Tweestapsverificatie geeft je online accounts een extra beveiligingslaag. Naast je wachtwoord heb je nog een tweede bewijs van je identiteit nodig. Dat kan een eenmalige sms-code, een goedkeuring via je smartphone, een beveiligingssleutel of biometrische controle zijn.
Een wachtwoord alleen biedt niet altijd voldoende bescherming. Het kan worden gestolen via phishing, een datalek of malware. Ook hergebruik op meerdere websites en eenvoudige gokpogingen vormen een risico.
Bij het inloggen geef je eerst je gebruikersnaam en wachtwoord in. Daarna bevestig je je identiteit met een tweede factor, bijvoorbeeld via een bankapp, itsme® of een sms-code. Zo wordt het veel moeilijker voor iemand om toegang te krijgen, zelfs als die persoon je wachtwoord kent.
Je kunt tweestapsverificatie gebruiken voor e-mail, sociale media, webshops, cloudopslag, bankdiensten en online overheidsdiensten. Lees ook meer over veilig werken in de cloud.
Deze methode biedt geen absolute garantie. Blijf alert voor phishing, onbekende toestellen en verdachte meldingen. Deel verificatiecodes nooit met anderen, ook niet wanneer een bericht dringend lijkt.
Wat is tweestapsverificatie en waarom is het belangrijk?
Tweestapsverificatie voegt een extra controle toe aan je wachtwoord. Je gebruikt eerst iets wat je weet, zoals een wachtwoord, pincode of antwoord op een geheime vraag. Daarna bevestig je je identiteit met een tweede factor.
Het verschil tussen een wachtwoord en een extra verificatiefactor
Een wachtwoord hoort bij de categorie iets wat je weet. Een smartphone, authenticatorapp, bankkaartlezer of beveiligingssleutel valt onder iets wat je hebt. Een vingerafdruk of gezichtsherkenning is iets wat je bent.
Twee stappen betekenen niet altijd twee verschillende factoren. Een wachtwoord met een extra pincode blijft binnen dezelfde categorie. Een combinatie van een wachtwoord en een smartphone biedt een sterkere controle.
Tweestapsverificatie vervangt je wachtwoord niet. De extra factor komt boven op je wachtwoord. Een aanvaller heeft na een wachtwoordlek nog steeds je tweede verificatiefactor nodig.
Hoe tweestapsverificatie je online accounts beschermt
Een extra factor beperkt de schade door gelekte wachtwoorden, credential stuffing en hergebruik van dezelfde inloggegevens. Zelfs een nagemaakte website vormt minder snel een probleem wanneer je een phishingbestendige methode gebruikt, zoals een FIDO2-beveiligingssleutel.
Geef nooit een verificatiecode door. Een bank, helpdesk of online dienst vraagt je normaal niet om een eenmalige code via telefoon of chat te delen. Een onverwachte melding met “Goedkeuren of weigeren?” kan wijzen op herhaalde pogingen om je tot goedkeuring te verleiden.
Je e-mailaccount verdient extra aandacht. Wie toegang krijgt tot Gmail, Outlook of Proton Mail, kan vaak wachtwoorden voor andere diensten opnieuw instellen. Controleer na het instellen of tweestapsverificatie echt actief is. Een toegevoegd telefoonnummer of hersteladres betekent niet automatisch dat 2FA is ingeschakeld.
Voor welke accounts je tweestapsverificatie het best inschakelt
Start met accounts die veel persoonlijke of financiële informatie bevatten. Kies voor gevoelige diensten de sterkste beschikbare verificatiemethode.
- e-mailaccounts, zoals Gmail, Outlook en Proton Mail;
- bank- en betaalaccounts, inclusief internetbankieren en betaalplatformen;
- overheidsdiensten en digitale identiteitsdiensten, zoals itsme® en Belgische e-overheidsplatformen;
- werkaccounts, Microsoft 365, Google Workspace, bedrijfssoftware en VPN-toegang;
- cloudopslag, zoals OneDrive, Google Drive, Dropbox en iCloud;
- sociale media, zoals Facebook, Instagram, LinkedIn en TikTok;
- webshops met opgeslagen betaalgegevens;
- wachtwoordbeheerders die toegang geven tot andere accounts.
