Fragt man eine Gründerin oder einen Gründer, der gerade das erste SOC-2-Type-II-Audit hinter sich hat, was sie am meisten überrascht hat, sagt fast niemand „die Rechnung des Prüfers". Sie sagen: der Kalender. Der Bericht, den man am Ende erhält, ist keine Momentaufnahme der eigenen Sicherheit an einem einzigen Tag — er ist ein benotetes Zeugnis für jede einzelne Woche über drei bis zwölf Monate hinweg, und im Nachhinein lässt sich dafür nicht mehr pauken.
Genau diese eine Tatsache erklärt fast alles andere an SOC 2 Type II: warum es mehr kostet, als die meisten erwarten, warum so viele Unternehmen sich beim Timing vertun, und warum der größte Posten meist gar nicht die Prüfungsgebühr ist.
Was SOC 2 Type II wirklich prüft
SOC 2 basiert auf fünf „Trust Services Criteria" — Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz —, wobei fast jedes Startup für seinen ersten Bericht nur das Kriterium Sicherheit verfolgt und Verfügbarkeit erst später ergänzt, wenn Uptime-SLAs für die Kunden relevant werden.
Der Unterschied, der den meisten Kopfzerbrechen bereitet, ist Type I gegenüber Type II:
- Type I beantwortet die Frage „Waren Ihre Kontrollen zu genau diesem einen Stichtag korrekt konzipiert?" Es handelt sich um eine Stichtagsaufnahme, günstiger und schneller — und oft das, was ein Startup zuerst benötigt, um einen Deal freizugeben.
- Type II beantwortet die Frage „Haben diese Kontrollen über Monate hinweg tatsächlich und konsistent funktioniert?" Ein Prüfer nimmt während eines Beobachtungszeitraums — typischerweise drei bis zwölf Monate — stichprobenartig Nachweise, um zu prüfen, ob Zugriffsüberprüfungen planmäßig stattgefunden haben, ob ausgeschiedene Mitarbeitende tatsächlich ihren Zugriff verloren haben, ob Backups tatsächlich liefen, und so weiter.
Type II ist das, was die meisten Enterprise-Kunden letztlich in einem Sicherheitsfragebogen verlangen, und es kostet typischerweise 30–50 % mehr als Type I — wegen des längeren Beobachtungszeitraums und der tiefergehenden Prüfung der Nachweise.
Die tatsächliche Kostenaufschlüsselung
Marketing-Seiten von Anbietern zitieren gerne isoliert die Prüfungsgebühr, weil sie die kleinste erschreckende Zahl ist. Für ein kleines SaaS-Unternehmen liegt das eigentliche Audit-Mandat üblicherweise bei $12,000–$60,000, abhängig vom Umfang, dem Ruf des Prüfers und der Anzahl der einbezogenen Systeme. Doch die Prüfungsrechnung ist nur ein Baustein eines viel größeren Bildes — realistisch gesehen etwa 40 % der Gesamtausgaben für einen erstmaligen SOC-2-Type-II-Bericht.
So sieht das vollständige Budget für das erste Jahr in der Regel aus:
| Kostenposten | Typische Bandbreite | Anmerkungen |
|---|---|---|
| Prüfungsgebühr (Wirtschaftsprüfer) | $12,000–$60,000 | Skaliert mit der Anzahl der Systeme, Mitarbeitenden und Standorte im Prüfungsumfang |
| Readiness-Assessment | $5,000–$25,000 | Gap-Analyse vor dem eigentlichen Audit; oft der am wirkungsvollsten investierte Dollar |
| Compliance-Automatisierungssoftware | $5,000–$30,000/Jahr | Vanta, Drata, Secureframe usw. — automatisiert die Nachweiserfassung |
| Penetrationstests | $5,000–$15,000 | Vom SOC-2-Standard selbst nicht immer vorgeschrieben, aber häufig von Enterprise-Kunden gefordert |
| Externe Beratung/vCISO-Unterstützung | $5,000–$25,000 | Für Teams ohne interne Sicherheitsexpertise |
| Interne Arbeitszeit | Oft der größte Kostenpunkt, selten eingeplant | Ein Projektverantwortlicher mit 50–100 % Auslastung über 4–6 Monate, plus Stunden aus Engineering, HR und Recht |
Zählt man alles zusammen, landet ein realistisches Gesamtbudget für das erste Jahr bei einem SaaS-Unternehmen mit 10–50 Mitarbeitenden irgendwo zwischen $25,000 und $80,000, wobei größere oder komplexere Umgebungen die $100,000 überschreiten können. Ab dem zweiten Jahr sollte man mit $15,000–$40,000 jährlich für den Erhalt der Zertifizierung rechnen — die Gebühr für das Re-Audit plus laufende Softwareabonnements, denn SOC 2 ist kein einmaliges Abzeichen, sondern eine wiederkehrende Verpflichtung.
