Maurice Müller
Senior Content Manager
Maurice Müller ist Journalist und Content-Stratege mit Erfahrung im Print- und Digitalbereich. Bei Formalize verwandelt er komplexe Compliance- und Regulierungsthemen in klare, praxisnahe Inhalte für Compliance-, Risiko- und Sicherheitsexperten in ganz Europa.
Wichtigste Erkenntnisse:
SOC 2 ist weder ein Gesetz noch eine Zertifizierung. Eine unabhängige Wirtschaftsprüfungsgesellschaft (CPA) überprüft die Kontrollen eines Unternehmens und erstellt einen Bericht, der von Kunden in der Regel während des Beschaffungsprozesses angefordert wird.
Er basiert auf fünf Trust-Services-Kriterien. Sicherheit ist in allen SOC 2-Berichten obligatorisch; Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz sind optional.
Ein Typ-1-Bericht bewertet, ob die Kontrollen zu einem bestimmten Stichtag angemessen gestaltet waren. Ein Typ-2-Bericht prüft zusätzlich, ob die Kontrollen während eines Prüfungszeitraums effektiv funktioniert haben. Dieser Zeitraum beträgt typischerweise drei bis zwölf Monate.
SOC 2 und ISO 27001 überschneiden sich stark, sind aber unterschiedliche Frameworks. ISO 27001 ist als Zertifizierung in Europa verbreiteter, während SOC-2-Berichte in Nordamerika häufiger vorkommen.
Der Großteil der Arbeit fällt vor dem Audit an: Den Geltungsbereich festlegen, die für die Kontrollen verantwortlichen Personen benennen und Nachweise sammeln, dass die Kontrollen wie beschrieben funktionieren.
Ein europäisches Softwareunternehmen steht kurz davor, den Vertrag mit seinem ersten großen Kunden in den USA zu unterzeichnen. Dann trifft der Sicherheitsfragebogen ein, und eine einzige Zeile bringt den gesamten Prozess zum Stillstand: „Bitte senden Sie uns Ihren aktuellsten SOC-2-Typ-2-Bericht.“ Zwar ist das Unternehmen nach ISO 27001 zertifiziert, aber die Einkaufsabteilung des Kunden besteht auf genau diesem Bericht.
So kommen viele Unternehmen erstmals mit SOC 2 in Berührung: über einen Kunden und nicht über eine Regulierungsbehörde. Zu verstehen, was der Bericht ist, was er abdeckt und wie lange es dauert, ihn zu erhalten, entscheidet darüber, ob das Geschäft in diesem Quartal oder erst im nächsten Jahr abgeschlossen wird.
Was ist SOC 2?
In der Praxis ist SOC 2 ein Audit. Eine unabhängige Wirtschaftsprüfungsgesellschaft überprüft die Kontrollen, die Ihr Unternehmen implementiert hat, um ein oder mehrere Trust-Services-Kriterien des AICPA zu erfüllen. Sie erstellt einen Bericht, den Kunden und andere Stakeholder nutzen, um zu beurteilen, wie effektiv Sie Ihre Systeme und die Ihnen anvertrauten Informationen schützen.
SOC 2 ist keine feste Checkliste. Die Kriterien beschreiben, was erreicht werden muss, und jedes Unternehmen gestaltet seine eigenen Kontrollen, um sie zu erfüllen. Das AICPA fügt jedem Kriterium „Schwerpunkte“ hinzu, aber das sind Überlegungen, keine obligatorischen Kontrollen. Die aktuellen Kriterien stammen aus dem Jahr 2017, während die Schwerpunkte 2022 überarbeitet wurden.
SOC 2 ist einer von drei verwandten Berichtstypen. SOC 1 betrifft Kontrollen, die für die Finanzberichterstattung relevant sind. SOC 3 ist eine knappere, allgemein gehaltene Fassung eines SOC-2-Berichts, die öffentlich geteilt werden kann. Außerhalb der USA werden vergleichbare Berichte nach dem internationalen Standard ISAE 3000 ausgestellt. Deshalb legen manche europäischen Dienstleister stattdessen einen ISAE-3000-Bericht vor. Erfahren Sie, wie Formalize bei SOC 2 vorgeht.
