Is OneDrive een back-up? Wat er gebeurt als alle bestanden versleuteld of verwijderd worden

Stel u twee scenario's voor. In het eerste versleutelt ransomware binnen een paar minuten honderden bestanden op een pc — contracten, rapporten, spreadsheets — en OneDrive synchroniseert de beschadigde versies braaf naar de cloud. In het tweede worden alle bestanden uit OneDrive verwijderd en beide prullenbakken geleegd: door een vertrekkende medewerker, of door iemand die het wachtwoord kent. Het gebeurt vaker dan men wil toegeven, en dat werk is eigendom van het bedrijf.

Is uw bedrijf op elk van deze scenario's voorbereid? Wij hebben het getest — en het antwoord hangt ervan af of u een kopie hebt buiten de OneDrive van de gebruiker.

Openheid. Wij maken OneMount, een Windows-app voor SharePoint en OneDrive die onder meer back-ups maakt. Daarom komen methode en cijfers eerst, en waar OneDrive het redde, zeggen we dat ronduit. De helft van de opzet hieronder werkt helemaal zonder ons product.

Alle bestanden verwijderen, prullenbakken inbegrepen: vijf klikken

We beginnen met het ergste geval: iemand met toegang tot het account — een medewerker die op vertrek staat, of een aanvaller met diens wachtwoord — verwijdert de werkmappen en wist zijn sporen. We deden dit als gewone testgebruiker, niet als beheerder. De verwijderde map Finance uit Documenten — 39 MB aan rapporten en spreadsheets — belandt in de prullenbak van OneDrive, en precies daar ziet dezelfde gebruiker Delete naast Restore.

Of het volledig te wissen is, testten we met een groot bestand van 543 MB — voor OneDrive gedragen een map met documenten en één bestand zich hetzelfde:

1. Verwijderd in OneDrive op het web — het ging naar de prullenbak.
2. Verwijderd uit de prullenbak — het verhuisde naar de prullenbak van de tweede fase.
3. Verwijderd uit de prullenbak van de tweede fase — en het was overal verdwenen.

Wij observeerden Het bestand was definitief weg, en er was geen goedkeuring van een beheerder nodig. De reden is eenvoudig: in zijn eigen OneDrive is de gebruiker eigenaar — de beheerder van de siteverzameling. Hij kan alles verwijderen en beide prullenbakken legen. Ransomware die onder zijn account draait, kan hetzelfde.

OneDrive is dus goed in het redden van onbedoelde fouten. Tegen het opzettelijk verwijderen van alle bestanden beschermt het niet, omdat alles wat het heeft in hetzelfde account staat. Hierna: wat OneDrive echt kan, hoe we het hebben getest, en hoe u een kopie bewaart die de gebruiker niet kan wissen.

Synchronisatie is geen back-up

De meeste discussies over „is OneDrive een back-up?” halen twee dingen door elkaar. Synchronisatie maakt alle kopieën zo snel mogelijk identiek — precies wat u wilt terwijl u werkt, en precies wat pijn doet op de dag dat er iets misgaat: de schade wordt ook gesynchroniseerd. Een back-up is een momentopname die latere wijzigingen niet raken.

De verwarring is niet de schuld van gebruikers. Windows 11 biedt aan om een „back-up” te maken van Bureaublad, Documenten en Afbeeldingen, maar wat het in werkelijkheid inschakelt is OneDrive-mapsynchronisatie — vaak al bij het instellen van een nieuwe pc, zoals PCWorld en Office Watch meldden. Het een back-up noemen verandert niets aan hoe het werkt.

Wat Microsoft voor u bewaart: versiegeschiedenis, prullenbak, Restore your OneDrive

Voor werk- en schoolaccounts (OneDrive voor Bedrijven en SharePoint Online) — Microsoft zegt:

Dat is een behoorlijke gereedschapskist, en het eerlijke antwoord is niet „OneDrive raakt uw bestanden kwijt”. Dat de cloud zelf een bestand beschadigt, is in de praktijk geen probleem. Het echte risico is een bestand dat beschadigd is door u, door een app op uw pc of door een aanvaller — en synchronisatie die die schade trouw doorgeeft aan de cloud.

Drie hersteltests met OneDrive

Een speciale virtuele machine met Windows 11 en de standaard OneDrive-client, een testaccount zonder beheerdersrechten (Microsoft 365 Business Standard), Bureaublad en Documenten omgeleid naar OneDrive, standaardinstellingen van de tenant. De gegevensset: 263 realistische bestanden (Word, Excel, PDF, PowerPoint, afbeeldingen), 188 MB, gegenereerd door een script. Voor elke destructieve stap legden we SHA-256-controlesommen vast: een bestand telt alleen als intact als het byte voor byte overeenkomt met het origineel.

Test 1. Een beschadigd bestand — OneDrive redde het

Het meest alledaagse geval: een app crasht tijdens het opslaan, of iemand slaat de verkeerde inhoud op. We overschreven een Excel-werkmap met willekeurige bytes van dezelfde grootte.

