Sterke Klantauthenticatie bij een Trustly-Betaling — Wat Er Achter de Bevestiging Zit
Available in US
De twee tikken die je bijna niet meer opmerkt
Vraag iemand hoeveel handelingen er nodig zijn om een storting te bevestigen en het antwoord is meestal “eentje”. In werkelijkheid zijn het er twee, en dat verschil is het hele fundament onder de veiligheid van je betaling. Je merkt het niet meer omdat je telefoon een van die twee stappen onzichtbaar heeft gemaakt.
Sterke klantauthenticatie is de Europese eis dat je bij een elektronische betaling op minstens twee onafhankelijke manieren aantoont dat jij het bent. Niet twee keer hetzelfde bewijs, maar twee bewijzen uit verschillende categorieën. Die eis geldt sinds de vorige generatie betaalregels en is de reden dat inloggen bij je bank omslachtiger voelt dan inloggen bij je e-mail.
Wat mensen zelden weten, is welke stappen precies meetellen, waarom je bij de ene bank één keer bevestigt en bij de andere twee keer, en welke gegevens je in dit hele proces nooit hoeft af te staan. Dat laatste is de meest praktische kennis van de drie.
Wat sterke klantauthenticatie precies eist
De regel is strenger dan hij oogt. Twee factoren volstaan niet als ze uit dezelfde categorie komen, en ze moeten bovendien onafhankelijk zijn: het doorbreken van de ene mag het doorbreken van de andere niet makkelijker maken. Een wachtwoord plus een geheime vraag voldoet dus niet, hoe lang dat wachtwoord ook is.
Daarnaast moet de authenticatie gekoppeld zijn aan de specifieke transactie. Dat betekent dat het bedrag en de begunstigde vastliggen op het moment dat jij bevestigt, en dat een wijziging daarna de bevestiging ongeldig maakt. Dit heet dynamische koppeling en het is de reden dat je in je bankapp altijd het bedrag ziet staan bij de goedkeuring. Als je dat scherm ooit leeg of vaag ziet, is dat een reden om af te breken.
Die dynamische koppeling verklaart trouwens ook waarom je een lopende betaling niet kunt “aanpassen”. Wil je een ander bedrag, dan moet de hele opdracht opnieuw worden opgebouwd en opnieuw worden bevestigd. Dat voelt omslachtig op het moment dat je een tientje te weinig hebt ingevuld, maar het is precies de eigenschap die voorkomt dat iemand tussen jouw goedkeuring en de uitvoering een nul aan het bedrag toevoegt.
Er bestaan uitzonderingen, en ze zijn beperkter dan handelaren je soms doen geloven. Kleine bedragen, terugkerende betalingen naar dezelfde partij en transacties die door de bank als laag risico worden beoordeeld, mogen soms zonder volledige authenticatie. Bij een storting aan een aanbieder van kansspelen gaan die uitzonderingen in de praktijk vrijwel nooit op, omdat het risicoprofiel van dat type transactie hoog scoort in de modellen van banken.
De drie factoren en waarom er altijd twee nodig zijn
De categorieën zijn kennis, bezit en inherentie. Kennis is iets wat je weet, zoals een pincode. Bezit is iets wat je hebt, zoals je telefoon of een kaartlezer. Inherentie is iets wat je bent, zoals je vingerafdruk of je gezicht.
Twee uit één categorie is waardeloos, want wie de categorie compromitteert, heeft beide. Steelt iemand je telefoon, dan heeft die persoon je bezitsfactor; een tweede code die ook op diezelfde telefoon binnenkomt, voegt niets toe. Precies daarom is de combinatie van je telefoon plus je vingerafdruk zoveel sterker dan die van je telefoon plus een sms naar dezelfde telefoon.
Als je in je bankapp met je gezicht een betaling goedkeurt, gebruik je dus twee factoren tegelijk zonder dat het zo voelt: het bezit van het geregistreerde toestel en de inherentie van je gezicht. Dat is de reden dat die ene tik voldoet waar je vroeger een lezer en een pas nodig had.
Hoe je eigen bank die eis invult
De regelgeving schrijft het doel voor, niet de uitvoering. Daar zit alle variatie tussen Nederlandse banken, en het verklaart waarom dezelfde betaling bij de ene bank in acht seconden rond is en bij de andere in dertig.
Sommige banken laten je de betaling volledig binnen de app afhandelen. Je wordt vanuit de browser naar de app gestuurd, keurt daar goed en komt automatisch terug. Andere banken houden vast aan een aparte lezer met je bankpas, wat betrouwbaar is maar traag, en wat vooral vervelend is als je onderweg bent en de lezer thuis ligt. Weer andere combineren een inlogcode met een pushmelding.
