Jeder in der Familie weiß heute, wie SaaS – Software as a Service – funktioniert: Der Sohn ersteigert den Gameboy bei ebay, die Mutter bestellt ein Buch bei Amazon, und der Vater erledigt seine Steuererklärung am PC mit Hilfe einer Software von Datev. Bei all diesen Anwendungen benutzt der Kunde ein Computerprogramm, ohne dass er es auf dem eigenen PC Software installieren muss. Stattdessen stellt der Anbieter – beispielsweise eBay oder Amazon – das entsprechende Programm über den Internet-Browser zur Verfügung. Das Prinzip dahinter nennt man auch "One-to-many": Es gibt eine einheitliche Lösung, die zeitgleich sehr viele nutzen können. Dennoch geraten die Daten, die jeder Einzelne in die Bildschirmmaske eingibt, nicht mit denen anderer User durcheinander – wenigstens meistens nicht.

Ängste sind nicht unberechtigt

Solche One-to-many-Lösungen gibt es also schon lange, relativ neu ist aber, sie für Unternehmenssoftware etwa zum Kunden-Management (CRM) zu verwenden. Im Mittelstand bringen der Idee viele ein tief sitzendes Misstrauen entgegen. Die Angst: Wer die CRM-Lösung nicht mehr selbst vorhält, der hat auch keine Kundendaten mehr – die lagert in diesem Fall der Softwareanbieter und schickt sie bei Bedarf durch die Leitung. Die Kontrolle geht zum Teil verloren, und so etwas schreckt gerade Mittelständler.

Joachim Schreiner, Vertriebsdirektor Deutschland bei Salesforce.com, dem führenden Anbieter von CRM-Lösungen auf Mietbasis, hält die Angst vor Datenverlust für unberechtigt. "Viele Firmen, zum Beispiel Symantec, eines der wichtigsten IT-Sicherheitsunternehmen, arbeiten mit unserer Software. Und wenn die keine Angst haben, dann brauchen sich die anderen auch keine Sorgen zu machen." Dass die Angst dennoch nicht unberechtigt ist, zei-gen gerade die jüngsten Angriffe auf Salesforce und ihre Folgen (siehe unten).

Denis Werner, Geschäftsführer des mehrfach preisgekrönten Mietsoftwareanbieters Commercetools aus München, ist trotzdem der Meinung, dass mögliche Gefahren überzeichnet werden: "Viele Mittelständler lassen ja schon seit Jahren einige Lösungen extern hosten, oder sie haben ihre Rechenzentrum ausgelagert. Theoretisch setzen sie sich damit den gleichen Gefahren aus wie die Nutzer einer Software-als-Service-Lösung."

"Die Frage ist nur noch, wie schnell"

Bei Commercetools, das E-Business-Lösungen aus der Leitung anbietet und sich dafür zum Teil erfolgsabhängig bezahlen lässt, stapelt sich die Arbeit bis unter die Decke; auch Sa-lesforce.com hat nach eigenen Angaben welt-weit bereits mehrere 10.000 Kunden. Die Analysten von Gartner prophezeien SaaS bis 2011 einen Marktanteil von 25 Prozent, und Alexander Kubsch vom Marktforschungsinstitut TechConsult sagt: "SaaS wird sich als künftiges Liefermodell durchsetzen. Die Frage ist nicht mehr ob, sondern wie schnell."

Die vom Lizenzverkauf abhängigen Anbieter reagieren sehr unterschiedlich auf die Heraus-forderung. John Thomson, Chef des US-Sicherheitsexperten Symantec, kündigte Ende März an, sein Unternehmen wolle Anti-Spam- und Backup-Lösungen als Services anbieten. Gleichzeitig räumte er ein, dass für Symantec damit kurzfristig schmerzhafte Einschnitte verbunden sein könnten.

Bei Microsoft will man von derlei Szenarien noch nichts wissen und verlegt sich lieber darauf, das Problem kleinzureden. "Aus unserer Sicht ist das eine Form des Application Hosting. Mit unserem Partner-Hosting-Modell bieten wir unseren Kunden schon seit Jahren etwas Ähnliches an", sagt Werner Leibrandt, Direktor Mittelstand bei Microsoft Deutschland. "Das läuft zum Beispiel so, dass der Partner eine individuelle CRM-Lösung für einen Kunden entwickelt und sie dann auch betreibt."

