SOC 2-Compliance und Dokumentenmanagement: Worauf Auditoren wirklich achten

Ein SOC 2-Audit durchdringt alle Sicherheitsversprechen und stellt eine einfache Frage: Können Sie es nachweisen?

Ihre Sicherheitsrichtlinien mögen auf dem Papier hervorragend aussehen. Ihr Engineering-Team hält sie möglicherweise konsequent ein. Doch wenn sich die freigegebene Version dieser Richtlinien irgendwo im Slack-Verlauf versteckt oder Ihre Zugriffsüberprüfungen in einer vergessenen Excel-Tabelle liegen, interessiert das den Auditor nicht. Er braucht belastbare Nachweise.

Deshalb sollte dem Dokumentenmanagement frühzeitig Aufmerksamkeit geschenkt werden. Es bietet Richtlinien, Freigabeprotokollen und Korrekturmaßnahmen einen zentralen, nachvollziehbaren Speicherort. Gleichzeitig zeigt es, dass Kontrollen Teil des täglichen Arbeitsablaufs sind – und nicht erst kurz vor dem Audit zusammengestellt wurden.

Was ist SOC 2-Compliance und warum ist Dokumentenmanagement wichtig?

SOC 2-Compliance bedeutet, dass die internen Kontrollen eines Dienstleistungsunternehmens von einer unabhängigen Wirtschaftsprüfungsgesellschaft überprüft werden. Das Framework wurde vom American Institute of Certified Public Accountants (AICPA) entwickelt und bewertet insbesondere die Bereiche Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz.

Streng genommen handelt es sich dabei um einen Attestierungsbericht und nicht um ein einfaches Zertifikat mit „Bestanden“ oder „Nicht bestanden“. In der Praxis möchten potenzielle Kunden jedoch meist nur wissen, ob eine unabhängige Wirtschaftsprüfungsgesellschaft bestätigt hat, dass Ihre Kontrollen wirksam sind.

Das Dokumentenmanagement verbindet den täglichen Geschäftsbetrieb mit den Nachweisen, die Auditoren erwarten. Ein elektronisches Dokumentenmanagementsystem (DMS) organisiert Richtlinien zentral, kennzeichnet die aktuelle Version, beschränkt Bearbeitungsrechte und speichert die vollständige Versionshistorie. Ohne diese Grundlagen wird es schwierig, die Wirksamkeit einer Kontrolle überzeugend nachzuweisen.

Nehmen wir als Beispiel eine regelmäßige Überprüfung von Benutzerzugängen. Ihre Richtlinie schreibt vor, dass Administratorrechte vierteljährlich überprüft werden. Der Auditor wird die abgeschlossene Prüfung sehen wollen – inklusive Freigabedatum, überprüfter Konten und dokumentierter Korrekturmaßnahmen. Eine leere Vorlage reicht nicht aus. Benötigt wird ein datierter, genehmigter Nachweis, der belegt, dass die Kontrolle tatsächlich durchgeführt wurde.

Die fünf Trust Services Criteria und ihre Dokumentationsanforderungen

Auditoren bewerten Ihre Kontrollen anhand der Trust Services Criteria (TSC). Diese umfassen fünf Bereiche:

• Sicherheit (Security)
• Verfügbarkeit (Availability)
• Verarbeitungsintegrität (Processing Integrity)
• Vertraulichkeit (Confidentiality)
• Datenschutz (Privacy)

Security ist die grundlegende Anforderung und gilt für jede SOC 2-Prüfung. Die übrigen Kriterien werden abhängig von Ihren angebotenen Dienstleistungen und den Zusagen gegenüber Ihren Kunden berücksichtigt.

Je nachdem, welche Kriterien für Ihr Unternehmen relevant sind, unterscheiden sich auch die erforderlichen Nachweise.

Es gibt keine universelle Checkliste, die für jedes Unternehmen funktioniert. Die erforderlichen Nachweise müssen zu Ihrer IT-Landschaft, Ihren Risiken und den von Ihnen implementierten Kontrollen passen.

Viele Unternehmen übersehen diesen Zusammenhang. Die Trust Services Criteria definieren das Ziel, Ihre Kontrollen beschreiben den Weg dorthin. Ein professionelles Records Management sorgt dafür, dass die Nachweise dieses Weges sicher gespeichert, leicht auffindbar und vollständig bleiben.

