Ob SaaS oder On-Premise sicherer ist, lässt sich nicht pauschal beantworten. On-Premise bietet volle Kontrolle über Daten und Infrastruktur, verlangt aber eigenes Sicherheitspersonal und konsequentes Patchen. SaaS-Anbieter verfügen oft über mehr Ressourcen für Sicherheit, doch Daten, Benutzerkonten und Zugriffsrechte bleiben in Ihrer Verantwortung. Entscheidend sind Ihre Anforderungen an Datenschutz, Compliance und interne IT-Kompetenz.
Das Wichtigste in Kürze
- Weder SaaS noch On-Premise ist grundsätzlich sicherer: Entscheidend ist, wer die Sicherheit mit welchen Ressourcen und welcher Sorgfalt umsetzt.
- On-Premise bedeutet volle Kontrolle, aber auch volle Verantwortung für Updates, Überwachung, Backups und Notfallpläne.
- Bei SaaS gilt das Modell der geteilten Verantwortung: Der Anbieter schützt die Infrastruktur, Sie bleiben für Daten, Konten und Zugriffsrechte zuständig.
- Prüfen Sie bei SaaS-Anbietern den Auftragsverarbeitungsvertrag nach DSGVO, den Serverstandort und Nachweise wie ISO 27001 oder BSI C5.
Sicherheit ist bei der Evaluation verschiedener Lösungen für eine Unternehmens- oder Branchensoftware eines der wichtigsten Entscheidungskriterien. Sollten Sie sich für eine On-Premise-Lösung entscheiden, also eine Software, die in der unternehmenseigenen IT-Infrastruktur betrieben wird? Oder wäre eine SaaS-Lösung in der Cloud die bessere Variante? Auf diese Frage gibt es keine allgemeingültige Antwort, denn beide Optionen weisen Vor- und Nachteile im Hinblick auf die Sicherheit auf. In diesem Artikel erfahren Sie detailliert, wie es bei der Gegenüberstellung von SaaS vs On-Premise um die Sicherheit bestellt ist.
Vorteile von On-Premise im Hinblick auf die Sicherheit
Zahlreiche IT-Verantwortliche bevorzugen tendenziell On-Premise-Lösungen, da diese ihnen eine umfassende Kontrolle über die Sicherheit des Systems geben. Wenn ein Unternehmen seine Applikationen und Daten vor Ort hostet, kann es Sicherheitsvorkehrungen ergreifen, die seinen spezifischen Anforderungen entsprechen, anstatt sich auf standardisierte Sicherheitsmaßnahmen eines SaaS-Anbieters verlassen zu müssen. Abgesehen davon können Unternehmen auch Sicherheitslösungen von Dritten implementieren, um Netzwerk, Applikationen und Daten zu schützen.
Was die Einhaltung gesetzlicher Bestimmungen angeht, so hat das Unternehmen bei dieser Variante unter Umständen eine bessere Kontrolle über den Umgang mit sensiblen Daten. Da On-Premise-Programme auf eigenen Servern laufen, kann die Angriffsfläche aus dem Internet kleiner sein – vorausgesetzt, das Unternehmen schützt seine Systeme selbst konsequent gegen Cyberangriffe und Phishing.
Vorteile von SaaS im Hinblick auf die Sicherheit
Seit sich Cloud-Computing immer mehr ausbreitet, werden SaaS-Lösungen bei Unternehmen immer beliebter. Bei SaaS-Lösungen entfallen hohe Anschaffungskosten, und Wartung sowie Aktualisierung der Applikationen übernimmt der Anbieter, was vor allem für kleine und mittlere Unternehmen ein interessanter Punkt ist.
In Bezug auf die Sicherheit nutzen SaaS-Anbieter oft sehr zuverlässige Lösungen, mit denen sie die Applikationen und Daten ihrer Kunden schützen. Die Anbieter sind im Allgemeinen in puncto Sicherheitsfragen besser gerüstet und haben größere Ressourcen, als es bei einzelnen Unternehmen der Fall ist. SaaS-Dienstleister halten zudem ihre Applikationen stets auf dem neuesten Stand und spielen regelmäßig Sicherheitsupdates und neue Funktionen ein, um die Sicherheit und Benutzerfreundlichkeit ihres Angebots zu verbessern.
