Website gehackt? Zo herken je het en herstel je stap voor stap.

Is je website gehackt, of vermoed je het? Dan is de eerste neiging om in paniek alles te verwijderen. Doe dat niet. Je hebt meer aan een vaste volgorde: eerst vaststellen wat er aan de hand is, dan de schade beperken, dan herstellen en tot slot Google laten weten dat je site weer in orde is. Hieronder lopen we die stappen door, op basis van wat Google en WordPress er zelf over schrijven. De voorbeelden gaan over WordPress; de volgorde geldt ook voor andere systemen.

Gaat het niet om je website, maar om je e-mail, social media of een ander account? Dan zijn andere stappen nodig. Die beschrijft het NCSC op de pagina Hoe herstel je een gehackt account?

Signalen dat je website gehackt is

WordPress raadt aan om eerst precies te benoemen welke symptomen je ziet. Dat helpt iedereen die je om hulp vraagt. De signalen hieronder komen uit de documentatie van WordPress en Google.

Wordt je site misbruikt voor spam, dan kunnen blokkadelijsten voor e-mail volgens WordPress het IP-adres van de server markeren. Draait je mail op dezelfde server, dan kan ook die worden geweigerd.

Weet je niet zeker of het een hack is of een storing? Daarover meer in de vragen onderaan.

Website gehackt: eerst vastleggen, dan de toegang dichtzetten

Voordat je iets herstelt, wil je twee dingen: weten wat er precies is gebeurd en de aanvaller geen ruimte meer geven. Verwijder in deze fase nog niets.

De site veilig offline halen

Google raadt in web.dev aan om de webserver te stoppen, of je domein tijdelijk naar een pagina op een andere server te laten wijzen die de statuscode 503 geeft. Je hostingpartij kan dat mogelijk voor je regelen. Niet genoeg zijn: een foutcode op de besmette server zelf, want de schadelijke inhoud kan dan nog steeds bij bezoekers komen, en een blokkade in robots.txt, want die houdt alleen zoekmachines tegen. Volgens dezelfde bron schaadt het je posities in Google waarschijnlijk niet als je site tijdelijk offline is.

Welke manier past, hangt af van de hack en van je site. Werkt je site met een CMS zoals WordPress en heb je het beheer nog zelf in handen, dan kun je met een onderhoudsmodus bezoekers tijdelijk een melding tonen. Bedenk wel dat die modus op dezelfde server draait: bestanden die de aanvaller buiten het CMS om heeft geplaatst, kunnen nog bereikbaar zijn. Is het beheer zelf overgenomen, of heeft je site geen CMS, dan kan dit niet en vraag je je host de site uit te zetten of een 503-pagina te tonen. Twijfel je, kies dan voor de host.

Alle toegang opnieuw instellen

Een nieuw beheerderswachtwoord is niet genoeg. WordPress noemt alle toegangspunten: FTP of SFTP, het beheer van je website, het beheerpaneel van je hostingpartij en de database. En niet alleen je eigen account, maar alle gebruikers die toegang hebben. Kijk ook welke gebruikers er zijn: web.dev adviseert accounts die een aanvaller heeft aangemaakt eerst te noteren en daarna te verwijderen.

Werk je met WordPress, vernieuw dan ook de geheime sleutels in het bestand wp-config.php. Iedereen die nog is ingelogd, wordt daardoor uitgelogd, ook een aanvaller. Gebruik lange, unieke wachtwoorden uit een wachtwoordmanager en overweeg tweestapsverificatie, zodat een wachtwoord alleen niet meer genoeg is om in te loggen.

Als er klantgegevens op de server stonden

Heb je een webshop of een site met klantaccounts, bespreek dan met je host ook welke gegevens op de server stonden en of die ingezien kunnen zijn. Zijn er persoonsgegevens gelekt, dan kan er een meldplicht gelden. Volgens Ondernemersplein moet je een datalek melden bij de Autoriteit Persoonsgegevens als er gevolgen kunnen zijn voor de mensen van wie de gegevens zijn gelekt, en wel binnen 72 uur nadat je het datalek ontdekt. Twijfel je, dan raadt Ondernemersplein aan om toch te melden. Houdt het lek waarschijnlijk een hoog risico in voor de mensen van wie de gegevens zijn, dan moet je hen ook zelf onverwijld informeren (AVG, artikel 34), op enkele uitzonderingen na, zoals versleutelde gegevens waarvan de sleutel veilig is. Een datalek dat je niet hoeft te melden, noteer je wel in je eigen datalekregister. Dit is geen juridisch advies.

Je website schoonmaken of terugzetten

Nu de toegang dicht is, kun je herstellen. Er zijn twee routes.

Route 1: een schone back-up terugzetten

Heb je een back-up van vóór de hack, dan kun je die terugzetten. Controleer wel dat die echt van vóór de besmetting is: als je niet weet wanneer de aanvaller binnenkwam, weet je ook niet of je back-up schoon is. Vraag je hostingpartij welke back-ups er zijn en hoe ver die teruggaan.

Route 2: de besmette bestanden vervangen

Is er geen schone back-up, dan vervang je de software door schone versies. WordPress geeft daarbij drie aandachtspunten:

• Dezelfde versie. Installeer precies de versie die je site nu gebruikt. Met een oudere of nieuwere versie loop je het risico dat je site niet meer werkt.
• Niet via de knop in het beheer. Gebruik FTP of SFTP om de bestanden te vervangen. De herinstallatieknop in het WordPress-beheer overschrijft vaak alleen bestaande bestanden, terwijl een hack vaak nieuwe bestanden toevoegt.
• Bekende doelwitten. Kijk extra goed naar bestanden als index.php, header.php en footer.php. Wordt een van deze bestanden aangepast, dan kan dat meestal alle pagina’s van je site raken. Kijk ook naar .htaccess: volgens WordPress een van de bestanden die bij hacks het vaakst worden aangepast en misbruikt.

