Legal Hold in Microsoft Purview onder de knie krijgen: wat elke IT-beheerder moet weten

By Mirko Peters · 2026-08-13

Welkom terug bij de blogbegeleiding van onze doorlopende podcastserie over enterprise governance, compliance en beheer. Wanneer een toezichthouder bedrijfsgegevens opvraagt…

Automatically translated with AI from the original post. Read the English original

Welkom terug bij de blogbegeleiding van onze lopende podcastserie over enterprise governance, compliance en beheer. Wanneer een toezichthouder bedrijfsgegevens opvraagt, HR een onderzoek start of juridische teams cruciaal bewijsmateriaal moeten bewaren, komt de druk meteen op de schouders van de IT-beheerders te liggen. Handmatig zoeken in Outlook-postvakken, Teams-chats, SharePoint-sites en OneDrive-mappen is traag, foutgevoelig en op enterprise-schaal vaak simpelweg onmogelijk. In onze recente aflevering, Microsoft Purview eDiscovery — Simply Explained, hebben we besproken hoe organisaties Microsoft 365-gegevens veilig kunnen opsporen, bewaren, beoordelen en exporteren via een gestructureerd, op zaken gebaseerd proces. Vandaag duiken we veel dieper in een van de belangrijkste en tegelijk meest misverstane onderdelen van dat proces: de Legal Hold.

Voor IT-beheerders is het begrijpen hoe je een Legal Hold in Microsoft Purview correct configureert, beheert en weer opheft, geen technisch extraatje; het is een kernvereiste voor de dagelijkse operatie. Als cruciaal bewijsmateriaal per ongeluk wordt verwijderd door standaard bewaarbeleid of door gebruikersacties tijdens een lopend onderzoek, kunnen de juridische en financiële gevolgen voor het bedrijf desastreus zijn. Laten we de mechanismen, strategieën en best practices verkennen die elke IT-beheerder moet beheersen.

Inleiding tot Legal Hold in Microsoft Purview

In essentie is een Legal Hold een gespecialiseerd bewaarmechanisme binnen Microsoft Purview dat voorkomt dat gebruikers inhoud permanent verwijderen of wijzigen die relevant kan zijn voor een lopende of verwachte juridische procedure, audit of interne onderzoek. Wanneer je een gebruiker, postvak, site of specifieke gegevensbron onder Legal Hold plaatst, onderschept Microsoft 365 de normale verwijderacties. Ook als een eindgebruiker een e-mail uit de map Verwijderde items verwijdert, die map leegmaakt of een document in SharePoint bewerkt, blijven de oorspronkelijke versie en alle gewijzigde versies op de achtergrond bewaard in veilige, verborgen opslaggebieden.

Voor IT-beheerders betekent het toepassen van een Legal Hold een overgang van passief governancebeheer naar actief, gericht bewaren. Het vraagt om een zorgvuldige balans tussen technische uitvoering en strikte naleving van juridisch advies. Jij bent de beheerder van de technische infrastructuur, maar de juridische en compliance-teams bepalen welke scope bewaard moet worden. Dit onderscheid begrijpen is de eerste stap naar het beheersen van compliance-beheer in Microsoft 365.

Waarom moderne werkplekken geavanceerde bewaartools nodig hebben

De moderne werkplek ziet er heel anders uit dan tien jaar geleden. Zakelijke gesprekken vinden niet langer uitsluitend plaats in traditionele e-mailthreads. Belangrijke beslissingen worden tegenwoordig genomen in een uitgebreid ecosysteem van samenwerkingstools. Belangrijke context kan verspreid zijn over Exchange Online-e-mails, snelle Microsoft Teams-chatthreads, gezamenlijke SharePoint Online-documentbibliotheken, persoonlijke OneDrive for Business-accounts, Microsoft 365-groepen en Viva Engage-gesprekken.

Deze gedecentraliseerde manier van werken maakt onderzoeken enorm uitdagend. Als een medewerker onder de loep staat, kan die een gevoelig Teams-bericht verwijderen, een e-mailthread wissen of een spreadsheet in SharePoint overschrijven. Zonder geavanceerde bewaartools die rechtstreeks in de cloudinfrastructuur zijn ingebouwd, is het bijna onmogelijk om een volledige tijdlijn van gebeurtenissen samen te stellen. Microsoft Purview biedt het architecturale raamwerk om deze digitale voetafdruk over meerdere kanalen direct vast te leggen en veilig te stellen, zodat cruciaal bewijsmateriaal intact blijft, ongeacht waar het zich binnen de Microsoft 365-tenant bevindt.

