kort antwoord
Is je website gehackt, zet dan eerst alle toegang op slot en schakel je hostingpartij in. Zet daarna een schone back-up terug of schoon de site op, dicht het lek met updates en meld een datalek binnen 72 uur als er persoonsgegevens zijn gelekt.
Je opent je website en ziet een vreemde pagina. Of een klant mailt dat zijn virusscanner alarm slaat. Of Google zet een waarschuwing bij je zoekresultaat. Vervelend, maar het is bijna altijd te herstellen. Wat telt, is dat je de stappen in de goede volgorde zet: eerst de schade beperken, dan opschonen, dan pas weer open.
Hoe weet je zeker dat je site gehackt is?
“Gehackt” is een breed woord. Soms is een site gewoon kapot door een mislukte update of een storing bij de hostingpartij. In de officiële WordPress-documentatie staat een lijstje met duidelijke signalen dat er echt iemand binnen is geweest:
- Google, Bing of een virusscanner markeert je site als gevaarlijk of als verspreider van malware.
- Je hostingpartij heeft je site uitgeschakeld.
- Bezoekers melden dat hun virusscanner afgaat op je site.
- Je krijgt bericht dat je site wordt gebruikt om andere sites aan te vallen.
- Er gebeuren dingen die niemand heeft gedaan, zoals nieuwe gebruikers in WordPress.
- Je ziet het gewoon: vreemde teksten, links of pagina’s als je de site opent.
Twijfel je of het een hack is of een storing? Je hostingpartij kan dat vaak snel zeggen. Bij gedeelde hosting (je site staat met andere sites op één server) kan een hack bovendien verder reiken dan alleen jouw site.
Wat doe je in het eerste uur?
Ga niet meteen lukraak bestanden verwijderen. Daarmee wis je sporen die later nodig zijn om te snappen hoe de aanvaller binnenkwam. Werk deze lijst af:
- Schrijf op wat je ziet. Wat is er mis, wanneer zag je het voor het eerst en wat is er de laatste tijd veranderd? Een nieuwe plug-in, een ander thema, een nieuwe gebruiker? WordPress noemt dit de basis van je incidentrapport. Wie het ook oplost, deze aantekeningen schelen tijd.
- Bel of mail je hostingpartij. Vraag of ze iets zien in hun logbestanden, of de hack meer sites raakt en welke back-ups ze hebben.
- Zet alle toegang op slot. Wijzig de wachtwoorden van WordPress, je hostingaccount, FTP of SFTP (de manier om bestanden op de server te zetten) en de database. Doe dat voor alle gebruikers, niet alleen voor jezelf. Verwijder accounts die je niet kent.
- Gooi iedereen eruit. Ingelogde sessies blijven soms geldig na een wachtwoordwijziging. Door de geheime sleutels in het bestand wp-config.php te vervangen, wordt iedereen uitgelogd. WordPress heeft daar een officiële sleutelgenerator voor.
- Scan je eigen computer. Dit wordt vaak vergeten. Volgens de WordPress-documentatie begint een besmetting regelmatig op de laptop van de eigenaar, waar malware wachtwoorden voor FTP en het WordPress-beheer onderschept. Verander je wachtwoorden op een besmette laptop, dan leest de aanvaller gewoon mee.
Opschonen of een back-up terugzetten?
Heb je een schone back-up van vóór de hack, dan is terugzetten meestal de snelste route. Maak eerst nog wel een kopie van de besmette site zoals hij nu is. Dat klinkt vreemd, maar WordPress raadt het expliciet aan: gaat er bij het opschonen iets mis, dan heb je in elk geval nog iets om op terug te vallen en om te onderzoeken.
Let op twee dingen bij terugzetten:
- Weet je wanneer de hack begon? Aanvallers zitten soms weken stil voordat je iets merkt. Een back-up van gisteren kan dan al besmet zijn. Hoe langer je back-ups bewaard worden, hoe groter de kans dat er een schone tussen zit.
- Het lek zit er nog in. Een back-up zet de site terug naar een eerdere toestand, inclusief de verouderde plug-in waardoor de aanvaller binnenkwam. Zonder update ben je zo weer de klos.
Is er geen bruikbare back-up, dan moet de site handmatig worden opgeschoond. De WordPress-documentatie noemt dat zelf het zwaarste deel van het hele proces. In grote lijnen:
- Scan de site met een beveiligingsplug-in en met een externe scanner. Ze vinden verschillende dingen, dus samen zie je meer.
- Vervang de mappen wp-admin en wp-includes door een schone download van precies dezelfde WordPress-versie. Doe dat via (S)FTP, niet via de herinstallatieknop in WordPress: die overschrijft alleen bestaande bestanden, terwijl een hack vaak nieuwe bestanden toevoegt.
- Loop thema’s en plug-ins na en installeer ze opnieuw vanuit de officiële bron.
- Controleer bestanden die vaak worden misbruikt, zoals .htaccess, index.php, header.php, footer.php en functions.php.
