Je bestanden zitten in de cloud dus ze zijn veilig, toch? Over de publieke cloud bestaan veel hardnekkige misverstanden. Laat er geen twijfel over bestaan: ook van bestanden die je in Microsoft 365 bewaart, heb je back-ups nodig voor als het misgaat.
Veel organisaties steunen op Microsoft 365. De cloudsuite van Microsoft geeft je niet alleen toegang tot de bekende applicaties zoals Word, Excel en de (over)ijverige AI-assisent Copilot, maar biedt ook gemoedsrust dat je bestanden op een veilige plek staan. Maar is dat wel zo?
Over de publieke cloud bestaan nog veel hardnekkige misverstanden. De publieke cloud heeft de reputatie gekregen een beveiligde bunker te zijn voor je data en bestanden. Dat is deels terecht, want providers zoals Microsoft investeren in fysieke en digitale beveiliging van hun datacenters. Gebruikers krijgen daardoor echter het valse gevoel dat de basisregels van beveiliging niet meer gelden in de cloud.
Het maken van back-ups bijvoorbeeld wordt al eens te gemakkelijk vergeten. Als bestanden in de cloud staan, zijn ze veilig, toch? Totdat het eens misgaat en je geen back-up hebt. Waarom je ook back-ups moet maken van bestanden die je bij Microsoft onderbrengt, leggen we je in dit artikel uit, want Microsoft doet het niet voor jou.
Is Microsoft 365 veilig?
Het afsluiten van een 365-abonnement geeft je recht op 1 TB aan opslagruimte per aangesloten gebruiker op de cloudservers van Microsoft. Die limiet is gelijk voor particuliere en zakelijke gebruikers. Wie de diensten van Microsoft gebruikt zonder te betalen, moet het met 15 GB cloudopslag stellen. OneDrive en SharePoint zijn de bekende opslagtools voor het 365-ecosysteem.
Zijn OneDrive en SharePoint veilige opbergkluizen voor je bestanden? Microsoft 365-opslag levert ingebouwde beveiliging op systeemniveau, zoals deze supportpagina in detail beschrijft. Zo versleutelt OneDrive bestanden zowel in ‘rust’ als in ‘transit’. OneDrive bevat ook ingebouwde monitoringtools om verdachte activiteit op je account op te sporen.
Gedeelde verantwoordelijkheid
Microsoft 365 is een betrouwbare oplossing, maar Microsoft doet niet alles voor jou. Het hanteert een ‘gedeelde verantwoordelijkheid’-principe wat beveiliging betreft. Een cruciaal uitgangspunt van Microsoft 365 is dat de gebruiker eigenaar is van zijn data. Dit staat zwart-op-wit in de gebruiksovereenkomst onder het hoofdstuk Jouw inhoud. Microsoft mag zich niet zomaar toegang eigenen tot je bestanden, maar de eindverantwoordelijkheid voor het beveiligen van die bestanden ligt bij jezelf.
Microsoft voorziet de tools om je bestanden te beveiligen, zoals MFA of het aanmaken van vergrendelde mappen, maar het is aan jou om die te gebruiken. Bekijk Microsoft 365 zoals een kluis: laat je de sleutel rondslingeren, dan kan zelfs het sterkste materiaal je kostbare bezittingen niet beschermen.
Datzelfde geldt ook voor back-ups. Microsoft zegt wel dat het een replicatie maakt van je bestanden naar een tweede datacenter, maar dat dient enkel ter garantie van de beschikbaarheid. Die replica is, anders dan de originele versie, niet van jou. Een bestand dat verloren gaat, kan er niet mee hersteld worden. Het is in andere woorden dus geen volwaardige back-up.
Negentig dagen
Hoe goed Microsoft beweert zijn zaakjes op orde te hebben, geen enkele cloudprovider kan honderd procent garantie bieden. Een brand of waterschade in een datacenter of een cyberaanval op de provider zijn maar enkele noodsituaties die je bestanden kunnen aantasten. Door je bestanden te repliceren, verkleint Microsoft het risico van onheil langs zijn kant.
De kans is wellicht groter dat de oorzaak van het dataverlies langs gebruikerszijde plaatsvindt. Een slecht beveiligde Microsoft 365-omgeving biedt inbrekers vrije toegang tot je bestanden. In deze situatie wast Microsoft zijn handen in onschuld. Het hoeft geen dramatisch scenario te zijn: ook het opzeggen of aflopen van je abonnement kan gepaard gaan met gegevensverlies.
Microsoft is gelukkig de kwaadste niet en je zal je bestanden normaal gezien niet van het ene op het andere moment kwijt zijn. De recentste versie van je bestanden wordt tot dertig dagen bijgehouden, zolang je beschikbare opslagruimte niet vol zit, wat je kans geeft om een bestand dat per ongeluk of met kwaad opzet verwijderd werd weer te herstellen. Na het aflopen van je abonnement geldt zelfs een overgangsperiode van negentig dagen vooraleer je bestanden naar de eeuwige digitale jachtvelden vertrekken.
