SOC-Compliance kann für Organisationen kompliziert und zeitaufwendig sein. Wenn du dich gerade damit befasst, haben wir einen umfangreichen Leitfaden zusammengestellt, der dir hilft, die Kernaspekte zu verstehen. In diesem Leitfaden erklären wir den Unterschied zwischen SOC 1 und SOC 2, warum du möglicherweise das eine statt des anderen brauchst, wie SOC-Audits funktionieren und ob SOC 3 eine Überlegung wert ist.
Was ist der Unterschied zwischen SOC-Berichten vom Typ I und Typ II?
Was ist SOC 1, wer braucht ihn und warum?
Was ist SOC 2, wer braucht ihn und warum?
Was ist SOC 3, wer braucht ihn und warum?
Welche Unternehmen brauchen mehrere SOC-Berichte?
Wie funktionieren SOC-Audits? Zeitpläne, Kosten und Ressourcen
Wie Proton dir helfen kann, SOC-Audits abzuschließen
SOC 1 vs. SOC 2 vs. SOC 3
SOC-Berichte klingen vielleicht wie Stufen desselben Berichtstyps, aber das sind sie nicht. Es sind tatsächlich drei verschiedene Berichte für drei verschiedene Zielgruppen. Wenn du sie vergleichst, geht es also nicht darum, welcher besser ist, sondern welcher besser zu deinen Anforderungen passt.
- SOC 1 ist für Unternehmen, deren Services die Finanzberichterstattung von Kunden betreffen, etwa Lohnabrechnungsdienstleister, Schadenregulierer oder Fondsverwalter.
- SOC 2 ist für Unternehmen, die mit Kundendaten umgehen, etwa SaaS-, Cloud- und Technologieanbieter.
- SOC 3 ist eine öffentlich zugängliche Zusammenfassung eines SOC-2-Berichts. Sie verwendet dieselben zugrunde liegenden Kriterien, jedoch ohne die sensiblen technischen Details, sodass sie frei geteilt werden kann.
Warum ein SOC-Audit durchführen?
Kunden brauchen den Nachweis, dass dein Unternehmen im Umgang mit ihren Daten vertrauenswürdig ist, doch jeden Anbieter einzeln zu prüfen, kann für alle Beteiligten zeitaufwendig und teuer sein. Die Kunden deiner Organisation sind die eigentliche Zielgruppe des Berichts.
Ein SOC-Audit, entwickelt vom American Institute of CPAs (AICPA), ermöglicht es einem Unternehmen, diesen Prozess einmal mit einer unabhängigen CPA-Prüfungsgesellschaft zu durchlaufen und den daraus resultierenden Bericht anschließend einem potenziellen Kunden auszuhändigen, anstatt für jede Gelegenheit einen neuen Sicherheitsfragebogen auszufüllen. In regulierten oder sicherheitsbewussten Branchen wie dem Finanz- und Gesundheitswesen entscheidet ein SOC-Bericht oft darüber, ob dein Unternehmen überhaupt auf eine Anbieter-Shortlist kommt.
Ein SOC-Audit bringt Unternehmen außerdem dazu, unterwegs echte Sicherheitskontrollen zu implementieren, etwa Zugriffsverwaltung, Überwachung und Incident Response. Während der Bericht also dazu dient, die Beschaffungsteams der Kunden zufriedenzustellen, stärkt der dahinterstehende Prozess deine Sicherheitspraktiken, unabhängig davon, wer den Bericht liest. Da SOC-Berichte detaillierte Informationen über Unternehmensprozesse und -infrastruktur offenlegen, verlangen Unternehmen in der Regel von ihren Kunden die Unterzeichnung einer Vertraulichkeitsvereinbarung (NDA), bevor der Bericht geteilt werden kann.
