Als de bank de rekening betaalt, wie lost dan het echte probleem op?

Security - Blog - Compliance - Phishing / 22 oktober 2026

Dit blog maakt deel uit van onze reeks over duurzame compliance, over het bouwen van raamwerken die niet alleen op papier kloppen, maar ook in de praktijk werken. In dit blog passen we die denkwijze toe op een actueel maatschappelijk vraagstuk: de toenemende druk op banken om phishingschade te vergoeden, ook als de klant zelf grove fouten heeft gemaakt. Niet om de uitkomst van rechtszaken ter discussie te stellen, maar om de gedragseffecten te doordenken en te zoeken naar de echte 'root cause'.

De omvang van het probleem: de cijfers liegen er niet om

Betalingsfraude in Nederland is in 2025 met 30 procent gestegen naar circa 658.000 gevallen. De totale schade bedroeg 198 miljoen euro, een stijging van 22 procent ten opzichte van 2024. Van alle dagelijkse betalingstransacties in Nederland, zo'n 27 miljoen per dag, waren er gemiddeld 1.800 frauduleus. Dat staat gelijk aan ruim 540.000 euro aan fraudeschade per dag^[1].

Overboekingsfraude steeg het hardst: 55 procent meer gevallen, goed voor 148 miljoen euro schade. Tegelijkertijd ontving de Fraudehelpdesk in 2025 meer dan 100.000 meldingen, een stijging van 60 procent, met bijna 69 miljoen euro schade als gevolg^[2].

Dat zijn geen abstracte statistieken. Achter elk geval zit een consument die geld kwijt is, vaak via social engineering die zelfs een kritische en digitaal vaardige persoon kan treffen. Tegelijkertijd roept de omvang van de schade een fundamentele vraag op: zijn de maatregelen die we nemen proportioneel aan de oorzaak, of behandelen we het symptoom?

Een uitspraak die vragen oproept

In die context bevestigde de kortgedingrechter in Antwerpen begin juni 2025: banken moeten slachtoffers van phishing in beginsel meteen, en voorlopig, terugbetalen, ook als de klant grof nalatig is geweest. Pas achteraf mag de bank proberen te bewijzen dat er sprake was van eigen schuld.

In Nederland zagen we eerder eenzelfde lijn bij het Kifid: in oktober 2024 veroordeelde het financieel klachteninstituut Knab tot vergoeding van bijna 49.000 euro aan een klant die zelf remote access-software had geïnstalleerd, zijn paspoort had getoond en zes transacties had laten doorlopen.

En op EU-niveau: op 5 maart 2026 bracht Advocaat-Generaal Rantos bij het Hof van Justitie van de EU zijn conclusie uit in zaak C-70/25^[3]. De conclusie: een bank kan onmiddellijke terugbetaling van een niet-toegestane transactie niet weigeren op de enkele grond dat de klant grof nalatig zou zijn geweest. Eerst terugbetalen, dan eventueel de schuld via de rechter verhalen. Op 15 oktober 2026 heeft het HvJEU het arrest gewezen en het advies van de AG gevolgd^[4].

De juridische lijn is duidelijk. Maar is dit de goede oplossing voor het echte probleem?

Het wettelijk kader: waar komt de aansprakelijkheid van de bank vandaan?

PSD1 (2007), De eerste Europese Betaaldienstenrichtlijn (2007/64/EG) legde vast dat banken in beginsel aansprakelijk zijn voor niet-toegestane betalingstransacties. De achterliggende gedachte, breed erkend in rechtspraak en literatuur, is dat consumenten zwak staan tegenover professionele betaaldienstverleners. Banken beschikken over de technische infrastructuur, de detectiemogelijkheden en de authenticatiemiddelen. Wie het beste in staat is fraude te voorkomen, draagt ook de aansprakelijkheid als dat niet lukt. PSD1 kende nog een eigen bijdrage van maximaal €150 voor de consument bij verlies of diefstal van een betaalinstrument, ook zonder grove nalatigheid.

PSD2 (2018), Artikel 73 van Richtlijn 2015/2366/EU verscherpte dit: betaaldienstverleners moeten niet-toegestane transacties onmiddellijk vergoeden, uiterlijk aan het einde van de eerstvolgende werkdag na kennisgeving door de klant. Twee uitzonderingen: de bank kan terugbetaling weigeren als zij bewijst dat de klant zelf frauduleus heeft gehandeld, of als zij objectief gerechtvaardigde gronden heeft voor het vermoeden van fraude door de klant, mits dat schriftelijk wordt gemeld aan de bevoegde autoriteit. De bewijslast voor authenticatie en autorisatie ligt daarmee expliciet bij de bank^[5], niet bij de consument. Tegelijkertijd introduceerde PSD2 strengere eisen aan sterke klantauthenticatie (SCA): betere beveiliging aan de voorkant zou fraude verminderen. PSD2 heeft de eigen bijdrage verlaagd naar €50.

