4. Resultaten e-mailscans

4.1 Introductie

De scan van Internet.nl test of websites, mailservers en internetverbindingen aan de moderne internetstandaarden voldoen. In het vorige hoofdstuk is de analyse van de resultaten van de websitescans besproken. In dit hoofdstuk komen de resultaten van de e-mailscans aan bod. Van de e-mail zijn tot nu toe drie scans uitgevoerd, namelijk de scan van april en december 2023 en de scan van april 2024. Er kan daarom nog geen lange ontwikkeling besproken worden.

De e-mail-analyse van Internet.nl bevat vijf categorieën:

• IPv6: bereikbaarheid via een modern internetadres.

• DNSSEC: gebruik van een ondertekende domeinnaam.

• Authenticiteit: protectie tegen e-mail phishing.

• STARTTLS en DANE: beveiligde e-mail transport.

• RPKI: Authenticiteit voor routering Applicatie-beveiligingsopties.

De laatste categorie is pas in 2022 toegevoegd. De score per categorie wordt bepaald met verschillende losse testen die binnen de categorie vallen. In dit hoofdstuk worden de resultaten per categorie gepresenteerd; in Appendix 4 worden de resultaten van alle onderliggende testen gegeven die per categorie uitgevoerd zijn. Een overzicht van de vijf categorieën met de bijbehorende subtesten kan in Tabel A.3.1 gevonden worden.

In sectie 4.2 wordt eerst naar de gemiddelde Internet.nl-eindscores en de gemiddelde scores per categorie per bedrijfsgrootteklasse en bedrijfstak gekeken. Daarna wordt in paragraaf 4.3 nog de verdeling van alle eindscores laten zien.

4.2 Resultaten van Internet.nl per bedrijfsgrootteklasse en -tak

4.2.1 Eindscore niet afhankelijk van bedrijfsgrootte, wel van bedrijfstak

In figuren 4.2.1(a) en 4.2.1(b) wordt per bedrijfsgrootteklasse en bedrijfstak voor 2023 en 2024 de verdeling van de eindscores van e-mailscan via Internet.nl getoond. De gemiddelde eindscore per bedrijfsgrootte (figuur 4.2.1(a)) is in beide jaren vrij constant over de bedrijfsgrootteklassen met een waarde van ronde de 60 procent. Figuur 4.2.1(b) toont de gemiddelde eindscore per bedrijfstak. De gemiddelde eindscore varieert in 2024 van 58,1 procent voor de bedrijfstak ‘Bouwnijverheid’ tot 63,7 procent voor de bedrijfstak ‘Horeca’. In meer dan de helft van de bedrijfstakken zijn de eindscores in 2024 gedaald in vergelijking met 2023, waarbij de grootste daling te zien is in de Bouwnijverheid.

4.2.2 Uitkomsten van de e-mailscan per categorie

De eindscore die nu bekeken is, wordt samengesteld uit de onderliggende testen zoals in tabel A.3.1 gegeven worden. Deze testen zijn in vijf categorieën opgedeeld: IPv6, DNSSEC, STARTTLS Authenticiteit, en RPKI. Als een bedrijf voldoende testen binnen een categorie goed heeft, zal de categorie van de e-mailscan door Internet.nl met ‘geslaagd’ aangeduid worden. In de figuren 4.2.2,  4.2.3,  4.2.5,  4.2.4 en 4.2.6 wordt voor de vijf categorieën het percentage van geslaagde bedrijven met website per bedrijfsgrootteklasse en bedrijfstak getoond. Terwijl de eindscores weinig per bedrijfsgrootteklasse en bedrijfstak variëren, is nu te zien dat er wel aanzienlijke verschillen per categorie zijn die we nu zullen bespreken.

De uitslag van een categorie wordt bepaald met de uitkomsten van de onderliggende testen die door een scan van Internet.nl uitgevoerd wordt. De uitkomsten van alle onderliggende testen worden in de appendix C gegeven in de figuren C.1.1 tot en met C.5.4. In deze figuren is terug te vinden voor welke testen de verschillen tussen de verschillende bedrijfsgrootteklassen ontstaan. Hieronder worden de resultaten per categorie besproken en waar nodig naar de belangrijkste subtesten verwezen.

