- SOC 2 ist ein US-amerikanisches Audit-Framework des AICPA, das die Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz von Service-Organisationen prüft.
- SOC 2 Type I prüft die Gestaltung der Kontrollen zu einem Stichtag. SOC 2 Type II prüft die operative Wirksamkeit der Kontrollen über einen Zeitraum von mindestens 6 Monaten. Type II ist deutlich aussagekräftiger.
- SOC 2 ist vor allem relevant für SaaS-Anbieter, Cloud-Dienstleister und IT-Outsourcing-Unternehmen, die US-amerikanische Kunden oder Investoren haben.
- Im europäischen Markt ist ISO 27001 der etablierte Standard. SOC 2 ergänzt, ersetzt aber nicht die ISO-27001-Zertifizierung. Viele internationale Unternehmen haben beide.
- Die Kosten für ein SOC-2-Audit liegen zwischen 30.000 und 100.000 Euro, je nach Umfang, Komplexität und gewählten Trust Service Criteria.
Was ist SOC 2?
SOC steht für System and Organization Controls und ist ein Audit-Framework, das vom American Institute of Certified Public Accountants (AICPA) entwickelt wurde. Es gibt verschiedene SOC-Berichte (SOC 1, SOC 2, SOC 3), und SOC 2 ist derjenige, der für Informationssicherheit und Datenschutz relevant ist.
Ein SOC-2-Bericht bescheinigt, dass eine Service-Organisation (typischerweise ein SaaS-Anbieter, Cloud-Provider oder IT-Dienstleister) angemessene Kontrollen implementiert hat, um die Daten ihrer Kunden zu schützen. Der Bericht wird von einem unabhängigen Wirtschaftsprüfer (CPA) erstellt und kann von den Kunden der Service-Organisation angefordert werden.
Warum ist SOC 2 für europäische Unternehmen relevant? Weil der US-amerikanische Markt SOC 2 als De-facto-Standard für die Bewertung von Dienstleistern etabliert hat. Wenn du Software oder IT-Dienste an US-amerikanische Unternehmen verkaufst, wirst du früher oder später nach einem SOC-2-Bericht gefragt. Auch US-Investoren und Venture-Capital-Firmen erwarten von ihren Portfolio-Unternehmen häufig eine SOC-2-Compliance.
Die Trust Service Criteria
SOC 2 basiert auf den Trust Service Criteria (TSC), die fünf Kategorien von Kontrollen definieren. Jede Organisation wählt aus, welche Criteria sie in ihr SOC-2-Audit einbezieht. Nur "Security" ist verpflichtend, die anderen vier sind optional.
Security (Common Criteria) - verpflichtend
Die Security-Kriterien bilden den Kern jedes SOC-2-Audits. Sie prüfen, ob die Informationen und Systeme der Service-Organisation gegen unbefugten Zugriff, unbefugte Offenlegung und Beschädigung geschützt sind.
Die Common Criteria sind in neun Gruppen unterteilt:
CC1: Control Environment. Die Grundlagen der Sicherheitsorganisation: Integrität und ethische Werte, Verantwortlichkeiten des Managements, Organisationsstruktur, Kompetenzmanagement und Verantwortlichkeit.
CC2: Communication and Information. Wie die Organisation sicherheitsrelevante Informationen generiert, nutzt und kommuniziert: interne und externe Kommunikation, Berichtswesen und Informationsqualität.
CC3: Risk Assessment. Wie die Organisation Risiken identifiziert, bewertet und darauf reagiert: Zieldefinition, Risikoidentifikation und -bewertung, Berücksichtigung von Betrug und Veränderungen.
CC4: Monitoring Activities. Wie die Organisation die Wirksamkeit ihrer Kontrollen überwacht: fortlaufendes Monitoring, separate Bewertungen und Kommunikation von Kontrolldefiziten.
CC5: Control Activities. Die konkreten Sicherheitsmaßnahmen: Richtlinien und Verfahren, Technologiekontrollen und ihre Umsetzung.
CC6: Logical and Physical Access Controls. Zugangskontrolle in all ihren Facetten: Identitäts- und Zugriffsmanagement, physische Zugangskontrollen, Systemgrenzen und autorisierte Software.
