Zo controleert en ruimt u verweesde endpoints op bij meerdere tenants of klanten

Als endpoints worden uitgeschakeld, opnieuw geïmaged, kwijtraken of worden achtergelaten zonder een correcte offboarding, worden het verweesde devices.

Deze onbeheerde systemen blijven rondzwerven in uw RMM en PSA-tools. Ze kunnen blinde vlekken in uw beveiligingsbeleid veroorzaken, uw licentiekosten opdrijven en klantgegevens vervuilen.

Om te voorkomen dat deze devices een groot risico worden voor uw MSP, moet u regelmatig een endpoint audit uitvoeren bij al uw tenants.

Dit proces helpt u ongebruikte licenties terug te winnen en een correcte facturatie en rapportage voor klanten op te stellen. Het sluit ook aan op bredere auditworkflows, zoals een proces voor een fysieke configuratieaudit of de controle van een checklist voor netwerkaudits.

In deze gids laten we u zien hoe u een endpoint audit en opschoning van verweesde devices uitvoert. Lees verder om meer te weten te komen over het verschil tussen beheerde en onbeheerde devices.

Wilt u dit onderwerp liever visueel uitgelegd zien? Bekijk dan Zo controleert en ruimt u verweesde endpoints op bij meerdere tenants of klanten.

Verweesde endpoints bij meerdere tenants identificeren, controleren en opruimen

Vereisten:

• Toegang tot RMM- en PSA-systemen om activiteit, status en eigendom van endpoints te volgen
• PowerShell versie 5.1 of hoger is vereist om scripts uit te voeren waarmee u systeeminformatie opvraagt en de status van devices controleert
• Toegang tot Groepsbeleid en het register om endpointconfiguraties te verifiëren
• Documentatie van de device-baseline per klant of afdeling om endpointinventarissen te vergelijken
• Gegevens uit netwerkmonitoring om actieve endpoints te detecteren die niet in uw RMM- en PSA-tools staan. Deze gegevens zijn optioneel, maar ze kunnen blinde vlekken tijdens het opruimen beperken.

Aanbevolen implementatiestrategieën:

Klik om een methode te kiezen	💻 Het beste voor individuele gebruikers	💻💻💻 Het beste voor ondernemingen
Methode 1: device-activiteit opvragen met PowerShell	✓	✓
Methode 2: device-activiteit of agentstatus volgen via het register		✓
Methode 3: CMD gebruiken om connectiviteit of aanwezigheid van een agent te controleren	✓	✓
Methode 4: Groepsbeleid of Taakplanner gebruiken om slapende devices te markeren		✓
Methode 5: RMM-, domein- en PSA-gegevens met elkaar vergelijken		✓

Stap 1: bepaal wanneer een endpoint als verweesd geldt

Stel eerst duidelijke criteria op voor een verweesd endpoint. Enkele van de meest voorkomende aanwijzingen dat een device is achtergelaten:

• Het device heeft zich al meer dan 30 dagen niet gemeld bij het RMM-platform.
• Er is geen recente gebruikersaanmelding of domeinauthenticatie geregistreerd.
• Verwachte antivirus-, back-up- of patching-agents ontbreken of rapporteren niet meer.
• Het device heeft dubbele vermeldingen door een herinstallatie of imaging van het OS.
• Het device is buiten gebruik gesteld, maar is nog niet uit de systemen verwijderd.

Tip: markeer mogelijke verweesde devices op basis van de laatste check-indatum, gebruikersactiviteit, AV-status en validatie van de hostnaam. Zo spoort en volgt u ze eenvoudiger op.

Stap 2: kies een of meer methoden om device-activiteit te controleren

Controleer vervolgens de activiteit van uw endpoints met een of meer van de onderstaande methoden. U kunt ook elke combinatie gebruiken die het beste bij uw situatie past.

Methode 1: device-activiteit opvragen met PowerShell

Use case: snel beoordelen of een device recent is gebruikt door indicatoren van device-activiteit te controleren, zoals de laatste opstarttijd, gebruikersaanmelding en systeemuptime.

1. Controleer de laatste opstarttijd.

Use case: hiermee controleert u wanneer een systeem voor het laatst opnieuw is opgestart.

