Beveiligde bankkoppeling: hoe werkt het technisch?

Bankkoppeling stelt boekhoudsoftware, een managementapplicatie of een financiële tool in staat om automatisch banktransacties van een bankrekening te importeren. Achter deze ogenschijnlijk eenvoudige functionaliteit schuilt een technische architectuur die wordt omkaderd door Europese normen en gebaseerd is op verschillende beveiligingslagen. Het begrijpen van de werking helpt bij het kiezen van betrouwbare oplossingen en het beter beschermen van financiële gegevens.

Wat is bankkoppeling?

Bankkoppeling verwijst naar het proces waarbij een externe dienst regelmatig gegevens van één of meerdere rekeningen ophaalt: saldo, transactiegeschiedenis, omschrijvingen, valutadata. Deze informatie wordt vervolgens beschikbaar gesteld in een applicatie, bijvoorbeeld boekhoudsoftware die automatisch boekingen afstemt.

Deze automatisering vervangt handmatige invoer of het importeren van bestanden (afschriften in CSV-, OFX- of QIF-formaat) die zijn gedownload vanuit de online bankomgeving. Het vermindert het risico op kopieerfouten en bespaart tijd, terwijl het de centrale vraag over veiligheid oproept: hoe worden gevoelige bankgegevens overgedragen tussen de bank en een externe dienst?

De twee belangrijkste technische methoden

Web scraping (historische methode)

Lange tijd was data-aggregatie gebaseerd op screen scraping. De gebruiker gaf zijn online bankgegevens door aan de aggregator, die namens hem inlogde op de website van de bank om de op het scherm weergegeven gegevens te extraheren.

Deze aanpak heeft beperkingen: het vereist het delen van volledige inloggegevens, is gevoelig voor wijzigingen in de bankinterface en maakt niet altijd onderscheid tussen menselijke en geautomatiseerde toegang. Met de ontwikkeling van regelgeving wordt deze methode steeds vaker vervangen door dedicated interfaces.

Bank-API's (moderne methode)

Tegenwoordig is bankkoppeling voornamelijk gebaseerd op API's (Application Programming Interfaces) die door banken beschikbaar worden gesteld. Een API is een gestandaardiseerd kanaal waarmee een geautoriseerde dienst de bank bevraagt om specifieke gegevens te verkrijgen, zonder menselijke navigatie te hoeven imiteren.

Dit model, bekend als access to account (XS2A), stelt de bank in staat om precies te controleren welke gegevens worden gedeeld, met welke partij en voor welke duur. Het vormt de technische basis van moderne bankkoppeling in Europa.

Het regelgevend kader: PSD2

In Europa wordt bankkoppeling gereguleerd door de herziene richtlijn betaaldiensten (PSD2), van toepassing sinds 2018 en waarvan de technische vereisten geleidelijk zijn geïmplementeerd. Deze richtlijn verplicht banken om beveiligde interfaces te openen voor erkende externe dienstverleners.

Twee statussen zijn bijzonder relevant:

• AISP (Account Information Service Provider): dienstverlener voor rekeninginformatie, die gegevens aggregeert en presenteert. Dit is de status die direct verband houdt met bankkoppeling en het raadplegen van transacties.


• PISP (Payment Initiation Service Provider): dienstverlener voor betalingsinitiatie, die een overboeking kan initiëren op verzoek van de gebruiker.

Om te mogen opereren, moeten deze dienstverleners erkend en geregistreerd zijn door een bevoegde autoriteit — in Frankrijk is dat de ACPR (Autorité de contrôle prudentiel et de résolution). Deze erkenning vormt een eerste garantie van betrouwbaarheid, hoewel het niet ontslaat van het evalueren van elke oplossing.

De technische beveiligingslagen

Sterke cliëntauthenticatie (SCA)

PSD2 verplicht sterke cliëntauthenticatie (Strong Customer Authentication, SCA). Concreet vereist toegang tot rekeningen de combinatie van ten minste twee onafhankelijke factoren uit drie categorieën:

• een element dat de gebruiker kent (wachtwoord, code);


• een element dat hij bezit (telefoon, apparaat dat een code genereert);


• een element dat hij is (vingerafdruk, gezichtsherkenning).

Daarom vereist het instellen van een bankkoppeling vaak een validatie via de mobiele app van de bank of een code die via sms is ontvangen. Deze stap koppelt de autorisatie aan de echte gebruiker.

Het OAuth 2.0-protocol en toegangsdelegatie

Bank-API's maken vaak gebruik van het OAuth 2.0-protocol. Het principe ervan: een externe dienst toegang geven tot gegevens zonder ooit het wachtwoord van de gebruiker te kennen.

Het typische verloop is als volgt: de gebruiker wordt omgeleid naar de interface van zijn bank, authenticeert zich daar direct, waarna de bank een toegangstoken (token) aan de externe dienst verstrekt. Dit token autoriseert alleen de overeengekomen acties, voor een beperkte duur, en kan worden ingetrokken. De bankgegevens van de gebruiker worden dus niet via de externe applicatie verzonden.

Versleuteling van communicatie

Alle communicatie tussen de applicatie, de dienstverlener en de bank wordt beschermd door TLS-encryptie (Transport Layer Security), hetzelfde type technologie dat webbrowsen via HTTPS beveiligt. De gegevens zijn daardoor onleesbaar als ze tijdens het transport zouden worden onderschept.

Naast het transport versleutelen serieuze dienstverleners ook opgeslagen gegevens (encryptie in rust) en passen ze maatregelen toe voor het afschermen van interne toegang. De certificaten die in het kader van PSD2 worden gebruikt, bekend als eIDAS (QWAC en QSEAL), maken het bovendien mogelijk om de partijen die verbinding maken met de API met zekerheid te identificeren.

Alleen-lezen toegang

Voor de c