70 procent van EU-instellingen e-mailt via servers van Amerikaanse bedrijven

70 procent van de instellingen van de Europese Unie (EU) laat zijn e-mail via Amerikaanse servers lopen. Ook de e-mail van de Europese Commissie loopt via Amerikaanse diensten.

56 procent van de EU-instellingen gebruikt e-mailservers die bij Microsoft zijn ondergebracht. Nog eens 14 procent van de instellingen gebruikt andere Amerikaanse diensten. De overige 30 procent gebruikt Europese e-mailservers. De Europese Commissie heeft geen reactie gegeven aan de NOS.

Uit het onderzoek van de NOS blijkt dat instellingen die over gevoelige informatie beschikken e-mailservers gebruiken die bij Microsoft zijn ondergebracht. Niet alleen het Europees Defensieagentschap, maar ook toezichthouders op de financiële markten en instanties voor terrorismebestrijding gebruiken Amerikaanse mailservers. Daar staat tegenover dat Ursula von der Leyen, de voorzitter van de Europese Commissie, eerder dit jaar zei dat Europa voor zijn infrastructuur niet afhankelijk kan zijn van technologie van anderen.

Europese Unie

Amerikaanse inlichtingendiensten kunnen mailverkeer en informatie vorderen bij Amerikaanse e-mailproviders. Dat kunnen zij op grond van de Amerikaanse Cloud Act. Daarmee kunnen ze informatie opvragen bij elk Amerikaans cloudbedrijf, ongeacht waar die data is opgeslagen. Het Nederlandse Nationaal Cyber Security Centrum zei vier jaar geleden al dat het risico dat de Amerikaanse overheid met de Cloud Act toegang kan krijgen tot Europese persoonsgegevens 'voorstelbaar' is.

Toen was de Amerikaanse president nog Joe Biden. Sinds het aantreden van Donald Trump zijn de relaties tussen de EU en de Verenigde Staten steeds verder verslechterd. De regering van Trump kan instellingen op een sanctielijst zetten, waardoor Amerikaanse bedrijven wettelijk niet meer mogen samenwerken met die organisaties. De Amerikaanse regering kan dus op ieder moment de diensten die Microsoft levert aan EU-instellingen stopzetten.

Reacties (77)

[Firestorm666]

Ik lees in de comments vooral de focus op mail. M365 heeft met Exchange iets prachtig in handen: Mail, kalender, contacten, ... worden allemaal gesynct via het Exchange protocol. Dat alles wordt ook zonder poeha geconfigureerd in Outlook(*).

De enige die iets vergelijkbaar doet is Google met hun Outlook plugin die via MAPI het 1 en ander verzorgt. Google Workspace kan ook niet zoveel als M365 (wel vele malen betrouwbaarder)

--

Een echt Europees alternatief zal een protocol moeten bedenken waarbij mail, kalender, ... in sync staan met een offline programma out of the box (Thunderbird?). Of zoals Google via MAPI werken en een plugin voor Outlook.

Een uitstekende uptime reputatie krijgen en die ook behouden.

Dat is een huzarenwerk. Je zou al een bedrijf moeten hebben met schijnbaar ongelimiteerde budgetten om zo iets op poten te zetten.

Vanuit de EU overheid zal het niet lukken, veel te veel verschillende meningen. Zie het drama van de Eurofighter en dat was nog maar tussen 2 landen.

(*) Ik weet maar al te goed dat Outlook lang niet zo "perfect" is .

[PaulHelper]

Je hebt wel een soort van een punt maar ik denk dat het vrij makkelijke obstakels zijn.


Zelf gebruik ik migadu met vooral Thunderbird. Dan gebruik je imap voor email en verder CalDav/carddav voor kalender/contacten. De protocollen zijn er dus denk ik al.

Ik moet zeggen Thunderbird is niet perfect maar als daar wat geld in wordt gestoken heeft het veel potentie. Outlook is een verhaal apart met hun slechte third party Service Support die moet stoppen of Thunderbird (of ander goed/open source email clients) moet wat meer de standaard worden (of gestimuleerd, hoe weet ik zo niet) is het een mooie toekomst denk ik

[Reactie gewijzigd door PaulHelper op 30 september 2026 21:11]

[Firestorm666]

Ja, zo gebruik ik mijn mailfence ook. Maar dat is het nu net.

Je moet 3 dingen apart gaan configureren & Cal/Carddav is nu ook niet bepaald probleemloos of gebruiksvriendelijk. Laat staan dat een eindgebruiker die niet bezig is met IT dat kan. Op een smartphone is't al helemaal geen doen.

Met 365: account ingeven & klaar.

Thunderbird is denk ik wel zo een beetje de "industriestandaard" voor iedereen die geen 365/Google gebruikt en een offline client wil. Al denk ik dat de meesten die geen 365/Gmail afnemen eerder de webmail van de mailprovider gebruikt (denk ik)

Thunderbird zou wel een boost krijgen mocht het er wat prettiger uitzien of op z'n minst thema opties hebben waarbij je het er met CSS ofzo een hele makeover kunt maken. Wat dat betreft heeft Outlook het wel beter voor elkaar... maar dat is dan ook het enige positieve wat ik aan Outlook kan vertellen . Voor de rest is het een draak van een programma dat per update erger wordt.

