SOC 2.
Prüfungsumfang, Berichtstyp und Nachweise so abstimmen, dass Kunden den tatsächlich genutzten Dienst beurteilen können.
- AICPA TSC 2017 · Points of Focus 2022
- Von Derya Altinay
- Stand: 22.10.2026
- Fachlich freigegeben von Jonathan Bezdek am 22.10.2026
- Lesezeit: 7 Min.
Kurzantwort.
SOC 2 ist ein Prüfungsbericht über Kontrollen eines abgegrenzten Dienstleistungssystems auf Grundlage der AICPA Trust Services Criteria. Eine unabhängige CPA-Firma beurteilt die Systembeschreibung und die Ausgestaltung der Kontrollen. Typ 2 umfasst zusätzlich ihre betriebliche Wirksamkeit über einen festgelegten Zeitraum; Typ 1 bezieht sich auf einen Stichtag.
SOC 2 und die Trust Services Criteria.
SOC 2 gehört zur AICPA-Reihe System and Organization Controls. Dienstleister lassen damit Kontrollen ihres Systems durch einen unabhängigen Service Auditor untersuchen. Die AICPA beschreibt solche Berichte als Informationsgrundlage für Risiken ausgelagerter Leistungen. Entscheidend ist deshalb, welcher Dienst mit welchen Zusagen untersucht wurde und welche Aussagen der konkrete Auftrag abdeckt.
Die Trust Services Criteria ordnen die Themen Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Die öffentlich angebotene Grundlage heißt 2017 Trust Services Criteria mit überarbeiteten Points of Focus 2022. Gemeinsame Kriterien und zusätzliche Kategorien werden im Prüfungsauftrag zusammen betrachtet; die Kategoriennamen bedeuten keine fünf identischen Pflichtpakete für jeden Dienst. Der Inhalt einer Kategorie ist auch kein vorgeschriebenes Softwareprodukt.
Die Systembeschreibung hat einen eigenen Maßstab: die 2018 SOC 2 Description Criteria mit überarbeiteter Anwendungshilfe 2022. Sie erläutert, was zum System gehört und wie es betrieben wird. Die Kontrollbeurteilung untersucht anschließend die dazugehörigen Vorkehrungen. Ein vollständiger Bericht verbindet diese Perspektiven; ein Logo allein zeigt weder den Umfang noch das Prüfungsurteil.
Für wen ein SOC-2-Bericht gedacht ist.
Ein SOC-2-Bericht richtet sich an Dienstleister und die Kunden, die ihre Leistungen beurteilen wollen. Nach der öffentlichen AICPA-Beschreibung zum Prüfungsleitfaden benötigen Kunden Informationen über Ausgestaltung, Betrieb und Wirksamkeit von Kontrollen, wenn sie Funktionen auslagern. Das betrifft etwa den Umgang mit Informationen oder die Abhängigkeit von einem bereitgestellten System; eine bestimmte Unternehmensgröße ist daraus nicht abzuleiten.
Der Kundenbedarf bestimmt den sinnvollen Prüfungsumfang mit. Klären Sie vor der Beauftragung, welches Produkt, welche Betriebsumgebung und welche Zusagen für die Empfänger wesentlich sind. Eine vertragliche Nachweisanforderung sollte mit dem tatsächlich geplanten Bericht abgeglichen werden. SOC 2 begründet keine pauschale gesetzliche Prüfungspflicht für jeden SaaS-Anbieter.
Die SOC-2-Vorbereitung in sechs Arbeitsbereichen.
Die Vorbereitung verbindet einen abgestimmten Prüfungsauftrag mit nachvollziehbaren betrieblichen Kontrollen. Die folgenden Bereiche sind eine praktische Gliederung; sie bilden keine neue offizielle Kriterienliste. Grundlage bleiben die anwendbaren Trust Services Criteria und die Description Criteria.
Systemgrenze und Zusagen beschreiben.
Benennen Sie den angebotenen Dienst und die dafür relevanten Menschen, Abläufe, Systeme und Abhängigkeiten. Die Beschreibung sollte zur tatsächlichen Leistung passen, die Kunden einkaufen. Nach der AICPA-Managementressource sind Systembeschreibung und Managementerklärung eigene Bestandteile des Berichts; ein technisches Inventar allein erklärt diese Zusammenhänge noch nicht.
