Gids
Backup van Microsoft 365: waarom Microsoft dat niet voor u doet
Het gedeelde verantwoordelijkheidsmodel, wat de prullenbak en retentiebeleid wel en niet doen, de risico's die het vaakst voorkomen, en waar een echte backup van Exchange, OneDrive en SharePoint aan moet voldoen.
"Het staat toch in de cloud?"
Dat klopt, en Microsoft doet daar uitstekend werk: de datacenters, de servers, de beschikbaarheid van het platform. Maar in de servicevoorwaarden van Microsoft 365 staat het gedeelde verantwoordelijkheidsmodel: Microsoft is verantwoordelijk voor de dienst, u bent verantwoordelijk voor uw data. Microsoft raadt zelf aan om een backup van uw inhoud te nemen bij een derde partij.
Hetzelfde geldt voor Google Workspace.
Wat de ingebouwde voorzieningen wel en niet doen
| Voorziening | Wat het doet | Wat het niet doet |
|---|---|---|
| Prullenbak (30 dagen, 93 dagen voor SharePoint) | verwijderde items tijdelijk bewaren | beschermen tegen wie de prullenbak leegmaakt, of tegen verwijdering ouder dan de termijn |
| Versiegeschiedenis | eerdere versies van een document bewaren | helpen als het hele account of de hele site weg is, of bij massale versleuteling via een gesynchroniseerde map |
| Retentiebeleid (Purview) | items bewaren voor compliance | een echte kopie buiten de tenant maken; een beheerder met de juiste rechten kan het beleid wijzigen |
| Verwijderde gebruiker | 30 dagen herstelbaar | de mailbox en OneDrive van een ex-medewerker na die termijn teruggeven |
Al deze voorzieningen zitten in dezelfde tenant, onder dezelfde beheerdersaccounts. Wie uw beheerdersaccount overneemt, heeft ze allemaal.
De risico's die het vaakst voorkomen
- Menselijke fout. Een map versleept, een site verwijderd, een regel die mails wegfiltert. Pas weken later opgemerkt.
- Vertrekkende medewerkers. De licentie wordt ingetrokken om te besparen, en na dertig dagen is de mailbox met tien jaar klantencorrespondentie weg.
- Ransomware via synchronisatie. De OneDrive-client synchroniseert versleutelde bestanden net zo trouw als gewone. Versiegeschiedenis helpt tot op zekere hoogte, maar niet bij duizenden bestanden tegelijk.
- Gekaapt beheerdersaccount. Dan is er geen prullenbak en geen retentiebeleid meer.
- Bewaarplichten. Facturen zeven jaar, personeelsdossiers langer: dat regelt u niet met een prullenbak.
Waar een echte backup aan moet voldoen
- Buiten de tenant, in opslag die u controleert, met een andere set sleutels dan uw Microsoft-beheerder.
- Onveranderlijk: ook de backup zelf mag niet wisbaar zijn tijdens de bewaartermijn.
- Versleuteld vóór ze vertrekt, met een sleutel die niet bij Microsoft en niet bij de backupaanbieder ligt.
- Leesbaar zonder de leverancier: mail als gewone berichten, documenten in hun eigen formaat.
- Granulair terug te zetten: één mailbox, één map, één bestand, zonder het origineel te overschrijven.
- Getest: regelmatig een steekproef terugzetten en vergelijken.
Hoe Zekura het aanpakt
Zekura back-upt Microsoft 365 en Google Workspace via een connector-host: een kleine Linux-VM van u of van uw IT-partner. Die haalt mail en bestanden via de officiële API op, houdt een incrementele spiegel bij en snapshot die naar uw eigen onveranderlijke opslag, versleuteld zoals alles. De verbindingsgegevens blijven op die VM en gaan nooit naar het platform.
Mail komt per bericht als .eml in de backup, documenten in hun eigen formaat, Google-documenten als docx, xlsx, pptx of pdf. Terugzetten kan naar een map of rechtstreeks terug in de tenant, altijd onder een map Zekura-restore, nooit over het origineel. En elke week zet Zekura een kleine steekproef terug en vergelijkt ze: dat is het bewijs dat de backup werkt. De stappen staan in de documentatie.
Veelgestelde vragen
Heeft Microsoft zelf geen backupdienst?
Microsoft 365 Backup bestaat sinds 2024 en bewaart kopieën binnen de Microsoft-cloud, onder dezelfde tenant en dezelfde beheerders. Het is nuttig voor snel herstel, maar het is geen kopie buiten de tenant en geen bescherming tegen een gekaapt beheerdersaccount.
Hoe vaak moet een Microsoft 365-backup lopen?
Dagelijks is gangbaar; mail en documenten veranderen de hele dag, maar het verlies van één dag is voor de meeste organisaties aanvaardbaar. Wie een kleinere RPO wil, laat de connector vaker lopen.
Telt dit voor NIS2 en GDPR?
Ja. Uw mail en documenten zijn persoonsgegevens en bedrijfsinformatie waarvoor u de beschikbaarheid moet kunnen herstellen (GDPR artikel 32). Lees de gids over NIS2.