Cloudback-up: een praktische gids voor IT-teams en MSP’s

Volgens het Kaseya State of the MSP-rapport van 2026 meldde 50% van de MSP’s een omzetgroei op jaarbasis op het gebied van BCDR, aangedreven door klanten die hebben ingezien dat cloudplatforms geen vervanging zijn voor back-ups. Dit is een van de duidelijkste commerciële signalen in de sector van managed services : de vraag naar back-ups die ook onder druk daadwerkelijk functioneren, neemt toe in plaats van af.

De term ‘cloudback-up’ wordt gebruikt om drie fundamenteel verschillende situaties te beschrijven. Het maken van back-ups van lokale servers naar de cloud is een andere uitdaging dan het maken van back-ups van workloads die binnen AWS of Azure draaien, wat weer iets anders is dan het maken van back-ups van gegevens in SaaS-toepassingen zoals Microsoft 365. Elk van deze situaties kent zijn eigen storingsscenario’s, herstelvereisten en geschikte oplossingen.

Deze gids behandelt alle drie de benaderingen. Datto, onderdeel van de Kaseya-groep, heeft wereldwijd via MSP’s meer dan 500.000 bedrijven beschermd, waardoor we een gedetailleerd beeld hebben van waar elke aanpak slaagt en waar deze tekortschiet onder reële hersteldruk.

Back-up naar de cloud: beveiliging van lokale servers

Dit is de meest gangbare toepassing. Lokale servers, virtuele machines en eindpunten maken back-ups die naar cloudopslag worden gerepliceerd voor off-site beveiliging. De cloud is de bestemming, niet de omgeving die wordt beveiligd.

De grootste uitdaging is de spanning tussen herstelsnelheid en kosten. Het kan bij gangbare internetsnelheden uren of zelfs dagen duren om een terabyte aan gegevens te herstellen. Herstel uitsluitend via de cloud volstaat niet om aan RTO-eisen van minder dan een uur te voldoen. Organisaties die tijdens een daadwerkelijk incident met deze beperking worden geconfronteerd, krijgen te maken met uitval die in dagen in plaats van uren wordt gemeten.

De oplossing is het hybride model van een appliance in combinatie met de cloud. Een lokaal back-upapparaat, zoals Datto SIRIS, zorgt voor een snelle herstelprocedure van recente gegevens op lokale netwerksnelheden, inclusief onmiddellijke lokale virtualisatie, zodat een defecte server binnen enkele minuten weer operationeel kan zijn. Dezelfde back-up wordt tegelijkertijd gerepliceerd naar de Datto Cloud voor off-site bescherming en langdurige opslag. Als de primaire locatie volledig verloren gaat, zorgt cloudvirtualisatie ervoor dat workloads in de Datto Cloud kunnen worden opgestart terwijl de fysieke omgeving wordt hersteld.

Dit is de architectuur die het beste aansluit bij de behoeften van de meeste MKB-klanten: snel lokaal herstel wanneer snelheid van belang is, en een onafhankelijke, onveranderlijke kopie in de cloud wanneer veerkracht van belang is.

Waar MSP’s hier de plank misslaan: cloudreplicatie beschouwen als de volledige back-upstrategie en de lokale appliance overslaan om de initiële kosten te drukken. Op papier lijkt dit financieel aantrekkelijker. Bij een ransomware-aanval waarbij de lokale omgeving wordt versleuteld en een volledig serverherstel via internet nodig is, duurt het herstel voor de klant dagen in plaats van uren, en draagt de MSP de kosten van dat tijdsverschil.

Ontdek Datto SIRIS hybride back-up en noodherstel

Back-ups maken in de cloud: AWS- en Azure-workloads beveiligen

Een cloudinfrastructuur maakt geen back-ups van zichzelf. AWS en Azure werken volgens een model van gedeelde verantwoordelijkheid: de aanbieder is verantwoordelijk voor de veerkracht van de infrastructuur; de klant is verantwoordelijk voor de gegevens en de workloads die daarop draaien. Als een EC2-instance of Azure VM door ransomware wordt versleuteld, per ongeluk wordt verwijderd of beschadigd raakt door een mislukte implementatie, is het de taak van de klant om deze te herstellen.

De specifieke risico's van native cloudback-ups:

Integreerde back-uptools zoals AWS Backup en Azure Backup bieden wel enige bescherming, maar functioneren binnen het ecosysteem van de provider. Een gehackt cloudaccount, een ransomware-aanval waarbij inloggegevens voor de cloud worden buitgemaakt, of een incident bij de provider kan zowel de primaire workloads als de back-ups op hetzelfde account tegelijkertijd treffen. Integreerde back-ups voldoen bovendien zelden aan de onafhankelijkheidsvereisten van cyberverzekeringen, die off-site, onveranderlijke kopieën voorschrijven.

