Ein Anbieter schickt Ihnen einen SOC-2-Bericht. Was sollten Sie tatsächlich prüfen?
Kurzantwort
Ein SOC-2-Bericht gibt Ihnen nur dann Sicherheit, wenn Sie ihn tatsächlich lesen: Bestätigen Sie den richtigen Typ (Typ II prüft die Wirksamkeit über die Zeit, Typ I nur die Ausgestaltung zu einem Zeitpunkt), prüfen Sie Umfang und welche Trust-Services-Kriterien abgedeckt sind, ob der Zeitraum aktuell und lückenlos ist, welches Urteil der Prüfer abgegeben hat (uneingeschränkt oder eingeschränkt), und sehen Sie sich die vermerkten Ausnahmen sowie die ergänzenden Kontrollen der nutzenden Organisation (CUECs) an, für die Sie verantwortlich sind. Nur zu bestätigen, dass der Bericht existiert — oder ihn nach Titellogo oder Seitenzahl zu beurteilen — sagt nichts über die tatsächliche Wirksamkeit der Kontrollen des Anbieters oder Ihre Restpflichten aus.
Ein SOC-2-Bericht ist ein Sicherungsnachweis durch einen Dritten — aber einen zu erhalten gibt Ihnen für sich genommen keine Sicherheit. Der Wert liegt vollständig darin, ihn kritisch zu lesen, denn ein Bericht kann existieren und dennoch ernste Probleme, Umfangslücken oder Pflichten offenbaren, die bei Ihnen landen.
Was tatsächlich zu prüfen ist
Typ: Ein Typ-II-Bericht prüft, ob Kontrollen über einen Zeitraum wirksam waren (meist 6–12 Monate); ein Typ I beschreibt nur die Ausgestaltung zu einem einzelnen Zeitpunkt. Typ II ist eine weit stärkere Sicherung. Umfang: Welche Trust-Services-Kriterien sind abgedeckt — Sicherheit ist die Grundlage, aber wurden Verfügbarkeit, Vertraulichkeit, Verarbeitungsintegrität oder Datenschutz einbezogen, falls diese für Ihre Nutzung zählen? Deckt der Umfang den tatsächlichen Dienst ab, den Sie beziehen? Zeitraum: Ist er aktuell, und gibt es eine Lücke zwischen dem Enddatum des Berichts und heute (eventuell ist ein Bridge Letter nötig)? Urteil: Hat der Prüfer ein uneingeschränktes („sauberes") Urteil abgegeben oder ein eingeschränktes, das Mängel benennt? Ausnahmen: Lesen Sie die Prüfungsausnahmen — Kontrollen, die im Zeitraum versagt haben. CUECs: Entscheidend ist, die ergänzenden Kontrollen der nutzenden Organisation zu prüfen — Dinge, die der Bericht von Ihnen voraussetzt (z. B. Ihre eigenen Zugriffe verwalten, Verschlüsselung konfigurieren), damit die Kontrollen des Anbieters wirksam sind.
Warum die falschen Antworten scheitern
„Nur, dass der Bericht existiert" ist die Falle: Besitz ist keine Sicherung, und den Erhalt als ausreichend zu behandeln lässt Risiko durchrutschen. „Das Logo auf der Titelseite" und „die Gesamtseitenzahl" sind Nicht-Signale — sie sagen nichts über Kontrollausgestaltung, Wirksamkeit, Umfang oder Ihre Restpflichten aus. Ein dicker Bericht mit eingeschränktem Urteil ist weniger wert als ein kurzer sauberer.
Das geprüfte Urteilsvermögen
Der Interviewer sucht jemanden, der Drittparteienrisiko als aktive Sorgfaltsprüfung behandelt, nicht als Abhaken. Eine Senior-Antwort benennt die Unterscheidung Typ I gegenüber Typ II, verknüpft den Umfang mit Ihrer tatsächlichen Nutzung des Anbieters, nimmt Ausnahmen und das Prüferurteil ernst und — das Kennzeichen echter Erfahrung — weist auf die CUECs hin, denn die Kontrollen eines Anbieters schützen Sie nur, wenn Sie Ihre Hälfte betreiben. Den Bericht zu lesen, nicht ihn zu sammeln, ist die Kontrolle.
Wahrscheinliche Anschlussfragen
- Was ist der Unterschied zwischen einem SOC 2 Typ I und Typ II, und warum ist er für Sie wichtig?
- Was sind ergänzende Kontrollen der nutzenden Organisation, und was passiert, wenn Sie sie ignorieren?
- Wie gehen Sie mit einem Bericht mit eingeschränktem Urteil oder einer Abdeckungslücke vor Beginn Ihres Vertrags um?