Office im Browser, eine selbst entwickelte Web-App, ein gemieteter virtueller Server. Alles läuft „in der Cloud“, und trotzdem sind das drei verschiedene Dinge. Der Unterschied zwischen SaaS, PaaS und IaaS liegt darin, wie viel der Anbieter für dich übernimmt und wie viel du selbst verwaltest. Hier bekommst du die Definition des US-Instituts NIST, neutrale Beispiele, die Aufteilung der Verantwortung und eine Entscheidungshilfe für kleine Unternehmen.
Das Wichtigste in Kürze
- SaaS heißt fertige Software nutzen, PaaS heißt eigene Anwendungen auf einer verwalteten Plattform betreiben, IaaS heißt Rechenleistung, Speicher und Netz mieten und selbst einrichten.
- Eine verbreitete Definition stammt vom US-Standardisierungsinstitut NIST (SP 800-145, September 2011). Die Definition kennt fünf Merkmale, drei Servicemodelle und vier Bereitstellungsmodelle.
- Je weiter du von IaaS Richtung SaaS gehst, desto mehr Aufgaben übernimmt der Anbieter, etwa das Betriebssystem.
- Deine Daten, Benutzerkonten und Zugriffsrechte bleiben laut Microsoft in jedem Modell deine Aufgabe.
- Serverless und Functions as a Service (FaaS) sind kein viertes NIST-Modell. Die Anbieter ordnen sie unterschiedlich ein, Microsoft etwa Azure Functions unter PaaS.
- Das BSI empfiehlt Cloud-Kunden, den C5-Prüfbericht eines Anbieters anzufordern und selbst auszuwerten.
Der Unterschied zwischen SaaS, PaaS und IaaS in drei Sätzen
Bei Software as a Service (SaaS) nutzt du eine fertige Anwendung des Anbieters, meist im Browser oder per App. Bei Platform as a Service (PaaS) bringst du deine eigene Anwendung mit und lässt sie auf einer Plattform laufen, um deren Server und Betriebssystem sich der Anbieter kümmert. Bei Infrastructure as a Service (IaaS) mietest du die Grundbausteine, also virtuelle Rechner, Speicher und Netzwerk, und richtest Betriebssystem und Software selbst ein.
Das BSI fasst es aus Sicherheitssicht knapp zusammen. Bei IaaS hat der Kunde die volle Kontrolle über das IT-System vom Betriebssystem aufwärts, bei PaaS nur noch über seine Anwendungen, und bei SaaS übergibt er praktisch die ganze Kontrolle an den Cloud-Anbieter.
Zum Merken hilft ein Bild aus dem Alltag. IaaS ist wie eine leere Mietwohnung, du möblierst und renovierst selbst. PaaS ist die möblierte Wohnung, du ziehst nur mit deinen Sachen ein. SaaS ist das Hotelzimmer, du checkst ein und nutzt, was da ist.
Was die NIST-Definition genau sagt
Viele Erklärungen gehen auf die NIST Special Publication 800-145 zurück, „The NIST Definition of Cloud Computing“ aus dem September 2011. Das Papier beschreibt Cloud Computing als Modell, das einen überall verfügbaren, bequemen und bedarfsgerechten Netzzugriff auf einen gemeinsam genutzten Pool konfigurierbarer Rechenressourcen ermöglicht, die sich schnell und mit minimalem Verwaltungsaufwand oder Kontakt zum Anbieter bereitstellen und wieder freigeben lassen. Laut NIST besteht dieses Modell aus fünf wesentlichen Merkmalen, drei Servicemodellen und vier Bereitstellungsmodellen. Die drei Servicemodelle lauten sinngemäß übersetzt so.
Software as a Service (SaaS)
Du nutzt die Anwendungen des Anbieters, die auf einer Cloud-Infrastruktur laufen. Der Zugriff erfolgt über einen schlanken Client wie einen Webbrowser (NIST nennt als Beispiel webbasierte E-Mail) oder über eine Programmschnittstelle. Netzwerk, Server, Betriebssysteme, Speicher und sogar einzelne Programmfunktionen verwaltest du nicht. Ausnahme sind höchstens begrenzte, benutzerspezifische Anwendungseinstellungen.
Platform as a Service (PaaS)
Du stellst selbst erstellte oder eingekaufte Anwendungen auf der Cloud-Infrastruktur bereit. Gebaut werden diese mit Programmiersprachen, Bibliotheken, Diensten und Werkzeugen, die der Anbieter unterstützt. Die Infrastruktur darunter verwaltest du nicht, wohl aber deine bereitgestellten Anwendungen und eventuell Einstellungen der Hosting-Umgebung.
