Beveiliging · Na een hack

Is je website gehackt? Dit doe je eerst.

Ik ben Steven Groeneveld van Klyo, een eenmansstudio in Enschede. Vreemde pagina’s, een waarschuwing in Google, of je komt er zelf niet meer in: een hack is schrikken. Hieronder staan de stappen op een rij, in gewone woorden, uit de handleidingen van Google, het Nationaal Cyber Security Centrum (NCSC) en WordPress. Ik ben webdesigner, geen beveiligingsbedrijf; wat ik wel voor je kan doen, staat onderaan.

Plan een gratis kennismaking Met de stappen van Google, het NCSC en WordPress
De stappen

Zeven stappen, in deze volgorde.

De volgorde volgt de handleiding van WordPress, aangevuld met de adviezen van het NCSC en Google. Staat je site niet op WordPress, dan gelden de stappen van het NCSC en Google net zo goed.

  1. Herken het

    Google kan in de zoekresultaten een label tonen zoals ‘Deze site is mogelijk gehackt’ of ‘Deze site kan schade toebrengen aan je computer’, en de browser kan een waarschuwingspagina laten zien. Heb je Google Search Console, dan krijg je een e-mail en staat het in het rapport Beveiligingsproblemen. WordPress noemt meer signalen: je hostingbedrijf heeft je site uitgezet, bezoekers krijgen een virusmelding, of er staan gebruikers in je site die jij niet hebt aangemaakt.

    Bronnen: Google, Search Console Help, Waarom is mijn site gelabeld als gevaarlijk in Google Zoeken? (geraadpleegd oktober 2026); WordPress.org, FAQ My site was hacked (2026)

  2. Schakel meteen hulp in

    Het NCSC raadt aan om zo vroeg mogelijk een IT-dienstverlener erbij te halen. WordPress zegt: neem contact op met je hostingbedrijf, want een hack kan meer raken dan alleen jouw site. En Google schrijft dat je de code van je site moet kunnen lezen en begrijpen om een hack zelf op te ruimen. Vind je dat te moeilijk, zoek dan iemand die je kan helpen.

    Bronnen: NCSC, Gehackt, wat nu? (geraadpleegd oktober 2026); WordPress.org, FAQ My site was hacked (2026); Google, Search Console Help, Het rapport Beveiligingsproblemen (geraadpleegd oktober 2026)

  3. Schrijf op wat je ziet, en bewaar bewijs

    Noteer wat je ziet, wanneer je het zag, en wat er kort ervoor veranderd is, zoals een nieuwe plugin. Maak een kopie van de site zoals hij nu is, ook al is hij besmet. Verander niets aan het bewijs: dat heeft de politie nodig. En heb je een verzekering tegen cybercriminaliteit, dan vraagt die om een kopie van de aangifte.

    Bronnen: WordPress.org, FAQ My site was hacked (2026); NCSC, Aangifte of melding doen (geraadpleegd oktober 2026)

  4. Scan je computer en verander alle wachtwoorden

    Volgens WordPress begint een aanval in veel gevallen op de eigen laptop of pc, met software die inloggegevens afvangt. Scan je computer daarom eerst op virussen. Verander daarna alle wachtwoorden: niet alleen je inlog op de site, maar ook die van je hosting, de database en de FTP-toegang, en van iedereen die toegang heeft. Kies lange, unieke wachtwoorden en zet tweestapsverificatie aan. Bij WordPress log je daarna iedereen uit die nog ingelogd is.

    Bronnen: WordPress.org, FAQ My site was hacked (2026); NCSC, Gehackt, wat nu? (geraadpleegd oktober 2026)

  5. Ruim de site op, of zet een schone back-up terug

    Google schrijft: vervang de besmette bestanden door de laatste goede back-up, of haal de spam weg, en doe dat op de hele site. Een back-up die zelf al besmet was, helpt niet: het NCSC raadt aan eerst na te gaan of je back-ups bruikbaar zijn. Bij WordPress installeer je daarna dezelfde versie opnieuw, en werk je alles bij naar de nieuwste versie.

    Bronnen: Google, Search Console Help, Het rapport Beveiligingsproblemen (geraadpleegd oktober 2026); NCSC, Gehackt, wat nu? (geraadpleegd oktober 2026); WordPress.org, FAQ My site was hacked (2026)

  6. Vraag Google om een nieuwe beoordeling

    Staat je site in Google met een waarschuwing, vraag dan in Search Console een beoordeling aan, in het rapport Beveiligingsproblemen. Doe dat pas als alles op alle pagina’s is opgelost, en beschrijf wat je gedaan hebt. Volgens Google kan een beoordeling een paar dagen tot een paar weken duren. Stuur geen nieuw verzoek zolang het eerste nog loopt.

