SOC 1 vs. SOC 2: 5 Unterschiede zwischen den Berichten

SOC 1 und SOC 2 sind Prüfberichte der AICPA für Dienstleister, die unterschiedliche Fragen beantworten. SOC 1 prüft interne Kontrollen, die die Finanzberichterstattung Ihrer Kunden betreffen, etwa bei Lohnabrechnung oder Rechnungsstellung. SOC 2 prüft Kontrollen zu Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz, etwa bei Cloud-Anbietern und IT-Dienstleistern. Beide gibt es als Typ 1 zu einem Stichtag und als Typ 2 über einen Zeitraum, und beide sind Prüfbestätigungen einer Wirtschaftsprüfungsgesellschaft, keine Zertifikate.

Wenn ein Kunde einen SOC-Bericht von Ihnen verlangt oder Sie einen von Ihrem Dienstleister anfordern, zeigen die fünf Unterschiede unten, welcher gemeint ist.

SOC 1 und SOC 2 im Vergleich

Einführung in SOC 1- und SOC 2-Berichte

SOC-Berichte (System and Organization Controls) stammen vom American Institute of Certified Public Accountants (AICPA). Sie zeigen, ob Dienstleister angemessene Kontrollen über Daten und Prozesse haben. Beide werden von einer zugelassenen Wirtschaftsprüfungsgesellschaft erstellt, und beide sind Prüfbestätigungen und keine Zertifikate. SOC 2 wird an den Trust Services Criteria gemessen (2017, die Points of Focus wurden 2022 überarbeitet).

1. Schwerpunkt und Umfang der Prüfung

Der wichtigste Unterschied liegt im Schwerpunkt. SOC 1 bewertet interne Kontrollen über die Finanzberichterstattung und ist relevant, wenn Ihre Dienstleistung die Finanzberichte Ihrer Kunden beeinflusst. SOC 2 betrifft nicht finanzielle Kontrollen: Es prüft, wie gut Systeme Daten schützen und wie zuverlässig der Betrieb läuft. Für Cloud-Anbieter, Rechenzentren und IT-Dienstleister ist SOC-2-Compliance deshalb besonders wichtig.

2. Berichtstypen

Beide gibt es in zwei Formen. Ein Typ-1-Bericht prüft die Gestaltung der Kontrollen zu einem bestimmten Zeitpunkt. Ein Typ-2-Bericht prüft zusätzlich, ob die Kontrollen über einen Zeitraum wirksam funktioniert haben, meist über sechs oder zwölf Monate. Ein SOC-1-Typ-1-Bericht betrachtet also die Finanzkontrollen an einem Stichtag, ein SOC-1-Typ-2-Bericht testet ihren Betrieb über das ganze Halbjahr oder Jahr. Bei SOC 2 ist es genauso. Kunden bevorzugen meist Typ 2, weil er mehr aussagt.

3. Anforderungen und Standards

SOC 1 dreht sich um die Richtigkeit und Vollständigkeit der Finanzberichterstattung. Unternehmen, deren Systeme Finanzdaten beeinflussen, etwa Lohn- oder Abrechnungsplattformen, lassen sich deshalb nach SOC 1 prüfen. SOC 2 richtet sich nach den Trust Services Criteria. Wer große Mengen sensibler Daten verarbeitet, etwa Kundendaten oder geistiges Eigentum, belegt damit starke Kontrollen in diesen Bereichen.

4. Zielgruppe und Einsatz

SOC-1-Berichte richten sich an Geschäftspartner, Abschlussprüfer und Unternehmen, die sich bei ihrer Finanzberichterstattung auf Dienstleister stützen. SOC-2-Berichte lesen IT-Fachleute, Sicherheitsteams und Kunden, denen es um Datenschutz und Integrität geht. Manche Unternehmen lassen zusätzlich einen SOC-3-Bericht erstellen: eine Zusammenfassung des SOC-2-Audits für die Öffentlichkeit, mit weniger Details.