Wofür steht SOC 2?
SOC 2 steht für „System and Organisation Controls 2“. Früher stand die Abkürzung für „Service Organisation Control“. Die Zahl unterscheidet den Bericht von SOC 1 und SOC 3.
Wer muss SOC 2-konform sein?
SOC-2-konform zu sein ist nicht gesetzlich vorgeschrieben. Es wird relevant, wenn Kunden es verlangen, was typischerweise in den folgenden Fällen geschieht:
SaaS- und Cloud-Dienstleister, die Kundendaten hosten oder verarbeiten.
Technologie- und Datenverarbeitungsunternehmen, deren Dienste in den Betrieb anderer Unternehmen eingebunden sind.
Managed-Service-Provider mit Zugriff auf Kundensysteme.
Weitere Dienstleister, die sensible Kunden- oder Geschäftsdaten verarbeiten.
Diese Anfrage kommt typischerweise im Beschaffungsprozess, bei Risikobeurteilungen von Lieferanten oder bei Sicherheitsüberprüfungen. Besonders üblich ist sie beim Verkauf an US-Unternehmen. Manche Verträge verlangen zudem einen aktuellen SOC-2-Bericht. Wenn keiner Ihrer Kunden dies anfordert, kann eine ISO-27001-Zertifizierung oder ein ISAE-3000-Bericht besser geeignet sein, vor allem in Europa.
Die fünf Trust-Services-Kriterien von SOC 2
Sicherheit, auch als Common Criteria bezeichnet, ist Bestandteil aller SOC-2-Berichte. Die anderen vier Kriterien werden aufgenommen, wenn sie für Ihre Services und Ihre Zusagen an Kunden relevant sind:
Kriterium | Was es abdeckt | Beispielhafte Kontrollen |
|---|---|---|
Sicherheit | Schutz vor unbefugtem Zugriff auf Systeme und Informationen sowie vor deren unbefugter Nutzung oder Veränderung | Multi-Faktor-Authentifizierung, Zugriffsüberprüfungen, Protokollierung und Überwachung, Änderungsmanagement, Reaktion auf Sicherheitsvorfälle |
Verfügbarkeit | Ob die Systeme wie vorgesehen für den Betrieb und die Nutzung verfügbar sind | Backups, Tests der Notfallwiederherstellung, Kapazitätsüberwachung |
Verarbeitungsintegrität | Ob die Systemverarbeitung vollständig, gültig, genau, zeitgerecht und autorisiert ist | Datenvalidierung, Abstimmungen und Qualitätskontrollen bei der Verarbeitung |
Vertraulichkeit | Schutz von Informationen, die als vertraulich gelten | Verschlüsselung, Datenklassifizierung, sichere Vernichtung |
Privatsphäre | Erhebung, Nutzung, Aufbewahrung, Offenlegung und Löschung personenbezogener Daten im Einklang mit den Verpflichtungen des Unternehmens | Datenschutzhinweise, dokumentierte Einwilligungen, Aufbewahrungsfristen |
Für europäische Unternehmen ist ein Punkt besonders wichtig: Das Kriterium Privatsphäre prüft, ob ein Unternehmen seine eigenen Verpflichtungen zur Privatsphäre einhält. Dies allein macht ein Unternehmen jedoch nicht DSGVO-konform.
SOC-2-Compliance Anforderungen: Was müssen Unternehmen leisten?
Da SOC 2 Kriterien festlegt, statt Kontrollen vorzuschreiben, unterscheiden sich die Anforderungen von Unternehmen zu Unternehmen. Die meisten Programme müssen jedoch dieselben Bereiche abdecken:
Ein festgelegter Geltungsbereich, der die Services, Systeme, Standorte und Trust-Services-Kriterien umfasst, die der Bericht abdeckt.
Richtlinien und Kontrollen, die den gewählten Kriterien entsprechen und durch ein strukturiertes Richtlinienmanagement unterstützt werden.
