BitLocker beheren met Sophos Fusion

Sophos Device Encryption activeert en beheert Microsoft BitLocker. De daadwerkelijke schijfversleuteling en Pre-Boot Authentication blijven functies van Windows. Daarom moeten Windows-hardware, firmware, BitLocker-groepsbeleid en de Sophos-policy op elkaar aansluiten.

Snelle route: maak onder My Products > Encryption > Policies een Device Encryption-policy, wijs gebruikers of groepen toe, configureer de Windows-instellingen en schakel de policy in. Vervolgens meldt een toegewezen gebruiker zich lokaal op het pilotapparaat aan, rondt de Sophos-dialogen en herstarts af en voert de Pre-Boot-test uit. De uitrol is pas voltooid wanneer de lokale BitLocker-status, de status in Sophos Fusion en een passende Recovery Key zijn bevestigd.

Vereisten en compatibiliteit controleren

Vóór activering worden minimaal de volgende punten goedgekeurd:

• Windows-editie, build, patchniveau en levenscyclusstatus volgens de systeemvereisten en levenscycli voor Sophos Endpoint. De historische protectormatrix verderop is geen goedkeuring voor oude Windows-versies.
• Een geïnstalleerde en communicerende Sophos Core Agent met de Device Encryption-component die door de licentie wordt gedekt.
• BitLocker-ondersteuning van de Windows-editie en een authenticatiemodus die bij het apparaat past.
• Een ingeschakelde, gebruiksklare TPM; bij TPM 2.0 een GPT-geformatteerde systeemschijf en UEFI-modus.
• Voldoende ruimte voor de systeem- en herstelpartitie. Volumes van 64 MB of kleiner worden door Sophos genegeerd.
• Geen tweede instantie die gelijktijdig BitLocker-protectors, versleutelingsmethode of Recovery Keys beheert.
• Een vastgelegd recoveryproces en bevoegde personen voordat de eerste protector wordt vervangen.

Dynamic Disks worden niet ondersteund voor het systeemvolume; datavolumes op Dynamic Disks worden genegeerd. Windows-partities die met Boot Camp op een Mac zijn gemaakt, worden evenmin ondersteund. Windows kan verwisselbare media met BitLocker To Go versleutelen, maar Sophos Fusion beheert daarvoor geen status of Recovery Keys.

Sophos Device Encryption ondersteunt vooraf ingericht BitLocker en reeds versleutelde schijven. Nieuwe volumes worden softwarematig versleuteld. Bestaande hardwareversleuteling wordt niet automatisch geconverteerd. Reeds beheerd BitLocker mag alleen in een gecontroleerd wijzigingsvenster en zonder gelijktijdig protectorbeheer worden overgenomen. Sophos vervangt daarbij de bestaande Recovery Keys; die zijn daarna ongeldig en nadrukkelijk geen terugweg. De volledige geordende procedure staat onder Bestaand BitLocker overnemen.

Een TPM-fout wordt niet opgelost door de policy herhaaldelijk uit en in te schakelen. Controleer eerst de TPM-gereedheid, Windows-events en lokale BitLocker-status.

De Device Encryption-policy configureren

1. Open My Products > Encryption > Policies, kies Add Policy en maak een Device Encryption-policy.
2. Wijs gebruikers of gebruikersgroepen toe. In Windows activeert de lokale aanmelding van een toegewezen gebruiker de installatie. De schijf blijft daarna versleuteld wanneer een gebruiker zonder deze policy zich aanmeldt.
3. Schakel op het tabblad Settings de optie Device Encryption is on in.
4. Kies Encrypt boot volume only bewust. Als de optie uitstaat, worden na het systeemvolume ook ondersteunde vaste datavolumes versleuteld.
5. Bepaal onder Advanced Windows settings of Require startup authentication nodig is. De optie staat standaard aan. Als ze uitstaat, gebruikt Sophos op compatibele apparaten TPM only.
6. Gebruik Encrypt used space only uitsluitend voor nieuw ingerichte apparaten. De eerste versleuteling verloopt sneller, maar eerder verwijderde gegevens in ogenschijnlijk vrije gebieden kunnen onversleuteld blijven.
7. Stel indien vereist met Require new authentication password/PIN from users het wijzigingsinterval voor PIN of Passphrase in. Deze functie is in Windows beschikbaar vanaf Device Encryption 2.0 en staat standaard uit.
8. Sla de policy op, schakel haar in en wijs haar eerst toe aan een representatieve pilotgroep.

