Wer führt ein SOC-2-Audit durch?

Ein SOC-2-Audit führt eine lizenzierte CPA-Firma durch, also eine zugelassene US-Wirtschaftsprüfungsgesellschaft. Die Compliance-Software, mit der Sie sich auf das Audit vorbereiten, führt es nicht durch, kann den Bericht nicht ausstellen und hat dafür keine Zulassung. SOC 2 ist eine Prüfung, die das AICPA festlegt und regelt. Die sechs Plattformen aus unserem Ranking für Compliance-Software automatisieren die Arbeit vor und nach dem Audit: Nachweiserfassung, Richtlinienverwaltung und kontinuierliche Überwachung der Kontrollen. Das Audit selbst ist ein eigener Auftrag bei einer anderen Firma, mit einer Ausnahme in diesem Markt.

Wer darf ein SOC-2-Audit durchführen?

Für A-LIGN, eine lizenzierte Prüfungsgesellschaft, ist ein SOC-2-Bericht eine unabhängige Bestätigung, wie wirksam die Kontrollen eines Unternehmens für Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz sind: „an independent attestation that evaluates the effectiveness of a company’s controls as they relate to Security, Availability, Processing Integrity, Confidentiality, and Privacy.“ Das AICPA kündigt Maßnahmen gegen Auditoren an, die nicht nach den Berufsstandards geprüft haben, nicht am Peer Review teilnehmen oder keine Zulassung haben, im Wortlaut: „found to have not performed audits in accordance with professional standards, not been enrolled in peer review, and/or are unlicensed.“ Teilnahme am Peer Review und Zulassung sind die Kriterien, die das AICPA selbst nennt.

Wenn ein Unternehmen Vanta oder Drata zur Vorbereitung nutzt, sammelt die Plattform die Nachweise und ordnet sie den Trust Services Criteria zu. Eine separate CPA-Firma prüft diese Nachweise und unterschreibt den Bericht.

Was Compliance-Plattformen statt des Audits leisten

Jede der sechs Plattformen aus unserem Vergleich von Compliance-Software regelt das Verhältnis zwischen Plattform und Audit anders. Fünf vermitteln Sie an einen externen Auditor. Eine führt das Audit selbst durch.

Vanta gibt Kunden Zugang zu seinem Netzwerk von Auditoren oder lässt sie einen eigenen Auditor mitbringen. Vanta nennt beide Optionen. Zu den namentlich genannten Partnern gehören A-LIGN und Schellman, und laut Vanta sehen Auditoren, die in der Plattform arbeiten, die zugrunde liegenden Testdaten. Die Plattform bereitet die Nachweise vor, eine Partner-CPA-Firma prüft sie und bestätigt das Ergebnis.

Drata betreibt einen Audit Hub, der als Kommandozentrale für die Kommunikation mit Ihrem Auditor beschrieben wird. Die Auditor Alliance von Drata nennt mehr als 175 Prüfungsgesellschaften, darunter A-LIGN, Coalfire und Armanino. Drata gibt nicht an, das Audit selbst durchzuführen. Das Modell ähnelt dem Ansatz von Vanta: Vorbereitung in der Plattform, Audit bei einer externen Firma.

Secureframe bietet Zugang zum Secureframe Audit Partner Network. Secureframe beschäftigt außerdem mehr als 30 interne Compliance-Fachleute und ehemalige Auditoren, die Kunden durch den Prozess begleiten. Den Prüfungsauftrag selbst übernimmt eine Partnerfirma.

Sprinto bietet Zugang zu einem namentlich benannten Netzwerk von Audit-Partnern und unterstützt auch einen selbst gewählten Auditor. Die Plattform enthält ein Modul für das Audit-Management, in dem Auditoren die Nachweise direkt in der Plattform prüfen. Das Audit führt Sprinto aber nicht durch.

Scrut stellt ein Audit Center bereit, in dem Auditoren Nachweise teilen und verfolgen. Zu seinem Partnernetzwerk von Auditoren gehören Connor Consulting, 360 Advanced und Sensiba. Die Plattform dient als Arbeitsbereich für das Audit, der Auditor kommt von außen.

Thoropass ist unter den sechs der einzige Anbieter, der das Audit über eine eigene Firma liefert. Thoropass beschreibt sein Audit als expertengeführt, gestützt auf Thoropass ALP und mit Unterstützung durch eigene Auditoren: „expert-led audits powered by Thoropass ALP“ mit „in-house auditor support“. Plattform-Abonnement und Audit-Abonnement werden zusammen auf AWS Marketplace verkauft, ab 8.700 USD pro Jahr für die Plattform und ab 5.800 USD pro Jahr für ein SOC-2-Audit. Damit ist Thoropass in dieser Auswahl die einzige Plattform, bei der Sie Software und Audit von einem Unternehmen kaufen können.

