Je eigen mailserver is een aantrekkelijker doelwit voor spionage dan Microsoft 365

Zet je mail bij Microsoft en je berichten staan op een machine die je nooit zult zien, onder een jurisdictie die niet de jouwe is. Zet je mail op je eigen server en je hebt de controle terug. Dat is het soevereiniteitsverhaal, en het klopt. Alleen komt de tweede helft er zelden bij: voor een buitenlandse inlichtingendienst is precies die eigen server het makkelijkere adres.

Mijn stelling is dat een zelf gehoste mailserver voor een statelijke actor een aantrekkelijker doelwit is dan een mailbox bij een hyperscaler. Niet omdat de software slechter is, maar omdat het aanvalsmateriaal publiek ligt, de verdediging bij niemand een vaste taak is, en de kans om maanden ongezien mee te lezen veel groter is. Soevereiniteit laat die verdediging niet verdwijnen. Ze verhuist hem naar jouw bureau. Daarmee is soevereine e-mail geen serverkeuze maar een inkoopbeslissing, en dat is precies de vraag die in de meeste migratieplannen ontbreekt.

Aantrekkelijk is een rekensom, geen gevoel

Een doelwit is aantrekkelijk als de inhoud waardevol is, de deur openstaat, en de kans groot is dat niemand het merkt. Op alle drie scoort een zelf gehoste mailserver hoger dan een mailbox bij een hyperscaler. De inhoud is precies dezelfde, de deur is een publiek gedocumenteerde kwetsbaarheid, en de detectie hangt af van één beheerder die er twintig andere dingen bij doet.

Begin bij de inhoud. Mail is in de meeste organisaties het rijkste archief dat er is: contracten, offertes, personeelsdossiers, en de wachtwoordresets van elk ander systeem dat je gebruikt. Wie je mailserver heeft, heeft je sleutelbos. Dat geldt bij Microsoft net zo goed, dus daar zit het verschil niet.

Het verschil zit in de deur. Exploitatie van kwetsbaarheden is inmiddels de meest gebruikte manier om binnen te komen: uit het jaarlijkse datalekonderzoek van Verizon blijkt dat 31 procent van de datalekken begint met een softwarekwetsbaarheid, waarmee die gestolen wachtwoorden van de eerste plaats verdringt. Mandiant komt in zijn eigen incidentonderzoeken uit op 32 procent, voor het zesde jaar op rij de meest waargenomen eerste toegangsweg. En het Cybersecuritybeeld Nederland van november 2025 zegt het zonder omhaal: edge devices blijven een aantrekkelijk doelwit voor zowel statelijke als criminele actoren, omdat ze veelvuldig worden aangevallen om bij het netwerk erachter te komen. Een mailserver die aan het open internet hangt, is per definitie zo'n systeem.

Dan het derde deel van de som, dat zelden meeweegt. Mandiant meet een wereldwijde mediane verblijfsduur van veertien dagen voordat een inbraak wordt opgemerkt, maar bij spionagecampagnes loopt die verblijfsduur op tot 122 dagen. Vier maanden meelezen. Bij een hyperscaler kijkt een detectieteam continu naar afwijkende toegangspatronen over miljoenen mailboxen, en een patroon dat bij jou opvalt, valt daar ook bij honderd andere klanten op. In je eigen serverkast kijkt niemand mee, tenzij je dat expliciet hebt geregeld.

Twee mailservers in tien weken, hetzelfde patroon

Op 23 juli waarschuwden 27 inlichtingen- en cyberdiensten, met de AIVD en de NSA voorop, dat aanvallers negentig dagen aan mail wegsluizen zodra iemand een bericht opent in een zelf gehoste Zimbra-server. Geraakt werden defensiebedrijven, onderaannemers en ICT-dienstverleners in westerse landen. Geen ministeries met een eigen securityteam, maar het soort organisatie dat zelf host omdat het zijn data niet bij een Amerikaanse partij wil hebben.