Die Zahl, die fast alle überrascht, ist die interne Arbeitszeit. Jemand im Team — meist eine Engineering-Leitung, eine Gründerin oder ein Gründer, oder eine neu eingestellte Compliance-Fachkraft — muss das Projekt über den Großteil von zwei Quartalen hinweg verantworten. Das sind reale Personalkosten, die nie auf der Rechnung des Prüfers auftauchen, aber den tatsächlichen Preis stärker prägen als jeder Vertrag mit einem Anbieter.
Warum der Beobachtungszeitraum die eigentliche Einschränkung ist
Bei der Budgetierung von SOC 2 Type II dreht sich letztlich alles um das Timing, denn einen kürzeren Beobachtungszeitraum kann man sich nicht erkaufen. Wenn Ihre Kontrollen erst seit drei Monaten konsistent funktionieren, ist das der früheste Zeitpunkt, zu dem ein dreimonatiges Type-II-Fenster abgeschlossen werden kann. Startet man die Uhr zu früh — bevor Zugriffsüberprüfungen, MFA-Durchsetzung und Protokollierung tatsächlich vorhanden sind —, sammelt man den gesamten Beobachtungszeitraum über Ausnahmen an, die der Prüfer vertraglich verpflichtet ist zu melden.
Das ist der mit Abstand häufigste Fehler beim ersten Audit: Der Vertrieb verspricht einem wichtigen Interessenten „SOC 2 in drei Monaten", obwohl die Organisation nicht einmal ihr Readiness-Assessment abgeschlossen hat. Realistisch braucht SOC 2 sechs bis zwölf Monate ab dem Start bei null, und der Versuch, diesen Zeitplan zu komprimieren, sprengt entweder den Deal oder erzeugt einen Bericht voller notierter Ausnahmen — was in einem Vertriebsgespräch schlimmer sein kann, als überhaupt keinen Bericht zu haben.
Ein sauberer Ablauf sieht so aus:
- Readiness-Assessment (Wochen 1–4). Lücken bei Zugriffskontrolle, Protokollierung, Vendor-Management und Richtliniendokumentation identifizieren, bevor überhaupt etwas „in scope" ist.
- Behebung (Wochen 4–12). Die Lücken schließen: MFA überall durchsetzen, gemeinsam genutzte Konten entfernen, eine echte Offboarding-Checkliste aufsetzen, unterschriebene Auftragsverarbeitungsverträge von Anbietern wie AWS, Stripe oder dem eigenen E-Mail-Provider einholen.
- Der Beobachtungszeitraum beginnt erst, wenn die Kontrollen live sind (3–12 Monate). Das ist der Teil, der sich nicht beschleunigen lässt — er ist buchstäblich die Definition von Type II.
- Prüfungsdurchführung und Berichtserstellung (4–8 Wochen nach Abschluss des Zeitraums).
Fehler, die die Rechnung wirklich in die Höhe treiben
In den Rückblicken von Unternehmen, die das zum ersten Mal durchlaufen haben, tauchen immer wieder dieselben Muster auf:
- Den Scope zu breit fassen. Jedes System, jede Umgebung und jede Tochtergesellschaft in den Scope aufzunehmen, vervielfacht die Nachweise, die Prüfer stichprobenartig prüfen müssen. Die meisten SaaS-Unternehmen brauchen beim ersten Mal nur ihre Produktionsumgebung und die Kern-SaaS-Plattform im Scope — nicht jedes interne Tool.
