Fake-Bewerbungen mit Schadsoftware: Wenn der Lebenslauf zur Ransomware wird

Woran erkennst du sie?

• Bewerbungsschreiben in einwandfreiem Deutsch, oft passend zu einer echten, aktuell geschalteten Stellenanzeige formuliert
• Lebenslauf und Zeugnisse werden nicht direkt angehängt, sondern über einen Link zu einem Cloud-Speicher wie Dropbox zum Download angeboten
• Heruntergeladene Datei trägt einen unauffälligen Namen wie "Lebenslauf.pdf", ist bei genauer Prüfung der Dateiendung aber tatsächlich eine ausführbare Datei
• Nach dem Öffnen beginnen intensive Festplattenaktivitäten, gefolgt von einer Ransomware-Verschlüsselung des Rechners und verbundener Netzlaufwerke
• Absendername, Betreffzeile und angehängtes Bewerbungsfoto wechseln regelmäßig, um Spam- und Sicherheitsfilter zu umgehen

Was dazu belegt ist

Inlands- und Auslandstaten zusammen erfasste das Bundeskriminalamt für 2025 333.922 Cybercrime-Fälle, 0,2 Prozent mehr als 2024. Von einem hohen Dunkelfeld geht das Amt weiterhin aus. Quelle: Bundeskriminalamt, Bundeslagebild Cybercrime 2025

Die Verbraucherzentrale Nordrhein-Westfalen verzeichnete 2025 in Deutschland 382.470 Phishing-Mails. Das sind rund 10 Prozent weniger als 2024, das Niveau bleibt damit hoch. Quelle: Bundeskriminalamt, Bundeslagebild Cybercrime 2025

Das Ausspähen und Abfangen von Daten einschließlich Datenhehlerei kam 2025 auf 9.403 Fälle, aufgeklärt wurden davon 22,9 Prozent. Quelle: Bundeskriminalamt, Polizeiliche Kriminalstatistik 2025

Typischer Ablauf

1. Kriminelle greifen aktuell veröffentlichte Stellenanzeigen auf oder verschicken die Fake-Bewerbung breit gestreut an Firmen-E-Mail-Postfächer
2. Eine gut formulierte Bewerbungsmail mit Foto und Verweis auf Lebenslauf und Arbeitszeugnisse, oft per Cloud-Link, landet im Postfach der Personalabteilung
3. Mitarbeitende öffnen die Bewerbungsunterlagen, da Anhänge unbekannter Absender im Bewerbungskontext als normal gelten
4. Die heruntergeladene Datei ist tatsächlich eine ausführbare Datei, die im Hintergrund Ransomware installiert
5. Dateien auf dem Rechner und verbundenen Netzlaufwerken werden verschlüsselt, anschließend folgt eine Lösegeldforderung
6. Der Geschäftsbetrieb ist bis zur Bereinigung der Systeme und Wiederherstellung aus Backups eingeschränkt oder vollständig lahmgelegt

Typische Formulierungen der Täter

Sinngemäß wiedergegeben, keine wörtlichen Originalzitate.

• "Da ich auf der Suche nach einer neuen beruflichen Herausforderung bin, möchte ich mich hiermit bei Ihnen um eine Stelle bewerben ..."
• "Die vollständige Bewerbungsmappe habe ich in meine Dropbox geladen, weil die Datei für die E-Mail zu groß war - entschuldigen Sie bitte."