Cloud als Service: IaaS, PaaS und SaaS an Beispielen – wer wofür verantwortlich ist und wann sich das lohnt

WebDisk-Blog · Kategorie: Cloud-Computing · Lesezeit: ~8 Minuten

Kurz gefasst:- IaaS, PaaS und SaaS sind drei Varianten desselben Vertrags: je höher das Modell, desto weniger Pflichten auf Ihrer Seite – und desto weniger Kontrolle über die Details.- In der Cloud gilt das Modell der geteilten Verantwortung: Der Anbieter ist für die Infrastruktur verantwortlich, aber Daten, Berechtigungen und Benutzerkonten liegen immer auf Ihrer Seite. Die Übersicht finden Sie in der Mitte des Artikels.- Die Public Cloud tauscht die Investition in Hardware (CAPEX) gegen nutzungsabhängige Gebühren (OPEX). Das kann ein großer Vorteil sein – ist aber keine automatische Ersparnis. Wir sagen ehrlich, wann es sich lohnt und wann nicht.

„Wir gehen in die Cloud“ – dieser Satz fällt heute in den meisten Unternehmen, bedeutet aber oft für die Geschäftsführung etwas anderes als für die Buchhaltung und noch einmal etwas anderes für die IT-Abteilung. Die Angebote der Anbieter machen es nicht leichter: IaaS, PaaS, SaaS, Pay-as-you-go, geteilte und dedizierte Umgebungen… Dabei steht hinter jedem dieser Schlagworte ein konkreter Vertrag: wer was betreibt, wer wofür zahlt – und wer verantwortlich ist, wenn etwas schiefgeht.

Dieser Artikel ordnet die Begriffe. Wir erklären die drei grundlegenden Modelle der Cloud-Dienste an Beispielen, zeigen in einer Übersicht das Modell der geteilten Verantwortung, erklären, worin sich CAPEX und OPEX unterscheiden – und sagen ehrlich, wann die Public Cloud eine gute Wahl ist und wann nicht. Am Ende kehren wir zum Titel in seiner wörtlichen Bedeutung zurück: Bei WebDisk bedeutet „Cloud als Service“ auch die Möglichkeit zum Betrieb einer eigenen Cloud unter eigener Marke.

Der Text ist für beide Seiten dieses Gesprächs gedacht: Entscheidern gibt er einen Rahmen für Verhandlungen mit jedem beliebigen Anbieter, technischen Lesern eine Landkarte, die sie an den Rest des Unternehmens weiterreichen können.

Was bedeutet „as a Service“? Sie kaufen das Ergebnis, nicht die Hardware

Vor hundert Jahren hatten große Fabriken eigene Stromgeneratoren. Heute kaufen sie Energie aus dem Netz: Sie zahlen für den Verbrauch, und um das Kraftwerk kümmert sich jemand, der das beruflich macht. Das Modell „as a Service“ überträgt diese Logik auf die IT: Statt Server, Speichersysteme und Lizenzen zu kaufen, kaufen Sie einen funktionierenden Dienst – Rechenleistung, eine Plattform für Anwendungen oder ein fertiges Programm – und zahlen für das, was Sie tatsächlich nutzen.

Möglich macht das ein großer, gemeinsam genutzter Ressourcenpool des Anbieters – Sie nutzen ihn im Self-Service und auf Abruf: Eine neue virtuelle Maschine starten Sie in Minuten und nicht in den Wochen, die Kauf und Montage eines physischen Servers erfordern; Ressourcen erhöhen Sie und geben sie wieder frei – im Takt des tatsächlichen Bedarfs.

Zwei Begriffe, die hier noch öfter auftauchen werden: Die Public Cloud ist eine Umgebung, in der viele, logisch voneinander getrennte Kunden die Infrastruktur eines einzigen Anbieters nutzen; die Private Cloud ist eine Umgebung, die für eine einzige Organisation reserviert ist. Beide können im selben Servicemodell betrieben werden – sie unterscheiden sich im Kreis der Nutzer.

Worin unterscheiden sich IaaS, PaaS und SaaS?

Die drei grundlegenden Modelle lassen sich am einfachsten wie Stockwerke anordnen: Auf jedem weiteren übernimmt der Anbieter mehr Pflichten, und Sie geben einen Teil der Kontrolle ab.

