Toepassing van Internetstandaarden voor websites van bedrijven

4. Resultaten e-mailscans

4.1 Introductie

De scan van Internet.nl test of websites, mailservers en internetverbindingen aan de moderne internetstandaarden voldoen. In het vorige hoofdstuk is de analyse van de resultaten van de websitescans besproken. In dit hoofdstuk komen de resultaten van de e-mailscans aan bod. Van de e-mail is pas één scan uitgevoerd, namelijk de scan van april 2023. Er kan daarom nog geen trendontwikkeling besproken worden.

De e-mail-analyse van Internet.nl bevat vijf categorieën:

  • IPv6: bereikbaarheid via een modern internetadres.

  • DNSSEC: gebruik van een ondertekende domeinnaam.

  • Authenticiteit: protectie tegen e-mail phishing.

  • STARTTLS en DANE: beveiligde e-mail transport.

  • RPKI: Authenticiteit voor routering Applicatie-beveiligingsopties.

De laatste categorie is pas in 2022 toegevoegd. De score per categorie wordt bepaald met verschillende losse testen die binnen de categorie vallen. In dit hoofdstuk worden de resultaten per categorie gepresenteerd; in Appendix 4 worden de resultaten van alle onderliggende testen gegeven die per categorie uitgevoerd zijn. Een overzicht van de vijf categorieën met de bijbehorende subtesten kan in Tabel A.3.1 gevonden worden.

In sectie 4.2 wordt eerst naar de gemiddelde Internet.nl-eindscores en de gemiddelde scores per categorie per bedrijfsgrootteklasse en bedrijfstak gekeken. Daarna wordt in paragraaf 4.3 nog de verdeling van alle eindscores laten zien.

4.2 Resultaten van Internet.nl per bedrijfsgrootteklasse en -tak

Eindscore niet afhankelijk van bedrijfsgrootte, wel van bedrijfstak

In figuren 4.2.1(a) en 4.2.1(b) wordt per bedrijfsgrootteklasse en bedrijfstak voor 2023 de verdeling van de eindscore van e-mailscan via Internet.nl getoond. De gemiddelde eindscore per bedrijfsgrootte (figuur 4.2.1(a)) is vrij constant over de bedrijfsgrootteklassen met een waarde van ronde de 60 procent. Figuur 4.2.1(b) toont de gemiddelde eindscore per bedrijfstak. De gemiddelde eindscore varieert van 53.3 procent voor de bedrijfstak ‘Energie/water/afval’ tot 66,5 procent voor de bedrijfstak ‘Verhuur/overige zakelijk dienstverlening’.

Uitkomsten van de e-mailscan per categorie

De eindscore die nu bekeken is, wordt samengesteld uit de onderliggende testen zoals in tabel A.3.1 gegeven worden. Deze testen zijn in vijf categorieën opgedeeld: IPv6, DNSSEC, STARTTLS Authenticiteit, en RPKI. Als een bedrijf voldoende testen binnen een categorie goed heeft, zal de categorie van de e-mailscan door Internet.nl met ‘geslaagd’ aangeduid worden. In de figuren 4.2.2,  4.2.3,  4.2.5,  4.2.4 en 4.2.6 wordt voor de vijf categorieën het percentage van geslaagde bedrijven met website per bedrijfsgrootteklasse en bedrijfstak getoond. Terwijl de eindscores weinig per bedrijfsgrootteklasse en bedrijfstak variëren, is nu te zien dat er wel aanzienlijke verschillen per categorie zijn die we nu zullen bespreken.

De uitslag van een categorie wordt bepaald met de uitkomsten van de onderliggende testen die door een scan van Internet.nl uitgevoerd wordt. De uitkomsten van alle onderliggende testen worden in de appendix C gegeven in de figuren C.1.1 tot en met C.5.4. In deze figuren is terug te vinden voor welke testen de verschillen tussen de verschillende bedrijfsgrootteklassen ontstaan. Hieronder worden de resultaten per categorie besproken en waar nodig naar de belangrijkste subtesten verwezen.

Categorie IPv6

De categorie IPv6 geeft aan in hoeverre een mailserver bereikbaar is via een modern internetadres. Figuur 4.2.2(a) laat zien dat ZZP’ers met een website het beste score voor de categorie IPv6. Gemiddeld slaagt 30,8 procent van de bedrijven met een website met 2 of meer werknemers voor de categorie IPv6, terwijl dit 47,6 procent van de ZZP’ers met een website is. Opvallend is dat de score voor grotere bedrijfsgrootteklasses toeneemt; zo slaagt van de bedrijven met 250 of meer werknemers nog maar 12,3 procent voor de categorie IPv6.

