Welche Software hilft bei der SOC-2-Vorbereitung?

Das Wichtigste in Kürze

• Software bereitet eine SOC-2-Prüfung vor, stellt den Bericht aber nicht aus. Eine SOC-2-Prüfung endet mit einem SOC-2-Bericht nach Typ I oder Typ II, nicht mit einem Zertifikat.
• Den Bericht unterzeichnet eine Prüfungsgesellschaft. Die AICPA beschreibt SOC-2-Prüfungen ausdrücklich als Leistung von „CPAs in public practice“; das ist ein anderer Zulassungsrahmen als die Akkreditierung nach ISO/IEC 17021, unter der ISO-27001-Zertifizierungsstellen arbeiten.
• Das entscheidende Auswahlkriterium ist nicht der Funktionsumfang, sondern die Nachweishistorie. Ein Bericht nach Typ II prüft einen Beobachtungszeitraum von üblicherweise drei bis zwölf Monaten; eine Momentaufnahme des heutigen Stands genügt dafür nicht.
• Von den fünf Trust Services Criteria ist nur Security verpflichtend. Availability, Processing Integrity, Confidentiality und Privacy kommen nur in den Prüfungsumfang, wenn Sie sie ausdrücklich aufnehmen.
• Wer bereits ein ISMS nach ISO 27001 betreibt, hat einen großen Teil der Sicherheitsanforderungen abgedeckt. Entscheidend ist, ob das Tool diese Arbeit auf die Common Criteria anrechnet oder sie ein zweites Mal verlangt.

Software für die SOC-2-Vorbereitung übernimmt drei Dinge: sie verbindet Ihre Systeme, erhebt daraus laufend Nachweise und ordnet diese den Kontrollen zu, die geprüft werden. Damit deckt sie den Teil ab, der bei manueller Arbeit die meiste Zeit kostet. Alles, was danach kommt, die unabhängige Prüfung und der Bericht, liegt außerhalb der Software. Für Unternehmen im DACH-Raum kommen zwei Auswahlkriterien hinzu, die in den meisten Anbieterlisten fehlen: wo die Nachweise liegen und ob vorhandene ISO-27001-Arbeit angerechnet wird.

Was kann Software bei der SOC-2-Vorbereitung übernehmen, und was nicht?

Der Nutzen liegt fast vollständig im Nachweismanagement. Eine Plattform liest Konfigurationen aus AWS, Azure oder Google Cloud, Zugriffsprotokolle aus dem Identity-Management und Ergebnisse aus Ihren Security-Tools, versieht sie mit Zeitstempel und Ablaufdatum und hängt sie an die passende Kontrolle. Dazu kommen Richtlinienverwaltung mit Versionierung und Freigaben sowie laufendes Monitoring, das eine abweichende Konfiguration meldet, statt sie bis zur nächsten Stichprobe unentdeckt zu lassen.

Drei Dinge kann keine Software leisten, unabhängig vom Anbieter.

Sie stellt den Bericht nicht aus. Das ist keine Funktionslücke, sondern die Konstruktion des Verfahrens: geprüft wird von einer Partei, die nicht am Aufbau beteiligt war.

Sie ersetzt die Sicherheitsarbeit nicht. Eine Kontrolle, die im Tool dokumentiert, im Betrieb aber nicht gelebt wird, fällt in der Prüfung auf; automatisierte Nachweiserhebung macht das eher sichtbarer als weniger sichtbar.

Sie verkürzt den Beobachtungszeitraum nicht. Ein Typ-II-Bericht setzt voraus, dass die Kontrollen über einen Zeitraum hinweg funktioniert haben. Dieser Zeitraum ist vergangene Zeit, keine Konfigurationseinstellung. Software sorgt dafür, dass am Ende Belege für jeden Tag vorliegen; sie kann den Kalender nicht überspringen.

Wer stellt den SOC-2-Bericht aus?

SOC 2 ist eine Prüfungsleistung nach den Standards der AICPA, des US-amerikanischen Berufsverbands der Wirtschaftsprüfer. Die AICPA beschreibt die Zielgruppe ihres eigenen SOC-2-Leitfadens als „CPAs in public practice engaged to perform SOC 2 and SOC 3 examinations“. Der Bericht trägt das Prüfungsurteil dieser Gesellschaft.

