Entra ID backup: wat zet Microsoft zelf terug, en wat niet?

Kort antwoord: Microsoft bewaart een verwijderde gebruiker, groep of app-registratie 30 dagen in de prullenbak van Entra ID. Met een P1- of P2-licentie maakt Microsoft daarnaast elke dag een backup, die 7 dagen terug gaat. Ontdek je een fout later, is een object definitief verwijderd of wil je een kopie buiten je eigen tenant, dan heb je een aparte Entra ID-backup nodig.

Waarom Entra ID net zo belangrijk is als je mailbox

Entra ID (voorheen Azure AD) is de plek waar je bepaalt wie er mag inloggen. Je gebruikers, groepen, beheerdersrollen en app-registraties staan er allemaal in. Zonder werkende Entra ID kan niemand bij zijn mail, Teams of bestanden, hoe goed de backup van die data ook is.

Gaat er iets mis, dan merk je het meteen. Een script ruimt de verkeerde groepen op, een beheerder verwijdert een app-registratie die nog in gebruik is, of een aanvaller met beheerrechten past rollen aan. Medewerkers kunnen dan niet meer werken, of juist te veel mensen kunnen overal bij.

Wat Microsoft standaard doet: de prullenbak van 30 dagen

Verwijder je in Entra ID een gebruiker, een Microsoft 365-groep, een cloudbeveiligingsgroep of een app-registratie, dan gaat die eerst naar de prullenbak (soft delete). Volgens Microsoft blijven de eigenschappen dan bewaard en kun je het object 30 dagen terugzetten, bij een gebruiker inclusief groepslidmaatschappen, rollen en licenties. Na 30 dagen wordt het object definitief verwijderd.

Andere objecttypen gaan niet naar de prullenbak: die zijn direct definitief weg. Microsoft is daar duidelijk over: definitief verwijderde objecten kunnen beheerders niet terugzetten, en Microsoft ook niet. Je moet ze opnieuw aanmaken en inrichten.

Microsoft Entra Backup and Recovery: 7 dagen terug

Sinds 2026 heeft Entra ID een ingebouwde backup: Microsoft Entra Backup and Recovery. Volgens Microsoft Learn (oktober 2026) werkt die zo:

• Microsoft maakt automatisch één backup per dag en bewaart maximaal 7 dagen;
• je hebt een Entra ID P1- of P2-licentie nodig;
• je kunt je huidige tenant met een backup vergelijken en daarna alle ondersteunde objecten, bepaalde objecttypen of losse objecten terugzetten;
• de backup is beschermd: ook een beheerder met de hoogste rechten kan hem niet uitzetten, wijzigen of verwijderen.

Dat is een flinke stap vooruit. Maar ook deze functie heeft grenzen: hij zet geen definitief verwijderde objecten terug. En voor objecten die je in je lokale Active Directory beheert en naar Entra ID synchroniseert, verwijst Microsoft naar een andere oplossing.

Waar het gat zit

• Je ontdekt de fout te laat. De ingebouwde backup gaat 7 dagen terug. Een verkeerd aangepaste groep of app-registratie die je pas na twee weken opmerkt, valt daarbuiten.
• Het object is definitief weg. Is de prullenbak verlopen, of ging het om een objecttype zonder prullenbak, dan helpen prullenbak en ingebouwde backup niet meer.
• Alles staat in dezelfde tenant. Prullenbak en ingebouwde backup horen bij je eigen Entra ID. Een kopie daarbuiten is er niet. Dat is precies wat de 3-2-1-1-0-regel vraagt: minstens één kopie apart en onveranderbaar.
• Geen P1 of P2. Zonder die licentie heb je alleen de prullenbak van 30 dagen.

Wat een aparte Entra ID-backup toevoegt

Een aparte backup vult die gaten:

• Langer terug: een bewaartermijn die je zelf instelt, in plaats van 7 of 30 dagen.
• Een kopie buiten je tenant: opgeslagen in Microsoft Azure, los van je eigen Microsoft 365-omgeving.
• Onveranderbaar: de backup kan niet worden aangepast of verwijderd, ook niet door een beheerder of aanvaller.
• Precies terugzetten wat nodig is: je vergelijkt je omgeving met de backup en zet één attribuut, een groep of een complete gebruiker terug.

Met Veeam Data Cloud regelen wij dit voor je, samen met de backup van Exchange Online, SharePoint, OneDrive en Teams. We maken elke dag een backup van je gebruikers, groepen en app-registraties, bewaken de backups en voeren de restore voor je uit. Lees meer over onze backup voor Microsoft 365 en Entra ID. Waarom een onveranderbare kopie buiten je netwerk zo belangrijk is, lees je in ons artikel over immutable backup en in de 3-2-1-1-0-regel.

Checklist: is je Entra ID goed geregeld?

1. Heb je een Entra ID P1- of P2-licentie, en weet je of de ingebouwde backup aan staat?
2. Ontdek je een verkeerde wijziging altijd binnen 7 dagen?
3. Weet je welke objecten bij jou direct definitief worden verwijderd?
4. Staat er een kopie van je Entra ID buiten je eigen tenant?
5. Wanneer heb je voor het laatst een restoretest gedaan van een gebruiker of groep?

Twijfel je bij een van deze vragen? Loop ook de checklist Microsoft 365-backup in 5 vragen door. Valt je organisatie onder de Cyberbeveiligingswet, dan hoort een werkende restore van je identiteiten bij je zorgplicht voor continuïteit.

Bronnen

1. Microsoft Learn, Microsoft Entra Backup and Recovery overview: learn.microsoft.com/entra/backup/overview. Microsoft maakt één backup per dag en bewaart maximaal 7 dagen; Entra ID P1 of P2 is nodig; hard-deleted objecten worden niet ondersteund. De backupdata staat in dezelfde geografische locatie als je Entra-tenant.

2. Microsoft Learn, Recover from deletions: learn.microsoft.com/entra/architecture/recover-from-deletions

3. Veeam, Microsoft Entra ID Backup: veeam.com/products/saas/microsoft-entra-id-backup.html

Geraadpleegd: 29 oktober 2026; Microsoft Learn (bron 1) opnieuw gecontroleerd op 3 november 2026.