IaaS, PaaS, SaaS – wo genau hört meine Verantwortung auf und wo fängt die des Anbieters an?

Die Frage, die dich fast immer zum richtigen Modell führt, lautet: Was ist das kleinste Ding, das ich selbst noch verwalten muss? Die drei Modelle unterscheiden sich nur darin, an welcher Stelle des Stapels die Verantwortung wechselt.

• IaaS – der Anbieter stellt Rechenleistung, Speicher, Netz und Virtualisierung. Du verwaltest ab dem Betriebssystem aufwärts: Patches, Laufzeitumgebung, Anwendung, Daten. Dein Beispiel mit den virtuellen Servern plus selbst installierter Datenbank ist genau das.
• PaaS – der Anbieter kümmert sich zusätzlich um Betriebssystem, Laufzeitumgebung und Middleware. Du lieferst nur noch Anwendung und Daten. Die gebuchte Datenbank als Dienst fällt hierunter: Du legst Tabellen an und pflegst Inhalte, aber niemand fragt dich nach dem Sicherheitspatch des Servers.
• SaaS – der Anbieter betreibt die fertige Anwendung. Du konfigurierst, verwaltest Benutzer und Rechte, und die Daten gehören dir. Webmail, CRM-Systeme oder ein Office-Paket im Browser.

Als Bild finde ich das Wohnen ganz brauchbar: IaaS ist der Rohbau (Wände und Anschlüsse stehen, Möbel bringst du selbst), PaaS die möblierte Wohnung (du ziehst mit deinen Sachen ein), SaaS das Hotelzimmer (du nutzt nur, kümmerst dich um nichts). Und die Konstante über alle drei Modelle: Je weniger du selbst verwaltest, desto weniger kannst du individuell anpassen.

Zum Haftungsteil deiner Frage, weil der in Klausuren gern als „Diskutieren Sie“-Aufgabe kommt – und weil die intuitive Antwort dort falsch ist.

Es gilt ein geteiltes Verantwortungsmodell: Der Anbieter ist verantwortlich für die Sicherheit der Cloud (Rechenzentrum, Hardware, Virtualisierung, bei PaaS/SaaS auch die Plattform), der Kunde für die Sicherheit in der Cloud. Und der zweite Teil ist größer, als die meisten denken: Zugriffsrechte, Passwörter, Verschlüsselung, Konfiguration – und vor allem die Sicherung der eigenen Daten. Ein gelöschter Datensatz ist bei den meisten Anbietern schlicht gelöscht; die Verfügbarkeitsgarantie im Vertrag bezieht sich auf den Dienst, nicht auf deine Inhalte.

Datenschutzrechtlich verschiebt sich das ebenfalls nicht: Der Kunde bleibt Verantwortlicher im Sinne der DSGVO, der Anbieter ist Auftragsverarbeiter. Deshalb braucht es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, und deshalb ist auch der Serverstandort ein Prüfpunkt.

Zwei Punkte, mit denen du in einer Bewertungsaufgabe immer landest:

• Skalierbarkeit und Kostenmodell: aus einer Investition in eigene Hardware werden laufende, nutzungsabhängige Kosten.
• Abhängigkeit vom Anbieter: Je höher du im Stapel einsteigst, desto bequemer ist der Betrieb und desto schwerer der Wechsel – bei SaaS hängen Datenformate und Prozesse am Anbieter. Genau das ist der Preis für die abgegebene Verantwortung.