Kurz erklärt
Eigener Server, abgeschottete Cloud oder Software aus dem Netz? Wer ein Bereitstellungsmodell wählt, fragt meist zuerst nach dem Ort. Entscheidend ist aber etwas anderes: Wer trägt im Ernstfall welche Verantwortung, und was lässt sich davon belegen?
Das Bereitstellungsmodell beschreibt, wo eine Software läuft und wer sie betreibt. Bei On-Premise installieren und betreiben Sie die Lösung in der eigenen IT-Umgebung, inklusive Updates, Absicherung und Verfügbarkeit. Bei der Private Cloud läuft eine eigene, abgeschottete Instanz ausschließlich für Ihr Unternehmen. Sie wird von einem Dienstleistungsunternehmen oder in Ihrer eigenen Cloud-Umgebung betrieben. Bei SaaS (Software as a Service) nutzen Sie die Lösung als Dienst. Betrieb, Wartung und Aktualisierung liegen beim Provider, die Infrastruktur teilen sich mehrere Organisationen, logisch voneinander getrennt.
Montag, 8:15 Uhr: Wenn die Modellfrage plötzlich konkret wird
Im Vertragsteam eines mittelständischen Unternehmens lassen sich keine Dokumente mehr signieren. Die Signaturlösung läuft seit Jahren auf einem eigenen Server. Die Person, die ihn einst eingerichtet hat, arbeitet längst in einer anderen Abteilung. Parallel landet im Postfach der Lieferkettenfragebogen Ihrer wichtigsten Kundschaft: Wo werden Signaturdaten verarbeitet? Wer hat Zugriff? Wie schnell reagieren Sie auf einen Sicherheitsvorfall, und wo ist das dokumentiert?
Das Beispiel ist erfunden, das Muster nicht. Keine dieser Fragen betrifft den Funktionsumfang der Lösung. Alle betreffen das Betriebsmodell.
Vier Denkfehler bei der Modellwahl
„Was bei uns steht, ist sicher.” On-Premise bedeutet maximale Kontrolle und maximale Verantwortung. Patches, Härtung, Monitoring, Backups, Notfallwiederherstellung und Vertretungsregelungen liegen dauerhaft bei Ihnen. Sicherheit entsteht nicht durch den Standort eines Servers, sondern durch die Qualität und Kontinuität des Betriebs.
„Cloud heißt Kontrollverlust.” Oft ist das Gegenteil der Fall. Ein spezialisierter Betrieb mit zertifizierten Prozessen, redundanter Infrastruktur und Fachleuten rund um die Uhr ist für viele Organisationen belastbarer als ein Eigenbetrieb, der nebenbei läuft. Kontrolle entsteht dann über Verträge, Zugriffsrechte, Konfiguration und Nachweise.
Standort mit Souveränität verwechseln. „Rechenzentrum in Frankfurt” klingt beruhigend. Entscheidend ist jedoch auch, wer den Dienst betreibt und welchem Recht diese Organisation unterliegt. Gilt für sie außereuropäisches Recht (Stichwort US CLOUD Act), schließt ein EU-Standort allein Zugriffsforderungen nicht aus.
Für heute entscheiden statt für übermorgen. Was mit wenigen Signaturen pro Monat beginnt, wächst: neue Fachbereiche, neue Länder, neue Regulierung. Wer dann das Modell wechseln muss, steht vor einem Migrationsprojekt. Wie wichtig Wechselfähigkeit ist, zeigt der Finanzsektor: Dort verlangt DORA dokumentierte Ausstiegsstrategien für kritische Dienste.
Betrieb ist nicht Rechtswirkung
Hinter einer Signatur- oder Identitätslösung stecken zwei Ebenen, die häufig vermischt werden. Die Anwendungsebene umfasst Workflow, Oberfläche und Anbindung an Ihre Systeme wie DMS oder CRM. Die Vertrauensebene umfasst qualifizierte Zertifikate, die Signaturerstellungseinheit, Zeitstempel und die Prüfung von Identitäten.
Das Bereitstellungsmodell betrifft vor allem die Anwendungsebene. Die Vertrauensebene stammt bei qualifizierten Diensten von einem qualifizierten Vertrauensdiensteanbieter (QTSP). Dieser wird mindestens alle 24 Monate von unabhängigen Stellen geprüft, von der nationalen Aufsicht überwacht und in der EU-Vertrauensliste geführt. Nur so entsteht eine qualifizierte elektronische Signatur, die der handschriftlichen Unterschrift rechtlich gleichgestellt ist. Mit eIDAS 2.0 ist auch die Verwaltung von Fernsignaturerstellungseinheiten ausdrücklich als eigener qualifizierter Vertrauensdienst geregelt.
