Waarom ik naar Microsoft 365 ben verhuisd

Ik gebruik al jaren Fastmail. Als Australiër vind ik het prettig om een bedrijf uit Melbourne te steunen dat sinds 1999 opkomt voor privacy en onafhankelijkheid. Het is echt een goede dienst. Snel, meestal betrouwbaar en er is nog nooit een mail van mij kwijtgeraakt.

Maar vorige maand zijn we teruggegaan naar Microsoft 365. Dit is waarom.

Het is niet de eerste keer dat ik met de mailstack van Microsoft werk. In 2014 gebruikte ik Office 365, voordat ik naar Fastmail ging. Het product is sindsdien flink veranderd. Belangrijker nog: onze eisen ook.

We zijn een klein investeringsbedrijf. Een handvol gebruikers. De beslissing om terug te gaan nam ik niet alleen. Het team wilde betere samenwerking tussen systemen. Ze wilden koppelingen die écht werkten. En eerlijk gezegd waren ze het gedoe zat.

De spamfiltering van Microsoft is echt indrukwekkend

De cijfers vertellen het verhaal.

Microsoft zegt dat zijn spamfilter meer dan 99% van de junkmail onderschept en elke maand meer dan vijf miljard bedreigingen opspoort.¹ Als je mail verwerkt voor meer dan een miljoen bedrijven wereldwijd, waaronder de meeste Fortune 500-bedrijven, bouw je vanzelf een behoorlijk compleet netwerk aan dreigingsinformatie op. Wereldwijd gaan er elke dag zo’n 120 miljard spammails de deur uit, en 43% van de phishingpogingen richt zich specifiek op Microsoft-accounts.² Ze hebben alle reden om dit goed te doen.

Fastmail pakt het anders aan. Hun spamdetectie is voorzichtig. Ze willen zo min mogelijk valse positieven, ook als dat betekent dat er meer doorheen komt. In theorie is dat een redelijke afweging. In de praktijk was mijn inbox onbruikbaar geworden.

Elke ochtend ploos ik overduidelijke phishingpogingen uit. Ik verwijderde de crypto-onzin. Ik markeerde de rommel die toch door de filters was gekomen. Ik probeerde de agressieve modus. Ik trainde maandenlang het persoonlijke Bayes-filter. Ik schreef handmatige regels. Niets werkte goed genoeg.

En het is niet alsof ik me niet heb ingespannen. Mijn persoonlijke spamfilter heeft 2.849 spamberichten en 2.140 geen-spamberichten geleerd. Bijna vijfduizend trainingsvoorbeelden. Blijkbaar nog steeds niet genoeg.

Het mooiste is nog dat ik iOS Mail en Mac Mail gebruik. Daar zit geen knop “Meld als junk” die met Fastmail praat. Bij Microsoft 365 verplaats ik iets naar Junk en het systeem leert. Klaar. Het wordt slimmer.

Bij Fastmail? Daar maak ik een eigen map aan, zet die in de webinterface op “Learn as spam” en sleep mails er vervolgens met de hand in. Het systeem kijkt er elke 24 uur naar.³ Vierentwintig uur. Om te leren dat die overduidelijke mail van de Nigeriaanse prins inderdaad spam was.

Lees de documentatie maar, die is volkomen gestoord. Je moet een map “Learn spam” opzetten, de mapeigenschappen instellen via de webinterface en die map dan gebruiken als handmatige trainingswachtrij. En voor niet-spam doe je hetzelfde met een aparte map op “Learn as not spam”, als je valse positieven uit het systeem wilt trainen.

Ik wil wel eens weten wie dit proces heeft bedacht. In welk universum is “maak twee eigen mappen en sorteer je mail met de hand voor een batchverwerking van 24 uur” een acceptabele gebruikerservaring in 2025?

Ik ben niet de enige. Het sentiment online is vernietigend. Gebruikers op Hacker News en Reddit melden dezelfde ervaring: tientallen handmatige filters schrijven en toch verdrinken in spam.⁴ Eén gebruiker beschreef dat hij van Gmail naar Fastmail ging en na een jaar trainen en vijftig eigen filters zijn inbox “just filled with lots of spam” vond.

Het officiële antwoord van Fastmail? Train je filter meer. Meld spam nauwgezetter. Wacht tot je 200+ spam- en 200+ geen-spammails hebt voordat je persoonlijke database meedraait.³ Dat is geen oplossing. Dat is huiswerk.

Voor mij werd de afweging simpel: ik controleer liever één keer per week mijn Junk-map op een valse positieve dan elke dag twintig duidelijke phishingmails uit mijn inbox te verwijderen.

