Jeder SOC 2-Bericht bewertet die Kontrollen eines Unternehmens anhand der von der AICPA entwickelten Trust Services Criteria (TSC). Sie legen genau fest, was der Prüfer testen und was der Bericht bestätigen wird. Dieser Artikel erklärt alle fünf SOC 2-Kriterien (Security, Availability, Processing Integrity, Confidentiality und Privacy) und hilft Ihnen bei der Entscheidung, welche davon Sie in den Geltungsbereich aufnehmen sollten.
Was die Trust Services Criteria sind
Die TSC sind ein Satz von Kriterien, anhand derer eine CPA-Gesellschaft das Kontrollsystem einer Dienstleistungsorganisation bewertet. Die aktuelle Ausgabe ist TSC 2017, mit 2022 überarbeiteten Points of Focus. Die Kriterien schreiben keine bestimmten Technologien vor; sie beschreiben das Ergebnis, das das Unternehmen erreichen muss, und Sie entscheiden, wie Sie es erreichen. Der Prüfer beurteilt, ob Ihre Kontrollen für das Kriterium angemessen sind und, bei Type 2, ob sie über den gesamten Zeitraum funktioniert haben.
Es gibt fünf Kriterien. Security ist verpflichtend für jeden SOC 2-Bericht; die anderen vier werden je nach Bedarf aufgenommen.
| Kriterium | Was es abdeckt | Erforderlich? | Wer es üblicherweise braucht |
|---|---|---|---|
| Security | Schutz vor unbefugtem Zugriff und unbefugter Offenlegung | Verpflichtend | Alle |
| Availability | Das System ist wie zugesagt verfügbar | Optional | SaaS mit SLAs, Hosting, Managed Services |
| Processing Integrity | Verarbeitung ist vollständig, korrekt, zeitgerecht, autorisiert | Optional | Fintech, Zahlungsverkehr, Lohnabrechnung, Analytics |
| Confidentiality | Vertrauliche Informationen über ihren Lebenszyklus geschützt | Optional | B2B mit sensiblen Kundendaten, Outsourcing |
| Privacy | Personenbezogene Daten gemäß Datenschutzerklärung und Zusagen behandelt | Optional | Produkte, die Daten von Einzelpersonen direkt verarbeiten |
1. Security: die Common Criteria
Das Kriterium Security bildet die Grundlage des gesamten Berichts, weshalb es auch Common Criteria (CC) genannt wird. Es besteht aus neun Gruppen, CC1 bis CC9:
- CC1 Kontrollumfeld — Verantwortlichkeit des Managements, Organisationsstruktur, Kompetenz der Mitarbeiter, Verhaltenskodex.
- CC2 Kommunikation und Information — Richtlinien an Mitarbeiter kommuniziert, Kunden über Zusagen informiert, Kanäle zur Meldung von Vorfällen.
- CC3 Risikobeurteilung — Identifikation und Analyse von Risiken, einschließlich Betrugsrisiko und Risiko durch Veränderungen.
- CC4 Überwachungsaktivitäten — interne Überprüfungen, Schwachstellenscans, Bewertung der Wirksamkeit der Kontrollen.
- CC5 Kontrollaktivitäten — Auswahl und Einführung von Kontrollen, einschließlich technischer Kontrollen, über Richtlinien und Verfahren.
- CC6 Logischer und physischer Zugang — die größte Gruppe: Kontenverwaltung, MFA, Least Privilege, Zugriffsentzug, Verschlüsselung, physische Sicherheit.
- CC7 Systembetrieb — Erkennung von Anomalien, Incident Response, Wiederherstellung.
- CC8 Änderungsmanagement — Änderungen an Infrastruktur und Code sind autorisiert, getestet und dokumentiert.
- CC9 Risikominderung — Geschäftskontinuität und Management von Lieferantenrisiken.
Typische Kontrollen: MFA in allen Unternehmenssystemen, vierteljährliche Zugriffsüberprüfungen, Offboarding mit Zugriffsentzug am selben Tag, Code-Review vor dem Deployment, zentrale Protokollierung, ein Incident-Response-Plan, jährliche Sicherheitsschulungen, Bewertung kritischer Lieferanten.
2. Availability
Dieses Kriterium prüft, ob das System so für Betrieb und Nutzung verfügbar ist, wie es den Kunden zugesagt wurde. Es geht nicht um „100 % Uptime“, sondern um Ihre Fähigkeit, das versprochene Serviceniveau zu liefern und sich zu erholen, wenn etwas schiefgeht.
Typische Kontrollen: Leistungs- und Kapazitätsmonitoring, Redundanz der Infrastruktur, regelmäßige Backups mit Wiederherstellungstests, ein jährlich getesteter Disaster-Recovery-Plan, Verfahren zur Reaktion auf Ausfälle. Nehmen Sie dieses Kriterium auf, wenn Ihre Verträge SLAs enthalten oder Kunden in Echtzeit von Ihrem System abhängig sind.
3. Processing Integrity
Dieses Kriterium betrifft die Frage, ob die Systemverarbeitung vollständig, korrekt, zeitgerecht und autorisiert ist. Es ist wichtig für Systeme, bei denen ein Rechenfehler unmittelbare finanzielle oder rechtliche Folgen hat: Zahlungsplattformen, Abrechnung, Lohnabrechnung, Reporting, Analytics zur Entscheidungsunterstützung.
