SOC 2
SOC 2 ist ein Prüfbericht, in dem eine unabhängige Wirtschaftsprüfungsgesellschaft bestätigt, dass ein Software-Anbieter die Daten seiner Kunden ordentlich schützt. Für Firmen, die Software an andere Firmen verkaufen, ist so ein Bericht oft die Eintrittskarte in Verkaufsgespräche.
Wenn ein Unternehmen die Software eines anderen Unternehmens nutzt, gibt es ihm auch Daten: Kundenlisten, Verträge, Gehaltsdaten. Die naheliegende Frage lautet dann: Wie sicher sind diese Daten dort eigentlich? Der Anbieter könnte einfach behaupten, alles sei bestens. SOC 2 ist der Weg, das überprüfen zu lassen. Eine unabhängige Prüfgesellschaft sieht sich an, wie der Anbieter mit Daten umgeht, und schreibt einen Bericht darüber. Der Name kommt vom US-amerikanischen Berufsverband der Wirtschaftsprüfer, der die Regeln dafür festgelegt hat.
Die Eintrittskarte in den Firmenkundenvertrieb
Für Software-Firmen, die an andere Firmen verkaufen, ist SOC 2 kaum noch verhandelbar. Große Kunden wie Banken, Versicherungen oder Konzerne fragen den Bericht früh im Verkaufsgespräch ab. Ohne ihn endet das Gespräch häufig, bevor es über den Preis geht. Der Bericht ersetzt Vertrauen durch etwas Nachprüfbares.
Der Grund dafür ist die Kettenreaktion bei Sicherheitsvorfällen. Wird ein Dienstleister gehackt, sind oft hunderte seiner Kunden gleichzeitig betroffen. Die Einkaufsabteilung eines Konzerns kann aber unmöglich jeden Lieferanten selbst prüfen. Also verlangt sie einen Bericht, den ein Prüfer schon einmal erstellt hat. Ein SOC-2-Bericht wird so zu einem Dokument, das man vielen Kunden zeigen kann, statt hundert Fragebögen einzeln auszufüllen.
Für junge Unternehmen ist das ein spürbarer Kostenpunkt. Prüfung, Beratung und Werkzeuge kosten schnell einen fünfstelligen Betrag pro Jahr. Trotzdem holen sich viele Start-ups den Bericht früh, weil er größere Kunden erst möglich macht. In Finanznachrichten taucht SOC 2 deshalb oft auf, wenn es darum geht, ob ein Anbieter reif für Großkunden ist.
Was die Prüfer sich ansehen
SOC 2 prüft nicht gegen eine starre Checkliste. Es gibt fünf Themenfelder, im Original Trust Services Criteria genannt: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Sicherheit ist immer dabei, die übrigen vier wählt das Unternehmen nach seinem Geschäft aus. Ein Anbieter für Videokonferenzen wird eher Verfügbarkeit prüfen lassen, ein Anbieter für Buchhaltung eher die korrekte Verarbeitung von Daten.
Innerhalb dieser Felder beschreibt das Unternehmen selbst, welche Schutzmaßnahmen es einsetzt. Typisch sind: Passwörter mit zweitem Faktor, verschlüsselte Festplatten, protokollierte Zugriffe, geregelte Vergabe und Entzug von Rechten. Der Prüfer bewertet dann, ob diese Maßnahmen sinnvoll sind und ob sie wirklich angewendet wurden. Dafür verlangt er Nachweise, etwa Protokolldateien oder Bildschirmfotos aus den Systemen.
Wichtig ist der Unterschied zwischen zwei Berichtsarten. Ein Bericht vom Typ I prüft nur einen Stichtag: Existieren die Maßnahmen heute? Ein Bericht vom Typ II beobachtet einen Zeitraum von meist drei bis zwölf Monaten und prüft, ob sie durchgehend eingehalten wurden. Typ II gilt als der ernstzunehmende Nachweis, Typ I eher als Zwischenschritt.
Ein Bericht, kein Siegel an der Wand
Im Alltag begegnet SOC 2 vor allem auf den Webseiten von Cloud-Anbietern, also Firmen, die Software über das Internet bereitstellen. Dort steht meist ein kurzer Hinweis auf einer Seite zum Thema Sicherheit oder Vertrauen. Den vollständigen Bericht bekommt man aber selten frei zum Herunterladen. Er enthält Details zur internen Technik und wird deshalb nur nach Unterschrift einer Verschwiegenheitserklärung herausgegeben.
Ein häufiger Irrtum: SOC 2 sei ein Zertifikat, das man besteht oder nicht besteht. Tatsächlich ist es die Meinung eines Prüfers in Textform. Er kann Abweichungen vermerken, sogenannte Ausnahmen, und der Bericht ist trotzdem gültig. Wer ihn liest, sollte also nicht nur auf die Existenz achten, sondern auf diese Anmerkungen.
Abzugrenzen ist SOC 2 von zwei verwandten Begriffen. ISO 27001 ist ein internationaler Standard mit echtem Zertifikat und in Europa weiter verbreitet. Die Datenschutz-Grundverordnung dagegen ist ein Gesetz und gilt unabhängig davon, ob man geprüft wurde. Ein SOC-2-Bericht ersetzt beides nicht, er ergänzt sie. Und weil Berichte nur einen abgelaufenen Zeitraum abdecken, lassen Anbieter sie in der Regel jedes Jahr neu erstellen.
