Andrea Pfundmeier von Dropbox Germany erklärt, warum Sicherheitsstrategien scheitern: nicht an der Technik, sondern daran, dass Mitarbeitende Tools umgehen, die sie ausbremsen. Ihr Plädoyer: Sicherheit muss in den Arbeitsalltag eingebettet werden, statt ihm aufgesetzt zu werden.
Es gibt ein unausgesprochenes Gesetz in Unternehmen: Macht ein System die Arbeit komplizierter, finden Mitarbeitende einen Weg, es zu umgehen. Laut Andrea Pfundmeier, Managing Director von Dropbox Germany und Senior Group Product Manager bei Dropbox, gilt das für CRM-Tools, Dokumentengenehmigungen und Reisekostenrichtlinien gleichermaßen — und IT-Sicherheit bildet keine Ausnahme. In einem Gastbeitrag schreibt sie, viele Unternehmen entwickelten ihre Sicherheitsstrategien nach wie vor so, als gäbe es diese Dynamik nicht, und investierten Millionen in Technologien, die auf dem Papier sicher wirken, im Alltag aber ignoriert oder umgangen werden.
Sicherheit wird am falschen Ort entschieden
Pfundmeier zufolge werden die meisten Sicherheitsstrategien für ein Publikum entwickelt: den CISO oder CTO. Sie überzeugen durch Features, Zertifizierungen und Kontrollmechanismen und wirken auf dem Papier oft exzellent. Die Menschen, die täglich mit diesen Systemen arbeiten, werden dabei jedoch selten gehört — und genau hier entsteht laut Pfundmeier das Problem: Sicherheit ist nicht das, was implementiert wird, sondern das, was im Arbeitsalltag ankommt. Braucht das Teilen einer Datei fünf zusätzliche Schritte, findet man eine Abkürzung; ist eine Kollaborationslösung zu restriktiv, wandert die Zusammenarbeit in externe Tools ab. Das Ergebnis sei ein trügerisches Sicherheitsgefühl — formale Kontrolle auf dem Papier, wachsendes Risiko in der Praxis —, während IT-Teams den Überblick verlieren, der nötig ist, um Governance-Anforderungen und Kundenerwartungen zu erfüllen.
Das eigentliche Risiko liegt im Alltagsverhalten
Unternehmen denken bei Sicherheitsrisiken meist zuerst an externe Bedrohungen wie Ransomware oder Phishing. Pfundmeier stellt diese nicht infrage, sagt jedoch, sie überdeckten eine leisere Schwachstelle: den alltäglichen Umgang mit Technologie. Lücken entstünden seltener durch spektakuläre Angriffe als durch kleine Entscheidungen unter Zeitdruck — etwa wenn eine Datei über einen privaten Link geteilt oder ein Prozess „ausnahmsweise“ außerhalb der vorgesehenen Systeme abgewickelt wird. Besonders exponiert seien Vertragsfreigaben und Unterzeichnungen: Werden Dokumente per E-Mail, als lokale PDFs oder über inoffizielle Tools ausgetauscht, gehen Nachvollziehbarkeit und integrierte Sicherheitsmechanismen verloren. Solche Abkürzungen seien selten böswillig — Mitarbeitende verfolgten meist das Ziel, effizient zu arbeiten —, weshalb Tools, die den Ablauf erschweren, kontraproduktiv seien. Wer Sicherheit gegen Produktivität ausspiele, riskiere am Ende beides zu verlieren.
Mehr Reibung, mehr Umwege
Ein verbreiteter Reflex: Steigt das Risiko, werden Kontrollen verschärft — mehr Regeln, mehr Freigabeschleifen, mehr Schritte. Kurzfristig erhöhe das die formale Sicherheit, räumt Pfundmeier ein. Langfristig könne es sich jedoch ins Gegenteil verkehren: Die Kluft zwischen offiziellem Prozess und tatsächlichem Verhalten wachse, Mitarbeitende bauten Workarounds und Schattenprozesse auf. Diese „Shadow Workflows“ seien heute der Ort, an dem sich die größten Risiken konzentrierten. Dieses Muster zeige sich derzeit besonders deutlich im Kontext von KI, sei aber nicht neu: Aus Schatten-IT werde Schatten-KI.
Nutzerfreundlichkeit als Sicherheitsfaktor
Für Pfundmeier lautet die entscheidende Frage nicht mehr, wie sich Kontrolle über Mitarbeitende verschärfen lässt, sondern wie sich sichere Arbeitsabläufe gestalten lassen, die tatsächlich genutzt werden — ohne unnötige Reibungsverluste. Das bedeutet, Sicherheit von Anfang an ins Design zu integrieren statt sie nachträglich aufzusetzen. Benutzerfreundlichkeit werde dadurch selbst zum Sicherheitsfaktor: Komplizierte oder langsame Systeme trieben Mitarbeitende zu einfacheren — und oft unsichereren — Alternativen. Als Beispiel nennt sie dokumentenbasierte Prozesse wie Freigaben und Unterzeichnungen und verweist auf Lösungen wie Dropbox Sign, die Authentifizierung, Zugriffskontrollen und Prüfpfade direkt in den Unterzeichnungsprozess integrieren — einfach für Mitarbeitende, während Unternehmen die für Governance nötige Transparenz behalten. Sicherheit werde so zum natürlichen Bestandteil des Arbeitsablaufs statt zum zusätzlichen Schritt.
Vom Verhinderer zum Wachstumstreiber
Historisch wurde Sicherheit in vielen Unternehmen als Verhinderer wahrgenommen — als Instanz, die Projekte ausbremst. In einer Arbeitswelt schneller Entscheidungen und digitaler Prozesse müsse Sicherheit stattdessen fester Bestandteil der betrieblichen Infrastruktur werden, so Pfundmeier. Produkte, die Sicherheit als zusätzliche Ebene statt von Anfang an in die Nutzererfahrung integrieren, würden zunehmend weniger akzeptiert — und wenn Mitarbeitende sie umgehen, verlieren Unternehmen den Überblick und riskieren, erwartete Standards zu verfehlen. Ihre Alternative: Sicherheit nicht als Wächter außerhalb des Arbeitsablaufs, sondern als integrierten Wegbereiter zu verstehen — nicht weniger Sicherheit, sondern Sicherheit, die nahtlos in die Arbeitsweise der Menschen eingebettet ist.
Für die kommenden Jahre erwartet Pfundmeier eine wachsende Kluft zwischen Unternehmen, die Risiken durch Kontrolle minimieren wollen und dabei ihre eigene Geschwindigkeit ausbremsen, und jenen, die Sicherheit so in ihre Arbeitsabläufe integrieren, dass Innovation möglich bleibt. Entscheidend sei am Ende nicht die Technologie, sondern das Verständnis von Sicherheit: Nicht die restriktivste Architektur setze sich durch, sondern jene, die so nahtlos integriert ist, dass es keinen Grund gibt, sie zu umgehen.
Über die Autorin: Andrea Pfundmeier ist Senior Group Product Manager bei Dropbox und Managing Director von Dropbox Germany, wo sie die Produktstrategie mit Fokus auf sichere, kollaborative B2B-Lösungen mitgestaltet. Vor Dropbox gründete und leitete sie Boxcryptor, ein Verschlüsselungssoftware-Unternehmen, das sie über mehr als 15 Jahre aufbaute, bevor es 2022 von Dropbox übernommen wurde. Sie gilt als anerkannte Expertin für IT-Sicherheit, Unternehmenssoftware und sichere digitale Zusammenarbeit.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de