Maar ik vrees dat het een moeilijke wordt, ook met dat. Want Outlook Classic vs Outlook new is voor sommige mensen al een drama.

--

Het is ook een beetje een vicieuze circel:

Wie heeft geld genoeg om zo een project te financieren: de EU
Aan wie wil je het niet overlaten omdat het gedoemd is te falen wegens eeuwige discussies: de EU

Omwille van dat laatste moet je het overlaten aan een bedrijf dat de kennis in huis heeft om: zelf een mailprogramma te ontwikkelen/forken, een protocol kan maken om dezelfde belefenis te hebben van een 365 account. Niet alleen mail, ook online opslag sync, .. maw: een heel ecosysteem kan bouwen.

Zo een bedrijf is er in de EU niet voor zover ik weet, laat staan een bedrijf dat zich wil wagen om als 3de speler op te boxen tegen grootmachten Google/Microsoft die al jaren ervaring hebben op zulke schaal.

--

Voor mijzelf privé ben ik voor alles over op de alternatieven buiten m'n android telefoon. Voor werk ben ik heel veel bezig met 365 & Google workspace.

Qua gemak en integraties... komt momenteel echt niks nog maar in de buurt van die 2. We mogen dan wel vloeken op M365 (terecht), maar het kan echt belachelijk veel, zeker als je de wat hogere licenties hebt.

Zelfs als we zo een awesome IT bedrijf in de EU hadden die de kennis en de financien heeft om dat te doen, het zou ongetwijfeld een paar decennia duren eer dat op een acceptabel genoeg niveau is om te concureren.

[Frykandel]

Het protocol is er al; JMAP. JSON/HTTPS gebaseerd, alles via 1 lijntje. Werk al enige tijd met Stalwart, perfecte integratie. 1 server URL instellen, en alles gaat via dezelfde verbinding; mail, calendars, contacts, files. Super efficiënt, werkt ook top. Volledig open source protocol.

Enige nadeel is dat er nog geen enkele 'grote' speler echt goede ondersteuning voor bied. Je moet dus uitwijken naar nieuwe apps van onbekende namen, die vaak in korte tijd met hulp van AI in elkaar geflanst zijn.

[Firestorm666]

Dat is wel nice ja, weer wat bijgeleerd. Dacht echt dat Exchange zowat het enige was met die mogelijkheid. Vraag me dan wel af wat ermee "scheelt" dat zo goed als niemand dat aanbied.

[mocem]

Heb de discussies nooit gesnapt waarom mensen mailserver hosten lastig vinden. Ze zijn massaal uitbesteed en nu heb je dus het probleem dat de grote partijen alleen nog mail van elkaar 'vertrouwen' en zo mensen alsnog forceren om bij hun een dienst af te nemen.

[blaatenator]

Omdat een mailserver hosten lastig IS. Heb een tijdje zelf alles ingericht maar als het geen dagelijkse kost is is het lastig het goed bij te houden. Gebruik nu mailinabox, dat werkt prima. Enige wat ik zelf inregel is DNS maar da's meer omdat ik dat ergens anders wil configureren dan op de mailserver.

Ook: ondanks dat alles is ingericht volgens moderne standaarden (DKIM, SPF, DMARC) kan ik GEEN mails versturen naar b.v. hotmail. Die komen keihard terug met de melding dat het IP blok (dus niet eens het IP adres) waar ik vandaan kom op een of andere lijst staat. Omdat het voor prive gebruik geen groot probleem maar als het voor een organisatie was zou dit wel een dingetje zijn...

[moonlander]

En organisaties die naar hotmail/outlook sturen komen ook gewoon in de spam. Je kan hoog of laag springen, microsoft zegt zoek maar op het fora of vraag het de community. Aan ons ligt het niet.

[William_H]

Maar dat ligt dus aan Microsoft die hele blokken IP adressen blokkeert. Niet aan de initiële opbouw van het emailsysteem. Dat Microsoft hierin weer eens een korte afslag neemt en zaken niet afhandelde zoals het hoort, mag geen verrassing meer zijn.

[themadone]

De oplossing is simpel, neem een third party anti spam provider en verstuur via hun je mail. Komt het overal prima aan.

Mocht je willen weten waarom je mail niet aankomt: https://mail-tester.com/

[William_H]

Kan je eens een goede third party anti spam provider noemen waar je zelf positief over bent? Ik denk dat dit onder de hobbyisten hier best een gekende vraag is.

[themadone]

Ik gebruik zakelijk veel messagelabs, die hebben ook een nette sandbox voor links die je gebruikers krijgen.

Op kleinere schaal iets als idefender.

[RoestVrijStaal]

Omdat het voor prive gebruik geen groot probleem maar als het voor een organisatie was zou dit wel een dingetje zijn...

Als de rest van de familie hotmail/live/outlook.com gebruikt en organisaties, webshops e.d. office365/Azure dan lijkt me het ook op privaat niveau een groot dingetje te zijn.

[Noxious]

Overheidsinstellingen communiceren met inwoners die veelal dit soort adressen hebben, dus daar zit je probleem al.

[Triblade_8472]

Het gaat verre van alleen over mailhosting. Het probleem zijn de zaken eromheen.

