Cloud-Sicherheit für KMU: Warum SaaS oft sicherer ist als On-Premise

Montagmorgen, 8:37 Uhr: Im Team kann niemand auf die Projektdateien zugreifen. Der Server im Büro ist erreichbar, aber die Anwendung antwortet nicht. Der externe IT-Dienstleister ist unterwegs, das letzte Backup wurde vor drei Wochen geprüft und zwei Mitarbeitende arbeiten bereits mit lokalen Kopien. Was zunächst wie ein technisches Problem klingt, wird schnell zu einem Geschäftsrisiko.

Genau deshalb beschäftigt die Cloud-Sicherheit für KMU immer mehr Unternehmen. Viele verbinden die Cloud zunächst mit Kontrollverlust: Daten liegen nicht mehr im eigenen Büro, sondern bei einem Anbieter. In der Praxis kann SaaS – also Software as a Service – für kleine und mittlere Unternehmen trotzdem die sicherere Wahl sein als eine selbst betriebene On-Premise-Lösung. Der Grund: Ein professioneller Anbieter kann Sicherheitsmaßnahmen, Überwachung und Ausfallschutz wesentlich konsequenter betreiben, als es ein kleines Team im Tagesgeschäft leisten kann.

Das bedeutet nicht, dass jede Cloud-Software automatisch sicher ist. Entscheidend sind Datenstandort, Verschlüsselung, Verantwortlichkeiten, Zugriffsmanagement, Backups und ein realistischer Blick auf die eigenen Risiken. Dieser Artikel zeigt, wie der Vergleich SaaS vs. On-Premise bei der Sicherheit ausfällt, welche Fehler KMU vermeiden sollten und wie sich eine belastbare Entscheidung treffen lässt.

Was Cloud-Sicherheit für KMU tatsächlich bedeutet

Cloud-Sicherheit ist kein einzelnes Produktmerkmal. Sie umfasst alle technischen, organisatorischen und vertraglichen Maßnahmen, die Daten, Anwendungen und Geschäftsprozesse schützen. Dazu gehören unter anderem:

• Schutz vor unberechtigten Zugriffen
• Verschlüsselung bei der Übertragung und Speicherung
• Aktualisierung und Absicherung der Software
• Backups und Wiederherstellbarkeit
• Überwachung von Infrastruktur und Anwendungen
• Schutz vor Schadsoftware, Phishing und Kontoübernahmen
• Regelungen für Datenschutz, Auftragsverarbeitung und Löschung
• Klare Zuständigkeiten zwischen Anbieter und Kunde

Bei On-Premise-Systemen liegt ein großer Teil dieser Aufgaben beim eigenen Unternehmen. Die Organisation kauft oder mietet Server, betreibt Netzwerk und Speicher, installiert Updates, überwacht Systeme und muss für Ersatz bei Hardwaredefekten sorgen. Bei SaaS übernimmt der Anbieter typischerweise die technische Plattform und den Betrieb der Anwendung. Die Verantwortung verschwindet aber nicht vollständig: Das Unternehmen bleibt beispielsweise für Benutzerkonten, Berechtigungen, sichere Endgeräte und den richtigen Umgang mit Daten verantwortlich.

Die Cloud-Sicherheitsleitfaden der ENISA für KMU empfiehlt deshalb, Anbieter nicht nur nach Funktionen oder Preis zu vergleichen, sondern gezielt nach Sicherheitsmaßnahmen, Verantwortlichkeiten und Risiken zu fragen. Besonders relevant sind dabei auch Softwareentwicklung, Datenverarbeitung und die Auswirkungen möglicher Ausfälle.

SaaS vs. On-Premise: Wo liegen die Sicherheitsunterschiede?

Der Begriff „Cloud“ wird häufig so behandelt, als wäre er automatisch ein Sicherheitsversprechen. Das ist zu pauschal. Cloud-Dienste bündeln Ressourcen und Daten und können deshalb ein attraktives Angriffsziel sein. Gleichzeitig verfügen spezialisierte Anbieter oft über Sicherheitsprozesse, Redundanz und Fachwissen, die für ein einzelnes KMU wirtschaftlich kaum darstellbar wären.

