Fraudepreventie bij Bankbetalingen — Waar de Controles Zitten
Available in US
Vier controles die je nooit ziet en één die je altijd ziet
Tussen het moment dat je op bevestigen drukt en het moment dat je saldo bijwerkt, wordt je transactie door meerdere systemen beoordeeld. Van die beoordelingen merk je er normaal gesproken precies één: de authenticatie in je bankapp.
De andere lagen zijn onzichtbaar zolang alles goed gaat, en pas zichtbaar wanneer er iets wordt tegengehouden. Dat verklaart waarom een geweigerde betaling zo verwarrend is: je krijgt een uitkomst zonder inzage in het proces dat ertoe leidde.
Ik loop hieronder na welke lagen er zijn, wat je bank precies doet, waar het in de praktijk misgaat, wat je zelf kunt doen en wat de nieuwe Europese regels hieraan toevoegen.
De lagen van controle
Vier, van buiten naar binnen, en ze werken onafhankelijk van elkaar.
De buitenste laag zit bij de handelaar. Die beoordeelt of de transactie past bij het account: is dit een normaal bedrag voor deze klant, komt de betaling uit het verwachte land, is het account nieuw. Deze laag ziet vooral gedrag binnen één platform.
De tweede laag zit bij de betaaldienstverlener die de opdracht opstelt. Die beoordeelt patronen die over meerdere handelaren heen zichtbaar zijn: dezelfde rekening die binnen een uur bij vijf partijen opduikt, bijvoorbeeld. Dat is informatie die geen enkele individuele handelaar heeft.
De derde laag zit bij je bank en is verreweg de zwaarste. Die kent je volledige betaalgeschiedenis, je saldo, je gebruikelijke tegenpartijen en je normale patroon. Zij is ook de enige partij die de betaling daadwerkelijk kan tegenhouden.
De vierde laag is de authenticatie zelf: de eis dat je met minstens twee onafhankelijke factoren bevestigt dat jij het bent. Dat is de enige laag die zichtbaar is, en het is meteen de laag die het minste zegt over de inhoud van de transactie.
Wat die vier gemeen hebben, is dat geen ervan naar de betaling op zichzelf kijkt. Ze kijken allemaal naar afwijking van een patroon, en dat verklaart waarom een volstrekt normale betaling soms wordt tegengehouden en een verdachte er soms doorheen glipt.
Wat je bank precies doet
Meer dan mensen vermoeden, en met minder uitleg dan zij zouden willen.
Je bank beoordeelt bij elke opdracht of het bedrag past bij je patroon, of de begunstigde bekend is, of het tijdstip afwijkt, of het apparaat waarvandaan je inlogt herkend wordt en of de begunstigde in een risicocategorie valt. Dat gebeurt in milliseconden en volledig geautomatiseerd.
Valt een transactie op, dan zijn er drie mogelijke reacties. De lichtste is een extra bevestigingsstap. De middelste is een tijdelijke blokkade met een terugbelverzoek. De zwaarste is een weigering zonder inhoudelijke toelichting.
Die laatste is het frustrerendst en het is beleid, geen onwil. Zou een bank precies uitleggen waarom een transactie is geweigerd, dan legt zij daarmee uit hoe haar detectie werkt, en dat is informatie waar fraudeurs meer aan hebben dan gedupeerden.
Wat je wel kunt doen bij een weigering, is nagaan of dezelfde betaling naar een andere begunstigde wel lukt. Werkt dat, dan ligt het niet aan je rekening, je saldo of je limiet, en heb je je antwoord zonder dat iemand het hoeft te bevestigen.
Waar het in de praktijk misgaat
Drie patronen dekken vrijwel alles wat ik voorbij zie komen, en geen ervan is een technisch defect.
Het eerste is de eerste betaling naar een nieuwe begunstigde. Dat is per definitie een afwijking van je patroon, en het is ook precies het scenario waarin fraude plaatsvindt. Vrijwel elke extra controle die je tegenkomt, komt hieruit voort.
Het tweede is een reeks betalingen kort na elkaar. Drie stortingen binnen een halfuur ziet er in een detectiemodel hetzelfde uit of je nu enthousiast bent of dat iemand anders met je rekening bezig is. Het model kan dat onderscheid niet maken, en het kiest bij twijfel voor tegenhouden. Dat is een bewuste afweging: een onterecht geblokkeerde betaling kost je ongemak, een doorgelaten fraudegeval kost je geld.
