Erfolgreich gegen 261 Konkurrenten: mit gefälschter Identität zum neuen Job

Mehrfach wurden Firmen Opfer von betrügerischen Bewerbungen. Wie so etwas passieren kann, wollte ein britischer Sicherheitsforscher herausfinden. Mit großem Eifer schuf er gefälschte virtuelle Identitäten und ging auf Jobsuche. Seine Erfolge demonstrieren eindrucksvoll, vor welchen Anforderungen Abwehrmaßnahmen wie Awareness-Kampagnen heute stehen.

Geschrieben von Uwe Sievers

Frau vor einem Laptop mit digitalem Gesichtserkennungsraster als Symbol für KI und Deepfakes. — KI-generierte Identitäten und Deepfakes können virtuelle Bewerbungsgespräche zur Si-cherheitsherausforderung für Unternehmen machen.

Zunächst sah alles normal aus. Doch kaum hatte der neue Mitarbeiter seinen Dienst-Laptop bekommen, begann er Malware ins Firmennetz zu laden. Man habe sofort verdächtige Aktivitäten festgestellt und innerhalb weniger Minuten reagiert, schrieb das Unternehmen dazu. Der Schaden sei gering, neue Mitarbeiter würden anfangs nur beschränkten Zugriff erhalten. Verdacht habe man im Vorfeld nicht geschöpft. Das Einstellungsverfahren schildert das Unternehmen in einem Blogbeitrag: „Man habe erhaltene Lebensläufe kontrolliert, Vorstellungsgespräche geführt, Hintergrundüberprüfungen durchgeführt und Referenzen überprüft, bevor die Person eingestellt wurde“.

Warnung vor nordkoreanischen Hackern

Schon zuvor sorgte ein ähnlicher Fall in den USA für Aufsehen. Ein IT-Mitarbeiter, der die gestohlene Identität eines US-Bürgers nutzte, nahm an mehreren Video-Vorstellungsgesprächen teil, umging dabei die üblicherweise angewandten Verfahren zur Hintergrundüberprüfung und wurde schließlich eingestellt.-
ausschließlich im Homeoffice. Sobald er Zugang zu den internen Systemen bekam, lud er heimlich so viele Unternehmensdaten wie möglich herunter. Das ging vier Monate so, ehe es auffiel, dann wurde er entlassen. Danach erhielt das Unternehmen E-Mails mit Lösegeldforderungen, die einen Teil der gestohlenen Daten enthielten und in denen die Zahlung eines sechsstelligen Betrags in Kryptowährung gefordert wurde.

Bereits 2022 warnte das FBI vor nordkoreanischen Hackern, die sich im Auftrag ihrer Regierung in westlichen Ländern als IT-Spezialisten anheuern lassen. Ihr Auftrag: Geld für die eigene Regierung zu beschaffen. Ihre Masche: Sie bewerben sich auf Jobs, bei denen ausschließlich im Homeoffice gearbeitet werden kann.

Das Experiment beginnt

Solche Fälle waren für den britischen Sicherheitsforscher Jake Moore Anlass, zu ergründen, wie leicht man mit einer falschen Identität einen Job bekommen kann. In einem Vortrag auf einer Sicherheitskonferenz des europäischen Security-Softwareunternehmen ESET berichtet Moore von seinem Experiment. Basis solcher Täuschungsversuche sind häufig KI-basierte Deepfakes. Möglich wird dies, weil heute bei Bewerbungsgesprächen die meisten Gespräche als Online-Meeting stattfinden. Moore wollte also nicht nur mit gefälschten Daten, sondern auch mit einem gefälschten Erscheinungsbild arbeiten. In Echtzeit Deepfakes zu generieren, also live vor der Kamera im Gespräch als jemand anders zu agieren, sei technologisch dank neuerer KI-Modelle weit weniger schwierig, als es zunächst scheint, so Moore. Lediglich eine sehr leistungsfähige Grafikkarte für die Anwendung des KI-Modells erforderte dabei eine größere Investition.

Der Security-Spezialist erzeugte das Gesicht einer nicht existenten Person und nannte sie „Jack Moore“ was seinem richtigen Namen recht ähnlich ist. Für diese Person schuf er eine komplett neue Identität, einschließlich Social-Media-Profilen. Dazu gehörte auch ein LinkedIn-Profil, das er aktiv nutzte, um sich mit anderen Personen zu vernetzen, die ihm für die geplante Tätigkeit als hilfreich erschienen. Mit ChatGPT erzeugte er einen passenden Lebenslauf. Er gab darin vor, 14 Jahre als Lehrer gearbeitet zu haben und anschließend vier Jahre im IT-Vertrieb. In Wirklichkeit war Moore lange Zeit bei der britischen Kriminalpolizei mit Cybercrime befasst, bevor er in die IT-Sicherheitsbranche einstieg.

Wie leicht sich mit KI und Deepfakes Identitäten und Vertrauen manipulieren lassen, zeigt auch die it-sa 365-Session „Defending Against Adversarial AI & Deepfake Attacks“. Ein früheres Experiment von Moore mit einem übernommenen LinkedIn-Account und einem Deepfake-Video dokumentiert zudem der Beitrag „Freundliche Übernahme – Experte zeigt, wie ihn LinkedIn-Hack und Deepfakes zum Geschäftsführer machen“.

