In- en uitdiensttreding regelen in Microsoft 365 en Intune

Iemand komt erbij, iemand gaat weg. Op papier zijn dat dezelfde handelingen in omgekeerde volgorde, maar beide kanten vragen elk om een eigen aanpak. Hieronder staat hoe je beide kanten als één proces inricht in Microsoft 365, Microsoft Entra ID en Microsoft Intune, inclusief een checklist om te kopiëren.

Waarom offboarden vaker misgaat dan onboarden

Onboarding heeft een natuurlijke deadline: er zit iemand te wachten op een laptop en een mailadres. Als het niet klopt, hoor je dat binnen een uur. Offboarding heeft die druk niet. Niemand belt als een account van een vertrokken collega nog twee maanden actief blijft.

Dat levert drie soorten schade op. Een actief account dat niemand meer gebruikt is een risico: het wordt niet in de gaten gehouden en de wachtwoordwissel gebeurt niet meer. Een licentie die blijft staan kost elke maand geld. En een laptop die het pand uit is gelopen zonder dat hij uit het beheer is gehaald, komt pas in beeld als iemand gaat tellen.

De oplossing is niet meer discipline, maar minder losse handelingen. Hoe meer er automatisch volgt uit één wijziging, hoe kleiner de kans dat er iets blijft hangen.

Groepen als basis: één wijziging, alles volgt

Begin bij de vraag waar de waarheid staat. Vaak is dat Entra ID, gevoed door wat HR aanlevert. Zorg dat de velden die je gebruikt om te sturen ook echt gevuld zijn: afdeling, functie, locatie, manager.

Hang daarna zoveel mogelijk op aan groepslidmaatschap:

• Licenties via licentietoewijzing op groepsniveau, niet per persoon.
• Apps en beleid in Intune gericht op dezelfde groepen.
• Toegang tot SharePoint, Teams en bestanden via groepen, niet via losse machtigingen per persoon.

Dynamische groepen op basis van een attribuut werken goed voor brede sets (iedereen met een Windows-apparaat, iedereen op de afdeling Verkoop). Voor uitzonderingen zijn vaste groepen overzichtelijker, omdat je kunt zien wie het beheert.

De grootste valkuil is de handmatige uitzondering: een licentie die ooit los is toegekend, een mapmachtiging die direct aan een persoon hangt, een uitzondering in voorwaardelijke toegang “voor even”. Die dingen zijn onzichtbaar op het moment dat iemand vertrekt. Ruim ze op zodra je ze tegenkomt en noteer waarom een uitzondering bestaat.

Dag 1: account, licentie en apparaat

Een nieuwe medewerker heeft drie dingen nodig voordat die kan beginnen: een identiteit, de juiste toegang en een werkend apparaat.

Identiteit en eerste aanmelding

Maak het account aan met alle attributen ingevuld, zet het in de juiste groepen en regel hoe de eerste aanmelding verloopt. Een tijdelijke toegangspas in Entra ID is daarvoor handiger dan een wachtwoord dat je doorbelt: de medewerker registreert er direct een authenticatiemethode mee en jij hoeft geen wachtwoord te delen.

Apparaat uitrollen

Voor Windows zijn er twee routes naast elkaar: het klassieke Windows Autopilot en Windows Autopilot device preparation. De eerste werkt met hardware-hashes en vooraf geregistreerde apparaten, de tweede met een beleid dat tijdens de uitrol wordt toegepast, sinds 27 augustus 2026 eventueel aangevuld met optionele device association, waarmee een Windows 11-apparaat vóór inschrijving aan je organisatie wordt gekoppeld. Microsoft publiceert uitgebreide begeleiding over de overstap en houdt een aparte overzichtspagina met wijzigingen in device preparation bij. Microsoft noemt device preparation inmiddels de aanbevolen oplossing voor in aanmerking komende user-driven Microsoft Entra join-scenario’s en richt de verdere ontwikkeling daarop; beide kunnen in één organisatie naast elkaar bestaan. Controleer de actuele vereisten in die documentatie voordat je honderden apparaten op een bepaalde manier inricht.

Overdracht vastleggen

Leg vast welk apparaat naar wie gaat, met serienummer. Dat klinkt als administratie, maar het is precies de informatie die je bij vertrek nodig hebt. Voor dit soort controles bouwde ik Deskside: je scant het serienummer van een laptop of telefoon en ziet direct de status in Autopilot, Intune en Entra ID, met checklists en pdf-overdrachtsdocumenten.

De basisset beleid die meteen moet landen

Een nieuw apparaat moet niet alleen draaien, het moet ook binnen de regels vallen. Houd de basis klein en consistent:

• Compliance-beleid: schijfversleuteling, minimale OS-versie, antivirus actief, schermvergrendeling.
• Voorwaardelijke toegang: toegang tot bedrijfsgegevens alleen vanaf een compliant of hybride gekoppeld apparaat, met sterke authenticatie.
• App protection policies voor telefoons, zodat bedrijfsgegevens in de apps blijven, ook op privé-toestellen.
• Updatebeleid: ringen voor Windows-updates en een afspraak over hoe lang uitstel mag duren.
• Lokaal beheerderswachtwoord centraal beheerd in plaats van één gedeeld wachtwoord.

Gebruik vaste naamgeving voor beleid en groepen, met een voorvoegsel voor platform en doelgroep. Over een jaar moet je in drie seconden kunnen zien wat iets doet en op wie het is gericht. Wat er aan opties bijkomt, staat in de What’s new van Microsoft Intune; die wordt wekelijks bijgewerkt, dus loop hem met vaste regelmaat door.

