Van ToolShell tot End-of-Support: jouw SharePoint-migratietijdlijn begint nu
De ToolShell-exploitketen is meer dan zomaar een beveiligingslek dat om patches vraagt. Het markeert een fundamentele verschuiving in de manier waarop statelijke actoren zich richten op on-premises samenwerkingsinfrastructuur, waarbij Chinese dreigingsgroepen Linen Typhoon en Violet Typhoon met succes SharePoint-servers compromitteren om cryptografische sleutels te stelen en blijvende netwerktoegang te vestigen. Deze actieve exploitatiecampagne, gecombineerd met de verlengde ondersteuningsdeadline van Microsoft op 14 juli 2026, creëert een krap tijdsbestek dat de meeste organisaties aanzienlijk onderschatten.
De rekensom is eenvoudig, maar genadeloos. Een realistische SharePoint-migratie vereist 12-18 maanden vanaf de eerste beoordeling tot de voltooide inzet. Met nog slechts 20 maanden te gaan tot de ondersteuningsdeadline in november 2025, zullen organisaties die hun planning na dit kwartaal uitstellen, geconfronteerd worden met overhaaste beslissingen, budgetbeperkingen of het risico lopen te werken met niet-ondersteunde infrastructuur terwijl ze haastig migreren. Dit artikel biedt een tijdlijn op basis van mijlpalen die rekening houdt met budgetcycli, de complexiteit van leveranciersselectie en de daadwerkelijke migratierealiteit—niet de optimistische verwachtingen van leveranciers.
Samenvatting voor het management
Belangrijkste punt: Succesvol migreren van SharePoint on-premises vóór de ondersteuningsdeadline van Microsoft op 14 juli 2026 vereist dat u direct start met een gestructureerde aanpak van vijf mijlpalen, verspreid over 12-18 maanden. Organisaties moeten rekening houden met budgetcycli, grondige leveranciersselectie, gefaseerde inzet en gebruikersadoptie—elementen van de tijdlijn die niet kunnen worden ingekort zonder aanzienlijk risico voor beveiliging, naleving en operationele continuïteit.
Waarom dit belangrijk is: Organisaties die hun SharePoint-migratieplanning pas eind 2025 of begin 2026 starten, staan voor onmogelijke keuzes: cruciale evaluatie- en planningsfases overhaasten, beveiligingsgaten accepteren tijdens haastige migraties, of kwetsbare, niet-ondersteunde infrastructuur blijven gebruiken tijdens de overgang. De combinatie van actieve ToolShell-exploitatie en de naderende ondersteuningsdeadline laat geen ruimte meer om te wachten op het budget van volgend jaar of uitgestelde besluitvorming.
Belangrijkste inzichten
- ToolShell toont architecturale kwetsbaarheid aan: Deze exploitketen gericht op SharePoint on-premises (CVE-2025-53770, CVSS 9.8) vertegenwoordigt geavanceerde statelijke tactieken die cryptografische sleutels stelen voor blijvende toegang—kwetsbaarheden die met alleen patches niet adequaat kunnen worden opgelost in verouderde on-premises architectuur.
- Migratie vereist minimaal 12-18 maanden: Organisaties onderschatten migratietijdlijnen consequent met 6-12 maanden, doordat ze geen rekening houden met het verzamelen van vereisten, leveranciersselectie, validatie van naleving, gefaseerde inzet en gebruikersadoptie in gedistribueerde omgevingen.
- Budgetcycli vergroten de tijdsdruk: Organisaties zonder budgettoewijzing voor boekjaar 2026 starten hun project pas halverwege of laat in 2026, waardoor de voltooiing doorschuift naar 2027 of later—ruim na de deadline van 14 juli 2026.
- Vijf kritieke mijlpalen zijn niet in te korten: Beoordeling en vereisten, leveranciersselectie, planning en ontwerp, pilot-inzet en volledige productiemigratie vereisen elk specifieke tijdsbestekken voor succesvolle uitvoering zonder beveiligingsgaten of operationele verstoring te creëren.