Categorie IPv6

De categorie IPv6 geeft aan in hoeverre een mailserver bereikbaar is via een modern internetadres. Figuur 4.2.2(a). Gemiddeld slaagt 28,7 procent van de bedrijven met een website met 2 of meer werknemers voor de categorie IPv6. Opvallend is dat de score voor grotere bedrijfsgrootteklassen afneemt; zo slaagt van de bedrijven met 50 tot 250 werknemers nog maar 14,5 procent voor de categorie IPv6.

De uitsplitsing van de categorie IPv6 naar bedrijfstak, zoals weergegeven in figuur 4.2.2(b) laat zien dat Horeca de best scorende bedrijfstak is, met ruim 45 procent van de bedrijven die slagen voor deze categorie. Daarentegen presteert de Bouwnijverheid gemiddeld gezien aanzienlijk slechter op dit gebied, met slechts 10,2 procent van de bedrijven die slagen. In vergelijking met 2023 vertonen vrijwel alle bedrijfstakken in 2024 lagere scores, met uitzondering van de Financiële dienstverlening, die een stijging van ruin 7 procentpunten laat zien.

Categorie DNSSEC

De categorie DNSSEC geeft aan of het e-maildomein met een geldige handtekening ondertekend is. Figuur 4.2.3(a) laat zien dat 28,7 procent van de kleine bedrijven met 2 tot 10 werkzame personen slaagt voor de categorie DNSSEC. Bedrijven met website met 50 tot 250 werknemers zitten daar behoorlijk onder: 8,2 procent van deze groep slaagt in 2024 voor de categorie DNSSEC.

De categorie wordt in het geval van DNSSEC bepaald door maar vier onderliggende testen: DNSSEC aanwezig voor het e-maildomein (figuur C.2.1), DNSSEC geldig voor e-maildomein (figuur C.2.2), DNSSEC aanwezig voor mailserver (figuur C.2.3) en DNSSEC geldig voor mailserver (figuur C.2.4). Aan de subtesten is te zien dat voornamelijk laag gescoord wordt op de aanwezigheid van DNSSEC voor de mailserver.

Categorie Authenticiteit

Bij de categorie Authenticiteit wordt gekeken hoe goed bedrijven e-mailoplichting proberen te voorkomen door het toepassen van de juiste authenticatie mechanismes zoals DMARC, DKIM en SPF. Voor de categorie ‘Authenticiteit’, getoond in figuur 4.2.4, is het opvallend dat grote bedrijven een stuk beter scoren dan kleine bedrijven. Van alle bedrijven met website met 2 of meer werknemers slaagde 13,2 procent voor deze categorie. Dit lage percentage wordt voornamelijk veroorzaakt door de lage score voor kleine bedrijven. Zo slaagde slechts 11,2 procent van de bedrijven met website met 2 tot 10 werknemers voor de categorie ‘Authenticate’. Grote bedrijven score in dit geval een stuk beter: 44,8 procent van de bedrijven met website met 250 of meer werknemers slaagt voor de categorie ‘Authenticatie’. De slagingspercentages per bedrijfstak getoond in figuur 4.2.4(b) laat dezelfde omkering zien; zo scoort de bedrijfstak ‘Vervoer/Opslag’ voor de categorieën IPv6 en DNSSEC relatief slecht (ten op zicht van de andere bedrijfstakken), terwijl het voor de categorie ‘Authenticatie’ met 23,5 procent geslaagde bedrijven de beste scorende bedrijfstak is.

De onderliggende subtesten van de categorie Authenticatie worden gegeven in de bijlage C sectie C.3. Per subtest wordt een stuk beter gescoord dan het resultaat van de hele categorie. Figuur C.3.1 en C.3.2 rapporteren hoeveel bedrijven DMARC (Domain-based Message Authentication, Reporting, and Conformance) toepassen. Met DMARC kunnen ontvangende e-mailsystemen mails vertrouwen die door het bedrijf verstuurd worden. Het is te zien dat 50,3 procent van de bedrijven met website met twee of meer werknemers DMARC heeft (figuur C.3.1), maar slecht 13,6 procent van de bedrijven met website met twee werknemers heeft DMARK met een voldoende strikt beleid (figuur C.3.2). Grote bedrijven met 250 of meer werknemers hebben DMARC het best op orde, met 44,1 procent van de grote bedrijven met website die DMARC hebben met een voldoende strikt beleid.

