Was ist SaaS?
SaaS steht für Software as a Service.
SaaS ist Software, die ein Anbieter auf seinen eigenen Servern betreibt und die Sie über Browser oder App als Dienst nutzen, meist gegen eine monatliche Gebühr.
Ohne Fachbegriffe, für Betriebe ohne eigene IT.
Auf dieser Seite3 Abschnitte
Einfach erklärt
SaaS steht für Software as a Service, Software als Dienst. Sie installieren nichts, sondern melden sich im Browser oder in einer App an und arbeiten los. Bekannte Beispiele sind Office-Pakete im Browser, Online-Buchhaltung oder Videokonferenzen. Bezahlt wird meist pro Nutzer und Monat. Das ist wie ein Mietwagen mit Vollservice: Sie fahren, um Wartung und Reifen kümmert sich der Vermieter.
Was der Anbieter übernimmt und was bei Ihnen bleibt
Der Anbieter betreibt die Server, spielt Updates ein, sichert die Technik ab und hält den Dienst erreichbar. Bei Ihnen bleibt:
- wer ein Konto hat und was er darf,
- ob Zugänge mit Zwei-Faktor-Anmeldung geschützt sind,
- welche Daten Sie hineingeben,
- ob Sie Ihre Daten zusätzlich sichern.
Worauf Sie vor dem Abschluss achten
- Datenstandort und Sitz: In welchem Land liegen die Daten, wo sitzt das Unternehmen? Für Anbieter aus den USA gilt US-Recht, siehe CLOUD Act.
- Vertrag zur Auftragsverarbeitung: Verarbeitet der Anbieter in Ihrem Auftrag personenbezogene Daten, schreibt Art. 28 DSGVO einen Vertrag vor, mehr unter Auftragsverarbeitung. Bei der Prüfung hilft Ihr Datenschutzbeauftragter.
- Ausstieg: Wie kommen Ihre Daten heraus, in welchem Format und bis wann nach der Kündigung?
- Änderungen: Was gilt, wenn der Anbieter Preise erhöht oder Funktionen streicht?
Gut zu wissen: Manche Open-Source-Programme gibt es als SaaS beim Hersteller und zum Selbstbetrieb. Dann können Sie später wechseln, ohne die Software zu tauschen, mehr unter Self-Hosting.
Merkmale
Nach NIST SP 800-145 nutzt der Kunde bei SaaS die Anwendungen des Anbieters auf dessen Cloud-Infrastruktur, über einen Thin Client wie den Browser oder über eine Programmschnittstelle. Netz, Server, Betriebssysteme, Speicher und selbst einzelne Funktionen der Anwendung kontrolliert er nicht, abgesehen von nutzerbezogenen Einstellungen. Typisch ist Mehrmandantenfähigkeit: Eine Installation bedient viele Kunden, getrennt durch die Anwendung, nicht durch eigene Server. Updates spielt der Anbieter für alle Kunden zugleich ein. Funktionen und Oberfläche ändern sich deshalb ohne Zutun des Kunden, eine Rückkehr zur alten Version ist in der Regel nicht vorgesehen.
Einbindung und Datenhoheit
SaaS steht selten allein. Die Anmeldung läuft über Single Sign-on, Daten fließen über API und Webhooks in andere Systeme, Mails gehen im Namen der eigenen Domain hinaus. Dafür braucht der Dienst in der Regel einen Eintrag in SPF und eine DKIM-Signatur mit dieser Domain.
# Datenexport per API, Token aus dem Passwortmanager
curl -s -H "Authorization: Bearer $TOKEN" \
"https://dienst.example.com/api/v1/export?format=csv" -o export.csv
Viele SaaS-Anbieter betreiben keine eigenen Rechenzentren. Hosting, Mailversand oder Support laufen über weitere Dienstleister, die in der Liste der Unterauftragsverarbeiter stehen. Dort zeigt sich, in welchen Ländern Daten tatsächlich verarbeitet werden.
Typische Fehler
- Schatten-IT. Abteilungen buchen Dienste auf eigene Faust, niemand führt die Liste.
- Konten ehemaliger Mitarbeitender aktiv. Ohne zentrale Anmeldung bleibt der Zugang nach dem Austritt bestehen.
- Kein eigenes Backup. Der Anbieter sichert seine Plattform. Ob er einen gelöschten Ordner von vor drei Monaten zurückholen kann, regeln Papierkorb, Aufbewahrungsfristen und Vertrag.
- Ausstieg nie getestet. Der Export liefert nur einen Teil, Anhänge oder Verläufe fehlen.
Prüfen
- Liste aller SaaS-Dienste mit Verantwortlichem, Vertrag, AVV, Speicherort und Exportweg.
- Einmal im Jahr einen Testexport ziehen und auf Vollständigkeit prüfen.
- Im Header einer Testmail des Dienstes nachsehen, ob
dkim=passmit der eigenen Domain steht.