SaaS vs. Managed Hosting vs. Self-Hosting: Entscheiden Sie danach, wer die Arbeit übernimmt

Beginnen Sie mit den Aufgaben, die die Anwendung unterstützen muss

Die Entscheidung, wo eine Anwendung betrieben wird, ist nicht einfach eine Wahl zwischen der Cloud eines Anbieters und einem eigenen Server. Es geht darum, wer die Ebenen betreibt, die dafür sorgen, dass die Anwendung nutzbar bleibt – und wer Entscheidungen zu Daten, Zugriff, Konfiguration und Wiederherstellung trifft.

Halten Sie zunächst fest, welche Aufgabe die Anwendung erfüllen muss, mit welchen Systemen sie verbunden werden soll, wer Zugriff benötigt und was passiert, wenn sie nicht verfügbar ist. Listen Sie anschließend die Betriebsaufgaben auf, für die Ihr Team zuverlässig Verantwortung übernehmen kann. Ein Modell, das bei der Anmeldung einfach wirkt, kann für Ihr Team trotzdem zusätzlichen Aufwand bei Identitätsverwaltung, Datenverarbeitung, Integrationen oder der Wiederherstellung des Dienstes bedeuten.

Die Bezeichnungen sind ein hilfreicher Ausgangspunkt, aber kein vollständiger Vertrag. Umfang und Aufgabenteilung bei SaaS, Managed Hosting und Self-Hosting können sich je nach Anbieter und Vereinbarung unterscheiden. Prüfen Sie die Verantwortlichkeiten in der Anbieterdokumentation und den Vertragsunterlagen, bevor Sie sich auf eine Annahme verlassen.

• Von welchem Geschäftsprozess hängt die Anwendung ab, und wie stark würden sich ein Ausfall oder Datenverlust auswirken?
• Müssen Sie die Anwendung, ihre Bereitstellung oder die zugrunde liegende Konfiguration ändern?
• Welche Integrationen, Identitätskontrollen und Regeln zur Datenverarbeitung sind zwingend erforderlich?
• Wer in Ihrem Team ist für Administration, Rückfragen beim Anbieter und Entscheidungen zur Wiederherstellung zuständig?

Definieren Sie die Modelle danach, wer die einzelnen Ebenen betreibt

SaaS ist in der Regel eine Anwendung, die von einem Anbieter bereitgestellt und betrieben wird. Üblicherweise betreibt der Anbieter den Dienst und die zugrunde liegende Infrastruktur. Kunden nutzen die Anwendung und verwalten ihre eigenen Nutzer, Einstellungen und Geschäftsprozesse. Die genaue Aufgabenteilung – insbesondere bei Datenexport, Identität, Backups und der Reaktion auf Vorfälle – hängt vom jeweiligen Dienst ab.

Bei Managed Hosting übernimmt ein Anbieter bestimmte Hosting- oder Infrastrukturaufgaben für eine Anwendung, während der Kunde zumindest für einige Entscheidungen auf Anwendungs- und Organisationsebene verantwortlich bleibt. Der Begriff legt keine allgemeingültige Grenze fest. Ein Anbieter übernimmt möglicherweise die Bereitstellung und den routinemäßigen Betrieb des Dienstes, ein anderer stellt nur eine eng umrissene Hosting-Ebene bereit. Fragen Sie nach den enthaltenen Leistungen, anstatt sie aus der Bezeichnung abzuleiten.

Beim Self-Hosting betreibt die Organisation die Anwendung auf einer Infrastruktur, die sie selbst kontrolliert oder deren Betrieb sie organisiert. Dadurch hat sie direktere Kontrolle über Bereitstellung und Konfiguration, übernimmt aber auch mehr Betriebsaufgaben – selbst oder über Auftragnehmer. Die Nutzung eines Cloud-Infrastrukturanbieters macht eine Anwendung nicht automatisch zu SaaS: Ihre Organisation kann weiterhin für den Betrieb der Anwendung verantwortlich sein.

