4. Resultaten e-mailscans

4.1 Introductie

De scan van Internet.nl test of websites en e-mailservers aan moderne internetstandaarden voldoen. In het vorige hoofdstuk zijn de resultaten van de websitescans besproken. In dit hoofdstuk komen de resultaten van de e-mailscans aan bod. Hiervoor zijn drie scans uitgevoerd: voor 2023, 2024 en januari 2025.

De e-mailanalyse van Internet.nl bevat vijf categorieën:

• IPv6: Bereikbaarheid via een modern internetadres.
• DNSSEC: Gebruik van een ondertekende domeinnaam.
• Authenticiteit: Protectie tegen e-mailphishing.
• STARTTLS en DANE: Beveiligde e-mailtransport.
• RPKI: Autorisatie voor routering.⁶⁾

In de volgende paragraaf zullen deze categorieën in meer detail beschreven worden. De score per categorie wordt bepaald aan de hand van verschillende losse subtesten die binnen de categorie vallen. In dit hoofdstuk worden de resultaten per categorie gepresenteerd. In bijlage C worden de resultaten van alle onderliggende testen gegeven die per categorie uitgevoerd zijn. Een overzicht van de vijf categorieën met de bijbehorende subtesten kan in tabel A.3.1 tot en met A.3.5 gevonden worden.

In sectie 4.2 wordt eerst naar de gemiddelde Internet.nl-eindscores en de gemiddelde scores per categorie per bedrijfsgrootteklasse en bedrijfstak gekeken. Daarna wordt in paragraaf 4.3 de verdeling van alle eindscores laten zien. ⁷⁾

4.2 Resultaten van Internet.nl per bedrijfsgrootteklasse en -tak

4.2.1 Eindscore niet afhankelijk van bedrijfsgrootte, wel van bedrijfstak

In figuren 4.2.1(a) en 4.2.1(b) wordt per bedrijfsgrootteklasse en bedrijfstak voor de jaren 2023 tot en met 2025 de verdeling van de eindscores getoond. De gemiddelde eindscore voor alle bedrijven met een website (2 of meer werkzame personen in 2025) is gestegen van 58,9 procent in 2023 naar 65,7 procent in 2025 (zie figuur 4.2.1(a)). In alle jaren is de gemiddelde eindscore per bedrijfsgrootte relatief constant gebleven binnen de verschillende bedrijfsgrootteklassen. Figuur 4.2.1(b) toont de gemiddelde eindscore per bedrijfstak. De gemiddelde eindscore varieerde in 2025 van 62,9 procent voor de bedrijfstak ‘Energie, water, afvalbeheer’ tot 71,2 procent voor de bedrijfstak ‘Gezondheids- en welzijnszorg’. Voor alle bedrijfstakken was de eindscore in 2025 hoger dan in 2024. Hierbij was de grootste stijging te zien voor de bedrijfstak ‘Gezondheids- en welzijnszorg’.

4.2.2 Uitkomsten van de e-mailscan per categorie

De eindscore die nu bekeken wordt, is samengesteld aan de hand van de onderliggende testen zoals in tabel A.3.1 gegeven worden. Deze testen zijn in vijf categorieën opgedeeld: IPv6, DNSSEC, STARTTLS, Authenticiteit, en RPKI. Als een bedrijf slaagt voor voldoende testen binnen een categorie, zal de categorie van de e-mailscan door Internet.nl met ‘geslaagd’ aangeduid worden. In de figuren 4.2.2 tot en met 4.2.6 wordt voor de vijf categorieën het percentage van geslaagde bedrijven met een website per bedrijfsgrootteklasse en bedrijfstak getoond. Hoewel de eindscores weinig per bedrijfsgrootteklasse en bedrijfstak variëren, is nu te zien dat er wel aanzienlijke verschillen per categorie zijn. Deze verschillen worden hieronder besproken.

De uitslag van een categorie wordt bepaald aan de hand van de onderliggende testen. De uitkomsten van alle onderliggende testen worden in bijlage C.1.1 tot en met C.5.4 gegeven. In deze figuren is terug te vinden voor welke testen de verschillen tussen de verschillende bedrijfsgrootteklassen ontstaan. Hieronder worden de resultaten per categorie besproken en waar nodig naar de belangrijkste subtesten verwezen.

