IaaS, PaaS und SaaS

Was sind IaaS, PaaS und SaaS?

IaaS, PaaS und SaaS sind Cloud-Servicemodelle: IaaS stellt Infrastruktur bereit, PaaS eine Umgebung zum Bereitstellen eigener Anwendungen und SaaS Anbieteranwendungen zur Nutzung.

Technische Einordnung: NIST unterscheidet die Modelle nach der bereitgestellten Computing-Fähigkeit. Infrastructure as a Service (IaaS) umfasst grundlegende Rechen-, Speicher- und Netzressourcen. Platform as a Service (PaaS) ermöglicht das Bereitstellen eigener Anwendungen auf einer Anbieterplattform. Software as a Service (SaaS) ermöglicht die Nutzung von Anwendungen des Anbieters.

Wofür ist die Einteilung relevant?

Cloud-Kunden, Cloud-Anbieter und weitere Beteiligte können mit den Servicemodellen Cloud-Dienste bewerten, vergleichen und auswählen. Die Einteilung beschreibt auf hoher Ebene die Art der bereitgestellten Fähigkeit. Sie ist weder auf einen bestimmten Wirtschaftssektor beschränkt noch eine Aussage über den Rechtsstatus einer Organisation oder eines Dienstes.

Woran erkennt man das Servicemodell?

Entscheidend sind die tatsächlich bereitgestellte Leistung und die verbleibenden Kontrollmöglichkeiten des Kunden, nicht allein die Produktbezeichnung: Bei SaaS nutzt der Kunde eine Anbieteranwendung, bei PaaS stellt er eigene Anwendungen auf einer Anbieterplattform bereit und bei IaaS provisioniert er grundlegende Infrastrukturressourcen.

Die fünf NIST-Eigenschaften On-Demand Self-Service, Broad Network Access, Resource Pooling, Rapid Elasticity und Measured Service betreffen vorgelagert die Einordnung als Cloud Computing. Sie entscheiden nicht darüber, welches der drei Servicemodelle vorliegt.

Welche Kontrolle verbleibt beim Kunden?

Bei allen drei Modellen verwaltet oder kontrolliert der Kunde die zugrunde liegende Cloud-Infrastruktur nicht. Seine Kontrolle über darüberliegende Komponenten nimmt jedoch von SaaS zu IaaS zu.

• SaaS: Der Kunde nutzt die Anwendung und hat nur begrenzte Kontrolle, etwa über nutzerspezifische Anwendungseinstellungen.
• PaaS: Der Kunde kontrolliert die bereitgestellten eigenen Anwendungen und gegebenenfalls Konfigurationen der Hosting-Umgebung, nicht aber die zugrunde liegende Infrastruktur.
• IaaS: Der Kunde kontrolliert Betriebssysteme, Speicher und bereitgestellte Anwendungen sowie gegebenenfalls ausgewählte Netzwerkkomponenten, nicht aber die zugrunde liegende Cloud-Infrastruktur.

Legt das Modell die Verantwortungsverteilung oder das Sicherheitsniveau fest?

Nein. Die Modellbezeichnung beschreibt technische Fähigkeiten und typische Kontrollgrenzen, aber weder eine vollständige Aufgabenverteilung noch ein bestimmtes Sicherheitsniveau. Verantwortungsgrenzen sind für den konkreten Anbieter, Dienst und Einsatzzweck festzustellen. Angebote können Merkmale mehrerer Modelle verbinden.

Einordnung der Behördenpraxis: CISA beschreibt Cloud-Sicherheit als geteilte Verantwortung, deren Ausgestaltung je nach Anbieter und Dienst variiert. Der BSI-Kriterienkatalog C5 verlangt von geprüften Cloud-Anbietern Transparenz über Rollen, Aufgaben und mitzuwirkende Kundenkontrollen. Daraus folgt nicht allein wegen der Bezeichnung IaaS, PaaS oder SaaS eine allgemeine Pflicht für jede Organisation.

Gelten für die Modellzuordnung Fristen oder Schwellenwerte?

Nein. Für die allgemeine technische Klassifikation als IaaS, PaaS oder SaaS bestehen keine modellimmanenten Fristen, Startpunkte oder numerischen Schwellenwerte. Vertragliche, sektorspezifische oder andere verbindliche Vorgaben können unabhängig von dieser technischen Einteilung eigene Fristen oder Schwellenwerte enthalten.

Häufige Fehlannahmen

• „Die Produktbezeichnung genügt für die Zuordnung.“ Maßgeblich sind die tatsächlich bereitgestellte Fähigkeit und die Kontrollgrenzen.
• „Das Servicemodell verteilt alle Sicherheitsaufgaben eindeutig.“ Die konkrete Aufgabenverteilung bleibt dienst-, anbieter- und vereinbarungsabhängig.
• „Mehr Kundenkontrolle bedeutet automatisch mehr Sicherheit.“ Das Modell beschreibt Kontrollmöglichkeiten, nicht das erreichte Sicherheitsniveau.
• „Jeder Dienst gehört ausschließlich zu einem Modell.“ Angebote können Eigenschaften mehrerer Servicemodelle überlappen.
• „Die Einteilung bestimmt Branche oder Rechtsstatus.“ IaaS, PaaS und SaaS bezeichnen technische Servicemodelle, keine Wirtschaftssektoren oder Rechtskategorien.

Was die Geschäftsleitung tun sollte

Praxisempfehlung: Die folgenden Schritte dienen einer nachvollziehbaren Auswahl und Steuerung des konkreten Cloud-Dienstes; sie werden nicht allein durch dessen Modellbezeichnung zu einer allgemeinen Rechtspflicht.

1. Die tatsächlich bereitgestellte Fähigkeit und den vorgesehenen Einsatzzweck dokumentieren.
2. Für jede relevante Schicht festhalten, welche Kontrollen beim Anbieter und welche beim Kunden liegen.
3. Aufgaben, Verantwortungsgrenzen und erforderliche Kundenmitwirkung für den konkreten Dienst transparent festhalten.
4. Die Eignungsentscheidung anhand der bereitgestellten Leistung, der Kundenkontrollen sowie der Aufgaben- und Verantwortungsgrenzen nachvollziehbar dokumentieren.
5. Die Bewertung bei einer wesentlichen Änderung des Dienstes, des Einsatzes oder der Verantwortungsgrenzen aktualisieren.

Für die Geschäftsleitung

Reichweite: IaaS, PaaS und SaaS zeigen, welche Art von Cloud-Fähigkeit bereitgestellt wird und wie weit die Kundenkontrolle typischerweise reicht. Entscheidung: Auszuwählen ist nicht nur ein Modellname, sondern ein konkreter Dienst, dessen Leistung und Verantwortungsgrenzen zum Einsatzzweck passen. Nachweis: Leistungsumfang, Kontrollmatrix, Aufgabenverteilung, Eignungsentscheidung und spätere wesentliche Änderungen sollten dokumentiert werden.

Quellen

• NIST SP 800-145: The NIST Definition of Cloud Computing, S. 2–3, Servicemodelle.
• NIST SP 500-322: Evaluation of Cloud Computing Services Based on NIST 800-145, S. 2–3, 9 und 19–20.
• CISA: Cloud Security Technical Reference Architecture, S. 5–6, Shared-Security-Modell.
• BSI: Cloud Computing Compliance Criteria Catalogue C5, Abschnitt 4 und UP-01.