RGB

Zuletzt aktualisiert: 25. Oktober 2026 · Von Klaus Weber · Mit Quellen belegt

Das Reconnaissance General Bureau (RGB), auf Deutsch etwa Aufklärungshauptverwaltung, gilt als wichtigster nordkoreanischer Geheimdienst für Auslandsaufklärung und verdeckte Operationen. Die Sanktionsliste des UN-Sicherheitsrats beschreibt es als führende Nachrichtendienstorganisation Nordkoreas, entstanden Anfang 2009 durch eine Zusammenlegung.^[1] Bekannt wurde das RGB vor allem durch Cyberangriffe, die Regierungen und UN-Experten ihm zuordnen. Viele dieser Angriffe werden unter dem Namen „Lazarus-Gruppe“ zusammengefasst.^[2][3]

Wie entstand das RGB?

Laut UN-Sanktionsliste entstand das RGB Anfang 2009. Zusammengelegt wurden zwei Stellen der Partei der Arbeit Koreas, die Operationsabteilung und das „Büro 35“, sowie die Aufklärungsabteilung der Koreanischen Volksarmee.^[1] Damit kamen Partei- und Militärdienste mit Aufgaben im Ausland und gegenüber Südkorea unter einem Dach zusammen.

Die UN-Liste nennt zusätzlich den Decknamen „KPA Unit 586“, also eine Einheit der Volksarmee. Sie verzeichnet zwei Adressen in Pjöngjang. Außerdem heißt es dort, das RGB handle mit konventionellen Waffen und kontrolliere die Rüstungsfirma Green Pine Associated Corporation.^[1] Das US-Finanzministerium nennt das RGB den wichtigsten Nachrichtendienst Nordkoreas.^[3]

Wem das RGB im Einzelnen untersteht, lässt sich mit öffentlich zugänglichen, belastbaren Quellen nur schwer belegen. Der Deckname spricht für eine Einordnung beim Militär. Eine verlässliche, aktuelle Darstellung der Befehlskette fehlt. Das Porträt verzichtet deshalb auf genauere Angaben.

Neuere Entwicklung: Im Juli 2026 meldete die staatliche Nachrichtenagentur KCNA, die Zentrale Militärkommission der Partei habe eine Ausweitung der Aufgaben des Dienstes beschlossen. Dabei verwendete KCNA eine neue englische Bezeichnung: General Reconnaissance and Intelligence Bureau. Das südkoreanische Vereinigungsministerium gab an, der neue Name sei erstmals im September 2025 öffentlich aufgetaucht. Südkoreanische Medien werten ihn als Erweiterung des bisherigen RGB.^[15] Ob es sich nur um eine Umbenennung oder um eine größere Umgliederung handelt, ist offen.

Was ist die Lazarus-Gruppe?

„Lazarus-Gruppe“ ist keine Behördenbezeichnung aus Pjöngjang. Der Name stammt aus der IT-Sicherheitsbranche und wird für eine Reihe von Cyberangriffen verwendet. Das US-Finanzministerium verhängte im September 2019 Sanktionen gegen Lazarus und die Untergruppen Bluenoroff und Andariel. Nach seiner Darstellung kontrolliert das RGB diese Gruppen. Lazarus unterstehe dem „110. Forschungszentrum“ im 3. Büro des RGB.^[3]

Die US-Justiz beschreibt drei angeklagte Nordkoreaner als Angehörige von RGB-Einheiten, die in Fachkreisen unter anderem als Lazarus Group und APT38 bekannt seien.^[4] Auch das Bundesamt für Verfassungsschutz (BfV) spricht von einer „sehr wahrscheinlich durch den nordkoreanischen Staat gesteuerten“ Gruppierung Lazarus.^[9]

Die Bezeichnung ist allerdings unscharf. Das Sicherheitsunternehmen Mandiant schrieb 2022, öffentliche Berichte nutzten „Lazarus“ oft als Sammelbegriff für zahlreiche nordkoreanische Akteure.^[13] Die Wissensdatenbank MITRE ATT&CK weist darauf hin, dass sich diese Gruppen Personal, Infrastruktur und Schadsoftware teilen.^[14] Wer „Lazarus“ liest, sollte deshalb bedenken: Gemeint ist eine Zuschreibung, keine fest umrissene Einheit.

Welche Angriffe werden dem RGB zugeschrieben?