Kategorien und Risiken abstimmen.
Leistungszusagen und Informationsbedarf der vorgesehenen Nutzer helfen bei der Auswahl der relevanten Kategorien. Halten Sie fest, weshalb eine Fragestellung im Umfang liegt und welche Risiken untersucht werden sollen. Die AICPA-Review-Checkliste fordert die Betrachtung, ob die erfassten Kategorien und Zusagen für die eigene Nutzung ausreichen.
Verantwortliche Kontrollen betreiben.
Beschreiben Sie konkrete betriebliche Vorkehrungen und die Personen, die sie ausführen oder überwachen. Unterschiedliche Dienste können unterschiedliche Kontrollen benötigen. Eine allgemeine Richtlinie trägt nur dann zum Nachweis bei, wenn ihre Vorgaben in den relevanten Abläufen ankommen und die tatsächliche Durchführung nachvollziehbar ist.
Nachweise zum richtigen Zeitpunkt sammeln.
Belege müssen die untersuchte Aussage zeitlich tragen. Für Typ 1 ist der vereinbarte Stichtag entscheidend, für Typ 2 der festgelegte Prüfungszeitraum. Eine neu erstellte Bildschirmaufnahme kann einen früheren Betrieb nicht ohne Weiteres belegen. Die AICPA weist bei der zeitlichen Beurteilung ausdrücklich auf das fachliche Urteil des Prüfers hin.
Ausgelagerte Leistungen und Kundenaufgaben klären.
Erklären Sie, wie wesentliche Subservice-Organisationen im Bericht behandelt werden und welche Aufgaben beim Kunden verbleiben. Die Review-Checkliste unterscheidet ergänzende Kundenkontrollen von anderen Nutzeraufgaben. Für die eigene Vorbereitung empfiehlt sich eine klare Zuordnung, statt sämtliche Tätigkeiten in einer allgemeinen Lieferantenliste zusammenzufassen.
Änderungen und Ausnahmen bewerten.
Prüfungsergebnisse brauchen den Zusammenhang mit dem betroffenen Dienst. Dokumentieren Sie Korrekturen und wesentliche Änderungen so, dass ihre Wirkung beurteilt werden kann. Eine einzelne Testausnahme und ein eingeschränktes Prüfungsurteil sind unterschiedliche Aussagen. Die AICPA-Managementressource unterstützt die getrennte Betrachtung von Urteil, Tests, Ergebnissen und weiteren Informationen.
Der Weg zum SOC-2-Bericht.
Empfänger und Bedarf klären.
Halten Sie als praktischen Einstieg fest, welcher Kunde welche Leistung beurteilen möchte und wofür der Bericht als Entscheidungsgrundlage dienen soll.
Prüfungsauftrag abgrenzen.
Stimmen Sie Systembeschreibung, relevante Kategorien, Berichtstyp und geplanten Stichtag beziehungsweise Zeitraum mit einer geeigneten unabhängigen CPA-Firma ab.
Kontrollen und Verantwortung verbinden.
Prüfen Sie mit den zuständigen Fachbereichen, ob die beschriebenen Abläufe tatsächlich betrieben werden und welche Aufzeichnungen ihren Betrieb nachvollziehbar machen.
Betriebsnachweise verfügbar halten.
Organisieren Sie die Sammlung passender Belege während des vereinbarten Zeitraums und klären Sie frühzeitig die Nachweise wesentlicher externer Abhängigkeiten.
Feststellungen bearbeiten.
Besprechen Sie offene Fragen und Ausnahmen anhand konkreter Belege und halten Sie Korrekturen sowie die Verantwortlichkeit für verbleibende Risiken fest.
Bericht im Nutzungskontext auswerten.
Lesen Sie nach der Ausstellung Umfang, Urteil, Zeitraum und Kundenaufgaben gemeinsam und planen Sie die Bewertung späterer wesentlicher Änderungen ein.
SOC 2 Type 2 und Typ 1 richtig lesen.
Typ 1 und Typ 2 beantworten unterschiedliche zeitliche Fragen. Typ 1 betrifft die Systembeschreibung und die Ausgestaltung der Kontrollen zu einem Stichtag. SOC 2 Type 2 umfasst zusätzlich deren Wirksamkeit im Betrieb über den angegebenen Zeitraum. Die AICPA-Review-Checkliste hält diese Unterscheidung bereits bei den allgemeinen Berichtsdaten fest.
