Wat is endpoint-back-up, en waarom heb je die nodig bij hybride werken?

Wat is endpoint-back-up en wat dekt het?

Endpoint-back-up beschermt de data die op het apparaat zelf staat: gebruikersmappen, lokaal opgeslagen applicatiebestanden en alles wat nog niet is geüpload. Het vult het gat dat back-up van servers en van SaaS laat liggen.

Denk aan een salesmanager die in het vliegtuig een pitchdeck maakt en dat op het bureaublad opslaat, of een accountant die ERP-exports downloadt voor offline analyse. Wordt die laptop morgen gestolen uit een café in Utrecht, dan is het werk weg, omdat noch de Microsoft 365-back-up noch de serverback-up het ooit heeft gezien. Daarom horen endpoints in je plan voor Backup as a Service, naast servers en SaaS.

Je hebt beide lagen nodig. De ene vervangt de andere niet.

Is OneDrive-synchronisatie genoeg als back-up van laptops?

Het helpt, maar is op zichzelf niet genoeg. Synchronisatie dekt geselecteerde mappen, kan ongemerkt stoppen en kopieert schade net zo trouw naar de cloud als werk.

De documentatie van Microsoft over Known Folder Move legt uit dat die Bureaublad, Documenten, Afbeeldingen, Schermafbeeldingen en Camerarol omleidt naar OneDrive, en zegt dat het opslaan van bestanden daar "een back-up van de data van je gebruikers in de cloud maakt". Dat is de moeite waard om aan te zetten. Maar er blijven drie gaten:

• Bereik. Bestanden die elders op de schijf staan, en veel mappen met applicatiedata, worden niet omgeleid.
• Ongemerkte storingen. Een gepauzeerde of uitgelogde client kan dagenlang achterlopen zonder dat de gebruiker het merkt.
• Gerepliceerde schade. Versleutelt ransomware een gesynchroniseerde map, dan worden de versleutelde versies naar OneDrive gesynchroniseerd en overschrijven ze de goede. Versiegeschiedenis helpt, maar duizenden bestanden terugdraaien gaat langzaam.

Er is ook een single point of failure (één punt waar alles van afhangt): de gesynchroniseerde kopie staat in dezelfde Microsoft 365-tenant als al het andere. Dat risico leggen we uit in maakt Microsoft 365 een back-up van mijn data? De Microsoft-pagina Shared responsibility in the cloud noemt endpoints, dus laptops, desktops en mobiele apparaten, als een verantwoordelijkheid die je altijd houdt.

Welke risico's brengen laptops met zich mee bij hybride werken?

Drie vallen op: diefstal of verlies, ransomware die op het apparaat begint en persoonlijke apparaten waarop werk en privé door elkaar staan.

Diefstal en verlies

Een kwijtgeraakte laptop is een hardwareprobleem en, als er persoonsgegevens op stonden, mogelijk een datalek. AVG-artikel 33 verplicht je de toezichthouder binnen 72 uur te informeren nadat je op de hoogte bent van een datalek dat waarschijnlijk een risico inhoudt. Volgens AVG-artikel 34(3)(a) hoef je betrokkenen mogelijk niet te informeren als de data onbegrijpelijk is gemaakt, bijvoorbeeld door versleuteling. Volledige schijfversleuteling plus een back-up maakt van diefstal een vervangingsklus.

Ransomware

Volgens het Data Breach Investigations Report 2025 van Verizon speelde ransomware een rol bij 44% van de onderzochte datalekken en bij 88% van de datalekken bij kleine en middelgrote bedrijven. Endpoints zijn vaak het beginpunt, en lokale bestanden horen bij de eerste dingen die worden versleuteld.

Eigen apparaten (BYOD)

De executive summary van het DBIR 2025 constateerde dat "46% van die aangetaste systemen met zakelijke inloggegevens in de gelekte data niet-beheerd was en zowel privé- als zakelijke inloggegevens bevatte", wat Verizon koppelt aan BYOD-programma's (bring your own device: medewerkers gebruiken hun eigen apparaat) of bedrijfsapparaten die buiten het beleid worden gebruikt. Niet-beheerde apparaten zijn moeilijker te beschermen, te monitoren en te back-uppen.