Für Ihre Entscheidung heißt das: Eine On-Premise-Anwendung macht Ihre Signatur nicht „qualifizierter”, ein SaaS-Betrieb macht sie nicht weniger rechtswirksam. Die Rechtswirkung hängt am Vertrauensdienst und an sauber dokumentierten Prozessen.
Was im Ernstfall wirklich zählt
Im Alltag unterscheiden sich die drei Modelle kaum. Im Ernstfall unterscheiden sie sich deutlich. Drei Situationen zeigen, worauf es ankommt.
Der Sicherheitsvorfall. Technisch zählt Reaktionsgeschwindigkeit. Wissen Sie, welche Version läuft und wer sie in welcher Frist aktualisiert? Gibt es getestete Backups und einen Plan für den Wiederanlauf? Nach NIS2 ist bei erheblichen Vorfällen binnen 24 Stunden eine erste Meldung an das BSI nötig. Im SaaS-Betrieb brauchen Sie dafür eine vertragliche Informationspflicht des Providers, im Eigenbetrieb müssen Sie den Vorfall selbst rechtzeitig erkennen.
Die Prüfung. Organisatorisch zählt, ob Zuständigkeiten, Prozesse und Vertretungen dokumentiert sind. Aufsicht, Auditierende und Geschäftspartnerschaften verlangen Belege: Zertifizierungen, Prüfberichte und Verträge mit klaren Regeln zu Unterauftragnehmern, Prüfrechten und Ausstieg.
Der Streitfall. Rechtlich zählt der Beweiswert. Lässt sich nachvollziehen, wer wann was unterschrieben hat, wie die Identität geprüft wurde und ob das Dokument unverändert ist? Protokolle, Zeitstempel und qualifizierte Vertrauensdienste liefern das, in jedem Modell, aber nur bei konsequent dokumentierten Prozessen.
Welche Mindestanforderungen heute gelten
Der Regulierungsdruck ist in den vergangenen Jahren spürbar gestiegen, und er trifft alle Modelle.
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz für rund 29.500 Unternehmen. Es verlangt die Registrierung beim BSI, dokumentiertes Risikomanagement, Meldepflichten und die Absicherung der Lieferkette. Die Verantwortung liegt ausdrücklich bei der Geschäftsleitung. Für Ihre Modellwahl bedeutet das: Dienstleistungsunternehmen und SaaS-Provider sind Teil Ihrer Lieferkette und müssen sich bewerten und überwachen lassen. Im Eigenbetrieb ist die gesamte Verantwortung Ihre eigene.
Finanzunternehmen müssen zusätzlich DORA erfüllen, die seit 17. Januar 2025 gilt. Sie fordert ein Register aller IKT-Dienstleistungsverträge, vertragliche Mindestinhalte und Ausstiegsstrategien für kritische Funktionen.
Als Sicherheitsnachweis für Cloud-Dienste hat sich der BSI-Kriterienkatalog C5 etabliert, idealerweise als Typ-2-Testat, das die Wirksamkeit über einen Zeitraum belegt. Die neue Fassung C5:2026 erschien im April 2026 und ist für Prüfzeiträume ab Juni 2027 maßgeblich. Alternativ gelten ISO/IEC 27001 und vergleichbare Zertifizierungen.
Unabhängig vom Modell sollten Sie fünf Dinge nachweisen können:
- Benannte Zuständigkeiten und Vertretungen für Betrieb und Sicherheit
- Ein Rollen- und Zugriffskonzept mit Mehrfaktor-Authentisierung
- Getestete Backups und ein Notfallplan
- Lückenlose Protokollierung (Audit Trail) der relevanten Vorgänge
- Vertragliche Regeln zu Meldewegen, Unterauftragnehmern und Datenexport beim Wechsel
Welches Modell passt wann?