Zentrale operative Bereiche: Zugriff, Änderungsmanagement, Reaktion auf Sicherheitsvorfälle, ein Risikomanagementsystem sowie das Risikomanagement für Drittparteien und Lieferanten.
Nachweise dafür, dass die Kontrollen eingerichtet sind und bei Typ 2 über den gesamten Prüfungszeitraum betrieben wurden.
Klare Verantwortlichkeiten und Dokumentation, sodass jede Kontrolle eine verantwortliche Person hat.
Eine Systembeschreibung. Das Management erstellt eine Beschreibung des geprüften Systems und unterzeichnet eine entsprechende Erklärung. Beides ist Teil des endgültigen Berichts und wird in der Vorbereitungsphase oft übersehen.
Beispiele für gängige SOC-2-Kontrollen
Die Common Criteria sind in neun Gruppen von CC1 bis CC9 unterteilt. Die Kontrollen hängen vom Umfang der Analyse ab. Hier einige typische Beispiele für jede Gruppe:
Bereich | Beispielhafte Kontrollen |
|---|---|
CC1 Kontrollumfeld | Verhaltenskodex, Hintergrundprüfungen, definierte Sicherheitsrollen, Aufsicht durch das Management |
CC2 Kommunikation und Information | Mit den Mitarbeitenden geteilte Richtlinien, eine Systembeschreibung für Kunden, ein Kanal zur Meldung von Vorfällen |
CC3 Risikobeurteilung | Eine Risikobeurteilung mindestens einmal jährlich, einschließlich des Betrugsrisikos und von Änderungen der Geschäftstätigkeit des Unternehmens |
CC4 Überwachungsaktivitäten | Regelmäßige Überprüfungen der Kontrollen, interne Audits, Überwachung und Behebung von Kontrollmängeln |
CC5 Kontrollaktivitäten | Dokumentierte Verfahren, Funktionstrennung, Kontrollen zu identifizierten Risiken |
CC6 Logischer und physischer Zugriff | Multi-Faktor-Authentifizierung, Zugriffsüberprüfungen, Onboarding und Offboarding von Mitarbeitenden, Verschlüsselung |
CC7 Systembetrieb | Protokollierung und Überwachung, Schwachstellenanalyse, Reaktion auf Sicherheitsvorfälle |
CC8 Änderungsmanagement | Freigabe, Tests und Code-Review, bevor Änderungen in die Produktion übernommen werden |
CC9 Risikominderung | Risikomanagement für Lieferanten, Planung der Geschäftskontinuität |
SOC 2 Typ 1 oder Typ 2: Was ist der Unterschied?
Die beiden Berichtsarten beantworten unterschiedliche Fragen:
SOC 2 Typ 1 | SOC 2 Typ 2 | |
|---|---|---|
Was wird beurteilt | Ob die Kontrollen angemessen konzipiert wurden | Ob die Kontrollen angemessen konzipiert und effektiv implementiert wurden |
Zeitrahmen | Ein bestimmter Stichtag | Ein Prüfungszeitraum, meist drei bis zwölf Monate |
Vom Auditor geforderte Nachweise | Nachweise, dass die Kontrollen vorhanden und darauf ausgelegt sind, die Kriterien zu erfüllen | Nachweise, dass die Kontrollen über den gesamten Zeitraum konsistent angewendet wurden |
Typische Verwendung | Ein erster Bericht oder eine schnelle Antwort auf eine erste Kundenanfrage | Der Bericht, den die meisten Unternehmenskunden erwarten |
Unternehmenskunden legen in der Regel größeren Wert auf einen Typ-2-Bericht, da dieser zeigt, wie die Kontrollen über die Zeit hinweg funktioniert haben und wie sie konzipiert wurden. Es gibt keine festgelegte Mindestdauer für den Prüfungszeitraum: Die Wirtschaftsprüfungsgesellschaft und die Kunden, die sich auf den Bericht stützen, entscheiden, was akzeptabel ist. Welchen Typ Sie zuerst wählen, hängt davon ab, wo Sie stehen, wie Ihr Zeitplan aussieht und was von Ihnen verlangt wird:
Typ 1 eignet sich oft, wenn Sie die Konzipierung Ihrer Kontrollen zu einem bestimmten Zeitpunkt belegen müssen, zum Beispiel um eine dringende Kundenanfrage zu beantworten. Viele Unternehmen wechseln anschließend zu Typ 2.
