In Wochen auditbereit statt in Monaten. Die Agenten von GetTeddy ordnen Ihre Controls den Trust Services Criteria zu und sammeln Nachweise für jeden Tag des Zeitraums. Ein Compliance Engineer hilft Ihnen bei der Vorbereitung auf die Prüfungsphase.
Geprüft von Sven Moritz, ehemaliger CISO · Oktober 2026
TeddyCertification Agent×SOC 2 ist selten das einzige Framework, nach dem Ihre Kunden fragen. GetTeddy führt ein gemeinsames Control-Set für alle Frameworks. Was Sie jetzt umsetzen, zählt später auch für ISO 27001, TISAX® oder NIS2.
Beispiel aus einem Demo-Unternehmen. Ihre Zahlen liefert Ihr erstes Gap-Audit.
Die Agenten von GetTeddy bereiten das Programm vor und betreiben es. Sie geben frei, die Prüfungsgesellschaft prüft.
GetTeddy fragt, was Ihre Kunden erwarten und welche Systeme Ihren Service erbringen, und schlägt dann die Trust Services Criteria, die Berichtsart und den Beobachtungszeitraum vor.
GetTeddy ordnet Ihre Controls jedem gewählten Kriterium zu und zeigt, wo einem Kriterium noch ein Control fehlt oder ein Control keinen Verantwortlichen hat.
Der Policy Agent entwirft Policies und die Systembeschreibung aus Ihrem Setup, damit beide beschreiben, wie Ihr Service tatsächlich läuft.
Der Evidence Agent holt regelmäßig Nachweise aus verbundenen Tools. Ein fehlender Nachweis fällt auf, solange Sie ihn noch dokumentieren können, also vor Beginn der Prüfung.
AWS CloudTrail exportDaily
Entra ID access reviewsMonthlyDie Vorbereitung dauert Monate, bevor der Beobachtungszeitraum überhaupt beginnt. Erstmalige Nachbesserungen und Nachweise brauchen oft allein 4 bis 16 Wochen.
Mit GetTeddyIn wenigen Wochen bereitIhr Beobachtungszeitraum kann sofort beginnen. Die Controls sind den Trust Services Criteria zugeordnet, und Nachweise laufen ab dem ersten Tag. Ein Type-I-Bericht kann direkt folgen.
Ein Type-II-Bericht blickt auf den gesamten Zeitraum zurück. Ein Control, das nicht gelaufen ist, lässt sich nachträglich nicht belegen, und jede Abweichung, die der Auditor findet, steht in dem Bericht, den Ihre Kunden lesen.
GetTeddy entwirft die Systembeschreibung aus dem tatsächlichen Betrieb Ihres Produkts.
Der Evidence Agent sammelt Nachweise für jeden Monat, den der Auditor prüft.
Verbinden Sie Cloud-, Login-, HR- und Code-Tools einmalig. Der Zugriff ist nur lesend.
In der Woche vor der Prüfung macht jemand Screenshots, die Logs aus dem Juni sind abgelaufen, und das Access Review liegt in einer Tabelle. ChatGPT kann CC7.2 erklären, sieht aber nicht, ob Sie es umgesetzt haben. GetTeddy sammelt über den ganzen Zeitraum Nachweise aus Ihren Systemen und meldet einen fehlenden Nachweis, solange Sie noch reagieren können.
SOC 2 ist eine Attestierung, keine Zertifizierung. Eine zugelassene CPA-Firma prüft Ihre Controls gegen die Trust Services Criteria des AICPA und stellt einen Bericht aus, den Ihre Kunden lesen können.
Security mit den Common Criteria CC1 bis CC9 ist immer im Scope. Availability, Confidentiality, Processing Integrity und Privacy kommen hinzu, wenn sie für Ihre Kunden wichtig sind.
Ihre Services, Infrastruktur, Software, Personal, Daten und Abläufe im Scope, einschließlich Subservice-Organisationen wie Ihrem Cloud-Anbieter.
Kontrollumfeld, Kommunikation und Information, Risikobeurteilung, Überwachungs- und Kontrollaktivitäten. Die Grundlage, auf der die technischen Controls aufbauen.
Logischer und physischer Zugriff, Systembetrieb, Change Management und Risikominderung, einschließlich Lieferanten und Betriebsunterbrechungen.
Ein Type-I-Bericht bewertet die Ausgestaltung der Controls zu einem Stichtag. Ein Type-II-Bericht prüft zusätzlich, ob sie über einen Zeitraum wirksam waren, meist drei bis zwölf Monate.
Das Prüfungsurteil, die Management Assertion und die Systembeschreibung. Ein Type-II-Bericht enthält zusätzlich die durchgeführten Tests und gefundene Abweichungen.
Fällt in einem Type-II-Zeitraum ein Quartals-Review aus, führt der Bericht das als Ausnahme auf. Drei saubere Quartale gleichen das nicht aus. Auditoren prüfen, ob Sie tun, was Ihre eigene Policy vorgibt. Legen Sie deshalb einen Rhythmus fest, den Sie einhalten können.
Der Auditor zieht Stichproben aus Produktiv-Deployments des ganzen Zeitraums. Notfalländerungen ohne nachträgliches Review sind in technikgetriebenen Teams eine häufige Ausnahme.
Das Offboarding ist dokumentiert, aber kein Ticket zeigt, dass Zugriffe rechtzeitig entzogen wurden. Nachweise müssen während des Zeitraums entstehen. Am Ende lassen sie sich nicht rekonstruieren.
Nein. SOC 2 ist ein Attestierungsbericht. Eine zugelassene CPA-Firma prüft Ihre Controls gegen die Trust Services Criteria des AICPA und gibt ihr Urteil ab. GetTeddy bereitet das Programm und die Nachweise vor, das Urteil bildet die Prüfungsgesellschaft.
Ja. Wir stellen unabhängige CPA-Firmen zusammen, die zu Ihrem Scope und Zeitplan passen, und begleiten die ersten Gespräche. Ein Compliance Engineer hilft Ihnen bei der Vorbereitung auf das Readiness Review und die Prüfungsphase.
Ein Type-I-Bericht bewertet die Ausgestaltung Ihrer Controls zu einem Stichtag. Ein Type-II-Bericht prüft zusätzlich, ob sie über einen Zeitraum wirksam waren. Enterprise-Kunden verlangen meist Type II.
Viel. GetTeddy bildet beide auf ein gemeinsames Control-Set ab. SOC 2 ergänzt die Systembeschreibung, die gewählten Kriterien und die Prüfung über den Beobachtungszeitraum.
In der Region Ihrer Wahl: EU, Deutschland oder USA. Die Daten jedes Kunden werden getrennt und verschlüsselt gespeichert. GetTeddy verbindet sich standardmäßig nur lesend und trainiert nicht mit Kundendaten. Details finden Sie auf unserer Security-Seite.
Ein Type-II-Bericht deckt einen Zeitraum ab. Die meisten Unternehmen starten den nächsten Zeitraum sofort, damit die Berichte lückenlos aufeinander folgen. Für die Zeit bis zum nächsten Bericht kann das Management einen Bridge Letter ausstellen. GetTeddy sammelt durchgehend weiter Nachweise.
Sehen Sie es in einer 30-minütigen Demo an Ihren eigenen Systemen.
# soc2-audit11