Tien weken eerder gebeurde iets wat daar verdacht veel op lijkt, en dat in het soevereiniteitsdebat vrijwel onopgemerkt bleef. Microsoft meldde op 14 mei 2026 dat een aanvaller met een geprepareerde e-mail willekeurige JavaScript kan laten uitvoeren in Outlook Web Access. Getroffen: Exchange Server 2016, 2019 en de Subscription Edition. Niet getroffen, in Microsofts eigen woorden: "Exchange Online is not impacted by this vulnerability". Wie zijn mail in Microsoft 365 heeft staan, hoefde niets te doen. Zelfde soort aanval, zelfde soort mailserver, en de scheidslijn loopt exact langs de vraag of je hem zelf draait.

Het vervolg is minstens zo leerzaam. Wie de Exchange Emergency Mitigation Service aan had staan, kreeg de noodmaatregel automatisch binnen. Wie hem had uitgezet, moest zelf een script draaien. En of je de definitieve reparatie überhaupt krijgt, hangt af van welk ondersteuningscontract je hebt afgesloten: de beveiligingsupdate voor Exchange 2016 en 2019 gaat alleen naar klanten in het tweede programma voor verlengde ondersteuning, want het eerste liep in april 2026 af. Je recht op een patch is dus een inkooppost, geen natuurwet.

Hetzelfde patroon tekende zich in juli af bij drie actief misbruikte lekken in on-premises SharePoint-servers, waarvan er naar schatting nog duizenden ongepatcht draaien. Drie keer dezelfde vorm binnen één kwartaal is geen toeval. Het is de vorm van het risico dat je overneemt zodra je zelf gaat draaien.

De patchklok loopt de verkeerde kant op

Onder elk zelfhostingsplan ligt een stille aanname: dat je snel patcht. Op sectorniveau klopt die aanname aantoonbaar niet, en het wordt slechter. Van de kwetsbaarheden waarvan officieel bekend is dat ze actief worden misbruikt, werd vorig jaar nog maar 26 procent volledig verholpen tegen 38 procent het jaar ervoor, terwijl de mediane hersteltijd opliep van 32 naar 43 dagen. Dat is het gemiddelde van organisaties die hier bewust mee bezig zijn.

Snelheid is trouwens niet eens het lastigste. Het lastigste is weten dat je moet rennen. De reparatie voor het Zimbra-lek lag er al sinds november 2025, maar kreeg pas in januari 2026 een officieel nummer en stond pas op 18 maart op de Amerikaanse lijst van actief misbruikte kwetsbaarheden. Wie prioriteert op ernstscore en op die lijst, en dat is precies wat een nette patchprocedure voorschrijft, had maandenlang geen enkel signaal dat dit haast had. Je patchproces is niet beter dan het zwakste signaal waar het op draait.

Om eerlijk te zijn: de hyperscaler is ook gewoon gehackt

De sterkste tegenwerping is geen theorie maar een dossier. In 2023 kwam een aan China gelieerde groep bij Microsoft binnen met een gestolen signeersleutel en las mee in de Exchange Online-mailboxen van 22 organisaties, waaronder ministeries en ambassadeurs. Alleen al bij het Amerikaanse ministerie van Buitenlandse Zaken verdwenen zo'n 60.000 e-mails. De Amerikaanse onderzoekscommissie die de zaak uitploos, sprak van een cascade van vermijdbare fouten en een falen van Microsofts organisatie, bestuur en veiligheidscultuur.

Een hyperscaler is dus geen kluis. Hij is een groter en waardevoller doelwit, en als hij valt, val jij mee zonder dat je het kunt zien: je hebt geen toegang tot zijn logs, geen inzage in zijn afwegingen en geen stem in zijn prioriteiten. Daar komt bij dat de Amerikaanse jurisdictie niet aan de serverlocatie hangt maar aan het bedrijf dat de sleutels beheert, zodat ook een Europees datacenter van een Amerikaanse aanbieder dat deel van het probleem niet oplost. Wie op grond daarvan wegloopt bij Microsoft, heeft een goede reden.

