Pc's één voor één gekocht: de valkuilen in een kmo

Daniel Platteau

Bijgewerkt op 7 november 2026.

Het scenario dat we het vaakst tegenkomen

Het bedrijf start met één laptop, die van de baas. Een jaar later wordt een assistente aangenomen: er wordt een tweede pc in promotie gekocht. Dan een derde voor de vertegenwoordiger, een vierde tweedehands, een vijfde in allerijl de dag dat er een uitvalt. Elke pc wordt ingesteld door zijn gebruiker, of door de winkel, of door een neef die goed is met computers.

Het resultaat, vijf jaar later:

• drie merken, twee Windows-versies, pc's met Windows Home omdat dat het goedkoopst was;
• elke pc is gekoppeld aan het persoonlijke Microsoft-account van zijn gebruiker, soms een privé Gmail- of Hotmail-adres;
• Office geval per geval gekocht, soms in een editie die voor privégebruik bedoeld is;
• iedereen is beheerder van zijn eigen pc, en documenten staan op het bureaublad, op een usb-stick of in de privé-OneDrive van iedereen;
• niemand weet echt wat er geback-upt wordt.

Niets hiervan belet het dagelijkse werk. Dat is net de valkuil: de problemen duiken pas op de dag dat er iets misloopt.

Valkuil 1: Windows Home in plaats van Windows Pro

De meeste pc's die in de consumentenwinkel verkocht worden, komen met Windows 11 Home. Voor privégebruik volstaat dat. Voor een bedrijf ontbreken net de tools om meerdere pc's degelijk te beheren.

Microsoft zegt het zwart op wit in zijn documentatie: koppeling aan Microsoft Entra ID is mogelijk voor alle pc's met Windows 10 en 11, behalve de Home-edities. En een abonnement op Microsoft 365 Business Premium, dat toegang geeft tot centraal pc-beheer, zet een Home-pc niet gratis om: eerst is een Pro-licentie nodig.

Goed nieuws: u gaat van Home naar Pro zonder herinstallatie of gegevensverlies, via Instellingen > Systeem > Activering, door de upgrade in de Microsoft Store te kopen of een Pro-sleutel in te voeren. Ter vergelijking: een volledige licentie Windows 11 Pro staat in de Microsoft Store aan 259 euro. Wees op uw hoede voor sleutels die voor enkele euro's verkocht worden op weinig bekende sites: hun herkomst is niet altijd duidelijk, en een ingetrokken licentie laat u achter met een niet-geactiveerde pc.

Valkuil 2: pc's gekoppeld aan privéaccounts van werknemers

Bij de installatie eist Windows Home een Microsoft-account. De werknemer geeft het zijne in, het persoonlijke. Vanaf dan worden veel zaken eraan gekoppeld zonder dat iemand het merkt:

• de Office-licentie die met dat account gekocht werd;
• de OneDrive waarnaar Windows, vaak al tijdens de installatie, voorstelt de mappen Documenten, Bureaublad en Afbeeldingen te back-uppen;
• de herstelsleutel van de versleuteling: wanneer een pc met een Microsoft-account wordt ingesteld, schakelt Windows op geschikte machines apparaatversleuteling in en koppelt de herstelsleutel aan dat account.

De dag dat deze werknemer het bedrijf verlaat, of gewoon zijn wachtwoord vergeet, kan het bedrijf de toegang verliezen tot werkdocumenten, tot een licentie die het betaald heeft, of zelfs tot de inhoud van de schijf: zonder herstelsleutel is een versleutelde schijf onleesbaar. We leggen dit mechanisme uit in ons artikel over het Microsoft-account.

De regel: een bedrijfs-pc wordt ingesteld met een bedrijfsaccount, nooit met het privéaccount van een werknemer. En de herstelsleutel van elke versleutelde pc is gekend door het bedrijf en veilig bewaard.

