Implikationen für Europas Sicherheit

Die Kooperation zwischen Russland und der DVRK ist nicht nur der bislang deutlichste Ausdruck einer zunehmenden sicherheitspolitischen Verflechtung zwischen Europa und dem Indo-Pazifik. Hier wird die strate­gische Lage des Kontinents auch am un­mittelbarsten durch Pjöngjangs Vorgehen tangiert. Denn indem Nordkorea den russi­schen Krieg gegen die Ukraine politisch und militärisch unterstützt, stabilisiert es Mos­kaus Kriegsfähigkeit und trägt zur anhaltenden Belastung der europäischen Sicher­heitsordnung bei. Zwar ist Nordkoreas Hilfe nicht kriegsentscheidend, doch haben vor allem seine umfangreichen Munitionslieferungen einen substantiellen Anteil daran, dass Russland seine offensiven Operationen gegen die Ukraine fortsetzen konnte. Insbe­sondere nachdem die russischen Munitions­bestände im Jahr 2023 deutlich geschwunden waren, spielte die nordkoreanische Unterstützung eine entscheidende Rolle dabei, die Kampfkraft des Landes kurz- und mittelfristig aufrechtzuerhalten. Pjöngjang verringerte damit nicht nur den Druck auf Russlands Rüstungsindustrie, sondern er­weiterte auch dessen Fähigkeit zur inten­siven Kriegführung. 2025 berichtete der damalige Leiter des ukrainischen Militär­geheimdienstes, Kyrylo Budanow, dass zeit­weise bis zu 40 Prozent der Munition, die Russland im Krieg gegen die Ukraine ein­setze, aus Nordkorea stammten.

Umgekehrt trägt die russische Unterstützung für Nordkorea zu dessen beschleunigter militärischer Modernisierung bei, was nicht nur die Stabilität im Indo-Pazifik wei­ter untergräbt, sondern auch die internatio­nale Nichtverbreitungsordnung zusätzlich schwächt. Dass nordkoreanische Waffen im Krieg gegen die Ukraine eingesetzt werden, dürfte die Attraktivität dieser Systeme wei­ter steigern – und das Risiko einer Prolife­ration militärischer Technologien erhöhen.

Schließlich unterminiert die Zusammenarbeit zwischen Russland und Nordkorea auch die Wirksamkeit internationaler Sank­tionen. Beide Staaten kooperieren zunehmend bei der Umgehung bestehender Sank­tionsregime, etwa indem sie alternative Handels- und Finanzkanäle schaffen. Damit wird nicht nur der wirtschaftliche Druck auf Russland und Nordkorea reduziert; zugleich verliert das Sanktionsinstrument insgesamt an Glaubwürdigkeit und (Ab­schreckungs-)Wirkung.

Pjöngjangs Cyberprogramm: Ein Überblick

Unter Kim Jong Un haben sich die Cyber­fähigkeiten der DVRK zu einem umfassenden nationalen Projekt entwickelt, das in seiner Professionalität durchaus mit den Cyberprogrammen Chinas und Russlands zu vergleichen ist. Vielen politischen Ent­scheidungsträgern in Europa fällt es jedoch nach wie vor schwer zu akzeptieren, dass Nordkorea auf diesem Feld zu einer »gleich­berechtigten Nation« und zu einer der fähigs­ten, aktivsten und aggressivsten Mächte weltweit geworden ist.

Nordkoreanische »Advanced Persistent Threat« (APT)-Gruppen sind für hochkarä­tige cybergestützte Spionage, für Cyber­angriffe auf Infrastrukturen und Lieferketten sowie insbesondere für Finanzdiebstahl in einem Ausmaß verantwortlich, wie es von keinem anderen Land bekannt ist. Vor­an­getrieben wurde dieser Aufschwung durch ein strategisches Programm zur För­derung einheimischer Talente, durch die Unterstützung internationaler Partner, vor allem Russlands und Chinas, und den Auf­bau eines globalen Netzwerks von IT-Fach­kräf­ten im Ausland. Das Multilateral Sanc­tions Monitoring Team (MSMT) – ein im Oktober 2024 geschaffener Mechanismus, der die Umsetzung der UN-Sanktionen gegen die DVRK überwacht – geht davon aus, dass derzeit zwischen 1.000 und 2.000 nord­koreanische IT-Fachkräfte im Ausland sta­tioniert sind. Die Mehrheit davon (zwi­schen 1.000 und 1.500) soll sich in China aufhal­ten. Die am MSMT beteiligten Staaten haben jedoch Pläne Pjöngjangs aufgedeckt, bis zu 40.000 zusätzliche Arbeitskräfte nach Russ­land zu entsenden, darunter weitere IT-Spezialisten. Tatsächlich gibt es Anzeichen, dass sich die russisch-nordkoreanische Zu­sammenarbeit auch im Cyberspace intensi­viert; dabei sollen Verbindungen zwischen nordkoreanischen APT-Gruppen und dem russischsprachigen Cybercrime-Ökosystem bestehen.

