Cloud Hosting lässt sich nicht in eine einzige Liste von Arten sortieren. Es sind drei voneinander unabhängige Fragen: Wer nutzt die Infrastruktur außer Ihnen, wie viel bauen Sie selbst zusammen, und wie sind die Ressourcen geschnitten. Für Unternehmen in Deutschland kommt eine vierte dazu, nämlich wo die Rechenzentren stehen und wer sonst noch Zugriff hat.
Wer danach sucht, bekommt trotzdem dieselbe eine Liste: Public Cloud, Private Cloud, Hybrid Cloud, dazu IaaS, PaaS und SaaS, und irgendwo dazwischen steht dann noch Managed Cloud. Diese Liste hilft bei genau einer Sache nicht, nämlich bei der Entscheidung, weil die Begriffe nicht auf derselben Ebene liegen. Eine Public Cloud kann IaaS sein, sie kann managed sein, und in der Praxis ist sie oft beides.
Die Definitionen stammen aus derselben Quelle, der NIST Special Publication 800-145 des US-amerikanischen National Institute of Standards and Technology. Auf dieses Papier beruft sich die Branche bis heute, wenn sie Public Cloud oder IaaS sagt.
Wer nutzt die Infrastruktur außer Ihnen?
Darauf antworten Public Cloud, Private Cloud und Community Cloud. Hybrid Cloud und Multi-Cloud stehen daneben, weil sie die Frage nicht beantworten, sondern die Antworten kombinieren: Hybrid heißt zwei dieser Antworten gleichzeitig, Multi-Cloud heißt mehrere Anbieter, unabhängig davon, welche Antwort für den einzelnen gilt.
Public Cloud
Die Infrastruktur steht für die offene Nutzung bereit, im Original „provisioned for open use by the general public". Ihre Anwendung läuft auf Hardware, auf der auch andere Kundenunternehmen arbeiten, getrennt durch Virtualisierung. Niemand muss dafür Hardware kaufen, und zusätzliche Kapazität ist innerhalb von Minuten verfügbar.
Private Cloud
Gemeint ist die exklusive Nutzung durch eine einzelne Organisation, „exclusive use by a single organization comprising multiple consumers". Die Kapazität gehört Ihnen allein. Sie gehört Ihnen auch dann, wenn Sie sie gerade nicht brauchen, und genau darin liegt der Preisunterschied zur Public Cloud. Ob die Hardware im eigenen Haus steht oder bei einem Anbieter, ändert an der Definition nichts.
Community Cloud
Der dritte Begriff aus derselben Definition beschreibt eine Umgebung für einen abgegrenzten Kreis von Organisationen mit gemeinsamen Anforderungen, etwa Hochschulen oder die Einrichtungen eines kommunalen Verbunds. Im Mittelstand kommt sie erfahrungsgemäß praktisch nicht vor. Wer nicht Teil eines solchen Verbunds ist, kann den Begriff also getrost überspringen.
Damit sind die Antworten auf die erste Frage vollständig. Die beiden folgenden Begriffe stehen in denselben Übersichten, beantworten die Frage aber nicht, sondern setzen die Antworten zusammen.
Hybrid Cloud
Hybrid Cloud heißt, dass zwei dieser Antworten gleichzeitig gelten, und NIST definiert den Begriff entsprechend als Zusammensetzung, „a composition of two or more distinct cloud infrastructures (private, community, or public) that remain unique entities". Die Umgebungen verschmelzen nicht, sie bleiben getrennt und werden über eine Technik verbunden, die Daten und Anwendungen zwischen ihnen bewegt. So sieht ein Zuschnitt aus: die Warenwirtschaft bleibt im eigenen Rechenzentrum, der Onlineshop läuft in der Public Cloud.
Multi-Cloud
Multi-Cloud beantwortet eine andere Frage, nämlich die nach der Anzahl der Anbieter, und steht deshalb auch nicht in der NIST-Definition. Der Begriff hat sich später eingebürgert und meint die Verteilung auf mehrere Anbieter, meistens mit dem Ziel, von keinem einzelnen abhängig zu sein. Der Effekt ist zwiespältig, weil jede zusätzliche Plattform eigene Konsolen, eine eigene Abrechnungslogik und eigenes Wissen im Team voraussetzt.
| Modell | Was der Begriff beschreibt | Wann es passt |
|---|---|---|
| Public Cloud | offen für alle, die Hardware wird geteilt | Standardfall, wenn Kapazität schwankt und keine eigene Hardware gewollt ist |
| Private Cloud | eine Organisation exklusiv | wenn Kapazität dauerhaft reserviert sein muss und der Aufpreis dafür eingeplant ist |
| Community Cloud | ein abgegrenzter Verbund von Organisationen nutzt die Umgebung | wenn Sie Teil eines solchen Verbunds sind, sonst nicht |
| Hybrid Cloud | Kombination: zwei getrennte Umgebungen, miteinander verbunden | wenn ein System bleiben muss, wo es ist, und der Rest trotzdem skalieren soll |
| Multi-Cloud | Anzahl der Anbieter: mehrere parallel | wenn die Unabhängigkeit von einem Anbieter mehr wert ist als der doppelte Betriebsaufwand |
Wie viel bauen Sie selbst zusammen?