Hoe werkt tweestapsverificatie bij het online inloggen?
Je start met de website of app van de dienst die je wilt gebruiken. Geef je gebruikersnaam, e-mailadres of klantnummer in. Daarna vul je je wachtwoord in.
De dienst vraagt daarna om een tweede controle. Je vult bijvoorbeeld een code in, keurt een pushmelding goed, scant je vingerafdruk of sluit een beveiligingssleutel aan. Na een geslaagde controle krijg je toegang tot je account.
- Open de website of app van de dienst.
- Vul je gebruikersnaam, e-mailadres of klantnummer in.
- Voer je wachtwoord in.
- Wacht op de vraag om een tweede verificatiefactor.
- Gebruik de gevraagde code, melding, biometrische controle of beveiligingssleutel.
- Ga verder zodra de controle is goedgekeurd.
Een eenmalige code blijft meestal maar kort geldig. Vaak kun je de code slechts één keer gebruiken. Een onderschepte code is daardoor minder bruikbaar dan een vast wachtwoord. Deel zo’n code nooit met iemand die er via telefoon, sms of e-mail om vraagt.
Sommige diensten laten je een toestel als vertrouwd markeren. Je krijgt dan minder vaak een extra controle. Kies deze optie alleen op een persoonlijk toestel met schermvergrendeling, zoals een pincode, vingerafdruk of gezichtsherkenning.
Een dienst kan later opnieuw om tweestapsverificatie vragen. Dat gebeurt bij een onbekende locatie, een nieuw toestel of gewiste cookies. Een ongebruikelijke loginpoging kan dezelfde vraag uitlokken.
Zorg vooraf voor een herstelmethode. Denk aan back-upcodes, een tweede telefoonnummer, een extra authenticatieapp of herstel via de accountprovider. Bewaar back-upcodes offline op een veilige plaats, zoals in een afgesloten kast.
Keurt je telefoon een verificatieverzoek goed terwijl je zelf niet probeert in te loggen? Weiger de melding. Wijzig daarna je wachtwoord en controleer de recente accountactiviteit. Zo merk je sneller of iemand toegang tot je gegevens probeert te krijgen.
De werking van 2FA hangt af van de dienst en de gekozen methode. Niet elke website biedt dezelfde opties. Sommige diensten gebruiken de naam meervoudige verificatie of MFA voor een vergelijkbare beveiligingsaanpak.
Welke verificatiemethoden kun je gebruiken?
Je kunt je identiteit op verschillende manieren bevestigen. Elke methode heeft eigen voordelen en risico’s. Kies waar mogelijk voor een optie die niet alleen makkelijk, maar ook bestand tegen phishing is.
Verificatie via een sms-code
Bij sms-2FA stuurt de dienst een tijdelijke code naar je geregistreerde mobiele nummer. Je voert die code tijdens het inloggen in. Deze methode is eenvoudig te begrijpen en werkt op vrijwel elke mobiele telefoon.
Sms biedt meer bescherming dan alleen een wachtwoord. Toch kan een aanvaller een code onderscheppen via sim-swapping, misbruik van nummeroverdracht, malware of toegang tot je berichten. Een authenticatorapp, een gecontroleerde pushmelding of een FIDO2-beveiligingssleutel is meestal sterker.
Houd je mobiele nummer actueel in je account. Krijg je plots geen bereik of sms-berichten meer? Neem dan direct contact op met je telecomoperator. Gebruik sms niet als enige hersteloptie voor een zeer gevoelig account wanneer een veiliger alternatief beschikbaar is.
Authenticatieapps voor veilige inlogcodes
Apps zoals Microsoft Authenticator, Google Authenticator, Authy en 1Password maken tijdelijke codes op je toestel. Die codes zijn meestal gebaseerd op een gedeeld geheim tussen de app en de online dienst. Je kunt ze vaak genereren zonder mobiele verbinding.
Een authenticatorapp is doorgaans veiliger dan sms. De code gaat niet via het mobiele netwerk en kan niet door een simwissel worden onderschept. Voor de installatie activeer je 2FA in de accountinstellingen. Daarna scan je de QR-code met de app en vul je een testcode in.
