Gute Sicherheitsstandards lassen sich leicht behaupten, doch entscheidend ist, sie auch nachweisen zu können.
Frontify hat erfolgreich sein erstes SOC 2 Type 2 Audit abgeschlossen. Die unabhängige Prüfung bestätigt nicht nur, dass unsere Sicherheitskontrollen wirksam konzipiert sind, sondern auch, dass sie über einen definierten Zeitraum hinweg zuverlässig funktionieren.
Bewertet werden Unternehmen anhand der Trust Services Criteria (TSC) des American Institute of Certified Public Accountants (AICPA): Sicherheit, Verfügbarkeit, Integrität der Verarbeitung, Vertraulichkeit und Datenschutz.
Wir haben mit Fleur-Catherine Glogger, Manager Information Security Governance & Deputy CISO bei Frontify, darüber gesprochen, was hinter dem Audit steckt, welchen Mehrwert es für unsere Kund:innen bietet und warum erfolgreiche Informationssicherheit nur gemeinsam gelingt.
Fleur, beginnen wir ganz von vorne: Warum hat sich Frontify für ein SOC 2 Type 2 Audit entschieden?
Sicherheit gehört bei Frontify seit dem ersten Tag zu unseren Prioritäten. Über die Jahre haben wir eine solide Grundlage geschaffen, unter anderem mit ISO 27001, aber auch mit spezialisierten Standards wie TISAX (Trusted Information Security Assessment Exchange) und Cyber Essentials.
Compliance war für uns nie eine Sammlung von Zertifikaten. Jedes Framework bietet die Chance, unsere Prozesse weiterzuentwickeln und unsere Sicherheitsstandards kontinuierlich zu verbessern.
Mit unserem Wachstum und der zunehmenden Zusammenarbeit mit Kunden aus Großunternehmen – insbesondere in den USA – wurde SOC 2 zu einer der häufigsten Anforderungen in Sicherheitsprüfungen. Das Audit war deshalb sowohl der nächste logische Schritt in unserer Sicherheitsstrategie als auch eine Antwort auf die Erwartungen unserer Kund:innen.
Für alle, die mit dem Thema noch nicht vertraut sind: Was genau ist SOC 2 Type 2?
Entgegen der weit verbreiteten Annahme ist SOC 2 keine Zertifizierung, sondern eine Attestierung. Das bedeutet, dass unabhängige Auditor:innen einen detaillierten Prüfbericht erstellen, anstatt ein Zertifikat auszustellen.
Ein SOC 2 Type 2 Audit bestätigt, dass ein Unternehmen nicht nur über dokumentierte Sicherheitsprozesse verfügt, sondern diese auch konsequent im Alltag umsetzt.
Der Unterschied zwischen Typ 1 und Typ 2 ist einfach:
Typ 1 bestätigt, dass die Kontrollen zu einem bestimmten Zeitpunkt angemessen gestaltet sind.
Typ 2 bestätigt zusätzlich, dass diese Kontrollen über einen definierten Zeitraum hinweg wirksam funktioniert haben. Deshalb gilt Typ 2 als deutlich aussagekräftiger.
Unternehmen wählen den Prüfungszeitraum selbst – drei, sechs oder zwölf Monate. Wir haben mit einem Zeitraum von drei Monaten begonnen und werden diesen künftig auf zwölf Monate ausweiten. Der Prüfbericht bestätigt anschließend, dass unsere Sicherheitskontrollen während dieses Zeitraums zuverlässig funktioniert haben.
Was steckt hinter einem SOC 2 Typ 2 Audit?
SOC 2 definiert einen umfangreichen Katalog an Sicherheitskontrollen. Unternehmen müssen nachweisen, wie ihre Prozesse diese Anforderungen erfüllen.
Dafür nutzen wir Vanta, eine Plattform zur Automatisierung von Compliance-Prozessen, die mit unseren Systemen verbunden ist. Sämtliche relevanten Nachweise werden dort zentral zusammengeführt und von den Auditor:innen geprüft.
Zu Beginn des Audits liefen die Prüfungen eher im Hintergrund. Im weiteren Verlauf kontrollierten die Auditor:innen aktiv, ob wir beispielsweise Sicherheitslücken innerhalb unserer definierten Service-Level-Agreements schließen, Awareness-Trainings durchführen oder regelmäßige Zugriffsprüfungen vornehmen.