Die Großen reagieren hilflos

Dummerweise nur ist das etwas ganz anderes als SaaS, und das werden auch die Kunden sehr schnell begreifen. Gefährlich, findet Leibrandt, können SaaS-Lösungen, zum Beispiel von Google, seinem Arbeitgeber auch deshalb kaum werden, "weil sie nicht Microsofts Look and Feel bieten können".

Nicht ganz so hilflos wirkt SAP beim Thema SaaS. Die Walldorfer haben am 19. September ihre neue Mietlösung "SAP Business ByDesign" vorgestellt, die zuvor monatelang unter dem Codenamen A1S durch die Gazetten und Internet-Seiten geisterte. Die Mietlösung kostet in Deutschland 133 Euro netto pro Anwender und Monat und wird übers Internet zur Verfügung gestellt. Im Preis enthalten sind nach Angaben des Herstellers Infrastruktur, Service und Support. Allerdings müssen pro Kunde mindestens 25 Anwender lizenziert werden, es soll aber vergünstigte Gruppenpreise für Benutzer geben, die nur einen Teil des Leistungsumfangs der Software nutzen, beispielsweise das Modul die Reisekostenerfassung.

Irgendwann ist der Tanzabend zu Ende …

Dass die Sache ein Erfolg wird, daran hegt Helmut Gümbel, IT-Analyst bei Strategy Partners, erhebliche Zweifel: "Technisch ist das Ganze eigentlich nicht als SaaS-Lösung geeignet. Und man kann eine Karosserie noch so stromlinienförmig bauen, wenn der Motor nicht geeignet ist für die Rennstrecke, dann wird es schwierig."

SAP dagegen ist überzeugt, mit dem neuen Boliden siegen zu können. Eine neue Abteilung und Investitionen von 400 Millionen Euro sollen den Walldorfern schon 2010 zu einem Umsatz von einer Milliarde Euro im SaaS-Segment verhelfen. Zielgruppe sind Unternehmen, die Geschäftssoftware von der Stange zu möglichst günstigen Preisen wollen. A1S wird im Vergleich zu größeren SAP-Anwendungen weniger Funktionalität bieten, dafür aber günstig und schnell einsetzbar sein. Das Paket wird Basisfunktionen aus den Bereichen ERP, Supply-Chain und CRM abdecken.

Die SAP-Verantwortlichen glauben also an die Software-als-Service-Idee. Und was sie noch glauben, ist, dass sie sich mit A1S keinesfalls selber Kunden wegnehmen werden. "Wir wenden uns ausschließlich an Mittelständler mit 100 bis 1000 Mitarbeitern, die bisher noch gar keine umfangreiche ERP-Suite einsetzen und folglich auch noch nicht unseren Kunden sind", so Peter Graf, Executive Vice President Solution Marketing bei SAP Deutschland.

Darüber hinaus bietet das Unternehmen mit "On-Demand-CRM" einen Zwitter aus gehosteter und beim Kunden installierter Software an. Ziel ist es, eine zunächst gemietete Lösung später selber zu betreiben. Peter Graf: "Viele Firmen wollen sich in puncto CRM von anderen unterscheiden, und das geht nur, wenn sie ihre Lösung mittelfristig individuell verändern und anpassen können. Eine Zeitlang mag die gemietete Einheitslösung in Ordnung sein, aber sie ist auch wie ein Korsett. Und irgendwann ist der Tanzabend zu Ende, und dann will ich das Korsett auch wieder ausziehen können."

Keine eckigen Ostereier mehr

Der Erfolg der Servicelösungen legt allerdings die Vermutung nahe, dass sich mancher Kunde durch etwas ganz anderes eingeengt fühlt: durch die vielen Server im Keller, die Jahr für Jahr angstvoll dem nächsten Update entgegenzittern. "SAP fabriziert für jeden Kunden individuell eckige Ostereier", so Helmut Gümbel von Strategy Partners, "und bei jedem Release-Wechsel werden die wieder aufs Neue eckig gemacht."

