SOC 2
Compliance
Der vollständige Leitfaden (2026)
Der SOC-2-Bericht ist die Bescheinigung, die Ihre Käufer üblicherweise im Rahmen einer Sicherheitsüberprüfung anfordern. Wir haben ihn Abschnitt für Abschnitt aufgeschlüsselt: Was genau ist erforderlich? Wie läuft das Audit ab? Welche Kosten entstehen? Wie lange dauert es? Und wie bereiten sich moderne Teams innerhalb weniger Wochen statt Quartale auf ein Audit vor? Aktualisiert für die Bedrohungs- und KI-Landschaft von 2026.
Was ist SOC2?
SOC 2 (System and Organization Controls 2) ist ein Rahmenwerk des AICPA (American Institute of Certified Public Accountants) für den Schutz von Kundendaten in Dienstleistungsunternehmen. Eine zugelassene Wirtschaftsprüfungsgesellschaft prüft Ihre Sicherheitsmaßnahmen anhand der Trust Services Criteria und erstellt einen Bericht mit ihrer Stellungnahme. Dieser Bericht wird von Ihren Auftraggebern im Rahmen der Sicherheitsüberprüfung angefordert.
Eines sollte man von Anfang an richtig machen: SOC 2 ist ein Bescheinigungkeine ZertifizierungEs gibt kein SOC-2-Zertifikat und auch kein „bestanden/nicht bestanden“-Siegel. Ein unabhängiger Auditor bestätigt, ob Ihre Kontrollmechanismen wie beschrieben konzipiert sind und funktionieren. Das Ergebnis ist ein detaillierter Bericht, kein Logo. Viele Unternehmen sprechen trotzdem von SOC-2-Zertifizierung, und das mag im Gespräch auch in Ordnung sein. Doch wenn das Sicherheitsteam eines potenziellen Kunden Ihren Bericht genau prüft, ist es wichtig, den Unterschied zu kennen. Dies ist außerdem der erste von mehreren Mythen rund um SOC 2, die wir gleich zu Beginn ausräumen sollten.
SOC 2 ist Teil der umfassenderen SOC-Berichtsfamilie: SOC 1 SOC 1 deckt die Kontrollen der Finanzberichterstattung ab, SOC 2 die Datensicherheit und SOC 3 ist eine öffentliche Zusammenfassung von SOC 2. Wenn Sie sich mit dem Thema System- und Organisationskontrollen noch nicht auskennen, lässt sich kurz sagen, dass SOC 2 für SaaS-Käufer relevant ist. SOC 2-Rahmenwerk Die Meldung ist zwar freiwillig, aber für die meisten Cloud-Anbieter, die an mittelständische Unternehmen oder Großunternehmen verkaufen, ist sie faktisch obligatorisch: Kein Bericht, kein Abschluss.
Ein paar Dinge, die man vorab wissen sollte:
- SOC 2 wird definiert und geregelt durch die AICPAund nur lizenziert Wirtschaftsprüferfirmen kann die Untersuchung durchführen.
- Ein SOC-2-Bericht deckt einen definierten Umfang und Zeitraum ab. Er wird jährlich erneuert, es handelt sich also um ein fortlaufendes Programm und nicht um ein einmaliges Projekt.
- Geprüft werden Ihre Kontrollmechanismen in der Praxis, belegt durch entsprechende Nachweise. Richtlinien allein genügen bei einer Prüfung nicht.
Alles, was der Prüfer untersucht, lässt sich auf fünf Kriterienkategorien zurückführen; dort beginnt also die Abgrenzung des Prüfungsbereichs.
Die fünf Kriterien für Vertrauensdienste
SOC 2 bewertet Ihre Organisation anhand von fünf Trust Services Criteria (TSC): Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Sicherheit ist das einzige obligatorische Kriterium; die anderen vier werden je nach Ihren Aktivitäten und den Erwartungen Ihrer Kunden hinzugefügt.
Die fünf werden manchmal immer noch so genannt SOC-2-Vertrauensgrundsätze, ihr Name vor 2017.
| Kriterium | Was es abdeckt | Beschränken Sie es darauf, wenn |
| Sicherheit (verpflichtend) | Schutz von Systemen und Daten vor unberechtigtem Zugriff. Wird als „gemeinsames Kriterium“ bezeichnet, da die anderen vier darauf aufbauen. | Immer enthalten. Jede SOC 2-Version beinhaltet es. |
| Verfügbarkeit | Ob Ihre Systeme wie versprochen betriebsbereit und nutzbar sind. | Sie verpflichten sich zu Verfügbarkeits-SLAs, was die meisten SaaS-Unternehmen tun. |
| Verarbeitungsintegrität | Ob die Verarbeitung vollständig, korrekt und autorisiert ist. | Kunden verlassen sich darauf, dass Ihre Prozesse korrekt ablaufen: Zahlungen, Gehaltsabrechnung, Datenpipelines. |
| Vertraulichkeit | Schutz von als vertraulich gekennzeichneten Informationen, von Verträgen bis hin zu Kundendaten. | Sie verwalten sensible Geschäftsinformationen, die Geheimhaltungsvereinbarungen unterliegen. |
| Datenschutz | Wie Sie personenbezogene Daten erfassen, verwenden, speichern und entsorgen. | Sie speichern personenbezogene Daten, und Kunden oder Aufsichtsbehörden erwarten Zusagen zum Datenschutz. |
Eine praktische Regel, die für die meisten SaaS-Unternehmen gilt: Beginnen Sie mit Sicherheit, Verfügbarkeit und Vertraulichkeit. Ergänzen Sie dies um Datenschutz, wenn Sie personenbezogene Daten in großem Umfang verarbeiten, und um Verarbeitungsintegrität, wenn Kunden auf die Genauigkeit Ihrer Verarbeitung angewiesen sind.
Jedes zusätzliche Kriterium erweitert den Umfang der Prüfung und den erforderlichen Nachweis; passen Sie den Umfang daher entsprechend an. Jedes Kriterium gilt für fünf Systemkomponenten: Infrastruktur, Software, Personal, Daten und Verfahren.
