Microsoft 365-auditlogboek: activiteiten onderzoeken en verantwoord exporteren

Wanneer een bestand plotseling verdwenen is, een mailboxregel is gewijzigd of een gastaccount onverwacht toegang kreeg, wil je niet afgaan op herinneringen. Je wilt kunnen reconstrueren wie welke handeling uitvoerde, wanneer dat gebeurde en vanuit welke Microsoft 365-dienst de gebeurtenis kwam. Daarvoor is het Microsoft 365-auditlogboek bedoeld.

Het auditlogboek is geen camera die iedere klik opneemt. Het is een verzameling technische gebeurtenissen uit onder meer Microsoft Entra ID, Exchange, SharePoint, OneDrive en Teams. Een gebeurtenis kan bijvoorbeeld laten zien dat iemand een bestand verwijderde, een groep wijzigde, een gebruiker aanmaakte of een beheerinstelling aanpaste. De waarde ontstaat pas wanneer je vooraf weet welke vraag je wilt beantwoorden en de uitkomst zorgvuldig beoordeelt.

Deze gids helpt MKB-directeuren, office managers en interne IT-verantwoordelijken om auditonderzoek goed te organiseren. Wil je weten of logging, beheerdersrechten en opvolging in jouw omgeving voldoende zijn ingericht? Laat de gratis IT-scan uitvoeren.

Wat levert het auditlogboek op?

Microsoft Purview Audit verzamelt gebeurtenissen uit verschillende Microsoft 365-werkbelastingen in één doorzoekbare omgeving. Zo hoef je bij een onderzoek niet ieder product afzonderlijk te openen. Je kunt zoeken op een periode, gebruiker, activiteit, recordtype, bestand, map, site of workload.

Praktische vragen waarop het logboek kan helpen antwoorden zijn:

• Wie heeft een gevoelig SharePoint-bestand verwijderd of gedeeld?
• Wanneer is een gastgebruiker toegevoegd of aangepast?
• Welk account wijzigde een mailboxregel of machtiging?
• Welke beheerder heeft een rol, groep of beveiligingsinstelling veranderd?
• Welke activiteiten vonden plaats rond het tijdstip van een vermoedelijk incident?

Een auditrecord bewijst dat een geregistreerde activiteit aan een identiteit is gekoppeld. Het verklaart niet automatisch waarom iemand die handeling uitvoerde en het bewijst ook niet dat het account door de rechtmatige eigenaar werd gebruikt. Combineer auditgegevens daarom met informatie uit het ticket, het wijzigingsverzoek, de medewerker, apparaatstatus en aanmeldgegevens.

Zorg eerst voor doel en bevoegdheid

Begin niet met een brede zoektocht door alle activiteiten van alle medewerkers. Formuleer eerst een concrete onderzoeksvraag, bijvoorbeeld: "Wie heeft tussen dinsdag 14:00 en 16:00 de map Offertes gedeeld met een extern adres?" Dat beperkt de hoeveelheid gegevens, versnelt de analyse en voorkomt onnodige inzage in medewerkersactiviteiten.

Leg minimaal vast:

Onderdeel	Wat je noteert
Aanleiding	Incident, toegangsreview, auditvraag of wijzigingscontrole
Onderzoeksvraag	De handeling, gebruiker, locatie en relevante periode
Opdrachtgever	Wie het onderzoek heeft aangevraagd en goedgekeurd
Onderzoeker	De persoon die de zoekopdracht uitvoert
Bewaartermijn	Hoe lang de export en notities nodig blijven
Uitkomst	Bevinding, onzekerheden, vervolgactie en afsluitdatum

Toegang tot Audit hoort beperkt te zijn. Microsoft noemt de rollen Audit Logs en View-Only Audit Logs als relevante rechten om te zoeken. Geef een onderzoeker niet automatisch meer beheerrechten dan nodig. Voor tijdelijke of risicovolle beheerrechten is Privileged Identity Management voor beheerders een logische aanvulling.

Denk ook aan privacy. Auditgegevens kunnen namen, e-mailadressen, IP-adressen, bestandsnamen en activiteiten bevatten. Spreek af wanneer HR, directie, privacyverantwoordelijke of juridisch advies nodig is. Gebruik logging voor beveiliging en aantoonbaar beheer, niet voor heimelijke prestatiemeting.

Bouw een gerichte zoekopdracht

Open Microsoft Purview, ga naar de Audit-oplossing en maak een zoekopdracht aan. De exacte beschikbare filters hangen af van je licentie en de gegevens die de gebruikte diensten registreren. Gebruik de filters van breed naar smal.