(Get-CimInstance Win32_OperatingSystem).LastBootUpTime

2. Bepaal de laatste gebruikersaanmelding.

Use case: hiermee bepaalt u of een lokale gebruiker zich recent op een systeem heeft aangemeld.

Get-LocalUser | Select Name, LastLogon

3. Bekijk de systeemuptime.

Use case: deze logboeken laten zien hoelang het systeem draait sinds de laatste start.

(New-TimeSpan -Start (Get-CimInstance Win32_OperatingSystem).LastBootUpTime).Days

U hoeft deze controles niet allemaal samen uit te voeren. U kunt zich richten op één specifieke meetwaarde of op een combinatie daarvan en die vergelijken met uw RMM- of domeinactiviteitslogboeken.

Methode 2: device-activiteit of agentstatus volgen via het register

Use case: detectie van verouderde devices automatiseren met PowerShell of scans vanuit uw RMM. Deze methode is ideaal voor MSP’s met een gestandaardiseerd beleid voor registerlogging.

Als uw organisatie scripts of agents gebruikt om registeractiviteit te loggen, controleer dan aangepaste sleutels zoals:

HKEY_LOCAL_MACHINE\SOFTWARE\Org\DeviceAudit

Let op waarden zoals:

• LastLoginDate (String) = "2025-07-01T10:05Z"
• LastBackupStatus (String) = "Success"
• LastCheckIn (String) = "2025-07-01T09:00Z"

Methode 3: CMD gebruiken om connectiviteit of aanwezigheid van een agent te controleren

Use case: mogelijk onbeheerde systemen handmatig valideren voordat u opruimt.

1. Pingtest:

ping device01.domain.local

2. Controleer de AV-status (Windows Defender):

sc.exe query WinDefend

3. Geef de geïnstalleerde RMM-, AV- en back-upsoftware weer:

Get-Package | Where-Object Name -Match "Ninja|Avast|Veeam"

Methode 4: Groepsbeleid of Taakplanner gebruiken om slapende devices te markeren

Use case: device-activiteit proactief volgen bij meerdere tenants met een GPO of geplande taak.

Configureer een GPO of geplande taak om de onderstaande opdracht uit te voeren, die een tijdstempel in het register vastlegt:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceAudit" `

-Name "LastCheckIn" -Value (Get-Date).ToString("u")

Plan de uitvoering bij aanmelding van de gebruiker of bij het opstarten van het systeem. Devices die de tijdstempel binnen de vastgestelde inactiviteitsperiode (bijvoorbeeld 30 dagen) niet hebben bijgewerkt kunt u vervolgens markeren voor controle.

Methode 5: RMM-, domein- en PSA-gegevens met elkaar vergelijken

Use case: valideren of een device is achtergelaten of slechts tijdelijk offline is. Deze onderlinge vergelijking sluit aan op de beste praktijken uit een checklist voor cybersecurityaudits.

Combineer de volgende gegevensbronnen:

• Laatste check-in in het RMM
• Vorige aanmelding in Active Directory
• Ticketgeschiedenis in de PSA (bijvoorbeeld open of gesloten assetaanvragen)
• Antivirusdashboard en status van de back-upagent

Stap 3: stel een opruimproces op voor buitengebruikstelling

Zodra u hebt bepaald welke devices aan uw criteria voor verweesde endpoints voldoen, volgt u de onderstaande stappen om het opruimproces te starten:

• Verwijder alle AV-, RMM- en back-upagents.
• Archiveer de register- en aanmeldgegevens van het device.
• Verwijder het device uit uw AD– en RMM-platformen.
• Markeer het device als Buiten gebruik gesteld in uw PSA- of assetsysteem.

Tip: maak een checklist voor het opruimproces, zodat de offboarding altijd consistent verloopt.

Veelvoorkomende problemen bij het controleren van endpoints en hoe u ze oplost

Valse positieven

Soms lijkt een device inactief of achtergelaten terwijl het nog gewoon in gebruik is; het rapporteert alleen niet goed aan uw systeem.

Valideer in dat geval de activiteit aan de hand van logboeken met domeinauthenticatie en gegevens over back-uptaken voordat u het verwijdert. Zo voorkomt u dat u per ongeluk iets wist.

Ontbrekende registersleutels

Ontbrekende registersleutels worden vaak gezien als een teken dat een device onbeheerd is. Sommige van die gaten in het register ontstaan echter door mislukte aanmeldscripts.