Typische Kontrollen: Eingabevalidierung, Prüfsummen und Abstimmungen, Fehler- und Warteschlangenbehandlung, Verarbeitungsprotokolle, Datenqualitätskontrollen, Korrekturverfahren. Für die meisten „gewöhnlichen“ SaaS-Produkte ist dieses Kriterium unnötig, und es „sicherheitshalber“ aufzunehmen erhöht nur die Auditgebühr.
4. Confidentiality
Dieses Kriterium prüft, ob als vertraulich eingestufte Informationen vom Erhalt bis zur Vernichtung geschützt sind. Vertrauliche Informationen sind Daten, deren Nutzung vertraglich oder gesetzlich eingeschränkt ist: Geschäftsgeheimnisse von Kunden, Quellcode, Finanzdaten, Vertragskonditionen.
Typische Kontrollen: Datenklassifizierung, Verschlüsselung im Ruhezustand und bei der Übertragung, Vertraulichkeitsvereinbarungen mit Mitarbeitern und Lieferanten, Zugriffsbeschränkungen nach dem Need-to-know-Prinzip, Richtlinien zu Aufbewahrung und sicherer Entsorgung. Das Kriterium ist relevant für Outsourcing-Unternehmen, die mit Code und Daten von Auftraggebern arbeiten, sowie für B2B-Produkte, die sensible Informationen verarbeiten.
5. Privacy
Das umfangreichste optionale Kriterium. Es betrifft personenbezogene Informationen (Daten über Einzelpersonen) und bewertet den gesamten Lebenszyklus: Information, Wahlmöglichkeit und Einwilligung, Erhebung, Nutzung, Aufbewahrung, Auskunftsrechte der Betroffenen, Weitergabe an Dritte, Datenqualität, Überwachung. Strukturell ist es den Anforderungen der GDPR nahe, wenn auch nicht identisch.
Wichtig ist die Unterscheidung: Confidentiality schützt alle zugriffsbeschränkten Daten; Privacy deckt speziell die personenbezogenen Daten von Einzelpersonen und deren Rechte ab. Nehmen Sie das Kriterium Privacy auf, wenn Sie selbst bestimmen, wie personenbezogene Daten verarbeitet werden (zum Beispiel bei einem B2C-Produkt), und nicht nur auf Weisung eines Kunden verarbeiten. In B2B-Szenarien wird es häufig durch das Kriterium Confidentiality plus eine separate GDPR-Konformität ersetzt.
Wie Sie die Kriterien für Ihren Bericht auswählen
- Sehen Sie sich Kundenverträge und Fragebögen an. Fragen Kunden nach SLAs und Wiederherstellung, nehmen Sie Availability auf. Übergeben sie Ihnen Code und Geschäftsdaten, nehmen Sie Confidentiality auf.
- Berücksichtigen Sie die Art des Produkts. Zahlungen, Abrechnung, Berechnungen deuten auf Processing Integrity hin. Personenbezogene Daten, über die Sie selbst bestimmen, deuten auf Privacy hin.
- Überdehnen Sie den Geltungsbereich nicht. Jedes Kriterium bedeutet zusätzliche Kontrollen, Nachweise und Prüferstunden. Die häufigste SaaS-Kombination ist Security + Availability, oft mit Confidentiality.
- Planen Sie die Erweiterung. Ein erster Bericht kann nur Security abdecken; weitere Kriterien können im Folgejahr ergänzt werden, wenn der Markt es verlangt.
Points of Focus: wie Sie die Kriterien lesen
Zu jedem Kriterium stellt die AICPA „Points of Focus“ bereit: Beispiele dafür, was bei der Gestaltung der Kontrollen zu berücksichtigen ist. Es sind keine verpflichtenden Anforderungen; der Prüfer zieht nicht für jeden nicht behandelten Punkt Abzüge ab, sondern nutzt sie als Orientierung. Ein praktischer Tipp: Gehen Sie die Points of Focus während der Gap-Analyse durch. Das ist der schnellste Weg, um zu verstehen, was der Prüfer erwartet.
Verhältnis zu anderen Rahmenwerken
Die meisten Security-Kontrollen überschneiden sich mit Anhang A der ISO 27001, weshalb europäische Unternehmen, die sowohl ihren Heimatmarkt als auch die USA bedienen, sich oft auf beides gleichzeitig vorbereiten; siehe den Vergleich SOC 2 vs. ISO 27001 und das Paket SOC 2 + ISO 27001. Wenn Sie neu in dem Thema sind, beginnen Sie mit Was ist SOC 2, und den Unterschied zwischen den Berichtstypen lesen Sie unter Type 1 vs. Type 2.
Nicht sicher, welche Kriterien in Ihren SOC 2-Geltungsbereich gehören? Unser Beratungsteam führt eine Gap-Analyse anhand der TSC Points of Focus durch, empfiehlt die optimale Kombination von Kriterien und bereitet Ihr Unternehmen auf das Audit durch die US-CPA-Gesellschaft der BALTUM-Gruppe vor, deren lizenzierte CPA-Prüfer unabhängig von den Beratern arbeiten. Beratung anfordern.