Wij maten De beschadigde versie bereikte de cloud binnen enkele seconden (in een van de drie runs na 2 min 23 s). Herstel: Verkenner → rechtsklik op het bestand → OneDrive → Version history → vorige versie → Restore. Binnen 30 seconden tot 3 minuten kwam het bestand op de pc weer byte voor byte overeen met het origineel.

• Tot de pc is bijgewerkt, ziet het bestand er nog beschadigd uit, ook al is de cloudkopie in orde. Herstel niet twee keer.
• Meerdere keren kort na elkaar opslaan kan samensmelten tot één versie — „elke keer opslaan is een versie” is niet gegarandeerd.
• Een bestand openen in Excel op het web maakt een nieuwe versie aan, ook zonder wijzigingen. Bekijk bij het zoeken naar een goede versie de geschiedenis in plaats van bestanden een voor een te openen.

Test 2. Een verwijderde map — één klik

We verwijderden een map met financiële documenten — 58 bestanden, 39,4 MB — met de gewone Delete-toets. Binnen 10 seconden was die uit de cloud verdwenen. In de prullenbak van OneDrive verscheen hij als één item, en Restore bracht binnen enkele seconden 58 van de 58 bestanden terug, mappenstructuur inbegrepen.

Twee kleine details met gevolgen. Er zijn twee prullenbakken: die van Windows staat alleen op die pc, dus bij een kapotte of gestolen laptop helpt alleen de prullenbak van OneDrive. En teruggezette bestanden komen terug als alleen-online (Bestanden op aanvraag) — zonder internetverbinding gaan ze niet open.

Test 3. Alles beschadigd — en niemand waarschuwde ons

Ransomware of een foutief script beschadigt niet één bestand, maar alles wat binnen bereik is. We beschadigden de inhoud van het volledige Bureaublad en de Documenten van de testgebruiker — inclusief alles wat zich in dagen testen had opgestapeld. Namen, mappen en groottes bleven gelijk: op het eerste gezicht staat alles op zijn plek, tot u iets probeert te openen.

Wij maten 531 van de 532 bestanden (~778 MB) in 123 seconden. Wij observeerden OneDrive gaf geen enkele waarschuwing over een massale wijziging — alleen „gesynchroniseerd”. De prullenbak was leeg: er was niets verwijderd.

Route 1 — versiegeschiedenis. Waar een goede versie bestaat, herstelt die correct. Maar elk bestand moet apart worden hersteld: openen, geschiedenis, versie, Restore, volgende. Voor honderden bestanden zijn dat uren aan identieke klikken.

En niet elk bestand heeft een goede versie. Wij observeerden Eén tekstdocument had maar één versie in de geschiedenis — en die was al beschadigd. Er was niets om naar terug te gaan. We vonden het toevallig; hoeveel van zulke bestanden er tussen de 531 zitten, is met de hand niet na te gaan.

Route 2 — een back-up naast synchronisatie. Synchronisatie herhaalt van nature elke wijziging — nuttig of schadelijk. Wat u eraan toevoegt, is dus wat OneDrive niet heeft: een regelmatige momentopname van uw mappen die na het maken door niemand meer wordt gewijzigd. Een Bureaublad dat vandaag is beschadigd, raakt de momentopname van gisteren niet, en in plaats van honderden bestanden een voor een te herstellen, zet u de toestand van een bepaalde datum terug.

Voor de test gebruikten we de back-upfunctie van OneMount — onze app die OneDrive aanvult in plaats van vervangt: volgens schema verpakt hij pc-mappen in gedateerde archieven in SharePoint of OneDrive. We kozen de kopie van vóór de aanval, en het hele Bureaublad kwam in één stap terug in een aparte map met de back-updatum in de naam. Bestaande bestanden worden niet overschreven, dus u kunt rustig vergelijken en nemen wat u nodig hebt. Hetzelfde principe werkt met elk back-upprogramma — waar het om gaat, is dat de kopie los staat van de bestanden die worden gesynchroniseerd.

Onze interpretatie OneDrive heeft ook Restore your OneDrive — de hele OneDrive terugzetten naar een moment vóór de aanval, binnen 30 dagen. Bij massale beschadiging is dat een sterk ingebouwd hulpmiddel, mits de versies intact zijn. Maar het draait ook al het nuttige werk sindsdien terug, en het helpt niet als de prullenbakken samen met de bestanden zijn geleegd — zoals in het scenario aan het begin van dit artikel.

Ransomware in 2026: waarom een aanval op OneDrive en SharePoint makkelijker is dan u denkt

„Dat overkomt ons niet, dat is ingewikkeld” is de meest gehoorde reactie. Maar ransomware hoeft Microsoft 365 niet te hacken. Het hoeft alleen in de sessie van de gebruiker te draaien — via een e-mail, een USB-stick of een „handige” tool: vanaf dat moment heeft het dezelfde rechten als de persoon achter het toetsenbord. En het kan cloudbestanden op drie manieren bereiken.

