Automatisch doorsturen van e-mail in Microsoft 365: waarom u dat in het MKB blokkeert

Wat automatisch doorsturen wel en niet is

In Microsoft 365 zitten twee lagen die mensen vaak door elkaar halen:

• Inboxregel (Outlook / Exchange Online): de gebruiker (of iemand met toegang tot de mailbox) maakt een regel die berichten Forward of Redirect naar een extern adres — vaak een privé-Gmail. Redirect houdt de oorspronkelijke afzender; Forward stuurt door vanaf de mailbox. Beide kunnen maanden onzichtbaar blijven als niemand de regels reviewt.
• Tenant / remote domain (AutoForwardEnabled): op organisatieniveau bepaalt u of automatische forwards naar externe domeinen überhaupt mogen. Staat dat open, dan werken gebruikersregels naar buiten; staat het dicht, dan faalt externe auto-forward tenzij u een uitzondering maakt.

Dat is iets anders dan handmatig “doorsturen” van één bericht, of een gedelegeerde mailbox die u bewust zo hebt ingericht. Het gaat om stille, doorlopende kopieën naar buiten de organisatie.

Waarom het MKB dit moet blokkeren

Drie praktische redenen. Exfiltratie na phishing: wie een mailbox overneemt, zet vaak binnen minuten een forward-regel naar een eigen adres — en wist of verbergt die regel. Vertrekkers: een collega die nog een forward naar privé heeft staan, blijft mail ontvangen nadat u denkt dat de toegang dicht is — zie ook de in- en uitdienstchecklist en inactieve accounts. Stille kopie: “ik stuur alles naar mijn Gmail zodat ik onderweg kan lezen” is begrijpelijk, maar legt zakelijke mail buiten uw tenant, buiten uw retentie en buiten meervoudige authenticatie (MFA) op uw tenant — zie MFA aanzetten in Microsoft 365.

Mailauthenticatie (SPF, DKIM en DMARC) beschermt tegen spoofing van uw domein; het stopt geen outbound forward vanuit een legitieme mailbox. Die twee horen naast elkaar, niet in plaats van elkaar.

Wat u schriftelijk vastlegt

Houd het kort genoeg om dit kwartaal echt te besluiten:

• standaard: externe auto-forward geblokkeerd (remote domain / outbound controls);
• uitzonderingen: alleen op naam (mailbox of domein), met eigenaar, reden en einddatum;
• wie mag een uitzondering aanvragen (directeur, HR, of een vast aanspreekpunt) en wie keurt goed;
• alternatieven eerst: gedeelde mailbox, gasttoegang, of app op het zakelijke account — niet “alles naar privé”;
• review: elk kwartaal de allow-list nalopen; bij uitdienst elke forward-regel van die mailbox controleren;
• Secure Score / hygiëne: forward-blokkade als vast punt naast MFA en account-review.

Schrijf die punten op één pagina. Dat is uw anti-forwardbeleid; de tenant volgt die tekst.

Wat Floor ICT configureert — en wat u beslist

In de Microsoft 365-tenant zetten wij doorgaans: Remote domain / AutoForward-instellingen zodat externe auto-forward standaard niet mag; Outbound spam- en Transport-gerelateerde controles die verdachte forwards beperken of signaleren; alerts of periodieke rapporten op bestaande inboxregels met externe Forward/Redirect; en opruimen van bekende regels na uw akkoord. We koppelen dit aan joiner-/leaver zodat vertrekkers geen stille forwards achterlaten.

U beslist nog steeds: of de standaard echt “blokkeer alles” is; welke partners of scenario’s een uitzondering verdienen; hoe lang die geldt; en of een gedeelde mailbox of gastaccount het betere antwoord is. Technische knoppen zonder eigenaarschap lossen “iemand stuurt al een jaar naar privé” niet op; beleid zonder uitvoering ook niet.