SOC 2 (Service Organization Control 2) ist ein US-amerikanischer Prüfstandard des AICPA (American Institute of Certified Public Accountants), der speziell für Dienstleistungsunternehmen entwickelt wurde, die Kundendaten verwalten oder verarbeiten. Ein SOC-2-Bericht bescheinigt, dass ein Dienstleister definierte Kontrollen zu Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz implementiert hat und diese tatsächlich gelebt werden.
SOC 2 ist in europäischen Märkten weniger verbreitet als ISO 27001, für US-amerikanische Kunden oder internationale Enterprise-Deals aber häufig eine Voraussetzung. Für Automationsdienstleister, die mit US-basierten Unternehmen oder global agierenden Konzernen arbeiten, kann ein SOC-2-Bericht der entscheidende Türöffner für große Deals sein. Für rein europäische Märkte ist ISO 27001 typischerweise die relevantere Zertifizierung.
Die fünf Trust Services Criteria
Security
Pflicht. Schutz vor unbefugtem Zugriff. CIA-Triad, Zugriffskontrollen, MFA.
Availability
Optional. System verfügbar wie vereinbart. SLAs, Monitoring, Disaster Recovery.
Processing Integrity
Optional. Verarbeitung vollständig, genau, zeitgerecht und autorisiert.
Confidentiality
Optional. Vertrauliche Informationen geschützt. Verschlüsselung, Zugriffskontrollen.
Privacy
Optional. Personenbezogene Daten korrekt erhoben, genutzt und geschützt.
SOC 2 Typ I vs. Typ II
SOC 2 Typ I bestätigt zum Stichtag: Die Kontrollen sind so konzipiert und implementiert, dass sie geeignet sind, die Schutzziele zu erfüllen. Snapshot-Nachweis, innerhalb von 3–4 Monaten erreichbar. SOC 2 Typ II bestätigt über einen Beobachtungszeitraum (typisch 6–12 Monate): Die Kontrollen funktionieren tatsächlich und werden konsistent angewendet. Deutlich stärker und von Enterprise-Kunden bevorzugt – aber zeitaufwändiger zu erlangen.
Praxisbeispiel
Ein Automationsdienstleister verliert einen US-Enterprise-Deal, weil der Kunde einen SOC-2-Typ-II-Bericht verlangt. Entscheidung: Da der US-Markt strategisch wichtig ist, wird der Weg zur SOC-2-Zertifizierung gestartet. Monat 1–2: Readiness-Assessment durch externen Berater. Wichtigste Lücken: kein formales Change-Management-Prozess, keine dokumentierten Vendor-Risk-Assessment-Verfahren, Logging unvollständig. Monate 3–8: Kontrollen implementiert, dokumentiert, geübt. Monat 9–21: SOC-2-Typ-II-Beobachtungszeitraum (12 Monate) unter Begleitung des Auditors. Monat 22: Typ-II-Bericht ausgestellt. Ergebnis: 3 Enterprise-Deals in den USA gewonnen, die SOC 2 voraussetzten. Gesamtinvestition: ca. 35.000 Euro (Beratung + Audit). ROI durch erste zwei Deals: positiv im ersten Jahr.
