Auf dieser Seite
Braucht eine kleine Agentur einen SOC-2-Bericht?
Das hängt von deinen Dienstleistungen ab und davon, was der Kunde tatsächlich verlangt. Frag, ob ein SOC-2-Bericht Pflicht ist, welche deiner Dienstleistungen er abdecken muss und welche Alternativen die prüfende Person akzeptiert.
Wenn der Käufer ausdrücklich einen verlangt, ersetzt ihn nichts anderes. Ein Sicherheitstool oder ein Nachweis über deine Geräte kann eine SOC 2-Prüfung nicht ersetzen.
Was ist SOC 2?
Was SOC 2 ist.
Eine externe Firma prüft, wie ein Unternehmen, das Kunden betreut, deren Systeme und Daten schützt. Sie folgt dabei den Standards des AICPA, des amerikanischen Berufsverbands der Wirtschaftsprüfer. Das Ergebnis ist ein unterschriebener Bericht.
Es ist ein Bericht über eine Dienstleistung in einem festgelegten Umfang, geschrieben vom Prüfer. Du bekommst ihn nicht, indem du Software installierst, und er deckt nur ab, was er nennt.
Warum grössere Kunden fragen
Über ein Drittel
der Unternehmen haben einen Auftrag verloren, weil ihnen eine Sicherheitszertifizierung fehlte. Frag früh, was jeder Kunde braucht.
Quelle: A-LIGN Compliance Benchmark Report
30%
der von Verizon untersuchten Datenlecks betrafen einen Dritten, etwa einen Lieferanten. Deshalb prüfen grössere Kunden ihre Lieferanten, Agenturen eingeschlossen.
Quelle: Verizon DBIR 2025
Frag, worauf sich die Anforderung bezieht.
Ein vielversprechendes Projekt landet beim Einkauf, und jemand fragt nach SOC 2. Bevor du irgendetwas kaufst, finde heraus, worum es bei der Anfrage geht: um deine Agentur, um Software, die du für den Kunden betreibst, oder um den Cloud-Anbieter, der das System des Kunden hostet. Das sind drei verschiedene Dinge. Ein Bericht, der zu einem deiner Lieferanten gehört, deckt nicht die Arbeit ab, die dein eigenes Team macht.
Bitte die prüfende Person, die Dienstleistung, den Umfang, den Berichtstyp und die Frist zu nennen. Finde heraus, ob die Anforderung Pflicht ist oder ob es für kleine Lieferanten eine dokumentierte alternative Prüfung gibt. Hol dir diese Antwort früh, bevor dein Team Wochen in ein Angebot steckt, das auf der Hoffnung beruht, dass der Einkauf eine Ausnahme macht.
aus einer vagen Anfrage eine Entscheidung machendrei Schritte
- 1
Kläre, was dieser Kunde verlangt.
Ist der Bericht Pflicht, oder akzeptiert die prüfende Person eine Alternative?
- 2
Grenze die Dienstleistung und die betroffenen Systeme ab.
Welche deiner Dienstleistungen, welcher Berichtstyp, welcher Zeitraum und welche Frist.
- 3
Entscheide.
Erfüll die Anforderung, oder vereinbare eine Alternative, die der Kunde akzeptiert.
Zählt der Bericht unseres Cloud-Anbieters?
Dein Bericht oder der deines Lieferanten.
Ein Bericht gehört zu dem Unternehmen, das geprüft wurde. Der Bericht deines Cloud-Anbieters deckt dessen Dienst ab. Er deckt nicht ab, wie dein eigenes Team arbeitet, wer auf deiner Seite an Kundendaten kommt oder wie du Zugänge übergibst.
Er kann trotzdem helfen, Fragen zum Hosting zu beantworten. Frag die prüfende Person, ob er für den Teil der Arbeit reicht, den sie meint.
Versteh, was ein SOC-2-Bericht wirklich ist.
SOC 2 ist eine externe Prüfung der Kontrollen bei einem Unternehmen, das einen Dienst anbietet, nach den Standards des AICPA, und zugleich der Bericht, der daraus entsteht. Ein Type 1-Bericht betrachtet die Kontrollen an einem Stichtag. Ein Type 2-Bericht betrachtet auch, wie sie über einen Zeitraum gewirkt haben. Lege den passenden Umfang mit einer qualifizierten Fachperson fest.
Es ist ein Bericht über deine Dienstleistung. Es ist kein Siegel, das du installierst.