Im Februar 2021 veröffentlichte das US-Justizministerium eine Anklage gegen drei Nordkoreaner. Einer der drei war bereits in einer im September 2018 veröffentlichten Strafanzeige beschuldigt worden. Die Anklage nennt den Angriff auf Sony Pictures im November 2014, die Erpressungssoftware WannaCry 2.0 im Mai 2017 und Angriffe auf Banken in mehreren Ländern. Insgesamt geht es um versuchten Diebstahl und Erpressung von mehr als 1,3 Milliarden US-Dollar. Für die Angeklagten gilt die Unschuldsvermutung.^[4]

Ein zweiter Schwerpunkt sind Kryptowährungen. Das UN-Expertenpanel zum Sanktionsausschuss 1718 schätzte 2019 die Einnahmen aus solchen Angriffen auf bis zu zwei Milliarden US-Dollar.^[2] Im April 2022 warnten FBI, CISA und das US-Finanzministerium vor gefälschten Krypto-Programmen, die sie unter dem Namen „TraderTraitor“ führen.^[6] Im Februar 2025 schrieb das FBI den Diebstahl von rund 1,5 Milliarden US-Dollar bei der Kryptobörse Bybit Nordkorea zu.^[5] Das BfV beziffert die Beute auf über 1,4 Milliarden US-Dollar und nennt den Fall den bisher größten Kryptodiebstahl.^[11]

Wer beobachtet die Sanktionsverstöße?

Lange übernahm das UN-Expertenpanel diese Aufgabe, eingerichtet nach Resolution 1874 aus dem Jahr 2009.^[2] Am 28. März 2024 blockierte Russland mit einem Veto die Verlängerung des Mandats.^[7] Daraufhin gründeten elf Staaten im Oktober 2024 das Multilateral Sanctions Monitoring Team (MSMT), darunter Deutschland, die USA, Japan und Südkorea. Sein zweiter Bericht vom 22. Oktober 2025 behandelt Kryptodiebstahl, verdeckte IT-Arbeit und Cyberspionage. Die beteiligten Staaten nennen dabei ausdrücklich das RGB.^[8] Das MSMT ist kein UN-Gremium, sondern ein Zusammenschluss dieser Staaten.

Auch in Deutschland ist das Thema angekommen. 2024 warnten BfV und der südkoreanische Dienst NIS gemeinsam vor Angriffen auf die Rüstungsbranche.^[9] Im Oktober 2024 folgte ein BfV-Hinweis zu nordkoreanischen IT-Fachkräften, die sich mit falscher Identität als Freiberufler anstellen lassen.^[10] Im September 2026 veröffentlichten BfV, BND, FBI und weitere Partner einen Hinweis zur Devisenbeschaffung durch Cyberangriffe. Danach waren deutsche Unternehmen und Privatpersonen mehrfach betroffen.^[12]

Einordnung: Wie ordnen Staaten Cyberangriffe zu?

Bei einem Cyberangriff ist der Täter selten sichtbar. Das BfV nennt die Zuordnung, die sogenannte Attribution, eine der größten Herausforderungen. Angreifer verschleiern ihre Herkunft, etwa mit falschen IP-Adressen, und legen mitunter bewusst falsche Fährten.^[11]

Nach Darstellung des BfV kombinieren Dienste daher mehrere Ebenen: die technische Analyse von Schadsoftware und Datenverkehr, strategische Hinweise wie Motive und politische Lage, offene Quellen, eigene operative Maßnahmen und den Austausch mit Partnerdiensten.^[11] Das UN-Expertenpanel stützte sich auf Angaben von Mitgliedstaaten und offene Quellen. Es bezeichnete Ermittlung und Zuordnung ausdrücklich als komplex.^[2]

Daraus folgen drei Grenzen. Erstens bleiben die eigentlichen Belege oft geheim, weil Quellen geschützt werden sollen. Öffentlich sichtbar ist dann das Ergebnis, nicht der Beweisweg. Zweitens arbeiten Behörden mit Wahrscheinlichkeiten, das BfV etwa mit „sehr wahrscheinlich“.^[9] Drittens ist eine Anklage kein Urteil: Die Beschuldigten im US-Verfahren gelten als unschuldig, solange sie nicht verurteilt sind.^[4] Im Fall Nordkoreas kommen ähnliche Zuschreibungen allerdings von mehreren Regierungen, Ermittlungsbehörden und dem UN-Panel. Das gibt ihnen mehr Gewicht als einer einzelnen Behauptung, ersetzt aber keine öffentliche Beweisführung. Wie solche Informationen entstehen, erklären die Beiträge zu OSINT und Spionage.

Welche anderen Sicherheitsorgane gibt es?

Das RGB ist nicht der einzige Sicherheitsapparat Nordkoreas. Nach Einschätzung von Mandiant ist das Ministerium für Staatssicherheit vor allem für Spionageabwehr zuständig. Im Cyberbereich spielt es nach dieser Einschätzung nur eine begrenzte Rolle.^[13] Es ist nicht zu verwechseln mit dem gleichnamigen chinesischen Ministerium, dem MSS.

Häufige Fragen

Ist die Lazarus-Gruppe dasselbe wie das RGB?

Nicht genau. Die USA ordnen Lazarus einer Einheit innerhalb des RGB zu.^[3] Der Name wird aber oft als Sammelbegriff für mehrere nordkoreanische Gruppen benutzt.^[13][14]

Warum stiehlt Nordkorea Kryptowährung?