Wat daarbij opvalt is hoe weinig invloed je er zelf op hebt. De aanbieder kiest de betaalinstelling, de betaalinstelling bouwt de koppeling, en de bank bepaalt de flow. Jij komt pas in beeld op het moment dat het scherm er staat. Het enige waar je wel invloed op hebt, is welke bank je gebruikt en of je die bankapp actueel houdt — verouderde apps zijn een verrassend grote bron van vastlopers, omdat oude versies de nieuwere terugkeermechanismen niet ondersteunen.
Loopt zo’n flow halverwege vast, dan is er één handeling die je moet vermijden: opnieuw beginnen terwijl het eerste scherm nog openstaat. Je krijgt dan twee openstaande opdrachten die allebei geldig kunnen worden. Sluit eerst het oude scherm volledig af, controleer in je bankapp of er iets is uitgevoerd, en begin daarna pas opnieuw.
Geen van die routes is veiliger dan de andere zolang er twee onafhankelijke factoren in zitten. Wat wel verschilt is de kans dat je halverwege vastloopt. Een flow die je uit de browser naar een app stuurt en terug, heeft meer punten waarop hij kan breken dan een flow die volledig in één omgeving blijft. Dat is geen theoretisch bezwaar; het is de meest voorkomende oorzaak van een storting die “hangt”.
De Europese regels hierover staan overigens niet stil. Het akkoord over de opvolger van de huidige betaalrichtlijn werd eind november 2026 bereikt en de definitieve teksten volgden in april 2026, met publicatie in het Publicatieblad verwacht in de tweede helft van 2026. Voor jou verandert er de eerste tijd niets in het scherm, maar de eisen aan hoe banken deze authenticatie mogen inrichten worden er wel scherper van.
Waarom het soms twee keer om bevestiging vraagt
Dit is de vraag die ik het vaakst krijg, en het antwoord stelt mensen zelden tevreden: omdat er twee verschillende dingen worden geautoriseerd.
De eerste bevestiging geldt vaak het inloggen zelf — je krijgt toegang tot je rekeninggegevens. De tweede geldt de betaalopdracht. Sommige banken hebben die twee samengevoegd tot één handeling, andere houden ze bewust gescheiden omdat het toegang geven en het geld verplaatsen juridisch twee verschillende toestemmingen zijn.
Er is nog een tweede reden, en die zie je vooral bij grotere bedragen of bij een eerste betaling naar een nieuwe begunstigde. De bank vraagt dan een extra bevestiging omdat haar risicomodel de transactie als afwijkend beoordeelt. Vervelend op het moment zelf, maar het is precies het gedrag dat je van een bank wilt zien.
Die extra wrijving heeft trouwens een neveneffect dat in dit domein onderschat wordt. Sinds iedereen kan gokken op z’n smartphone is de drempel om je eraan over te geven bovendien wel heel laag geworden, zoals de voorzitter van de Kansspelautoriteit het in de zomer van 2026 formuleerde. Een betaalproces dat een paar seconden aandacht opeist is in dat licht geen ongemak maar een van de weinige natuurlijke rempunten die er nog zijn. Waar de fraudecontroles bij een bankbetaling precies zitten, en welke daarvan je zelf kunt beïnvloeden, komt aan bod in de bespreking van waar de fraudecontroles bij een bankbetaling zitten.
Wat je nooit hoeft af te geven
Hier wordt het praktisch, want dit is de lijst waarmee je oplichting herkent zonder ook maar iets van techniek te weten.
Je geeft je inloggegevens nooit in aan een ander scherm dan dat van je eigen bank. Herken je de vormgeving niet, of staat er een adres in de balk dat niet van je bank is, dan stop je. Een betaalinstelling vraagt nooit om je bankwachtwoord; zij stuurt je naar je bank en blijft er zelf buiten.
Je geeft ook nooit een code door aan een persoon, hoe overtuigend het verhaal ook is. Geen enkele medewerker van een bank, een aanbieder of een betaaldienst heeft een geldige reden om een authenticatiecode van je te vragen. Diezelfde regel geldt voor het delen van je scherm: wie je vraagt mee te kijken tijdens het inloggen, vraagt in feite om je hele authenticatie.
En je hoeft nooit een tweede rekening te openen, een app van een derde partij te installeren of een extra account aan te maken om deze manier van betalen te gebruiken. Alles wat je nodig hebt, heb je al: je bankrekening en het middel waarmee je normaal inlogt. Vraagt een pagina om meer, dan is dat op zichzelf al genoeg reden om te stoppen.
De regels rond toegang tot financiële gegevens breiden zich de komende jaren nog uit — het voorstel dat die toegang verder trekt naar beleggingen, pensioenen en verzekeringen lag in april 2026 nog in onderhandeling. Wat er ook uitkomt, dit ene principe blijft overeind: jouw inloggegevens blijven bij jou en bij je bank, en nergens anders.