- Starten in november 2025 is al laat: Met 20 maanden tot de ondersteuningsdeadline en 12-18 maanden nodig voor migratie, hebben organisaties die nu beginnen slechts minimale marge voor onverwachte complicaties of vertragingen.
ToolShell begrijpen: waarom dit de migratieberekening verandert
ToolShell verschilt van typische kwetsbaarheden in omvang en opzet. Chinese statelijke groepen hebben deze exploitketen specifiek ontwikkeld om SharePoint Server-installaties aan te vallen, waarbij gebruik wordt gemaakt van kritieke kwetsbaarheden zoals CVE-2025-53770, CVE-2025-53771, CVE-2025-49704 en CVE-2025-49706. De complexiteit van de exploit zit niet alleen in het initiële compromis, maar ook in het vermogen om cryptografische sleutels te stelen en zo blijvende toegang te creëren die patchrondes kan overleven.
Voor beveiligingsteams vormt dit een fundamenteel probleem. Traditionele zero-trust beveiligingsarchitecturen gaan uit van een inbreuk en beperken laterale beweging via continue verificatie. SharePoint on-premises, ontworpen in een tijdperk van perimeterbeveiliging, mist deze architecturale bescherming. Zelfs organisaties met grondige incident response-capaciteiten hebben kwetsbare periodes tussen bekendmaking van exploits en succesvolle patching in complexe omgevingen.
Het doelgericht aanvallen van samenwerkingsplatforms door statelijke actoren volgt een duidelijk patroon. Deze systemen bevatten waardevolle data zoals contracten, intellectueel eigendom en gevoelige communicatie. Gecompromitteerde samenwerkingsservers bieden ook draaipunten voor laterale beweging naar andere netwerkbronnen. Organisaties kunnen architecturale kwetsbaarheden niet wegpatchen—deze systemen blijven aantrekkelijke, waardevolle doelwitten.
De echte migratietijdlijn: vijf kritieke mijlpalen
Mijlpaal 1: Beoordeling en vereisten (maanden 1-3)
De basis voor een succesvolle migratie ligt in uitgebreide documentatie van vereisten, een fase die organisaties vaak overhaasten of volledig overslaan. Deze fase vereist een risicobeoordeling van de huidige SharePoint-infrastructuur, het in kaart brengen van compliancevereisten voor relevante kaders, data-classificatie en gevoeligheidsanalyse, documentatie van gebruikersworkflows per afdeling en betrokkenheid van stakeholders uit IT, beveiliging, compliance en business units.
Organisaties die deze fase inkorten, ontdekken onvermijdelijk gemiste vereisten halverwege de migratie, wat leidt tot kostbare koerswijzigingen of het toevoegen van tools na de migratie. Het resultaat is niet alleen een vereistendocument, maar een helder begrip van wat uw SharePoint-vervanger moet bereiken op het gebied van beveiliging, compliance en operationele doelen. Voor gereguleerde sectoren betekent dit ook het in kaart brengen van vereisten voor CMMC, HIPAA, GDPR of andere relevante kaders.
Mijlpaal 2: Leveranciersselectie en -evaluatie (maanden 3-6)
Leveranciersselectie vraagt meer dan het beoordelen van marketingmateriaal en het bijwonen van demo’s. Organisaties moeten proof of concept-tests uitvoeren met echte data en workflows, de benadering van beveiligingsarchitectuur valideren, ondersteuning van compliancekaders koppelen aan specifieke vereisten, de totale eigendomskosten inclusief verborgen operationele kosten analyseren en contracten onderhandelen met voldoende ondersteuning en service level agreements.
De cruciale vraag is niet “kan dit platform wat SharePoint doet”, maar “lost dit platform de problemen op die ons van SharePoint wegdrijven”. Platforms met private content network-architectuur op basis van zero-trust-principes, FedRAMP Moderate autorisatie en uniforme governance over bestandsoverdracht, e-mail en beheerde bestandsoverdracht bieden fundamenteel andere oplossingen dan simpelweg SharePoint naar een multi-tenant cloud verplaatsen.