CC7: System Operations. Der operative Betrieb: Erkennung und Überwachung von Sicherheitsereignissen, Incident Response und Wiederherstellung.
CC8: Change Management. Wie Änderungen an Infrastruktur, Daten und Software kontrolliert werden.
CC9: Risk Mitigation. Wie die Organisation Risiken durch Geschäftspartner und Dritte managt: Lieferantenbewertung und Risikominderung.
Availability (optional)
Die Verfügbarkeits-Kriterien prüfen, ob die Systeme der Service-Organisation wie vereinbart verfügbar sind. Das umfasst: Performance-Monitoring, Business Continuity, Disaster Recovery und Kapazitätsplanung.
Wenn deine Kunden SLAs mit Verfügbarkeitsgarantien erwarten, solltest du Availability einbeziehen. Für SaaS-Anbieter ist das fast immer der Fall.
Processing Integrity (optional)
Die Verarbeitungsintegritäts-Kriterien prüfen, ob die Datenverarbeitung vollständig, korrekt, rechtzeitig und autorisiert erfolgt. Das ist besonders relevant für Unternehmen, die Finanztransaktionen verarbeiten, Berechnungen durchführen oder Daten transformieren.
Confidentiality (optional)
Die Vertraulichkeits-Kriterien prüfen, ob vertrauliche Informationen angemessen geschützt werden: Identifizierung vertraulicher Informationen, Schutz während der Verarbeitung, Speicherung und Übertragung sowie sichere Entsorgung.
Privacy (optional)
Die Datenschutz-Kriterien prüfen, ob personenbezogene Daten in Übereinstimmung mit der Datenschutzerklärung und definierten Grundsätzen verarbeitet werden: Einwilligung, Zweckbindung, Datenminimierung, Qualität, Monitoring und Offenlegung, Sicherheit, Auskunft und Löschung.
Für europäische Unternehmen kann die Einbeziehung der Privacy-Kriterien sinnvoll sein, um US-Kunden den Nachweis der DSGVO-Compliance zu erleichtern.
Type I vs. Type II: Der entscheidende Unterschied
SOC 2 gibt es in zwei Varianten, und der Unterschied ist fundamental.
SOC 2 Type I
Ein Type-I-Bericht prüft die Gestaltung der Kontrollen zu einem Stichtag. Der Auditor bewertet, ob die Kontrollen so gestaltet sind, dass sie die Trust Service Criteria erfüllen könnten. Er prüft nicht, ob die Kontrollen über einen Zeitraum hinweg tatsächlich funktioniert haben.
Analogie: Ein Type-I-Bericht ist wie eine Fahrprüfung, bei der der Prüfer nur prüft, ob du das Auto richtig einstellen kannst (Spiegel, Sitz, Gurt), aber nicht, ob du tatsächlich fahren kannst.
Type I ist schneller und günstiger als Type II und wird oft als Einstieg genutzt, um den ersten Nachweis gegenüber Kunden zu erbringen. Erfahrene Kunden akzeptieren Type I aber nur als Übergang und erwarten zeitnah einen Type-II-Bericht.
SOC 2 Type II
Ein Type-II-Bericht prüft die operative Wirksamkeit der Kontrollen über einen Zeitraum von mindestens sechs Monaten (typischerweise zwölf Monate). Der Auditor prüft nicht nur, ob die Kontrollen existieren, sondern ob sie während des gesamten Prüfungszeitraums konsistent funktioniert haben.
Analogie: Ein Type-II-Bericht ist wie eine Fahrprüfung, bei der der Prüfer sechs Monate lang auf dem Beifahrersitz mitfährt und dein tatsächliches Fahrverhalten bewertet.
Type II ist die aussagekräftigere Variante und wird von den meisten Kunden und Investoren erwartet. Er erfordert, dass die Kontrollen über den gesamten Betrachtungszeitraum aktiv betrieben und dokumentiert wurden. Lücken in der Nachweisführung (zum Beispiel ein Quartal ohne dokumentierte Zugriffsüberprüfung) werden als Kontrolldefizite im Bericht vermerkt.
