Als systeembeheerder Daniël Kollmer (51) naar zijn werkplek loopt, komt hij langs de voormalige bibliotheek op de tweede verdieping van het Amsterdamse onderzoeksinstituut Nikhef. In plaats van rekken met boeken staan daar tegenwoordig servers, achter een glaswand. Uit de computerkasten komen gele, groene, blauwe en rode kabels.
Kollmer moet er af en toe iets controleren, maar gaat de ruimte zo min mogelijk in. De temperatuur is er als in een bejaardenwoning. Via roosters in de vloer wordt lucht langs de kasten geblazen voor de koeling. De rekenkracht van de zoemende servers is voor de wetenschappers van het Nikhef, die onderzoek doen naar deeltjesfysica.
Vanuit hun werkkamers kijken Kollmer en afdelingshoofd Ronald Starink (53) op een bruine toren zonder ramen, een datacentrum op het Amsterdam Science Park. Aan de andere kant zit het Centrum Wiskunde en Informatica, dat in 1988 als eerste in Nederland aansluiting kreeg op het prille internet. Alles hier ademt data, rekenkracht en internetgeschiedenis.
Onderdeel van Kollmers werk is het beheer van de eigen mailserver van Nikhef. Hij vindt dat de gewoonste zaak van de wereld. Kollmer doet het ook voor zijn vriendengroep, die al sinds 1997 een server deelt.
Daarmee is hij een uitzondering geworden onder de systeembeheerders. E-mails ontvangen, versturen en vooral ook bewaren is bijna overal uitbesteed aan grote leveranciers van software en cloudopslag. Voor particulieren is dat in de regel Gmail van Google. Bedrijven en overheden doen het massaal bij Microsoft.
Kwetsbaar
Afgelopen week sloeg de Algemene Rekenkamer alarm. De Nederlandse overheid is in korte tijd te zwaar gaan leunen op commerciële buitenlandse clouddiensten en maakt zich daarmee kwetsbaar, vindt die. Hoe e-mailverkeer tegenwoordig wordt afgehandeld, illustreert die trend.
Lees ook
De Nederlandse overheid is gevaarlijk afhankelijk van buitenlandse clouddiensten, constateert de Rekenkamer
Statistieken zijn complex bij dit onderwerp. Het maakt nogal uit of je het aantal e-mails telt – de pakketbezorgdienst kan voor één bestelling meerdere mails op een dag sturen – of het aantal ontvangers van een en dezelfde mail, legt zelfstandig ict-expert Bert Hubert uit. Hubert waagt zich niettemin aan de voorspelling dat „ergens in 2026 Microsoft en Google 98 procent van onze e-mail in handen hebben”. Ook het e-mailarchief van het parlement staat inmiddels in de Microsoft-cloud, geeft hij aan.
In een rapport uit 2024 signaleert Clingendael, instituut voor internationale betrekkingen, een ‘naderend e-mailprobleem’. Veel overheden gebruiken Outlook van Microsoft, maar draaien die mailsoftware op eigen servers. Ze staan echter op het punt te verhuizen naar cloudservers van het Amerikaanse concern. Clingendael waarschuwt dat de communicatie van de overheid daarmee een nog verleidelijker doelwit voor hackers wordt.
Maaike Okano-Heijmans, verbonden aan Clingendael als onderzoeker naar geopolitieke aspecten van technologie en digitalisering: „Voor de gemiddelde slager en kapper is het waarschijnlijk prima. Maar als de overheid massaal zou overstappen, en dan ook nog naar één dienstverlener, gaat dat uiteindelijk ten koste van de nationale veiligheid.”
Internet begon als een ‘vrije ruimte’: de mensen die het bouwden, spraken met elkaar protocollen af waardoor digitale diensten met elkaar konden ‘praten’. Door deze protocollen worden bijvoorbeeld e-mails overal op dezelfde manier verwerkt. Alsof iedereen wereldwijd dezelfde taal spreekt en dezelfde munteenheid gebruikt – handig bij het zakendoen.
Bij e-mail is die taal SMTP, het Simple Mail Transfer Protocol uit 1980. Dit protocol vormt de basis voor alle maildiensten, of ze nu gebouwd zijn door een gigant als Microsoft of een hobbyist op een zolderkamer. Mensen met een beetje verstand van internet konden dankzij dit protocol allemaal een eigen mailserver laten draaien.
