Der SOC-2-Prozess: von Scoping bis Berichtsurteil

Problem in der Praxis

Viele Organisationen behandeln SOC 2 wie ein Audit, das man kurzfristig besteht, und beginnen mit der Frage "Welchen Prüfer nehmen wir?" statt "Was genau soll attestiert werden?". Daraus folgen drei wiederkehrende Muster.

Ein unklarer Scope: System, Services und einbezogene Trust-Services-Kategorien sind nicht sauber abgegrenzt. Der Prüfer prüft dann etwas anderes als vom Kunden erwartet, oder der Aufwand explodiert.

Fehlende Evidenz: Kontrollen existieren auf dem Papier, aber im Beobachtungszeitraum entstehen keine belastbaren Nachweise. Spätestens wenn die CPA-Firma Stichproben über Monate zieht, fehlen Tickets, Logs, Freigaben oder Reviews.

Überraschung beim Urteil: Das Team rechnet mit einem sauberen Bericht und erhält ausgewiesene Abweichungen (exceptions) oder ein eingeschränktes Urteil. Das beschädigt Vertrauen bei Kunden, die den Bericht als Sicherheitsnachweis erwartet hatten.

CISO-Einordnung

Der CISO sollte den SOC-2-Prozess als zusammenhängende Kette von Entscheidungen verstehen, nicht als Abfolge von Aufgaben. Hilfreich sind wenige Leitfragen, die jede Phase tragen:

• Welches System und welche Services sollen gegenüber Kunden nachgewiesen werden?
• Welche der fünf Trust-Services-Kategorien sind relevant? Security ist immer Teil des Berichts, die übrigen werden nach Kundenanforderung und Risiko gewählt.
• Type I oder Type II: reicht eine Stichtagsaussage zur Gestaltung, oder fordern Kunden Wirksamkeit über einen Zeitraum?
• Welche Nachweise entstehen ohnehin im Betrieb, und welches Urteil ist realistisch?

Diese Fragen sind bewusst generisch. Sie ersetzen keine Prüfungsmethodik und keinen Kriterienkatalog, sondern beschreiben die Managementlogik, mit der ein CISO den Prozess steuerbar hält, statt ihn zu delegieren und auf ein gutes Ergebnis zu hoffen.

Umsetzungsperspektive

Der Prozess lässt sich in fünf ineinandergreifende Phasen ordnen.

Scoping. Am Anfang steht die Abgrenzung des Systems (Anwendung, Infrastruktur, Prozesse, Standorte) und die Auswahl der Trust-Services-Kategorien: Security ist verpflichtend (die Common Criteria, in jedem SOC-2-Bericht enthalten); Availability, Processing Integrity, Confidentiality und Privacy sind optional und werden nach Kundenanforderung und Risiko hinzugenommen (näher in soc2-002). Ein präziser Scope entlastet alle folgenden Phasen, weil er Aufwand und Aussage des Berichts vorbestimmt.

Readiness und Gap-Assessment. Hier wird der Abstand zwischen Ist-Zustand und den Erwartungen der Trust Services Criteria geklärt; Kontrollen werden gestaltet, Lücken ergänzt und Nachweisquellen festgelegt. Diese interne Phase, oft mit Beratungsunterstützung, sollte die Unabhängigkeit der später prüfenden CPA-Firma nicht berühren.

Beobachtungszeitraum. Für einen Type-II-Bericht müssen die Kontrollen über einen Zeitraum wirksam betrieben werden, typischerweise sechs bis zwölf Monate. Hier entscheidet sich der Bericht: Nicht der Stichtag zählt, sondern was über die gesamte Periode nachweisbar funktioniert hat. Ein Type-I-Bericht betrachtet dagegen nur die Eignung der Gestaltung zu einem Stichtag.

Evidenz. Parallel zum Betrieb entstehen datierte, nachvollziehbare Nachweise: Konfigurationsstände, Freigaben, Zugriffsreviews, Change-Records, Monitoring- und Incident-Belege. Die CPA-Firma zieht Stichproben und erwartet zu jeder getesteten Kontrolle einen Nachweis über die gesamte Periode.

