Ist dieses ISO-Zertifikat echt? So prüfen Sie es in 30 Sekunden

Ein neuer Lieferant schickt Ihnen sein ISO-9001-Zertifikat. PDF, sauberes Layout, ein Siegel oben rechts, eine Unterschrift unten links. Sie überfliegen es, haken den Punkt in der Lieferantenbewertung ab und legen es in den Ordner. Fertig.

Genau an dieser Stelle geht in der Praxis am häufigsten etwas schief. Denn ein ISO-Zertifikat ist kein amtliches Dokument mit Fälschungssicherheit. Es ist ein PDF. Und ein PDF lässt sich in zehn Minuten so bauen, dass es echter aussieht als manches echte Zertifikat.

Die gute Nachricht: Sie müssen kein Experte sein, um ein Zertifikat zu prüfen. Sie brauchen drei Schritte und ungefähr eine halbe Minute. Wie das geht – und woran Sie die typischen Tricks erkennen –, zeigen wir Ihnen in diesem Artikel.

Warum Sie überhaupt prüfen sollten

Es gibt drei Gründe, und nur einer davon hat mit Betrug zu tun.

Erstens: Es gibt tatsächlich gefälschte Zertifikate. Nicht massenhaft, aber es gibt sie. Mal ist es eine komplett erfundene Zertifizierungsstelle, mal ein echtes Zertifikat, bei dem der Firmenname ausgetauscht wurde, mal ein Anbieter, der gegen Gebühr Papier ohne jedes Audit verkauft.

Zweitens – und das ist der häufigere Fall: Das Zertifikat ist echt, aber abgelaufen. ISO-Zertifikate gelten in der Regel drei Jahre und müssen jährlich durch ein Überwachungsaudit bestätigt werden. Fällt ein Unternehmen bei einem Überwachungsaudit durch oder lässt es den Termin verstreichen, kann das Zertifikat ausgesetzt oder zurückgezogen werden – das PDF im Umlauf sieht danach immer noch tadellos aus. Es gibt keinen Mechanismus, der Ihnen das automatisch mitteilt.

Drittens: Der Geltungsbereich passt nicht zu dem, was Sie einkaufen. Das ist der subtilste und mit Abstand häufigste Fall. Ein Unternehmen ist zertifiziert – aber nur für „Vertrieb und Handel", nicht für die Fertigung, die es für Sie übernimmt. Oder nur für den Standort München, während Ihre Ware aus dem Werk in Polen kommt. Das Zertifikat ist echt und gültig, sagt über Ihre Lieferung aber schlicht nichts aus.

Wenn Sie selbst ein Managementsystem betreiben, kommt ein vierter Grund hinzu: Ihr eigener Auditor wird Sie irgendwann fragen, wie Sie Ihre Lieferanten bewerten. „Wir haben das Zertifikat abgeheftet" ist keine Antwort, die durchgeht. „Wir haben es gegen die Datenbank der ausstellenden Stelle geprüft und das Ergebnis dokumentiert" schon.

Die 30-Sekunden-Prüfung: drei Schritte

Schritt 1: Die Zertifizierungsstelle finden (5 Sekunden)

Auf jedem echten Zertifikat steht, wer es ausgestellt hat – mit Name, Logo und in aller Regel mit Website. Suchen Sie diesen Namen. Existiert die Stelle? Hat sie eine echte Website mit Impressum, Adresse und Ansprechpartnern?

Wenn Sie hier schon hängen bleiben – kein Name der Zertifizierungsstelle, nur ein generisches Siegel, keine auffindbare Organisation dahinter –, brauchen Sie die anderen beiden Schritte nicht mehr. Ein Zertifikat ohne identifizierbaren Aussteller ist wertlos.

Schritt 2: Die Zertifikatsnummer suchen (5 Sekunden)

Jedes seriöse Zertifikat trägt eine eindeutige Registrier- oder Dokumentnummer. Bei uns sieht die zum Beispiel so aus: SERT-2026-001 für ein Zertifikat, BES-QM-2026-001 für eine Bescheinigung. Andere Stellen nutzen andere Systematiken – entscheidend ist, dass es eine Nummer gibt und dass sie einem Dokument eindeutig zuordenbar ist.

Keine Nummer? Dann kann niemand – auch der Aussteller nicht – bestätigen, dass genau dieses Dokument von ihm stammt. Das ist ein Ausschlusskriterium.

Schritt 3: In der Datenbank des Ausstellers nachschlagen (20 Sekunden)

Das ist der eigentliche Test. Jede seriöse Zertifizierungsstelle führt ein öffentliches Verzeichnis der von ihr ausgestellten Zertifikate. Sie geben die Nummer ein und bekommen zurück, was wirklich in der Datenbank steht.

