Aufzeichnungen wird schnell zur Basiserwartung und nicht mehr nur zur Best Practice. Die Fähigkeit des DOJ, die IT-Mitarbeiter-Erlöse in diesem Fall durch zentralisierte Börsen und selbst verwaltete Wallets zu verfolgen, war teilweise dank On-Chain-Daten möglich; Unternehmen, die saubere, mit Zeitstempel versehene Aufzeichnungen ihrer eigenen Stablecoin-Lohnzahlungsströme führen, sind in einer viel stärkeren Position, Compliance nachzuweisen. Für zusätzlichen Kontext, wie Strafverfolgungsbehörden Krypto-bezogene Finanzkriminalität allgemeiner angehen, behandelt die Analyse der BDO Worldwatch 2026 White-Collar-Crime-Trends die breiteren Untersuchungsmuster, die Buchhaltungsfirmen verstehen müssen.
Interne Kontrollen: Was jetzt zu überprüfen ist
Die Sanktionierung ist ein unmittelbarer Auslöser für mehrere Überprüfungen interner Kontrollen. Erstens sollten Unternehmen, die in den letzten drei Jahren Remote-Auftragnehmer in Web3-, Blockchain-Infrastruktur-, Softwareentwicklungs- oder Krypto-Finanzrollen eingestellt haben, die Identitätsdatensätze der Auftragnehmer gegen die aktualisierte OFAC-SDN-Liste abgleichen, einschließlich der neu hinzugefügten Namen aus dieser Maßnahme. Zweitens sollten Wallet-Adressen, die zum Empfang von Auftragnehmer-Zahlungsbestätigungen oder zum Senden von Stablecoin-Lohnzahlungen verwendet werden, mit einem aktuellen OFAC-Adress-Screening überprüft werden, da die SDN-Liste jetzt spezifische Krypto-Adressen enthält, die mit dem Netzwerk verbunden sind. Drittens erfordern alle Zahlungen, die über russische oder VAE-basierte zwischengeschaltete Unternehmen geleitet werden, eine erneute Prüfung der wirtschaftlichen Eigentümer im Lichte der vom OFAC offengelegten Struktur des in Russland ansässigen Netzwerks.
Buchhaltungsteams sollten jeden dieser Schritte mit datierten Aufzeichnungen dokumentieren. Wenn später eine Anfrage auftaucht, ist die Fähigkeit zu zeigen, dass proaktiv ein Screening durchgeführt wurde, kurz nach einer Sanktionierung, ein materieller Beweis für eine Compliance-Kultur und wird bei der OFAC-Strafzumessung berücksichtigt. Das Muster der eskalierenden Durchsetzung ist klar: Wie in unserer Analyse der US-Finanzministerium-Sanktionen gegen iranische Firmen, die Bitcoin für die Hormus-Passage akzeptieren behandelt, behandelt das OFAC Krypto-Zahlungen konsequent im vollen Umfang seines Durchsetzungsmandats.
Was kommt als Nächstes
Die Erklärung des Finanzministeriums stellt diese Maßnahme als Teil einer fortlaufenden Kampagne dar und nicht als einmalige Sanktionierung. Die Bezugnahme auf den Aufbau von Netzwerken von Vermittlern signalisiert, dass das OFAC beabsichtigt, die Kette von einzelnen Arbeitern auf die Infrastrukturebene zu verschieben: die Makler, zwischengeschalteten Unternehmen und Plattformbetreiber, die die Zahlungsflüsse ermöglichen. Unternehmen im Bereich Stablecoin-Zahlungen, Krypto-Lohnzahlungen und On-Chain-HR sollten weitere Sanktionen und möglicherweise neue Leitlinien zu Due-Diligence-Standards für Auftragnehmerzahlungen mit digitalen Vermögenswerten erwarten.
