OutlookEen medewerker van een zorginstelling opent een nieuwe mail. Ze wil een dossier doorsturen naar haar collega Jan. Outlook vult het adres automatisch aan. Ze ziet niet dat de suggestie een oud-collega is die anderhalf jaar geleden is vertrokken. De mail, met een BSN en een behandelplan erin, is al weg.
Aan de andere kant van de stad beantwoordt een teamleider een vergaderverzoek. Hij klikt op Allen beantwoorden. Drie berichten terug in de mailketen staat een notitie van HR met de salarissen van twee collega's die ook voor de vergadering waren uitgenodigd.
Dit zijn geen uitzonderingen. Het zijn de mailfouten die in Nederlandse organisaties het vaakst voorkomen.
Is Outlook veilig voor bedrijfsgegevens?
Outlook kun je inrichten op het beveiligingsniveau dat grote organisaties eisen, en Microsoft investeert flink in de beveiliging van zijn diensten. Maar de grootste privacyrisico's in Outlook liggen niet bij Microsoft. Ze ontstaan op het moment van mailen zelf: automatisch aanvullen, Allen beantwoorden, CC in plaats van BCC, een doorgestuurde mailketen, de verkeerde bijlage uit de map Downloads. Instellingen verkleinen structurele risico's, maar beschermen niet tegen een beslissing van twee seconden.
Hoe Outlook met gegevens omgaat
Outlook is niet overal hetzelfde, en voor privacy maken de verschillen tussen de versies uit.
| Functie | Klassieke Outlook | Nieuwe Outlook | Outlook.com |
|---|---|---|---|
| Mailopslag | Lokaal of Exchange-server | Microsoft-cloud (Exchange Online) | Consumentencloud van Microsoft |
| Inloggegevens gesynchroniseerd | Nee | Ja, voor gekoppelde externe accounts | Accountgebonden |
| AI-functies | Beperkt, optioneel | Copilot geïntegreerd | Beperkt |
| Beheer door de organisatie | Volledig via Exchange Admin Center | Volledig via M365 Admin Center | Geen |
De klassieke Outlook (de desktoptoepassing) slaat mail lokaal of op een Exchange-server op. Standaard wordt er weinig met de cloud gesynchroniseerd.
De nieuwe Outlook (uitgebracht in 2024 en steeds vaker de standaard) synchroniseert alle mail met Exchange Online. En wat weinig mensen weten: de inloggegevens van gekoppelde externe accounts, zoals een persoonlijk Gmail-account, worden op de infrastructuur van Microsoft opgeslagen.
Outlook.com is een consumentendienst, met andere privacyvoorwaarden dan zakelijke Microsoft 365-accounts. Koppelen medewerkers een persoonlijk Outlook.com-account aan een werkapparaat, dan mengen ze mogelijk gegevens die onder verschillende privacyregels vallen.
Copilot in Outlook heeft toegang tot de volledige mailbox als daarvoor via het Microsoft 365 Admin Center machtigingen op organisatieniveau zijn verleend. In 2025 kon Copilot door een bug mails samenvatten die als vertrouwelijk waren gelabeld, en omzeilde het zo de vertrouwelijkheidslabels die die mails moesten beschermen. De bug is hersteld, maar hij laat zien dat AI met toegang tot mail risico's meebrengt die er in eerdere versies niet waren.
Negen momenten waarop het misgaat
1. Automatisch aanvullen kiest het verkeerde adres
Outlook stelt adressen voor op basis van je contactgeschiedenis, ook van mensen die de organisatie hebben verlaten, externe partners uit eerdere projecten en contacten met een vergelijkbare naam. De suggestie verschijnt al voordat je klaar bent met typen. Eén druk op Tab of Enter is genoeg.
2. Allen beantwoorden maakt een gevoelige mailketen zichtbaar
Is een bericht via een distributielijst of aan een lange CC-lijst gestuurd, dan gaat je reactie met Allen beantwoorden naar iedereen in de keten, ook naar ontvangers die je nooit wilde bereiken. Oudere berichten in de keten kunnen informatie bevatten die die ontvangers nooit hadden mogen zien.
3. CC in plaats van BCC bij een groepsmail
Stuur je een mail via CC naar een grote groep, dan ziet elke ontvanger de adressen van alle anderen. Horen die adressen bij cliënten, patiënten, medewerkers of leden van een beschermde groep, dan is dat een datalek. De Autoriteit Persoonsgegevens kreeg in 2023 tientallen meldingen van precies dit soort incidenten.
