Self-Hosted oder SaaS: Wann lohnt sich Software auf dem eigenen Server?

Software auf eigener Infrastruktur lohnt sich für kleine Unternehmen vor allem dann, wenn besondere Anforderungen an Datenhaltung, Anpassbarkeit oder Systemintegration den zusätzlichen Betriebsaufwand rechtfertigen. Fehlen eigene IT-Kompetenz, verlässliche Vertretung und ein belastbares Sicherheitskonzept, ist SaaS meist die risikoärmere Wahl. Der erste Schritt ist daher keine Preisabfrage, sondern eine schriftliche Bestandsaufnahme: Welche Daten verarbeitet die Anwendung, wie lange darf sie ausfallen und wer trägt intern die Verantwortung?

Self-Hosting bedeutet außerdem nicht zwingend, dass ein Server im eigenen Büro stehen muss. Die Software kann auf eigener Hardware, auf einem gemieteten Server in einem Rechenzentrum oder bei einem spezialisierten Dienstleister betrieben werden. Maßgeblich ist, wer Installation, Updates, Absicherung, Backups und Wiederherstellung verantwortet. Bei SaaS übernimmt der Anbieter wesentliche Teile dieses Betriebs, während das Unternehmen die Konten, Berechtigungen, Datenverwendung und Vertragsbedingungen weiterhin selbst steuern muss.

Die Trennlinie verläuft bei der Betriebsverantwortung

Der größte Unterschied liegt nicht im Speicherort allein, sondern in der Verteilung der Aufgaben. Eine selbst gehostete Anwendung gibt dem Unternehmen weitreichende Kontrolle über Versionen, Konfiguration, Zugänge und Schnittstellen. Dafür muss es den gesamten Lebenszyklus organisieren. Ein SaaS-Anbieter stellt die Anwendung als laufenden Dienst bereit und bündelt viele technische Aufgaben in der wiederkehrenden Gebühr.

• Self-Hosted: Das Unternehmen oder sein IT-Dienstleister verwaltet Betriebssystem, Anwendung, Datenbank, Updates, Überwachung, Datensicherung und Wiederanlauf.
• SaaS: Der Anbieter betreibt die Plattform. Das Unternehmen bleibt unter anderem für Benutzerkonten, Rollen, zulässige Datennutzung, lokale Endgeräte und die Auswahl geeigneter Vertragsbedingungen zuständig.
• Managed Hosting: Ein Dienstleister betreibt eine eigene Instanz nach vereinbartem Leistungsumfang. Diese Zwischenform kann Kontrolle und externe Betriebsunterstützung verbinden, muss aber hinsichtlich Zuständigkeiten genau beschrieben werden.

Eine bloße Installationsmöglichkeit macht eine Anwendung noch nicht zur wirtschaftlich sinnvollen Self-Hosted-Lösung. Entscheidend ist, ob Updates dokumentiert verfügbar sind, Backups ohne Spezialwissen geprüft werden können, Schnittstellen stabil bleiben und bei einem Ausfall jemand erreichbar ist.

Beide Modelle anhand derselben Kriterien prüfen

Ein tragfähiger Vergleich betrachtet nicht nur Lizenz- oder Abonnementpreise. Für kleine Betriebe sind sechs Kriterien besonders aussagekräftig, weil sie Kosten, Risiko und Arbeitsfähigkeit miteinander verbinden.

1. Einmalige und laufende Gesamtkosten

Bei SaaS fallen typischerweise wiederkehrende Entgelte an, die etwa nach Benutzern, Funktionsumfang, Speicher oder Nutzung gestaffelt sein können. Hinzukommen können Einrichtung, Datenmigration, Schulung, zusätzliche Schnittstellen und kostenpflichtiger Support. Welche Positionen tatsächlich gelten, steht im Angebot und in der Leistungsbeschreibung.

2. Verfügbare Fachkenntnisse und Vertretung

Self-Hosting ist organisatorisch nur belastbar, wenn eine benannte Person oder ein vertraglich gebundener Dienstleister den Betrieb übernimmt. Dazu gehört eine Vertretung für Urlaub, Krankheit und das Ausscheiden verantwortlicher Personen. Hängt die gesamte Anwendung vom privaten Wissen eines Gründers ab, entsteht ein betrieblicher Engpass.

