De SharePoint-zero-day als wake-up-call
In juli 2025 werden twee kritieke zero-day lekken in Microsoft SharePoint on-premise ontdekt
(CVE-2025-53770/53771). Een dreun voor organisaties die hun data op lokale SharePoint-servers
vertrouwen. Hackers konden deze kwetsbaarheden zonder enige authenticatie misbruiken om op
afstand kwaadaardige code uit te voeren, met toegang tot vertrouwelijke informatie in geïntegreerde
Microsoft-omgevingen (van Office en Teams tot Outlook). Alarmerend genoeg bleek enkel patchen
onvoldoende: de aanval (bijgenaamd “ToolShell”) maakte gebruik van gestolen ASP.NET authenticatiesleutels,
waardoor aanvallers zelfs ná het installeren van de beveiligingsupdate toegang
konden behouden. Organisaties moesten noodmaatregelen nemen: van het vervangen van alle
machine keys tot het inschakelen van incident response-teams.
Deze gebeurtenis was een wake-up-call: het illustreert de risico’s van blind vertrouwen op één vendor en diens proprietary platform. Vendor lock-in kan betekenen dat je bij een zero-day overgeleverd bent aan de risico’s van die ene leverancier, met potentieel ontwrichtende gevolgen. Het nieuwe dreigingslandschap voor bedrijven die hybride werken, ransomware en strengere privacyregels hebben het strategische risicoprofiel van MKB’ers ingrijpend veranderd. Werknemers werken deels remote, waardoor traditionele perimeterbeveiliging niet langer volstaat en interne bestanden (op kantoorservers of NAS) van overal toegankelijk moeten zijn. Tegelijk voeren cybercriminelen hun aanvallen op: uit onderzoek van ABN AMRO blijkt dat in 2024 één op de vijf Nederlandse bedrijven directe schade ondervond door cybercriminaliteit. Slechts 8% kampte met louter financiële verliezen; veel vaker waren het gestolen klantgegevens, operationele stilstand of reputatieschade die de meeste impact hadden. Vooral ransomware is een groeiende dreiging: de politie waarschuwde begin dit jaar dat dergelijke aanvallen in aantal én ernst toenemen. We hebben allemaal de nieuwsberichten gezien van gegijzelde
servers en losgeldclaims met dagenlange downtime als gevolg.
Naast de directe operationele schade zijn er ook juridische en financiële risico’s. De GDPR (AVG) verplicht
organisaties om persoonsgegevens adequaat te beschermen, op straffe van fikse boetes. Deze kunnen
oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet – voor een middelgrote onderneming
potentieel levensbedreigend. Sinds het Schrems II-arrest is bovendien duidelijk dat EU-toezichthouders
streng kijken naar data-uitwisseling buiten Europa; in 2022 deelden Europese autoriteiten gezamenlijk voor
€1,1 miljard aan GDPR-boetes uit. Los van boetes riskeren bedrijven ook aansprakelijkheidsclaims van
klanten of partners bij datalekken. Kortom, het digitale dreigingslandschap brengt risico’s mee die de
operationele continuïteit, reputatie én wettelijke compliance van MKB-bedrijven direct raken. Dit besef dringt nu door tot de directiekamers: cybersecurity is niet langer louter een IT-zorg, maar een strategische prioriteit.
Waarom een Europese soevereine cloud cruciaal is
In deze context groeit het belang van datasoevereiniteit, zelf bepalen waar je data staat en wie erbij kan,
onder bescherming van Europese wetgeving. Veel bedrijven gebruiken weliswaar Microsoft 365 in
de cloud voor e-mail en samenwerking, maar houden hun kroonjuwelen (bedrijfsbestanden) bewust op
eigen servers. Vaak is dat ingegeven door vertrouwenskwesties: men wil controle houden en niet alles in de
handen van Big Tech leggen. Toch brengt ook die aanpak risico’s met zich mee, zoals we zagen bij de
SharePoint-exploit. De oplossing ligt in een soevereine cloud: een cloudomgeving die volledig in lijn is met
Europese regelgeving en niet onderhevig aan buitenlandse jurisdictie.
Waarom is dit zo belangrijk? Ten eerste speelt de Amerikaanse CLOUD Act een rol. Deze wet verplicht
Amerikaanse cloudproviders (zoals Microsoft, Google, Amazon) om op bevel van de VS autoriteiten data te
verstrekken, óók als die data op Europese bodem staat. Met andere woorden: zelfs als uw
bedrijfsinformatie in een datacenter in de EU staat, kan een Amerikaans moederbedrijf door Uncle Sam
gedwongen worden die informatie te overhandigen; zonder dat u of Europese toezichthouders hiervan op
de hoogte zijn. Dit staat haaks op de Europese privacyprincipes (GDPR) en plaatst bedrijven in een juridisch
spanningsveld. Schrems II (het beroemde EU-Hof arrest van 2020) onderstreepte dit conflict: het EU-VS
Privacy Shield werd ongeldig verklaard wegens zorgen over Amerikaanse surveillance. Sindsdien zijn
organisaties zélf verantwoordelijk om ervoor te zorgen dat data die ze in de VS (of bij Amerikaanse
providers) opslaan voldoende beschermd is. Zonder adequate maatregelen kunnen toezichthouders
zulke data-overdrachten verbieden, met alle operationele gevolgen van dien.