4. Vertrouwelijke gegevens in de onderwerpregel
Onderwerpregels verschijnen in meldingen op het bureaublad, op vergrendelschermen van telefoons, op gedeelde schermen in vergaderruimtes en in de voorbeeldweergave van doorgestuurde berichten. Een onderwerpregel als "Dringend: BSN 384920173, belastingdossier" kan iedereen lezen die in de buurt van een scherm staat.
5. Verkeerde bijlage
Voeg je een bestand toe uit een downloadmap met meerdere versies, of een spreadsheet met meer inhoud dan bedoeld (verborgen kolommen, onzichtbaar gemaakte rijen, bijgehouden wijzigingen die eerdere versies laten zien), dan stuur je gegevens naar iemand die ze nooit had mogen krijgen.
6. Doorgestuurde mailketen met vertrouwelijke inhoud
Wie een bericht doorstuurt, stuurt de hele keten mee. Eerdere berichten kunnen salarisgegevens, intern juridisch advies, namen en dossiernummers of vertrouwelijke besluiten bevatten die weken eerder zijn genomen. De meeste mensen scrollen niet terug voordat ze doorsturen.
7. Werkmail op een privételefoon zonder MDM
Medewerkers die werkmail op een privételefoon of -laptop zetten, doen dat meestal zonder beveiliging via Mobile Device Management. Raakt het apparaat zoek, wordt het gestolen of wordt het doorgegeven, dan gaan de mails mee.
8. Copilot vat vertrouwelijk gelabelde mails samen
Als Copilot op organisatieniveau is ingeschakeld, heeft het toegang tot alle mails in de mailbox, ook tot mails die als vertrouwelijk zijn gelabeld. Hebben beheerders de toegangsinstellingen van Copilot niet nagelopen, dan verwerkt AI mogelijk gevoelige inhoud die volgens het beleid afgeschermd had moeten blijven.
9. Gekoppelde privéaccounts in de nieuwe Outlook
In de nieuwe Outlook kunnen gebruikers persoonlijke Gmail- of andere IMAP-accounts toevoegen aan dezelfde omgeving als hun werkmail. De inloggegevens van dat persoonlijke account worden dan op servers van Microsoft opgeslagen. Privé- en werkmail zijn daarna moeilijker uit elkaar te houden.
Wat een mailfout de organisatie kost
Onder de AVG kan een verkeerd verstuurde mail met persoonsgegevens een datalek zijn, bijvoorbeeld als er een naam met een dossiernummer, een BSN, gezondheidsgegevens of financiële rekeninggegevens in staan. Elk datalek moet je beoordelen: is er een risico voor de rechten en vrijheden van betrokkenen, dan meld je het bij de toezichthouder, binnen 72 uur nadat je van het incident op de hoogte bent. In Nederland is dat de Autoriteit Persoonsgegevens.
Boetes onder de AVG kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, als dat hoger is. De aansprakelijkheid ligt bij de organisatie, niet bij de individuele medewerker, tenzij die met opzet of grove nalatigheid heeft gehandeld.
Los van de toezichthouder: een verkeerd verstuurde mail aan een cliënt, patiënt of zakenpartner levert reputatieschade op die moeilijk in te dammen is. In de zorg, de juridische sector en bij HR kan de schade direct en groot zijn.
Outlook-incidenten die de krant haalden
2021: UK Ministry of Defence
Een medewerker van het Britse ministerie van Defensie stuurde een mail met de namen en contactgegevens van 265 Afghanen die met de Britse strijdkrachten hadden samengewerkt. De adressen stonden in CC in plaats van BCC. Ontvangers konden elkaars gegevens zien, wat een ernstig risico opleverde voor de betrokkenen. De ICO concludeerde dat het lek levens in gevaar bracht. Bron: BBC News, september 2021.
2023: Storm-0558
Microsoft maakte bekend dat aanvallers toegang hadden gekregen tot ongeveer 25 Exchange Online-accounts bij Amerikaanse overheidsinstanties en andere organisaties. Ze gebruikten vervalste authenticatietokens om zonder wachtwoord mailboxen te openen. Het lek bleef een maand onopgemerkt. Bron: Microsoft MSRC, juli 2023.
2024-2025: ToddyCat APT
Beveiligingsonderzoekers stelden vast dat de aanvallersgroep ToddyCat haar gereedschapskist had uitgebreid met "TomBerBill", een tool om Outlook-mailarchieven en toegangstokens voor Microsoft 365 buit te maken bij de organisaties die de groep op het oog had. Bron: CSO Online, 2025.
