Kort antwoord: een immutable backup is een kopie van je data die gedurende een vaste bewaartermijn niet gewijzigd of verwijderd kan worden. Ook niet door een beheerder, en dus ook niet door een aanvaller die beheerrechten heeft overgenomen. Staat die kopie bovendien buiten je eigen netwerk, dan heb je een laatste verdedigingslinie die ransomware niet kan bereiken.
Wat is een immutable backup, en waarom hoort er één buiten je netwerk?
Door BCP · 22 oktober 2026
Waarom ransomware eerst je backup zoekt
Een aanvaller wil dat je betaalt. Dat lukt alleen als je zelf niet meer terug kunt. Daarom is je backup bij een ransomware-aanval vaak een van de eerste doelwitten. Het Britse National Cyber Security Centre (NCSC) beschrijft gevallen waarin ransomware niet alleen de originele data versleutelde, maar ook de gekoppelde USB- en netwerkschijven. Ook gekoppelde cloudopslag met backups is op die manier getroffen.
Staat je backup op hetzelfde netwerk, of kun je erbij met dezelfde beheeraccount als de rest van je omgeving? Dan kan een aanvaller die die account overneemt ook je backup versleutelen of wissen. Een backup die bereikbaar is, is dan geen vangnet meer, maar een extra doelwit.
Immutable, offline, air-gapped: wat is het verschil?
- Immutable (onveranderbaar): de backup staat online, maar het opslagsysteem weigert elke wijziging of verwijdering tot de bewaartermijn voorbij is.
- Offline: de kopie is niet verbonden met je netwerk, bijvoorbeeld een losgekoppelde schijf of tape. Wat niet verbonden is, kun je niet via het netwerk aanvallen.
- Air-gapped: de kopie is fysiek of logisch volledig gescheiden van je productieomgeving, zonder directe verbinding en zonder gedeelde inlog.
Alle drie hebben hetzelfde doel: er is altijd één kopie die een aanvaller niet kan aanraken. Het NCSC adviseert om op elk moment minstens één backup offline te hebben, zodat een incident nooit al je backups tegelijk raakt. Cloudopslag kun je niet letterlijk loskoppelen. Daarvoor adviseert het NCSC de toegang zo te beperken dat de backupsoftware alleen nieuwe backups kan toevoegen en bestaande backups niet kan overschrijven. Dat is precies wat een immutable backup doet.
De 3-2-1-1-0-regel
Veeam vat een goede backupopzet samen in de 3-2-1-1-0-regel:
- 3 kopieën van je data
- 2 verschillende soorten opslag
- 1 kopie offsite, buiten je eigen locatie
- 1 kopie offline, air-gapped of immutable
- 0 fouten, omdat je regelmatig controleert of je restore werkt
De twee enen zijn bij veel MKB-organisaties het zwakke punt. Alle kopieën staan dan binnen hetzelfde netwerk, of ze zijn met dezelfde inlog bereikbaar. Wil je je eigen opzet langs de regel leggen? Gebruik dan onze checklist 3-2-1-1-0 in de praktijk.
Waarom de opslaglocatie ertoe doet
Een offsite kopie moet ergens staan. Daarbij spelen twee vragen: wie kan erbij, en in welk land staat je data? Voor veel organisaties is het belangrijk dat hun data binnen de EU blijft, bijvoorbeeld vanwege de AVG of afspraken met klanten. En valt je organisatie onder de Cyberbeveiligingswet, dan hoort backupbeheer bij je zorgplicht. Lees daarover meer in Cyberbeveiligingswet: wat betekent die voor je backup?
Werkt het ook? Test je restore
De 0 in de regel is misschien wel de belangrijkste. Een backup die je nooit hebt teruggezet, is een belofte, geen zekerheid. Pas als je een restore echt test, weet je of de data compleet is en hoe lang het terugzetten duurt. Ook het NCSC adviseert om restores regelmatig te testen. Lees ook waarom een backup nog geen plan is en wat je doet in de eerste 24 uur na ransomware.
Hoe BCP Vault dit regelt
Met BCP Vault zorgen wij voor de kopie buiten de deur én de onveranderbare kopie uit de 3-2-1-1-0-regel:
- Onveranderbaar: elke backup is vanaf het wegschrijven niet te wijzigen of te verwijderen. Niet door een beheerder en niet met gestolen inloggegevens.
- Buiten je omgeving: volledig los van je eigen netwerk en beheeromgeving.
- Data in Nederland: opgeslagen in Microsoft Azure in Nederland (op verzoek in Ierland). Je data verlaat de EU niet.
- Sluit aan op wat je hebt: werkt rechtstreeks met je bestaande Veeam Backup & Replication-omgeving. Geen nieuwe software, geen migratie.
- Restore inbegrepen en getest: periodieke restoretests vanuit de vault en een maandelijkse rapportage.
Veelgestelde vragen
Wat is een immutable backup?
Een backup die gedurende een vaste bewaartermijn niet kan worden gewijzigd of verwijderd, ook niet door iemand met beheerrechten. Daardoor kan ransomware hem niet versleutelen of wissen.
Is een immutable backup hetzelfde als een offline backup?
Nee. Een offline backup is niet verbonden met je netwerk. Een immutable backup kan wel online staan, maar het opslagsysteem staat geen wijzigingen toe. Beide zorgen dat er een kopie is die een aanvaller niet kan aanraken.
Wat is de 3-2-1-1-0-regel?
Drie kopieën van je data, op twee soorten opslag, waarvan één offsite en één offline, air-gapped of immutable, en nul fouten omdat je je restore regelmatig test.
Heb ik een immutable backup nodig als ik al in de cloud werk?
Werken in de cloud is niet hetzelfde als een backup hebben. Bij Microsoft 365 zorgt Microsoft voor het platform, maar blijf jij verantwoordelijk voor je eigen data. Een onveranderbare backup buiten je eigen omgeving zorgt dat je ook na een fout of aanval kunt terugzetten. Zie Microsoft 365-backup.
Waar staat mijn backup bij BCP Vault?
In Microsoft Azure in Nederland, op verzoek in Ierland. Je data blijft dus binnen de EU.
Staat jouw backup buiten bereik van een aanvaller?
We laten kosteloos zien welke kopie een aanvaller met beheerrechten wel en niet zou kunnen bereiken, en of je restore echt werkt.
E-mail sales@businesscontinuitypartners.nl · Telefoon +31 320 799 360
Bronnen
1. Veeam, Best Practice Guide: 3-2-1 rule: bp.veeam.com/vb365/guide/design/3-2-1
2. UK NCSC, Offline backups in an online world: ncsc.gov.uk/blog-post/offline-backups-in-an-online-world
3. Microsoft Learn, Shared responsibility in the cloud: learn.microsoft.com/azure/security/fundamentals/shared-responsibility
Geraadpleegd: 21 oktober 2026.