Empfehlung
Wenn du SOC 2 anstrebst, plane von Anfang an Type II ein. Du kannst mit Type I starten, um schneller den ersten Nachweis zu haben, aber der eigentliche Wert liegt im Type-II-Bericht. Plane den Zeitraum so, dass du mindestens sechs, besser zwölf Monate operative Nachweise sammelst, bevor der Auditor kommt.
Der SOC-2-Audit-Prozess
Phase 1: Readiness Assessment (2 bis 4 Monate)
Bevor du ein Audit beauftragst, führst du ein Readiness Assessment durch. Du definierst den Scope (welche Systeme und Prozesse werden geprüft?), wählst die Trust Service Criteria aus, identifizierst die erforderlichen Kontrollen und prüfst, ob sie implementiert sind und funktionieren.
Typischerweise ergibt sich aus dem Readiness Assessment eine Liste von Lücken, die vor dem eigentlichen Audit geschlossen werden müssen: fehlende Kontrollen, mangelnde Dokumentation, inkonsistente Prozesse.
Phase 2: Kontrollen implementieren und Nachweise sammeln (3 bis 6 Monate)
Du implementierst die fehlenden Kontrollen und stellst sicher, dass alle Kontrollen konsistent betrieben werden. Gleichzeitig beginnst du mit der systematischen Sammlung von Nachweisen. Jede Kontrolle muss durch Nachweise belegt werden: Logs, Genehmigungen, Review-Protokolle, Screenshots, Berichte.
Die Nachweisführung ist der aufwändigste Teil der SOC-2-Vorbereitung. Für jede Kontrolle musst du zeigen, dass sie über den gesamten Prüfungszeitraum funktioniert hat. Das bedeutet: regelmäßige Zugriffsprüfungen müssen dokumentiert werden, Änderungen an der Infrastruktur müssen einen dokumentierten Change-Management-Prozess durchlaufen haben, Sicherheitsvorfälle müssen protokolliert und bearbeitet worden sein.
Phase 3: Das Audit (4 bis 8 Wochen)
Der Auditor (ein zugelassener CPA oder eine CPA-Firma) prüft die Kontrollen und Nachweise. Bei Type I ist das ein punktuelles Audit. Bei Type II prüft der Auditor Nachweise über den gesamten Betrachtungszeitraum.
Der Auditor fordert Nachweise an (Evidence Requests), führt Interviews mit Schlüsselpersonen und prüft Systeme und Prozesse. Typische Evidence Requests umfassen: Richtlinien und Verfahren, Zugriffslisten und Berechtigungsänderungen, Change-Management-Tickets, Vulnerability-Scan-Ergebnisse, Incident-Response-Protokolle, Backup-Logs und Restore-Tests, Schulungsnachweise und Organigramme.
Phase 4: Der Bericht
Nach Abschluss des Audits erstellt der Auditor den SOC-2-Bericht. Der Bericht enthält: eine Beschreibung des Systems und der geprüften Kontrollen, das Ergebnis der Prüfung (Opinion des Auditors), Details zu den getesteten Kontrollen und deren Ergebnisse und gegebenenfalls festgestellte Ausnahmen oder Kontrolldefizite.
Der Bericht ist vertraulich und wird nicht öffentlich zugänglich gemacht. Du teilst ihn mit Kunden auf Anfrage, typischerweise unter NDA.
SOC 2 vs. ISO 27001: Gemeinsamkeiten und Unterschiede
Die Frage "SOC 2 oder ISO 27001?" kommt in jedem Compliance-Gespräch auf. Die ehrliche Antwort: Es hängt davon ab, wen du überzeugen willst.
Herkunft und Anerkennung
ISO 27001 ist ein internationaler Standard der International Organization for Standardization. Er wird weltweit anerkannt und ist in Europa der De-facto-Standard für Informationssicherheits-Management.
SOC 2 ist ein US-amerikanisches Framework des AICPA. Es wird primär im nordamerikanischen Markt erwartet und ist dort der De-facto-Standard für die Bewertung von Service-Organisationen.