1. Lokaal, zoals klassieke ransomware. Het beschadigt bestanden op de schijf, en de OneDrive-client uploadt de beschadigde versies braaf naar de cloud — en ook naar gesynchroniseerde SharePoint-bibliotheken. Dat is precies wat we in test 3 zagen: 531 bestanden in 2 minuten, zonder één waarschuwing.
2. Via de browser. De gebruiker is al aangemeld bij Microsoft 365, dus het programma kan de browser met zijn profiel openen of sessiecookies stelen en namens hem handelen op elke site waar hij bij kan. Meervoudige verificatie helpt hier niet: die beschermt de aanmelding, niet een sessie die al open is.
3. Via de API. Met het token van de gebruiker volstaan een paar verzoeken aan SharePoint of Microsoft Graph om de beschikbare sites op te sommen, bestanden te overschrijven of te verwijderen en de prullenbakken te legen. Geen vensters, geen klikken.

Onderzoek Al in 2022 beschreef Proofpoint een scenario specifiek voor SharePoint en OneDrive: een aanvaller in een gecompromitteerd account verlaagt de versielimiet van een bestand naar één en versleutelt het bestand meerdere keren — er blijven geen goede oudere versies over. Er zijn geen beheerdersrechten nodig, elke stap is te automatiseren met de API's en PowerShell, en Microsoft antwoordde dat de functies werken zoals bedoeld (Proofpoint). Een verwante techniek voor sessiediefstal — een browserextensie die Entra ID-cookies steelt en MFA omzeilt voor Outlook, Teams, SharePoint en OneDrive — werd in 2025 door onderzoekers gedemonstreerd onder de naam Cookie-Bite.

AI heeft de laatste drempel weggenomen

Vroeger was voor zo'n script een ervaren ontwikkelaar nodig. Nu kan iedereen het die de taak in woorden kan beschrijven. Onderzoek In augustus 2025 vond ESET PromptLock — de eerste bekende ransomware die zijn eigen scripts genereert met een taalmodel; voorlopig is het een prototype, geen echte aanval (ESET). Dezelfde maand meldde Anthropic een crimineel met slechts basale programmeerkennis die met AI kant-en-klare ransomware bouwde en verkocht voor $400–1.200 per stuk (Anthropic). De les is eenvoudig: alles wat we in dit artikel met de hand deden — honderden bestanden beschadigen, mappen verwijderen, prullenbakken legen — past nu in een klein script dat iedereen kan schrijven.

Als uw Windows-wachtwoord ook uw Microsoft 365-wachtwoord is

In veel bedrijven worden accounts gesynchroniseerd van de on-premises Active Directory naar Microsoft Entra ID: mensen melden zich bij Windows en Microsoft 365 aan met hetzelfde wachtwoord. Handig — maar een gecompromitteerde pc of domein wordt zo ook een sleutel tot de cloud. Microsoft zegt In augustus 2025 beschreef Microsoft een aanval van de groep Storm-0501: de aanvallers namen de on-premises Active Directory en een Entra Connect-server over, stelden het wachtwoord opnieuw in van een gesynchroniseerd account met de rol Global Administrator zonder MFA — en het nieuwe wachtwoord werd naar de cloud gesynchroniseerd. Daarna exfiltreerden ze gegevens, verwijderden ze snapshots, herstelpunten en back-ups in Azure, en eisten ze het losgeld via Teams (Microsoft Security Blog). Back-ups in dezelfde tenant waren het eerste wat ze vernietigden.

Waarom OneDrive geen back-up is: de 3-2-1-regel

De klassieke 3-2-1-regel voor back-ups: drie kopieën van uw gegevens, op twee verschillende soorten opslag, waarvan er één los van de rest wordt bewaard. De moderne variant 3-2-1-1-0 voegt één onveranderlijke kopie toe en nul fouten bij hersteltests. Met alleen OneDrive hebt u één kopie die op meerdere plekken wordt gespiegeld: versiegeschiedenis en prullenbak staan in hetzelfde account. Ze dekken gebeurtenissen als deze niet:

• alle bestanden verwijderd en beide prullenbakken geleegd — door een vertrekkende medewerker of een aanvaller met diens wachtwoord;
• een gecompromitteerd of verwijderd account, een uitgeschakelde licentie;
• een fout van een beheerder of script die versies of prullenbakken leegt;
• een verwijdering die pas na meer dan 93 dagen wordt opgemerkt.

Een 3-2-1-back-up in Microsoft 365: drie stappen

Het doel: aan OneDrive een onafhankelijke kopie volgens schema toevoegen die vanuit het account van de gebruiker niet te wissen is en niet eindeloos groeit. Alles met uw eigen Microsoft 365, zonder cloud van derden.

Stap 1. Een back-upmap in SharePoint waarin alleen kan worden toegevoegd

SharePoint heeft geen ingebouwd machtigingsniveau „mag toevoegen, mag niet verwijderen”, maar het is eenvoudig te maken. U hebt een site-eigenaar nodig.