Legal Hold versus standaard bewaarbeleid: wat is het verschil?

Een van de meest voorkomende verwarringspunten voor junior beheerders, en zelfs voor ervaren IT-professionals, is het verschil tussen standaard Microsoft 365-bewaarbeleid en Legal Holds. Hoewel beide functies zijn ontworpen om gegevens te bewaren, verschillen hun doel, scope en levenscyclusbeheer fundamenteel.

Standaard bewaarbeleidsregels zijn proactieve governancemaatregelen. Ze worden breed toegepast binnen een organisatie, of binnen specifieke afdelingen, om te zorgen voor naleving van interne schema's voor recordbeheer of externe regelgeving. Een bewaarbeleid kan bijvoorbeeld bepalen dat alle financiële gegevens zeven jaar moeten worden bewaard en daarna automatisch worden verwijderd. Dit beleid geldt voor alle gebruikers binnen het beoogde bereik.

Een Legal Hold is daarentegen reactief, gericht en zaakspecifiek. Hij wordt geactiveerd door een specifieke gebeurtenis, zoals een rechtszaak, een onderzoek door een toezichthouder of een HR-onderzoek. Cruciaal is dat een Legal Hold standaard bewaarbeleid overrult. Als een bewaarbeleid zegt dat een item na drie jaar moet worden verwijderd, maar dat item valt onder een actieve Legal Hold, dan blijft het item onbeperkt behouden totdat de hold officieel is opgeheven door bevoegd personeel. IT-beheerders moeten beseffen dat Legal Holds absolute voorrang hebben op standaard opschoonroutines voor gegevens.

De werking van bewijsbehoud in Microsoft 365

Om Legal Holds effectief te kunnen troubleshooten en beheren, moeten IT-beheerders begrijpen wat er onder de motorkap van Microsoft 365 gebeurt. Wanneer een mailbox of SharePoint-site op hold wordt gezet, past het systeem aan hoe gewijzigde en verwijderde items worden behandeld.

In Exchange Online berust het bewaren van gegevens sterk op de map Recoverable Items en verborgen submappen zoals Purges en Deletions. Wanneer een gebruiker een item wijzigt of verwijdert, wordt het oorspronkelijke item naar de map Recoverable Items verplaatst in plaats van permanent gewist. Wanneer een Legal Hold actief is, zorgen achterliggende processen ervoor dat items in de map Recoverable Items niet kunnen worden gepurged door actie van de gebruiker of door de managed folder assistant, ook niet als de gebruiker probeert de bewaarlimieten te omzeilen. Vergelijkbaar hiermee wordt in SharePoint Online en OneDrive voor Bedrijven een speciale Preservation Hold Library gebruikt. Elk bestand dat wordt gewijzigd of verwijderd, wordt in de oorspronkelijke versie veilig gekopieerd naar deze verborgen bibliotheek, waar het voor de eindgebruiker onzichtbaar blijft maar volledig toegankelijk is voor eDiscovery-zoekopdrachten.

Een Legal Hold instellen in Microsoft Purview

Het instellen van een Legal Hold in het Microsoft Purview-compliance portaal vereist de juiste machtigingen. Meestal moet je lid zijn van de roltoewijzingsgroep eDiscovery Manager of de rol eDiscovery Administrator toegewezen krijgen. Het proces begint in de eDiscovery-werkruimte, waar beheerders een aparte zaak aanmaken voor het onderzoek.

Zodra de zaak is aangemaakt, ga je naar het tabblad Holds om een nieuw holdbeleid te maken. De wizard vraagt je de hold een naam te geven, een beschrijving toe te voegen en de specifieke gegevenslocaties of custodians te selecteren die je wilt bewaren. Je kunt query-based holds configureren om het behoud te beperken tot specifieke zoektermen, datumbereiken of afzenders, of je kunt een onvoorwaardelijke hold toepassen die alle content van de geselecteerde custodians bewaart. Zodra de hold is ingeschakeld, start Microsoft 365 direct de achtergrondsynchronisatieprocessen die nodig zijn om de aangewezen gegevensbronnen veilig te stellen.

De juiste gegevensbronnen kiezen in Exchange, Teams en SharePoint

Precisie is essentieel bij het configureren van een Legal Hold. Te ruim bewaren, door een volledige organisatie op hold te zetten, verspilt waardevolle opslagcapaciteit en kan onnodige privacyproblemen veroorzaken. Omgekeerd kan te beperkt bewaren, waarbij een cruciale gegevensbron wordt gemist, leiden tot beschuldigingen van verduistering van bewijsmateriaal.

