Tweefactor-authenticatie (2FA) bij telecom, energie en banken
Door Arin IssaBijgewerkt op Gepubliceerd op 5 min lezen
Met alleen een wachtwoord ben je niet meer veilig. 2FA voegt een tweede stap toe (code per SMS, app of YubiKey). Wij leggen uit hoe je het activeert bij grote Nederlandse providers en welke methode het meest veilig is.
Drie vormen van 2FA, niet allemaal even veilig
Kort antwoord: zet tweestapsverificatie aan bij je bank, je e-mail en je telecomprovider, en kies waar het kan een authenticator-app in plaats van een sms-code. Per 3 oktober 2026 kun je bij Mijn KPN en Mijn Odido kiezen tussen een code per sms of uit een authenticator-app; Mijn Ziggo werkt met een sms-code. Volgens het Alert Online-onderzoek van 1 oktober 2026 (Veiliginternetten) gebruikt maar één op de zes Nederlanders altijd tweestapsverificatie.
- SMS-code: de provider stuurt een 6-cijferige code per SMS. Eenvoudig, maar kwetsbaar voor sim-swapping en SS7-aanvallen op het mobiele netwerk.
- Authenticator-app: Google Authenticator, Authy, Microsoft Authenticator, 1Password, Bitwarden. Code wordt op je toestel zelf berekend, niet via netwerk verstuurd. Veiliger.
- Hardware-sleutel (YubiKey, Titan): fysiek apparaat dat je in USB-poort plugt of via NFC tegen je telefoon houdt. Meest veilig, niet te phishen.
Volgorde van voorkeur
Hardware-sleutel > authenticator-app > SMS. KPN zegt het zelf ook: een authenticator-app is veiliger dan sms. Gebruik waar het kan minimaal een authenticator-app voor accounts met financiële impact (bank, telecom, e-mail). Biedt een dienst alleen sms aan, zet dan in elk geval die sms-verificatie aan.
Activeren per provider
- KPN Mijn KPN: open de MijnKPN-app, tik op je profiel, dan Account, Inloggegevens en Extra veilig inloggen. Je kiest tussen een authenticator-app en sms.
- Ziggo MijnZiggo: na je wachtwoord krijg je een 6-cijferige code per sms; dat geldt ook in de Vodafone & Ziggo-app. Een authenticator-app noemt Ziggo (nog) niet.
- Odido: tweestapsverificatie is verplicht voor Mijn Odido. Je krijgt de code per sms of uit een authenticatie-app.
- ING / Rabobank / ABN: inloggen en betalingen bevestig je met de bank-app of een apparaat van je bank; dat is al een vorm van tweestapsverificatie. Volg de instructies van je eigen bank en deel die codes nooit.
- Energieleveranciers (Vattenfall, Eneco, Essent): verschilt per leverancier; kijk in je online account onder beveiliging of inloggen.
- Google / Apple-account: bij Google kan de tweede stap via een passkey, een fysieke beveiligingssleutel, een authenticator-app of sms. Apple stuurt de code naar je vertrouwde Apple-apparaten of je vertrouwde telefoonnummer en ondersteunt daarnaast fysieke beveiligingssleutels.
Wat als je je 2FA-toestel verliest?
- Sla recovery-codes op: bij activatie krijg je vaak een set eenmalige herstelcodes. Bij KPN gebruik je die als je je authenticator-app kwijt bent. Bewaar ze in een wachtwoordmanager (apart van het account zelf!) of print ze en leg ze in de kluis.
- Activeer een tweede authenticator-bron: sommige apps synchroniseren je codes via je account. Google Authenticator doet dat bijvoorbeeld via je Google-account, zodat je de codes op een nieuw toestel terugkrijgt.
- Voeg een back-up YubiKey toe: bij gebruik van hardware-sleutels altijd 2 hebben, op verschillende plaatsen.
- Bij volledig verlies: neem contact op met de klantenservice van de provider of bank. Reken op een identiteitscontrole voordat je weer toegang krijgt.
Print je recovery-codes
Een uitgeprint vel A4 met je codes, bewaard in dezelfde la als je paspoort, is in noodgevallen sneller dan inloggen op een tweede telefoon.
Bronnen, geraadpleegd op 3 oktober 2026: KPN: tweestapsverificatie, Ziggo: tweestapsverificatie Mijn Ziggo, Odido: tweestapsverificatie, Veiliginternetten: tweestapsverificatie, Apple: beveiligingssleutels voor Apple Account.
Veelgestelde vragen
Niet fundamenteel onveilig, wel zwakker dan apps. Sim-swapping (een crimineel laat de provider je nummer overdragen op een nieuwe simkaart) komt voor. Voor accounts met financiële impact: bij voorkeur authenticator-app of hardware-sleutel.
Er is geen beste voor iedereen. Veiliginternetten noemt onder meer 1Password, 2FAS, Authy, Bitwarden Authenticator, Google Authenticator en Microsoft Authenticator. Let vooral op een back-up: kun je je codes op een nieuw toestel terugzetten? Download de app alleen uit de officiële app-winkel.
2FA is het concept (twee verificatiestappen). TOTP (Time-based One-Time Password) is het protocol dat authenticator-apps gebruiken om elke 30 seconden een nieuwe code te genereren. Vrijwel alle authenticator-apps gebruiken TOTP.
Voor SMS-2FA wel. Voor authenticator-app of hardware-sleutel: nee.
Ja. TOTP-codes worden offline berekend op basis van een gedeelde sleutel + huidige tijd. Geen netwerk nodig. Wel moet de telefoon-tijd correct zijn (auto-tijd aan).