De cliënt moet de server snappen, en alle plugins moeten die cliënt snappen. (bijvoorbeeld bastion365, zorgmail etc)

Anti-spam moet ernaast goed geregeld zijn, evenals intrusion detection en federated authentication/sso.

Dan moet de server ook aan allerlei eisen doen zoals DANE, spf, dnssec, specifieke ciphers, certificate trusts, enz.

Laat staan dingen zoals handtekeningen software, relaying e.d.

[Lightfeet078]

Als je een mailserver host, moet je die ook goed beheren - en dat is schijnbaar kostbaarder / lastiger als het is om een MS365 abonnement af te nemen - als je hem niet goed kan beheren heeft dat impact op de operatie.

Ik zou ook liever minder met MS cloud-services willen werken, maar dat is bijna onmogelijk zoals je al aangeeft. Weet daarnaast jammer genoeg ook geen alternatief in de EU met dezelfde dienstverlening.

[bzzzt]

Weet daarnaast jammer genoeg ook geen alternatief in de EU met dezelfde dienstverlening.

Als we een EU brede belasting van 10% op alle Amerikaanse hosted services heffen en dat geld in een fonds voor vervanging stoppen hebben we binnen een paar jaar zat alternatieven...

[aileron]

Ik denk niet dat je begrijpt hoe klem we zitten in dat eco systeem.

We zijn niet bereid om te investeren in IT. M365 abbo, zit alles in. Laptop, software, het is gewoon heel makkelijk te managen en relatief goedkoop. Maar we zien de verborgen kosten en die worden pas zichtbaar als je er vamaf wil.

Er moet zeer groots worden geinvesteerd in onderliggende fundamenten van het europese IT landschap zodat we dit van chips tot de software allemaal zelf bouwen.

Moeilijk moeilijk.... Ja, maar we moeten. Anders worden we een fasal staat.

[1khalid]

Maar waarom moet de EU dat doen? Dan krijg je wat China doet? En daar zeuren jullie om… in Amerika zijn het gewoon de bedrijven

[aileron]

Wikipedia: CHIPS and Science Act

In de vs doen de bedrijven dat echt heeeelemaal zelf....

[willieverhoef]

Of microsoft maakt een losstaande EU entiteit welke volledig appart staat. Met eigen domain en heeft alleen de software in licentie.

[bzzzt]

Die hebben ze al, maar je houd een gigantische afhankelijkheid. De US overheid kan Microsoft verplichten de licentie terug te trekken en heeft ons via die weg enorm in de tang.

[willieverhoef]

Dat 'verplichten' ligt aan de constructie (je kunt het ook om draaien) want Microsoft is misschien wel Iers, leg de rechten daar neer. Helaas iser een onafhankelijke government cloud, maar de Duitse cloud met T-Mobile is er niet niet meer.

Waar een wil is is een weg zou ik zeggen.

[Noxious]

Lees je even in op de US Cloud Act. Dat maakt dat soort grappen meteen al onmogelijk.

Ook al zouden ze een totaal gescheiden entiteit opzetten, dan nog gebruikt die software licenties en/of patenten van het Amerikaanse bedrijf.

[sweetdude]

Het is natuurlijk niet alleen een kwestie van goed beheren van een mailserver. MS Exchange is samen met Outlook toch wel een defacto industrie standaard. Het patchen van de software is ook wel een ding.

Volgens mij zijn er nog geen grote niet Amerikaanse standaard pakketten die nu volwassen, compleet genoeg zijn qua eindgebruikers functionaliteit en snel te implementeren zijn. En al zou het er zijn loop je nog tegen de implementatie tijd aan. Ga maar even een organisatie van 1.000, 2.500 man even omgooien. Loop je zo tegen een project van een jaar aan.

[klakkie.57th]

Dat project dat we in 2018 hebben gedaan om iedereen van Onprem naar cloud-based mail om te zetten 🤪.

OnPrem kan perfect … de Microsoft-Lobby doet gewoon zijn werk op C-level niveau

[William_H]

Wat een onzin. Een Thunderbird werkt net zo goed. Dat is nog geen Exchange, maar mail is universeel en kan dus zeker ook wel met een andere mailserver gedraaid worden. Gewoon eens beginnen. Dat gejammer dat het nooit wat gaat worden is de propaganda van een MS die dat al jaren verkondigd.

[jessesteinen]

Op kleine schaal kan het best veel tijd kosten om van allerhande blacklists af te blijven, spam te managen etc. maar op deze schaal zou je een EU-alternatief volgens mij prima kunnen verantwoorden. Het is geen MKB tenslotte.

[mocem]

Dat zou inderdaad een goeie zijn een betrouwbare SMTP dienst vanuit de EU. Als heel veel organisaties die gaan gebruiken dan kan MS en andere partijen deze niet meer moedwillig meer saboteren.

[bzzzt]

Dat blacklist probleem is dus gewoon gemaakt door de grote partijen. Er zijn ook opties die kleinere partijen minder benadelen maar daar hebben de grote mail providers geen zin in...

[DJMaze]

Ik draai er maar 1 om: elke e-mail van Microsoft wordt geblokkeerd met spam melding.
De rest van de wereld werkt wel gewoon als het de regels volgt.
Want tot nu toe merk ik dat alleen Microsoft e-mails vernietigd zonder dit te melden aan afzender noch de ontvanger.
Best ziek als dan bijna alle gemeentes een onbetrouwbare partij heeft gekozen voor het beheer van e-mail.

