Definition: SOC 2 Type II
SOC 2 Type II ist ein Prüfbericht des American Institute of CPAs (AICPA), der bewertet, ob die Kontrollen einer Dienstleistungsorganisation, zugeordnet zu den Trust Services Criteria Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz, angemessen gestaltet sind und über einen Beobachtungszeitraum von typischerweise sechs bis zwölf Monaten tatsächlich wirksam funktioniert haben.
Kernmerkmale von SOC 2 Type II
Anders als eine Zertifizierung ist SOC 2 Type II ein Testat, das eine unabhängige Wirtschaftsprüfungsgesellschaft nach direkter Prüfung von Nachweisen aus dem tatsächlichen Betrieb des Anbieters erstellt. Der Bericht kennt kein einfaches Bestehen oder Durchfallen wie ein Zertifikat; er beschreibt die Kontrollen, die durchgeführten Tests und alle gefundenen Abweichungen.
- Sicherheit (die Common Criteria) ist verpflichtend; Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz kommen je nach Kundenzusagen des Anbieters hinzu
- Prüfer sammeln Nachweise über den gesamten Beobachtungszeitraum, nicht nur zu einem Stichtag
- Berichte werden unter NDA geteilt statt veröffentlicht, da sie detaillierte Kontrollbeschreibungen enthalten
- Abweichungen werden im Bericht offengelegt statt verschwiegen, weshalb Einkäufer den Bericht selbst lesen sollten, nicht nur das Anschreiben
SOC 2 Type II vs. SOC 2 Type I
SOC 2 Type I bewertet, ob Kontrollen an einem einzigen Stichtag angemessen gestaltet sind, im Grunde eine Momentaufnahme von Richtlinien und Konfigurationen am Prüftag. SOC 2 Type II geht weiter und prüft, ob dieselben Kontrollen über einen längeren Beobachtungszeitraum tatsächlich wirksam funktioniert haben, wofür der Prüfer reale Nachweise wie Zugriffsprotokolle, Ticket-Historien und Änderungsaufzeichnungen heranzieht statt sich auf Absichtserklärungen zu verlassen. Ein Anbieter kann Type I mit gut formulierten Richtlinien bestehen, die nie konsequent durchgesetzt wurden - genau diese Lücke schließt Type II. Die meisten Enterprise-Einkäufer betrachten Type I bestenfalls als Zwischenschritt und verlangen Type II vor der Freigabe von Zugriff auf Produktivdaten.
Bedeutung von SOC 2 Type II im Enterprise-KI-Umfeld
Da KI-Anbieter zunehmend Zugriff auf E-Mail-, CRM- und ERP-Daten erhalten, um Agenten und Automatisierung zu betreiben, können Einkäufer Sicherheitsaussagen von Anbietern nicht mehr ungeprüft übernehmen. Laut A-LIGNs Compliance Benchmark Report 2025 bleibt SOC 2 das am häufigsten verfolgte Audit-Rahmenwerk, angestrebt von 76 Prozent der Organisationen, mit einem Anstieg der Erstprüfungen um 40 Prozent allein im Jahr 2024, da die Prüfung von KI- und Cloud-Anbietern strenger wurde. Für Mittelstands-IT- und Einkaufsteams bei der Bewertung eines KI-Anbieters ist ein aktueller Type-II-Bericht oft der schnellste Weg zu prüfen, ob behauptete Kontrollen in der Praxis tatsächlich standhalten, statt sich auf eine Vertriebspräsentation oder Selbstauskunft zu verlassen.
Methoden und Verfahren für SOC 2 Type II
Eine Type-II-Prüfung durchläuft drei Verfahrensphasen, bevor ein Bericht ausgestellt wird.
Readiness-Assessment und Lückenschließung
Bevor der Beobachtungszeitraum beginnt, führt der Anbieter typischerweise ein Readiness-Assessment durch, um Kontrolllücken gegenüber den gewählten Trust Services Criteria zu identifizieren.