Mijlpaal 3: Planning en ontwerp (maanden 6-9)
Migratieplanning bepaalt of uw overgang slaagt of uitmondt in een langdurige crisis. Deze fase omvat het ontwikkelen van een gedetailleerde migratiemethodologie, inclusief beslissingen over gefaseerde aanpak, ontwerp van beveiligingsarchitectuur en configuratie van compliancekaders, integratiearchitectuur voor bestaande systemen, toewijzing van gebruikersrechten en -toegang, ontwikkeling van trainingsprogramma’s en communicatieplanning, en identificatie van pilotgroepen met succescriteria.
Het resultaat is geen eenvoudig projectplan, maar een allesomvattend blauwdruk die technische architectuur, validatie van beveiliging en compliance, gebruikerscommunicatie, training en noodplannen dekt. Organisaties die deze fase overhaasten, krijgen te maken met langdurige downtime, gebruikersverwarring, beveiligingsgaten en de noodzaak om migratieactiviteiten te herhalen.
Mijlpaal 4: Pilot-inzet en validatie (maanden 9-12)
Pilot-inzet met 50-200 gebruikers biedt de essentiële test van uw migratieaanpak voordat de impact op de hele organisatie volgt. In deze fase wordt gevalideerd of workflows in de praktijk correct functioneren, beveiligingsbeleid werkt zoals ontworpen, audittrails de vereiste compliancegegevens vastleggen en de gebruikerservaring voldoet aan de adoptiedrempels.
De lessen uit de pilot-inzet bepalen direct de procedures voor de volledige productiemigratie. Problemen die tijdens de pilot worden ontdekt en opgelost, zijn problemen die tijdens de bredere uitrol worden voorkomen. Organisaties die de pilot overslaan of overhaasten, ontdekken deze problemen pas als de impact groter is en de gebruikersgroep breder, wat de tijdlijn verlengt en het vertrouwen in de migratie schaadt.
Mijlpaal 5: Volledige productiemigratie (maanden 12-18)
De productiemigratie verloopt in golven, niet als één enkele overstap. Afdelingen die voorop lopen migreren eerst, wat extra validatie biedt voordat standaardgebruikers volgen. Complexe of gevoelige groepen migreren als laatste en profiteren van verfijnde procedures en geleerde lessen. Elke golf vereist monitoring, ondersteuning, probleemoplossing en validatie voordat de volgende start.
Deze gefaseerde aanpak biedt tijd voor gebruikersadaptatie, maakt probleemoplossing mogelijk zonder crisissituaties en valideert dat alles correct werkt voordat legacy-systemen worden uitgefaseerd. Ingekorte tijdlijnen leiden tot gebruikersweerstand, beveiligingsomwegen en potentiële gaten in gegevensbeheer.
De kalenderrealiteit: waarom wachten betekent dat u de deadline mist
De rekensom van migratietijdlijnen is genadeloos. Vandaag is het november 2025. De ondersteuningsdeadline van Microsoft is 14 juli 2026—ongeveer 20 maanden vanaf nu. Een realistische migratietijdlijn beslaat 12-18 maanden. Organisaties die nu starten, hebben 2-8 maanden marge voor onverwachte complicaties. Organisaties die wachten tot Q1 2026 hebben geen marge meer. Organisaties die wachten op budgettoewijzing voor boekjaar 2027 zullen de deadline volledig missen.
De realiteit van budgetcycli versterkt deze druk. Organisaties zonder budget voor vervanging van SharePoint in boekjaar 2026 hebben waarschijnlijk planning en goedkeuring nodig voor boekjaar 2027, wat betekent dat het project pas halverwege of laat in 2026 start. Dit schuift de voltooiing door naar 2027 of 2028, waardoor langdurig gebruik van niet-ondersteunde infrastructuur nodig is terwijl de migratie nog loopt.
Elke maand vertraging vergroot de blootstelling aan exploits zoals ToolShell, verkleint de tijd voor grondige leveranciersselectie en vergroot de kans op overhaaste beslissingen onder deadline-druk. Laat startende organisaties krijgen bovendien te maken met capaciteitsbeperkingen bij leveranciers, omdat de markt massaal probeert te migreren vóór de ondersteuningsdeadline.
