Bij elke online betaling gebeurt er achter het scherm veel meer dan een druk op een knop. Gegevens worden versleuteld, de identiteit wordt gecontroleerd en de transactie wordt vastgelegd, vaak binnen enkele seconden. Dit stuk beschrijft hoe die lagen van betaalbeveiliging samenwerken, wat de Nederlandse regels over betalingen voor kansspelen vastleggen en welke gewoonten een rekening beter beschermen.
Wat betaalbeveiliging omvat
Betaalbeveiliging is geen enkele maatregel maar een opeenstapeling van lagen die elkaar aanvullen. De eerste laag is versleuteling: gegevens die tussen apparaat, aanbieder en bank worden verstuurd, zijn onleesbaar voor wie ze onderschept. De tweede is authenticatie, het vaststellen dat de opdracht echt van de rekeninghouder komt. De derde is controle achteraf en tijdens de transactie, waarbij systemen ongebruikelijke patronen herkennen en een opdracht kunnen tegenhouden. Elke laag vangt iets op wat een andere laag mist, en juist die combinatie maakt het systeem sterker dan de afzonderlijke delen. Voor de gebruiker zijn deze lagen grotendeels onzichtbaar; alleen de bevestigingsstap is te merken.
Een beveiligde betaalomgeving heeft in de praktijk meestal deze kenmerken:
- een versleutelde verbinding tussen apparaat en server
- een bevestigingsstap via de eigen bank of betaalapp
- een duidelijke vermelding van bedrag en ontvanger voor bevestiging
- een overzicht van afgeronde transacties dat achteraf is na te lezen
Sterke authenticatie via de eigen bank
Binnen de EU schrijft de PSD2-richtlijn sterke klantauthenticatie voor bij veel elektronische betalingen. Dat houdt in dat een opdracht met minstens twee onafhankelijke elementen wordt bevestigd, bijvoorbeeld iets wat de gebruiker weet, zoals een pincode, en iets wat de gebruiker bezit, zoals een telefoon. De bevestiging verloopt via de eigen bank of betaalapp. Kaartbetalingen kennen daarnaast 3D Secure, een extra stap waarin de bank de opdracht nog eens laat goedkeuren. Zo is het voor een derde veel lastiger om met alleen gestolen gegevens te betalen.
Transacties lopen via de speelrekening
Binnen de vergunde Nederlandse markt verloopt elke geldstroom via de speelrekening die de aanbieder voor de speler aanhoudt. Stortingen komen van de eigen betaalrekening van de speler, uitbetalingen gaan naar diezelfde rekening terug. Daardoor is elke transactie te herleiden tot een persoon en een rekening. Anonieme betaalmiddelen zijn niet toegestaan, en een negatief saldo kan niet ontstaan. Voor de beveiliging betekent dit dat een betaling steeds een duidelijk begin en eind heeft en dat afwijkingen sneller opvallen.
Zo is een betaalomgeving op de Nederlandse markt te herkennen:
- stortingen komen van een betaalrekening op eigen naam
- uitbetalingen gaan terug naar diezelfde rekening
- het saldo wordt in euro’s getoond
- er zijn geen anonieme betaalmiddelen
Vergunning als basis voor vertrouwen
Online kansspelen mogen in Nederland alleen worden aangeboden door houders van een KOA-vergunning van de Kansspelautoriteit, en de vergunninghouder moet zijn gevestigd in de EU of de EER. Of een aanbieder een vergunning heeft, is na te gaan in de Kansspelwijzer op de site van de Kansspelautoriteit. Een website bestaat doorgaans uit een menubalk bovenaan, een lobby met spellen daaronder en een voettekst met aanvullende pagina’s. Dezelfde opbouw is ook terug te vinden op CrazePlay Casino.
Een versleutelde verbinding herkennen
Een versleutelde verbinding is te herkennen aan het adres in de browser. Het begint met https en vaak verschijnt er een slotje naast de adresregel. Dat slotje zegt dat het verkeer tussen apparaat en server met TLS is beschermd, een protocol dat gegevens onderweg onleesbaar maakt. Het zegt niet dat de site zelf betrouwbaar is, want ook een nagemaakte pagina kan een slotje tonen. Daarom is de domeinnaam van belang: een letter die afwijkt, een extra woord of een vreemde extensie kan duiden op een kopie. Telefoonnummers voor het melden van problemen horen op de officiele site van de bank te worden opgezocht.