Sicherheitsaspekt	SaaS	On-Premise
Infrastruktur	Wird vom Anbieter betrieben und überwacht; Umfang und Qualität müssen geprüft werden.	Liegt in der Verantwortung des Unternehmens oder eines beauftragten Dienstleisters.
Updates	Werden in der Regel zentral durch den Anbieter bereitgestellt; der konkrete Prozess sollte im Vertrag oder in der Dokumentation nachvollziehbar sein.	Das Unternehmen muss Updates planen, testen und einspielen.
Backups	Hängen vom Anbieter und vom gewählten Leistungsumfang ab; konkrete Wiederherstellungsoptionen müssen geklärt werden.	Das Unternehmen muss Sicherung, Aufbewahrung und Wiederanlauf selbst organisieren.
Skalierung	Zusätzliche Nutzer oder Ressourcen lassen sich häufig einfacher ergänzen.	Neue Anforderungen können Hardware, Lizenzen und Umbauten erfordern.
Kontrolle	Mehr Abhängigkeit vom Anbieter, dafür weniger eigener Betriebsaufwand.	Mehr direkte Kontrolle über Infrastruktur, aber auch mehr eigene Verantwortung.
Fachwissen	Kann von spezialisierten Sicherheits- und Betriebsteams des Anbieters profitieren.	Muss intern oder durch externe Partner dauerhaft abgedeckt werden.

Die sicherere Variante ist also nicht grundsätzlich das eine oder das andere Modell. Die entscheidende Frage lautet: Wer kann die erforderlichen Schutzmaßnahmen zuverlässig, dauerhaft und nachvollziehbar umsetzen?

Für viele KMU fällt die Antwort zugunsten von SaaS aus. Ein kleines Unternehmen hat möglicherweise keinen eigenen Administrator, der Sicherheitsupdates täglich prüft, verdächtige Aktivitäten analysiert, Backups testet und die Verfügbarkeit einer Anwendung überwacht. Ein professioneller Cloud-Anbieter kann diese Aufgaben zentral für viele Kunden organisieren und dadurch effizienter betreiben.

Warum SaaS für viele KMU das Sicherheitsniveau erhöhen kann

1. Weniger ungepatchte Systeme

Veraltete Software ist ein häufiges Einfallstor für Angriffe. In einer selbst betriebenen Umgebung kann ein Update aus Zeitgründen verschoben werden, weil zunächst Kompatibilität, Wartungsfenster oder interne Freigaben geklärt werden müssen. Bei SaaS liegt die Pflege der Anwendung beim Anbieter. Das reduziert für das Unternehmen den Aufwand, ersetzt aber nicht die Prüfung, wie der Anbieter mit Schwachstellen und Aktualisierungen umgeht.

Die ENISA nennt fehlende Backup-Regelungen, nicht aktualisierte Software und unzureichend geschützte Endgeräte als zentrale Risiken für KMU. Sie empfiehlt unter anderem, gehostete Plattformen mit Mehrfaktor-Authentifizierung zu schützen und Systeme aktuell zu halten. Eine SaaS-Lösung kann dabei helfen, den eigenen Wartungsaufwand für die Anwendung zu verringern.

2. Professioneller Betrieb statt Einzelverantwortung

Bei einem On-Premise-System hängt die Sicherheit häufig an einzelnen Personen. Fällt der zuständige Administrator aus oder verlässt das Unternehmen, können Wissen und Routinen verloren gehen. SaaS verlagert den technischen Betrieb zu einem Anbieter, der dafür dauerhaft Prozesse, Personal und Infrastruktur vorhalten muss.

Das ist besonders für Agenturen, Beratungen, Startups und wachsende Software- oder Dienstleistungsunternehmen relevant. Diese Organisationen brauchen verlässliche Systeme, wollen aber nicht zwangsläufig ein eigenes Infrastrukturteam aufbauen. Die eingesparte Zeit kann in Kundenprojekte, Produktentwicklung oder Vertrieb fließen.