Was SOC 2-Auditoren bei Ihren Dokumentenkontrollen prüfen

Auditoren interessieren sich nicht dafür, wie schön Ihre Dokumente gestaltet sind. Sie wollen wissen, ob sie echt, vollständig und nachvollziehbar sind.

Nach den Vorgaben des AICPA müssen Auditoren ausreichende und geeignete Nachweise sammeln, um ihre Schlussfolgerungen zu stützen. In der Praxis bedeutet das, dass sie Mitarbeitende befragen, Prozesse beobachten, abgeschlossene Dokumentationen prüfen und einzelne Kontrollen selbst erneut testen.

Bei der Prüfung Ihrer Dokumente werden unter anderem folgende Fragen gestellt:

• Handelt es sich um die aktuell freigegebene Version?
• Wer hat das Dokument genehmigt?
• Erfolgte die Freigabe rechtzeitig?
• Kann der Inhalt nachträglich unbemerkt verändert werden?
• Stammt der Nachweis aus dem relevanten Auditzeitraum?
• Können Sie alle Ereignisse bereitstellen, damit der Auditor Stichproben auswählen kann?

Mit einer auditfähigen Dokumentenmanagement Umgebung lassen sich diese Fragen innerhalb weniger Minuten beantworten. Dokumente können nach Kontrollen strukturiert, rollenbasiert geschützt und dem Auditor gezielt bereitgestellt werden – ohne vertrauliche Daten unnötig in gemeinsam genutzten Ordnern offenzulegen.

Ein wichtiger Hinweis: Ein perfekt organisierter Ordner, der erst gestern erstellt wurde, ist keine Kontrolle. Die Nachweise müssen aus den tatsächlichen Arbeitsprozessen entstehen. Wird beispielsweise vierteljährlich eine Zugriffsprüfung durchgeführt, sollte genau dieser Prozess automatisch die entsprechende Dokumentation erzeugen. Gleiches gilt für Softwareänderungen, bei denen Anträge, Testergebnisse und Genehmigungen nachvollziehbar aufgezeichnet werden sollten.

Audit-Trails und Versionskontrolle: Dokumentenfunktionen, die Auditoren erwarten

Ein Audit-Trail ist die lückenlose Chronologie aller Aktivitäten rund um ein Dokument. Er zeigt, wer eine Datei geöffnet oder bearbeitet hat, welche Änderungen vorgenommen wurden, wann sie erfolgt sind und – je nach System – warum. Damit Auditoren diesen Informationen vertrauen können, dürfen normale Benutzer diese Historie weder verändern noch löschen können.

Gerade während eines Audits ist diese Nachvollziehbarkeit entscheidend. Angenommen, Ihr Incident-Response-Plan wurde während eines SOC 2 Type II-Prüfungszeitraums aktualisiert. Der Auditor möchte die vorherige Version sehen, den Zeitpunkt des Inkrafttretens der neuen Richtlinie, die Genehmigung sowie den Nachweis, dass die betroffenen Mitarbeitenden über die Änderung informiert wurden. Überschreibt Ihr System einfach die alte Datei, fehlt ein wesentlicher Teil der Dokumentation.

Hier kommt die Versionskontrolle ins Spiel. Sie trennt Entwürfe von freigegebenen Dokumenten, kennzeichnet eindeutig die gültige Version und archiviert frühere Fassungen. Dadurch arbeiten Mitarbeitende stets mit den aktuellen Richtlinien, während Auditoren eine vollständige und nachvollziehbare Änderungshistorie erhalten.

Ein aussagekräftiger Audit Trail sollte weit mehr erfassen als nur die Erstellung einer Datei. Je nach Kontrolle müssen Unternehmen nachweisen können, wer Dokumente angesehen, heruntergeladen, freigegeben oder Berechtigungen geändert hat. Ziel ist nicht die Protokollierung jedes einzelnen Klicks, sondern die vollständige Dokumentation des jeweiligen Kontexts.

Zugriffskontrollen und Aufbewahrungsrichtlinien für SOC 2

Beim Thema Zugriffsrechte gilt das Least-Privilege-Prinzip: Mitarbeitende erhalten ausschließlich die Berechtigungen, die sie für ihre Aufgaben tatsächlich benötigen. Auditoren prüfen genau, wie Zugriffe vergeben, regelmäßig überprüft und wieder entzogen werden. Ebenso interessiert sie, ob Administratoren theoretisch Audit-Nachweise manipulieren und anschließend die entsprechenden Protokolle löschen könnten.