[Sissors]

Ik zou willen dat Microsoft dat wat vaker deed juist. Mijn spam folder van mijn Outlook overstroomt. En ze worden dus netjes in de spam gegooid, maar als hij er echt zeker van is dat het spam is, mag hij hem van mij gewoon direct verwijderen, zodat ik bij de twijfel gevallen makkelijker kan zien of die er wel of niet tussen hoort.

[walteij]

Want tot nu toe merk ik dat alleen Microsoft e-mails vernietigd zonder dit te melden aan afzender noch de ontvanger.

Hierbij bedoel je dat ze geen foutcode sturen as een mail niet kan worden afgeleverd? Bijvoorbeeld vanwege niet bestaand email adres, volle mailbox of geblokkeerd omdat ze vinden dat het spam is?
Dat heeft te maken met backscatter en dat is een van de manieren waarop mensen spam ontvangen. Het is tegenwoordig best practice om backscatter op je mailservers uit te schakelen.

[david-v]

edit:
Verkeerd geinterpreteerd

[Reactie gewijzigd door david-v op 30 september 2026 16:56]

[watercoolertje]

bedoel je de "gratis" email accounts? @outlook.com en @hotmail.com? Emails van mijn werkaccount (daar gebruiken ze office 365) komen nooit in een spamfolder terecht....voor zover ik weet

Volgens mij spreekt hij de wens uit dat elke mail vanaf een MS server bij de ontvanger een spam-melding zou moeten krijgen, dus niet iets wat reeds bestaat.

[david-v]

ah zo, ja, ik las het verkeerd. Nou snap ik het.

[ilaurensnl]

Kans dat je een Office 365 email in de spam folder komt is een stuk kleiner dan een eigen servertje, het gaat helaas verder dan een simpel servertje opzetten en gaan

[bzzzt]

Heb je je ooit afgevraagd waarom dat zo is? Het is niet zo dat een 'simpel servertje' niet werkt...

[walteij]

Omdat je 'simpele mailservertje' op een IP block zit van een provider die niet (goed) met reverse hostnames kan omgaan, omdat er bij die provider nog 500 mensen zitten die hun simpele mailservertje niet goed hebben geconfigureerd, omdat er bij diezelfde provider 17000 mensen onderdeel zijn van een botnet dat spam kan versturen en dus generieke IP adressen van normale providers al snel op allerlei blacklists terecht komen (die niet worden gehost door de grote patijen, maar door een stelletje fanatiekelingen die niet altijd voor reden vatbaar zijn).

[bzzzt]

In principe is het probleem dat spammen loont omdat het gratis is. Er zijn wel eens proefballonnetjes geweest om bijvoorbeeld 'proof of work' systemen in te zetten om mails te sturen, maar daar hebben de grote jongens dan weer relatief veel last van...

[Daoka]

1: Het is inderdaad beter voor de bedrijven.
2: Het voorkomt zeker ook wel een gedeelde problemen omdat niet iedereen zo maar een spam servertje kan opzetten. En ja we krijgen nog genoeg spam hoor. Maar ik verwacht wel dat er toch wel wat anders potentiële spammers tegengehouden worden.

[Muncher]

Maar als je dan al uitbesteed, waarom dan niet bij een Europese partij? Er zijn best veel mail providers in de EU die volgens mij op deze schaal kunnen werken. Bewijs heb ik niet maar mail is al zo’n oude service dat het mij zou verbazen als dit niet al bestaat.

[The Zep Man]

Titel bij NOS:

Leeuwendeel van EU-instellingen laat mail via Amerikaanse servers lopen

Eerste alinea:

Bijna driekwart van de instellingen van de Europese Unie laat zijn mail via servers van Amerikaanse bedrijven lopen, blijkt uit onderzoek van de NOS.

De titel dekt de lading niet. Microsoft exploiteert ook Europese servers. Natuurlijk is er de nuance dat de VS ten alle tijden spullen kan opeisen van EU servers beheerd door een Amerikaans bedrijf, maar het is te kort om te stellen dat alles op Amerikaanse servers staat of loopt.

[Reactie gewijzigd door The Zep Man op 30 september 2026 16:52]

[consolefreak]

De servers zijn eigendom van Amerikaanse bedrijven, daarom zijn het Amerikaanse servers. Ze staan wellicht niet op het grondgebied van Amerika, maar het blijven Amerikaanse servers.

[fenrirs]

Het is juridisch prima mogelijk dat MS de servers leased van een EU partij en zo een request naast zich neer kan leggen.

Waarom hebben we nog geen omgekeerde patriot act? Omdat men bang is, maar de EU is groot genoeg om tegen MS te zeggen: regel het….anders 70% van klandizie kwijt. MS gaat dan echt wel ‘zeiken’ bij onze oranje vriend

[zonglew00]

Waarom is TikTok Amerikaans nu…? Je kan ook gewoon zeggen, je maakt een EU bedrijf, en zorg maar dat je hier in eu dingen regelt. Ongeacht je afkomst. Als je subsidiary ineens want gedwongen om met het moederbedrijf te werken vanwege een rechter, keihard nationaliseren. Als we bij nexperia kunnen doen waarom niet bij Microsoft?

