SOC 2 (System and Organization Controls 2) ist ein Prüfungsrahmen des amerikanischen Wirtschaftsprüferverbands AICPA. Geprüft wird gegen die Trust Services Criteria: Security (verpflichtend) sowie optional Availability, Processing Integrity, Confidentiality und Privacy.
Für SaaS-Anbieter und IT-Dienstleister mit internationalen Kunden – insbesondere aus den USA – ist ein SOC-2-Report häufig Vertragsvoraussetzung. Ein Typ-I-Report bewertet das Kontrolldesign zu einem Stichtag, der aussagekräftigere Typ-II-Report die Wirksamkeit der Kontrollen über einen Zeitraum von üblicherweise 3–12 Monaten.
SOC 2 ersetzt weder ISO 27001 noch ein C5-Testat – die Rahmenwerke überlappen sich aber stark. Wer bereits ein ISMS betreibt, kann einen Großteil der Nachweise wiederverwenden. Für den deutschen Markt ist häufig die Kombination sinnvoll: ISO 27001 oder C5 für europäische Kunden, SOC 2 für den US-Markt.
Security ist Pflicht; weitere Trust Services Criteria nur aufnehmen, wenn Kunden sie verlangen.
Kontrolllücken gegen die Criteria identifizieren – meist mit einem spezialisierten Auditor oder Tool.
Policies, technisches Monitoring, Offboarding, Change- und Vulnerability-Management etablieren.
Nachweise über den Beobachtungszeitraum automatisiert erfassen (Tickets, Logs, Scans, Pentest-Berichte).
CPA-Firma prüft das Kontrolldesign zum Stichtag – schneller erster Nachweis für Kunden.
3–12 Monate Wirksamkeit nachweisen und den Report jährlich erneuern.
SOC 2 ist freiwillig – ohne Report scheitern jedoch regelmäßig Enterprise-Deals und Security-Reviews von US-Kunden. Ein „qualified opinion“ (Prüfungsvorbehalt) im Report wirkt gegenüber Kunden wie ein Warnsignal.
Die Trust Services Criteria (CC7) verlangen die Erkennung und Behebung von Schwachstellen – jährliche Penetrationstests sind der Standard-Nachweis, den Auditoren und Enterprise-Kunden im SOC-2-Kontext erwarten.
Pentest für Ihren SOC-2-ReportAlle Angaben dieses Artikels stützen sich auf die folgenden Primärquellen (Stand: 2026-07-17).