Deel de QR-code of geheime instelsleutel nooit openbaar. Wie deze gegevens bezit, kan mogelijk zelf codes voor je account maken. Stap je over naar een nieuwe smartphone? Gebruik de back-up- of migratiefunctie van de app wanneer die beschikbaar is. Bewaar herstelcodes op een veilige, offline plaats.
Pushmeldingen en beveiligingssleutels
Een pushmelding stuurt een loginpoging naar je smartphone. Controleer de getoonde informatie, zoals de dienst, het tijdstip of de locatie. Kies daarna voor goedkeuren of weigeren.
Bevestig een pushmelding nooit wanneer je niet zelf probeert in te loggen. Meerdere onverwachte meldingen kunnen betekenen dat een aanvaller je wachtwoord al kent.
Een beveiligingssleutel is een fysiek toestel, zoals een YubiKey. Die sleutel maakt via USB, NFC of soms Bluetooth verbinding met je apparaat. Moderne FIDO2- of WebAuthn-sleutels koppelen de controle aan de echte website. Zo bieden ze sterke bescherming tegen veel phishingaanvallen.
Leen je beveiligingssleutel niet uit. Registreer liefst een reserve-exemplaar voor noodgevallen. Controleer vóór aankoop welke aansluitingen en apparaten je online dienst ondersteunt.
Biometrische verificatie, zoals vingerafdruk of gezichtsherkenning
Biometrische verificatie controleert een lichamelijk kenmerk, zoals je vingerafdruk of gezicht. Je gebruikt deze controle vaak om een smartphone, authenticatorapp of wachtwoordmanager lokaal te ontgrendelen.
De biometrische gegevens worden meestal op het toestel verwerkt. Ze worden dus niet als gewone foto naar de online dienst gestuurd. Deze methode werkt snel, is moeilijk overdraagbaar en past goed bij dagelijks gebruik.
Biometrie werkt niet altijd. Een beschadigde sensor, veranderde omstandigheden of een herstart kan de controle blokkeren. Daarom blijft meestal een pincode of wachtwoord nodig als back-up.
Biometrie is op zichzelf niet altijd een volledige tweede factor. De sterkte hangt af van de combinatie met je toestel en account. Schakel deze functie alleen in op een persoonlijk apparaat met actuele software, automatische vergrendeling en versleutelde opslag.
Hoe stel je tweestapsverificatie veilig in en gebruik je die?
Open de beveiligingsinstellingen van de website of app. Zoek naar termen als tweestapsverificatie, twee-factor-authenticatie, MFA of aanmeldbeveiliging. Maak eerst een sterk, uniek wachtwoord aan. Met een wachtwoordmanager kun je voor elke dienst een apart wachtwoord maken en veilig bewaren.
Kies daarna de sterkste methode die de dienst ondersteunt. Een beveiligingssleutel of authenticatorapp is meestal veiliger dan sms. Dat geldt vooral voor je e-mail, werkaccounts, cloudopslag en financiële diensten. Gebruik alleen een telefoonnummer of toestel dat je zelf beheert en test de extra stap door opnieuw in te loggen.
Bewaar back-upcodes meteen offline, bijvoorbeeld op papier in een beveiligde kluis. Zet ze niet onbeveiligd in dezelfde mailbox. Voeg ook een tweede beveiligingssleutel of reserveoptie toe als dat mogelijk is. Controleer geregeld actieve sessies en recente aanmeldingen. Verwijder onbekende toestellen en meld je op afstand af.
Beveilig je smartphone met een sterke schermcode, automatische vergrendeling en actuele software. Installeer authenticatorapps alleen via de officiële App Store of Google Play. Let op phishing: controleer het webadres en deel nooit een wachtwoord, code of goedkeuringsmelding. Plan ook wat je doet bij verlies van je telefoon, zoals je simkaart laten blokkeren en verloren toestellen intrekken. Tweestapsverificatie is eenvoudig te activeren en vormt samen met unieke wachtwoorden, updates en alertheid een sterke extra beveiligingslaag.
