Microsoft verwijderde data van non-profits voortijdig en permanent

Microsoft erkent dat het gegevens van stichtingen en non-profitorganisaties door een fout voortijdig en permanent heeft verwijderd. Het gaat om stichtingen die gebruikmaakten van een gratis Microsoft 365 Business Premium-licentie voor non-profits. Het is onduidelijk hoeveel non-profits slachtoffer zijn.

Dit nieuws in het kort

• Microsoft verwijderde te vroeg gegevens van non-profitorganisaties nadat hun gratis 365-abonnement afliep.
• De gegevens zijn permanent verdwenen en kunnen niet meer teruggehaald worden.
• Dat het abonnement zou aflopen, was al bekend, maar niet dat de gegevens direct zouden verdwijnen.

Het probleem ontstond nadat het gratis 365-abonnement van non-profits afliep. Microsoft kondigde halverwege 2025 aan dat deze optie voor non-profitorganisaties zou verdwijnen. Organisaties met zo'n licentie moesten daarom vanaf 1 juli 2025 overstappen naar een ander abonnement, zodra hun huidige gratis abonnement afliep. Microsoft zou de gegevens van klanten nog 90 dagen bewaren na het aflopen van een abonnement, maar dat ging fout.

Uit een mail aan getroffenen – die door Tweakers is ingezien – blijkt dat Microsoft erkent dat er een fout is gemaakt. "Door een fout werd alle eventuele overgebleven data direct verwijderd, nog voordat de overgangs- en exportperiode inging." Tegenover The Register bevestigt het bedrijf de fout, al is niet duidelijk wat er precies is gebeurd.

Waarschuwingen gemist

Omdat er normaal een overgangsperiode van 90 dagen is, dachten organisaties mogelijk dat zij nog tijd hadden om hun gegevens te migreren naar een andere dienst of een ander abonnement. In plaats daarvan verwijderde Microsoft de gegevens direct.

Vooral kleine non-profits lijken slachtoffer te zijn

Het lijkt erop dat geen prominente organisaties slachtoffer zijn van het incident. Dat blijkt uit een rondvraag onder koepelorganisaties van vrijwel alle grote Nederlandse non-profitorganisaties. Wel zijn er meerdere kleine non-profits getroffen.

Vermoedelijk trof Microsofts fout vooral kleine organisaties, omdat zij niet op tijd konden inspelen op het verdwijnen van het betreffende abonnement. De organisaties hebben namelijk vaak minder werknemers en vrijwilligers, en mogelijk geen professionele IT-afdeling.

Daarnaast is er veel verwarring over de communicatie van Microsoft. Zo stellen sommige getroffenen dat zij geen waarschuwingsmails hebben gekregen, aldus Slate. Mogelijk verwarden beheerders de legitieme waarschuwingen van Microsoft met promotie voor een ander betaald 365-abonnement.

Andere slachtoffers stellen dat Microsoft sinds de oorspronkelijke aankondiging in mei 2025 niet meer communiceerde over het verdwijnen van het abonnement. Het was toen nog onduidelijk wat er precies zou gebeuren met de gegevens. Mogelijk hebben ook zij de daaropvolgende waarschuwingsmails gemist, bijvoorbeeld omdat de mails in de spambox terechtkwamen.

Geen herstel mogelijk

Verder is het opvallend dat de verwijderde data daadwerkelijk permanent is vernietigd. Microsoft schrijft: "We hebben onderzocht of er herstelmogelijkheden zijn, maar helaas kan de data niet worden hersteld." Ook opvallend is dat Microsoft geen logs heeft waaruit blijkt of een organisatie is getroffen door het incident. Het bedrijf weet niet of er data is verwijderd en, zo ja, welke gegevens zijn verwijderd.

Als compensatie voor de fout biedt Microsoft een zogenoemde Nonprofit Concierge Service aan. Getroffenen kunnen voor 1 maart 2027 hulp krijgen bij het vinden van een oplossing. Het is onduidelijk hoe het bedrijf de non-profitorganisaties kan helpen.

