Veilig online bankieren: wat is klantverantwoordelijkheid?
In mijn vorige artikel op Security.NL schreef ik dat banken allereerst hun zorgplicht zorgvuldig moeten invullen alvorens de klant verantwoordelijk te kunnen maken. Daarnaast schreef ik eerder al dat verantwoordelijkheid en aansprakelijkheid twee verschillende dingen zijn. Aansprakelijkheid kan een eventueel gevolg zijn van verantwoordelijkheid. En zonder verantwoordelijkheid kan er geen sprake zijn van aansprakelijkheid voor de klant. Kortom: zonder compleet ingevulde verantwoordelijkheid ingevuld door zowel de bank als de klant mag een klant niet aansprakelijk gehouden worden voor schade van criminaliteit op internetbankieren.
Maar wat is verantwoordelijkheid precies? Uit eerdere discussies op onder andere Security.NL blijkt dat deze vraag lastig te beantwoorden is en men vaak direct overgaat naar aansprakelijkheid. In mijn onderzoek naar gedeelde verantwoordelijkheid voor veilig online bankieren heb ik bekeken wat de randvoorwaarden zijn om überhaupt verantwoordelijk te kunnen zijn. Deze voorwaarden zijn:
- Plicht: is er een duidelijke morele plicht of standaard die van toepassing is op de situatie?
- Kennis: was de klant zich bewust van deze morele plicht of standaard of zou de klant zich er redelijkerwijs van bewust moeten zijn?
- Wilskracht: was de klant wettelijk capabel om op een bepaalde manier te handelen en was er geen sprake van (externe) dwang?
- Bekwaamheid: was de klant (mentaal) capabel om conform de morele plicht of standaard te handelen en waren er alternatieven?
- Intentie: was de klant in staat om de consequenties van zijn handelen in te schatten en had de klant de mentale kunde om de verschillende alternatieven te overwegen?
Indien één van deze vijf elementen (gedeeltelijk) ontbreekt dan kunnen we vanuit een moreel perspectief stellen dat een klant geen (volledige) verantwoordelijkheid kan dragen. Ik heb onderzoek gedaan naar de mate waarin deze elementen aanwezig zijn bij particuliere klanten van de Nederlandse banken. Uit dit onderzoek blijkt dat alleen de wilskracht in voldoende mate vervuld is: klanten die gebruik maken van online bankieren zijn wettelijk immers capabel.
Met de kennis van de klant is het slecht gesteld. Klanten weten niet of amper hoe ze zich voldoende kunnen beschermen en hebben geen idee wat banken precies van hun verlangen. Klanten zijn niet op de hoogte van de verplichte maatregelen in de algemene voorwaarden. En zeg nou zelf: dat kunnen we ze toch eigenlijk niet kwalijk nemen? Een dergelijk serieus onderwerp vraagt om begrijpelijke, bondige en klantgerichte uitleg. Niet om algemene voorwaarden, zelfs niet als ze uniform zijn.
Ook de elementen plicht, bekwaamheid en intentie zijn niet voldoende ingevuld. Dit komt door de verwachtte morele standaard. In hun algemene voorwaarden, verwachten banken allerlei beveiligingsmaatregelen van hun klant. Maar zijn klanten wel in staat om deze maatregelen ook daadwerkelijk uit te voeren? Het antwoord dat uit mijn onderzoek naar voren komt is nee! Daarnaast durft ik te stellen dat er geen enkele bezoeker van Security.NL is, die zich volledig houdt aan de algemene voorwaarden. Verder denk ik dat het percentage van Security.NL bezoekers dat volledig op de hoogte is van de details van de algemene voorwaarden zeer laag is (en dat terwijl dit onderwerp uitgebreid bediscussieerd is op deze website).
Banken overvragen klanten dus in hun kennis en kunde en er is geen uniforme afgestemde morele standaard. Maar misschien nog wel belangijker: die hoeft er wat mij betreft ook niet komen. Er bestaat niet zoiets als de gemiddelde klant. Klanten zijn zeer verschillend in hun kennis en internetvaardigheden. Het creëren van één morele standaard voor de gemiddelde klant zorgt ervoor dat een grote groep klanten met een ondergemiddelde vaardigheid, verantwoordelijk gehouden wordt voor zaken waartoe ze niet in staat zijn.