De uitsplitsing van de categorie IPv6 naar bedrijfstak getoond in figuur 4.2.2(b) laat zien dat de bedrijfstakken ‘ICT-sector’ en bedrijfstak ‘Verhuur/overige zakelijke dienstverlening’ het ondersteunen van IPv6 goed op orde hebben: rond de 50 procent van deze bedrijven slaagt voor deze categorie. De sector ’Verhuur onroerend goed’ doet het juist gemiddeld gezien een stuk slechter op dit gebied, met 18,5 procent van de bedrijven met een website met twee of meer werknemers die slaagt voor de categorie IPv6.

Categorie DNSSEC

De categorie DNSSEC geeft aan of het e-maildomein met een geldige handtekening ondertekend is. Figuur 4.2.3(a) laat zien ZZP’ers met 40,5 procent van de bedrijven het meest slagen voor categorie DNSSEC, gevolgd door kleine bedrijven met 2 tot 10 werkzame personen waarvan 30,0 procent slaagt voor de categorie DNSSEC. Bedrijven met website met 50 tot 250 werknemers zitten daar behoorlijk onder: 8,9 procent van deze groep slaagt in 2023 voor de categorie DNSSEC.

De categorie wordt in het geval van DNSSEC bepaald door maar vier onderliggende testen: DNSSEC aanwezig voor het e-maildomein (figuur C.2.1), DNSSEC geldig voor e-maildomein (figuur C.2.2), DNSSEC aanwezig voor mailserver (figuur C.2.3) en DNSSEC geldig voor mailserver (figuur C.2.4). Aan de subtesten is te zien dat voornamelijk laag gescoord wordt op de aanwezigheid van DNSSEC voor de mailserver. ZZP’ers score weer het hoogst, met 49,1 procent van de ZZP’ers die DNSSEC op de ontvangende mailserver hebben. Voor de bedrijfstakken (figuur C.2.4(b)) slagen bedrijven uit de sector ‘Gezondheid en zorg’ het meest voor deze test, met 55 procent geslaagde bedrijven.

Categorie Authenticiteit

Bij de categorie Authenticiteit wordt gekeken hoe goed bedrijven e-mailoplichting proberen te voorkomen door het toepassen van de juiste authenticatie mechanismes zoals DMARC, DKIM en SPF. Voor de categorie ‘Authenticiteit’, getoond in figuur 4.2.4, is is het opvallend dat grote bedrijven deze keer een stuk beter score dan kleine bedrijven en ZZP’ers. Van alle bedrijven met website met 2 of meer werknemers slaagde 7,1 procent voor deze categorie. Dit lage percentage wordt voornamelijk veroorzaakt door de lage score voor kleine bedrijven. Zo slaagde slechts 5,2 procent van de bedrijven met website met 2 tot 10 werknemers voor de categorie ‘Authenticate’. Grote bedrijven score in dit geval een stuk beter: 37,4 procent van de bedrijven met website met 250 of meer werknemers slaagt voor de categorie ‘Authenticatie’. De slagingpercentages per bedrijfstak getoond in figuur 4.2.4(b) laat dezelfde omkering zien; zo scoort de bedrijfstak ‘Financiële dienstverlening’ voor de categorieën IPv6 en DNSSEC relatief slecht (ten op zicht van de andere bedrijftakken), terwijl het voor de categorie ‘Authenticatie’ met 16 procent geslaagde bedrijven de beste scorende bedrijfstak is.

De onderliggende subtesten van de categorie Authenticatie worden gegeven in de bijlage C sectie C.3. Per subtest wordt een stuk beter gescoord dan het resultaat van de hele categorie. Figuur C.3.1 en C.3.2 rapporteren hoeveel bedrijven DMARC (Domain-based Message Authentication, Reporting, and Conformance) toepassen. Met DMARC kunnen ontvangende e-mailsystemen mails vertrouwen die door het bedrijf verstuurd worden. Het is te zien dat 39,8 procent van de bedrijven met website met twee of meer werknemers DMARC heeft (figuur C.3.1), maar slecht 7,1 procent van de bedrijven met website met twee werknemers heeft DMARK met een voldoende strict beleid (figuur C.3.2). Grote bedrijven met 250 of meer werknemers hebben DMARC het best op orde, met 36,8 procent van de grote bedrijven met website die DMARC hebben met een voldoende strict beleid.

Ook DKIM (DomainKeys Identified Mail) wordt gebruikt om e-mails te authenticeren. Figuur C.3.3(a) laat zien dat 75,6 procent van de bedrijven met website met 2 of meer werknemers DKIM op hun mailserver heeft. Verder is te zien dat de verschillen tussen grote en kleine bedrijven klein zijn: Figuur C.3.3(b) laat zien dat de ‘Bouwnijverheid’ voorop loopt met het gebruik van DKIM, alhoewel de verschillen per bedrijftak verder ook niet groot zijn.