De praktijk bleek weerbarstiger. Banken weken breed af van de terugbetalingsverplichting door grove nalatigheid als weigeringsgrond vooraan in het proces te plaatsen, terwijl de bewijslast wettelijk bij hén lag. Zowel de Belgische ombudsman Ombudsfin (2025) als onderzoek van de Federatie van Duitse Consumentenorganisaties als uitspraken van Kifid bevestigen dit patroon. Dat is precies wat de recente uitspraken, en het HvJEU-arrest van 15 oktober 2026, rechtstreeks aankaarten: consumenten moesten zichzelf verdedigen in plaats van dat de bank moest bewijzen.

PSD3 en de PSR, wat verandert er? In april 2026 is een politiek akkoord bereikt op de teksten van PSD3 en de nieuwe Payment Services Regulation (PSR); formele vaststelling wordt verwacht in 2026. Inwerkingtreding wordt verwacht eind 2027. De belangrijkste veranderingen:

Directe werking. De PSR wordt een verordening met directe werking in alle EU-lidstaten, waardoor nationale verschillen in interpretatie van begrippen als "grove nalatigheid" kleiner worden.
Ruimere vergoedingsplicht. PSD3/PSR breidt de vergoedingsplicht expliciet uit naar authorized push payment (APP) fraude, situaties waarbij een consument zelf een betaling autoriseert op basis van misleiding. Een significante uitbreiding ten opzichte van PSD2.
Verplichte IBAN-naamscontrole. Bij elke overboeking moet worden gecontroleerd of naam en IBAN overeenkomen. Dit bestond al bij de Instant Payments Regulation (IPR) en wordt nu uitgebreid naar reguliere overboekingen.
Gereguleerde fraudedatadeling. De PSR biedt betaaldienstverleners expliciet de ruimte om in een gestructureerd kader fraudedata met elkaar te delen, binnen AVG-kaders.

PSD3/PSR brengt daarmee een gemengd beeld: uitbreiding van bescherming bij APP-fraude, maar tegelijkertijd introduceert artikel 56 PSR een nieuwe mogelijkheid voor banken om onmiddellijke terugbetaling bij niet-toegestane transacties uit te stellen bij 'objectief gerechtvaardigde' verdenking van grove nalatigheid. Of dit de consumentenbescherming per saldo versterkt of verzwakt, zal afhangen van hoe rechters en toezichthouders die nieuwe uitzonderingsgrond in de praktijk uitleggen, juist nu het HvJEU in Tukowiecka heeft vastgesteld dat de wetgever in 2015 die uitzondering bewust niet heeft opgenomen. Bovendien is fraudedatadeling een facultatieve mogelijkheid, geen verplichting, en brengt het reële risico's mee op het gebied van privacy en onterechte verdenkingen op basis van algoritmische bias.

Gedrag volgt prikkels, aan beide kanten van de lijn

Als je in systemen denkt, weet je: prikkels bepalen gedrag. Niet intenties, niet bewustzijn alleen, maar vooral prikkels. In dat licht is het verdedigbaar dat het HvJEU een zwaardere prikkel bij banken neerlegt: wie de infrastructuur beheert en profiteert van digitaal betalingsverkeer, moet ook de preventie en de restschade internaliseren. Zonder die prikkel dreigt een perverse stimulans om verantwoordelijkheid en zware gevolgen naar consumenten te verschuiven in plaats van te investeren in onderliggende oorzaakmaatregelen.

Aan de kant van de consument. Als een bank verplicht wordt te vergoeden, ook bij aantoonbaar onvoorzichtig handelen, verandert de risicoafweging voor de consument. Niet bewust, niet malicieus, maar wel reëel. Gedragseconomen noemen dit moral hazard: minder voorzichtigheid omdat de gevolgen van risicogedrag door een ander worden gedragen. De consument die weet dat de bank toch vergoedt, heeft een kleinere prikkel om phishingberichten kritisch te beoordelen of te weigeren remote access te verlenen. Dit is geen verwijt, het is een voorspelbaar gevolg van de structuur van de prikkel.

Aan de kant van de criminelen. Phishing is georganiseerde criminaliteit met een businessmodel. Als banken systematisch vergoeden, stijgt het netto-rendement van phishing: meer schade die "werkt", minder maatschappelijke weerstand en indirect meer kapitaal dat terugvloeit naar het criminele ecosysteem.