Typ 2 ist in der Regel die beste Wahl, wenn Kunden Nachweise verlangen, dass Ihre Kontrollen in der Praxis funktionieren und nicht nur auf dem Papier bestehen.
SOC 2 im Jahr 2027: Was Sie erwarten können
Die Kriterien selbst ändern sich nicht. Stand Oktober 2026 gelten weiterhin die oben beschriebenen Trust-Services-Kriterien von 2017, und die anstehenden Vorschläge des AICPA überarbeiten sie nicht. Zwei Entwicklungen sollten Sie bei der Planung Ihres nächsten Audits kennen:
Neue Attestierungsstandards sind in Arbeit, gelten aber nicht für Audits im Jahr 2027. Im Februar 2026 hat das Auditing Standards Board des AICPA Änderungen an den Attestierungsstandards vorgeschlagen, nach denen SOC-2-Prüfungen durchgeführt werden. Diese sind noch nicht final und würden in der vorgeschlagenen Fassung für Aufträge gelten, die am oder nach dem 15. Juni 2029 beginnen. Prüfungen in den Jahren 2027 und 2028 richten sich weiterhin nach den aktuellen Standards.
KI rückt in Audits stärker in den Fokus. Es gibt keine KI-spezifischen Kriterien, jedoch betrachten Auditoren KI-Systeme und KI-Anbieter zunehmend im Rahmen der bestehenden Kriterien, etwa Risikobeurteilung, Zugriffskontrolle und Anbietermanagement. Ist KI Teil Ihres Produkts oder Ihrer Abläufe, sollten Sie in Ihrer nächsten Prüfung mit Fragen dazu rechnen.
Warum ist SOC 2 für Unternehmen wichtig?
Der Nutzen von SOC 2 hängt davon ab, an wen Sie verkaufen und was diese Kunden verlangen. Wo SOC 2 relevant ist, kann ein SOC-2-Bericht:
das Vertrauen der Kunden stärken, und zwar durch ein unabhängiges Urteil statt durch eine Selbstbewertung.
Beschaffungs- und Anbieterbewertungen verkürzen, da sich die zuständigen Sicherheitsteams oft auf den Bericht stützen können, statt lange Fragebögen auszuwerten.
dem Vertrieb eine einheitliche Antwort auf Sicherheitsfragen geben, statt für jeden Kunden eine neue Antwort zu formulieren.
Den Reifegrad Ihrer Kontrollen gegenüber Kunden, Partnern und Investoren demonstrieren.
Lücken in Sicherheits- und Governance-Prozessen aufdecken, oft schon in der Vorbereitungsphase, bevor der Auditor sie findet.
So würde Ihre SOC-2-Vorbereitung in Formalize ablaufen
Bringen Sie Ihre aktuelle Kontrollliste und Ihre Nachweise mit, auch wenn beides heute noch verstreut ist. Wir zeigen Ihnen, wie verantwortliche Personen, Richtlinien und Nachweise an einem Ort zusammenkommen, bevor der Auditor eintrifft.
So bereiten Sie sich auf SOC-2-Compliance vor
Der Großteil des Aufwands für SOC 2 fällt an, bevor die Prüfung beginnt. Eine praxisnahe Abfolge sieht so aus:
Geltungsbereich festlegen. Entscheiden Sie, welche Dienste, Systeme und Standorte der Bericht abdeckt.
Trust-Services-Kriterien auswählen. Sicherheit ist verpflichtend. Ergänzen Sie weitere Kriterien je nach Ihren Diensten und Ihren Zusagen an Kunden.
Bestehende Kontrollen den Kriterien zuordnen. Wenn Sie bereits mit ISO 27001 arbeiten, ist ein großer Teil dieser Zuordnung ein Ausgangspunkt und keine neue Arbeit.
Lücken identifizieren und beheben. Schließen Sie fehlende oder schwache Kontrollen, bevor der Prüfungszeitraum beginnt.