Praktisch bedeutet das für ein deutsches Unternehmen: Sie beauftragen eine Prüfungsgesellschaft, die unter den AICPA-Standards zeichnen kann. Das ist ein anderer Zulassungsrahmen als der, unter dem Ihre ISO-27001-Zertifizierungsstelle arbeitet, denn Zertifizierungsstellen sind nach ISO/IEC 17021 akkreditiert. Beide Verfahren laufen getrennt und werden getrennt beauftragt, auch wenn dieselben Kontrollen dahinterstehen.

Für Sie als Käufer folgt daraus ein Prüfstein: ein Anbieter, der mit einer „SOC-2-Zertifizierung“ wirbt oder ein eigenes SOC-2-Siegel vergibt, beschreibt ein Verfahren, das es nicht gibt.

Welche Kriterien in Ihren Prüfungsumfang gehören und welcher Beobachtungszeitraum sinnvoll ist, klären Sie mit Ihrer Prüfungsgesellschaft. Dieser Beitrag ersetzt keine prüferische oder rechtliche Beratung.

Worauf sollten Sie bei SOC-2-Vorbereitungssoftware achten?

Die folgenden acht Kriterien unterscheiden die Angebote stärker als jede Feature-Liste. Die dritte Spalte ist der eigentliche Test: sie beschreibt, woran Sie in einer Demo erkennen, dass ein Kriterium nur behauptet wird.

Kriterium	Mindestanforderung	Woran Sie ein Defizit erkennen
Hosting- und Datenstandort	Nachweise, Kontrolllücken und Risikobewertungen liegen auf europäischer Infrastruktur, und der Standort ist vertraglich zugesichert.	Der Anbieter nennt eine EU-Region, macht aber keine Angabe zur Konzernstruktur und zu dem Recht, dem die Muttergesellschaft unterliegt.
Control-Mapping auf ISO 27001 und DSGVO	Eine hinterlegte Maßnahme zählt gleichzeitig auf Annex A, die Common Criteria und Art. 32 DSGVO.	Die Rahmenwerke stehen als getrennte Listen nebeneinander und Sie laden denselben Nachweis mehrfach hoch.
Nachweiserhebung	Nachweise werden über Integrationen automatisch aus Cloud, Identity-Management und Code-Repositories gezogen und mit Zeitstempel abgelegt.	„Integration“ bedeutet im Angebot nur eine Verbindung, die Sie danach selbst konfigurieren und von Hand befüllen.
Typ I und Typ II	Das Tool führt eine lückenlose Nachweishistorie über den gesamten Beobachtungszeitraum, nicht nur den aktuellen Stand.	Das Dashboard zeigt den heutigen Status, aber Sie können für einen beliebigen Tag vor sechs Monaten keinen Nachweis abrufen.
Abgedeckte Trust Services Criteria	Security als Pflichtkriterium, dazu die vier optionalen Kriterien einzeln zuschaltbar.	Abgebildet ist nur Security; Availability und Confidentiality, nach denen Enterprise-Kunden regelmäßig fragen, fehlen.
Zugang für die Prüfungsgesellschaft	Die Prüfer erhalten einen eigenen, protokollierten Lesezugriff auf Nachweise und Kontrollen.	Sie exportieren Nachweise in einen Ordner und wickeln jede Nachlieferung per E-Mail ab.
Fachliche Begleitung	Umfang, Reaktionszeit und Zuständigkeit der fachlichen Begleitung stehen im Vertrag.	Support heißt Ticketsystem für Produktfragen; Fragen zur Gestaltung einer Kontrolle werden separat abgerechnet.
Wer stellt den Bericht aus	Kein Anbieter. Den SOC-2-Bericht unterzeichnet die von Ihnen beauftragte Prüfungsgesellschaft.	Der Anbieter wirbt mit einer „SOC-2-Zertifizierung“ oder stellt ein eigenes SOC-2-Siegel aus.

Welche Anbietermodelle gibt es?

Die Angebote am Markt lassen sich auf vier Modelle zurückführen. Der Unterschied zwischen ihnen ist größer als der Unterschied zwischen zwei Anbietern desselben Modells.

Compliance-Automatisierung aus Nordamerika. Um SOC 2 herum entstanden, entsprechend ausgereift bei Integrationen und Nachweiserhebung. Europäische Anforderungen kamen später dazu. Prüfen Sie hier gezielt den Datenstandort, die Konzernstruktur und die Tiefe des DSGVO-Mappings.