Bei der zweiten Frage geht es darum, wie weit oben der Anbieter aufhört und Sie anfangen. Auch hier liefert NIST die Definitionen.
IaaS
Sie bekommen die Grundbausteine, „processing, storage, networks, and other fundamental computing resources where the consumer is able to deploy and run arbitrary software". Betriebssystem, Laufzeitumgebung, Datenbank und Anwendung richten Sie selbst ein. Das gibt Ihnen die größte Freiheit und die längste Liste an Dingen, die zu tun sind.
PaaS
Sie liefern die Anwendung, und die Ebene darunter kommt fertig, also Laufzeitumgebung und Datenbank, häufig auch die Mechanik, die bei Last zusätzliche Instanzen startet. NIST beschreibt das als die Möglichkeit, „consumer-created or acquired applications" auf der Infrastruktur des Anbieters auszurollen.
SaaS
Die fertige Software, „to use the provider's applications running on a cloud infrastructure". Sie melden sich an und arbeiten. Alles darunter gehört dem Anbieter, vom Betriebssystem bis zum Backup. Ein CRM-System, das Sie im Browser öffnen, ist SaaS. Im Haus heißt es meistens einfach das CRM.
Wie sind die Ressourcen geschnitten?
Die dritte Frage ist, was Sie physisch bekommen, und hier verläuft auch die Grenze, an der klassisches Webhosting aufhört und Cloud Hosting anfängt. NIST nennt fünf Merkmale von Cloud Computing, zwei davon sind für diese Unterscheidung entscheidend: ein Ressourcenpool, aus dem der Anbieter dynamisch zuteilt, und Kapazität, die sich schnell in beide Richtungen ändern lässt.
Webhosting
Beim klassischen Webhosting teilen sich viele Kundenunternehmen einen Server, und Sie buchen ein Paket mit festen Grenzen für Speicher und Datenbanken. Wächst der Bedarf, wechseln Sie das Paket. Das ist kein Cloud Hosting, weil die schnelle Anpassung fehlt, auch wenn Anbieter beides gern im selben Atemzug bewerben.
Virtueller Server
Ein virtueller Server ist ein abgegrenzter Teil einer größeren Maschine mit eigenem Betriebssystem und fest zugeteilten Ressourcen. Ob diese Zuteilung garantiert ist oder ob sich mehrere Kundenunternehmen dieselben Rechenkerne teilen, unterscheidet sich je nach Produkt und steht im Datenblatt. Aus mehreren virtuellen Servern entsteht die Umgebung, in der Ihre Anwendung läuft.
Dedizierte Hardware
Dedizierte Hardware bedeutet, dass eine physische Maschine nur für Sie arbeitet. Das ist dort sinnvoll, wo Lizenzbedingungen oder sehr gleichmäßige Last dafür sprechen, und es ist genau dann teuer, wenn die Last schwankt.
Container
Container schneiden die Ressourcen noch feiner. Statt eines vollständigen Betriebssystems pro Anwendung läuft nur die Anwendung samt ihren Abhängigkeiten in einer abgeschotteten Einheit, und eine Plattform darüber verteilt diese Einheiten auf die verfügbaren Maschinen. Kubernetes ist eine dieser Plattformen und steckt heute unter vielen Angeboten, ohne dass es im Produktnamen auftaucht.
Managed oder unverwaltet: wie viel Arbeit beim Anbieter liegt
Diese Angabe ist unabhängig von den drei Fragen davor. Anbieter führen sie trotzdem oft als eigenes Modell. Bei einem unverwalteten Angebot bekommen Sie Zugang und richten alles selbst ein. Bei einer Managed Cloud übernimmt der Anbieter einen definierten Teil der laufenden Arbeit, also typischerweise Updates, Monitoring, Backups und Incident-Response. Beides gibt es für Public und Private, für IaaS und PaaS, und was genau enthalten ist, unterscheidet sich zwischen Anbietern so stark, dass Sie im Zweifel nachlesen müssen, was in Ihrem Fall dazugehört.
Wo stehen die Rechenzentren, und wer hat sonst noch Zugriff?
Diese Frage steht in den üblichen Übersichten nicht, weil die NIST-Definition sie nicht kennt. Sie ist trotzdem oft die erste, die im Unternehmen gestellt wird, denn eine Public Cloud kann in Frankfurt laufen oder in Virginia, und die Definition unterscheidet das nicht.