IaaS (Infrastructure as a Service – Infrastruktur als Service). Der Anbieter liefert Ihnen die Bausteine: virtuelle Maschinen, Festplatten, Netzwerke und Firewalls. Was Sie darauf aufbauen – Betriebssystem, Datenbanken, Anwendungen – ist Ihre Entscheidung und Ihre Verantwortung. Das ist das unterste Stockwerk und zugleich die größte Kontrolle: Sie wählen selbst Systeme, Versionen und Architektur. Ein Beispiel aus unserem Angebot: **WebDisk Cloud, eine Public Cloud auf Basis der Open-Source-Software Apache CloudStack, in der Sie über das Panel virtuelle Maschinen, VPC-Netzwerke (dedizierte private Netzwerke) und Firewall-Regeln erstellen. Die einfachere Variante desselben Modells ist **WebDisk VM, also fertige VPS-Server.

PaaS (Platform as a Service – Plattform als Service). Ein Stockwerk höher: Der Anbieter betreibt nicht nur die Infrastruktur, sondern auch die Plattform, auf der Ihr Code läuft – Laufzeitumgebung, Datenbank, Orchestrierung. Sie stellen die Anwendung bereit und verwalten die Daten; das Patchen der Systeme und die Verfügbarkeit der Plattform sind das Problem des Anbieters. Ein typisches Beispiel ist ein verwalteter Cluster mit Kubernetes (einer Open-Source-Software zur Container-Orchestrierung) – in unserem Angebot **WebDisk K8s** – oder eine verwaltete Datenbank.

SaaS (Software as a Service – Software als Service). Das oberste Stockwerk: eine fertige Anwendung, die in der Regel über den Browser erreichbar ist. Sie verwalten nichts außer Ihren eigenen Daten, Benutzern und Einstellungen. So funktionieren WebDisk Files (sichere Speicherung und Freigabe von Dateien für Unternehmen), WebDisk Send (schnelles Versenden großer Dateien) oder WebDisk Next – ein von uns betriebenes Nextcloud, eine offene Plattform für Zusammenarbeit.

Eine einfache Auswahlregel: Je höher das Modell, desto schneller legen Sie los und desto weniger müssen Sie können – aber desto weniger können Sie ändern.

Wer ist in der Cloud wofür verantwortlich? Das Modell der geteilten Verantwortung

Das häufigste Missverständnis rund um die Cloud lautet: „Wenn ich den Anbieter bezahle, ist er für alles verantwortlich.“ Ist er nicht – und kein ehrlicher Anbieter wird das versprechen. In der Cloud gilt das Modell der geteilten Verantwortung (Shared Responsibility): Die Grenze verläuft je nach Servicemodell an einer anderen Stelle, aber sie existiert immer.

• Gebäude, Stromversorgung, physische Hardware – Eigener Serverraum: Sie · IaaS: Anbieter · PaaS: Anbieter · SaaS: Anbieter
• Virtualisierung und Netzwerk – Eigener Serverraum: Sie · IaaS: Anbieter · PaaS: Anbieter · SaaS: Anbieter
• Betriebssystem und dessen Patchen – Eigener Serverraum: Sie · IaaS: Sie · PaaS: Anbieter · SaaS: Anbieter
• Laufzeitumgebung, Datenbank – Eigener Serverraum: Sie · IaaS: Sie · PaaS: Anbieter · SaaS: Anbieter
• Anwendung und deren Konfiguration – Eigener Serverraum: Sie · IaaS: Sie · PaaS: Sie · SaaS: Anbieter
• Daten, Backups, Berechtigungen – Eigener Serverraum: Sie · IaaS: Sie · PaaS: Sie · SaaS: Sie
• Benutzerkonten, Passwörter, MFA – Eigener Serverraum: Sie · IaaS: Sie · PaaS: Sie · SaaS: Sie

Am wichtigsten sind die beiden letzten Positionen. Ein Festplattenausfall im Serverraum des Anbieters ist dessen Problem – eine gut konzipierte Plattform sorgt dafür, dass Sie ihn gar nicht bemerken. Aber eine von einem Mitarbeiter gelöschte Datei, falsch vergebene Berechtigungen für einen Ordner oder ein kompromittiertes Passwort ohne MFA (Multi-Faktor-Authentifizierung) sind Ereignisse auf Ihrer Seite des Vertrags – in jedem Modell, auch bei SaaS. Deshalb lohnt es sich, selbst bei einer fertigen Anwendung auf Dateiversionierung und Datensicherung zu achten – mehr dazu im Artikel Backup in der Cloud – das Fundament der IT-Sicherheit. Die Kenntnis dieser Übersicht ist keine Formalität: Laut Branchenanalysen – unter anderem den Prognosen von Gartner – beginnt die große Mehrheit der aufsehenerregenden „Cloud-Lecks“ nicht mit einem Einbruch beim Anbieter, sondern mit einer Fehlkonfiguration oder kompromittierten Zugangsdaten auf Kundenseite.

Worin unterscheidet sich CAPEX von OPEX und warum verändert das Entscheidungen?