De kosten worden gesocialiseerd. Als banken structureel phishingschade vergoeden, worden de kosten niet gedragen door fraudeurs of de onvoorzichtige consument, maar door alle klanten samen. Met 198 miljoen euro aan betalingsfraude in 2025 en een verwachte verdere stijging door de uitbreiding van de vergoedingsplicht onder PSD3, is dit geen marginale post. De fraudeur profiteert, de onvoorzichtige klant wordt schadeloos gesteld en de rekening wordt verdeeld over miljoenen klanten die zelf niets fout hebben gedaan.

De echte rootcause ligt elders, en daar knelt het

Phishing werkt om drie redenen. Criminelen kunnen veelal ongestoord opereren doordat ze grensoverschrijdend te werk gaan en moeilijk traceerbaar zijn. Zo'n 70 procent van alle online fraude begint op sociale media, een cijfer dat de NVB in april 2026 gebruikte in haar publieke oproep aan sociale mediaplatforms om meer maatregelen te nemen^[6]. Consumenten worden onvoldoende beschermd op het moment dat de aanval plaatsvindt. En relevante data kan niet gedeeld worden tussen de partijen die samen fraude zouden kunnen detecteren en voorkomen.

Dat laatste punt is cruciaal. Banken, telecomaanbieders en andere partijen beschikken elk over stukjes van de puzzel. Een telecomaanbieder ziet dat een nummer wordt gebruikt voor spoofing. Een bank ziet een ongebruikelijk transactiepatroon. Een andere bank ziet dat een ontvangstrekening al eerder bij fraude betrokken was. Sámen zouden ze een aanval in real-time kunnen detecteren en afbreken. Tegelijk geldt dat het samenbrengen van meerdere hooibergen het aantal spelden niet vergroot: meer data is niet automatisch betere detectie; gerichte, proportionele en kwaliteitsgedreven uitwisseling is bepalend.

Maar dat delen van data stuit op principiële privacybezwaren. Zwarte lijsten van frauduleuze rekeningnummers mogen niet breed worden gedeeld vanwege AVG-beperkingen. Gecoördineerde real-time informatie-uitwisseling tussen telecom en financiële sector is jarenlang bepleit vanuit consortia van betrokken partijen, maar stokt bij standpunten van toezichthouders als de Autoriteit Persoonsgegevens en politieke afwegingen over datadeling.

Dit is geen verwijt aan de AP of de politiek. Het zijn reële spanningsvelden tussen twee legitieme waarden: privacybescherming en fraudepreventie. Maar het is wél een pijnpunt dat benoemd moet worden. PSD3/PSR biedt hier een eerste concrete opening via gestructureerde fraudedatadeling, of dat voldoende is om het knelpunt met telecom en toezichthouders te doorbreken, valt nog te bezien.

Conclusie: vergoed de schade, maar los het probleem op

De uitspraken die banken verplichten phishingschade te vergoeden, komen voort uit een begrijpelijk rechtvaardigheidsgevoel, en uit een weloverwogen juridische keuze: door aansprakelijkheid bij de sterkste partij neer te leggen, corrigeert het recht een asymmetrie. Banken zijn het best gepositioneerd om systemen, processen en klantinteracties veilig te ontwerpen en kunnen schaalbaar investeren in preventie en herstel. Consumenten staan zwak, fraude is geavanceerd en de bank heeft meer middelen om risico's te dragen.

Maar rechtvaardig voelen en effectief zijn, zijn twee verschillende dingen.

Maak de afweging tussen privacybescherming en fraudepreventie expliciet, en gebruik de opening die PSD3 biedt. Ontwerp maatregelen die gedrag beïnvloeden in de goede richting: alertheid omhoog, risico voor fraudeurs omhoog, schade omlaag. En als de vergoedingsverplichting bedoeld is als tijdelijke prikkel voor banken om zwaarder in preventie te investeren, maak dat dan expliciet beleid, koppel het aan aantoonbare preventie-inspanningen en bouw een evaluatiemoment in.

De cijfers spreken voor zich: 198 miljoen euro schade in 2025, 30 procent meer dan het jaar daarvoor, ondanks jarenlange bewustwordingscampagnes en bestaande vergoedingskaders. Zolang de echte oorzaken onbehandeld blijven, betalen we collectief de rekening van een probleem dat we niet oplossen.

Dit blog gaat over een complex maatschappelijk vraagstuk waarover juridisch, politiek en ethisch zeer uiteenlopende opvattingen bestaan. Het doel is niet om een politiek standpunt in te nemen, maar om het gedragscomponent te doordenken en de onderliggende oorzaak te benoemen.

Heb je vragen, een andere invalshoek of wil je sparren over hoe jouw organisatie omgaat met de afweging tussen privacybescherming en fraudepreventie? Neem contact met ons op. We denken graag met je mee.