Ein ISO-Zertifikat prüfen Sie in fünf Schritten: Zertifizierungsstelle recherchieren, Akkreditierungsstatus in der DAkkS-Datenbank oder über IAF CertSearch nachschlagen, Registernummer beim Aussteller verifizieren, Geltungsbereich mit der tatsächlichen Tätigkeit abgleichen und Gültigkeitszeitraum samt Normversion kontrollieren. Größtes Warnsignal: Zertifikate, die erkennbar ohne Audit ausgestellt wurden – sie sind als Nachweis wertlos.
Ein Lieferant schickt sein ISO-9001-Zertifikat als PDF: Siegel, Unterschrift, Registernummer – sieht offiziell aus. Nur: Ein überzeugendes PDF ist in einer Stunde gebastelt, und daneben existiert ein grauer Markt für Zertifikate, hinter denen nie ein Audit stattgefunden hat. Wer solche Dokumente ungeprüft in die Lieferantenbewertung oder eine Ausschreibung übernimmt, macht fremde Schlamperei zum eigenen Risiko – spätestens im nächsten Kundenaudit.
Die gute Nachricht: Mit wenigen Handgriffen lässt sich die Spreu vom Weizen trennen. Dieser Artikel führt durch fünf Prüfschritte, die zusammen selten mehr als 15 Minuten dauern, listet die typischen Warnsignale für Zertifikatshandel auf und zeigt, wie Sie bei einem zweifelhaften Zertifikat reagieren.
Warum Sie ISO-Zertifikate überhaupt prüfen sollten
ISO-Zertifikate sind Vertrauensdokumente ohne zentrale staatliche Registrierung. Es gibt kein Behördenregister, in dem jedes gültige Zertifikat stehen müsste – die Nachweiskette läuft über die ausstellende Zertifizierungsstelle und gegebenenfalls deren Akkreditierer. Genau das machen sich drei Problemfälle zunutze:
- Gefälschte Zertifikate: Das Dokument ist frei erfunden – die genannte Stelle existiert nicht, hat nie auditiert oder das Zertifikat wurde schlicht nachgebaut.
- Abgelaufene oder zurückgezogene Zertifikate: Das Zertifikat war einmal echt, ist aber nicht mehr gültig – etwa weil Überwachungsaudits ausblieben oder die Stelle es ausgesetzt hat. Solche Dokumente kursieren oft noch jahrelang.
- Zertifikatshandel: Eine real existierende „Stelle“ verkauft Zertifikate ohne ernsthaftes Audit. Formal existiert ein Dokument, inhaltlich sagt es nichts aus.
Relevant ist das für beide Seiten: Einkauf und Qualitätsmanagement müssen Lieferantennachweise belastbar bewerten – und wer selbst zertifiziert ist, sollte wissen, woran Kunden die Qualität seines eigenen Zertifikats messen.
Schritt 1: Den Aussteller recherchieren
Jedes Zertifikat nennt die ausstellende Zertifizierungsstelle. Der erste Schritt ist eine simple Plausibilitätsprüfung: Gibt es dieses Unternehmen wirklich – und arbeitet es wie eine Zertifizierungsstelle?
- Website und Impressum: Existiert eine ladungsfähige Anschrift? Sind handelnde Personen erkennbar? Eine reine Landingpage ohne Impressum ist ein Ausschlusskriterium.
- Geschäftsmodell: Beschreibt die Stelle einen Auditprozess mit Stufe-1- und Stufe-2-Audit, Auditoren und Überwachungsaudits – oder lässt sich dort einfach ein „Zertifikat bestellen“?
- Substanz: Vorsicht bei wohlklingenden Namen wie „Institut“, „Bundesverband“ oder „International Certification Authority“ ohne greifbare Organisation dahinter.
- Historie: Eine Stelle, die erst seit wenigen Monaten existiert und bereits hunderte Zertifikate ausgestellt haben will, verdient besondere Skepsis.
Dieser Schritt kostet fünf Minuten und entlarvt bereits die plumpen Fälle: Dokumente von Ausstellern, die es nie gab oder die erkennbar nur Papier verkaufen.