[William_H]

Omdat als het gebeurt bij Microsoft, jij en ik en de klant er niks over gaat horen. Zo zit de Cloud Act in elkaar. Microsoft mag het niet eens vertellen aan hun klanten. Alles wordt in geheime rechtbanken afgehandeld. Het zou zelfs nu al kunnen gebeuren.

[Quintiemero]

En, dat data in Europa wordt opgeslagen, betekent niet dat iedere subverwerking via Europese servers gebeurt. Dus je moet naar de hele stroom kijken.

[downtime]

NOS is journalistiek helaas geen hoog niveau. Ik zie zo vaak onzorgvuldigheden en onjuiste aannames in die artikelen sluipen. Ik omschrijf de redactie inmiddels maar als de stagiaire-van-dienst.

Maar strikt genomen hebben ze hier wel gelijk. Als de server van een Amerikaans bedrijf is, is het een Amerikaanse server, ook al staat ie hier. Maar ik weet niet of ze het ook zo bedoelen.

[ronaldvr]

Niet waar: https://noyb.eu/en/us-cloud-soon-illegal-trump-punches-first-hole-eu-us-data-deal

Since the Snowden disclosures we know that the US engages in mass surveillance of EU users by scooping up personal data from US Big Tech. The "Privacy and Civil Liberties Oversight Board" (PCLOB) is the key US oversight authority for these laws. US media now reports, that Democratic members of the PCLOB got removed and their email accounts shut down. This brings the number of appointed Members below the threshold to have the PCLOB operate. The fact that the US President simply removed people from an (allegedly) independent authority, question the independence of all other executive redress bodies in the US.

The European Union has relied on these US boards and tribunals to find that the US provides "adequate" protection of personal data. Relying on the PCLOB and other mechanisms, the EU Commission allows European personal data to flow freely to the US in the so-called "Transatlantic Data Privacy Framework" (TADPF). The PCLOB is the only relevant "oversight" element of the deal. Other elements are just acting as recourse bodies. Thousands of EU businesses, government agencies or schools rely on these provisions. Without the TADPF, they would need to stop using US cloud providers like Apple, Google, Microsoft or Amazon instantly. 

[AlfABetA]

Je zou natuurlijk kunnen denken aan bv Proton. Het gaat hier over email en niet direct Office. Je zou bv de email bij bv proton kunnen laten hosten, en desnoods hun cloud kunnen gebruiken. Als je dan een Office 365 perse wilt gebruiken, kun je dat nog altijd apart afnemen.

[PaulHelper]

Ik denk wel dat er weinig Europese mail providers zijn die klaar zouden zijn voor zoveel extra users binnen een maand.

Proton is inderdaad best een goede al vind ik ze wel aan de dure en beperkte kant voor alleen email (helemaal met custom domein).

Zelfs als nu 0.1% proton gebruikt, zou een stijging naar 10% al enorm groot zijn zowel relatief als absoluut. Als dat over jaren gaat is dat prima maar stel outlook en gmail kappen ermee dan zouden denk ik alle servers overlopen.

[Keypunchie]

Het getal dat ik vind, is dat "de EU" om/nabij de 60.000-80.000 medewerkers heeft (vind ik schokkend weinig, maar goed).

Dan is 50-75% daarvan 30.000-60.000 medewerkers. En dan zijn er vast nog wel wat gezamenlijke mailboxen... laten we het max 75k mailboxen maken?

BInnen een maand overgaan, dat doe je waarschijnlijk niet, met name aan de werknemerskant, maar dit is zonder meer haalbaar voor een beetje provider. (Proton claimt bvb. 100 miljoen gebruikers, daar zou het minder dan een promille zijn, maar ik vermoed dat ze eerder een Duitse provider zouden kiezen, dan een Zwitserse. Maar goed, daar zijn ook een paar grote.)

[Reactie gewijzigd door Keypunchie op 30 september 2026 23:41]

[drmacfaulty]

En wat te denken van alle Europese individuen en bedrijven, of zijn deze niet belangrijk om onafhankelijk te maken/houden?

Net als mocem aangeeft: Mail is echt niet moeilijk te hosten. Ik host het al meer dan 15 jaar voor mezelf en nooit problemen gehad. Gewoon zorgen voor een schoon IP of de IP uit alle blacklists halen (is ook veel minder werk dan men denkt). Alle technologieën zijn er en ik gebruik dezelfde onderliggende FOSS software als vele Enterprises en universiteiten incl. spam en virus filter, dus snap het probleem echt niet. Kunt gewoon auto update aanzetten voor die packages, dan ook geen/weinig last van beveiligingsproblemen.

Het enige dat tijd nodig heeft (grote bedrijven e.d. hebben dat in no-time) is domein reputatie opbouwen in de filters van de big boys. Dat duurt even als je weinig mail verstuurd, maar daarna is het ook klaar. Al helemaal als je ook rDNS correct hebt en SPF, DKIM, DMARC e.a. beveiligingen toepast.

Lijkt wel alsof men bang is om verantwoordelijk te worden gehouden en het dan niet kan afschuiven op dienst XYZ. Moeilijk is het echt niet meer, dus dat kan niet de reden zijn.

De mail wereld heeft last van hetzelfde stigma als LPG (wilde verhalen van motorschade en andere flauwekul) en men lijkt het niet te willen zien.