Der Militär- und Parteiapparat der DVRK stellt Ressourcen bereit, bildet spezialisierte Einheiten aus und setzt diese ein, um Cyber­­­kampagnen durchzuführen. So ist in Nord­korea ein leistungsfähiges Netzwerk von APT-Gruppen entstanden, die direkt staat­lichen Stellen wie dem Generalbüro für Aufklärung (RGB) und dem Ministerium für Staatssicherheit unterstehen – und die für zahlreiche Cyberoperationen im Ausland verantwortlich sind. Zwar gibt es keine offi­ziellen Daten zu den verschiedenen APT-Gruppen, doch Schätzungen zufolge ver­fügt die »Cyberarmee« der DVRK über mehr als 6.000 Spezialisten. Weiter gestärkt wur­den deren Fähigkeiten durch ein hohes Maß an Koordination zwischen den ver­schiede­nen Zweigen des nordkoreanischen Cyber­apparats – auch beim Austausch von Res­sourcen – und durch die Integration neuer Technologien, insbesondere der künstlichen Intelligenz (KI).

Fortschritte im Bereich der generativen KI haben es nordkoreanischen Cyberakteuren etwa ermöglicht, bestimmte Teile ihrer Operationen effizienter und skalierbarer durchzuführen. Auf großen Sprachmodellen (LLM) basierende Anwendungen werden auf vielfältige Weise eingesetzt – so zur Er­stellung und Personalisierung von Phishing-Inhalten, zur Recherche und Aufklärung, zur Erstellung gefälschter Biografien und Identitäten sowie unterstützend bei der Ent­wicklung und Anpassung von Schadcodes.

Bestehende Sanktionen gegen Nordkorea werden international nur lückenhaft über­wacht und durchgesetzt. Dies hat es Pjöng­jang ermöglicht, Cyberoperationen gezielt zur Umgehung von Sanktionen, zur Gene­rierung illegaler Einnahmen und zur Be­schaffung sensibler Informationen einzu­setzen und dadurch seine Cyberfähigkeiten weiter auszubauen. Deshalb stellt das Re­gime von Kim Jong Un nicht mehr nur aufgrund seines Atomwaffenarsenals eine Bedrohung dar, sondern auch wegen seiner Aktivitäten im Cyberraum.

Europa als Ziel nordkoreanischer Cyberoperationen

Waren Nordkoreas Cyberoperationen zu­nächst vor allem gegen Südkorea und die USA gerichtet, so haben sie sich mehr und mehr zu einem globalen Unternehmen ent­wickelt. Dabei gerät auch Europa verstärkt in den Fokus. In ihrer »Threat Landscape 2025« stuft ENISA, die Agentur der EU für Cybersicherheit, Nordkorea nach Russland und China als drittgrößte Bedrohung für Europa ein, was entsprechende Angriffe betrifft. Die Aktivitäten mit Verbindungen zur DVRK richten sich dabei insbesondere gegen private Unternehmen in Europa, mit einem Schwerpunkt auf Personalwesen, Finanzdienstleistungen (einschließlich Kryp­towährungen), Verteidigung, Luft- und Raumfahrt, Medien, Gesundheit und Ener­gie; betroffen sind aber auch staatliche Stel­len und regierungsnahe Forschungseinrichtungen.

Dabei lassen sich Nordkoreas Cyber­aktivitäten in Europa drei Hauptkategorien zuordnen: finanziell motivierte Angriffe, wie etwa Diebstahl von Kryptowährungen, betrügerische IT-Arbeitsprogramme sowie Spionage.

Finanziell orientierte Operationen. Ab 2017 intensivierte Nordkorea jene Cyber­operationen, die dazu dienen, finanzielle Einnahmen zu generieren. Dies fiel in eine Phase erheblich verschärfter internationaler Sanktionen und zunehmenden wirtschaftlichen Drucks auf das Land. Der Diebstahl von Kryptowährungen wurde nun zu einer besonders wichtigen Einnahmequelle für das Regime. Damals befand sich der Markt für virtuelle Vermögenswerte noch in einer frühen Entwicklungsphase; er war durch erhebliche regulatorische und sicherheitsbezogene Defizite gekennzeichnet, die es erleichterten, Schwachstellen auszunutzen. Nach 2020 – dem Jahr, in dem Nordkoreas Außenhandel durch den Covid-19-beding­ten Lockdown fast vollständig zum Erliegen kam – stieg die Zahl finanziell motivierter Cyberoperationen des Landes weiter an. Wie der Analyst Perry Choi formulierte, entwickelte sich die DVRK in den frühen 2020er Jahren zu einem »Cyber-Raubzugs­unternehmen industrieller Größenordnung«.