Microsofts zakelijke software met Copilot ter illustratie

Reacties (42)

[ge-flopt]

Dan rijst meteen de vraag: Maakt Microsoft uberhaubt backups van hun omgevingen? MAW als microsoft dat niet doet moeten bedrijven dat zelf gaan doen, maar dan krijg je weer dat data naar de cloud versturen goedkoop is, maar data uit de cloud halen zeer duur is.

[Tortelli]

Onze organisatie heeft een backup van de 365 omgeving (on-premise). Kun je met tools als Veeam gewoon backuppen.

[NoTechSupport]

Dan valt een groot deel van het argument pro cloud wel weg, nl dat je zelf geen hosting moet organiseren? Ook patching en beheer van de omgeving valt dan weer veel meer op je schouders.

[Madshark]

Synology NAS'en hebben een officiële package waarmee je hele 365 omgevingen kunt backuppen.
Zet dat ding achter een firewall in een geïsoleerde VLAN zodat je collegas er ook niet zomaar bij kunnen, auto updates aan, email of sms alerts instellen, en je hebt er eigenlijk verassend weinig omkijken naar.
Het is altijd verstandig om je data in eigen beheer te hebben, je weet tenslotte maar nooit wat er met je cloudomgeving kan gebeuren. Zoals dit nieuwsbericht.

[Tortelli]

Wij hebben al een behoorlijke on-premise omgeving (>20 VM's) draaien voor allerlei doeleinden, gebruiken de 365 omgeving voor mail, teams en onedrive. Dit wil je ook niet meer zelf hosten imo.
Volledig naar de cloud overgaan is voor onze usecase niet interessant; vooral ook veel te duur met het volume aan actieve data wat we hebben. Internet verbinding wordt dat ook al snel een beperking; lokale netwerk is sneller dan welke cloud dan ook.

Eea toegevoegd aan de on-prem backup, draait als een zonnetje. Super goedkoop is dit overigens niet; je betaald jaarljiks behoorlijke licentiekosten voor deze software. Heb je een paar honderd GB aan data is de Microsoft backup optie wel de moeite.

[Reactie gewijzigd door Tortelli op 30 september 2026 14:27]

[JRex]

Hosting is meer dan het opslaan van je data als back-up.
Het voordeel van de cloud in het geval van Microsoft 365 is dat je zelf geen mailserver moet hosten. Bij het betrouwbaar hosten van een mailserver komt best wel wat kijken. Het is niet alleen een servertje installeren. Ook het netwerk en eventuele redundantienoden creëren extra complexiteit.
Een back-upserver voor een Microsoft 365 omgeving kan echter zo simpel zijn als een Synology NAS die een ingebouwde back-up tool heeft voor Microsoft 365.

[Ascathon]

Doen wij ook en zie het artikel, het heeft blijkbaar ook zin om te doen...

En er is een verschil tussen lekker je eigen backups hebben en misschien een complexe restore all or nothing voor 365.

Geen idee verder, ben de beheerder niet.

[jeroen3]

Het trekken van een backup is wel significant minder zwaar dan het hosten van de hele suite.

De vraag zal meer zijn hoe portable die backup is.

[Room42]

Het is, in ieder geval voor bedrijven, heel gebruikelijk dat je ook buiten je een backup buiten je primaire cloudprovider hebt, dus juist van een ander bedrijf of zelf on-premise. Juist voor dit soort incidenten. Dat doet niks af aan 'de cloud'. Je wilt altijd een off-site backup hebben.

[Reactie gewijzigd door Room42 op 30 september 2026 14:55]

[GeeBee]

Een goede backup-strategie omvat toch minstens 1 backup die niet in de cloud hangt?

[Ptidaelus]

Het staat ergens in de overeenkomst dat de klant verantwoordelijk is voor back-ups. Daardoor dat je oplossingen zoals Keepit hebt. Dat gezegd zijnde, wanneer ik het aanhaal bij een klant, is het meestal hetzelfde antwoord "no budget".

[Logic3S]

Klopt. Onze organisatie backupt ook met KeepIT (SaaS to SaaS). Net omdat we dit soort situaties als risico hebben geklasseerd.

