Auch genannt: QWAC, Qualifiziertes Zertifikat für die Website-Authentifizierung
Ein Website-Authentifizierungszertifikat ist eine elektronische Bescheinigung, die eine Website mit der natürlichen oder juristischen Person verknüpft, der das Zertifikat ausgestellt wurde, und so deren Authentifizierung ermöglicht.
Besucht jemand eine Website, möchte er oder sie wissen, ob tatsächlich das angegebene Unternehmen oder die angegebene Behörde dahintersteht. Ein Website-Authentifizierungszertifikat bestätigt genau das: Es bindet die Website rechtlich überprüfbar an eine konkrete Person oder Organisation. In der qualifizierten Form – dem QWAC – wird diese Bestätigung von einem eIDAS-anerkannten Vertrauensdiensteanbieter ausgestellt.
Die eIDAS-Verordnung definiert ein „Zertifikat für die Website-Authentifizierung“ allgemein als elektronische Bescheinigung, die eine Website mit ihrem Betreiber verknüpft. Ein qualifiziertes Zertifikat für die Website-Authentifizierung (Qualified Website Authentication Certificate, QWAC) muss zusätzlich von einem qualifizierten Vertrauensdiensteanbieter ausgestellt werden und die strengeren Anforderungen aus Anhang IV der eIDAS-Verordnung erfüllen. Anbieter von Webbrowsern müssen solche qualifizierten Zertifikate anerkennen und die darin bescheinigten Identitätsdaten den Nutzenden benutzerfreundlich anzeigen.
Eine Bank lässt ihre Website mit einem qualifizierten Zertifikat für die Website-Authentifizierung ausstatten. Besuchende können sich dadurch verlässlich darüber informieren, dass tatsächlich die Bank selbst und nicht ein betrügerischer Nachbau hinter der Seite steht.
Website-Authentifizierungszertifikate werden eingesetzt, um Vertrauen in den elektronischen Geschäftsverkehr zu stärken, Phishing-Websites von echten Angeboten unterscheidbarer zu machen und Nutzenden eine rechtlich abgesicherte Identitätsbestätigung des Website-Betreibers zu ermöglichen.
Ein Website-Authentifizierungszertifikat bestätigt die Identität des Betreibers, nicht automatisch die inhaltliche Richtigkeit oder Sicherheit der Website selbst. Die Verwendung qualifizierter Zertifikate ist zudem freiwillig – viele Websites verschlüsseln ihre Verbindung über gewöhnliche, nicht-qualifizierte Zertifikate, ohne dass dies gegen Vorschriften verstößt.
Nicht zu verwechseln mit Transport Layer Security: TLS ist das technische Verschlüsselungsprotokoll, das die Verbindung zu einer Website gegen Mitlesen absichert und dabei auch gewöhnliche, nicht-eIDAS-regulierte Zertifikate nutzen kann; das Website-Authentifizierungszertifikat ist dagegen ein spezifisch eIDAS-geregelter Vertrauensdienst, der zusätzlich die Identität des Betreibers rechtlich verbindlich bescheinigt. Ebenfalls abzugrenzen vom Elektronischen Siegel: Das Siegel bescheinigt Herkunft und Unversehrtheit von Dokumenten einer juristischen Person, das Website-Authentifizierungszertifikat authentifiziert dagegen eine Website.