Vergleichstabelle: SOC 1 vs. SOC 2 vs. SOC 3
| SOC 1 | SOC 2 | SOC 3 | |
| Schwerpunkt | Interne Kontrollen über die Finanzberichterstattung | Sicherheit, Verfügbarkeit, Integrität der Verarbeitung, Vertraulichkeit und Privatsphäre | Dieselben Kriterien wie SOC 2, aber zusammengefasst |
| Maßgeblicher Standard | SSAE 18 (AT-C 320) | SSAE 18 (AT-C 105/205) | SSAE 18 (AT-C 105/205) |
| Typische Zielgruppe | Wirtschaftsprüfer, Aufsichtsbehörden und die Finanz- und Buchhaltungsteams der Kunden | Sicherheits-, IT- und Beschaffungsteams der Kunden | Allgemeine Öffentlichkeit / potenzielle Kunden |
| Verteilung des Berichts | Eingeschränkt: Wird unter NDA an ausgewählte Stakeholder geteilt | Eingeschränkt: Wird unter NDA an ausgewählte Stakeholder geteilt | Öffentlich: Kann frei veröffentlicht oder geteilt werden |
| Beispielunternehmen | Lohnabrechnungsdienstleister, Schadenregulierer, Fondsverwalter | SaaS-Plattformen, Cloud-Anbieter, Rechenzentren | Unternehmen, die über ein SOC 2 verfügen und eine teilbare Version wünschen |
| Verfügbare Berichtsarten | Typ I und Typ II | Typ I und Typ II | Nicht zutreffend |
Was ist der Unterschied zwischen SOC-Berichten vom Typ I und Typ II?
Für SOC-1- und SOC-2-Audits gibt es zwei Berichtstypen, und hier werden Vergleiche erst richtig nützlich.
- Ein Audit vom Typ I untersucht die Dokumente, Richtlinien und Systemdesigns, die ein Unternehmen eingerichtet hat, und bewertet, ob diese Kontrollen angemessen konzipiert sind, um Daten zu schützen. Es wird nicht geprüft, ob die Schutzmaßnahmen tatsächlich dauerhaft funktionieren, sondern nur bestätigt, dass sie vorhanden sind und korrekt aussehen.
- Ein Audit vom Typ II prüft Unterlagen, Richtlinien und Systemdesigns und überwacht anschließend deren Betrieb kontinuierlich über einen Zeitraum von 3 bis 12 Monaten. Der Prüfer bestätigt, dass die Kontrollen nicht nur gut konzipiert, sondern auch wirksam befolgt werden: dass das Unternehmen Protokolle führt, Sicherungen anlegt, Zugriffe überwacht und Vorfälle wie zugesichert bearbeitet.
Kunden und Partner vertrauen einem Audit vom Typ II in der Regel mehr, weil es eine kontinuierliche Sicherheitsleistung in der Praxis belegt. Anders als SOC 1 und SOC 2, die lediglich unterschiedliche Zielgruppen bedienen, kann ein Audit vom Typ II als strenger gelten als ein Audit vom Typ I.
Was ist SOC 1, wer braucht es und warum?
SOC 1 ist ein Compliance- und Prüfrahmen für Unternehmen, deren Dienste die Finanzberichterstattung ihrer Kunden beeinflussen. SOC 1 erfüllt die Anforderungen der externen Prüfer der Kunden und bietet die Gewissheit, dass die Kontrollen einer Dienstleistungsorganisation keine Fehler in die Bücher ihrer Kunden einbringen.
Welche Arten von Unternehmen profitieren von einer SOC-1-Attestierung?
SOC 1 ist die bevorzugte Attestierung für Unternehmen, die im Auftrag anderer Finanztransaktionen oder Daten verarbeiten. Dazu gehören Lohnabrechnungsdienstleister, Zahlungsdienstleister, Fondsverwalter, Schadenbearbeiter und Plattformen für die Kreditverwaltung. Ein SOC 1 kann neue Verträge mit größeren Kunden ermöglichen, Reibungsverluste bei jährlichen Audits verringern und den Ruf eines Unternehmens für zuverlässige, gut kontrollierte Finanzprozesse stärken – was oft darüber entscheidet, ob dein Unternehmen für finanziell sensible Aufgaben überhaupt in Betracht gezogen wird.
Was ist SOC 2, wer braucht es und warum?
SOC 2 ist ein Compliance- und Prüfrahmen für Unternehmen, die Kundendaten verarbeiten. Ein SOC-2-Audit erzeugt einen Bericht, der dokumentiert, wie die Kontrollen eines Unternehmens den Trust Services Criteria des AICPA standhalten – mit den Bereichen Sicherheit, Verfügbarkeit, Integrität der Verarbeitung, Vertraulichkeit und Privatsphäre sowie der Einschätzung eines unabhängigen Prüfers, ob diese Kontrollen ordnungsgemäß konzipiert sind. SOC 2 ist eine notwendige Attestierung für Unternehmen, die die Wirksamkeit ihrer Sicherheitskontrollen gegenüber Kunden und Partnern in den USA nachweisen müssen.
Welche Arten von Unternehmen profitieren von einer SOC-2-Attestierung?