Valkuil 3: iedereen is beheerder

Op een pc die « thuis » is ingesteld, is de gebruiker beheerder. Hij kan elke software installeren, en malware die hij per vergissing opstart ook, met dezelfde rechten. In een klein team komt daar vaak nog een gedeeld account en één wachtwoord voor alles bij (pc, mail, NAS, boekhouding).

De regel: iedereen heeft zijn eigen account, van het type « standaardgebruiker » voor het dagelijkse werk; een apart beheerdersaccount, met een ander wachtwoord, dient alleen om te installeren en te configureren.

Bij ExsIT is dat het eerste wat we op elke geleverde pc doen, en de ervaring bevestigt het: wanneer een programma de pc wil wijzigen, vraagt Windows het beheerderswachtwoord, en die eenvoudige stop heeft al veel problemen voorkomen. De keerzijde zien we ook: drie jaar later belt de klant ons omdat niemand dat wachtwoord terugvindt, hoewel het bij de levering werd overhandigd. Een beheerderswachtwoord is alleen nuttig als het bewaard wordt op een plek waar het bedrijf het terugvindt: in de gedeelde kluis van een wachtwoordbeheerder van het bedrijf, of in een verzegelde envelop in de kluis, met in de inventaris een vermelding waar het ligt (nooit het wachtwoord zelf in het rekenblad). Bewaart uw dienstverlener het ook, dan met uw schriftelijk akkoord. Tweestapsverificatie beschermt de mail en de onlinetoegang, en een wachtwoordbeheerder vermijdt één wachtwoord voor alles.

Valkuil 4: denken dat er een extra antivirus nodig is

Voor veel bedrijfsleiders betekent IT-beveiliging antivirus, en een betalende antivirus lijkt vanzelf beter dan die van Windows. Onze ervaring zegt eerder het omgekeerde: toegevoegde antivirussuites blokkeren regelmatig een bedrijfstoepassing, de toegang tot een website of een printer, geven valse alarmen, en worden uiteindelijk uitgeschakeld « om te kunnen werken ».

De antivirus die in Windows zit, Microsoft Defender, is aanwezig op Home én Pro, en doet niet onder. In de praktijktest van het onafhankelijke labo AV-Comparatives (februari tot mei 2026, 20 producten) is hij een van de zeven producten met de hoogste onderscheiding, met 99 % van de aanvallen geblokkeerd en geen enkel vals alarm volgens de cijfers van het rapport.

Een extra antivirus brengt dus meestal weinig bij, en twee antivirussen die tegelijk actief zijn, zitten elkaar in de weg. Wat echt beschermt, zijn de regels uit dit artikel: een standaardaccount voor het dagelijkse werk, geïnstalleerde updates, tweestapsverificatie en een geteste back-up. Laat Defender gewoon ingeschakeld (realtimebeveiliging en cloudbeveiliging), en controleer af en toe in Windows-beveiliging dat dat nog zo is.

Valkuil 5: licenties lukraak gekocht

Office is het typevoorbeeld. Office Home 2024 is voorbehouden aan niet-commercieel gebruik; het is Office Home & Business 2024 dat Outlook bevat en het recht geeft Office beroepsmatig te gebruiken. Een kmo die de eerste kocht om snel te gaan, is niet in orde.

Dezelfde logica geldt voor andere software die gratis is voor particulieren maar betalend voor bedrijven (overname op afstand, antivirus, pdf-tools…): de « gratis » versie die een werknemer ooit installeerde, is niet noodzakelijk toegestaan in een bedrijf.

Tot slot blijft de Windows die met een pc geleverd wordt (een zogenaamde OEM-licentie) aan die pc gekoppeld: u kunt ze niet overzetten naar een ander toestel de dag dat de pc vervangen wordt.

De regel: een lijst van de licenties van het bedrijf, met de factuur, de editie en de betrokken pc of persoon. Met vijf mensen is een Microsoft 365-abonnement voor bedrijven vaak eenvoudiger op te volgen dan vijf afzonderlijke aankopen, omdat de licenties aan bedrijfsaccounts gekoppeld zijn.