CAPEX (Capital Expenditure – Investitionsausgaben) ist das Modell des eigenen Serverraums: eine große Vorabausgabe für Hardware, die Sie anschließend über Jahre abschreiben – unabhängig davon, ob sie zu 20 oder zu 90 Prozent ausgelastet ist. OPEX (Operational Expenditure – Betriebsausgaben) ist das Modell der Cloud: ohne Anfangsinvestition, mit Gebühren, die mit der tatsächlichen Nutzung steigen und sinken.

Das OPEX-Modell hat drei praktische Vorteile: eine niedrige Einstiegshürde (ein neues Projekt bindet kein Kapital in Hardware, die sich als überflüssig erweisen könnte), Kosten, die mit dem Geschäft skalieren (ein „für die Spitze“ vor den Feiertagen gekaufter Server steht den Rest des Jahres teilweise ungenutzt – Cloud-Kapazität geben Sie einfach wieder ab), und Liquidität: regelmäßige Gebühren statt seltener großer Ausgaben.

Ehrlich zur anderen Seite: OPEX ist nicht automatisch günstiger. Bei stabiler, hoher und vorhersehbarer Last kann eigene oder langfristig gemietete Hardware, über einen Horizont von mehreren Jahren gerechnet, günstiger ausfallen als das Bezahlen für Flexibilität, die nicht genutzt wird. Die Rechnung muss man für das eigene Lastprofil aufstellen – woraus sich der Preis der Public Cloud zusammensetzt und wie man ihn berechnet, zeigt unser Artikel Public Cloud zu einem vernünftigen Preis. Die zweite Falle ist organisatorischer Natur: Ressourcen sind leicht gestartet und ebenso leicht vergessen – ohne regelmäßige Überprüfung der Auslastung wächst die Rechnung im Stillen.

Wann die Public Cloud sinnvoll ist – und wann ehrlicherweise nicht

Die Public Cloud ist eine starke Wahl, wenn:

• die Last variabel oder schwer vorhersehbar ist – Saisonalität, Kampagnen, Projekte unbekannter Größenordnung: Sie zahlen für die Spitze nur dann, wenn sie andauert;
• die Startzeit zählt – Test- und Entwicklungsumgebungen oder ein neues Projekt starten Sie in Minuten, ohne Beschaffungsprozess;
• Sie kein Kapital binden möchten – ein neues Unternehmen oder ein neuer Geschäftszweig kann ohne Investition in einen Serverraum loslegen;
• Sie einen Ausweichstandort benötigen – Wiederherstellung nach einem Ausfall (Disaster Recovery) ohne dauerhaften Betrieb eines zweiten Serverraums.

Es gibt auch Signale, dass es sich lohnt, andere Optionen zu erwägen – eigene Ressourcen, eine Private Cloud oder ein Mischmodell:

• konstante, hohe und vorhersehbare Last – die Flexibilität, für die Sie zahlen, bleibt ungenutzt;
• untypische Hardware- oder Lizenzanforderungen – spezialisierte Beschleuniger oder Lizenzen, die an den physischen Prozessor gebunden sind;
• harte Anforderungen an Standort und Jurisdiktion der Daten – einen Teil davon löst die Wahl eines Anbieters mit Infrastruktur in Polen, aber manche Regulierungsregime erzwingen eine dedizierte Umgebung;
• sehr niedrige Latenzen zu lokalen Systemen – z. B. Produktionssteuerung, wo jede Millisekunde des Weges zum Serverraum zählt.

Ein Risiko für sich ist die Abhängigkeit vom Anbieter (Vendor Lock-in): Je tiefer Sie die einzigartigen Dienste einer Plattform nutzen, desto teurer wird der Umzug. Begrenzt wird sie durch allgemein unterstützte Schnittstellen – wie das S3-Protokoll, den De-facto-Standard der Objektspeicherung – sowie Open-Source-Software in der Virtualisierungsschicht. Wie Sie dieses Risiko vor der Vertragsunterzeichnung bewerten, beschreibt unser Artikel Vendor Lock-in – Anbieterabhängigkeit in der Public Cloud. In der Praxis landen viele Unternehmen bei einem Hybridmodell: eine stabile Basis auf festen Ressourcen, variable Spitzen und neue Projekte in der Public Cloud. Das ist keine Unentschlossenheit – das ist oft der günstigste vernünftige Kompromiss.

Cloud als Service wörtlich genommen: die eigene Cloud unter eigener Marke

Das Titelschlagwort hat bei WebDisk auch eine zweite, wörtliche Bedeutung. Unsere Public Cloud WebDisk Cloud ist nicht nur für Endnutzer verfügbar, sondern auch im Modell Cloud as a Service: als Ihre eigene Cloud, die unter Ihrer Domain und in Ihrem Erscheinungsbild läuft und über das von uns bereitgestellte Cloud-Portal verwaltet wird.

