Der Kollege im Videocall ist gar nicht da: Wie Nordkoreas „FaceStealer“ Webcams zu einem 400-Millionen-Dollar-Coup machte

Der Trick funktioniert, weil sich nichts daran wie ein Trick anfühlt. Eine Nachricht kommt von jemandem, den man kennt – einem früheren Mitstreiter, einem Entwickler aus einem Projekt, an dem man mitgearbeitet hat. Er schlägt einen kurzen Videocall vor. Man tritt bei, und da ist er auf dem Bildschirm, nickt, scheint zu sprechen. Nur der Ton scheint kaputt zu sein.

Genau mit diesem kleinen Fehler beginnt nach Angaben der US-Bundespolizei FBI eine der wirksamsten nordkoreanischen Hackeroperationen der letzten Jahre. Staatlich gestützte Hacker hätten mit einer Masche, die das FBI „FaceStealer“ nennt, in den vergangenen 18 Monaten mehr als 400 Millionen Dollar in Kryptowährung erbeutet; mehr als 900 Menschen seien ins Netz gegangen.

Wie der Kreislauf funktioniert

FBI und US-Justizministerium beschreiben einen Zyklus, der sich selbst speist:

• Die Einladung. Über gefälschte oder gekaperte Social-Media-Konten laden die Angreifer ihr Ziel zu einem Meeting auf scheinbar vertrauten Plattformen ein – in Wahrheit nachgemachte Versionen von Zoom, Microsoft Teams oder Google Meet.
• Das geliehene Gesicht. Statt einer echten Person sieht das Opfer vorab aufgezeichnete Aufnahmen eines früheren Opfers, idealerweise eines Bekannten. Damit nicht auffällt, dass der „Sprecher“ nicht reagieren kann, scheint der Ton auszufallen.
• Die Reparatur. Ein Pop-up bietet an, den Ton zu reparieren. Ein Klick installiert schließlich Schadsoftware, die das Gerät des Opfers samt Kontakten und Apps öffnet.
• Die Aufnahme. Der Anruf selbst wird heimlich aufgezeichnet. Das Gesicht des neuen Opfers wird zum Rohmaterial, um die nächste Person in seiner Kontaktliste zu täuschen.

Jeder Erfolg liefert also Geld und neuen Köder zugleich. Das FBI hat nach eigenen Angaben mehr als 900 solcher Opfervideos beschlagnahmt – ein beklemmendes Archiv gewöhnlicher Menschen vor ihren Webcams, umfunktioniert zu Verkleidungen.

Wer ins Visier gerät

Die Masche zielt auf Menschen, die in Kryptowährung und Web3 arbeiten, besonders auf jene, die Open-Source-Software entwickeln und pflegen. Aus Sicht der Angreifer ist das logisch: Open-Source-Gemeinschaften beruhen auf Vertrauen zwischen Menschen, die sich oft nur über Bildschirme kennen, und ein einziger kompromittierter Maintainer kann Zugang zu Wallets, Code-Repositorien oder einem ganzen Netzwerk von Mitwirkenden verschaffen.

FBI-Vertreter räumen ungewöhnlich offen ein, wie schwer das zu erkennen ist. Die Behörde beschreibt FaceStealer als fähig, selbst erfahrene, sicherheitsbewusste Technikprofis zu täuschen. Ein leitender Agent in Los Angeles formulierte es einprägsamer: Wer sich kein Szenario vorstellen könne, in dem er darauf hereinfällt, denke nicht kreativ genug.

Warum es über Krypto hinaus zählt

Nach Angaben von US-Beamten finanziert Pjöngjang seine Waffenprogramme in großem Umfang mit Kryptodiebstahl. Die FaceStealer-Enthüllung kommt nur eine Woche, nachdem Binance mitgeteilt hatte, Hacker hätten über gefälschte Bewerbungsgespräche die Rekordsumme von 6,3 Milliarden Dollar von der Börse erbeutet – ein Angriff, den US-Behörden Nordkorea-nahen Akteuren zuschreiben. Nordkorea bestreitet jede Beteiligung.

Die größere Lehre betrifft das Video selbst. Jahrelang galt ein Gesicht im Videocall als informeller Identitätsnachweis. FaceStealer nutzt genau diese Gewohnheit aus – und braucht dafür nicht einmal ausgefeilte Deepfakes: Echte Aufnahmen, im richtigen Moment abgespielt, genügen.

Praktische Lehren

Sicherheitsteams dürften in den kommenden Wochen einige einfache Regeln wiederholen. Jeden Meeting-Link, der nicht von einer offiziellen Domain stammt, mit Misstrauen behandeln. Während eines Anrufs niemals Software installieren, um Ton oder Bild zu „reparieren“. Wenn ein vertrautes Gesicht nicht reagieren kann, über einen anderen Kanal nachfragen, bevor man weitermacht. Nichts davon ist neu. Neu ist nur der Preis, den es kostet, diese Ratschläge zu ignorieren.