Back-ups beschermen tegen ransomware: een praktisch verdedigingsplan voor Windows

Back-ups beschermen tegen ransomware is minder een antivirusvraag dan een toegangsprobleem. Welke computers kunnen bij de back-up? Welke accounts mogen bestanden verwijderen? Kan een geïnfecteerde Windows-pc de schone herstelpunten van vorige week overschrijven? En kunt u herstellen zonder de back-up meteen weer aan een mogelijk besmet systeem te koppelen?

Die vragen zijn belangrijk omdat ransomware niet alleen waardevolle bestanden versleutelt. Een gerichte aanval probeert vaak eerst de terugweg af te snijden. Als de aanvaller netwerkshares, USB-schijven, back-upaccounts of beheertools kan bereiken, wordt herstel veel moeilijker en krijgt afpersing meer gewicht.

Kort antwoord

Wilt u back-ups beschermen tegen ransomware, zorg dan voor meerdere onafhankelijke herstelpaden, bewaar minstens één kopie offline, losgekoppeld of anderszins beschermd tegen snelle vernietiging, gebruik aparte back-upaccounts waar dat kan, beperk verwijderrechten, bewaar voldoende versiehistorie en test regelmatig of u werkelijk kunt terugzetten.

Voor één Windows-pc kan dat heel praktisch zijn: een frequente, versioned back-up naar een lokale schijf of NAS voor snel herstel, een tweede kopie buiten hetzelfde toegangspad en een verwisselbare schijf die na de back-up wordt losgekoppeld. Windows-beveiliging kan met Gecontroleerde maptoegang ongewenste wijzigingen aan beschermde mappen blokkeren, maar zo'n preventielaag vervangt een onafhankelijke back-up niet. Wanneer uw actieve bestanden met OneDrive synchroniseren, laat onze OneDrive-handleiding voor externe back-ups zien hoe u daarnaast een lokale kopie maakt die buiten hetzelfde account en synchronisatiepad blijft.

1. Waarom ransomware eerst de back-up probeert te raken

Ransomware is het krachtigst wanneer herstel onmogelijk lijkt. Daarom kijkt een serieuze aanvaller niet alleen naar Documenten, Afbeeldingen of projectmappen. Zodra er voldoende toegang is, zijn aangesloten schijven, netwerkshares, back-upservers, cloudtokens en beheerdersaccounts minstens zo interessant. Het doel is niet alleen de huidige gegevens onbruikbaar maken, maar ook de vorige gezonde toestand verwijderen.

Voor een gewone gebruiker is dat gemakkelijk te onderschatten. Een externe harde schijf die dag en nacht aangesloten blijft, is uitstekende bescherming tegen een defecte SSD. Tegen ransomware is diezelfde schijf echter nog steeds opslag die rechtstreeks door de besmette pc kan worden aangesproken. Een NAS die als gewone stationsletter is gekoppeld, kan hetzelfde probleem hebben. Zelfs een kopie in de cloud kan logisch dichtbij zijn als een gestolen account of token ook oude versies mag verwijderen.

Geen van deze bestemmingen is daarom automatisch slecht. Ze beschermen alleen tegen verschillende soorten problemen. Ransomwarebestendigheid ontstaat wanneer u voorkomt dat één toegangspad automatisch alle herstelmogelijkheden opent.

De Nederlandse NCSC-richtlijnen sluiten daarbij aan: segmentatie van back-upinfrastructuur, periodieke offline kopieën, verschillende accounts voor online en offline back-ups en hersteltests zijn allemaal manieren om het herstelpad minder afhankelijk te maken van de productieomgeving.

2. Breng de toegangspaden naar uw kopieën in kaart

Koop niet meteen een extra schijf. Teken eerst op papier hoe de bestaande back-ups bereikbaar zijn. Zet uw Windows-pc links en iedere bestemming rechts. Teken vervolgens de verbinding waardoor de back-uptaak kan schrijven.