Ansatz
ISO 27001 zertifiziert ein Managementsystem. Die Frage ist: "Hat das Unternehmen ein funktionierendes ISMS?" Die Zertifizierung bestätigt den systematischen Ansatz, nicht die Wirksamkeit einzelner Kontrollen.
SOC 2 prüft die Wirksamkeit konkreter Kontrollen. Die Frage ist: "Funktionieren die Kontrollen wie beschrieben?" Der Bericht geht in die Details jeder einzelnen Kontrolle.
Ergebnis
ISO 27001 resultiert in einem Zertifikat, das drei Jahre gültig ist (mit jährlichen Überwachungsaudits). Das Zertifikat ist binär: zertifiziert oder nicht.
SOC 2 resultiert in einem detaillierten Bericht, der die Ergebnisse für jede Kontrolle einzeln aufführt. Es gibt kein "Bestanden" oder "Nicht bestanden", sondern eine differenzierte Darstellung. Der Auditor kann Ausnahmen und Defizite feststellen, ohne dass das Gesamturteil negativ sein muss.
Umfang und Detailgrad
ISO 27001 ist flexibler im Scope. Du definierst, welche Teile deines Unternehmens das ISMS abdeckt, und die Maßnahmen ergeben sich aus deiner Risikobewertung.
SOC 2 ist fokussierter auf den konkreten Service, den du für deine Kunden erbringst. Die Kontrollen werden an den Trust Service Criteria gemessen, und der Auditor prüft sie detailliert.
Kosten
ISO 27001: Aufbaukosten 40.000 bis 120.000 Euro, Zertifizierungskosten 8.000 bis 20.000 Euro, jährliche Überwachungsaudits 4.000 bis 10.000 Euro.
SOC 2: Vorbereitungskosten 20.000 bis 60.000 Euro, Auditkosten 30.000 bis 100.000 Euro pro Jahr (der Bericht muss jährlich erneuert werden).
Wann brauchst du was?
Nur ISO 27001, wenn deine Kunden ausschließlich im europäischen Markt sitzen und kein US-Bezug besteht.
Nur SOC 2, wenn du ausschließlich den US-Markt bedienst und europäische Kunden kein Thema sind (selten für europäische Unternehmen).
Beides, wenn du international agierst und sowohl europäische als auch US-amerikanische Kunden hast. Die gute Nachricht: Die Überlappung ist erheblich (geschätzt 70 bis 80 Prozent der Kontrollen), und du kannst ein integriertes Compliance-Programm aufbauen, das beide Anforderungen effizient abdeckt. Ein Tool wie ISMS Lite (ab 500 Euro pro Jahr oder als Einmalkauf für 2.500 Euro) bildet die gemeinsame Kontrollbasis ab, sodass du Nachweise einmal erstellst und für beide Frameworks nutzen kannst, statt für jedes Framework eine eigene Enterprise-Plattform zu lizenzieren.
SOC 2 pragmatisch angehen
Den Scope definieren
Der Scope eines SOC-2-Audits ist typischerweise enger als der eines ISO-27001-ISMS. Er fokussiert sich auf den Service, den du für deine Kunden erbringst: die SaaS-Plattform, die Cloud-Infrastruktur, den IT-Support-Service. Alles, was diesen Service unterstützt (Entwicklung, Betrieb, Support, Infrastruktur), gehört in den Scope. Alles, was keinen Bezug zum Service hat, kann ausgeschlossen werden.
Die richtigen Trust Service Criteria wählen
Für die meisten SaaS-Anbieter und IT-Dienstleister sind Security und Availability die relevanten Criteria. Confidentiality kommt hinzu, wenn du explizit vertrauliche Kundendaten verarbeitest. Processing Integrity, wenn du Transaktionen verarbeitest oder Berechnungen durchführst. Privacy, wenn du personenbezogene Daten verarbeitest und den Datenschutz-Nachweis in den Bericht integrieren willst.
Weniger ist oft mehr: Jedes zusätzliche Criterion erhöht den Audit-Aufwand. Wähle nur die Criteria, die deine Kunden tatsächlich erwarten.
