SaaS (Software as a Service).

SaaS steht für Software as a Service. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) zählt dazu alle Anwendungen, die den Kriterien des Cloud Computing entsprechen, und nennt als Beispiele Kontaktdatenmanagement, Finanzbuchhaltung, Textverarbeitung und Kollaborationswerkzeuge. Für ein Unternehmen ist SaaS längst der Normalfall: CRM, Newsletter, Bewerbermanagement und auch viele Website-Systeme laufen als Dienst. Das spart Betrieb und Updates, verlagert aber Daten, Abhängigkeit und Verantwortung zu einem Anbieter.

So funktioniert SaaS

Der Anbieter betreibt die Anwendung, ihr nutzt sie über das Netz. Cloud Computing bezeichnet laut BSI das an den Bedarf angepasste Anbieten, Nutzen und Abrechnen von IT-Dienstleistungen über ein Netz, ausschließlich über festgelegte technische Schnittstellen. Das BSI unterscheidet drei Ebenen: Bei Infrastructure as a Service mietet ihr Rechenleistung und Speicher, bei Platform as a Service eine Plattform für eigene Anwendungen, bei SaaS die fertige Anwendung selbst.

Server, Updates und Sicherheit der Plattform liegen beim Anbieter. Benutzerkonten, Rechte, Einstellungen und die Inhalte, die ihr eingebt, bleiben eure Aufgabe. Das BSI betont für seinen Kriterienkatalog C5, dass Anbieter, Prüfer und Kunden jeweils eine Mitwirkungspflicht für die Informationssicherheit haben.

Worauf ihr im Unternehmen achten solltet

Schließt einen Vertrag zur Auftragsverarbeitung. Verarbeitet der Anbieter personenbezogene Daten in eurem Auftrag, verlangt Art. 28 DSGVO dafür eine vertragliche Grundlage. Wo die Daten liegen und welche Rolle der Firmensitz des Anbieters spielt, ordnet unser Beitrag Website-Hosting in Europa ein.

Fragt nach Sicherheitsnachweisen. Der C5 des BSI beschreibt laut BSI Mindestanforderungen an die Informationssicherheit von Clouddiensten, die nicht unterschritten werden sollten. Ein Prüfbericht nach C5 hilft euch bei der eigenen Risikoanalyse. Laut BSI wurde der Katalog 2025/26 grundlegend überarbeitet.

Plant den Ausstieg schon beim Einstieg. Der EU Data Act gilt seit dem 12. September 2025. Laut EU-Kommission müssen Anbieter von PaaS und SaaS danach offene Schnittstellen bereitstellen und Daten mindestens in einem gängigen, maschinenlesbaren Format exportieren. Wechselentgelte, auch für die Datenausleitung, fallen laut Kommission ab dem 12. Januar 2027 ganz weg.

Führt ein Verzeichnis eurer Dienste. In Website-Projekten sehen wir oft Werkzeuge, die jemand vor Jahren angebunden hat, für die heute niemand zuständig ist und die trotzdem noch Daten von Besuchern verarbeiten. Hängt an jeden Dienst einen Verantwortlichen und die API, über die er angebunden ist.

Häufige Fragen zu SaaS

Was ist der Unterschied zwischen SaaS und Hosting? Beim Hosting mietet ihr Platz auf einem Server für eure eigene Website. Bei SaaS mietet ihr eine fertige Anwendung, deren Technik der Anbieter vollständig betreibt.

Ist ein Website-Baukasten auch SaaS? Ja. Ein Website-Baukasten stellt Editor und Hosting als Dienst bereit. Prüft deshalb vor der Entscheidung, welche Inhalte und Daten sich später exportieren lassen.

Wer haftet, wenn beim Anbieter etwas schiefgeht? Das regelt euer Vertrag. Für personenbezogene Daten bleibt ihr nach der DSGVO als Verantwortliche in der Pflicht, auch wenn ein Dienstleister sie verarbeitet.

Welche Dienste eure Website braucht und welche Anforderungen an Export, Sicherheit und Datenschutz gelten, haltet ihr am besten in der Lastenheft-Vorlage fest.