Unternehmen, die technologiegestützte Dienste anbieten, profitieren am meisten von einer SOC-2-Zertifizierung. Dazu gehören Software as a Service (SaaS), Cloud-Infrastruktur, Plattformen für Datenanalyse, Fintech-Lösungen und Anwendungen im Health-Tech-Bereich. Da Datenlecks zur Normalität werden, brauchen Kunden die Gewissheit, dass ein Unternehmen die Daten und Systeme schützen kann, die ihm anvertraut werden. Ein SOC 2 bietet genau das und kann so neue Verträge mit großen Unternehmen ermöglichen, Risikobewertungen von Anbietern vereinfachen und den Ruf eines Unternehmens für starken Datenschutz festigen.
Mehr über das SOC-2-Audit vom Typ II von Proton lesen
Was ist SOC 3, wer braucht es und warum?
Ein SOC 3 stammt aus demselben Auditprozess wie ein SOC 2 und dient lediglich einem anderen Zweck. Der SOC-3-Bericht ist eine Zusammenfassung derselben Informationen auf hoher Ebene, ohne die detaillierten und spezifischen Angaben, die eine NDA erforderlich machen. Deshalb wird er oft als öffentlich zugängliche Zusammenfassung des SOC-2-Berichts verwendet.
Welche Arten von Unternehmen profitieren von einer SOC-3-Attestierung?
Ein SOC 3 ist nicht zu erhalten, ohne den SOC-2-Auditprozess zu durchlaufen. Unternehmen, die bereits für ein SOC 2 bewertet werden und diese Informationen in Marketingkampagnen oder Vertriebspräsentationen nutzen möchten, können jedoch davon profitieren, einen SOC-3-Bericht anzustreben.
Welche Unternehmen brauchen mehrere SOC-Berichte?
Die Wahl zwischen SOC 1 und SOC 2 ist oft eine Frage dessen, welcher Bericht zu den Bedürfnissen deiner Kunden passt. Manche Unternehmen brauchen jedoch mehr als einen SOC-Bericht. Ein Fintech-Unternehmen beispielsweise, das Zahlungen abwickelt und sensible Kundendaten speichert, könnte sowohl ein SOC 1 (weil es die Finanzberichterstattung der Kunden berührt) als auch ein SOC 2 (weil es Kundendaten verarbeitet) benötigen.
| Kombination von SOC-Audits | Unternehmenstyp |
| SOC 1 + SOC 2 | Unternehmen, die sowohl Finanzberichterstattung als auch umfangreiche Kundendaten verarbeiten |
| SOC 1 + SOC 3 | Nicht zutreffend (ein SOC 3 ist ohne ein SOC 2 nicht möglich) |
| SOC 2 + SOC 3 | Unternehmen, die umfangreiche Kundendaten verarbeiten und ihre SOC-2-Attestierung in öffentlich zugänglichen Inhalten darlegen möchten |
| SOC 1 + SOC 2 + SOC 3 | Unternehmen, die sowohl Finanzberichterstattung als auch umfangreiche Kundendaten verarbeiten und ihre SOC-2-Attestierung in öffentlich zugänglichen Inhalten darlegen möchten |
Wie funktionieren SOC-Audits? Zeitpläne, Auditphasen und Erneuerungen
Verschiedene Faktoren beeinflussen, wie kostspielig und zeitaufwendig ein SOC-Audit ist. Die folgenden Punkte solltest du beachten, wenn du die Einhaltung von SOC 1 oder SOC 2 planst.
SOC-Zeitplan
| SOC | Zeitplan |
| SOC 1 Typ I | ~ 2–4 Monate |
| SOC 1 Typ II | ~ 6–12 Monate insgesamt, Beobachtungszeitraum in der Regel 6–12 Monate |
| SOC 2 Typ I | ~ 3–6 Monate insgesamt |
| SOC 2 Typ II | ~ 6–15 Monate insgesamt, Beobachtungszeitraum in der Regel 3–12 Monate |
Phasen eines SOC-Audits
Ein SOC-Audit umfasst mehrere Phasen, die sich über Wochen oder Monate erstrecken. So sieht jede Phase aus:
1. Vorbereitung (Wochen 1–4)
Bevor Tests beginnen, ermittelst du, welche Systeme in den Geltungsbereich fallen, und bestätigst, welche Trust Services Criteria des AICPA anzuwenden sind. Bei SOC 2 bedeutet das in der Regel Sicherheit als erforderliches Kriterium sowie eine beliebige Kombination aus Verfügbarkeit, Integrität der Verarbeitung, Vertraulichkeit und Privatsphäre – je nach den Bedürfnissen der Kunden. Außerdem erstellst du eine Übersicht über die Kontrollen, die du bereits einsetzt, etwa Zugriffsrichtlinien, Verschlüsselungsstandards, Sicherungsverfahren und Pläne für die Reaktion auf Vorfälle. Ziel ist es, spätere Überraschungen zu vermeiden.