Warum SOC 2 im Jahr 2026 wichtig ist
Verizons 2026 Bericht über Datenverletzungsuntersuchungen Eine Studie ergab, dass mittlerweile 48 % aller Sicherheitsvorfälle Dritte betreffen – ein Anstieg um 60 % innerhalb eines Jahres. Die Ausnutzung von Sicherheitslücken hat den Diebstahl von Zugangsdaten als häufigste Angriffsmethode abgelöst (31 % der Vorfälle). Für Ihre Kunden bedeutet dies, dass jeder Anbieter ein potenzielles Einfallstor für Sicherheitslücken darstellt, auch Sie selbst. Ihre Lösung könnte darin bestehen, Anbieter vor Vertragsabschluss genauer zu prüfen – genau die Sicherheitsprüfung, die Ihre Verträge mittlerweile durchlaufen.
In diesem Kontext hat sich SOC 2 zum Standard-Vertrauensartefakt für B2B-Software entwickelt. Sprintos Bericht „Business ROI of Compliance 2026“SOC 2 und ISO 27001 machten zusammen über 85 % der von Unternehmen angestrebten Zertifizierungen aus. Diese Konzentration spiegelt sich nicht nur in der Abdeckung wider, sondern auch in den Ergebnissen. Unternehmen, die SOC 2 und ISO 27001 anstrebten, berichteten von einer um 14 % höheren Erfolgsquote bei Ausschreibungen – ein Wert, der alle anderen im Rahmen der Umfrage berücksichtigten Standards übertraf.
Drei Veränderungen prägen die praktische Bedeutung von SOC 2 im Jahr 2026:
1. Sicherheitsüberprüfungen kontrollieren nun die Einnahmen: In unseren Gesprächen mit Kunden zeigt sich, dass der Auslöser für die Einführung von SOC 2 fast nie interne Ambitionen sind. Meist handelt es sich um eine Kundenvorgabe in einer Ausschreibung, eine Investorenanforderung vor Abschluss einer Finanzierungsrunde oder ein in der Beschaffungsphase ins Stocken geratenes Projekt. Manche Teams greifen erst auf SOC 2 zurück, nachdem ein Vorfall bereits Kosten verursacht hat. SOC 2 hat sich von einem reinen Sicherheitsprojekt zu einem Umsatzprojekt mit zugrundeliegender Sicherheitsfunktion entwickelt. Diese Entwicklung ist besonders ausgeprägt bei Cloudbasierte SaaS-Unternehmen.
2. Der Einsatz von KI ist nun Teil des Geltungsbereichs: Der DBIR 2026 wies auf einen starken Anstieg des Einsatzes von Schatten-KI am Arbeitsplatz hin, und Wirtschaftsprüfer haben nachgezogen. Wenn Ihr Team LLM-Tools verwendet, die Kundendaten oder Produktionscode verarbeiten, müssen Sie mit Fragen rechnen: Welche KI-Tools sind zugelassen, wer hat Zugriff darauf, welche Daten fließen in sie ein und haben sie Ihren Lieferantenprüfungsprozess durchlaufen? KI-Anbieter sind Anbieter.
3. Die Wirtschaftsprüfer stellen schwierigere Fragen. Mehrere Compliance-Beauftragte haben uns dieses Jahr dasselbe berichtet: Nach aufsehenerregenden Skandalen um mangelhafte Prüfungsqualität wollen die Prüfer nun die zugrundeliegenden Beweise sehen, nicht nur eine Zusammenfassung. Das belohnt Teams, die kontinuierlich Beweise sammeln, und entlarvt diejenigen, die diese in hektischer Vorbereitungsphase vor der Prüfung zusammentragen.
SOC 2 selbst ist nicht versioniert wie ISO-Standards. Es gibt kein „SOC 2:2026“ und keine Übergangsfrist; die Trust Services Criteria sind seit 2017 stabil, mit Aktualisierungen der Schwerpunkte im Jahr 2022. Typischerweise Was ändert sich? Das sind die Erwartungen des Wirtschaftsprüfers und was in seinen Prüfungsrahmen fällt. Geschäftliche Vorteile von SOC-Berichten Das Ergebnis ist: schnellere Sicherheitsüberprüfungen, kürzere Verkaufszyklen, weniger Fragebögen, die von Grund auf neu ausgefüllt werden müssen.
Das Warum zu verstehen, ist der kurze Teil. Der längere Teil ist, was SOC 2 tatsächlich von Ihnen verlangt, und das beginnt mit den Anforderungen.
SOC 2-Anforderungen
In SOC 2 bezeichnen die Anforderungen die einzelnen Kriterien jeder Vertrauensdienstkategorie, die Ihre Kontrollen erfüllen müssen. Allein die Sicherheitskategorie umfasst 33 Kriterien, alle fünf Kategorien zusammen 61. Anders als ISO 27001 stellt SOC 2 keine Checkliste mit vorgegebenen Kontrollen bereit. Es definiert die Ergebnisse, die Ihr Unternehmen erreichen muss, und überlässt Ihnen die Umsetzung. Diese Flexibilität kann jedoch für Einsteiger verwirrend sein.
Die Kriterien reichen von:
- Zugriffskontrolle
- Änderungsmanagement
- Risikobewertung
- Reaktion auf Vorfälle
- Lieferantenmanagement
- Überwachung
Sie decken auch Bereiche ab, die Teams oft übersehen, wie etwa Organisationsstruktur, Aufsicht durch den Vorstand und interne Kommunikation.
Die Erfüllung eines Kriteriums erfordert drei Dinge: Richtlinien und Verfahren die beschreiben, was Sie tun, Dokumentation Das beweist, dass Sie es tun, und Kontrollen, die während des gesamten Prüfungszeitraums konsequent funktionieren. Selbst detaillierte Fragen wie Passwortanforderungen Rückverfolgung zu spezifischen Kriterien im Bereich Sicherheit.
Betrachten wir ein kurzes Beispiel. Vertraulichkeit unterliegt nur zwei Kriterien: Erstens muss festgelegt werden, welche Informationen vertraulich sind und wie lange sie aufbewahrt werden; zweitens müssen sie vor Offenlegung oder Löschung geschützt werden. Kontrollmechanismen wie Datenklassifizierung und Verschlüsselungsrichtlinien dienen dazu, diese beiden Anforderungen zu erfüllen.
