Kort antwoord: een klassieke Windows-printserver is een aantrekkelijk doelwit voor aanvallers, en PrintNightmare liet zien hoe erg dat mis kan gaan. Serverloos printen is veiliger omdat je simpelweg de kwetsbare component weghaalt: geen printserver betekent geen Print Spooler-service op een centrale machine die overgenomen kan worden. In deze pagina leggen we uit wat PrintNightmare precies is, welke risico’s een printserver met zich meebrengt, en hoe serverloos printen je aanvalsoppervlak flink verkleint, zonder gedoe.
Wat is PrintNightmare?
PrintNightmare (CVE-2021-34527) is een kritieke kwetsbaarheid in de Windows Print Spooler, de service die op vrijwel elke Windows-machine printopdrachten afhandelt. In de zomer van 2021 verschenen er publieke exploits waarmee een aanvaller met een gewoon gebruikersaccount code kon uitvoeren met SYSTEM-rechten, de hoogste rechten die er zijn. Het probleem zat in de functie waarmee printerdrivers op afstand geïnstalleerd worden: die controleerde onvoldoende wie wat mocht.
In gewone taal: iemand met beperkte toegang kon via de printerservice een complete server overnemen. Programma’s installeren, data lezen of wissen, nieuwe accounts aanmaken. En omdat de Print Spooler standaard aanstaat op domeincontrollers en printservers, was de impact enorm. Microsoft bracht noodpatches uit, maar de eerste patch bleek onvolledig en de mitigatie vroeg om het uitschakelen van Point and Print. Precies dat maakt het pijnlijk duidelijk: zolang de printserver draait, blijft er een aanvalsoppervlak.
De risico’s van een klassieke Windows-printserver
PrintNightmare was geen eenmalig incident. De Print Spooler is jarenlang een geliefd doelwit geweest, met een reeks aan opvolgers (PrintNightmare-varianten, SpoolFool en meer). Een centrale printserver brengt structureel een aantal risico’s mee:
- Één centraal doelwit. Alle printverkeer loopt via één machine. Valt die, dan ligt het hele printlandschap plat of ligt de omgeving open.
- Verhoogde rechten. De Print Spooler draait met SYSTEM-rechten, dus een lek geeft direct diepe toegang.
- Patch-druk. Je bent afhankelijk van tijdig patchen. Tussen ontdekking en patch (en tussen patch en uitrol) zit een kwetsbaar venster.
- Beheerlast. Drivers, wachtrijen, updates en back-ups van de server kosten doorlopend tijd van je IT-team.
- Laterale beweging. Een gekaapte printserver is vaak een springplank naar de rest van het netwerk.
Hoe serverloos printen het aanvalsoppervlak verkleint
De veiligste server is de server die er niet is. Bij serverloos printen verdwijnt de centrale printserver uit je netwerk. Printopdrachten lopen via een cloudplatform of rechtstreeks (peer-to-peer) van werkplek naar printer, versleuteld en pas vrijgegeven na verificatie bij het apparaat. Daarmee valt de kwetsbare, altijd-aanwezige Print Spooler-server als doelwit weg.
Concreet levert dat op: geen centraal punt dat overgenomen kan worden, minder open poorten in je netwerk, automatische beveiligingsupdates vanuit de leverancier, en versleuteld transport met auditlogging. Oplossingen als Printix, PaperCut en YSoft SafeQ Cloud combineren dit met beveiligd printen via secure print release, zodat gevoelige documenten nooit onbeheerd in de lade liggen. Voor sectoren als de zorg is dat meteen ook een AVG- en NEN 7510-voordeel.
Printserver versus serverloos printen
| Aspect | Klassieke printserver | Serverloos printen |
|---|---|---|
| Aanvalsoppervlak | Centrale server met Print Spooler (SYSTEM-rechten) | Geen centrale server; kwetsbare component verdwijnt |
| PrintNightmare-gevoelig | Ja, direct doelwit | Nee, geen server-Spooler om over te nemen |
| Beveiligingsupdates | Zelf patchen, kwetsbaar venster | Automatisch via leverancier |
| Transport | Vaak binnen LAN, afhankelijk van config | Versleuteld, met auditlogging |
| Beheerlast IT | Hoog (drivers, wachtrijen, back-ups) | Laag, centraal beheer in de cloud |
| Uitval bij storing | Server down = printen down | Geen single point of failure |
Van printserver naar serverloos: waar begin je?
Je hoeft niet in één keer alles om te gooien. In ons stappenplan om je printserver te vervangen door de cloud lees je hoe je gefaseerd overstapt, met behoud van je bestaande printers. Wil je eerst weten welke oplossing bij jouw omgeving past (M365, Google Workspace, aantal locaties)? Bekijk dan onze cloudprint-oplossingen. We geven merkonafhankelijk advies, dus je krijgt de oplossing die past, niet de oplossing die wij toevallig verkopen.
Veelgestelde vragen
Is PrintNightmare nu niet gewoon gepatcht?
De oorspronkelijke kwetsbaarheid is gepatcht, maar de Print Spooler blijft een terugkerend doelwit met steeds nieuwe varianten. Zolang je een printserver draait, blijf je afhankelijk van tijdig patchen en juiste configuratie. Serverloos printen haalt die risicocomponent structureel weg.
Is de cloud niet juist onveiliger dan een server op kantoor?
Goed ingericht is cloudprinten meestal veiliger. Het verkeer wordt versleuteld, opdrachten worden pas vrijgegeven na verificatie bij het apparaat, er is auditlogging, en beveiligingsupdates komen automatisch. Je vervangt één kwetsbaar, zelf te beheren doelwit door een continu bijgewerkt platform.
Kan ik mijn huidige printers blijven gebruiken?
In de meeste gevallen wel. Serverloze oplossingen werken met de printers die je al hebt. Je verandert vooral de manier waarop opdrachten worden afgehandeld, niet je hele hardwarepark.
Wat betekent serverloos printen voor mijn IT-team?
Minder werk. Geen printserver om te patchen, back-uppen of te herstellen bij uitval, geen driverchaos, en centraal beheer vanuit één portaal. Dat scheelt tijd én verkleint het risico op menselijke fouten.