Categorie IPv6

De categorie IPv6 geeft aan in hoeverre een e-mailserver bereikbaar is via een modern internetadres (zie ook paragraaf 3.2.2). Figuur 4.2.2(a) laat zien dat zzp’ers met een website het beste scoren voor de categorie IPv6. Waar 54,2 procent van alle bedrijven met een website (2 of meer werkzame personen) in 2025 slaagde voor de categorie IPv6, was dit 59,1 procent voor zzp’ers. Opvallend is dat kleinere bedrijven beter scoren dan grotere bedrijven. Zo slaagde 54,6 procent van de kleine bedrijven met een website (2 tot 10 werkzame personen) in 2025, terwijl dit voor grote bedrijven met een website (250 of meer werkzame personen) slechts 45,2 procent was.

De uitsplitsing van de categorie IPv6 naar bedrijfstak, zoals weergegeven in figuur 4.2.2(b), laat zien dat de bedrijfstak ‘Bouwnijverheid’ in 2025 de best scorende bedrijfstak was, met 62,1 procent dat voor deze categorie slaagde. Daarentegen presteerde de bedrijfstak ’Energie, water en afvalbeheer’ met 44,4 procent gemiddeld gezien slechter op dit gebied. In vergelijking met 2023 behaalden alle bedrijfstakken in 2025 een hogere score.

Categorie DNSSEC

De categorie DNSSEC geeft aan of het e-maildomein met een geldige handtekening ondertekend is (zie ook paragraaf 3.2.2). Figuur 4.2.3(a) laat zien dat zzp’ers met een website in 2025 met 42,7 procent het vaakst slaagden voor deze categorie, gevolgd door kleine bedrijven met een website (2 tot 10 werkzame personen) (27,9 procent). Middelgrote bedrijven met een website (50 tot 250 werkzame personen) zaten daar behoorlijk onder: 8,0 procent van deze groep slaagde in 2025 voor de categorie DNSSEC.

De categorie DNSSEC wordt bepaald door maar vier onderliggende testen: DNSSEC-aanwezigheid voor het e-maildomein (figuur C.2.1), DNSSEC-geldigheid voor het e-maildomein (figuur C.2.2), DNSSEC-aanwezigheid voor de e-mailserver (figuur C.2.3) en DNSSEC-geldigheid voor de e-mailserver (figuur C.2.4). Aan de subtesten is te zien dat er voornamelijk laag gescoord wordt op de aanwezigheid en geldigheid van DNSSEC voor de e-mailserver. Van de verschillende bedrijfsgrootteklassen slaagden zzp’ers het vaakst voor deze twee subtesten (47,2 procent) in 2025. De uitsplitsingen naar bedrijfstakken in figuren C.2.3(b) en  C.2.4(b)) laten zien dat bedrijven uit de sector ‘Gezondheids- en welzijnszorg’ het vaakst slaagden voor deze subtesten (51,3 procent).

Categorie Authenticiteit

Bij de categorie Authenticiteit wordt gekeken in hoeverre bedrijven de juiste authenticatiemechanismes toepassen, zoals DMARC (Domain-based Message Authentication, Reporting & Conformance), DKIM (DomainKeys Identified Mail) en SPF (Sender Policy Framework). Deze protocollen gaan phishing, spam, virussen en andere malware tegen door de authenticiteit van een e-mailbericht te waarborgen (SIDN, 2025). Zo voorziet DKIM elk uitgaand bericht van een digitale handtekening. De publieke sleutel wordt via DNS gepubliceerd (zie ook paragraaf 3.2.2), zodat een ontvanger de digitale handtekening kan verifiëren. Op deze manier wordt voorkomen dat kwaadwillenden een bericht namens een ander kunnen verzenden of de inhoud van een bericht onderweg kunnen veranderen.

Voor de categorie Authenticiteit, getoond in figuur 4.2.4(a), is het opvallend dat grote bedrijven een stuk beter scoren dan kleine bedrijven. Van alle bedrijven met een website (2 of meer werkzame personen) slaagde 17,4 procent voor deze categorie in 2025. Dit lage percentage wordt voornamelijk veroorzaakt door de lage score voor kleine bedrijven. Zo slaagde slechts 14,8 procent van de kleine bedrijven met een website (2 tot 10 werkzame personen). Grote bedrijven scoorden in dit geval een stuk beter: 53,8 procent van de grote bedrijven met een website (250 of meer werkzame personen) slaagde voor de categorie Authenticiteit. De slagingspercentages per bedrijfstak getoond in figuur 4.2.4(b) laten dezelfde omkering zien. Zo scoorde de bedrijfstak ‘Financiële dienstverlening’ voor de categorieën IPv6 en DNSSEC relatief slecht (ten opzichte van de andere bedrijfstakken), terwijl het voor de categorie Authenticiteit met 19,9 procent de beste scorende bedrijfstak was.