Die Schnittstelle von AML-Pflichten und Krypto-Buchhaltung wird enger. Buchhaltungsfirmen und CFOs, die Transaktionen mit digitalen Vermögenswerten als außerhalb des Rahmens ihrer bestehenden Finanzkriminalitätskontrollen behandeln, lesen die regulatorische Richtung falsch. OFAC, DOJ und FBI haben in diesem Fall gezeigt, dass sie Stablecoin-Flüsse von Arbeitgeber-Wallets zu DPRK-kontrollierten Adressen verfolgen können und werden, und dass die dazwischenliegenden Unternehmen unabhängig von Absicht Haftungsrisiken tragen.
Quelle: TRM Labs
Häufig gestellte Fragen
Wen hat OFAC am 8. Juli 2025 sanktioniert?
OFAC sanktionierte Song Kum Hyok, einen in Nordkorea ansässigen Cyber-Akteur der Andariel-Einheit unter dem Aufklärungsbüro, zusammen mit einer weiteren Person und vier in Russland ansässigen Unternehmen, die mit einem nordkoreanischen IT-Mitarbeiter-Netzwerk verbunden sind. Die Sanktionen fügen diese Parteien zur OFAC-Liste der Specially Designated Nationals hinzu, was es US-Personen illegal macht, mit ihnen Geschäfte zu tätigen.
Wie wurden Stablecoins in diesem Schema verwendet?
Remote-Mitarbeiter, die über das Schema platziert wurden, wurden von ahnungslosen US-Arbeitgebern in USDC und USDT bezahlt. Diese Gelder wurden dann durch selbst verwaltete Wallets und zentralisierte Börsen bewegt, fragmentiert, um ihre Herkunft zu verschleiern, und schließlich zur Übertragung an ranghohe DPRK-Operative konsolidiert. OTC-Broker, darunter einer, der zuvor vom OFAC sanktioniert wurde, wurden verwendet, um die Erlöse in Fiat-Währung umzuwandeln.
Hat ein Unternehmen Sanktionshaftung, wenn es unwissentlich einen DPRK-verbundenen Arbeiter bezahlt hat?
Das Sanktionsregime des OFAC wendet einen Standard der strengen Haftung an: Ein Verstoß kann auch ohne Kenntnis der Beteiligung einer sanktionierten Partei vorliegen. Das OFAC berücksichtigt jedoch Faktoren wie guten Glauben, die Stärke des Compliance-Programms eines Unternehmens und wie schnell ein Unternehmen sich selbst offenbart und Abhilfe schafft, bei der Berechnung von Strafen. Dokumentierte, aktuelle Screening-Aufzeichnungen sind das wichtigste verfügbare Milderungsmittel.
Welche spezifischen Due-Diligence-Schritte für Auftragnehmer sollten Unternehmen jetzt unternehmen?
Unternehmen sollten alle aktuellen und vergangenen Remote-Auftragnehmer-Identitätsdatensätze gegen die aktualisierte OFAC-SDN-Liste abgleichen, Wallet-Adressen, die bei Stablecoin-Lohnzahlungen verwendet werden, gegen die veröffentlichten Krypto-Adresslisten des OFAC prüfen, die wirtschaftlichen Eigentümer aller russischen oder VAE-basierten Zwischenunternehmen in Vertragsvereinbarungen überprüfen und datierte Aufzeichnungen jedes Schritts aufbewahren. Für Neueinstellungen ist eine mehrschichtige Identitätsprüfung, die über die Dokumenteneinreichung hinausgeht, wie z.B. IRS-Steuer-ID-Validierung für als US-Präsenz auftretende Auftragnehmer, ratsam.
Ist diese Durchsetzungsmaßnahme auf US-Unternehmen beschränkt?
Die primäre Zuständigkeit liegt bei den USA unter der Autorität von OFAC und DOJ, aber das DPRK-IT-Mitarbeiter-Schema operierte weltweit. Nicht-US-Unternehmen mit US-Dollar- oder Stablecoin-Exposition, Korrespondenzbankbeziehungen in den USA oder US-Personen in Compliance-Rollen können einem Sekundärrisiko ausgesetzt sein. Darüber hinaus unterhalten viele andere Jurisdiktionen parallele autonome Sanktionsregime gegen Nordkorea, daher sollten Nicht-US-Unternehmen ihre eigenen nationalen SDN-Äquivalente neben der OFAC-Liste prüfen.