Zusammenfassend lässt sich sagen, dass Anforderungen definieren, was zutreffen muss. Kontrollen sind die Mittel, um dies sicherzustellen.
SOC 2-Kontrollen
Eine Anforderung beschreibt ein Ergebnis; eine Kontrollmaßnahme ist die konkrete, wiederholbare Maßnahme, die zur Erreichung dieses Ergebnisses erforderlich ist. Beispielsweise ist „Zugriff auf autorisierte Benutzer beschränken“ eine Anforderung. Vierteljährliche Zugriffsüberprüfungen, die Durchsetzung der Multi-Faktor-Authentifizierung (MFA) und die automatische Deaktivierung von Benutzerkonten beim Ausscheiden eines Mitarbeiters sind Kontrollmaßnahmen, die diese Anforderung erfüllen.
Was ein Auditor unter Kontrolle versteht, ist konkret, und für ein SaaS-Unternehmen im Jahr 2026 umfasst dies zunehmend auch die gesamte Lieferpipeline. Ein Beispiel für aussagekräftige Nachweise:
- Zugriffsbewertungen: Ein Protokoll, das jedes System, jeden Benutzer, dessen Berechtigungsstufe, den Prüfer, die Änderungen und den Zeitpunkt der Prüfung auflistet. Ein Richtlinien-PDF genügt nicht.
- Änderungsmanagement: Der Pull Request zeigt jedes Mal vor dem Merge eine Genehmigung an, und zwar über den gesamten Zeitraum.
- Pipeline-Sicherheit: CI/CD arbeitet nach dem Prinzip der minimalen Berechtigungen; Änderungen an Workflow-Dateien werden wie Anwendungscode geprüft.
- Geheimnisse: Zugangsdaten werden in einem Geheimnismanager anstatt im Code gespeichert, wobei die Geheimnisprüfung aktiviert und die Geheimnisse nach jeder Offenlegung rotiert werden.
- Offboarding: Der Zugriff wird beim Verlassen des Geräts entfernt, und dies wird durch einen Zeitstempel belegt.
Für ein SaaS-Unternehmen im Jahr 2026 fordern Wirtschaftsprüfer zunehmend, dass diese Strenge auch auf die Auslieferungspipeline selbst angewendet wird: Wer darf in Produktions-Repositories pushen? Läuft CI/CD nach dem Prinzip der minimalen Berechtigungen? Werden Geheimnisse in einem Manager anstatt im Code gespeichert? Werden Änderungen an Workflow-Dateien wie Anwendungscode überprüft?
Die Kontrollmechanismen lassen sich in einige wenige Gruppen einteilen, die jeweils an ein oder mehrere Kriterien gebunden sind: Zugriffskontrolle, Change Management, Lieferantenverwaltung, katastrophale Erholungund Infrastruktur, einschließlich wie Rechenzentren eine Rolle spielen wenn Sie auf AWS, GCP oder Azure arbeiten und einige Steuerelemente von Ihrem Cloud-Anbieter übernehmen.
Sie müssen das nicht von Grund auf neu entwickeln. Sprinto liefert ein vorkonfiguriertes SOC-2-Kontrollset, und Sprinto AI ordnet die Kontrollen den Framework-Anforderungen aus der vollständigen Kontrollbibliothek zu. So starten Sie mit einer funktionierenden Basis und passen diese an die Arbeitsweise Ihres Teams an.
Angesichts der festgelegten Kriterien und Kontrollmechanismen stellt sich die nächste Frage: Welche Art von Bericht soll erstellt werden?
SOC 2 Typ 1 vs Typ 2
A Bericht vom Typ 1 untersucht, ob Ihre Bedienelemente zu einem bestimmten Zeitpunkt angemessen ausgelegt sind. Bericht vom Typ 2 Die Prüfung untersucht, ob die Kontrollen über einen Zeitraum von in der Regel 3 bis 12 Monaten, dem sogenannten Beobachtungszeitraum, effektiv funktionierten. Während dieses Zeitraums werden die Kontrollen in der Praxis angewendet, während der Prüfer Nachweise für deren Wirksamkeit sammelt. Typ-1-Prüfungen prüfen, ob die richtigen Kontrollen implementiert wurden; Typ-2-Prüfungen prüfen, ob diese tatsächlich über den gesamten Beobachtungszeitraum hinweg Tag für Tag funktionierten.
Man denke an eine Brandschutzprüfung: Bei der Prüfung vom Typ 1 wird überprüft, ob die Alarmanlagen und Feuerlöscher am Tag des Besuchs des Prüfers installiert und funktionsfähig sind, während bei der Prüfung vom Typ 2 die Protokolle der vergangenen Monate überprüft werden, um sicherzustellen, dass sie während des gesamten Zeitraums getestet und gewartet wurden.
| Typ 1 | Typ 2 | |
| Was wird untersucht? | Regelungsdesign | Reglerdesign und -betrieb |
| Zeitrahmen | Ein einzelner Zeitpunkt | Ein Beobachtungszeitraum von 3–12 Monaten |
| Zeit zur Berichterstattung | 1–2 Monate mit Automatisierung | 4–6 Monate mit Automatisierung |
| Prüfungsgebühr | Senken | Höher, da der Prüfer die Beweismittel quer durch das Fenster stichprobenartig erfasst. |
| Was die Käufer daraus machen | Ein vorläufiges Signal, dass Sie unterwegs sind | Der Bericht, den Unternehmenskäufer tatsächlich erwarten |
Diese Unterschiede zwischen Typ 1 und Typ 2 Alle nachfolgenden Schritte werden gesteuert. Typ 1 dient als Zwischensignal, während Ihr Zeitfenster für Typ 2 läuft. Viele Teams überspringen Typ 1 mittlerweile komplett und gehen direkt zu Typ 2 über, um eine doppelte Prüfgebühr zu sparen; der Nachteil ist eine längere Wartezeit auf Ihren ersten Bericht.
