SOC 2 Report lesen: Was drin steht und worauf du achten solltest

Was ist ein SOC-2-Report?

Ein SOC-2-Report ist kein Zertifikat oder Gütesiegel, sondern der vertrauliche Prüfbericht (Attestation Report) einer unabhängigen Wirtschaftsprüfungsgesellschaft (CPA-Firma). Er belegt auf Basis der Trust Services Criteria des AICPA, wie ein Dienstleister die Daten seiner Kunden schützt. Grundlagen, Ablauf und Kosten einer SOC-2-Prüfung erklären wir in „SOC 2 einfach erklärt“.

Der vollständige SOC-2-Report ist vertraulich und wird meist nur unter einer Vertraulichkeitsvereinbarung (NDA) herausgegeben. Der SOC-3-Report ist dagegen eine verkürzte, frei veröffentlichbare Fassung, die Unternehmen etwa auf ihrer Website zeigen.

Wer einen Report bewertet, liest zuerst das Prüfurteil, dann den Geltungsbereich und dann die Ausnahmen. Viele Reports werden abgeheftet, ohne gelesen zu werden – dabei stehen genau dort die Einschränkungen, die den Nachweis relativieren.

Wie ist ein SOC-2-Report aufgebaut?

Ein SOC-2-Report folgt einem festen Aufbau nach den Vorgaben des American Institute of Certified Public Accountants (AICPA) und ist in der Regel in vier bis fünf Abschnitte (Sections) gegliedert; Abschnitt V ist optional. Ein ähnlicher Aufbau findet sich in europäischen Prüfberichten nach ISAE 3000.

Wichtig für die Bewertung: Die Abschnitte II, III und V stammen vom geprüften Unternehmen. Abschnitt II und V werden vom Prüfer nicht eigenständig testiert. Die Systembeschreibung in Abschnitt III ist dagegen Gegenstand des Prüfurteils: Der Prüfer bestätigt, dass sie das System zutreffend darstellt. Belastbare Aussagen liefern deshalb die Abschnitte I, III und IV.

Was bedeutet das Prüfurteil des Auditors?

Das Prüfurteil (Auditor's Opinion) in Section I fasst das Gesamtergebnis des Audits zusammen. Der Wirtschaftsprüfer wählt dabei aus vier standardisierten Urteilsformen:

1. Unqualified Opinion (uneingeschränktes Urteil): Der Bestfall. Der Prüfer bestätigt, dass die Kontrollen angemessen konzipiert (Type I und II) und über den gesamten Zeitraum wirksam angewendet wurden (nur Type II).
2. Qualified Opinion (eingeschränktes Urteil): Der Prüfer hat Abweichungen festgestellt. Bestimmte Kontrollen waren nicht angemessen gestaltet oder phasenweise unwirksam, das Gesamtsystem erfüllt die Kriterien jedoch in wesentlichen Teilen.
3. Adverse Opinion (negatives Urteil): Die Kontrollen weichen so erheblich von den Kriterien ab, dass das Kontrollsystem insgesamt als unwirksam eingestuft wird.
4. Disclaimer of Opinion (Nichtabgabe eines Urteils): Der Prüfer konnte aufgrund fehlender Unterlagen oder verweigerter Einsichtnahmen kein Urteil fällen.

Bei einer Qualified Opinion solltest du den Dienstleister nicht sofort ablehnen. Prüfe in Section IV, welche Kontrolle konkret gescheitert ist und ob dein eigenes Risiko davon betroffen ist.

Worauf achtest du bei der Prüfung eines Reports?

Die Prüfung eines SOC-2-Reports im Rahmen des Vendor Risk Managements folgt einer klaren Struktur. Nutze diese 8-Punkte-Checkliste:

1. Prüfzeitraum abgleichen: Endet der abgedeckte Beobachtungszeitraum mehr als 12 Monate in der Vergangenheit? Falls ja, ist der Bericht veraltet.
2. Type I oder Type II feststellen: Handelt es sich lediglich um eine Stichtagsbetrachtung (Type I) oder um einen Nachweis der Wirksamkeit über einen Zeitraum von meist 3 bis 12 Monaten (Type II)? Die Unterschiede erklären wir in „SOC 2 Type I vs. Type II“.
3. Trust Services Criteria prüfen: Werden neben der Pflichtkategorie Security auch die für dich relevanten Kriterien wie Availability (Verfügbarkeit), Confidentiality (Vertraulichkeit) oder Privacy (Datenschutz) abgedeckt?
4. Geltungsbereich analysieren (Section III): Welche Standorte, Produkte, Tochtergesellschaften oder Cloud-Anwendungen wurden aus dem Geltungsbereich (Scope) ausgeklammert? Deckt der Bericht genau das Produkt ab, das du nutzt?
5. Prüfurteil bewerten (Section I): Liegt ein uneingeschränktes Urteil (Unqualified Opinion) vor oder gibt es Einschränkungen (Qualified Opinion)?
6. Ausnahmen auswerten (Section IV): Wie viele Abweichungen (Exceptions) hat der Prüfer dokumentiert? In welchen Bereichen traten sie auf und welche Stellungnahme hat das Management dazu abgegeben?
7. Subdienstleister berücksichtigen (Carve-out oder Inclusive Method): Bindet der Dienstleister seine eigenen Subunternehmer (z. B. AWS, Azure) per Carve-out Method ein, sind deren Kontrollen nicht Teil des Berichts und müssen separat geprüft werden. Bei der Inclusive Method sind sie mitgeprüft. Achte beim Carve-out auch auf die ergänzenden Kontrollen, die der Bericht vom Subdienstleister erwartet (Complementary Subservice Organization Controls, CSOCs).
8. Eigene Pflichten erkennen (CUECs): Jeder SOC-2-Report listet ergänzende Kontrollen auf, die du als Kunde selbst umsetzen musst (Complementary User Entity Controls, CUECs), etwa ein sauberes Rechtemanagement, MFA für deine Nutzer oder das zeitnahe Entziehen von Zugängen ausgeschiedener Mitarbeitender. Die Kontrollen des Dienstleisters wirken nur, wenn du deinen Teil erfüllst.