Bij het bepalen van je gegevensbronnen moet je het volledige beeld van de digitale werkwijze van de custodian bekijken. Voor Exchange Online zorg je ervoor dat je zowel de primaire mailbox als de bijbehorende archiefmailbox opneemt, als die is ingeschakeld. Voor Microsoft Teams geldt dat één-op-één-chats, groepschats en kanaalberichten in de respectievelijke mailboxen van de deelnemers of de groepsmailbox worden opgeslagen. Het vasthouden van de mailbox van een gebruiker bewaart dus automatisch ook zijn chatgeschiedenis. Voor documentsamenwerking moet je expliciet ook hun OneDrive-account opnemen, evenals alle SharePoint-sites of Microsoft 365-groepen waar ze actief aan bestanden samenwerken.

Best practices voor IT-beheerders bij actieve onderzoeken

Het beheren van actieve onderzoeken vraagt om een gedisciplineerde aanpak op het gebied van beheer, beveiliging en communicatie. IT-beheerders moeten zich houden aan een aantal best practices uit de branche om een soepel onderzoeksproces te waarborgen:

• Wees strikt vertrouwelijk: Bespreek nooit actieve legal holds of onderzoeken buiten geautoriseerde kanalen. Informatie over een hold lekken kan een interne onderzoek in gevaar brengen of in strijd zijn met het bedrijfsbeleid.
• Werk nauw samen met juridische adviseurs: Controleer altijd de reikwijdte van custodians en gegevensbronnen met de juridische- of HR-teams voordat je een hold toepast of wijzigt. Ga niet gokken over wat bewaard moet blijven.
• Documenteer alles: Houd een gedetailleerd logboek bij van wanneer holds zijn toegepast, welke gegevensbronnen zijn geselecteerd en wie de actie heeft goedgekeurd. Deze documentatie maakt deel uit van het verdedigbare auditspoor.
• Vermijd te brede scope: Gebruik waar passend query-gebaseerde holds om specifieke periodes of onderwerpen te selecteren. Dat verlicht de werklast van reviewers en beperkt het onnodig verzamelen van persoonlijke gegevens van medewerkers.

Auditing, compliance en het vrijgeven van een Legal Hold

Een onderzoek duurt niet eeuwig. Zodra een juridische zaak is afgerond, een toezichtonderzoek is afgesloten of een interne audit is voltooid, moet de Legal Hold systematisch worden vrijgegeven. Het vrijgeven van een hold zorgt ervoor dat het standaard bewaarbeleid en de verwijdermechanismen weer normaal werken voor de betrokken gebruikers en gegevensbronnen.

Om een verdedigbare positie te behouden, mogen IT-beheerders nooit een eDiscovery-zaak verwijderen of een hold vrijgeven zonder expliciete, gedocumenteerde goedkeuring van juridische adviseurs of compliance-officers. Zodra het vrijgaveverzoek is gegeven, schakel je de hold uit of verwijder je deze in het Microsoft Purview-compliance portaal. Nadat de hold is opgeheven, geeft Microsoft 365 de vergrendelingen op de verborgen bewaarbibliotheken en de Recoverable Items-mappen weer vrij, zodat normaal levenscyclusbeheer en het terugwinnen van opslagruimte kunnen plaatsvinden. Daarnaast worden alle beheeracties voor het aanmaken, wijzigen en vrijgeven van holds volledig vastgelegd in het auditlogboek van Microsoft Purview, wat zorgt voor volledige verantwoordelijkheid.

Conclusie en Belangrijkste punten voor IT-beheerders

Legal Hold in Microsoft Purview beheersen is een essentiële vaardigheid voor elke moderne IT-beheerder of compliance-professional. Door verder te kijken dan basaal opslagbeheer en de ingewikkelde werking van bewijsbehoud te begrijpen, bescherm je je organisatie tegen de ernstige risico's van dataverlies tijdens lopende onderzoeken. Onthoud dat een succesvolle legal hold-strategie steunt op precieze selectie binnen Exchange, Teams en SharePoint, nauwe samenwerking met juridische stakeholders en een zorgvuldige naleving van de gestructureerde eDiscovery-workflow.

Wil je meer weten over hoe organisaties Microsoft 365-gegevens veilig kunnen ontdekken, bewaren, beoordelen en exporteren? Luister dan zeker naar onze bijbehorende podcastaflevering, Microsoft Purview eDiscovery — Simply Explained. In die aflevering behandelen we de volledige end-to-end eDiscovery-workflow in begrijpelijke taal, zodat je je kunt voorbereiden op complexe onderzoeken en Microsoft-certificeringen. Blijf veilig, houd je governance strak, en tot in de volgende aflevering!