Warum wir Sicherheit immer aufschieben (bis es zu spät ist)

„Ach, das Zertifikat läuft ja erst nächste Woche ab.“
„Einfach überall das gleiche Passwort, merkt sich leichter.“
„Das Backup verschlüsseln wir später.“

Klingt vertraut? Willkommen in der Realität von IT-Security: wir alle wissen, dass wir es richtig machen sollten – und trotzdem schieben wir es auf. So lange, bis es knallt.

Bequemlichkeit schlägt Vernunft

Das Grundproblem ist simpel: Sicherheit fühlt sich oft an wie unnötiger Ballast.

• 2FA? Kostet 10 Sekunden mehr beim Login.
• Zertifikate erneuern? Nervig, weil irgendwas immer hakt.
• Backups verschlüsseln? Klar, aber die unverschlüsselten laufen doch auch.

Wir Menschen sind Meister im kurzfristigen Denken. Wenn der Schmerz nicht sofort spürbar ist, gewinnt die Bequemlichkeit.

Die Tücken im Alltag

• E-Mail-Verschlüsselung (S/MIME, PGP): Jeder weiß, dass es sinnvoll ist. Aber wer richtet das wirklich ein? Auf iOS oder Outlook wirkt es wie Raketenwissenschaft.
• NAS und Backups: Dein Homelab kann noch so schön sein – wenn das Backup auf der Synology nicht verschlüsselt ist, ist der Einbruch ins Haus gleich auch ein digitaler.
• Zertifikate: Sie laufen immer dann ab, wenn man im Urlaub ist oder gerade ein Release ansteht. Murphy liebt abgelaufene Zertifikate.
• Passwörter: „Passwort123“ ist vielleicht ein Meme, aber jeder kennt Beispiele aus der Realität.

Die teuren Lektionen

Das Problem an Security ist: Man lernt sie oft erst nach einem Schaden zu schätzen.

• Ein Account wird gehackt.
• Ein Backup ist unbrauchbar, weil nicht verschlüsselt.
• Ein Zertifikat läuft ab und legt einen ganzen Dienst lahm.

Dann plötzlich ist alles wichtig – sofort. Nur: dann ist es meist zu spät.

Pragmatismus statt Paranoia

Sicherheit muss nicht kompliziert sein. Schon kleine Schritte bringen große Wirkung:

• 2FA oder Passkeys aktivieren – nervt am Anfang, spart später viel Ärger.
• Zertifikate automatisieren – Let’s Encrypt oder ACME-Clients sind deine Freunde.
• Backups verschlüsseln – und regelmäßig testen, ob sie sich auch wiederherstellen lassen.
• S/MIME oder PGP einrichten – ja, der Einstieg ist mühsam. Aber wenn es läuft, läuft es.

Das sind Basics, die jeder ohne Enterprise-Security-Team hinkriegt.

Fazit

Security ist wie ein Regenschirm: meistens im Weg, nervig zu tragen – aber wenn es anfängt zu regnen, bist du heilfroh, dass du ihn dabei hast.

Die Frage ist nicht ob es mal regnet, sondern nur wann.