Betrouwbare en veilige klantidentificatie is binnen de financiële sector een kernvoorwaarde om te voldoen aan wet- en regelgeving (Wwft, AML5, eIDAS, AVG). Met de introductie van ID-Wallets en eIDAS2.0 in 2028/2029 zal vanuit de overheid een structurele oplossing voor veilige digitale identificatie worden geboden.
Veel financiële instellingen maken tot die tijd gebruik van oplossingen die identificatie uitvoeren door middel van een combinatie van een paspoort OCR/NFC scan en geautomatiseerde biometrie en video verificatie (‘biometrische identiteitsverificatie op afstand’).
Hoewel deze technologie breed geaccepteerd is, wijst recent onderzoek van de Franse en Duitse cybersecurity autoriteiten op structurele kwetsbaarheden die de betrouwbaarheid en veiligheid van deze identificatie methode ondermijnen (Remote Identity Proofing for EUDI Wallet Onboarding: Strengthening Assurance Against Evolving Threats, ANSSI en BSI - juli 2025 ). Een identificatiemethode die gebruikmaakt van iDIN, DigiD en actuele gegevens uit de Basisregistratie Personen (BRP), biedt als gevolg van AI-ontwikkelingen voorlopig een technisch betere en veiligere identificatie methode dan biometrische oplossingen.
Risico’s van biometrische identiteitsverificatie op afstand
Het gezamenlijke BSI-ANSSI rapport beschrijft dat video- en biometrische verificatieprocessen, als gevolg van recente technologische ontwikkelingen (met name AI), kwetsbaar zijn geworden voor herhaalbare, schaalbare en onzichtbare aanvallen.
De grootste risico’s:
- Presentation attacks: gebruik van foto’s, siliconenmaskers, deepfakes of projecties om het gezichtsverificatieproces via beeldopname te misleiden.
- Injection attacks: invoegen van synthetisch of gemanipuleerd beeldmateriaal in de verificatiestroom om het gezichtsverificatieproces via beeldopname te misleiden.
- Kwetsbare data-extractie: veel systemen vertrouwen nog steeds deels op OCR, dat foutgevoelig en manipuleerbaar is en waarmee beveiligingskenmerken van ID-kaarten (UV, IR, microprint) niet betrouwbaar op afstand zijn te valideren.
Het gevolg is dat deze methoden een onvoldoende Level of Assurance (LoA) bereiken en in de praktijk zelfs onder het voor de Wwft vereiste LoA Substantieel kunnen uitkomen. Bovendien is het fraudepotentieel groot: aanvallen zijn relatief goedkoop te automatiseren en moeilijk te detecteren.
Geconcludeerd kan worden dat de huidige eIDAS-wetgeving inmiddels sterk achterloopt bij de technologische ontwikkelingen en ook aan het nieuwe eIDAS2.0 moet volgens BSI-ANSSI nog flink worden gesleuteld om de risico’s van identiteitsfraude te minimaliseren.
Is er een alternatief?
Ockto ondersteunt meerdere identificatiemethodieken, waaronder de door BSI-ANSSI genoemde biometrische identiteitsverificatie op afstand. Daarnaast ontwikkelden wij enkele jaren geleden samen met ING Bank een compliant identificatiemethode op basis van een publieke en private eID.
Hierbij was het doel een alternatief te bieden voor de biometrische oplossingen, die voor de gebruiker eenvoudiger te gebruiken is en daarmee tot een hogere conversie leidt. Deze methode maakt gebruik van iDIN, DigiD en de Basisregistratie Personen en is naar nu blijkt niet gevoelig voor de in het BSI-ANSSI rapport genoemde kwetsbaarheden.
Deze methodiek werkt als volgt:
- De gebruiker identificeert zich via iDIN
De gebruiker logt via Ockto in bij zijn bank en identificeert zich via iDIN. Dit levert een identificatie op het LoA niveau Substantieel, zoals minimaal vereist binnen de Wwft en AML-wetgeving. - Verificatie via de Basisregistratie Personen (BRP)
De gebruiker logt met behulp van DigiD in bij MijnOverheid. Daar worden de noodzakelijke actuele gegevens – zoals naam, geboortedatum, adres en paspoortgegevens – direct opgehaald uit BRP. - Samenvoeging tot Identiteit
Wanneer de gegevens uit de iDIN- en BRP-identificatie overeenkomen, wordt uit de combinatie van iDIN en BRP-informatie een formele Identiteit gecreëerd. Dit wordt zowel in een PDF weergegeven als opgenomen in een digitaal gesigned gegevensbestand (ODM-bestand). - Veilig delen en beschikbaar voor verwerking
De eindgebruiker geeft Ockto expliciet toestemming om de samengestelde identiteit te delen. Eventueel in combinatie met de overige persoonsgegevens die de gebruiker via Ockto met de dienstverlener wil delen. Na deze goedkeuring worden de geverifieerde identiteit en de daarbij behorende relevante persoonsgegevens versleuteld en AVG-compliant gedeeld met de ontvangende partij.