Als u een endpoint tegenkomt waarbij enkele registersleutels ontbreken, controleer dan eerst of het aanmeldscript dat die sleutels aanmaakt nog actief is voordat u het device buiten gebruik stelt.

Dubbele RMM-vermeldingen

Sommige RMM-platformen maken meerdere vermeldingen aan voor één device, vooral als dat opnieuw is geïmaged of hernoemd.

Probeer vermeldingen in dat geval te koppelen via hardware-identificatoren zoals het serienummer of het MAC-adres van het device. Serienummers zijn doorgaans stabieler, terwijl MAC-adressen aanvullende informatie kunnen opleveren om een match te maken. Met deze identificatoren spoort u dubbele records op en schoont u uw inventarisgegevens op.

Recent gewiste devices

Dat een device als een nieuw of onbekend endpoint in uw systeem verschijnt wil niet per se zeggen dat het is achtergelaten. Sommige van die endpoints kunnen recent zijn gewist of opnieuw geïmaged.

Het goede nieuws is dat u de geschiedenis kunt achterhalen via de BIOS-assettag of registerherstel.

Waar u op moet letten

Houd deze valkuilen in gedachten bij het gebruik van deze gids:

Risico’s	Mogelijke gevolgen	Herstel
PowerShell-scripts uitvoeren zonder beheerdersrechten	Onvolledig of mislukt ophalen van gegevens	Voer PowerShell als beheerder uit voordat u de scripts implementeert.
Registersleutels niet valideren	Kan valse positieven opleveren als scripts de sleutels niet hebben bijgewerkt	Vergelijk de gegevens met uw RMM of logbestanden.
Verkeerd geconfigureerde GPO of taakplanner	Het device registreert geen tijdstempels, waardoor het ten onrechte als slapend kan worden aangemerkt.	Test de implementatie en controleer de logboeken van de taakuitvoering.

Aanvullende opmerkingen over het controleren en opruimen van verweesde endpoints

Omdat geen enkel achtergelaten device hetzelfde is, zijn dit enkele zaken om rekening mee te houden bij een endpoint audit in grote en verspreide omgevingen:

Behandel BYOD-devices anders

Bring Your Own Device (BYOD)-beleid maakt een endpoint audit een stuk complexer.

Persoonlijke devices volgen niet dezelfde beheerprotocollen als machines van het bedrijf. Ze zijn veel moeilijker te volgen en kunnen anders in uw systeem verschijnen.

Stel daarom aparte regels op voor het controleren en opruimen van BYOD-devices. Zo verwijdert u niet per ongeluk een privécomputer die nog voor het werk wordt gebruikt.

Let op hergebruikte devicenamen

IT-teams gebruiken vaak dezelfde devicenamen wanneer ze hardware opnieuw imagen of een nieuwe bestemming geven. Die werkwijze kan echter voor verwarring zorgen in auditrapporten.

Een pas gewiste laptop kan bijvoorbeeld onterecht als achtergelaten device worden gemarkeerd, simpelweg omdat die nog zijn oude devicenaam gebruikt.

Vergelijk devicenamen met MAC-adressen of serienummers om verkeerde identificatie te voorkomen.

Vergeet devices in de cloud niet

Devices die vanuit de cloud worden beheerd, lopen mogelijk via platformen zoals Microsoft Intune en worden geleverd via diensten zoals Windows Autopilot.

Afhankelijk van hoe de omgeving is ingericht verschijnen deze endpoints niet altijd in traditionele on-premises beheerbronnen en kunnen ze daardoor tijdens audits over het hoofd worden gezien.

Neem relevante gegevens uit cloudbeheerplatformen zoals Intune dus mee in uw auditproces.

Plan audits met een vaste regelmaat

Een endpoint audit is geen eenmalige actie. Uw organisatie doet er goed aan maandelijkse of driemaandelijkse audits in te plannen om de assetinventaris actueel te houden.

Met een vast auditschema blijft u wijzigingen aan devices voor en voorkomt u dat achtergelaten endpoints tussen wal en schip vallen.

Wat is het verschil tussen beheerde en onbeheerde devices?

Beheerde devices zijn systemen die zijn aangemeld bij of worden aangestuurd via een centrale oplossing voor device management, zoals een RMM-tool.