Ook DKIM (DomainKeys Identified Mail) wordt gebruikt om e-mails te authenticeren. Figuur C.3.3(a) laat zien dat 78,5 procent van de bedrijven met website met 2 of meer werknemers DKIM op hun mailserver heeft. Verder is te zien dat de verschillen tussen grote en kleine bedrijven klein zijn: Figuur C.3.3(b) laat zien dat de ‘ICT-sector’ voorop loopt met het gebruik van DKIM, alhoewel de verschillen per bedrijfstak verder ook bijna niet groot zijn.

Ten slotte laten figur C.3.4 en C.3.5 zien welke bedrijven SPF gebruiken. SPF (Sender Policy Framework) wordt gebruikt om te valideren of uitgaande e-mails die vanaf het aangepaste domein verzonden worden, daadwerkelijk afkomstig zijn van de persoon die het zegt te zijn. Deze test valt ook in de categorie authenticatie. Van de bedrijven met website met 2 of meer werknemers heeft 86,6 procent SPF op de server (figuur C.3.4(a)). De verschillen tussen de bedrijfsgrootteklassen zijn weer niet groot: van de kleine bedrijven slaagt 84,8 procent voor deze test, terwijl dat voor de grote bedrijven (250 of meer werknemers) 97,4 procent is. Figuur C.3.4(b) laat zien dat de sector ‘Energie/water/afval’ weer het meest van SPF gebruik maakt, met alle bedrijven met website die SPF gebruiken.

Figuur C.3.5 geeft weer aan welke deel van de bedrijven SPF ook met een voldoende strikt beleid gebruiken. Het gaat om dit geval om 79,6 procent van de bedrijven met website met 2 of meer werknemers die hier aan voldoet.

Dat grote bedrijven beter scoren op de categorie beveiligde e-mailtransport is goed te begrijpen, omdat e-mailspoofing[voetnoot: E-mailspoofing is een techniek gebruikt voor spammail en phishing-aanvallen om de e-mail van de verzender te vervalsen, zodat het lijkt alsof de mail door een ander bedrijf verstuurd is.] van grote bedrijven aantrekkelijker is voor cybercriminelen. Ze kunnen zich bijvoorbeeld per mail voordoen als een bank om het slachtoffer te overtuigen geld over te maken. Bovendien kan het voor grote bedrijven ook meer imagoschade tot gevolg hebben, dus er is veel aan gelegen om zich hier zo goed mogelijk tegen te beschermen.

Categorie beveiligde e-mailtransport (STARTTLS en DANE)

Bij de categorie ‘Beveiligde e-mailtransport’ wordt gekeken in hoeverre verzendende mailservers die versleutelde e-mails versturen ook een beveiligde connectie met de mailserver van het bedrijf kunnen maken. STARTTLS voorkomt dat passieve aanvallers mails kunnen lezen terwijl de naar de mailserver onderweg is. Met DANE wordt bescherming tegen actieve aanvallers die proberen de STARTTLS te omzeilen door het e-mailverkeer te manipuleren. Figuur 4.2.5 toont per grootteklasse en bedrijfstak het percentage bedrijven dat slaagt voor deze categorie. In figuur 4.2.5(a) is te zien dat de van de bedrijven met website met 2 of meer werknemers 14,7 procent slaagt voor de categorie ‘Beveiligde e-mailtransport’. Dit keer zijn de kleine bedrijven weer beste scorende bedrijfsgrootteklasse: 16,7 procent van de bedrijven met website met 2 tot 10 werknemers slaagt voor deze test. Van de grote bedrijven met website met 50 tot 250 werknemers slaagt slechts 3,1 procent van de bedrijven.

De onderliggende subtesten van deze categorie worden in bijlage C.4 gegeven. Zoals hiervoor bepaalt de slechts scorende subtest weer de uitslag van de categorie zelf. De testen die samenhangen met STARTTLS zijn niet beperkend: in figuur C.4.1 is bijvoorbeeld te zien dat rond de 91 procent slaagt voor de test ‘STARTTLS beschikbaar voor de ontvangende mailserver’. De beperking wordt door de testen op DANE opgelegd. Figuur C.4.13 laat bijvoorbeeld zien dat maar 16 procent van de bedrijven met website met 2 of meer werknemers slaagt voor de STARTTLS test ‘DANE bestaat’ en dat dit voor bedrijven met 50 tot 250 werknemers zelfs slechts 4,6 procent is.