Es gibt kein bestes Modell, nur das passende für Ihre Ausgangslage:
| Modell | Passt besonders, wenn… | Darauf sollten Sie achten |
| SaaS | Sie schnell starten, wenig eigenen Betriebsaufwand wollen und Standardprozesse abbilden | Nachweise des Providers (ISO 27001, C5), Vertragsregeln zu Vorfällen, Unterauftragnehmern und Datenexport |
| Private Cloud / Private SaaS | Sie eine eigene Instanz, mehr Anpassung oder die Anbindung interner Systeme brauchen, ohne selbst zu betreiben | Klare Abgrenzung, wer patcht und wer überwacht, sowie Update-Zyklen und Kosten |
| On-Premise | Regulatorische, technische oder interne Vorgaben den Betrieb im eigenen Rechenzentrum verlangen, etwa in abgeschotteten Netzen | Dauerhaft eingeplantes Fachpersonal, Patch- und Notfallprozesse, Vertretungen, Hardware-Lebenszyklus |
In der Praxis ist die Entscheidung selten endgültig. Viele Organisationen starten mit SaaS und wechseln bei wachsenden Anforderungen in eine private Instanz oder in den eigenen Betrieb. Entscheidend ist, dass ein Wechsel dann kein Neuprojekt wird: dieselbe Plattform, dieselben Integrationen, dieselben Prozesse.
Wo qualifizierte Vertrauensdiensteanbieter konkret helfen
Vertrauen aus einer Hand. Qualifizierte Signaturen und Siegel, Zeitstempel und Identitätsprüfungen stammen von einer geprüften, beaufsichtigten und haftenden Stelle. Das trennt die Frage nach der Rechtswirkung sauber von der Frage nach dem Betrieb der Anwendung.
Ein Modell, das mitwächst. Es gibt Plattformen, die dieselbe Lösung als Shared SaaS, als private Instanz oder zum Eigenbetrieb anbieten. Sie entscheiden dann nach Ihrer Situation und nicht nach Produktgrenzen, und Sie können später wechseln, ohne neu zu starten.
Nachweise statt Behauptungen. Prüfberichte, Zertifizierungen und der Eintrag in der EU-Vertrauensliste lassen sich in Audits und Lieferkettenfragebögen direkt vorlegen. Das spart Zeit, wenn die nächste Anfrage kommt.
Europäischer Rahmen. Ein Betrieb unter EU-Recht und europäischer Aufsicht erleichtert die Antwort auf Souveränitätsfragen erheblich.
Zukunftsfähigkeit. Mit eIDAS 2.0 und der EUDI-Wallet kommen neue Nachweise ins Spiel. Ein Modell, das heute passt, sollte sie morgen akzeptieren können.
Häufige Fragen zu On-Premise, Private Cloud und SaaS
Ist On-Premise sicherer als SaaS?
Nicht automatisch. On-Premise gibt Ihnen maximale Kontrolle, verlagert aber die gesamte Verantwortung für Betrieb, Updates und Notfälle zu Ihnen. Sicherheit hängt von der Qualität und Kontinuität des Betriebs ab, nicht vom Standort.
Was unterscheidet Private Cloud von SaaS?
Bei SaaS teilen sich mehrere Organisationen eine logisch getrennte Infrastruktur. Eine Private Cloud stellt Ihnen eine eigene, abgeschottete Instanz bereit, mit mehr Anpassung und klarerer Trennung.
Ist eine elektronische Signatur aus der Cloud rechtswirksam?
Ja. Entscheidend ist nicht der Betriebsort der Anwendung, sondern dass die Signatur auf einem qualifizierten Zertifikat eines qualifizierten Vertrauensdiensteanbieters beruht und der Prozess sauber dokumentiert ist.
Kann ich das Modell später wechseln?
Das hängt von der Plattform ab. Prüfen Sie vorab, ob Daten exportierbar sind und ob dieselbe Lösung in mehreren Betriebsformen verfügbar ist. Finanzunternehmen müssen dies unter DORA sogar vertraglich regeln.
Welche Rolle spielt NIS2 bei der Wahl?
Eine große. NIS2 verpflichtet betroffene Unternehmen, Risiken und Lieferkette zu steuern und Vorfälle fristgerecht zu melden. Jedes Modell muss das nachweisbar unterstützen.
Ihr nächster Schritt
Bevor Sie sich festlegen, lohnt ein nüchterner Blick auf vier Fragen:
- Wer ist bei uns für Betrieb, Updates und Vertretung verantwortlich?
- Können wir einem Prüfungs- oder Lieferkettenfragebogen heute belastbare Nachweise entgegensetzen?
- Wissen wir, wo Daten verarbeitet werden und welchem Recht der Betrieb unterliegt?
- Könnten wir das Modell wechseln, ohne neu zu beginnen?
Wenn Sie bei einer Frage zögern, lohnt sich ein Gespräch. Unsere Expertinnen und Experten bei Namirial klären mit Ihnen, welches Bereitstellungsmodell zu Ihrer Organisation passt. Vereinbaren Sie ein unverbindliches Gespräch.