Wachtwoord, e-mail en tweede stap
Een goed wachtwoord is lang, uniek en niet te herleiden tot persoonlijke gegevens zoals een geboortedatum. Het e-mailadres dat bij een account hoort, vraagt dezelfde zorg, want via dat adres kunnen wachtwoorden worden hersteld en bevestigingen worden verstuurd. Een tweede stap bij het inloggen, zoals een code uit een app, voegt een extra drempel toe. Bij gedeelde apparaten is het verstandig uit te loggen en automatisch invullen alleen op eigen apparaten te gebruiken. Een wachtwoordbeheerder maakt het gemakkelijker om overal een ander wachtwoord te kiezen.
Daarnaast is het nuttig om te weten hoe een verdacht bericht of een onverwachte betaalopdracht stap voor stap wordt aangepakt. Een betaling wordt alleen bevestigd in de omgeving van de eigen bank. Een link in een bericht wordt niet geopend, ook niet als de afzender bekend lijkt, en een code die per sms of app binnenkomt, blijft persoonlijk en wordt aan niemand doorgegeven, ook niet aan iemand die zich als medewerker voorstelt. Een vaste volgorde helpt, omdat onder tijdsdruk anders gemakkelijk een stap wordt overgeslagen. Wie twijfelt aan de echtheid van een melding, vergelijkt die met wat de eigen bank-app toont en laat het bericht verder rusten.
Stappen bij een verdachte betaalopdracht:
- Bevestig niets en sluit het venster.
- Open de app of site van de eigen bank via het bekende adres.
- Controleer of daar dezelfde opdracht te zien is.
- Wijzig het wachtwoord als er gegevens zijn ingevoerd.
- Meld het bericht bij de bank.
Opkomst van beveiligde betaalstandaarden
De manier waarop online wordt betaald, is de afgelopen jaren sterk veranderd. Waar vroeger een kaartnummer en een code volstonden, is bevestiging via de eigen bank nu gebruikelijk. Europese regelgeving heeft hierbij de richting gegeven, en de sector heeft de techniek ingevuld met standaarden voor versleuteling en identiteitscontrole. Voor kansspelen komt daar de Nederlandse eis bij dat betalingen herleidbaar zijn.
Wie het geheel overziet, ziet een geleidelijke ontwikkeling: van een losse verzameling afspraken naar een kader waarin beveiliging een vast onderdeel van het product is. Voor de gebruiker is dat vooral merkbaar in kleine gewoonten, zoals het bevestigen in een bank-app of het controleren van een adres. Dat spelers, banken en aanbieders inmiddels dezelfde taal spreken over authenticatie en herleidbaarheid, maakt de communicatie over het onderwerp eenvoudiger. Nieuwe technieken zullen volgen, en de principes blijven overeind: versleuteling, authenticatie en herleidbaarheid.
Veelgestelde vragen
Wat betekent sterke klantauthenticatie?
Het is een bevestiging van een betaling met minstens twee onafhankelijke elementen, zoals iets wat de gebruiker weet en iets wat de gebruiker bezit. De Europese PSD2-richtlijn schrijft dit voor bij veel elektronische betalingen.
Zegt een slotje in de adresbalk dat een site betrouwbaar is?
Nee. Het slotje laat zien dat de verbinding is versleuteld. Ook een nagemaakte pagina kan zo’n slotje tonen, dus de domeinnaam blijft belangrijk.
Hoe lopen betalingen op de vergunde Nederlandse markt?
Alle transacties lopen via de speelrekening. Stortingen komen van de eigen betaalrekening en uitbetalingen gaan terug naar die rekening.
Wat is 3D Secure?
Het is een extra bevestiging van een kaartbetaling via de bank. De bank laat de opdracht nog eens goedkeuren voordat de betaling doorgaat.