Fachleute betonen, dass Cloud-Lösungen oft sicherer als On-Premise-Lösungen seien, da die Anbieter solcher Applikationen die Sicherheitsvorkehrungen für ihre Server und Anwendungen laufend auf dem neuesten Stand hielten. Darüber hinaus seien sie in der Lage, die Sicherheit der Daten rund um die Uhr zu überwachen. SaaS-Lösungen bieten zudem oftmals eine größere Flexibilität und eine bessere Anpassungsfähigkeit an zukünftige Entwicklungen, was vor allem für Unternehmen interessant ist, denen die Aufrechterhaltung ihrer Wettbewerbsfähigkeit wichtig ist.
Wer ist bei SaaS für die Sicherheit verantwortlich?
Bei SaaS teilen sich Anbieter und Kunde die Verantwortung für die Sicherheit (Shared Responsibility Model). Je weiter ein Unternehmen von On-Premise über IaaS und PaaS zu SaaS wechselt, desto mehr Aufgaben übernimmt der Anbieter. Einige Aufgaben bleiben jedoch unabhängig vom Servicemodell immer beim Kunden. Microsoft nennt dafür vier Bereiche: Daten, Endgeräte, Benutzerkonten und Zugriffsverwaltung.
| Bereich | On-Premise | SaaS |
|---|---|---|
| Rechenzentrum, Server, Netzwerk | Unternehmen | Anbieter |
| Betriebssystem und Anwendung, Updates | Unternehmen | Anbieter |
| Konfiguration und Einstellungen | Unternehmen | Unternehmen |
| Daten, Klassifizierung, Aufbewahrung | Unternehmen | Unternehmen |
| Benutzerkonten, Rollen, Mehr-Faktor-Authentifizierung | Unternehmen | Unternehmen |
| Endgeräte der Anwender | Unternehmen | überwiegend Unternehmen |
Viele Sicherheitsrisiken in der Cloud entstehen daher auf Kundenseite: durch schwache Passwörter, zu großzügige Berechtigungen oder fehlerhafte Konfigurationen. Wer auf SaaS setzt, muss deshalb ein sauberes Identitäts- und Berechtigungsmanagement aufbauen und die Anwender schulen. Auch Schatten-IT, also nicht freigegebene Cloud-Dienste, gehört zu den Risiken, die Sie selbst steuern müssen. Regelmäßige Rechteprüfungen und klare Freigabeprozesse helfen dabei.
SaaS vs. On-Premise: Berücksichtigen Sie Ihre Anforderungen für die Entscheidung
Ob SaaS oder On-Premise die bessere Wahl ist, hängt letztlich von den Erfordernissen des Unternehmens in Sachen Sicherheit sowie der internen IT-Leistungsfähigkeit ab. Beide Ansätze haben Vor- und Nachteile, sodass die individuellen Anforderungen des Unternehmens, seine Ressourcen und der gewünschte Sicherheitsstandard den Ausschlag für die Entscheidung geben sollten.
Schließlich ist es wichtig, objektive Kriterien heranzuziehen und sich für die Lösung zu entscheiden, die am besten zum Unternehmen passt. Dazu gehört auch eine realistische Einschätzung, inwieweit das Unternehmen in der Lage ist, die Sicherheit intern zu gewährleisten, wie kompliziert die Einhaltung der gesetzlichen Bestimmungen ist und wie sensibel die vorhandenen Daten und Anwendungen sind. Und natürlich ist auch das verfügbare Budget ein nicht unwesentlicher Entscheidungsfaktor.
Unabhängig davon, für welche Lösung Sie sich entscheiden: Wichtig ist, dass sie ein angemessenes Sicherheitsniveau für Nutzer, Daten und Applikationen bietet. Sowohl für SaaS als auch für On-Premise besteht die Grundlage in einer wirksamen Strategie für die Computer- und Netzwerksicherheit, um das Unternehmen zu schützen und das Risiko von Datenmissbrauch so gering wie möglich zu halten.
