Was ist SaaS? Einfach erklärt für Unternehmen

SaaS in einem Satz

SaaS steht für „Software as a Service“. Das Unternehmen nutzt eine fertige Anwendung über das Internet, während der Anbieter die zugrunde liegende Cloud-Infrastruktur und die Anwendung betreibt. Der Zugriff erfolgt meist über Browser oder App, teils auch über eine Programmierschnittstelle (API).

Die NIST-Definition von Cloud Computing ordnet SaaS neben PaaS und IaaS als eigenes Servicemodell ein. Für den Alltag ist vor allem diese Grenze wichtig: Das Unternehmen betreibt die Software nicht selbst, bleibt aber für Auswahl, Benutzerkonten, Berechtigungen, Daten und die Einbettung in seine Prozesse verantwortlich.

Wie SaaS im Unternehmen funktioniert

Der Anbieter stellt die Anwendung zentral bereit, spielt Updates ein und betreibt Server, Speicher, Netzwerk und die technischen Abhängigkeiten. Das Unternehmen richtet den Mandanten ein, lädt Mitarbeitende ein, vergibt Rollen, verbindet andere Systeme und legt fest, welche Daten verarbeitet werden dürfen.

Viele SaaS-Angebote werden monatlich oder jährlich abgerechnet. Das Abo ist jedoch nicht die eigentliche Definition. Entscheidend ist, dass eine fertige Anwendung als laufender Cloud-Dienst bereitsteht und nicht auf der eigenen Infrastruktur betrieben werden muss.

Diese Aufteilung spart Betriebsarbeit, beseitigt Verantwortung aber nicht. Ein sicherer Dienst kann durch zu weit gefasste Rechte, unkontrollierte Integrationen oder fehlende Austrittsregeln trotzdem zum Risiko werden.

Warum Unternehmen SaaS nutzen

SaaS verkürzt häufig den Weg vom Bedarf zur nutzbaren Anwendung. Ein kleines Team kann einen begrenzten Pilot starten, ohne zuerst Server zu beschaffen oder einen eigenen Update-Prozess aufzubauen. Neue Mitarbeitende und Standorte lassen sich meist schneller anbinden, und der Anbieter pflegt eine gemeinsame Produktversion.

Daraus folgt nicht automatisch, dass SaaS immer günstiger, sicherer oder einfacher ist. Der Nutzen hängt davon ab, ob die Anwendung zum Prozess passt und ob das Unternehmen die laufenden Abhängigkeiten beherrscht.

Typische Vorteile sind:

• wenig eigene Infrastruktur für die Anwendung,
• schneller Start und zentrale Aktualisierungen,
• flexible Benutzer- und Funktionspakete,
• ortsunabhängiger Zugriff,
• häufig vorhandene Schnittstellen und Integrationen.

Wo die Grenzen liegen

Je tiefer ein SaaS-Dienst in einen Kernprozess eingebaut wird, desto schwerer kann ein Wechsel werden. Datenexporte allein reichen nicht, wenn Berichte, Automationen, Rollenmodelle und angeschlossene Systeme nicht übertragbar sind. Auch die Verfügbarkeit des eigenen Prozesses hängt dann vom Anbieter und von der Internetverbindung ab.

SaaS passt deshalb nicht automatisch zu jedem Einsatz. Eine eigene oder speziell betriebene Lösung kann sinnvoller sein, wenn Prozesse stark individuell sind, Offline-Betrieb nötig ist, besondere regulatorische Vorgaben gelten oder die Kontrolle über Release-Zyklen und technische Anpassungen entscheidend ist.

Der Abo-Preis ist nicht der Gesamtpreis

Für einen belastbaren Vergleich sollte das Unternehmen nicht nur den Listenpreis pro Nutzer betrachten. Sinnvoller ist eine Rechnung über den geplanten Nutzungszeitraum:

Gesamtkosten = Abonnement + Einführung + Integration + interner Betrieb + Zusatzverbrauch + Ausstieg

Die Formel liefert keine perfekte Prognose. Sie macht aber sichtbar, welche Annahmen hinter einem scheinbar günstigen Angebot stehen.

Datenschutz, Sicherheit und Vertrag: Was in Deutschland zählt

Wer personenbezogene Daten in einem SaaS-Dienst verarbeitet, sollte zuerst die tatsächlichen Rollen klären. Die Leitlinien des Europäischen Datenschutzausschusses betonen, dass Verantwortlicher und Auftragsverarbeiter nach ihrer realen Tätigkeit bestimmt werden – nicht allein nach der Überschrift eines Vertrags. Verarbeitet der Anbieter Daten im Auftrag, verlangt die DSGVO insbesondere in Artikel 28 eine bindende Vereinbarung mit konkreten Pflichten. Bei Übermittlungen in Drittländer sind zusätzlich die Bedingungen des Kapitels V der DSGVO zu prüfen.

