Microsoft 365 back-up: de dag dat alle bestanden verdwenen

In het kort

• Een oud-medewerker verwijderde met de inloggegevens van een collega alle bestanden van een bedrijf. Daarna leegde hij beide prullenbakken.
• De prullenbak van Microsoft 365 is een vangnet voor vergissingen, geen back-up. Wat uit de tweede prullenbak is verwijderd, kun je zelf niet meer terughalen.
• Microsoft zorgt dat Microsoft 365 werkt. Voor je gegevens en accounts ben je zelf verantwoordelijk.
• Dankzij een aparte Microsoft 365 back-up stonden alle bestanden binnen een paar uur weer terug.

Stel je voor: je opent op maandagochtend de gedeelde map van je bedrijf en hij is leeg. Geen offertes, geen klantdossiers, geen administratie. Je kijkt in de prullenbak. Ook leeg.

Dit overkwam een van onze klanten. In dit artikel lees je wat er gebeurde, waarom de prullenbak van Microsoft 365 je in zo'n situatie niet redt en wat je kunt doen om je eigen gegevens te beschermen.

Praktijkvoorbeeld: alle Microsoft 365-bestanden kwijt door een oud-medewerker

De dader was geen hacker aan de andere kant van de wereld, maar een oud-medewerker. Hij logde niet in met zijn eigen account. Hij had de inloggegevens in handen gekregen van een collega die nog wél in dienst was.

Daar deed hij eerst niets mee. Hij wachtte een tijd, zodat niemand een verband zou leggen met zijn vertrek. Daarna logde hij in als die collega en verwijderde hij alle bestanden.

Vervolgens leegde hij de prullenbak én de tweede prullenbak. Dat is de plek waar verwijderde bestanden normaal nog een tijd bewaard blijven. Zo haalde hij bewust het vangnet weg waarmee bestanden snel terug te zetten zijn.

Waarom er geen alarm afging

Omdat een geldig account van een huidige medewerker werd gebruikt, leek dit voor Microsoft 365 op normaal gebruikersgedrag. Er ging dan ook geen alarm af. Voor het systeem was het gewoon een collega die aan het opruimen was.

Dat had anders kunnen zijn. Met aanvullende beveiligings- en monitoringoplossingen, ook van Microsoft zelf, kunnen dit soort acties wel worden gesignaleerd. Bijvoorbeeld wanneer iemand in korte tijd grote aantallen bestanden verwijdert. Die functionaliteit is echter niet standaard beschikbaar binnen iedere Microsoft 365-licentie. Je moet er bewust voor kiezen en het laten inrichten.

Hoe een Microsoft 365 back-up alle bestanden binnen een paar uur terugbracht

Binnen een paar uur waren alle bestanden terug. Dat kon omdat deze klant een aparte back-up had van zijn Microsoft 365-omgeving. Die back-up stond los van de gewone gebruikersaccounts, met de gestolen inloggegevens kon de oud-medewerker er dus niet bij.

Zo'n back-up maakt automatisch en regelmatig kopieën van onder meer OneDrive, SharePoint, Exchange Online (e-mail) en Teams, en bewaart die buiten de omgeving van Microsoft 365. Afhankelijk van de oplossing zet je daaruit losse bestanden of e-mails terug, of complete mappen en sites naar een eerder moment.

Bij deze klant werd Acronis gebruikt. Dezelfde principes gelden voor andere Microsoft 365 back-upoplossingen. Het maakt niet uit welke back-upoplossing je gebruikt, het gaat erom dát er een aparte back-up is, dat die los staat van je gewone accounts en dat terugzetten werkt.

Met een back-up kies je zelf naar welk moment je teruggaat. Wij hebben in de back-up een moment van vóór het verwijderen gekozen en de bestanden teruggezet zoals ze toen waren. Daarna kon het team meteen weer verder.

Zonder die back-up was het verhaal heel anders afgelopen. De bestanden stonden niet meer in de prullenbakken, dus zelf terughalen via Microsoft 365 kon niet meer. Er bleef hooguit een beperkte noodoptie via Microsoft over. Verderop lees je waarom die vaak geen echte oplossing is.

Begrippen uitgelegd: prullenbak, versiegeschiedenis en back-up

Wie over Microsoft 365 back-ups leest, komt een paar begrippen steeds tegen. Dit betekenen ze:

• Prullenbak (eerste fase): de plek in OneDrive of SharePoint waar een bestand terechtkomt als je het verwijdert. Je kunt het hier zelf terugzetten.
• Tweede prullenbak (tweede fase): wordt een bestand uit de gewone prullenbak verwijderd, dan komt het hier terecht. Een beheerder of eigenaar kan het hier nog terugzetten, tot ook deze prullenbak wordt geleegd. Bij je eigen OneDrive ben je zelf de eigenaar.
• Versiegeschiedenis: eerdere versies van een bestand die Microsoft 365 automatisch bewaart. Handig als een bestand is overschreven, maar het helpt niet meer als het bestand zelf definitief is verwijderd.
• Bewaarbeleid (retentiebeleid): een instelling waarmee een organisatie gegevens verplicht een bepaalde tijd bewaart, bijvoorbeeld voor wet- en regelgeving. Het is bedoeld voor compliance, moet vooraf worden ingesteld en is niet gemaakt om snel alles terug te zetten.
• Back-up: een aparte kopie van je gegevens, op een andere plek bewaard. Daarmee zet je gegevens terug naar een eerder moment.
• Microsoft 365 back-up: een back-up van de gegevens in je Microsoft 365-omgeving, zoals OneDrive, SharePoint, e-mail en Teams. Je ziet ook vaak de spelling Microsoft 365 backup, of Office 365 backup: Office 365 is de naam waaronder veel van deze abonnementen vroeger werden verkocht. Meestal is het een cloud back-up die automatisch draait en los van je gewone accounts wordt bewaard.
• MFA (meerstapsverificatie): inloggen met meer dan één bewijs van wie je bent, meestal je wachtwoord plús een tweede stap, zoals een bevestiging in een app op je telefoon.

Wat is het verschil tussen de prullenbak en een back-up?

Het korte antwoord: de prullenbak is een tijdelijk vangnet binnen je eigen Microsoft 365-omgeving. Een back-up is een aparte kopie van je gegevens, los van je gewone accounts. Wie met voldoende rechten kan inloggen, kan de prullenbakken leegmaken. Bij een goed ingerichte back-up lukt dat niet.

In OneDrive en SharePoint blijft een verwijderd bestand maximaal 93 dagen in de prullenbakken staan, gerekend vanaf het moment van verwijderen (Microsoft). Die termijn geldt voor de eerste en tweede prullenbak samen. Leegt iemand de tweede prullenbak eerder, dan zijn de bestanden voor jou definitief weg. Microsoft zegt het zelf: een bestand dat definitief uit de OneDrive-prullenbak is verwijderd, is niet meer terug te halen (Microsoft).

Er zijn twee uitzonderingen, maar die helpen zelden echt:

• Noodherstel via Microsoft Support. Microsoft bewaart van SharePoint nog 14 dagen extra back-ups. Daarmee kan Microsoft alleen een complete site terugzetten naar een eerder moment, geen losse bestanden of mappen. Wat daarna op die site is veranderd, kan daarbij verloren gaan.
• Een bewaarbeleid. Heeft je organisatie vooraf een bewaarbeleid ingesteld, dan worden verwijderde bestanden bewaard in een verborgen bibliotheek (Microsoft). Dat moet wel vooraf zijn ingesteld, en terugzetten daaruit is handwerk voor een beheerder.

	Prullenbak (standaard)	Aparte Microsoft 365 back-up
Doel	Vergissingen snel herstellen	Gegevens terugzetten na verlies, aanval of fout
Waar staat het?	In je eigen Microsoft 365-omgeving	Los van de gewone gebruikersaccounts
Hoe lang bewaard?	Maximaal 93 dagen (OneDrive en SharePoint)	Zo lang als je afspreekt
Kan iemand met gestolen inloggegevens het wissen?	Ja, als het account voldoende rechten heeft	Nee, mits goed ingericht
Alles terugzetten na een aanval?	Alleen zolang de bestanden er nog in staan	Ja, naar een moment dat je kiest

Waarom Microsoft 365 geen volledige back-up is

Kort antwoord: Microsoft zorgt dat Microsoft 365 beschikbaar en betrouwbaar is. Jij blijft zelf verantwoordelijk voor je gegevens en voor wie er toegang toe heeft. Een volledige back-up die jij zelf beheert, zit niet standaard in Microsoft 365.

Veel ondernemers denken dat Microsoft automatisch een back-up maakt van alles. Dat klopt maar gedeeltelijk. Microsoft slaat gegevens meervoudig op, zodat een storing of een kapotte server niet tot dataverlies hoeft te leiden. Dat beschermt je tegen problemen bij Microsoft. Het beschermt je niet tegen iemand die met een geldig account je bestanden verwijdert. Voor Microsoft is dat een gebruiker die doet wat hij mag doen.

Microsoft legt die taakverdeling vast in het Shared Responsibility Model, het model van gedeelde verantwoordelijkheid. Daarin staat dat je als klant altijd zelf verantwoordelijk blijft voor:

• Je gegevens: het beschermen van je bestanden, e-mail en andere data.
• Je accounts: het aanmaken, beheren en intrekken van toegang.

Microsoft biedt inmiddels ook een eigen back-updienst voor Microsoft 365 aan, die apart wordt afgerekend (Microsoft). Daarnaast zijn er andere aanbieders. Welke oplossing het beste past, hangt af van factoren zoals bewaartermijnen, herstelmogelijkheden, beheer en opslaglocatie.