SaaS reduziert diese technische Last, beseitigt sie aber nicht vollständig. Auch hier braucht es Verantwortliche für Benutzerverwaltung, Berechtigungsprüfung, Abrechnung, Datenexporte und die Kommunikation mit dem Support.

3. Schutzbedarf und Kontrolle über Daten

Eine eigene Instanz kann sinnvoll sein, wenn Daten nur in einer festgelegten Umgebung verarbeitet werden dürfen oder wenn besondere technische Trennungen benötigt werden. Mehr Kontrolle bedeutet jedoch nicht automatisch mehr Sicherheit. Ein ungepatchter Server, ungetestete Sicherungen oder frei erreichbare Administrationszugänge können das Risiko deutlich erhöhen.

Bei SaaS sind insbesondere Speicher- und Verarbeitungsorte, Unterauftragnehmer, Zugriffsregelungen, Verschlüsselung, Löschverfahren, Exportmöglichkeiten und vertragliche Datenschutzregelungen zu prüfen. Werden personenbezogene Daten im Auftrag verarbeitet, muss die datenschutzrechtliche Rollenverteilung für den jeweiligen Einsatz geklärt und die erforderliche Vereinbarung abgeschlossen werden. Bei erhöhtem Schutzbedarf sollte die Prüfung mit Datenschutz- und IT-Sicherheitskompetenz erfolgen.

4. Anpassungen und Schnittstellen

Eine selbst gehostete Anwendung bietet häufig mehr Eingriffsmöglichkeiten, sofern Lizenz, Architektur und verfügbare Fachkenntnisse dies zulassen. Das ist wertvoll, wenn die Software eng mit Maschinen, internen Datenbanken oder besonderen Arbeitsabläufen verbunden werden muss. Individuelle Änderungen können allerdings spätere Updates erschweren.

SaaS-Produkte setzen eher auf standardisierte Konfigurationen und dokumentierte Schnittstellen. Das erleichtert den laufenden Betrieb, begrenzt aber unter Umständen Sonderwünsche. Vor der Entscheidung sollte ein kleiner Betrieb nicht nur prüfen, ob eine Schnittstelle vorhanden ist, sondern auch, welche Daten sie übertragen kann, ob der benötigte Tarif sie umfasst und wie ein Ausfall behandelt wird.

5. Verfügbarkeit und Wiederanlauf

Für eine geschäftskritische Anwendung braucht der Betrieb ein definiertes Ausfallziel. Eine Terminverwaltung für einen lokalen Dienstleister stellt andere Anforderungen als ein internes Werkzeug, das nur einmal pro Woche genutzt wird. Beim Self-Hosting müssen Stromversorgung, Internetanbindung, Hardwareausfall, Überwachung und Wiederherstellung zusammen betrachtet werden. Ein Server im Büro ist bei einem lokalen Brand-, Wasser- oder Diebstahlschaden ohne externe Sicherung keine ausreichende Vorsorge.

Bei SaaS sollte die Leistungsbeschreibung Auskunft über Verfügbarkeit, Wartungsfenster, Sicherung und Support geben. Prozentangaben allein reichen für die betriebliche Planung nicht: Wichtig ist auch, wie Störungen gemeldet werden, welche Reaktionsleistung vereinbart ist und ob das Unternehmen während eines Ausfalls auf exportierte Arbeitsdaten zugreifen kann.

6. Wechsel- und Ausstiegsmöglichkeiten

Die spätere Ablösung gehört bereits in die Auswahlphase. Bei beiden Modellen ist zu klären, in welchem Format Daten vollständig exportiert werden können, ob Anhänge und Beziehungen zwischen Datensätzen erhalten bleiben und wie lange eine Migration voraussichtlich dauert.

Self-Hosted-Software kann eine starke Bindung an individuelle Anpassungen oder einen spezialisierten Administrator erzeugen. Bei SaaS entsteht die Bindung eher durch proprietäre Datenstrukturen, integrierte Arbeitsabläufe oder fehlende Exporte. Ein Testexport mit Beispieldaten liefert mehr Erkenntnis als die allgemeine Angabe, ein Export sei möglich.