Nach Angaben des BfV dient sie vor allem der Finanzierung des Regimes und der Umgehung von Sanktionen. Ein Teil fließe in das Raketenprogramm.^[11] Das UN-Panel verbindet die Einnahmen mit den Programmen für Massenvernichtungswaffen.^[2]

Wer leitet das RGB?

Eine verlässliche, aktuelle und datierte Quelle zur Leitung liegt nicht vor. Deshalb wird hier kein Name genannt.

Weitere Dienste der Region finden Sie im Porträt des südkoreanischen NIS. Wie Nachrichtendienste grundsätzlich vorgehen, erklärt der Beitrag Wie Nachrichtendienste arbeiten.

Zum Weiterlesen

i Affiliate-Links: Wenn Sie über diese Links bei Amazon kaufen, erhalte ich eine kleine Provision; der Preis bleibt für Sie gleich. Als Amazon-Partner verdiene ich an qualifizierten Verkäufen.

Quellen

1. UN-Sicherheitsrat: Consolidated United Nations Security Council Sanctions List, Eintrag KPe.031 Reconnaissance General Bureau. Offizielle Sanktionsliste; Entstehung 2009, Decknamen, Adressen, Listungsdatum 2.3.2016. Abgerufen am 25.10.2026.
2. UN-Sicherheitsrat, Expertenpanel nach Resolution 1874 (2009): Midterm report, S/2019/691. Bericht vom 30.8.2019; Zusammenfassung und Abschnitt zu Cyberangriffen ausgewertet. Abgerufen am 25.10.2026.
3. US-Finanzministerium: Treasury Sanctions North Korean State-Sponsored Malicious Cyber Groups. Pressemitteilung vom 13.9.2019 zu Lazarus, Bluenoroff und Andariel. Abgerufen am 25.10.2026.
4. U.S. Secret Service (Wiedergabe der Mitteilung des US-Justizministeriums): 3 North Korean Military Hackers Indicted in Wide-Ranging Scheme to Commit Cyber-attacks and Financial Crimes Across the Globe. Mitteilung vom 17.2.2021 zur Anklage in Los Angeles. Abgerufen am 25.10.2026.
5. FBI (Internet Crime Complaint Center): North Korea Responsible for $1.5 Billion Bybit Hack, Alert I-022625-PSA. Öffentliche Warnung vom 26.2.2025. Abgerufen am 25.10.2026.
6. CISA, FBI und US-Finanzministerium: TraderTraitor: North Korean State-Sponsored APT Targets Blockchain Companies, AA22-108A. Gemeinsame Warnung vom 18.4.2022. Abgerufen am 25.10.2026.
7. Delegation der EU bei den Vereinten Nationen: EU Statement on the veto by the Russian Federation in the UN Security Council against the extension of the mandate of the DPRK sanctions Panel of Experts. Erklärung vom 28.3.2024. Abgerufen am 25.10.2026.
8. Regierung der Niederlande: Joint Statement of the Multilateral Sanctions Monitoring Team on the Report Covering DPRK Cyber and IT Worker Activities. Gemeinsame Erklärung der elf MSMT-Staaten vom 22.10.2025. Abgerufen am 25.10.2026.
9. Bundesamt für Verfassungsschutz: Nordkoreanische Gruppierung LAZARUS – Sicherheitshinweis zu Cyberspionageaktivitäten. Gemeinsamer Hinweis mit dem NIS vom 19.2.2024. Abgerufen am 25.10.2026.
10. Bundesamt für Verfassungsschutz: Sicherheitshinweis für die Wirtschaft 02/2024: Nordkoreanische IT-Worker. Hinweis vom Oktober 2024. Abgerufen am 25.10.2026.
11. Bundesamt für Verfassungsschutz: Cyberangriffe. Gefahren, Risiken und Schutz vor staatlich gesteuerten Attacken. Broschüre, Februar 2026; Abschnitte 3.4 (Nordkorea) und 4.2 (Zuordnung) ausgewertet. Abgerufen am 25.10.2026.
12. Bundesamt für Verfassungsschutz: Internationaler Sicherheitshinweis: Illegale Devisenbeschaffung durch nordkoreanische Cyberaktivitäten. Meldung vom 18.9.2026. Abgerufen am 25.10.2026.
13. Mandiant (Google Cloud): Not So Lazarus: Mapping DPRK Cyber Threat Groups to Government Organizations. Analyse eines Sicherheitsunternehmens vom 23.3.2022; ausdrücklich als Einschätzung formuliert. Abgerufen am 25.10.2026.
14. MITRE ATT&CK: Lazarus Group (G0032). Fachliche Wissensdatenbank; Beschreibung und Hinweis zum Sammelbegriff. Abgerufen am 25.10.2026.
15. Korea JoongAng Daily: North Korea to expand intelligence agency’s role against ‚potential enemies‘. Bericht vom 10.7.2026 über die KCNA-Meldung; ergänzend The Korea Herald vom selben Tag (Artikel) mit der Angabe des Vereinigungsministeriums. Abgerufen am 25.10.2026.