:format(webp)/s3/static.nrc.nl/wp-content/uploads/2025/01/22162315/data127043510-189e4a.jpg)
Spam voorkomen
De protocollen bestaan nog steeds, maar de praktijk van dat vrije internet is aan erosie onderhevig. Zelfs het vrije e-mail, met een van de oudste protocollen, heeft het moeilijk.
Kollmer legt uit hoe dat werkt. Het is in de loop der jaren steeds complexer geworden een server zo in te regelen dat criminelen die niet kunnen misbruiken om spam en phishingmails te versturen. Dat is nodig, want als bij de ontvangende server ook maar de geringste twijfel is over een afzender, komen mails die je verstuurt niet meer aan.
De eisen zijn niet onredelijk, vindt Kollmer. „Spam en phishing zijn nu eenmaal grote problemen en continue dreigingen. Je wilt niet dat jouw server daaraan bijdraagt.” Dat dit vroeger anders was, komt vooral doordat veel minder mensen een e-mailadres hadden, wat phishing minder lonend maakte voor criminelen.
Met zijn decennialange ervaring vond Kollmer het niet zo ingewikkeld de server van Nikhef zo in te regelen dat die ontvangers een bewijs afgeeft waaruit blijkt dat de server te vertrouwen is. Hij legt uit: „In wezen moet je aantonen dat een e-mail echt afkomstig is van waar hij zegt dat hij vandaan komt – in ons geval dus echt van de server van Nikhef. En dat ik een gebruiker ben die daar legitiem gebruik van maakt. De ontvanger kan dat bewijs opvragen.” Hij vergelijkt het met naar het postkantoor gaan met een identiteitsbewijs als je een brief wilt posten, in plaats van gewoon iets in een brievenbus gooien.
Is dat automatische bewijs van een ‘schone reputatie’ niet op orde, dan worden mails teruggekaatst. Ze komen niet aan bij de ontvanger of belanden in de spambox. Het kan behoorlijk frustrerend zijn erachter te komen dat je daardoor geen antwoord kreeg. En het is tijdrovend ervoor te zorgen dat je van lijsten met verdachte afzenders wordt afgehaald.
Als je de afhandeling van e-mail uitbesteedt aan een grote softwareaanbieder, heb je dat probleem niet meer. Zulke bedrijven kunnen meer investeren in geavanceerde beveiliging. Mail met een Gmail-adres zal minder snel als verdacht worden behandeld dan die van een kleine, onbekende server.
Uitbesteden
Daarom hebben ict-beheerders de afgelopen jaren massaal voor uitbesteden gekozen. En dat heeft de positie van de grootste bedrijven in het e-mailuniversum verder versterkt. Heer en meester zijn Outlook van Microsoft, Gmail van Google en Mail van Apple.
Lees ook
Onderzoekers kiezen voor een alternatieve cloud: ‘Ik wil zelf kunnen kiezen met wie ik mijn bestanden deel’
Dat wereldwijd zoveel mensen e-mailadressen van Google, Apple en Microsoft hebben, geeft die concerns ook een voorsprong bij het trainen van hun spamfilters. En ze kunnen eisen stellen; tegenwoordig bepalen die grote bedrijven de facto waaraan een e-mail moet voldoen om hun beveiligingslagen te passeren. Als hun programma’s je mail weigeren, is je eigen mailserver vrijwel nutteloos. In de brontekst van je e-mails – de tekst die de computer leest – moet bijvoorbeeld te zien zijn dat je een bepaald spamfilter gebruikt. En de ontvanger moet identificatiekenmerken kunnen opvragen. „Je moet door het stof”, omschrijft Kollmer.
Nikhef heeft al decennia een eigen mailserver met een goede, veilige reputatie, én de capaciteit dat zo te houden; de ict-afdeling telt 26 man. Het instituut hanteert ook zwarte lijsten met malafide afzenders, wier mails worden geweerd. Daar staan vooral veel afzenders op die eindigen op .ru, zegt Kollmer grinnikend. Voor beheerders bij kleinere bedrijven en de meeste amateurs is een eigen mailserver geen optie meer.
Het besluit een eigen mailserver aan te houden, heeft Nikhef weloverwogen genomen, vertelt afdelingshoofd Starink (53). Dat hangt samen met het type onderzoeken dat er wordt gedaan. Die duren al snel tientallen jaren. Ondersteunende ict moet dus ook lang houdbaar zijn, om te voorkomen dat data tijdens lopend onderzoek moeten migreren. Dat brengt risico op verstoringen van het onderzoek met zich mee. Dan valt de keuze al snel op zelf doen.