Welche Ausgangslage für welches Modell spricht

Die Wahl lässt sich mit einer priorisierten Wenn-dann-Logik eingrenzen:

1. Wenn niemand den technischen Betrieb einschließlich Vertretung verbindlich übernehmen kann, sollte SaaS oder ein vertraglich klar geregeltes Managed Hosting Vorrang haben.
2. Wenn zwingende Anforderungen an Datenort, Isolation, interne Netze oder besondere Integrationen bestehen, kommt Self-Hosting in Betracht. Vor der Auswahl muss geprüft werden, ob diese Anforderungen nicht ebenfalls durch eine geeignete SaaS- oder Managed-Hosting-Variante erfüllt werden.
3. Wenn die Anwendung für das Tagesgeschäft unverzichtbar ist, müssen Wiederanlauf, Support und Notbetrieb vor dem Preis verglichen werden. Das Modell mit dem nachvollziehbareren Betriebskonzept ist dann meist wertvoller als die rechnerisch billigste Lizenz.
4. Wenn viele individuelle Änderungen erforderlich sind, kann eine eigene Instanz Vorteile bieten. Fehlen Budget und Pflegekonzept für spätere Aktualisierungen, wird diese Freiheit jedoch zur technischen Last.
5. Wenn Benutzerzahl und Bedarf stark schwanken, kann ein skalierbares SaaS-Modell praktisch sein. Tarifgrenzen, Mindestlaufzeiten und Kosten zusätzlicher Funktionen müssen dabei aus dem jeweiligen Angebot übernommen werden.
6. Wenn langfristige Unabhängigkeit das Hauptziel ist, sind dokumentierte Datenformate, verfügbare Dienstleister und ein erprobter Export wichtiger als das Etikett Self-Hosted oder Cloud.

Die Kostenrechnung braucht Arbeitszeit und Ausfallrisiko

Für einen belastbaren Vergleich sollten beide Varianten über denselben Betrachtungszeitraum gerechnet werden. Eine einfache interne Kalkulation für drei Jahre kann so aufgebaut werden:

Gesamtkosten Self-Hosted = Einrichtung + Lizenzen + Hosting oder Hardware + (monatliche Administration × 36 Monate) + Backup und Überwachung + erwartete externe Dienstleistungen.

Gesamtkosten SaaS = Einrichtung und Migration + (monatliche Abonnementkosten × 36 Monate) + Zusatzmodule + Schnittstellen + erwartete Schulungs- und Supportkosten.

Ein rein fiktives Rechenszenario zeigt die Methode. Angenommen, für eine eigene Installation werden 3.000 Euro Einrichtung, 180 Euro monatliches Hosting einschließlich technischer Betreuung und 1.200 Euro für Migration und Schulung angesetzt. Dann ergeben sich über 36 Monate: 3.000 Euro + (180 Euro × 36) + 1.200 Euro = 10.680 Euro.

Für eine SaaS-Variante werden beispielhaft 240 Euro monatliches Abonnement sowie 1.500 Euro für Einrichtung, Migration und Schulung angenommen. Die Rechnung lautet: (240 Euro × 36) + 1.500 Euro = 10.140 Euro. In diesem Beispiel liegt SaaS rechnerisch 540 Euro niedriger. Der Abstand ist klein genug, dass ein zusätzlicher Administrationsauftrag, ein kostenpflichtiges Modul oder eine höhere Benutzerzahl das Ergebnis ändern könnte. Für eine echte Entscheidung müssen die Beispielwerte durch Beträge aus Angeboten, Verträgen und der internen Zeitbewertung ersetzt werden.

Ausfallrisiken lassen sich ergänzend als Planungsszenario betrachten: geschätzte Ausfallstunden pro Jahr × interne Kosten je Ausfallstunde × drei Jahre. Dieser Wert ist keine sichere Prognose. Er macht jedoch sichtbar, ob eine vermeintlich günstige Variante bei einem längeren Stillstand unverhältnismäßig teuer werden könnte.