Nordkoreanische Akteure beschränkten sich zunächst darauf, zentralisierte Krypto­börsen anzugreifen. Später weiteten sie ihre Angriffe zunehmend auf verschiedene Komponenten des Blockchain-Ökosystems aus, darunter Cross-Chain-Bridges, DeFi (Decentralized Finance)-Protokolle sowie die IT- und Zugangs-Infrastruktur von Unternehmen und deren Beschäftigten. Mit Nord­korea verbundene APT-Gruppen stahlen nicht nur Kryptowährungen von Einzelpersonen und Beschäftigten entsprechender Firmen. In den vergangenen Jahren gelang es ihnen auch, zahlreiche Kryptowährungsbörsen und andere Unternehmen des digi­talen Vermögenssektors erfolgreich zu kom­promittieren und zu bestehlen, etwa in den Vereinigten Arabischen Emiraten, Japan, Indien und Singapur. Der Angriff auf die in Dubai ansässige Kryptowährungsbörse Bybit im Februar 2025, bei dem eine nordkoreanische APT-Gruppe Vermögenswerte von fast 1,5 Milliarden US-Dollar entwendete, gilt als der bislang größte gemeldete Krypto­raub der Geschichte.

Die Schätzungen variieren, wie hoch Pjöngjangs durch den Diebstahl von Krypto­währungen erzielte Einnahmen sind. Laut einem MSMT-Bericht hat Nordkorea zwi­schen Januar 2024 und September 2025 Kryptowährungen im Wert von mindestens 2,8 Milliarden US-Dollar erbeutet. Laut dem »Crypto Crime Report 2026« der Analyseplattform Chainalysis waren staatlich geför­derte nordkoreanische Hackergruppen für den Diebstahl von etwa 60 Prozent aller weltweit im Jahr 2025 entwendeten Krypto­währungen verantwortlich. In den Worten von Perry Choi bedeutet dies, dass das Re­gime faktisch einen »Staatsfonds aus ge­stoh­lenen digitalen Vermögenswerten auf­ge­baut hat – eine Kriegskasse, die außer­halb des traditionellen Dollarsystems liegt (und) schwer einzufrieren ist«. Beobachter gehen davon aus, dass Nordkorea zeitweise der weltweit drittgrößte unter den staatlichen Bitcoin-Besitzern war.

Cyberspionage. Nordkoreanische Cyber­spionage in Europa richtet sich gegen die Bereiche Rüstung, Luft- und Raumfahrt, Medien, Energie und Regierung sowie gegen individuelle Fachleute. Im Fall von Rüs­tungsunternehmen zielen entsprechende Operationen offenbar darauf ab, Informa­tionen über Europas wachsende Verteidigungsstrukturen, diesbezügliche Partnerschaften mit Südkorea sowie technologische Details zu einzelnen Waffensystemen zu sammeln. So führten nordkoreanische Hacker 2025 etwa Cyberspionagekampagnen gegen europäische Drohnenunternehmen durch, um Technologie und Fertigungswissen zu unbemannten Luftfahrzeugen zu stehlen. Andere (darunter deutsche) Firmen aus den Sektoren Verteidigung so­wie Luft- und Raumfahrt waren gezielten Phishing-Kampagnen ausgesetzt.

IT-Fachkräfte. Nordkoreanische IT-Fach­kräfte stellen für das Regime in Pjöngjang eine wichtige Einnahmequelle dar – und für Europa ein wachsendes Sicherheits­risiko. Mit dem Regime verbundene IT-Spezialisten sind oft hochqualifiziert; sie nutzen gestohlene oder gefälschte Identitäten und bewerben sich bei ausländischen Firmen etwa über Online-Plattformen als Remote-Mitarbeiter in einschlägigen Berei­chen – wie der Entwicklung von Websites, mobilen Anwendungen, KI, Software und Blockchain-Verfahren. Ziel ist dabei nicht nur die Generierung von Deviseneinnahmen, sondern auch der Zugang zu sensib­len Informationen und Technologien.

Resolution 2375 des UN-Sicherheitsrats von 2017 untersagt es zwar grundsätzlich, nordkoreanische Arbeitskräfte im Ausland zu beschäftigen. Dennoch erzielte die DVRK im Jahr 2024 zwischen 350 und 800 Mil­lionen US-Dollar durch weltweit tätige IT-Fachkräfte. Parallel baut das Regime die Infra­struktur aus, um solche Aktivitäten zunehmend direkt von Nordkorea aus zu steuern.