1. Machtigingsniveau. ⚙ → Site permissions → Advanced permissions settings → Permission Levels → Contribute → Copy Permission Level. Noem het Backup Append-Only. Schakel slechts drie machtigingen uit: Edit Items, Delete Items, Delete Versions.
2. Unieke machtigingen op de map. Back-upmap → ⋯ → Manage access → Advanced settings → Stop Inheriting Permissions.
3. Bewerkrechten verwijderen. Verwijder de groep Leden van de site (Edit) van de map — effectieve machtigingen worden over alle groepen gecombineerd, en met Edit zou een gebruiker bestanden kunnen verwijderen. Laat de groep Eigenaars staan.
4. Alleen toevoegen toekennen. Grant Permissions → een beveiligingsgroep met de gebruikers wier back-ups hier terechtkomen → het niveau Backup Append-Only, zonder uitnodigingsmail.

Wij observeerden Als gewone gebruiker werkt het uploaden van een nieuw archief; een bestaand archief wijzigen of verwijderen geeft No access; een archief downloaden voor herstel werkt.

Dit is een machtiging, geen onveranderlijke opslag: de site-eigenaar en de tenantbeheerder kunnen nog steeds verwijderen. Het beschermt tegen fouten van gebruikers en ransomware op een pc, niet tegen een gecompromitteerde beheerder.

Stap 2. Rotatie van back-ups zonder prullenbak

Een hoofdpijndossier waar zelden over wordt geschreven: verwijderde oude back-ups belanden in de prullenbak van de site en blijven daar tot 93 dagen staan, ten koste van het quotum. Met een dagelijks archief van 5 GB staat er voortdurend zo'n 450 GB aan „verwijderde” gegevens in de prullenbak. Bovendien kunnen de gebruikers uit stap 1 niet verwijderen — iemand anders moet opruimen.

De oplossing is een Power Automate-flow die als site-eigenaar draait. Zodra er een nieuw archief <Bron> yyyy-MM-dd HHmmss.zip in de map verschijnt, neemt de flow de archieven van dezelfde bron in dezelfde map, bewaart de N nieuwste en verwijdert oudere definitief — maar alleen als ze ouder zijn dan D dagen (standaard 7). OneMount zet de kopieën van elke pc in een eigen submap, zodat „Desktop” van twee computers apart wordt geteld. Wij maten De standaardactie „Delete file” stuurt een bestand naar de prullenbak; definitief verwijderen is een DELETE-verzoek via „Send an HTTP request to SharePoint” — geen van beide prullenbakken bevatte de verwijderde archieven, en elke run van de flow duurde ongeveer een halve seconde.

Twee flows: rotatie en opruimen van verlaten pc's

Stel de drempel voor „verlaten” langer in dan een vakantie en uw zeldzaamste back-upschema: een pc die twee weken uit staat, ziet er voor de flow precies zo uit als een kapotte, en de geschiedenis zou slinken tot één kopie.

Optie A · De generator — aanbevolen (10 minuten)

De generator installeert niets in uw tenant: hij bouwt twee .zip-pakketten die Power Automate importeert als kant-en-klare flows — manifest.json met naam en beschrijving, en definition.json met de hele flow, waarin uw site, bibliotheek, map en getallen al zijn ingevuld. Daarom bestaat hij ook: vijf klikken in plaats van een paar dozijn velden en expressies.

1. Download onemount-retention-flow.zip, pak het uit en voer Create-RetentionFlow.bat uit als site-eigenaar (ook in de browser aangemeld als eigenaar).
2. Plak een link naar de back-upmap uit de adresbalk — de generator leidt daar de site, bibliotheek en map uit af. Druk op de kleine pagina met de bibliotheek-ID op Ctrl+A, Ctrl+C — het venster van de generator pikt het op.
3. Beantwoord twee blokken vragen (Enter houdt de standaard aan; bij elke vraag staat een hint). Naast het script krijgt u OneMount-1-Rotation-….zip, OneMount-2-Cleanup-….zip en OneMount-IMPORT-STEPS-….txt — importstappen met uw eigen namen en getallen.
4. Importeer elk pakket: Power Automate → My flows → Import → Import Package (Legacy) → Upload. Laat de rij van de flow op Create as new; kies in de rode rij SharePoint Connection Select during import → de verbinding van de site-eigenaar (nog geen — + Create; klik op de rij zodat er een ✓ verschijnt) → Save → Import.
5. Schakel beide flows in in My flows — een geïmporteerde flow staat uit. Flow 1 is Automated, flow 2 is Scheduled. Schakel een oudere retentieflow voor dezelfde map uit of verwijder die.

Controleren of het werkt. Flow 1 start voor archieven die zijn gemaakt nadat hij is ingeschakeld, met een vertraging tot ~5 minuten (met een Microsoft 365-licentie controleert de trigger de map ongeveer zo vaak): zet een nieuwe back-up neer en bekijk de rungeschiedenis. Een geslaagde run zonder verwijderingen is normaal zolang er niet meer dan N kopieën zijn of ze jonger zijn dan de minimumleeftijd. Op flow 2 hoeft u niet tot de nacht te wachten: open hem → Test → Manually → Run flow. Bouw voor een rotatietest de pakketten met Create-RetentionFlow.bat -Keep 1 -MinAgeDays 0.