Een vergrendelde instelling kan afkomstig zijn van een globale instelling van de Sophos-partner of Enterprise Administrator. Onderzoek dit voordat u de lokale policy als defect beschouwt.

Authenticatiemodus kiezen

Het type protector dat wordt geïnstalleerd, hangt af van apparaat, BitLocker-GPO en Require startup authentication. 1 is in de volgende matrix de eerste keuze van Sophos. 1* geldt alleen wanneer Require startup authentication uitstaat. Als de optie aanstaat, is TPM only niet beschikbaar en heeft TPM + PIN op een compatibel apparaat de voorkeur.

Windows 7 en 8.1 staan hier uitsluitend om de door Sophos gedocumenteerde protectortoewijzing volledig weer te geven. Het is geen actuele implementatieaanbeveling; toets ze afzonderlijk aan de gekoppelde levenscyclus. De USB Key is eveneens slechts een historische optie uit de Windows 7-matrix, geen aanbeveling voor een nieuwe uitrol. In Windows FIPS Mode documenteert Sophos dit BitLocker-beheer voor Windows 8.1, 10 en 11; ook daaruit volgt geen actuele goedkeuring van het besturingssysteem. In Windows 7 kan geen FIPS-conform BitLocker-recoverywachtwoord in Active Directory Domain Services worden opgeslagen.

• TPM only vereist een voorbereide TPM en een GPO die deze beveiliging toestaat; bovendien moet Require startup authentication uitstaan. De modus voegt geen Pre-Boot-stap toe. Dat is gebruiksvriendelijk, maar biedt minder bescherming tegen een aanvaller die het apparaat en een ontgrendelbare Windows-omgeving beheerst.
• TPM + PIN vereist een voorbereide TPM en een GPO die deze beveiliging toestaat. De PIN telt 4 tot 20 tekens en bestaat alleen uit cijfers, tenzij de GPO Allow enhanced PINs for startup ook letters en speciale tekens toestaat. Alle gebruikers van dezelfde computer delen deze PIN en melden zich daarna met hun persoonlijke Windows-aanmeldgegevens aan. Windows Single Sign-on wordt hierbij niet ondersteund. De modus verhoogt de Pre-Boot-beveiliging, maar ook de inspanning voor uitrol, helpdesk en recovery.
• Passphrase vereist Windows 8 of nieuwer en een GPO die de Passphrase-modus toestaat, en telt 8 tot 100 tekens. Dit is de Sophos-optie voor de vermelde systemen zonder TPM. Voor Passphrase en PIN geldt in de Pre-Boot-omgeving uitsluitend de US English-toetsenbordindeling. Test speciale tekens daarom op de daadwerkelijke hardware.
• USB Key moet bij iedere start aangesloten en beschrijfbaar zijn en met NTFS, FAT of FAT32 zijn geformatteerd; exFAT wordt niet ondersteund. Gebruik deze legacyoptie niet als uitweg voor een niet-ondersteund modern apparaat.

De keuze volgt het risicomodel, de hardware en het supportproces, niet een algemene maximale hardening. Wijkt de toegepaste protector af van de verwachte rij, controleer dan eerst Require startup authentication, TPM-gereedheid en BitLocker-GPO’s.

BitLocker-groepsbeleid opschonen

Windows-GPO’s kunnen authenticatie, algoritmen, recoveryopslag en hardwareversleuteling voorschrijven. Als de relevante authenticatie-instellingen op Not configured staan, kan Sophos de GPO-waarden zo instellen dat de bedoelde modi zijn toegestaan. Een handmatig ingestelde waarde onder Computer Configuration > Administrative Templates > Windows Components > BitLocker Drive Encryption > Operating System Drives wordt daarentegen niet overschreven. Door Sophos ingestelde waarden zijn bovendien niet noodzakelijk zichtbaar in Local Group Policy Editor; ze staan onder HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE.

Documenteer vóór de pilot het effectieve domein- en lokale beleid met de herkomst. Controleer vooral:

• toegestane Startup-protectors en TPM-vereisten;
• het Recovery Password en aanvullende opslag daarvan, bijvoorbeeld in Active Directory;
• versleutelingsmethode en voorschriften voor software- of hardwareversleuteling;
• Smart Card-verplichtingen en andere instellingen die Sophos niet ondersteunt.