Dit vraagt kennis van servers en code. Twijfel je, laat het dan doen. Een half opgeschoonde site met een achterdeur (een verborgen manier om later weer binnen te komen) raakt al snel opnieuw besmet.
Hoe kom je weer van de Google-waarschuwing af?
Staat er een waarschuwing bij je site in Google of in de browser, dan verdwijnt die niet vanzelf zodra je hebt opgeschoond. Je vraagt Google om een herbeoordeling via het rapport Beveiligingsproblemen in Google Search Console. Daarvoor moet je site in Search Console zijn geverifieerd.
Google stelt een paar voorwaarden voordat je die aanvraag doet: de hack of malware is weg, het lek is gedicht en de schone site staat weer online. Vraag niet te vroeg. Volgens Google verleng je daarmee alleen de periode dat je site als gevaarlijk wordt gemarkeerd.
| Soort probleem | Doorlooptijd volgens Google |
|---|---|
| Gehackt met spam | Tot enkele weken, soms met handmatig onderzoek |
| Malware | Enkele dagen |
| Phishing | Ongeveer één dag |
Keurt Google de site goed, dan verdwijnen de waarschuwingen in browsers en zoekresultaten volgens Google binnen 72 uur. Beschrijf in je aanvraag concreet wat je hebt gedaan, bijvoorbeeld welke verouderde plug-in je hebt bijgewerkt. Was er spam op je site geplaatst, lees dan ook ons artikel over de Google-spamupdate van september 2026.
Moet je de hack melden als datalek?
Dat hangt af van wat er op je site staat. Volgens Ondernemersplein van de overheid is een hack door cybercriminelen een datalek als iemand daardoor toegang heeft gekregen tot persoonsgegevens. Denk aan klantaccounts in je webshop, inzendingen van contactformulieren of sollicitaties.
- Melden binnen 72 uur. Kan het lek gevolgen hebben voor de mensen van wie de gegevens zijn, dan meld je het binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens. Twijfel je, dan adviseert Ondernemersplein om wel te melden.
- Betrokkenen informeren. Moet je melden, dan moet je de betrokkenen in de regel ook laten weten wat er is gebeurd, zodat ze bijvoorbeeld hun wachtwoord kunnen wijzigen.
- Altijd vastleggen. Ook als je niet hoeft te melden, leg je het datalek vast: wat er gebeurde, wat de gevolgen zijn en wat je hebt gedaan.
Die 72 uur gaan snel. Daarom is die aantekening uit het eerste uur zo handig: je hebt meteen de basis voor een melding.
Hoe voorkom je dat het nog eens gebeurt?
Als de site schoon is, ben je er nog niet. Werk WordPress, thema’s en plug-ins bij naar de nieuwste versie en wijzig daarna alle wachtwoorden opnieuw. Wachtwoorden die je tijdens de hack veranderde, kunnen nog zijn onderschept. Dat raadt de WordPress-documentatie uitdrukkelijk aan.
Daarna gaat het om vaste gewoontes:
- Lange, unieke wachtwoorden via een wachtwoordmanager en tweestapsverificatie voor iedereen met beheerrechten.
- Updates op tijd, zeker beveiligingsupdates. Lekken zoals bij de plug-in Bricksforge en de WordPress-releases 7.1.2 en 7.1.3 laten zien hoe snel aanvallers een bekend lek misbruiken.
- Automatische back-ups van bestanden én database, buiten de server bewaard, die je ook echt een keer hebt teruggezet om te testen.
- Minder plug-ins. Elke plug-in die je niet gebruikt, is een deur die openstaat.
- Je site aangemeld bij Google Search Console, zodat je een melding krijgt als Google iets verdachts ziet.
Wil je weten wat er allemaal bij goed beheer hoort, lees dan website onderhoud: wat houdt het in? Liever niet zelf bezig met updates en back-ups? Bij onderhoud en hosting van Smijters draait je site op onze eigen servers, met back-ups, updates en monitoring.
Veelgestelde vragen
Verspreidt je site malware of stuurt hij bezoekers door naar vreemde sites, dan is tijdelijk offline halen of een onderhoudspagina vaak verstandig. Zo beschadig je bezoekers niet. Overleg dit met je hostingpartij, zodat er geen sporen verloren gaan.
Nee. Een back-up haalt de schadelijke code weg, maar niet het lek waardoor de aanvaller binnenkwam. Werk daarna direct alles bij en wijzig alle wachtwoorden opnieuw.
Na een goedgekeurde herbeoordeling verdwijnt de waarschuwing volgens Google binnen 72 uur. De beoordeling zelf duurt bij malware enkele dagen en bij spam tot enkele weken.
Met een schone back-up en wat technische kennis lukt dat vaak. Zonder back-up moet je bestanden en database handmatig doorzoeken. Mis je één achterdeur, dan is de site snel opnieuw besmet. Dan is hulp van een specialist meestal goedkoper dan een tweede hack.
Als hun persoonsgegevens mogelijk zijn ingezien en dat gevolgen voor ze kan hebben, meestal wel. Dan meld je het lek ook binnen 72 uur bij de Autoriteit Persoonsgegevens.