Infrastructure as a Service (IaaS)
Du stellst Rechenleistung, Speicher, Netzwerke und andere grundlegende Ressourcen bereit und kannst darauf beliebige Software betreiben, auch Betriebssysteme. Die darunterliegende Cloud-Infrastruktur verwaltest du nicht. Du hast aber die Kontrolle über Betriebssysteme, Speicher und Anwendungen und eventuell begrenzt über ausgewählte Netzwerkkomponenten, NIST nennt als Beispiel Host-Firewalls.
Übrigens nutzt das BSI inzwischen keine eigene Cloud-Definition mehr, sondern die der ISO-Norm ISO/IEC 22123. Die frühere BSI-Definition war laut BSI an die von NIST angelehnt. An der Dreiteilung in Infrastruktur, Plattform und Software ändert das nichts.
Beispiele für SaaS, PaaS und IaaS
Die großen Anbieter ordnen ihre Dienste in der eigenen Dokumentation den Modellen zu. Die Beispiele stammen von dort und sind keine Empfehlung.
- SaaS: Microsoft nennt Microsoft 365 und Dynamics 365, Google nennt Google Workspace. Das BSI zählt Anwendungen wie Kontaktdatenmanagement, Finanzbuchhaltung, Textverarbeitung und Kollaborationswerkzeuge dazu.
- PaaS: Microsoft nennt Azure App Service, Azure Functions und Azure SQL Database. Google nennt App Engine und BigQuery.
- IaaS: Microsoft nennt Azure Virtual Machines und virtuelle Netzwerke, AWS stuft Amazon EC2 als IaaS ein, Google nennt Compute Engine und Cloud Storage.
Die Grenzen sind nicht immer scharf. Speicherdienste sortieren die Anbieter zum Beispiel unterschiedlich ein. Microsoft führt Azure Storage in seiner Übersicht zur geteilten Verantwortung unter PaaS, Google zählt Cloud Storage in seiner entsprechenden Übersicht zu IaaS. Für dich zählt deshalb weniger das Etikett als die Frage, welche Aufgaben beim konkreten Dienst bei dir landen.
Wer ist wofür verantwortlich? Das Modell der geteilten Verantwortung
Hinter dem Unterschied steckt eine Aufgabenteilung. Microsoft, AWS und Google beschreiben sie als Modell der geteilten Verantwortung (Shared Responsibility). AWS bringt es auf die Formel „Sicherheit der Cloud“ für den Anbieter und „Sicherheit in der Cloud“ für den Kunden. Was „in der Cloud“ konkret bedeutet, hängt vom gewählten Dienst ab.
Die Angaben in der Tabelle stammen aus der Verantwortungsmatrix von Microsoft Learn (zuletzt aktualisiert im August 2026). Andere Anbieter teilen ähnlich auf, im Detail kann es je nach Dienst abweichen.
| Modell | Liegt bei dir | Liegt beim Anbieter |
|---|---|---|
| IaaS | Daten, Konten, Einstellungen, Endgeräte, Anwendungen, Netzwerkkontrollen, Betriebssystem | physische Server, physisches Netzwerk, Rechenzentrum |
| PaaS | Daten, Konten, Einstellungen, Endgeräte; Anwendungen und Netzwerkkontrollen geteilt | Betriebssystem, physische Server, physisches Netzwerk, Rechenzentrum |
| SaaS | Daten, Konten, Einstellungen; Endgeräte und Anwendung geteilt | Netzwerkkontrollen, Betriebssystem, physische Infrastruktur |
Was in jedem Modell bei dir bleibt
Microsoft nennt vier Aufgaben, die du unabhängig vom Modell immer behältst.
- Daten: Einstufung, Schutz, Entscheidungen zur Verschlüsselung und die Einhaltung von Vorgaben zur Datenverwaltung.
- Endgeräte: Schutz der Laptops, Desktops und Smartphones, mit denen du auf die Dienste zugreifst.
- Konten: Benutzerkonten verwalten, also Zugänge anlegen, ändern und wieder entziehen.
- Zugriffsverwaltung: Rollen und Rechte, Mehrfaktor-Authentifizierung und Regeln für bedingten Zugriff.
Google beschreibt es ähnlich. Bei SaaS übernimmt der Anbieter den Großteil der Sicherheitsaufgaben, du bleibst aber für deine Zugriffssteuerung und die Daten verantwortlich, die du in der Anwendung speicherst. Bei IaaS liegt der Großteil der Sicherheitsaufgaben bei dir. Und bei einer Instanz von Amazon EC2, also einem virtuellen Server bei AWS, kümmerst du dich laut AWS selbst um das Gastbetriebssystem, einschließlich Updates und Sicherheitspatches.
Und was ist mit Serverless und FaaS?