Bei einer Agentur können zur geprüften Dienstleistung Menschen, Entwicklungsprozesse, Cloud-Systeme und Kundeninformationen gehören, genauso wie Laptops. Ein Nachweis über deine Macs deckt nur einen Teil davon ab. Nenn einen Geräte-Score, eine Zuordnung zu einem Framework oder einen ausgefüllten Fragebogen nie eine SOC-2-Zertifizierung. Verwende den echten Namen und Umfang der Nachweise, die du hast.
| Nachweis | Was er beantworten kann | Was er nicht sagen kann |
|---|---|---|
| Ein SOC-2-Berichtverfasst von einem externen Prüfer | Wie die Kontrollen der geprüften Dienstleistung gegriffen haben, an einem Stichtag oder über einen Zeitraum, innerhalb des Umfangs, den der Bericht nennt. | Alles ausserhalb des Umfangs, den er nennt. |
| Ein datierter Nachweis über deine Macsgeführt von einem Tool wie Cybee | Welche technischen Kontrollen auf den erfassten Macs gegriffen haben, und seit wann. | Wie Änderungen freigegeben werden, worin Freelancer geschult wurden oder was in deinen Richtlinien steht. Er ist keine SOC-2-Prüfung. |
| Ein ausgefüllter Fragebogenbeantwortet von deinem Team | Deine Antworten auf die Fragen eines Kunden, soweit deine Nachweise reichen. | Alles, was die Nachweise hinter den einzelnen Antworten nicht zeigen. |
Type 1 oder Type 2. Was ist der Unterschied?
Type 1 und Type 2.
Ein Bericht nach Type 1 beschreibt den Stand deiner Kontrollen an einem Stichtag. Ein Bericht nach Type 2 prüft zusätzlich, ob sie über einen Zeitraum hinweg funktioniert haben. Die Nachweise für diesen Zeitraum müssen also zuerst da sein.
Frag die prüfende Person, welchen Typ sie braucht, bevor du mit irgendjemandem über eine Prüfung sprichst.
Hinweise des Herausgebers: AICPA: System and Organization Controls services
Bereite eine brauchbare Antwort vor, während die Anforderung geklärt wird.
Stell ein kleines Nachweispaket für die Arbeit zusammen, die du anbietest. Ins Paket gehören die beteiligten Geräte, wie Zugänge vergeben und wieder entzogen werden, wie die betreffenden Konten geschützt sind, deine Backups, die Schulung und wer sich um einen Vorfall kümmert. Markiere, was du noch nicht weisst und was fehlt. Sag, welche Personen und Systeme jeder Nachweis abdeckt, statt zu behaupten, die ganze Agentur sei sicher.
Ein Beispiel: Die prüfende Person fragt, ob alle, die an ihrem Projekt arbeiten, ein geschütztes Gerät nutzen. Ein datierter Nachweis für die erfassten Macs hilft, diese Gerätefrage zu beantworten. Er zeigt nicht, wie Änderungen am Live-System freigegeben werden oder ob jeder Freelancer seine Schulung abgeschlossen hat. Gib diese Fragen an die Person weiter, die für diesen Teil der Arbeit zuständig ist.
Nachweispaket für ein Angebot26.09.2026
- Geräte im Projekt26.09.2026Bereit
- Zugänge vergeben und entzogenAnaBereit
- Anmeldeschutz der KontenLucaBereit
- Backups und ein WiederherstellungstestLucaOffen
- SchulungAnaOffen
- Wer sich um einen Vorfall kümmertAnaBereit
Zwei Punkte offen, jeder mit einer zuständigen Person. Nichts in diesem Paket ist ein SOC-2-Bericht.
Halte die Nachweise aktuell, statt sie einmal im Jahr zu sammeln.
Viele kleine Teams behandeln Sicherheitsnachweise als jährliche Pflicht. In der Woche vor einer Prüfung macht jemand Screenshots der Einstellungen und legt sie in einen Ordner. Der Ordner stimmt für genau einen Nachmittag.
Sagen wir, eine Agentur mit fünf Leuten macht ihre Screenshots im März. Im Juni wird ein Laptop ersetzt, und der neue bekommt nie Festplattenverschlüsselung. Niemand merkt es bis zum nächsten März, und ein sorgfältiger Prüfer, der fragt, seit wann die Verschlüsselung an ist, bekommt ein Achselzucken. Ein Nachweis aus Prüfungen, die weiterlaufen, beantwortet diese Frage, weil jede Tatsache ihr eigenes Datum trägt.