En dat is een heel process geweest om ons management te overtuigen dat dit nodig was. "Neen, backups zijn niet nodig. Onze data is geo-redundant gerepliceerd". Replicatie != backup. Overal worden nu eenmaal fouten gemaakt, dus als je data belangrijk is, neem je backups. Waar je data staat maakt in dat opzicht niets uit.

Je zou kunnen stellen dat Microsoft maar backups moet nemen. Maar als je je actieve data én backups bij eenzelfde partij neerpoot, gooi je weer een groot deel van je bescherming weg.

[redfoxert]

Office 365 data uit de cloud halen is kostenloos. Backups daarvan anders dan bij Microsoft dus ook. Egress vanuit Microsoft Azure moet je over het algemeen wel voor betalen.

[closefuture]

Dit geld voor veel cloud bedrijven denk ik. Bij Google Cloud was het lang zo (geen idee of het nog zo is) dat als je een managed PostgreSQL instance (per ongeluk) verwijderede alle backups ook meteen verwijderd werden die gekoppeld waren aan die instance.

Een backup moet naar mijn idee eigenlijk op een losgekoppeld systeem staan die zelf zaken zoals retentie, verwijdering e.d. managed. Bij Microsoft (maar waarschijnlijk dus ook bij Google Cloud, AWS, etc.) zal uiteindelijk het allemaal gemanaged worden door systemen die gekoppeld zijn. Als er (al dan niet per ongeluk, via een bug, etc.) het commando komt dat dingen verwijderd moeten worden gebeurt dat gewoon.

Een oplossing kan zijn om te backuppen naar een object storage (S3-achtig) van een andere (cloud) provider waar ook minimale retentie termijnen ingesteld zijn voor verwijdering mogelijk is. Liefst bijvoorbeeld dat het systeem waar de backups van gemaakt worden enkel "append-only" rechten heeft op de object storage.

[Reactie gewijzigd door closefuture op 30 september 2026 14:12]

[Triblade_8472]

Nee. Al hebben de sommige features wel een variant van een recycle bin. Zoals users in de aad, files in onedrive/teams/share point enz.

Voor cloud backup moet je die feature bij MS afnemen (ook met een maximum) of je kan via 3rd party tooling backuppen.

[Blokker_1999]

Neen, Microsoft schrijft expliciet in de documentatie dat je zelf verantwoordelijk bent voor backups. Zij kunnen backups maken, tegen betaling, maar idealiter plaats je je backups niet in dezelfde cloud als waar je je workloads host.

[Alex_R_2026]

Microsoft levert ruimte voor opslag ze maken geen backups.
Backups zijn de verantwoording voor de organisatie zelf.

[MrMonkE]

Jemig, wat een drama.

Hoe kunnen er nu geen backups zijn oid.
Je zou toch denken dat er op zijn minst backups zijn van een dag/week/maand geleden.

Zoals het oude spreekwoord zegt;
Met beheer in de cloud gaat veel fout.

[wildhagen]

Jemig, wat een drama.

Hoe kunnen er nu geen backups zijn oid.
Je zou toch denken dat er op zijn minst backups zijn van een dag/week/maand geleden.

Ik denk niet dat ze heel Office365 centraal standaard backuppen. Naast de gigantische hoeveelheden data over de hele wereld, zit je dan ook met dingen als verschillende juridische/privacy eisen in verschillende landen/regios etc.

Wél biedt Microsoft een Backup dienst aan: Overview of Microsoft 365 Backup | Microsoft Learn

Microsoft 365 Backup is designed to ensure your organization's data is always protected and easily recoverable. With the ability to back up all or select SharePoint sites, OneDrive accounts, and Exchange mailboxes, Microsoft 365 Backup provides comprehensive coverage for your critical data.

Maar die dienst moet je dan wel afnemen als bedrijf uiteraard.

[sebati]

De backups uitvoeren en backuppen naar dezelfde leverancier als daar waar je data staat is misschien wel heel onverstandig wanneer je de backup 1-2-3 volgt.

[Cyberpuppy]

Dat en blijkbaar weten ze zelf niet hoe hun producten precies werken, dus hun eigen backup kan maar een fractie van wat 3rd parties kunnen.