Als Faustregel gilt: Unterscheiden Sie zwischen der Anwendung und der Infrastruktur, auf der sie läuft. Wenn ein Anbieter eine Ebene betreibt, bedeutet das für sich genommen nicht, dass er sämtliche Aufgaben der darüber- oder darunterliegenden Ebenen übernimmt.

• SaaS: In der Regel betreibt der Anbieter den Anwendungsdienst; der Kunde bleibt für dessen Nutzung, seine Nutzer, Entscheidungen zu Daten und Governance verantwortlich.
• Managed Hosting: Der Anbieter übernimmt die vereinbarten Hosting-Aufgaben; für alle nicht ausdrücklich enthaltenen Verantwortlichkeiten bleibt der Kunde zuständig.
• Self-Hosting: Die Organisation organisiert den Betrieb der Anwendung und ihrer Umgebung selbst oder über eigene Dienstleister.

Nutzen Sie eine Verantwortungsmatrix – und klären Sie die Grenzen

Die folgende Matrix dient als Diskussionsgrundlage und ist keine Zusage für jeden Anbieter. „Üblicherweise“ beschreibt eine gängige Ausgangsannahme, keine garantierte Leistung. Gerade bei Managed Hosting unterscheiden sich die Verantwortlichkeiten erheblich. Bitten Sie den Anbieter, dieselbe Tabelle für die konkrete Anwendung und den jeweiligen Tarif auszufüllen.

Manche Aufgaben werden gemeinsam getragen. Ein Anbieter kann beispielsweise Backups der Infrastruktur betreiben, während der Kunde entscheidet, welche Daten aufbewahrt werden müssen, wer darauf zugreifen darf und wie auf einen Wiederherstellungsfall reagiert werden soll. Eine Backup-Funktion ist nicht dasselbe wie ein getesteter Wiederherstellungsplan.

• Betrieb der Infrastruktur — SaaS: üblicherweise der Anbieter; Managed Hosting: der Anbieter im vertraglich vereinbarten Hosting-Umfang; Self-Hosting: die Organisation oder die von ihr gewählten Infrastrukturanbieter.
• Installation und Updates der Anwendung — SaaS: Üblicherweise steuert der Anbieter die Aktualisierungen des Dienstes, abhängig von seinem Release-Prozess; Managed Hosting: unterschiedlich – klären Sie, wer Updates plant, einspielt und überprüft; Self-Hosting: Die Organisation plant und installiert sie, sofern sie die Aufgabe nicht delegiert.
• Backups — SaaS: Fragen Sie, was gesichert wird, wie lange die Backups aufbewahrt werden und ob Kunden selbst eine Wiederherstellung anstoßen können; Managed Hosting: Prüfen Sie Umfang, Zeitplan und Aufbewahrungsdauer der Backups sowie die Zuständigkeit für die Wiederherstellung; Self-Hosting: Die Organisation muss Backups einrichten und überwachen oder diese Aufgabe vertraglich vergeben.
• Zugriff und Identität — alle Modelle: Der Kunde muss festlegen, wer Zugriff haben soll, und die Berechtigungen auf Unternehmensseite verwalten. Fragen Sie, welche Identitätskontrollen der Dienst unterstützt und wer Konten auf Plattformebene verwaltet.
• Daten und Governance — alle Modelle: Der Kunde muss entscheiden, welche Daten in die Anwendung eingegeben werden, wer sie nutzen darf und welche Richtlinien gelten. Klären Sie Zusagen des Anbieters, Speicherorte der Daten und Bedingungen für deren Verarbeitung direkt mit dem Anbieter.
• Wiederherstellung — alle Modelle: Vereinbaren Sie, wer Vorfälle erkennt und kommuniziert, wer die Wiederherstellung einleitet, welche Wiederherstellungsoptionen verfügbar sind und was der Kunde tun muss. Gehen Sie nicht davon aus, dass die Zuständigkeit für das Hosting eine Wiederherstellungszeit oder ein bestimmtes Ergebnis garantiert.
• Konfiguration und Integrationen — SaaS: durch die verfügbaren Einstellungen und Schnittstellen des Dienstes begrenzt; Managed Hosting: je nach Dienst möglicherweise mehr Flexibilität auf Bereitstellungsebene; Self-Hosting: bietet typischerweise die direkteste Kontrolle, geht aber mit entsprechendem Betriebsaufwand einher.

