Sicherheitsstrategien
Security ohne Akzeptanz: Warum Kontrolle allein nicht vor Risiken schützt
Wenn Sicherheitsvorgaben umgangen werden: Der unterschätzte Faktor Mensch
Gastbeitrag von Andrea Pfundmeier, Managing Director Dropbox Germany & Senior Group Product Manager
Eine Sicherheitsstrategie kann technisch noch so ausgereift sein – erschwert sie den Arbeitsalltag, wird sie früher oder später umgangen. Genau dann entstehen Schatten-IT, unkontrollierte Datentransfers und blinde Flecken, obwohl Unternehmen formal über umfassende Schutzmechanismen verfügen. Wirkungsvolle Security entscheidet sich deshalb nicht allein an Richtlinien, Zertifizierungen oder Kontrollfunktionen, sondern vor allem daran, wie reibungslos sie sich in die täglichen Arbeitsprozesse integrieren lässt.
Andrea Pfundmeier zeigt in ihrem Gastbeitrag, warum das alltägliche Nutzerverhalten zu einem zentralen Sicherheitsfaktor geworden ist und weshalb Unternehmen Produktivität und Schutz nicht länger als Gegensätze behandeln dürfen.
Sicherheit entscheidet sich im Arbeitsalltag
Die meisten Strategien und Lösungen werden mit einem klaren Adressaten entwickelt: dem CISO oder CTO.
Sie überzeugen durch Features, Zertifizierungen und Kontrollmöglichkeiten. Auf dem Papier sind sie oft exzellent.
Allerdings finden Menschen, die täglich mit diesen Systemen und Tools arbeiten müssen, in diesem Prozess selten Gehör. Und genau hier entsteht das Problem: Sicherheit ist nicht das, was implementiert wird. Sicherheit ist das, was tatsächlich in den Arbeitsalltag integriert ist.
Die eigentliche Bedrohung sitzt im alltäglichen Nutzerverhalten
Unternehmen denken bei Sicherheitsrisiken oft zuerst an externe Angriffe wie Ransomware, Phishing oder gezielte Cyberattacken. Diese Gefahren sind real, überdecken jedoch eine andere, Schwachstelle: den alltäglichen Umgang mit Technologie innerhalb der Organisation. Sicherheitslücken entstehen nicht immer durch spektakuläre Angriffe von außen, sondern durch unscheinbare Entscheidungen im Arbeitsalltag. Etwa wenn eine Datei schnell über einen privaten Link geteilt, ein Dokument in ein externes Tool kopiert oder ein Prozess „ausnahmsweise“ außerhalb der vorgesehenen Systeme abgewickelt wird.
Besonders riskant wird dieses Verhalten in geschäftskritischen Prozessen wie Vertragsfreigaben oder Unterzeichnungen. Wenn Dokumente per E-Mail, als lokal gespeicherte PDFs oder über inoffizielle Tools ausgetauscht werden, entstehen blinde Flecken – ohne klare Nachvollziehbarkeit, ohne zentrale Kontrolle und ohne integrierte Sicherheitsmechanismen.
Solche Handlungen sind nur selten böswillig; sie verfolgen in der Regel ein legitimes Ziel, nämlich effizient zu arbeiten. Genau deshalb sind Tools, die den Arbeitsablauf erschweren, hier abträglich. Wer Sicherheit gegen Produktivität ausspielt, riskiert am Ende beides.
Wenn Sicherheitsmaßnahmen zu Reibungen führen, entstehen Risiken
Ein häufiger Reflex in Unternehmen ist klar: Wenn Risiken steigen, müssen Kontrollen verschärft werden. Mehr Regeln. Mehr Freigabeschleifen, mehr Schritte, die zu befolgen sind und damit mehr Reibungsverluste verursachen.
Kurzfristig erhöht das tatsächlich die formale Sicherheit. Langfristig kann es jedoch zu einem gegenteiligen Effekt führen: Die Kluft zwischen offiziellen Prozessen und tatsächlichem Verhalten wächst. Mitarbeitende entwickeln Workarounds, bauen Schattenprozesse auf und nutzen Tools außerhalb der kontrollierten Umgebung. Es entstehen „Shadow Workflows“ – und genau dort entstehen die größten Risiken: ohne Transparenz, ohne Governance, ohne Kontrolle.
Dieses Muster zeigt sich aktuell besonders deutlich im Kontext von KI. Doch es ist keineswegs neu. Schatten-IT wird zu Schatten-KI und zu Schattenprozessen entlang zentraler Geschäftsabläufe.
