E-mail is onmisbaar voor het uitvoeren van je werk. Maar juist omdat je via de mail dagelijks gevoelige informatie krijgt (offertes, facturen, interne afspraken) is het een heel aantrekkelijk doelwit voor cybercriminelen. Het is de voordeur van je onderneming, en daar moet natuurlijk een betrouwbaar slot op. In dit artikel duiken we in zo’n slot: Google e-mailbeveiliging. Wat doet het precies? En wanneer heb je extra maatregelen nodig, naast de standaardbeveiliging van Google?
Volgens onderzoek van de Stichting Internet Domeinregistratie Nederland (SIDN) kreeg in 2025 maar liefst 58% van het MKB te maken met een malware, phishing of spoofingaanval. Die aanvallen kwamen via e-mail, telefoon of sms. Ze waren weliswaar niet allemaal succesvol (de succesratio is niet bekend), maar het onderstreept wel hoe belangrijk het is om je zakelijke e-mail goed te beveiligen.
Wat bedoelen we met Google e-mailbeveiliging?
E-mailbeveiliging zit complexer in elkaar dan je misschien zou denken. Het is niet één instelling die elk gevaar tegenhoudt, het bestaat uit verschillende beveiligingslagen die samen het risico op cybercriminaliteit verkleinen. Daarom is het goed om te begrijpen wat die lagen zijn, en waarom ze essentieel zijn voor de veiligheid van je onderneming.
De term ‘e-mailbeveiliging’ omvat alle maatregelen waarmee Google je e-mail beschermt tegen spam, phishing, schadelijke software en misbruik van accounts. Voor bedrijven gaat het meestal om Gmail binnen Google Workspace, waarbij medewerkers e-mail gebruiken met het eigen bedrijfsdomein, zoals jouwnaam@bedrijf.nl.
Bij iedere mail die binnenkomt controleert Gmail het bericht en de bijlagen automatisch op verdachte inhoud. Daarnaast kan een Workspace-beheerder (een aangewezen persoon in je organisatie) extra instellingen beheren, bijvoorbeeld om waarschuwingen te tonen bij verdachte links of om berichten met bepaalde verdachte kenmerken in de spam-folder te gooien.
Maar ook de beveiliging van gebruikersaccounts en de instellingen van het bedrijfsdomein zijn belangrijk (bron: Google).
Dit zijn de grootste risico’s - en wat Google ertegen doet
Phishing is één van de bekendste risico’s. Hierbij doet een aanvaller zich voor als een bekende van jou of je organisatie (zoals een leverancier, klant, bank of collega) en vraagt je bijvoorbeeld om in te loggen, een factuur te betalen of vertrouwelijke informatie te delen. Oplichters leiden je om de tuin door officiële mails van zulke afzenders na te maken, of bijvoorbeeld te verzenden vanuit een domein dat sterk lijkt op dat van degene die ze nadoen. Dit voordoen als iemand anders noemen we ook wel ‘spoofing’.
Wat Google doet: Google probeert verdachte berichten te herkennen en kan ze naar de spammap sturen, of met een waarschuwing tonen. Beheerders kunnen aanvullende bescherming instellen tegen onder meer domeinen die lijken op dat van het bedrijf en berichten die zich voordoen als een medewerker (bron: Google).
Een schadelijke bijlage kan malware bevatten (schadelijke software die bedoeld is om apparaten of gegevens te beschadigen, te bespioneren of over te nemen), en een link kan naar een nagemaakte inlogpagina leiden. Wanneer je op zo’n link klikt en daar probeert in te loggen, dan hebben de criminelen je accountgegevens te pakken.
Wat Google doet: Gmail scant berichten op malware en blokkeert bepaalde bestandstypen. Een beheerder kan daar extra controles aan toevoegen, bijvoorbeeld voor verdachte scripts, ongebruikelijke bijlagen en links naar onbetrouwbare domeinen. Maar oplettendheid blijft nodig, want een vertrouwde afzender kan bijvoorbeeld zelf ook een accountprobleem hebben, waardoor een schadelijke e-mail vanuit diens echte adres wordt verstuurd (bron: Google).
Een ander groot risico zijn overgenomen accounts. Als een aanvaller toegang krijgt tot je zakelijke mailbox, kan deze eerdere gesprekken lezen en nieuwe berichten versturen vanuit jouw account. Dit maakt fraude geloofwaardiger. Dit kan al gebeuren via een buitgemaakt of hergebruikt wachtwoord.