Alexander Gassmann, bei der Software AG für die weltweite Vertriebskoordination und die Aus- und Weiterbildung zuständig, ist solcher Aufwand völlig fremd. "Wir haben", so Gassmann, "null Release-Trauma." Bei der Software AG nutzen 600 Mitarbeiter ein CRM-System von Salesforce.com. Updates gibt es zweimal im Jahr. "Dann bekommt der Admin eine Liste mit den neuen Funktionen, und wir können entscheiden, was wir davon nutzen wollen und was nicht", so Gassmann.

Auch größere Veränderungen sind in kürzester Zeit realisiert: Das Aufsetzen eines zusätzlichen Vertriebsmoduls dauerte ganze zwei Tage. "Davon können die bei Siebel nur träumen." Die CRM-Lösung ließe sich leicht selber verändern und individuell anpassen, aber davon rät Gassmann dringend ab: "Damit würden wir uns genau die Komplexität aufhalsen, die wir nicht wollen."

IT-Entscheider ohne Anwendungen

Ausgefallen ist das System in mehr als drei Jahren genau ein Mal für einen Tag. Und die Wahrscheinlichkeit, dass so etwas passiert, ist bei web-basiertem Softwareservice generell geringer als etwa beim Partner-Hosting. One-to-many heißt nämlich auch: Hat ein Kunde Probleme, haben die anderen auch welche. Deshalb wird schon der Druck der Massen den Anbieter zwingen, so wenig Ausfallzeiten wie möglich zu haben.

Der geringere Aufwand für Einrichtung und Betrieb einer SaaS-Lösung drückt natürlich die Kosten, im Einzelfall kann Mietsoftware um 50 Prozent billiger sein als lokal installierte Lösungen. Heißt das alles, dass der Siegeszug von SaaS nicht aufzuhalten ist? Gümbel von Strategy Partners ist sich da nicht so sicher: "Das größte Hindernis werden die Menschen sein. Was macht denn ein IT-Entscheider, der keine eigenen Anwendungen mehr hat?"

Was der Mittestand von Software als Service hält

IT-Entscheider mittelständischer Unternehmen sind im Grunde davon überzeugt, dass SaaS-Lösungen viele Vorteile bieten. Gleichzeitig wissen sie aber noch zu wenig über diese Art von Software und haben nicht unerhebliche Sicherheitsbedenken.

So lautet – zusammengefasst – das Ergebnis einer Studie, die die Marktforscher von IDG Business Media im Oktober 2007 im Auftrag der Computerwoche durchführten. Befragt wurden 221 Unternehmen, von denen etwa 95 Prozent mehr als 100 Beschäftigte hatten.

Nach den Vorteilen der Nutzung von Mietsoftware gefragt, nannten knapp 38 Prozent der Antwortenden eine höhere Aktualität der Software, mehr als 31 Prozent waren davon überzeugt, dass der Wartungs- und Administrieraufwand für die IT-Abteilung kleiner ist als bei lizenzierter Software. Mehr als 43 Prozent lobten die niedrigen Anfangsinvestitionen bei SaaS-Lösungen.

Die andere Seite: Fast 64 Prozent fürchten sich vor einer zu hohen Abhängigkeit vom Serviceanbieter, mehr als 30 Prozent der Befragten haben Sicherheits- und noch etwas mehr Integrationsbedenken. Über 35 Prozent befürchten einen Know-how-Verlust der IT-Abteilung, wenn die Software nicht mehr auf den eigenen Systemen läuft, sondern aus der Leitung kommt. Und schließlich: Mehr als 36 Prozent der Antwortenden gaben an, sich vor System-ausfällen und der damit verbundenen mangelnden Verfügbarkeit einer Lösung zu fürchten.