2. Dokumentation (Wochen 4–8)
Du stellst Nachweise zusammen, dass deine Kontrollen vorhanden und ordnungsgemäß konzipiert sind. Dazu gehören schriftliche Richtlinien, Systemarchitekturdiagramme, rollenbasierte Zugriffsmatrizen, Risikobewertungen von Anbietern und Schulungsunterlagen. Der Prüfer wird diese Unterlagen prüfen, um sicherzustellen, dass sie alle relevanten Anforderungen abdecken und dem entsprechen, was Kunden vernünftigerweise erwarten würden.
3. Audit (Wochen 8–12)
Bei einem Bericht vom Typ I führt der Prüfer die Prüfungshandlungen zu einem einzigen Zeitpunkt durch. Er befragt Schlüsselmitarbeitende, entnimmt Stichproben von Kontrollnachweisen und überprüft, ob deine Dokumentation der Realität entspricht. In dieser Phase wird bestätigt, dass die Kontrollen korrekt konzipiert sind.
4. Beobachtung (Monate 3–15)
Ein Audit vom Typ II ergänzt einen Beobachtungszeitraum, in dem der Prüfer deine Kontrollen kontinuierlich überwacht. In diesem Zeitraum prüft er unter anderem:
- Zugriffsprotokolle: wer Berechtigungen erhielt, wann der Zugriff widerrufen wurde und ob privilegierte Konten regelmäßig überprüft wurden
- Aufzeichnungen zum Änderungsmanagement: wie Code-Bereitstellungen genehmigt und nachverfolgt wurden
- Vorfallbearbeitung: ob Sicherheitsereignisse erkannt, eskaliert und gemäß deinem dokumentierten Prozess behoben wurden
- Sicherungen und Überwachung: Nachweise dafür, dass Systeme tatsächlich überwacht und wie versprochen wiederhergestellt werden
Am Ende des Beobachtungszeitraums gibt die prüfende Person ihre Beurteilung dazu ab, wie gut deine Kontrollen über den gesamten Zeitraum funktioniert haben.
SOC-Erneuerungen
Die Erneuerung deiner SOC-Attestierung ist in der Regel schneller als das erste Audit. Da Umfang, Kontrollen und Systemgrenzen bereits feststehen, baut die prüfende Person auf einer bekannten Basis auf, statt bei null anzufangen, und viele Erneuerungen sind sowohl günstiger als auch schneller als das ursprüngliche Audit. Berichte sind typischerweise 12 Monate lang gültig, deshalb erneuern die meisten Unternehmen jährlich und starten den nächsten Beobachtungszeitraum oft direkt nach dem Ende des aktuellen, um Lücken in der Abdeckung zu vermeiden.
Wie viel kostet ein SOC-Audit?
Es ist nahezu unmöglich, die Kosten eines SOC-Audits zu bestimmen, ohne ein Angebot von einer CPA einzuholen, da sie von nur 5.000 USD bis zu über 150.000 USD reichen können. Die Kosten hängen von einer Reihe von Faktoren ab, darunter die Größe deiner Organisation, die Bereitschaft deiner Organisation, wie viele Ressourcen du für den Prozess bereitstellen kannst und welche Art von Audit du anstrebst. Audits vom Typ I sind in der Regel günstiger, weil sie weniger Zeit in Anspruch nehmen.
Wie Proton dir helfen kann, SOC-Audits abzuschließen
Proton verfügt sowohl über die ISO 27001-Zertifizierung als auch über die SOC 2 Typ II-Attestierung, was es Unternehmen, die Proton-Produkte nutzen, erleichtern kann, ihre eigene Akkreditierung zu erhalten. Wenn du einen sicheren, verschlüsselten Workspace nutzt, übernimmst du eine bewährte Sicherheitsbasis, die bereits die strengen Prüfungen hinter SOC 2 Typ II erfüllt. Das kann den Aufwand für den Nachweis der Konformität verringern und Audit-Zeitpläne verkürzen.