Wat Google doet: Om dit te voorkomen is het zo belangrijk dat je wachtwoorden niet hergebruikt, of regelmatig ververst. Daarnaast is tweestapsverificatie belangrijk, of het gebruik van een passkey (bron: Google).
Tot slot willen we misbruik van je bedrijfsdomein onder de aandacht brengen. Hierbij kunnen aanvallers proberen om e-mails te versturen die lijken te komen vanuit jouw bedrijfsdomein. Instellingen zoals SPF, DKIM en DMARC helpen ontvangende e-maildiensten te controleren of berichten echt namens jouw domein zijn verstuurd.
Dit zijn hun taken:
- SPF geeft aan welke diensten namens jouw domein e-mail mogen versturen.
- DKIM voegt een digitale handtekening toe waarmee ontvangende diensten het bericht kunnen controleren.
- DMARC vertelt ontvangende diensten hoe ze berichten moeten behandelen die deze controles niet doorstaan.
Deze 3 instellingen zijn vooral belangrijk als je e-mail verstuurt via meerdere diensten, zoals Google Workspace, een nieuwsbriefplatform en boekhoudsoftware. Ze moeten goed op elkaar aansluiten: ontbreekt een legitieme dienst in de instellingen, dan kunnen gewone berichten in de spam belanden (bron: Google).
Is de standaardbeveiliging voldoende voor jou?
De standaardbeveiliging van Gmail, zoals hierboven beschreven, is een belangrijke basis. Maar geen enkele filter vangt echt alles af. Een e-mail kan technisch veilig lijken, en toch misleidend zijn. Denk hierbij aan een verzoek om ‘met spoed’ een rekeningnummer te wijzigen, of een bericht dat afkomstig is van een echt account dat is overgenomen. Daarom blijft het belangrijk dat jij en je medewerkers weten hoe ze verdachte berichten kunnen herkennen en melden (bron: Google Workspace).
Wanneer heeft je bedrijf extra aandacht nodig?
E-mailbeveiliging verdient extra aandacht als:
- Medewerkers e-mail gebruiken voor facturen, betalingen of klantgegevens.
- Meerdere mensen toegang hebben tot zakelijke mailboxen
- Je bedrijf vanuit verschillende systemen e-mail verstuurt.
- Klanten melden dat berichten in de spam belanden.
- Je niet weet of SPF, DKIM en DMARC goed zijn ingesteld.
- Medewerkers zakelijke e-mail op eigen apparaten gebruiken.
- Je bedrijf al eens een verdacht inlegmoment of phishingbericht heeft meegemaakt.
Is één van bovenstaande punten van toepassing op jouw organisatie? Dan is het zinvol je te verdiepen in aanvullende maatregelen. De beschikbare functies hiervoor verschillen per Google Workspace-editie en kunnen afhangen van de instellingen van je beheerder. Stap 1 is dan ook om eerst uit te zoeken welke beveiliging jouw bedrijf al heeft. De volgende stap is om te bepalen waar voor jou de grootste risico’s zitten.
Drie praktische stappen om te beginnen
Dit zijn de stappen die je sowieso kunt ondernemen:
1. Bescherm de accounts. Zet tweestapsverificatie aan voor medewerkers, en zeker voor beheerders. Zorg ook dat bekend is wie toegang heeft tot de beheersomgeving en wie handelt bij een verdachte inlegmelding.
2. Controleer de domeininstellingen. Laat nagaan of SPF, DKIM en DMARC correct zijn ingesteld. Breng daarvoor eerst alle diensten in kaart die namens je bedrijf e-mail versturen.
3. Spreek met elkaar af hoe je met twijfel omgaat. Laat medewerkers onverwachte links en bijlagen niet zomaar openen. Controleer een verzoek om een betaling of bankrekeningnummer te wijzigen via een bekend telefoonnummer of een ander vertrouwd kanaal. Maak ook duidelijk bij wie ze een verdacht bericht kunnen melden.
Conclusie
Google e-mailbeveiliging helpt ZZP’ers en MKB-bedrijven om spam, phishing en malware tegen te houden, en om zakelijke accounts en domeinen beter te beschermen. De standaardbescherming is een goed begin, maar voor veel bedrijven is dit niet voldoende. Met tweestapsverificatie, passende Gmail-instellingen en correct ingestelde SPF, DKIM en DMARC kun je de beveiliging verder versterken.
De praktische eerste stap is eenvoudig: controleer hoe medewerkers inloggen, welke diensten namens je bedrijf e-mail versturen en hoe verdachte berichten worden gemeld. Zo krijg je zicht op de belangrijkste risico’s en kun je gericht verbeteringen aanbrengen. Workflo helpt je hierbij.
