Website gehackt: wat je nu doet, in de juiste volgorde

Website gehackt? Doe eerst deze drie dingen, in deze volgorde: verander de wachtwoorden van je hosting, je beheerpaneel en je mail vanaf een ander toestel, maak een kopie van de site zoals ze nu is, en zet de site in onderhoudsmodus of laat je host haar tijdelijk afsluiten. Pas daarna ga je zoeken hoe het gebeurde. Wie eerst gaat opruimen, wist de sporen die tonen wat de aanvaller nog kan.

Deze gids loopt het draaiboek af van het moment dat je het merkt tot drie dagen later: wat je per uur doet, wie je verwittigt, wanneer je bij de Gegevensbeschermingsautoriteit moet melden en hoe je Google je site weer laat tonen zonder waarschuwing. Draait je site op WordPress, lees dan ook is WordPress veilig: daar staat waarom het bijna altijd een plugin is.

Hoe weet je dat je website gehackt is

Een hack is zelden een zwart scherm met een doodshoofd. Meestal wil de aanvaller dat je niets merkt, want je site is voor hem een gratis server.

Een trage site kan ook gewoon een trage site zijn; wat daar meestal achter zit, staat in waarom is WordPress zo traag. Mail die plots in spam belandt, heeft vaker een andere oorzaak dan een hack: kijk eerst waarom je mail in spam komt.

Uur 0: dichtdoen, niet opruimen

Het eerste uur gaat over de toegang. Verander vanaf een toestel waarvan je zeker bent, niet de laptop waarop je misschien een besmette bijlage opende, de wachtwoorden van je hostingaccount, het beheer van je site (alle beheerders, niet alleen het jouwe), FTP of SFTP, de database en de mailbox die je gebruikt om wachtwoorden te herstellen. Zet daarna tweestapsverificatie aan op elk account dat het toelaat. Zonder dat tweede slot is een nieuw wachtwoord na een phishingmail binnen een dag opnieuw gestolen.

Maak dan een kopie van de site zoals ze nu is: bestanden en database. Die besmette kopie zet je nooit terug, maar ze toont later wat er veranderd werd en sinds wanneer.

Offline halen of niet? Zet de site in onderhoudsmodus of vraag je host haar af te sluiten als ze bezoekers doorstuurt, malware verspreidt of persoonsgegevens lekt. Een webshop die betaalgegevens kan doorgeven, gaat altijd dicht. Een infosite met wat spampagina's mag even blijven staan terwijl je terugzet.

Uur 1 tot 4: een schone kopie terugzetten

Een back-up van voor de hack is de snelste weg terug. Zoek de laatste kopie van voor de eerste vreemde wijziging; die datum vind je in de bestanden van je besmette kopie of in de logboeken van je host. Zet die kopie terug, en werk daarna meteen alles bij: de kern, elke plugin, elk thema, de PHP-versie van je server. Wie een oude back-up terugzet zonder bij te werken, zet ook het gat terug.

Heb je geen bruikbare back-up, dan blijft schoonmaken over: elk bestand vergelijken met een schone versie, de database doorzoeken op ingevoegde scripts en onbekende beheerders, en de achterdeur vinden. Dat is werk voor iemand die het eerder deed, en het duurt dagen in plaats van uren. Een vast onderhoudscontract voor je website zorgt ervoor dat er elke dag een kopie is.

De oorzaak: plugin, wachtwoord of hosting

Een site die je terugzet zonder de oorzaak te kennen, wordt opnieuw gehackt. Bij WordPress is het meestal een plugin: van de 11.334 nieuwe kwetsbaarheden in het WordPress-ecosysteem in 2025 zaten er 91 procent in plugins en 9 procent in thema's, en bij 46 procent was er nog geen update toen het gat bekend werd.

Uur 4 tot 24: Google laten weten dat het opgelost is

Heeft Google je site gemarkeerd, dan staat dat in Search Console onder Beveiligingsproblemen. Daar zie je voorbeelden van besmette adressen. Los het probleem op over de hele site, niet alleen op die voorbeelden, en vraag dan een herbeoordeling aan met een korte uitleg: wat er was, wat je deed, wat het resultaat is. Google mailt bij ontvangst en bij de beslissing; een review duurt een paar dagen tot een paar weken. Stuur geen tweede aanvraag zolang de eerste loopt.

Kijk in dezelfde periode na of je mail nog vertrokken is als spam. Een domein dat op een zwarte lijst staat, kom je er niet vanzelf af: na de opruiming vraag je de verwijdering aan bij de lijst zelf. Zet daarna je SPF, DKIM en DMARC juist, zodat niemand meer mail kan versturen die van jouw domein lijkt te komen.

Uur 24 tot 72: melden bij de GBA, het CCB en de politie

De 72 uur van de GBA lopen vanaf het moment dat je met redelijke zekerheid weet dat er gegevens buiten konden, niet vanaf de hack zelf. Weet je nog niet alles, meld dan wat je weet en vul later aan. Of je organisatie onder NIS2 valt, lees je in het begrip NIS2. Een vrijwillige melding bij het CCB kan geen inspectie of extra verplichting opleveren en helpt anderen gewaarschuwd te worden. Werk je met een webbureau of host dat persoonsgegevens voor je verwerkt, dan staat in je verwerkersovereenkomst wie wat meldt.

Wat een hack je kost, in tijd

Met een schone back-up en iemand die het eerder deed, staat je site meestal binnen een werkdag terug. Zonder back-up wordt het een opruiming van dagen, en het lastigste deel is niet de site maar wat errond hangt: een paar dagen tot weken een waarschuwing in Google, mail die niet aankomt, en klanten die je moet inlichten. Daarom loont het om de volgende keer te voorkomen in plaats van sneller op te ruimen.

Waarom een statische site minder breekbaar is

De sites die wij bouwen, zoals die van Business Centrum, zijn statische exports op Amazon S3 achter CloudFront. Er draait geen beheerpaneel, geen database en geen plugin op de server die iemand kan kraken: de server geeft alleen kant-en-klare pagina's. Dat is een keuze met een prijs, want een tekst aanpassen gaat via ons of via code en niet via een beheerpaneel. Hoe die keuze uitvalt tegenover WordPress, lees je in website op maat of WordPress. Ook een statische site heeft accounts, een domein en formulieren die je moet beschermen; het SSL-certificaat verlengt vanzelf, maar het wachtwoord van je registrar niet.