Het derde is een betaling vanaf een onbekend apparaat of een onbekende locatie. Log je in vanaf een nieuwe telefoon, een ander netwerk of in het buitenland, dan stapelen de afwijkingen zich op.
Er is een vierde patroon dat minder vaak voorkomt en dat vervelender uitpakt: een betaling waarvan de begunstigde in een risicocategorie valt. Banken en betaaldienstverleners classificeren ontvangende partijen, en een categorie waarin veel problemen voorkomen krijgt strengere behandeling. Dat is geen oordeel over jou maar over de tegenpartij, en het is de enige van de vier waar je met beter gedrag niets aan verandert.
Het herkennen van dat laatste geval is eenvoudig: dezelfde betaling naar een andere begunstigde lukt wel. Loop je daartegenaan bij een partij waarvan je de vergunningstatus niet hebt gecontroleerd, dan is dat op zichzelf een signaal dat die controle alsnog de moeite waard is.
Wat deze drie gemeen hebben, is dat ze allemaal legitiem zijn en er allemaal verdacht uitzien. Dat is de fundamentele beperking van elk detectiesysteem: het meet afwijking, niet intentie.
Wat je zelf kunt doen
Vier dingen, en ze kosten je niets.
Doe een eerste betaling naar een nieuwe partij met een klein bedrag. Dat wekt minder argwaan, en het levert je bovendien informatie op over hoe de hele keten zich gedraagt voordat je er een serieus bedrag doorheen stuurt.
Wacht na een mislukte poging minstens een kwartier voordat je het opnieuw probeert. Direct herhalen is het patroon dat detectiemodellen het sterkst als verdacht aanmerken, en het is ook de manier waarop een dubbele afschrijving ontstaat. Vijftien minuten geduld kost je niets en voorkomt het meest voorkomende betaalprobleem in dit domein. Waarom een controle een betaling kan ophouden zonder dat er iets stuk is, staat uitgewerkt bij waarom een controle een storting kan ophouden.
Houd je bankapp actueel. Verouderde versies ondersteunen nieuwere terugkeermechanismen niet, en een flow die halverwege breekt levert een openstaande opdracht op waarvan je de status niet kent.
En geef nooit een code door aan een persoon. Geen enkele medewerker van een bank, een aanbieder of een betaaldienst heeft een geldige reden om een authenticatiecode van je te vragen. Dit is de enige regel op deze lijst waarvan het overtreden onomkeerbaar is.
Wat de nieuwe regels hieraan toevoegen
Twee verschuivingen, en de eerste is fundamenteel.
Onder de huidige regels is een betaling die je zelf hebt bevestigd geautoriseerd, ook als je daartoe bent overgehaald door iemand die zich als je bank voordeed. Dat uitgangspunt schuift op: banken krijgen een grotere verantwoordelijkheid om dat soort transacties te herkennen en tegen te houden, en de aansprakelijkheid verschuift daarmee deels mee.
Dat klinkt als goed nieuws en het is het ook, met één kanttekening. Een bank die aansprakelijk kan worden voor transacties die zij had moeten tegenhouden, gaat strenger filteren. Meer bescherming aan de ene kant betekent meer valse alarmen aan de andere.
De tweede verschuiving raakt aan de keten eromheen. Het Nederlandse maatregelenpakket van juni 2026 voorziet in wettelijke normen voor betaaldienstverleners en hostingpartijen ten aanzien van tienduizenden illegale gokwebsites. Betaalpartijen krijgen daarmee een eigen verantwoordelijkheid voor wat er via hun infrastructuur loopt, in plaats van alleen een uitvoerende rol.
Datzelfde pakket kent nog een spoor dat hier raakvlak mee heeft: er is een voorstel om de minimumleeftijd voor risicovolle kansspelen van achttien naar eenentwintig te tillen en om de toezichthouder bevoegdheden te geven voor het blokkeren van websites. Ook dat verplaatst controle naar lagen waar de gebruiker zelf geen zicht op heeft.
Voor jou als gebruiker is de praktische consequentie van dit alles overzichtelijk. Je krijgt vaker een extra bevestiging te zien, je loopt vaker tegen een geweigerde betaling aan waarvan de reden niet wordt toegelicht, en je bent bij een echte fraudezaak beter af dan nu.
Dat eerste is irritant, dat tweede is verwarrend, en dat derde is de reden dat de eerste twee acceptabel zijn.
De optelsom is een systeem dat veiliger wordt en tegelijk ondoorzichtiger. Dat is een reële ruil, en het is er een waar in dit domein weinig discussie over is.
