Rabobank neemt fysieke passkey op in voorwaarden voor betaalopdrachten

Rabobank noemt een bij de bank geregistreerde fysieke passkey, bijvoorbeeld een usb-sleutel, als manier om betaalopdrachten te ondertekenen in de betaalvoorwaarden die per 1 november 2026 gelden.

Wie nu bij Rabobank in de browser bankiert, tekent een opdracht met de Rabo App via een QR-code op het scherm, of met de Rabo Scanner. Die eerste route hangt aan een telefoon, in de praktijk vaak de privételefoon van een medewerker of een bestuurder. Een sleutel die je in een usb-poort steekt haalt die afhankelijkheid weg: de handtekening zit dan in een apparaat dat een organisatie zelf uitgeeft, inneemt en vervangt.

De bank zet er wel meteen een rem op. De passkey geldt pas “zodra wij dit aanbieden”, en een datum voor die uitrol staat nergens in de voorwaarden.

Wat er in artikel 28 staat

De huidige voorwaarden, die tot 1 november 2026 gelden, noemen het woord passkey geen enkele keer. In de nieuwe versie staat het in artikel 28, dat beschrijft hoe je een betaalopdracht ondertekent. Dat artikel kent drie situaties, en de passkey duikt in twee daarvan op.

Via de Rabo App. Tekenen gaat met de toegangscode, een vingerafdruk, je gezicht, een bevestigingstoets, de signeercode of de S-code. Geen passkey.

Via een browser, geregistreerd of niet. Naast het scannen van de QR-code met de Rabo App staat hier: “met een bij ons geregistreerde fysieke passkey, bijvoorbeeld een USB-sleutel, en de bijbehorende passkeycode, zodra wij dit aanbieden.”

Daar direct achteraan komt de zin die het karakter van de maatregel bepaalt: “Bij ons geregistreerde passkeys kunnen nooit een smartphone zijn.” De begrippenlijst voegt toe dat de passkeycode de code is die je bij de passkey zelf aanmaakt. Het gaat dus om losse hardware met een eigen pincode, niet om de passkey die je telefoon of je browser voor je bewaart. Hetzelfde artikel noemt ook de Payment Passkey van Mastercard en Visa voor online kaartbetalingen, en dat is een andere voorziening dan de sleutel waar het hier over gaat.

Zakelijk staat het er nog niet in

De wijziging zit in de particuliere betaalvoorwaarden. De zakelijke set is een andere en veranderde voor het laatst per 1 november 2025: in de geldende Voorwaarden Online Diensten Zakelijk 2025 en Voorwaarden Zakelijke Rekening 2025 komt het woord passkey niet voor. Rabo Business Banking kent wel al een fysiek middel, de Rabo OnlineKey, een pas waarmee extra gebruikers inloggen, transacties ondertekenen en met iDEAL of Wero betalen met per gebruiker eigen autorisaties. Dat is een pas bij een scanner, geen passkey.

Voor een bv of een stichting die zakelijk bankiert verandert er dus voorlopig niets. De eerste groep die de sleutel in handen krijgt bestaat uit particuliere klanten, en daarmee in de praktijk uit zzp'ers en directeuren die hun eigen rekening in dezelfde browser openen.

Intussen duwt Rabobank de Rabo Scanner naar de achtergrond. Sinds 1 juli 2026 geldt bij overboekingen één grens van 2.000 euro per dag waarboven de scanner nodig is; daaronder volstaan de vijfcijferige code, een vingerafdruk of gezichtsherkenning. Het onderscheid tussen bekende en onbekende rekeningnummers verdween daarbij.

ABN AMRO stuurt de sleutel al op

Rabobank is niet de eerste. ABN AMRO vervangt de e.dentifier voor particuliere klanten die alleen Internet Bankieren gebruiken door een usb-sleutel waarmee je inlogt en opdrachten bevestigt, zonder smartphone of app. Wie tot die groep hoort, krijgt tussen juni en december 2026 een persoonlijke uitnodiging en betaalt 10 euro voor de eerste sleutel en 25 euro voor een extra of vervangende. De bank noemt het apparaat een FIDO-sleutel en zegt er niets aan te verdienen.

Waarom die ene zin over de smartphone telt

Passkeys werken via de WebAuthn-standaard met publieke-sleutelcryptografie, waarbij de privésleutel het apparaat nooit verlaat. Het verschil zit in waar die sleutel woont. Een gesynchroniseerde passkey staat in de cloudkluis van Google of Apple en verschijnt op elk apparaat waarop je inlogt.

Dat gemak heeft een prijs. Onderzoekers van Unit 42 lieten begin augustus zien dat malware op een besmette Windows-pc gesynchroniseerde passkeys uit Google Password Manager overneemt, tot en met een hoofdsleutel van 32 bytes die volgens hen niet te roteren of in te trekken is. Een sleutel aan een sleutelbos synchroniseert niets, en zonder de bijbehorende passkeycode werkt hij niet.

Dat onderscheid speelt buiten het bankieren net zo hard. Microsoft maakt passkeys vanaf 1 september 2026 de standaard inlogmethode in Entra ID en schrapt sms- en voice-MFA per 1 februari 2027, en accepteert daarbij zowel apparaatgebonden als gesynchroniseerde sleutels. De bank maakt die keuze voor je: bij een betaalopdracht mag het alleen het losse apparaat zijn.

Twee van de grootste Nederlandse banken leggen daarmee binnen een paar maanden dezelfde regel vast. Het aftekenen van geld mag terug naar hardware die losstaat van de telefoon, en die je als organisatie kunt uitgeven en innemen zoals een pas. Rabobank zet de regel alvast in de voorwaarden zonder te zeggen wanneer de sleutel er is, ABN AMRO heeft de dozen al op de post. Voor wie bankieren niet aan een privétoestel wil ophangen, is dat het verschil tussen een plan en een uitrol, en dat verschil bepaalt of je er dit jaar al iets aan hebt.