Hoe herstel je Microsoft 365 na een ransomware-aanval?

Wat is het verschil tussen beschikbaarheid en herstelbaarheid in Microsoft 365?

Beschikbaarheid betekent dat de dienst draait en je gebruikers kunnen inloggen. Herstelbaarheid betekent dat je precies de data terug kunt halen die je kwijt bent, van vóór de schade, binnen een termijn die het bedrijf heeft afgesproken.

Microsoft is erg goed in het eerste. Het repliceert je data over datacenters, zodat hardwarestoringen Exchange Online of SharePoint niet onderbreken. Maar replicatie kopieert elke wijziging. In de documentatie over Azure Storage-redundantie legt Microsoft het principe helder uit: "Redundantie beschermt tegen hardwarestoringen, niet tegen bewerkingen die data wijzigen." Verwijderingen en overschrijvingen worden op alle kopieën tegelijk toegepast, en ransomware-versleuteling is een bewerking die data wijzigt.

Herstelbaarheid is jouw deel van de afspraak. Die komt van een onafhankelijke kopie, en die levert Backup as a Service. Weet je nog niet goed wie waarvoor verantwoordelijk is, begin dan met Maakt Microsoft 365 een back-up van mijn data?

Een accountantskantoor met tien medewerkers, maandagochtend. Outlook gaat open, Teams werkt, de statuspagina van Microsoft is groen. Toch is sinds vrijdagnacht de helft van de klantmappen in SharePoint vervangen door versleutelde kopieën. De dienst is beschikbaar. De data is niet herstelbaar, tenzij iemand zich heeft voorbereid.

Hoe komt ransomware in een Microsoft 365-tenant?

Meestal via een gestolen identiteit, niet via een fout in het platform van Microsoft. Zodra een aanvaller een geldig account heeft, ziet alles wat hij doet eruit als gewone gebruikers- of beheerdersactiviteit.

Het Microsoft Digital Defense Report 2025 stelde vast dat aanvallen op identiteiten in de eerste helft van 2025 met 32% stegen, dat meer dan 97% van de identiteitsaanvallen wachtwoordaanvallen zijn en dat MFA er meer dan 99% van kan blokkeren. Typische routes naar Microsoft 365 zijn:

• Een gecompromitteerd gebruikersaccount: een gesynchroniseerde laptop wordt versleuteld en OneDrive uploadt braaf de versleutelde versies.
• Een gecompromitteerd beheerdersaccount: de aanvaller verwijdert mailboxen of sites, verkort de bewaartermijn of leegt prullenbakken.
• Een kwaadaardige of te ruim bevoegde app: een app die via toestemming brede toegang kreeg, kan op grote schaal data lezen, wijzigen of verwijderen.

Aanvallers weten dat back-ups de uitweg zijn. In de richtlijn van Microsoft voor een ransomwarebestendige back-uparchitectuur staat de waarschuwing dat "ransomware-aanvallers vaak eerst de back-upinfrastructuur aanpakken om herstelopties weg te nemen voordat ze de productiesystemen aanvallen." Daarom is de plek waar je back-up staat, en wie erbij kan, net zo belangrijk als het hebben van een back-up.

Wat zijn de stappen om Microsoft 365 te herstellen na ransomware?

Dam de aanval in, kies een schoon herstelpunt, zet terug in volgorde van prioriteit, controleer en meld. Indammen overslaan is de duurste fout, want teruggezette data kan opnieuw worden versleuteld.

1. Dam het incident in. Reset wachtwoorden van getroffen accounts, trek actieve sessies in, dwing MFA af, verwijder verdachte app-toestemmingen en mailboxregels en isoleer besmette endpoints (laptops, desktops en mobiele apparaten). Schakel je IT-dienstverlener (MSP) of incidentresponder in.
2. Bewaar bewijs. Exporteer auditlogs voordat je te veel wijzigt. Je hebt ze nodig voor verzekeraars, toezichthouders en de analyse van de oorzaak.
3. Zoek het schone tijdstip. Bepaal wanneer de eerste kwaadaardige wijziging plaatsvond en kies de laatste back-up daarvoor.
4. Stel prioriteiten. Zet eerst terug wat het bedrijf nodig heeft: sleutelmailboxen, financiële en klantgerichte SharePoint-bibliotheken, daarna de rest.
5. Zet gericht terug. Zet terug naar de oorspronkelijke locatie als die schoon is, of naar een alternatieve locatie zodat gebruikers kunnen vergelijken.
6. Controleer met gebruikers. Laat eigenaren bevestigen dat teruggezette mappen en mailboxen compleet zijn voordat je het incident sluit.
7. Meld en leer ervan. Val je onder NIS2, dan vereist NIS2-artikel 23 (Richtlijn (EU) 2022/2555) een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindverslag binnen één maand.

Zie onze tijdlijn voor herstel na een ransomware-aanval voor realistische doorlooptijden per fase. Word je onder druk gezet om te betalen, lees dan eerst Moet je losgeld betalen na een ransomware-aanval?

