Ausländische Nachrichtendienste nutzen gezielt Stellenausschreibungen, um Personal in Unternehmen einzuschleusen. Davor warnen das deutsche Bundesamt für Verfassungsschutz (BfV) und die österreichische Direktion Staatsschutz und Nachrichtendienst (DSN), die im Juni 2026 einen eigenen Sensibilisierungsbericht zu Spionen im Bewerbungsprozess veröffentlicht hat. Betroffen sind laut DSN grundsätzlich alle Branchen, besonders gefährdet sind Softwareentwicklung, IT-Dienstleister, Telekommunikation, Halbleiter, Sensorik, Drohnen- und Metalltechnik. Für Personalabteilungen in Deutschland stellt sich damit die Frage, wie weit sie Bewerber überprüfen dürfen.

Wie gehen die Täter vor?

Die Behörden beschreiben unterschiedliche Muster. Nordkoreanische IT-Kräfte bewerben sich laut DSN mit aufwendig gefälschten, zunehmend mit KI erstellten Identitäten auf reine Remote-Stellen, oft über Freelance-Plattformen. Sie lassen sich Firmenlaptops schicken, die in konspirativen Wohnungen betrieben und aus dem Ausland ferngesteuert werden; der Lohn fließt an den Staat, nebenbei werden Daten abgezogen. Das BfV hatte bereits 2024 in einem Sicherheitshinweis gewarnt, dass auch deutsche Firmen schon solche Kräfte beauftragt hatten, und auf Sanktions- und Reputationsrisiken hingewiesen. Andere Staaten setzen nach Darstellung der DSN eher auf wissenschaftliches Personal oder auf Beschäftigte, die über Familienangehörige im Herkunftsland unter Druck gesetzt werden.

Lesen Sie auch Deutschkenntnisse in der Stellenanzeige: Welche Sprachanforderungen das AGG erlaubt

Welche Warnsignale nennen die Behörden?

  • Lebensläufe, die sich online nicht verifizieren lassen, oder Abschlüsse von Hochschulen mit militärischem Hintergrund
  • auffällig perfekte Eignung oder deutliche Überqualifikation
  • der Wunsch nach ausschließlicher Remote-Arbeit, im Video-Interview abgelesene Antworten, lange Pausen, ausweichende Blicke
  • nach der Einstellung: Arbeit vor allem nachts und am Wochenende, Zugriffe auf Daten, die für die Aufgabe nicht nötig sind, Homeoffice über lange Zeit im Ausland

Was Arbeitgeber in Deutschland prüfen dürfen

Die Empfehlungen der Behörden lassen sich nicht eins zu eins übernehmen; sie müssen in das deutsche Bewerberrecht übersetzt werden:

Jeden Morgen um 6 Uhr das Wichtigste für Personaler: kostenloser Newsletter →

  • Identität: Einen amtlichen Ausweis im Original zu sehen, ist zulässig und für die Vertragsanbahnung erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Bei Staatsangehörigen außerhalb der EU muss der Arbeitgeber ohnehin den Aufenthaltstitel prüfen und eine Kopie aufbewahren (§ 4a Abs. 5 Aufenthaltsgesetz). Ein persönliches Treffen vor der Einstellung, wie es die DSN empfiehlt, ist rechtlich unproblematisch.
  • Lebenslauf und Zeugnisse: Nachfragen zu Stationen, Abschlüssen und Arbeitsproben sind erlaubt, soweit sie die Eignung betreffen. Referenzen dürfen nur mit Einverständnis des Bewerbers eingeholt werden. Wo die Grenzen des Fragerechts liegen, erklärt unser Beitrag zu Lücken und verschwiegenen Jobs im Lebenslauf.
  • Führungszeugnis: Nur wenn die Stelle es sachlich rechtfertigt, etwa bei Zugang zu besonders schützenswerten Daten oder Werten – nicht pauschal.
  • Sicherheitsüberprüfung: Eine staatliche Überprüfung nach dem Sicherheitsüberprüfungsgesetz (SÜG) gibt es nur für sicherheitsempfindliche Tätigkeiten, etwa mit Zugang zu Verschlusssachen oder in lebens- und verteidigungswichtigen Einrichtungen. Ein Unternehmen kann sie nicht für beliebige Stellen anfordern.

Wo die Grenze verläuft

Der österreichische Bericht empfiehlt, bei Doppelstaatsbürgern ein erhöhtes Risiko zu berücksichtigen. In Deutschland ist hier Vorsicht geboten: Wer Bewerber wegen Herkunft oder Staatsangehörigkeit aussortiert, riskiert eine Benachteiligung wegen der ethnischen Herkunft nach §§ 1, 7 Allgemeines Gleichbehandlungsgesetz (AGG). Abgelehnte Bewerber können dann eine Entschädigung verlangen, bis zu drei Monatsgehälter, wenn sie auch bei fairer Auswahl nicht eingestellt worden wären (§ 15 Abs. 2 AGG). Zulässig sind Prüfungen, die alle Bewerber für eine Stelle gleichermaßen durchlaufen und die an der Sensibilität der Aufgabe ansetzen, nicht an der Person. Gibt es einen Betriebsrat, ist ein standardisierter Prüfkatalog als Personalfragebogen oder Auswahlrichtlinie mitbestimmungspflichtig (§§ 94, 95 BetrVG).

Was Arbeitgeber jetzt wissen sollten

  • Stellen nach Risiko einstufen: Für Funktionen mit Zugang zu Quellcode, Forschungsdaten oder Administratorrechten ein festes, für alle gleiches Prüfprogramm festlegen – Ausweis im Original, Arbeitsprobe, mindestens ein Gespräch vor Ort.
  • Firmengeräte nur an eine überprüfte Wohnadresse senden und Fernzugriffe aus ungewöhnlichen Ländern technisch melden lassen; Protokollierung mit dem Betriebsrat regeln.
  • Zugriffe nach dem Need-to-know-Prinzip vergeben, auch in der Probezeit.
  • Bewerberdaten aus der Prüfung nicht länger speichern als nötig; die Fristen fasst unser Beitrag zu Speicherfristen für Bewerberdaten zusammen.
  • Verdachtsfälle nicht selbst ermitteln, sondern den Wirtschaftsschutz des Verfassungsschutzes einschalten. Wie Angreifer umgekehrt Bewerbungsgespräche für Cyberangriffe nutzen, zeigt unser Beitrag zum fingierten Vorstellungsgespräch.