Microsoft 365 back-up: wat Microsoft wel en niet bewaart

"Het staat toch in de cloud?" Die zin horen we meestal op het moment dat het al te laat is. Een medewerker die vertrok, zijn account werd netjes verwijderd, en vier maanden later blijkt dat de projectmap in zijn OneDrive stond. Of een SharePoint-bibliotheek waar iemand een map met tweeduizend bestanden versleepte en pas na een half jaar opviel dat de helft weg was.

Microsoft bewaart een heleboel, en langer dan veel mensen denken. Maar het is geen back-up, en de termijnen lopen af zonder dat iemand een melding krijgt. Hieronder wat Microsoft precies bewaart en hoe lang, waar de grens ligt, wat Microsoft 365 Backup wel en niet doet, en wat je deze week zelf kunt controleren.

Wat Microsoft wel bewaart, en hoe lang

De standaardtermijnen in Microsoft 365, zonder dat je iets extra's hebt aangezet:

Twee dingen vallen hierbij op. De 14 dagen voor definitief gewiste mail is kort, en dat is de termijn die in de praktijk het vaakst verstrijkt voordat iemand het mist. Die kun je met één PowerShell-regel naar 30 dagen zetten, en dat zou je gewoon moeten doen:

Get-Mailbox -ResultSize Unlimited | Set-Mailbox -RetainDeletedItemsFor 30

Het tweede: die 93 dagen van SharePoint lopen door vanaf het moment van verwijderen. Ruimt iemand de prullenbak op, dan gaan de bestanden naar de tweede prullenbak, maar de klok begint niet opnieuw. Je hebt dus geen 93 plus 93 dagen.

En let op de versiegeschiedenis. Die redt je bij een bestand dat per ongeluk is overschreven, maar niet bij een bestand dat weg is. Bij ransomware die alles versleutelt, worden ook versies opgevreten als de aanvaller genoeg keer opslaat.

Waar de gedeelde verantwoordelijkheid ophoudt

Microsoft zorgt dat het platform blijft draaien, dat datacenters redundant zijn en dat er niets verdwijnt door hun eigen storing. Voor de inhoud van jouw tenant ben jij verantwoordelijk. Dat staat gewoon in de voorwaarden en het is geen kleine lettertjes-truc, het is hoe alle cloudplatformen werken.

Praktisch betekent dat: Microsoft beschermt je niet tegen een medewerker die opruimt, een beheerder die een site verwijdert, een verlopen bewaartermijn, of een aanvaller die met een gestolen account je bestanden versleutelt. In al die gevallen is de actie precies uitgevoerd zoals het systeem hem kreeg aangeboden.

De praktijkgrens is simpel te onthouden. Merk je het binnen drie maanden, dan is er meestal nog wat te redden met prullenbakken en Recoverable Items. Merk je het later, en dat gebeurt vaker dan je denkt bij archiefmateriaal en administraties, dan is een echte back-up het verschil tussen ongemak en een probleem.

Microsoft 365 Backup: wat het is en wat het kost

Microsoft heeft hier zelf een dienst voor. Microsoft 365 Backup dekt drie werklasten: Exchange Online, SharePoint en OneDrive. Herstelpunten worden een jaar bewaard, met terugzetpunten om de tien minuten over de afgelopen twee weken en wekelijkse punten over de rest van dat jaar. Voor Exchange zijn de punten van tien minuten beschikbaar over de hele 52 weken.

De prijs is 0,15 dollar per GB per maand aan beschermde inhoud, afgerekend via een Azure-abonnement met betalen naar gebruik. Beschermde inhoud is niet alleen wat je ziet staan: ook de tweede prullenbak, oude versies en het online archief bij een mailbox tellen mee. Reken daar dus op als je de som maakt.

Wat je nodig hebt om het aan te zetten: een Azure-abonnement met een resourcegroep, en de rol Global Administrator of SharePoint Administrator in Microsoft 365. Voor Exchange heb je Exchange Administrator nodig of de aparte rol Microsoft 365 Backup Administrator.

Belangrijk is wat er buiten valt. Teams-chatberichten, Planner, Loop, Power Platform en je instellingen en gebruikers in Entra ID zitten er niet in. Bestanden die in Teams gedeeld worden vallen wel onder de bescherming, want die staan in SharePoint. Chatgeschiedenis niet.

Wanneer een externe back-up beter past

Een back-uppartij naast Microsoft heeft twee argumenten die zwaar wegen. Ten eerste staat de kopie buiten je tenant, dus een aanvaller die beheerdersrechten krijgt komt er niet bij. Dat is precies het scenario waarvoor je back-up bestaat. Ten tweede dekken de meeste externe partijen wel Teams-chat, Planner en Entra ID.

Daar staat tegenover dat externe oplossingen per gebruiker per maand rekenen in plaats van per GB, en dat je er een leverancier bij hebt. Bij een omgeving met veel data en weinig gebruikers valt Microsoft zelf goedkoper uit. Bij veel gebruikers met kleine postbussen kan het andersom zijn. Reken beide modellen door met je eigen cijfers voordat je kiest.

Wat je deze week kunt controleren

Vier dingen die je zonder project kunt nakijken.

1. Zet de bewaartermijn voor gewiste mail naar 30 dagen met de regel hierboven. Kost vijf minuten en verdubbelt je speelruimte.
2. Kijk in het SharePoint-beheercentrum na hoe lang de OneDrive van een vertrokken medewerker wordt bewaard, en of iemand daar op tijd naar kijkt. Zet die stap in je uitdienstproces.
3. Ga na of iemand ooit een herstel heeft getest. Een back-up die nooit is teruggezet, is een aanname. Kies één map en één postbus en zet ze een keer terug.
4. Schrijf op hoe ver je terug moet kunnen. Voor een administratie met een bewaarplicht van zeven jaar is drie maanden prullenbak niet genoeg, en dat is een besluit voor de directie, niet voor de IT-beheerder.

Wat je nu het beste doet

Begin met dat laatste punt, want daar hangt de rest van af. Bepaal per soort gegevens hoe ver je terug moet kunnen en hoe snel het weer moet draaien. Pas als dat op papier staat, kun je zinnig kiezen tussen niets extra's, Microsoft 365 Backup of een externe partij.

Zorg ondertussen dat de accounts zelf goed dichtstaan, want gegevensverlies begint vaak bij een gestolen inlog. Wat daarvoor inmiddels verplicht is, staat in multifactor-authenticatie in Microsoft 365.

Wil je dat wij je bewaartermijnen en back-up nalopen, kijk dan bij cloud en serverbeheer of neem contact op. Bellen kan ook: 010 89 008 89.