Maakt Microsoft 365 een back-up van mijn data?

Wat beschermt Microsoft eigenlijk in Microsoft 365?

Microsoft beschermt het platform: de datacenters, de hardware, het netwerk en de beschikbaarheid van Exchange Online, SharePoint, OneDrive en Teams. Je data, en wie die mag wijzigen of verwijderen, blijft bij jou.

Die verdeling heet het model van gedeelde verantwoordelijkheid. Op de pagina van Microsoft over gedeelde verantwoordelijkheid in de cloud staan vier dingen die je altijd houdt, welk type dienst je ook gebruikt: je data, je endpoints (laptops, desktops en mobiele apparaten), je accounts en je toegangsbeheer. Bij een SaaS-dienst als Microsoft 365 neemt Microsoft het besturingssysteem, de fysieke hosts, het netwerk en het datacenter over. De verantwoordelijkheid voor je inhoud neemt Microsoft niet over.

Verwijdert een gebruiker dus een map, haalt een beheerder het verkeerde account weg of versleutelt ransomware een SharePoint-bibliotheek, dan voert Microsoft die wijzigingen trouw uit. De dienst blijft beschikbaar, en dat is precies wat Microsoft belooft. Data terugzetten is een aparte taak, en daarvoor is Backup as a Service bedoeld. In onze gids over het model van gedeelde verantwoordelijkheid van Microsoft 365 behandelen we het hele model.

Replicatie is geen back-up

Microsoft repliceert data over datacenters, zodat een hardwarestoring je mailbox niet offline haalt. Replicatie kopieert elke wijziging, ook verwijderingen en versleuteling. Het beschermt de beschikbaarheid, niet de mogelijkheid om terug te gaan naar een schoon moment in de tijd.

Hoelang bewaart Microsoft 365 verwijderde data?

Voor de meeste items tussen 14 en 93 dagen, afhankelijk van de workload en de instellingen. Daarna is de data definitief weg, tenzij je bewaarbeleid of een onafhankelijke back-up hebt ingesteld.

Microsoft bewaart SharePoint-back-ups ook nog 14 dagen na het venster van 93 dagen. Volgens dezelfde supportpagina kan Microsoft Support daarmee hele site collections terugzetten, maar geen losse bestanden. Dat helpt na een groot ongeluk. Het helpt niet als je drie maanden later merkt dat één contractmap ontbreekt.

Bewaarbeleid in Microsoft Purview kan content jarenlang bewaren. Het is bedoeld voor compliance en eDiscovery, niet voor snel en gedetailleerd terugzetten van een werkomgeving.

Beschermt Microsoft 365 je tegen ransomware?

Gedeeltelijk. Microsoft blokkeert veel malware en phishing, en met versiebeheer kun je sommige versleutelde bestanden terugdraaien. Krijgt een aanvaller toegang tot een account, dan lijken zijn acties op die van de gebruiker zelf. De ingebouwde herstelopties staan bovendien in dezelfde tenant als waar hij al in zit.

De dreiging is reëel voor organisaties van elke omvang. Volgens het Verizon 2026 Data Breach Investigations Report, zoals samengevat door Help Net Security, speelde ransomware een rol bij 48% van de geanalyseerde datalekken, tegen 44% een jaar eerder. Het Microsoft Digital Defense Report 2025 constateerde dat minstens 52% van de aanvallen met een bekend motief werd gedreven door afpersing of ransomware, en dat meer dan 97% van de identiteitsaanvallen wachtwoordaanvallen zijn.

Aanvallers richten zich ook op herstelopties. In een Sophos-onderzoek onder 2.974 organisaties die door ransomware waren getroffen zei 94% dat de criminelen hun back-ups probeerden aan te tasten. Bij 57% van die pogingen lukte dat. Organisaties van wie de back-ups waren aangetast, meldden mediane herstelkosten die acht keer hoger lagen.

In de eigen richtlijn van Microsoft voor bescherming tegen ransomware in Microsoft 365 staat wat je standaard kunt gebruiken: 500 bestandsversies, een prullenbak van 93 dagen, Files Restore voor de afgelopen 30 dagen en single item recovery in Exchange. Dat is nuttig. Maar het hangt ervan af dat iemand het op tijd merkt en dat de aanvaller geen beheerdersrechten heeft om het te wissen. Lees meer in ons artikel over herstel van Microsoft 365 na ransomware.

Is Microsoft 365 Backup op zichzelf genoeg?

Microsoft 365 Backup, de betaalde add-on van Microsoft, is een echte verbetering ten opzichte van prullenbakken. Het blijft een Microsoft-dienst die je beheert vanuit je Microsoft 365-tenant. Of dat genoeg is, hangt af van hoeveel onafhankelijkheid je risicobeoordeling en je auditors verwachten.