Vier Angaben klären das: die Standorte, an denen die Umgebung tatsächlich läuft, die beteiligten Subprozessoren und wo sie sitzen, das Recht, dem der Anbieter unterliegt, und der Geltungsbereich vorhandener Zertifikate wie ISO 27001. Beim anwendbaren Recht geht es im Kern um den Cloud Act, der Anbieter mit US-Bezug zur Herausgabe von Daten verpflichten kann, unabhängig davon, in welchem Land der Server steht. Ein Zertifikat, das nur die Verwaltung abdeckt und nicht den Rechenzentrumsbetrieb, hilft Ihnen im Vendor-Assessment wenig.
Wie viel diese Frage wiegt, zeigt der Bitkom Cloud Report 2026. Von den Unternehmen, die Cloud-Dienste nutzen oder dies in Erwägung ziehen, geben 98 Prozent an, dass das Herkunftsland des Anbieters bei der Auswahl eine Rolle spielt, und bevorzugen würden 91 Prozent einen deutschen Anbieter, 8 Prozent einen aus den USA (n=598). Unter den Unternehmen, für die das Herkunftsland eine Rolle spielt, beziehen 53 Prozent von deutschen und 71 Prozent von US-Providern, Mehrfachnennungen möglich (n=589). Telefonisch befragt wurden 603 Unternehmen in Deutschland ab 20 Beschäftigten.
Wer eine DSGVO-konforme Cloud sucht, sucht in Wahrheit nach genau diesen vier Angaben. Ein Siegel mit der Aufschrift „DSGVO-konform" gibt es nicht, wohl aber genehmigte Zertifizierungsverfahren nach Artikel 42 DSGVO. Für Cloud-Dienste in Deutschland ist AUDITOR ein solches Verfahren, genehmigt von der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen. Wer es nicht führt, arbeitet deswegen nicht regelwidrig. Dann bleiben aber die vier Angaben oben die einzige Grundlage für Ihre Prüfung.
Welche Kombination passt zu welcher Situation?
Belastbar sind vor allem vier Zusammenhänge, an denen sich ein IT-Leiter entlanghangeln kann. Eine allgemeine Antwort ersetzen sie nicht, weil die vier Fragen unabhängig voneinander beantwortet werden.
Wenn Ihre Last schwankt und Sie keine Hardware kaufen wollen, dann ist die Public Cloud die naheliegende Wahl. Wenn Kapazität dauerhaft reserviert sein muss, etwa wegen Lizenzbedingungen, dann rechnet sich die Private Cloud trotz des Aufpreises. Sie bezahlen dort auch die Kapazität, die gerade niemand braucht, und genau das ist bei dauerhaft reservierter Last der Sinn der Sache.
Wenn ein System aus Lizenz-, Latenz- oder Altersgründen bleiben muss, wo es ist, dann ist die Hybrid Cloud die passende Form. Wenn niemand im Team zwei Plattformen sicher bedient, dann kostet Multi-Cloud mehr, als die Unabhängigkeit einbringt. Und wenn es um ein internes Werkzeug ohne Zusagen an Kundenunternehmen geht, dann entscheidet der Preis und nicht das Modell.
Häufige Fragen
Beim Webhosting buchen Sie ein Paket mit festen Grenzen auf einem geteilten Server. Beim Cloud Hosting kommen die Ressourcen aus einem Pool und lassen sich kurzfristig nach oben und unten ändern. Die schnelle Anpassbarkeit ist das Merkmal, an dem sich beides unterscheidet.
Dass die Infrastruktur für die offene Nutzung bereitsteht und Sie sich die zugrunde liegende Hardware mit anderen Kundenunternehmen teilen, getrennt durch Virtualisierung. Über den Standort der Rechenzentren sagt der Begriff nichts.
Quellen
- NIST Special Publication 800-145, „The NIST Definition of Cloud Computing", Peter Mell und Timothy Grance, National Institute of Standards and Technology, September 2011
- Bitkom, „Cloud Report 2026", Studienbericht, veröffentlicht im Juni 2026. Erhebung in den Kalenderwochen 14 bis 20 des Jahres 2026, 603 telefonisch befragte Unternehmen ab 20 Beschäftigten, Fehlertoleranz plus minus 3 Prozent
- Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Verzeichnis genehmigter Zertifizierungskriterien nach Artikel 42 Absatz 5 und Artikel 43 Absatz 6 DSGVO. Eintrag ZK-02, AUDITOR-Kriterienkatalog Fassung 1.0, Kompetenznetzwerk Trusted Cloud e. V., Einsatzbereich Cloud-Dienste, genehmigt am 28. Juni 2024
Thomas Huber