Schritt 2: Akkreditierungsstatus in der DAkkS-Datenbank prüfen
Die Deutsche Akkreditierungsstelle (DAkkS) führt ein öffentlich zugängliches Verzeichnis aller von ihr akkreditierten Stellen samt deren Geltungsbereich. Dort prüfen Sie zwei Dinge:
- Ist die Stelle gelistet? Suchen Sie in der DAkkS-Datenbank nach dem Namen der Zertifizierungsstelle.
- Gilt die Akkreditierung für die richtige Norm? Eine Stelle kann für ISO 9001 akkreditiert sein, aber nicht für ISO 27001. Der Akkreditierungsumfang steht im Datenbankeintrag – das ausgestellte Zertifikat muss davon gedeckt sein.
Bei ausländischen Stellen übernimmt diese Rolle der jeweilige nationale Akkreditierer (etwa UKAS in Großbritannien oder ANAB in den USA); international hilft die Datenbank IAF CertSearch, in der akkreditierte Zertifikate weltweit recherchierbar sind.
Wichtig einzuordnen: Keine Akkreditierung heißt nicht automatisch Fälschung. Nicht akkreditierte Zertifizierung ist zulässig, wenn sie transparent gekennzeichnet ist – sie wird nur nicht überall anerkannt. Kritisch wird es in zwei Fällen: wenn ein Zertifikat ein DAkkS-Symbol trägt, die Stelle aber in der Datenbank fehlt (starkes Fälschungsindiz) – oder wenn der Empfänger, etwa eine Vergabestelle, ausdrücklich ein akkreditiertes Zertifikat verlangt.
Schritt 3: Die Registernummer verifizieren
Jedes seriöse Zertifikat trägt eine eindeutige Zertifikats- oder Registernummer. Mit ihr lässt sich das Dokument beim Aussteller gegenprüfen – auf drei Wegen:
- Verifikationsseite der Zertifizierungsstelle: Viele Stellen betreiben ein öffentliches Zertifikatsregister oder eine Validierungsseite, auf der sich Nummer und Unternehmensname abgleichen lassen. Das ist der schnellste Weg.
- Direkte Anfrage: Bietet die Stelle keine Online-Prüfung an, genügt eine E-Mail mit Zertifikatsnummer und Firmenname. Seriöse Stellen bestätigen Gültigkeit und Geltungsbereich kurzfristig. Dokumentieren Sie die Antwort für Ihre Lieferantenakte.
- IAF CertSearch: Für akkreditierte Zertifikate zusätzlich die internationale Datenbank – dort pflegen viele Zertifizierungsstellen ihre gültigen Zertifikate ein.
Eindeutiges Ausschlusskriterium: Der Aussteller kann oder will die Existenz des Zertifikats nicht bestätigen. Ein Nachweis, den nicht einmal sein angeblicher Urheber kennt, ist keiner.
Schritt 4: Den Geltungsbereich lesen
Der am häufigsten übersehene Punkt: Ein Zertifikat gilt nie pauschal für „das Unternehmen“, sondern für einen definierten Geltungsbereich (Scope) – bestimmte Tätigkeiten an bestimmten Standorten. Genau hier wird getrickst:
- Tätigkeits-Trick: Das Zertifikat deckt „Handel mit Metallerzeugnissen“ – der Lieferant fertigt aber selbst. Die Produktion war nie Auditgegenstand.
- Standort-Trick: Zertifiziert ist die Zentrale, nicht das Werk, das tatsächlich liefert. Bei Multi-Site-Zertifikaten gehört eine Standortliste zum Zertifikat – prüfen Sie, ob der relevante Standort aufgeführt ist.
- Konzern-Trick: Das Zertifikat lautet auf die Muttergesellschaft, Ihr Vertragspartner ist aber eine Tochter, die vom Geltungsbereich nicht erfasst ist.
Die Prüffrage ist immer dieselbe: Deckt der Scope exakt die Leistung ab, die Sie einkaufen – bei der Gesellschaft und am Standort, mit denen Sie arbeiten? Wenn nicht, ist das Zertifikat für Ihren Zweck nicht aussagekräftig, selbst wenn es formal völlig in Ordnung ist.