3. Besser planbare Skalierung

Neue Mitarbeitende, zusätzliche Projekte oder ein verteiltes Team machen lokale Systeme schnell kompliziert. SaaS-Anwendungen sind grundsätzlich für den Zugriff über das Internet konzipiert. Das ist kein Ersatz für ein gutes Identitäts- und Berechtigungsmanagement, erleichtert aber die Zusammenarbeit über Standorte hinweg.

Auch bei SaaS gilt: Ein Konto ist ein möglicher Angriffspunkt. Starke Passwörter, Mehrfaktor-Authentifizierung, sparsame Berechtigungen und regelmäßige Überprüfung ausgeschiedener Nutzer bleiben Pflicht.

4. Sicherheitsmaßnahmen werden wirtschaftlich teilbar

Redundante Infrastruktur, Monitoring, geprüfte Betriebsprozesse und spezialisierte Fachkräfte sind teuer, wenn ein Unternehmen sie allein aufbauen muss. Bei einem SaaS-Modell werden diese Kosten auf viele Kunden verteilt. Das kann dazu führen, dass ein KMU ein höheres technisches Schutzniveau erhält, als es mit einem eigenen kleinen Serverraum erreichen würde.

Dieser Vorteil ist kein Freifahrtschein. Die Konzentration vieler Kunden bei einem Anbieter kann den Dienst auch zu einem attraktiven Ziel machen. ENISA weist deshalb sowohl auf die möglichen Vorteile robuster Cloud-Abwehr als auch auf Risiken wie Abhängigkeit, Kontrollverlust und Schwachstellen in gemeinsam genutzten Umgebungen hin.

Die Grenzen: Wann Cloud-Software nicht automatisch sicher ist

Die größte Fehlannahme lautet: „In der Cloud kümmert sich der Anbieter um alles.“ Tatsächlich teilen sich Anbieter und Kunde die Verantwortung. Der Anbieter schützt seine Infrastruktur und Anwendung. Das Unternehmen muss unter anderem Zugänge, Endgeräte, Datenklassifizierung und interne Prozesse kontrollieren.

Typische Risiken sind:

• Ein Mitarbeiter verwendet ein schwaches oder mehrfach genutztes Passwort.
• Ein Konto wird durch Phishing übernommen.
• Ausgeschiedene Personen behalten Zugriff.
• Zu viele Nutzer erhalten Administratorrechte.
• Vertrauliche Daten werden versehentlich mit externen Personen geteilt.
• Die Organisation kennt Löschfristen und Exportmöglichkeiten nicht.
• Der Anbieter macht keine nachvollziehbaren Angaben zu Datenstandort und Sicherheitsprozessen.
• Ein Unternehmen verwechselt Verschlüsselung mit vollständigem Datenschutz.

Auch die Abhängigkeit vom Anbieter verdient Aufmerksamkeit. Fällt ein Dienst aus, kann der Zugriff auf zentrale Informationen eingeschränkt sein. Bei einem Anbieterwechsel können Datenexport, Formate und Migration schwierig werden. ENISA bezeichnet solche Fragen unter anderem als Risiken von Lock-in und Governance-Verlust. Deshalb sollte bereits vor dem Vertragsabschluss feststehen, welche Daten benötigt werden, wie sie exportiert werden können und was bei einer Beendigung des Dienstes passiert.

Checkliste: Sichere Business-Software für KMU auswählen

Die folgende Checkliste eignet sich als Gesprächsgrundlage für Anbieter und interne Verantwortliche. Sie ersetzt keine individuelle Risikoanalyse, hilft aber dabei, Marketingversprechen von prüfbaren Informationen zu trennen.