Für besonders wichtige Audit-Dokumente empfiehlt sich eine klare Trennung der Berechtigungen. Der Dokumentenverantwortliche bearbeitet den Entwurf, eine Führungskraft genehmigt ihn, Mitarbeitende erhalten Leserechte und Auditoren – sofern erforderlich – einen zeitlich begrenzten, schreibgeschützten Zugriff. Alle diese Berechtigungen sollten vom System dokumentiert werden.

Ebenso wichtig sind Aufbewahrungsrichtlinien. Alle Dokumente unbegrenzt aufzubewahren erscheint zunächst sicher, erhöht jedoch das Risiko. Es vergrößert die Angriffsfläche für Cyberangriffe und kann sogar gegen vertragliche Verpflichtungen gegenüber Kunden verstoßen. Werden Dokumente hingegen zu früh gelöscht, fehlen möglicherweise genau die Nachweise, die während eines Audits oder eines Rechtsstreits benötigt werden.

Ein wirksames Aufbewahrungskonzept definiert für jeden Dokumententyp eine eindeutige Lebensdauer, berücksichtigt Ausnahmen und stoppt die Löschfrist bei einem sogenannten Legal Hold. Werden Datenklassifizierungen direkt mit Archivierungs- und Löschregeln verknüpft, lassen sich viele dieser Prozesse automatisieren.

SOC 2 Type I vs. Type II: Unterschiede bei den Dokumentationsnachweisen

Der Unterschied zwischen SOC 2 Type I und SOC 2 Type II wird besonders deutlich, wenn Auditoren Dokumente anfordern.

Ein Type I-Bericht bewertet die Beschreibung Ihres Systems sowie die Konzeption und Implementierung der Kontrollen zu einem bestimmten Stichtag. Sie müssen nachweisen, dass die Kontrollen an diesem Tag vorhanden und angemessen gestaltet waren.

Ein Type II-Bericht betrachtet dagegen einen längeren Prüfungszeitraum und bewertet zusätzlich, ob die Kontrollen während dieses gesamten Zeitraums wirksam funktioniert haben.

Ein praktisches Beispiel ist das Onboarding neuer Mitarbeitender. Bei einem Type I-Audit genügt häufig die aktuelle Onboarding-Richtlinie sowie die Dokumentation eines kürzlich eingestellten Mitarbeiters. Bei einem Type II-Audit fordert der Auditor dagegen eine Liste aller Neueinstellungen innerhalb der letzten Monate an, wählt daraus Stichproben aus und prüft die vollständige Dokumentation für jede einzelne Person. Unternehmen müssen daher sowohl vollständige Listen als auch sämtliche zugehörigen Nachweise jederzeit bereitstellen können.

Verwalten Sie den gesamten Dokumentenlebenszyklus – von der Erstellung bis zur Löschung –, lassen sich diese historischen Informationen innerhalb weniger Minuten bereitstellen. Gleichzeitig vermeiden Sie die oft mühsame Suche nach monatelang zurückliegenden Nachweisen kurz vor dem Audit.

So bereiten Sie Ihr Dokumentenmanagementsystem auf ein SOC 2-Audit vor

Beginnen Sie mit einer Readiness Assessment – einer vorbereitenden Analyse, mit der Schwachstellen in Ihren Kontrollen identifiziert werden, bevor das eigentliche Audit startet. Ziel ist es, grundlegende Fragen frühzeitig zu beantworten:

• Welche Systeme gehören zum Prüfungsumfang?
• Welche Trust Services Criteria sind relevant?
• Wer ist für die einzelnen Kontrollen verantwortlich?
• Wo befinden sich die erforderlichen Nachweise?

Ebenso wichtig ist eine Control Matrix. Dabei handelt es sich um eine Übersicht, die jede Kontrolle den entsprechenden Trust Services Criteria zuordnet, Verantwortlichkeiten festlegt, die erforderlichen Nachweise beschreibt und den aktuellen Prüfstatus dokumentiert. Diese Matrix sollte nicht nur für das Audit erstellt werden, sondern als zentrales Arbeitsinstrument während des gesamten Compliance-Prozesses dienen.

