Malte ZanderInhalt
Ein gefälschtes Zertifikatsregister ist eine Kopie Ihrer Zertifikatsdatenbank oder Prüfseite, die gefälschte Zertifikate als gültig anzeigt. Für Prüf- und Zertifizierungsstellen ist das gefährlicher als jedes gefälschte Dokument, denn das Register ist der Ort, dem Einkauf, Auftraggeber und Behörden am Ende vertrauen. Schützen Sie Ihr Register mit einer eindeutigen Adresse, Monitoring auf Lookalike-Domains, einem Meldeweg für Prüfende und schnellen Takedowns.
- Die globale Datenbank IAF CertSearch erkennt nach Angaben der IAF schätzungsweise 20.000 gefälschte Zertifikate pro Jahr (IAF).
- Fälscher erstellen laut IAF nicht nur gleich aussehende Zertifikate, sondern auch gefälschte Datenbanken und QR-Codes. Generative KI erhöht dieses Risiko (IAF).
- Im März 2025 warnte die Deutsche Akkreditierungsstelle vor einem fast nicht unterscheidbaren Klon von IAF CertSearch. Ähnliche Domains und Tippfehler-Varianten der Adresse waren nicht registriert worden (DAkkS).
- In der EU benennt jeder Mitgliedstaat genau eine nationale Akkreditierungsstelle (Verordnung (EG) Nr. 765/2008). In Deutschland ist das die DAkkS.
Was ist ein gefälschtes Zertifikatsregister?
Eine Seite, die so tut, als sei sie die verbindliche Auskunft über Ihre Zertifikate. Meist ist es eine Kopie Ihres eigenen Registers oder Ihrer Prüfseite auf einer fremden Domain, mit Ihrem Logo, Ihrem Layout und Ihren Feldern. Gibt man dort die Nummer eines gefälschten Zertifikats ein, erscheint „gültig“. Häufig führt der QR-Code auf dem gefälschten Zertifikat direkt zu dieser Kopie.
Daneben gibt es eine zweite Form: angebliche Sammeldatenbanken, die Zertifikate vieler Stellen auflisten und neutral wirken. Sie bestätigen Fälschungen, ohne eine bestimmte Marke zu kopieren, und nutzen Ihren Namen nur als einen Eintrag unter vielen.
Warum ist das Register das eigentliche Ziel?
Weil ein gefälschtes Zertifikat allein an der ersten ernsthaften Prüfung scheitert. Einkauf, Lieferantenmanagement und Vergabestellen schlagen ein Zertifikat im Register nach, bevor sie sich darauf verlassen. Wer das Register kontrolliert, das sie dabei aufrufen, besteht diese Prüfung mit jeder Fälschung. Deshalb investieren Fälscher in Prüfseiten, nicht nur in Dokumente.
Wie realistisch das ist, zeigt ein Fall aus dem März 2025: Selbst die zentrale Datenbank IAF CertSearch wurde kopiert, und zwar so gut, dass die DAkkS die Kopie als fast nicht unterscheidbar beschrieb (DAkkS). Wenn die globale Referenz ein Ziel ist, ist es das Register einer einzelnen Stelle erst recht.
Welche Formen gibt es?
Vier Formen decken die meisten Fälle ab:
| Form | Merkmal | Risiko | Erste Reaktion |
|---|---|---|---|
| Kopie Ihres Registers | Ihr Layout und Logo auf einer fremden Domain | Bestätigt Fälschungen mit Ihrem Namen | Takedown, Kunden und Prüfende warnen |
| QR-Code zur Fake-Prüfseite | Der Code auf dem gefälschten Zertifikat führt zu einer Lookalike-Domain | Für Suche und Scans oft unsichtbar | Meldeweg anbieten, vollständigen Link sichern |
| Fake-Sammeldatenbank | Listet Zertifikate vieler Stellen und wirkt unabhängig | Wirkt wie eine neutrale Quelle | Dokumentieren, Hoster melden, Akkreditierungsstelle informieren |
| Erfundene Akkreditierung | Eine nicht anerkannte „Akkreditierungsstelle“ bestätigt eine Zertifizierungsstelle | Täuscht Kompetenz vor | Auf die nationale Akkreditierungsstelle verweisen |
Die zweite Form ist die tückischste. Viele dieser Seiten zeigen nur mit den Parametern aus dem QR-Code etwas an. Warum das so ist und wie Sie solche Seiten trotzdem finden, erklärt Versteckte Fake-Seiten.
Wie prüfen Einkauf und Auftraggeber ein Zertifikat richtig?
Mit einer Reihenfolge, die keinen Schritt dem Dokument überlässt. Geben Sie diese Schritte an Ihre Kunden weiter, damit sie sie an deren Lieferanten weitergeben können:
Das Register selbst aufrufen, über die offizielle Website der Zertifizierungsstelle und nie über den Link oder QR-Code auf dem Zertifikat.
Die Akkreditierung der Zertifizierungsstelle prüfen, in der Datenbank der nationalen Akkreditierungsstelle, in Deutschland bei der DAkkS.
IAF CertSearch als Gegenprobe nutzen. Die Datenbank enthält nach Angaben der IAF rund die Hälfte der weltweit rund 2,4 Millionen akkreditierten Managementsystem-Zertifikate (IAF). Fehlt ein Zertifikat dort, ist es also nicht automatisch gefälscht.
