ISO 27001 oder SOC 2: Was Einkäufer im DACH-Raum wissen müssen

Wer Kundenservice, Sachbearbeitung oder IT-Leistungen auslagert, muss prüfen, ob der Dienstleister Informationen angemessen schützt. In Ausschreibungen und Lieferantenfragebögen tauchen dafür zwei Begriffe auf: ISO 27001 und SOC 2. Beide beschreiben Informationssicherheit, funktionieren aber grundlegend anders. Dieser Artikel erklärt die Unterschiede und zeigt, welcher Nachweis für Unternehmen im DACH-Raum in der Regel der passende ist.

ISO 27001 zertifiziert ein Managementsystem.

ISO/IEC 27001 ist die internationale Norm für ein Informationssicherheits-Managementsystem (ISMS). Sie beschreibt kein Produkt, sondern ein System aus Richtlinien, Rollen, Risikobewertung und Maßnahmen für die gesamte Organisation oder einen klar abgegrenzten Teil davon.

Die Kapitel 4 bis 10 regeln Aufbau, Betrieb und Verbesserung des ISMS, von der Kontextanalyse bis zur Managementbewertung.
Anhang A enthält in der aktuellen Fassung von 2022 einen Katalog von 93 Maßnahmen in vier Themen: organisatorisch, personell, physisch und technologisch.
In der Erklärung zur Anwendbarkeit (Statement of Applicability) legt das Unternehmen fest, welche Maßnahmen es anwendet und warum andere ausgeschlossen sind.

Geprüft wird durch eine akkreditierte Zertifizierungsstelle in zwei Stufen. Das Zertifikat gilt drei Jahre, dazwischen finden jährliche Überwachungsaudits statt. Zertifikate nach der alten Fassung von 2013 mussten bis Ende Oktober 2025 auf die Fassung von 2022 umgestellt werden. Achten Sie deshalb darauf, dass ein vorgelegtes Zertifikat auf ISO/IEC 27001:2022 lautet. In Deutschland bietet das BSI zusätzlich eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz an, die vor allem im öffentlichen Sektor verbreitet ist.

SOC 2 ist ein Prüfbericht nach US-Regeln.

SOC 2 ist kein Zertifikat, sondern ein Prüfbericht nach den Regeln des US-Berufsverbands der Wirtschaftsprüfer (AICPA). Eine CPA-Prüfungsgesellschaft bewertet die Kontrollen eines Dienstleisters anhand der Trust Services Criteria. Pflicht ist das Kriterium Sicherheit, wählbar sind Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz.

Typ I bewertet, ob die Kontrollen zu einem Stichtag angemessen gestaltet sind.
Typ II prüft zusätzlich, ob sie über einen Beobachtungszeitraum, meist mehrere Monate, tatsächlich gewirkt haben.

Der Bericht wird in der Regel nur unter Vertraulichkeitsvereinbarung an Kunden weitergegeben. SOC 2 ist vor allem im US-Markt verbreitet, besonders beim Einkauf von Software und Cloud-Diensten.

Die Unterschiede liegen in Nachweisform, Prüfer und Markt.

Merkmal	ISO/IEC 27001	SOC 2
Art des Nachweises	Zertifikat über ein Managementsystem	Prüfbericht über Kontrollen eines Systems oder Dienstes
Geltungsbereich	Organisation oder definierter Teilbereich	meist ein konkreter Dienst oder eine Systemumgebung
Prüfer	akkreditierte Zertifizierungsstelle	CPA-Prüfungsgesellschaft
Veröffentlichung	Zertifikat kann öffentlich gezeigt werden	Bericht meist vertraulich
Rhythmus	Zertifikat drei Jahre, jährliche Überwachung	Bericht in der Regel jährlich neu
Marktrelevanz	international, stark in Europa und bei öffentlichen Auftraggebern	vor allem USA

Inhaltlich überschneiden sich beide deutlich: Zugriffs- und Berechtigungskonzepte, Umgang mit Sicherheitsvorfällen, Änderungsmanagement, Verschlüsselung, Risikobewertung und Schulung kommen in beiden vor. Wer eines umgesetzt hat, kann Dokumentation und Nachweise für das andere weitgehend wiederverwenden.

Welcher Nachweis passt?

Kunden und Auftraggeber im DACH-Raum, öffentliche Ausschreibungen, regulierte Branchen: ISO 27001 ist der gängige Nachweis und wird häufig als Mindestkriterium verlangt.
Überwiegend US-amerikanische Kunden: SOC 2 Typ II wird dort im Einkauf oft erwartet.
Gemischte Kundschaft: Beides nacheinander aufbauen. Der zweite Nachweis ist dann eine Erweiterung, kein eigenes Großprojekt.

Für Unternehmen, die einen Dienstleister im DACH-Raum auswählen, ist die Frage meist schnell beantwortet: ISO 27001 ist der verbreitete Standard. Ein SOC-2-Bericht kann zusätzlich hilfreich sein, ersetzt aber die Prüfung nach DSGVO nicht.

Ein Zertifikat ersetzt nicht die Prüfung nach DSGVO.

Weder ISO 27001 noch SOC 2 belegen automatisch, dass die Verarbeitung personenbezogener Daten rechtmäßig ist. Wer einen Dienstleister beauftragt, braucht zusätzlich einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO mit technischen und organisatorischen Maßnahmen. Prüfen Sie außerdem:

Deckt der Geltungsbereich des Zertifikats die Standorte und Leistungen ab, die Sie beauftragen?
Ist das Zertifikat gültig, und wann ist das nächste Überwachungsaudit?
Wer hat zertifiziert, und ist die Stelle akkreditiert?
Wo werden Ihre Daten gespeichert und verarbeitet?

Für Kontaktcenter gibt es mit DIN EN ISO 18295-1 außerdem eine eigene Norm für die Servicequalität, die Informationssicherheit sinnvoll ergänzt.

So ist aLIVE Support aufgestellt.

aLIVE Support ist deutschsprachiger Kundenservice aus Rumänien oder Deutschland für Unternehmen im DACH-Raum. Anbieter ist die aLIVE Support S.R.L. Sie ist eigenständig durch ISOTRANS nach ISO/IEC 27001:2022 zertifiziert, außerdem nach ISO 9001, DIN EN ISO 18295-1, ISO 22301 und ISO 14001. Auch die Schwestergesellschaft aLIVE-Service GmbH ist nach diesen fünf Normen zertifiziert. Den Datenschutz regeln wir über Auftragsverarbeitungsverträge nach Art. 28 DSGVO mit beschriebenen technischen und organisatorischen Maßnahmen, Projektdaten liegen auf Servern in Deutschland. Details finden Sie auf der Seite zu unseren Zertifikaten.

Fazit.

ISO 27001 und SOC 2 sind keine Konkurrenten, sondern Nachweise für unterschiedliche Märkte. Im DACH-Raum ist ISO 27001 in der Fassung von 2022 der Maßstab. Prüfen Sie bei jedem Dienstleister Geltungsbereich, Gültigkeit und Auftragsverarbeitung, statt sich allein auf ein Logo zu verlassen. Welche Datenschutzmaßnahmen im Kundenservice sofort umsetzbar sind, zeigt der Beitrag zum DSGVO-konformen Kundenservice.