Bei SOC 2 dominiert ein Kostenblock, der auf keiner Rechnung auftaucht: die interne Zeit, in der über einen Beobachtungszeitraum hinweg Nachweise anfallen müssen. Der Prüfer schaut sich nicht an, ob eine Richtlinie existiert. Er zieht Stichproben aus dem Zeitraum und will für jede einzelne den Beleg sehen — den Onboarding-Ticket zu einem neuen Mitarbeiter, das Protokoll der Zugriffsüberprüfung im zweiten Quartal, den Änderungsdatensatz zu einem bestimmten Deployment. Wo diese Belege nicht ohnehin entstehen, müssen sie über Monate erzeugt werden. Das Honorar der Prüfungsgesellschaft ist dagegen ein planbarer Posten.
Vorher gehört eine Verwechslung ausgeräumt, die den gesamten Kostenvergleich verzerrt. SOC 2 ist keine Zertifizierung. Es gibt keine Akkreditierung, keine Zertifizierungsstelle und kein Zertifikat. Die Prüfung erbringt eine Wirtschaftsprüfungsgesellschaft nach US-amerikanischen Prüfungsstandards, und das Ergebnis ist ein Bericht: Beschreibung Ihres Systems, Auflistung der Kontrollen, Beschreibung der Prüfhandlungen, Urteil des Prüfers. Diesen Bericht geben Sie Ihren Kunden unter Vertraulichkeitsvereinbarung heraus. Ein Logo für die Website gehört nicht dazu.
Daraus folgt die zweite Besonderheit: Es gibt keine verbindliche Vorgabe für den Prüfaufwand. Bei akkreditierten Verfahren leitet sich die Auditdauer aus einer Systematik ab, an die jede Stelle gebunden ist — nachzulesen im Eintrag zu IAF MD 5. Bei SOC 2 kalkuliert jede Gesellschaft selbst. Angebote unterscheiden sich deshalb nicht nur im Preis, sondern im Umfang dessen, was geprüft wird. Vergleichbar werden sie erst, wenn Sie Systemgrenze, Kriterienkategorien und Kontrollzahl vorgeben, statt sie sich vorschlagen zu lassen.
Die Kostenblöcke im Einzelnen
1. Die Auswahl der Kriterienkategorien. SOC 2 stützt sich auf die Trust Services Criteria. Verbindlich ist allein die Kategorie Sicherheit. Verfügbarkeit, Vertraulichkeit, Verarbeitungsintegrität und Datenschutz sind optional. Jede zusätzliche Kategorie bringt eigene Kriterien, eigene Kontrollen und eigene Nachweise über den gesamten Zeitraum. Der häufigste teure Fehler am Anfang ist, vorsorglich alle fünf zu wählen, weil das gründlicher wirkt. Verlangt wird in aller Regel Sicherheit, bei Infrastrukturanbietern zusätzlich Verfügbarkeit.
2. Die Readiness-Phase. Vor der eigentlichen Prüfung steht die Bestandsaufnahme: Welche Kontrollen gibt es, welche fehlen, welche existieren nur auf dem Papier. Diese Gap-Analyse ist der Posten, an dem sich am meisten sparen lässt und der am häufigsten unterschätzt wird. Wer sie überspringt, findet die Lücken während des Beobachtungszeitraums — und dann sind sie nicht mehr rückwirkend zu schließen.
3. Das Prüferhonorar. Es richtet sich nach Zahl der Systeme, Zahl der Kontrollen, gewählten Kategorien und der Frage, ob es sich um eine Erst- oder Folgeprüfung handelt. Folgeprüfungen sind günstiger, weil Systembeschreibung und Kontrollmatrix bestehen bleiben. Achten Sie darauf, ob die Berichtserstellung im Honorar enthalten ist oder gesondert abgerechnet wird; das ist die häufigste Position, die im Vergleich fehlt.
4. Der Beobachtungszeitraum bei Typ II. Typ I beurteilt die Kontrollen zu einem Stichtag, Typ II ihre Wirksamkeit über einen Zeitraum. Einkäufer verlangen fast immer Typ II. Wer trotzdem zuerst Typ I beauftragt, um schneller etwas vorzeigen zu können, zahlt zwei Prüfungen für ein verwertbares Ergebnis. Der Umweg lohnt nur, wenn ein konkreter Deal daran hängt und der Kunde Typ I schriftlich akzeptiert.