Sophos versleutelt nieuwe volumes standaard softwarematig met AES-256; via groepsbeleid is AES-128 mogelijk. Een bestaande GPO die hardwareversleuteling vereist, wordt niet overschreven. Sophos Device Encryption ondersteunt geen Smart Card-verplichting voor BitLocker en meldt daarvoor een fout-event. Als GPO en Sophos-policy elkaar tegenspreken, blijft versleuteling doorgaans Pending of eindigt ze met een fout. Los dan het conflict op in plaats van de policy herhaald toe te wijzen.

Network Unlock kan niet met Sophos Fusion worden geconfigureerd of beheerd. Een afzonderlijk correct ingerichte BitLocker Network Unlock-infrastructuur kan parallel worden gebruikt.

Uitrol en gebruikersprompts begeleiden

De eerste afdwinging en Pre-Boot-controle vinden aan de lokale console plaats. Via Remote Desktop worden de vereiste dialogen niet getoond en wordt de Device Encryption-policy niet afgedwongen. Ook Pre-Boot Authentication kan niet via Remote Desktop worden uitgevoerd.

Het proces op het apparaat is:

1. De toegewezen gebruiker meldt zich lokaal aan; de agent maakt verbinding en synchroniseert met Sophos Fusion.
2. Als de TPM nog niet actief is, vraagt het proces om een firmware-/BIOS-actie en een herstart. De agent probeert een actieve maar nog niet geïnitialiseerde TPM en ontbrekende Endorsement Keys voor te bereiden.
3. Als de BitLocker-systeempartitie ontbreekt, start Sophos BdeHdCfg.exe, bereidt de schijf voor en vereist een echte herstart. Zonder geslaagde herstart begint geen versleuteling.
4. Bij actieve Startup Authentication stelt de gebruiker PIN, Passphrase of USB Key in via het dialoogvenster Sophos Device Encryption. Met Do this later kan het venster worden uitgesteld; de versleuteling blijft dan eveneens Pending.
5. Restart and Encrypt start de Pre-Boot-hardwaretest. Als de invoer vóór de eerste versleuteling mislukt, kan de gebruiker met Esc normaal starten en wordt diegene bij de volgende aanmelding opnieuw gevraagd.
6. Na een geslaagde test versleutelt Sophos eerst het systeemvolume en daarna, indien in de policy opgenomen, vaste datavolumes op de achtergrond. Automatische ontgrendeling daarvan is aan het systeemvolume gekoppeld.

De diagnoselogs CDE.log en CDE_trace.xml staan onder %ProgramData%\Sophos\Sophos Data Protection\Logs. Ze helpen bij de oorzaakanalyse, maar vervangen de lokale BitLocker-status niet.

Status en rapportage accepteren

Onder My Products > Encryption > Computers kan de apparatenlijst op versleutelingsstatus en -methode worden gefilterd. De detailpagina van de computer toont per volume de versleutelingsmethode en het algoritme; in Windows bovendien Encrypted since. Op overgenomen of bijgewerkte apparaten kan deze datum de installatie- of upgradedatum weergeven en is ze dus niet altijd de oorspronkelijke versleutelingsdatum.

Gebruik voor de lokale alleen-lezen controle een administratieve opdrachtprompt en PowerShell:

manage-bde -status

Get-BitLockerVolume

Controleer voor alle bedoelde volumes minimaal Conversion-/Volume Status, Protection Status, Lock Status, Encryption Method en aanwezige Key Protectors. De acceptatie omvat:

1. Het systeemvolume en alle vaste datavolumes die onder de policy vallen, zijn volledig versleuteld; de beveiliging is actief.
2. De daadwerkelijk geïnstalleerde protector past bij policy, GPO en risicogoedkeuring.
3. Sophos Fusion toont het apparaat onder My Products > Encryption > Computers in de verwachte toestand en met een plausibele methode.
4. De bij dit volume horende Recovery Key is in Sophos Fusion opgeslagen. De regels voor Show Key en gereedheidstests staan onder Recovery Keys veilig ophalen.
5. Herstart en de bedoelde Pre-Boot Authentication werken op de echte hardware.
6. Een afzonderlijk testapparaat heeft de afgesproken recoveryprocedure en een typische firmware-/TPM-wijziging doorlopen.

