Es bringt etwas, aber ist kein Allheilmittel. Ob es Securitytheater ist kommt auf die Implementierung an. Meistens ist es das, weil es, wie du sagst, eher als Ausrede genutzt wird um nichts zu tun.