Wie online een betaling bevestigt, ziet meestal maar een korte melding van de bank of een code op de telefoon. Achter dat ene moment zit een keten van maatregelen die samen bepalen of een transactie veilig verloopt. Dit artikel legt uit welke lagen er in betaalbeveiliging te onderscheiden zijn, hoe sterke authenticatie via de eigen bank werkt, wat een creditcard in het Nederlandse kader betekent en waarom de keuring van speelsystemen iets anders is dan beveiliging van betalingen. Ook komt aan bod hoe wachtwoord en tweede stap bijdragen, wat te doen bij een onverwachte melding en hoe de standaarden zich ontwikkelen.
Wat betaalbeveiliging omvat
Betaalbeveiliging is geen enkele maatregel maar een samenspel van lagen. De eerste laag is versleuteling: de verbinding tussen apparaat en server wordt zo beschermd dat een meeluisteraar alleen onleesbare gegevens ziet. De tweede laag is authenticatie, het vaststellen dat de opdrachtgever ook echt de rekeninghouder is. De derde is controle, waarbij betalingen worden beoordeeld op afwijkend gedrag voordat of nadat ze zijn uitgevoerd. Elke laag vangt een ander type probleem op, en geen van drieen is op zichzelf voldoende om een betaalomgeving veilig te noemen. Een vierde onderdeel is de vastlegging: elke transactie moet achteraf herleidbaar zijn, zodat een afwijking kan worden nagegaan.
De tabel zet de lagen naast hun functie en wat daarvan zichtbaar is:
| Versleuteling | Gegevens onderweg onleesbaar maken | Een slotje in de adresbalk |
| Authenticatie | Vaststellen wie de opdracht geeft | Een bevestiging in de bankomgeving |
| Controle | Afwijkende betalingen signaleren | Meestal niets, soms een extra vraag |
| Registratie | Elke transactie herleidbaar vastleggen | Een overzicht op de rekening |
Sterke authenticatie via de eigen bank
Binnen de Europese Unie schrijft de betaalrichtlijn PSD2 sterke klantauthenticatie voor, in de praktijk een bevestiging met twee onafhankelijke elementen. Bij kaartbetalingen op internet loopt dat vaak via 3D Secure, een extra stap waarbij de bank de opdracht laat bevestigen in de eigen omgeving, bijvoorbeeld in de bankapp. Het voordeel is dat de gebruiker de gegevens van de bank niet hoeft te delen met de webwinkel of de aanbieder. Hoe een online casino zich op de eigen website presenteert, is bijvoorbeeld te zien bij Casino SlotMonster. In de Nederlandse regels komt daar nog een eigen element bij: stortingen verlopen via de speelrekening en komen van een eigen, herleidbare betaalrekening van de speler.
Creditcards en risicosignalen
Een creditcard is in het Nederlandse kader niet verboden; er bestaat geen algemeen verbod op betalen met krediet. Wel geldt het gebruik van een creditcard voor aanbieders als een signaal dat extra aandacht vraagt, omdat spelen met geleend geld een ander risicoprofiel heeft. Die afweging ligt bij de aanbieder en niet bij de kaarthouder.
Keuring van speelsystemen is een aparte laag
Naast de beveiliging van betalingen kent de markt een keuring van de speelsystemen zelf. Spelsystemen van vergunninghouders worden getoetst door een aangewezen instantie op basis van Keuringsschema 2.1, dat sinds oktober 2024 geldt. Die keuring richt zich op de werking van het spel en de systemen eromheen, bijvoorbeeld of uitkomsten op de juiste manier tot stand komen. Het is dus een andere vraag dan of een betaalopdracht veilig is verlopen, en de twee sluiten elkaar niet uit maar vullen elkaar aan.
Let op: een gekeurd spelsysteem zegt iets over de werking van het spel, niet over de beveiliging van een afzonderlijke betaling. Beide lagen bestaan naast elkaar.
