Website gehackt? Wat je in het eerste uur doet

WindowsMacBijgewerkt 2026-10-23

De herstelgids van Google voor gehackte sites begint bij je hostingpartij. Daarna haal je de site offline als dat kan, wijzig je elk wachtwoord dat toegang geeft, kijk je naar beheerders die je niet zelf hebt aangemaakt, update je de software en zet je een back-up terug van voor de hack. Persoonsgegevens en aangifte komen als laatste. Deze gids is bijgewerkt tot 23 oktober 2026.

Kort antwoord

Neem contact op met je hostingpartij en vraag hulp om de site offline te halen. Wijzig de wachtwoorden van hosting, beheer, database en FTP. Verwijder beheerders die je niet kent. Update PHP en WordPress of je CMS, en zet daarna een schone back-up terug. Bekijk het rapport over beveiligingsproblemen in Google Search Console. Kunnen klantgegevens geraakt zijn, volg dan de stappen van de Autoriteit Persoonsgegevens.

Wat doe ik als eerste als mijn website gehackt is?

Neem contact op met je hostingpartij. Volgens de herstelgids van Google kan je host nagaan of andere klanten niet ook geraakt zijn, en kan hij misschien helpen de site te herstellen. WordPress voegt toe dat een hack bij gedeelde hosting meer dan alleen jouw site kan raken.

Schrijf op wat je ziet en wanneer je het merkte. WordPress noemt dit de eerste concrete stap.
Bewaar bewijs. Veiliginternetten.nl raadt slachtoffers van cybercrime aan zo veel mogelijk informatie te bewaren, bijvoorbeeld met screenshots, omdat de politie die kan gebruiken.
Laat je host weten dat de site is binnengedrongen en vraag welke back-ups hij heeft.
Vraag hem de site offline te halen of je daarbij te helpen. Google zegt dat dit voorkomt dat schadelijke bestanden bij bezoekers terechtkomen, en dat een blokkade via robots.txt niet genoeg is, omdat die alleen zoekmachines tegenhoudt.
Bepaal of je het zelf kunt oplossen. Google zegt dat je daarvoor code moet kunnen lezen en met serverhulpmiddelen op de opdrachtregel moet kunnen werken. Zo niet, vraag dan je host of een deskundige.

Welke wachtwoorden wijzig ik, en wat doe ik met beheerders?

Alle wachtwoorden die toegang geven tot de site. Google noemt de logins voor FTP, de database, systeembeheerders en het contentmanagementsysteem, en zegt dat je moet nagaan of de aanvaller een gebruikersaccount heeft aangemaakt. WordPress noemt ook cPanel of elk ander hostingpaneel, voor iedere gebruiker met toegang.

Wijzig de wachtwoorden van je hostingaccount en je beheerpaneel.
Wijzig de FTP- of SFTP-wachtwoorden.
Wijzig het databasewachtwoord. WordPress merkt op dat het nieuwe wachtwoord ook in wp-config.php moet.
Open de lijst met gebruikers van je site (in WordPress: Gebruikers in het dashboard). Noteer accounts die je niet herkent en verwijder ze daarna.
Stel nieuwe wachtwoorden in voor alle overgebleven beheerders.
Wijzig ze allemaal nog een keer als de site schoon is. Volgens WordPress moeten de wachtwoorden die je bij de ontdekking wijzigde, na het opschonen opnieuw worden gewijzigd.

WordPress raadt ook aan je eigen computer met een virusscanner te controleren, omdat sommige aanvallen beginnen met het stelen van FTP- of beheerlogins van de computer van de eigenaar.

Moet ik een back-up terugzetten?

Ja, als je er een hebt van voor de hack. De hulp van Google Search Console noemt het terugzetten van de laatste goede back-up als manier om een gehackte site op te schonen. WordPress raadt aan eerst nog een kopie van de besmette site te maken, als referentie voor als er iets misgaat.

Maak eerst die kopie van de huidige site.
Kies een back-up van voor de datum waarop je het probleem voor het eerst zag.
Zet hem terug, of vraag je host dat te doen.
Update alles meteen, voordat de site weer online gaat. Een teruggezette back-up bevat nog de oude software waarmee de aanvaller mogelijk binnenkwam.

Moet ik PHP en WordPress updaten?