Tijdelijke beveiligingsmaatregelen: noodzakelijk maar onvoldoende
Terwijl de migratieplanning loopt, moeten organisaties verbeterde beveiligingsmaatregelen implementeren op de bestaande SharePoint-infrastructuur. Breng beveiligingspatches direct na release aan, implementeer netwerksegmentatie om laterale beweging vanaf gecompromitteerde SharePoint-servers te beperken, verbeter monitoring op ToolShell-indicatoren en ongebruikelijke authenticatiepatronen, verscherp toegangscontroles inclusief multi-factor authentication, en verhoog de back-upfrequentie met regelmatige hersteltests.
Deze tijdelijke maatregelen beperken het risico, maar kunnen de fundamentele architecturale kwetsbaarheden die on-premises samenwerkingsplatforms tot aantrekkelijke doelwitten maken niet wegnemen. Ze vormen tijdelijke risicobeperking, geen langetermijnbeveiligingsstrategie. Organisaties moeten migratieplanning versnellen in plaats van langdurig te vertrouwen op tijdelijke controles.
Kiteworks: uw SharePoint-migratiebestemming
Organisaties die alternatieven voor SharePoint evalueren, staan voor een cruciale keuze: migreren naar SharePoint Online en veel van dezelfde compliancebeperkingen in een multi-tenant architectuur accepteren, of overstappen naar een platform dat specifiek is ontworpen om de problemen op te lossen die u juist van on-premises infrastructuur afdrijven.
Kiteworks biedt een private data network met zero-trust architectuur die het aanvalsoppervlak elimineert dat statelijke actoren uitbuiten in on-premises platforms. In tegenstelling tot het multi-tenant model van SharePoint Online, biedt Kiteworks logisch geïsoleerde infrastructuur, waaronder een FedRAMP Moderate-geautoriseerde (sinds juni 2017) en FedRAMP High Ready (bereikt in februari 2025) virtuele private cloud, met beveiligingsvalidatie die weinig alternatieven evenaren.
De uniforme governance van het platform pakt een fundamentele beperking van SharePoint aan: gefragmenteerde beveiliging over meerdere kanalen voor gegevensuitwisseling. Kiteworks consolideert datacommunicatiekanalen, waaronder beveiligde bestandsoverdracht, beveiligde e-mail, beveiligde MFT, Kiteworks SFTP en Kiteworks beveiligde dataformulieren onder gecentraliseerd beleid en audittrails, waardoor de compliance-overhead van het correleren van data over gescheiden systemen wordt geëlimineerd.
Voor compliance-teams automatiseert Kiteworks wat SharePoint handmatig vereist. Het platform ondersteunt bijna 90% van de CMMC 2.0 Level 2-vereisten out-of-the-box voor defensie-aannemers, biedt vooraf geconfigureerde kaders voor HIPAA-naleving, PCI DSS-naleving, GDPR-naleving, PCI-naleving, CMMC 2.0-naleving en ITAR-naleving en levert geautomatiseerde auditrapportages die volgens organisaties 90% sneller zijn dan handmatige SharePoint-processen.
De meetbare impact is belangrijk voor budgetverantwoording. Organisaties die migreren naar Kiteworks rapporteren 75% minder beveiligingsincidenten gerelateerd aan gevoelige gegevensuitwisseling, 90% snellere compliance-rapportage vergeleken met SharePoint on-premises en 60% lagere totale eigendomskosten door het wegvallen van hardwarekosten, minder overhead voor beveiligingsoperaties en herwonnen IT-capaciteit.
Misschien wel het belangrijkste voor organisaties met de deadline van juli 2026: Kiteworks biedt een bewezen migratiemethodologie, verfijnd door duizenden implementaties. Ons toegewijde migratieteam begeleidt organisaties door elke mijlpaal met gefaseerde aanpak die verstoring minimaliseert en beveiligingsverbeteringen maximaliseert. Deze gestructureerde ondersteuning helpt organisaties agressieve tijdlijnen te halen zonder concessies te doen aan vereisten of beveiligingsgaten te creëren.
