Tweestapsverificatie (SCA) in het kort

Tweestapsverificatie om veilig elektronisch te betalen

Tweestapsverificatie is onder meer nodig om veilig elektronisch te betalen, aan de kassa, in webwinkels en met mobiel bankieren of internetbankieren.

Tweestapsverificatie wordt ook wel tweefactorautorisatie of sterke klantauthenticatie genoemd. In het Engels: strong customer authentication of SCA. Het is een veilige manier om een betaling goed te keuren met twee verschillende dingen waar alleen de rechtmatige pashouder of rekeninghouder over beschikt. Aan de kassa is dat meestal een persoonlijke pinpas in combinatie met een geheime pincode. Met iDEAL en internetbankieren is dat vaak een persoonlijk inlogapparaatje, ook weer in combinatie met een geheime pincode. Bij mobiel bankieren is het een persoonlijke smartphone, bijvoorbeeld in combinatie met gezichtsherkenning.

EU-wetgeving voor SCA

Sinds september 2019 is het voor bank- en betaaldiensten overal in de EU verplicht om vrijwel alle transacties met strong customer authentication (SCA) door de klant te laten goedkeuren, zeker bij grote bedragen en hoge risico’s. Daarmee heeft de betaler de zekerheid dat niemand anders zijn of haar betalingen kan goedkeuren. De ontvanger van een betaling heeft de zekerheid dat die betaling rechtmatig en geldig is.

Om aan de EU-wetten te voldoen moet een consument de meeste transacties goedkeuren met een willekeurige combinatie van minimaal twee verschillende soorten factoren uit een verzameling van drie erkende soorten beveiligingsfactoren:

• Iets wat alleen de klant weet en onthoudt, zoals een geheime pincode of wachtwoord
• Iets wat alleen de klant in bezit heeft, zoals een persoonlijke pinpas, smartphone of armband met betaalchip
• Iets wat alleen de klant is en kenmerkt, zoals een vingerafdruk of gezichtsscan (met biometrie)

Bijvoorbeeld een e-mailadres (of gebruikersnaam of rekeningnummer) in combinatie met een geheim wachtwoord is geen wettelijk erkende tweestapsverificatie, omdat die allebei dezelfde soort beveiligingsfactor zijn: twee tekencombinaties die de klant weet en onthoudt. Bovendien kan iemand anders een e-mailadres (of gebruikersnaam of rekeningnummer) heel makkelijk opzoeken (of raden of aflezen). Het is niet iets wat alleen de klant kan weten en onthouden.

Niks nieuws onder de zon?

In Nederland zijn we al jarenlang gewend aan tweestapsverificatie, bij pinbetalingen, bij de geldautomaat, voor iDEAL, voor mobiel bankieren en voor internetbankieren. De nieuwe EU-wetgeving verandert dus niets aan hoe we hier meestal bankieren en betalen.

Bij online creditkaartbetalingen in webwinkels gaat er echter wel iets veranderen. Wie online met een creditkaart betaalt, moet vaak alleen de gegevens op zijn creditkaart invoeren: kaartnummer, naam en vervaldatum op de voorkant van de creditkaart en driecijferig CVC-nummer op de achterkant. Soms moet ook een zelfgekozen wachtwoord worden ingevoerd. Alle kaartgegevens staan voor iedereen zichtbaar op een creditkaart en voldoen daarom niet aan de wettelijke eisen. Het zijn geen gegevens die alleen de kaarthouder kan weten en onthouden.

In de loop van 2020 moet daarom iedereen overschakelen op veilige tweestapsverificatie voor online creditkaartbetalingen. Voor kaarthouders betekent dat meestal dat ze een mobiele app op hun smartphone moeten installeren die ze bij veel online betaling moeten ontgrendelen met een pincode, vingerafdruk of gezichtsscan. Daarmee kan de kaarthouder een online creditkaartbetaling veilig en makkelijk goedkeuren, met twee van de drie erkende beveiligingsfactoren: een persoonlijke smartphone en een geheime pincode of biometrisch kenmerk.