---
title: "SOC 2: der Prüfbericht, den amerikanische Kunden verlangen"
description: "SOC 2 ist kein Zertifikat, sondern ein Prüfungsbericht. Was Typ I von Typ II trennt, wie er sich zu ISO 27001 verhält und wann Sie ihn tatsächlich brauchen."
canonical: "https://www.dsb-datenschutz.de/informationssicherheit/wissen-was-ist-soc-2/"
---

# SOC 2

**SOC 2** taucht auf, sobald ein Unternehmen an amerikanische Kunden verkauft oder einen amerikanischen Anbieter prüfen soll. Der Begriff bezeichnet einen Prüfbericht, wird aber häufig wie ein Zertifikat behandelt – was er nicht ist, und dieser Unterschied entscheidet darüber, wie man mit dem Dokument umgeht.

## Bericht statt Zertifikat

SOC 2 geht auf ein Rahmenwerk des amerikanischen Wirtschaftsprüferverbands zurück. Geprüft wird von einem Wirtschaftsprüfer, und das Ergebnis ist ein **Prüfungsbericht** – oft mehrere Dutzend Seiten – mit der Beschreibung der Kontrollen, dem Prüfungsurteil und, das ist der wesentliche Teil, den festgestellten Abweichungen.

Es gibt kein Siegel und keine Registerdatenbank. Wer „wir sind SOC-2-zertifiziert" schreibt, hat den Bericht vermutlich nicht gelesen.

Für Sie als Kunde ist das ein Vorteil: Ein Bericht lässt sich auswerten, ein Siegel nicht. Dieselbe Logik wie beim [BSI C5](https://www.dsb-datenschutz.de/informationssicherheit/wissen-was-ist-bsi-c5/), der demselben Prüfungsansatz folgt.

## Die fünf Kriterienbereiche

Geprüft wird gegen die **Trust Services Criteria**. Verbindlich ist nur der erste Bereich; die übrigen werden je nach Dienstleistung hinzugenommen:

| Bereich | Gegenstand |
|---|---|
| Sicherheit | Schutz vor unbefugtem Zugriff – immer enthalten |
| Verfügbarkeit | vereinbarte Erreichbarkeit des Dienstes |
| Verarbeitungsintegrität | vollständige, richtige, zeitgerechte Verarbeitung |
| Vertraulichkeit | Schutz als vertraulich gekennzeichneter Informationen |
| Datenschutz | Umgang mit personenbezogenen Daten nach amerikanischem Verständnis |

Beim Lesen eines fremden Berichts ist deshalb die erste Frage: **Welche Bereiche wurden geprüft?** Ein Bericht, der nur „Sicherheit" abdeckt, sagt nichts über die Verfügbarkeit – auch wenn der Anbieter mit Verfügbarkeit wirbt.

## Typ I und Typ II

**Typ I** beurteilt die Eignung der Kontrollen zu einem Stichtag.

**Typ II** beurteilt zusätzlich ihre **Wirksamkeit über einen Zeitraum**, üblicherweise sechs bis zwölf Monate.

Nur Typ II hat für eine Lieferantenbewertung echten Aussagewert. Ein Typ-I-Bericht beschreibt, dass am Stichtag alles eingerichtet war – nicht, dass es gewirkt hat. Prüfen Sie außerdem den **Beobachtungszeitraum**: Ein Bericht, dessen Zeitraum vor achtzehn Monaten endete, beschreibt einen vergangenen Zustand.

## Das Verhältnis zu ISO 27001

Beide adressieren Informationssicherheit, unterscheiden sich aber im Ansatz.

**ISO 27001** prüft ein Managementsystem: ob die Organisation Risiken systematisch erkennt, behandelt und verbessert. Das Ergebnis ist ein Zertifikat mit Geltungsbereich.

SOC 2 prüft konkrete Kontrollen, die der Anbieter selbst definiert hat, gegen die Kriterien. Das Ergebnis ist eine Beschreibung dieser Kontrollen samt Prüfungsurteil.

Daraus folgt ein Punkt, der oft übersehen wird: Bei SOC 2 legt der geprüfte Anbieter die Kontrollen weitgehend selbst fest. Zwei Berichte sind deshalb nicht ohne Weiteres vergleichbar – anders als zwei ISO-Zertifikate.

In der Praxis verlangen amerikanische Kunden SOC 2, europäische ISO 27001, der öffentliche Sektor in Deutschland häufig C5 oder [BSI IT-Grundschutz](https://www.dsb-datenschutz.de/frameworks/iso-27001/). Wer in mehrere Märkte verkauft, betreibt am Ende ein Managementsystem und lässt daraus mehrere Nachweise erzeugen. Das ist deutlich günstiger, als drei getrennte Projekte zu führen – siehe [ISMS aufbauen](https://www.dsb-datenschutz.de/informationssicherheit/aufbau-isms/).

## Was SOC 2 nicht leistet

**Er belegt keine DSGVO-Konformität.** Der Datenschutzbereich folgt amerikanischen Grundsätzen, nicht der Systematik der Verordnung. Für die europäische Prüfung eines Dienstleisters brauchen Sie weiterhin [Auftragsverarbeitungsvertrag](https://www.dsb-datenschutz.de/datenschutz/beratung-auftragsverarbeitungsvertrag/), Angaben zu Unterauftragnehmern und die Klärung der [Drittlandübermittlung](https://www.dsb-datenschutz.de/datenschutz/wissen-angemessenheitsbeschluss-usa/).

**Er nimmt Ihnen die Bewertung nicht ab.** Wie beim C5 nennt der Bericht ergänzende Pflichten, die beim Kunden liegen. Diese gehören in Ihre eigene Dokumentation.

## Kontakt

Sie haben einen SOC-2-Bericht vorliegen und wissen nicht, was daraus für Sie folgt? Wir lesen ihn mit Ihnen durch.

- Telefon: [+49 6188 99 04 36](tel:+496188990436)
- E-Mail: [office@dsb-datenschutz.de](mailto:office@dsb-datenschutz.de)
- Kontaktformular: [Anfrage senden](https://www.dsb-datenschutz.de/kontakt/#schreiben-sie-uns)
- [Zur Informationssicherheit](https://www.dsb-datenschutz.de/informationssicherheit/)