S/MIME

S/MIME staat voor Secure/Multipurpose Internet Mail Extensions en is een internetstandaard voor het digitaal ondertekenen en versleutelen van e-mailberichten. De technologie maakt gebruik van asymmetrische cryptografie en digitale certificaten om drie kernfuncties te bieden: authenticatie van de afzender, integriteit van het bericht en vertrouwelijkheid van de inhoud. S/MIME beschermt e-mailcommunicatie tegen onderschepping, manipulatie en spoofing. Het is een effectieve verdediging tegen phishing omdat ontvangers cryptografisch kunnen verifieren dat een bericht daadwerkelijk afkomstig is van de geclaimde afzender en dat de inhoud onderweg niet is gewijzigd. De standaard wordt breed ondersteund door e-mailclients zoals Microsoft Outlook, Apple Mail en Mozilla Thunderbird en is daarmee toegankelijk voor vrijwel elke organisatie.

Hoe werkt S/MIME?

S/MIME werkt op basis van een Public Key Infrastructure (PKI). Elke gebruiker heeft een S/MIME-certificaat dat een publieke en een private sleutel bevat. De publieke sleutel wordt gedeeld met communicatiepartners, terwijl de private sleutel uitsluitend bij de eigenaar blijft. Bij het versturen van een versleuteld bericht wordt de inhoud gecodeerd met de publieke sleutel van de ontvanger. Alleen de ontvanger kan het bericht ontsleutelen met de bijbehorende private sleutel.

Bij digitale ondertekening genereert de afzender een hash van het bericht en versleutelt deze hash met de eigen private sleutel. De ontvanger gebruikt de publieke sleutel van de afzender om de hash te ontsleutelen en vergelijkt deze met een zelf berekende hash van het ontvangen bericht. Als beide hashes overeenkomen, is bewezen dat het bericht niet is gewijzigd en dat het afkomstig is van de houder van de private sleutel. Dit mechanisme biedt non-repudiation: de afzender kan niet ontkennen het bericht te hebben verstuurd.

De S/MIME-certificaten worden uitgegeven door Certificate Authorities (CAs) zoals DigiCert, GlobalSign en Sectigo. Deze CAs verifieren de identiteit van de aanvrager voordat zij een certificaat uitgeven, wat het vertrouwensmodel van S/MIME onderbouwt. Certificaten hebben een beperkte geldigheid, doorgaans een tot drie jaar, en moeten tijdig worden vernieuwd om de bescherming te behouden. De technologie ondersteunt verschillende encryptie-algoritmen, waaronder AES-256 voor versleuteling en RSA of ECDSA voor digitale handtekeningen.

Wanneer heb je S/MIME nodig?

S/MIME is bijzonder waardevol voor organisaties die gevoelige informatie per e-mail uitwisselen. In sectoren zoals de financiele dienstverlening, gezondheidszorg en juridische sector is vertrouwelijke communicatie een vereiste. S/MIME biedt end-to-end encryptie waardoor alleen de beoogde ontvanger het bericht kan lezen, ook als de e-mailserver wordt gecompromitteerd. Dit maakt het een sterkere bescherming dan alleen TLS-transportencryptie, die het verkeer alleen onderweg beschermt.

Voor organisaties die moeten voldoen aan de AVG biedt S/MIME een technische maatregel om persoonsgegevens te beschermen bij verzending per e-mail. Ook bij het delen van medische gegevens (NEN 7510) of financiele rapportages kan S/MIME helpen om aan de vereiste beveiligingsnormen te voldoen. Het biedt bovendien aantoonbaarheid: je kunt bewijzen dat een bericht versleuteld is verzonden en door de correcte ontvanger is ontvangen.

Daarnaast is S/MIME effectief tegen Business Email Compromise (BEC), een aanvalsvorm waarbij criminelen zich voordoen als een directielid of leverancier om frauduleuze betalingsopdrachten te versturen. Wanneer medewerkers gewend zijn aan digitaal ondertekende e-mails van het management, valt een niet-ondertekend of vals ondertekend bericht direct op. Dit verlaagt het risico op succesvolle BEC-aanvallen aanzienlijk.

Voordelen en beperkingen van S/MIME

Het belangrijkste voordeel van S/MIME is de combinatie van versleuteling en authenticatie in een brede standaard die door de meeste e-mailclients wordt ondersteund. Je hebt geen aparte tools of platforms nodig; S/MIME integreert naadloos in bestaande e-mailworkflows. De bescherming reist mee met het bericht: zelfs als een bericht wordt doorgestuurd of opgeslagen op een onbeveiligde locatie, blijft de encryptie intact.

