eIDAS 2.0 pakt identiteitsfraude aan door de beveiligingsbasis voor digitale identiteit in de hele EU te verhogen, sterkere authenticatievereisten in te voeren en gefragmenteerde identiteitsprocessen te vervangen door cryptografisch geverifieerde attestaties. Waar Verordening (EU) nr. 910/2014 aanzienlijke lacunes achterliet, met name in de private sector en bij grensoverschrijdende interacties, sluit Verordening (EU) 2024/1183, die Verordening (EU) 910/2014 wijzigt, die lacunes met bindende normen die fraude op grote schaal aanzienlijk moeilijker maken. Dit artikel behandelt de specifieke frauderisico’s die eIDAS 2.0 aanpakt, de mechanismen die het introduceert, en waar de bescherming het sterkst is.
Welke specifieke fraudekwetsbaarheden pakt eIDAS 2.0 aan?
eIDAS 2.0 richt zich op verschillende goed gedocumenteerde zwakke punten in de manier waarop digitale identiteit traditioneel in Europa werd beheerd: inconsistente identiteitszekerheidsniveaus tussen lidstaten, sterke afhankelijkheid van wachtwoorden en zwakke authenticatie, herhaalde handmatige identiteitscontroles die meerdere faalpunten creëren, en het overmatig delen van persoonsgegevens dat gebruikers blootstelt aan profilering en gegevensdiefstal.
Onder de oorspronkelijke eIDAS-verordening bestond er geen verplichting voor lidstaten om hun nationale elektronische identiteitssystemen interoperabel te maken met de private sector. Dit leidde tot een lappendeken van identiteitsverificatiemethoden, waarvan er veel kwetsbaar waren voor spoofing, phishing en diefstal van credentials. Fraudeurs konden de inconsistentie tussen systemen uitbuiten en zwakkere implementaties aanvallen om toegang te krijgen tot diensten die nominaal een sterke identiteitszekerheid vereisten.
eIDAS 2.0 pakt ook direct het probleem aan van identiteitsgegevens die verspreid zijn over meerdere platforms en diensten. Wanneer gebruikers zich herhaaldelijk opnieuw moeten verifiëren, is elk nieuw verificatiemoment een potentieel aanvalsoppervlak. Door herbruikbare, geverifieerde identiteit mogelijk te maken via de EUDI-wallet, vermindert eIDAS 2.0 het aantal keren dat gevoelige identiteitsgegevens moeten worden verzonden en verwerkt.
Hoe versterkt eIDAS 2.0 authenticatie om fraude te voorkomen?
eIDAS 2.0 versterkt authenticatie door identiteitsverificatie met hoge zekerheid verplicht te stellen als basis van de EUDI-wallet, en door te vereisen dat wallet-gebaseerde authenticatie voldoet aan het hoogste eIDAS-zekerheidsniveau. Dit betekent dat identiteitsclaims via de wallet worden ondersteund door geverifieerde, door de overheid uitgegeven attestaties in plaats van zelfverklaarde informatie of wachtwoorden die eenvoudig te compromitteren zijn.
De verordening vereist dat wallets sterke cryptografische authenticatie ondersteunen. Elke wallet unit is gekoppeld aan een specifiek individu via een proces dat biometrische controles en documentverificatie omvat, waardoor het voor een aanvaller aanzienlijk moeilijker is om de identiteit van iemand anders aan te nemen. De wallet instance is beveiligd op apparaatniveau via de beveiligde cryptografische componenten van de wallet unit, wat een extra beschermingslaag toevoegt tegen onbevoegde toegang.
Belangrijk is dat eIDAS 2.0 deze sterkere authenticatienormen uitbreidt naar diensten in de private sector. Gereguleerde organisaties in sectoren zoals financiële dienstverlening, zorg en telecom zijn op grond van artikel 5f van de verordening verplicht wallet-gebaseerde authenticatie te accepteren voor risicovolle interacties. De acceptatieplicht voor de betreffende private relying parties gaat in op 24 december 2027. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen zijn van deze verplichting uitgezonderd. Voor organisaties die digitale identiteitsoplossingen verkennen, vertegenwoordigt deze verschuiving zowel een nalevingsvereiste als een concrete beveiligingsverbetering.
