Je back-up beschermt je data. Wie beschermt je back-up?

“We hebben een back-up van alles. Daar hoef ik me geen zorgen over te maken.”

Het is een zin die je vaak hoort aan de keukentafel van een mkb-bedrijf. En meestal klopt hij ook. Er draait ergens software die elke nacht een kopie maakt van je mail, je bestanden en je administratie.

Maar heb je je ooit afgevraagd wat die software allemaal mag?

Om alles te kunnen bewaren, moet een back-upprogramma bij alles kunnen. Bij elke mailbox, elke map, elk Teams-kanaal. Dat maakt het nuttig. Het maakt het ook aantrekkelijk voor iemand met slechte bedoelingen.

In één week werd drie keer de back-up zelf de achterdeur

Half oktober 2026 kwamen er kort na elkaar drie berichten naar buiten die allemaal over hetzelfde gingen: aanvallers die niet je bedrijf aanvielen, maar het programma dat je bedrijf beschermt.

• ConnectWise Cloud Backup. Deze dienst maakt back-ups van Microsoft 365-omgevingen voor IT-dienstverleners en hun klanten. Aanvallers wisten via de koppeling van de dienst met Microsoft 365 toegangssleutels te stelen. Daarmee konden ze mail, bestanden en gebruikersgegevens lezen. Volgens securitybedrijf Huntress zijn omgevingen van meer dan 170 organisaties geraakt.
• Ahsay Cloud Backup Server. In de beheeromgeving van deze back-upsoftware zaten lekken die sinds begin oktober actief werden misbruikt. Het NCSC riep op om de update met spoed te installeren en te controleren of er al iemand binnen was.
• AOMEI Backupper. Hier werden de update-servers misbruikt. Wie op het verkeerde moment een update binnenhaalde, kreeg malware mee. Soms ging het om een tijdvak van maar een paar minuten.

Drie verschillende producten, drie verschillende technieken. Eén gemeenschappelijke les.

Waarom aanvallers juist je back-upsoftware kiezen

Dit heet een supply-chain-aanval, oftewel een aanval via de leveranciersketen. De aanvaller breekt niet bij jou in, maar bij een partij die jij vertrouwt en die al toegang tot jouw systemen heeft.

Vergelijk het met de schoonmaakdienst die een sleutel van je pand heeft. Je eigen voordeur kan nog zo goed op slot zitten: als iemand bij het schoonmaakbedrijf de sleutelbos steelt, staat hij gewoon binnen. En niemand kijkt op als die sleutel ‘s nachts in het slot gaat.

Back-upsoftware is zo’n sleutelbos. Ze heeft brede rechten, draait automatisch en valt niemand op. Daarbij beheert één leverancier vaak de back-ups van honderden of duizenden bedrijven tegelijk. Eén inbraak levert dus in één keer heel veel op.

Je back-up heeft de sleutels van je hele bedrijf. Behandel hem dan ook zo.

Ook als je deze merken nooit hebt gehoord, raakt dit jou

Misschien gebruik je geen van deze drie producten. Grote kans zelfs. Toch is het goed om er even bij stil te staan, om twee redenen.

De eerste: de meeste ondernemers weten niet welk back-upproduct er bij hen draait. Dat is ook niet erg, daar heb je een IT-partner voor. Maar dan moet die partner het wel weten, en je kunnen vertellen of je geraakt bent.

De tweede: bij het ConnectWise-incident schakelde de leverancier de dienst uit om verdere schade te voorkomen. Logisch, maar daarmee lagen ook de back-ups stil. Je vangnet kan dus van de ene op de andere dag wegvallen, zonder dat jij iets fout hebt gedaan.

Hoe lang kun je zonder? In ons artikel over wat 4 uur IT-uitval kost lees je hoe snel dat oploopt.

Een back-up hebben is iets anders dan een veilige back-up hebben

Veel bedrijven zijn de afgelopen jaren terecht gaan back-uppen in de cloud, ook voor Microsoft 365. Microsoft bewaart je data namelijk niet onbeperkt en herstelt geen fouten van jezelf; dat lees je in het cloud-misverstand rond Microsoft 365.

Die stap blijft verstandig. De les van deze maand is niet dat je moet stoppen met back-uppen. De les is dat de back-up zelf ook beveiligd moet worden, net als de rest van je IT.

Denk aan drie dingen:

• Rechten. Een koppeling met Microsoft 365 krijgt een soort toegangspas. Die pas moet niet meer kunnen dan nodig is, en iemand moet in de gaten houden wanneer en waarvandaan hij gebruikt wordt.
• Updates. Back-upservers en beheerconsoles worden vaak vergeten bij het bijwerken, omdat ze “toch gewoon draaien”. Juist daar zaten de lekken bij Ahsay.
• Een tweede, losse kopie. Eén back-up bij één leverancier is één mand met alle eieren. Een extra kopie die los staat van die leverancier en niet aangepast kan worden, is je reserve als de eerste wegvalt. Hoe dat werkt, lees je in waarom traditionele back-ups je niet meer beschermen tegen ransomware.

De vraag is niet of je een back-up hebt. De vraag is wie er nog meer bij kan.

Vijf vragen die je deze week aan je IT-partner stelt

Je hoeft hier zelf geen expert in te worden. Wel is het goed om te weten of iemand er scherp op zit. Deze vragen kun je gewoon per mail stellen:

1. Welke back-upsoftware gebruiken we, en voor welke onderdelen? Denk aan Microsoft 365, de server, laptops en de boekhouding.
2. Zijn we geraakt door de incidenten van oktober? Een goede partner heeft dat al uitgezocht voordat jij belt.
3. Welke rechten heeft de back-up in onze Microsoft 365-omgeving? En wordt het gebruik daarvan gecontroleerd?
4. Hebben we een tweede kopie die los staat van deze leverancier? En kan die kopie niet worden gewist of versleuteld?
5. Wanneer is er voor het laatst echt iets teruggezet als test? Een back-up die nooit is getest, is een belofte, geen zekerheid.

Krijg je op deze vragen geen helder antwoord, dan weet je in elk geval waar je aan moet werken.

Weet jij hoe veilig je vangnet echt is?

Back-ups zijn het fundament onder je bedrijf. Maar een fundament dat niemand inspecteert, kan ongemerkt scheuren.

Bij 24x7 ICT kijken we bij back-up niet alleen of er elke nacht een kopie wordt gemaakt. We kijken ook wie er toegang toe heeft, of alles is bijgewerkt en of herstel echt werkt. Samen met goede beveiliging van accounts, zoals in waarom alleen een wachtwoord niet meer volstaat, vormt dat een vangnet waar je op kunt bouwen.

Wil je weten hoe jouw bedrijf ervoor staat en waar je risico loopt? Plan dan een vrijblijvend adviesgesprek.