Betrouwbare en veilige klantidentificatie is binnen de financiële sector een kernvoorwaarde om te voldoen aan wet- en regelgeving (Wwft, AML5, eIDAS, AVG). Met de introductie van ID-Wallets en eIDAS2.0 in 2028/2029 zal vanuit de overheid een structurele oplossing voor veilige digitale identificatie worden geboden.
Veel financiële instellingen maken tot die tijd gebruik van oplossingen die identificatie uitvoeren door middel van een combinatie van een paspoort OCR/NFC scan en geautomatiseerde biometrie en video verificatie (‘biometrische identiteitsverificatie op afstand’).
Hoewel deze technologie breed geaccepteerd is, wijst recent onderzoek van de Franse en Duitse cybersecurity autoriteiten op structurele kwetsbaarheden die de betrouwbaarheid en veiligheid van deze identificatie methode ondermijnen (Remote Identity Proofing for EUDI Wallet Onboarding: Strengthening Assurance Against Evolving Threats, ANSSI en BSI - juli 2025 ). Een identificatiemethode die gebruikmaakt van iDIN, DigiD en actuele gegevens uit de Basisregistratie Personen (BRP), biedt als gevolg van AI-ontwikkelingen voorlopig een technisch betere en veiligere identificatie methode dan biometrische oplossingen.
Het gezamenlijke BSI-ANSSI rapport beschrijft dat video- en biometrische verificatieprocessen, als gevolg van recente technologische ontwikkelingen (met name AI), kwetsbaar zijn geworden voor herhaalbare, schaalbare en onzichtbare aanvallen.
De grootste risico’s:
Het gevolg is dat deze methoden een onvoldoende Level of Assurance (LoA) bereiken en in de praktijk zelfs onder het voor de Wwft vereiste LoA Substantieel kunnen uitkomen. Bovendien is het fraudepotentieel groot: aanvallen zijn relatief goedkoop te automatiseren en moeilijk te detecteren.
Geconcludeerd kan worden dat de huidige eIDAS-wetgeving inmiddels sterk achterloopt bij de technologische ontwikkelingen en ook aan het nieuwe eIDAS2.0 moet volgens BSI-ANSSI nog flink worden gesleuteld om de risico’s van identiteitsfraude te minimaliseren.
Ockto ondersteunt meerdere identificatiemethodieken, waaronder de door BSI-ANSSI genoemde biometrische identiteitsverificatie op afstand. Daarnaast ontwikkelden wij enkele jaren geleden samen met ING Bank een compliant identificatiemethode op basis van een publieke en private eID.
Hierbij was het doel een alternatief te bieden voor de biometrische oplossingen, die voor de gebruiker eenvoudiger te gebruiken is en daarmee tot een hogere conversie leidt. Deze methode maakt gebruik van iDIN, DigiD en de Basisregistratie Personen en is naar nu blijkt niet gevoelig voor de in het BSI-ANSSI rapport genoemde kwetsbaarheden.
Deze methodiek werkt als volgt:
Deze methode werkt niet voor gebruikers die geen Nederlandse bankrekening bij een grootbank hebben en zich dus niet via iDIN kunnen identificeren. In stap 1 krijgen de gebruikers waarvoor dat geldt het alternatief om zich via biometrische identiteitsverificatie op afstand te identificeren.
Ockto hanteert hier een andere benadering voor identificatie: in plaats van het vaststellen van de identificatie via video en biometrie, bouwt het voort op officiële, al gereguleerde en gecertificeerde identificatiekanalen.
Biometrische identiteitsverificatie op afstand biedt in de praktijk dus mogelijk geen toereikend betrouwbaarheidsniveau en is structureel kwetsbaar voor moderne AI gebaseerde aanvalstechnieken. Het BSI-ANSSI rapport benadrukt dat dit type verificatieproces niet zonder meer toekomstbestendig is en zonder aanvullende overheidsmaatregelen onvoldoende bescherming dreigt te bieden tegen identiteitsfraude. De eIDAS2.0 wetgeving moet hier nog op aangepast worden.
De door BSI-ANSSI benoemde fraude risico’s gelden niet voor identificatie via iDIN, DigiD en BRP, omdat daarvoor geen biometrische identiteitsverificatie noodzakelijk is. Een belangrijk aanvullend voordeel van deze methode is dat het voor de eindgebruiker een stuk eenvoudiger werkt en daarmee tot een aanmerkelijk hogere conversie leidt. Vanwege de toegang tot de Basisregistratie Personen levert deze methode ook volledig actuele PID-gegevens zoals adres en geldigheid paspoort.
Totdat eIDAS2.0 in 2028/2029 volwaardig in gebruik is genomen en consumenten zich via gecertificeerde ID-Wallets (ook binnen Ockto) kunnen identificeren is de combinatie van iDIN, DigiD en BRP via Ockto een betrouwbaar en veilig alternatief voor biometrische identificatie.
Wil je meer weten? Neem dan contact op met Jan Marten van Seijst via jmvseijst@ockto.nl.