Auf den Macs macht Cybee genau das. Jeder Mac prüft sich drei Minuten nach dem Beitritt selbst und danach alle 12 Stunden, und eine Einstellung, die sich verstellt hat, wird zurückgesetzt und festgehalten. Der Nachweis zeigt, was heute gilt und seit wann. Er deckt nur die technischen Kontrollen auf den bewerteten Macs ab, Konten, Backups und Menschen brauchen also eigene Nachweise.
| Die Frage | Ein Ordner, einmal im Jahr angelegt | Prüfungen, die weiterlaufen |
|---|---|---|
| Was zeigt es? | Wie die Dinge am Tag der Screenshots standen. | Wie die Dinge an jedem Tag seit Beginn der Überwachung standen. |
| Ein Laptop ändert sich im Juni | Der Ordner weiss es nicht, bis jemand ihn neu macht. | Die nächste Prüfung sieht es, und der Nachweis zeigt das Datum. |
Cybee zeigt, wie die Einstellungen auf deinen Macs zu zehn Frameworks passen, darunter SOC 2, ISO 27001, HIPAA, PCI DSS und NIST CSF. Es ordnet nur technische Kontrollen auf Macs zu. Die Tabelle zeigt, was dir das für drei Namen bringt, die ein Kunde nennen kann, und was bei dir bleibt.
| Name, den ein Kunde nennt | Was ein Mac-Nachweis zeigen kann | Was bei dir bleibt |
|---|---|---|
| SOC 2eines der zehn | Welche Gerätekontrollen auf den bewerteten Macs galten, etwa Festplattenverschlüsselung und Bildschirmsperre, und seit wann. | Die Prüfung selbst, deine Richtlinien, wie Änderungen freigegeben werden, deine Leute und deine Cloud-Systeme. |
| HIPAAdas US-Gesetz zum Schutz von Gesundheitsdaten, dessen Security Rule eines der zehn ist | Die technischen Kontrollen auf den Macs, die Patientendaten verarbeiten, mit Datum. | Deine schriftliche Risikobewertung, wer Patientenakten in anderen Systemen öffnen darf und jede Richtlinie und jeder Vertrag drumherum. |
| DSGVOdas Datenschutzgesetz der EU, keines der zehn | Eine Sicherheitsmassnahme, die das Gesetz als Beispiel nennt: Verschlüsselung, gezeigt als Festplattenverschlüsselung auf den aufgeführten Macs. | Fast alles andere, was das Gesetz verlangt: warum du personenbezogene Daten hältst, mit wem du sie teilst, wie du eine Löschanfrage beantwortest. |
Die DSGVO ist ein Gesetz, keine Liste von Kontrollen. Ihr Artikel 32 verlangt Sicherheitsmassnahmen, die zum Risiko passen, und nennt Verschlüsselung als ein Beispiel. Ein Mac-Nachweis stützt diesen einen Teil der Antwort. Er erfüllt die DSGVO oder HIPAA nicht für dich. Frag also, wenn ein Kunde eines davon nennt, welche Anforderungen er meint.
Was ist ein Framework?
Ein Framework.
Ein Framework ist eine veröffentlichte Liste von Kontrollen, die eine Organisation umsetzen und belegen können sollte. SOC 2 und ISO 27001 sind solche Listen. Ein Gesetz wie die DSGVO ist etwas anderes: Es legt Pflichten fest, und die Listen helfen dir, sie zu erfüllen.
Zuordnen heisst, etwas, das du zeigen kannst, etwa Festplattenverschlüsselung auf einem Mac, der Zeile einer Liste zuzuordnen, die danach fragt.
Triff die Entscheidung anhand deiner echten Vertriebspipeline.
Wenn mehrere ernsthafte Interessenten den Bericht verlangen, sprich mit einem qualifizierten Anbieter über die Prüfung, die Vorbereitung und das, was du danach dauerhaft tun müsstest. Frag, was dein Team tun muss, welche Nachweise sich mit der Zeit ansammeln müssen und wie der Umfang den Auftrag verändert. Halte ein Plattform-Abo weder für die gesamten Kosten noch für ein Versprechen, dass jeder Kunde das Ergebnis akzeptiert.
Wenn ein einzelner Interessent fragt und deine Dienstleistung nur einen kleinen Teil seiner Systeme berührt, kann es sich lohnen, über eine alternative Prüfung zu sprechen. Ob das akzeptabel ist, entscheidet der Kunde. Bleib in diesem Gespräch ehrlich. Es kann auf drei Arten enden.
-
mehrere verlangen es
Erfüll die Anforderung.
Plane die Prüfung mit einem qualifizierten Anbieter, und fang an, die Nachweise zu führen, die sie braucht.
-
ein Kunde fragt
Vereinbare eine Alternative.
Deine Arbeit berührt nur einen kleinen Teil seiner Systeme. Schlag eine andere Prüfung vor, und wenn der Kunde sie akzeptiert, lass dir das schriftlich geben.
-
Pflicht, ausser Reichweite
Diesen Auftrag noch nicht.
