Blog
Was ist SOC-2-Compliance? Ein verständlicher Leitfaden
· 7 Min. Lesezeit
Kurzfassung
- SOC 2 ist eine Bescheinigung der AICPA, eine zugelassene CPA-Wirtschaftsprüfungsgesellschaft berichtet darüber, wie gut Sie Kundendaten schützen. Es handelt sich um eine Bescheinigung (Attestation), nicht um eine Zertifizierung.
- Es basiert auf fünf Trust Services Criteria: Security ist stets enthalten; Availability, Processing Integrity, Confidentiality und Privacy werden je nach Umfang hinzugefügt.
- Type I prüft, ob die Kontrollen zu einem bestimmten Zeitpunkt angemessen gestaltet sind; Type II prüft, ob sie über mehrere Monate hinweg wirksam funktioniert haben, und ist das, was Enterprise-Käufer verlangen.
- Es ist rechtlich nicht verpflichtend, wird aber von Enterprise-Kunden häufig gefordert, der Großteil der Arbeit besteht daher in der Vorbereitung (Readiness): Gap-Analyse, Umsetzung von Kontrollen und Sammeln von Nachweisen.
SOC 2 ist der Sicherheitsbericht, den Enterprise-Kunden anfordern, bevor sie Ihnen ihre Daten anvertrauen, und das Akronym wird nur selten klar erklärt. Dieser Leitfaden erläutert, was SOC 2 tatsächlich ist, wie es strukturiert ist und was mit dessen Erlangung verbunden ist.
Er richtet sich an Gründerinnen und Gründer sowie an Engineering- und Security-Teams, die sich zum ersten Mal mit SOC 2 befassen, nicht an Wirtschaftsprüfer.
Was ist SOC 2?
SOC 2 (System and Organization Controls 2) ist ein Prüfungsstandard der AICPA, der Auskunft darüber gibt, wie gut eine Dienstleistungsorganisation Kundendaten schützt. Anstelle einer festen Checkliste bewertet er Ihre Kontrollen anhand einer Reihe von Grundsätzen und erzeugt einen unabhängigen Bericht, den Sie mit Kunden teilen können.
Streng genommen ist SOC 2 eine Bescheinigung (Attestation), keine Zertifizierung: Eine zugelassene CPA-Wirtschaftsprüfungsgesellschaft prüft Ihre Kontrollen und erstellt einen Bericht mit ihrem Prüfungsurteil. „SOC-2-Compliance“ ist eine Kurzform dafür, diese Prüfung mit einem einwandfreien Bericht bestanden zu haben.
Die fünf Trust Services Criteria
SOC 2 basiert auf fünf Trust Services Criteria. Security, der Schutz von Systemen vor unbefugtem Zugriff, ist die Grundlage und stets enthalten. Die anderen vier sind optional und werden auf Grundlage Ihrer Tätigkeit ausgewählt: Availability (das System ist wie vereinbart verfügbar), Processing Integrity (die Verarbeitung ist vollständig und korrekt), Confidentiality (vertrauliche Daten werden geschützt) und Privacy (personenbezogene Daten werden gemäß Ihrer Datenschutzerklärung behandelt).
Die meisten Unternehmen beginnen nur mit Security und fügen weitere Kriterien hinzu, sobald Kundenanforderungen dies erfordern. Die von Ihnen gewählten Kriterien bestimmen den Umfang der Prüfung.
SOC 2 Type I vs. Type II
Ein Type-I-Bericht beurteilt, ob Ihre Kontrollen zu einem einzelnen Zeitpunkt angemessen gestaltet sind. Er ist schneller zu erlangen und oft ein erster Schritt.
Ein Type-II-Bericht beurteilt, ob diese Kontrollen über einen Zeitraum hinweg tatsächlich wirksam funktioniert haben, üblicherweise drei bis zwölf Monate. Er ist strenger und ist das, was die meisten Enterprise-Kunden letztlich verlangen, da er belegt, dass die Kontrollen in der Praxis funktionieren und nicht nur auf dem Papier.
Wer benötigt SOC 2?
SOC 2 ist keine gesetzliche Anforderung. In der Praxis wird es von Kunden vorangetrieben: Wenn Sie ein SaaS- oder B2B-Unternehmen sind, das Daten anderer Organisationen speichert oder verarbeitet, verlangen deren Security- und Einkaufsteams häufig einen SOC-2-Bericht, bevor sie Verträge abschließen oder verlängern.