Hoe ga je om met BYOD-apparaten?

Houd bedrijfsdata op plekken die je beheert en maak op persoonlijke apparaten alleen een back-up van werkdata. Een back-up van de hele privélaptop van een medewerker zorgt voor eigen privacyproblemen.

1. Geef bij gevoelige functies de voorkeur aan beheerde apparaten. Financiën, HR, juridische zaken en directie verwerken de gevoeligste data en reizen het meest.
2. Scheid werk van privé op persoonlijke apparaten. Gebruik beheerde werkprofielen of toegang alleen via de browser, zodat bedrijfsdata op gesynchroniseerde, geback-upte plekken blijft.
3. Beperk de scope van de back-up. Dek op een persoonlijk apparaat alleen vastgestelde werkmappen, in lijn met het AVG-beginsel van dataminimalisatie in AVG-artikel 5(1)(c).
4. Vertel mensen wat er wordt gedekt. Leg uit dat de back-up werkbestanden beschermt, niet persoonlijke foto's. Transparantie voorkomt het gevoel van toezicht.

Wat hoort er in een beleid voor endpoint-back-up?

Een beleid van één pagina met scope, frequentie, bewaartermijn, beveiliging en tests. Het is wat auditors en verzekeraars willen zien, en het houdt ieders verwachtingen gelijk.

De RPO (maximaal dataverlies) is hoeveel werk je mag verliezen, de RTO (maximale hersteltijd) is hoe lang je dat werk mag missen. In onze gids over RTO en RPO lees je hoe je beide bepaalt. Valt je organisatie onder NIS2, dan vereist NIS2-artikel 21(2)(c) bedrijfscontinuïteit, zoals back-upbeheer en disaster recovery (je systemen weer draaiend krijgen na een calamiteit). Laptops die bedrijfsdata verwerken horen bij de systemen die het artikel dekt.

Hoe voer je endpoint-back-up in?

Begin met de meest blootgestelde gebruikers, automatiseer alles en bewijs met testherstellen dat het werkt. Gebruikers hoeven niets te doen.

1. Kies een pilotgroep. Directie, financiën en medewerkers die veel reizen hebben de waardevolste data bij zich.
2. Rol agents centraal uit. Gebruik je tooling voor apparaatbeheer of RMM (remote monitoring and management), zodat installatie en beleid overal gelijk zijn.
3. Bewaar kopieën buiten het apparaat en onveranderbaar. Volg de 3-2-1-1-0-regel, zodat malware op de laptop de back-up niet kan bereiken.
4. Houd gemiste back-ups in de gaten. Een apparaat dat een week niet heeft ingecheckt, is een sluimerend risico.
5. Test het terugzetten. Zet elk kwartaal een steekproef van apparaten terug op nieuwe hardware en leg het resultaat vast. Zie hoe weet je of je back-up echt werkt?

De endpoint-back-up van Mindtime bewaart kopieën alleen in onze eigen Tier III-datacenters in Nederland en Duitsland, onder EU-recht. Data wordt tijdens transport met AES-256 versleuteld. Back-ups zijn onveranderbaar met Object Lock plus een air-gapped kopie (een kopie zonder verbinding met je netwerk) en worden gescand op malware. Elke back-uptaak wordt automatisch gecontroleerd en 24/7 gemonitord. MSP's beheren alle klanten vanuit één multi-tenant console en kunnen back-up combineren met ons EDR Platform voor endpointdetectie die ze zelf beheren.

Wat je nu kunt doen

Hybride werken heeft bedrijfsdata naar honderden laptops verplaatst, en de meeste back-upplannen stopten bij de serverruimte en de cloudtenant. Dat gat dichten is goed te doen: automatische, versleutelde, onveranderbare endpointkopieën buiten het apparaat, geregeld in een kort beleid en bewezen met testherstellen.

Begin met één vraag: als ransomware maandag vijftig laptops van thuiswerkers raakt, waarvan zet je dan terug en hoe lang duurt dat? Bekijk daarna hoe endpoints passen in je bredere opzet van Backup as a Service.

Plan een gratis demo van 15 minuten en we laten je zien hoe een endpoint wordt teruggezet naar een vervangende laptop.

Dit artikel is algemene informatie, geen juridisch advies.