Je kunt de ruwe data wel backuppen (email, teams, sharepoint, agenda). Maar bijv. het backup van alle instellingen, accounts, policies en noem maar op zijn maar heel weinig geschikte oplossingen voor.

[Nick v D]

Gelukkig geen slachtoffer van dit geintje... Maar Microsoft is goed bezig om al zijn gebruikers weg te pesten.
Prive ben ik al bijna volledig weg bij Microsoft... Geen Windows, mail, office etc. meer. Enkel nog een Xbox, maar dat is tevens ook de laatste Xbox die ik zal bezitten.

Zakelijk blijft het nog lastig, maar daar waar ik invloed heb gooi ik Microsoft er ook uit.

[Retrojunk]

Ik zit in precies hetzelfde schuitje, werk-technisch blijft het lastig - daar zitten we vollop bij MS.

Prive gelukkig de ommezwaai naar linux kunnen maken en ervaar zelf weinig issues wanneer het aankomt op productiviteit of gaming.

Ik wil er ook wel bij vermelden dat de rust die ik met linux terug krijg ook geweldig vind. Stukken minder afleiding, minder reclame, minder geforceerd. Voor mij is linux wennen, maar toch ook genieten.

[Nick v D]

Ja inderdaad.
Het was even spannend om naar Linux te gaan, maar het wennen gaat erg snel.
Het lastigste was eigenlijk de keuze welke distro. Begonnen bij Mint, en nu een half jaar tevreden Fedora gebruiker.

Ik maak graag tooltjes in Python die ik vervolgens op Docker draai. Het opstarten van de containers, testen en dergelijke gaan ook gemakkelijker op Linux.

Gamen heb ik nog niet echt gedaan, behalve wat indie games via Steam en dat werkt prima op Fedora.

[RogerWilco2]

Mircosoft lijkt de laatste tijd veel grotere en kleinere foutjes te maken. Mijn vermoeden is dat ze teveel op AI leunen. Er lijkt veel door de kwaliteitscontrole te glippen.

Zelf heb ik in de afgelopen maanden al problemen met Excel en Word gehad, en dan probeer ik Microsoft spullen zo weinig mogelijk te gebruiken.

[FPSUsername]

Omdat er normaal een overgangsperiode van 90 dagen is, dachten organisaties mogelijk dat zij nog tijd hadden om hun gegevens te migreren naar een andere dienst of een ander abonnement.

Tja, erg dom om hier op te wachten. Ik zie het bij mijn werk ook gebeuren, nieuwe licenties ingekocht 2 dagen nadat de huidige licenties verlopen , terwijl we de software elke dag nodig hebben. Dus 2 dagen niet kunnen werken. Terwijl dit al maanden bekend is dat licenties verlopen.

Een fout van Microsoft en een nalatigheid van de organisaties die denken dat ze nog 90 dagen extra hebben bovenop hun eigen abonnement.

[Insomnia1988]

Jep, heel triest wat hier gebeurd is. Ze hadden de mail naar het admin onmicrosoft gestuurd. Jah zo iets ingrijpends stuur je ook daar naar toe want daar kijkt het bestuur van een stichting uiteraard ook iedere dag op. Laat staan of ze er van af weten. Afijn ik merk wel dat mensen Microsoft moe beginnen te worden. Het trieste is nog wel is dat ze zelf er mee adverteren, geen zorgen meer om je data. Goed... Altijd zelf backups blijven maken mensen! Cloud alleen is geen backup.

[Reactie gewijzigd door Insomnia1988 op 30 september 2026 14:01]

[FPSUsername]

Tja, je data blijft bestaan zolang je een actief abonnement hebt. Als je gaat leunen op transitie periodes moet je niet verwachten dat je garanties hebt. Heb je je zaken voor elkaar, migreer of vernieuw je de licenties op tijd.

[Insomnia1988]

Het zijn geen bedrijven, maar stichtingen. en als er niet duidelijk gecommuniceerd word kun je niet op tijd migreren.

[FPSUsername]

Je moet wel op de hoogte blijven van je licenties en producten die je hebt. Of het een bedrijf, stichting of individu is.