Wachtwoord, e-mail en tweede stap
Een sterke authenticatie is zo betrouwbaar als de toegang tot de middelen erachter. Dat begint bij een eigen, uniek wachtwoord voor elk account, bij voorkeur lang en niet afgeleid van persoonlijke gegevens of van een wachtwoord dat elders al is gebruikt, zodat een lek bij een dienst geen andere deuren opent.
Het e-mailadres dat bij een account hoort, is het herstelpunt voor bijna alle andere diensten en vraagt daarom dezelfde zorg als het bankieren zelf. Een tweede stap bij het inloggen, zoals een code uit een app, maakt dat een gestolen wachtwoord niet meer volstaat. Een wachtwoordmanager helpt om veel verschillende, sterke wachtwoorden te gebruiken zonder ze te hoeven onthouden. Berichten waarin om inloggegevens of een code wordt gevraagd, komen niet van de bank of de aanbieder zelf en zijn een bekend patroon bij oplichting. Software en apps up-to-date houden, hoort bij dezelfde hygiene.
De verantwoordelijkheden zijn verdeeld over drie partijen:
| Bank | De betaalomgeving en de bevestiging | Goedkeuring in de bankapp |
| Aanbieder | De speelrekening en de eigen systemen | Inlogbeveiliging en controle van storting en uitbetaling |
| Speler | De eigen toegang en apparaten | Uniek wachtwoord en een tweede stap |
Reageren op een onverwachte betaalmelding
Een melding van een betaling die de rekeninghouder niet herkent, vraagt om een rustige en vaste volgorde. Eerst wordt gecontroleerd of de melding echt uit de eigen bankomgeving komt en niet uit een link in een bericht. Daarna wordt de betaling in het overzicht van de rekening opgezocht, omdat een melding en een afschrift vaak niet gelijk worden bijgewerkt. Herkent de rekeninghouder de transactie niet, dan is de bank het eerste aanspreekpunt, die de pas of rekening kan blokkeren. Ook de aanbieder wordt ingelicht, zodat de speelrekening kan worden gecontroleerd en eventuele verdachte activiteit kan worden vastgelegd.
Tip: bevestig een betaling alleen in de omgeving van de eigen bank of betaalapp, nooit via een link in een bericht.
Opkomst van beveiligde betaalstandaarden
De huidige standaarden zijn het resultaat van een geleidelijke ontwikkeling. Vroeger volstond vaak een kaartnummer en een code, nu is een bevestiging door de rekeninghouder in een beveiligde omgeving de norm, mede door Europese regelgeving. Die verschuiving verklaart waarom de bankomgeving tegenwoordig een vast onderdeel is van online betalen.
Beveiliging die meebeweegt met nieuwe dreigingen
Dreigingen veranderen, dus beveiliging staat niet stil. Naarmate oplichters nieuwe technieken gebruiken, passen banken en aanbieders hun controles aan, bijvoorbeeld door afwijkende patronen eerder te signaleren en nieuwe vormen van misleiding mee te nemen in de controle.
De ontwikkeling gaat naar maatregelen die weinig opvallen voor de gebruiker maar op de achtergrond voortdurend meekijken. Zo kan een betaling die afwijkt van het gebruikelijke patroon extra worden gecontroleerd, zonder dat dit bij elke transactie merkbaar is. Dat betekent niet dat de eigen oplettendheid overbodig wordt: een bevestiging die de gebruiker bewust geeft, blijft de kern van een veilige betaling.
Samengevat bestaat betaalbeveiliging uit meerdere lagen die elk een eigen taak hebben: versleuteling, authenticatie en controle. Sterke authenticatie via de eigen bank vormt daarbij het meest zichtbare moment, terwijl de keuring van speelsystemen een aparte laag is die over het spel gaat en niet over de betaling. Een creditcard is niet verboden, maar geldt voor aanbieders als signaal. Goede wachtwoordhygiene, een rustige reactie op onverwachte meldingen en aandacht voor nieuwe dreigingen houden het geheel op peil. Zo blijft veilig betalen een gedeelde taak van bank, aanbieder en gebruiker.