• Datenstandort: In welchen Ländern werden Daten gespeichert und verarbeitet?
• Verschlüsselung: Ist die Verbindung geschützt und sind gespeicherte Daten verschlüsselt?
• Verantwortlichkeiten: Welche Sicherheitsaufgaben übernimmt der Anbieter, welche bleiben beim Unternehmen?
• Zugänge: Gibt es ein belastbares Konzept für Rollen, Berechtigungen und ausgeschiedene Nutzer?
• Authentifizierung: Welche Möglichkeiten gibt es, Konten zusätzlich zum Passwort zu schützen?
• Updates: Wie werden Schwachstellen erkannt, bewertet und behoben?
• Ausfälle: Welche Informationen gibt es zu Verfügbarkeit, Wiederanlauf und Notfallkommunikation?
• Backups: Wie werden Daten gesichert, wie lange aufbewahrt und wie wiederhergestellt?
• Datenexport: Können Daten bei einem Anbieterwechsel in einem nutzbaren Format exportiert werden?
• Datenschutz: Gibt es passende Vereinbarungen zur Auftragsverarbeitung und transparente Informationen zur Verarbeitung?
• Subdienstleister: Werden weitere Anbieter eingesetzt, und ist deren Rolle nachvollziehbar?
• Nachweisbarkeit: Gibt es Sicherheitsdokumentation, Prüfberichte oder einen anerkannten Kontrollrahmen?

Für KMU ist dabei nicht jede Zertifizierung automatisch entscheidend. Wichtiger ist, ob die konkreten Risiken des eigenen Unternehmens abgedeckt werden. Ein Freelancer mit wenigen Kundenkontakten hat andere Prioritäten als eine Agentur, die täglich vertrauliche Kampagnenunterlagen austauscht oder eine Beratung mit sensiblen Personaldaten.

Schritt für Schritt zur passenden Cloud-Entscheidung

1. Daten und Prozesse erfassen: Notiere, welche Informationen verarbeitet werden. Dazu gehören Kundendaten, Angebote, Rechnungen, Projektunterlagen, Zeiterfassungen und interne Kommunikation.
2. Schutzbedarf festlegen: Ordne die Daten nach Vertraulichkeit, Integrität und Verfügbarkeit. Frage, was bei Verlust, Manipulation oder einem Ausfall konkret passieren würde.
3. On-Premise realistisch bewerten: Berücksichtige nicht nur Lizenz- und Hardwarekosten. Rechne Wartung, Updates, Backup-Tests, Ausfallzeiten, externe IT-Leistung und Vertretungsregelungen ein.
4. SaaS-Anbieter vergleichen: Fordere nachvollziehbare Informationen zu Hosting, Verschlüsselung, Verantwortlichkeiten, Datenexport und Löschung an.
5. Zugriffsmodell planen: Lege fest, welche Rollen benötigt werden und wer welche Informationen sehen darf. Administratorrechte sollten auf wenige Personen beschränkt bleiben.
6. Notfallprozess definieren: Bestimme, wie das Unternehmen bei einem Ausfall, einem kompromittierten Konto oder einem versehentlichen Datenverlust reagiert.
7. Testbetrieb durchführen: Prüfe die Anwendung mit einem begrenzten Datensatz. Teste dabei nicht nur Funktionen, sondern auch Rechte, Export, Löschung und den Umgang mit einem ausgeschiedenen Nutzer.
8. Regelmäßig überprüfen: Sicherheit ist kein einmaliger Beschaffungsvorgang. Aktualisiere Berechtigungen, prüfe Prozesse und bewerte den Anbieter bei wesentlichen Änderungen erneut.

Diese Reihenfolge verhindert einen häufigen Fehler: Erst wird eine Software nach Oberfläche und Preis ausgewählt, danach versucht das Unternehmen, Datenschutz und Sicherheit nachträglich passend zu machen.

Datenschutz und DSGVO: Cloud-Sicherheit ist mehr als Verschlüsselung

Wenn ein Unternehmen personenbezogene Daten verarbeitet, gilt die DSGVO unabhängig von seiner Größe. Die Europäische Kommission betont, dass sich die Anwendung der Datenschutzregeln nicht nach der Mitarbeiterzahl, sondern nach Art und Risiko der Verarbeitung richtet. Ein kleines Unternehmen ist daher nicht automatisch von Anforderungen ausgenommen, nur weil es weniger Nutzer oder geringere Umsätze hat.

Für die Auswahl einer Cloud-Software sind insbesondere diese Fragen relevant:

• Welche personenbezogenen Daten werden verarbeitet?
• Zu welchem Zweck werden sie benötigt?
• Wo werden sie gespeichert und verarbeitet?
• Wer hat Zugriff?
• Wie lange werden sie aufbewahrt?
• Wie werden Daten nach Vertragsende gelöscht?
• Welche Auftragsverarbeitungsverträge und Informationen stellt der Anbieter bereit?