Vergleichen Sie die Kompromisse über den Betriebsaufwand hinaus

Kontrolle und Aufwand bewegen sich oft in entgegengesetzte Richtungen, aber nicht immer. SaaS kann den Aufwand für den Betrieb des Anwendungs-Stacks reduzieren, zugleich jedoch die Auswahl bei der Bereitstellung oder die Anpassungsmöglichkeiten einschränken. Self-Hosting kann mehr direkte Kontrolle bieten, doch diese Kontrolle ist nur dann nützlich, wenn jemand die Umgebung warten kann. Managed Hosting kann klar definierte Betriebsaufgaben übertragen, ohne zwangsläufig die Kontrolle über die Anwendung oder die Verantwortung für Geschäftsentscheidungen abzugeben.

Berücksichtigen Sie auch Abhängigkeiten und Portabilität. Ein Dienst kann auf anbieterabhängiger Konfiguration, Integrationen, Identitätsfunktionen oder Datenformaten beruhen. Ein Wechsel zwischen Modellen kann mehr erfordern als das Kopieren einer Datenbank: Auch Anwendungsdateien, Konfiguration, Zugangsdaten, Integrationen und Nutzerzugriffe müssen möglicherweise berücksichtigt werden. Fragen Sie danach, bevor Sie sich entscheiden – nicht erst, wenn Sie einen Wechsel planen.

• Kontrolle: Welche Entscheidungen zu Anwendung, Bereitstellung und Konfiguration müssen bei Ihnen bleiben?
• Anpassungsmöglichkeiten: Werden die erforderlichen Änderungen vom Produkt unterstützt, oder benötigen Sie Zugriff auf die Anwendungsumgebung?
• Betriebsaufwand: Wer kümmert sich um routinemäßige Updates, Überwachung, Backup-Prüfungen, Fehlerbehebung und die Koordination der Wiederherstellung?
• Abhängigkeiten: Welche Dienste für Identität, Speicher, E-Mail, APIs oder andere Funktionen müssen verfügbar bleiben, damit die Anwendung nutzbar ist?
• Portabilität: Können Sie nutzbare Kopien Ihrer Daten und Konfiguration erhalten, und was müsste nach einem Wechsel neu eingerichtet werden?
• Verantwortlichkeit: Gibt es bei einem Ausfall eine benannte Kontaktperson beim Anbieter und einen klaren Handlungsweg für den Kunden?

Ermitteln Sie Anforderungen, die ein Modell ausschließen können

Manche Anforderungen sind Ausschlusskriterien und keine bloßen Präferenzen. Wenn ein Dienst eine zwingend erforderliche Integration, Regel zur Datenverarbeitung oder Wiederherstellungsprozedur nicht unterstützt, kann ein geringerer Betriebsaufwand das nicht ausgleichen. Halten Sie zuerst die verbindlichen Bedingungen fest und vergleichen Sie anschließend die verbleibenden Optionen.

Governance-Anforderungen können die Genehmigung von Zugriffen, Nachvollziehbarkeit, Datenverarbeitung oder die Frage betreffen, wer den Dienst administrieren darf. Die Details hängen von Ihrer Organisation und dem Anbieter ab. Gehen Sie nicht davon aus, dass ein Bereitstellungsmodell allein die Compliance sicherstellt. Prüfen Sie die relevanten Kontrollen und vertraglichen Zusagen gemeinsam mit dem Anbieter und gegebenenfalls mit internen Fachleuten.

Anforderungen an die Wiederherstellung verdienen besondere Aufmerksamkeit. Legen Sie fest, welche Daten und Funktionen wiederhergestellt werden müssen, wer eine Wiederherstellung genehmigen darf und welche Nachweise Sie benötigen, um sicherzustellen, dass der Prozess funktioniert. Stimmen die Antworten des Anbieters nicht mit Ihren Anforderungen überein, sollten Sie das Modell oder den Anbieter überdenken.