CPA-Prüfung und Bericht. Die unabhängige Wirtschaftsprüfungsgesellschaft testet Gestaltung und, bei Type II, betriebliche Wirksamkeit und fasst das Ergebnis in einem Bericht mit Prüfurteil. Ausgewiesene Abweichungen (exceptions) führen nicht automatisch zu einem negativen Gesamturteil, müssen aber transparent dargestellt werden, häufig mit einer Stellungnahme des Managements.

Typische Fehler

1. Der Prozess startet mit der Prüfersuche statt mit Scope und Kategorienauswahl.
2. Type I und Type II werden verwechselt; Kunden erwarten Wirksamkeit, geliefert wird eine Stichtagsaussage.
3. Readiness wird übersprungen, sodass Lücken erst in der Prüfung auffallen.
4. Evidenz wird kurz vor der Prüfung rekonstruiert statt im Betrieb erzeugt; verteilte Stichproben lassen sich so nicht bedienen.
5. Abweichungen werden verschwiegen statt als steuerbarer Befund mit Management-Stellungnahme behandelt.

Risiken und Trade-offs

Ein zu breiter Scope erhöht Aufwand und Angriffsfläche für Abweichungen, ein zu enger erfüllt die Kundenerwartungen nicht. Diese Balance muss der CISO bewusst entscheiden, nicht dem Prüfer überlassen.

Der Beobachtungszeitraum erzeugt einen Trade-off zwischen Geschwindigkeit und Aussagekraft. Ein Type-I-Bericht ist schneller verfügbar und überbrückt eine erste Kundennachfrage, sagt aber nichts über Wirksamkeit aus. Ein Type-II-Bericht braucht Zeit, liefert aber den Nachweis, den die meisten Kunden verlangen.

Beim Umgang mit Abweichungen besteht die Versuchung, Kontrollen so eng zu definieren, dass nichts schiefgehen kann. Das mindert exceptions, schwächt aber die Aussagekraft; glaubwürdiger sind aussagekräftige Kontrollen mit transparenter Behandlung einzelner Abweichungen. Zu enge Einbindung der prüfenden CPA-Firma in Gestaltung und Behebung entwertet zudem die Attestierung.

Entscheidungspunkte

• Welches System und welche Services bilden den Scope, und welche Kategorien über Security hinaus sind kundenrelevant?
• Type I als schneller Einstieg oder direkt Type II, und wie lang wird der Beobachtungszeitraum gewählt?
• Welche Evidenz entsteht automatisiert im Betrieb, und welche muss organisatorisch sichergestellt werden?
• Wie werden absehbare Abweichungen vor der Prüfung adressiert oder bewusst mit Stellungnahme getragen?
• Wie wird der nächste Berichtszyklus ohne zeitliche Lücke angeschlossen?

Praktische Empfehlungen

1. Beginnen Sie mit Scope und Kategorienauswahl, bevor Sie eine CPA-Firma beauftragen.
2. Führen Sie ein ehrliches Readiness-Assessment durch und schließen Sie Lücken, bevor der Beobachtungszeitraum startet.
3. Verankern Sie Evidenz als Nebenprodukt laufender Prozesse, sodass datierte Nachweise über den gesamten Zeitraum vorliegen.
4. Trennen Sie Readiness-Beratung und Prüfung, um die Unabhängigkeit der Attestierung zu sichern.
5. Behandeln Sie Abweichungen offen: Ursache, Wirkung und Korrektur dokumentieren.
6. Planen Sie den Folgezyklus von Beginn an mit, damit Berichte ohne Lücke aufeinanderfolgen.

Relevante Normreferenzen

• AICPA, TSP Section 100, Trust Services Criteria (2017 Trust Services Criteria mit revidierten Points of Focus 2022): maßgebliche Originalpublikation und Prüfmaßstab für Kategorien, Kriterien und Points of Focus; der aktuelle Versionsstand ist dort verbindlich nachzulesen.
• AICPA-Attestierungsstandards (SSAE): Rahmen für Durchführung und Berichterstattung der Prüfung; konkrete Bezeichnung und Fassung sind in der AICPA-Originalquelle zu prüfen.