Daar waar vaardigheden verschillend zijn, zullen we moeten werken met verschillende morele standaarden. Dat wil dus zeggen dat banken hun klanten op basis van hun kennis en kunde in moeten delen in risicoprofielen, zoals ik recentelijk ook al schreef in het Financieele Dagblad: maatwerk in plaats van uniformiteit voor veilig online bankieren (Opinie, 20 december 2013). De rechten (functionaliteit) en plichten (verplichte maatregelen) van de klant dienen gekoppeld te worden aan deze risicoprofielen. Dat wil dus zeggen dat klanten met een hoog risicoprofiel (denk bijvoorbeeld aan mijn oma) toegang krijgen tot een online bankier omgeving met een lage functionaliteit, denk bijvoorbeeld aan lage limieten en alleen geld overboeken naar bekende rekeningen. In ruil daarvoor verlangt de bank dan minder maatregelen van deze klantgroep. Andersom werkt dit ook: wie meer online functionaliteit wil zal in ruil daarvoor meer maatregelen moeten treffen.
De vraag blijft welke maatregelen we van welke klantgroep mogen verwachten. Het juist afstemmen van verantwoordelijkheden vergt een diepgaand onderzoek naar de kennis en kunde van de klant, en niet simpelweg nieuwe uniforme regels voor veilig online bankieren. Zodra deze verschillende morele standaarden ontwikkeld zijn, zullen banken zich moeten richten op de invulling van alle vijf de verantwoordelijkheidselementen. Pas daarna we van een klant verantwoordelijk gedrag vragen, let wel: dat betekend nog niet dat de klant dus ook aansprakelijk gehouden kan worden!
Paul van Dommelen is Managing Consultant Financial Services bij Capgemini. Ter afronding van zijn Executive MBA aan de Nyenrode Business Universiteit publiceerde hij in november zijn master thesis over de zoektocht naar gedeelde verantwoordelijkheid voor veilig online bankieren.
"Eventueel misbruik van een Elektronische Handtekening of Wachtwoord dat heeft plaatsgevonden voor melding aan ABN AMRO is voor uw eigen risico"
Ik vind dit een erg karige boodschap voor een gewone gebruiker, hopelijk staat er meer in de volledige voorwaarden.
Wellicht is de IT-kennis van ouderen minder ontwikkeld, maar ze zijn daarin geen uitzondering. Ik zie geen reden om hen daarom maar bepaalde functionaliteit te onthouden, ouderen zijn echt geen minderwaardige burgers en/of klanten.
Banken zijn uitstekend in staat om ál hun klanten te beschermen tegen online criminaliteit, en Paul zou dat vanuit zijn huidige opdracht bij een grote Nederlandse bank ook moeten weten. Banken moeten dit alleen wel willen doen, dat is alles.
Frank
Ook de voorgestelde maatregelen lijken me heel redelijk. Ik zou het echter niet zozeer "maatwerk" noemen, maar een "gelaagde structuur van security maatregelen" (bijna zoiets als defense-in-depth), want dat is de reden dat ik die maatregelen goed vind.
De bank is dan verantwoordelijk voor de basisset van maatregelen, en de schades die (ondanks die maatregelen) toch plaatvinden.
De klant moet dan kunnen kiezen voor extra "vrijheden" waarbij de extra benodigde eisen (bijv. in de vorm van mogelijke maatregelen) door de bank expliciet moeten worden gemaakt, waardoor de klant "verantwoordelijk" kan handelen. Ook de resulterende aansprakelijkheid moet dan per "vrijheid" expliciet worden gemaakt.
Op die manier kunnen klanten weloverwogen keuzes maken.
Probleem blijft natuurlijk dat de waarschijnlijkheid en ernst van risico's (nieuwe aanvalsmethoden, etc.) gaat veranderen over langere tijd. En daarvan is de gemiddelde klant zich weer niet bewust. Dus hoe ga je daarmee om?
De bank zou dan minimaal de plicht moeten hebben om de klant nieuwe maatregelen aan te reiken, en de kans om de "vrijheid" weer terug te geven, waardoor hij weer onder de basismaatregelen valt, waarvoor de bank verantwoordelijk en aansprakelijk is.