- Bestehende Richtlinien, Zugriffskontrollen und Monitoring-Tools den relevanten Kriterien zuordnen
- Lücken schließen, etwa fehlende Zugriffs-Reviews oder undokumentierte Incident-Response-Schritte
- Festlegen, welche nicht-sicherheitsbezogenen Kriterien (Verfügbarkeit, Vertraulichkeit und so weiter) für die betroffenen Services gelten
Beobachtungszeitraum und Kontrolltests
Nach Abschluss der Vorbereitung beginnt der Beobachtungszeitraum, üblicherweise sechs bis zwölf Monate für einen ersten Bericht und häufig zwölf Monate bei Wiederholungsprüfungen. Während dieses Zeitraums betreibt die Organisation ihre Kontrollen im Normalbetrieb und sammelt dabei die Nachweise, etwa Zugriffsprotokolle, Deployment-Aufzeichnungen und Lieferanten-Review-Dokumentation, die der Prüfer später stichprobenartig testet.
Prüfungsdurchführung und Berichtserstellung
Eine unabhängige Wirtschaftsprüfungsgesellschaft untersucht anschließend eine Stichprobe von Nachweisen aus dem gesamten Zeitraum, testet die Wirksamkeit der Kontrollen und dokumentiert gefundene Abweichungen. Der finale Bericht enthält das Prüfungsurteil, eine Systembeschreibung und die detaillierten Testergebnisse und gilt üblicherweise zwölf Monate als verlässliche Grundlage, bevor eine neue Prüfung erforderlich wird.
Wichtige Kennzahlen für SOC 2 Type II
Anbieter und Einkäufer verfolgen beide einen kleinen Satz an Indikatoren, um Berichtsqualität und Programmreife einzuschätzen.
Kontrolltests und Abweichungskennzahlen
- Abweichungsquote: Anzahl der Kontrollabweichungen im Verhältnis zu allen getesteten Kontrollen
- Länge des Beobachtungszeitraums: sechs, neun oder zwölf Monate, da längere Zeiträume mehr Sicherheit bieten
- Umfang der Trust Services Criteria: nur Sicherheit oder zusätzlich Verfügbarkeit, Vertraulichkeit und Datenschutz
- Alter des Berichts: Berichte, die älter als zwölf Monate sind, verlieren den Großteil ihres Aussagewerts
Vorbereitungs- und Erneuerungszeitraum
Organisationen, die bei null starten, benötigen typischerweise drei bis neun Monate Vorbereitungsarbeit, bevor der Beobachtungszeitraum beginnen kann, und der gesamte Weg vom Projektstart bis zum ersten Type-II-Bericht dauert üblicherweise sechs bis zwölf Monate. Anbieter, die kontinuierlich Nachweise sammeln statt vor jeder Erneuerung in Hektik zu verfallen, schließen ihre jährlichen Berichte in der Regel schneller ab und mit weniger Abweichungen, was auch die wiederkehrenden Prüfungskosten innerhalb der Total Cost of Ownership der Anbieterbeziehung planbar hält.
Verlässlichkeit für Einkäufer
Der praktische Wert des Berichts hängt davon ab, ob Einkaufsteams tatsächlich die Abweichungen und Management-Antworten lesen, statt nur zu bestätigen, dass ein Bericht existiert. Ein sauberer Bericht ohne Abweichungen ist ein stärkerer Nachweis als ein Bericht mit ungelösten Feststellungen, auch wenn beide formal die Checklisten-Anforderung “SOC 2 Type II vorhanden” erfüllen.
Risikofaktoren und Kontrollen bei SOC 2 Type II
Type-I-Bericht als gleichwertig akzeptieren
Der häufigste Fehler auf Käuferseite ist, einen Type-I-Bericht als ausreichenden Nachweis laufender Sicherheit zu behandeln, obwohl er nur bestätigt, dass Kontrollen an einem Tag korrekt gestaltet waren.
- Vor Vertragsabschluss immer den Berichtstyp bestätigen lassen
- Die Daten des Beobachtungszeitraums prüfen, nicht nur das Ausstellungsdatum des Berichts
- Bei abgelaufenem aktuellem Bericht und noch nicht vorliegendem neuen Bericht den Bridge Letter anfordern
Fehlende Übereinstimmung von Geltungsbereich und Trust Services Criteria
Ein Type-II-Bericht, der nur Sicherheit abdeckt, sagt nichts über Verfügbarkeitszusagen oder den Umgang mit personenbezogenen Daten unter den Kriterien Vertraulichkeit oder Datenschutz aus. Einkäufer, die KI-Anbieter im Rahmen ihrer KI-Compliance bewerten, müssen prüfen, welche Kriterien tatsächlich im Geltungsbereich enthalten sind, da ein eng gefasster Bericht eine falsche Sicherheit über Fähigkeiten vermitteln kann, die das Audit nie getestet hat.