5. Werkzeuge zur Nachweissammlung. Für die laufende Beweisführung gibt es spezialisierte Plattformen, die Konfigurationen aus Cloud-Konten, Ticketsystemen und Personalsoftware automatisch abgreifen. Sie kosten eine Jahresgebühr und sparen interne Stunden. Ob sich das rechnet, hängt an der Zahl der Kontrollen und daran, wie viele Systeme angebunden werden können. Für kleine Teams mit einer überschaubaren Cloud-Umgebung ist eine saubere manuelle Ablage oft günstiger als das Abonnement.
6. Technische Vorleistungen. Penetrationstest, Schwachstellenmanagement, Protokollierung und Alarmierung, Verschlüsselung, ein Verfahren für Notfälle und dessen Erprobung. Diese Punkte werden vom Prüfer nicht selbst durchgeführt, aber ihr Nachweis wird verlangt. Der Penetrationstest ist dabei der größte externe Einzelposten neben dem Honorar.
7. Subdienstleister und ihre Behandlung. Fast jeder Anbieter nutzt Rechenzentrums- und Plattformdienste Dritter. Im Bericht werden diese entweder ausgeklammert oder eingeschlossen. Beim Ausklammern verweisen Sie auf deren eigene Berichte und müssen belegen, dass Sie diese jährlich lesen und bewerten. Beim Einschließen prüft Ihr Prüfer die Kontrollen des Dienstleisters mit — deutlich teurer und praktisch nur bei konzerneigenen Dienstleistern sinnvoll.
8. Interne Zeit über den Zeitraum. Zugriffsüberprüfungen, Änderungsfreigaben, Schulungsnachweise, Lieferantenbewertungen, Vorfallprotokolle. Das ist kein Projekt, sondern Betrieb. Warum dieser Block in fast jeder Kalkulation fehlt, beschreibt der Beitrag warum die interne Zeit der größte Kostenblock ist.
9. Die jährliche Wiederholung. Der Bericht deckt einen abgeschlossenen Zeitraum ab. Danach beginnt der nächste. SOC 2 ist damit ein Dauerposten ohne die Entlastungsjahre, die ein Drei-Jahres-Zyklus mit Überwachungsaudits bietet. Für die Budgetplanung ist das der entscheidende Unterschied, den der Eintrag zu den Gesamtbetriebskosten einordnet.
Was den Preis nach oben treibt
| Faktor | Wirkung auf die Kosten |
|---|---|
| Mehr als die Kategorie Sicherheit | Jede weitere Kategorie bringt eigene Kriterien und eigene Nachweise über den vollen Zeitraum |
| Erstprüfung statt Folgeprüfung | Systembeschreibung, Kontrollmatrix und Abstimmung entstehen einmalig komplett neu |
| Umweg über Typ I | Zwei Prüfungen für ein Ergebnis, das Einkäufer erst ab Typ II akzeptieren |
| Viele einzelne Produkte im Bericht | Jedes zusätzliche System erweitert Beschreibung, Stichproben und Prüfhandlungen |
| Subdienstleister eingeschlossen statt ausgeklammert | Der Prüfer bewertet fremde Kontrollen mit, statt auf deren Bericht zu verweisen |
| Eigene Rechenzentrumsflächen | Physische Sicherheit, Zutritt und Umgebungsüberwachung kommen als Prüffeld hinzu |
| Hohe Personalfluktuation | Jeder Ein- und Austritt ist ein Stichprobenfall, der lückenlos belegt sein muss |
| Verstreute Nachweise ohne System | Die Beschaffung während der Prüfung kostet mehr Stunden als die Prüfung selbst |
| Prüfungsgesellschaft ohne Erfahrung im Segment | Rückfragen und Nachforderungen verlängern die Berichtserstellung erheblich |
Wo sich sparen lässt
Auf die Kategorie Sicherheit beschränken, bis jemand mehr verlangt. Das ist der größte einzelne Hebel und kostet nichts außer der Bereitschaft, im Vertrieb nachzufragen, was der Kunde tatsächlich sehen will. Kategorien lassen sich in einer Folgeprüfung ergänzen; sie vorsorglich aufzunehmen bindet ab dem ersten Tag interne Zeit.
Die Systemgrenze eng ziehen. Nicht das Unternehmen wird geprüft, sondern ein beschriebenes System. Nebenprodukte, interne Werkzeuge und Bereiche ohne Kundendaten gehören nicht hinein. Die Mechanik dahinter ist dieselbe wie bei Zertifizierungen und steht im Eintrag zu Geltungsbereich und Preis sowie im Beitrag wie Sie den Geltungsbereich kostenbewusst schneiden.