1. Kies eerst een periode rond het bekende moment. Houd rekening met UTC in het zoekscherm en noteer de lokale tijdzone van je incident.
2. Selecteer de relevante gebruiker of gebruikers als je die kent.
3. Beperk de workload, bijvoorbeeld SharePoint, Exchange of Microsoft Entra ID.
4. Kies een herkenbare activiteitsnaam of gebruik de exacte operation name uit de Microsoft-documentatie.
5. Voeg waar mogelijk een bestand, map, site of andere concrete locatie toe.
6. Geef de zoekopdracht een naam die verwijst naar het incidentnummer en doel, zonder gevoelige details onnodig in de titel te zetten.

Microsoft vermeldt dat een zoektaak blijft doorlopen als je het browservenster sluit. Voltooide zoekopdrachten blijven volgens de actuele documentatie 30 dagen beschikbaar in het zoekdashboard. Dat is handig voor het onderzoek, maar geen vervanging voor je eigen, goedgekeurde dossier wanneer bewijs langer nodig is.

Krijg je geen resultaat, dan betekent dat niet direct dat er niets is gebeurd. Controleer eerst:

• of je lokale tijd correct naar UTC hebt vertaald;
• of de gekozen gebruiker of workload niet te beperkt is;
• of je de exacte operation name correct hebt gespeld;
• of de gebeurtenis binnen de beschikbare bewaartermijn valt;
• of de betreffende workload die activiteit in het uniforme auditlogboek vastlegt;
• of het record al verwerkt is.

Microsoft geeft aan dat gebeurtenissen uit kerndiensten zoals Exchange, SharePoint, OneDrive en Teams doorgaans na 60 tot 90 minuten beschikbaar zijn, maar garandeert geen vaste levertijd. Bij andere diensten of verstoringen kan het langer duren. Noteer daarom wanneer je opnieuw hebt gezocht voordat je concludeert dat er geen record bestaat.

Lees resultaten in hun context

Beoordeel niet alleen de activiteitnaam. Kijk ook naar tijdstip, gebruiker, workload, object, IP-adres en aanvullende details. Eén actie kan onderdeel zijn van een normale reeks. Het verwijderen en opnieuw toevoegen van een groepslid kan bijvoorbeeld bij een goedgekeurde wijziging horen, maar hetzelfde patroon buiten werktijd kan reden zijn voor nader onderzoek.

Maak een eenvoudige tijdlijn:

Tijd	Gebeurtenis	Identiteit	Object	Betekenis
14:07 UTC	Aanmelding of voorafgaande activiteit	gebruiker	account	Context, nog geen conclusie
14:12 UTC	Deelactie	gebruiker	map of bestand	Externe toegang gemaakt
14:18 UTC	Rechten gewijzigd	gebruiker of beheerder	site of groep	Bereik mogelijk vergroot
14:31 UTC	Herstelactie	beheerder	toegang	Toegang ingetrokken

Vermeld ook wat je niet kunt vaststellen. Als een record alleen toont dat een account de actie uitvoerde, schrijf dan niet dat een bepaalde medewerker dit bewust deed. Onderzoek zo nodig de aanmeldingen en risicosignalen. De gids Microsoft Secure Score verbeteren laat zien hoe auditonderzoek past binnen een bredere beveiligingsaanpak.

Exporteer alleen wat je nodig hebt

Een export naar CSV is handig om te filteren, een tijdlijn op te bouwen of bewijs aan een incidentdossier toe te voegen. Maar iedere export is ook een nieuwe kopie van mogelijk gevoelige gegevens. Sla het bestand daarom op in een afgeschermde locatie, beperk toegang en leg vast wie de kopie ontvangt.

Gebruik deze minimale dossierstructuur:

• onderzoeksvraag en goedkeuring;
• gebruikte filters en tijdzone;
• datum en tijd van de zoekopdracht;
• ongewijzigde bronexport;
• werkbestand voor analyse, indien nodig;
• korte conclusie met onzekerheden;
• genomen herstelmaatregelen;
• eigenaar en datum voor verwijdering van de export.

Bescherm de oorspronkelijke export tegen onbedoelde wijzigingen. Werk voor sorteren en annoteren met een kopie en noteer welke filters je toepast. Bij een zwaar incident kan een hash of een formele bewijsketen passend zijn, maar laat de methode dan bepalen door je incident- of juridisch proces. Improviseer geen forensische claim die je niet kunt onderbouwen.