Bei Zweifeln direkt nachfragen, über einen Kontakt, den Sie unabhängig vom Zertifikat gefunden haben.
Abweichungen melden, an die Zertifizierungsstelle, deren Name auf dem Dokument steht.
Wie bringen Sie ein Fake-Register vom Netz?
Wie jede Fälschung, aber mit zwei Besonderheiten: Das Framing ist meist Zertifikatsfälschung, und Sie müssen mehr Menschen warnen.
Beweise sichern: Screenshots, den vollständigen Link aus dem QR-Code, Domain-, DNS- und Hosting-Daten. Siehe Beweise einer Fake-Website sichern.
Richtig einordnen. Bestätigt die Seite Zertifikate, ist es Zertifikatsfälschung. Kopiert sie nur Ihre Website, ist es Markenfälschung. Siehe Takedown-Framing.
Parallel melden: Hoster, Registrar, DNS-Anbieter und Google Safe Browsing. Den Ablauf zeigt Fake-Website entfernen lassen.
Betroffene informieren: die meldende Stelle, Kunden, deren Namen in der Kopie auftauchen, und bei Bedarf Ihre Akkreditierungsstelle.
Den Fall offen halten. Ein kopiertes Register ist schnell unter einer neuen Domain wieder online, siehe Die Fake-Website taucht wieder auf.
Wie beugen Sie vor?
Indem Sie Fälschern die Mittel nehmen, die der IAF-Klon so erfolgreich gemacht haben:
Eine feste Registeradresse auf Ihrer eigenen Domain, die sich nie ändert und überall gleich genannt wird.
QR-Codes, die nur auf Ihre Domain führen. Ein Code, der woandershin führt, wird so für jeden Prüfenden zum Warnsignal.
Die naheliegenden Varianten Ihrer Registerdomain selbst registrieren, vor allem Tippfehler und Zusätze wie register, check oder verify. Genau diese Lücke hat die DAkkS beim Klon von IAF CertSearch benannt.
Zertifikate maschinenlesbar absichern. Die DAkkS empfiehlt dafür ihr digitales Akkreditierungssymbol, mit dem akkreditierte Stellen Echtheit und Akkreditierungsstatus ihrer Zertifikate bestätigen können (DAkkS).
Einen Meldeweg auf der Registerseite, über den Einkauf und Auftraggeber einen verdächtigen Link oder ein Zertifikat melden.
Monitoring auf neue Domains mit Ihrem Namen oder Kürzel.
Wie hilft AI Fraud Protect?
AI Fraud Protect findet Kopien Ihres Registers, Lookalike-Domains und gefälschte Prüfseiten mit Ihrem Namen. Der Domain-Scanner prüft nach Zeitplan Varianten Ihrer Domains, und über das Melde-Widget auf Ihrer Registerseite melden Prüfende einen verdächtigen Link vollständig oder laden das Zertifikat als PDF hoch. Die KI vergleicht jeden Fund mit Ihrer echten Seite und nennt, was kopiert wurde. Das Beweispaket entsteht automatisch, die Meldungen an Hoster, Registrar, DNS-Anbieter und Google sind passend zum Framing vorbereitet, und jede Nachricht prüft und versendet ein Mensch.
Starten Sie den kostenlosen Fraud-Scan für einen Kurzreport innerhalb von 48 Stunden oder fragen Sie eine Demo an, um Erkennung, Beweise und Takedown in der App zu sehen.
Häufige Fragen
Ist IAF CertSearch ein sicherer Prüfweg?
Eine gute Gegenprobe, wenn Sie die Adresse selbst eingeben. Der Klon aus dem März 2025 zeigt, dass auch eine zentrale Datenbank kopiert werden kann. Außerdem enthält sie nicht jedes akkreditierte Zertifikat. Die IAF ist seit Januar 2026 in der neuen Global Accreditation Cooperation aufgegangen (IAF).
Was unterscheidet eine Zertifizierungs- von einer Akkreditierungsstelle?
Die Zertifizierungsstelle zertifiziert Unternehmen, Produkte oder Personen. Die Akkreditierungsstelle bestätigt, dass eine Zertifizierungsstelle dafür kompetent ist. In der EU gibt es pro Mitgliedstaat genau eine nationale Akkreditierungsstelle.
Sollten wir Kunden informieren, deren Namen in einem Fake-Register stehen?
In den meisten Fällen ja, denn ihr Ruf und ihre Ausschreibungen sind betroffen. Wie und wann Sie informieren, klären Sie mit Ihrer Rechtsabteilung. Das ist keine Rechtsberatung.
Was, wenn das Fake-Register viele Stellen gleichzeitig kopiert?
Dann lohnt sich ein gemeinsames Vorgehen. Melden Sie die Seite für Ihre eigenen Einträge, informieren Sie die anderen betroffenen Stellen und die Akkreditierungsstelle, und verweisen Sie in Ihrer Meldung darauf, dass mehrere Rechteinhaber betroffen sind.
Quellen
IAF: The ISO-burg, looking below the surface of credible certification, 31. Mai 2024
IAF: IAF CertSearch, a global database for verification of accredited management systems certifications, 30. August 2023
DAkkS: Warnung vor gefälschter Kopie von IAF CertSearch, 27. März 2025
Verordnung (EG) Nr. 765/2008 über Akkreditierung und Marktüberwachung
IAF: Start der Global Accreditation Cooperation Incorporated, 1. Januar 2026