IT-beheerders monitoren, configureren en beheren deze machines om consistentie en compliance met het organisatiebeleid te waarborgen. Dat betekent dat ze hetzelfde gestandaardiseerde beleid volgen voor systeemconfiguraties, toegangscontroles en software-updates.

Onbeheerde devices zijn daarentegen devices die niet zijn aangemeld bij of worden aangestuurd via de systemen voor device management van de organisatie. Dat kunnen persoonlijke devices zijn, devices van derden of devices van het bedrijf zelf.

IT-teams monitoren of beheren deze endpoints niet, waardoor ze doorgaans niet dezelfde gestandaardiseerde configuraties hebben als beheerde systemen.

Waarom het opruimen van verweesde endpoints belangrijk is

Het volgen en opruimen van verweesde endpoints is cruciaal voor MSP’s, en wel hierom:

Ze vormen een beveiligingsrisico

Achtergelaten endpoints zijn een gemakkelijk doelwit voor cybercriminelen. Ze kunnen deze devices gebruiken om gevoelige gegevens te stelen, zeker als die niet over de nieuwste antivirus of beveiligingspatches beschikken.

Door deze assets op te ruimen, verkleint u het aanvalsoppervlak van uw organisatie aanzienlijk.

Ze zorgen voor licentieverspilling

Devices die aangemeld blijven in RMM-, antivirus- of back-upsystemen kunnen licenties blijven verbruiken, afhankelijk van het licentiemodel van het product. Door ongebruikte endpoints buiten gebruik te stellen, beperkt u onnodige licentiekosten.

Ze leiden tot onjuiste rapportages

Onbeheerde endpoints in uw assetinventaris kunnen leiden tot onjuiste rapportages en daarmee tot misleidende QBR’s of compliance-audits.

Ze ondermijnen de inventarishygiëne en het overzicht

Goede endpointhygiëne betekent dat u precies weet welke devices zich in uw omgeving bevinden en hoe ze presteren.

Verweesde devices blijven in uw dashboards, rapportages en notificaties opduiken zolang u ze niet opruimt, waardoor u moeilijker een helder beeld van uw infrastructuur krijgt.

Zo vereenvoudigt NinjaOne de audit en opschoning van verweesde endpoints

NinjaOne helpt u het proces voor de audit en opschoning van verweesde endpoints te verfijnen door:

• Endpoints te taggen op basis van hun laatste check-in of de datum waarop een script is uitgevoerd
• Automatisch PowerShell-scripts uit te rollen om registersleutels of aanmeldactiviteit te controleren
• Inventaris- en back-uprapportages te maken die devices met ontbrekende agentgegevens of mislukte back-ups aan het licht brengen
• Notificatieworkflows te activeren voor devices die langer offline zijn dan de vastgestelde beleidsdrempel
• Acties voor buitengebruikstelling te automatiseren, zoals het verwijderen van software en tags

Met het NinjaOne-platform kunnen MSP’s het handmatige auditproces bij al hun klanten standaardiseren: ze taggen devices, plannen scriptcontroles in en automatiseren herstelstappen zodra vaststaat dat een device verweesd is, met consistente en herhaalbare workflows.

Voor veelgestelde vragen over het monitoren van devices via een RMM kunt u terecht bij de RMM-FAQ van NinjaOne.

Verbeter uw assethygiëne met een regelmatige audit van verweesde endpoints

Voor MSP’s is het controleren en opruimen van verweesde endpoints geen keuze, maar een must. Deze devices kunnen een gat slaan in het beveiligingsbeleid van uw organisatie en uw licentiekosten na verloop van tijd opdrijven.

Met een vast auditschema en een volledig opruimproces voor de buitengebruikstelling van allerlei achtergelaten devices zorgt u ervoor dat geen enkel afgedankt endpoint onopgemerkt blijft.

Nog belangrijker: het positioneert uw MSP als een proactieve partner die beveiliging serieus neemt.

Gerelateerde onderwerpen:

• Wat is endpoint management? Zo werkt het en dit zijn de voordelen
• Zicht op endpoints: wat het is en hoe u het bereikt
• Endpoint-devices uitgelegd (met voorbeelden)
• Overzicht van endpoint lifecycle management
• Rapportages over hardware-inventaris