Datto Backup for Microsoft Azure hiervoor Backup for Microsoft Azure door Azure VM’s en Azure Files te repliceren naar de Datto Cloud, volledig buiten het Azure-ecosysteem om, met onveranderlijke opslag en een vast tarief, waardoor de onvoorspelbare kosten voor gegevensuitvoer van de standaard Azure Backup worden weggenomen. Dankzij replicatie per uur wordt een herstelpuntdoelstelling van 60 minuten gerealiseerd. Tot de herstelopties behoren herstel op bestandsniveau, volledig VM-herstel en cloudvirtualisatie rechtstreeks in de Datto Cloud.

Waar MSP’s hier de plank misslaan: ze gaan ervan uit dat een klant automatisch beschermd is omdat hij ‘in de cloud’ zit. AWS en Azure bieden weliswaar een veerkrachtige infrastructuur, maar geen gegevensback-up. MSP’s die cloudomgevingen beheren zonder zelfstandig back-ups van die workloads te maken, lopen een aanzienlijk risico op aansprakelijkheid.

Back-ups maken van cloudapps: gegevensbescherming voor SaaS

SaaS-toepassingen vormen een aparte categorie, los van de cloudinfrastructuur. Microsoft 365, Google Workspace en soortgelijke platforms beheren de toepassing en de beschikbaarheid ervan, maar bieden geen back-up in de zin van daadwerkelijk herstel. De standaardinstellingen voor gegevensbewaring van Microsoft zijn bedoeld voor naleving van regelgeving en scenario’s waarbij gegevens per ongeluk worden verwijderd, met een kort tijdsbestek. Ze zijn niet bedoeld voor herstel naar een specifiek tijdstip na een ransomware-aanval, opzettelijke verwijdering door een gehackte account of een grootschalige configuratiefout.

Ook hier geldt het model van gedeelde verantwoordelijkheid. Microsoft is verantwoordelijk voor het platform. De organisatie is verantwoordelijk voor de gegevens die daarop staan.

Wat er daadwerkelijk op het spel staat: e-mail, agenda’s, contacten, SharePoint-sites, OneDrive-bestanden en Teams-gegevens. In de meeste MKB-omgevingen vormt dit het grootste deel van de operationele gegevens. Een ransomware-aanval waarbij SharePoint of OneDrive wordt versleuteld, of een gehackt beheerdersaccount waarmee mailboxen massaal worden gewist, kan aanzienlijke schade veroorzaken die niet kan worden hersteld met de standaardbewaarbeleidsregels.

Datto SaaS Protection driemaal per dag een back-up SaaS Protection Microsoft 365- en Google Workspace-gegevens naar een onafhankelijke Datto Cloud-opslagplaats met onbeperkte bewaartermijn. Het herstel verloopt op detailniveau: afzonderlijke e-mails, bestanden, mappen of volledige accounts kunnen naar elk gewenst tijdstip worden teruggezet. SaaS Protection biedt daarnaast geïntegreerde dreigingsdetectie met geautomatiseerde scans op ransomware en phishing in de gehele Microsoft 365-omgeving.

Waar MSP’s hier de plank misslaan: ze bieden helemaal geen SaaS-back-up aan, of ze verkopen het als een optionele extra. Elke klant die Microsoft 365 of Google Workspace gebruikt, loopt het risico dat gegevens verloren gaan die het platform niet voor hen kan herstellen. SaaS-back-up zou een onmisbaar onderdeel moeten zijn van elke managed services waarin Microsoft 365 is opgenomen.

De 3-2-1-regel en waarom die nog steeds geldt

De 3-2-1-regel dateert van vóór de opkomst van cloudback-ups, maar blijft het meest bruikbare kader om te beoordelen of een back-uparchitectuur deugdelijk is: drie kopieën van de gegevens, op twee verschillende soorten media, waarvan één kopie buiten het bedrijf.

Een back-up in de cloud voldoet aan de eis van externe opslag. Waar deze echter niet automatisch aan voldoet, is de eis van onafhankelijkheid. Een back-up die in hetzelfde cloudaccount is opgeslagen als de primaire gegevens, loopt dezelfde risico’s: een ransomware-aanval of een gehackt account die de productiegegevens vernietigt, kan net zo gemakkelijk ook de back-ups in datzelfde account treffen.

Voor elke klant met substantiële herstelverplichtingen moet de externe cloudkopie zich bevinden in een afzonderlijke, onafhankelijk beheerde omgeving met onveranderlijke objectopslag. Dit geldt voor alle drie de bovengenoemde gebruiksscenario’s. Lokale back-ups die naar de Datto Cloud worden gerepliceerd, bevinden zich buiten de primaire omgeving van de klant. Azure-workloads waarvan een back-up naar Datto wordt gemaakt, bevinden zich buiten Azure. SaaS-gegevens waarvan een back-up naar Datto SaaS Protection wordt gemaakt, SaaS Protection buiten de Microsoft 365-tenant. Die onafhankelijkheid is juist het punt.