Eine solche Umgebung kann den Charakter einer Private Cloud haben – zugänglich ausschließlich für Ihre Organisation oder Ihre Kunden, ohne Registrierungsmöglichkeit von außen – oder einer Public Cloud, die für jeden offen ist, der sich über das öffentlich zugängliche Portal registriert. Die Wahl liegt bei Ihnen. Das ist ein Szenario für Unternehmen, die Cloud-Dienste anbieten oder sie ihren Kunden unter eigener Marke bereitstellen möchten, aber keinen Serverraum bauen und betreiben wollen – also der „as a Service“-Mechanismus, eine Ebene nach oben verschoben: Infrastruktur als Service für den Serviceanbieter.

Die Ressourcenschicht ist dabei flexibel: von einem Pool virtueller Ressourcen (Prozessoren, Arbeitsspeicher, Speicherplatz), der mit dem Wachstum des Geschäfts angepasst werden kann, bis zu Lösungen für größere Anforderungen. Umfang, Abrechnungsmodell sowie Implementierung und technischen Support vereinbaren wir individuell, je nach Größenordnung. Unabhängig von der Variante nutzt die Umgebung gemeinsame Plattformdienste – unter anderem S3-kompatiblen Objektspeicher und Internetanbindung.

Häufige Fragen

Worin unterscheidet sich die Public Cloud in der Praxis von der Private Cloud?

Im Kreis der Nutzer, nicht in der Technologie. Die Private Cloud bietet mehr Isolation und Kontrolle, in der Regel zu einem höheren Stückpreis; die Public Cloud Flexibilität und eine niedrige Einstiegshürde.

Sind meine Daten in der Public Cloud sicher?

Die Trennung der Kunden, Verschlüsselung und die Absicherung der Plattform sind Verantwortung des Anbieters – fragen Sie ihn nach Konkretem, nicht nach Allgemeinplätzen. Ein Teil der Verantwortung bleibt jedoch immer auf Ihrer Seite: Berechtigungen, Passwörter, MFA, Datenkopien. Wie wir die WebDisk-Plattform absichern, beschreibt unser Artikel über den offenen Security-Stack von WebDisk.

Wer ist für Daten und Backups in der Cloud verantwortlich – ich oder der Anbieter?

Sie – in jedem Modell, auch bei SaaS. Der Anbieter ist für die Infrastruktur und die Verfügbarkeit der Plattform verantwortlich, aber Daten, Backups, Berechtigungen und Benutzerkonten bleiben immer auf Kundenseite. Deshalb lohnt es sich, selbst bei einer fertigen Anwendung auf Dateiversionierung und Datensicherung zu achten.

Ist die Cloud immer günstiger als eigene Server?

Nein – und seien Sie misstrauisch gegenüber jedem, der etwas anderes behauptet. Die Cloud gewinnt bei variabler Last, kurzem Horizont und fehlendem Startkapital; eigene oder langfristig gemietete Hardware ist bei konstanter, hoher Auslastung mitunter günstiger.

Womit anfangen: IaaS, PaaS oder SaaS?

Mit der Frage, was Ihr Team verwalten will und kann. Eine fertige Anwendung – SaaS. Eigener Code ohne Systemadministration – PaaS. Volle Kontrolle über die Umgebung oder der Umzug bestehender Maschinen – IaaS.

Kann ich Cloud-Dienste unter eigener Marke ohne eigenen Serverraum anbieten?

Genau dieses Szenario beschreibt oben das Modell Cloud as a Service: ein eigenes Cloud-Portal unter Ihrer Domain, mit Ihrem Erscheinungsbild, auf der von uns betriebenen Infrastruktur. Umfang und Zeitplan der Implementierung vereinbaren wir individuell – sprechen wir über die Details.

Fazit

IaaS, PaaS und SaaS sind keine Marketing-Verzierungen, sondern drei verschiedene Verträge über die Aufteilung der Pflichten – und die Übersicht der geteilten Verantwortung sagt über die täglichen Kosten und die Sicherheit mehr aus als so manche Verkaufspräsentation. Die Public Cloud ist ein hervorragendes Werkzeug dort, wo Flexibilität und Startzeit zählen, und muss keineswegs die günstigste Lösung dort sein, wo die Last konstant und vorhersehbar ist – ein ehrlicher Anbieter sagt Ihnen das offen.

Möchten Sie das IaaS-Modell in der Praxis sehen? Lernen Sie WebDisk Cloud kennen und legen Sie ein Konto im Panel an. Und wenn Sie eine eigene Cloud unter eigener Marke erwägen – schreiben Sie uns, wir sprechen über die Details.