Rolwissel: de stap die iedereen overslaat

Interne verhuizingen worden makkelijk over het hoofd gezien. Iemand gaat van de servicedesk naar finance en houdt alle oude toegang, want niemand haalt die weg. Na een paar rolwissels stapelen die rechten zich op.

Behandel een rolwissel daarom als vertrek plus indiensttreding. Haal de oude groepen weg op de datum dat de nieuwe rol ingaat, niet “zodra de overdracht klaar is”. Spreek eventueel een korte overlap af met een einddatum. Plan daarnaast een periodieke controle van de groepen met de meeste rechten: wie zit erin, en waarom.

De laatste werkdag: volgorde bepaalt het resultaat

Werk op de laatste dag van buiten naar binnen. Eerst toegang dicht, dan opruimen.

1. Aanmelden blokkeren in Entra ID.
2. Sessies intrekken. Dat maakt vernieuwingstokens ongeldig, zodat er geen nieuwe toegangstokens meer worden uitgegeven. Houd rekening met een korte periode waarin een al uitgegeven token nog werkt.
3. Wachtwoord opnieuw instellen en geregistreerde authenticatiemethoden verwijderen.
4. Uit de groepen halen. Daarmee vervallen apps, beleid en toegang in één keer; laat de groep die de licentie toekent voorlopig staan, want mail en bestanden moeten nog worden overgedragen.
5. Apparaat afhandelen. Een bedrijfsapparaat dat terugkomt kun je wissen of opnieuw inrichten voor de volgende gebruiker; bij een privé-apparaat gebruik je de actie die alleen bedrijfsgegevens verwijdert. Werk daarna de registratie in Autopilot, Intune en Entra ID bij, zodat de lijst klopt met de werkelijkheid.
6. Externe diensten die niet via Entra ID lopen: pas daar handmatig aan. Houd daarvan een lijst bij, anders vergeet je er elke keer één.

Verwijder het account niet meteen. Zolang het geblokkeerd is en de sessies zijn ingetrokken, kan er niet meer mee worden aangemeld, en houd je de mogelijkheid om nog iets terug te halen of te onderzoeken.

Daarna: mailbox, bestanden en licentie

Dit is het deel dat in rust mag gebeuren, maar wel binnen een afgesproken termijn.

• Mailbox: geef de leidinggevende toegang of zet de postbus om naar een gedeelde postbus. Een gedeelde postbus heeft in de basis geen licentie nodig, maar boven een bepaalde omvang wel; controleer de actuele grens in de documentatie van Microsoft.
• OneDrive: wijs een tweede eigenaar aan of verplaats de bestanden naar een teamlocatie vóórdat het account verdwijnt. Na verwijdering van het account gaat een bewaartermijn lopen, waarna de inhoud echt weg is.
• Teams en SharePoint: controleer waar deze persoon enige eigenaar was. Een groep zonder eigenaar valt niet meteen op en levert later gedoe op.
• Licentie: haal die pas weg als mail en bestanden geregeld zijn, en noteer de datum. Dit is het punt waar maandelijkse kosten blijven doorlopen.

Checklist

Bij indiensttreding

• Account aangemaakt met afdeling, functie, locatie en manager ingevuld
• In de juiste groepen; licentie en beleid volgen daaruit
• Eerste aanmelding geregeld, authenticatiemethode geregistreerd
• Apparaat uitgerold via de gekozen Autopilot-route, serienummer vastgelegd
• Compliance, voorwaardelijke toegang en updatebeleid actief op het apparaat

Bij rolwissel

• Nieuwe groepen toegevoegd, oude verwijderd op de ingangsdatum
• Losse machtigingen en delegaties gecontroleerd

Bij uitdiensttreding

• Aanmelden geblokkeerd, sessies ingetrokken, wachtwoord gewijzigd
• Uit alle groepen gehaald
• Apparaat gewist of bedrijfsgegevens verwijderd, registraties bijgewerkt
• Externe diensten buiten Entra ID aangepast
• Mailbox en OneDrive overgedragen, eigenaarschap van groepen gecontroleerd
• Licentie vrijgegeven en account na de afgesproken termijn verwijderd

Leg deze stappen vast op één pagina en wijs één eigenaar aan. Loop je ertegenaan dat het proces nu uit losse handelingen bestaat, dan kijk ik graag mee tijdens een kennismaking van een half uur; de inrichting van Microsoft 365, Intune en Entra ID hoort bij IT-consultancy.

Veelgestelde vragen

Moet ik het account van een vertrokken medewerker meteen verwijderen?

Nee. Blokkeer eerst het aanmelden en trek de sessies in. Verwijder het account pas als mail, bestanden en eigenaarschap van groepen zijn overgedragen, en spreek daarvoor een vaste termijn af.

Wat doe ik met een privé-telefoon die voor werk is gebruikt?

Gebruik de actie die alleen bedrijfsgegevens verwijdert, in combinatie met app protection policies. Privébestanden en -apps blijven dan staan en de bedrijfsgegevens verdwijnen uit de beheerde apps.

Moet ik overstappen van klassiek Windows Autopilot naar Autopilot device preparation?

Dat hangt af van je situatie en van de actuele mogelijkheden van device preparation. Microsoft publiceert begeleiding over de overstap en een aparte pagina met wijzigingen; controleer die voordat je een uitrol inricht.

Hoe voorkom ik dat licenties onnodig doorlopen?

Wijs licenties toe via groepen in plaats van per persoon, en maak het verwijderen uit groepen een vaste stap op de laatste werkdag. Controleer daarnaast periodiek welke accounts geblokkeerd zijn maar nog een licentie hebben.