SaaS (Software als Dienst aus der Cloud)
Kurz gesagt
SaaS (Software as a Service) heißt bei ERP: Der Anbieter betreibt die Warenwirtschaft samt der darunterliegenden Infrastruktur, der Kunde nutzt sie über das Netz und verantwortet seine Daten und Nutzerkonten. Bei IaaS betreibt der Kunde Betriebssystem und Anwendung selbst, bei On-Premise alle Schichten. Die Dienstmodelle nach NIST SP 800-145 verteilen die Betriebsverantwortung je Schicht, nicht den Standort der Infrastruktur.
Das Wichtigste
- SaaS: Anbieter betreibt Anwendung und Infrastruktur, Kunde nutzt die Anwendung über das Netz.
- IaaS: Anbieter stellt Rechenleistung und Speicher bereit, Kunde betreibt Betriebssystem und Anwendung.
- On-Premise: Der Betrieb betreibt Hardware, Plattform und Anwendung selbst.
- NIST SP 800-145 (September 2011) definiert SaaS, PaaS und IaaS als Dienstmodelle; die Publikation bindet nicht durch Gesetz.
- Der BSI-Kriterienkatalog C5:2026 (Version 1.1.0) fordert in OIS-03.01B ein Modell geteilter Sicherheitsverantwortung; verbindlich wird er durch Vereinbarung oder gesetzliche Bezugnahme.
- Dienstmodell und Standort sind getrennt: Eine Private Cloud kann beim Kunden stehen (NIST SP 800-145).
SaaS (Software as a Service, deutsch „Software als Dienst”) ist ein Dienstmodell des Cloud Computing, bei dem ein Anbieter eine Anwendung samt der darunterliegenden Infrastruktur betreibt und der Kunde sie über das Netz nutzt, ohne diese Infrastruktur zu verwalten. Für ERP bedeutet das: Die Warenwirtschaft betreibt der Anbieter, der Kunde greift mit dem Browser oder einer Schnittstelle darauf zu. Nach der Definition von NIST SP 800-145 verwaltet der Kunde bei SaaS die darunterliegende Infrastruktur aus Netz, Servern, Betriebssystem und Speicher nicht; möglich bleiben begrenzte, nutzerspezifische Einstellungen der Anwendung.
Wer betreibt welche Schicht?
Die Dienstmodelle unterscheiden sich darin, welche Schicht der Kunde selbst betreibt. Die Tabelle ist eine redaktionelle Übersicht auf Grundlage der Dienstmodelle nach NIST SP 800-145 und der C5-Kriterien des BSI; Ihr Vertrag kann einzelne Schichten anders verteilen. Die Tabelle ordnet nur zu, wer eine Schicht betreibt. Wo die Infrastruktur steht, ist eine zweite Frage: NIST SP 800-145 behandelt den Standort unter den Bereitstellungsmodellen und lässt eine Private Cloud ausdrücklich beim Kunden stehen („on or off premises“), betrieben von der Organisation selbst, von einem Dritten oder von beiden.
| Schicht | SaaS | IaaS | On-Premise |
|---|---|---|---|
| Rechenzentrum, Strom, Klima | Anbieter | Anbieter | Kunde |
| Netzwerk | Anbieter | Anbieter; einzelne Netzwerkkomponenten wählt der Kunde | Kunde |
| Server und Speicher (Hardware) | Anbieter | Anbieter | Kunde |
| Virtualisierung | Anbieter | Anbieter | Kunde |
| Betriebssystem und Sicherheitsupdates | Anbieter | Kunde | Kunde |
| Laufzeitumgebung und Datenbank | Anbieter | Kunde | Kunde |
| ERP-Anwendung und Programmupdates | Anbieter | Kunde | Kunde |
| Eigene Stammdaten, Belege, Nutzerkonten und Berechtigungen | Kunde | Kunde | Kunde |
„Anbieter” meint den Cloud-Anbieter, „Kunde” den nutzenden Betrieb. Im On-Premise-Betrieb gibt es keinen Cloud-Anbieter, sodass jede Schicht beim Kunden liegt.
Beispiel
Beispielrechnung mit erfundenen Angaben: Ein Handelsbetrieb mit 20 Mitarbeitenden nutzt sein ERP als SaaS. Der Anbieter betreibt Rechenzentrum, Netzwerk, Server, Betriebssystem, Laufzeitumgebung und die Warenwirtschaft und spielt die Updates ein. Der Kunde legt Artikel, Preise und Benutzerkonten an, erteilt Berechtigungen und exportiert seine Belege. Betreibt derselbe Betrieb das ERP dagegen selbst auf einem eigenen Server, trägt er vom Betriebssystem an alle Schichten.
Standardbasis
NIST SP 800-145 (September 2011) der US-Behörde NIST beschreibt Cloud Computing mit fünf Merkmalen, drei Dienstmodellen (SaaS, PaaS, IaaS) und vier Bereitstellungsmodellen (Private, Community, Public, Hybrid). Die Publikation ist eine Definition, keine Rechtsnorm, und bindet nicht durch Gesetz. Das BSI fordert im Kriterienkatalog Cloud Computing C5:2026 (Version 1.1.0 vom 11. August 2026) in OIS-03.01B, dass der Anbieter ein Modell geteilter Sicherheitsverantwortung (Shared Security Responsibility Model) etabliert, dokumentiert und kommuniziert; die Mitwirkungspflichten der Kunden sollten nach den ergänzenden Informationen in Leistungsbeschreibung und Vertrag beschrieben werden. Der C5-Kriterienkatalog ist ebenfalls kein Gesetz; verbindlich wird er durch Vereinbarung oder durch eine Vorschrift, die ihn in Bezug nimmt: In Deutschland verlangt § 393 SGB V (in Kraft seit 1. Juli 2024) von Leistungserbringern im Sinne des Vierten Kapitels, Kranken- und Pflegekassen und ihren Auftragsdatenverarbeitern bei der Verarbeitung von Sozial- und Gesundheitsdaten im Wege des Cloud-Computing ein aktuelles C5-Testat; nach Abs. 4 genügt auch ein gleichwertiges Testat oder Zertifikat.
Nicht zu verwechseln mit
- PaaS (Platform as a Service): das mittlere Dienstmodell; der Anbieter betreibt die Plattform, der Kunde stellt seine Anwendung darauf bereit und betreibt sie selbst.
- Public Cloud: eine Bereitstellungsform (Deployment-Modell), nicht ein Dienstmodell – nach NIST SP 800-145 sind Private, Community, Public und Hybrid Bereitstellungsmodelle, und eine Private Cloud ist für die ausschließliche Nutzung durch eine Organisation bestimmt, erfüllt die fünf Merkmale des Cloud Computing und darf beim Anbieter oder beim Kunden stehen; eine SaaS-Anwendung kann auch dort laufen.
- On-Premise: im Sprachgebrauch der ERP-Auswahl der Betrieb ohne Cloud-Anbieter, bei dem der Betrieb alle Schichten selbst verantwortet (On-Premise).
Wer klärt, wie Sicherung und Export bei einem SaaS-Anbieter geregelt sind, findet die Fragen im Artikel Cloud-ERP: Wer sichert meine Daten und wie komme ich an sie?.