Categorie autorisatie voor Routering (RPKI)

Als laatste wordt naar de categorie RPKI gekeken in figuur 4.2.6. Deze categorie test of een website een route-aankondiging heeft die kan worden gematcht aan de gepubliceerde route-autorisatie (RPKI). Van alle bedrijven met website met 2 of meer werknemers slaagt 80,5 procent voor deze categorie (zie figuur 4.2.6(a)). Figuur 4.2.6(b) laat zien dat de ‘Vervoer/Opslag’ met 91,6 procent het meeste voor deze categorie slaagt. Geen van de bedrijfstakken komt onder de 60 procent.

4.3 Verdelingen van de eindscores van de e-mailscan van alle bedrijven

4.3.1 Verdeling van de email-scan Internet.nl-score voor april 2024

Alhoewel de gemiddelde score voor de e-mailscan van alle websites van bedrijven in Nederland zo rond de 60 procent ligt, is hierboven al geconstateerd dat de uitslag voor de verschillende categorieën wel per bedrijfsgrootteklasse en bedrijfstak varieert. In deze paragraaf wordt gekeken naar de spreiding van de eindscores van de e-mailscan over alle bedrijven heen.

De verdeling van de eindscores van de mail-scan van april 2024 wordt voor alle bedrijven in Nederland in figuur 4.3.1 getoond[voetnoot: De verdelingen van alle jaren worden in de appendix 4.3 gegeven; de cijfers van de percentielen zijn wel in tabel 4.3.2 terug te vinden]. In figuur 3.3.1 zijn verder nog drie kwartielen Q1, Q2, en Q3 weergegeven. De verdeling van de overige jaren wordt in appendix C.6 gegeven (figuur B.6.1).

4.4 Welke bedrijven hebben de hoogste en laagste score voor de e-mailscan?

In figuur 4.4.1 en figuur 4.4.2 worden tenslotte de bedrijven met hoogste eindscores voor de e-mails per bedrijfsgrootteklasse en bedrijfstak weergegeven. Net als bij de websitescan in sectie 3.4 is weer te zien dat kleine bedrijven vaker een score van 90 procent of hoger halen dan grote bedrijven (figuur 4.4.1(a)). Ruim één op de tien (11,0 procent) van de bedrijven met 2 tot 10 werknemers heeft een website met een eindscore voor de e-mailscan van 90 procent of meer, terwijl dat voor bedrijven met 50 tot 250 werknemers slechts 2,1 procent is. De verdeling over de bedrijfstakken van de bedrijven die een Internet.nl eindscore van 90 procent of meer halen (figuur 4.4.1(b)) laat zien dat de Horeca de best scorende bedrijfstak is, met 20,2 procent van de bedrijven met een website die en Internet.nl-eindscore voor de e-mailtest van 90 procent of meer halen.

In figuur 4.4.2 wordt gekeken naar het percentage bedrijven dan een eindscore voor de e-mailtest op Internet.nl van 100 procent haalt. Per bedrijfsgrootteklasse (figuur 4.4.2(a)) is te zien dat nog maar heel weinig bedrijven een 100 procent score voor de e-mail server halen. Bedrijven met 10 to 50 werknemers doen het met 2,4 procent van de bedrijven met een 100 procent score nog het best, maar gemiddeld haalt maar 0,5 procent van de bedrijven met een website met 50 tot 250 werknemers een 100 procent score voor de e-mailscan. Als naar de verdeling per bedrijfstak gekeken wordt (figuur 4.4.2(b)), is te zien dat met name de Vervoerssector hier nog het beste scoort: 4,4 procent van de bedrijven met een website in de ‘Vervoer en opslag’ halen een 100 procent score voor de e-mailtest op Internet.nl.

Ten slotte wordt in figuur 4.4.3(a) gekeken naar de bedrijven die juist laag scoren voor de e-mailtest op Internet.nl. Bijna 10 procent van de bedrijven met een website met 2 of meer werknemers heeft een eindscore voor de e-mailtest van 40 procent of minder. De groep is iets kleiner voor grote bedrijven, met maar 4,6 procent van de bedrijven met een website die een eindscore van 40 procent of minder halen voor de e-mail test. In figuur 4.4.3(b) is te zien dat 12,8 procent van de bedrijven met een website in de Financiële dienstverlening een eindscore van 40 procent of minder behaalt. Deze groep is niet alleen goed vertegenwoordigd bij de bedrijven met een 90 procent score of hoger, maar ook vrij ruim vertegenwoordigd bij de bedrijven me‘ een lage score voor de e-mailtest.