Dadurch ist SOC 2 ebenso ein Vertriebsinstrument wie eine Sicherheitsmaßnahme, es verkürzt Sicherheitsprüfungen und bringt Enterprise-Deals ins Rollen.
Wie der SOC-2-Prozess aussieht
Umfang festlegen: Wählen Sie Ihre Trust Services Criteria und die einbezogenen Systeme aus.
Readiness- und Gap-Analyse: Vergleichen Sie Ihre aktuellen Kontrollen mit den Erwartungen von SOC 2 und ermitteln Sie die Lücken.
Behebung: Setzen Sie die fehlenden Kontrollen um, Zugriffsverwaltung, Logging und Monitoring, Change-Management, Lieferantenrisiko, Incident Response und mehr.
Beobachtungszeitraum (Type II): Betreiben Sie die Kontrollen über den vereinbarten Zeitraum und sammeln Sie dabei Nachweise.
Prüfung: Eine zugelassene CPA-Wirtschaftsprüfungsgesellschaft prüft Ihre Kontrollen und Nachweise und erstellt den SOC-2-Bericht.
Wie Sie sich vorbereiten
Die Prüfung selbst ist kurz; die eigentliche Arbeit ist die Vorbereitung (Readiness). Der schnellste Weg ist eine Gap-Analyse anhand Ihrer angestrebten Kriterien, gefolgt von der Umsetzung der fehlenden technischen und organisatorischen Kontrollen und dem Aufbau einer Nachweissammlung, sodass die Prüfung zur Routine wird.
Ein Großteil der Sicherheitsnachweise überschneidet sich mit ISO 27001 und Indiens DPDP Act, sodass ein einziges Programm mehrere Frameworks abdecken kann. Ein Penetrationstest ist üblicherweise Teil des Kontrollumfangs, da SOC 2 von Ihnen erwartet, Schwachstellen zu identifizieren und zu beheben.
Häufig gestellte Fragen
- Was ist SOC-2-Compliance?
- SOC-2-Compliance bedeutet, dass eine zugelassene CPA-Wirtschaftsprüfungsgesellschaft die Kontrollen Ihrer Organisation anhand der Trust Services Criteria der AICPA geprüft und einen Bericht erstellt hat, der bestätigt, dass sie angemessen gestaltet sind und, bei Type II, wirksam funktionieren. Es ist eine Bescheinigung, dass Sie Kundendaten nach einem anerkannten Standard schützen.
- Was ist der Unterschied zwischen SOC 2 Type I und Type II?
- Ein Type-I-Bericht beurteilt, ob Ihre Kontrollen zu einem einzelnen Zeitpunkt angemessen gestaltet sind. Ein Type-II-Bericht beurteilt, ob diese Kontrollen über einen Zeitraum hinweg wirksam funktioniert haben, üblicherweise drei bis zwölf Monate. Type II ist strenger und ist das, was die meisten Enterprise-Kunden verlangen.
- Wer benötigt SOC 2?
- SOC 2 ist am relevantesten für SaaS- und B2B-Unternehmen, die Daten anderer Organisationen speichern oder verarbeiten. Es ist rechtlich nicht verpflichtend, aber Enterprise-Kunden verlangen häufig einen SOC-2-Bericht, bevor sie Verträge abschließen, wodurch es zu einer gängigen Voraussetzung für den Verkauf an größere Kunden wird.
- Wie lange dauert SOC 2?
- Die Vorbereitung (Readiness) dauert je nach Ausgangslage typischerweise einige Wochen bis einige Monate. Ein Type-II-Bericht erfordert anschließend einen Beobachtungszeitraum, üblicherweise drei bis zwölf Monate,, in dem die Kontrollen funktionieren müssen, bevor der Prüfer den Bericht erstellt.
- Ist SOC 2 verpflichtend?
- Nein. SOC 2 ist weder ein Gesetz noch eine Verordnung. Es wird durch Kunden- und Vertragsanforderungen vorangetrieben; auch wenn es keine staatliche Vorgabe gibt, können es Ihre Enterprise-Kunden faktisch verlangen.
Engagements haben nach Vereinbarung festen Umfang und Festpreis. Wenn Sie unsicher sind, welcher Service passt, ob Zertifizierungs-Readiness, GRC-Beratung oder ein Penetrationstest, beschreiben Sie Ihre Situation und wir empfehlen einen Umfang, einschließlich der ehrlichen Auskunft, falls Sie uns noch nicht brauchen.