De onderliggende subtesten van de categorie Authenticiteit worden gegeven in bijlage C.3. Per subtest wordt een stuk beter gescoord dan voor de hele categorie. Figuur C.3.1 en C.3.2 laten zien hoeveel bedrijven DMARC toepassen. Met DMARC wordt er bepaald hoe om te gaan met inkomende berichten waarvoor DKIM of SPF geen geldige validatie oplevert (SIDN, 2025). Deze kunnen bijvoorbeeld weggegooid worden of in quarantaine worden gezet. Voor 2025 is te zien dat 58,0 procent van de bedrijven met een website (2 of meer werkzame personen) DMARC had (figuur C.3.1). Daarentegen had slechts 17,2 procent DMARC met een voldoende strikt beleid (figuur C.3.2). Grote bedrijven met een website (250 of meer werkzame personen) hadden DMARC het best op orde: 53,0 procent had DMARC met een voldoende strikt beleid.

Ook DKIM wordt gebruikt om e-mails te authenticeren. Figuur C.3.3(a) laat zien dat 81,7 procent van de bedrijven met een website (2 of meer werkzame personen) DKIM had in 2025. De verschillen tussen grote en kleine bedrijven zijn klein: Figuur C.3.3(b) laat zien dat de bedrijfstak ‘Bouwnijverheid’ vooroploopt met het gebruik van DKIM, alhoewel de verschillen per bedrijfstak niet groot zijn.

Tenslotte laten de figuren  C.3.4 en C.3.5 zien welke bedrijven SPF gebruiken. SPF voorkomt dat servers e-mailberichten accepteren van ongeautoriseerde servers (SIDN, 2025). Hiervoor wordt een lijst van geldige adressen via het DNS gebruikt. Van de bedrijven met een website (2 of meer werkzame personen) had 89,5 procent SPF in 2025 (figuur C.3.4(a)). De verschillen tussen de bedrijfsgrootteklassen waren weer niet groot. Van de kleine bedrijven met een website (2 tot 10 werkzame personen) slaagde 87,6 procent voor deze test, terwijl dat voor de grote bedrijven (250 of meer werkzame personen) 97,5 procent was. Figuur C.3.4(b) laat zien dat de bedrijfstak ‘Vervoer en opslag’ het meest van SPF gebruikmaakte. Figuur C.3.5 geeft aan welk deel van de bedrijven SPF ook met een voldoende strikt beleid gebruiken. Het is te zien dat 82,4 procent van de bedrijven met een website (2 of meer werkzame personen) in 2025 hieraan voldeed.

Dat grote bedrijven beter scoren op de categorie Authenticiteit is goed te begrijpen, omdat e-mailspoofing⁸⁾ van grote bedrijven aantrekkelijker is voor cybercriminelen. Ze kunnen zich bijvoorbeeld per mail voordoen als een bank om het slachtoffer te overtuigen geld over te maken. Bovendien kan het voor grote bedrijven meer imagoschade tot gevolg hebben, dus is er veel aan gelegen om zich hier zo goed mogelijk tegen te beschermen.

Categorie Beveiligde e-mailtransport

Bij de categorie Beveiligde e-mailtransport wordt gekeken in hoeverre de e-mailserver een beveiligde connectie maakt met de e-mailserver van een andere partij. Zo voorkomt STARTTLS dat aanvallers mogelijk e-mails kunnen onderscheppen door het gebruik van TLS-encyptie tijdens het transport af te dwingen (SIDN, 2025). Met DANE (DNS-based Authentication of Named Entities) wordt daarnaast bescherming geboden tegen aanvallers die proberen STARTTLS te omzeilen door het e-mailverkeer te manipuleren. Figuur 4.2.5 toont per grootteklasse en bedrijfstak het percentage van bedrijven dat slaagt voor deze categorie. In figuur 4.2.5(a) is te zien dat van alle bedrijven met een website (2 of meer werkzame personen) 15,5 procent slaagde in 2025. Dit keer waren de kleine bedrijven weer de beste scorende bedrijfsgrootteklasse: 18,2 procent van de kleine bedrijven met een website (2 tot 10 werkzame personen) slaagde voor deze test. Van de middelgrote bedrijven met een website (50 tot 250 werkzame personen) slaagde slechts 3,8 procent van de bedrijven.