Volgens de veelgestelde vragen over Microsoft 365 Backup van Microsoft beschermt het Exchange Online, OneDrive en SharePoint, bewaart het back-ups een jaar en biedt het voor die workloads een recovery point objective van 10 minuten. (Het recovery point objective, of RPO, is hoeveel recent werk je kunt kwijtraken.) Teams staat in de FAQ niet als aparte workload genoemd.

Microsoft zelf raadt in zijn ransomware-richtlijn aan om Microsoft 365 Backup of een oplossing van een partner te beoordelen. De beslissende vraag is makkelijk te stellen: als je tenant of je global admin-account vannacht is aangetast, staat je back-up dan nog buiten bereik van de aanvaller?

Welke Microsoft 365-data moet je zelf back-uppen?

Alle vier de kernworkloads: Exchange Online, OneDrive, SharePoint en Teams. Een workload overslaan is het gat dat we het vaakst zien, meestal Teams of SharePoint.

• Exchange Online: mailboxen, agenda's en contactpersonen. In e-mail staan vaak je afspraken en besluiten.
• OneDrive: de werkbestanden van elke gebruiker, ook bestanden die alleen in de gesynchroniseerde map van één laptop stonden.
• SharePoint: teamsites en documentbibliotheken, waar project- en klantbestanden meestal staan.
• Teams: kanaalgesprekken en de bestanden die daarin worden gedeeld. Die staan verspreid over SharePoint en Exchange.

Let extra op medewerkers die vertrekken. Als je een gebruiker verwijdert, begint voor de mailbox en OneDrive een aftelling, zoals de tabel hierboven laat zien. Met een back-up van vóór de verwijdering kun je de bestanden van een oud-collega nog een jaar later terugzetten.

Onze Microsoft 365-back-up omvat Exchange, OneDrive, SharePoint en Teams. We bewaren de back-ups in onze eigen Tier III-datacenters in Nederland en Duitsland. Ze zijn onveranderbaar (immutable) dankzij Object Lock, plus een air-gapped kopie (een kopie zonder verbinding met je netwerk). We controleren elke back-uptaak automatisch. Weet je niet precies waar synchronisatie ophoudt en back-up begint? Lees dan cloudopslag of cloudback-up.

Hoe controleer je de bescherming van je Microsoft 365-data?

Loop vijf controles af. Binnen een middag weet je of je een verwijderde mailbox, een SharePoint-bibliotheek of een complete gebruiker van twee maanden geleden kunt herstellen.

1. Maak een lijst van je workloads. Welke van Exchange, OneDrive, SharePoint en Teams gebruik je, en in welke staan bedrijfsdocumenten?
2. Controleer je huidige termijnen. Zoek op hoelang Exchange verwijderde items bewaart en welk Purview-bewaarbeleid je hebt. Noteer wat er na 30 en 93 dagen gebeurt.
3. Controleer de onafhankelijkheid. Is er een back-up buiten je tenant, met aparte inloggegevens en meervoudige authenticatie (MFA) op beheeracties?
4. Stel doelen vast. Spreek af hoeveel data je kunt missen (RPO) en hoe snel je alles terug moet hebben (RTO, de maximale hersteltijd). Onze uitleg over RTO en RPO helpt je kiezen.
5. Test een herstel. Zet één mailbox en één SharePoint-map terug van minstens 60 dagen geleden en meet hoelang het duurt. In onze gids over hoe je test of je back-up werkt lees je wat je moet meten.

Wat je nu kunt doen

Microsoft 365 maakt geen back-up van je data die ransomware, beheerfouten of een verwijderd account na een paar weken overleeft. Zie de prullenbakken als een gemak en zet er een onafhankelijke, onveranderbare en geteste back-up naast.

Val je onder NIS2 (in Nederland de Cyberbeveiligingswet, Cbw), dan is dit ook een juridisch punt. NIS2-artikel 21(2)(c) (Richtlijn (EU) 2022/2555) noemt bedrijfscontinuïteit, waaronder back-upbeheer en disaster recovery (je systemen weer draaiend krijgen na een calamiteit), en crisisbeheer als verplichte maatregelen. Lees op onze pagina over Backup as a Service hoe dit past in je totale opzet.

Wil je zien hoe een verwijderde mailbox en een SharePoint-bibliotheek worden teruggezet vanuit een EU-datacenter? Plan een gratis demo van 15 minuten. Je praat met een mens, in het Nederlands, Duits of Engels.

Dit artikel is algemene informatie, geen juridisch advies.