Welke rol spelen attestaties bij het verminderen van identiteitsfraude?
Attestaties verminderen identiteitsfraude door niet-geverifieerde, zelfverklaarde gegevens te vervangen door cryptografisch ondertekende attestaties uitgegeven door vertrouwde autoriteiten. In plaats van dat een gebruiker zijn naam, geboortedatum of werkgever intypt, presenteert hij een attestatie die digitaal is ondertekend door de uitgevende organisatie. Die attestatie is tamper-evident en verifieerbaar zonder de uitgever rechtstreeks te hoeven raadplegen voor de handtekeningcontrole zelf.
Verificatie van een attestatie bestaat uit drie afzonderlijke controles. Ten eerste wordt de handtekening van de uitgever geverifieerd aan de hand van de relevante nationale trusted list, opgesteld conform ETSI TS 119 612 en gepubliceerd via de EU List of Trusted Lists. Ten tweede wordt de intrekkingsstatus gecontroleerd via de statusinformatie van de uitgever. Ten derde wordt de wallet unit attestation gevalideerd, waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution. Alleen de eerste controle kan volledig offline plaatsvinden. Een relying party die uitsluitend de handtekening controleert, voert daarmee geen volledige verificatie uit.
Onder eIDAS 2.0 kan de EUDI-wallet verschillende typen attestaties opslaan, waaronder een Person Identification Data-attestatie (PID), Qualified Electronic Attestations of Attributes (QEAA), PuB-EAA en non-qualified EAA. Elke attestatie draagt een digitale handtekening die bewijst dat deze is uitgegeven door een legitieme autoriteit en niet is gewijzigd sinds de uitgifte. Dit maakt documentvervalsing en manipulatie van attestaties aanzienlijk moeilijker.
Attestaties ondersteunen ook selective disclosure, wat betekent dat een gebruiker een specifiek kenmerk kan bewijzen, zoals ouder zijn dan 18 of het bezit van een geldig beroepslicentie, zonder zijn volledige identiteit te onthullen. Dit vermindert de hoeveelheid persoonsgegevens die in omloop is, wat op zijn beurt de schade beperkt die kan worden aangericht als een enkel gegeven wordt gecompromitteerd. De combinatie van cryptografische integriteit, driestapsverificatie en minimale gegevensdeling vormt een van de krachtigste fraudepreventiemechanismen die zijn ingebouwd in de eIDAS 2.0-architectuur.
Hoe beschermt de EUDI-wallet tegen identiteitsdiefstal en gegevensdiefstal?
De EUDI-wallet beschermt tegen identiteitsdiefstal via apparaatkoppeling, biometrische authenticatie en cryptografisch sleutelbeheer. De wallet unit koppelt de geverifieerde identiteit van een gebruiker aan een specifiek apparaat en de bijbehorende beveiligde cryptografische componenten. De gebruiker authenticeert zich via biometrie voordat een attestatie kan worden gepresenteerd, waardoor imitatie aanzienlijk moeilijker wordt, ook wanneer iemand fysiek toegang heeft tot het apparaat. Privésleutels van PID en attestaties kunnen de beveiligde omgeving van de wallet unit niet verlaten. Bij een nieuw toestel worden attestaties daarom opnieuw uitgegeven in plaats van gekopieerd.
Gegevensdiefstal wordt aangepakt door een combinatie van selective disclosure en privacy-by-design-principes. De wallet is gebouwd op het uitgangspunt dat alleen de minimaal noodzakelijke gegevens worden gedeeld bij elke transactie. Gebruikers keuren expliciet goed wat ze delen en met wie. De wallet biedt een transactieoverzicht als functionaliteit voor de gebruiker, zodat die kan zien welke gegevens zijn gedeeld. Dit overzicht is bedoeld voor de gebruiker en vormt geen loggingvoorziening voor de relying party of wallet provider.