Hoe lang Microsoft 365 verwijderde gegevens standaard bewaart

Onderdeel	Standaard herstelmogelijkheid
OneDrive	Prullenbakken maximaal 93 dagen. Je kunt je hele OneDrive tot 30 dagen terugzetten, maar niet wat definitief is verwijderd (bron).
SharePoint	Prullenbakken maximaal 93 dagen. Na definitieve verwijdering nog 14 dagen noodherstel via Microsoft Support, alleen voor een complete site (bron).
E-mail (Exchange Online)	Definitief verwijderde e-mail standaard 14 dagen herstelbaar, in te stellen tot maximaal 30 dagen (bron).
Teams en Microsoft 365-groepen	Een verwijderd team of verwijderde groep is 30 dagen terug te zetten (bron).
OneDrive van een verwijderde gebruiker	Blijft minimaal 30 dagen bewaard; een beheerder kan dit verlengen tot 10 jaar (bron).

Al deze termijnen hebben één ding gemeen: ze zijn tijdelijk, en ze beschermen niet tegen iemand die bewust gegevens wist.

Zo bescherm je je Microsoft 365-gegevens: 6 praktische stappen

Een back-up is je laatste redmiddel, maar hoort niet je enige maatregel te zijn. Met deze stappen maak je het een kwaadwillende een stuk moeilijker, en herstel je sneller als het toch misgaat.

1. Regel een aparte Microsoft 365 back-up. Neem OneDrive, SharePoint, e-mail en Teams mee. Zorg dat de back-up los staat van de gewone gebruikersaccounts, zodat gestolen inloggegevens er geen toegang toe geven.
2. Test regelmatig of terugzetten werkt. Een back-up die nooit is getest, geeft schijnzekerheid. Zet af en toe een bestand of map terug en kijk hoe lang dat duurt.
3. Zet MFA aan voor iedereen. MFA maakt het aanzienlijk moeilijker voor aanvallers om misbruik te maken van gestolen inloggegevens (Microsoft). Waterdicht is het niet: keur daarom nooit een inlogverzoek goed dat je niet zelf hebt gestart.
4. Regel het vertrek van medewerkers goed. Blokkeer het account direct, neem apparaten in en wijzig gedeelde wachtwoorden die de vertrekker kent. Let op: verwijder je een gebruiker, dan blijft zijn OneDrive maar een beperkte tijd bewaard.
5. Deel geen wachtwoorden of MFA-methodes. Iedereen werkt met een eigen account en een eigen MFA-methode, met alleen de rechten die hij nodig heeft. Zo zie je wie wat heeft gedaan en kun je toegang gericht intrekken.
6. Laat je waarschuwen bij ongebruikelijk gedrag. Met aanvullende beveiliging en monitoring kun je een melding krijgen als iemand in korte tijd veel bestanden verwijdert. Bespreek met je IT-partner wat binnen jouw licentie mogelijk is.

Conclusie: de prullenbak is geen back-up

De prullenbak van Microsoft 365 is handig bij vergissingen, maar beschermt je niet tegen iemand die bewust gegevens wist. Microsoft zorgt dat de dienst draait; voor je gegevens ben je zelf verantwoordelijk. Een zakelijke back-up van Microsoft 365, los van je gewone accounts, is daarom voor de meeste bedrijven geen luxe. Bij deze klant was het het verschil tussen een paar uur hinder en het verlies van alle bedrijfsbestanden.

Weet jij hoe goed jouw Microsoft 365-gegevens zijn beschermd?

Veel ondernemers weten niet precies wat er in hun Microsoft 365-omgeving wel en niet wordt bewaard. Dat is begrijpelijk: je merkt het pas als je het nodig hebt.

In een Microsoft 365 Backup Check brengen we samen met jou in kaart:

• of er een back-up is van OneDrive, SharePoint, e-mail en Teams;
• hoe lang verwijderde gegevens nu bewaard blijven;
• of terugzetten in de praktijk werkt, en hoe lang dat duurt.

Je krijgt een helder advies in gewone taal, afgestemd op jouw organisatie. Wat je daarmee doet, bepaal je zelf.

Wil je weten waar jouw organisatie staat? Bel ons op 085 015 0024 of neem contact op via whats-it.eu. Whats-IT uit Uden beheert en beveiligt Microsoft 365 voor mkb-bedrijven. We denken graag met je mee.

Veelgestelde vragen over Microsoft 365 back-up

Bronnen

• Restore deleted items from the site collection recycle bin, Microsoft Support
• Restore your OneDrive, Microsoft Support
• Shared responsibility in the cloud, Microsoft Learn
• Learn about retention for SharePoint and OneDrive, Microsoft Learn
• Recoverable Items folder in Exchange Online, Microsoft Learn
• Restore a deleted Microsoft 365 group, Microsoft Learn
• Set the OneDrive retention for deleted users, Microsoft Learn
• Pricing model for Microsoft 365 Backup, Microsoft Learn
• How effective is multifactor authentication at deterring cyberattacks?, Microsoft Research (2023)