[Reactie gewijzigd door drmacfaulty op 30 september 2026 16:21]

[david-v]

Mail is echt niet moeilijk te hosten

Ik denk niet dat de vraag is of het moeilijk is of niet. Iedereen heeft daar wel een andere mening over. Ik denk dat bedrijven kiezen voor gemak (SLAs) en soms uit kosten overwegingen (ook daar verschillen de meningen over) om wel of geen eigen email server te hosten.

Ik host het al meer dan 15 jaar voor mezelf en nooit problemen gehad

Er is een verschil tussen het hosten van een particuliere email server of het hosten voor een bedrijf/instelling waar andere regeltjes gelden. De kans dat jouw email server aangevallen wordt is dan ook beduidend kleiner dan die van de gemeente Amsterdam bijvoorbeeld.

[drmacfaulty]

Ook grote mailservers en clusters zijn niet moeilijk. Je kunt alle externe (en deels interne middels encryptie at rest) dreigingen prima afvangen met degelijke firewalls, IPS/IDS en dan ook nog eens scannen op de mailserver zelf. Houd degelijke monitoring erbij op mail deliverability en zorg dat die reeksen bij de grote jongens een whitelist krijgen (is allemaal mogelijk). Het komt er alleen op aan om goed in te richten.

Mijn mailserver heeft elke 5 seconden wel een bot die een ehlo probeert. Zodra een bot een gaatje denkt te hebben blijft ie uren volhouden, maar met log scanning en auto ban op firewall niveau is dat ook snel opgelost. Als je configuratie op orde is met encryptie en ‘least privilege’ kom je al een heel eind. Wil je het goed doen is elke mailserver hetzelfde, groot of klein. Het maakt echt geen bal uit. Dat de meesten shortcuts nemen is pure luiheid of bedrijfsbeleid (lees: relatief gezien paar knaken bezuinigen op implementatie).

Er is echt geen excuus. De enige reden om het niet zelf te willen doen is dat je geen IT afdeling hebt of liever (als manager) je eigen reet wilt indekken met SLA om maar iemand anders de schuld te kunnen geven.

Op het werk klepper ik 8/10 keer achter de leverancier aan, omdat deze te lui is zelfs basic zaken dicht te zetten. Geldt voor 90% van de bedrijven waar wij eens wat werk hadden uitbesteed. Het is niet hun omgeving dus boeit het ze helemaal niks.

Daarmee wil ik zeggen dat regeltjes leuk zijn op papier, maar in de praktijk wordt er met de pet naar gegooid, wat direct een reden is waarom zoveel hacks in het nieuws zijn. Komt vaak (niet altijd) door externe leveranciers die je in jouw gebouw werk hebt laten uitvoeren. Doorgaans doet een interne afdeling het beter, omdat die ook hun eigen shit moeten opruimen.

oh ja, en men zegt dat IMAP en reguliere SMTP niet veilig zijn, tenzij gecombineerd met OAUTH. Klopt ook niks van. Gewoon een lang wachtwoord verplichten en elke 3 maanden wijzigen i.c.m. awareness training.

[Reactie gewijzigd door drmacfaulty op 30 september 2026 19:56]

[david-v]

Juist. Hoe regel je precies dat je beschikbaar blijft tijdens een DDOS? Want jouw server krijgt elke 5 seconden wel een bezoekje van een bot (niet heel spannend overigens), maar sommige (mail) servers krijgen duizenden per seconde.

Het is je misschien niet opgevallen maar 10, 15, 20 jaar geleden was het continu raak met alle zelfgehoste exchange servers. Dan was er dat bedrijf aangevallen, dan weer die. Vergeten of te laat de exchange patch geïnstalleerd. De servers ook niet op tijd gepatched, routers, netwerken componenten en ga zo maar door.

Ik zeg niet dat een partij zoals Microsoft feilloos is, maar ik zie wel een grote verschil met hoe het eerder was. Waren er bedrijven die het goed of zelfs beter deden? Absoluut. Maar als jij een gemeente bent met welgeteld 5 ITers dan is dat simpelweg niet te doen om het veilig te houden. Onze cybersecurity afdeling is al 2x zo groot. Daarnaast moet je hele specifieke kennis hebben die niet voor het oprapen ligt in de markt. Het is dan niet heel vreemd dat bedrijven en instellingen uitwijken naar services, of het nou proton, mailbox, office365 is of welke andere partij dan ook. Die kunnen dat voor vrijwel de meeste klanten echt wel een stuk beter en veiliger doen.

[drmacfaulty]

Het punt is juist dat het NU makkelijker is dan ooit en we juist door het te decentraliseren ook de kennis weer automatisch terugbrengen. E-mail protocollen en server componenten zijn prima te doorgronden. Dat is binnen een week zelfstudie onder de knie, juist omdat het zo’n ‘saaie’/oude technologie is (wat in de loop der jaren wat pleisters heeft geplakt, maar de basis blijft hetzelfde). Sterker nog, ik zou dit in de systeembeheer opleidingen willen hebben, hoe je op de juiste wijze een groupware optuigt. Door de vele tooling ook met veel minder mensen prima te doen (MKB prima met 1 persoon te doen en dan houdt die nog tijd zat over voor de rest). Postfix e.d. zijn ook super stabiel en durf ik wel dagelijks automatisch te laten updaten met de juiste pinning (al mijn mail software wordt dan ook automatisch dagelijks bijgewerkt en dat al meer dan 15 jaar zonder problemen).