Die umfassendere SOC-Familie sorgt ebenfalls häufig für Verwirrung, daher hier die Kurzfassung:
- SOC 1: Kontrollen, die für die Finanzberichterstattung Ihrer Kunden relevant sind. Dies ist relevant, wenn Ihr Produkt deren Finanzdaten berührt.
- SOC 2: Datensicherheit gemäß den Trust Services Criteria. Genau das, was SaaS-Käufer fordern.
- SOC 3: Eine allgemeinverständliche Zusammenfassung eines SOC 2, die Sie öffentlich veröffentlichen können.
- Spezialberichte: SOC für Cybersicherheit und SOC für die Lieferkette, was die meisten SaaS-Unternehmen nie benötigen.
Egal welchen Typ man verfolgt, das Ergebnis ist immer dasselbe: das berichten sich.
Der SOC-2-Bericht
Ein SOC-2-Bericht besteht aus fünf Hauptteilen:
- Das Bestätigungsschreiben des Wirtschaftsprüfers: Die Überschrift lautet: Ein uneingeschränkter Bestätigungsvermerk bedeutet, dass der Prüfer Ihre Kontrollen als ordnungsgemäß konzipiert (Typ 1) bzw. als konzipiert und funktionsfähig (Typ 2) befunden hat. Ein eingeschränkter Bestätigungsvermerk weist auf wesentliche Mängel hin, und Käufer interpretieren ihn entsprechend.
- Behauptung des Managements: Ihre formelle Bestätigung, dass die Systembeschreibung korrekt ist.
- Systembeschreibung: Was ist im Leistungsumfang enthalten, von Ihnen beschrieben.
- Die relevanten Kriterien: Welche Kriterien für Vertrauensdienste wurden in der Prüfung abgedeckt?
- Tests und Ergebnisse: Was der Prüfer geprüft hat und was er dabei festgestellt hat, einschließlich etwaiger Ausnahmen.
Zwei dieser Aspekte bereiten die meisten Probleme. Der erste ist die Systembeschreibung, die Sie und nicht der Auditor verfassen. Sie benennt Ihr Produkt, die relevante Infrastruktur und Repositories, Ihre Identitätsanbieter, Subservice-Organisationen wie AWS und zunehmend auch die von Ihrem Team verwendeten KI-Tools. Das Problem: Diese Beschreibung ändert sich ständig. Teams fügen Tools hinzu, ändern die Infrastruktur und versetzen Mitarbeiter während des laufenden Audits in andere Rollen. Stimmen die Beschreibungen dann nicht mehr mit den Beobachtungen des Auditors überein, stockt die Feldarbeit, bis die beiden Angaben abgeglichen sind. Eine Überprüfung vor Beginn des Audits erspart Ihnen das.
Der zweite Teil ist der Testabschnitt, wo Ausnahmen Eine Ausnahme liegt vor, wenn eine Kontrollmaßnahme nicht wie vorgesehen funktioniert hat, beispielsweise wenn ein ausgeschiedener Mitarbeiter über die vereinbarte Service-Level-Vereinbarung (SLA) hinaus weiterhin Zugriff hatte. Ein oder zwei solcher Fälle werden einen Bericht nicht ruinieren; der Prüfer dokumentiert sie zusammen mit Ihrer Antwort, und ein Bericht mit einigen gut behandelten Ausnahmen und klaren Abhilfemaßnahmen wirkt oft glaubwürdiger als ein makelloser. Käufer achten auf das Gesamtbild, nicht auf einzelne Fehler.
Ein paar Dinge, die in der Praxis häufig zu Missverständnissen führen. Berichte werden unter Geheimhaltungsvereinbarung (NDA) weitergegeben, üblicherweise über ein Trust Center und nicht per E-Mail. Ein Bericht vom Typ 2 deckt einen festgelegten Zeitraum ab. Wenn ein Käufer also eine Bestätigung für die Monate seit dem Ende Ihres letzten Berichts wünscht, geben Sie ihm einen entsprechenden Bericht. Brückenbrief Bestätigung, dass die Kontrollmaßnahmen weiterhin bestehen.
Wenn man weiß, was der Bericht enthält, lässt sich die nächste Frage leichter und ehrlicher beantworten: Braucht man überhaupt einen?
Wer braucht SOC 2, und wer kann warten?
SOC 2 ist sinnvoll, wenn es benötigt wird, und kostet Zeit und Geld, wenn es nicht nötig ist. Daher ist die erste Entscheidung eine Frage des Zeitpunkts, nicht des Aufwands. Wer es zu früh angeht, zahlt für einen Bericht, den niemand angefordert hat. Wer wartet, bis ein abgeschlossener Vertrag davon abhängt, verzögert den Vertragsabschluss um Monate.
Hier ist der praktische Filter.
a. Sie benötigen wahrscheinlich SOC 2, wenn:
- Potenzielle Kunden fragen in Sicherheitsüberprüfungen, Angebotsanfragen oder Lieferantenfragebögen danach.
- Sie sind ein SaaS- oder Cloud-Unternehmen, das Kundendaten speichert oder verarbeitet.
- Sie verkaufen an US-amerikanische mittelständische oder Großunternehmen oder planen, an diese zu verkaufen.
- Ein Investor, Partner oder eine Plattform-Marktplatz benötigt es.
- Sie verarbeiten Daten im Auftrag von Unternehmen in regulierten Branchen wie Fintech, Healthtech oder HR-Tech.
b. Sie benötigen es wahrscheinlich noch nicht, wenn:
- Kein Kunde oder Interessent hat danach gefragt, und Ihre Käufer sind entweder Verbraucher oder sehr kleine Unternehmen.
- Sie speichern keinerlei Kundendaten.
- Ihr Markt erwartet zunächst einen anderen Rahmen, beispielsweise ISO 27001 für europäische und asiatisch-pazifische Käufer oder HIPAA für das US-amerikanische Gesundheitswesen.
Beachten Sie, was in keiner der beiden Listen enthalten ist: die Unternehmensgröße. Das ist keine Ausnahme. Käufer fragen Zwei-Personen-Startups Bei SOC-2-Berichten bestehen kleine Teams diese Prüfungen regelmäßig. Kontrollen, die die Zusammenarbeit getrennter Personen voraussetzen, wie Funktionstrennung oder Peer-Code-Review, werden durch dokumentierte Abgrenzungen und Prüfervermerke und nicht durch aufwendige Maßnahmen umgesetzt.
