Waarom datasoevereiniteit begint bij e-mailbeveiliging – en hoe DANE en MTA-STS het verschil maken

Iedereen praat over datasoevereiniteit. Maar waarom begint niemand bij het laaghangend fruit?

Datasoevereiniteit is hot. De nieuwsbladen en LinkedIn staan er vol mee, overheidsbeleid verwijst ernaar, conferenties hebben het als hoofdonderwerp, en CISO’s gebruiken het steeds vaker als strategisch uitgangspunt. Terecht. Organisaties willen en móéten absolute zeggenschap houden over hun vertrouwelijke informatie. Niet alleen vanwege de Cloud Act, maar ook vanwege NIS2, DORA en de snel toenemende dreiging van digitale spionage en sabotage.

Daarom lanceerde Zivver samen met Kiteworks recent het Private Data Network (PDN): een volledig soevereine, veilige én werkbare oplossing voor communicatie en gegevensuitwisseling.

Tegelijkertijd zien we een ongemakkelijke paradox: iedereen praat over datasoevereiniteit, maar vrijwel geen enkele organisatie heeft de basis nog op orde.

In deze blog:

• Leggen we uit waarom emailbeveiliging belangrijk is voor datasoevereiniteit;
• Waarom TLS (zoals STARTTLS) onvoldoende bescherming biedt;
• Wat DANE en MTA-STS wél oplossen – en waarom ze zelden goed worden toegepast;
• Hoe Microsoft en Google hiermee omgaan;
• Waarom fallback en afdwinging cruciaal zijn voor werkbare e-mailbeveiliging;
• En hoe Zivver veilige communicatie met fallback mogelijk maakt.

Echte datasoevereiniteit begint met veilige e-mail – en daar wringt het vaak

Mijn inschatting: minder dan 1% van de organisaties heeft zijn e-mailbeveiliging geregeld volgens de standaarden die het Forum Standaardisatie al jaren aanbeveelt.

Toch is bij het overgrote deel van de organisaties de e-mailbeveiliging niet op orde. De reden? Onwetendheid, onderschatting van de risico’s, of het idee dat het ‘te veel gedoe’ is.

Wat zijn de gevolgen? Gevoelige e-mails kunnen ongemerkt worden onderschept, omgeleid of door buitenlandse partijen meegelezen worden. Denk aan strategische overheidsinformatie, patiëntgegevens of bedrijfsgeheimen die via onveilige routes bij de verkeerde partij terechtkomen.

En dát staat haaks op het idee van digitale soevereiniteit. Je kunt niet spreken van controle over je eigen data, als je de infrastructuur die je dagelijks gebruikt om die data te delen – namelijk e-mail – niet eens beschermt tegen de meest basale vormen van interceptie. Soevereiniteit betekent immers: zelf bepalen wie er bij je data kan.

Wat is TLS-versleuteling – en waarom is het onvoldoende voor vertrouwelijke e-mails?

Vrijwel alle organisaties vertrouwen bij e-mail op opportunistische TLS, STARTTLS geheten. TLS is een protocol dat zorgt voor versleutelde communicatie tussen twee servers, zoals bij het verzenden van e-mail.

Maar STARTTLS heeft fundamentele gebreken:

• Geen zekerheid over gebruik: als de ontvangende server geen TLS ondersteunt, valt de verbinding automatisch terug op onversleuteld verzenden.
• Geen zekerheid over de ontvangende server: STARTTLS biedt geen authenticatie van de ontvangende server.

Zoals het NCSC al jaren waarschuwt: “Een actieve aanvaller kan het gebruik van STARTTLS eenvoudig ongedaan maken.”

Waarom TLS bij Microsoft en Google tekortschiet

Recent onderzoek toont aan dat Microsoft 365 en Google Workspace geen gegarandeerde veilige e-maillevering bieden—zelfs niet als "force TLS" is ingeschakeld.

DANE en MTA-STS lossen de kwetsbaarheden van TLS op – maar weinig organisaties passen ze goed toe

Gelukkig zijn er standaarden die dit probleem wél oplossen:

• DANE
• MTA-STS

DANE wordt door zowel het Forum Standaardisatie, alsmede door de Europese Commissie sterk aanbevolen als standaard voor de beveiliging van e-mail op transportniveau.

Microsoft ondersteunt sinds 2024 inkomende DANE – maar afdwingen bij verzenden in M365 is nog altijd onmogelijk

Microsoft en Google ondersteunen MTA-STS al een paar jaar.

Toch is de adoptie bedroevend laag: minder dan 30% van de domeinen in Nederland ondersteunt DANE.

Zonder fallback geen veilige communicatie – en geen werkbare e-mailworkflow

Als je DANE of MTA-STS toch weet af te dwingen en de ontvanger ondersteunt het niet, dan wordt je e-mail simpelweg niet bezorgd. De verzender krijgt een bounce.

Met andere woorden: de workflow loopt volledig vast.

Het toepassen van veilige e-mailstandaarden kán eenvoudig met de juiste infrastructuur

Als je met een goede aanvullende oplossing voor Veilig Mailen werkt, kan het afdwingen van standaarden zoals DANE en MTA-STS snel geregeld zijn. Technisch is dit vaak in een paar uur geregeld.

Schijnveiligheid in e-mail: veel organisaties denken veilig te mailen, maar doen dit niet

Sommige organisaties, leveranciers of partners claimen dat zij, of hun klanten, e-mail wel ‘veilig’ verzenden via DANE of MTA-STS. Maar als je doorvraagt, blijkt dat ze:

• Alleen maar veilige mail gebruiken als een medewerker zelf op de juiste knop drukt.
• En/of opportunistisch DANE of MTA-STS gebruiken, zonder afdwinging.

Datasoevereiniteit begint bij e-mailbeveiliging en niet bij dure prestigeprojecten

Wat wringt, is dit: organisaties praten enthousiast over datasoevereiniteit. Allemaal belangrijk en begrijpelijk, maar als het fundament van veilige communicatie ontbreekt, blijft het symboolpolitiek.

Conclusie: datasoeverein werken begint met e-mailbeveiliging volgens standaarden zoals DANE

Iedereen praat over datasoevereiniteit. Maar als je het écht meent en wilt, begin dan niet met prestigeprojecten. Begin met het afdwingen van veilige e-mail. Begin met DANE.