Welche Ängste vorherrschend sind, zeigt auch ein Blick auf die Antworten zur Frage, in welchen Bereichen die Unternehmen auf keinen Fall gemietete Software einsetzen wollen. An erster Stelle steht hier ERP (Enterprise Resource Planning) mit 38 Prozent der Nennungen, gefolgt von CRM (Customer Relationship Management) mit 25 Prozent, TK-Software mit ebenfalls 25 Prozent und Business Intelligence mit knapp 24 Prozent.

Eine naheliegende Interpretation dieser Zahlen lautet: Unternehmen haben vor allem Angst davor, ihre Daten anderen anzuvertrauen. Dabei ergibt gerade bei CRM- und ERP-Lösungen das Software-als-Service-Prinzip besonders viel Sinn, denn gerade in diesen Bereichen treiben aufwendige Installationen auf eigenen Rechnern, teure individuelle Anpassungen und ständiger Update-Ärger die Anwender immer wieder regelrecht zur Verzweiflung.

Mehr als die Kunden haben die Anbieter von Software begriffen, welches Potenzial in gemieteten Businesslösungen liegt: Das Beratungsunternehmen Lünendonk fragte im Rahmen einer anderen Studie zum Thema SaaS mehr als 50 führende Softwarehersteller da-nach, in welchen Anwendungsbereichen sie künftig das größte Angebot an gemieteten Lö-sungen erwarten. Antwort: CRM und ERP, alle anderen Nennungen waren weit abgeschlagen. Und, auch das fand Lünendonk heraus, den Mittelstand betrachten die Anbieter als wichtigstes Kundensegment.

Grund genug, verstärkt Aufklärungsarbeit zu leisten. Denn ein Teil der Ängste von IT-Entscheidern in mittelständischen Unternehmen dürfte mit mangelnder Marktkenntnis zusammenhängen. Eine Frage der beschriebenen IDG-Studie im Auftrag der COMPU-TERWOCHE lautete: "Was meinen Sie: Welche der folgenden zwölf Anbieter bieten Mietsoftware an?" Ergebnis: SAP, IBM, Microsoft und Oracle wurden mit Abstand am häufigsten genannt, obwohl keiner von ihnen zu den ech-ten SaaS-Pionieren zählt. Von Salesforce dagegen, jenem Unternehmen, das die SaaS-Idee im CRM-Umfeld maßgeblich bekannt gemacht hat, glaubten nur knapp 16 Prozent der Befragten, dass es Mietsoftware anbietet.

SaaS, ASP, gehostete Lösung

Mietlösung ist nicht gleich Mietlösung: Echte "Software-as-a-Service" liegt nur dann vor, wenn die Lösung wirklich wie Wasser oder Strom aus der Leitung kommt und sie der User sofort, ohne Anpassungen und in gleich bleibender Qualität nutzen kann.

Verwechselt wird SaaS vor allem mit dem ASP (Application Service Providing)-Ansatz. Dabei sind die Unterschiede auf den zweiten Blick leicht erkennbar: Beim ASP entsteht eine Lösung für einen User, nur dass diese Lösung eben nicht beim Kunden selbst installiert war, sondern beim Anbieter, der sie via Datenleitung bereitstellte. Beim SaaS versorgt eine plattformbasierte Lösung übers Internet viele unterschiedliche Anwender. Das senkt auch beim Anbieter den Serviceaufwand und damit die Kosten.

Konventionelle, lizenzierte, vor Ort beim Kunden installierte Software hat im Gegensatz dazu eine ganze Reihe von Nachteilen. Um diese zu kaschieren, versuchen einige Anbieter, ihre Lösungen zu tarnen, quasi Lizenzsoftware als Mietsoftware unters Volk zu bringen. Der schlichteste und zugleich am häufigsten genutzte Trick: Der Hersteller bietet an, die Lösung in Zukunft extern zu hosten – also nicht mehr auf den Kundenrechnern laufen zu lassen – und zugleich die Lizenz- und Upgrade-Gebühren in einen monatlichen Mietbetrag zu verwandeln.

Software-as-a-Service muss aber von Beginn an als solche konstruiert sein, damit sie opti-mal funktioniert und der Kunde ihre Vorteile voll ausschöpfen kann.

