So erhalten Sie einen SOC-2-Bericht

Nach Paul Gillet · Aktualisiert 2026-10-17

Wenn ein Kunde fragt „Sind Sie SOC 2-konform?“, meint er damit einen SOC-2-Bericht: die unabhängige Beurteilung Ihrer Kontrollen durch eine CPA-Prüfungsgesellschaft, erstellt nach den Attestierungsstandards des AICPA. Es gibt kein SOC-2-Zertifikat und keine Bestehensgrenze. Der Bericht beschreibt Ihr System, Ihre Kontrollen und die Prüfhandlungen des Prüfers, und das Sicherheitsteam des Kunden liest ihn, um zu entscheiden, ob es Ihnen seine Daten anvertraut.

Was der Bericht abdeckt

SOC 2 prüft Ihre Kontrollen anhand der Trust Services Criteria des AICPA (2017, Points of Focus überarbeitet 2022). Es gibt fünf Kategorien:

• Security (die Common Criteria, CC1–CC9): immer enthalten. Sie umfasst Governance, Risikobewertung, Überwachung, logischen und physischen Zugriff, Betrieb, Änderungsmanagement und Lieferantenrisiko.
• Availability (A1): Kapazität, Backups und Wiederherstellung. Aufnehmen, wenn Kunden auf Ihre Verfügbarkeit angewiesen sind.
• Confidentiality (C1): Erkennung und Entsorgung vertraulicher Informationen. Üblich bei B2B-Produkten, die Kundendaten verarbeiten.
• Processing Integrity (PI1): vollständige, richtige und zeitgerechte Verarbeitung. Relevant für Zahlungs-, Lohn- und Datenverarbeitungsdienste.
• Privacy (P1–P8): Information, Einwilligung, Aufbewahrung und Offenlegung personenbezogener Daten. Nur wenige Sicherheits-Frameworks decken dies ab; die DSGVO (GDPR) kommt dem am nächsten.

Die meisten ersten Berichte umfassen nur Security oder Security plus Availability und Confidentiality. Kategorien sollten nur auf Wunsch der Kunden hinzugefügt werden, nicht standardmäßig: Jede bringt zusätzliche Kontrollen mit sich, die betrieben, und Nachweise, die gesammelt werden müssen.

Type I oder Type II?

• Ein Type-I-Bericht bestätigt, dass Ihre Kontrollen an einem Stichtag angemessen ausgestaltet und eingerichtet waren. Er ist schneller zu erhalten und nützlich als erster Schritt, wenn ein Abschluss nicht warten kann.
• Ein Type-II-Bericht bestätigt, dass Ihre Kontrollen über einen Zeitraum ausgestaltet waren und wirksam betrieben wurden, in der Regel 3 bis 12 Monate. Er ist das, was die Lieferantenrisiko-Teams der meisten Kunden tatsächlich verlangen, weil er zeigt, dass die Kontrollen in der Praxis funktionieren.

Ein üblicher Weg ist ein Type I, sobald Sie bereit sind, dann ein erster Type II über einen Zeitraum von 3 bis 6 Monaten und danach jährliche Type-II-Berichte über 12 Monate.

Die Schritte

1. Das System im Umfang festlegen: das Produkt oder die Dienstleistung, die Kunden einkaufen, sowie die Infrastruktur, Personen, Prozesse und Daten dahinter. Beschränken Sie sich auf das, worauf Kunden sich verlassen; ein enger Umfang ist günstiger im Betrieb und leichter zu erklären.
2. Die Kriterien auswählen: Security plus alle Kategorien, die Ihre Kunden verlangen.
3. Eine Bereitschaftsprüfung anhand der Kriterien durchführen. Nutzen Sie die Lückenanalyse, wenn Sie bereits einem anderen Framework folgen, und stimmen Sie das anschließend mit der CPA-Prüfungsgesellschaft oder einem Berater ab.
4. Lücken schließen und alles dokumentieren: Richtlinien, eine Risikobewertung, Zugriffsprüfungen, Änderungsmanagement, Lieferantenprüfungen, Incident Response, Onboarding und Offboarding, Backups. Prüfer vergleichen, was Sie tun, mit dem, was Sie sagen, dass Sie tun; die Dokumente müssen daher der Realität entsprechen.
5. Eine CPA-Prüfungsgesellschaft auswählen. Nur zugelassene CPA-Prüfungsgesellschaften dürfen SOC-2-Berichte erstellen. Vergleichen Sie die Erfahrung mit Unternehmen wie Ihrem, die technische Tiefe der Prüfer und die Frage, wie die Nachweise erhoben werden.
6. Optional Type I: Der Prüfer kontrolliert Ausgestaltung und Einrichtung zu einem Zeitpunkt.
7. Den Beobachtungszeitraum für einen Type II durchlaufen: Betreiben Sie jede Kontrolle und dokumentieren Sie die Nachweise laufend.
8. Prüfungsdurchführung und Bericht: Der Prüfer zieht Nachweise aus dem Zeitraum stichprobenartig, bespricht etwaige Abweichungen mit Ihnen und stellt den Bericht aus, in der Regel einige Wochen nach Ende des Zeitraums.
9. Dauerhaft aufrechterhalten: Ein SOC-2-Bericht bezieht sich auf die Vergangenheit, daher erwarten Kunden jedes Jahr einen neuen Bericht, ohne Lücke zwischen den Zeiträumen.