Microsoft wist per ongeluk gegevens
Toch blijkt dat Microsoft die zekerheid niet kan bieden. Zo wiste Microsoft per ongeluk de gegevens van een aantal non-profitorganisaties. Die gebruikten Microsoft 365 Business Premium via een gratis licentieprogramma, dat Microsoft na 1 juli 2025 niet meer verlengde. Organisaties konden hun gebruikers overzetten naar een ander non-profitplan of hun data exporteren. Nadat de abonnementen gedeactiveerd waren, verwijderde een fout de resterende data nog voor de bewaartermijn verstreken was.
Microsoft probeerde de gegevens te herstellen, zonder resultaat. Hoeveel organisaties getroffen zijn, is niet bekend. Microsoft biedt hen een gratis gesprek met een specialist aan om een nieuwe Microsoft 365-omgeving op te zetten.
Hans Ocket, verantwoordelijk voor sales en marketing bij IT Partner, reageerde eerst met ongeloof. IT Partner beheert de IT-infrastructuur van kmo’s, van servers en netwerken tot beveiliging en Microsoft 365. “Ik dacht eerst: dat zal niet helemaal kloppen, ze zullen die data nog wel kunnen terughalen. Maar het blijkt dat effectief alles weg was. Dat Microsoft moet toegeven dat die data echt allemaal weg zijn, vind ik eigenlijk wel straf.”
Alles weg?
Het gaat volgens Ocket om alles wat in de omgeving stond: alle mails, alle opgeslagen documenten, de opzet van Teams en SharePoint en de chats in Teams. “Ik las ook dat ze de slachtoffers helpen om een nieuwe tenant op te zetten. Daarmee zeggen ze eigenlijk dat echt alles weg is.”
Voor Ocket ligt de fout bij Microsoft. “Moeten zeggen dat de data allemaal weg zijn, is de grootste nachtmerrie die je als IT-provider kan tegenkomen.” Hij ziet ook een les voor de gebruikers. Gebruikers van wie de licentie afloopt, laten er volgens hem beter geen productieve data meer op staan. “Als ze nog een extra back-up hadden, iets wat we iedereen altijd aanraden, dan waren ze helemaal zeker geweest en hadden ze die data niet verloren.”
Waar loopt het mis?
Volgens IT Partner gaat het vaak mis door een eigen ingreep, zoals een licentiewijziging. Een medewerker verlaat het bedrijf en zijn licentie wordt weggenomen. 30 dagen later worden ook zijn data uit de omgeving verwijderd. “De meesten denken er niet meer aan dat ze die data binnen dertig dagen moeten bewaren. Microsoft kan dan niets meer doen, want daarvoor geeft het die dertig dagen.”
IT Partner stelt in dat geval voor om de mailbox om te zetten naar een shared mailbox, waarvoor geen licentie nodig is. “Belangrijke bestanden op de persoonlijke OneDrive van de medewerker zet je best aan de kant voor je de licentie wegneemt. Wat in Teams of op een gedeelde omgeving staat, blijft gewoon staan.”
Ocket: “ IT Partner maakt een back-up van de volledige Microsoft 365-tenant, met mails, OneDrive, SharePoint en Teams. Die kopie staat bij een andere clouddienst, buiten de omgeving van de klant en buiten die van Microsoft. Wordt de tenant gehackt, loopt een licentiewijziging fout of verwijdert een medewerker de verkeerde map, dan kunnen we gericht en snel terugzetten.”
Back-up bij kmo’s
Kmo’s denken volgens Ocket niet altijd uit zichzelf aan een extra back-up. “Op het moment dat je het uitlegt, begrijpen ze het wel.” Grotere bedrijven met eigen IT-mensen hebben dat beter in de hand. Kmo’s beseffen wel dat ze een back-up nodig hebben, maar meestal staat die in dezelfde omgeving. Wordt die omgeving gehackt of beschadigd, dan heb je volgens Ocket een kopie elders nodig.
Ocket ziet de kostprijs als een drempel. “Ze beschouwen IT een beetje als een noodzakelijk kwaad. Bij kmo’s wordt dat soms nog een beetje te stiefmoederlijk behandeld.” Daarbij komt dat een back-up niet altijd getest wordt. Een audit of pentest elk jaar doet lang niet elke kmo, ook omwille van de kostprijs. “Dan kan het gebeuren dat het lijkt alsof ze een back-up hebben, maar dat die niet of niet volledig of moeilijk kan hersteld worden.”
3-2-1
Om een lang verhaal kort te maken: maak back-ups van je bestanden, ook als ze in de cloud van Microsoft of een andere provider staan. De cloud van Microsoft is goed beveiligd, maar voor het maken van back-ups ben je als eindgebruiker zelf verantwoordelijk. De 3-2-1-regel voor back-ups is niet minder van tel in de cloud.
De regel nog eens opfrissen kan nooit kwaad. Wie de 3-2-1-regel nauwgezet opvolgt, heeft minstens drie versies (een primaire versie en twee om te bewerken), op minstens twee verschillende dragers, waarvan één extern. Microsoft 365 is in deze formule één mogelijk (extern) medium, maar om tegen alle mogelijke vormen van onheil ingedekt zijn, hou je best nog een versie van je bestanden op je pc en op andere fysieke of digitale dragers achter de hand.
Dit artikel verscheen oorspronkelijk op 8 augustus 2025 en kreeg een update op 10 november 2026 met de recentste informatie.