„Daten liegen in der EU“ ist deshalb ein hilfreicher Prüfpunkt, aber noch kein vollständiger Datenschutzbeleg. Relevant sind auch Unterauftragsverarbeiter, Zugriffswege, Lösch- und Rückgaberegeln, technische Schutzmaßnahmen und mögliche Drittlandtransfers.

Für die Informationssicherheit kann ein Prüfbericht nach dem BSI-Kriterienkatalog C5 ein nützliches Signal sein. Er ersetzt weder die Risikoprüfung des konkreten Einsatzes noch die sichere Konfiguration durch den Kunden. Die BSI-Checkliste zur Auswahl eines Cloud-Dienstes nennt unter anderem Verantwortlichkeiten, Schnittstellen, Identitäts- und Berechtigungskonzepte, Logmanagement sowie die Einbindung in Risiko- und Betriebsprozesse.

Der Exit gehört seit dem Einkauf in den Vertrag

Der EU Data Act gilt seit dem 12. September 2025. Nach der Erläuterung der Europäischen Kommission enthält er Regeln für den Wechsel zwischen Datenverarbeitungsdiensten. Für Software- und Plattformdienste sind offene Schnittstellen und mindestens ein Export der relevanten Daten in einem gängigen, maschinenlesbaren Format vorgesehen.

Vollständig kostenlos ist jeder Wechsel noch nicht zwingend: Bis zum 12. Januar 2027 dürfen Anbieter unter den Übergangsregeln noch reduzierte, direkt mit dem Wechsel verbundene Entgelte verlangen. Ab diesem Datum sollen Wechselentgelte einschließlich der erfassten Datentransferkosten entfallen.

Für die Auswahl heißt das: Nicht nur fragen, ob ein Exportknopf existiert. Vor Vertragsschluss sollte klar sein, welche Daten und Metadaten exportiert werden, in welchem Format, in welcher Frist, zu welchen Kosten und welche Bestandteile wie Automationen oder Berichte separat nachgebaut werden müssen.

Hinweis: Dieser Abschnitt bietet eine praktische Orientierung und keine Rechtsberatung. Bei sensiblen Daten, regulierten Branchen oder komplexen Drittlandtransfers sollte fachkundiger Datenschutz- und Rechtsrat einbezogen werden.

So führen kleine Teams SaaS kontrolliert ein

1. Problem eingrenzen: Einen konkreten Prozess, die beteiligten Rollen und ein überprüfbares Ziel festlegen.
2. Ausschlusskriterien setzen: Vor der Funktionsbewertung klären, welche Daten, Vertragsbedingungen, Zugriffs- und Exportanforderungen unverzichtbar sind.
3. Gesamtkosten rechnen: Ein realistisches Szenario für Nutzer, Zusatzfunktionen, Einführung, Integration und Ausstieg erstellen.
4. Begrenzten Pilot planen: Mit einer kleinen Gruppe, repräsentativen Rollen und kontrollierten Datenflüssen testen, ohne sofort einen kritischen Prozess vollständig abhängig zu machen.
5. Nutzung messen: Prüfen, ob der Dienst tatsächlich Zeit spart, Fehler reduziert oder Transparenz verbessert.
6. Exit testen: Einen Datenexport durchführen, Lesbarkeit und Vollständigkeit prüfen und den Aufwand für einen Wechsel dokumentieren.
7. Verantwortung festlegen: Benennen, wer Konten, Rechte, Kosten, Vertrag, Sicherheitsmeldungen und die regelmäßige Bestandsprüfung betreut.

Wenn der Dienst KI-Funktionen nutzt oder Eingaben und Dateien an Modelle weitergibt, kommen zusätzliche Fragen zu Datenverwendung, Modellgrenzen und menschlicher Kontrolle hinzu. Dafür hilft der vertiefende Leitfaden KI-SaaS sicher auswählen.

Wann SaaS eine gute Entscheidung ist

SaaS ist meist passend, wenn ein standardisierter Prozess schnell verbessert werden soll, das Team wenig eigene Infrastruktur betreiben will und Anbieterwechsel, Datenschutz und Zugriffe beherrschbar bleiben. Weniger passend ist es, wenn der Prozess so speziell oder reguliert ist, dass Standardisierung, externer Betrieb oder laufende Produktänderungen ein größeres Risiko als der Nutzen darstellen.

Fazit: SaaS ist ein Betriebsmodell, keine Abkürzung für Verantwortung

SaaS macht Software leichter zugänglich, weil der Anbieter einen großen Teil des technischen Betriebs übernimmt. Gute Entscheidungen entstehen aber nicht aus der längsten Funktionsliste. Sie verbinden einen klaren Prozessnutzen mit kontrollierbaren Kosten, Daten, Rechten und Abhängigkeiten.

Vor der Entscheidung reichen drei Fragen als letzter Test: Welches Problem löst der Dienst messbar? Welche Verantwortung bleibt bei uns? Und können wir Daten und Prozess geordnet wieder herauslösen?