Een voortgang van 100 procent alleen volstaat niet: zonder actieve beveiliging en bewezen recoverygereedheid is het apparaat niet geaccepteerd. Versleutelingsevents kunnen daarnaast onder Reports > General Logs > Events worden onderzocht; filters, export en bewaarmechanisme staan in Sophos Endpoint Events en Reports analyseren.

PIN of Passphrase vernieuwen

Stel een wijzigingsinterval in de Device Encryption-policy in met Require new authentication password/PIN from users. Als de gebruiker het dialoogvenster sluit, verschijnt het na iedere herstart opnieuw; na vijf gesloten prompts maakt Sophos een alert.

Voor één apparaat opent de beheerder de detailpagina van de computer en gebruikt op het tabblad Summary onder Device Encryption de actie Trigger change of password/PIN. De prompt blijft op het endpoint verschijnen totdat de gebruiker een nieuw geheim instelt; ook hier leidt vijfmaal sluiten tot een alert. Test een gedwongen wijziging in een pilot en zorg dat helpdesk en gebruikers weten dat het nieuwe geheim vanaf de volgende Pre-Boot geldt.

Windows herstellen na het ophalen van de key

De geautoriseerde uitgifte en koppeling staan in Recovery Keys veilig ophalen. Dit gedeelte begint op het Windows BitLocker-scherm met de reeds gekoppelde sleutel en beschrijft uitsluitend het gebruik ervan.

Voor de eigenlijke Windows-recovery:

1. Start de computer opnieuw en druk bij de BitLocker-prompt op Esc.
2. Leg de op het scherm getoonde Recovery Key ID volledig vast en vergelijk die met de opgehaalde key.
3. Voer de Recovery Key rechtstreeks op het apparaat in.
4. Volg de instructies op het scherm en stel bij gebruik van PIN of Passphrase een nieuw geheim in.
5. Meld normaal aan, synchroniseer en controleer of Sophos een nieuwe Recovery Key heeft opgeslagen.

Blijft daarna een datavolume vergrendeld, herhaal het proces met de eigen Recovery Key ID van dat volume. Een key van het systeemvolume is niet automatisch de key van een datavolume.

Bij een hardwaredefect kan de BitLocker-schijf op een ander Windows-systeem met BitLocker worden aangesloten. Kies daar Unlock Drive > More options > Enter recovery key en gebruik de getoonde Key ID. Controleer vóór het wissen van de TPM, manipulatie van protectors of andere toestandswijzigende workarounds eerst of werkelijk een passende Recovery Key beschikbaar is.

Onderzoek na iedere recovery de oorzaak. Een vergeten PIN, BIOS-update, uitgeschakelde of gewiste TPM, Secure Boot-wijziging, vervanging van het moederbord en vermoeden van manipulatie vereisen verschillende vervolgacties.

Bestaand BitLocker overnemen

Voer de overname in deze volgorde uit:

1. Documenteer per volume versleutelingsmethode, Protection Status, protectors, Recovery-Key-ID en huidig beheer. Controleer de momenteel bruikbare recoveryroute en open een gecontroleerd wijzigingsvenster.
2. Schakel protectorwijzigingen van het oude beheer uit voordat Sophos het beheer overneemt. Twee beheersystemen mogen nooit gelijktijdig protectors wijzigen.
3. Installeer de Sophos-component, wijs een effectieve Device Encryption-policy toe en rond de lokale prompt af.
4. Leg vast wanneer Sophos de bestaande BitLocker-protectors en Recovery Keys heeft vervangen. Vanaf dat moment zijn de oude keys ongeldig en mogen ze niet als terugweg worden beschouwd; ook het bewaren van oude gegevens maakt ze niet opnieuw bruikbaar.
5. Houd het wijzigingsvenster open en de oude beheerinfrastructuur inactief maar beschikbaar. Controleer in Sophos Fusion dat het apparaat correct wordt weergegeven en de nieuwe Fusion-key bij het geteste volume past. Toon lokaal actieve beveiliging en een geslaagde herstart met Pre-Boot-invoer aan.
6. Stel de oude instantie pas na deze bewijzen buiten gebruik.