Datenschutz und Compliance: Checkliste für SaaS-Anbieter
Speichert eine SaaS-Lösung personenbezogene Daten, ist der Anbieter in der Regel Auftragsverarbeiter im Sinne der DSGVO. Nach Art. 28 DSGVO dürfen Sie nur mit Anbietern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten, und Sie müssen einen Vertrag zur Auftragsverarbeitung abschließen. Prüfen Sie vor der Entscheidung insbesondere:
- Auftragsverarbeitungsvertrag (AVV): Liegt ein Vertrag vor, der Weisungen, Unterauftragnehmer, Löschung und Kontrollrechte regelt?
- Datenstandort: In welchen Ländern werden die Daten gespeichert und verarbeitet, und welche Unterauftragnehmer sind beteiligt?
- Nachweise: Verfügt der Anbieter über eine ISO-27001-Zertifizierung oder ein Testat nach dem Kriterienkatalog C5 des BSI, der Mindestanforderungen an sicheres Cloud-Computing festlegt?
- Verschlüsselung: Werden Daten bei der Übertragung und im Speicher verschlüsselt?
- Zugriffsschutz: Unterstützt die Lösung Single Sign-on, Mehr-Faktor-Authentifizierung und Rollenkonzepte?
- Ausstieg: Können Sie Ihre Daten bei Vertragsende vollständig exportieren?
Bei On-Premise-Lösungen stellen sich dieselben Fragen – nur müssen Sie sie selbst beantworten und die Maßnahmen intern umsetzen.
Häufig gestellte Fragen
Ist SaaS sicherer als On-Premise?
SaaS ist nicht automatisch sicherer als On-Premise. Große SaaS-Anbieter investieren oft mehr in Sicherheit, Überwachung und Updates, als ein einzelnes Unternehmen es kann. On-Premise bietet dagegen volle Kontrolle über Daten und Infrastruktur. Welche Variante sicherer ist, hängt von Ihren Ressourcen, Ihren Compliance-Anforderungen und der Sorgfalt ab, mit der Konten, Rechte und Konfigurationen verwaltet werden.
Wie sicher ist die Cloud?
Die Cloud ist so sicher wie ihr Anbieter und ihre Nutzung. Professionelle Cloud-Anbieter schützen Rechenzentren, Netzwerke und Plattformen meist auf hohem Niveau und weisen dies durch Zertifizierungen nach. Risiken bestehen jedoch auch auf Kundenseite, etwa durch schwache Passwörter, fehlende Mehr-Faktor-Authentifizierung oder falsch konfigurierte Freigaben. Wer diese Punkte im Griff hat, kann die Cloud sicher nutzen.
Was ist das Shared Responsibility Model?
Das Shared Responsibility Model beschreibt die Aufteilung der Sicherheitsaufgaben zwischen Cloud-Anbieter und Kunde. Der Anbieter verantwortet je nach Servicemodell Rechenzentrum, Server, Netzwerk und bei SaaS auch die Anwendung. Der Kunde bleibt immer für seine Daten, Benutzerkonten, Zugriffsrechte und Endgeräte verantwortlich. Je mehr Ebenen ausgelagert werden, desto mehr übernimmt der Anbieter.
Ist SaaS DSGVO-konform?
Eine SaaS-Lösung kann DSGVO-konform eingesetzt werden, wenn die Voraussetzungen stimmen: ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, geeignete technische und organisatorische Maßnahmen, transparente Unterauftragnehmer und eine zulässige Grundlage für Datenübermittlungen in Drittländer. Verantwortlich für die Einhaltung der DSGVO bleibt dabei immer das Unternehmen, das die SaaS-Lösung einsetzt.
Was ist der Unterschied zwischen On-Premise und Private Cloud?
Bei On-Premise betreibt ein Unternehmen Software auf eigener Hardware in eigenen Räumen und ist für alles selbst verantwortlich. Eine Private Cloud stellt Cloud-Ressourcen exklusiv für ein einziges Unternehmen bereit, entweder im eigenen Rechenzentrum oder bei einem Dienstleister. Sie verbindet die Abschottung von On-Premise mit Cloud-Eigenschaften wie Automatisierung und flexibler Skalierung.