Volgens mij valt hier nog veel over te zeggen, en uit te zoeken.
Nogmaals, goed stuk...
Frank
En vergeet niet dat banken al een wettelijke verplichting hebben om het geldverkeer te monitoren, de Wet ter voorkoming van witwassen en financieren van terrorisme.
Banken kennen hun klanten, hebben een zorgplicht en zijn door hun omgang uitstekend in staat om fraude tijdig te ontdekken en te stoppen. Het is kansloos om deze verantwoording bij de klant neer te leggen die te weinig kennis heeft van IT en criminaliteit.
Even lezen kan ook geen kwaad in dit geval. Hij zegt toch duidelijk dat zijn oma slechts een voorbeeld is. Heeft mijns inziens weinig zin als hij alle gevallen hier op gaat noemen. Zijn verhaal is dat er grote verschillen zijn in kennis en kunde en mensen dus niet uniform behandeld moeten worden. Zoals de bank vandaag de dag de regels opstelt lijkt het wel alsof ze denken dat iedere klant de kennis heeft die jij beschrijft. Prima betoog om aan te geven dat dat niet zo is. Daar zouden banken zich best eens bewust van mogen worden.
Het simpele antwoord is dat het thans gekozen bedrijfsmodel niet bestendig is tegen de eisen van de tijd. Waarom is niet half zo belangrijk als zorgen dat de consequenties daarvan niet (indirect) terechtkomen op de schouders van hen die er geen verschil in kunnen maken. Of hebben wij niets geleerd van de fouten uit het verleden?
Verantwoording (lees: niet te vermijden persoonlijke gevolgen) leg je daar waar het werkelijke verschil gemaakt wordt. En nergens anders. Zeker niet bij professioneel onkundige consumenten die maar hebben te slikken (of te stikken) wat anderen voor ze bedacht hebben. Nee, leg verantwoording daar waar wel de kennis, kunde en middelen (budget bijvoorbeeld) voorhanden is om blijvend positief verschil te maken. En mocht dat betekenen dat wij weer terug moeten naar papieren transacties dan zij dat zo.
Dergelijke draconische maatregelen zijn soms nodig om een ieder te doen beseffen waar we werkelijk staan. Wat wel waar te maken valt als je de juiste personen persoonlijk verantwoordelijk maakt.
Al het andere is slechts een wassen neus, struisvogelpolitiek.
De bank is dan verantwoordelijk voor de basisset van maatregelen, en de schades die (ondanks die maatregelen) toch plaatvinden.
De klant moet dan kunnen kiezen voor extra "vrijheden" waarbij de extra benodigde eisen (bijv. in de vorm van mogelijke maatregelen) door de bank expliciet moeten worden gemaakt, waardoor de klant "verantwoordelijk" kan handelen. Ook de resulterende aansprakelijkheid moet dan per "vrijheid" expliciet worden gemaakt.
Op die manier kunnen klanten weloverwogen keuzes maken.
Ik neem deze correctie / aanvulling graag van je over!
Het simpele antwoord is dat het thans gekozen bedrijfsmodel niet bestendig is tegen de eisen van de tijd. Waarom is niet half zo belangrijk als zorgen dat de consequenties daarvan niet (indirect) terechtkomen op de schouders van hen die er geen verschil in kunnen maken. Of hebben wij niets geleerd van de fouten uit het verleden?
Verantwoording (lees: niet te vermijden persoonlijke gevolgen) leg je daar waar het werkelijke verschil gemaakt wordt. En nergens anders. Zeker niet bij professioneel onkundige consumenten die maar hebben te slikken (of te stikken) wat anderen voor ze bedacht hebben. Nee, leg verantwoording daar waar wel de kennis, kunde en middelen (budget bijvoorbeeld) voorhanden is om blijvend positief verschil te maken. En mocht dat betekenen dat wij weer terug moeten naar papieren transacties dan zij dat zo.
Dergelijke draconische maatregelen zijn soms nodig om een ieder te doen beseffen waar we werkelijk staan. Wat wel waar te maken valt als je de juiste personen persoonlijk verantwoordelijk maakt.