De EU Data Boundary is een echte toezegging

Vroeger was ik voorzichtig met Amerikaanse techreuzen, om één reden: ik wilde niet dat onze data buiten de EU werd verwerkt.

Microsoft veranderde die rekensom in februari 2025, toen de uitrol van de EU Data Boundary klaar was.⁵ Dat was een meerjarige inspanning in meerdere fasen, verspreid over honderden productteams. Fase 1 in 2023 omvatte klantdata voor de kerndiensten. Fase 2 in 2024 voegde gepseudonimiseerde persoonsgegevens toe. Fase 3, dit jaar afgerond, bracht ook de data van professionele diensten naar de EU: supportlogs, casusnotities, alles.

De toezegging is breed: data voor Microsoft 365, Dynamics 365, Power Platform en de meeste Azure-diensten wordt nu verwerkt en opgeslagen binnen de EU en de EFTA-regio’s.⁶ Wij gebruiken alleen Microsoft 365 en Visio, maar het is belangrijk dat de bredere infrastructuur zo is ingericht.

De servers van Fastmail staan intussen uitsluitend in de Verenigde Staten, in Philadelphia en St. Louis.⁷ Na jaren van verzoeken van klanten om infrastructuur in de EU hebben ze niets gedaan. Hun standaardantwoord op zorgen over soevereiniteit is een variant op “we gaan onze servers niet naar Europa verhuizen”, en dat mist de kern volledig.

Dit is niet alleen een voorkeur. Voor een investeringsbedrijf in het Verenigd Koninkrijk wordt het steeds meer een regelgevingskwestie. De FCA heeft een mening over waar correspondentie met klanten staat. Auditors stellen vragen. Als je toezichthouder chagrijnig is over datasoevereiniteit, werkt “vertrouw ons maar, we voldoen aan de AVG, vanuit de VS” niet.

Er zijn ook critici van de aanpak van Microsoft. Bert Hubert, technisch adviseur van de Nederlandse Kiesraad, heeft zorgen geuit over de afhankelijkheid van Amerikaanse cloudaanbieders. Frank Karlitschek van Nextcloud wees erop dat de Amerikaanse Cloud Act de Amerikaanse overheid in theorie toegang geeft, ongeacht waar de data staat.⁸

Dat zijn terechte zorgen. Maar Microsoft heeft tenminste een openbare, gedocumenteerde en juridisch bindende toezegging gedaan over dataopslag in de EU, met gefaseerde uitrol, uitgebreide documentatie en auditsporen. Fastmail draait zijn eigen datacenters, met Cloudflare (een Amerikaans bedrijf) als WAF en DDoS-bescherming voor het verkeer.⁹ Hun gedocumenteerde toezeggingen over dataopslag zijn vrijwel afwezig.

Voor iemand die moet kunnen aantonen waar zijn data staat, is er geen vergelijking.

Pushmeldingen die écht werken

Dit is simpel, maar het telt.

Fastmail heeft een speciale afspraak met Apple om pushmeldingen op iOS te gebruiken, dus niet alleen IMAP Idle maar echte push.¹⁰ Dat zou direct moeten zijn. In de praktijk is het tenenkrommend wisselvallig. Soms komt een mail meteen binnen. Soms duurt het tien minuten. Soms komt de melding helemaal niet. Dan trok ik zelf maar naar beneden om te verversen, zonder er ooit op te kunnen vertrouwen dat ik de nieuwste stand had.

Microsoft Exchange gebruikt ActiveSync. Als ik een mail vanaf mijn laptop verstuur, trilt mijn telefoon direct. Elke keer. Als iemand antwoordt, zie ik het meteen. Elke keer. De techniek is niet wezenlijk anders. Het verschil is dat het gewoon werkt.

Met Customer Lockbox houden we echt controle

Dit is de functie waar niemand het over heeft, maar waar iedereen om zou moeten geven.

Stel, we openen bij Fastmail een supportticket waarvoor een medewerker in een mailbox moet kijken. Welke controle hebben we dan? Eigenlijk geen. We vertrouwen erop dat ze goed intern beleid hebben. We vertrouwen erop dat de engineer die aan het ticket is toegewezen onze mails niet voor de lol leest. Vertrouwen.

De Customer Lockbox van Microsoft vereist uitdrukkelijke goedkeuring voordat een engineer bij onze data mag.¹¹ Als een supportengineer in onze tenant moet zijn om een serverprobleem op te lossen, krijgen we een verzoek in het beheerportaal. We kunnen het goedkeuren of weigeren. Elke toegang wordt gelogd en geaudit. De toegang is tijdgebonden, doorgaans maximaal vier uur, en wordt automatisch ingetrokken zodra het werk klaar is.