Ein Audit dieser Größenordnung ist nur möglich, wenn viele Teams eng zusammenarbeiten.
Warst du zuversichtlich, dass das Audit erfolgreich verläuft?
Ehrlich gesagt: Es war eine Mischung aus Zuversicht und Nervosität.
SOC 2 legt einen starken Fokus auf technische Kontrollen. Da unsere Systeme direkt mit Vanta verbunden sind, werden sie praktisch kontinuierlich überwacht. Während bei einem ISO-Audit gezielt einzelne Nachweise angefragt werden, entsteht hier ein deutlich umfassenderes Bild.
Wir wussten, dass unser Sicherheitsprogramm solide aufgestellt ist. Trotzdem bleibt eine gewisse Anspannung – schließlich unterscheiden sich auch Auditor:innen in ihrer Herangehensweise.
Was bedeutet das Audit für Kund:innen und potentielle Neukund:innen?
An unserem Produkt oder unseren Services ändert sich nichts.
Wir investieren seit Jahren konsequent in Informationssicherheit und arbeiten bereits heute mit zahlreichen Kunden aus Großunternehmen zusammen, die auf unsere Sicherheitsstandards vertrauen.
Den größten Unterschied erwarten wir im Beschaffungsprozess. Sicherheitsprüfungen bei Unternehmen im Enterprise-Segment dauern oft Wochen oder sogar Monate, und viele Fragen wiederholen sich.
Mit dem SOC 2 Type 2 Bericht können wir unsere bestehenden Sicherheitskontrollen transparent dokumentieren und nachweisen, dass sie im Alltag wirksam funktionieren. Das vereinfacht die Zusammenarbeit sowohl für die Sicherheitsteams unserer Kund:innen als auch für unsere eigenen Teams – und schafft mehr Zeit für das Wesentliche: Sicherheit kontinuierlich weiterzuentwickeln.
Dass unsere bestehenden Kund:innen während des Audits keine Veränderungen bemerkt haben, ist für uns ein positives Zeichen. Wir mussten weder unsere Prozesse grundlegend anpassen noch unser Produkt verändern.
Wie geht es beim Thema Sicherheit weiter?
Für uns ist kein Framework eine einmalige Aufgabe, die mit dem Audit abgeschlossen ist.
Jeder Standard, den wir einführen, hilft uns dabei, unsere Sicherheitsprozesse kontinuierlich weiterzuentwickeln.
Im nächsten Schritt werden wir den Beobachtungszeitraum für SOC 2 von drei auf zwölf Monate verlängern und den Geltungsbereich dort erweitern, wo es sinnvoll ist.
Darüber hinaus möchten wir unsere Compliance-Prozesse weiter automatisieren. Noch immer besteht ein großer Teil der Arbeit darin, Nachweise zu sammeln und zu dokumentieren. Deshalb investieren wir gezielt in Automatisierung und KI, um Compliance noch effizienter und kontinuierlicher umzusetzen – damit wir uns auf das konzentrieren können, was wirklich zählt: die Sicherheit unseres Unternehmens.
Was bedeutet dieses Audit für dich persönlich?
Ich bin seit fast sechseinhalb Jahren bei Frontify und war die zweite Person im Security-Team.
Natürlich bin ich stolz auf das erfolgreiche Audit. Noch mehr freut mich aber, wie weit wir als Unternehmen gekommen sind.
SOC 2 bestätigt etwas, woran ich schon immer geglaubt habe: Ein erfolgreiches Sicherheitsprogramm entsteht nicht allein im Security-Team.
Dafür braucht es Engineering, DevOps, People Teams, Commercial Teams – letztlich das gesamte Unternehmen. Jede und jeder trägt Verantwortung für Sicherheit.
Dieses Audit zeigt, was möglich ist, wenn alle an einem Strang ziehen. Deshalb möchte ich mich auch bei allen Frontify-Mitarbeitenden bedanken. Manche waren stärker in das Projekt eingebunden als andere, aber ohne die Unterstützung des gesamten Unternehmens wäre dieser Erfolg nicht möglich gewesen.
Der SOC 2 Type 2 Bericht ist über unser Trust Center auf Anfrage erhältlich.
Wenn ihr mehr über Informationssicherheit bei Frontify erfahren möchtet, kontaktiert uns gerne unter security@frontify.com.