Een laptop wissen vraagt meer dan “Deze pc opnieuw instellen”. Het toestel moet ook uit het beheer van het bedrijf verdwijnen, de BitLocker-sleutel moet weg en de bestemming (hergebruik, verkoop, schenking of recyclage) bepaalt hoe grondig je te werk gaat.
Elk jaar verlaat een deel van de laptops het bedrijf, omdat ze afgeschreven zijn of omdat een medewerker vertrekt. Op elk van die toestellen staan mails, documenten en opgeslagen wachtwoorden, en een half gewiste schijf bij een tweedehandshandelaar is een datalek.
Hoe grondig je wist, hangt af van wat er daarna met het toestel gebeurt. Wanneer een laptop aan vervanging toe is, lees je in ons artikel over het laptopvervangingsbeleid.
Laptop wissen met BitLocker
Op een zakelijke laptop staat BitLocker vrijwel altijd aan. De schijf is dan volledig versleuteld en alleen leesbaar met de sleutel die in de TPM-chip zit en als herstelsleutel in Microsoft Entra ID of Active Directory bewaard wordt. Microsoft noemt in zijn documentatie het ontoegankelijk maken van gegevens bij het afdanken of recycleren van toestellen expliciet als een doel van BitLocker.
Daardoor volstaat het om de sleutels te vernietigen en de schijf opnieuw in te richten; wat overblijft, is versleutelde ruis. Het Amerikaanse normeninstituut NIST aanvaardt die aanpak, cryptographic erase, in de herziene norm SP 800-88 van september 2025 als volwaardige methode, en noemt meervoudig overschrijven van een schijf onnodig. De norm stelt wel voorwaarden: de versleuteling moet van bij het begin aan hebben gestaan en de sleutels moeten effectief gewist zijn.
De IT-professional 2.0: jouw toolkit voor AI-gedreven werken
AI is geen hype, maar een revolutie die het werk van IT-professionals ingrijpend verandert. In dit whitepaper ontdek je hoe je als IT-verantwoordelijke sneller,…
De stappen bij afdanken
- Maak een back-up van wat de medewerker nog nodig heeft en controleer of OneDrive volledig gesynchroniseerd is. Hoe je back-ups organiseert, staat in ons artikel over de 3-2-1-methode.
- Haal het toestel uit het beheer. In Intune kies je “Wissen” (Wipe), dat het toestel naar de fabrieksinstellingen terugzet, en niet “Buiten gebruik stellen” (Retire), dat de gebruikersgegevens laat staan. De optie om de vrije ruimte te overschrijven is er voor toestellen waarvan de gegevens zeker vernietigd moeten zijn; Microsoft waarschuwt dat sommige toestellen daarna niet meer opstarten.
- Verwijder het toestel uit Entra ID en uit de registratie van Windows Autopilot. Microsoft schrijft dat een toestel dat de organisatie definitief verlaat altijd uit Autopilot moet. Blijft de registratie staan, dan kan de volgende eigenaar het toestel niet in zijn eigen omgeving opnemen en krijgt hij de foutmelding dat het aan een andere tenant is toegewezen.
- Zet de laptop zonder beheertool terug via Instellingen, Systeem, Herstel, “Deze pc opnieuw instellen”, met de keuze “Alles verwijderen” en daarna “Gegevens opschonen”. Microsoft raadt die laatste optie aan bij schenken, recycleren of verkopen.
- Wis de BIOS-instellingen die het bedrijf toevoegde: het beheerderswachtwoord, de opstartvolgorde en eventuele beperkingen op usb-poorten. Bij HP-laptops zit in het BIOS-menu (F10) daarnaast de functie Secure Erase, die de schijf zelf wist.
- Noteer het serienummer, de datum en de methode. Bij een audit of een datalek toon je daarmee aan dat het toestel correct gewist is.
Doorgeven aan een collega
Blijft het toestel in het bedrijf, dan hoeft het niet uit het beheer. Stap 1 en een Autopilot Reset vanuit Intune volstaan: die wist de persoonlijke bestanden en apps en houdt de inschrijving in Entra ID en het beheer intact.
Schenken of recycleren
Een gewiste laptop hoeft niet bij het afval. De vzw DigitalForYouth.be verdeelde sinds 2019 ruim 30.000 laptops onder jongeren van 6 tot 25 jaar. Hoe zo’n schenking verloopt, beschreven we eerder. Ook daar geldt dat het bedrijf zelf wist voor het toestel vertrekt; de ontvangende organisatie installeert daarna een schone versie van Windows.
Voor recyclage geldt in België de terugnameplicht: de verkoper van een nieuw toestel moet een oud toestel gratis terugnemen, ook bij professionele aankopen. Recupel haalt laptops van bedrijven op vanaf twee dozen. HP neemt via zijn programma Planet Partners eigen apparatuur terug en levert een rapport dat als vernietigingscertificaat dient, maar schrijft in de voorwaarden dat de klant verantwoordelijk blijft voor het wissen van vertrouwelijke gegevens voor het toestel het gebouw verlaat.
Wat je vooraf regelt
Wat het wissen vlot laat verlopen, regel je jaren voor het toestel vertrekt: BitLocker aan vanaf dag één, herstelsleutels in Entra ID, een inventaris met serienummers en een vaste procedure die ook geldt als iemand plots vertrekt. In die inventaris komt dan ook het bewijs per toestel dat een auditor of de Gegevensbeschermingsautoriteit later kan opvragen.
