Zakelijke e-mail beveiligen: een checklist zonder vaktaal

Met tweestapsverificatie is een gestolen wachtwoord alleen niet genoeg om in te loggen. Gebruik bij voorkeur een authenticator-app, passkey of beveiligingssleutel. Sms is beter dan niets, maar gevoeliger voor misbruik.

Maak geen uitzondering voor een algemene mailbox of directeur. Juist accounts met veel toegang zijn aantrekkelijk. Controleer centraal welke gebruikers de extra stap nog niet hebben ingesteld.

Een lang, uniek wachtwoord voorkomt dat een lek bij een andere dienst ook je mailbox opent. Een wachtwoordmanager maakt dit werkbaar: die onthoudt unieke wachtwoorden en vult ze voor je in.

Deel geen account met meerdere collega's. Geef ieder een eigen login en regel toegang tot info@ of support@ via een gedeelde mailbox. Dan kun je toegang intrekken zonder voor iedereen het wachtwoord te veranderen.

Phishing is vaak geen slordige mail meer. Een bericht kan je huisstijl, naam en schrijfstijl overtuigend nadoen. Let daarom vooral op het verzoek: moet je onverwacht inloggen, snel betalen, bankgegevens wijzigen of vertrouwelijke informatie delen?

Maak voor betaal- en rekeningwijzigingen een tweede controle verplicht, bijvoorbeeld bellen via een nummer dat al in je administratie staat. Gebruik nooit het telefoonnummer uit de verdachte mail.

• Controleer het volledige afzenderadres, niet alleen de zichtbare naam.
• Open geen onverwachte inloglink; ga zelf naar de bekende website.
• Bevestig rekeningwijzigingen via een tweede kanaal.
• Meld een verdachte mail intern, ook als je niet hebt geklikt.

Oude accounts blijven verrassend vaak actief. Loop ieder kwartaal langs medewerkers, leveranciers en apparaten. Verwijder toegang die niet meer nodig is en controleer automatische doorstuurregels; aanvallers gebruiken die soms om ongemerkt mee te lezen.

Spreek bij uitdiensttreding een vaste procedure af: toegang blokkeren, actieve sessies beëindigen, zakelijke bestanden overdragen en gedeelde rechten nalopen.

SPF, DKIM en DMARC zijn instellingen bij je domein. Samen helpen ze ontvangende mailservers te controleren of een bericht namens jouw domein mag worden verstuurd. Dat verkleint de kans op misbruik van je afzendernaam en verbetert vaak de afleverbaarheid.

Laat deze instellingen uitvoeren of controleren door iemand die begrijpt welke systemen namens je bedrijf mail verzenden. Een te strenge instelling zonder inventarisatie kan legitieme berichten tegenhouden.

Leg vooraf vast wie je belt, wie accounts blokkeert en hoe je klanten waarschuwt. Bewaar contactgegevens buiten de mailbox, zodat je er ook bij kunt als die tijdelijk is afgesloten.

Bij een mogelijk datalek moet je beoordelen welke gegevens geraakt zijn en of melding nodig is. Raadpleeg daarvoor de actuele stappen van de Autoriteit Persoonsgegevens. Wacht niet dagen omdat je eerst absolute zekerheid wilt.

Bekijk beveiligingsmeldingen, onbekende apparaten, doorstuurregels en mislukte aanmeldingen. Controleer daarna of nieuwe collega's tweestapsverificatie gebruiken en oude accounts gesloten zijn.

Tien rustige minuten per maand zijn waardevoller dan één paniekerige middag na een nepbetaling.

Beveiliging stopt niet bij een sterk wachtwoord. Leg vast wie accounts mag aanmaken, wijzigen en verwijderen. Gebruik persoonlijke accounts in plaats van één gedeelde inlog en geef beheerdersrechten alleen aan mensen die ze werkelijk nodig hebben. Daardoor blijft achteraf zichtbaar wie een instelling heeft aangepast.

Controleer ook de herstelroute. Een hersteladres dat niet meer bestaat of een telefoonnummer van een oud-medewerker kan een veilig account juist onbereikbaar maken. Bewaar herstelcodes op een afgesproken veilige plek die niet afhankelijk is van dezelfde mailbox. Test de procedure zonder echte toegang te blokkeren.

Neem externe partijen mee in de inventarisatie. Een boekhouder, marketeer of IT-partner heeft soms blijvende toegang terwijl de opdracht al klaar is. Geef waar mogelijk tijdelijk of beperkt toegang en trek die na afloop weer in. Een kwartaalcontrole van gebruikers, groepen, apparaten en doorstuurregels is voor kleine teams meestal goed uitvoerbaar.

• Iedere medewerker een eigen account en tweede factor.
• Minimaal twee zorgvuldig gekozen beheerders, zonder dagelijks beheeraccount te gebruiken.
• Herstelgegevens en noodcodes periodiek controleren.
• Toegang direct aanpassen bij functiewijziging of vertrek.
• Automatische doorstuurregels en onbekende apparaten nalopen.

Een procedure werkt pas als medewerkers haar kennen. Spreek af dat iemand bij twijfel niet op links klikt, geen bijlage opent en de afzender via een bekend kanaal controleert. Een factuurwijziging kun je bijvoorbeeld verifiëren via een eerder opgeslagen telefoonnummer, niet via het nummer in het verdachte bericht.

Leg ook vast waar een mogelijk incident wordt gemeld. Snel melden is belangrijker dan schuld zoeken. Een beheerder kan dan sessies beëindigen, het wachtwoord wijzigen, regels controleren en nagaan of er vanuit het account berichten zijn verstuurd. Hoe eerder dit gebeurt, hoe kleiner de kans dat een aanvaller rustig verder kan kijken.

Bespreek jaarlijks enkele herkenbare voorbeelden met het team: een valse deeluitnodiging, een onverwachte inlogmelding en een verzoek om bankgegevens te wijzigen. Korte herhaling met voorbeelden uit het eigen werk blijft beter hangen dan een lange algemene handleiding.