Als je nu nog een product gebruikt waarvan je het na release van een update eerst nog weken moet aankijken voldoet het gewoon niet meer (looking at you MS). Na max. 24u moet je gewoon updaten, punt. Al helemaal wat ons nog te wachten staat met die AI rommel, dan wordt het misschien wel binnen 2u na release of direct updaten.

DDoS heb je prima apparatuur voor, maar vanwege de kosten i.v.m. traffic kun je dat beter door het datacenter/ISP laten afvangen. We hebben het hier specifiek over mail. Zulke DDoS preventie als waar jij het over hebt moet je gewoon uitbesteden, maar dat staat los van de mailserver en waar je jouw data bewaard. Even bij de kern blijven

Op mijn werk is ook alles uitbesteed en Microsoft heeft al meerdere grote storingen gehad (ook SharePoint en OneDrive naast mail). Zouden wij het on-premise hebben gehad durf ik mijn hand ervoor in het vuur te steken dat dit niet was gebeurd, maar dat is nu eenmaal management beleid.

Te veel bedrijven hebben alles uitbesteed en dan alsnog 8 ITers rondlopen. Dat is lachwekkend. Waar ik werk is een zeer afwijkende omgeving en dat draait op max. 3 mensen waarbij we alles doen van A-Z, incl. ontwerpen. Het kan wel

[Reactie gewijzigd door drmacfaulty op 1 oktober 2026 00:00]

[bvo2411]

Zie ik hier weer een overeenkomst met hoe ik het zelf heb gezien en ervaren.

Inderdaad wil men vaak geen mail meer zelf hosten en wordt dit vaak uitbesteed, ook bij grotere instanties, die dan vaak de gehele ict hebben geoutsourced. Het hoeft niet slecht te zijn, maar dan moet je wel bij een partij zitten, die meedenkt en die ook handelt en inderdaad geen papieren tijger met chatbots en niet nakomende sla's. Een sla lost een technisch probleem niet, alleen geld.

Inderdaad doet een interne afdeling het vaak best goed en ook wel beter. De verantwoordelijkheid ligt dan bij de afdeling en de mensen zelf. De kennis is er vaak al wel, alleen denkt het management vaak dat het efficiënter en soms ook goedkoper kan. Bewijs wordt hier vaak niet voor aangeleverd.

Veilig mailen met een "eigen" mailserver kan heel goed.

[Hansie9999]

De kans dat jouw email server aangevallen wordt is dan ook beduidend kleiner dan die van de gemeente Amsterdam bijvoorbeeld.

Het zou mij niet verbazen als Tweaker @david-v zijn mailserver beveiliging en update beleid beter op orde zou hebben dan de gemeente Amsterdam,

Om een voorbeeld te geven, Mijn klantengegevens zitten lokaal bij mij op de PC in de zaak, er gaat een backup (met encryptie) altijd mee naar mij thuis 20km verderop, Zelfs als mijn internet volledig uitvalt kan ik nog aan mijn klantengegevens aan en mijn klanten verder helpen,

Maar recent was er eens een oververhitte server in frankrijk, met als resultaat dat TWEE grote ziekenhuizen in België niet meer aan hun patientgegevens aan konden , en daardoor zelfs operatie's moesten uitstellen ????!!!!

Tja

[david-v]

Ik denk dat je @drmacfaulty bedoeld .

Het zou mij niet verbazen als Tweaker @david-v zijn mailserver beveiliging en update beleid beter op orde zou hebben dan de gemeente Amsterdam

Als gemeente Amsterdam Office 365 gebruikt is de kans daarop heel klein tot nihil. We moeten echt een onderscheid maken tussen privé gebruik en hosten van een mailserver en de mail behoefte van een grote organisatie zoals een gemeente of ziekenhuis. Ik denk dat de backup van je klantgegevens nog geen 0.001% is van wat een groot ziekenhuis aan patient gegevens heeft, en dan ben ik nog coulant

[Hansie9999]

Oh ja sorry, moest inderdaad @drmacfaulty zijn.

Natuurlijk is de data minder, maar mijn data is (in mijn opinie) ook veel minder belangrijk, vind het dus totaal NIET kunnen dat een ziekenhuis niet al zijn data om te kunnen werken niet lokaal staan heeft ? (al je data op een extra plaats is denk ik zeker altijd goed meegenomen en dan zet je toch MINSTENS de data eens lokaal) , als zelfs gewoon internet uitvalt is het daar al gedaan met werken blijkbaar ? , ik denk trouwens dat de investering om lokaal noodgeneratoren voor electriciteit staan te hebben een pak groter is dan de investering om wel minstens lokaal ook een dataset te staan hebben ?

Dit is gewoon weer zo een beslissing van één of andere manager dat beslist om alles in frankrijk te draaien weer leuk leek op de jaarcijfers en hij dan weer een mooi schouderklopje kon krijgen van de aandeelhouders, ik zou niet weten welke zichzelf respecterende ITer het een goed idee zou vinden om NIKS lokaal staan te hebben ?

