Warum „Sind Sie SOC 2 zertifiziert?“ die falsche Frage ist

Jeder Sicherheitsfragebogen scheint sie zu enthalten: „Sind Sie SOC 2 zertifiziert?“ Anbieter antworten „Ja“, hängen ein PDF an, und das Kästchen ist abgehakt. Das Problem ist, dass die Frage nicht das bedeutet, was beide Seiten meinen, und ein abgehaktes Kästchen genau die Risiken verbergen kann, die der Käufer finden wollte.

Es gibt kein SOC 2-Zertifikat

SOC 2 ist ein Attestat und keine Zertifizierung. Eine zugelassene CPA-Prüfgesellschaft prüft die Kontrollen einer Dienstleistungsorganisation anhand der Trust Services Criteria des AICPA und stellt einen Bericht mit ihrem Prüfurteil aus. Niemand stellt ein Zertifikat aus, niemand führt ein Verzeichnis zertifizierter Unternehmen, und es gibt keine Bestehensgrenze. Zum Vergleich: Bei ISO 27001 stellt eine akkreditierte Zertifizierungsstelle tatsächlich ein Zertifikat mit definiertem Geltungsbereich aus, das drei Jahre gültig ist. (Unser Vergleich ISO 27001 vs. SOC 2 zeigt die Unterschiede.)

Einen SOC 2-Bericht als Zertifikat zu bezeichnen, ist nicht nur Haarspalterei. Dadurch wird ein detailliertes, bedingtes Dokument zu einem Ja-oder-Nein-Siegel, und in den Details liegt das Risiko.

Was ein „Ja“ verbergen kann

Ein Anbieter kann wahrheitsgemäß sagen, dass er einen SOC 2-Bericht hat, während:

• Es sich um einen Typ-I-Bericht handelt. Er zeigt, dass Kontrollen an einem Stichtag konzipiert und eingerichtet waren, nicht dass sie über einen Zeitraum funktioniert haben.
• Der Geltungsbereich den von Ihnen gekauften Dienst ausschließt. Ein Bericht deckt ein beschriebenes System ab. Wenn Ihre Daten über ein Produkt oder eine Region fließen, die außerhalb davon liegt, sagt der Bericht dazu nichts aus.
• Der Prüfzeitraum lange zurückliegt. Ein Bericht deckt einen vergangenen Zeitraum ab. Liegt sein Ende viele Monate zurück, hat niemand den aktuellen Betrieb geprüft.
• Das Prüfurteil eingeschränkt ist oder die Testergebnisse Abweichungen auflisten, die für Sie relevant sind.
• Zentrale Kontrollen an einen Subdienstleister ausgelagert sind (Carve-out), etwa den Cloud-Hoster, dessen eigenen Bericht Sie nie zu sehen bekommen.
• Der Bericht auf Kontrollen beruht, die Sie selbst betreiben müssen, aufgeführt als komplementäre Kontrollen der Nutzerunternehmen, und niemand auf Ihrer Seite davon weiß.
• Nur Security im Geltungsbereich liegt, obwohl Ihnen Verfügbarkeit, Vertraulichkeit oder Datenschutz wichtig waren.

Keiner dieser Punkte macht einen Bericht wertlos. Alle bleiben hinter einem „Ja“ unsichtbar.

Was ein guter SOC 2-Bericht wert ist

Das ist kein Argument gegen SOC 2. Ein Typ-II-Bericht einer kompetenten Prüfgesellschaft gehört zu den nützlichsten Dokumenten, die ein Käufer erhalten kann. Unabhängige Prüfer haben über Monate echte Nachweise stichprobenartig untersucht: vergebene und entzogene Zugriffe, genehmigte Änderungen, bearbeitete Vorfälle, wiederhergestellte Backups. Ein Fragebogen, den das eigene Personal des Anbieters beantwortet, kann das nicht leisten, und ein Sicherheitsteam, das Berichte richtig liest, kann den größten Teil seines Fragebogens streichen.

Der Wert steckt im Detail: welche Kontrollen geprüft wurden, wie und mit welchem Ergebnis. Die Kurzform wirft dieses Detail weg. Die Frage, ob ein Anbieter „zertifiziert“ ist, lädt zu einem Ja ein; die Frage, was der Bericht abdeckt, lädt zu den Nachweisen ein.

Bessere Fragen

Ersetzen Sie „Sind Sie SOC 2 zertifiziert?“ durch Fragen, deren Antwort nützlich ist:

1. Welchen Bericht haben Sie: Typ I oder Typ II, und welchen Zeitraum deckt er ab?
2. Umfasst die Systembeschreibung den Dienst und die Regionen, die wir nutzen werden?
3. Welche Kategorien der Trust Services Criteria liegen im Geltungsbereich?
4. Gab es Abweichungen oder ein eingeschränktes Prüfurteil, und wie wurden sie behoben?
5. Welche Subdienstleister sind ausgelagert, und welche komplementären Kontrollen der Nutzerunternehmen müssen wir betreiben?

Lesen Sie dann den Bericht, mindestens das Prüfurteil, die Systembeschreibung, die Abweichungen und die Kontrollen der Nutzerunternehmen. Das kostet deutlich weniger Zeit als der Fragebogen.

Dasselbe gilt für jedes Framework

Das Muster ist nicht auf SOC 2 beschränkt. „ISO 27001 zertifiziert“ hängt vom Geltungsbereich des Zertifikats ab; „NIS2-konform“ hängt vom nationalen Recht und von Meldeverfahren ab, die kein Zertifikat prüft; „ausgerichtet an NIST CSF“ kann nahezu alles bedeuten, weil das CSF gar keine Zertifizierung kennt. Der Name eines Frameworks ist der Anfang des Gesprächs, nicht das Ende.

Wenn Sie auf Anbieterseite sind, machen Sie es einfach: Nennen Sie von vornherein Bericht, Zeitraum und Geltungsbereich und zeigen Sie, wie Ihre Kontrollen auf die Frameworks Ihrer Kunden abgebildet sind. Unsere Lückenanalyse und die Seite zum SOC 2 Framework helfen bei der Zuordnung, und der SOC 2-Leitfaden erklärt, wie Berichte entstehen.

Fragen

Gibt es so etwas wie eine SOC 2-Zertifizierung?

Nein. Ein SOC 2-Bericht ist ein Attestat: das Prüfurteil einer zugelassenen CPA-Prüfgesellschaft zu den Kontrollen einer Dienstleistungsorganisation anhand der Trust Services Criteria des AICPA. Es wird kein Zertifikat ausgestellt.

Was sollte ich zuerst in einem SOC 2-Bericht lesen?

Das Prüfurteil des Wirtschaftsprüfers (ist es uneingeschränkt?), den Geltungsbereich und die Systembeschreibung, den abgedeckten Zeitraum, die Abweichungen in den Testergebnissen und die komplementären Kontrollen der Nutzerunternehmen, die Sie betreiben sollen.