Zo'n schema laat een zwakte zien die aantallen vaak verbergen. Misschien hebt u vier kopieën, maar gebruikt uw dagelijkse Windows-account dezelfde rechten voor de NAS, de cloudclient en een aangesloten USB-schijf. Fysiek zijn er meerdere bestemmingen; logisch hangen ze allemaal aan dezelfde gecompromitteerde sessie.

Zie iedere verbinding als een brug. Automatisering heeft bruggen nodig, maar niet iedere brug hoeft permanent open te blijven. Dat onderscheid is de kern van een ransomwarebestendige back-uparchitectuur.

3. Houd minstens één kopie offline of geïsoleerd

De eenvoudigste vorm van isolatie blijft verrassend effectief: maak de back-up naar een verwisselbare schijf, controleer of de taak klaar is, koppel de schijf veilig los en bewaar hem buiten bereik van de pc. Zolang er geen verbinding is, kan malware op Windows niet via dat systeem naar de schijf schrijven.

Wilt u die verwisselbare schijf ook voor dagelijkse automatisering gebruiken, bekijk dan onze praktische handleiding voor automatisch back-uppen naar een externe harde schijf in Windows 11. Die laat zien hoe u gemak, versiehistorie en periodes waarin de schijf bewust offline blijft met elkaar combineert.

Offline betekent niet dat alles handmatig moet. Zakelijke opslagplatforms en sommige cloudback-updiensten bieden andere vormen van scheiding, bijvoorbeeld onveranderbare retentie, append-only opslag, vertraagde verwijdering, beschermde snapshots of aparte beheerdersrollen. Het principe is hetzelfde: de normale schrijfroute mag niet automatisch een snelle vernietigingsroute zijn.

Een praktische persoonlijke opzet is een warme en een koude laag. De warme back-up draait vaak en is snel bereikbaar, bijvoorbeeld op een NAS of externe schijf. De koude kopie wordt minder vaak bijgewerkt, maar is daarna niet continu schrijfbaar. Als ransomware de snelle laag aantast, blijft de koude kopie uw ankerpunt.

Daar staat een afweging tegenover: ouderdom. Een schijf die al zes weken niet is bijgewerkt, kan technisch perfect overleven en toch zes weken werk missen. Kies daarom een rotatieschema dat past bij de hoeveelheid gegevens die u werkelijk kunt missen.

4. Scheid back-upaccounts en beperk vernietigende rechten

Veel back-upontwerpen lijken fysiek goed gescheiden, maar worden alsnog door één account bij elkaar gehouden. Referenties en rechten zijn vaak de echte brug.

Als hetzelfde beheerdersaccount waarmee u dagelijks werkt ook elke back-up kan verwijderen, erft een aanvaller die dat account overneemt dezelfde macht. Gebruik waar mogelijk een apart account voor de back-uptaak en een andere identiteit voor het beheer van de opslag. Geef clients niet meer rechten dan nodig.

Bij een NAS kan dat betekenen dat de back-uptaak een eigen account krijgt in plaats van een share die voor alle gebruikers schrijfbaar is. Voor cloudopslag betekent het onder meer sterke authenticatie voor beheerders, liefst multifactorauthenticatie, en vermijden dat hooggeprivilegieerde beheerreferenties permanent op iedere pc staan.

Het doel is niet nul toegang. De taak moet natuurlijk kunnen schrijven. Het doel is asymmetrische toegang: de routineback-up mag nieuwe data creëren, maar het overnemen van één Windows-sessie mag niet automatisch voldoende zijn om jaren herstelgeschiedenis te wissen.

5. Bescherm de historie: retentie is net zo belangrijk als locatie

Bij ransomware wordt vaak gesproken over “de laatste schone back-up”. Dat klinkt alsof het vanzelfsprekend is welke back-up dat is. In werkelijkheid kan de eerste besmetting dagen of weken vóór de zichtbare versleuteling hebben plaatsgevonden.