Dat argument klopt. Het bewijst alleen iets anders dan waarvoor het meestal wordt ingezet. Het bewijst niet dat een eigen mailserver veiliger is, maar dat er geen veilige plek bestaat, alleen plekken met een andere verdeling van het werk. Dat verschil zit in de standaardstand. Bij Exchange Online was er in mei niets te doen, want de dienst was simpelweg niet kwetsbaar. Bij een eigen server gebeurt er niets tot iemand het doet. Wie de controle koopt, koopt de plicht mee: zelf hosten verschuift wie verantwoordelijk is voor de beveiliging, van de leverancier naar jou. Dat is geen bijzin in een migratieplan.

De inkoopvraag die niemand stelt

Soevereine e-mail is geen product maar een dienstverband. Je koopt geen server, je koopt de garantie dat iemand elke werkdag naar de adviezen voor precies jouw versie kijkt, binnen een afgesproken venster patcht, en de logs bewaart waarin je later kunt terugkijken. Staat dat niet in een contract of een functieomschrijving, dan is het niet geregeld. Vijf vragen dwingen dat af:

• Wie kijkt naar de adviezen voor precies mijn build? Niet "iemand houdt het wel bij", maar een naam, een bron en een frequentie. Zimbra publiceerde zijn reparatie zonder nummer; wie alleen op nummer-feeds zit, mist zoiets maandenlang.
• Binnen hoeveel uur staat een actief misbruikt lek dicht? Zet er een getal in, met een noodprocedure die buiten de normale onderhoudsvensters mag draaien. Drieënveertig dagen is voor een mailserver aan het open internet geen onderhoud, dat is een openstaande deur.
• Heb ik recht op de update? Ondersteuningsvenster, verlengingsprogramma, einddatum van je versie. Het Exchange-voorbeeld laat zien dat "ja" iets is dat je koopt.
• Wie kijkt er in de logs, en hoe ver terug? Bij een mediane spionageduur van 122 dagen is dertig dagen logbewaring geen detectie maar een formaliteit. Leg vast wat bewaard wordt, waar, en wie er wekelijks naar kijkt.
• Wat gebeurt er op de dag dat het misgaat? Wie trekt applicatiewachtwoorden in, wie licht klanten in, wie beoordeelt of dit een meldplichtig datalek is. Dat hoort vóór het incident op papier te staan.

Voor veel organisaties is het eerlijke antwoord op die vijf vragen dat ze het niet zelf gaan doen. Dat is geen nederlaag maar een uitkomst. Een gehoste Europese maildienst met een expliciete patch- en logafspraak levert meer echte soevereiniteit op dan een eigen server waar niemand naar kijkt. Niet voor niets regel je e-mail bij een overstap naar een soevereine werkplek bewust apart van bestanden en samenwerking: het is het gevoeligste onderdeel en de plek waar de meeste migraties stranden. De reden die daarbij meestal wordt genoemd is bezorgbaarheid, dat je facturen niet in de spambox belanden. Sinds deze zomer is er een tweede reden bij gekomen, en die weegt zwaarder.

Controle is werk, geen eigenschap

Een eigen brievenbus aan de muur is niet veiliger dan een postbus bij het postkantoor. Hij is anders: jij bepaalt wie de sleutel heeft, en jij bent ook degene die merkt dat het slot is geforceerd. Of niet merkt. Die afweging is de moeite waard om te maken, want waar je data staat en van wie je software is, is geen politiek standpunt maar een bedrijfsrisico, en dat risico spreiden blijft verstandig.

Maar controle is geen eigenschap die je aanzet door de server te verhuizen. Het is werk dat elke week opnieuw gedaan wordt, door iemand met een naam, betaald uit een regel op een begroting. Staat dat werk nergens vastgelegd, dan heb je geen soevereiniteit gekocht. Dan heb je alleen je verdediging opgezegd.