Neben den drei Klassikern begegnen dir Begriffe wie Serverless oder Functions as a Service (FaaS). Microsoft beschreibt serverloses Computing als Cloud-Ausführungsmodell, bei dem der Anbieter Infrastruktur, Skalierung und Wartung übernimmt. Entwickler schreiben Funktionen, die nur laufen, wenn ein Ereignis sie auslöst, etwa eine Benutzeraktion. Abgerechnet wird nach Microsoft-Angaben nach der Zahl der Ausführungen und der verbrauchten Rechenzeit.
Server gibt es weiterhin, du siehst sie nur nicht. In der NIST-Systematik ist Serverless kein eigenes viertes Modell. Microsoft führt Azure Functions in seiner Übersicht unter PaaS, Google listet FaaS als eigene Kategorie mit ähnlicher Aufgabenteilung wie bei SaaS.
Uneinheitlich ist auch Containers as a Service (CaaS). Microsoft beschreibt CaaS als Erweiterung von IaaS für Containeranwendungen. Google führt seinen Kubernetes-Dienst GKE in der Übersicht zur geteilten Verantwortung unter PaaS, auf seiner Erklärseite zu den Servicemodellen dagegen als Beispiel für CaaS. Das BSI weist darauf hin, dass sich die meisten „as a Service“-Angebote zumindest grob einer der drei Kategorien zuordnen lassen.
Entscheidungshilfe für kleine Unternehmen
Für Selbstständige und kleine Firmen hilft eine einfache Frage. Überleg dir, ob du Software nutzen, Software betreiben oder Server betreiben willst. Die Einsatzfälle orientieren sich an der Beschreibung von Google.
- SaaS passt, wenn dir das Know-how oder der Bedarf fehlt, eine Anwendung selbst zu bauen. NIST und BSI nennen etwa webbasierte E-Mail, Textverarbeitung, Finanzbuchhaltung und Kollaborationsanwendungen. Du kümmerst dich um Konten, Rechte und Daten, nicht um Server.
- PaaS passt, wenn du eine eigene Anwendung hast oder entwickeln lässt, zum Beispiel eine Website oder eine Web-App, und dich auf die Entwicklung statt auf die Infrastruktur konzentrieren willst. Dafür brauchst du jemanden, der programmiert und die Anwendung pflegt.
- IaaS passt, wenn du eine bestehende Server-Anwendung unverändert in die Cloud umziehen willst (Lift-and-Shift) oder sie auf bestimmten virtuellen Maschinen mit bestimmten Datenbanken oder Netzwerkkonfigurationen laufen lassen willst. Hier brauchst du Admin-Wissen, denn Updates und Absicherung des Systems liegen bei dir.
Die Modelle lassen sich auch kombinieren. Microsoft nennt als Beispiel ein Unternehmen, das eigene Anwendungen auf IaaS betreibt, neue Funktionen auf PaaS entwickelt und SaaS für Zusammenarbeit und Büroarbeit nutzt.
Worauf du bei der Anbieterwahl achten kannst
Für die Sicherheit eines Cloud-Dienstes gibt es in Deutschland den Kriterienkatalog C5 des BSI. Er beschreibt Mindestanforderungen an die Informationssicherheit von Cloud-Diensten, und Wirtschaftsprüfer können die Erfüllung testieren. Das BSI empfiehlt Kunden, den C5-Prüfbericht anfangs und danach regelmäßig jährlich anzufordern und auszuwerten. Das BSI wertet die Berichte selbst nicht aus, die Prüfung bleibt also bei dir. Speicherst du personenbezogene Daten in der Cloud, sprich zusätzlich mit deinem Datenschutzbeauftragten oder einer Fachperson.
Häufige Missverständnisse
- „Bei SaaS ist der Anbieter für alles zuständig.“ Nicht ganz. Daten, Benutzerkonten und Zugriffsrechte bleiben laut Microsoft bei dir, Google sagt es für Zugriffssteuerung und Daten ähnlich.
- „IaaS ist einfach ein Server, um den sich jemand anderes kümmert.“ Der Anbieter kümmert sich um Hardware und Rechenzentrum. Betriebssystem, Updates und installierte Software bleiben deine Aufgabe.
- „Jeder Dienst gehört eindeutig in eine Schublade.“ Speicher, Serverless und Container zeigen, dass Anbieter ähnliche Angebote unterschiedlich einordnen. Entscheidend ist die Doku des jeweiligen Dienstes.
Fazit
Der Unterschied zwischen SaaS, PaaS und IaaS hängt an der Frage, wie viel du selbst verwalten willst. IaaS gibt dir die meiste Kontrolle und die meiste Arbeit, SaaS die wenigste Arbeit und die wenigsten Stellschrauben, PaaS liegt dazwischen. Im Büroalltag kleiner Unternehmen hast du es meist mit SaaS zu tun, PaaS und IaaS werden interessant, sobald eigene Anwendungen oder spezielle Server-Software ins Spiel kommen. Egal welches Modell, deine Daten, Konten und Zugriffsrechte bleiben deine Verantwortung.