Valkuil 6: overal gegevens, nergens back-ups

Het bureaublad van Windows, een usb-stick, de schijf van een pc, de privé-OneDrive van een werknemer, bijlagen in de mailbox: in een klein park liggen de documenten van het bedrijf verspreid. En iedereen denkt « het staat in de cloud, dus het is geback-upt ».

Synchronisatie is geen back-up: een bestand dat gewist of door ransomware versleuteld wordt, is overal gewist of versleuteld. De regel is 3-2-1: drie kopieën, op twee verschillende dragers, waarvan één buiten de muren, en af en toe een hersteltest. Onze back-upgids legt uit hoe u dat opzet.

Valkuil 7: pc's die geen patches meer krijgen

Windows 10 wordt sinds oktober 2025 niet meer ondersteund. Microsoft verkoopt uitgebreide beveiligingsupdates (ESU) aan bedrijven, en heeft een programma voor particulieren verlengd tot 12 oktober 2027, gratis in de Europese Economische Ruimte op voorwaarde dat u zich aanmeldt met een Microsoft-account, op een pc die noch aan een domein gekoppeld is, noch door een bedrijfsbeheeroplossing beheerd wordt. Met andere woorden: de gratis weg steunt net op het persoonlijke account en het gebrek aan beheer dat een kmo moet vermijden.

Daar komen nog bij: pc's die nooit herstart worden (de updates wachten), software die nooit bijgewerkt wordt (pdf-lezer, browser, Java) en tweedehands pc's waarvan niemand weet of ze naar Windows 11 kunnen.

De regel: per pc weten welke Windows-versie hij draait en of hij nog patches krijgt; de pc's die er geen meer krijgen vervangen of upgraden. Moet u hardware vervangen, dan helpt onze vergelijking nieuw of refurbished (in het Frans) u kiezen.

Valkuil 8: geen inventaris

Hoeveel pc's, welk merk, wanneer gekocht, nog onder garantie of niet, met welke Windows, door wie gebruikt? In de meeste kleine bedrijven kan niemand dat beantwoorden zonder de kantoren rond te gaan. Zonder inventaris weet u nochtans niet wat beschermd, bijgewerkt of vervangen moet worden.

De regel: een rekenblad volstaat om te beginnen. Eén lijn per toestel (pc, laptop, NAS, printer, router, zakelijke telefoon), met de gebruiker, aankoopdatum, einde garantie, Windows-editie, status van de versleuteling en de plaats van de herstelsleutel.

Valkuil 9: het netwerk uit de winkel en geïmproviseerde toegang

De router van de operator met zijn oorspronkelijke wachtwoord, één wifi voor personeel, klanten en camera, een NAS die vanaf internet bereikbaar is « om in het weekend een bestand op te halen », software voor overname op afstand die ooit voor een herstelling werd geïnstalleerd: elke snelkoppeling opent een deur. We beschreven die deuren en hoe u ze controleert in ons artikel over de audit van externe toegang.

De regel: een aparte gastenwifi, het beheerwachtwoord van de router gewijzigd, niets open op internet zonder reden, en toegang op afstand via een vpn met tweestapsverificatie.

Valkuil 10: de domeinnaam en sleutelaccounts op naam van iemand anders

Dit is de valkuil waarover het minst gesproken wordt en die het meest kost. Op de hulpfora van Microsoft volgen de noodkreten elkaar op en lijken ze allemaal op elkaar: « de enige beheerder van onze Microsoft 365 heeft het bedrijf verlaten », « de vroegere dienstverlener heeft het account aangemaakt en antwoordt niet meer ». Zonder beheerder kan niemand nog een account aanmaken, een wachtwoord resetten of een abonnement opzeggen, en het herstel verloopt via een verificatieprocedure bij Microsoft die dagen kan duren.

