Is een Volt casino veilig? Wat de PSD2-beveiliging écht regelt
Available in USWaar de vraag over veiligheid eigenlijk over gaat
Toen een lezer mij vorige maand mailde of “Volt veilig is”, merkte ik dat hij eigenlijk drie verschillende vragen tegelijk stelde. Is de rail veilig? Is het casino veilig? Is mijn geld veilig? Drie keer een ander antwoord, drie keer een ander niveau van toezicht. Wie deze drie lagen door elkaar haalt, raakt nooit verder dan een vaag gevoel van “wel of niet vertrouwen”.
In elf jaar marktanalyse heb ik geleerd dat de meeste veiligheidszorgen rond een Volt casino niet over Volt zelf gaan. Ze gaan over wat er gebeurt nadat het geld op de rekening van de operator staat. De rail is een transportmiddel, niet de bestemming. De vraag “is Volt veilig” is een beetje als de vraag “is een trein veilig” — technisch ja, maar wie aan boord stapt zonder te kijken waar hij heen rijdt, lost niets op.
In dit stuk pel ik de veiligheid van een Volt-storting bij een online casino in lagen af. Eerst de juridische ondergrond van PSD2, dan de praktijk van Strong Customer Authentication, dan de vergelijking met kaartfraude, en tot slot het stukje dat bijna iedereen vergeet: het risico zit niet in de rail maar in de operator daarachter. Wie deze vier perspectieven kent, kan een vraag van een vriend in dertig seconden beantwoorden.
De PSD2-laag onder Volt
Stel je voor: een Europees wetsteksten-pakket uit 2015 dat ervoor zorgt dat een Brits bedrijf in 2026 toegang heeft tot je Nederlandse bankrekening — maar alleen als jij dat persoonlijk en op het moment zelf goedkeurt. Dat is PSD2 in één zin. Het is de juridische rugjas van Volt, en zonder die rugjas zou Volt simpelweg niet bestaan.
PSD2 staat voor de tweede Payment Services Directive van de Europese Unie. Het ding waar het bij Volt om draait is artikel 67: banken zijn verplicht om gelicentieerde derde partijen — Third Party Providers — toegang te geven tot betaalrekeningen, via beveiligde API’s. Volt is precies zo’n derde partij. Een Payment Initiation Service Provider, in PSD2-jargon. Geen bank, geen kaartmaatschappij, maar een gemachtigde tussenpersoon die op jouw bevel een betaling vanuit je rekening initieert.
Het belangrijkste woord in die vorige alinea is “gemachtigd”. Volt heeft geen open lijn naar je rekening; het krijgt per transactie expliciete toestemming, via een goedgekeurde authenticatieflow bij je eigen bank. De bank blijft eigenaar van het slot op je rekening; Volt krijgt alleen de sleutel voor één deur, één keer, voor één bedrag.
Wat dit ecosysteem aanzienlijk maakt is de schaal. Juniper Research voorspelt dat het wereldwijde volume aan open banking-betalingen tegen 2027 boven de 330 miljard dollar uitkomt. Dat is geen niche meer. Dat is een infrastructuur die parallel aan kaartnetwerken loopt en die naadloos aansluit op SEPA Instant — de tien-secondenrail van de eurozone.
Voor de speler vertaalt dit zich naar één concreet feit: jouw bank ziet elke Volt-transactie met dezelfde controles als een handmatige overschrijving. Geen kaartdata die ergens in een database belandt, geen tussenliggende wallet die gehackt kan worden. De data blijft binnen de Europese bankinfrastructuur, gereguleerd door de Nederlandsche Bank en de Autoriteit Financiële Markten.
Dat is geen marketing van Volt. Dat is gewoon hoe PSD2 werkt. Wat ik er als analist aan toevoeg: deze laag is wel zo goed als banken die de API’s correct implementeren. Slordige bank-API’s zijn een reëel maar zeldzaam zwak punt, en daar kom ik later op terug.
Hoe SCA er bij een echte storting uitziet
Open je bank-app en betaal een vriend tien euro. Je hebt zojuist Strong Customer Authentication uitgevoerd, ook al merkte je het amper. SCA is geen vinkje of een knop — het is een combinatie van twee onafhankelijke factoren uit drie categorieën: iets wat je weet, iets wat je hebt, iets wat je bent.
Bij een Volt-storting van een casino verloopt het ongeveer zo. Je drukt op “storten met Volt”. Het casino stuurt je naar een Volt-pagina waar je je bank selecteert. Volt stuurt je via een redirect naar je bank-app of bank-omgeving. Je bank vraagt om twee factoren — meestal je inlog plus een biometrische bevestiging op je telefoon, of een TAN-code via een aparte applicatie. Pas dan wordt de transactie geïnitieerd. Daarna ga je via een tweede redirect terug naar het casino, met de bevestiging dat het geld onderweg is.
De cruciale detail die ik vaak moet uitleggen: de SCA gebeurt bij je bank, niet bij Volt en niet bij het casino. Het casino zegt nooit “voer hier je TAN-code in”. Volt zegt het ook niet. Het verzoek komt áltijd binnen de vertrouwde omgeving van je eigen bank-app. Dat is geen toeval; PSD2 schrijft het zo voor. Wie ooit op een nep-pagina een TAN moet invullen, weet meteen dat er iets niet klopt.
De drie factoren in de praktijk: kennis (je pincode of wachtwoord), bezit (je geregistreerde telefoon met je bank-app, of je card reader), en inherentie (je vingerafdruk of gezicht). Voor één Volt-transactie heb je minimaal twee daarvan nodig, uit twee verschillende categorieën. Een gestolen wachtwoord alleen is dus niet genoeg. Een gestolen telefoon zonder pincode is ook niet genoeg.