[david-v]

Ik denk dat je zwaar onderschat hoeveel informatie in een patiënten dossier staat. Er staan volledige (3D) scans, mri, analyses enz. Het gaat om data in de hoogste categorie wat privacy betreft, medische data. Het gaat dus niet enkel om een datasetje of een beslissing van een manager. Ziekenhuizen moeten aan enorm veel normen voldoen en dan nog gaat het wel eens fout. Het "lokaal" hebben van een datasetje is dus echt niet van toepassing hier.

Vroeger (30+ jaar geleden) waren het allemaal papieren verslagen, mappen vol met scans enz. Allemaal lokaal. Inmiddels zijn we een stuk digitaler en dat heeft zowel voordelen, bijvoorbeeld direct de beschikking hebben over informatie, zelfs tijdens het opereren, als nadelen, bijvoorbeeld cyberaanvallen of uitvallen van digitale services.

De hele IT in een ziekenhuis is niet iets van één manager of één ITer. Daar zitten echt flink wat processen achter waar je heel zorgvuldig mee om moet gaan, want medische data. Kijk bijvoorbeeld naar de NEN 7510. Een dat is maar één van de normen waar ze aan moeten voldoen.

Met andere woorden, het klinkt simpel, maar dat is het absoluut niet. Een lokale kopie is niet eventjes een servetje opzetten met een bak harde schijven eraan en gaan.

[Hansie9999]

Het gaat om data in de hoogste categorie wat privacy betreft

Maar dat is nu toch het hele punt,

Als het al minimum ERGENS zou moeten staan dan zou het toch lokaal moeten zijn ????

Nu stond het dus blijkbaar op 1 !!! FRANSE !!!! server ????? (met hopelijk nog wel op andere plaatsen ergens cold storage als backup ?????)

[bvo2411]

Dezelfde zaken die jij hebt beschreven, heb ik zelf ook ervaren. Sinds ik een eigen domeinnaam heb, heb ik ook een eigen mailserver en dit is al ruim 20 jaar. Ja het was een poosje frustrerend dat mails niet of niet goed aankwamen bij @outlook.com en voornamelijk @hotmail.com . Wekelijks automatisch updaten van eerst de fallback mailserver en bij goed bevinden de volgende week de productie server. Maandelijkse een check op internet.nl (100% score) en andere checks voor nieuwsbrieven en in de logs kijken.

Dit is het werk aan een kleine MKB-server. Dus ja het kan gewoon en nee het is geen rocket science. Je moet er wel wat tijd in steken, maar dat is met alles wat je onderneemt en dient te onderhouden.

[drmacfaulty]

Leuk om te horen (en ook mijn ervaringen bevestigd te zien). Als je alleen voor jezelf of MKB host zou je de fallback prima kunnen dumpen. Enige reden voor een cluster bij die kleine organisaties is continuïteit en vaak zijn andere zaken belangrijker dan mail m.b.t. continuïteit (maar dat verschilt per organisatie natuurlijk). Alle juist ingerichte servers (zoals MS, Google, instanties e.d.) houden e-mail 48-72u in de queue met een progressief aflopend aantal pogingen. De goede servers sturen de afzender zelfs een waarschuwing dat de mail vertraagd is en een NDR bij niet kunnen afleveren. Als je jouw server degelijk hebt ingericht met dagelijkse back-ups kun je voor kleinschalig gebruik prima zonder een tweede.

Scheelt je (weer een beetje) tijd die je aan andere zaken kunt besteden Is een tip, doe ermee wat je wil. Belangrijkste is dat het voor jou werkt natuurlijk

Ben wel nieuwsgierig naar de reden waarom je een fallback aanhoudt.

[Reactie gewijzigd door drmacfaulty op 1 oktober 2026 00:06]

[Freedive]

Dat is bij Nederlandse gemeenten niet anders. Recent zag ik een onderzoek dat aangaf dat 84 van de 99 grootste gemeenten bij Microsoft 365 zitten..

[sender]

Ook het http(s) verkeer van en naar sites (links) in die mail (outlook en verwanten) is te volgens. "safelinks" noemen ze dat, doordat echte links in mail vervangen worden kan Microsoft precies zien vanaf waar, wanneer, waarnaartoe, met welk device er op de links geklikt is. Onder het mom van veilig wordt de hele wereld weer een stukje extra gemonitord.

[mfkne]

Let wel, gezien de methodiek waarmee NOS dat heeft bepaald niet 100% accuraat dient te zijn - ze hebben naar de MX records gekeken. Ook al staat er een Europese server in, je weet nooit of dit wellicht alleen een inbound MX is die achter de schermen de mails alsnog naar servers in de VS doorstuurt.

[MPAnnihilator]

Komt ervan als kortzichtige managers rond 2000 geëxciteerd geraakten door het woordje Cloud, en geen on-prem mail en anti-spam meer wensten. Komt ervan als nadien diensten als "Message Labs aka. Symantec Cloud Email, aka Broadcom whatever..." te duur waren en kortzichtige managers hun mail flow via Microsoft lieten gaan. ( want men betaalde zich toch al blauw aan Microsoft en kreeg er FOPE "gratis" bij ) ...

[svennd]

Mischien moeten we gewoon helemaal afstappen van de e-mail gedoe, EU heeft toch peppol opgezet voor invoicing. Dat zou allemaal een pak veiliger gaan. Sturen we nog steeds txt files over en weer ?