Hetzelfde geldt voor de domeinnaam (uwbedrijf.be), die de website en alle e-mailadressen draagt. Voor een .be stuurt DNS Belgium de code om van dienstverlener te wisselen naar het e-mailadres van de geregistreerde houder, en een contactadres dat niet meer geldig is, kan zelfs tot verlies van de registratie leiden. Werd het domein door de webdesigner geregistreerd, op zijn naam of met zijn adres, dan heeft hij de sleutel in handen.

De regel: de domeinnaam, het Microsoft 365-abonnement (of Google Workspace), de hosting van de website, de router en het online bankieren staan op naam van het bedrijf, met een contactadres van het bedrijf dat niet van één persoon afhangt. Microsoft raadt minstens twee globale beheerders aan (en niet meer dan vier): als de ene geblokkeerd raakt of vertrekt, kan de andere handelen. Een dienstverlener mag beheerderstoegang hebben, maar nooit als enige.

Het plan om de controle terug te nemen

De laatste stap levert het meest op. De volgende pc wordt meteen met Windows Pro gekocht (het prijsverschil bij aankoop is meestal kleiner dan een upgrade achteraf), en wordt met een bedrijfsaccount ingesteld voor hij aan de gebruiker wordt gegeven.

Voor wie « de informatica doet »

In veel kleine bedrijven beheert één persoon die nieuwsgieriger is dan de anderen uiteindelijk de wifi, de nieuwe pc's en de vergeten wachtwoorden. Die persoon heeft een ander beroep en dit werk staat in geen enkele functiebeschrijving. Het risico is niet dat hij of zij het slecht doet: het is dat alles op zijn of haar geheugen steunt, en dat de dag dat die persoon vertrekt of ziek wordt, niemand nog iets weet.

Uw eerste taak: een map met de toegangen

Eén document, op papier of digitaal, veilig bewaard en gekend door de bedrijfsleider: de lijst van toestellen (de inventaris uit valkuil 8), de dienstverleners om te bellen (informaticus, operator, leverancier van de boekhoudsoftware, alarminstallateur), en de plaats waar de wachtwoorden en herstelsleutels liggen. De wachtwoorden zelf horen in een wachtwoordbeheerder, niet in dit document.

Eenvoudige tools, gratis of bijna

Een maandelijkse routine van een uur

• Op elke pc Windows-beveiliging openen: alles moet op groen staan.
• Nagaan dat Windows Update niet al dagen op een herstart wacht.
• winget upgrade --all uitvoeren met het beheerdersaccount.
• Een bestand terugzetten uit de back-up, om zeker te zijn dat die echt werkt.
• De accounts overlopen: een vertrek, een stagiair, een vroegere dienstverlener die nog actief is?
• De inventaris bijwerken.

Wanneer u zonder aarzelen een specialist belt

• Vermoeden van inbraak of ransomware (hernoemde bestanden, losgeldbericht, vreemd gedrag van de mailbox): koppel de pc los van het netwerk (kabel en wifi), zo mogelijk zonder hem uit te schakelen, wis niets, betaal niets, en bel. De eerste uren tellen.
• Lek van persoonsgegevens: de AVG vereist in principe een melding aan de Gegevensbeschermingsautoriteit binnen 72 uur; laat u best meteen adviseren.
• Alles wat de domeinnaam, de e-mail en Microsoft 365 raakt: een slecht uitgevoerde DNS-instelling of accountmigratie legt de mail van het hele bedrijf stil.
• De firewall, de router, de vpn en elke toegang van buitenaf: een per vergissing geopende deur is precies wat de robots zoeken (zie ons artikel over de audit van externe toegang).
• Het opzetten van de back-up en het herstel na een ramp.
• De schijfversleuteling en de migratie van de herstelsleutels.
• De aankoop van een server, een NAS of netwerkapparatuur.