Ein praxisnaher Ablauf zur Vorbereitung sieht folgendermaßen aus:

1. Definieren Sie den Prüfungsumfang – Systeme, Standorte, Mitarbeitende und externe Dienstleister.
2. Sammeln Sie alle relevanten Richtlinien, Protokolle, Genehmigungen und Berichte.
3. Ordnen Sie jede Kontrolle den entsprechenden Trust Services Criteria zu und benennen Sie einen Verantwortlichen.
4. Prüfen Sie Dokumente auf fehlende Genehmigungen, unvollständige Versionshistorien und fehlerhafte Berechtigungen.
5. Lassen Sie Ihre Kontrollen über einen längeren Zeitraum im normalen Betrieb laufen und dokumentieren Sie festgestellte Probleme sowie deren Behebung.
6. Richten Sie einen sicheren, strukturierten Prozess ein, über den Auditoren Nachweise erhalten und Rückfragen stellen können.

Überprüfen Sie außerdem Ihre bestehenden Compliance- und Records-Management-Prozesse kritisch. Häufig zeigt sich dabei, dass Richtlinien nie offiziell genehmigt wurden oder Aufbewahrungsregeln zwar in einem PDF dokumentiert sind, aber im Dokumentenmanagementsystem nicht tatsächlich umgesetzt werden.

Am Ende des Vorbereitungsprozesses unterzeichnet die Unternehmensleitung die sogenannte Management Assertion. Mit dieser formellen Erklärung bestätigt sie, dass die Systembeschreibung korrekt ist und die Kontrollen – bei einem SOC 2 Type II – während des gesamten Prüfungszeitraums wirksam funktioniert haben. Diese Erklärung lässt sich wesentlich leichter verantworten, wenn sämtliche Nachweise vollständig dokumentiert sind.

Häufige Fehler im Dokumentenmanagement, die zu Audit-Feststellungen führen

Audit-Feststellungen entstehen nur selten durch spektakuläre Sicherheitsvorfälle. Meist sind sie das Ergebnis kleiner, sich wiederholender Nachlässigkeiten.

Typische Beispiele sind:

• Eine Richtlinie ohne Genehmigungsunterschrift.
• Mehrere Dateien mit Namen wie „Final_v2“.
• Eine vierteljährliche Überprüfung, die in einem Quartal vergessen wurde.
• Ein ehemaliger Mitarbeiter mit weiterhin bestehenden Administratorrechten.
• Ein Entwicklungsticket, das ohne Testergebnisse abgeschlossen wurde.

Jeder dieser Fälle führt dazu, dass Auditoren eine entscheidende Frage stellen: Hat die Kontrolle tatsächlich funktioniert?

Ein weiterer häufiger Fehler ist das Überteilen von Informationen. Anstatt ausschließlich den angeforderten Nachweis bereitzustellen, exportieren Unternehmen komplette Datenbanken oder ganze Ordner für den Auditor. Dadurch werden vertrauliche Informationen unnötig offengelegt. Gute Audit-Nachweise zeichnen sich nicht durch ihre Menge aus, sondern dadurch, dass sie exakt die benötigten Informationen enthalten – nicht mehr und nicht weniger.

Auch die Control Matrix sollte nicht als statische Excel-Tabelle behandelt werden. Stimmen ihre Inhalte nicht mit den tatsächlichen Arbeitsabläufen überein, funktionieren Verknüpfungen nicht mehr, Verantwortlichkeiten ändern sich unbemerkt, und Nachweise gehen verloren. Kontrollen sollten deshalb immer mit den tatsächlichen Geschäftsprozessen und den dabei entstehenden Dokumenten verknüpft sein. Die Nachweiserstellung sollte ein natürlicher Bestandteil des täglichen Arbeitsablaufs sein – keine zusätzliche Aufgabe kurz vor dem Audit.

Fazit

Ein auditfähiges Enterprise Content Management (ECM) reduziert den Aufwand für SOC 2-Audits erheblich. Es verwaltet Audit-Protokolle, Versionshistorien und Aufbewahrungsrichtlinien automatisch und schafft eine zentrale, nachvollziehbare Dokumentation. Technologie allein reicht jedoch nicht aus. Erst das Zusammenspiel aus klaren Richtlinien, definierten Prozessen und konsequent gelebten Arbeitsabläufen schafft eine nachhaltige SOC 2-Compliance.

KORTO unterstützt Unternehmen dabei, ihr Dokumentenmanagement mit sicherer Dokumentenspeicherung, automatisierten Workflows und integrierten Compliance-Funktionen zu optimieren. So wird Audit-Bereitschaft nicht erst kurz vor der Prüfung hergestellt, sondern zu einem festen Bestandteil des täglichen Geschäftsbetriebs.