:format(webp)/s3/static.nrc.nl/wp-content/uploads/2025/01/22162318/data127043531-de14cd.jpg)
Principieel ding
Behalve praktisch is het ook een ‘principieel ding’ om ict-toepassingen in eigen hand te houden, zegt Starink. Nikhef wordt gefinancierd uit publieke middelen. Daarom heeft het meer verantwoordelijkheid voor het bewaken van de publieke ruimte dan een commercieel bedrijf, vindt hij. En daarom werkt het onderzoeksinstituut zoveel mogelijk met software waarvan de broncode openbaar is. Het voorkomt afhankelijkheid van één bedrijf dat zijn code afschermt.
Starink gebruikt termen die je ook hoort in discussies over klimaat en landbouw. Er is behoefte aan diversiteit en keuzevrijheid, monocultuur is kwetsbaar. „We willen niet gebonden zijn aan één partij. Want commerciële partijen blijven nooit lang innovatief. Op een gegeven moment gaan ze vooral proberen geld te verdienen. Als je dan je databeheer aan ze hebt uitbesteed, kun je niet meer weg. Dan ben je in een fuik gezwommen.”
Ict is bij Nikhef een integraal onderdeel van de research. Energiefysica bestuderen zonder goede ict is onmogelijk, omdat er zoveel data bij worden verzameld en geanalyseerd. Dat maakt z’n werk leuk, zegt Kollmer. Hij is ‘al’ zeven jaar in dienst – een persoonlijk record. „Ict is iets wat bedrijven moeten doen, maar niet willen doen. Ik heb dat vaak genoeg meegemaakt: je mag als ict’er niet te veel vinden.”
Starink en hij begrijpen best dat kleinere bedrijven met andere prioriteiten andere keuzes maken. Starink: „Als je weinig medewerkers hebt en niet met gevoelige data werkt, vind je het zonde als je een ict’er in dienst moet nemen.”
Je geeft én je data uit handen, én je verliest expertise om het later nog eens terug te kunnen halen
De verleiding om ict-taken uit te besteden is bovendien groot: softwarebedrijven bieden voortdurend handige integrale oplossingen. Omdat enkele giganten de markt domineren, kúnnen die vaak ook heel goede producten tegen een aantrekkelijke prijs bieden. Het is best fijn vertoeven in hun cloud. Starink: „Maar je geeft én je data uit handen, én je verliest expertise om het later nog eens terug te kunnen halen.”
Kollmer is nog wat uitgesprokener: „Als je een instantie van enige omvang bent en niet zelf je systemen onderhoudt, vind ik dat je onvoorzichtig bezig bent.”
Beiden benadrukken dat een e-mailarchief, zeker als dat decennia teruggaat, ook veel persoonlijke informatie bevat. Die moet je dus goed beschermen.
Cloud Act
De Rekenkamer en Clingendael wijzen op de geopolitieke dimensie van al te grote afhankelijkheid van buitenlandse bedrijven. In dit geval betreft het hoofdzakelijk Amerikaanse softwarebouwers. Ook een groot deel van de data van de Nederlandse overheid staat bij Amerikaanse partijen.
Dit aspect weegt bij Nikhef ook mee. „Want die partijen kunnen wel zeggen dat ze er niets mee doen, maar er is ook zoiets als de Cloud Act”, zegt Kollmer. Die Amerikaanse wet bepaalt dat de Amerikaanse overheid toegang tot die data kan eisen, ook als de computers niet fysiek in de VS staan.
Zo’n principiële opstelling en het blijven hameren op behoud van autonomie en keuzevrijheid leiden geregeld tot irritatie bij systeembeheerders die andere afwegingen maken, blijkt uit discussies op LinkedIn. Net als het dorp van Asterix en Obelix eigenwijs standhouden tegen de machtige Romeinen wordt dan vooral gezien als een achterhoedegevecht. Starink, stoïcijns: „De buitenwereld kijkt wel eens wat meewarig.” Met die eigen e-mailserver, is dan de opvatting, maken hij en Kollmer het zichzelf alleen maar moeilijk. Bovendien ontzeggen ze zich de nieuwste snufjes, want die krijg je erbij als je behalve de server ook het softwareprogramma afneemt van de grote aanbieder.
„Dan proberen we uit te leggen wat onze overwegingen zijn”, zegt Starink. En Kollmer wenst anderen „succes om je data er nog uit te krijgen als de tarieven omhooggaan”.