Deze rolverdeling is vaak de voordeligste formule: de persoon van goede wil zorgt voor het dagelijkse werk en is het aanspreekpunt, de specialist komt tussen voor wat riskant of zeldzaam is.

Concreet: drie opties

Steun in België. In Wallonië neemt de bedrijfscheque « cybersécurité » 75 % van de kosten exclusief btw ten laste van een diagnose of begeleiding door een gelabelde dienstverlener, tot 50.000 euro per bedrijf over drie jaar; hij dekt advies, niet de aankoop van hardware of licenties. Brussel en Vlaanderen hebben hun eigen steunmaatregelen voor advies in cyberbeveiliging.

Voorbeeld (illustratief geval): een landmeterskantoor met vijf mensen. Inventaris: vijf pc's van drie merken, waarvan drie met Windows Home, allemaal gekoppeld aan de privé-Microsoft-accounts van de werknemers; een Office Home dat voor de facturatie gebruikt wordt; plannen op de pc van de baas en in de privé-OneDrive van een medewerkster; geen geteste back-up. Acties: zakelijke Microsoft 365-accounts voor iedereen, Pro-upgrade van de twee recente pc's, vervanging van de oudste, BitLocker-versleuteling met sleutels in de bedrijfsruimte, documenten samengebracht in een gedeelde ruimte met externe back-up, beheerdersrechten weggehaald. Toen een medewerkster zes maanden later vertrok, duurde dat tien minuten: account uitschakelen, pc opnieuw toewijzen.

Voor uw informaticus

• Editie en versie: winver, Instellingen > Systeem > Info, of Get-ComputerInfo | Select-Object WindowsProductName, OsVersion.
• Versleuteling: manage-bde -status of Get-BitLockerVolume; Instellingen > Privacy en beveiliging > Apparaatversleuteling op Home. Sleutels gekoppeld aan een Microsoft-account: account.microsoft.com/devices/recoverykey; aan een Entra ID-account: aka.ms/aadrecoverykey. Exporteer de sleutels vóór elke accountmigratie.
• Entra ID en Intune: koppeling aan Entra ID onmogelijk op Home; Windows Autopilot vermeldt de Home-editie niet. Microsoft 365 Business Premium activeert Windows Pro via abonnement naar de zakelijke editie, maar alleen vanaf een geldige Pro-licentie.
• Naar Pro: Instellingen > Systeem > Activering > Uw Windows-editie upgraden; aankoop in de Microsoft Store of Pro-sleutel. Geen terugkeer ter plaatse van Pro naar Home: alleen een herinstallatie maakt dat mogelijk.
• Lokale beheerders: net localgroup Administrators (of Administrateurs naargelang de taal) om de betrokken accounts op te lijsten; een apart beheeraccount, met een uniek wachtwoord per pc (Windows LAPS als de pc's beheerd worden).
• Bekende mappen naar OneDrive: als documenten naar een privé-OneDrive omgeleid worden, breng ze dan terug naar de bedrijfsruimte voor u van account wisselt.
• Microsoft 365: twee tot vier globale beheerders, waaronder een onpersoonlijk noodaccount met een lang wachtwoord, offline bewaard; controleer in het beheercentrum dat geen enkele vroegere werknemer of dienstverlener die rol nog heeft.
• .be-domeinnaam: controleer de houder en het contactadres bij DNS Belgium (WHOIS-tool); de transfercode wordt naar dat adres gestuurd.
• Windows 10: ESU-programma voor particulieren verlengd tot 12 oktober 2027 (gratis in de EER met een Microsoft-account, pc niet aan een domein gekoppeld en niet door MDM beheerd); ESU voor bedrijven is betalend, per toestel.