Sicherheit entsteht nicht durch Kontrolle, sondern durch Nutzung
Die entscheidende Frage lautet heute nicht mehr, wie man die Kontrolle über die Mitarbeitenden verstärken kann, sondern wie man sichere Produkte und Arbeitsabläufe gestaltet, die die Menschen auch tatsächlich nutzen, ohne dabei unnötige Reibungsverluste zu verursachen. Genau dafür braucht es einen grundlegenden Perspektivwechsel. Security sollte nicht als eine Kontrollebene betrachtet werden, die am Ende eines Prozesses hinzugefügt wird. Stattdessen gehört sie von Anfang an in das Design von Produkten, Prozessen und Arbeitsweisen integriert.
In der Praxis bedeutet das vor allem eines: Benutzerfreundlichkeit wird zum Sicherheitsfaktor. Systeme, die kompliziert, langsam oder schwer verständlich sind, führen fast zwangsläufig dazu, dass Mitarbeitende nach einfacheren Alternativen suchen – selbst wenn diese unsicher sind. Ebenso wichtig ist es, Sicherheit direkt in bestehende Workflows einzubetten, anstatt sie als zusätzlichen Schritt aufzusetzen. Die wirksamste Sicherheitslösung ist oft diejenige, die sich im Hintergrund abspielt und vom Nutzer kaum wahrgenommen wird.
Dieses Prinzip gilt zunehmend für dokumentenbasierte Geschäftsprozesse wie Freigaben oder Vertragsunterzeichnungen: Moderne Signatur- und Workflowlösungen wie Dropbox Sign integrieren Sicherheit durch Funktionen wie Authentifizierung, Zugriffskontrollen und umfassende Prüfpfade direkt in den Unterzeichnungsprozess. Für die Mitarbeitenden bleibt der Prozess einfach und intuitiv, während Unternehmen die Transparenz und Kontrolle behalten, die für Governance, Compliance und Rechenschaftspflicht erforderlich sind. Sicherheit wird daher nicht als zusätzlicher Schritt empfunden, sondern als natürlicher Bestandteil der Arbeitsabläufe.
Vom kategorischen Nein zur neuen Wachstumskraft
Historisch wurde Security in vielen Unternehmen als Verhinderer wahrgenommen — als Instanz, die Projekte ausbremst und Risiken minimiert.
In einer Arbeitswelt, die von schnellen Entscheidungen, verteilten Teams und digitalen Prozessen geprägt ist, muss Sicherheit zu einem integralen Bestandteil der betrieblichen Infrastruktur werden. Dies erfordert einen anderen Ansatz beim Produktdesign. Produkte, bei denen Sicherheit als zusätzliche Ebene betrachtet wird, anstatt sie von Anfang an in die Benutzererfahrung einzubetten, werden in schnelllebigen Umgebungen zunehmend weniger akzeptiert. Wenn Mitarbeitende diese Produkte umgehen, verlieren Unternehmen den Überblick und die Kontrolle und laufen zudem Gefahr, die Sicherheits- und Datenschutzstandards nicht zu erfüllen, die Kunden, Partner und Aufsichtsbehörden zunehmend erwarten.
Die Alternative ist ein neues Verständnis von Sicherheit: nicht als „Wächter“, der außerhalb des Arbeitsablaufs steht, sondern als direkt integrierten Wegbereiter. Nicht im Sinne von weniger Sicherheit, sondern von Sicherheit, die nahtlos in die Arbeitsweise der Menschen integriert ist.
Der entscheidende Wettbewerbsvorteil
In den kommenden Jahren wird sich ein klarer Unterschied zwischen Unternehmen herausbilden: Auf der einen Seite Organisationen, die versuchen, Risiken durch Kontrolle zu minimieren — und dabei ihre eigene Geschwindigkeit ausbremsen. Auf der anderen Seite jene, die Technologien einsetzen, bei denen die Sicherheit bereits in die Arbeitsabläufe integriert ist, sodass Innovationen möglich sind, ohne dass die Unternehmensführung darunter leidet. Der Unterschied wird nicht in der Technologie liegen, sondern im Verständnis von Sicherheit selbst. Denn am Ende setzt sich nicht die restriktivste Sicherheitsarchitektur durch, sondern die, die so nahtlos in den Arbeitsalltag integriert ist, dass es keinen Grund gibt, sie zu umgehen.