Tipps für SOC-Audits
- Erledige so viel Vorarbeit wie möglich, bevor das Audit beginnt. Mangelnde Bereitschaft kann den Prozess oft verlangsamen und die Kosten erhöhen.
- Lege deine Systemgrenzen fest, bevor die Feldarbeit beginnt. Unklarheiten darüber, was tatsächlich zum Umfang gehört, sind eine der häufigsten Ursachen für Verzögerungen.
- Wähle deinen Beobachtungszeitraum für Typ II danach, wer den Bericht anfordert, und nicht nur danach, wie schnell du ihn haben willst. Ein Zeitraum von drei Monaten bringt dir einen Bericht früher, aber viele Kundinnen und Kunden erwarten Nachweise über sechs Monate bis ein Jahr und könnten alles Kürzere ablehnen.
- Benenne frühzeitig klare Verantwortliche für die Kontrollen. Die größten Verzögerungen entstehen oft beim Nachhaken, um intern die richtige Person für Nachweise, Genehmigungen oder Interviews zu finden.
- Plane Erneuerungen ein und behandle die Sammlung von Nachweisen als fortlaufende Gewohnheit statt als hektisches Vorgehen kurz vor dem Audit. Organisationen, die eine kontinuierliche Überwachung in ihren normalen Betrieb integrieren, haben oft schnellere und günstigere Erneuerungen als jene, die jeden Zyklus als einmaliges Projekt behandeln.
FAQ zu SOC 1- und SOC 2-Audits
Was sind SOC 1 und SOC 2?
SOC 1 und SOC 2 sind beides Audit-Rahmenwerke, die von der AICPA entwickelt wurden, verfolgen aber unterschiedliche Zwecke. SOC 1 konzentriert sich auf interne Kontrollen der Finanzberichterstattung. Es ist für Unternehmen gedacht, deren Dienstleistungen die Finanzabschlüsse ihrer Kundinnen und Kunden beeinflussen, etwa Lohnabrechnungsdienstleister oder Fondsverwalter. SOC 2 konzentriert sich auf Sicherheit, Verfügbarkeit, Integrität der Verarbeitung, Vertraulichkeit und Privatsphäre. Es ist für Technologie- und Cloud-Dienstanbieter gedacht, die Kundendaten verarbeiten.
Brauchst du SOC 1 vor SOC 2?
Nein, SOC-Audits bauen nicht aufeinander auf, sie sind einfach unterschiedlich, du musst also kein SOC 1 abschließen, bevor du ein SOC 2 durchführst. Ein SOC 1 ist für Unternehmen gedacht, die Finanzberichterstattung betreiben, während ein SOC 2 die Sicherheit, die Privatsphäre und die Integrität der Verarbeitung eines Unternehmens prüft.
Wie lange dauert ein SOC 2-Audit?
Ein SOC 2-Audit kann zwischen drei Monaten und über einem Jahr dauern, je nachdem, ob du ein Audit vom Typ I oder Typ II anstrebst, wie groß und komplex deine Organisation ist und wie bereit dein Team ist.
Wie viel kostet ein SOC 1- oder SOC 2-Audit?
Ein SOC-Audit kann zwischen 5.000 USD und 150.000 USD kosten, je nach Art des Audits, der Größe deiner Organisation und der Komplexität deiner Systeme.
Ist SOC 2 eine Zertifizierung?
Nein, ein SOC 2 ist keine Zertifizierung, sondern eine Attestierung. Obwohl die Begriffe im Zusammenhang mit SOC 1- und SOC 2-Audits synonym verwendet werden, ist eine Attestierung eher mit einer Bewertung vergleichbar, während eine Zertifizierung ein Bestanden oder Nichtbestanden ist.
Wie oft musst du ein SOC 2 wiederholen?
Ein SOC-Audit läuft streng genommen nicht ab, solange die Systeme unverändert bleiben, aber der Branchenstandard ist eine Erneuerung alle 6 bis 12 Monate. Viele Unternehmen richten einen jährlichen Erneuerungsprozess ein, aber das hängt davon ab, ob du ein Audit vom Typ I oder Typ II anstrebst und, falls Typ II, wie lang der Beobachtungszeitraum ist.
Kannst du ein SOC 3 ohne ein SOC 2 erhalten?
Nein, ein SOC 3 wird aus demselben Auditprozess wie ein SOC 2 abgeleitet. Ein SOC 3 ist eine optionale Ergänzung zu einem SOC 2, kein separater Prozess.