De wallet beschermt ook tegen man-in-the-middle-aanvallen via end-to-end cryptografische verificatie. Wanneer een attestatie wordt gepresenteerd aan een relying party, kunnen beide kanten van de transactie de authenticiteit van de uitwisseling verifiëren zonder ruwe identiteitsgegevens bloot te stellen aan tussenpersonen. Dit is een aanzienlijke verbetering ten opzichte van traditionele identiteitsverificatieprocessen, waarbij persoonsgegevens vaak door meerdere systemen gaan voordat ze hun bestemming bereiken.
Welke sectoren profiteren het meest van de fraudebescherming van eIDAS 2.0?
De sectoren die het meest profiteren van de fraudebescherming van eIDAS 2.0 zijn die sectoren waar identiteitsfraude het hoogste financiële en regelgevingsrisico met zich meebrengt: financiële dienstverlening, gezondheidszorg, overheid en farmaceutica. Deze sectoren verwerken gevoelige persoonsgegevens, zijn onderworpen aan strenge regelgevingsvereisten en zijn veelvoorkomende doelwitten voor op identiteit gebaseerde aanvallen.
- Financiële dienstverlening: Banken en verzekeraars worden sterk blootgesteld aan accountovernamefraude en synthetische identiteitsfraude. eIDAS 2.0 maakt wallet-gebaseerde onboarding en authenticatie mogelijk die aansluit op KYC- en AML-vereisten, terwijl het frauderisico wordt verminderd. Of hergebruik van geverifieerde walletdata als KYC-verificatie volstaat, hangt mede af van de toepasselijke AML-regelgeving en sectorale regels. Organisaties in de financiële dienstverlening profiteren van zowel de beveiligingsverbetering als de vereenvoudiging van nalevingsprocessen.
- Gezondheidszorg: Patiëntidentiteitsfraude, receptfraude en onbevoegde toegang tot medische dossiers zijn hardnekkige problemen. De EUDI-wallet kan geverifieerde zorgattestaties bevatten, waardoor veilige toegang tot dossiers en recepten mogelijk is zonder onnodige persoonsgegevens bloot te stellen. Voor gezondheidsgegevens geldt naast een AVG-grondslag uit artikel 6 ook een toepasselijke grond uit artikel 9, lid 2, AVG. Teams die werken in identiteitsbeheer in de gezondheidszorg zullen eIDAS 2.0 bijzonder relevant vinden.
- Overheid: Publieke diensten worden steeds vaker aangevallen door fraudeurs die toegang proberen te krijgen tot uitkeringen, belastingdossiers en officiële documenten. Vanaf 24 december 2026 moeten publieke instanties genotificeerde EUDI-wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is. Sterke wallet-gebaseerde authenticatie verhoogt de lat aanzienlijk voor deze interacties.
- Farmaceutica en onderzoek: Credentialfraude bij beroepslicenties en onderzoekstoegang is een groeiende zorg. Verifieerbare attestaties gekoppeld aan beroepskwalificaties helpen organisaties te verifiëren met wie ze te maken hebben. De wallet kan deze gegevens dragen, maar de juridische erkenning van beroepskwalificaties zelf volgt uit Richtlijn 2005/36/EG, niet uit de wallet.
Grensoverschrijdende interacties profiteren in al deze sectoren, omdat eIDAS 2.0 een gemeenschappelijk vertrouwenskader vaststelt dat de inconsistenties wegneemt die fraudeurs historisch gezien hebben uitgebuit bij het bewegen tussen lidstaten.
