Tweestapsverificatie: wat het is, welke methode je kiest en hoe je het aanzet

Bij tweestapsverificatie log je in met je wachtwoord én een tweede bewijs dat jij het bent. Veiliginternetten.nl noemt de vormen: een toegangscode die naar een vertrouwd apparaat wordt gestuurd, een code uit een authenticatie-app, biometrie zoals je gezicht of vingerafdruk, en een fysieke beveiligingssleutel. Het beschermt je tegen gelekte wachtwoorden en tegen phishing: ook als je je wachtwoord per ongeluk op een nepsite invult, komt een crimineel zonder de tweede stap niet verder. Toch gebruikt volgens de Cybersecuritymonitor 2025 van het CBS bijna de helft van de Nederlanders van 15 jaar en ouder, 49 procent, tweestapsverificatie.

De naam verschilt per dienst. Google spreekt van tweestapsverificatie, Microsoft en WhatsApp van verificatie in twee stappen, Apple van twee-factor-authenticatie en DigiD van inloggen met 2 stappen. Het idee is overal hetzelfde.

De methoden, van zwak naar sterk

• Code per sms of telefoontje: handig, maar volgens Google kwetsbaar voor hacks via je telefoonnummer. Bij sim-swapping neemt een fraudeur je nummer over en ontvangt hij jouw sms-codes. De politie noemt tweestapsverificatie nog steeds een sterke beveiliging, maar raadt authenticatie-apps aan als veiliger alternatief voor sms. Microsoft faseert sms geleidelijk uit als methode voor verificatie en accountherstel bij persoonlijke accounts.
• Authenticatie-app, zoals Google Authenticator of Microsoft Authenticator: maakt eenmalige codes, ook als je geen internetverbinding of mobiel netwerk hebt.
• Melding op je telefoon: als je geen toegangssleutel gebruikt, raadt Google Google-prompts aan. Op Ja of Nee tikken is makkelijker dan een code typen, en prompts kunnen ook beschermen tegen simswaps.
• Passkey: Google noemt het een toegangssleutel, Microsoft een wachtwoordsleutel. Je logt in met je vingerafdruk, gezichtsscan of schermvergrendeling. Apple beschrijft passkeys als een vervanging voor wachtwoorden die bestand is tegen phishing; log je bij Google in met een toegangssleutel, dan wordt de tweede stap overgeslagen.
• Fysieke beveiligingssleutel: een klein apparaatje dat je aansluit op je telefoon, tablet of computer. Volgens Google beschermen toegangssleutels en fysieke beveiligingssleutels je account tegen phishingaanvallen.

DigiD: inloggen met 2 stappen

Voor DigiD heb je twee mogelijkheden. Met sms-controle krijg je bij het inloggen een sms-code; nadat je sms-controle hebt aangevraagd, ontvang je binnen 5 werkdagen een brief met een activeringscode. De DigiD app werkt met een pincode die je zelf kiest en kun je op maximaal 5 apparaten gebruiken. Je activeert de app met een ID-check via de NFC-lezer van je telefoon, met een sms-code of met een brief. Let op: volgens DigiD kun je bij veel organisaties binnenkort niet meer inloggen met alleen je gebruikersnaam en wachtwoord.

Zo zet je het aan

• Google: open je Google-account, tik op Beveiliging en inloggen en kies onder Inloggen bij Google de optie Tweestapsverificatie aanzetten. Voeg je een telefoonnummer toe, dan kan het tot 7 dagen duren voordat Google dat nummer vertrouwt.
• Apple: ga op je iPhone of iPad naar Instellingen > [je naam] > Inloggen en beveiliging en schakel Twee-factor-authenticatie in. Bij de meeste Apple Accounts staat het al aan. Heb je het net ingeschakeld, dan kun je de beveiliging binnen twee weken weer verlagen.
• Microsoft: ga naar account.microsoft.com/security, kies Beheren hoe ik me aanmeld en kies onder Extra beveiliging en verificatie in twee stappen de optie Inschakelen.
• WhatsApp: Instellingen > Account > Verificatie in twee stappen.

Waar begin je? Bij je e-mail: volgens Veiliginternetten.nl kunnen criminelen via je e-mail toegang krijgen tot andere platforms, zoals een webshop waaraan je creditcard of andere betaalmethode is gekoppeld. Daarna komen DigiD, je sociale media en de apps waarmee je berichten stuurt.

Zorg dat je jezelf niet buitensluit

• Stel meer dan één methode in. Microsoft waarschuwt dat het tot 30 dagen kan duren voordat je weer toegang hebt als je je enige contactmethode kwijt bent, en raadt aan drie stukjes beveiligingsgegevens toe te voegen.
• Print of download de back-upcodes van Google (8 cijfers) en bewaar ze op een veilige plek. Veiliginternetten.nl raadt dat ook aan voor de herstelcodes van andere belangrijke accounts.
• Maak een back-up van je authenticatie-app, bijvoorbeeld door hem op een tweede telefoon toe te voegen of de back-upfunctie van de app te gebruiken.
• Vink Niet meer vragen op dit apparaat alleen aan op apparaten die je regelmatig gebruikt en met niemand deelt.
• Geef nooit een code door. Je krijgt geen telefoontje van Google om een code te verifiëren, en Apple vraagt je nooit om je wachtwoord of verificatiecodes om je te helpen.

Zet vandaag de tweede stap aan op je e-mail. Met alleen je wachtwoord komt een crimineel er dan niet meer in.