Ook een latere overstap naar beheer door een derde partij verloopt zonder overlappend protectorbeheer in het hieronder beschreven wijzigingsvenster.

SafeGuard-migratie per uitgangssituatie scheiden

Inventariseer vóór iedere SafeGuard-migratie de versie, geïnstalleerde modules en daadwerkelijke schijfversleuteling. Een onbekende of gemengde installatie is een stopcriterium. Historische SafeGuard-documentatie bewijst geen huidige productondersteuning.

Levenscyclusgrens: er is momenteel geen betrouwbare actuele goedkeuring om SafeGuard Enterprise of SafeGuard-bestandsversleutelingsmodules na de migratie te blijven gebruiken of opnieuw te installeren. Dit artikel raadt beide af. Als nog bestandsgebaseerde SafeGuard-modules of daarmee versleutelde bestanden aanwezig zijn, stopt de migratie totdat Sophos Support de concrete versie en module schriftelijk heeft bevestigd en een geteste toegangsroute voor deze bestanden vaststaat.

SafeGuard Enterprise BitLocker 6.x of 7.x

Deze tak staat geen directe overname toe. Het systeemvolume moet eerst worden ontsleuteld volgens de procedure die voor de aanwezige SafeGuard-versie is goedgekeurd. Controleer vooraf recovery, voeding en vrije ruimte. Installeer Sophos Device Encryption, wijs de policy toe en versleutel opnieuw met BitLocker, maar pas nadat volledige ontsleuteling is bevestigd en het oude schijfbeheer gecontroleerd is verwijderd. Accepteer de nieuwe Fusion-key en Pre-Boot-aanmelding voordat de oude recoveryinfrastructuur verdwijnt.

SafeGuard Enterprise BitLocker 8.0 of nieuwer

In deze tak kan de SafeGuard BitLocker-module worden verwijderd zonder de BitLocker-volumes te ontsleutelen:

1. Selecteer onder Control Panel > Uninstall a program met de rechtermuisknop Sophos SafeGuard Client en open Change.
2. Verwijder in de SafeGuard-installatiewizard uitsluitend de BitLocker-component. Bevestig daarna lokaal dat het volume versleuteld en toegankelijk blijft.
3. Installeer Sophos Device Encryption en wijs een ingeschakelde policy toe.
4. Accepteer synchronisatie, nieuwe protector, passende Fusion Recovery Key, Protection Status en herstart.

Deze stap geldt alleen voor de eenduidig geïdentificeerde BitLocker-tak vanaf 8.0. Ze doet geen uitspraak over voortgezet gebruik van andere SafeGuard-modules; daarvoor geldt de levenscyclusgrens hierboven.

SafeGuard Enterprise Full Disk Encryption

Full Disk Encryption is technisch een andere tak en mag niet als SafeGuard BitLocker 8+ worden behandeld. Bij ondersteunde verwijdering van de SafeGuard Client worden de daarmee versleutelde volumes ontsleuteld; bestandsgebaseerd versleutelde bestanden kunnen versleuteld blijven. Stel juist daarom vóór verwijdering de geïnstalleerde modules en gegevenstoegang vast. Bij bestandsmodules geldt het bovenstaande stopcriterium totdat schriftelijke goedkeuring voor levenscyclus en migratie bestaat.

Bereid alle vereisten voor Sophos Device Encryption en BitLocker voor voordat de ontsleuteling begint. Het plaintextvenster begint met de bevestigde volledige SafeGuard-ontsleuteling en eindigt pas wanneer de BitLocker-beveiliging en de bij het volume passende Fusion Recovery Key zijn geaccepteerd. Beperk dit venster in het wijzigingsplan en houd het zo kort mogelijk.

Tijdens het plaintextvenster blijft het apparaat in gecontroleerd onderhoud: het wordt niet productief gebruikt, alleen voor de overstap bevoegde personen krijgen toegang en netwerktoegang en gegevensoverdracht worden beperkt tot wat voor installatie en acceptatie nodig is. Installeer na de goedgekeurde verwijdering Sophos Device Encryption, wijs de policy toe en versleutel het volume onmiddellijk opnieuw met BitLocker. Het wijzigingsvenster blijft open totdat de lokale BitLocker-beveiliging actief is, de passende Fusion Recovery Key is bewezen en herstart plus bedoelde Pre-Boot Authentication zijn geslaagd. De volledige overstap bestaat uit ontsleutelen en opnieuw versleutelen; het is geen directe protectorovername.