Begrijp de bewaartermijn

De beschikbare zoekperiode hangt af van licenties, activiteit en ingestelde retentie. Microsoft beschrijft voor gebruikers met niet-E5 Microsoft 365- of Office 365-licenties een standaardbewaring van 180 dagen. Voor bepaalde E5-licenties en audit-add-ons worden activiteiten uit Microsoft Entra ID, Exchange en SharePoint standaard één jaar bewaard. Met Audit Premium kunnen retentiebeleidsregels voor bepaalde scenario's langer bewaren, afhankelijk van licentie en configuratie.

Controleer dit voor je eigen tenant en vertrouw niet alleen op een licentienaam in een offerte. Kijk welke licentie aan de relevante gebruiker is toegewezen, welke workload de gebeurtenis levert en of er retentiebeleid actief is. Een bewaartermijn van 180 dagen betekent bovendien niet dat je ieder onderzoeksdossier 180 dagen moet bewaren. Het bronlogboek en je geëxporteerde dossier hebben elk een eigen doel en bewaarbeleid.

Maak retentie onderdeel van risicobeheer. Als contracten, ISO 27001, NIS2, verzekeringsvoorwaarden of jullie incidentprocedure langer bewijs verlangen dan de standaardperiode ondersteunt, bepaal dan vooraf welke technische en organisatorische oplossing nodig is. Wachten tot na een incident is te laat om verdwenen loggegevens terug te halen.

Maak auditonderzoek onderdeel van de operatie

Een auditlogboek dat niemand oefent, helpt te laat. Plan ieder kwartaal een kleine controletest. Kies een goedgekeurde, onschuldige activiteit, voer die uit en controleer of de juiste medewerker het record kan vinden, interpreteren en documenteren.

Gebruik daarbij deze beheercyclus:

1. Controleer ieder kwartaal wie toegang heeft tot Audit.
2. Test of een relevante activiteit vindbaar is binnen de verwachte tijd.
3. Controleer de werkelijke retentie en licenties.
4. Beoordeel waar exports worden opgeslagen en wanneer ze worden verwijderd.
5. Verwerk lessen uit incidenten in filters, procedures en training.
6. Koppel verdachte uitkomsten aan een ticket met eigenaar en deadline.

Zo verandert Audit van een noodzoekmachine in een beheersbaar onderdeel van beveiliging en compliance. De techniek levert gebeurtenissen. Jullie proces zorgt dat de juiste persoon op tijd kijkt, conclusies voorzichtig formuleert en acties aantoonbaar afrondt.

Veelgestelde vragen

Staat Microsoft 365-auditing standaard aan?

Microsoft vermeldt dat auditlogboekzoekopdrachten standaard zijn ingeschakeld voor Microsoft 365- en Office 365-enterpriseorganisaties. Controleer de actuele instelling toch, zeker na migraties of afwijkende configuraties.

Hoe snel verschijnt een gebeurtenis?

Voor kerndiensten noemt Microsoft doorgaans 60 tot 90 minuten. Dit is geen gegarandeerde levertijd. Andere diensten of verstoringen kunnen meer vertraging geven.

Hoe ver kan ik terugzoeken?

Dat hangt af van licentie, workload, gebruiker en retentiebeleid. De standaardbewaring voor veel niet-E5-licenties is volgens Microsoft 180 dagen. Bepaal de werkelijke dekking in je eigen tenant.

Kan een auditrecord bewijzen welke persoon achter het toetsenbord zat?

Niet zelfstandig. Het record koppelt een activiteit aan een identiteit en technische context. Combineer dit met aanmeldgegevens, apparaat- en incidentinformatie voordat je een conclusie over een persoon trekt.

Mag ik auditgegevens gebruiken om medewerkers te controleren?

Auditgegevens bevatten persoonsgegevens. Gebruik ze alleen voor een duidelijk, proportioneel en goedgekeurd doel. Stem structurele personeelscontrole af met privacy, HR en juridisch advies.

Moet ik iedere zoekopdracht exporteren?

Nee. Exporteer alleen wanneer dit voor onderzoek, bewijs of opvolging nodig is. Iedere extra kopie vergroot het privacy- en beveiligingsrisico.

Gebruikte bronnen

De productwerking, rollen, zoektaken, verwerkingstijd en bewaartermijnen zijn op 16 augustus 2026 gecontroleerd tegen Microsoft Learn:

• Search the audit log
• Learn about auditing solutions in Microsoft Purview
• Manage audit log retention policies