Wenn Sie sich für „Ja“ entschieden haben, sollten Sie frühzeitig noch etwas einplanen: SOC 2 wird selten allein verwendet. Derselbe Käufer, der SOC 2 für Ihre US-Projekte verlangt, fordert in Europa oft auch ISO 27001, und Käufer im Gesundheitswesen fordern zusätzlich HIPAA. Da sich die Kontrollmechanismen dieser Rahmenwerke stark überschneiden, ist die Erstellung Ihrer Rahmenwerk-Roadmap jetzt deutlich kostengünstiger, als sie mühsam aus jedem ins Stocken geratenen Projekt herauszuarbeiten.
Sobald Sie sich für SOC 2 entschieden haben, bleiben zwei Fragen offen: Welchen Bericht benötigen Sie und wie gelangen Sie dorthin? Die Wahl des Berichts – Typ 1 oder Typ 2 – hängt von den Erwartungen Ihres Käufers und der benötigten Dringlichkeit ab, wie bereits erwähnt. Im Folgenden beschreiben wir den genauen Ablauf.
Der Weg zur SOC-2-Konformität
Um Ihren SOC-2-Bericht zu erhalten, müssen Sie sechs Phasen durchlaufen: Festlegung des Umfangs, Bewertung, Behebung, Betrieb, Prüfung und Aufrechterhaltung.
Lassen Sie uns jeden einzelnen Punkt im Detail untersuchen.
1. Umfang: Sie beginnen damit, Ihre Kriterien für Vertrauensdienste auszuwählen und die Systemgrenze festzulegen. Das bedeutet, dass Sie genau bestimmen, welche Produkte, Infrastrukturen, Repositories, Tools und Personen von der Prüfung abgedeckt werden.
2. Beurteilen: Führen Sie a Risikobewertung Um die Bedrohungen für Kundendaten zu identifizieren, wird anschließend eine Gap-Analyse anhand der Kriterien durchgeführt. Eine strukturierte Bereitschaftsbewertung oder leichter Selbsteinschätzung Es zeigt Ihnen, wie weit Sie von der Auditbereitschaft entfernt sind. Im Jahr 2026 dokumentiert ein glaubwürdiges Risikoregister auch, wie Sie bekannte, ausgenutzte Schwachstellen verfolgen, wie schnell kritische Schwachstellen behoben werden und wie Vorfälle bei Drittanbietern hinsichtlich ihrer Auswirkungen auf Kunden bewertet werden, denn genau dort beginnen Sicherheitslücken heutzutage laut DBIR-Bericht.
3. Abhilfe schaffen: Anschließend schließen Sie die im Rahmen der Bewertung aufgedeckten Lücken. Diese Arbeit umfasst die Implementierung der fehlenden Kontrollen, die Finalisierung Ihrer Richtlinien, die Behebung unsicherer Konfigurationen und die Zuweisung eines Verantwortlichen zu jeder Kontrolle.
4. Bedienen: Nun führen Sie die Kontrollen durch und sammeln Nachweise über deren Wirksamkeit. Für einen Bericht vom Typ 2 ist dies Ihr Beobachtungszeitraum. Hier versagen Programme oft unbemerkt, da eine Kontrolle, die auch nur eine Woche lang ausfällt – beispielsweise eine übersprungene Zugriffsprüfung oder eine nicht genehmigte Zusammenführung –, zu einer Ausnahme in Ihrem Bericht wird. Genau dafür ist die kontinuierliche Überwachung da: Sie erkennt Abweichungen sofort, anstatt erst bei der Auditvorbereitung. Hier kommt auch die automatisierte Überwachung zum Einsatz. Beweissammlung verdient sich seinen Platz: Ein ausscheidender Mitarbeiter kann einen Deaktivierungs-Workflow auslösen; das System überprüft dann, ob der Zugriff entfernt wurde, und der Datensatz wird als Beweis abgelegt.
5. Prüfung: Eine zugelassene Wirtschaftsprüfungsgesellschaft prüft Ihre Kontrollen, indem sie deren Konzeption für einen Bericht vom Typ 1 und deren operative Wirksamkeit über den gesamten Zeitraum für einen Bericht vom Typ 2 testet.
6. Aufrechterhalten: Da SOC 2 jährlich erneuert wird, laufen die Kontrollen weiterhin, und Ihr nächstes Beobachtungsfenster öffnet sich, sobald das aktuelle schließt.
Käufer senden manchmal eine Sicherheitsfragebogen zusammen mit Ihrem Bericht oder anstatt ihn anzufordern, und die gleichen Beweise beantworten beides.
Von den sechs Phasen bereitet den Teams die Prüfung in der Regel die größten Sorgen.
Das SOC 2-Audit
Ein SOC-2-Audit ist eine Prüfung von Nachweisen durch eine zugelassene Wirtschaftsprüfungsgesellschaft. Der Prüfer testet jede im Geltungsbereich liegende Kontrollmaßnahme, wobei er bei einer Typ-1-Kontrolle das Design und bei einer Typ-2-Kontrolle Stichprobennachweise über den gesamten Beobachtungszeitraum hinweg prüft: Zugriffsprotokolle, Änderungstickets, Vorfallprotokolle, Schulungsnachweise und Lieferantenbewertungen.
Die Feldarbeit dauert in der Regel mehrere Wochen, wobei während der Bearbeitung der Stichproben durch den Prüfer immer wieder Rückfragen gestellt werden. Daher ist es hilfreich zu wissen, Wie man sich auf ein SOC-2-Audit vorbereitet bevor es beginnt und um alle, die neu in den Prozess einsteigen, durch einige SOC-2-Audit-Schulung zuerst.
