Gastbeitrag von Andrea Pfundmeier, Managing Director Dropbox Germany & Senior Group Product Manager
Es gibt ein unausgesprochenes Gesetz in Unternehmen: Wenn ein System die Arbeit komplizierter macht, finden Mitarbeitende in der Regel einen Weg, es zu umgehen. Das gilt für CRM-Tools, Dokumentengenehmigungen, Reisekostenrichtlinien – und die IT-Sicherheit bildet da keine Ausnahme. Tatsächlich steht hier am meisten auf dem Spiel. Dennoch entwickeln viele Unternehmen ihre Produkte und Sicherheitsstrategien nach wie vor so, als wäre das nicht der Fall. Die Folge: Unternehmen investieren Millionen in Technologien, die in der Theorie sicher sind, im Alltag aber ignoriert oder aktiv umgangen werden. Das ist kein Randproblem. Es ist der zentrale Grund, warum Security so oft scheitert.
Sicherheit wird am falschen Ort entschieden
Die meisten Strategien und Lösungen werden mit einem klaren Adressaten entwickelt: dem CISO oder CTO. Sie überzeugen durch Features, Zertifizierungen und Kontrollmöglichkeiten. Auf dem Papier sind sie oft exzellent. Nur: Die Menschen, die täglich mit diesen Systemen und Tools arbeiten müssen, finden in diesem Prozess selten Gehör. Und genau hier entsteht das Problem: Sicherheit ist nicht das, was implementiert wird. Sicherheit ist das, was tatsächlich in den Arbeitsalltag integriert ist.
Wenn ein Mitarbeitender fünf zusätzliche Schritte braucht, um eine Datei zu teilen, wird er einen Weg finden, diese Schritte zu umgehen. Wenn eine Kollaborationslösung zu restriktiv ist, wandert die Zusammenarbeit in externe Tools. Und wenn zentrale Prozesse nicht effizient abgebildet werden können, entstehen Alternativen außerhalb der vorgesehenen Systeme.
Das Ergebnis ist ein trügerisches Gefühl der Sicherheit: formale Kontrolle bei parallel wachsenden Risiken in der Praxis. Gleichzeitig haben IT- und Sicherheitsteams weniger Einblick und Übersicht, was es erschwert, interne Governance-Anforderungen, gesetzliche Verpflichtungen und die Sicherheitsstandards zu erfüllen, die Kunden zunehmend erwarten.
Die eigentliche Bedrohung sitzt im alltäglichen Nutzerverhalten
Unternehmen denken bei Sicherheitsrisiken oft zuerst an externe Angriffe wie Ransomware, Phishing oder gezielte Cyberattacken. Diese Gefahren sind real, überdecken jedoch eine andere, Schwachstelle: den alltäglichen Umgang mit Technologie innerhalb der Organisation. Sicherheitslücken entstehen nicht immer durch spektakuläre Angriffe von außen, sondern durch unscheinbare Entscheidungen im Arbeitsalltag. Etwa wenn eine Datei schnell über einen privaten Link geteilt, ein Dokument in ein externes Tool kopiert oder ein Prozess „ausnahmsweise“ außerhalb der vorgesehenen Systeme abgewickelt wird.
Besonders riskant wird dieses Verhalten in geschäftskritischen Prozessen wie Vertragsfreigaben oder Unterzeichnungen. Wenn Dokumente per E-Mail, als lokal gespeicherte PDFs oder über inoffizielle Tools ausgetauscht werden, entstehen blinde Flecken – ohne klare Nachvollziehbarkeit, ohne zentrale Kontrolle und ohne integrierte Sicherheitsmechanismen.
Solche Handlungen sind nur selten böswillig; sie verfolgen in der Regel ein legitimes Ziel, nämlich effizient zu arbeiten. Genau deshalb sind Tools, die den Arbeitsablauf erschweren, hier abträglich. Wer Sicherheit gegen Produktivität ausspielt, riskiert am Ende beides.
Wenn Sicherheitsmaßnahmen zu Reibungen führen, entstehen Risiken
Ein häufiger Reflex in Unternehmen ist klar: Wenn Risiken steigen, müssen Kontrollen verschärft werden. Mehr Regeln. Mehr Freigabeschleifen, mehr Schritte, die zu befolgen sind und damit mehr Reibungsverluste verursachen.
Kurzfristig erhöht das tatsächlich die formale Sicherheit. Langfristig kann es jedoch zu einem gegenteiligen Effekt führen: Die Kluft zwischen offiziellen Prozessen und tatsächlichem Verhalten wächst. Mitarbeitende entwickeln Workarounds, bauen Schattenprozesse auf und nutzen Tools außerhalb der kontrollierten Umgebung. Es entstehen „Shadow Workflows“ – und genau dort entstehen die größten Risiken: ohne Transparenz, ohne Governance, ohne Kontrolle.
Dieses Muster zeigt sich aktuell besonders deutlich im Kontext von KI. Doch es ist keineswegs neu. Schatten-IT wird zu Schatten-KI und zu Schattenprozessen entlang zentraler Geschäftsabläufe.
