Website gehackt? Wat nu, stap voor stap
Is je website gehackt, neem dan deze tien stappen op volgorde. Sla stap 7 niet over: zolang je niet weet hoe de aanvaller binnenkwam, staat die deur nog open.
Signalen dat je website gehackt is
- Google toont “Deze site is mogelijk gehackt” bij je zoekresultaten, of je browser waarschuwt voor een onveilige site.
- In Google staan pagina’s die je niet kent, vaak over medicijnen, gokken of nepmerken. Zoek op
site:jouwdomein.nl. - Bezoekers die via Google of op hun telefoon komen, worden doorgestuurd naar een andere site.
- Er staan beheerders in WordPress die je niet hebt aangemaakt, of je kunt zelf niet meer inloggen.
- Je hoster blokkeert je account, of je mail komt ineens in spamfilters terecht.
- Er staan onbekende bestanden op de server, zoals PHP-bestanden in
wp-content/uploads.
Twijfel je? Een snelle blik van buitenaf geeft de website security check. Die ziet geen malware op de server, maar wel openstaande zwakke plekken.
Website gehackt: wat nu?
- Haal de site echt offline. Vraag je hoster om de site af te sluiten, of zet hem zelf achter een wachtwoord op serverniveau. De onderhoudsmodus van WordPress is niet genoeg: de besmette PHP-code en de achterdeur blijven bereikbaar.
- Maak een kopie van de besmette site en vraag je hoster om de toegangslogs. Die heb je nodig om te achterhalen hoe de aanvaller binnenkwam.
- Verander alle wachtwoorden, vanaf een computer die je vertrouwt: beheerders van je site, je hostingaccount, (S)FTP, de database en het e-mailadres waarmee je inlogt. Zet waar het kan tweestapsverificatie aan.
- Controleer wie er beheerder is. Verwijder accounts die je niet kent, ook in je hostingaccount en bij Google Search Console.
- Scan de bestanden. Vraag je hoster om een malware scan, of gebruik een scanner. Zoek naar PHP-bestanden in de uploadmap, recent gewijzigde bestanden en plugins die je niet hebt geïnstalleerd.
- Zet een schone back-up terug. Weet je niet sinds wanneer de site besmet is, ga dan niet uit van de laatste back-up. Zonder schone back-up moet de site worden opgeschoond of opnieuw gebouwd.
- Vind de ingang. Meestal is het een verouderde plugin of thema, een gelekt wachtwoord, of een oude PHP-versie. In oktober 2026 werd bijvoorbeeld PHP2Shell op grote schaal aangevallen. Zolang de ingang openstaat, ben je zo weer gehackt.
- Werk alles bij en ruim op. WordPress of je CMS, thema’s, plugins en de PHP-versie. Verwijder wat je niet gebruikt.
- Meld je bij Google. Kijk in Google Search Console onder Beveiligingsproblemen. Staat daar een melding, vraag dan na het opschonen een herbeoordeling aan.
- Informeer wie het moet weten. Zijn persoonsgegevens mogelijk ingezien of gestolen, dan moet je dat in de meeste gevallen binnen 72 uur melden bij de Autoriteit Persoonsgegevens, en bij hoog risico ook de betrokken klanten informeren.
Datalek? De meldplicht onder de AVG geldt ook voor kleine ondernemers. Op de site van de Autoriteit Persoonsgegevens lees je wanneer je moet melden en hoe. Leg ook vast wat er gebeurd is, ook als je niet hoeft te melden.
WordPress gehackt?
Bij WordPress zit de oorzaak meestal in een plugin of thema dat niet is bijgewerkt. Wie dat laat liggen, wordt vroeg of laat gehackt. De checklist voor WordPress beveiligen laat zien wat je na het opschonen moet regelen om het niet nog eens te laten gebeuren. Wil je dat niet zelf bijhouden, lees dan wat WordPress onderhoud kost.
Hoe wij helpen
Wij schonen geen WordPress-sites op. Daarvoor kun je terecht bij je hoster of een WordPress-specialist. Wel bouwen we je site opnieuw en schoon op als statische site, zonder WordPress, PHP of plugins. De meest voorkomende hacks, via plugins of PHP, hebben dan geen ingang meer.
- Je domein en e-mail blijven van jou en blijven werken.
- Je teksten en foto’s gaan mee. Elk oud adres sturen we door naar de juiste nieuwe pagina, zodat je posities in Google behouden blijven.
- Spampagina’s die de hacker heeft toegevoegd, komen niet mee.
- Daarna regelen wij hosting, back-ups en beveiliging, met elke maand een uur voor aanpassingen.
Je ziet eerst een proefversie en betaalt pas als je verder wil. Zo werkt de overstap van WordPress.
Vanaf €399 eenmalig daarna vanaf €39 per maand, excl. btw
Vragen
Hoe weet ik of mijn website gehackt is?
Vaak merk je het via Google of je hoster, niet aan de site zelf. Zoek op site:jouwdomein.nl en kijk in Google Search Console onder Beveiligingsproblemen. Zie je een van de signalen bovenaan deze pagina, volg dan de stappen.
Is mijn WordPress gehackt als de site gewoon werkt?
Dat kan. Veel hacks zijn bedoeld om onzichtbaar te blijven: spampagina’s die alleen Google ziet, doorverwijzingen die alleen op mobiel of vanuit Google gebeuren, of een achterdeur die pas later wordt gebruikt. Dat de site er normaal uitziet, zegt dus weinig.
Moet ik een gehackte website melden?
Alleen als er persoonsgegevens bij betrokken zijn. Denk aan klantgegevens, bestellingen en formulierinzendingen: die staan op meer sites dan je denkt. Ging het daar niet om, dan geldt de meldplicht niet.
Hoe snel staat een nieuwe site online?
Eerst krijg je een proefversie te zien. Ben je akkoord, dan staat de nieuwe site bij de meeste ondernemers binnen een week live. Houd de gehackte site tot die tijd offline.
Actuele lekken in PHP, CMS’en en hosting volgen we in de Security Watchdog.
Is je site gehackt?
App ons het adres. We kijken mee naar de volgende stap, en wat het kost om schoon opnieuw te beginnen.