Klassische GRC-Suiten. Für große Unternehmen mit eigenem Compliance-Team gebaut. Sehr flexibel, entsprechend aufwendig in Einrichtung und Pflege. Die Nachweiserhebung ist häufig eher Ablage als Automatisierung.

Allgemeine Projekt- und Dokumenten-Tools. Tabellen, Wikis und Aufgabenverwaltung, mit einer Compliance-Vorlage versehen. Für eine erste Bestandsaufnahme brauchbar, für einen Typ-II-Zeitraum nicht, weil die geforderte Nachweishistorie mit Zeitstempel und Ablaufdatum fehlt.

Europäische Compliance-Plattformen mit Expertenbegleitung. Software und fachliche Begleitung aus einer Hand, auf EU-Rahmenwerke hin gebaut. Prüfen Sie, ob die Begleitung im Vertrag steht oder als Beratungsleistung dazukommt.

Wie hilft eine bestehende ISO-27001-Zertifizierung bei SOC 2?

Sie hilft erheblich, aber nicht so, wie es oft dargestellt wird. Ein großer Teil der Sicherheitsanforderungen aus Annex A lässt sich direkt auf die Common Criteria abbilden; Zugriffssteuerung, Verschlüsselung, Vorfallmanagement, Änderungsmanagement und Lieferantensteuerung zählen in beiden Rahmenwerken. Welche Kontrolle wo greift, haben wir im Abgleich von ISO 27001, DSGVO und SOC 2 auf einem Kontrollsatz aufgeschlüsselt.

Der Unterschied liegt nicht bei den Kontrollen, sondern beim geforderten Nachweis. Für Annex A genügt in vielen Fällen die dokumentierte Regelung samt Stichprobe. Ein Bericht nach Typ II verlangt Belege über den gesamten Beobachtungszeitraum. Wer sein Nachweismanagement nur auf die ISO ausgelegt hat, stellt beim ersten SOC-2-Bericht fest, dass die Historie fehlt, und der fehlende Zeitraum lässt sich nicht nachträglich erzeugen.

Für die Software-Auswahl heißt das: Ein Mapping in der Produktbroschüre ist wenig wert, wenn das Tool Nachweise nur als aktuellen Stand führt. Fragen Sie in der Demo nach einem Nachweis für ein konkretes Datum in der Vergangenheit.

Wann lohnt sich eine SOC-2-Plattform nicht?

Es gibt Fälle, in denen diese Software-Kategorie die falsche Antwort ist.

Wenn Sie ausschließlich im DACH-Raum verkaufen und niemand einen SOC-2-Bericht verlangt, brauchen Sie keine SOC-2-Vorbereitung. Der Marktstandard in Europa ist die ISO-27001-Zertifizierung, und die Anforderung entsteht aus Ihrem Vertrieb, nicht aus der Technik.

Wenn ein einzelner Kunde einmalig einen Typ-I-Bericht sehen möchte, Ihr Stack überschaubar ist und Sie unter zehn Mitarbeitende zählen, kann die direkte Beauftragung einer Prüfungsgesellschaft ohne Plattform der kürzere Weg sein. Der Nutzen der Automatisierung entsteht über den Typ-II-Zeitraum und über wiederkehrende Prüfungen, nicht bei einer einmaligen Stichtagsbetrachtung.

Und wenn Ihre Kontrollen noch nicht laufen, löst ein Tool das Problem nicht. Erst die Sicherheitsprozesse, dann der Nachweis darüber. Ein Anbieter, der Ihnen den umgekehrten Weg verkauft, verkauft Ihnen ein Prüfungsrisiko.

Wie deckt Kertos die SOC-2-Vorbereitung ab?

Wenn Sie ein europäisches Unternehmen sind, das SOC 2 neben ISO 27001 und der DSGVO betreibt, ist Kertos die naheliegende Wahl, und zwar aus den beiden Gründen, die in den Kriterien oben am schwersten wiegen.

Kertos führt ISO 27001, ISO 27701, ISO 42001, DSGVO, NIS2, EU AI Act, SOC 2, TISAX und C5 auf einem gemeinsamen Kontrollsatz. Sie hinterlegen eine Maßnahme einmal und sehen, welche Anforderungen aus Annex A, welche Common Criteria und welche DSGVO-Artikel sie erfüllt. Nachweise werden über mehr als 100 Integrationen automatisch erhoben, mit Ablaufdatum versehen und den Rahmenwerken zugeordnet. Die Zeitreihe, die ein Typ-II-Bericht verlangt, entsteht dabei als Nebenprodukt des laufenden Betriebs.