Optie B · De flows handmatig bouwen

Handig om te begrijpen wat erin zit, of als het importeren van pakketten in uw omgeving is geblokkeerd. Algemene regels: plak expressies via het tabblad fx (of Edit in advanced mode in Filter array); geef de acties exact de getoonde namen — de expressies verwijzen ernaar (een spatie wordt _: „Active sources” → body('Active_sources')). Vervang OneMount_BackUP, 7 kopieën, 7 / 14 / 30 dagen en de bibliotheek-ID door uw eigen waarden.

Flow 1 · Rotatie Automated cloud flow · 7 stappen

1. Trigger — When a file is created (properties only) (SharePoint): kies Site Address en Library Name uit de lijst, met de verbinding van de site-eigenaar.
2. Condition, alle rijen verbonden met And; links staat de expressie, operator en waarde zoals in het label:
   1 · contains → OneMount_BackUP

   triggerOutputs()?['body/{Path}']

   2 · ends with → .zip

   toLower(triggerOutputs()?['body/{FilenameWithExtension}'])

   3 · is greater or equal to → 3

   length(split(triggerOutputs()?['body/{FilenameWithExtension}'], ' '))

   4 · is equal to → 10 (datum in de naam)

   length(first(skip(split(triggerOutputs()?['body/{FilenameWithExtension}'], ' '), max(0, sub(length(split(triggerOutputs()?['body/{FilenameWithExtension}'], ' ')), 2)))))

3. Tak True → Compose — de naam van de bron zonder datum en tijd („Desktop 2026-10-20 230000.zip” → „Desktop”):
   Inputs

   join(take(split(replace(triggerOutputs()?['body/{FilenameWithExtension}'], '.zip', ''), ' '), max(0, sub(length(split(replace(triggerOutputs()?['body/{FilenameWithExtension}'], '.zip', ''), ' ')), 2))), ' ')

4. Get files (properties only) — dezelfde site en bibliotheek, Order By: Created asc; Settings → Pagination aan, Threshold 5000 (zonder dat ziet de flow maar 100 bestanden).
5. Filter array — From: body/value van Get files; Edit in advanced mode — archieven van dezelfde bron in dezelfde map:
   Filter query

   @and(equals(item()?['{Path}'], triggerOutputs()?['body/{Path}']), endsWith(toLower(item()?['{FilenameWithExtension}']), '.zip'), equals(join(take(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' '), max(0, sub(length(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' ')), 2))), ' '), outputs('Compose')))

6. Nog een Filter array met de naam Filter old enough — buiten de N nieuwste en ouder dan de minimumleeftijd:
   From · N = 7

   take(body('Filter_array'), max(0, sub(length(body('Filter_array')), 7)))

   Filter query · 7 dagen

   @less(ticks(item()?['Created']), ticks(addDays(utcNow(), -7)))

7. Apply to each over Body van Filter old enough → daarbinnen Send an HTTP request to SharePoint: uw site, Method DELETE, Headers IF-MATCH = * — definitief verwijderen zonder prullenbak. De bibliotheek-ID staat in het adres van Library settings na List=. Save.
   Uri

   concat('_api/web/lists(guid''<bibliotheek-ID>'')/items(', item()?['ID'], ')')

← scroll opzij · klik op een schermafbeelding om te vergroten →

Flow 2 · Opruimen van verlaten pc's Scheduled cloud flow · 9 stappen

1. Recurrence: Interval 1, Frequency Day, uw tijdzone, At these hours 3, At these minutes 0.
2. Get files (properties only) — site en bibliotheek, Order By: Created desc (nieuwste eerst — zodat een actieve pc in een grote bibliotheek nooit verlaten lijkt); Pagination 5000.
3. Filter array met de naam Backups — From body/value; alleen OneMount-archieven in uw map:
   Filter query

   @and(contains(item()?['{Path}'], 'OneMount_BackUP'), endsWith(toLower(item()?['{FilenameWithExtension}']), '.zip'), greaterOrEquals(length(split(item()?['{FilenameWithExtension}'], ' ')), 3), equals(length(first(skip(split(item()?['{FilenameWithExtension}'], ' '), max(0, sub(length(split(item()?['{FilenameWithExtension}'], ' ')), 2))))), 10))

4. Filter array „Recent” — From Body van Backups; kopieën van de afgelopen 14 dagen:
   Filter query · 14 dagen

   @greater(ticks(item()?['Created']), ticks(addDays(utcNow(), -14)))

5. Select „Active sources” — From Body van Recent; Map in tekstmodus (de knop rechts van Map) — een sleutel „map|bron”:
   Map

   concat(item()?['{Path}'], '|', join(take(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' '), max(0, sub(length(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' ')), 2))), ' '))

6. Compose „Active set” — de lijst zonder dubbele waarden:
   Inputs

   union(body('Active_sources'), body('Active_sources'))

7. Filter array „Abandoned” — From Body van Backups; kopieën van bronnen die niet actief zijn:
   Filter query

   @not(contains(outputs('Active_set'), concat(item()?['{Path}'], '|', join(take(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' '), max(0, sub(length(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' ')), 2))), ' '))))