Bei Sertiva finden Sie das unter sertiva.de/zertifikat-pruefen. Sie tragen die Dokumentnummer ein, klicken auf „Prüfen" und sehen sofort:

• Firma – auf wen das Zertifikat tatsächlich ausgestellt ist
• Norm bzw. Aspekt – wofür genau zertifiziert wurde
• Geltungsbereich – welche Tätigkeiten und Standorte abgedeckt sind
• Gültigkeit – von wann bis wann
• Status – ob das Zertifikat aktuell gültig, ausgesetzt oder zurückgezogen ist

Kein Login, keine Anfrage, keine Wartezeit. Und genau das ist der Punkt: Eine Zertifizierungsstelle, die ihre Zertifikate nicht öffentlich prüfbar macht, macht Ihnen die Kontrolle absichtlich schwer.

Jetzt der entscheidende Schritt, den fast alle überspringen: Vergleichen Sie das Datenbank-Ergebnis Zeile für Zeile mit dem PDF, das Ihnen vorliegt. Nicht nur „gibt's die Nummer?", sondern: Stimmt der Firmenname exakt überein? Stimmt der Geltungsbereich? Stimmen die Daten? Genau hier fallen die manipulierten Dokumente auf – die Nummer ist echt, der Inhalt wurde geändert.

Was auf einem echten Zertifikat stehen muss

Wenn Sie das PDF genauer ansehen wollen, hier die Angaben, die auf einem ordentlichen ISO-Zertifikat nicht fehlen dürfen. Das ist kein Geschmack, sondern in der ISO/IEC 17021-1 geregelt – der Norm, die festlegt, wie Zertifizierungsstellen arbeiten müssen:

1. Name und Adresse des zertifizierten Unternehmens – vollständig und in der korrekten Firmierung, inklusive der erfassten Standorte
2. Die Norm inklusive Ausgabestand – also „ISO 9001:2015", nicht nur „ISO 9001"
3. Der Geltungsbereich – welche Tätigkeiten, Produkte oder Dienstleistungen abgedeckt sind
4. Datum der Zertifizierung und Ablaufdatum bzw. der Zertifizierungszyklus
5. Name und Logo der Zertifizierungsstelle
6. Eine eindeutige Zertifikatsnummer

Fehlt einer dieser Punkte, ist das noch kein Beweis für eine Fälschung – aber ein handfester Grund nachzufragen. Besonders verräterisch sind zwei Auslassungen: ein fehlender Ausgabestand der Norm und ein schwammiger oder fehlender Geltungsbereich. Beides ist selten Zufall.

Die häufigsten Warnsignale

„Zertifiziert nach ISO 9001" – ohne Angabe, von wem. Diese Formulierung finden Sie auf Websites und in Angeboten ständig. Sie bedeutet: gar nichts. Es gibt keine Zertifizierung ohne eine Stelle, die zertifiziert hat. Fragen Sie nach dem Zertifikat selbst.

Der Geltungsbereich ist auffällig vage. „Qualitätsmanagement" ist kein Geltungsbereich. „Entwicklung, Fertigung und Vertrieb von Kunststoffspritzgussteilen am Standort Musterstadt" ist einer. Je unschärfer die Formulierung, desto größer die Wahrscheinlichkeit, dass genau der Teil fehlt, der Sie interessiert.

Das Ablaufdatum liegt in der Vergangenheit – oder fehlt ganz. Klingt banal, wird aber laufend übersehen, weil niemand das Kleingedruckte liest. Ein Zertifikat ohne Ablaufdatum gibt es nicht.

Ein Akkreditierungslogo, das nicht passt. Manche Anbieter schmücken sich mit dem Logo einer Akkreditierungsstelle, ohne selbst akkreditiert zu sein – oder sind akkreditiert, aber für eine ganz andere Norm als die auf dem Zertifikat. Ob eine Stelle akkreditiert ist und wofür genau, können Sie bei der Deutschen Akkreditierungsstelle (DAkkS) im öffentlichen Verzeichnis der akkreditierten Stellen nachsehen. Wichtig: Dort finden Sie die Zertifizierungsstellen, nicht die einzelnen Zertifikate – für das konkrete Dokument bleibt die Datenbank des Ausstellers die richtige Adresse.

Der Firmenname weicht minimal ab. „Muster GmbH" statt „Muster Industrieservice GmbH". Verbundene Unternehmen, andere juristische Person, anderes Zertifikat. Wenn Sie einen Vertrag mit der einen Gesellschaft schließen, nützt Ihnen das Zertifikat der Schwestergesellschaft nichts.

Es gibt keine öffentliche Prüfmöglichkeit. Wenn die ausstellende Stelle kein Verzeichnis führt und auf Nachfrage nur ausweichend antwortet, ist die Sache erledigt. Transparenz kostet eine seriöse Stelle nichts – sie ist ihr bestes Argument.