Type 1 und Type 2: was der Auditor prüft

Ein Audit nach SOC 2 Type 1 beurteilt, ob die Kontrollen zu einem einzigen Zeitpunkt angemessen gestaltet sind. Ein Audit nach SOC 2 Type 2 beurteilt Gestaltung und Wirksamkeit dieser Kontrollen über einen Beobachtungszeitraum, meist 3 bis 12 Monate. Laut A-LIGN schafft ein Type-2-Bericht bei Kunden und Partnern mehr Vertrauen, weil er die Wirksamkeit der Sicherheitskontrollen detaillierter und sichtbarer macht: „a Type II provides a greater level of trust to a customer or partner as the report provides a greater level of detail and visibility to the effectiveness of the security controls an organization has in place.“

Ein Type-1-Bericht ist ein gültiger Einstieg. Ein Type-2-Bericht deckt einen längeren Zeitraum ab und schafft, wie A-LIGN es formuliert, mehr Vertrauen („provides a greater level of trust“). Die Compliance-Plattformen helfen bei beiden Typen, weil sie die laufende Nachweiserfassung automatisieren, die ein Beobachtungszeitraum nach Type 2 verlangt. Vanta, Sprinto und Drata beschreiben die kontinuierliche Überwachung jeweils als Kernfunktion. Diese Überwachung liefert genau die laufenden Nachweise, die ein Auftrag nach Type 2 erfordert.

Was das Audit kostet

A-LIGN schätzt die Kosten eines SOC-2-Audits auf 20.000 bis 150.000 USD oder mehr. Die Summe hängt von Unternehmensgröße, Komplexität der Systeme, Prüfungsumfang und davon ab, ob das Unternehmen einen Bericht nach Type 1 oder Type 2 anstrebt. Diese Gebühr geht an die CPA-Firma, getrennt von jedem Plattform-Abonnement.

Die Compliance-Plattformen haben eigene Abonnementkosten, die zur Audit-Gebühr hinzukommen. Die Listenpreise für den Einstieg reichen von 7.500 USD pro Jahr für den Tarif Fundamentals von Secureframe bis 15.000 USD pro Jahr. Bei 15.000 USD liegen Scrut und das Foundation Package von Drata für 1 bis 50 Mitarbeitende. Ein separater Eintrag von Drata für eine Organisation mit 100 Personen kostet 32.500 USD mit einem Framework. Unsere Preisstudie erfasst die Listenpreise der Anbieter und die Preise auf AWS Marketplace.

Bei fünf der sechs Anbieter sind Plattformgebühr und Audit-Gebühr getrennte Posten. Thoropass ist die Ausnahme: Sein Eintrag auf AWS Marketplace bündelt ein Plattform-Abonnement (ab 8.700 USD pro Jahr) mit einem Audit-Abonnement (ab 5.800 USD pro Jahr für SOC 2).

Warum das AICPA diesen Markt beobachtet

Das AICPA gibt an, anonymen Vorwürfen zu den Geschäftspraktiken eines Compliance-Anbieters nachzugehen, der Leistungen für Systems and Organization Control (SOC) anbietet. Es kündigt Maßnahmen an, falls Auditoren nicht nach den Berufsstandards geprüft haben, nicht am Peer Review teilnehmen oder keine Zulassung haben: „found to have not performed audits in accordance with professional standards, not been enrolled in peer review, and/or are unlicensed, the AICPA will take action.“

Im Februar 2026 erschien im Journal of Accountancy ein Beitrag mit dem Titel „Promises of ‘fast and easy’ threaten SOC credibility“. Er warnt, dass der anhaltende Druck hin zu SOC-Leistungen im Massengeschäft auf Kosten von Qualität und Objektivität gehen könnte. Die Mitteilung des AICPA nennt den untersuchten Anbieter nicht, und wir spekulieren hier nicht darüber.

Diese Bedenken unterstreichen die Trennung zwischen Plattform und Audit. Eine Compliance-Plattform, die die Nachweiserfassung automatisiert, erledigt eine andere Aufgabe als die CPA-Firma, die die Nachweise prüft. Die Plattform beschleunigt die Vorbereitung. Die Prüfung selbst ersetzt sie nicht.

So wählen Sie einen Auditor

Mehrere Plattformen bieten eine Vorauswahl geprüfter Auditoren. Secureframe nennt ein Audit Partner Network. Vanta, Drata und Sprinto bieten jeweils Zugang zu einem eigenen Netzwerk von Auditoren, und Sprinto unterstützt einen selbst gewählten Auditor. Thoropass liefert das Audit über die eigene CPA-Firma, damit ist die Frage nach dem Auditor schon beim Kauf beantwortet.

Die Mitteilung des AICPA nennt die Kriterien, nach denen es handelt: Berufsstandards, Teilnahme am Peer Review und Zulassung. Genau diese Punkte sollten Sie bei jeder CPA-Firma prüfen, die Sie beauftragen, ob über das Netzwerk einer Plattform oder unabhängig davon.

Die Compliance-Plattform bereitet Sie vor. Die CPA-Firma prüft Sie. Das sind zwei verschiedene Aufgaben, und genau auf diese Trennung pocht das AICPA derzeit.

Wie jede Plattform diese Übergabe regelt, prägt den Ablauf ebenso stark wie der Abopreis. Die Audit-Kosten kommen zu dem hinzu, was die Plattform berechnet, außer bei Thoropass, wo beides gebündelt ist. Unser Bewertungsschema hält fest, wie der Audit-Weg jedes Anbieters funktioniert: über ein Partnernetzwerk, mit selbst gewähltem Auditor oder über eine eigene CPA-Firma. Die Preisstudie deckt die Plattformseite der Kosten ab.