QWAC (Qualified Website Authentication Certificate)

Definition

Ein QWAC (Qualified Website Authentication Certificate) ist ein qualifiziertes Website-Authentifizierungszertifikat gemäß der eIDAS-Verordnung (EU Nr. 910/2014). Es dient der sicheren Identifizierung einer juristischen Person im Internet und stellt eine verschlüsselte und überprüfbare Verbindung zwischen einem Webserver und dem Nutzer her. Im Unterschied zu „normalen“ TLS-Zertifikaten garantiert ein QWAC die Identität des Betreibers auf der Grundlage einer qualifizierten Validierung durch einen akkreditierten Trust Service Provider (QTSP).

Verwendung im Zahlungsverkehr

• PSD2: QWACs sind vorgeschrieben für die Kommunikation zwischen Zahlungsdienstleistern (z. B. Banken, TPPs), um die Authentizität und Integrität der Verbindung sicherzustellen. Sie ermöglichen die wechselseitige Authentifizierung zwischen ASPSP (Account Servicing Payment Service Provider) und TPP (Third Party Provider).
• Verification of Payee (VoP): Auch im VoP-Kontext kommen QWACs zum Einsatz, da die beteiligten Parteien (z. B. Banken, Service Provider, zentrale Verzeichnisdienste) eine vertrauenswürdige und eindeutig identifizierte Verbindung benötigen. QWACs stellen sicher, dass Abfragen und Antworten nur von berechtigten Teilnehmern stammen.
• SEPA-Clearing: Für die Kommunikation über Plattformen wie den SEPA-Clearer (BBk), TIPS oder andere Clearing-/Settlement-Infrastrukturen können QWACs eine Rolle spielen, wenn regulatorisch gesicherte Kommunikationskanäle gefordert sind.

Besonderheiten

• QWACs können nur von Qualified Trust Service Providern (QTSPs) ausgestellt werden, die in der EU-Vertrauensliste (EUTL) gelistet sind.
• Sie enthalten zusätzliche Attribute wie Rollen nach PSD2 (PSP_AI, PSP_PI, PSP_AS, PSP_IC) oder für andere regulatorische Zwecke.
• Ein QWAC ist ein Serverzertifikat mit qualifiziertem Validierungsprozess, kein Signaturzertifikat (im Gegensatz zu QSealC).

Quellen

• EPC – FAQ zu QWAC und PSD2
• EU Trusted List (EUTL)
• eIDAS-Verordnung (EU) Nr. 910/2014