Wenn Sie B2B-SaaS an Unternehmenskunden in Deutschland, der Schweiz oder Österreich verkaufen, werden Sie die SOC-2-Frage in fast jedem Verkaufsprozess begegnen. Enterprise-Procurement-Teams bei DAX-40-Unternehmen, Schweizer Banken und großen deutschen Mittelständlern fordern zunehmend SOC-2-Typ-II-Berichte als Bedingung für den Vertragsabschluss.
SOC 2 vs. ISO 27001: Was DACH-Unternehmen wirklich fordern
SOC 2 ist ein amerikanischer Standard (AICPA). ISO 27001 ist der internationale Standard, den DACH-Unternehmen häufig bevorzugen. Bei Schweizer Banking-Kunden ist ISO 27001 meist erforderlich. Die Controls überlappen sich erheblich — ein Unternehmen, das SOC 2 Typ II abgeschlossen hat, hat ca. 70 % der für ISO-27001-Zertifizierung notwendigen Arbeit bereits erledigt.
Die 12-Monats-SOC-2-Roadmap
Monate 1–2: Readiness-Assessment
Bevor Sie Geld für Tooling oder Prüfer ausgeben, verstehen Sie, wo Sie stehen. Ein Readiness-Assessment kartiert Ihre aktuellen Controls gegen SOC-2-Anforderungen und identifiziert Lücken.
- Inventar aller Datenflüsse: welche Daten erfassen Sie, wo liegen sie, wer hat Zugriff
- Mapping bestehender Security-Controls zu TSC-Anforderungen
- Kritische Lücken identifizieren: Access Management, Verschlüsselung, Logging, Incident Response
- Compliance-Automatisierungsplattform auswählen (Vanta, Drata, Tugboat Logic)
Monate 3–6: Controls-Implementierung
- SSO und MFA für alle kritischen Systeme einführen
- Endpoint Detection and Response (EDR) auf allen Unternehmensgeräten deployen
- Access-Review-Prozesse formalisieren (mindestens quartalsweise)
- Informationssicherheitsrichtlinien schreiben und ratifizieren
- Log-Aggregation und Security-Monitoring implementieren (SIEM)
- Vendor-Risk-Assessment-Prozess etablieren
- Incident-Response-Plan erstellen und testen
Monate 7–9: Evidenzerhebung und Beobachtungszeitraum
SOC 2 Typ II erfordert einen Mindest-Beobachtungszeitraum — typischerweise 6 Monate — in dem Sie Belege sammeln, dass Ihre Controls konsistent funktionieren.
Monate 10–12: Audit und Bericht
Beauftragen Sie ein zugelassenes CPA-Büro für die Prüfung. Budgetieren Sie CHF 20.000–40.000 für das Audit selbst. Der Prüfer überprüft Ihre Belege, führt Gespräche mit Schlüsselpersonen und erstellt den SOC-2-Typ-II-Bericht.
Budget-Benchmarks
- Compliance-Automatisierungsplattform: CHF 12.000–25.000/Jahr
- Security-Tooling (EDR, SIEM, SSO): CHF 20.000–40.000/Jahr
- Prüfungsgebühren: CHF 20.000–40.000 (einmalig für initialen Typ II)
- Engineering-Zeit für Controls-Implementierung: 200–400 Stunden
- Jährliche Re-Zertifizierung: ca. 50 % der Erstkosten