Welke ingebouwde Microsoft 365-tools helpen, en waar houden ze op?

Ingebouwde tools volstaan voor één verwijderde map of een handvol versleutelde bestanden die je snel opmerkt. Ze helpen niet meer als de schade groot of oud is, of is aangericht met beheerdersrechten.

De eerste vijf rijen komen uit de richtlijn van Microsoft voor ransomwarebescherming in Microsoft 365, de documentatie over Recoverable Items in Exchange en OneDrive Files Restore. De gegevens over Microsoft 365 Backup komen uit de Microsoft 365 Backup FAQ, die voor die workloads een RPO van 10 minuten noemt.

De richtlijn van Microsoft maakt ook een terecht punt: tools van andere leveranciers die data alleen naar een andere plek kopiëren, herstellen mogelijk niet snel genoeg bij een incident dat de hele tenant raakt. Neem niemands woord voor de hersteltijd, ook dat van ons niet. Meet een echte restore.

Wat moet een Microsoft 365-back-up doen om herstel mogelijk te maken?

Hij moet de aanval overleven en terugzetten wat je nodig hebt, met de snelheid die je nodig hebt. De principes voor ransomwarebestendige cloudback-ups van het Britse National Cyber Security Centre zijn een goede maatstaf.

• Bestand tegen vernietigende acties: back-ups kunnen tijdens hun bewaartermijn niet worden verwijderd of gewijzigd, ook niet door een beheerder.
• Toegang kan niet volledig worden ontzegd: een aanvaller die je tenant overneemt, kan je niet buitensluiten van je back-ups.
• Herstel vanuit een onbeschadigde versie: je kunt terug naar een moment vóór de besmetting, niet alleen naar gisteravond.
• Sleutels zijn beschermd: versleutelingssleutels worden zo beheerd dat aanvallers ze niet kunnen gebruiken.
• Waarschuwingen bij wijzigingen met beheerdersrechten: verwijderingen en beleidswijzigingen leiden tot meldingen.

Zo past onze Microsoft 365-back-up hierop. Back-ups van Exchange, OneDrive, SharePoint en Teams zijn onveranderbaar met Object Lock, met een extra air-gapped kopie (een kopie zonder verbinding met je netwerk), volgens de 3-2-1-1-0-regel. Voor beheeracties is MFA verplicht, data wordt met AES-256 versleuteld tijdens transport naar onze eigen Tier III-datacenters in Nederland en Duitsland, back-ups worden gescand op malware en elke back-uptaak wordt automatisch gecontroleerd en 24/7 bewaakt. Met gericht herstel zet je één mailboxmap of een hele site terug, en kritieke workloads worden hersteld volgens een SLA van 4 uur.

Hoe stel je hersteldoelen voor Microsoft 365 vast en test je ze?

Spreek per workload een RTO (hoe lang je zonder de data kunt) en een RPO (hoeveel recent werk je kunt kwijtraken) af. Bewijs ze daarna met herstelproeven waarvan je de tijd meet.

Testen loont. In een onderzoek van Sophos onder 2.974 slachtoffers van ransomware herstelde slechts 26% van de organisaties met aangetaste back-ups binnen een week volledig, tegenover 46% van de organisaties met intacte back-ups. Testen staat ook in de wet: AVG-artikel 32(1) vraagt om de mogelijkheid om de beschikbaarheid van en de toegang tot persoonsgegevens tijdig te herstellen, en om een procedure voor het regelmatig testen, beoordelen en evalueren van die maatregelen.

Een praktisch ritme:

• Maandelijks: zet één mailbox en één SharePoint-map terug van minstens 30 dagen geleden.
• Per kwartaal: zet een complete gebruiker terug (e-mail, OneDrive, Teams-bestanden) en noteer hoe lang dat duurde ten opzichte van je RTO.
• Jaarlijks: doe samen met de directie een tafeloefening voor een incident dat de hele tenant raakt, inclusief wie waarover beslist.

Hulp nodig bij het kiezen van de cijfers? Onze uitleg over RTO en RPO loopt je erdoorheen en in Hoe weet je of je back-up echt werkt? staan de cijfers die je bijhoudt.

Wat je nu kunt doen

Herstel van Microsoft 365 na ransomware wordt bepaald vóór de aanval. Als je alleen prullenbakken en versiegeschiedenis hebt, kun je kleine incidenten herstellen, maar geen gecompromitteerde tenant en geen schade die je pas na drie maanden opmerkt. Zorg voor een onafhankelijke, onveranderbare back-up, schrijf je herstelstappen op en test ze.

Lees op onze pagina over Backup as a Service hoe Microsoft 365 past in je bredere bescherming, of plan een gratis demo van 15 minuten en zie hoe we een mailbox en een SharePoint-bibliotheek terugzetten naar een tijdstip dat jij kiest.

Dit artikel is algemene informatie, geen juridisch advies.