Häufige Fragen
Was ist der Unterschied zwischen SaaS, PaaS und IaaS?
SaaS ist fertige Software zur Nutzung, PaaS eine verwaltete Plattform für eigene Anwendungen und IaaS gemietete Grundinfrastruktur wie virtuelle Server, Speicher und Netz. Der Unterschied liegt darin, wie viel der Anbieter verwaltet. Bei IaaS ist es am wenigsten, bei SaaS am meisten.
Ist Microsoft 365 SaaS, PaaS oder IaaS?
Microsoft selbst nennt Microsoft 365 als Beispiel für SaaS. Du nutzt also fertige Anwendungen und verwaltest keine Server. Für Konten, Zugriffsrechte und deine Daten bist du trotzdem selbst zuständig.
Wer hat die Begriffe SaaS, PaaS und IaaS definiert?
Eine gängige Definition stammt aus der NIST Special Publication 800-145 des US-Standardisierungsinstituts NIST vom September 2011. Das BSI verwendet heute die Definition der ISO-Norm ISO/IEC 22123, unterscheidet aber ebenfalls die Servicemodelle IaaS, PaaS und SaaS.
Ist Serverless dasselbe wie PaaS?
Nicht ganz, aber eng verwandt. Serverless beschreibt ein Ausführungsmodell, bei dem Code nur bei einem Ereignis läuft und der Anbieter die Infrastruktur verwaltet. Microsoft ordnet Azure Functions unter PaaS ein, Google führt FaaS als eigene Kategorie.
Welches Cloud-Modell eignet sich für kleine Unternehmen?
Für Mail, Office, Buchhaltung und Zusammenarbeit ist SaaS der übliche Weg, weil du keine Server betreuen musst. PaaS lohnt sich bei einer eigenen Web-Anwendung, IaaS bei speziellen Server-Anforderungen und vorhandenem Admin-Wissen.
Quellen & Belege
- NIST: SP 800-145, The NIST Definition of Cloud Computing (PDF) – belegt: Cloud-Definition, Definitionen von SaaS, PaaS und IaaS, Erscheinungsdatum September 2011, fünf Merkmale, drei Servicemodelle, vier Bereitstellungsmodelle, Beispiel webbasierte E-Mail, Host-Firewalls
- Microsoft Learn: Shared responsibility in the cloud – belegt: Verantwortungsmatrix für IaaS, PaaS und SaaS, vier Aufgaben, die beim Kunden bleiben, Beispiele Microsoft 365, Dynamics 365, Azure App Service, Azure Functions, Azure SQL Database, Azure Storage, Azure Virtual Machines
- AWS: Modell der geteilten Verantwortung – belegt: „Sicherheit der Cloud“ und „Sicherheit in der Cloud“, Amazon EC2 als IaaS, Kunde verwaltet Gastbetriebssystem inklusive Updates und Sicherheitspatches
- Google Cloud: Geteilte Verantwortung und Fate-Sharing – belegt: Beispiele Compute Engine, Cloud Storage (IaaS), App Engine, GKE, BigQuery (PaaS), Google Workspace (SaaS), FaaS als eigene Kategorie mit ähnlicher Verantwortung wie SaaS, typische Einsatzfälle und Verteilung der Sicherheitsaufgaben je Modell
- Google Cloud: PaaS vs. IaaS vs. SaaS vs. CaaS – belegt: GKE als Beispiel für CaaS, FaaS getrennt von PaaS aufgeführt
- Microsoft Azure: Was sind IaaS, PaaS und SaaS? – belegt: CaaS als Erweiterung von IaaS, Kombination der Modelle in einem Unternehmen
- Microsoft Azure: Was ist serverloses Computing? – belegt: Serverless als Ausführungsmodell, ereignisgesteuerte Funktionen, Abrechnung nach Ausführungen und Rechenzeit, Server bleiben für Entwickler unsichtbar
- BSI: Cloud Computing Grundlagen – belegt: Kontrolle des Kunden je Servicemodell, SaaS-Beispiele, Nutzung der ISO/IEC-22123-Definition, frühere Anlehnung an NIST, Zuordnung weiterer „as a Service“-Angebote
- BSI: Kriterienkatalog C5 – belegt: Mindestanforderungen an Informationssicherheit, Testat durch Wirtschaftsprüfer, Empfehlung zur jährlichen Anforderung des Prüfberichts, BSI wertet Berichte nicht aus
Stand: Oktober 2026. Menüs und Funktionen können sich mit Updates ändern. Angaben ohne eigene Quelle sind redaktionelle Erfahrungswerte.
Bildnachweis Beitragsbild: Foto Winston Chen / Unsplash