Als u maar één recente kopie bewaart, kan de back-upsoftware keurig een inmiddels slechte toestand vastleggen en de gezonde oudere toestand verwijderen. Daarom zijn herstelpunten en retentie ook beveiligingsmaatregelen.

Bewaar voldoende historie om terug te kunnen naar vóór een probleem dat mogelijk enige tijd onopgemerkt bleef. Voor persoonlijke documenten kan een geschiedenis van meerdere weken al veel verschil maken. Voor bedrijfsgegevens kan langere retentie nodig zijn, vooral wanneer accountmisbruik of ongewenste wijzigingen niet onmiddellijk zichtbaar zijn.

Let ook op snelle churn. Stel dat ransomware duizenden bestanden verandert en uw geautomatiseerde taak vervolgens meerdere nieuwe runs maakt. Als het repository alleen de nieuwste vijf runs bewaart, kunnen gezonde herstelpunten onverwacht snel uit beeld verdwijnen. Tijdgebaseerde retentie of expliciet beschermde historische versies is vaak robuuster.

Hier wordt ook duidelijk waarom een Mirror-taak een andere rol heeft. Een mirror is uitstekend als u een actuele replica wilt. Maar als de bron versleuteld of leeg raakt, kan de mirror uiteindelijk die slechte huidige toestand reproduceren. Voor ransomwareherstel zijn versiegebonden herstelpunten meestal waardevoller.

6. Maak NAS- en cloudpaden weerbaarder

NAS: behandel de back-upshare als infrastructuur, niet als gedeelde map

Een NAS is voor een klein Windows-netwerk een uitstekende bestemming: altijd beschikbaar, relatief snel en groot genoeg voor veel historie. Die toegankelijkheid is tegelijkertijd het risico. Als iedere gebruiker door de back-upmap kan bladeren, bestanden kan wijzigen en oude sets kan verwijderen, kan ransomware onder hetzelfde account mogelijk hetzelfde doen.

Maak daarom een aparte back-upshare, beperk gewone browse-toegang, gebruik een dedicated account, houd het NAS-systeem bijgewerkt en schakel services uit die u niet gebruikt. Heeft het apparaat snapshots die gewone clients niet kunnen verwijderen, dan voegen die een extra terugrolmogelijkheid toe. Ze blijven echter onderdeel van hetzelfde apparaat en horen niet uw enige back-up te zijn.

Cloud: fysieke afstand is nog geen logische isolatie

Cloudopslag lost het locatieprobleem elegant op, maar kijk ook naar het beheerpad. Kan een gebruiker oude versies onmiddellijk wissen? Is er een prullenbak of soft delete? Kan retentie worden vergrendeld? Welke account heeft daar zeggenschap over? Kan een gecompromitteerde client de historie overschrijven?

Gewone bestandssynchronisatie verdient extra aandacht. Synchronisatie is ontworpen om de huidige toestand te verspreiden. Als ransomware bestanden versleutelt, kunnen die versleutelde bestanden als legitieme wijzigingen naar de cloud gaan. Versiegeschiedenis helpt, maar een afzonderlijke back-uprepository vormt een sterkere herstelgrens.

7. Gebruik Windows-ransomwarebeveiliging als extra laag

Back-upweerbaarheid gaat over herstel, maar het blijft verstandig om te voorkomen dat ransomware de bronbestanden überhaupt kan wijzigen.

Windows-beveiliging bevat Gecontroleerde maptoegang. Microsoft beschrijft deze functie als ransomwarebeveiliging die niet-vertrouwde apps blokkeert wanneer ze bestanden in beschermde mappen willen wijzigen. Veel standaard gebruikersmappen kunnen automatisch worden beschermd en u kunt aanvullende mappen toevoegen.

Gebruik die functie als extra laag, niet als excuus om een back-upschijf permanent aangesloten te laten. Ook uitzonderingen verdienen aandacht: een app die u expliciet toestaat, krijgt toegang tot de beschermde bestanden. Voeg daarom alleen programma's toe die u werkelijk vertrouwt.