Den Umweg über Typ I vermeiden. Wenn kein Kunde einen Stichtagsbericht ausdrücklich akzeptiert, ist Typ I verlorenes Geld. Der schnellere Weg zu einem verwertbaren Dokument ist ein Typ-II-Bericht mit einem kurzen ersten Beobachtungszeitraum, den Sie später verlängern.
Auf ein bestehendes Informationssicherheits-Managementsystem aufsetzen. Wer nach ISO 27001 arbeitet, hat Risikobewertung, Zugriffssteuerung, Lieferantenmanagement, Vorfallbehandlung und interne Audits bereits im Betrieb. Die Kriterien von SOC 2 lassen sich weitgehend auf vorhandene Kontrollen abbilden. Was danach fehlt, ist die Systembeschreibung und die Nachweisdichte über den Zeitraum. Wie sich mehrere Nachweise sinnvoll bündeln lassen, beschreibt die Seite zu mehreren Normen im kombinierten Verfahren.
Subdienstleister ausklammern. Die Methode mit Verweis auf deren eigene Berichte ist der Normalfall und deutlich günstiger. Voraussetzung ist ein dokumentiertes Verfahren, mit dem Sie diese Berichte jährlich anfordern, lesen und die dort genannten ergänzenden Kontrollen bei sich umsetzen. Dieses Verfahren aufzubauen kostet wenige Tage und spart einen erheblichen Teil des Prüfhonorars.
Nachweise dort erzeugen, wo die Arbeit stattfindet. Zugriffsüberprüfungen im Ticketsystem, Änderungsfreigaben im Repository, Schulungen im Personalsystem. Jede Kontrolle, die einen separaten Ablageschritt braucht, wird im Alltag vergessen und muss vor der Prüfung rekonstruiert werden. Genau diese Rekonstruktion ist der Grund, warum Erstprüfungen intern so teuer werden.
Früh mit der Prüfungsgesellschaft über den Zeitplan sprechen. Der Beobachtungszeitraum muss abgeschlossen sein, bevor die Prüfung beginnt, und die Berichtserstellung braucht danach ebenfalls Zeit. Wer einen Bericht zu einem Vertriebstermin braucht, rechnet rückwärts. Angebote werden dabei erst vergleichbar, wenn dieselben Positionen darin stehen — der Beitrag wie Sie drei Angebote vergleichbar machen beschreibt das Vorgehen.
Was SOC 2 gegenüber anderen Nachweisen teurer oder günstiger macht
Gegenüber einer Zertifizierung nach ISO 27001 ist SOC 2 im ersten Jahr oft ähnlich teuer und im Verlauf teurer. Der Grund ist der Rhythmus. Eine ISO-Zertifizierung läuft im Drei-Jahres-Zyklus mit zwei kleineren Überwachungsaudits, SOC 2 wiederholt jedes Jahr die volle Prüfung. Über einen Zeitraum von drei Jahren gerechnet fällt der Unterschied ins Gewicht. Wer nur das erste Jahr vergleicht, kommt zu einem verzerrten Ergebnis.
Der zweite Unterschied liegt im Nachweis selbst. Ein ISO-Zertifikat ist eine Urkunde mit Registereintrag; ein Einkäufer prüft in zwei Minuten, ob sie gültig ist. Ein SOC-2-Bericht umfasst viele Seiten und wird gelesen. Das ist ein Vorteil, wenn Ihre Kontrollen gut sind, und ein Risiko, wenn im Bericht Abweichungen stehen — denn sie bleiben dort stehen, während ein Zertifikat entweder erteilt wird oder nicht. Für den Vertrieb bedeutet das Vorbereitungsaufwand: Zu jeder Feststellung im Bericht sollten Sie eine Antwort parat haben.
Gegenüber TISAX fällt der Vergleich anders aus. TISAX ist auf die Automobilbranche zugeschnitten und funktioniert über eine gemeinsame Austauschplattform, SOC 2 über den direkten Versand des Berichts an einzelne Kunden. Wer in beide Märkte verkauft, kann die inhaltliche Grundlage teilen, aber nicht die Prüfung.
Die praktische Konsequenz für die Entscheidung: SOC 2 lohnt sich, wenn Ihre Kunden danach fragen, und sonst nicht. Es ist kein Nachweis, der in Europa aus eigener Kraft Türen öffnet. Wer ihn ohne konkrete Kundenanforderung beauftragt, kauft einen jährlich wiederkehrenden Kostenblock für ein Dokument, das niemand anfordert.