[Insomnia1988]

Opzicht wel, maar nogmaals dit zijn geen bedrijven maar stichtingen. Er wordt afgesproken dat je iets gratis krijgt. Als Microsoft dan iets in zijn hoofd krijgt om iets aan te passen prima.En in dit geval is dat niet duidelijk gecommuniceerd. Hoe moet een stichting dat weten?

Er moet wel een creditcard gekoppeld worden, dus ze hadden meteen kunnen vragen op welk email adres zijn jullie bereikbaar. Nee Microsoft is hier gruwelijk fout hoe je het went of keert.

[Cyberpuppy]

Ja daar sturen ze dus dingen naartoe. Terwijl ze zelf adviseren dat een global admin geen mailbox zou moeten hebben.

Weet iemand toevallig of die emails ook altijd naar de billing admin gaan?

[Insomnia1988]

Klopt helemaal, daar had ik nog niet aangedacht. sterker op een admin account zit in de meeste gevallen geen licentie.

[Cyberpuppy]

Precies dat.

Probleem heb ik momenteel ook bij gebruikers die om toestemming vragen voor enterprise apps. Waar moet de melding naartoe, juist...

En verder. Die standaard admin wordt bij ons altijd verwijderd, na toevoeging van meerdere global admins.

[Reactie gewijzigd door Cyberpuppy op 30 september 2026 14:29]

[Lord Anubis]

maar was het niet zo dat er een communicatie adres moest zijn of ingesteld kon worden?

En anders zou iedere sw leverancier dit verplicht moeten hebben en eisen. Gewoon de admin en administratie afdeling.

Maar zoals vermeld door anderen is laksheid van organisaties het eerste lijns probleem.

[CriticalHit_NL]

Microsoft Cloud is geen backup, blijkt maar weer.

Enerzijds vergrendelen ze je account onrechtmatig dat de rechter dit dwangmatig moet bevelen vrij te geven, anderzijds verwijderen ze doodleuk je data of raken het kwijt, en anders verkopen ze de metadata wel of wordt er in Azure ingebroken.

En het andere deel waar ze je de vinger geven qua support is als je account geblokkeerd is door onrechtmatige die je login lopen te spammen en het account onherroepelijk vergrendelen, waardoor dus men bij elke, ook goede inlogpoging, gewoon weer zoveel x tijd extra vergrendelt raakt.

Prettig om op te vertrouwen als je ook je financiële zaken e.d. aan zoiets hebt hangen, je gekochte games, je online abonnementen voor games, apparaten e.d.

Ach ja, uiteindelijk krijgt boontje zijn verdiende loontje.

[FrostyPeet]

Tja, helemaal met "gratis" en "proef" abo's zie ik het als dat ik apps en opslag huur bij een huurbaas en als die het op zijn heupen krijgt ben je het haasje. Zoals het oude gezegde, if you don't control the document you control nothing.

Zelfs bij betale abo's ben je nooit zeker van je zaak, kijk maar naar het Strafhof in Den Haag. Misschien krijg je nog wat geld terug maar verder ben je aan de MS goden overgeleverd.

Beetje knullig dat een scriptkid even een batch draaide zonder te controleren. Zonder restore optie. Ook al waren de klanten gewaarschuwd.

[Wouterie]

Aangifte doen van een datalek. De data is immers verdwenen en niet meer beschikbaar voor de eigenaar.

[Blue Knight]

Een datalek is volgens mij als ongeautoriseerde personen toegang hadden of hadden kunnen krijgen tot je data. Hier is het simpel weg er is niets gelekt.

Je kunt dus aangifte doen voor vermissing en Microsoft misschien aansprakelijk stellen voor de kosten.

[Wouterie]

“een inbreuk op de beveiliging die leidt tot de onopzettelijke of onrechtmatige vernietiging, verlies, wijziging, ongeoorloofde openbaarmaking van of toegang tot persoonsgegevens”. Dus het moet wel over persoonsgegevens gaan.

[JerX]

Is het echt direct geweest? De retentie periode is tegenwoordig 30 dagen, daarna is het inderdaad klaar. Tenzij de hele tenant is gedelete nadat de subscription was afgelopen

Hopelijk hebben ze offline kopieën van OneDrive en mail, maar dat is ook een drama om uit te zoeken.