Dieser Auftrag passt vielleicht nicht dazu, wie deine Agentur heute arbeitet. Sag das früh.
Sorg dafür, dass deine Sicherheitsarbeit von heute in jedem Fall nützt.
Schütze deine Arbeitsgeräte, prüfe, wer Zugriff hat, halte Software aktuell und schreibe die Entscheidungen deines Teams auf. Das hilft dem Unternehmen, ob eine externe Prüfung nächsten Monat oder nächstes Jahr kommt. Gib jeder Aufgabe eine verantwortliche Person und halte die Unterlagen aktuell. Ein Ordner, der einmal für ein Verkaufsgespräch angelegt wurde, veraltet, wenn sich Menschen und Systeme ändern.
Cybee deckt die Mac-Seite ab: Schutz, die 118 Prüfungen, sichere Einstellungen, die aktiv bleiben, und datierte Nachweise. Die Liste der KI-Tools und ihrer Verbindungen hilft, die Tools rund um die Arbeit zu erklären. Konten und Schulung brauchen je eine eigene Unterlage. Nutze jeden Nachweis nur in dem Umfang, den er angibt. Ziel ist, in ein grösseres Kundengespräch zu gehen und zu wissen, was du zeigen kannst, was noch offen ist und was der Käufer wirklich verlangt.
Was genau ist ein Trust Passport?
Der Trust Passport.
Der Trust Passport ist ein datierter Nachweis darüber, wie deine Macs geschützt sind. Dein Kunde oder Versicherer öffnet ihn über einen Link und sieht, was erfüllt ist, seit wann, und was Cybee nicht sehen konnte. Er ist keine Zertifizierung und kein Audit, und er bürgt nicht für deine Richtlinien, deine Leute oder deine Cloud. Das steht auch auf der Seite.
Cybee kann also die Antworten zu den Geräten in einer Prüfung stützen. Einen SOC-2-Bericht ersetzt es nicht.
Cybee und Vanta: wofür beide gemacht sind Die Pläne ansehen Beantworte die Verlängerungsfragen zu deinen Macs Was der Trust Passport zeigt
Fünf Schritte zum Start in dieser Woche.
Du brauchst keinen Projektplan. Du brauchst eine Anfrage, eine kurze Liste und eine Gewohnheit.
fang mit einer Anfrage anfünf Schritte
- 1
Nimm die eine Anfrage, die vor dir liegt.
Ein Kunde, ein Dienst. Frag, was er abdeckt, bevor du etwas sammelst.
- 2
Liste auf, wo jeder Nachweis liegt.
Geräte, Konten, Training, Backups, Vorfälle. Neben jedem ein Name.
- 3
Wechsle zu Prüfungen, die weiterlaufen.
Ersetze jeden Screenshot durch eine Prüfung, die sich wiederholt und ihr Datum behält. Für die Macs ist das der kostenlose Schutz und die 118 Prüfungen.
- 4
Behebe die erste Lücke und schreib auf, warum.
Eine Lücke geschlossen, eine Zeile dazu, wer entschieden hat. Lass den Rest sichtbar, statt ihn zu verstecken.
- 5
Schau jeden Monat noch einmal hin.
Trag es in den Kalender ein. Öffne den Nachweis, lies, was sich geändert hat, und aktualisiere die Verantwortlichen.
Was du dir merken solltest.
- Frag, ob der Kunde einen Bericht verlangt oder eine andere Prüfung akzeptiert.
- Ein Tool oder ein Nachweis über deine Geräte ist keine SOC-2-Prüfung.
- Richte deinen nächsten Schritt nach dem echten Umfang und der echten Frist einer konkreten Verkaufschance aus.
- Nachweise, die du aktuell hältst, schlagen einen Ordner, der einmal angelegt wurde. Datiere jede Tatsache und benenne ihren Verantwortlichen.
Quellen und weiterführende Lektüre.
- AICPA: System and Organization Controls services
- NCSC (Vereinigtes Königreich): Sicherheitsleitfaden für kleine Organisationen
- Die offizielle Rechtsseite der EU: Verordnung (EU) 2016/679, Artikel 32 zur Sicherheit der Verarbeitung
- US-Gesundheitsministerium: Zusammenfassung der HIPAA Security Rule
Produktumfang und Hinweise der Anbieter können sich ändern. Prüfe die verlinkte Quelle für dein eigenes Setup. Ein Begriff unklar? Schlag ihn im Sicherheitsglossar nach.
Setz es in die Praxis um.
Sieh, wie die Sicherheitsfragen eines Kunden aus datierten Fakten beantwortet werden und welche Fragen noch bei deinem Team liegen.