8. Condition: length(body('Abandoned')) is greater than 0. In de tak True drie acties: Select „Abandoned keys” (From Body van Abandoned, Map — dezelfde expressie als in stap 5); Select „Mark newest” — markeert de laatste kopie van elke bron; Filter array „To delete” — alles behalve de laatste kopie, en de laatste kopie zelf zodra die ouder is dan 30 dagen:
   Mark newest · From

   range(0, length(body('Abandoned')))

   Mark newest · Map: ID

   body('Abandoned')[item()]?['ID']

   Mark newest · Map: Created

   body('Abandoned')[item()]?['Created']

   Mark newest · Map: Newest

   not(contains(take(body('Abandoned_keys'), item()), body('Abandoned_keys')[item()]))

   To delete · From Body van Mark newest · Filter query · 30 dagen

   @or(not(item()?['Newest']), less(ticks(item()?['Created']), ticks(addDays(utcNow(), -30))))

9. In dezelfde tak, na To delete — Apply to each over Body van To delete met dezelfde Send an HTTP request to SharePoint DELETE als in flow 1. Save.

← scroll opzij · klik op een schermafbeelding om te vergroten →

Stap 3. Back-ups volgens schema

Stap 1 en 2 werken met elk programma dat gedateerde archieven in SharePoint zet. Wij gebruiken OneMount: een wizard in vier stappen — richting, wat er wordt gekopieerd, waarheen, hoe vaak.

• Momentopnamen, geen synchronisatie. Elke run maakt een nieuw gedateerd archief waar daarna niets meer naar schrijft.
• Werkt met een map waarin alleen kan worden toegevoegd. OneMount controleert de machtigingen zelf en toont ze op de back-upkaart. Grote archieven gaan via de OneDrive van de gebruiker en de serverkopie van SharePoint — toevoegrechten zijn voldoende.
• Beide richtingen. Pc-mappen naar SharePoint of OneDrive; SharePoint-bibliotheken naar een lokale schijf of NAS — de kopie buiten Microsoft 365 die 3-2-1 vereist.
• De hele set in één keer terugzetten, rechtstreeks vanuit de cloud; bestaande bestanden worden niet overschreven.

Wij observeerden Als gewone gebruiker kwam een back-up van het Bureaublad van 510,8 MB in de map met alleen toevoegrechten terecht, een tweede kopie op dezelfde dag stond ernaast, en de gebruiker kon geen van beide archieven verwijderen.

Waarvan u een back-up maakt: gedeelde SharePoint-bibliotheken zijn net zo belangrijk als OneDrive

Tot nu toe ging het over de bestanden van één gebruiker. Maar in de meeste organisaties staan de waardevolste gegevens in gedeelde bibliotheken van SharePoint-sites: contracten, boekhouding, hr-documenten, projecten. Bestanden in Microsoft Teams zijn ook sitebibliotheken. En het risico is daar vaak groter dan in persoonlijke opslag:

• één persoon, gevolgen voor de hele afdeling. Een sitelid met bewerkrechten kan een map verwijderen waarin tientallen collega's werken, en een site-eigenaar kan bovendien beide prullenbakken legen;
• schade verspreidt zich verder. Bestanden die op één pc zijn versleuteld, worden naar de bibliotheek gesynchroniseerd, en van daar naar de computers van iedereen die hem synchroniseert;
• het wordt laat opgemerkt. Een gedeelde map is van „niemand”: naar ontbrekende bestanden wordt vaak pas gezocht als ze nog maar een paar dagen in de prullenbak staan.

Stel daarom prioriteiten op basis van wat een verlies het bedrijf zou kosten, niet op basis van waar de bestanden toevallig staan:

OneMount maakt back-ups van sitebibliotheken met hetzelfde mechanisme als van pc-mappen: de richting „Van de cloud naar deze pc”, gedateerde momentopnamen volgens schema, terugzetten van de hele set in een aparte map. Hoe u dat in uw infrastructuur inpast, beslist de beheerder. Een gangbare optie is een aparte computer of server die altijd aan staat: OneMount, aangemeld met een account dat de benodigde bibliotheken kan lezen, schrijft kopieën naar een lokale schijf of NAS. Die kopie staat buiten Microsoft 365 — precies de aparte kopie die de 3‑2‑1-regel vraagt — en de taken en hun status zijn centraal te beheren.

Kunt u back-ups in de OneDrive van de gebruiker bewaren?

Het is verleidelijk: elke medewerker heeft al 1 TB OneDrive, terwijl de gedeelde tenantopslag misschien niet toereikend is voor back-ups van het Bureaublad van 20–40 GB voor duizend mensen. Maar zoals we aan het begin zagen, is de gebruiker eigenaar van zijn OneDrive, en een machtigingsniveau met alleen toevoegrechten werkt daar niet: hij kan de back-up samen met beide prullenbakken verwijderen.