- Nachweise manuell sammeln. Screenshots und Tabellen für ein 6–12-Monats-Fenster können 50–100 Stunden manueller Arbeit verschlingen, die eine Automatisierungsplattform für $5,000–$15,000 pro Jahr durchgängig hätte erfassen können. Genau hier bestätigen sich meist die Behauptungen der Anbieter, „Software senke die Gesamtkosten um 30–50 %" — denn die Alternative ist, eine Person dafür zu bezahlen, es von Hand zu erledigen.
- Compliance als Problem eines einzelnen Teams behandeln. Wenn sich nur die Sicherheitsleitung um SOC 2 kümmert, stufen alle anderen ihren Anteil daran herab, und Lücken tauchen erstmals während des eigentlichen Audits auf — der denkbar schlechteste Zeitpunkt, um sie zu entdecken.
- Vendor-Risikomanagement ignorieren. Prüfer erwarten, dass Sie die SOC-2-Berichte (oder gleichwertige Nachweise) Ihrer eigenen kritischen Anbieter geprüft haben und unterschriebene Auftragsverarbeitungsverträge vorlegen können. Dies zu überspringen ist einer der am häufigsten genannten Befunde bei Erstaudits.
- Vergessen, dass organisatorische Kontrollen genauso wichtig sind wie technische. Starke Verschlüsselung und Netzwerksicherheit gleichen fehlende Governance-Artefakte nicht aus — einen dokumentierten Risikobewertungsprozess, eine Vendor-Management-Richtlinie, einen Incident-Response-Plan, der tatsächlich getestet wurde.
Die Wahl des Prüfers: Big Four vs. Boutique-Firma
Das Audit selbst muss von einer lizenzierten Wirtschaftsprüfungsgesellschaft durchgeführt werden, doch „lizenzierte Wirtschaftsprüfungsgesellschaft" umfasst eine enorme Bandbreite — von Big-Four-Namen bis zu Boutique-Kanzleien, die sich fast ausschließlich auf SOC-2-Arbeit für Startups spezialisiert haben. Für ein Unternehmen mit weniger als 50 Mitarbeitenden ist eine Boutique- oder mittelgroße Kanzlei bei Preis und Geschwindigkeit meist die bessere Wahl:
- Boutique-/Spezialkanzleien bieten tendenziell niedrigere Gebühren, arbeiten schneller, weil SOC 2 ihr Kerngeschäft ist und nicht nur eine von vielen Dienstleistungssparten, und kommen besser mit schlanken, Cloud-nativen Umgebungen zurecht (eine Handvoll SaaS-Tools statt eines eigenen Rechenzentrums).
- Big Four und große regionale Kanzleien genießen mehr Markenbekanntheit, was wichtig sein kann, wenn Ihre angestrebten Enterprise-Kunden gezielt fragen „Wer ist Ihr Prüfer?" — doch Gebühren und Zeitpläne fallen meist proportional größer aus, und eine auf Fortune-500-Kunden ausgerichtete Praxis ist bei den Nachweisformaten eines Zehn-Personen-Startups mitunter weniger flexibel.
Holen Sie sich Angebote von mindestens zwei oder drei Kanzleien, bevor Sie sich festlegen. Fragen Sie jede direkt, wie viele SOC-2-Type-II-Audits sie pro Jahr für Unternehmen Ihrer Größe durchführen — ein Prüfer, der überwiegend Jahresabschlussprüfungen macht und SOC 2 nur nebenbei anbietet, braucht in der Regel länger und stellt weniger relevante Fragen als jemand, der diese Arbeit täglich lebt.
Häufig gestellte Fragen
Kann ich Type I überspringen und direkt zu Type II übergehen? Ja, und viele Startups tun das, sobald feststeht, dass sie überhaupt SOC 2 benötigen — das Überspringen von Type I spart die Kosten für einen separaten Stichtagsbericht, sofern Sie sicher sind, dass Ihre Kontrollen bereit sind, ab dem ersten Tag des Fensters durchgängig beobachtet zu werden.