Ten slotte laten figur C.3.4 en C.3.5 zien welke bedrijven SPF gebruiken. SPF (Sender Policy Framework) wordt gebruikt om te valideren of of uitgaande e-mails die vanaf het aangepaste domein verzonden worden, daadwerkelijk afkomstig zijn van de persoon die het zegt te zijn. Deze test valt ook in de categorie authenticatie. Van de bedrijven met website met 2 of meer werknemers heeft 83,9 procent SPF op de server (figuur C.3.4(a)). De verschillen tussen de bedrijfsgrootteklassen zijn weer niet groot: van de kleine bedrijven slaagt 81,9 procent voor deze test, terwijl dat voor de grote bedrijven (250 of meer werknemers) 97 procent is. Figuur C.3.4(b) laat zien dat de sector ‘Financiële dienstverlening’ weer het meest van SPF gebruik maakt, met 95,0 procent van de bedrijven met website die SPF gebruiken.

Figuur C.3.5 geeft weer aan welke deel van de bedrijven SPF ook met een voldoende strict beleid gebruiken. Het gaat om dit geval om 74,8 procent van de bedrijven met website met 2 of meer werknemers die hier aan voldoet.

Dat grote bedrijven beter scoren op de categorie beveiligde e-mailtransport is goed te begrijpen, omdat e-mailspoofing3) van grote bedrijven aantrekkelijker is voor cybercriminelen. Ze kunnen zich bijvoorbeeld per mail voordoen als een bank om het slachtoffer te overtuigen geld over te maken. Bovendien kan het voor grote bedrijven ook meer imageschade tot gevolg hebben, dus er is veel aan gelegen om zich hier zo goed mogelijk tegen te beschermen.

Categorie beveiligde e-mailtransport (STARTTLS en DANE)

Bij de categorie ‘Beveiligde e-mailtransport’ wordt gekeken in hoeverre verzendende mailservers die versleutelde e-mails versturen ook een beveiligde connectie met de mailserver van het bedrijf kunnen maken. STARTTLS voorkomt dat passieve aanvallers mails kunnen lezen terwijl de naar de mailserver onderweg is. Met DANE wordt bescherming tegen actieve aanvallers die proberen de STARTTLS te omzeilen door het e-mailverkeer te manipuleren. Figuur 4.2.5 toont per grootteklasse en bedrijftak het percentage bedrijven dat slaagt voor deze categorie. In figuur 4.2.5(a) is te zien dat de van de bedrijven met website met 2 of meer werknemers 16,3 procent slaagt voor de categorie ‘Beveiligde e-mailtransport’. Dit keer zijn de kleine bedrijven weer beste scorende bedrijfsgrootteklasse: 18,9 procent van de bedrijven met website met 2 tot 10 werknemers slaagt voor deze test; voor ZZP’ers is dat zelfs 25,2 procent. Van de grote bedrijven met website met 50 tot 250 werknemers slaagt slechts 2,4 procent van de bedrijven.

De onderliggende subtesten van deze categorie worden in bijlage C.4 gegeven. Zoals hiervoor bepaalt de slechts scorende subtest weer de uitslag van de categorie zelf. De testen die samenhangen met STARTTLS zijn niet beperkend: in figuur C.4.1 is bijvoorbeeld te zien dat rond de 90 procent slaagt voor de test ‘STARTTLS beschikbaar voor de ontvangende mailserver’. De beperking wordt door de testen op DANE opgelegd. Figuur C.4.13 laat bijvoorbeeld zien dat maar 17 procent van de bedrijven met website met 2 of meer werknemers slaagt voor de STARTTLS test ‘DANE bestaat’ en dat dit voor bedrijven met 50 tot 250 werknemers zelfs slechts 3,1 procent is.

Categorie autorisatie voor Routering (RPKI)

Als laatste wordt naar de categorie RPKI gekeken in figuur 4.2.6. Deze categorie test of een website een route-aankondiging heeft die kan worden gematcht aan de gepubliceerde route-autorisatie (RPKI). Van alle bedrijven met website met 2 of meer werknemers slaagt 69,2 procent voor deze categorie (zie figuur 4.2.6(a)). Figuur 4.2.6(b) laat zien dat de Horeca met 74,8 procent het meeste voor deze categorie slaagt. Geen van de bedrijfstakken komt onder de 60 procent, op de sector ‘Verhuur/handel onroerend goed’ na.