Wat zijn de beperkingen van eIDAS 2.0 bij het voorkomen van identiteitsfraude?
eIDAS 2.0 is een krachtig kader, maar het elimineert identiteitsfraude niet volledig. De bescherming is het sterkst op het moment van identiteitsverificatie en het presenteren van attestaties. Fraude die stroomafwaarts plaatsvindt, zoals social engineering, geautoriseerde betalingsfraude of misbruik van accounts na legitieme authenticatie, valt grotendeels buiten het bereik van wat de verordening aanpakt.
Een aantal praktische beperkingen is het vermelden waard:
- Adoptietempo: De verordening verplicht lidstaten om uiterlijk op 24 december 2026 minimaal één gecertificeerde EUDI-wallet beschikbaar te stellen. Brede adoptie door zowel gebruikers als relying parties zal tijd kosten. Totdat het wallet-ecosysteem een kritische massa bereikt, zullen veel interacties nog steeds afhangen van verouderde identiteitsmethoden met de bijbehorende kwetsbaarheden. De deadline van 24 december 2026 geldt voor uitgifte en notificatie, niet automatisch voor volledige functionele interoperabiliteit in de hele EU.
- Implementatiekwaliteit: De beveiliging van het systeem hangt af van hoe goed lidstaten en wallet-aanbieders de technische specificaties implementeren. Slecht geïmplementeerde wallet solutions of integraties van relying parties kunnen nieuwe kwetsbaarheden introduceren, zelfs binnen een conform kader.
- Toepassingsbereik: De acceptatieplicht uit artikel 5f geldt voor specifieke gereguleerde sectoren en situaties waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Micro- en kleine ondernemingen zijn uitgezonderd. Veel digitale interacties met een lager risico of buiten de aangewezen sectoren zullen eenvoudigere authenticatiemethoden blijven gebruiken die kwetsbaar blijven voor conventionele fraudetechnieken.
- Menselijke factoren: Phishing en social engineering-aanvallen die gebruikers misleiden om vrijwillig attestaties te delen of frauduleuze transacties goed te keuren, worden niet opgelost door sterkere identiteitsinfrastructuur alleen. Gebruikersbewustzijn en serviceontwerp blijven cruciaal.
Het begrijpen van deze beperkingen helpt organisaties realistische beoordelingen te maken van wat eIDAS 2.0 biedt en waar aanvullende fraudepreventiemaatregelen nog steeds nodig zijn.
ID Connector: wallet-verificatie voor relying parties
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
De ID Connector voert de drie verificatiestappen uit die volledige walletverificatie vereist: controle van de handtekening van de uitgever aan de hand van de relevante nationale trusted list via de EU List of Trusted Lists, controle van de intrekkingsstatus via de statusinformatie van de uitgever, en validatie van de wallet unit attestation om te bevestigen dat de presenterende wallet draait op een gecertificeerde wallet solution. Daarnaast bewaakt de ID Connector de geregistreerde attributenscope: een verzoek buiten de scope die de relying party heeft vastgelegd bij de bevoegde nationale autoriteit conform CIR (EU) 2025/848 kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie.
Voor financiële dienstverleners ondersteunt de ID Connector wallet-gebaseerde onboarding die aansluit op KYC-processen, met hergebruik van geverifieerde identiteitsdata voor vervolginteracties. Voor zorginstellingen maakt de ID Connector veilige toegang tot geverifieerde zorgattestaties mogelijk zonder onnodige gegevensuitwisseling. Voor overheidsorganisaties biedt de ID Connector de technische basis voor acceptatie van genotificeerde EUDI-wallets per 24 december 2026. Gekwalificeerd tekenen verloopt via een aangesloten QTSP. TrustTech geeft zelf geen QES uit.
Organisaties in de financiële sector, gezondheidszorg, farmaceutica en overheid die de stap naar wallet-gebaseerde identificatie willen zetten, kunnen via de ID Connector aansluiten zonder de volledige technische complexiteit van het EUDI-ecosysteem zelf te hoeven bouwen. Neem contact op met TrustTech om te bespreken welke attestaties en verificatiestappen voor jouw situatie van toepassing zijn.