Mit Hilfe einiger simpler, aber sehr wirkungsvoller Tests kann der Kunde allerdings feststellen, ob es sich bei dem Gebotenen um echte SaaS oder um eine "Fälschung" handelt.

Echte SaaS? – wichtige Tests

Bitten Sie den Anbieter um eine Pilot- oder Testinstallation der Anwendung. Bei Lizenzsoftware ist so etwas in der Regel aufwendig und teuer, bei SaaS kein großes Problem.

Echte SaaS-Anbieter haben nichts dagegen, wenn der Kunde mit einer kleinen Lösung anfangen will, die später wächst. Anbieter konventioneller Lösungen wollen dagegen meist schon zu Beginn eine Reihe Erweiterungsbausteine, Optionen oder Schnittstellen verkaufen – mit dem Argument, das alles sorge langfristig für problemlose Skalierbarkeit.

Im Gespräch mit Referenzkunden sollten Interessenten erfragen, wie viel Innovationen und neue Features in den zurückliegenden zwölf Monaten zur Verfügung gestellt wurden. Wenn die Anzahl null beträgt, ist das verdächtig, weil es darauf hindeutet, dass die Software nach üblichem Realease-Turnus in großen Abständen aktualisiert wird und nicht fortlaufend wie bei SaaS üblich.

Wenn für Upgrades separat bezahlt werden muss, ist ebenso Vorsicht geboten wie für den Fall, dass wegen einer neuen Version plötzlich die Migration irgendwelcher Daten erforderlich wird. Bei echter Servicesoftware sind Up-grades inbegriffen, und der Kunde sollte von ihnen wenig bis nichts mitbekommen.

Individuelle Anpassungen können sinnvoll sein. Auf keinen Fall aber sollten sie erforderlich sein, um neue, notwendige Funktionalitäten bereitstellen zu können. Ist dies der Fall, dann deutet dies darauf hin, dass es sich um eine "Single Tenant-Lösung" handelt, also um eine individuelle, für diesen einen Kunden aufgesetzte Software.

Die Implementierung von SaaS muss schnell und problemlos gehen, weil eine vergleichbare Lösung bereits andere nutzen. Ist die Einrichtung zeitaufwendig und komplex, sollte der Kunde sehr genau nach dem Warum fragen.

Keine versteckten Kosten: Sämtliche Nutzungsgebühren einer SaaS-Lösung sollten im monatlichen Mietpreis enthalten sein. Der Kunde kann vom Anbieter erwarten, dass er Kosten für Aktualisierungen und Verbesserungen von Beginn an einkalkuliert und sie nicht nachträglich in Rechnung stellt. Wenn – wie zum Beispiel im Falle des Münchener SaaS-Anbieters Commercetools – ein Online-Shop Gegenstand der Mietlösung ist, dann ist eine zusätzliche Gebühr für dessen Einrichtung üblich und gerechtfertigt.

Eine SaaS-Lösung bietet sich vor allem dort an, wo Unternehmen etwas Neues tun, etwa eine zusätzliche Software anschaffen oder ei-nen neuen Vertriebskanal nutzen wollen. Mittelständler, die bisher keine Software zum Kunden-Management (CRM) einsetzen, sollten sich die Möglichkeiten einer Mietlösung zumindest ansehen. Gleiches gilt für das gesamte Online-Geschäft: Ein Webshop lässt sich geradezu ideal mit Hilfe einer Servicelösung handeln.

Die Vorteile von SaaS-Software:

• Die Gesamtkosten (Total Cost of Ownership) sind signifikant niedriger. Wie die Berater von McKinsey im Rahmen einer Untersuchung über CRM-Software festgestellt haben, belaufen sich die Einsparungen auf etwa 30 Prozent.

• Die Lösung ist deutlich schneller einsatzfähig als eine auf eigenen Rechnern laufende, individuell angepasste Software.

• Geringer Investitionsaufwand, das Anschaffen zusätzlicher Hardware ist nicht notwendig, erforderlich ist lediglich ein Internet-Browser.

• SaaS-Lösungen werden kontinuierlich ungegradet.