De andere basismaatregelen blijven even belangrijk: werk Windows en back-upsoftware bij, gebruik sterke authenticatie, werk niet standaard met onbeperkte beheerdersrechten en let op plotselinge massale bestandswijzigingen. Preventie kan een aanval stoppen of vertragen; isolatie bewaart de terugweg wanneer preventie toch faalt.

8. Bouw een ransomwarebestendige opzet met Perfect Backup

Perfect Backup kan het kopiëren, plannen en versioneren automatiseren, maar software kan een bestemming die altijd verbonden en voor iedereen schrijfbaar is niet vanzelf ransomwarebestendig maken. De opslagarchitectuur blijft onderdeel van de beveiliging.

Een praktische opzet met twee taken

• Taak 1: frequente versioned bestandsback-up. Gebruik Files and Folders Backup naar een externe schijf of NAS voor snelle dagelijkse herstelacties.
• Taak 2: een tweede bestemming. Maak een extra herstelpad dat niet dezelfde toegang en hetzelfde risico deelt.
• Offline rotatie. Gebruikt u verwisselbare media, koppel minstens één kopie na de taak los en werk met een vast rotatieschema.
• Systeemherstel. Voeg Drive Image Backup toe wanneer u ook de volledige Windows-systeemschijf wilt kunnen herstellen.

Files and Folders Backup ondersteunt Full, Incremental, Differential en Mirror. Full, Incremental en Differential zijn de logische keuzes wanneer u herstelpunten en historie wilt bewaren. Mirror is nuttig voor een actuele replica, maar maakt zelf geen reeks herstelpunten en moet daarom niet als ransomwarehistorie worden gezien.

Bij een USB-schijf hoort de werkwijze bij de back-uptaak: aansluiten, taak uitvoeren, resultaat controleren, veilig loskoppelen. Bij een NAS moet u de share en het account beschermen. Gebruikt u cloud- of externe opslag, zorg dan dat de beheerrechten niet simpelweg aan hetzelfde dagelijkse Windows-account hangen.

9. Plan een schone herstelactie voordat u die nodig hebt

Het slechtste moment om een ransomwareherstelplan te ontwerpen is nadat het losgeldbericht op het scherm staat.

Leg daarom vooraf de volgorde vast. Isoleer getroffen systemen. Bepaal welke machines en accounts mogelijk gecompromitteerd zijn. Kies een herstelpunt dat oud genoeg is om betrouwbaar te zijn. Bouw of reinig daarna de doelomgeving en herstel pas vervolgens de gegevens.

Een technisch intacte back-up is namelijk niet automatisch een schone back-up. Malware kan al vóór de zichtbare versleutelingsfase aanwezig zijn geweest. Dat is vooral relevant voor systeemimages, scripts en mappen met uitvoerbare bestanden. Kies dus niet blind de nieuwste back-up; denk na over het vermoedelijke compromitteringsvenster.

Voor persoonlijke bestanden kan een test eenvoudig zijn: zet enkele documenten en foto's terug naar een tijdelijke map, open ze en controleer de datum en inhoud. Voor een bedrijf hoort de test ook applicaties, rechten, configuratie, afhankelijkheden en de werkelijke hersteltijd te omvatten. Het NCSC adviseert expliciet niet alleen technisch te controleren of een back-up geslaagd is, maar ook herstelacties uit te voeren en waar nodig functioneel te testen.

Test ook de menselijke kant. Weet u het encryptiewachtwoord nog? Kunt u de tweede factor bereiken zonder de getroffen pc? Staan herstelstappen ook ergens buiten de computer die zojuist is uitgevallen? Een herstelplan dat uitsluitend op het besmette systeem staat, heeft een voorspelbaar zwak punt.

10. Veelgemaakte fouten die ransomware afstraft

1. Iedere USB-back-up aangesloten laten

De tweede schijf beschermt prima tegen hardwarestoringen, maar kan hetzelfde ransomwarepad delen. Koppel waar mogelijk minstens één herstelkopie los.

