Berichtenquarantaine in Microsoft 365: wat het MKB wel en niet vrijgeeft

Wat berichtenquarantaine wel en niet is

Quarantaine is geen spammap in Outlook en geen “verwijderd”-map. Het is een aparte opslag in Microsoft 365 waar berichten landen die het filter als spam, phishing, malware of beleidsblokkade heeft gemarkeerd — afhankelijk van uw beleid en licenties. Gebruikers zien die mail niet standaard in de inbox; iemand met de juiste rechten (of een quarantaine-melding, als u die toestaat) moet bewust handelen: vrijgeven, verwijderen, of laten staan tot de bewaartermijn verloopt.

Het is ook geen vervanging van authenticatie van mail. SPF, DKIM en DMARC helpen bepalen of een afzenderdomein klopt; quarantaine vangt wat daarna of daarnaast nog verdacht is. Zie SPF, DKIM en DMARC voor MKB-mail: die records en beleid horen erbij, niet “of/of”.

Wie mag vrijgeven — en wie juist niet

Drie patronen komen in het MKB terug. Iedereen krijgt quarantaine-notificaties en klikt “vrijgeven” omdat “het een factuur lijkt” — dat is het risico: één overtuigende phishingmail wordt zo alsnog afgeleverd. Alleen de directeur heeft rechten, maar is er nooit — dan stapelen klachten over “verdwenen mail” zonder proces. Of alleen de MSP mag vrijgeven, maar niemand heeft afgesproken wanneer de klant zelf mag beslissen over een bekende leverancier.

De praktische lijn: beperk quarantainerechten tot een kleine groep (IT-contact, directie-afspraak, of Floor ICT); geef gewone gebruikers hoogstens een melding mét instructie “niet vrijgeven bij twijfel”; en koppel vrijgeven aan named users met MFA — geen gedeeld beheerderswachtwoord. Zie ook beheerdersaccounts.

False positive versus echte dreiging

False positive: een bekende leverancier, het juiste domein, inhoud die past bij een lopende bestelling — maar het filter was te streng (nieuwe domeinnaam, bijlage-type, bulkgedrag). Dan kan vrijgeven terecht zijn, idealiter na een snelle check op afzender en link.

Echte dreiging: onbekende afzender, urgentie (“betaal nu”, “uw mailbox wordt gesloten”), bijlage of link die u niet verwachtte, of een lookalike-domein. Dan is “niet vrijgeven” de standaard; escaleer naar uw MSP of security-contact. Vrijgeven van malware of credential-phishing ondermijnt MFA en training — zie security awareness.

Twijfel = niet vrijgeven. Vraag Floor ICT of de processeigenaar; documenteer wat u deed.

Wat u schriftelijk vastlegt

Houd het kort genoeg om dit kwartaal echt te besluiten:

• wie quarantaine mag bekijken en berichten mag vrijgeven (namen of rol — niet “iedereen met Outlook”);
• of eindgebruikers quarantaine-meldingen krijgen, en wat de instructie is bij twijfel;
• wanneer u escaleert naar Floor ICT (bijlage, onbekende afzender, VIP-doelwit, herhaalde phishing);
• dat vrijgeven een incident-achtige keuze is: noteer datum, wie, welk bericht (onderwerp/afzender), en waarom;
• reviewcadans: periodiek kijken of te veel false positives wijzen op te streng of te slap beleid;
• koppeling met mailauthenticatie: SPF/DKIM/DMARC en eventueel Defender-beleid horen bij dezelfde mailhygiëne.

Schrijf die punten op één pagina. Dat is uw quarantaine-afspraak; de tenant volgt die tekst.

Wat Floor ICT configureert — en wat u beslist

In de Microsoft 365-tenant zetten wij doorgaans: anti-spam- en anti-phishingbeleid dat past bij uw licentie; quarantainetags en -meldingen volgens uw keuze; rechten voor wie de quarantaine mag beheren; en een werkwijze voor “twijfel → ticket naar Floor ICT” in plaats van willekeurig vrijgeven. We helpen false positives analyseren (te streng filter versus echte dreiging) en koppelen dit aan SPF/DKIM/DMARC en MFA.

U beslist nog steeds: wie in uw organisatie mag vrijgeven; of een specifieke leverancier “altijd oké” is na review; en hoe streng u wilt filteren versus hoe vaak u false positives accepteert. Technische knoppen zonder die afspraak geven schijnveiligheid; beleid zonder werkende quarantaine ook niet.