Waar wel eens iets misgaat: de redirect-keten zelf. Een trage verbinding, een app die wordt afgesloten tijdens de switch, een bank-app die net een update doet. In die gevallen ziet de speler “betaling mislukt” terwijl het geld bij de bank wel al gereserveerd is. Geld kwijt? Nee, maar wel een paar uur geduld nodig. Dit is geen veiligheidsprobleem; dit is een UX-probleem dat soms paniek veroorzaakt.
Waarom A2A minder kaartfraude-risico draagt
Mijn moeder verloor een paar jaar geleden 200 euro doordat haar creditcardgegevens werden gestolen bij een verdacht webshop. De bank vergoedde het, maar het kostte haar drie dagen administratie. Dat verhaal zou bij een Volt-betaling structureel niet kunnen ontstaan. Niet omdat Volt magisch is, maar omdat een Account-to-Account-betaling fundamenteel andere data uitwisselt dan een kaartbetaling.
Bij een kaarttransactie geef je het kaartnummer, de vervaldatum en de CVV. Die data wordt opgeslagen — soms gehasht, soms minder netjes — en is herbruikbaar. Iemand met dat trio kan opnieuw aankopen doen totdat de kaart wordt geblokkeerd. Dat is het fundamentele lek van het Visa/Mastercard-model: het geheim is de toegangssleutel, en het geheim staat na elke transactie ergens.
Bij een A2A-betaling via Volt geef je geen herbruikbare data. Je geeft eenmalig toestemming voor één bedrag aan één partij. Die toestemming wordt cryptografisch ondertekend door je bank en is na uitvoering verbruikt. Het casino krijgt nooit je rekeningnummer in een vorm die het zelf kan hergebruiken. Volt krijgt het ook niet in een vorm die langer leeft dan de transactie. Het kaartnummer-equivalent bestaat niet.
De gevolgen zijn meetbaar. In landen waar A2A volwassen is — Polen, het VK, Brazilië — liggen fraudecijfers op A2A-transacties stelselmatig lager dan op kaarten. Een speler die voor een Volt-storting kiest, vermijdt een hele categorie risico: gestolen kaartdata, skimming, phishing-aanvallen die kaartdetails proberen te stelen.
Wat A2A niet oplost: phishing dat je probeert te misleiden om zelf een betaling te initiëren. Dat is een andere klasse aanval — social engineering — en die werkt op elke betaalmethode, ook op Volt. Wie zelf op een nepbank-pagina inlogt en zijn SCA bevestigt, geeft de aanvaller alles wat hij nodig heeft. Geen techniek beschermt tegen een gerichte misleiding van de gebruiker zelf.
Het overgebleven risico: de operator, niet de rail
Hier zit de kern. De rail Volt is technisch behoorlijk goed beveiligd. PSD2-fundament, SCA, geen herbruikbare data. Maar zodra het geld bij het casino is, ben je voor je geld afhankelijk van die operator — en dat is een totaal andere veiligheidsvraag. Niet iedere operator die Volt accepteert, accepteert ook jouw klacht.
Eind 2025 zijn er ongeveer 31 actieve KSA-vergunninghouders in Nederland. Dat is het universum waarbinnen je echte juridische bescherming krijgt: zorgplicht, verplichte limieten, klachtprocedure, eventueel terugvorderbaarheid via de Wok. Buiten dat universum opereren operators die misschien Volt accepteren maar waarvoor de Nederlandse rechtsorde niet als beschermend kader geldt.
De boetes die de Kansspelautoriteit oplegde aan illegale aanbieders sprongen van 4,1 miljoen euro in 2024 naar 31,2 miljoen euro in 2025. Dat is geen toeval; dat is een toezichthouder die actiever optreedt. Maar boetes aan operators komen niet automatisch ten goede aan individuele spelers. De KSA is geen verzekeraar; de KSA is een handhavingsinstantie.
Het overgebleven risico verdeelt zich daarmee in twee categorieën. Het rail-risico (Volt en de bank) is structureel klein, omdat PSD2 en SCA als hekken werken die niet makkelijk om te omzeilen zijn. Het operator-risico (het casino) is variabel: bij een vergunninghouder is het beheersbaar, bij een onvergund platform kan een Volt-storting onderdeel worden van geld dat je nooit terugziet.
De veiligste vraag is dus niet “is Volt veilig”, maar “is de operator die Volt accepteert vergund”. Op dat tweede stuk gaan diverse andere artikelen op deze site dieper in; welke fraude-signalen je bij een operator kunt herkennen, beschrijf ik elders met meer detail. Voor nu: rail veilig, operator nakijken.
Is mijn bankgegevens zichtbaar voor het casino bij een Volt-storting?
Nee. Het casino krijgt een bevestiging van de transactie en eventueel een tokenized referentie, maar geen IBAN in herbruikbare vorm, geen bankgegevens en geen inloggegevens. Die data blijft binnen de PSD2-API tussen Volt en je eigen bank.
Wat gebeurt er bij een Volt-betaling als mijn telefoon kwijt is?
Zonder je geregistreerde telefoon ontbreekt één van de SCA-factoren. Een aanvaller heeft nog steeds je pincode of wachtwoord nodig om iets te initiëren, en zelfs dan blokkeert de bank de transactie zonder de tweede factor. Bel je bank zodra je telefoon kwijt is om de gekoppelde authenticatie te resetten.
Hoe vaak slaagt een fraudepoging bij een A2A-betaling?
Statistieken variëren per land, maar in volwassen A2A-markten liggen fraudecijfers structureel onder die van kaartbetalingen. Het PSD2-SCA-model laat klassieke kaartfraude vrijwel geen ingangsroute, al blijft social engineering een reëel restrisico op elk betaalkanaal.
Gemaakt door de redactie van 'Volt Casino'.