Een Europese soevereine cloud omzeilt deze problemen. Hiermee bedoelen we een cloudplatform dat
onder EU-jurisdictie valt, in Europese datacenters draait en voldoet aan EU-wetgeving op het gebied van
privacy en beveiliging. Datasoevereiniteit betekent dat jij bepaalt waar je gegevens staan en wie er
toegang toe heeft; geen buitenlandse overheid die er stiekem bij kan. Ook betekent het vrijheid van
vendor lock-in: jij kunt je infrastructuur inrichten op een manier die past bij jouw strategie, zonder
gedwongen te worden tot keuzes door monopolistische leveranciers. Zo blijft jouw organisatie compliant én
strategisch autonoom. In het licht van de CLOUD Act en GDPR is dit geen luxe meer, maar een vereiste om
risico’s te beheersen.
Nextcloud in de spotlight
Een praktijkvoorbeeld van zo’n soevereine, Europese cloudoplossing is Nextcloud. Dit platform biedt de
functionaliteit van bekende clouddiensten (bestandsopslag, delen, samenwerken), maar dan op jouw
voorwaarden. Enkele voordelen van Nextcloud op een rij:
- Open-source en modulair: Nextcloud is 100% open-source software – de broncode is inzichtelijk en
uitbreidbaar, zonder vendor lock-in. Je bent niet gebonden aan licentiebeperkingen en kunt het
platform modulair aanvullen met tientallen apps naar behoefte. - Volledig in de EU te hosten of zelf te hosten: je kunt Nextcloud laten draaien in een Europese
cloud (of datacenter) naar keuze of zelfs on-premises op jouw eigen servers . Je data blijft
daarmee Europees en soeverein onder jouw controle (en valt niet onder de U.S. CLOUD Act). - End-to-end encryptie: Standaard worden verbindingen en opgeslagen bestanden sterk versleuteld
(TLS/SSL, AES-256). Optioneel kun je end-to-end-encryptie inschakelen, zodat gegevens van bron tot
bestemming onleesbaar zijn voor derden . Zelfs de serverbeheerder kan de inhoud dan niet
ontsleutelen (zero-knowledge). - Fijnmazige toegangscontrole: Nextcloud bevat een uitgebreid rechten- en gebruikerssysteem. Je
bepaalt per gebruiker, groep of zelfs bestand welke acties zijn toegestaan, geheel afgestemd op jouw
governance-beleid . Denk aan share-links met vervaldatum, of restricties op IP-adres of tijdstip
indien nodig. - Synchronisatie met desktop en mobiel: Medewerkers kunnen naadloos werken alsof het een
traditionele fileshare is – met sync-clients voor Windows, Mac, Linux, plus mobile apps. Bestanden
staan up-to-date op alle apparaten, wat de productiviteit ten goede komt, ook bij hybride werken.
Belangrijk in deze context: Nextcloud is een volwassen oplossing, gekozen door tal van organisaties die
waarde hechten aan Europese soevereiniteit. Zo heeft de hoogste EU-privacytoezichthouder (EDPS)
Nextcloud in gebruik en aanbevolen als alternatief voor U.S. Big Tech . Bovendien bieden wij Nextcloud aan als volledig beheerde cloudservice, gehost in de EU.
Deze dienst draait in ISO 27001-gecertificeerde datacenters en is ingericht op volledige GDPR-compliance,
zodat bedrijven zorgeloos van Nextcloud kunnen profiteren zonder zelf de technische
beheerlast te dragen. Met Nextcloud, en de ondersteuning van een partij als Perrit, krijg je het beste van twee werelden: de flexibiliteit van de cloud, én de gemoedsrust van een soevereine Europese oplossing.
Hoe Nextcloud incidenten zoals de SharePoint-zero-day voorkomt
De SharePoint-zero-day uit de opening legt een pijnpunt bloot: proprietary platforms kunnen verborgen
zwaktes hebben die lastig snel te dichten zijn. Nextcloud’s architectuur en updatebeleid zijn van meet af aan
gericht op veiligheid en controle voor de klant. Enkele redenen waarom Nextcloud zulke exploits helpt
voorkomen:
Geen propriëtaire authenticatietokens: De SharePoint-aanval wist misbruik te maken van
gestolen, statische machine keys in dat platform . Nextcloud daarentegen gebruikt open
standaarden en dynamische tokens voor authenticatie, waardoor er geen enkel geheim master key
rondzwerft die een aanvaller langdurig toegang verschaft. Dit vermindert de kans dat een
compromis in één klap de hele omgeving openzet.