Zwei Voraussetzungen überraschen die Teams, und beide tauchten in unseren Gesprächen mit potenziellen Spielern in diesem Jahr immer wieder auf:
a. PenetrationstestsObwohl es keine formale TSC-Anforderung ist, erwarten die meisten Auditoren in der Praxis einen aktuellen Penetrationstest als Nachweis für Ihre Sicherheitsmaßnahmen. Die Kosten liegen bei etwa 1,000 bis 2,500 US-Dollar für einen typischen SaaS-Umfang, die Dauer beträgt ein bis zwei Wochen und der Test muss vor Beginn des Audits abgeschlossen sein. Teams, die dies erst während des Audits feststellen, verlieren dadurch Wochen. Planen Sie die Kosten daher frühzeitig ein und terminieren Sie den Test entsprechend.
b. Es müssen Beweise für den gesamten Zeitraum vorliegen: Raj Viswanathan, CISO bei Nium, Um es klar zu sagen, nachdem das Unternehmen den SOC 2 Typ 2-Prozess durchlaufen hat und 97 % der Beweiserhebung automatisiert waren: „SOC 2 ist ein intensives, evidenzbasiertes Audit. Wenn Kontrollen nicht automatisiert sind, bedeutet das eine zusätzliche Belastung für die IT-Teams, um sicherzustellen, dass nichts übersehen wird. Wenn wir die Kontrollen auch nur einen Tag lang nicht erfassen, führt das zu einem Kontrollversagen, das im Bericht vermerkt wird.“"
Was die Prüfer bei jeder Prüfung tatsächlich beanstanden:
- Veraltete Screenshots wurden als aktuelle Beweismittel eingereicht.
- Zugriff auf Rezensionen, die ein Quartal übersprungen haben
- Workflow- und Pipeline-Änderungen wurden ohne Überprüfung zusammengeführt.
- Fest codierte Anmeldeinformationen in Repositories
- Systembeschreibungen, die nicht mehr zur Umgebung passen
- Integrationen, von denen alle annahmen, dass sie Beweise sammelten, hatten stillschweigend die Synchronisierung eingestellt.
Letzteres erfordert eine eigene Vorprüfung: Eine Integration kann als verbunden angezeigt werden, während sie stillschweigend aufgehört hat, Beweise zu sammeln.
Ohne einen Wirtschaftsprüfer geht das alles nicht, und die Wahl eines solchen ist eine wichtige Entscheidung.
Auswahl Ihres SOC-Auditors
Nur zugelassene Wirtschaftsprüfungsgesellschaften dürfen einen SOC-2-Bericht erstellen. Dies schränkt die Auswahl zwar ein, nimmt Ihnen die Entscheidung aber nicht ab. Gebühren, Bearbeitungszeiten und Prüfungserfahrung variieren stark, ebenso wie die Qualität.
Drei Dinge, die Sie vor der Unterzeichnung überprüfen sollten:
- Ständige und kollegiale Begutachtung: Wirtschaftsprüfungsgesellschaften werden einer externen Begutachtung ihrer Bestätigungspraxis unterzogen. Erkundigen Sie sich nach dem aktuellen Stand dieser Begutachtung; eine laufende oder abgelaufene Begutachtung einer Billiggesellschaft kann die Akzeptanz Ihres Berichts erheblich beeinträchtigen. Nach den Skandalen um die Prüfungsqualität der letzten zwei Jahre prüfen die Sicherheitsabteilungen der Auftraggeber nicht nur die Existenz des Berichts, sondern auch, wer ihn unterzeichnet hat.
- Relevante Erfahrung: Eine auf SaaS-Umgebungen spezialisierte Firma kann Cloud-native Lösungen schnell analysieren. Eine Firma, die hauptsächlich Banken prüft, wird in Ihrem Fall langsamer und teurer sein.
- Prozesspassung: Erkundigen Sie sich, wie sie Beweise sammeln. Unternehmen, die direkt mit einer Compliance-Plattform arbeiten oder diese integrieren, können im Vergleich zur herkömmlichen Datenerfassung per E-Mail und Tabellenkalkulation wochenlangen Schriftverkehr einsparen.
Die Kosten für Wirtschaftsprüfungen variieren stark: etwa 5,000 bis 25,000 US-Dollar für eine Typ-1-Prüfung und 7,000 bis über 50,000 US-Dollar für eine Typ-2-Prüfung. Kleinere Wirtschaftsprüfungsgesellschaften liegen im unteren Bereich mit etwa 12,000 bis 15,000 US-Dollar, während die Big Four deutlich mehr verlangen. Der günstigste Anbieter ist selten die beste Wahl. Wenn der Ruf der Wirtschaftsprüfungsgesellschaft fragwürdig ist, hinterlässt das keinen guten Eindruck bei Ihren potenziellen Käufern. Die Glaubwürdigkeit des Berichts hängt maßgeblich von demjenigen ab, der ihn unterzeichnet hat.
Mit der Auswahl eines Wirtschaftsprüfers wird der Zeitplan konkret.
Wie lange dauert SOC 2?
Die ehrliche Antwort auf die SOC 2-Zeitleiste Der Prozess besteht aus zwei Teilen: der Zeit bis zur Auditbereitschaft und der Zeit bis zum Erhalt des Berichts. Die Automatisierung verkürzt die erste Phase erheblich. Die zweite Phase lässt sich nicht beschleunigen, da ein Bericht vom Typ 2 erst nach einer festgelegten Laufzeit der Kontrollen ausgestellt werden kann.
Der größte Teil der Prüfdauer bei einer Typ-2-Prüfung entfällt auf den Beobachtungszeitraum: die Zeitspanne von in der Regel drei bis sechs Monaten, in der Ihre Kontrollen kontinuierlich laufen müssen, während der Prüfer Nachweise für deren Wirksamkeit sammelt. Dieser Teil lässt sich durch kein Tool verkürzen, und deshalb dauert eine Typ-2-Prüfung Monate länger als eine Typ-1-Prüfung, die keinen Beobachtungszeitraum kennt.