De mappen /wp-admin en /wp-includes kun je volgens WordPress veilig vervangen. In /wp-content staan je thema en plugins; daar ga je zorgvuldiger te werk. Scanners helpen bij het zoeken. WordPress noemt plugins die van binnenuit kijken en externe scanners zoals VirusTotal en Sucuri SiteCheck; samen vinden ze meer dan elk apart.

Vergeet je eigen computer niet

Volgens WordPress begint een infectie in veel gevallen op je eigen laptop of pc, met software die je inloggegevens voor FTP of het beheer afvangt. Scan je computer dus volledig op virussen en malware.

Bijwerken, wachtwoorden opnieuw en de oorzaak

Is de site schoon, werk dan WordPress, je thema en je plugins bij naar de nieuwste versie. Oudere versies zijn volgens WordPress kwetsbaarder voor hacks. Wijzig daarna alle wachtwoorden nog een keer. WordPress zegt dat met nadruk: ook als je ze al bij het ontdekken van de hack had gewijzigd.

Probeer tot slot te achterhalen hoe de aanvaller binnenkwam, zodat die route dicht gaat. Dat vraagt technische kennis en gegevens van de server.

Google laten weten dat je gehackte website weer schoon is

Heeft Google je site als gehackt of schadelijk aangemerkt, dan zie je dat in Search Console, in het rapport Beveiligingsproblemen. Google noemt drie hoofdsoorten: gehackte inhoud (zoals toegevoegde spam of code), malware en ongewenste software, en social engineering, waarbij bezoekers worden verleid om gegevens te geven of iets te downloaden. Zolang zo’n probleem er staat, kunnen je pagina’s in de zoekresultaten een waarschuwing krijgen en kunnen browsers bezoekers een waarschuwingspagina tonen. Voor je vindbaarheid in Google wil je die zo snel mogelijk kwijt.

Voordat je een beoordeling aanvraagt

Je kunt alleen een beoordeling aanvragen als je in Search Console toegang hebt tot je site als eigenaar of als gebruiker met volledige rechten. Staat je site nog niet in Search Console, voeg hem dan nu toe en verifieer hem. Controleer daarna of aan deze voorwaarden is voldaan:

1. Het probleem is op de hele site opgelost, niet alleen op de voorbeeld-URL’s in het rapport. Google zegt zelf dat die lijst niet volledig hoeft te zijn.
2. Het lek waardoor de aanvaller binnenkwam, is gedicht.
3. De schone site staat weer online en Google kan de pagina’s lezen. Ze worden dus niet tegengehouden door robots.txt of een noindex-tag.

Open besmette pagina’s daarbij niet zelf in je browser. Google raadt aan ze te controleren met de URL-inspectie in Search Console, of met een tool als cURL of Wget.

Het verzoek indienen

Kies in het rapport Beveiligingsproblemen voor “Beoordeling aanvragen”. Volgens Google bevat een goed verzoek drie dingen: welk probleem er precies was, welke stappen je hebt gezet en wat het resultaat is. Hier komt het verslag dat je bij de eerste stappen maakte van pas. Daarna wacht je af; hoe lang dat duurt en waarom je niet te vroeg moet indienen, lees je in de vragen onderaan.

Zo voorkom je dat je website opnieuw gehackt wordt

Een garantie tegen een hack bestaat niet. Wel kun je het risico kleiner maken. De maatregelen die WordPress noemt:

• Bijwerken. Houd het systeem, je thema en je plugins actueel.
• Sterke, unieke wachtwoorden voor elk toegangspunt, voor iedere gebruiker.
• Tweestapsverificatie voor het beheer van je website.
• Regelmatige back-ups van zowel je bestanden als je database. Vraag je hostingpartij wat hun beleid voor back-ups is.
• Aanmelden bij Search Console, zodat je een melding van Google niet mist.

Dat bijwerken niet het hele verhaal is, lieten twee incidenten in 2026 zien. Volgens Patchstack (15 april 2026) bevatte een reeks plugins van EssentialPlugin uit de bibliotheek van WordPress.org een achterdeur: de plugins waren in 2025 verkocht, de nieuwe eigenaar voegde de code in september 2025 toe in een gewone update, en op 5 april 2026 werd hij gebruikt. Het pluginteam van WordPress.org sloot de plugins en bracht een geforceerde update uit. Op 21 oktober 2026 bracht PHP, de programmeertaal waarop WordPress draait, beveiligingsupdates uit voor twee kritieke kwetsbaarheden waarmee aanvallers code op de server konden laten uitvoeren, met het advies direct bij te werken. Dat lek zat niet in een plugin maar op de server. Weet dus welke plugins je gebruikt en van wie ze zijn, lees de meldingen van je host en vraag na of de PHP-versie op je server is bijgewerkt.

Een website die goed is opgezet en daarna wordt bijgehouden, maakt dit makkelijker. Wat WordPress aan onderhoud vraagt, lees je in wat is WordPress. Laat je een website bouwen, spreek dan af wie het onderhoud doet; zie ook websites.