2. Gewone gebruikers volledige controle over de back-upshare geven

Als routinematige accounts het repository mogen verwijderen, kunnen gestolen routinerechten genoeg zijn om herstelpunten weg te halen.

3. Synchronisatie een ransomwareback-up noemen

Sync verspreidt versleutelde bestanden net zo efficiënt als gezonde bestanden. Versiegeschiedenis helpt, maar een onafhankelijke back-up vormt een sterkere grens.

4. Alleen het nieuwste herstelpunt bewaren

Een rollende enkele kopie kan de laatste gezonde toestand kwijtraken voordat u merkt dat er iets mis is.

5. Aannemen dat “cloud” automatisch onveranderbaar betekent

Cloud zegt waar en hoe een dienst wordt geleverd. Bescherming tegen verwijdering hangt af van rechten, retentie, versiehistorie en het ontwerp van de dienst.

6. Nooit herstellen totdat het echt misgaat

Een groene back-uplog bewijst niet dat de data schoon, compleet en binnen de gewenste tijd terug te zetten zijn.

11. Veelgestelde vragen

Kan ransomware back-upschijven versleutelen?

Ja. Als een back-upschijf aangesloten en schrijfbaar is vanaf de gecompromitteerde computer, kan ransomware die opslag mogelijk net als andere schijven wijzigen of versleutelen. Een losgekoppelde of anders geïsoleerde kopie verlaagt dat risico.

Is een externe harde schijf veilig tegen ransomware?

Hij is veel veiliger wanneer u hem na de back-up loskoppelt. Een permanent aangesloten externe schijf deelt nog steeds het Windows-toegangspad en hoort niet uw enige herstelkopie te zijn.

Kan ransomware een NAS-back-up raken?

Ja, als de besmette pc of het gecompromitteerde account voldoende rechten op de NAS-share heeft. Aparte accounts, minimale rechten, netwerksegmentatie en beschermde snapshots kunnen de weerbaarheid verbeteren.

Zijn cloudback-ups veilig tegen ransomware?

Ze kunnen zeer weerbaar zijn, vooral als oude versies niet direct kunnen worden gewijzigd of verwijderd. Maar cloud is niet automatisch immutable. Controleer retentie, soft delete, accountbeveiliging en de rechten van de back-upclient.

Hoeveel back-upversies moet ik bewaren voor ransomwareherstel?

Er bestaat geen universeel aantal. Bewaar genoeg historie om terug te kunnen naar vóór een infectie of accountcompromis dat enige tijd onopgemerkt kan blijven. Een tijdvenster van meerdere weken is vaak bruikbaarder dan alleen een klein vast aantal recente runs.

Moet ik na een ransomware-aanval meteen de nieuwste systeemimage terugzetten?

Nee, niet blind. Bepaal eerst het waarschijnlijke compromitteringsvenster en zorg voor een schone doelomgeving. Herstel daarna vanaf een aantoonbaar goed herstelpunt, ook als dat niet de nieuwste image is.

Bescherm de terugweg, niet alleen de kopie

De beste vraag bij ransomwarebeveiliging is uiteindelijk niet “waar staat mijn back-up?”, maar “welke macht is nodig om hem te vernietigen?”. Een kopie op een tweede schijf is nuttig. Een kopie die een gecompromitteerde Windows-sessie niet kan wissen, is veel nuttiger.

Werk daarom met lagen. Houd snelle lokale herstelpunten. Gebruik een tweede bestemming. Bewaar voldoende historie. Koppel of isoleer minstens één herstelkopie. Bescherm de accounts die back-ups beheren. En oefen herstel naar een schone omgeving.

Geen enkele maatregel hoeft op zichzelf perfect te zijn. Samen maken ze het veel moeilijker voor één ransomware-aanval om alle routes terug tegelijk te verwijderen. Dat is het verschil tussen een back-upsysteem dat in normale weken keurig draait en een herstelsysteem dat ontworpen is voor de week waarin alles misgaat.