• SaaS ist möglicherweise ungeeignet, wenn eine erforderliche Bereitstellungsoption oder Anpassung nicht verfügbar ist oder wenn Regelungen des Dienstes zu Daten, Integrationen oder Zugriff zwingende Anforderungen nicht erfüllen.
• Managed Hosting ist möglicherweise ungeeignet, wenn Ihr Team Aufgaben benötigt, die der Anbieter nicht übernimmt, oder wenn die Grenze zwischen dem Betrieb durch den Anbieter und dem Betrieb durch den Kunden unklar bleibt.
• Self-Hosting ist möglicherweise ungeeignet, wenn niemand verbindlich für Updates, Backups, Zugriffsverwaltung und Wiederherstellung verantwortlich sein kann – oder wenn die Organisation diese Aufgaben nicht dauerhaft leisten kann.
• Jedes Modell kann ungeeignet sein, wenn der Anbieter nicht erklären kann, wie Ihre Daten exportiert werden können, wie der Zugriff kontrolliert wird und was bei Beendigung des Dienstes geschieht.

Prüfen Sie die Kompromisse anhand eines realistischen Anwendungsszenarios

Stellen Sie sich ein kleines operatives Team vor, das eine Anwendung zur internen Projektverfolgung sucht. Mitarbeitende benötigen Browserzugriff, eine Verbindung zu einem bestehenden Identitäts- oder Benachrichtigungsprozess und eine verlässliche Möglichkeit, Datensätze wiederherzustellen. Das Team hat keine eigene Fachkraft für Infrastruktur.

SaaS könnte für das Team passen, wenn der Dienst den erforderlichen Arbeitsablauf und die nötigen Kontrollen unterstützt und die Regelungen des Anbieters zu Datenexport und Wiederherstellung akzeptabel sind. Managed Hosting könnte passen, wenn das Team eine bestimmte Anwendungsbereitstellung benötigt und ein Anbieter klar die Infrastrukturaufgaben übernimmt, die das Team nicht selbst bewältigen kann. Self-Hosting kann ebenfalls eine Option sein, wenn die Organisation eine namentlich benannte Betriebskraft oder einen vertraglich vereinbarten Support hat und die gewünschte Kontrolle den laufenden Aufwand rechtfertigt.

Keine dieser Schlussfolgerungen ergibt sich allein aus der Beschreibung des Szenarios. Das Team sollte die konkrete Integration testen, die Kontoverwaltung klären, Backup- und Wiederherstellungsprozesse prüfen und den eigenen Aufwand einschätzen. Diese Übung ist hilfreich, weil sie vage Aussagen wie „Wir wollen Kontrolle“ oder „Wir wollen einen verwalteten Dienst“ in überprüfbare Anforderungen übersetzt.

• Listen Sie die unverzichtbaren Funktionen und Integrationen des Arbeitsablaufs auf.
• Bestimmen Sie, wer für die Administration der Anwendung und Änderungen an Zugriffsrechten verantwortlich ist.
• Bitten Sie jeden Anbieter, ein routinemäßiges Update und eine Anfrage zur Datenwiederherstellung Schritt für Schritt zu erläutern.
• Halten Sie fest, was das Team bei einem Ausfall, dem Ausscheiden einer mitarbeitenden Person oder einer geplanten Migration tun muss.
• Schließen Sie Optionen, die zwingende Anforderungen nicht erfüllen, aus, bevor Sie den Komfort vergleichen.

Fragen Sie Anbieter, wer die Routineaufgaben übernimmt

Ein hilfreiches Gespräch mit einem Anbieter dreht sich um konkrete Abläufe und nicht nur um eine Liste enthaltener Funktionen. Lassen Sie sich sowohl die normale Wartung als auch den Umgang mit unerwarteten Problemen erklären. Bitten Sie den Anbieter nach Möglichkeit zu unterscheiden, welche Aufgaben er ausführt, welche er empfiehlt und welche er vom Kunden erwartet.