Läuft SOC 2 ab? Der Bericht selbst deckt einen festen Zeitraum ab, und Kunden erwarten in der Regel jährlich einen neuen Bericht. Deshalb ist die oben genannte Erhaltungskosten-Größe von $15,000–$40,000/Jahr kein optionaler Zusatzaufwand — es sind die Kosten dafür, bei jedem Verlängerungsgespräch einen Bericht griffbereit zu haben, der weniger als 12 Monate alt ist.
Brauchen wir jedes Jahr einen Penetrationstest? SOC 2 selbst schreibt das nicht zwingend vor, aber ein großer Teil der Enterprise-Sicherheitsfragebögen verlangt es, weshalb die meisten Unternehmen unabhängig von der Forderung ihres Prüfers zusätzlich zum Audit einen jährlichen Pen-Test einplanen.
Was ist der schnellste realistische Zeitplan für einen ersten Type-II-Bericht? Selbst im aggressivsten Fall — Kontrollen größtenteils bereits vorhanden, ein dreimonatiges Beobachtungsfenster und ein zügig arbeitender Prüfer — sind sechs Monate vom Start bis zum finalen Bericht eine realistische Untergrenze. Wer für einen allerersten Type-II-Bericht drei Monate verspricht, macht entweder in Wahrheit ein Type I oder bereitet ein überstürztes Audit voller Ausnahmen vor.
Richtig budgetieren
Da die Prüfungsgebühr nur einen Bruchteil der tatsächlichen Kosten ausmacht, sollten Sie in dieser Reihenfolge budgetieren:
- Zuerst die interne Arbeitszeit. Schätzen Sie die vollen Kosten dafür, dass jemand vier bis sechs Monate lang die Hälfte seiner Zeit darauf verwendet, bevor der Beobachtungszeitraum überhaupt beginnt, plus ein geringeres fortlaufendes Engagement während des Fensters selbst.
- Dann das Readiness-Assessment. Es ist der am wirkungsvollsten investierte Dollar im gesamten Prozess — jede Lücke, die es vor Beginn des Beobachtungszeitraums findet, wird nie zu einer Audit-Ausnahme.
- Danach die Automatisierungssoftware. Selbst bei $10,000–$20,000/Jahr zahlt sie sich meist von selbst aus, indem sie die oben beschriebene manuelle Nachweiserfassung überflüssig macht.
- Zuletzt Prüfungsgebühr und Pen-Test, sobald der Scope feststeht und Ihr Prüfer ein Angebot auf Basis Ihrer tatsächlichen Umgebung abgegeben hat statt einer generischen Schätzung.
Genau hier zahlt sich saubere Finanzbuchhaltung still und leise aus. Die Nachweisanfragen eines SOC-2-Prüfers betreffen nicht nur Server und Zugriffsprotokolle — er möchte auch sehen, dass Anbieterverträge, Rechnungen und Zahlungen für Sicherheitstools konsistent erfasst werden, sodass ein Prüfer (oder das eigene Team sechs Monate später) genau nachvollziehen kann, was wann und warum angeschafft wurde. Gründerinnen und Gründer, die bereits eine disziplinierte, versionierte Ausgabenerfassung führen, empfinden diesen Teil des Audits als deutlich weniger mühsam als solche, die sich alles aus einem wirren Mix von E-Mail-Belegen und vergessenen Abonnements zusammensuchen müssen.
Vereinfachen Sie Ihr Finanzmanagement
Zwischen Readiness-Assessments, Anbieterverträgen und einem Compliance-Software-Abonnement, das jahrelang in Ihren Büchern auftaucht, hinterlässt ein SOC-2-Vorhaben eine reale Spur von Ausgaben, für die Sie zur Steuerzeit und beim nächsten Audit saubere Aufzeichnungen brauchen. Beancount.io bietet Plain-Text-Buchhaltung, die transparent, versionskontrolliert und leicht an einen Prüfer oder Steuerberater weiterzugeben ist, ohne zuerst ein Black-Box-Tool entwirren zu müssen. Jetzt kostenlos starten und halten Sie Ihre Finanzunterlagen genauso prüfbar wie die Sicherheitskontrollen, die Sie aufbauen.