Voor een investeringsbedrijf telt dat auditspoor. Ik heb liever een knop “Toegang aanvragen” die ik kan weigeren dan blind vertrouwen op andermans goeddunken.

De rekensom klopte gewoon

We betaalden al voor Fastmail voor meerdere gebruikers. Daarnaast betaalden we apart voor Microsoft Office-licenties. Twee rekeningen voor wat één dienst zou moeten zijn.

Met Microsoft 365 Business hebben we alles gebundeld. Mail, opslag, Office-apps, één abonnement. Teams hebben we om voor de hand liggende redenen uitgezet (het is vloeibaar afval), dus we betalen niet voor functies die we nooit zouden gebruiken. Het resultaat: we betalen nu minder dan voorheen en krijgen meer.

De meerkosten van “alleen mail” naar “de hele productiviteitssuite” bleken negatief.

Fastmail is goed in één ding

Dit is het frustrerende: Fastmail is echt uitstekend in mail. Het kernproduct is degelijk. Snel zoeken, betrouwbare bezorging, goede uptime.

Maar ze hebben zich vooral gericht op hun eigen mailclient, iets wat veel van ons niet echt willen. iOS Mail is prima. Outlook is prima. We hebben niet nog een app nodig. Wat we nodig hadden was samenwerking tussen systemen. Koppelingen. De mogelijkheid om onze inbox te verbinden met de tools die we echt gebruiken.

In plaats daarvan integreert Fastmail met vrijwel niets.¹² 1Password, Dropbox, een paar agenda-tools. Dat is het. Geen workflowautomatisering. Geen ecosysteem. Geen mogelijkheid om erop voort te bouwen zonder alles zelf te schrijven.

En dit steekt echt: we vroegen om controle over waar onze data staat. Klanten vragen al jaren om infrastructuur in de EU. Het antwoord? Meer functies voor hun mailclient bouwen. Een offlinemodus uitbrengen. Alles behalve ingaan op de echte verzoeken van betalende klanten.

Dankzij het ecosysteem van Microsoft 365 kan ik mijn inbox koppelen aan de tools die mijn team echt gebruikt, zonder elke keer eigen koppelingen te bouwen. Dat gaf de doorslag.

Fastmail blijft een goede dienst

Ik wil dit duidelijk zeggen: Fastmail is echt uitstekend in zijn kerntaak. Het is snel. Het is meestal betrouwbaar. Er is nog nooit een mail van mij kwijtgeraakt. Het team in Melbourne heeft iets gebouwd dat respect verdient, en ik raad het nog steeds aan mensen aan die simpele, onafhankelijke mail willen.

Maar de spam sleet ons op. Het totale gebrek aan EU-infrastructuur, na jaren van verzoeken van klanten, maakte het onhoudbaar voor een gereguleerd bedrijf. En toen het team om betere koppelingen vroeg, kon ik het gedoe niet langer verantwoorden.

Soms is de juiste keuze niet degene die ideologisch zuiver voelt. Soms heb je gewoon iets nodig dat voor iedereen werkt.

Microsoft zegt dat zijn spamfilter meer dan 99% van de junkmail onderschept. Microsoft Defender for Office 365 ↩
Wereldwijd worden dagelijks zo’n 120 miljard spammails verstuurd, en 43% van de phishingpogingen richt zich op Microsoft-accounts. NetSec News ↩
Voor spam leren via IMAP-mappen moet je eigen mappen met specifieke eigenschappen aanmaken, en het systeem verwerkt ze periodiek in plaats van in realtime. Fastmail spam protection ↩ ↩²
Spamfiltering bij Fastmail is een terugkerend gespreksonderwerp, met gebruikers die vergelijkbare ervaringen melden. Hacker News ↩
Microsoft rondde de EU Data Boundary af in februari 2025. Microsoft announcement ↩
EU Data Boundary documentation ↩
De servers van Fastmail staan in Philadelphia, Pennsylvania en St. Louis, Missouri, uitsluitend in de Verenigde Staten. Wikipedia ↩
The Register: Microsoft unveils finalized EU Data Boundary ↩
Fastmail gebruikt Cloudflare voor WAF en DDoS-bescherming. Fastmail infrastructure ↩
Fastmail gebruikt voor iOS een eigen pushimplementatie in plaats van standaard IMAP Idle. Fastmail push notifications ↩
Customer Lockbox is beschikbaar voor Microsoft 365 E5 en gelijkwaardige licenties. Customer Lockbox documentation ↩
Fastmail biedt weinig integraties met derden vergeleken met grotere platforms, vooral 1Password, Dropbox, Morgen en een paar agenda-tools. Fastmail integrations ↩