Definitie: Tweestapsverificatie is een inlogmethode waarbij je naast je wachtwoord een tweede bewijs geeft dat jij het bent, bijvoorbeeld een code uit een app, een bevestiging op je telefoon of een fysieke beveiligingssleutel. Ook als iemand je wachtwoord kent, kan die zonder die tweede stap niet inloggen.
In het kort
- Tweestapsverificatie wordt vaak afgekort als 2FA (two-factor authentication). Strikt genomen is 2FA een vorm waarbij de twee stappen uit verschillende categorieën komen.
- De drie categorieën zijn iets wat je weet (wachtwoord), iets wat je hebt (telefoon of sleutel) en iets wat je bent (vingerafdruk of gezicht).
- Sms is de zwakste vorm vanwege simswapping en onderschepping; authenticator-apps, passkeys en hardwaresleutels zijn veiliger.
- MFA, multi-factor authenticatie, is de overkoepelende term voor inloggen met twee of meer factoren.
Wat is tweestapsverificatie?
Tweestapsverificatie voegt een extra slot toe aan je account. Na het invoeren van je gebruikersnaam en wachtwoord vraagt de dienst om een tweede bevestiging. Pas als die klopt, krijg je toegang.
Het idee erachter is eenvoudig. Wachtwoorden lekken uit, worden geraden of hergebruikt. Volandis stelt dat alleen een gebruikersnaam en wachtwoord onvoldoende bescherming bieden en dat gecompromitteerde accounts vaak het begin zijn van een succesvolle aanval op een organisatie. Een tweede stap maakt een buitgemaakt wachtwoord veel minder waard.
Je kent tweestapsverificatie waarschijnlijk al uit het dagelijks leven. Bij DigiD bevestig je met de app, bij internetbankieren met een pas of app, en bij Google, Microsoft of Apple krijg je een melding op je telefoon als je op een nieuw apparaat inlogt.
2FA betekenis: tweestapsverificatie, 2FA en MFA
De termen worden vaak door elkaar gebruikt. NordVPN maakt dit onderscheid:
| Term | Betekenis |
|---|---|
| Tweestapsverificatie (2SV) | Inloggen in twee stappen. De tweede stap kan uit dezelfde categorie komen als de eerste |
| Tweefactorauthenticatie (2FA) | Twee factoren uit verschillende categorieën, bijvoorbeeld wachtwoord en telefoon |
| Multi-factor authenticatie (MFA) | Twee of meer factoren; 2FA is een vorm van MFA |
In de praktijk zegt bijna iedereen tweestapsverificatie of 2FA, ook als technisch MFA wordt bedoeld. Volgens NordVPN noemt Google zijn eigen 2FA bijvoorbeeld “verificatie in 2 stappen”.
Welke factoren bestaan er?
| Categorie | Voorbeelden |
|---|---|
| Iets wat je weet | Wachtwoord, pincode, antwoord op een beveiligingsvraag |
| Iets wat je hebt | Telefoon met authenticator-app, hardwaresleutel, bankpas, smartcard |
| Iets wat je bent | Vingerafdruk, gezichtsherkenning |
Een goede tweede stap combineert twee categorieën. Een wachtwoord plus een code uit een app op je telefoon is sterker dan een wachtwoord plus een tweede wachtwoord. Een aanvaller moet dan twee verschillende dingen in handen krijgen: iets wat hij kan stelen via internet, en iets wat fysiek bij jou ligt. Dat maakt grootschalige aanvallen op veel accounts tegelijk een stuk lastiger, omdat een gelekte lijst met wachtwoorden alleen niet meer genoeg is.
