Kennisbank · Hosting

Mijn website is gehackt: wat moet ik nu doen?

Vreemde pagina's, doorverwijzingen of een waarschuwing van Google? Dit zijn de stappen die u meteen zet als uw website gehackt is, in de goede volgorde.

30 oktober 2026Hosting

Deel op Facebook Overzicht Acties

Een gehackte website voelt als een inbraak, maar met rustig en in de goede volgorde handelen beperkt u de schade en krijgt u de site schoon terug.

Kort antwoord

Zet eerst de toegang dicht: wijzig alle wachtwoorden van beheer, hosting, database en FTP. Maak daarna een kopie van de huidige toestand, zoek uit hoe de aanvaller binnenkwam en herstel de site vanuit een schone back-up of door de besmette bestanden te vervangen. Pas als het lek gedicht is, laat u Google de site opnieuw controleren. Alleen een oude back-up terugzetten zonder het lek te dichten, betekent meestal dat u binnen een paar dagen weer gehackt bent.

Hoe merkt u dat u gehackt bent?

Tekenen die vaak voorkomen:

bezoekers worden doorgestuurd naar een andere site, soms alleen vanaf Google of alleen op mobiel
in Google verschijnen pagina's van uw site met vreemde titels, bijvoorbeeld over medicijnen of loterijen
de browser of Google toont een waarschuwing dat de site onveilig is
uw hoster meldt dat uw account spam verstuurt of veel rekenkracht gebruikt
er staan beheerders in WordPress die u niet kent

Sommige hacks zijn bewust onzichtbaar voor de eigenaar. Ziet u zelf niets, maar melden klanten iets vreemds, neem het dan serieus.

Stap 1: toegang dichtzetten

Wijzig direct de wachtwoorden van:

het beheer van de website (alle beheerders)
het hostingaccount en het configuratiescherm
FTP en SFTP
de database (en pas het daarna aan in de configuratie van de site)
de mailboxen, als die bij dezelfde hoster zitten

Verwijder onbekende gebruikers. Zet tweestapsverificatie aan waar dat kan. Doe dit vanaf een computer waarvan u zeker weet dat die schoon is; een besmette pc kan de nieuwe wachtwoorden zo weer doorgeven.

Stap 2: vastleggen en melden

Maak een kopie van de bestanden en de database zoals ze nu zijn, voordat u gaat opruimen. Daarmee kan later worden uitgezocht hoe de aanvaller binnenkwam. Laat uw hoster weten wat er aan de hand is; die kan vaak in de serverlogboeken zien wanneer en via welke weg er iets veranderde.

Zijn er persoonsgegevens van klanten mogelijk ingezien, zoals bestellingen of formulierinzendingen? Dan kan het een datalek zijn dat u binnen 72 uur moet melden bij de Autoriteit Persoonsgegevens. Twijfelt u, zoek het dan uit voordat de termijn verstrijkt.

Stap 3: schoonmaken en het lek dichten

Er zijn twee routes:

Schone back-up terugzetten van vóór de hack. Snel, maar u moet zeker weten dat die back-up echt van voor de besmetting is, en u verliest wijzigingen sinds die datum.
Opschonen: WordPress-kern, thema's en plugins opnieuw installeren vanuit de officiële bron, de uploadmap doorzoeken op PHP-bestanden die daar niet horen, en de database nakijken op ingevoegde scripts en onbekende gebruikers.

In beide gevallen zoekt u het lek. Vaak is dat een verouderde plugin, een thema uit een onofficiële bron, een zwak wachtwoord of een oude, vergeten installatie op hetzelfde account. Update alles en verwijder wat u niet gebruikt.

Stap 4: herstel bij Google en bezoekers

Staat uw site bij Google gemarkeerd als onveilig, dan vraagt u in Google Search Console een nieuwe beoordeling aan nadat de site schoon is. Verwijder ook spampagina's die de aanvaller heeft toegevoegd; laat die een 404- of 410-fout geven zodat Google ze uit de index haalt. Controleer of uw mailserver niet op een blacklist is gekomen.

Voorkomen

Een website die regelmatig wordt bijgewerkt, sterke wachtwoorden heeft, tweestapsverificatie gebruikt en dagelijkse back-ups buiten de server bewaart, is veel lastiger te hacken en sneller te herstellen. Dat is precies waarom ik onderhoud niet als luxe zie.

Veelgestelde vragen

Is mijn site gehackt omdat iemand het specifiek op mij gemunt had?

Bijna nooit. De meeste hacks zijn geautomatiseerd: programma's zoeken op grote schaal naar bekende lekken en misbruiken elke site die ze vinden.

Kan ik de site gewoon laten staan tot ik tijd heb?

Liever niet. Een gehackte site kan bezoekers besmetten, spam versturen en uw domein bij Google en mailproviders beschadigen. Zet hem desnoods tijdelijk offline.