Sonderfall: akkreditierte Zertifikate

Stammt das Zertifikat von einer akkreditierten Stelle, haben Sie eine zusätzliche Prüfebene. Neben der Datenbank des Ausstellers gibt es die internationale Datenbank IAF CertSearch, in der akkreditierte Zertifikate weltweit hinterlegt sein können. Ein Treffer dort ist ein starkes Signal.

Aber Vorsicht vor dem Umkehrschluss: Ein fehlender Eintrag beweist keine Fälschung. Die Datenbank ist nicht vollständig, die Einträge werden von den Stellen gepflegt, und nicht-akkreditierte Zertifikate sind dort grundsätzlich nicht enthalten – auch die völlig legitimen. Für die Prüfung eines einzelnen Dokuments bleibt die Datenbank der ausstellenden Stelle immer der verbindliche Weg.

Wie sich akkreditierte und nicht-akkreditierte Verfahren unterscheiden und wann Sie welches brauchen, haben wir in einem eigenen Artikel ausführlich beschrieben.

Was tun, wenn etwas nicht stimmt?

Nicht sofort den Betrugsverdacht aussprechen. In den allermeisten Fällen steckt kein Vorsatz dahinter, sondern Schlamperei: Der Vertrieb verschickt eine alte PDF-Version, weil niemand die aktuelle im Ordner abgelegt hat.

Ein pragmatisches Vorgehen:

1. Beim Unternehmen nachfragen. Bitten Sie um das aktuelle Zertifikat direkt von der Zertifizierungsstelle oder um die Nummer, unter der Sie es selbst prüfen können. Ein sauber zertifiziertes Unternehmen liefert das innerhalb eines Tages.
2. Bei der Zertifizierungsstelle nachfragen. Jede seriöse Stelle bestätigt Ihnen auf Anfrage, ob ein Zertifikat von ihr stammt und gültig ist. Bei uns genügt eine formlose E-Mail mit der Dokumentnummer.
3. Passt der Geltungsbereich nicht, ist das kein Skandal, sondern eine Information. Entscheiden Sie bewusst: Reicht Ihnen das? Brauchen Sie eine andere Absicherung – eigene Lieferantenaudits, vertragliche Zusagen, Erstmusterprüfungen?
4. Dokumentieren Sie das Ergebnis. Datum, geprüfte Nummer, Ergebnis. Zwei Zeilen in Ihrer Lieferantenakte. Das ist der Nachweis, den Ihr eigener Auditor sehen will.

Bleibt der Verdacht, dass ein Zertifikat bewusst gefälscht wurde: Informieren Sie die Stelle, deren Name missbraucht wurde. Sie hat ein erhebliches Eigeninteresse daran und geht solchen Hinweisen nach.

Die Kurzfassung zum Mitnehmen

Bei jedem Zertifikat, das auf Ihrem Tisch landet:

1. Wer hat ausgestellt? Name der Zertifizierungsstelle vorhanden und auffindbar?
2. Gibt es eine Nummer? Eindeutige Zertifikats- oder Dokumentnummer vorhanden?
3. Steht es in der Datenbank? Nummer im Verzeichnis des Ausstellers prüfen.
4. Stimmt der Inhalt überein? Firma, Norm, Geltungsbereich, Laufzeit – PDF gegen Datenbank abgleichen.
5. Ist es noch gültig? Ablaufdatum und Status kontrollieren.
6. Passt der Geltungsbereich zu Ihrem Geschäft? Die wichtigste Frage – und die, die am seltensten gestellt wird.

Schritte 1 bis 3 sind in einer halben Minute erledigt. Schritte 4 bis 6 kosten Sie zwei Minuten und sind die eigentliche Arbeit.

Fazit: Prüfen ist keine Misstrauensbekundung

Ein Zertifikat zu prüfen, ist kein Affront gegenüber Ihrem Geschäftspartner. Es ist genau das, wofür das System gebaut wurde. Zertifikate existieren, damit Dritte sich auf eine unabhängige Prüfung verlassen können – und diese Verlässlichkeit entsteht erst, wenn jemand tatsächlich hinschaut.

Deshalb ist unsere Zertifikatsdatenbank öffentlich und ohne Hürden zugänglich. Jeder Kunde, jeder Auftraggeber, jeder Wettbewerber kann jedes von uns ausgestellte Zertifikat prüfen. Wer ein Zertifikat vergibt, sollte auch dazu stehen, dass es kontrolliert wird.

Und wenn Sie selbst zertifiziert sind: Machen Sie es Ihren Kunden leicht. Schicken Sie die aktuelle Version, nennen Sie die Prüfnummer aktiv dazu und verlinken Sie das Verzeichnis. Das kostet Sie nichts – und ist ein Qualitätssignal, das ankommt.

---

Sie möchten ein Sertiva-Zertifikat prüfen? Nutzen Sie unsere Zertifikatsdatenbank – Dokumentnummer eingeben, fertig. Bei Fragen zu einem Zertifikat erreichen Sie uns jederzeit direkt.