Die Einteilung in drei Servicemodelle geht auf eine Definition des US-amerikanischen National Institute of Standards and Technology (NIST) zurück und ist heute allgemein gebräuchlich. Sie hilft bei einer zentralen Frage jeder Cloud-Entscheidung: Wer kümmert sich um welchen Teil, wer installiert Updates, wer sichert die Daten.
Wie sich die Modelle unterscheiden
- Infrastructure as a Service (IaaS): Der Anbieter stellt virtuelle Maschinen, Speicher und Netzwerke bereit. Betriebssystem, Middleware, Anwendungen und Daten verwaltet das Unternehmen selbst. Beispiel: ein virtueller Server in Microsoft Azure.
- Platform as a Service (PaaS): Der Anbieter betreibt zusätzlich Betriebssystem und Laufzeitumgebung. Das Unternehmen kümmert sich um die eigene Anwendung und deren Daten. Beispiele sind verwaltete Datenbanken oder Plattformen zum Betrieb von Webanwendungen.
- Software as a Service (SaaS): Die fertige Anwendung wird über Browser oder App genutzt. Das Unternehmen verwaltet nur noch Einstellungen, Benutzerkonten und Daten. Beispiele sind Microsoft 365, Online-Buchhaltung oder CRM-Systeme.
Ein Vergleich aus dem Alltag: IaaS ähnelt einer gemieteten leeren Werkstatt, PaaS einer fertig eingerichteten Werkstatt mit Werkzeug, SaaS dem Auftrag an einen Handwerksbetrieb, der das fertige Ergebnis liefert.
Je höher das Modell, desto mehr übernimmt der Anbieter. Daten, Identitäten und Zugriffsrechte bleiben aber in jedem Modell in der Verantwortung des Unternehmens. Dieses Prinzip wird als geteilte Verantwortung (Shared Responsibility) bezeichnet.
Typische Beispiele
- Eine ältere Fachanwendung braucht ein bestimmtes Betriebssystem und läuft daher als IaaS.
- Eine selbst entwickelte Kundenschnittstelle wird als PaaS betrieben, um sich nicht um Serverwartung kümmern zu müssen.
- E-Mail, Office-Anwendungen und Zeiterfassung werden als SaaS genutzt.
In der Praxis kombinieren viele Unternehmen alle drei Modelle mit eigener Infrastruktur vor Ort.
Worauf Unternehmen achten sollten
- Verantwortung schriftlich klären: Für jeden Dienst festhalten, wer Updates einspielt, wer überwacht und wer sichert.
- Datensicherung prüfen: Auch bei SaaS ist nicht automatisch geregelt, wie lange gelöschte Daten wiederherstellbar sind, siehe Backup und Recovery.
- Ausstieg mitdenken: Exportmöglichkeiten und Datenformate vor Vertragsabschluss prüfen, um Abhängigkeiten zu begrenzen.
- Kostenmodell verstehen: IaaS und PaaS werden meist nach Verbrauch abgerechnet, SaaS meist pro Person oder Nutzungseinheit.
- Datenstandort klären: Die Datenresidenz ist bei allen drei Modellen vertraglich festzuhalten.