Ein Standort innerhalb der EU kann die datenschutzrechtliche Bewertung vereinfachen, ersetzt aber keine Prüfung der konkreten Verarbeitung. Ebenso ist Verschlüsselung ein wichtiger Schutz, aber kein Beweis für vollständige DSGVO-Konformität. Rechtmäßigkeit, Zweckbindung, Betroffenenrechte, Löschkonzepte und organisatorische Maßnahmen müssen zusammen betrachtet werden.

Die Europäische Kommission erklärt die Anwendung der DSGVO auf Unternehmen und Organisationen und weist ausdrücklich darauf hin, dass auch KMU die Datenschutzregeln einhalten müssen, wenn sie personenbezogene Daten verarbeiten.

Wie cloud sicherheit bei cashwerk konkret aussieht

Bei cashwerk liegen die Daten auf Google Cloud in der EU, konkret in der Region europe-west4 in den Niederlanden. Die Daten bleiben damit innerhalb der EU. Das ist für Unternehmen relevant, die bei der Auswahl einer Business-Software einen nachvollziehbaren europäischen Datenstandort berücksichtigen müssen.

Die Verbindung zu cashwerk läuft über HTTPS. Gespeicherte Daten werden ebenfalls verschlüsselt: Google Cloud verschlüsselt gespeicherte Daten standardmäßig, darunter die Datenbank und Dateien. Damit sind zwei zentrale Prüfpunkte für cloud software sicherheit konkret beantwortet: Schutz der Übertragung und Schutz gespeicherter Informationen.

Für moderne Service-Teams kann eine zentrale Plattform außerdem helfen, geschäftliche Informationen nicht auf viele einzelne Insellösungen zu verteilen. cashwerk bündelt unter anderem CRM, Projekte, Aufgaben, Angebote und Rechnungen, Zeiterfassung sowie den KI-Assistenten Casper. Welche Daten ein Unternehmen dort verarbeitet und welche Personen Zugriff erhalten, sollte weiterhin bewusst festgelegt werden.

Mehr Informationen zu den genannten Sicherheitsaspekten und zum Datenstandort bietet die Sicherheitsseite von cashwerk. Einen Überblick über die Plattformbereiche gibt es auf der Seite zu allen cashwerk-Funktionen.

Typische Denkfehler bei der Cloud-Auswahl

„Unsere Daten liegen im eigenen Büro, also sind sie sicherer“

Der physische Standort allein sagt wenig über das Sicherheitsniveau aus. Ein Server im Büro kann durch Diebstahl, Brand, Wasserschaden, Stromausfall oder fehlende Aktualisierungen gefährdet sein. Sicherheit entsteht erst aus mehreren ineinandergreifenden Maßnahmen.

„Der Anbieter ist groß, daher müssen wir nichts prüfen“

Größe kann ein Hinweis auf Ressourcen sein, ersetzt aber keine konkrete Prüfung. Entscheidend sind Datenstandort, Zuständigkeiten, Zugriffsmodell, Wiederherstellung und Vertragsbedingungen.

„Verschlüsselung löst alle Datenschutzfragen“

Verschlüsselung schützt Daten auf bestimmten Übertragungs- und Speicherebenen. Sie beantwortet jedoch nicht, ob die Verarbeitung zulässig ist, wer Zugriff erhält oder wann Daten gelöscht werden.

„Ein Backup ist vorhanden, damit ist alles erledigt“

Ein Backup, das nie wiederhergestellt wurde, ist nur eine Annahme. Unternehmen sollten klären, wie schnell Daten zurückgespielt werden können, welche Daten enthalten sind und wer im Notfall handelt.

„SaaS ist günstiger, weil wir keine IT mehr brauchen“

SaaS reduziert den Infrastruktur- und Wartungsaufwand, aber nicht die Verantwortung für Benutzer, Endgeräte, Prozesse und Datenschutz. Ein kleines, klar definiertes Sicherheitskonzept bleibt notwendig.

Häufig gestellte Fragen (FAQ)

Ist SaaS für KMU grundsätzlich sicherer als On-Premise?