Für eine von Airbip verwaltete Bereitstellung beschreibt Airbip seinen Dienst so, dass Anwendungsinstanzen als Docker-Workloads auf Airbip-Cloudservern ausgeführt werden. Zu den genannten Funktionen zählen automatisiertes Routing und TLS-Zertifikate über Traefik und Let’s Encrypt, DNS-Prüfungen, Verwaltung des Dienstlebenszyklus sowie konfigurierbare tägliche, wöchentliche und monatliche Backups. Diese Funktionen beantworten nicht alle Fragen zur Zuständigkeit: Klären Sie Umfang und Aufbewahrungsdauer der Backups, Wiederherstellungsschritte, Zuständigkeiten für Zugriff und Daten sowie alle weiteren Anforderungen direkt. Informieren Sie sich auf der aktuellen Airbip-Website über geltende Tarife und Geschäftsbedingungen.

• Wer installiert und spielt Updates der Anwendung ein? Kann der Kunde den Zeitpunkt bestimmen?
• Welche Überwachungs- und Fehlerbehebungsleistungen sind enthalten, und bei welchen Ereignissen muss der Kunde handeln?
• Was genau wird bei einem Backup gesichert, wie lange bleibt es verfügbar und wie läuft eine Wiederherstellung ab?
• Wer verwaltet Anwendungskonten, administrativen Zugriff und die Integration mit Identitätsdiensten?
• Welche Daten und Konfigurationen kann der Kunde exportieren, in welchem Format und über welchen Prozess?
• Wer kommuniziert während eines Vorfalls, und welche Informationen oder Maßnahmen werden vom Kunden erwartet?
• Welche Integrationen, Anpassungen oder Änderungen an der Bereitstellung werden unterstützt – und was fällt nicht in den Leistungsumfang?
• Wo sind die Grenzen und Ausschlüsse des Dienstes dokumentiert?

Planen Sie Datenexport, Migration und Vertragsende

Die Portabilität lässt sich leichter vor der Einführung bewerten. Finden Sie heraus, wie Datensätze und Dateien exportiert werden, ob sich Konfiguration und Nutzerinformationen übertragen lassen und ob Integrationen neu eingerichtet werden müssen. Prüfen Sie, ob sich der Export in einem für die nächste Option nutzbaren Format bereitstellen lässt; eine Exportfunktion allein garantiert keine einfache Migration.

Erstellen Sie einen Ausstiegsplan, der der Bedeutung der Anwendung angemessen ist. Legen Sie fest, wer den Export anfordert, wer ihn prüft, wie Zugriffe während des Übergangs gehandhabt werden und was mit Kopien geschieht, die beim bisherigen Anbieter liegen. Klären Sie Fristen, Gebühren und Bedingungen anhand der aktuellen Vertragsunterlagen des Anbieters, statt sich auf Annahmen zu verlassen.

Das richtige Modell ist dasjenige, dessen Betriebsgrenzen, Kontrollniveau und Ausstiegsmöglichkeiten zu Ihren Anforderungen und Kapazitäten passen. SaaS, Managed Hosting und Self-Hosting können jeweils geeignet sein. Entscheidend ist nicht, welche Bezeichnung am sichersten klingt, sondern ob jede wichtige Verantwortung einer zuständigen Person zugewiesen ist.

• Bitten Sie vor einer verbindlichen Entscheidung um ein Beispiel oder eine Beschreibung des Datenexports.
• Ermitteln Sie, welche Anwendungsdaten, Dateien, Konfigurationen, Nutzerkonten und Integrationen möglicherweise übertragen werden müssen.
• Klären Sie, wer die exportierten Daten überprüft und woran ein erfolgreicher Übergang zu erkennen ist.
• Prüfen Sie mit dem Anbieter die Bedingungen für Vertragsende, Datenaufbewahrung und Löschung.
• Führen Sie eine Verantwortungsübersicht mit einer namentlich benannten Person auf Kundenseite für jede Aufgabe, die der Anbieter nicht ausdrücklich übernimmt.