Eine lizenzierte CPA-Firma stellt den SOC-2-Bericht aus. Prüfen Sie die verantwortliche Firma und ihre einschlägige Zulassung sowie den tatsächlich beschriebenen Auftrag. Eine Vorbereitung durch einen Berater oder Werkzeuganbieter ist von der unabhängigen Prüfungsleistung zu unterscheiden. Die Verantwortung der Organisation für ihre Kontrollen bleibt bestehen.
Der Bericht hat keine pauschale Gültigkeitsdauer nach Art eines Zertifikats. Seine Verwendbarkeit hängt davon ab, ob System, Zeitraum und Aussage zum aktuellen Kundenbedarf passen. Eine spätere Migration oder andere wesentliche Veränderung kann zusätzliche Fragen auslösen. Die Prüfung des Dokuments bleibt daher Teil der eigenen Entscheidung über einen Dienstleister.
Andere Frameworks einordnen.
ISO 27001 betrifft ein Informationssicherheitsmanagementsystem und dessen mögliche Zertifizierung. BSI C5 folgt einem eigenen Prüfmodell für Cloud-Dienste. Die DSGVO regelt die Verarbeitung personenbezogener Daten; ein SOC-2-Bericht ersetzt die Prüfung dieser gesetzlichen Pflichten nicht.
In Secani.
Secani bietet einen redaktionellen Arbeitskatalog zu den AICPA Trust Services Criteria mit eigenen Umsetzungshinweisen. Profilangaben unterscheiden den abgestimmten Prüfungsauftrag und zusätzliche Kategorien. Maßnahmen und Nachweise lassen sich im Arbeitszusammenhang bearbeiten; die eigene Arbeitshilfe ersetzt weder den geschützten Kriterienstandard noch die unabhängige Prüfung.
Mit dem Kundenbedarf beginnen.
Wählen Sie einen tatsächlich angebotenen Dienst und halten Sie die vorgesehenen Empfänger des Berichts fest. Beschreiben Sie, welche Aussage diese über den Dienst benötigen und welche Betriebsgrenze dafür relevant ist. Mit dieser Grundlage können Sie Berichtstyp, Umfang und notwendige Vorarbeit mit einer geeigneten Prüfungsfirma besprechen.
Quellen.
- AICPA – SOC Suite of Services
- AICPA – 2017 Trust Services Criteria, Points of Focus 2022
- AICPA – 2018 Description Criteria, Guidance 2022
- AICPA – Key Elements of a SOC 2 Report und Review-Checkliste
- AICPA – Maintaining high standards for SOC engagements
- AICPA – öffentliche Beschreibung des SOC-2-Prüfungsleitfadens
Häufige Fragen.
Nein. SOC 2 ist ein Prüfungsbericht eines unabhängigen Service Auditors über ein beschriebenes System und dessen Kontrollen, kein ISO-Zertifikat oder allgemeines Produktsiegel.
Typ 1 bezieht sich auf die Ausgestaltung der Kontrollen zu einem Stichtag. Typ 2 umfasst zusätzlich ihre betriebliche Wirksamkeit über den vereinbarten Prüfungszeitraum.
Eine allgemeine feste Pflicht oder Testfrequenz lässt sich daraus nicht ableiten. Risiken, beschriebene Kontrollen und der vereinbarte Prüfungsauftrag bestimmen, welche Nachweise angemessen sind; Kundenverträge können zusätzliche Erwartungen enthalten.
Der Bericht beschreibt seinen Stichtag beziehungsweise Prüfungszeitraum. Ob er für eine aktuelle Entscheidung ausreicht, hängt auch vom erfassten Dienst, zwischenzeitlichen Änderungen und den Anforderungen des Empfängers ab.
Den Prüfungsumfang klären.
Besprechen Sie, wie Sie Maßnahmen und Nachweise für Ihren Dienst in Secani organisieren können.
Diese Seite erläutert SOC 2 in eigenen Worten. Maßgeblich sind die anwendbaren AICPA-Standards und der konkrete Prüfungsauftrag; die Darstellung ersetzt keine fachliche Prüfung.