4.3 Verdelingen van de eindscores van de e-mailscan van alle bedrijven

Alhoewel de gemiddelde score voor de e-mailscan van alle websites van bedrijven in Nederland zo rond de 55 procent ligt, is hierboven al geconstateerd dat de uitslag voor de verschillende categorieën wel per bedrijfsgrootteklasse en bedrijfstak varieert. In deze paragraaf wordt gekeken naar de spreiding van de eindscores over alle bedrijven heen.

De verdeling van de eindscore van de e-mailscan voor alle bedrijven in Nederland is te zien in figuur 4.3.1. Het eerste kwartiel Q1 geeft aan dat 25 procent van de bedrijven een eindscore lager dan 46 procent haalt. Het tweede kwartiel Q2, ook bekend als de mediaan, geeft aan dat de helft van alle bedrijven een score hoger dan 60 procent haalt. Het derde kwartiel geeft ten slotte aan dat 25 procent van de bedrijven een score hoger dan 84 procent haalt.

4.3.1(a) Verdeling van de email-scan Internet.nl-score voor alle bedrijven van Nederland voor 2023

Figuur 4.3.1(a): Verdeling van de email-scan Internet.nl-score voor alle bedrijven van Nederland voor 2023

4.3.2 Perctielen van scorevederlingen van de Email-scans getoond in Fig. 4.3.1
Percentiel2023
2546
50 (mediaan)60
7584

In vergelijking met de Internet.nl scoreverdeling van de websitescan zoals in figuur 3.3.1 getoond was, liggen de scores voor de e-mailscans over het algemeen lager, maar het scheelt niet veel. Tabel 4.3.2 geeft de waardes voor de percentielen die in de figuren gevisualiseerd zijn.

4.4 Welke bedrijven hebben de hoogste en laagste score voor de e-mailscan?

In figuur 4.4.1 en figuur 4.4.2 worden tenslotte de bedrijven met hoogste eindscores voor de e-mails per bedrijfsgrootteklasse en bedrijfstak weergegeven. Net als bij de websitescan in sectie 3.4 is weer te zien dat kleine bedrijven vaker een score van 90 procent of hoger halen dan grote bedrijven (figuur 4.4.1(a)). Ruim één op de vijf (21,9 procent) van de ZZP’ers heeft een website met een eindscore voor de e-mailscan van 90 procent of meer, terwijl dat voor de grote bedrijven 250 of meer werknemers slechts 2,0 procent is. De verdeling over de bedrijfstakken van de bedrijven die een Internet.nl eindscore van 90 procent of meer halen (figuur 4.4.1(b)) laat zien dat Bouwnijverheid de best scorende bedrijfstak is, met 29 procent van de bedrijven met een website die en Internet.nl-eindscore voor de e-mailtest van 90 procent of meer halen.

In figuur 4.4.2 wordt gekeken naar het percentage bedrijven dan een eindscore voor de e-mailtest op Internet.nl van 100 procent haalt. Per bedrijfsgrootteklasse (figuur 4.4.2(a)) is te zien dat nog maar heel weinig bedrijven een 100 procent score voor de e-mail server halen. ZZP’ers doen het met 1,3 procent van de bedrijven met een 100 procent score nog het best, maar gemiddeld haalt maar 0.7 procent van de bedrijven met een website met 2 of meer werknemers een 100 procent score voor de e-mailscan. Als naar de verdeling per bedrijfstak gekeken wordt (figuur 4.4.2(b)), is te zien dat met name de Gezondheidssector hier nog het beste scoort: 4,7 procent van de bedrijven met een website in de Gezondheids- en welzijnszorg halen een 100 procent score voor de e-mailtest op Internet.nl. In de Bouwnijverheid haalt geen enkel bedrijf een 100 procent score, terwijl ze wel het best vertegenwoordigd zijn in de bedrijven met een 90 procent score of hoger.

Ten slotte wordt in figuur 4.4.3(a) gekeken naar de bedrijven die juist laag scoren voor de e-mailtest op Internet.nl. Bijna 15 procent van de bedrijven met een website met 2 of meer werknemers heeft een eindscore voor de e-mailtest van 40 procent of minder. De groep is iets kleiner voor grote bedrijven, met maar 8,5 procent van de bedrijven met een website die een eindscore van 40 procent of minder halen voor de e-mail test. In figuur 4.4.3(b) is te zien 30 procent van de bedrijven met website in de sector Energie /Water/Afval een eindscore van 40 procent of minder haalt, dus de groep is vrij ruim vertegenwoordigd in de laag scorende bedrijven voor de e-mailtest.

3) E‐mailspoofing is een techniek gebruikt voor spammail en phishing‐aanvallen om de email van de verzender te vervalsen, zodat het lijkt alsof de mail door een ander bedrijf verstuurd is.