Deze methode werkt niet voor gebruikers die geen Nederlandse bankrekening bij een grootbank hebben en zich dus niet via iDIN kunnen identificeren. In stap 1 krijgen de gebruikers waarvoor dat geldt het alternatief om zich via biometrische identiteitsverificatie op afstand te identificeren.
De combinatie iDIN, DigiD en BRP: een intrinsiek veiliger alternatief
Ockto hanteert hier een andere benadering voor identificatie: in plaats van het vaststellen van de identificatie via video en biometrie, bouwt het voort op officiële, al gereguleerde en gecertificeerde identificatiekanalen.
- Sterke authenticatiemiddelen:
iDIN: door banken beheerd, minimaal 2-factor authenticatie.
DigiD: door de overheid beheerd, minimaal 2-factor authenticatie. Beide middelen zijn ingebed in de nationale en Europese infrastructuur en onderwerp van toezicht en certificering. - Actuele persoonsgegevens uit de BRP:
Actuele identiteitsgegevens worden rechtstreeks opgehaald uit de Basisregistratie Personen.
Dit voorkomt fouten die kunnen ontstaan door het kopiëren of visueel uitlezen van ID-documenten, of doordat informatie op het ID-document niet meer actueel is (paspoort niet meer geldig, adres gewijzigd, etc.)
De cross check met informatie uit de basisregistratie personen geeft een hoge mate van extra betrouwbaarheid. - Weerbaarheid tegen fraude:
Deepfakes, maskers, video-injecties, of andere AI-trucs hebben geen effect, omdat het identificatie proces geen visuele input nodig heeft en biometrische verificatie tussen de foto op een ID bewijs en de persoon overbodig is.
Een succesvolle fraudeur moet beschikken over de volledige bank- en overheid DigiD inloggegevens van een persoon. Dat is nagenoeg uitgesloten. - Compliance & privacy:
De identificatiemethode maakt gebruik van middelen en registers die al voldoen aan eIDAS, AVG en nationale wetgeving en voldoet aantoonbaar aan de identificatie vereisten zoals opgenomen in de Wwft en AML-wetgeving.
Er worden geen nieuwe biometrische databronnen aangemaakt of opgeslagen, waardoor privacy risico’s sterk worden gereduceerd.
Ockto staat onder toezicht van DNB en de AFM en is ISO27001 en SOCII gecertificeerd.
De weg vooruit: betrouwbaarder identificeren met eIDAS2.0
Biometrische identiteitsverificatie op afstand biedt in de praktijk dus mogelijk geen toereikend betrouwbaarheidsniveau en is structureel kwetsbaar voor moderne AI gebaseerde aanvalstechnieken. Het BSI-ANSSI rapport benadrukt dat dit type verificatieproces niet zonder meer toekomstbestendig is en zonder aanvullende overheidsmaatregelen onvoldoende bescherming dreigt te bieden tegen identiteitsfraude. De eIDAS2.0 wetgeving moet hier nog op aangepast worden.
De door BSI-ANSSI benoemde fraude risico’s gelden niet voor identificatie via iDIN, DigiD en BRP, omdat daarvoor geen biometrische identiteitsverificatie noodzakelijk is. Een belangrijk aanvullend voordeel van deze methode is dat het voor de eindgebruiker een stuk eenvoudiger werkt en daarmee tot een aanmerkelijk hogere conversie leidt. Vanwege de toegang tot de Basisregistratie Personen levert deze methode ook volledig actuele PID-gegevens zoals adres en geldigheid paspoort.
Totdat eIDAS2.0 in 2028/2029 volwaardig in gebruik is genomen en consumenten zich via gecertificeerde ID-Wallets (ook binnen Ockto) kunnen identificeren is de combinatie van iDIN, DigiD en BRP via Ockto een betrouwbaar en veilig alternatief voor biometrische identificatie.
Wil je meer weten? Neem dan contact op met Jan Marten van Seijst via jmvseijst@ockto.nl.