Bericht als einmaligen Beschaffungs-Haken behandeln
Kontrollen, die die letzte Prüfung bestanden haben, können sich bis zur nächsten Erneuerung deutlich verschlechtern, besonders wenn Anbieter neue Subprozessoren hinzufügen, die Infrastruktur wechseln oder die Belegschaft skalieren. Ein laufendes Anbieter-Review in den Vertragsverlängerungszyklus einzubauen, gemeinsam mit Prüfungen zu Vendor Lock-in-Risiken und Datensouveränität-Zusagen, hält die Sicherheitsaussage aktuell, statt den ersten Bericht als dauerhaften Nachweis zu behandeln.
Praxisbeispiel
Ein 90-Mitarbeiter-Anbieter für Lagerautomatisierungssoftware mit Sitz in Hamburg, der US- und DACH-Einzelhandelskunden beliefert, verlor einen wichtigen US-Enterprise-Deal, weil sein Sicherheitsteam nur einen zwei Jahre alten SOC-2-Type-I-Bericht vorlegen konnte. Das Unternehmen führte ein zwölfwöchiges Readiness-Assessment durch, das Zugriffsmanagement, Änderungskontrolle und Incident Response abdeckte, und eröffnete anschließend einen neunmonatigen Beobachtungszeitraum über die Produktions-AWS-Umgebung und das Support-Ticketing-System. Der daraus entstandene Type-II-Bericht, mit Geltungsbereich Sicherheit und Verfügbarkeit, wurde zu einem festen Bestandteil jeder Enterprise-Angebotsantwort.
- Dokumentierter Zugriffs-Review-Rhythmus für alle Produktionssysteme und Drittanbieter-Integrationen
- Incident-Response-Runbook getestet und mit Nachweisen im Beobachtungszeitraum belegt
- Subprozessoren-Liste gepflegt und vierteljährlich mit dem Sicherheitsteam überprüft
- Erneuerungskalender, der Ablaufdaten der Berichte mit aktiven Kundenverträgen abgleicht
Aktuelle Entwicklungen und Auswirkungen
Verschärfte Sorgfaltsprüfung bei KI-Anbietern
Enterprise-Einkäufer weiten SOC-2-Type-II-Anforderungen zunehmend auf KI-spezifische Anbieter aus, die sensible Workflows verarbeiten, nicht nur auf klassische SaaS-Anbieter.
- Einkaufsteams verlangen zunehmend Nachweise für KI-spezifische Zugriffskontrollen im Prüfungsumfang
- Manche Einkäufer fragen inzwischen, ob auch die vom Anbieter genutzten KI-Modellanbieter einen aktuellen eigenen Bericht vorweisen können
- Vertragsklauseln, die einen fortlaufenden Type-II-Status über die gesamte Vertragslaufzeit fordern, werden zum Standard
Kontinuierliches Compliance-Monitoring ersetzt punktuelle Vorbereitung
Compliance-Automatisierungsplattformen sammeln Nachweise inzwischen fortlaufend aus Cloud-Infrastruktur und Ticketing-Systemen über das ganze Jahr, statt dass Anbieter kurz vor dem Audit in Hektik alle Nachweise zusammensuchen. Das verkürzt Erneuerungszyklen und senkt die von Prüfern gefundene Abweichungsquote, da Lücken das ganze Jahr über auffallen und behoben werden statt erst zum Stichtag.
Wachsende Überschneidung mit EU-Rahmenwerken
Da NIS2 und DORA europäische Einkäufer verstärkt zu dokumentierten Sicherheitsnachweisen drängen, betreiben manche Anbieter SOC 2 Type II und ISO 27001 parallel, um sowohl US- als auch EU-Kundenerwartungen zu erfüllen, ohne die Kontrollarbeit doppelt zu leisten.