Keine Ahnung? Kein Problem! KI-Agent hilft Jake im Bewerbungsgespräch

Zur Komplettierung seiner neuen Identität benötigte er noch einen Personalausweis, denn häufig werden Bewerber in virtuellen Bewerbungsgesprächen aufgefordert, einen Ausweis vor die Kamera zu halten, um ihre Identität zu bestätigen. Mit Photoshop und ChatGPT entstand in kürzester Zeit das passende gefälschte Dokument. Etwas länger dauerte die Vorbereitung auf fachliche Fragen, denn dafür entwickelte Moore einen Claude-Agenten. Dieser sollte jedes Mal, wenn er eine Frage hörte, drei passende Antworten generieren und anzeigen. So hoffte Moore, ohne besondere jobspezifische Kenntnisse die Bewerbungsgespräche zu bestehen.

Die gesamten Vorbereitungen hatten vier Monate gedauert. Jetzt war er an dem Punkt, an dem er nach passenden Stellenangeboten suchen konnte. Er bewarb sich auf Jobs im IT-Vertrieb und bekam tatsächlich einen Termin für ein Vorstellungsgespräch. Doch plötzlich wurde es ihm zu heikel, denn was er vorhatte, könnte eine Straftat darstellen. Deshalb kontaktierte er den Geschäftsführer und weihte ihn in sein Vorhaben ein. Der hatte großes Interesse an dem Experiment und sicherte Geheimhaltung zu.

Jake hatte sich auf einen Job mit der Bezeichnung „MSP partner development executive“ beworben. Er erhielt eine Einladung zu einem virtuellen Vorstellungsgespräch, bei dem ihm ein IT-Spezialist und eine HR-Mitarbeiterin gegenübersaßen. Befürchtungen, dass sein Schwindel auffliegen könnte, blieben unbegründet. Alles lief gut, obwohl der IT-Fachmann abschließend betonte, wie wichtig Cybersecurity für das Unternehmen sei.

Zu seiner großen Überraschung erhielt Moore am nächsten Tag eine Einladung für eine zweite Vorstellungsrunde. Darin sollte er präsentieren, wie er zum Erfolg des Unternehmens beitragen wolle. Das Konzept dazu ließ er sich von ChatGPT erarbeiten.

Im zweiten Gespräch war zusätzlich noch ein KI-Spezialist anwesend. Moore glaubte, seine Angst müsse für jeden spürbar gewesen sein. Doch seine Präsentation überzeugte und das Gespräch nahm einen erfolgversprechenden Verlauf. Danach wollte er das Experiment abbrechen, schließlich hatte er zeigen können, wie man mit einer komplett virtuellen Identität eine Bewerbung bestreiten kann. Doch ein paar Tage später erhielt er die Bestätigung, dass er den Job bekommen hat, Jahresverdienst GBP 38.000.

Zweiter Versuch als Jackie

Ein Kollege motivierte ihn anschließend, das Experiment in einem zweiten Versuch mit einer gefälschten weiblichen Identität zu wiederholen. Moore nahm die Herausforderung an. Es dauerte abermals vier Monate, ehe die KI hinreichend eingerichtet war. Denn jetzt ging es nicht nur darum, mittels KI das Gesicht auszuwechseln, sondern er musste auch Statur, Stimme, Haare und Verhalten verändern – alles in Echtzeit. Der Aufwand war ungleich höher, denn jetzt waren andere KI-Systeme nötig. Viel Zeit musste er darauf verwenden, aus einer männlichen Stimme eine natürlich klingende weibliche Stimme zu generieren. Besondere Probleme bereiteten die Hände. KI scheine generell mit Händen Schwierigkeiten zu haben, sagt er. Moore entschloss sich deshalb, die Hände während der Online-Gespräche möglichst nicht zu bewegen und sie außerhalb des Bildes zu belassen. Zur Sicherheit würde er außerdem die Auflösung der Videokamera reduzieren. Letztlich entstand Jackie Morris, wie er seine neue Identität nannte.

Entsprechende Social-Media- und LinkedIn-Profile waren schnell erstellt und es folgten ein passender Lebenslauf und ein gefälschter Ausweis. Abermals behauptete er, 14 Jahre als Lehrkraft gearbeitet zu haben und anschließend ein paar Jahre in der IT tätig gewesen zu sein.

Virtuelle Eheschließung sorgt für Vertrauen

Zur Krönung verheiratete er Jackie Morris in den Social-Media-Profilen mit Jack Morris, seiner ersten virtuellen Identität. Um die Glaubwürdigkeit zu steigern, sparte er nicht an Details und erzeugte sogar Fotos von den beiden, wie sie mit ihrem Hund gemeinsam am Strand spazieren gingen. Das postete er bei Instagram. Viele Unternehmen führen bei Bewerbungen Background Checks, also Hintergrundüberprüfungen durch und solche Details erhöhen die Glaubwürdigkeit. Seine Postings erhielten jede Menge Likes, wieder etwas, das die Glaubwürdigkeit erhöht.