Typischer Zeitplan

Bei einem kleinen Softwareunternehmen mit angemessener Sicherheitshygiene dauern Bereitschaftsprüfung und Nachbesserung in der Regel ein bis drei Monate, ein Type I kann direkt anschließen, und ein erster Type II liegt drei bis sechs Monate danach. Größere Umfänge, mehr Kategorien oder unausgereifte Prozesse verlängern jede Phase. Behandeln Sie jede Herstellerzusage „SOC 2 in Wochen“ als Zusage über den Type I.

Nachweise, die Prüfer anfordern

Die Prüfung eines Type II besteht überwiegend aus Stichproben. Rechnen Sie mit Anfragen wie diesen, bezogen auf den Beobachtungszeitraum:

• neue Mitarbeitende und Austritte, mit Nachweis, dass Zugriffe nach Genehmigung eingerichtet und rechtzeitig entzogen wurden;
• regelmäßige Überprüfungen der Benutzerzugriffe für zentrale Systeme;
• Change-Tickets, die Prüfung, Test und Genehmigung vor dem Produktivbetrieb belegen;
• Schwachstellenscans und Ergebnisse von Penetrationstests, mit Behebung;
• die Risikobewertung und deren Überprüfung durch das Management;
• Unterlagen zur Lieferantenprüfung (Due Diligence) für kritische Lieferanten;
• Incident-Tickets sowie Nachweise über Tests der Incident Response;
• Backup- und Wiederherstellungstests sowie Überwachungsalarme mit Nachverfolgung;
• Aufzeichnungen zu Schulungen zur Sicherheitssensibilisierung und unterzeichnete Richtlinien.

Dinge, die häufig übersehen werden

• Subservice-Organisationen: Die Kontrollen Ihres Cloud-Anbieters sind nicht Ihre eigenen. Die meisten Berichte nutzen die Carve-out-Methode: Sie nennen den Anbieter, stützen sich auf dessen eigenen SOC-2-Bericht und zeigen, dass Sie diesen überprüfen.
• Komplementäre Kontrollen der Nutzerorganisation: Der Bericht listet Kontrollen auf, die Ihre Kunden selbst betreiben müssen, etwa die Verwaltung ihrer eigenen Benutzer. Machen Sie diese realistisch.
• Abweichungen: Ein Type II kann Abweichungen (fehlgeschlagene Stichproben) enthalten und trotzdem nützlich sein. Erläutern Sie sie klar in Ihrer Stellungnahme des Managements, statt sie zu verschweigen.
• Umfangsausweitung (Scope Creep): Jedes System im Umfang muss jede Kontrolle an jedem Tag des Zeitraums erfüllen.

Wie diese Seite hilft

ControlMapping ordnet jedes SOC-2-Kriterium den anderen Frameworks zu, die es abdecken, damit Sie sehen können, welche bestehende Arbeit übertragbar ist. Der Wortlaut der Kriterien unterliegt dem Urheberrecht des AICPA; daher zeigen wir unsere eigenen einzeiligen Zusammenfassungen. Jede SOC-2-Verknüpfung ist eine redaktionelle Einschätzung von ControlMapping, mit Begründung: Die Zuordnungen des AICPA selbst sind nicht offen lizenziert. Nutzen Sie die Seite zur Planung, nicht als Prüfungsnachweis.

Bereits ein anderes Framework im Einsatz?

Wie viele SOC 2-Anforderungen jedes Framework, das Sie möglicherweise bereits erfüllen, abdeckt. Öffnen Sie einen Lückenbericht für die Liste Anforderung für Anforderung.

Crosswalk eine veröffentlichte Crosswalk (NIST, ENISA, CIS, PCI SSC) stellt die Verbindung her · Redaktionell Einschätzung von ControlMapping, wo kein Crosswalk existiert; die Begründung wird angezeigt · Lose verwandt teilt nur ein CSF-2.0-Ergebnis: einer Prüfung wert, aber keine Zuordnung · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Die Zählungen stammen aus denselben Daten wie Lückenanalyse. Eine Zuordnung bedeutet verwandte Anforderungen, nicht den Nachweis, dass eine die andere erfüllt.

Fragen

Ist SOC 2 eine Zertifizierung?

Nein. Ein SOC-2-Bericht ist eine Attestierung: die Beurteilung Ihrer Kontrollen durch eine CPA-Prüfungsgesellschaft. Niemand ist „SOC 2-zertifiziert“, auch wenn die Formulierung verbreitet ist.

Brauche ich SOC 2 Type I oder Type II?

Die meisten Kunden fordern Type II, weil dieser prüft, ob Kontrollen über einen Zeitraum wirksam betrieben wurden. Ein Type I ist ein sinnvoller erster Schritt, wenn ein Kunde ihn akzeptiert, während der Type-II-Zeitraumläuft.

Ist SOC 2 gesetzlich vorgeschrieben?

Nein. Es handelt sich um eine Markterwartung, vor allem aus den Lieferantenrisiko-Prozessen US-amerikanischer Kunden. Verträge können sie für Sie verbindlich machen.

Keine Rechts- oder Compliance-Beratung. Prüfen Sie vor einer Verwendung den amtlichen Wortlaut und sprechen Sie mit Ihrem Auditor, Prüfer oder Ihrer Aufsichtsbehörde.