Al het andere is slechts een wassen neus, struisvogelpolitiek.
Eens. Het lijkt wel alsof banken iedere stropdas voor hun karretje spannen om met een hoop bullshit te verkondigen hoe groot de verantwoordelijkheid van de klant wel niet is en dat de banken er echt niets aan kunnen doen dat het domme volk niet deze verantwoordelijkheid neemt. Allemaal verhaaltjes om de verantwoordelijkheid weg te halen waar deze ligt en dat is bij de banken zelf. Consumenten hebben er niet om gevraagd dat filialen worden opgeheven en dat het ze moeilijk word gemaakt om nog op papier te bankieren. De banken hebben de volledige digitalisering van het bankieren als hun business case gezien maar de risico's daarvan onderkend. Deze proberen ze nu, d.m.v. stromannetjes, vooral bij de consument te leggen.
Technisch gezien is het aanbieden van een veilige digitale bankomgeving helemaal niet zo ingewikkeld maar dat kost een grote investering die banken niet willen maken want het is veel goedkoper om de consument te schuld te geven van het falen van banken. Wat veel mensen mogelijk niet begrijpen is dat we met de grootste oplichters van de afgelopen decennia te maken hebben want banken krijgen niet voor niets hoge boetes voor oplichting en diefstal (al wordt dat dan in de pers anders gebracht), berekenen van woekerrentes, veel te hoge hypotheek kosten etc etc.. Deze oplichters schuiven nu de verantwoordelijkheid van hun eigen mislukkingen naar hun slachtoffers af? Kan toch niet waar zijn dat we daar in trappen?
De banken, winkeliers en de consumentenbond vertegenwoordigen echt niet onze belangen. Denk aan de 1 en 2 cent, die niet worden gebruikt omdat dit lastig is en zij hebben afgesproken die niet meer te gebruiken. Niemand piept meer, maar voor de omrekenaars onder ons, in de guldenstijd was dus het laagste bedrag naar 11 cent, een ruime verdubbeling van de eerdere misstap van die club. Het gaat om geld voor hen, niet om de belangen van de consument. Dit is overigens on topic als voorbeeld voor de belangenbehartiging, niet voor de nieuwe voorwaarden.
En ik kan ook niet opgeven tot welke limiet mijn PINpas gebruikt kan worden, of waar hij absoluut niet gebruikt mag worden. Dus kan na diefstal of skimming gerust zo'n 8000 Eu van mijn rekening opgenomen worden bij een casino (ook als dat bedrag er helemaal niet op staat...) terwijl ik zelf maar met moeite 250 Eu uit een ATM kan trekken. Binnen een kwartiertje ben ik aan de bedelstaf en ik kan dat niet voorkomen door zelf limieten in te stellen op mijn eigen pas voor mijn bankrekening.
Merkwaardig dus dat ik wel door de bank gemaand word om zeer zorgvuldig te zijn, terwijl zij dat niet met mijn geld zijn.
De banken, winkeliers en de consumentenbond vertegenwoordigen echt niet onze belangen. Denk aan de 1 en 2 cent, die niet worden gebruikt omdat dit lastig is en zij hebben afgesproken die niet meer te gebruiken. Niemand piept meer, maar voor de omrekenaars onder ons, in de guldenstijd was dus het laagste bedrag naar 11 cent, een ruime verdubbeling van de eerdere misstap van die club. Het gaat om geld voor hen, niet om de belangen van de consument. Dit is overigens on topic als voorbeeld voor de belangenbehartiging, niet voor de nieuwe voorwaarden.
Je vergeet voor het gemak nog even de biljetten van 100, 200 en 500 Euro . Die zie je door gebruik van de flappentap al nauwelijks meer, helaas. En dreigen nu te worden afgeschaft omdat het "criminele" coupures zouden zijn.
Koop ik straks contant een auto van 10.000 euro, kan ik met een koffer vol 50 euro biljetjes betalen. Dwazen.
gesjoemeld kan worden. overigens betekend verantwoordelijkheid ergens macht over hebben , ik denk dat de
banken aansprakelijkheid bedoelen en dat zij dat uitmaken op hun manier.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