So wirkt sich das auf den gemeinsamen Pfaden aus:
| Szenario | Zeit zur Berichterstattung | Was treibt es an? |
| Typ 1, mit Automatisierung | 1 – 2 Monate | Eine 2- bis 6-wöchige Vorbereitungsphase, anschließend ein kurzes Audit. Kein Beobachtungszeitraum. |
| Typ 2, mit Automatisierung | 4 – 6 Monate | Vorbereitungsphase, ein Beobachtungszeitraum von 3–6 Monaten, anschließend ein Audit nach 1–2 Monaten. |
| Typ 2, manueller oder komplexer Umfang | bis zu 12 Monate | Die manuelle Beweissicherung erstreckt sich über jede Phase. |
Da der Beobachtungszeitraum festgelegt ist, empfiehlt es sich, von diesem Zeitraum aus rückwärts zu planen. Benötigt ein Geschäft beispielsweise Ihren Typ-2-Bericht bis Dezember und Ihr Beobachtungszeitraum beträgt sechs Monate, muss dieser Zeitraum bis Juni geöffnet sein. Das bedeutet, dass Ihre Kontrollmechanismen bis dahin aktiv und betriebsbereit sein müssen.
Deshalb ist die Geschwindigkeit der Einsatzbereitschaft so wichtig, auch wenn sich das Zeitfenster selbst nicht ändert: Je schneller Sie Ihre Lücken schließen, desto eher kann die Zeitmessung beginnen. Der interne Aufwand ist zudem geringer als von den meisten Teams erwartet, da die Automatisierung die Einrichtung auf wenige konzentrierte Stunden pro Woche reduziert, anstatt eine dedizierte Stelle zu erfordern.
ZetusEin Unternehmen im Gesundheitswesen zeigt, wie schnell sich dieser Prozess mit einer Compliance-Automatisierungsplattform wie Sprinto beschleunigen lässt. Innerhalb von zwei Wochen erreichten sie die SOC-2-Typ-1-Vorbereitung und schlossen das Audit zwanzig Tage später ab. Der Erfolg ließ nicht lange auf sich warten: Zeto konnte noch am selben Tag, an dem der Bericht vorlag, einen Verkauf abschließen.
Zeit ist das eine Budget. Geld das andere.
Was kostet SOC 2?
Die Kosten für SOC 2 setzen sich aus mehreren Einzelrechnungen zusammen: der Compliance-Plattform, dem externen Audit und einem Penetrationstest sowie dem Zeitaufwand Ihres Teams. Oftmals budgetieren Teams nur die Plattform und werden dann von den übrigen Kosten überrascht.
| Kostenkomponente | Typischer Bereich, Jahr 1 | Notizen |
| Compliance-Plattform | 5,000–30,000 US-Dollar / Jahr | Für kleine Teams beginnt der Preis bei etwa 8,000 US-Dollar; skaliert mit der Mitarbeiterzahl und den verwendeten Frameworks. |
| SOC 2 Typ 1-Audit | $ $ 5,000 25,000- | Stichtagsbewertung; spezialisierte Wirtschaftsprüfungsgesellschaften um die 12,000 US-Dollar |
| SOC 2 Typ 2-Audit | $7,000–$50,000+ | Auf der anderen Seite des Beobachtungsfensters: Boutique-Firmen um die 15,000 Dollar, die Big Four deutlich darüber. |
| Penetrationstest | $ $ 4,000 15,000- | In der Praxis zu erwarten; eine einzelne Webanwendung befindet sich am unteren Ende der Skala. |
| Interne Teamzeit | 100-200 Stunden | Die größten versteckten Kosten; Automatisierung reduziert sie auf einen Bruchteil |
Für ein kleines SaaS-Unternehmen, das eine SOC 2 Typ 2-Zertifizierung mit Automatisierung durchführt, belaufen sich die Gesamtkosten im ersten Jahr üblicherweise auf etwa 20,000 bis 60,000 US-Dollar für ein kleines bis mittelständisches SaaS-Unternehmen, während sie bei größerem Umfang oder einem Big 4-Auditor auf bis zu 150,000 US-Dollar steigen.
Der Verzicht auf eine Plattform erscheint zwar günstiger, da man die Abonnementgebühr spart, doch letztendlich kostet es mehr, wenn man den Zeitaufwand des Teams berücksichtigt. Ein manueller Prozess erfordert 100 bis 200 interne Arbeitsstunden für das Sammeln von Beweismaterial, das Nachverfolgen von Screenshots und das Aktualisieren von Tabellenkalkulationen; die Automatisierung reduziert diesen Aufwand auf einen Bruchteil. Die eingesparten Stunden sind weitaus wertvoller als die vermiedenen Abonnementgebühren.
Bevor Sie ein Budget festlegen, sollten Sie zwei Dinge beachten. Erstens: Bitten Sie jeden Anbieter um ein Angebot für alle drei Positionen. Ein Preisangebot wie „SOC 2 für X €“ deckt oft nur die Plattform ab und lässt die Auditgebühr und den Penetrationstest außer Acht – die häufigsten Gründe für Budgetüberschreitungen während eines Projekts. Zweitens: Falls Sie innerhalb des Jahres ein zweites Framework benötigen, beispielsweise ISO 27001 oder HIPAA, holen Sie jetzt Angebote für beide ein. Da sich viele Arbeiten im Zusammenhang mit SOC 2 wiederholen, ist der gemeinsame Kauf beider Frameworks in der Regel deutlich günstiger als die nachträgliche Hinzufügung des zweiten.
DateiDie Erfahrung von Sprinto, einer Plattform für Ausgabenmanagement, zeigt, wohin das Geld tatsächlich fließt. Bevor das Team zu Sprinto wechselte, arbeitete es drei Monate mit einem Sicherheitsberater zusammen und steckte dennoch in der Gap-Analyse fest, versunken in Tabellenkalkulationen und manueller Datenerfassung. Das bedeutet, dass ein Viertel der Entwicklungszeit verschwendet wurde, bevor überhaupt ein Bericht vorlag – genau die Kosten, die in Angeboten von Anbietern nicht auftauchen.
Planen Sie außerdem ein Budget für das zweite Jahr ein. Die SOC-2-Zertifizierung wird jährlich erneuert. Nach dem ersten Jahr fallen daher Kosten für die laufende Überwachung und das Erneuerungsaudit an, die üblicherweise zwischen 10,000 und 40,000 US-Dollar liegen. Die Kosten sollten niedriger sein als im ersten Jahr, da die Einrichtungsarbeiten bereits abgeschlossen sind. Bedenken Sie jedoch, dass Käufer die Aktualität Ihres Berichts überprüfen werden.