Het enige wat hem kan tegenhouden, is een bewaarbeleid van Microsoft Purview (retention policy), ingesteld door een compliancebeheerder. Microsoft zegt Het houdt niemand tegen om bestanden te verwijderen of prullenbakken te legen, maar vóór een verwijdering of wijziging bewaart het een kopie in de verborgen Preservation Hold library, en daar kunnen noch de gebruiker noch ransomware die kopie verwijderen tot de termijn is verstreken (documentatie). Dat voorkomt dat bestanden spoorloos verdwijnen — of het nu om een vertrekkende medewerker gaat of om een aanvaller met diens wachtwoord.

1. Microsoft Purview-portal → Data lifecycle management → Retention policies → New retention policy.
2. Locaties — alleen OneDrive accounts (voor een pilot een paar gebruikers of een groep).
3. Retain items for a specific period, bijvoorbeeld 90 dagen; aan het einde — Do nothing.
4. Het toepassen duurt tot 7 dagen; controleer de status met Get-RetentionCompliancePolicy -DistributionDetail. De bibliotheek verschijnt na de eerste wijziging of verwijdering onder het beleid: https://<tenant>-my.sharepoint.com/personal/<gebruiker>/PreservationHoldLibrary.

Nog een optie: een back-up van OneDrive naar een netwerkshare

U kunt ook de andere kant op: een back-up maken van de OneDrive van de gebruiker van de cloud naar een lokale schijf of netwerkshare (\\server\share). In de wizard van OneMount is dat de richting „Van de cloud naar deze pc”: kies de OneDrive en als bestemming een netwerkmap waarin de gebruiker kan schrijven. Wij observeerden De back-up kwam als archief in de netwerkshare terecht, net als op een gewone schijf. Zo'n kopie staat buiten Microsoft 365 — de aparte kopie uit de 3-2-1-regel.

Eén belangrijk voorbehoud: dit kopieert wat in de cloud staat. Als OneDrive op iemands pc al een tijd niet synchroniseert (dat gebeurt, en kan maandenlang onopgemerkt blijven), staan de nieuwste bestanden simpelweg niet in de cloud — en ook niet in de back-up. Deze optie vult een back-up vanaf de pc dus aan in plaats van die te vervangen. En onthoud: wie in een netwerkshare kan schrijven, kan er meestal ook uit verwijderen — stel de machtigingen apart in.

Onze interpretatie Voor een bedrijf waarvan het werk eigendom is van het bedrijf, is de betrouwbaarste optie back-ups in een aparte tenant of een aparte SharePoint-site met een map met alleen toevoegrechten waar gebruikers geen eigenaar zijn. Een Purview-beleid op OneDrive is een noodoplossing voor als er helemaal geen aparte opslag is.

Wat is OneMount

OneMount is een gespecialiseerde Windows-app voor werken met SharePoint Online en OneDrive voor Bedrijven. Hij vult OneDrive aan in plaats van het te vervangen:

• koppelt SharePoint- en OneDrive-bibliotheken als schijven in Verkenner — met een stationsletter, zonder synchronisatie of lokale kopieën, met co-auteurschap in Office;
• maakt back-ups volgens schema — pc-mappen naar SharePoint of OneDrive en SharePoint-bibliotheken naar een lokale schijf, met terugzetten in één stap;
• wordt centraal beheerd — vanuit de beheerportal of via groepsbeleid, en de beheerder ziet de back-upstatus op elke pc.

Geen cloud van derden en geen Azure-appregistratie: uw gegevens blijven in uw Microsoft 365. SharePoint koppelen als netwerkschijf →

Veelgestelde vragen: OneDrive en back-ups

Is OneDrive een back-up?

Niet in de volle betekenis. OneDrive is synchronisatie met goede herstelfuncties: losse beschadigde en verwijderde bestanden kwamen in onze tests byte voor byte terug. Maar het is één kopie van uw gegevens in hetzelfde account, dus op zichzelf voldoet het niet aan de 3-2-1-regel, en na massale beschadiging herstelt het bestanden één voor één.

Kan een medewerker voor zijn vertrek al zijn bestanden uit OneDrive verwijderen?

Ja. In zijn eigen OneDrive is de gebruiker eigenaar: hij kan bestanden verwijderen en beide prullenbakken legen. We testten het met een bestand van 543 MB — het verdween zonder enige tussenkomst van een beheerder. U kunt het werk beschermen met een aparte kopie waar de gebruiker geen controle over heeft, of met een bewaarbeleid van Microsoft Purview.

Wat gebeurt er als alle bestanden in OneDrive versleuteld zijn, of samen met de prullenbak verwijderd?

OneDrive synchroniseert massale versleuteling naar de cloud zoals elke andere wijziging. Losse bestanden komen één voor één terug uit de versiegeschiedenis; de hele OneDrive kan met Restore your OneDrive binnen 30 dagen worden teruggezet naar een moment vóór de aanval, als u het op tijd merkt. Verwijdering met beide prullenbakken geleegd is erger: een aanvaller onder het account van de gebruiker heeft dezelfde rechten als de eigenaar van de OneDrive, losse bestanden zijn niet te herstellen, en Microsoft Support kan alleen de hele OneDrive binnen 14 dagen terugzetten. Daarom hebt u een kopie nodig op een plek waar dit account niets kan verwijderen.