De onderliggende subtesten van deze categorie worden in bijlage C.4 gegeven. Zoals hiervoor bepaalt de slechtst scorende subtest weer de uitslag van de categorie zelf. De testen die samenhangen met STARTTLS zijn niet beperkend. In figuur C.4.1 is bijvoorbeeld te zien dat rond de 91 procent van alle bedrijven met een website (2 of meer werkzame personen) slaagde voor de test ‘STARTTLS beschikbaar voor de ontvangende e-mailserver’. De lage scores worden veroorzaakt door de testen op DANE. Figuur C.4.13 laat bijvoorbeeld zien dat maar 16,0 procent van de bedrijven met een website slaagde voor de test ‘DANE bestaat’. Voor bedrijven met 50 tot 250 werkzame personen was dit zelfs slechts 4,2 procent.

Categorie Autorisatie voor Routering (RPKI)

Als laatste wordt naar de categorie RPKI gekeken in figuur 4.2.6. Deze categorie onderzoekt of een website een route-aankondiging heeft die kan worden gematcht aan de gepubliceerde route-autorisatie (RPKI) (zie ook paragraaf 3.2.2). Van alle bedrijven met een website (2 of meer werkzame personen) slaagde 83,8 procent in 2025 (zie figuur 4.2.6(a)). Figuur 4.2.6(b) laat zien dat de bedrijfstak ‘Financiële dienstverlening’ met 87,4 procent het vaakst voor deze categorie slaagde. Geen van de bedrijfstakken kwam onder de 65 procent.

4.3 Verdelingen van de eindscores van de e-mailscans

4.3.1 Verdeling van de eindscores van de e-mailscan voor bedrijven met een website (2 of meer werkzame personen), januari 2025

Hoewel de gemiddelde score van alle bedrijven met een website (2 of meer werkzame personen) in 2025 rond de 66 procent lag, is hierboven al geconstateerd dat de uitslag voor de verschillende categorieën wel per bedrijfsgrootteklasse en bedrijfstak varieert. In deze paragraaf wordt gekeken naar de spreiding van de eindscores voor alle bedrijven.

De verdeling van de eindscores van de e-mailscan in januari 2025 wordt voor alle bedrijven in Nederland in figuur 4.3.1 getoond In figuur 4.3.1 zijn daarnaast nog drie kwartielen (Q1, Q2, en Q3) weergegeven. De verdeling van de overige jaren wordt in bijlage C.6 gegeven.

4.4 Welke bedrijven hebben de hoogste en laagste score voor de e-mailscan?

In de figuren 4.4.1 en 4.4.2 worden de bedrijven met de hoogste eindscores voor de e-mailscan per bedrijfsgrootteklasse en bedrijfstak weergegeven. Net als bij de websitescan in paragraaf 3.4 is weer te zien dat kleine bedrijven vaker een score van 90 procent of hoger halen dan grotere bedrijven (figuur 4.4.1(a)). Bijna 11 procent van de kleine bedrijven met een website (2 tot 10 werkzame personen) haalde in 2025 een eindscore van 90 procent of meer, terwijl dat voor bedrijven met 50 tot 250 werkzame personen slechts 2,7 procent was. De verdeling over de bedrijfstakken (figuur 4.4.1(b)) laat zien dat bedrijven in de bedrijfstak ‘Gezondheids- en welzijnszorg’ het vaakst een score van 90 of hoger behaalden (26,9 procent).

In figuur 4.4.2 wordt gekeken naar het percentage van bedrijven met een website dat een eindscore van 100 procent haalt. Per bedrijfsgrootteklasse (figuur 4.4.2(a)) is te zien dat nog maar heel weinig bedrijven een 100 procentscore halen. Zzp’ers met een website deden het in 2025 met 5,5 procent nog het best. Van de middelgrote bedrijven met een website (50 tot 250 werkzame personen) haalde slechts 1,2 procent een 100 procentscore. Als naar de verdeling per bedrijfstak gekeken wordt (figuur 4.4.2(b)), is te zien dat met name de bedrijfstak ‘Gezondheids- en welzijnszorg’ weer het beste scoorde. In deze bedrijfstak haalde 9,5 procent een eindscore van 100 procent.

Tenslotte wordt in figuur 4.4.3(a) gekeken naar de bedrijven die juist laag scoren op de e-mailscan (40 procent of minder). Bijna 8 procent van de bedrijven met een website (2 of meer werkzame personen) haalde in 2025 een eindscore van 40 procent of minder. Deze groep was iets kleiner voor grote bedrijven (250 of meer werkzame personen), waarvan maar 5,5 procent een eindscore van 40 procent of minder behaalde. In figuur 4.4.3(b) is te zien dat een eindscore van 40 procent het vaakst behaald werd in de bedrijfstak ‘Speciale zakelijke verlening’ (11,3 procent).