SOC 2 vs. C5 vs. ISO 27001: Welches Zertifikat brauche ich wirklich?

SOC 2 ist ein Bestätigungsbericht der AICPA, der vor allem im US-Markt Vertrauen schafft und Kontrollen zu einem Stichtag (Type I) oder über einen Zeitraum (Type II) prüft. Der BSI C5:2026 ist ein deutscher Kriterienkatalog speziell für Cloud-Dienste, geprüft durch Wirtschaftsprüfer und besonders relevant für KRITIS-nahe und regulierte Branchen. ISO 27001 ist ein international anerkanntes Rahmenwerk für ein unternehmensweites Informationssicherheits-Managementsystem (ISMS). Die drei Standards schließen sich nicht aus, sondern werden in der Praxis häufig kombiniert.

Die Frage "welches Zertifikat brauche ich" lässt sich nicht pauschal beantworten. Entscheidend ist, wer den Nachweis von Ihnen verlangt: ein US-amerikanischer Kunde, ein deutscher Konzern mit Cloud-Anforderungen, oder eine internationale Ausschreibung mit ISMS-Pflicht. SOC 2, C5 und ISO 27001 beantworten unterschiedliche Fragen und richten sich an unterschiedliche Zielgruppen. Wer den Unterschied kennt, wählt gezielter statt auf Verdacht zu zertifizieren. Der folgende Vergleich ordnet die drei Standards entlang der Kriterien ein, die in der Praxis tatsächlich über die Wahl entscheiden.

SOC 2 ist streng genommen keine Zertifizierung, sondern ein Bericht (Attestation), der von einer AICPA-lizenzierten Wirtschaftsprüfungsgesellschaft ausgestellt wird. Auch deutsche Prüfungsgesellschaften können SOC-2-Prüfungen durchführen, sofern sie entsprechend lizenziert sind. Geprüft werden die sogenannten Trust Services Criteria: Security ist verpflichtend, die übrigen vier Kriterien (Availability, Processing Integrity, Confidentiality, Privacy) wählen Sie je nach Geschäftsmodell aus. Ein Type-I-Bericht bewertet die Ausgestaltung der Kontrollen zu einem Stichtag, ein Type-II-Bericht deren Wirksamkeit über einen Zeitraum von mehreren Monaten. Mehr zum Ablauf finden Sie in unserem Leitfaden zur SOC-2-Prüfung.

BSI C5:2026 ist ein Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik, speziell für Cloud-Dienste. Die aktuelle Fassung umfasst 168 Kriterien in 17 Themengebieten und wird durch Wirtschaftsprüfer testiert. Besonders relevant ist C5 für Cloud-Anbieter mit Kunden aus KRITIS-nahen, behördlichen oder stark regulierten Branchen.

ISO 27001 (aktuell in der Fassung ISO 27001:2022) ist kein cloud- oder branchenspezifischer Katalog, sondern ein Rahmenwerk für ein unternehmensweites Informationssicherheits-Managementsystem. Im Kern verlangt die Norm ein systematisches ISMS: Risikobewertung, dokumentierte Richtlinien und ein Katalog von Sicherheitsmaßnahmen aus Annex A (Begriffserklärung im Glossar), aus dem Unternehmen die für sie relevanten auswählen und begründen.

Die folgende Tabelle ordnet die drei Standards entlang der Kriterien ein, die in der Praxis tatsächlich über die Wahl entscheiden.

Der auffälligste Unterschied liegt nicht im Geltungsbereich, sondern in der Prüfmethodik. SOC 2 schreibt keine konkreten Kontrollen vor, sondern verlangt von Unternehmen, selbst zu belegen, dass sie die gewählten Trust Services Criteria erfüllen. Das gibt Flexibilität, macht die Vorbereitung aber auch anspruchsvoller, weil es keine fertige Checkliste gibt, an der man sich abarbeiten kann. ISO 27001 und C5 gehen den umgekehrten Weg: Beide legen einen definierten Katalog vor, aus dem Unternehmen die für sie relevanten Maßnahmen auswählen und begründen. Das macht die Vorbereitung greifbarer, verlangt aber eine sorgfältige Auseinandersetzung mit jedem einzelnen Kriterium.

Der zweite wesentliche Unterschied betrifft die Tiefe der Cloud-Betrachtung. ISO 27001 deckt Informationssicherheit für die gesamte Organisation ab, cloud-spezifische Fragen wie Rechtsraum, Zugriffe aus Drittstaaten oder Datenverarbeitung durch Subunternehmer sind dort nicht der Kernfokus. C5 wurde genau für diese Fragen entwickelt und bildet sie in der aktuellen Fassung C5:2026 durch neue Kriterien zu Container-Management, Supply-Chain-Management und Post-Quanten-Kryptographie noch differenzierter ab.

Die drei Standards schließen sich nicht gegenseitig aus. In der Praxis bewährt sich häufig ein gestuftes Vorgehen: ISO 27001 liefert das organisationsweite ISMS als Fundament, C5 und SOC 2 setzen als spezifischere Nachweise darauf auf. Wer bereits ein ISMS nach ISO 27001 betreibt, hat einen erheblichen Teil der Dokumentation, Risikobewertung und Prozesssteuerung bereits vorliegen, die auch für ein C5-Testat oder einen SOC-2-Bericht benötigt wird. Doppelarbeit lässt sich dadurch spürbar reduzieren.

Umgekehrt gilt: Ein C5-Testat oder ein SOC-2-Bericht ersetzt kein ISMS. Beide sind zeitraumbezogene Prüfungsurteile zu einem klar abgegrenzten Gegenstand, kein Nachweis für ein unternehmensweites Sicherheitsmanagement. Wer beide Ebenen benötigt, etwa weil sowohl ein internationaler Ausschreibungspartner ein ISMS-Zertifikat als auch ein deutscher Cloud-Kunde ein C5-Testat verlangt, plant die Vorbereitung idealerweise von Anfang an integriert statt nacheinander. Mehr zur praktischen Umsetzung einer solchen Kombination lesen Sie in unserem Vergleich C5:2026 gegenüber C5:2020.

Nicht jede Prüfungsgesellschaft deckt alle drei Standards gleich gut ab. Vor der Beauftragung lohnt sich ein Blick auf vier Punkte:

• Nachweisbare Erfahrung mit dem konkreten Standard, nicht nur allgemeine IT-Audit-Kompetenz
• Branchenkenntnis, insbesondere bei KRITIS-nahen, regulierten oder Cloud-spezifischen Anforderungen
• Erfahrung mit kombinierten Prüfungen, wenn mehrere Standards gleichzeitig oder nacheinander angestrebt werden
• Referenzen aus vergleichbaren Unternehmensgrößen, da sich Aufwand und Prüftiefe zwischen KMU und Mittelstand deutlich unterscheiden können