5. Kontrollen und Prüfkriterien

SOC-1-Kontrollen betreffen Prozesse wie Lohnabrechnung, Rechnungsstellung und Buchhaltung. SOC-2-Kontrollen betreffen Systemsicherheit, Verfügbarkeit und Vertraulichkeit, zum Beispiel Verschlüsselung, Zugriffskontrollen und Notfallpläne. Die Prüfer testen, ob diese Kontrollen geeignet gestaltet sind und, beim Typ 2, im Zeitraum funktioniert haben. SOC 2 verlangt keinen Penetrationstest, viele Unternehmen legen trotzdem einen als Nachweis vor.

Welchen Bericht brauchen Sie?

• Ihre Dienstleistung beeinflusst die Finanzberichte Ihrer Kunden: SOC 1.
• Sie speichern oder verarbeiten Kundendaten, und Kunden fragen nach Sicherheit: SOC 2.
• Beides trifft zu: Viele Dienstleister haben beide Berichte.
• Ihre Kunden sitzen vor allem in Europa: Fragen Sie nach, ob ein ISO-27001-Zertifikat besser passt.

Was Sie in einem SOC-Bericht prüfen sollten

Fordern Sie von einem Dienstleister einen SOC-Bericht an, reicht das Deckblatt nicht. Achten Sie auf diese Punkte:

• Berichtstyp und Zeitraum: Ein Typ-2-Bericht sagt mehr, und er sollte nicht lange zurückliegen.
• Umfang: Deckt der Bericht genau den Dienst und die Standorte ab, die Sie nutzen?
• Abweichungen: Der Prüfer listet Kontrollen auf, die nicht wie vorgesehen funktioniert haben. Fragen Sie, was der Anbieter dagegen getan hat.
• Kontrollen auf Ihrer Seite: Viele Berichte nennen Kontrollen, die der Kunde selbst umsetzen muss, etwa Benutzerverwaltung oder MFA.
• Unterauftragnehmer: Prüfen Sie, ob Rechenzentrum oder Cloud-Anbieter einbezogen sind oder einen eigenen Bericht haben.

Für Kunden in Deutschland ersetzt ein SOC-Bericht weder den Auftragsverarbeitungsvertrag noch eine eigene Risikobewertung nach DSGVO.

Best Practices für Compliance-Schulungen

Wirksame Compliance-Schulungen helfen, dass Mitarbeitende die Anforderungen verstehen und einhalten. Halten Sie die Inhalte aktuell, passen Sie sie an die Rollen an, nutzen Sie Fragen und reale Szenarien, und erfassen Sie Teilnahme und Ergebnisse. Das ergibt auch Nachweise für das Audit.

Verwaltung auf vielen Geräten

trio.so unterstützt die Gerätekontrollen, die SOC-2-Prüfer testen; SOC 1 betrifft Kontrollen über die Finanzberichterstattung und damit nicht die Geräteverwaltung. trio.so führt ein Inventar verwalteter Geräte, setzt BitLocker- und FileVault-Verschlüsselung sowie Richtlinien für Code und Bildschirmsperre durch, verteilt Betriebssystem-Updates auf Windows, macOS, iOS und Android und lässt IT-Administratoren Geräte sperren (Mac, iOS, Android) oder firmeneigene Geräte löschen. Die Konsole unterstützt SSO und MFA, ihr Ereignisprotokoll lässt sich exportieren. Der Rest des Programms, etwa Richtlinien und Zugriffsprüfungen, liegt außerhalb der Geräteverwaltung. Welche Gerätekontrollen zu welchen Kriterien gehören, zeigt unsere SOC-2-Checkliste (englisch).

Fazit

SOC 1 betrifft Finanzkontrollen, SOC 2 Sicherheit und Datenschutz. Prüfen Sie, welche Risiken Ihre Kunden absichern wollen, und fordern Sie von Ihren eigenen Dienstleistern den passenden Bericht an, möglichst als Typ 2.

Weiterführend: SOC-2-Compliance, ISO 27001 vs. SOC 2 und SOC 2 Typ 1 vs. Typ 2 (englisch).