Test uzelf

Bronnen

AV-Comparatives. (2026, 15 juni). Consumer Real-World Protection Test February-May 2026. https://av-comparatives.org/consumer-real-world-protection-test-february-may-2026/

Axis Intelligence. (2026). Antivirus statistics 2026. https://axis-intelligence.com/antivirus-statistics/

Bitwarden. (z.d.). Password Manager plans. Bitwarden Help Center. https://bitwarden.com/help/password-manager-plans/

BleepingComputer. (2026, 25 juni). Microsoft quietly extends free Windows 10 ESU support to October 2027. https://www.bleepingcomputer.com/news/microsoft/microsoft-quietly-extends-free-windows-10-esu-support-to-october-2027/

Centrum voor Cybersecurity België, & Cyber Security Coalition. (z.d.). Cybersécurité : guide pour les PME [Gids cyberbeveiliging voor kmo's]. https://cybersecuritycoalition.be/wp-content/uploads/cybersecurity-guide-sme_FR.pdf

DNS Belgium. (z.d.). Transfer code. https://www.dnsbelgium.be/en/transfer-code

European Cybersecurity Competence Centre. (2023, 28 november). Safeonweb@work initiative. https://cybersecurity-centre.europa.eu/news/safeonwebwork-initiative-2023-11-28_de

Have I Been Pwned. (z.d.). How can I minimise the subscription cost of domain searches? https://support.haveibeenpwned.com/hc/en-au/articles/7707041970703

Microsoft. (z.d.-a). Device Encryption in Windows. Microsoft Support. https://support.microsoft.com/en-us/help/4502379

Microsoft. (z.d.-b). Microsoft Entra joined devices. Microsoft Learn. https://learn.microsoft.com/entra/identity/devices/concept-directory-join

Microsoft. (z.d.-c). Microsoft Entra join a new Windows device during the out of box experience. Microsoft Learn. https://learn.microsoft.com/en-us/entra/identity/devices/device-join-out-of-box

Microsoft. (z.d.-d). Windows 11 Professionnel. Microsoft Store. https://www.microsoft.com/fr-fr/d/windows-11-professionnel/dg7gmgf0d8h4

Microsoft. (z.d.-e). Explore administrator roles in Microsoft 365. Microsoft Learn. https://learn.microsoft.com/en-us/training/modules/manage-roles-groups-microsoft-365/4-explore-admin-roles-microsoft-365

Microsoft. (z.d.-f). upgrade command (winget). Microsoft Learn. https://learn.microsoft.com/windows/package-manager/winget/upgrade

Microsoft Q&A. (2026a). No admin access. Microsoft Learn. https://learn.microsoft.com/en-us/answers/questions/5820347/no-admin-access

Microsoft Q&A. (2026b). OS upgrade from Home to Pro version. Microsoft Learn. https://learn.microsoft.com/en-us/answers/questions/5805160/os-upgrade-from-home-to-pro-version

O365HQ. (2026). Windows 11 Home to Pro upgrade for Microsoft 365 Business tenants. https://o365hq.com/blog/windows-11-home-to-pro-upgrade-for-microsoft-365-business-the-49-dollar-offer

Waalse Overheidsdienst. (z.d.). Être accompagné par un expert pour sécuriser les données de mon entreprise : chèque « cybersécurité ». Wallonie.be. https://www.wallonie.be/fr/demarches/etre-accompagne-par-un-expert-pour-securiser-les-donnees-de-mon-entreprise-cheque-cybersecurite

Windows Central. (2024). Microsoft Office 2024 gets you new versions of Word, Excel, PowerPoint, and more, no subscription required. https://www.windowscentral.com/software-apps/microsoft-office-2024-gets-you-new-versions-of-word-excel-powerpoint-and-more-no-subscription-required

Windows Central. (z.d.). Windows 11 Home vs. Pro: What's the difference? https://www.windowscentral.com/software-apps/windows-11/windows-11-home-vs-pro-whats-the-difference

Wolters Kluwer. (2025, 26 mei). Subventions publiques pour la cybersécurité : saisissez l'opportunité de mieux sécuriser votre PME. https://www.wolterskluwer.com/fr-be/expert-insights/government-grants-for-cybersecurity