Ransomware en de argumenten voor onveranderbaarheid

Ransomware-aanvallers hebben hun tactiek aangepast en richten zich nu specifiek op back-upinfrastructuur. Uit het „2025 Data Breach Investigations Report“ van Verizon blijkt dat 75% van de inbraken waarbij systemen werden binnengedrongen, verband hield met ransomware. Aanvallers die back-ups compromitteren of verwijderen voordat ze productiegegevens versleutelen, maken herstel onmogelijk en dwingen zo tot betaling.

Een back-uparchitectuur die bestand is tegen ransomware moet aan drie eigenschappen voldoen die traditionele back-ups niet garanderen.

Isolatie. Back-ups die via dezelfde inloggegevens of hetzelfde netwerk toegankelijk zijn als de productiesystemen, kunnen worden bereikt door een aanvaller die deze systemen heeft gehackt. De externe kopie moet daadwerkelijk geïsoleerd zijn.

Onveranderlijkheid. Zodra back-ups zijn gemaakt, mogen ze niet meer worden gewijzigd of verwijderd, behalve wanneer de vastgestelde bewaartermijn is verstreken. Onveranderlijke objectopslag met een vastgestelde vergrendelingsperiode voorkomt dat ransomware of gehackte beheerdersaccounts back-upgegevens kunnen vernietigen. De Datto Cloud is op dit principe gebaseerd en beschikt over een beveiliging tegen verwijdering in de cloud die ongeoorloofde wijzigingen of verwijderingen blokkeert, ongeacht wat er met de beveiligde omgeving gebeurt.

Geteste herstelbaarheid. Uit onderzoek van Sophos blijkt dat 45% van de slachtoffers van ransomware die gebruik maakten van back-ups, binnen een week weer aan de slag kon. Degenen die niet op back-ups konden terugvallen, hadden in 31% van de gevallen te maken met hersteltijden van één tot zes maanden. Het verschil hangt bijna altijd af van de vraag of het herstelproces vóór het incident was getest. De door AI aangestuurde screenshot-controle SIRISDatto SIRISbiedt een nauwkeurigheid van meer dan 99% en signaleert verdachte back-uptaken voordat deze tot herstelfouten leiden. Een niet-geteste back-up is geen back-up.

Het beheren van cloudback-ups op grote schaal als MSP

Voor MSP’s gaan de operationele vereisten van cloudback-ups verder dan alleen het beschermen van individuele klanten. Vanwege de economische aspecten van managed services het back-upbeheer schaalbaar zijn zonder dat dit een evenredige toename van de tijd die technici hieraan besteden met zich meebrengt.

Eén overzicht voor alle drie de gebruiksscenario’s. De meest in het oog springende operationele tekortkoming in de back-upoplossingen van de meeste MSP’s is de versnipperde zichtbaarheid: on-premises BCDR in de ene console, back-up van de cloudinfrastructuur in een andere en SaaS-back-up in weer een andere. De geïntegreerde back-upstatuspagina van Datto brengt SIRIS, Datto Endpoint Backup Disaster Recovery, Datto Backup for Microsoft Azure en SaaS Protection alle klanten samen in één overzicht. Eén console, één set waarschuwingen, één rapportageworkflow.

Gestandaardiseerde beveiligingsbeleidsregels. MSP’s die gestandaardiseerde back-upbeleidsregels opstellen per klantcategorie en deze consequent toepassen in hun hele klantenbestand, hebben minder hiaten in de dekking, lagere kosten voor het verhelpen van problemen en een overzichtelijkere rapportage voor nalevings- en cyberverzekeringsdoeleinden. Door ad-hocconfiguraties per klant ontstaan er ongemerkt hiaten.

Geautomatiseerde waarschuwingen en rapporten. Back-upstoringen die pas worden opgemerkt als een technicus erachter komt, zijn storingen die vroeg of laat zullen optreden. Geautomatiseerde waarschuwingen bij mislukte taken, gemiste back-ups en verificatiefouten, in combinatie met periodieke rapporten voor klanten waarin de status van de back-ups wordt weergegeven, maken van back-upbeheer geen reactieve bezigheid meer, maar een gedocumenteerde dienst.

Voorspelbaarheid van de prijzen. Cloudback-upplatforms met prijzen per GB of variabele tarieven voor uitgaand dataverkeer leiden tot onvoorspelbare facturering voor klanten en onvoorspelbare marges. Een vast tarief voor opslag, DR-tests en uitgaand dataverkeer zorgt ervoor dat back-up een betrouwbare bron van marge wordt in plaats van een kostenpost.