Snelle community-patches: Als open-source project heeft Nextcloud een wereldwijd actieve
community én enterprise support die continu meekijkt. Beveiligingsproblemen komen sneller aan
het licht en patches kunnen vaak binnen uren of dagen beschikbaar zijn – niet weken. Je bent niet
afhankelijk van een langzaam release-schema van een leverancier; je kunt updates direct toepassen
zodra ze uitkomen.
Optionele zero-knowledge-encryptie: Zelfs in het onwaarschijnlijke geval dat een Nextcloud-server
wordt binnengedrongen, kunt je ervoor kiezen data end-to-end versleuteld op te slaan. Dankzij deze
zero-knowledge-aanpak is de inhoud van bijvoorbeeld een uiterst gevoelige map onleesbaar zonder
de client-side encryptiesleutels . Een exploit zoals bij SharePoint – waarbij na binnenkomst vrij
rondgesnuffeld kon worden – wordt zo effectief gedempt.
Eigen omgeving, kleiner aanvalsoppervlak: Waar Microsoft 365 en SharePoint Online multitenant
clouds zijn (veel klanten delen dezelfde infrastructuur), kan Nextcloud per organisatie als
single-tenant draaien. Je host het zelf of bij een dedicated provider, volledig afgeschermd.
Dit elimineert het risico op zogeheten cross-tenant aanvallen waarbij een lek bij de ene gebruiker ook
anderen raakt.
Jouw Nextcloud-instantie is een eiland: je bepaalt het beveiligingsniveau, de
configuratie en timing van updates, zonder afhankelijk te zijn van een gedeelde omgeving.
Samengevat geeft Nextcloud bedrijven de tools in handen om proactief incidenten te voorkomen in plaats
van reactief te moeten blussen. Je hebt de vrijheid om maatregelen door te voeren die passen bij jouw
risicoprofiel, iets wat bij gesloten ecosystemen lastiger is.
Zakelijke impact en ROI
Nextcloud biedt niet alleen technische gemoedsrust, maar ook bedrijfskundige voordelen. Enkele
concrete positieve impacts:
- Minder downtime: Door zelf de regie te hebben over updates en beveiliging, kun je onderhoud
inplannen op geschikte momenten en voorkom je noodpatches midden in de werkweek. Geen
afhankelijkheid van een vendor die onverwacht jouw omgeving moet afsluiten. In de praktijk betekent
dit hogere beschikbaarheid van kritieke bestanden en minder verstoring van de bedrijfsvoering. - Transparante, voorspelbare kosten: Nextcloud zelf is licentievrij; u betaalt hooguit voor support of
hosting. Geen oplopende abonnementskosten per gebruiker of verrassende prijsstijgingen. Dit
maakt budgetteren eenvoudiger. Bovendien kunt u geleidelijk schalen op uw eigen infrastructuur of
cloud naar keuze, zonder gedwongen te worden tot duurdere licentieniveaus. - Versterkte compliancepositie: Met Nextcloud kunt u aantonen dát u in control bent. U weet precies
waar data staat (bijvoorbeeld exclusief in Nederland of België), kunt dataverzoeken afhandelen en
beschikt over uitgebreide audit-logs van alle gebruikersacties . Dit vereenvoudigt GDPRcompliance
en interne/externe audits aanzienlijk. Ook kunt u beveiligingspolicies afdwingen (zoals
data-retentie of classificatie) die aansluiten op uw sector-eisen. - Lagere TCO: Over de totale levensduur kan Nextcloud aanzienlijk voordeliger uitpakken dan
traditionele oplossingen. Door de efficiënte integratie in bestaande infrastructuur en het wegvallen
van licentiekosten, zag menig organisatie de Total Cost of Ownership dalen . Zo hoef je geen dure
Microsoft-add-ons af te nemen voor functionaliteit die Nextcloud standaard biedt. Ook
migratierisico’s en exit-kosten zijn lager, omdat open standaarden lock-in voorkomen.
Met Nextcloud behoud je de volledige controle over je data, zonder dat Amerikaanse
wetgeving of vendor lock-in je strategie dwarsboomt. Tot slot, het strategische plaatje: een soevereine Europese cloudoplossing als Nextcloud zorgt ervoor dat IT weer een enabler wordt in plaats van een blok aan het been. In plaats van te moeten kiezen tussen innovatie en veiligheid, krijg je beide. De recente SharePoint-zeroday heeft velen wakker geschud. Voor middelgrote bedrijven is dit hét moment om de stap te zetten naar een moderne, Europese cloud die hun autonomie respecteert. Geen Amerikaanse achterdeurtjes, geen onaangename verrassingen; enkel de zekerheid dat uw bedrijfsgegevens in goede handen zijn: in die van uzelf.
