4. Resultaten e-mailscans

De categorie IPv6 geeft aan in hoeverre een mailserver bereikbaar is via een modern internetadres. Figuur 4.2.2(a) laat zien dat ZZP’ers met een website het beste score voor de categorie IPv6. Gemiddeld slaagt 30,8 procent van de bedrijven met een website met 2 of meer werknemers voor de categorie IPv6, terwijl dit 47,6 procent van de ZZP’ers met een website is. Opvallend is dat de score voor grotere bedrijfsgrootteklasses toeneemt; zo slaagt van de bedrijven met 250 of meer werknemers nog maar 12,3 procent voor de categorie IPv6.

De uitsplitsing van de categorie IPv6 naar bedrijfstak getoond in figuur 4.2.2(b) laat zien dat de bedrijfstakken ‘ICT-sector’ en bedrijfstak ‘Verhuur/overige zakelijke dienstverlening’ het ondersteunen van IPv6 goed op orde hebben: rond de 50 procent van deze bedrijven slaagt voor deze categorie. De sector ’Verhuur onroerend goed’ doet het juist gemiddeld gezien een stuk slechter op dit gebied, met 18,5 procent van de bedrijven met een website met twee of meer werknemers die slaagt voor de categorie IPv6.

De categorie DNSSEC geeft aan of het e-maildomein met een geldige handtekening ondertekend is. Figuur 4.2.3(a) laat zien ZZP’ers met 40,5 procent van de bedrijven het meest slagen voor categorie DNSSEC, gevolgd door kleine bedrijven met 2 tot 10 werkzame personen waarvan 30,0 procent slaagt voor de categorie DNSSEC. Bedrijven met website met 50 tot 250 werknemers zitten daar behoorlijk onder: 8,9 procent van deze groep slaagt in 2023 voor de categorie DNSSEC.

De categorie wordt in het geval van DNSSEC bepaald door maar vier onderliggende testen: DNSSEC aanwezig voor het e-maildomein (figuur C.2.1), DNSSEC geldig voor e-maildomein (figuur C.2.2), DNSSEC aanwezig voor mailserver (figuur C.2.3) en DNSSEC geldig voor mailserver (figuur C.2.4). Aan de subtesten is te zien dat voornamelijk laag gescoord wordt op de aanwezigheid van DNSSEC voor de mailserver. ZZP’ers score weer het hoogst, met 49,1 procent van de ZZP’ers die DNSSEC op de ontvangende mailserver hebben. Voor de bedrijfstakken (figuur C.2.4(b)) slagen bedrijven uit de sector ‘Gezondheid en zorg’ het meest voor deze test, met 55 procent geslaagde bedrijven.

Bij de categorie Authenticiteit wordt gekeken hoe goed bedrijven e-mailoplichting proberen te voorkomen door het toepassen van de juiste authenticatie mechanismes zoals DMARC, DKIM en SPF. Voor de categorie ‘Authenticiteit’, getoond in figuur 4.2.4, is is het opvallend dat grote bedrijven deze keer een stuk beter score dan kleine bedrijven en ZZP’ers. Van alle bedrijven met website met 2 of meer werknemers slaagde 7,1 procent voor deze categorie. Dit lage percentage wordt voornamelijk veroorzaakt door de lage score voor kleine bedrijven. Zo slaagde slechts 5,2 procent van de bedrijven met website met 2 tot 10 werknemers voor de categorie ‘Authenticate’. Grote bedrijven score in dit geval een stuk beter: 37,4 procent van de bedrijven met website met 250 of meer werknemers slaagt voor de categorie ‘Authenticatie’. De slagingpercentages per bedrijfstak getoond in figuur 4.2.4(b) laat dezelfde omkering zien; zo scoort de bedrijfstak ‘Financiële dienstverlening’ voor de categorieën IPv6 en DNSSEC relatief slecht (ten op zicht van de andere bedrijftakken), terwijl het voor de categorie ‘Authenticatie’ met 16 procent geslaagde bedrijven de beste scorende bedrijfstak is.

De onderliggende subtesten van de categorie Authenticatie worden gegeven in de bijlage C sectie C.3. Per subtest wordt een stuk beter gescoord dan het resultaat van de hele categorie. Figuur C.3.1 en C.3.2 rapporteren hoeveel bedrijven DMARC (Domain-based Message Authentication, Reporting, and Conformance) toepassen. Met DMARC kunnen ontvangende e-mailsystemen mails vertrouwen die door het bedrijf verstuurd worden. Het is te zien dat 39,8 procent van de bedrijven met website met twee of meer werknemers DMARC heeft (figuur C.3.1), maar slecht 7,1 procent van de bedrijven met website met twee werknemers heeft DMARK met een voldoende strict beleid (figuur C.3.2). Grote bedrijven met 250 of meer werknemers hebben DMARC het best op orde, met 36,8 procent van de grote bedrijven met website die DMARC hebben met een voldoende strict beleid.