De tijdsdruk is reëel, maar het pad naar de oplossing is duidelijk. Ontdek hoe Kiteworks u kan helpen een migratie op basis van mijlpalen uit te voeren die de deadline van juli 2026 haalt en tegelijkertijd de beveiligings-, compliance- en governancegaten aanpakt die on-premises infrastructuur niet langer kan oplossen. Plan een consultatie om uw specifieke tijdlijn en vereisten te bespreken.
Veelgestelde vragen
ToolShell is een exploitketen ontwikkeld door Chinese statelijke groepen Linen Typhoon en Violet Typhoon die zich richt op kritieke kwetsbaarheden in SharePoint Server, waaronder CVE-2025-53770 (CVSS 9.8), CVE-2025-53771, CVE-2025-49704 en CVE-2025-49706. Met deze exploits kunnen aanvallers SharePoint-servers compromitteren en cryptografische sleutels stelen die blijvende netwerktoegang bieden, zelfs nadat de oorspronkelijke kwetsbaarheid is gepatcht. SharePoint-servers zijn waardevolle doelwitten omdat ze gevoelige communicatie, contracten, intellectueel eigendom bevatten en draaipunten bieden voor laterale beweging naar andere netwerkbronnen. De exploit toont aan dat on-premises samenwerkingsplatforms te maken hebben met architecturale kwetsbaarheden die niet met alleen patches kunnen worden opgelost, omdat deze systemen zijn ontworpen in een tijdperk van perimeterbeveiliging in plaats van zero-trust architectuur die uitgaat van inbreuk en laterale beweging beperkt.
Realistische SharePoint-migratietijdlijnen beslaan 12-18 maanden vanaf de eerste beoordeling tot de voltooide productie-inzet, aanzienlijk langer dan de 6-9 maanden die veel organisaties aannemen. Deze tijdlijn omvat beoordeling en het verzamelen van vereisten (maanden 1-3), leveranciersselectie en evaluatie met proof of concept-tests (maanden 3-6), gedetailleerde planning en ontwerp inclusief beveiligingsarchitectuur en complianceconfiguratie (maanden 6-9), pilot-inzet en validatie met een deel van de gebruikers (maanden 9-12) en gefaseerde productiemigratie in golven (maanden 12-18). Organisaties onderschatten deze tijdlijnen consequent omdat ze geen rekening houden met budgetgoedkeuringscycli, grondige beveiligingsbeoordeling van alternatieven, validatie van compliancekaders, gebruikersopleiding en adoptie, en de realiteit dat grootschalige migraties niet kunnen worden overhaast zonder beveiligingsgaten of operationele verstoring te creëren. Platforms zoals Kiteworks met bewezen migratiemethodologieën en toegewijde ondersteuningsteams helpen organisaties binnen realistische tijdsbestekken te migreren, maar zelfs met uitstekende leveranciersondersteuning vereisen verandermanagement en validatieactiviteiten specifieke doorlooptijden die niet kunnen worden ingekort zonder aanzienlijk risico.
Het blijven gebruiken van SharePoint on-premises na de ondersteuningsdeadline van Microsoft op 14 juli 2026 creëert zich opstapelende risico’s die in de loop van de tijd verergeren. Beveiligingslekken die na de deadline worden ontdekt, krijgen geen patches meer, waardoor uw systemen permanent blootstaan aan bekende exploits die aanvallers kunnen benutten zonder dat herstel mogelijk is. Compliancekaders vereisen steeds vaker dat systemen met gevoelige data regelmatig beveiligingsupdates ontvangen, waardoor het moeilijk of onmogelijk wordt om naleving aan te tonen bij het gebruik van niet-ondersteunde software—dit raakt vooral organisaties die onder CMMC, HIPAA, PCI DSS of vergelijkbare kaders vallen. Cyberverzekeringen sluiten doorgaans dekking uit voor datalekken waarbij niet-ondersteunde software betrokken is, waardoor organisaties financieel kwetsbaar zijn. Operationeel gezien stapelen compatibiliteitsproblemen met nieuwere systemen en beveiligingstools zich op, waardoor latere migratie complexer en duurder wordt. Organisaties moeten 14 juli 2026 niet zien als een verre stip aan de horizon, maar als de uiterste datum waarop alles afgerond moet zijn. Begin daarom direct met evaluatie en planning om te voorkomen dat u werkt met kwetsbare, niet-ondersteunde en mogelijk niet-conforme infrastructuur.