Schritt 5: Gültigkeit und Normversion kontrollieren
Zum Schluss die Formalien – die häufiger falsch sind, als man denkt:
- Gültigkeitszeitraum: ISO-Zertifikate laufen drei Jahre ab Ausstellung. Prüfen Sie Ausstellungs- und Ablaufdatum. Ein Zertifikat mit fünf oder zehn Jahren Laufzeit entspricht nicht der üblichen Zertifizierungspraxis nach ISO/IEC 17021-1 – Warnsignal.
- Überwachungsaudits: Innerhalb der drei Jahre sind jährliche Überwachungsaudits Pflicht. Ein Zertifikat kann daher trotz laufender Frist ausgesetzt oder zurückgezogen sein. Bei kritischen Lieferanten lohnt die Bitte um eine aktuelle Bestätigung der Stelle oder einen Nachweis des letzten Überwachungsaudits.
- Normversion: Aktuell sind ISO 9001:2015, ISO 14001:2015, ISO 45001:2018, ISO 50001:2018 und ISO/IEC 27001:2022 (Stand: September 2026). Besonders relevant: Die Übergangsfrist der ISO/IEC 27001:2013 ist Ende Oktober 2025 abgelaufen – ein heute vorgelegtes 27001-Zertifikat nach der 2013er-Version ist ungültig.
- Stimmigkeit: Tippfehler im Firmennamen, unscharfe Logos, fehlende Zertifikatsnummer oder ein fehlender Hinweis auf den Akkreditierungsstatus passen nicht zu einem professionellen Aussteller.
Warnsignale für Zertifikatshandel im Überblick
Zertifikatshandel erkennt man selten am fertigen Dokument, aber fast immer am Zustandekommen. Diese Signale sollten Sie alarmieren:
| Warnsignal | Was dahintersteckt |
|---|---|
| „Zertifikat ohne Audit“ oder „ohne Auditaufwand“ | Kein Konformitätsnachweis – ein Gefälligkeitsdokument ohne Aussagekraft |
| „Zertifikat in 24 oder 48 Stunden“ | Ein echtes Verfahren umfasst Stufe-1- und Stufe-2-Audit; selbst schlanke Verfahren brauchen Wochen |
| Webshop-Festpreis ohne eine Frage zu Größe oder Tätigkeit | Auditaufwand hängt von Mitarbeiterzahl und Komplexität ab – wer nichts fragt, prüft nichts |
| Keine Überwachungsaudits vorgesehen | Widerspricht dem 3-Jahres-Zyklus mit jährlicher Überwachung |
| Laufzeit über drei Jahre oder „unbegrenzt gültig“ | Entspricht nicht der Zertifizierungspraxis nach ISO/IEC 17021-1 |
| Fantasie-Siegel wie „international accredited“ ohne nachprüfbaren Akkreditierer | Vorgetäuschte Akkreditierung – wettbewerbsrechtlich angreifbare Irreführung |
| Zertifikat als sofortiger PDF-Download nach Online-Zahlung | Es gab keinen Auditor, keinen Termin, keine Prüfung |
Zur Abgrenzung: Auch im nicht akkreditierten Bereich gibt es seriöse Stellen mit echtem Auditprozess, Abweichungsmanagement und Überwachungsaudits. Der Unterschied zum Zertifikatshandel liegt nicht im Akkreditierungsstatus, sondern darin, ob tatsächlich auditiert wird.
Zweifelhaftes Zertifikat entdeckt: So reagieren Sie
- Lieferanten ansprechen: Konfrontieren Sie sachlich und bitten Sie um Verifikation – eine Bestätigung der Zertifizierungsstelle oder einen Nachweis des letzten Audits. Manchmal klärt sich alles: Das Zertifikat ist echt, nur das hinterlegte PDF veraltet.