November 2025: Nederlandse onderwijsinstelling
Een Nederlandse onderwijsinstelling verbood na een interne risicobeoordeling tijdelijk het gebruik van de functies Copilot en Samenvatten in Outlook. De instelling stelde vast dat die functies toegang hadden tot mailinhoud die afgeschermd had moeten blijven. Bron: Punt.avans.nl, november 2025.
De rode draad in deze incidenten is niet één kwetsbaarheid in Outlook. Het is een combinatie van menselijk handelen, configuratiekeuzes en de snelheid waarmee e-mail gegevens verplaatst.
Wat je in Outlook en Microsoft 365 kunt instellen
Vijf instellingen die het controleren waard zijn:
1. Privacy-instellingen in de nieuwe Outlook en Outlook op het web Ga naar Instellingen > Algemeen > Privacy en gegevens > Privacy-instellingen. Daar stel je in of Microsoft je mailinhoud gebruikt om producten te verbeteren, en beperk je optionele diagnostische gegevens.
2. Verbonden ervaringen uitzetten in Microsoft 365 Apps (klassieke Outlook) Ga naar Bestand > Account > Accountprivacy > Instellingen beheren. Zet onder "Optionele verbonden ervaringen" de functies uit die je niet nodig hebt. Zo beperk je wat Microsoft verwerkt voor optionele AI- en cloudfuncties.
3. Vertrouwelijkheidslabels toepassen voordat je verstuurt Heeft je organisatie Microsoft Purview ingericht, dan staan de vertrouwelijkheidslabels in de werkbalk van het opstelvenster. Met "Vertrouwelijk" of "Strikt vertrouwelijk" beperk je doorsturen, afdrukken en kopiëren door de ontvanger. Let op: labels helpen alleen als ze vóór verzending zijn toegepast en als het mailprogramma van de ontvanger ze respecteert.
4. Standaard BCC gebruiken bij groepsmails Outlook gebruikt niet standaard BCC. Maak er een vaste werkwijze van: open bij een mail aan een groep een nieuw bericht, zet jezelf in het veld Aan en plak alle andere adressen in BCC. Sommige IT-afdelingen stellen dit centraal in via groepsbeleid.
5. Copilot centraal uitzetten tot de instellingen zijn beoordeeld Microsoft 365 Copilot-functies kun je centraal uitzetten in het Microsoft 365 Admin Center, onder Instellingen > Organisatie-instellingen > Services > Copilot. Copilot kan dan niet bij mailboxen tot je organisatie heeft beoordeeld welke gegevens het mag inzien en het goed heeft ingesteld.
Stappen gecontroleerd in mei 2026 met de nieuwe Outlook (versie 2405) en Microsoft 365 Apps for Enterprise.
Wat geen label of regel tegenhoudt
Instellingen bepalen wat Outlook en Microsoft met je gegevens mogen doen. Ze bepalen niet wat een medewerker typt, naar wie hij mailt of welk bestand hij bijvoegt.
Geen instelling voorkomt een Allen beantwoorden in een mailketen over een vergadering. Geen vertrouwelijkheidslabel houdt iemand tegen die zelf een BSN in de onderwerpregel typt. Geen privacy-instelling houdt een verkeerd aangevuld adres tegen voordat iemand op Verzenden klikt.
De meest voorkomende privacyfouten bij e-mail zijn geen configuratiefouten. Het zijn beslissingen van een seconde, midden in het gewone werk, door mensen die op dat moment niet aan privacy denken. Daar komen instellingen niet bij.
Voordat de mail de deur uitgaat
BeeSensible controleert tekstvelden op persoonsgegevens terwijl je typt, ook in het opstelvenster van je mail. De tekst gaat naar de Europese detectiedienst van BeeSensible, waar de analyse in het werkgeheugen draait en de tekst na detectie wordt gewist. Er wordt niets van opgeslagen. Staan er gevoelige gegevens in de tekst of de onderwerpregel van een concept, dan krijgen die een markering in de tekst, zoals een spellingcontrole een tikfout aanstreept: geel voor gevoelige gegevens als een naam of telefoonnummer, rood voor zeer gevoelige gegevens als een BSN of IBAN. Per markering kan de medewerker maskeren of verwijderen voordat de mail wordt verzonden. Bij maskeren komt er een genummerd label als [NAAM1] voor in de plaats.
