De SharePoint-zero-day als wake-up-call

In juli 2025 werden twee kritieke zero-day lekken in Microsoft SharePoint on-premise ontdekt
(CVE-2025-53770/53771). Een dreun voor organisaties die hun data op lokale SharePoint-servers
vertrouwen. Hackers konden deze kwetsbaarheden zonder enige authenticatie misbruiken om op
afstand kwaadaardige code uit te voeren, met toegang tot vertrouwelijke informatie in geïntegreerde
Microsoft-omgevingen (van Office en Teams tot Outlook). Alarmerend genoeg bleek enkel patchen
onvoldoende: de aanval (bijgenaamd “ToolShell”) maakte gebruik van gestolen ASP.NET authenticatiesleutels,
waardoor aanvallers zelfs ná het installeren van de beveiligingsupdate toegang
konden behouden. Organisaties moesten noodmaatregelen nemen: van het vervangen van alle
machine keys tot het inschakelen van incident response-teams.

Deze gebeurtenis was een wake-up-call: het illustreert de risico’s van blind vertrouwen op één vendor en diens proprietary platform. Vendor lock-in kan betekenen dat je bij een zero-day overgeleverd bent aan de risico’s van die ene leverancier, met potentieel ontwrichtende gevolgen. Het nieuwe dreigingslandschap voor bedrijven die hybride werken, ransomware en strengere privacyregels hebben het strategische risicoprofiel van MKB’ers ingrijpend veranderd. Werknemers werken deels remote, waardoor traditionele perimeterbeveiliging niet langer volstaat en interne bestanden (op kantoorservers of NAS) van overal toegankelijk moeten zijn. Tegelijk voeren cybercriminelen hun aanvallen op: uit onderzoek van ABN AMRO blijkt dat in 2024 één op de vijf Nederlandse bedrijven directe schade ondervond door cybercriminaliteit. Slechts 8% kampte met louter financiële verliezen; veel vaker waren het gestolen klantgegevens, operationele stilstand of reputatieschade die de meeste impact hadden. Vooral ransomware is een groeiende dreiging: de politie waarschuwde begin dit jaar dat dergelijke aanvallen in aantal én ernst toenemen. We hebben allemaal de nieuwsberichten gezien van gegijzelde
servers en losgeldclaims met dagenlange downtime als gevolg.

Naast de directe operationele schade zijn er ook juridische en financiële risico’s. De GDPR (AVG) verplicht
organisaties om persoonsgegevens adequaat te beschermen, op straffe van fikse boetes. Deze kunnen
oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet – voor een middelgrote onderneming
potentieel levensbedreigend. Sinds het Schrems II-arrest is bovendien duidelijk dat EU-toezichthouders
streng kijken naar data-uitwisseling buiten Europa; in 2022 deelden Europese autoriteiten gezamenlijk voor
€1,1 miljard aan GDPR-boetes uit. Los van boetes riskeren bedrijven ook aansprakelijkheidsclaims van
klanten of partners bij datalekken. Kortom, het digitale dreigingslandschap brengt risico’s mee die de
operationele continuïteit, reputatie én wettelijke compliance van MKB-bedrijven direct raken. Dit besef dringt nu door tot de directiekamers: cybersecurity is niet langer louter een IT-zorg, maar een strategische prioriteit.

Waarom een Europese soevereine cloud cruciaal is

In deze context groeit het belang van datasoevereiniteit, zelf bepalen waar je data staat en wie erbij kan,
onder bescherming van Europese wetgeving. Veel bedrijven gebruiken weliswaar Microsoft 365 in
de cloud voor e-mail en samenwerking, maar houden hun kroonjuwelen (bedrijfsbestanden) bewust op
eigen servers. Vaak is dat ingegeven door vertrouwenskwesties: men wil controle houden en niet alles in de
handen van Big Tech leggen. Toch brengt ook die aanpak risico’s met zich mee, zoals we zagen bij de
SharePoint-exploit. De oplossing ligt in een soevereine cloud: een cloudomgeving die volledig in lijn is met
Europese regelgeving en niet onderhevig aan buitenlandse jurisdictie.