Auf Nummer sicher: vorgetäuschte Verbindungsprobleme

Bevor es losging, erfolgten zahlreiche Tests mit seinen Kollegen, um sicherzustellen, dass die neue Identität, insbesondere die Stimme, authentisch wirkte. Sicherheitshalber legte er sich außerdem noch einen „Kill Switch“ zu, damit er notfalls die Verbindung unterbrechen könnte, falls technisch etwas schiefgeht. Dazu nahm er eine kurze Videosequenz mit einem unscharfen Standbild auf, in der er wiederholt fragte, ob er noch zu hören sei und vorgab, selbst nichts mehr zu hören. Dieses Video konnte er auf Knopfdruck einblenden und abspielen, bevor er zur Rettung der Situation abrupt die Verbindung unterbrechen würde.

Dann bewarb er sich, unter anderem auf eine Stelle als „Customer Acquisition and Engagement Specialist“. Es kam wieder zu einem Bewerbungsgespräch, das lief abermals gut und es sollte ein zweites Gespräch mit einem IT-Experten folgen. Er bestand schließlich auch diese Runde. Schließlich wurde ein dritter Interview-Termin angesetzt, in dem es um fachliche Inhalte mit seinen zukünftigen Kollegen gehen sollte. In diesem Gespräch setzte er abermals seinen Claude-Agenten ein – mit Erfolg: auch für diesen Job bekam seine gefälschte Identität Zuschlag.

Fake-Bewerbung erfolgreicher als 261 (reale) Kandidaten

Es habe 262 Bewerbungen auf diese Stelle gegeben, vier Personen seien zum Gespräch eingeladen worden, berichtete Moore, und sein Avatar sei ausgewählt worden. Das zeige, was heute mit KI möglich ist und werfe einen beängstigenden Schatten auf die Zukunft. Im Zeitalter von Deepfakes sieht der nächste Angriff vielleicht nicht wie Malware aus. Er könnte vielmehr als der perfekte Kandidat daher kommen. Die Analysten von Gartner prognostizieren, dass bis 2028 weltweit jedes vierte Bewerberprofil gefälscht sein könnte.

Wie Personalentscheider Fakes enthüllen

In den meisten Personalabteilungen ist man sich solcher Gefahren nicht bewusst. Abhilfe können Awareness-Maßnahmen schaffen. Entsprechende Trainings und Schulungen sind inzwischen für viele Unternehmen bereits unverzichtbar. Zusätzlich hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) auf einer eigenen Seite Gefahren und Gegenmaßnahmen aufgelistet.

Wie Security-Awareness auf KI-gestützte Angriffe reagieren muss, zeigt der it-sa 365-Beitrag „Awareness in Zeiten von KI“.

Vertiefend beleuchten der IT Security Talk „Human Factor & KI Awareness“ und der Beitrag „KI im Unternehmen wird zur Gefahr – Awareness-Schulung unverzichtbar“, wie menschliches Verhalten, KI-Nutzung und gezielte Schulungen zusammenspielen.

Ganz oben auf der Liste des BSI stehen Awareness-Maßnahmen, um Betroffene darin zu schulen, Fälschungen zu erkennen. „Viele Deepfake-Verfahren erzeugen teilweise deutliche Artefakte. Durch die Kenntnis dieser Artefakte kann die Erkennung von Fälschungen signifikant gesteigert werden“, schreibt das BSI. Typische Artefakte seien:

Sichtbare Übergänge am Gesichtsrand
Scharfe Konturen, etwa von Zähnen, wirken verwaschen
Begrenzte Mimik
Unstimmige Belichtung
Das Drehen des Kopfes führt zu Bildfehlern
Metallisch klingende Stimme, unnatürliche Geräusche
Falsche Aussprache bestimmter Wörter
Ungewöhnliche Sprachmelodie

Jake Moore weist auf einer ESET-Webseite auf weitere Auffälligkeiten hin:

Übermäßig glatte Hauttexturen
Gesichtsanomalien wie schief stehende Augen, verzerrte Zähne oder ungewöhnliche Blinzelmuster
Lippensynchronisationsfehler, das heißt: Stimme und Mundbewegungen stimmen nicht überein

Bei Bewerbungsverfahren ist vor allem eines wichtig: Es sollte unbedingt ein persönliches Treffen anberaumt werden. Ist das nicht möglich, beispielsweise aufgrund großer räumlicher Distanz, können vertrauenswürdige Dritte die Identität der Person verifizieren. Außerdem sollten alle genannten Angaben überprüft werden.

it-sa Expo&Congress 2026: Cybersecurity live erleben

Deepfakes, KI-Angriffe, Awareness und Identity Security gehören zu den Themen, die die Branche aktuell bewegen. Vom 27. bis 29. Oktober 2026 trifft sich die IT-Security-Community auf der it-sa Expo&Congress im Messezentrum Nürnberg. Nutzen Sie die Gelegenheit für Fachvorträge, Lösungen und persönlichen Austausch mit Experten aus der Cybersecurity.
Jetzt Ticket für die it-sa Expo&Congress 2026 kaufen