IaaS, PaaS und SaaS sind die drei klassischen Servicemodelle der Cloud: Infrastructure as a Service liefert virtuelle Infrastruktur (Rechenleistung, Speicher, Netz), Platform as a Service eine verwaltete Entwicklungs- und Laufzeitplattform, Software as a Service fertige Anwendungen im Abo — vom CRM bis zur Kollaborationssuite.
Die Modelle unterscheiden sich vor allem in der Verantwortungsteilung: Je höher das Modell, desto mehr betreibt der Anbieter — und desto weniger Kontrolle, aber auch weniger Betriebsaufwand bleibt beim Kunden. Sicherheit bleibt in allen drei Modellen eine geteilte Aufgabe.
Die drei Modelle im Vergleich
Bei IaaS mietet man Bausteine: virtuelle Maschinen, Blockspeicher, Netzwerke. Betriebssystem, Middleware, Patches und Anwendungen bleiben eigene Aufgabe — maximale Flexibilität, maximale Betriebsverantwortung. PaaS abstrahiert eine Ebene weiter: Der Anbieter betreibt Laufzeitumgebung, Datenbanken und Skalierung; das Team liefert nur Code und Daten. SaaS schließlich liefert die fertige Anwendung — Betrieb, Updates und Verfügbarkeit liegen komplett beim Anbieter.
Das Shared-Responsibility-Modell zieht die Trennlinie: Der Anbieter sichert die Cloud selbst (Rechenzentren, Hypervisor, Plattform), der Kunde alles in der Cloud — Identitäten, Zugriffsrechte, Datenklassifizierung, Konfiguration. Die meisten Cloud-Vorfälle entstehen auf der Kundenseite dieser Linie: offene Speicher-Buckets, überprivilegierte Konten, fehlende MFA.
Auswahlkriterien in der Praxis
- Betriebstiefe ehrlich bewerten: Wer kein Plattform-Team hat, fährt mit PaaS/SaaS meist sicherer als mit rohem IaaS.
- Exit und Portabilität prüfen: Datenexport, offene Standards, Vertragslaufzeiten.
- Netzwerkanbindung mitplanen: private Interconnects statt Internet für kritische Workloads.
- Identitäts- und Zugriffskonzept zuerst — es ist in allen drei Modellen Kundenaufgabe.