Welke vormen van tweestapsverificatie zijn er?
| Methode | Hoe het werkt | Veiligheid |
|---|---|---|
| Sms-code | Je krijgt een code per sms | Laag: gevoelig voor simswapping en onderschepping |
| E-mailcode | Je krijgt een code per mail | Beperkt: wie je mail heeft, heeft ook de code |
| Authenticator-app | Een app maakt elke 30 seconden een nieuwe code | Goed, werkt ook offline |
| Pushmelding | Je bevestigt de inlog met een tik op je telefoon | Goed, mits je niet blind op elke melding tikt |
| Passkey | Een sleutel op je apparaat, ontgrendeld met vingerafdruk of gezicht | Zeer goed, bestand tegen phishing |
| Hardwaresleutel | Een fysieke sleutel via USB of NFC, zoals een YubiKey | Zeer hoog |
ID.nl legt uit dat authenticator-apps werken met TOTP: tijdgebonden eenmalige codes die maar kort geldig zijn. Volgens Tech Insider zijn passkeys gekoppeld aan het webadres van de dienst, waardoor ze niet werken op een nagemaakte phishingsite. Een hardwaresleutel kost volgens Tech Insider ongeveer 25 tot 70 euro; het advies is twee sleutels te registreren, zodat je een reserve hebt.
ID.nl noemt e-mail als tweede stap een single point of failure: wie toegang heeft tot je mailbox, kan vaak ook de wachtwoorden van andere accounts herstellen.
Waarom is sms de zwakste vorm?
Bij simswapping overtuigt een oplichter je provider om je telefoonnummer over te zetten naar een nieuwe simkaart. Vanaf dat moment ontvangt de oplichter je sms-codes. Daarnaast kunnen sms-berichten worden onderschept of via phishing worden ontfutseld. iPhoned en Tech Insider zijn het er wel over eens dat sms nog altijd veel beter is dan geen tweede stap.
Wat tweestapsverificatie niet tegenhoudt
Tweestapsverificatie is sterk, maar niet onfeilbaar. Tech Insider wijst op bankhelpdeskfraude: een oplichter belt namens de bank en laat het slachtoffer zelf een betaling of inlog bevestigen. De tweede stap wordt dan door de echte gebruiker gegeven. Ook phishingsites die codes in realtime doorsturen, kunnen sms- en appcodes misbruiken. Passkeys en hardwaresleutels zijn daar beter tegen bestand, omdat ze alleen werken op het echte webadres.
Hoe stel je tweestapsverificatie in?
- Begin met je e-mailaccount. NordVPN noemt dit het belangrijkste account, omdat het toegang geeft tot andere diensten.
- Open de beveiligingsinstellingen van het account en zoek naar tweestapsverificatie, 2FA of verificatie in twee stappen.
- Kies bij voorkeur een authenticator-app of passkey in plaats van sms.
- Scan de QR-code met de app, of registreer je passkey of sleutel.
- Bewaar de herstelcodes buiten je telefoon, bijvoorbeeld in een wachtwoordmanager of op papier.
- Stel een reserve in, zoals een tweede apparaat of sleutel.
- Herhaal dit voor je belangrijkste accounts: bank, cloudopslag, boekhouding, sociale media en wachtwoordmanager.
Wat als je je telefoon kwijt bent?
De grootste zorg bij tweestapsverificatie is buitengesloten worden. NordVPN besteedt daarom een aparte sectie aan wat je doet als je geen toegang meer hebt tot je tweede factor. De belangrijkste maatregelen:
- Herstelcodes. Bij het instellen krijg je vaak een reeks eenmalige codes. Met één daarvan kom je binnen zonder telefoon.
- Een tweede methode. Registreer bijvoorbeeld een tweede telefoon, een hardwaresleutel of een passkey op je laptop.
- Synchroniserende apps. Sommige authenticator-apps bewaren een versleutelde back-up, zodat je codes meegaan naar een nieuwe telefoon. ID.nl wijst erop dat het account van die app dan extra goed beveiligd moet zijn.
- Herstelprocedure van de dienst. Als laatste redmiddel kun je je identiteit aantonen bij de aanbieder. Dat duurt vaak dagen.
Regel dit vooraf. Na verlies van je telefoon is het te laat om nog herstelcodes op te halen.