Waarom is dit zo belangrijk? Ten eerste speelt de Amerikaanse CLOUD Act een rol. Deze wet verplicht
Amerikaanse cloudproviders (zoals Microsoft, Google, Amazon) om op bevel van de VS autoriteiten data te
verstrekken, óók als die data op Europese bodem staat. Met andere woorden: zelfs als uw
bedrijfsinformatie in een datacenter in de EU staat, kan een Amerikaans moederbedrijf door Uncle Sam
gedwongen worden die informatie te overhandigen; zonder dat u of Europese toezichthouders hiervan op
de hoogte zijn. Dit staat haaks op de Europese privacyprincipes (GDPR) en plaatst bedrijven in een juridisch
spanningsveld. Schrems II (het beroemde EU-Hof arrest van 2020) onderstreepte dit conflict: het EU-VS
Privacy Shield werd ongeldig verklaard wegens zorgen over Amerikaanse surveillance. Sindsdien zijn
organisaties zélf verantwoordelijk om ervoor te zorgen dat data die ze in de VS (of bij Amerikaanse
providers) opslaan voldoende beschermd is. Zonder adequate maatregelen kunnen toezichthouders
zulke data-overdrachten verbieden, met alle operationele gevolgen van dien.

Een Europese soevereine cloud omzeilt deze problemen. Hiermee bedoelen we een cloudplatform dat
onder EU-jurisdictie valt, in Europese datacenters draait en voldoet aan EU-wetgeving op het gebied van
privacy en beveiliging. Datasoevereiniteit betekent dat jij bepaalt waar je gegevens staan en wie er
toegang toe heeft; geen buitenlandse overheid die er stiekem bij kan. Ook betekent het vrijheid van
vendor lock-in: jij kunt je infrastructuur inrichten op een manier die past bij jouw strategie, zonder
gedwongen te worden tot keuzes door monopolistische leveranciers. Zo blijft jouw organisatie compliant én
strategisch autonoom. In het licht van de CLOUD Act en GDPR is dit geen luxe meer, maar een vereiste om
risico’s te beheersen.

Nextcloud in de spotlight

Een praktijkvoorbeeld van zo’n soevereine, Europese cloudoplossing is Nextcloud. Dit platform biedt de
functionaliteit van bekende clouddiensten (bestandsopslag, delen, samenwerken), maar dan op jouw
voorwaarden. Enkele voordelen van Nextcloud op een rij:

• Open-source en modulair: Nextcloud is 100% open-source software – de broncode is inzichtelijk en
  uitbreidbaar, zonder vendor lock-in. Je bent niet gebonden aan licentiebeperkingen en kunt het
  platform modulair aanvullen met tientallen apps naar behoefte.
• Volledig in de EU te hosten of zelf te hosten: je kunt Nextcloud laten draaien in een Europese
  cloud (of datacenter) naar keuze of zelfs on-premises op jouw eigen servers . Je data blijft
  daarmee Europees en soeverein onder jouw controle (en valt niet onder de U.S. CLOUD Act).
• End-to-end encryptie: Standaard worden verbindingen en opgeslagen bestanden sterk versleuteld
  (TLS/SSL, AES-256). Optioneel kun je end-to-end-encryptie inschakelen, zodat gegevens van bron tot
  bestemming onleesbaar zijn voor derden . Zelfs de serverbeheerder kan de inhoud dan niet
  ontsleutelen (zero-knowledge).
• Fijnmazige toegangscontrole: Nextcloud bevat een uitgebreid rechten- en gebruikerssysteem. Je
  bepaalt per gebruiker, groep of zelfs bestand welke acties zijn toegestaan, geheel afgestemd op jouw
  governance-beleid . Denk aan share-links met vervaldatum, of restricties op IP-adres of tijdstip
  indien nodig.
• Synchronisatie met desktop en mobiel: Medewerkers kunnen naadloos werken alsof het een
  traditionele fileshare is – met sync-clients voor Windows, Mac, Linux, plus mobile apps. Bestanden
  staan up-to-date op alle apparaten, wat de productiviteit ten goede komt, ook bij hybride werken.

 

Belangrijk in deze context: Nextcloud is een volwassen oplossing, gekozen door tal van organisaties die
waarde hechten aan Europese soevereiniteit. Zo heeft de hoogste EU-privacytoezichthouder (EDPS)
Nextcloud in gebruik en aanbevolen als alternatief voor U.S. Big Tech . Bovendien bieden wij Nextcloud aan als volledig beheerde cloudservice, gehost in de EU.

Deze dienst draait in ISO 27001-gecertificeerde datacenters en is ingericht op volledige GDPR-compliance,
zodat bedrijven zorgeloos van Nextcloud kunnen profiteren zonder zelf de technische
beheerlast te dragen. Met Nextcloud, en de ondersteuning van een partij als Perrit, krijg je het beste van twee werelden: de flexibiliteit van de cloud, én de gemoedsrust van een soevereine Europese oplossing.