Die Kryptobörse Binance hat am 3. November 2026 einen Angriff, bei dem Kryptowährungen im Wert von rund 6,3 Milliarden US-Dollar abflossen, unter anderem auf ein fingiertes Vorstellungsgespräch zurückgeführt. Ein Entwickler, der sich nach einem neuen Job umsah, lud dabei schädlichen Code auf seinen Rechner. Das FBI macht nordkoreanische Hacker verantwortlich, Pjöngjang weist das zurück. Für Personalabteilungen außerhalb der Kryptobranche ist der Fall lehrreich, weil er zeigt: Die Scheinbewerbung funktioniert, weil sie aussieht wie ein normaler Bewerbungsprozess. Genau den kennt HR am besten.

Wie lief der Angriff ab?

Nach der Darstellung von Binance, über die Fortune, NBC News und WirtschaftsWoche berichten, erstreckte er sich über fünf Monate:

Lesen Sie auch Active Sourcing über LinkedIn und Xing: Was datenschutzrechtlich gilt

  • Juni: Ein Beschäftigter aus dem Wallet-Team installierte ein manipuliertes Entwicklerwerkzeug. Binance bemerkte das und tauschte Gerät und Zugangsdaten aus. Die Angreifer kannten da aber bereits Rollen und Namen im Team.
  • September: Ein zweiter Entwickler wurde laut Fortune über LinkedIn von einem angeblichen „Project Director“ angesprochen. Es folgten ein Gespräch mit einer angeblichen Personalkraft und eines mit dem Chef einer erfundenen Firma. Dann sollte er eine Aufgabe herunterladen.
  • 20. Oktober: Über den befallenen Rechner und ein internes KI-Werkzeug verschafften sich die Angreifer Zugriff auf weitere Konten.
  • 29. Oktober: Mit gestohlenen Zugangsdaten und einem Skript begann der eigentliche Abfluss.

Binance will geschädigte Kunden entschädigen und schrieb, das hätte nicht passieren dürfen. Zwei Tage vor dem Abfluss hatte das Unternehmen noch gemeldet, Angriffe dieser Art abgewehrt zu haben. Alle Angaben stammen bislang weitgehend vom betroffenen Unternehmen und können sich noch ändern.

Jeden Morgen um 6 Uhr das Wichtigste für Personaler: kostenloser Newsletter →

Betrifft das auch normale Unternehmen?

Deutsche Sicherheitsbehörden sehen das Muster nicht als Kryptoproblem allein. Laut einem Bericht des Fachmediums CIO vom September 2026 warnten Bundesamt für Verfassungsschutz und Bundesnachrichtendienst gemeinsam mit Partnerdiensten arbeitssuchende IT-Fachleute vor der in der Fachwelt „Contagious Interview“ genannten Kampagne: Kontakt über soziale Medien und Jobbörsen, angebliche Firmen aus KI und Krypto, dann eine Datei für eine Aufgabe. Das Originaldokument haben wir nicht gelesen. Schon 2024 hatte der Verfassungsschutz vor der umgekehrten Variante gewarnt: nordkoreanische IT-Kräfte, die sich unter falscher Identität als Freelancer bewerben.

Für HR ergeben sich damit drei getrennte Risiken, die im Alltag oft vermischt werden:

  1. Eigene Beschäftigte als Ziel: Wer Zugriff auf kritische Systeme hat und wechselbereit ist, wird angesprochen.
  2. Eigene Marke als Tarnung: Im Binance-Fall war die Firma erfunden. Nach unserer Einschätzung lässt sich dieselbe Masche aber auch mit den Namen echter Firmen und Recruiter betreiben.
  3. Falsche Bewerber im eigenen Prozess: Das betrifft vor allem Remote-Stellen in der IT. Auffällig sind laut dem CIO-Bericht unter anderem Ausreden gegen ein persönliches Treffen und Bezahlwünsche in Kryptowährung. Die Grenzen der Prüfung beschreibt unser Beitrag zu geschönten Lebensläufen.

Was darf der Arbeitgeber regeln, und was nicht?

Sich nach einem anderen Job umzusehen, ist für sich genommen kein Pflichtverstoß. Ein Verbot wäre weder durchsetzbar noch sinnvoll, zumal Beschäftigte eine Warnung dann eher verschweigen. Regeln lassen sich aber an anderer Stelle ansetzen, nämlich bei Geräten, Software und Zugängen.

  • Regeln für Geräte: Fremden Code und private Programme vom Dienstrechner fernzuhalten, ist als Sicherheitsvorgabe gut begründbar. Ob die Aufgabe bei Binance auf einem Dienstgerät geöffnet wurde, geht aus den von uns gelesenen Berichten nicht eindeutig hervor; sie sprechen von „seinem Computer“ beziehungsweise Laptop.
  • Überwachung nur mit Beteiligung: Technische Einrichtungen, die Verhalten oder Leistung überwachen können, sind nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz mitbestimmungspflichtig. Hinzu kommt der Beschäftigtendatenschutz. Private Jobsuche auszuwerten, wäre ein falscher Ansatz.
  • Profilregeln mit Vorsicht: Laut Fortune verbietet Binance Beschäftigten in nicht öffentlichen Rollen LinkedIn-Profile; ob das hier verletzt wurde, blieb offen. In Deutschland greift so etwas in die private Lebensführung ein. Vertretbar erscheint eher, bei sensiblen Rollen darum zu bitten, Zuständigkeiten und Systemnamen nicht zu nennen. Das sollte rechtlich und mit dem Betriebsrat geklärt werden.
  • Keine Schuldkultur: Wer auf einen gut gemachten Angriff hereinfällt, ist nicht automatisch ein Fall für die Abmahnung. Entscheidend sind die Regeln im Einzelfall. Wer Sanktionen fürchtet, meldet später, und in diesem Fall vergingen zwischen Infektion und Abfluss Wochen.

Was Arbeitgeber jetzt wissen sollten

  • Eigene Prozesse öffentlich beschreiben: Auf der Karriereseite klar sagen, über welche Absenderadressen die Firma schreibt und dass sie keine Programme zum Ausführen auf privaten Rechnern verschickt. Das schützt Bewerber und die eigene Marke.
  • Eigene Testaufgaben überprüfen: Wer Bewerbern selbst Code-Repositorys zum lokalen Ausführen schickt, erzieht zu genau dem Verhalten, das Angreifer nutzen. Geschützte Browser-Umgebungen sind die bessere Lösung.
  • Meldeweg für Abwerbeversuche: Eine anonyme, sanktionsfreie Adresse für verdächtige Anfragen einrichten, ohne dass jemand die eigene Wechselabsicht offenlegen muss. Bei echten Ansprachen über Plattformen gelten zudem die Regeln zum Active Sourcing über LinkedIn und Xing.
  • Schulung gezielt ansetzen: Entwickler, Administratoren und Personaler zuerst. Das Beispiel eignet sich, weil es den Ablauf konkret zeigt.
  • KI-Werkzeuge mitdenken: Hier diente laut Binance ein internes Tool als Weg zu weiteren Konten. Eine KI-Nutzungsrichtlinie sollte festlegen, welche Tools zugelassen sind und worauf sie zugreifen dürfen.
  • Offboarding und Berechtigungen: Zugänge nach Bedarf vergeben und bei Rollenwechsel entziehen. HR kennt den Wechsel meist zuerst und sollte die IT verlässlich informieren.

Die Hinweise ersetzen keine Sicherheits- oder Rechtsberatung. Die Einordnung der arbeitsrechtlichen Fragen ist unsere eigene; zum Binance-Fall selbst gibt es dazu keine Aussagen.