Automatisierung nutzen
Die Nachweisführung ist der größte Aufwandstreiber bei SOC 2. Es gibt mittlerweile Plattformen, die den Prozess automatisieren: Sie ziehen Nachweise automatisch aus deinen Systemen (Cloud-Provider-Konfigurationen, Zugriffsänderungen, Deployment-Logs), erinnern an fällige Kontrollen und stellen dem Auditor ein strukturiertes Evidence Pack bereit. Die Investition in eine solche Plattform lohnt sich ab dem zweiten SOC-2-Zyklus.
Den richtigen Auditor wählen
SOC-2-Audits dürfen nur von zugelassenen CPAs (Certified Public Accountants) oder CPA-Firmen durchgeführt werden. Die Wahl des Auditors beeinflusst den Aufwand und das Ergebnis erheblich. Ein erfahrener Auditor kennt deine Branche, stellt die richtigen Fragen und gibt dir während des Readiness Assessments wertvolle Hinweise. Ein unerfahrener Auditor kann den Prozess unnötig verlängern.
Frage potenzielle Auditoren nach ihrer Erfahrung in deiner Branche, nach der Anzahl der SOC-2-Audits, die sie jährlich durchführen, und nach Referenzen vergleichbarer Unternehmen.
Häufige Fehler bei der SOC-2-Vorbereitung
Zu spät anfangen
SOC 2 Type II erfordert mindestens sechs Monate operative Nachweise. Wenn dein Kunde den Bericht in drei Monaten erwartet, ist Type II nicht mehr rechtzeitig machbar. Plane mindestens zwölf Monate vom Projektstart bis zum fertigen Type-II-Bericht ein.
Nachweise nicht systematisch sammeln
Die häufigste Ursache für Kontrolldefizite im Bericht: Eine Kontrolle existiert und funktioniert, aber es gibt keinen Nachweis dafür. Wenn du quartalsweise Zugriffsprüfungen durchführst, aber die Ergebnisse nicht dokumentierst, kann der Auditor die Wirksamkeit nicht bestätigen.
Den Scope zu groß definieren
Jedes System im Scope muss geprüft werden. Jede Kontrolle im Scope muss nachgewiesen werden. Ein zu großer Scope treibt die Kosten hoch und erhöht das Risiko von Kontrolldefiziten.
ISO 27001 und SOC 2 isoliert behandeln
Wenn du beide brauchst, baue ein integriertes Compliance-Programm auf. Die Kontrollen überlappen sich stark. Nutze eine gemeinsame Kontrollbibliothek, die beide Frameworks bedient, statt parallele Systeme aufzubauen.
SOC 2 im Kontext europäischer Regulierung
SOC 2 ersetzt keine europäische Regulierung. Es ist kein Nachweis für NIS2-Compliance, keine DSGVO-Zertifizierung und kein Ersatz für ISO 27001 in Branchen, die diese explizit fordern (TISAX, KRITIS).
Aber SOC 2 kann ein wertvoller Zusatznachweis sein, besonders wenn du international tätig bist. US-Kunden verstehen SOC 2 und wissen, was der Bericht aussagt. Europäische Kunden, die mit dem US-Markt vertraut sind, akzeptieren SOC 2 ebenfalls als Qualitätsnachweis.
Die strategische Empfehlung für international tätige europäische Unternehmen: Baue dein ISMS nach ISO 27001 auf und ergänze SOC 2, wenn die Nachfrage aus dem US-Markt es rechtfertigt. Das ISMS bildet die Basis, SOC 2 liefert den zusätzlichen Nachweis für den US-Markt. Die Mehrkosten für SOC 2, wenn ISO 27001 bereits vorhanden ist, sind überschaubar, weil die meisten Kontrollen bereits implementiert und dokumentiert sind.
Weiterführende Artikel
- NIS2 vs. ISO 27001: Gemeinsamkeiten, Unterschiede und Synergien
- ISO-27001-Zertifizierung: Ablauf, Kosten und Praxistipps
- ISMS-Software auswählen: Anforderungen, Vergleich und Entscheidungshilfe
- DORA für den Finanzsektor: Was kommt nach NIS2?
- Zusammenarbeit mit externen Beratern: Wie du das Beste aus der Beratung herausholst