Nein, nicht automatisch. SaaS kann für KMU sicherer sein, wenn der Anbieter professionelle Infrastruktur, Verschlüsselung, Updates, Überwachung und Wiederherstellungsprozesse zuverlässig betreibt. Bei On-Premise hängt vieles von den eigenen Ressourcen und der Qualität des IT-Betriebs ab. Ein Unternehmen sollte deshalb nicht „Cloud gegen Server“ abstrakt vergleichen, sondern konkrete Kontrollen gegenüberstellen. Wer im eigenen Haus keine regelmäßige Wartung, getestete Backups oder ausreichende Vertretung sicherstellen kann, profitiert häufig von einem spezialisierten SaaS-Anbieter. Gleichzeitig bleiben Konten, Berechtigungen, Endgeräte und interne Abläufe in der Verantwortung des Kunden.

Welche Sicherheitsfragen sollte ein KMU einem SaaS-Anbieter stellen?

Wichtig sind Fragen zu Datenstandort, Verschlüsselung, Verantwortlichkeiten, Zugriffsrechten, Updates, Backups, Ausfällen, Datenexport und Löschung. Zusätzlich sollte ein Unternehmen klären, ob weitere Dienstleister eingesetzt werden und welche Informationen zur Auftragsverarbeitung vorliegen. Die Fragen sollten zum eigenen Schutzbedarf passen: Eine Agentur mit vertraulichen Kundenkampagnen benötigt andere Nachweise als ein Team, das ausschließlich öffentlich zugängliche Informationen verwaltet. Die ENISA empfiehlt KMU, Sicherheitsfragen bereits bei der Beschaffung zu nutzen und Risiken sowie Chancen systematisch zu bewerten.

Sind Daten in der EU automatisch DSGVO-konform verarbeitet?

Nein. Ein EU-Datenstandort ist ein wichtiger Faktor, aber keine vollständige Compliance-Garantie. Zusätzlich müssen unter anderem Zweck, Rechtsgrundlage, Zugriffsrechte, Aufbewahrung, Löschung und vertragliche Regelungen geprüft werden. Die DSGVO gilt für KMU, sobald sie personenbezogene Daten verarbeiten; die Größe des Unternehmens entscheidet nicht allein über die Anforderungen. Ein Unternehmen sollte daher dokumentieren, welche Daten in einer Software verarbeitet werden und welche organisatorischen Maßnahmen gelten. Bei besonderen Kategorien personenbezogener Daten oder hohen Risiken kann eine weitergehende Prüfung erforderlich sein.

Was ist bei Backups in der Cloud besonders wichtig?

Entscheidend sind nicht nur Häufigkeit und Speicherort, sondern die tatsächliche Wiederherstellbarkeit. Zu klären sind Aufbewahrungsdauer, Wiederanlaufzeit, Umfang der Sicherung und Zuständigkeiten im Notfall. Außerdem sollte das Unternehmen wissen, ob gelöschte Daten auch aus Sicherungskopien entfernt werden und wie ein Export funktioniert. Bei SaaS liegen viele technische Backup-Aufgaben beim Anbieter. Der Kunde muss dennoch prüfen, ob die zugesicherten Wiederherstellungsoptionen zum eigenen Geschäft passen und welche zusätzlichen eigenen Sicherungen sinnvoll sind.

Wie schützt ein KMU SaaS-Konten vor Übernahme?

Die wichtigsten Grundlagen sind individuelle starke Passwörter, Mehrfaktor-Authentifizierung, möglichst geringe Berechtigungen und ein sauberer Prozess für Ein- und Austritte. Mitarbeitende sollten Phishing erkennen können und verdächtige Nachrichten melden. Zugänge ausgeschiedener Personen müssen zeitnah deaktiviert werden. Auch gemeinsam genutzte Konten sind problematisch, weil sich Aktivitäten dann schwer zuordnen lassen. Sicherheit endet zudem nicht beim SaaS-Anbieter: Ungepatchte Laptops, private Geräte ohne Schutz und ungesicherte Browser-Sitzungen können ein Konto trotz guter Cloud-Infrastruktur gefährden.