Fazit
SOC 2 Type II ist zur praktischen Grundvoraussetzung geworden, die Enterprise- und Mid-Market-Einkäufer erwarten, bevor sie einem Anbieter Zugriff auf Produktivdaten gewähren, und genau die Betonung getesteter, realer Nachweise statt Richtliniendokumente macht ihn aussagekräftiger als Type I. Für Mittelstandsteams, die KI- und SaaS-Anbieter bewerten, macht das Lesen des Berichts selbst, nicht nur die Bestätigung seiner Existenz, den Unterschied zwischen echter Sicherheit und einem reinen Häkchen aus. Da KI-Anbieter zunehmend sensible Workflows verarbeiten, wird sich Type II voraussichtlich von einer US-Vertriebsanforderung zu einem global gültigen Beschaffungsstandard entwickeln. Die Kombination mit ISO 27001 dort, wo regulatorische Anerkennung in der EU zählt, gibt Anbietern und Käufern Abdeckung auf beiden Seiten des Atlantiks.
Häufig gestellte Fragen
Was ist der Unterschied zwischen SOC 2 Type I und Type II?
Type I bewertet, ob die Kontrollen eines Anbieters an einem einzigen Tag korrekt gestaltet sind, im Grunde eine Momentaufnahme. Type II prüft, ob dieselben Kontrollen über einen Beobachtungszeitraum von typischerweise sechs bis zwölf Monaten tatsächlich wirksam funktioniert haben, anhand realer Nachweise wie Zugriffsprotokolle und Incident-Tickets statt nur Richtlinienbeschreibungen.
Muss ein deutsches Mittelstandsunternehmen von Anbietern SOC 2 Type II verlangen?
Das hängt davon ab, wen der Anbieter bedient. Bewertet ein Unternehmen einen KI- oder SaaS-Anbieter mit US-Kunden oder US-Investoren, ist ein SOC-2-Type-II-Bericht eine sinnvolle Anfrage und liegt oft bereits vor. Für Anbieter, die sich rein auf den EU-Markt konzentrieren, ist ISO 27001 häufiger verfügbar und trägt direktere regulatorische Anerkennung unter NIS2 und DORA.
Wie unterscheidet sich SOC 2 Type II von ISO 27001?
SOC 2 Type II ist ein aus den USA stammendes Testat, geprüft anhand der AICPA Trust Services Criteria über einen Beobachtungszeitraum, das unter NDA geteilt statt veröffentlicht wird. ISO 27001 ist ein international zertifizierbarer Managementsystem-Standard, den EU-Rahmenwerke wie NIS2 direkt anerkennen. Viele Anbieter mit US- und EU-Enterprise-Kunden pflegen beides parallel.
Was kostet ein SOC-2-Type-II-Bericht und wie lange dauert die Vorbereitung?
Die Erstjahreskosten für einen mittelgroßen Anbieter liegen typischerweise bei 30.000 bis 150.000 US-Dollar, einschließlich Vorbereitungsarbeit, Beobachtungszeitraum und Prüfungsgebühren. Der gesamte Zeitrahmen vom Projektstart bis zum ersten Bericht beträgt üblicherweise sechs bis zwölf Monate, da der Beobachtungszeitraum selbst mindestens mehrere Monate laufen muss, bevor der Prüfer ihn testen kann.
Ist ein SOC-2-Type-II-Bericht ein Beweis dafür, dass ein KI-Anbieter sicher an unsere Systeme angebunden werden kann?
Er ist ein starker Nachweis, aber keine Garantie. Prüfen Sie, welche Trust Services Criteria im Geltungsbereich enthalten sind, lesen Sie den Abschnitt zu Abweichungen statt nur das Prüfungsurteil, und stellen Sie sicher, dass der Bericht aktuell ist, da Berichte, die älter als zwölf Monate sind, den Großteil ihres Aussagewerts verlieren. Er sollte ein Baustein der Anbieterbewertung sein, neben Datenverarbeitung, Subprozessoren-Offenlegung und Vertragsbedingungen.
Brauchen wir eigene IT-Sicherheitsressourcen, um SOC-2-Type-II-Berichte von Anbietern anzufordern oder zu bewerten?
Nicht zwingend. Die Prüfung eines SOC-2-Type-II-Berichts erfordert vor allem, Geltungsbereich, Beobachtungszeitraum und Abweichungsabschnitt sorgfältig zu lesen, was eine IT-Leitung oder eine Compliance-nahe Fachkraft in der Regel ohne spezielle Audit-Expertise leisten kann. Größere Beschaffungsentscheidungen profitieren von externer Sicherheitsberatung, aber das Lesen des Berichts selbst ist auch ohne dediziertes Sicherheitsteam machbar.