    Bron: Google, Search Console Help, Het rapport Beveiligingsproblemen (geraadpleegd oktober 2026)

  7. Doe aangifte, en meld een datalek

    Het NCSC zegt: doe altijd aangifte van cybercriminaliteit, en vraag bij je afspraak met de politie om een digitaal rechercheur. Zijn er persoonsgegevens gelekt, bijvoorbeeld van klanten die een formulier invulden? Dan moet je dat datalek misschien binnen 72 uur melden bij de Autoriteit Persoonsgegevens, en soms ook de mensen zelf inlichten. Of dat moet, beoordeel je zelf. Vastleggen in je eigen datalekregister moet altijd.

    Bronnen: NCSC, Aangifte of melding doen (geraadpleegd oktober 2026); Autoriteit Persoonsgegevens, Datalek? Dit moet u doen (2026)

Daarna

Zo maak je het een volgende keer moeilijker.

Helemaal uitsluiten kan niemand. Wel raden Google, WordPress en het NCSC dit aan:

  • Search Console. Meld je site aan bij Google Search Console. Dan krijg je een e-mail als Google denkt dat je site gehackt is.
  • Back-ups. Bewaar regelmatig een back-up van je bestanden en je database, zodat je kunt terugzetten.
  • Bijwerken. Houd je site bij. WordPress schrijft dat oudere versies kwetsbaarder zijn voor hacks dan nieuwe.
  • Wachtwoorden. Lange, unieke wachtwoorden en tweestapsverificatie, voor iedereen met toegang.

Bronnen: Google, Search Console Help, Waarom is mijn site gelabeld als gevaarlijk in Google Zoeken? (geraadpleegd oktober 2026); WordPress.org, FAQ My site was hacked (2026); NCSC, Gehackt, wat nu? (geraadpleegd oktober 2026)

Wat ik voor je kan doen

Wat ik wel kan doen.

Ik ben webdesigner, geen beveiligingsbedrijf. Bel daarom eerst je hostingbedrijf: zij zien het meest. Daarna kijk ik graag met je mee in een gratis kennismaking: wat er nodig is, en of opruimen of een nieuwe site de betere keuze is.

De sites die ik bouw, draaien standaard op Astro of Next.js, zonder WordPress-plugins die bijgewerkt moeten worden. Back-ups en updates vallen onder het zorgplan. Een WordPress-site onderhouden kan op aanvraag, ook als iemand anders hem bouwde.

FAQ

Vragen na een hack

Hoe lang duurt het voor de waarschuwing in Google weg is?
Vraag je na het opruimen een beoordeling aan in Search Console, dan kan die volgens Google een paar dagen tot een paar weken duren (Search Console Help). Heeft Google de hack automatisch ontdekt, dan neemt Google de pagina weer op als bij een nieuwe crawl blijkt dat hij schoon is (Search Console Help).
Ik zie de waarschuwing zelf niet, maar een klant wel. Kan dat?
Ja. Google schrijft dat Safe Browsing waarschuwt op basis van hoe iemand browst, en dat je een waarschuwing daardoor niet altijd zelf ziet. Vertrouw op het rapport Beveiligingsproblemen in Search Console: volgens Google is dat de stand van zaken (Search Console Help).
Moet ik het melden bij de Autoriteit Persoonsgegevens?
Alleen als er persoonsgegevens gelekt zijn, en dan misschien. Je kunt verplicht zijn om een datalek binnen 72 uur te melden bij de AP, en soms ook de mensen zelf in te lichten. Dat beoordeel je zelf; het lek vastleggen in je eigen datalekregister moet altijd (Autoriteit Persoonsgegevens).
Wat is het verschil met ‘Niet beveiligd’ in de adresbalk?
‘Niet beveiligd’ gaat over de verbinding: je site gebruikt geen https. Dat zegt op zich niets over een hack; lees daarover website niet veilig. Een rood scherm over de hele pagina met ‘Gevaarlijk’ is wel ernstig: dan heeft Google Safe Browsing je site als onveilig gemarkeerd (Chrome Help).
Kun jij mijn site opruimen?
Ik ben webdesigner, geen beveiligingsbedrijf. Bel eerst je hostingbedrijf; zij zien het meest. Daarna kijk ik graag mee in een gratis kennismaking, en zeg ik eerlijk of opruimen of een nieuwe site de betere keuze is.
Verdieping

Lees ook

Hulp nodig na een hack?

Bel eerst je hostingbedrijf. Daarna kijk ik graag met je mee in een gratis kennismaking.

Plan kennismaking

Nog geen Search Console? Met Google Search Console krijg je een e-mail als Google denkt dat je site gehackt is.