Ja. PHP herstelde op 21 oktober 2026 twee kritieke kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, die volgens het NCSC zonder authenticatie op afstand kunnen worden misbruikt om code uit te voeren. Bijgewerkt tot 23 oktober 2026: het NCSC kent één melding van mogelijk misbruik in het buitenland, zonder bevestiging dat de aanval slaagde, en het advies van QNAP van 22 oktober meldt dat pogingen tot misbruik van PHP publiekelijk zijn gerapporteerd.

Controleer of je site op een herstelde PHP-versie draait. De PHP-versie van je website controleren geeft de lijst.
Draai je op PHP 8.1 of ouder, dan geeft het PHP-project daar geen reguliere updates meer voor. Vraag je host naar een overstap naar een ondersteunde versie.
Update WordPress naar de nieuwste versie. WordPress zegt dat oudere versies vatbaarder zijn voor hacks dan nieuwere.
Update ook je thema's en plugins.

Het Belgische CCB schrijft dat een update toekomstig misbruik kan tegenhouden, maar een eerdere inbraak niet herstelt. Updaten dicht het gat, maar haalt niet weg wat een aanvaller al heeft achtergelaten.

Hoe krijg ik de waarschuwing van Google weg?

Het rapport over beveiligingsproblemen in Search Console laat zien of Google gehackte content, malware of phishing op je site heeft gevonden, met voorbeeld-URL's.

Open het rapport Beveiligingsproblemen in Search Console.
Zoek met de voorbeeld-URL's de geraakte pagina's en los het probleem op je hele site op. Google zegt dat het niet genoeg is om alleen een paar pagina's te herstellen.
Is de site schoon, het gat gedicht en de site weer online, kies dan Beoordeling aanvragen.
Beschrijf wat je hebt gevonden en wat je hebt gedaan. Google zegt dat een beoordeling een paar dagen tot een paar weken kan duren.

Wat als klantgegevens geraakt kunnen zijn?

Staan er persoonsgegevens van klanten op de site, zoals namen, e-mailadressen of bestellingen, en kan iemand er toegang toe hebben gehad, dan gelden de regels voor datalekken. De Autoriteit Persoonsgegevens (AP) noemt deze stappen:

Zorg voor overzicht op de situatie.
Neem meteen maatregelen om het lek te stoppen en de schade te beperken, en schat de risico's in.
Bepaal of je het lek bij de AP moet melden. De AP schrijft dat je verplicht kunt zijn om binnen 72 uur te melden, en dat je moet melden tenzij het niet waarschijnlijk is dat het lek een risico oplevert voor de betrokkenen.
Bepaal of je de slachtoffers moet informeren. Volgens de AP moet dat als het lek waarschijnlijk een hoog risico voor hen oplevert.
Registreer het lek in je interne datalekregister. De AP zegt dat ook lekken die je niet meldt erin moeten.

In België meld je een gegevensinbreuk via het portaal van de Gegevensbeschermingsautoriteit (GBA), zonder onredelijke vertraging en indien mogelijk uiterlijk 72 uur nadat je ervan weet. De GBA schrijft dat meldingen per mail niet worden behandeld.

Meer vragen

Moet ik aangifte doen van een gehackte website?

Volgens politie.nl kun je aangifte van cybercrime doen via 0900-8844 of op een politiebureau, en bewaar je zo veel mogelijk informatie. Veiliginternetten.nl raadt aan bij het maken van de afspraak te vragen of er een digitaal rechercheur bij kan zijn. In België verwijst het CCB voor een inbraak naar zijn meldpagina voor incidenten.

Kan ik gewoon een back-up terugzetten en doorgaan?

Een back-up haalt weg wat de aanvaller heeft toegevoegd, maar niet de zwakke plek die hij gebruikte. WordPress zegt dat je na het opschonen de software updatet en de wachtwoorden nog eens wijzigt. Google zegt dat je pas een beoordeling aanvraagt als de kwetsbaarheid is opgelost.

Hoe weet ik of mijn website gehackt is?

WordPress noemt duidelijke signalen: de site wordt door Google of Bing gemarkeerd, je host heeft hem uitgeschakeld, hij wordt gemarkeerd voor malware, de virusscanner van bezoekers waarschuwt ervoor, of er zijn wijzigingen die niemand heeft goedgekeurd, zoals nieuwe gebruikers.

Waar vind ik gratis hulp bij een gehackte WordPress-site?

WordPress verwijst naar zijn eigen supportforums, met aparte secties voor hacks en malware. Google noemt het discussieforum van Google Search Central, met een subforum voor malware en gehackte sites.