Das Ausklammern kritischer IT-Infrastrukturen über die Carve-out Method ist der häufigste blinde Fleck bei der Prüfung von Dienstleistern. Stellt ein Cloud-Dienstleister den Bericht per Carve-out aus, solltest du zusätzlich den SOC-2-Report seines Hosting-Providers einfordern.

Wie lange ist ein SOC-2-Report gültig?

Formal hat ein SOC-2-Report kein Ablaufdatum, da er die Verhältnisse eines vergangenen Zeitraums testiert. In der Praxis akzeptieren Geschäftspartner und B2B-Einkäufer jedoch meist nur Berichte, deren geprüfter Zeitraum nicht länger als 12 Monate zurückliegt.

Um die Lücke zwischen dem Ende des letzten Prüfzeitraums und dem neuen Report zu überbrücken, stellen Unternehmen häufig einen Bridge Letter (auch Gap Letter) aus. Das ist eine reine Selbsterklärung der Geschäftsführung, die bestätigt, dass im ungeprüften Zwischenzeitraum keine wesentlichen Veränderungen am Kontrollsystem vorgenommen wurden. Ein Prüfer hat diese Aussage nicht kontrolliert.

Was bedeutet ein SOC-2-Report für den Datenschutz?

Für Unternehmen in der EU ist ein SOC-2-Report ein guter Nachweis dafür, dass ein Dienstleister angemessene technische und organisatorische Maßnahmen (TOMs) umsetzt. Er ersetzt aber keine datenschutzrechtlichen Pflichten:

• Auftragsverarbeitungsvertrag: Verarbeitet der Dienstleister personenbezogene Daten in deinem Auftrag, brauchst du weiterhin einen AVV nach Art. 28 DSGVO.
• Drittlandtransfer: Sitzt der Dienstleister in den USA oder nutzt er dortige Subdienstleister, musst du den Datentransfer separat absichern, etwa über das EU-US Data Privacy Framework oder Standardvertragsklauseln.
• Kriterium Privacy: Die Kategorie Privacy der Trust Services Criteria orientiert sich nicht an der DSGVO. Sie zeigt gute Praktiken, belegt aber keine DSGVO-Konformität.

In Europa ist die ISO-27001-Zertifizierung das verbreitetere Pendant. Viele Dienstleister haben beides; für die Prüfung gelten ähnliche Grundsätze: Geltungsbereich, Aktualität und Ausnahmen genau ansehen.

Wie nutzt du den eigenen Report im Vertrieb?

Besitzt dein Unternehmen einen eigenen SOC-2-Report, kann er Vertriebsprozesse deutlich beschleunigen.

• Vertraulich behandeln: Gib den vollständigen SOC-2-Report nur gegen eine Vertraulichkeitsvereinbarung (NDA) oder über ein geschütztes Trust Center heraus.
• SOC 3 für die Öffentlichkeit: Nutze den ausführlichen SOC-2-Report im Einkaufsprozess deiner Kunden und den SOC-3-Report zur freien Einbindung auf deiner Website.
• Proaktiv bereitstellen: Biete B2B-Kunden beim Security-Fragebogen direkt den Report und bei zeitlichem Verzug einen aktuellen Bridge Letter an.

Fazit

Ein SOC-2-Report ist nur so viel wert wie die Prüfung, die du selbst vornimmst. Lies zuerst das Prüfurteil, dann den Geltungsbereich und die Ausnahmen, und prüfe die Kontrollen, die der Bericht von dir als Kunde erwartet. Mit der 8-Punkte-Checkliste erkennst du in wenigen Minuten, ob ein Dienstleister wirklich hält, was das Deckblatt verspricht.

Mit dem Vendor Risk Management von heyData sammelst du die Nachweise deiner Dienstleister an einem Ort, bewertest ihre Risiken strukturiert und behältst Fristen wie das Ablaufen eines Prüfzeitraums im Blick.