Hoe lang blijven verwijderde bestanden bewaard in OneDrive voor Bedrijven?

93 dagen in de prullenbak (eerste en tweede fase samen). Wat uit de prullenbak van de tweede fase is verwijderd, is niet meer als losse bestanden te herstellen.

Hoeveel versies bewaart OneDrive?

Standaard 500 per bestand. In de automatische modus alle versies van de eerste 30 dagen, waarbij oudere worden uitgedund. De versiegeschiedenis werkt voor elk bestandstype — we hebben zowel Excel- als PDF-bestanden hersteld.

Kan SharePoint toestaan dat bestanden worden toegevoegd maar niet verwijderd?

Ja: kopieer het machtigingsniveau Contribute zonder Edit Items, Delete Items en Delete Versions, verbreek de overname op de map en ken het nieuwe niveau toe. Onthoud dat de machtigingen uit alle groepen van een gebruiker worden gecombineerd.

Waarom raakt de opslag van de site steeds voller, hoewel oude back-ups worden verwijderd?

Omdat verwijderde items tot 93 dagen in de prullenbak van de site blijven staan en meetellen voor het quotum. Verwijder oude back-ups met een REST DELETE-verzoek — dat slaat de prullenbak over.

Kan ransomware bestanden in OneDrive en SharePoint versleutelen?

Ja. Een programma dat in de sessie van de gebruiker draait, heeft diens rechten: het versleutelt bestanden op de schijf en OneDrive uploadt de beschadigde versies naar de cloud; of het gebruikt een al geopende browsersessie of een token om via de API bestanden te wijzigen en te verwijderen op elke site waar de gebruiker bij kan. Als het Windows-wachtwoord met Microsoft 365 wordt gesynchroniseerd, opent een gecompromitteerde pc of domein ook de cloud. Wat u beschermt, is een kopie die vanuit het account van de gebruiker niet te wijzigen is, en een kopie buiten de tenant.

Is een bestandsserver betrouwbaarder dan OneDrive?

Niet vanzelf — het hangt af van de opzet. Windows Server heeft Schaduwkopieën van gedeelde mappen (het tabblad Vorige versies), en NAS-apparaten zoals Synology of QNAP maken snapshots van het bestandssysteem. Maar dat zijn momentopnamen volgens schema — in Windows standaard om 7:00 en 12:00 op werkdagen, maximaal 64 stuks — geen geschiedenis van elke wijziging zoals bij OneDrive: wat tussen twee momentopnamen is gewijzigd, is niet te herstellen. Het voordeel: ransomware die een gedeelde map vanaf de pc van een gebruiker versleutelt, kan de snapshots op de server niet aanraken, en op een NAS kunnen ze onveranderlijk worden gemaakt. De zwakke plekken: een aanvaller met beheerdersrechten op de server verwijdert schaduwkopieën met één opdracht, en de snapshots staan op dezelfde server, dus ze zijn geen aparte 3‑2‑1-kopie. De conclusie is dezelfde als voor OneDrive: u hebt er een aparte back-up naast nodig. En als mensen gewend zijn aan een gekoppelde stationsletter, behoud die dan met SharePoint gekoppeld als schijf.

Heb ik Microsoft 365 Backup nodig als ik al OneDrive heb?

Het is de native keuze als u hele sites en OneDrives tot een jaar terug moet kunnen herstellen en een beheerder hebt die het beheert. Het kost $0,15 per GB per maand — zo'n $4.500 per maand voor 30 TB — en dekt geen bestanden die alleen op pc's staan.

---

Hoe OneDrive omgaat met echt grote bibliotheken — de synchronisatietest met 1.000.000 bestanden →

---

Bronnen

• Microsoft Learn — limieten van de versiegeschiedenis voor documentbibliotheken en OneDrive.
• Microsoft Learn — versieopslag plannen (automatische modus).
• Microsoft — verwijderde bestanden of mappen in OneDrive terugzetten.
• Microsoft — Restore your OneDrive (uw OneDrive herstellen).
• Microsoft Learn — bewaring en verwijdering in OneDrive.
• Microsoft Learn — bewaarbeleid voor SharePoint en OneDrive.
• Microsoft Learn — omgaan met ransomware in SharePoint Online.
• Microsoft Learn — prijzen van Microsoft 365 Backup.
• Microsoft Security Blog — Storm-0501: van on-premises AD naar ransomware in de cloud (augustus 2025).
• Proofpoint — bestanden in SharePoint en OneDrive versleutelen via de versielimiet (juni 2022).
• ESET — PromptLock, de eerste bekende ransomware aangedreven door AI (augustus 2025).
• Anthropic — rapport over misbruik van AI, waaronder de ontwikkeling van ransomware (augustus 2025).
• Eigen tests van SkylFlow, 21–23 oktober 2026: een geïsoleerde VM, een testaccount zonder beheerdersrechten, SHA-256-controlesommen en tijdmetingen voor elke run.