Gängige Mythen über SOC 2
Einige Mythen rund um SOC 2 halten sich hartnäckig, weil sie plausibel klingen. Hier sind die fünf häufigsten Gründe, warum Teams den Umfang und das Budget falsch einschätzen oder ihre Ressourcen überschätzen.
1. „SOC 2 ist eine Zertifizierung.“Es handelt sich um eine Bestätigung. Die Einschätzung einer Wirtschaftsprüfungsgesellschaft in einem Bericht, nicht um ein Zertifikat. Der Begriff „Zertifizierung“ ist allgegenwärtig, auch in URLs auf dieser Website, da er häufig gesucht wird. Vermeiden Sie es jedoch, „SOC 2-zertifiziert“ auf einer Folie zu verwenden, die von einem IT-Sicherheitsteam gelesen wird.
2. „Einmal und nie wieder“: Die Berichte decken einen festgelegten Zeitraum ab und werden jährlich erneuert. Käufer, die einen SOC-2-Bericht anfordern, prüfen auch das Berichtsdatum.
3. „Ein reiner Sicherheitsbereich ist immer ausreichend“: Sicherheit ist das einzige zwingende Kriterium, aber wenn Sie Verfügbarkeit versprechen oder vertrauliche Daten verwalten, erwarten Käufer Verfügbarkeit und Vertraulichkeit im Leistungsumfang, und ein zu eng gefasster Bericht wirft Fragen auf.
4. „Es ist eine reine Formalität“: Die Wirtschaftsprüfer stichprobenartig Betriebsnachweise erheben. Richtlinien ohne Betriebsnachweis führen zu Ausnahmen, und eine ausreichende Anzahl von Ausnahmen führt zu einem eingeschränkten Bestätigungsvermerk.
5. „Kleine Unternehmen kommen nicht durch“: Das können sie und tun es auch, mit begrenzten Kontrollen und dokumentierten Ausnahmen, wenn die Teamgröße eine Kontrolle unanwendbar macht.
Wie Sprinto bei SOC 2 hilft
Sprinto ist eine autonome Vertrauens- und Compliance-Plattform, die SOC 2 von einem manuellen, nachweisbasierten Projekt in ein weitgehend automatisiertes, kontinuierlich laufendes Programm verwandelt. Anstatt Kontrollen zusammenzustellen, Screenshots zu sammeln und alles in der Woche vor Ihrem Audit abzugleichen, arbeiten Sie mit einem vorkonfigurierten SOC-2-Programm, das sich selbst überwacht und auf notwendige Aktionen hinweist.
Wie das konkret für Ihren SOC 2 aussieht:
- Vordefinierte Steuerelemente: Der vollständige SOC-2-Kontrollsatz wird fertig ausgeliefert und ist den Trust Services Criteria zugeordnet. Sprinto AI ordnet die Steuerelemente den Framework-Anforderungen aus der gesamten Kontrollbibliothek zu, einschließlich derjenigen, die Sie noch nicht aktiviert haben. So starten Sie mit einem funktionierenden Programm anstatt mit einem leeren Register.
- Automatisierte Beweismittelsammlung: Integrationen in Ihre Cloud, Code-Repositories, HRIS, MDM und Identitätsarchitektur liefern kontinuierlich Nachweise. Die Suche nach Screenshots um 11 Uhr gehört damit der Vergangenheit an.
- Kontinuierliche Kontrollüberwachung: Wenn eine Kontrollmaßnahme abweicht, eine Zugriffsprüfung ausfällt oder eine Integration nicht mehr synchronisiert wird, erfahren Sie dies noch am selben Tag, nicht erst während der Feldarbeit. Fehlgeschlagene Prüfungen werden durch gezielte Maßnahmen behoben.
- Prüfprozesse, in denen Prüfer arbeiten: Ihr Auditor erhält eine eingeschränkte, schreibgeschützte Ansicht Ihrer Nachweise. Dank der Auditor-Integrationen können Anfragen und Nachweise direkt zwischen Sprinto und den Tools des Auditors synchronisiert werden, sodass nichts doppelt hochgeladen wird.
- Vertrauen im öffentlichen Raum: Ein Trust Center teilt Ihren Bericht und Ihre Sicherheitslage mit Käufern unter Zugriffskontrollen, und Ask AI beantwortet deren Sicherheitsfragen anhand der Dokumente, zu deren Einsicht sie berechtigt sind, was den Fragebogenzyklus verkürzt.
- Übertragung von Vorteilen aus mehreren Rahmenwerken: Die Kontrollen nach SOC 2 fließen in die Programme von ISO 27001, HIPAA und DSGVO ein, sodass das zweite Rahmenwerk weit von Null ansetzt. Die Überschneidungen werden aufgezeigt, nicht behauptet.
Wenn Sie Optionen im Bereich der SOC 2-Software In dieser Kategorie stoßen Sie auch auf Vanta, Drata und Secureframe. SOC 2-Automatisierung, Als Kategorie hat sie sich so weit entwickelt, dass das manuelle Ausführen des Programms eine Option und nicht mehr die Standardeinstellung ist.
Wir legen an uns selbst dieselben Maßstäbe an, die wir für unsere Kunden anlegen: Sprinto ist SOC 2-konformund unser eigener Bericht läuft auf unserer Plattform.
Den kombinierten Effekt kann man daran erkennen, wie wenig die Prüfung stört, sobald das Programm kontinuierlich läuft. nium Nium ließ seine SOC-2-Typ-2-Zertifizierung von Sprinto durchführen. Nur drei der über 100 Kontrollen erforderten manuell erhobene Nachweise, und der Auditor schloss die Beweisprüfung in weniger als zwei Sitzungen ab. Raj Viswanathan, CISO von Nium, merkte an, dass das Entwicklerteam gar nichts von der laufenden Prüfung mitbekam, da keine einzige Nachweisanforderung bei ihnen ankam.
Häufig gestellte Fragen
Ein Live-Walkthrough von SOC 2 in Sprinto – 30 Minuten.