Welke accounts beveilig je als bedrijf eerst?
Niet elk account is even belangrijk. Begin bij de accounts die toegang geven tot andere accounts of tot geld en gevoelige gegevens:
- E-mail, omdat je daarmee wachtwoorden van andere diensten kunt herstellen.
- Wachtwoordmanager, die de sleutels van alle andere accounts bevat.
- Bankieren en betaaldiensten.
- Boekhouding en salarisadministratie.
- Cloudopslag en gedeelde documenten.
- Websitebeheer, domeinnaam en hosting, omdat een overname hier je hele online aanwezigheid raakt.
- Sociale media en advertentieaccounts.
- Klantsystemen zoals CRM en klantportalen.
Maak tweestapsverificatie bij voorkeur verplicht via de beheerinstellingen, zodat het niet afhangt van de discipline van individuele medewerkers.
Tweestapsverificatie in je eigen applicatie
Voor een bedrijf gaat het niet alleen om je eigen accounts, maar ook om de systemen die je klanten en medewerkers gebruiken. In een klantportaal of interne tool met gevoelige gegevens hoort tweestapsverificatie bij de basis. Aandachtspunten bij het bouwen:
- Kies veilige methoden, zoals een authenticator-app of passkeys, en gebruik sms hooguit als reserve.
- Maak herstel mogelijk met herstelcodes, zonder dat de helpdesk de beveiliging makkelijk omzeilt.
- Verplicht 2FA voor beheerders en gebruikers met toegang tot gevoelige gegevens.
- Vraag opnieuw om bevestiging bij gevoelige handelingen, zoals het wijzigen van bankgegevens of het exporteren van alle klantgegevens.
- Log inlogpogingen, zodat ongebruikelijke activiteit opvalt.
- Houd het bruikbaar. Wie elke dag tien keer een code moet invoeren, gaat zoeken naar omwegen. Een vertrouwd apparaat een tijd onthouden is een gangbare middenweg.
Wat betekent dit voor jouw project?
Bij een klantomgeving draait veel om de vraag wie wat mag zien. Bij TaskZen, een klant- en werkomgeving met klantberichten, een websiteleadwidget en rapportage, is de bouwles: wie ziet een bericht, wie moet reageren en wat vraagt aandacht? Inloggen en rechten zijn de basis onder die vragen. Hoe gevoeliger de gegevens, hoe belangrijker een sterke tweede stap.
Ik wil vooraf duidelijk hebben welke rollen er zijn en wat elke rol mag. Daaruit volgt welke gebruikers een tweede stap nodig hebben en bij welke handelingen.
Vraag? Wil je klanten of medewerkers veilig toegang geven tot gegevens in een eigen applicatie? Stuur me wie er moet inloggen, wat ze moeten kunnen zien en waar de gegevens nu staan. Dan bepalen we samen de logische eerste stap. Lees ook wat er komt kijken bij een webapplicatie laten maken.
Veelgestelde vragen over tweestapsverificatie
Wat is tweestapsverificatie?
Tweestapsverificatie is een inlogmethode waarbij je naast je wachtwoord een tweede bewijs geeft, zoals een code uit een app, een bevestiging op je telefoon of een beveiligingssleutel. Zonder die tweede stap kan iemand met alleen je wachtwoord niet inloggen.
Wat is de betekenis van 2FA?
2FA staat voor two-factor authentication, in het Nederlands tweefactorauthenticatie. Het betekent inloggen met twee factoren uit verschillende categorieën, zoals iets wat je weet en iets wat je hebt.
Wat is het verschil tussen 2FA en MFA?
MFA, multi-factor authenticatie, is de overkoepelende term voor inloggen met twee of meer factoren. 2FA is een vorm van MFA waarbij precies twee factoren worden gebruikt.
Verwante termen
Klantportaal · Privacy by design · Datasoevereiniteit en EU-hosting · Webapplicatie · Interne tool · SLA
← Terug naar de kennisbank