Gecontroleerd ontsleutelen en buiten gebruik stellen

Bepaal eerst de doelstatus: moet het apparaat volledig worden ontsleuteld, of moet BitLocker actief blijven onder opvolgend beheer? De-installatie van de agent, verwijdering van het apparaatrecord en ontsleuteling zijn drie verschillende processen.

Voor geplande ontsleuteling geldt deze volgorde:

1. Verwijder afhankelijk van het policytype alle gebruikers of de computer uit de effectieve Device Encryption-policy en bevestig synchronisatie.
2. Kies met een lokaal Windows-beheerdersaccount in Windows Explorer bij het volume Manage BitLocker > Turn off BitLocker.
3. Zorg voor voeding en een onderhoudsvenster en bewaak de ontsleuteling tot ze voltooid is.
4. Bevestig met manage-bde -status of Get-BitLockerVolume dat ieder bedoeld volume volledig is ontsleuteld en de beveiliging uitstaat.
5. Draag de lokale agentverwijdering pas na bewezen volledige ontsleuteling over aan Sophos Endpoint onder Windows verwijderen. Latere verwijdering of herstel van het Fusion-apparaatrecord verloopt daarvan gescheiden via Sophos Fusion-apparaat vervangen of buiten gebruik stellen.

Als een lokale beheerder probeert te ontsleutelen terwijl een Device Encryption-policy nog actief is, draait Sophos Fusion de lokale opdracht terug en blijft de schijf versleuteld. Alleen een policy of agent verwijderen bewijst omgekeerd niet dat BitLocker uitstaat of de ontsleuteling voltooid is.

Als BitLocker actief moet blijven, verloopt de overdracht in deze volgorde:

1. Open een niet-overlappend wijzigingsvenster. Toon de actuele lokale BitLocker-beveiliging en een actuele Sophos Recovery Key die bij het volume past aan; BitLocker blijft ingeschakeld.
2. Verwijder of deactiveer het lokale Sophos-beheer uitsluitend volgens Sophos Endpoint onder Windows verwijderen.
3. Neem het apparaat pas daarna onmiddellijk in het opvolgende beheer op. Twee beheersystemen mogen nooit gelijktijdig protectors wijzigen.
4. Maak in het opvolgende beheer een nieuwe passende Recovery Key en bewaar die veilig.
5. Controleer de lokale Protection Status en een herstart. Geef de Sophos-bewaring van de Recovery Key pas na deze bewijzen op en sluit dan het wijzigingsvenster.

Het later verwijderen of herstellen van het record in Sophos Fusion blijft een afzonderlijke beheerhandeling volgens Sophos Fusion-apparaat vervangen of buiten gebruik stellen, geen lokale de-installatie.

Als de acceptatie mislukt

Experimenteer niet door de policy herhaald uit en in te schakelen, de TPM te wissen of protectors te wijzigen. Baken eerst symptoom en niveau af:

• Geen prompt: controleer gebruiker-/policytoewijzing, lokale in plaats van RDP-aanmelding, agentsynchronisatie en geïnstalleerde Device Encryption-component.
• Prompt uitgesteld: laat de gebruiker het dialoogvenster en een echte herstart aan de lokale console voltooien.
• Pre-Boot-test mislukt: controleer TPM/firmware, toetsenbordindeling, effectieve GPO en Windows-event; er wordt nog niet versleuteld.
• Lokaal versleuteld, niet geaccepteerd in Fusion: controleer apparaatsynchronisatie, ontvangst van de Recovery Key en koppeling van het volume; voor de veilige ophaalcontrole geldt de centrale recoveryprocedure.
• Onverwachte protector of onverwacht algoritme: vergelijk effectief domein- en lokaal groepsbeleid en bestaande hardwareversleuteling met de Sophos-policy.
• Recovery na firmwarewijziging: stel eerst de passende key veilig en bevestig de oorzaak; overweeg pas daarna een toestandswijzigende reparatie.

Concrete alerts, TPM-, WMI- en servicefouten en veilige logverzameling staan in Problemen met Sophos Device Encryption systematisch oplossen.

Veelgestelde vragen