Deze keuze hangt af van de vraag of SharePoint Online de kernproblemen oplost die u van on-premises infrastructuur afdrijven. SharePoint Online elimineert hardwarebeheer, maar werkt in een multi-tenant architectuur waarbij uw data infrastructuur deelt met duizenden andere organisaties, wat mogelijk niet voldoet aan strenge beveiligingseisen voor zeer gevoelige data. Het erft ook veel compliancebeperkingen van SharePoint on-premises, zoals het ontbreken van geautomatiseerde auditrapportages, volledige datalinage-tracking en uniforme governance over e-mail, bestandsoverdracht en andere kanalen voor gegevensuitwisseling. Organisaties met hoge beveiligings- of compliancevereisten merken vaak dat speciaal gebouwde platforms voor veilige gegevensuitwisseling beter aansluiten bij hun behoeften. Platforms zoals Kiteworks bieden private content network-architectuur met logisch geïsoleerde infrastructuur, FedRAMP Moderate autorisatie, ondersteuning voor bijna 90% van de CMMC 2.0 Level 2-vereisten en uniforme governance over alle kanalen voor gevoelige gegevensuitwisseling. De juiste keuze hangt af van uw specifieke eisen aan beveiligingsarchitectuur, compliancekaders en de noodzaak om beheerde bestandsoverdracht, e-mailbeveiliging en bestandsoverdracht te consolideren onder uniform beleid en audittrails.
De meest voorkomende en kostbare fouten bij SharePoint-migratieplanning zijn het onderschatten van de tijdlijn met 6-12 maanden, geen rekening houden met budgetcycli en goedkeuringsprocessen, het overslaan van grondige vereistenanalyse waardoor koerswijzigingen tijdens de migratie nodig zijn, het overhaasten of overslaan van pilot-inzet die problemen aan het licht zou brengen vóór brede impact, en het proberen van een big-bang overstap in plaats van gefaseerde migratie die gecontroleerde validatie en probleemoplossing mogelijk maakt. Organisaties vergeten ook vaak om compliancevereisten volledig in kaart te brengen, waardoor gaten pas tijdens audits na de migratie worden ontdekt. Een andere cruciale fout is het beoordelen van platforms uitsluitend op functielijsten in plaats van op architecturale benaderingen van beveiliging en governance—de vraag stellen “kan het wat SharePoint doet” in plaats van “lost het de problemen op die ons van SharePoint wegdrijven”. Veel organisaties onderschatten ook het verandermanagement en de training die nodig zijn voor gebruikersadoptie, wat leidt tot omwegen die beveiligingsmaatregelen omzeilen. Tot slot valideren organisaties vaak niet of hun gekozen platform daadwerkelijk hun specifieke behoeften op het gebied van gegevensbeheer, zero-trust beveiliging en compliance-automatisering oplost voordat ze aan de migratie beginnen, waardoor beperkingen pas na aanzienlijke tijd- en budgetinvestering aan het licht komen.
Aanvullende bronnen
- Blog Post
5 Beste Oplossingen voor Beveiligde Bestandsoverdracht voor Ondernemingen - Blog Post
Hoe Bestanden Veilig Delen - Video
Kiteworks Snackable Bytes: Beveiligde Bestandsoverdracht - Blog Post
12 Essentiële Softwarevereisten voor Beveiligde Bestandsoverdracht - Blog Post
Meest Veilige Opties voor Bestandsoverdracht voor Onderneming & Compliance