Kann cloudbasierte Software bei einem Ausfall weiter genutzt werden?

Das hängt von der konkreten Anwendung und dem Ausfall ab. Ein SaaS-Anbieter kann Infrastruktur redundant auslegen und Wiederanlaufprozesse betreiben, aber kein Dienst ist vollkommen ausfallfrei. Unternehmen sollten deshalb vorab klären, wie über Störungen informiert wird, welche Daten exportiert werden können und welche manuellen Ersatzprozesse im Notfall bestehen. Für kritische Abläufe ist ein kurzer Notfallplan sinnvoll: Wer informiert Kunden, wer dokumentiert neue Vorgänge und wie werden sie später nachgetragen? Ein solcher Plan ist auch bei On-Premise-Systemen notwendig.

Woran erkennt man sichere Business-Software?

Sichere Business-Software zeichnet sich nicht durch ein einzelnes Siegel oder eine Werbeaussage aus. Aussagekräftiger ist ein Gesamtbild aus transparentem Datenstandort, geschützter Verbindung, Verschlüsselung gespeicherter Daten, klaren Zuständigkeiten, nachvollziehbarem Zugriffsmanagement und belastbaren Prozessen für Updates, Ausfälle und Löschung. Zusätzlich sollte die Software zum Arbeitsalltag passen. Wenn Mitarbeitende Umgehungslösungen nutzen, entstehen neue Schattenprozesse. Sicherheit und Nutzbarkeit gehören deshalb zusammen: Die beste technische Kontrolle hilft wenig, wenn sie im Tagesgeschäft konsequent umgangen wird.

Fazit

Cloud-Sicherheit für KMU ist keine Frage des Bauchgefühls und auch kein einfacher Glaubenskrieg zwischen Cloud und eigenem Server. SaaS kann für viele moderne Service-Unternehmen die sicherere und wirtschaftlich realistischere Option sein, weil spezialisierte Anbieter Infrastruktur, Wartung und Schutzmaßnahmen professionell bündeln. On-Premise kann sinnvoll sein, wenn ein Unternehmen die notwendige Expertise, Prozesse und Investitionen dauerhaft selbst abdecken kann.

Die richtige Entscheidung entsteht durch konkrete Fragen: Wo liegen die Daten? Wie werden Übertragung und Speicherung geschützt? Wer trägt welche Verantwortung? Wie funktionieren Zugriffe, Backups, Wiederherstellung und Löschung? Und was passiert beim Anbieterwechsel?

cashwerk verarbeitet Daten auf Google Cloud in der EU, in der Region europe-west4 in den Niederlanden. Die Verbindung läuft über HTTPS; gespeicherte Daten, Datenbank und Dateien werden verschlüsselt. Für Teams, die CRM, Projekte, Aufgaben, Angebote, Rechnungen und Zeiterfassung in einer Plattform organisieren möchten, kann das die Zahl verteilter Systeme reduzieren. cashwerk kostenlos starten: Für einen Nutzer ist cashwerk dauerhaft kostenlos; Starter und Business lassen sich 14 Tage testen. Alternativ können Tarife und Preise auf der cashwerk-Preisseite verglichen werden.

Quellen und weiterführende Literatur

1. ENISA: Cloud Security Guide for SMEs – Leitfaden zu Risiken, Chancen und Sicherheitsfragen bei Cloud-Diensten.
2. ENISA: Cloud Computing – Benefits, Risks and Recommendations – Einordnung von SaaS, Cloud-Risiken, Lock-in und Verantwortlichkeiten.
3. ENISA: Cybersecurity for SMEs – Praktische Empfehlungen für Backups, Aktualisierungen, Phishing-Schutz und Mehrfaktor-Authentifizierung.
4. Europäische Kommission: Anwendung der DSGVO – Informationen zu Datenschutzpflichten für Unternehmen und Organisationen.
5. ENISA: Cloud Computing Security Risk Assessment – Sicherheitsrisiken wie Schwachstellen, Mehrmandantenfähigkeit und Verantwortungsabgrenzung.
6. cashwerk: Sicherheit und Datenstandort – Angaben zu EU-Hosting, Verschlüsselung und Google Cloud.