Verantwortliche für Kontrollen benennen. Jede Kontrolle benötigt jemanden, der für deren Ausführung und die Pflege der entsprechenden Nachweise zuständig ist.
Nachweiserhebung und Überwachung einrichten. Bei Typ 2 müssen die Nachweise den gesamten Prüfungszeitraum abdecken. Sie müssen daher erfasst werden, während die Kontrollen laufen, und dürfen nicht nachträglich rekonstruiert werden.
Vorabprüfung durchführen und Auditor auswählen. Eine Vorabprüfung, intern oder mit einem Berater, zeigt, ob Ihre Kontrollen und Nachweise vor einem Auditor Bestand hätten. Die Prüfung selbst darf nur eine zugelassene Wirtschaftsprüfungsgesellschaft durchführen.
Kontrollen nach Erhalt des Berichts aufrechterhalten. Ein SOC-2-Bericht läuft formal nicht ab. Kunden betrachten ihn in der Regel jedoch bis 12 Monate nach Ende des Prüfungszeitraums als aktuell. Die meisten Unternehmen erneuern ihn daher jedes Jahr. Kontrollen und Nachweise müssen deshalb auch zwischen den Audits laufend weitergeführt werden.
Wie lange dauert es, SOC-2-konform zu werden?
Zwei Faktoren bestimmen den Zeitplan: wie ausgereift Ihre Kontrollen bereits sind und welchen Bericht Sie benötigen. Für einen ersten Bericht gelten typischerweise diese Zeiträume:
Phase | Typische Dauer | Was passiert |
|---|---|---|
Readiness und Behebung | Ein bis drei Monate, länger bei einem Start von null | Festlegung des Geltungsbereichs, Lückenbewertung, Schließen der Lücken, Einrichtung der Nachweiserhebung |
Typ-1-Prüfung | Wenige Wochen bis zwei Monate | Der Auditor beurteilt die Konzipierung der Kontrollen zu einem bestimmten Stichtag und stellt den Bericht aus |
Typ-2-Prüfungszeitraum | Drei bis zwölf Monate | Die Kontrollen laufen, und über den gesamten Zeitraum werden Nachweise gesammelt |
Typ-2-Durchführung und Bericht | Etwa ein bis drei Monate nach Ende des Zeitraums | Der Auditor testet, wie die Kontrollen betrieben wurden, und stellt den Bericht aus |
Insgesamt dauert ein erster Typ-1-Bericht oft zwei bis fünf Monate. Ein erster Typ-2-Bericht braucht sechs Monate bis ein Jahr, bei einem vollen Jahr als Prüfungszeitraum auch länger. Einige Wirtschaftsprüfungsgesellschaften beginnen bereits während des Prüfungszeitraums mit den Tests, was die Wartezeit am Ende verkürzt. Ab dem zweiten Bericht umfasst der Prüfungszeitraum in der Regel volle 12 Monate.
Wie Formalize die SOC-2-Vorbereitung unterstützt
Formalize ersetzt Ihren Auditor nicht. Es organisiert die Arbeit, die der Prüfung vorausgeht:
Kontrollen mit benannten verantwortlichen Personen und zugeordneten Nachweisen, sodass Sie zeigen können, wie jede Kontrolle während des gesamten Prüfungszeitraums betrieben wurde.
Richtlinien mit Freigaben, Versionsverwaltung und Nachverfolgung der Akzeptanz, die die richtlinienbezogenen Kontrollen in den Sicherheitskriterien unterstützen.
Risiko-, Vorfalls- und Lieferantenmanagement im selben System wie Ihre Kontrollen.
Ein Trust Center, um Ihre Sicherheitsdokumentation mit Kunden zu teilen.
Wenn Sie zusätzlich ISO 27001, NIS-2 oder die DSGVO verwalten, kann diese Arbeit parallel zur SOC-2-Vorbereitung laufen.
Formalize selbst ist nach ISO 27001 zertifiziert und verfügt über einen ISAE-3000-Typ-2-Bericht. Wir durchlaufen also dieselbe Art unabhängiger Prüfung wie die Teams, die wir unterstützen.