Nach Erkenntnissen des amerikanischen Cybersicherheitsunternehmens Mandiant haben nordkoreanische IT-Fachkräfte ihre Aktivitäten seit 2024 deutlich auf Europa ausgeweitet, vor allem auch auf Deutschland, Portugal und das Vereinigte Königreich. In einem am 31. Juli 2026 veröffentlichten Statement warnte der Europäische Auswärtige Dienst (EAD) vor erheblichen finanziellen Schäden durch nordkoreanische Cyberoperationen. Diese würden auch zur Finanzierung von Pjöngjangs Nuklear- und Raketenprogrammen beitragen und die internationale Sicherheit und Stabilität bedrohen, so der EAD. Die Mitteilung folgte einer gemeinsamen Erklärung mehrerer Staaten bezüglich der Risiken, die nord­koreanische IT-Fachkräfte für Regierungen, private Unternehmen und einzelne Bürger darstellen.

Die von Nordkorea ausgehende Cyber­bedrohung dürfte sich durch die vertiefte Zusammenarbeit des Regimes mit Russland weiter verschärfen. Insbesondere entwickelt sich das Land zu einem wichtigen Standort für nordkoreanische IT-Operationen; Mos­kau stärkt so die Fähigkeit Pjöngjangs, welt­weit Einnahmen zu erzielen und Unternehmen zu infiltrieren.

Implikationen für Europa

Nordkoreas Operationen im Cyberraum stellen eine direkte sicherheitspolitische Herausforderung für Europa dar. Europäische Behörden, Finanzinstitute, Unternehmen, Forschungseinrichtungen sowie Be­treiber kritischer Infrastruktur gehören verstärkt zum Zielspektrum nordkoreanischer Hackergruppen. Deren Aktivitäten reichen von Spionage über Ransomware-Angriffe bis hin zum Diebstahl digitaler Vermögenswerte. Die Besonderheit dieser Bedrohung liegt in ihrer Asymmetrie. Wäh­rend Cyberoperationen für Nordkorea ver­gleichsweise kostengünstig und politisch risikoarm, da schwer zuzuordnen sind, kön­nen sie für Europa erhebliche wirtschaft­liche Schäden, den Abfluss sensibler Tech­nologien und Störungen kritischer Infra­strukturen verursachen.

Hinzu kommt, dass Kryptowährungsdiebstahl eine zentrale Finanzierungsquelle für Nordkoreas Programme zur Entwicklung von Massenvernichtungswaffen ist. Digitale Verwundbarkeiten in Europa kön­nen so mittelbar dazu beitragen, nord­koreanische Rüstungsprojekte zu stär­ken – und damit auch jene militärische Kooperation mit Russland, über die Pjöng­jang den Krieg gegen die Ukraine unterstützt.

Zusätzliche Brisanz erhält diese Entwicklung durch die vertiefte russisch-nordkorea­nische Zusammenarbeit im Cyberraum. Die Nutzung gemeinsamer Infrastruktur sowie Überschneidungen zwischen nordkoreanischen und russischen Cyberakteuren er­höhen Reichweite, Resilienz und Effektivität entsprechender Operationen. Die euro­päische Cyberabwehr steht damit vor einer Herausforderung, die zunehmend über nationale Zuständigkeiten hinausgeht.

Für Europa ergibt sich daraus die Notwendigkeit eines umfassenderen sicherheitspolitischen Ansatzes. Nato, EU und ihre jeweiligen Mitgliedstaaten sollten Nordkorea als eigenständigen sicherheits­politischen Akteur mit unmittelbarer Rele­vanz für Europa behandeln. Erforderlich sind eine engere europäische Koordinierung im Cyberbereich, ein deutlich verbes­serter Austausch von Lageinformationen – einschließlich entsprechender Informa­tionssicherheitsabkommen –, eine stärkere Resilienz kritischer Infrastrukturen sowie eine konsequentere Einbindung des Indo­-Pazifiks in die europäische Sicherheitsstrategie. Obwohl sich Nordkorea mittlerweile zu einer zentralen Gefahr im Bereich Cyber­angriffe und Kryptowährungsdiebstahl ent­wickelt hat, orientieren sich europäische Regierungen noch immer an einer früheren Ära. Wenn sie diese Risiken weiterhin als Randthema wahrnehmen, werden sie noch mehr an Boden gegenüber einem Regime verlieren, das Cyberkriminalität in allen Facetten als Kernstück seiner staatlichen Strategie betrachtet.