Wat is twee­staps­verificatie? Een gestolen wachtwoord is niet genoeg

Een gestolen wachtwoord alleen volstaat niet meer

Met een tweede stap bij het aanmelden heeft wie je wachtwoord steelt er niets meer aan. Je hoort ook 2FA, tweefactorauthenticatie of MFA, multifactorauthenticatie; zodra het om twee bewijzen gaat, bedoelen ze hetzelfde.

Safeonweb, de Belgische overheidssite over online veiligheid, noemt de drie soorten bewijs bij naam: iets wat alleen jij weet, iets wat alleen jij hebt, en iets wat je uniek maakt. Een wachtwoord plus een code op je gsm is tweestapsverificatie. Twee wachtwoorden na elkaar zijn het niet: dat is twee keer hetzelfde soort bewijs. Volgens Safeonweb zijn itsme en een digipass voor online bankieren ook vormen van 2FA, en hun advies is kort: zet het aan overal waar het kan, en begin met je e-mail, want via je mailbox herstelt een aanvaller al je andere wachtwoorden.

Hoeveel het scheelt, mat Microsoft in 2019 op zijn eigen accounts: een tweede stap kan meer dan 99,9 procent van de pogingen om een account over te nemen tegenhouden.

De kaartlezer van je bank, en nu de passkey

Banken gebruiken al lang een tweede stap: de kaartlezer die een code maakt uit je bankkaart en je pincode. De open standaard voor zulke codes, HOTP, verscheen in december 2005 als RFC 4226, met als een van de auteurs Frank Hoornaert van VASCO Data Security, toen gevestigd in Wemmel. In mei 2011 volgde RFC 6238, TOTP: een code die standaard elke 30 seconden verandert. Dat is de code die Google Authenticator en Microsoft Authenticator vandaag tonen.

De volgende stap kwam op 4 maart 2019, toen het W3C Web Authentication tot standaard maakte. Je toestel maakt dan een sleutelpaar dat gebonden is aan een website; dat is de basis van passkeys en beveiligingssleutels. In België kom je itsme bijna overal tegen: volgens de eigen site bewijzen bijna 8 miljoen Belgen er elke dag mee wie ze zijn, met de app op hun gsm en een geheime code van vijf cijfers. Het Amerikaanse NIST, dat de standaard zet voor digitale identiteit, herschreef zijn regels in juli 2025 in SP 800-63B-4.

Sms, app, sleutel, passkey of itsme

Niet elke tweede stap is even sterk. Het verschil zit in een vraag: houdt de methode stand als iemand je naar een valse aanmeldpagina lokt?

NIST zegt het in zijn regels van 2025 zonder omwegen. Sms en telefoon zijn een beperkte methode. Een code per e-mail mag niet als tweede stap. Wie een dienst aanbiedt met tweestapsverificatie, moet de gebruiker minstens een phishingbestendige optie geven, en voor het strengste niveau is die verplicht. NIST rekent ook het wachtwoord zelf anders: is het de enige stap, dan moet het minstens 15 tekens lang zijn, met een tweede stap erbij minstens 8.

Een boekhoudkantoor met en zonder tweede stap

Stel: een boekhoudkantoor met zes medewerkers heeft een klantenportaal waar 140 klanten facturen en loonfiches opladen. Een medewerker klikt op een valse mail die eruitziet als een bericht van het portaal, en typt zijn wachtwoord in. Zonder tweede stap staat de oplichter in de dossiers van 140 bedrijven. Met een code uit een app moet hij die code binnen 30 seconden ook ontfutselen. Met een passkey komt hij niet verder: de valse site krijgt geen bruikbaar antwoord van het toestel.

Wat het kantoor betaalt: voor de apps niets. Kiest het voor beveiligingssleutels, dan zijn dat twee sleutels per medewerker, een in gebruik en een als reserve, aan 35,09 euro: 421,08 euro voor zes mensen. Het instellen kost een kwartier per medewerker. Wie het portaal bouwt, betaalt geen licentie voor TOTP of passkeys: het zijn open standaarden. itsme in je eigen portaal vraagt wel een contract met itsme. Meer over wat zo'n kantoor digitaal nodig heeft, lees je bij software voor accountants.

Een tweede stap in je eigen portaal

Gebruik je pakketten van anderen, dan is tweestapsverificatie een instelling: in je mail, je boekhoudpakket, je SaaS-tools en de beheerdersaccount van je website. Dat laatste wordt vaak vergeten; waarom het telt, lees je in is WordPress veilig?, en wie het voor je opvolgt in website onderhoud en beheer.

Bouw je eigen software, zoals een portaal voor klanten, een app of een webapplicatie, dan staat de aanmeldpagina altijd achter https met een geldig SSL-certificaat, en maak je vier keuzes. Wie moet het aanzetten: verplicht voor personeel en beheerders, aan te bieden voor klanten. Welke methodes: een app en passkeys, sms hooguit als reserve. Hoe iemand terug binnenraakt die zijn gsm kwijt is, zonder dat een oplichter met een telefoontje hetzelfde kan. En of je sessies kan intrekken, zodat een gestolen laptop meteen buitengesloten is. Valt je bedrijf onder NIS2, kijk dan ook wat de deadline van april 2027 van je vraagt. Deel je klantgegevens met een softwareleverancier, leg de afspraken vast in een verwerkersovereenkomst. En verkoop je zelf software, lees dan wat de Cyber Resilience Act aan meldingen vraagt.