Die Plattform wird in Deutschland betrieben und ist für europäische Rahmenwerke gebaut, nicht nachträglich um sie erweitert worden. Jedes Projekt begleiten zertifizierte Experten, die das Mapping mit Ihnen aufsetzen, statt es Ihnen als Aufgabe zu übergeben. Der KI-Assistent KAIA beantwortet Fragen zur Kontrollgestaltung auf Deutsch und Englisch und hält Richtlinien aktuell.

Belastbare Kennzahlen aus dem Betrieb: 100 Prozent bestandene Audits, rund 80 Prozent weniger manueller Compliance-Aufwand und 98 Prozent Kundenzufriedenheit. Was Kertos für dieses Rahmenwerk im Einzelnen abdeckt, steht auf der Seite zu SOC 2 Compliance; die Grundlagen des Rahmenwerks behandeln wir in den wichtigsten Vorteilen des SOC-2-Berichts.

Ehrlicherweise gehört dazu: Wenn Sie ausschließlich SOC 2 brauchen, ohne europäische Rahmenwerke daneben, spielt Kertos einen Teil seiner Stärken nicht aus. Der Vorteil entsteht aus dem gemeinsamen Kontrollsatz über mehrere Rahmenwerke hinweg.

Häufige Fragen

Gibt es eine SOC-2-Zertifizierung?

Nein. Eine SOC-2-Prüfung führt zu einem SOC-2-Bericht, entweder nach Typ I für einen Stichtag oder nach Typ II für einen Beobachtungszeitraum von üblicherweise drei bis zwölf Monaten. Der Begriff „SOC-2-Zertifizierung“ ist verbreitet, aber fachlich falsch, und Prüfer werten seine Verwendung als Hinweis auf fehlende Erfahrung.

Braucht man für die SOC-2-Vorbereitung zwingend eine Software?

Nein, verpflichtend ist sie nicht. Der Aufwand entsteht jedoch fast vollständig im Sammeln, Zuordnen und Aktualisieren von Nachweisen, und genau dieser Teil lässt sich automatisieren. Bei einem Bericht nach Typ II kommt hinzu, dass Belege für den gesamten Beobachtungszeitraum lückenlos vorliegen müssen. Diese Historie von Hand zu führen, ist die eigentliche Schwachstelle manueller Ansätze.

Welche der fünf Trust Services Criteria muss ich abdecken?

Verpflichtend ist nur Security, geprüft über die Common Criteria. Availability, Processing Integrity, Confidentiality und Privacy nehmen Sie selbst in den Prüfungsumfang auf. In der Praxis wählen SaaS-Anbieter meist Security zusammen mit Availability und Confidentiality, weil danach im Kundeneinkauf gefragt wird. Die fünf Kategorien sind in den Trust Services Criteria der AICPA festgelegt.

Reicht eine ISO-27001-Zertifizierung für SOC 2 aus?

Nein, aber sie nimmt einen großen Teil der Arbeit vorweg. Die Sicherheitsanforderungen überschneiden sich weitgehend; die Nachweisanforderung unterscheidet sich. SOC 2 nach Typ II verlangt Belege über einen Zeitraum, wo die ISO-27001-Prüfung mit einer Stichprobe auskommt. Zusätzlich sind die Verfahren organisatorisch getrennt und werden getrennt beauftragt.

Was kostet eine SOC-2-Prüfung und wie lange dauert sie?

Die Kosten setzen sich aus dem Honorar der Prüfungsgesellschaft, dem internen Aufwand für Aufbau und Nachweispflege, den Tool-Kosten und gegebenenfalls externer Begleitung zusammen; die Dauer hängt vor allem am gewählten Beobachtungszeitraum. Zahlen und Zeiträume behandeln wir gesondert unter Was kostet ein SOC-2-Audit und Wie lange dauert es zum SOC-2-Audit.

Wenn Sie prüfen möchten, welche Ihrer heutigen Nachweise sich auf SOC 2 und ISO 27001 gleichzeitig anrechnen lassen, vereinbaren Sie eine Demo. Wir gehen Ihr bestehendes Mapping gemeinsam durch.