Een belangrijke beperking is dat beide partijen S/MIME moeten gebruiken. Je kunt geen versleuteld bericht sturen naar iemand zonder S/MIME-certificaat. Dit beperkt de bruikbaarheid bij communicatie met externe partijen die geen S/MIME hebben geimplementeerd. De uitrol en het beheer van certificaten vereist een zorgvuldig certificaatbeheerproces, vooral in grotere organisaties met honderden of duizenden gebruikers.

Mobiel gebruik kan uitdagend zijn. Niet alle mobiele e-mailclients ondersteunen S/MIME even goed, en het beheren van private sleutels op mobiele apparaten vereist een Mobile Device Management (MDM) oplossing. De kosten van S/MIME-certificaten varieren van gratis (voor basisgebruik) tot tientallen euros per gebruiker per jaar voor organisatiecertificaten met uitgebreide validatie.

S/MIME versleutelt de inhoud van berichten, maar niet de metadata zoals onderwerpregel, afzender en ontvanger. Deze informatie blijft zichtbaar voor iedereen die het verkeer kan onderscheppen. Voor communicatie waarbij ook metadata verborgen moet blijven, zijn aanvullende maatregelen nodig.

S/MIME implementeren in je organisatie

Een succesvolle S/MIME-implementatie begint met het opzetten van certificaatbeheer. Kies een Certificate Authority die past bij de omvang van je organisatie en overweeg of je certificaten individueel wilt aanvragen of centraal wilt beheren via een enterprise-oplossing. Microsoft Active Directory Certificate Services en tools als Keyfactor bieden gecentraliseerd beheer van S/MIME-certificaten, inclusief automatische vernieuwing en uitrol.

Train medewerkers in het herkennen van ondertekende versus niet-ondertekende berichten en het correct versleutelen van gevoelige communicatie. Stel duidelijke richtlijnen op voor welke typen communicatie verplicht versleuteld moeten worden en welke alleen ondertekend. Implementeer monitoring om te controleren of certificaten tijdig worden vernieuwd en of de S/MIME-configuratie correct is ingesteld op alle apparaten. Begin met een pilotgroep voordat je S/MIME organisatiebreed uitrolt en evalueer de impact op werkprocessen en gebruikerservaring.

Veelgestelde vragen over S/MIME

Wat is het verschil tussen S/MIME en PGP?

Beide bieden e-mailversleuteling en digitale ondertekening, maar gebruiken verschillende vertrouwensmodellen. S/MIME gebruikt een hierarchisch model met Certificate Authorities, terwijl PGP werkt met een Web of Trust waar gebruikers elkaars sleutels vertrouwen. S/MIME is beter geintegreerd in zakelijke e-mailclients, PGP is populairder in de open-sourcegemeenschap.

Hoe installeer je S/MIME in Outlook?

Vraag een S/MIME-certificaat aan bij een Certificate Authority, installeer het certificaat op je computer, open Outlook-instellingen, navigeer naar Trust Center en configureer het certificaat onder E-mailbeveiliging. Na configuratie kun je bij elk nieuw bericht kiezen voor ondertekenen, versleutelen of beide.

Wat kost een S/MIME-certificaat?

Basiscertificaten zijn beschikbaar vanaf enkele euros per jaar. Organisatiecertificaten met uitgebreide identiteitsvalidatie kosten doorgaans 20 tot 50 euro per gebruiker per jaar. Bij grotere aantallen zijn volumekortingen gebruikelijk. Sommige Certificate Authorities bieden gratis certificaten aan voor persoonlijk gebruik.

Beschermt S/MIME tegen phishing?

S/MIME helpt tegen phishing door de identiteit van de afzender cryptografisch te verifieren. Als je organisatie consequent S/MIME-ondertekening gebruikt, vallen ongetekende berichten van onbekende afzenders direct op. Het is geen volledige bescherming tegen alle vormen van phishing, maar het maakt impersonatie van bekende afzenders aanzienlijk moeilijker.

Werkt S/MIME met webmail?

Ondersteuning voor S/MIME in webmail is beperkt maar groeit. Microsoft 365 Outlook Web App ondersteunt S/MIME mits een browserextensie of het S/MIME-besturingselement is geinstalleerd. Gmail biedt S/MIME-ondersteuning in Google Workspace Enterprise. Voor betrouwbare S/MIME-functionaliteit zijn desktopclients zoals Outlook of Thunderbird nog altijd een geschikte keuze.

Beveilig je e-mailcommunicatie. Vergelijk e-mailbeveiliging-aanbieders op IBgidsNL.