• Die große User-Zahl gibt Sicherheit: Hinter SaaS steckt die "One-to-many-Idee", das heißt, die Technik, auf der eine Lösung basiert, nutzen einige Dutzend oder sogar einige Hundert andere Firmen auch. (Fast) jedes auftretende Problem trifft deshalb alle. Die große Zahl der potenziell Geschädigten zwingt den Anbieter deshalb zur Wachsamkeit und dazu, auftretende Probleme so schnell wie möglich zu beseitigen.

Risiken, die mit der Nutzung von SaaS-Software verbunden sein können:

• Die Tatsache, dass jedes Problem viele User auf einmal betrifft, sorgt natürlich nicht nur für den Schutz der Gruppe, sie ist auch gefährlich. Wie sehr, das verdeutlichte der jüngste Angriff auf Salesforce. Der bekannteste Anbieter von SaaS-Software für das Customer-Relationship-Management musste Anfang November in einer Mail an seine Kunden einräumen, für mehrere Viren- und Pishing-Attacken auf die eigenen Kunden mitverantwortlich zu sein. Die von dem Angreifern genutzten Daten stammten offensichtlich von Salesforce: Ein Mitarbeiter des Unternehmens war zuvor selbst Opfer einer Pishing-Attacke geworden, die Angreifer waren dadurch in den Besitz einer Liste mit Kontaktdaten von Kunden ge-kommen. Die weit verbreitete Angst, SaaS-Lösungen seien in puncto Datensicherheit ris-kant, ist also keineswegs unbegründet. Allerdings: Bei eigenen und individuellen, aber extern gehosteten Lösungen besteht diese Ge-fahr ebenso. Und: Ein absolut wasserdichter Schutz der eigenen Daten ist auch dann kaum machbar, wenn diese Daten im eigenen Serverraum lagern – weil in der Regel schon die eigenen Mitarbeiter für Unsicherheit sorgen.

• Gerade Mittelständler äußern im Zusammenhang mit SaaS immer wieder die Angst, in zu große Abhängigkeit zu geraten. Und zwar in Abhängigkeit erstens von der Verfügbarkeit der Internet-Anbindung und zweitens von jenem Anbieter, der die Lösung bereitstellt, hostet und – hoffentlich – seine schützende Hand über die Daten seiner Kunden hält. Auch diese Bedenken sind nicht ganz unbegründet. Beim Thema Abhängigkeit von einer stabilen Internet-Anbindung sollten Kunden allerdings die Vorteile und die Risiken einer internet-basierten Lösung sorgfältig gegeneinander abwägen: Eine stabile Netzanbindung kann man sich vertraglich zusichern lassen. Die Frage muss auch lauten: Wie oft stand meine Internet-Verbindung in den zurückliegenden Monaten aus technischen Gründen nicht zur Verfügung? Netzanbindungen sind heute in den meisten Fällen so stabil und sicher, dass das Ausfallrisiko für die meisten Mittelständler hinnehmbar sein dürfte.

• Das Problem der Abhängigkeit von einem Partner, der sowohl die Software online zur Verfügung stellt als auch die Daten seiner Kunden verwaltet, ist schon diffiziler. Sicher, wer eine SAP-Lösung einführt und auf seine individuellen Bedürfnisse zuschneidern lässt, begibt sich auch in eine – nicht unerhebliche – Abhängigkeit, nämlich von SAP. Der Unterschied zu einer SaaS-Anwendung ist nur, dass der SAP-Nutzer, jedenfalls meistens, selber die Kontrolle über seine Daten behält. Bei Software als Service ist das anders, deshalb gilt es hier, sich die Vertragsbedingungen sehr genau anzusehen. Wichtig ist die Antwort auf die Frage: Wer ist verantwortlich, wenn Daten verloren gehen, beschädigt werden oder in fremde Hände geraten? Und: In welcher Form bekomme ich meine Daten zurück, wenn ich den Vertrag mit dem SaaS-Anbieter kündige? Kann ich danach meine Daten problemlos auf eigenen Systemen oder auf denen von Dritten weiterverarbeiten? Entsprechende Zusagen sollten sich Kunden in jedem Fall schriftlich geben lassen.