Ook DKIM (DomainKeys Identified Mail) wordt gebruikt om e-mails te authenticeren. Figuur C.3.3(a) laat zien dat 75,6 procent van de bedrijven met website met 2 of meer werknemers DKIM op hun mailserver heeft. Verder is te zien dat de verschillen tussen grote en kleine bedrijven klein zijn: Figuur C.3.3(b) laat zien dat de ‘Bouwnijverheid’ voorop loopt met het gebruik van DKIM, alhoewel de verschillen per bedrijftak verder ook niet groot zijn.

Ten slotte laten figur C.3.4 en C.3.5 zien welke bedrijven SPF gebruiken. SPF (Sender Policy Framework) wordt gebruikt om te valideren of of uitgaande e-mails die vanaf het aangepaste domein verzonden worden, daadwerkelijk afkomstig zijn van de persoon die het zegt te zijn. Deze test valt ook in de categorie authenticatie. Van de bedrijven met website met 2 of meer werknemers heeft 83,9 procent SPF op de server (figuur C.3.4(a)). De verschillen tussen de bedrijfsgrootteklassen zijn weer niet groot: van de kleine bedrijven slaagt 81,9 procent voor deze test, terwijl dat voor de grote bedrijven (250 of meer werknemers) 97 procent is. Figuur C.3.4(b) laat zien dat de sector ‘Financiële dienstverlening’ weer het meest van SPF gebruik maakt, met 95,0 procent van de bedrijven met website die SPF gebruiken.

Figuur C.3.5 geeft weer aan welke deel van de bedrijven SPF ook met een voldoende strict beleid gebruiken. Het gaat om dit geval om 74,8 procent van de bedrijven met website met 2 of meer werknemers die hier aan voldoet.

Dat grote bedrijven beter scoren op de categorie beveiligde e-mailtransport is goed te begrijpen, omdat e-mailspoofing³⁾ van grote bedrijven aantrekkelijker is voor cybercriminelen. Ze kunnen zich bijvoorbeeld per mail voordoen als een bank om het slachtoffer te overtuigen geld over te maken. Bovendien kan het voor grote bedrijven ook meer imageschade tot gevolg hebben, dus er is veel aan gelegen om zich hier zo goed mogelijk tegen te beschermen.

Bij de categorie ‘Beveiligde e-mailtransport’ wordt gekeken in hoeverre verzendende mailservers die versleutelde e-mails versturen ook een beveiligde connectie met de mailserver van het bedrijf kunnen maken. STARTTLS voorkomt dat passieve aanvallers mails kunnen lezen terwijl de naar de mailserver onderweg is. Met DANE wordt bescherming tegen actieve aanvallers die proberen de STARTTLS te omzeilen door het e-mailverkeer te manipuleren. Figuur 4.2.5 toont per grootteklasse en bedrijftak het percentage bedrijven dat slaagt voor deze categorie. In figuur 4.2.5(a) is te zien dat de van de bedrijven met website met 2 of meer werknemers 16,3 procent slaagt voor de categorie ‘Beveiligde e-mailtransport’. Dit keer zijn de kleine bedrijven weer beste scorende bedrijfsgrootteklasse: 18,9 procent van de bedrijven met website met 2 tot 10 werknemers slaagt voor deze test; voor ZZP’ers is dat zelfs 25,2 procent. Van de grote bedrijven met website met 50 tot 250 werknemers slaagt slechts 2,4 procent van de bedrijven.

De onderliggende subtesten van deze categorie worden in bijlage C.4 gegeven. Zoals hiervoor bepaalt de slechts scorende subtest weer de uitslag van de categorie zelf. De testen die samenhangen met STARTTLS zijn niet beperkend: in figuur C.4.1 is bijvoorbeeld te zien dat rond de 90 procent slaagt voor de test ‘STARTTLS beschikbaar voor de ontvangende mailserver’. De beperking wordt door de testen op DANE opgelegd. Figuur C.4.13 laat bijvoorbeeld zien dat maar 17 procent van de bedrijven met website met 2 of meer werknemers slaagt voor de STARTTLS test ‘DANE bestaat’ en dat dit voor bedrijven met 50 tot 250 werknemers zelfs slechts 3,1 procent is.

Als laatste wordt naar de categorie RPKI gekeken in figuur 4.2.6. Deze categorie test of een website een route-aankondiging heeft die kan worden gematcht aan de gepubliceerde route-autorisatie (RPKI). Van alle bedrijven met website met 2 of meer werknemers slaagt 69,2 procent voor deze categorie (zie figuur 4.2.6(a)). Figuur 4.2.6(b) laat zien dat de Horeca met 74,8 procent het meeste voor deze categorie slaagt. Geen van de bedrijfstakken komt onder de 60 procent, op de sector ‘Verhuur/handel onroerend goed’ na.