- Alternative Nachweise prüfen: Kann der Lieferant kein belastbares Zertifikat liefern, sind ein eigenes Lieferantenaudit, eine erweiterte Selbstauskunft oder Prozessnachweise mögliche Ersatzlösungen – je nach Kritikalität der Lieferung.
- Konsequenz dokumentieren: Halten Sie Prüfung und Ergebnis in der Lieferantenbewertung fest. Ein wissentlich akzeptierter wertloser Nachweis fällt im Kundenaudit auf Sie zurück.
- Missbrauch melden: Bei vorgetäuschter Akkreditierung oder gefälschten Dokumenten können Sie die betroffene Zertifizierungsstelle und – bei DAkkS-Bezug – die Akkreditierungsstelle informieren. Beide gehen Hinweisen auf Missbrauch nach.
- Eigene Zertifikate prüffreundlich machen: Wer selbst zertifiziert ist, dreht den Spieß um: Verifikationsmöglichkeit kommunizieren, Geltungsbereich sauber formulieren, bei nicht akkreditierten Zertifikaten den Status offen ausweisen. Das schafft genau das Vertrauen, das gekaufte Zertifikate zerstören.
Häufige Fragen
Typische Indizien: Der Aussteller ist nicht auffindbar oder hat kein Impressum, die Registernummer lässt sich weder online noch per Anfrage verifizieren, das Zertifikat trägt ein DAkkS-Symbol, obwohl die Stelle nicht in der DAkkS-Datenbank steht, der Geltungsbereich passt nicht zur Tätigkeit, oder die Laufzeit überschreitet drei Jahre. Schon ein einziges dieser Signale rechtfertigt eine Rückfrage beim Aussteller.
Drei Anlaufstellen: die öffentliche DAkkS-Datenbank für den Akkreditierungsstatus der Zertifizierungsstelle, die internationale Datenbank IAF CertSearch für akkreditierte Zertifikate weltweit und das Zertifikatsregister beziehungsweise die Verifikationsseite der ausstellenden Stelle selbst. Ein zentrales Behördenregister für alle ISO-Zertifikate existiert nicht – die Prüfung läuft immer über Aussteller und Akkreditierer.
Nein. Nicht akkreditierte Zertifizierung ist zulässig, wenn ein echtes Audit stattfindet und der Status transparent ausgewiesen wird – viele Empfänger akzeptieren solche Zertifikate. Wertlos ist ein Zertifikat dann, wenn kein ernsthaftes Audit dahintersteht, egal ob akkreditiert oder nicht. Für öffentliche Ausschreibungen und regulierte Branchen werden allerdings regelmäßig akkreditierte Zertifikate verlangt.
Drei Jahre ab Ausstellung, mit jährlichen Überwachungsaudits als Bedingung. Bleiben diese aus oder werden gravierende Abweichungen nicht behoben, kann die Stelle das Zertifikat aussetzen oder zurückziehen – auch vor dem aufgedruckten Ablaufdatum. Nach drei Jahren verlängert ein Rezertifizierungsaudit die Gültigkeit um den nächsten Zyklus. Das Datum auf dem Papier allein garantiert also keine aktuelle Gültigkeit.
Bei der Fälschung ist das Dokument selbst fingiert – der genannte Aussteller existiert nicht oder hat das Zertifikat nie ausgestellt. Beim Zertifikatshandel existiert der Aussteller tatsächlich und stellt das Dokument bewusst aus, allerdings ohne ernsthaftes Audit. Die Fälschung scheitert an der Verifikation der Registernummer, der Zertifikatshandel am Blick auf das Zustandekommen: kein Audit, keine Überwachung, Festpreis im Webshop.
Akkreditierte Zertifikate tragen üblicherweise das Symbol des Akkreditierers samt Registrierungsnummer der Zertifizierungsstelle – in Deutschland das DAkkS-Symbol. Fehlt beides, handelt es sich entweder um ein nicht akkreditiertes Zertifikat, das als solches gekennzeichnet sein sollte, oder um ein unvollständiges Dokument. In beiden Fällen gilt: Aussteller recherchieren und den Status über die DAkkS-Datenbank oder eine direkte Anfrage klären.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT