In november 2026 hebben we de e-mailbeveiliging van 1,58 miljoen .nl-domeinen gemeten. De uitkomst: van de 1,29 miljoen domeinen die e-mail ontvangen, houdt driekwart vervalste mail niet tegen. De volledige cijfers en de verantwoording staan in het onderzoek.
Voor grotere organisaties is de vraag niet of e-mailbeveiliging technisch kan. Dat kan al jaren. De vraag is waarom het zo vaak blijft hangen. Uit de cijfers halen we vijf lessen.
Les 1: een record is geen bescherming
Twee derde (65,6%) van de domeinen heeft een DMARC-record. Maar maar een kwart (25,4%) heeft het zo ingesteld dat vervalste mail echt wordt tegengehouden. Het verschil zit in p=none: een instelling die alleen meekijkt.
p=none is bedoeld als startpunt. In de praktijk wordt het vaak een eindpunt. Op een auditlijst staat dan “DMARC: aanwezig”, terwijl er niets wordt tegengehouden.
Vraag dus niet of DMARC er is, maar op welk beleid het staat.
Les 2: je domeinportfolio is groter dan je denkt
Organisaties hebben meer domeinen dan alleen het hoofddomein: oude merknamen, campagnedomeinen, landendomeinen, domeinen die bij een overname zijn meegekomen. Die worden zelden actief beheerd.
In ons onderzoek had 57,5% van de domeinen die geen e-mail ontvangen helemaal niets ingesteld: geen SPF en geen DMARC. Slechts één op de zeven had de aanbevolen bescherming. En 8.488 domeinen stonden op p=reject, maar lieten subdomeinen open (sp=none). Dan is betalingen.jouwdomein.nl nog steeds vrij te misbruiken.
Zorg dat iemand eigenaar is van álle domeinen, en dat elk domein dat niet mailt expliciet zegt: mail van mij is altijd nep.
Les 3: leveranciers bepalen je niveau
Het grootste verschil in ons onderzoek zat niet tussen organisaties, maar tussen mailproviders. Bij de ene hostingpartij hield 94% van de domeinen vervalste mail tegen, bij de andere minder dan 1%. Het verschil zat in de standaardinstellingen.
Bij Microsoft 365, waar 19% van de domeinen draait, deed 27% het goed. Daar regelt de provider niets voor je: DKIM en DANE moet je zelf aanzetten. DANE, dat afdwingt dat mail versleuteld bij de juiste server aankomt, vonden we bij 2,6% van de Microsoft 365-domeinen. Bij Nederlandse hostingpartijen vaak bij meer dan 90%.
Neem e-mailbeveiliging op in je eisen aan IT-leveranciers, en controleer het. Ga er niet van uit dat de standaard goed is.
Les 4: zonder rapporten vlieg je blind
DMARC levert dagelijkse rapporten op over alle mail die namens je domein wordt verstuurd, ook phishing. Dat is de enige manier om te zien wie er uit jouw naam mailt.
Van de domeinen op p=none vroeg driekwart (74,3%) helemaal geen rapporten op. Daar wordt dus niets tegengehouden én niets geleerd.
Zonder rapporten kun je niet sturen. Zorg dat ze binnenkomen, leesbaar worden gemaakt en dat iemand ernaar kijkt.
Les 5: de keten telt mee
Je eigen domein op orde hebben is de helft. Factuurfraude loopt vaak via het domein van een leverancier of klant: een mail die lijkt te komen van een partij waarmee je zaken doet. Als hun domein niet beschermd is, komt die nepmail gewoon bij jouw financiële afdeling binnen.
Neem e-mailbeveiliging mee in je ketengesprekken. NIS2 vraagt passende maatregelen, ook voor je leveranciers. Een domein op reject is een eenvoudig, controleerbaar onderdeel daarvan.
De cijfers die je zou moeten zien
Wil je als bestuurder of CISO grip, vraag dan periodiek naar deze vier cijfers:
| Cijfer | Waarom |
|---|---|
| Aandeel van al je domeinen op DMARC-reject, ook domeinen die niet mailen | Laat zien hoeveel van je naam echt beschermd is |
| Aandeel van je mail dat de DMARC-controle haalt | Laat zien of je eigen diensten goed staan, zodat reject veilig is |
| Aantal onbekende diensten dat namens je mailt | Laat zien of er schaduw-IT of misbruik is |
| DANE of MTA-STS op je hoofddomein | Laat zien of mail aan jou versleuteld en bij de juiste server aankomt |
De eerste drie komen uit de DMARC-rapporten. Het vierde zie je met een eenmalige controle.
Voor je IT-team: het stappenplan van none naar reject, de meest gemaakte fouten in SPF, DKIM en DMARC en het stappenplan voor DANE en MTA-STS in Microsoft 365.
Hoe wij helpen
Wij doen onderzoek en geven advies voor grotere organisaties, en voeren het uit. Voor e-mail werken we samen met DMARC Advisor: we brengen je domeinen en verzenders in kaart, maken de rapporten leesbaar en brengen je stap voor stap naar reject, zonder dat er echte mail in de knel komt.
Eerst zelf een beeld? De gratis domeincheck laat per domein zien hoe SPF, DKIM, DMARC en BIMI staan.
Hoe staat jouw domein ervoor?
Controleer gratis SPF, DKIM en DMARC, en zie hoe je scoort ten opzichte van 1,29 miljoen .nl-domeinen.
Doe de domeincheck