Self-Hosting verlangt einen vollständigen Betriebsplan

Eine eigene Installation sollte erst freigegeben werden, wenn die Zuständigkeiten nicht nur mündlich, sondern nachvollziehbar dokumentiert sind. Für einen kleinen Betrieb umfasst die Mindestorganisation folgende Punkte:

• Verantwortliche Person und Vertretung für Anwendung, Server und Benutzerverwaltung.
• Inventar mit Softwareversion, Systemkomponenten, Vertragsdaten und Ansprechpartnern.
• Verfahren für Sicherheitsupdates mit Priorisierung, Test und dokumentierter Installation.
• Getrennte Administrationskonten, angemessene Mehrfaktor-Absicherung und regelmäßig geprüfte Berechtigungen.
• Automatisierte Datensicherung mit mindestens einer vom Produktivsystem getrennten Kopie.
• Wiederherstellungstest, der nicht nur die Existenz einer Sicherungsdatei, sondern die Nutzbarkeit der Anwendung bestätigt.
• Überwachung von Erreichbarkeit, Speicherplatz, Zertifikaten, fehlgeschlagenen Sicherungen und sicherheitsrelevanten Ereignissen.
• Vorgehen bei Störungen einschließlich Eskalationsweg, Ersatzsystem und betrieblichem Notbetrieb.
• Dokumentierter Export- und Abschaltprozess für einen späteren Systemwechsel.

Auch SaaS braucht eine betriebliche Abnahme

Bei einem Cloud-Dienst verlagert sich die Prüfung von der Servertechnik auf Leistung, Vertrag und Datenbeweglichkeit. Vor der Bestellung sollten Sie mit einem Testkonto einen vollständigen Arbeitsablauf durchspielen: Benutzer anlegen, Rollen beschränken, Beispieldaten importieren, eine typische Aufgabe bearbeiten und die Daten wieder exportieren.

Erfassen Sie dabei mindestens folgende Ergebnisse in einer kurzen Entscheidungsnotiz:

• Welche Funktionen sind im vorgesehenen Tarif enthalten und welche benötigen Zusatzmodule?
• Welche Rollen können sensible Daten sehen, ändern, löschen oder exportieren?
• Welche Datenformate stehen für einen vollständigen Export zur Verfügung?
• Welche Regelungen gelten für Sicherung, Wiederherstellung, Verfügbarkeit und Support?
• Wo werden die relevanten Daten verarbeitet und welche weiteren Unternehmen sind beteiligt?
• Wie werden Vertragsende, Datenrückgabe und Löschung behandelt?
• Welche Kosten verändern sich bei zusätzlichen Benutzern, Speicherbedarf oder Schnittstellen?

Datenschutzangaben gehören mit den tatsächlich verwendeten Funktionen abgeglichen. Aktivierte Analyse-, Kommunikations- oder KI-Funktionen können andere Datenflüsse auslösen als die Grundanwendung. Maßgeblich sind die zum geplanten Einsatz gehörenden Vertragsunterlagen, Datenschutzinformationen, technischen Beschreibungen und Kontoeinstellungen.

Eine kleine Pilotphase verhindert teure Fehlentscheidungen

Vor einer langfristigen Bindung sollte ein abgegrenzter Pilot mit echten Rollen, aber möglichst unkritischen oder geeigneten Testdaten stattfinden. Legen Sie vorher Erfolgskriterien fest, etwa Bearbeitungszeit, Zahl manueller Zwischenschritte, Exportqualität, Rechtevergabe und Wiederherstellbarkeit. Ohne vorab definierte Kriterien wird aus dem Test leicht eine reine Funktionsvorführung.

Für Self-Hosted-Software gehört ein simuliertes Update samt Rückweg in den Piloten. Zusätzlich sollte eine Sicherung auf einer getrennten Umgebung wiederhergestellt werden. Bei SaaS sind ein vollständiger Datenexport und die erneute Nutzbarkeit der exportierten Informationen zu prüfen. Das Ergebnis wird zusammen mit offenen Risiken, verantwortlicher Person und Freigabeentscheidung dokumentiert.

Die eigene Serverlösung ist damit keine automatische Sparoption, sondern ein bewusst übernommener Betriebsbereich. Sie passt zu kleinen Unternehmen, die einen nachvollziehbaren fachlichen Grund für zusätzliche Kontrolle haben und den technischen Betrieb dauerhaft absichern können. SaaS passt besser, wenn schnelle Einsatzfähigkeit, planbare Betreuung und geringe interne IT-Last überwiegen. Zwischen beiden Polen kann Managed Hosting sinnvoll sein, sofern die Aufgabenteilung lückenlos geregelt ist.