Sicherheit entsteht nicht durch Kontrolle, sondern durch Nutzung
Die entscheidende Frage lautet heute nicht mehr, wie man die Kontrolle über die Mitarbeitenden verstärken kann, sondern wie man sichere Produkte und Arbeitsabläufe gestaltet, die die Menschen auch tatsächlich nutzen, ohne dabei unnötige Reibungsverluste zu verursachen. Genau dafür braucht es einen grundlegenden Perspektivwechsel. Security sollte nicht als eine Kontrollebene betrachtet werden, die am Ende eines Prozesses hinzugefügt wird. Stattdessen gehört sie von Anfang an in das Design von Produkten, Prozessen und Arbeitsweisen integriert.
In der Praxis bedeutet das vor allem eines: Benutzerfreundlichkeit wird zum Sicherheitsfaktor. Systeme, die kompliziert, langsam oder schwer verständlich sind, führen fast zwangsläufig dazu, dass Mitarbeitende nach einfacheren Alternativen suchen – selbst wenn diese unsicher sind. Ebenso wichtig ist es, Sicherheit direkt in bestehende Workflows einzubetten, anstatt sie als zusätzlichen Schritt aufzusetzen. Die wirksamste Sicherheitslösung ist oft diejenige, die sich im Hintergrund abspielt und vom Nutzer kaum wahrgenommen wird.
Dieses Prinzip gilt zunehmend für dokumentenbasierte Geschäftsprozesse wie Freigaben oder Vertragsunterzeichnungen: Moderne Signatur- und Workflowlösungen wie Dropbox Sign integrieren Sicherheit durch Funktionen wie Authentifizierung, Zugriffskontrollen und umfassende Prüfpfade direkt in den Unterzeichnungsprozess. Für die Mitarbeitenden bleibt der Prozess einfach und intuitiv, während Unternehmen die Transparenz und Kontrolle behalten, die für Governance, Compliance und Rechenschaftspflicht erforderlich sind. Sicherheit wird daher nicht als zusätzlicher Schritt empfunden, sondern als natürlicher Bestandteil der Arbeitsabläufe.
Vom kategorischen Nein zur neuen Wachstumskraft
Historisch wurde Security in vielen Unternehmen als Verhinderer wahrgenommen — als Instanz, die Projekte ausbremst und Risiken minimiert.
In einer Arbeitswelt, die von schnellen Entscheidungen, verteilten Teams und digitalen Prozessen geprägt ist, muss Sicherheit zu einem integralen Bestandteil der betrieblichen Infrastruktur werden. Dies erfordert einen anderen Ansatz beim Produktdesign. Produkte, bei denen Sicherheit als zusätzliche Ebene betrachtet wird, anstatt sie von Anfang an in die Benutzererfahrung einzubetten, werden in schnelllebigen Umgebungen zunehmend weniger akzeptiert. Wenn Mitarbeitende diese Produkte umgehen, verlieren Unternehmen den Überblick und die Kontrolle und laufen zudem Gefahr, die Sicherheits- und Datenschutzstandards nicht zu erfüllen, die Kunden, Partner und Aufsichtsbehörden zunehmend erwarten.
Die Alternative ist ein neues Verständnis von Sicherheit: nicht als „Wächter“, der außerhalb des Arbeitsablaufs steht, sondern als direkt integrierten Wegbereiter. Nicht im Sinne von weniger Sicherheit, sondern von Sicherheit, die nahtlos in die Arbeitsweise der Menschen integriert ist.
Der entscheidende Wettbewerbsvorteil
In den kommenden Jahren wird sich ein klarer Unterschied zwischen Unternehmen herausbilden: Auf der einen Seite Organisationen, die versuchen, Risiken durch Kontrolle zu minimieren — und dabei ihre eigene Geschwindigkeit ausbremsen. Auf der anderen Seite jene, die Technologien einsetzen, bei denen die Sicherheit bereits in die Arbeitsabläufe integriert ist, sodass Innovationen möglich sind, ohne dass die Unternehmensführung darunter leidet. Der Unterschied wird nicht in der Technologie liegen, sondern im Verständnis von Sicherheit selbst. Denn am Ende setzt sich nicht die restriktivste Sicherheitsarchitektur durch, sondern die, die so nahtlos in den Arbeitsalltag integriert ist, dass es keinen Grund gibt, sie zu umgehen.
Über die Autorin:
Andrea Pfundmeier ist Senior Group Product Manager bei Dropbox und fungiert als Managing Director von Dropbox Germany. Sie wirkt an der Gestaltung der Produktstrategie des Unternehmens mit und legt dabei einen besonderen Fokus auf sichere, kollaborative B2B-Lösungen. Bevor sie zu Dropbox kam, war Andrea Gründerin und CEO von Boxcryptor, einem Unternehmen für Verschlüsselungssoftware, das sie über mehr als 15 Jahre hinweg aufgebaut hatte, bevor es 2022 von Dropbox übernommen wurde. Während dieser Zeit leitete sie die Innovations-, Sicherheits- und Wachstumsstrategie des Unternehmens. Mit ihrer fundierten Expertise in den Bereichen IT-Sicherheit, Unternehmenssoftware und Produktführung ist Andrea eine anerkannte Expertin für die Zukunft der sicheren digitalen Zusammenarbeit und des KI-gestützten Arbeitens.
