Je website is gehackt: wat nu? Herkennen, opkuisen en voorkomen

Gepubliceerd op 12 oktober 2026

Is je website gehackt, blijf dan rustig, maak een kopie, verander al je wachtwoorden en kuis daarna grondig op. Pas als alles schoon en bijgewerkt is, vraag je Google om de waarschuwing weg te halen.

Een hack merk je niet altijd meteen. Hieronder lees je aan welke signalen je hem herkent, wat je in welke volgorde doet en hoe je voorkomt dat het opnieuw gebeurt.

TL;DR

Wat: Een gehackte website is een site waar iemand zonder toestemming binnen is en spam, doorverwijzingen of malware heeft toegevoegd.
Hoe: Kopie maken, hosting verwittigen, alle wachtwoorden veranderen, scannen, WordPress, plugins en thema opnieuw installeren, updaten en daarna een review aanvragen in Google Search Console.
Conclusie: De meeste hacks komen binnen via verouderde plugins, zwakke wachtwoorden of illegale thema's. Wie maandelijks updatet, tweestapsverificatie gebruikt en een back-up buiten de server heeft, verkleint het risico sterk.

1) Hoe weet je dat je website gehackt is?

Meestal merk je het aan iets wat je niet zelf gedaan hebt: bezoekers die op een spamsite belanden, vreemde resultaten in Google of een waarschuwing in je browser. Hackers doen hun best om onzichtbaar te blijven, dus vaak ziet de eigenaar het als laatste.

De signalen op een rij

• Doorverwijzingen naar spam. Je site stuurt bezoekers door naar een gokwebsite, een nepwinkel of een pornosite. Vaak gebeurt dat alleen op mobiel of alleen voor wie via Google binnenkomt. Typ je je adres zelf in op je laptop, dan zie je niets.
• Japanse of andere vreemde spam in Google. Typ site:jouwdomein.be in Google. Zie je pagina's met Japanse tekens, merknamen van sneakers of medicijnen die je nooit verkocht hebt? Dan zijn er pagina's aan je site toegevoegd. Google noemt dat de Japanese keyword hack.
• Een rode waarschuwing in Chrome. Een volledig rood scherm met "Misleidende site" of een melding over malware. Chrome gebruikt daarvoor de lijsten van Google Safe Browsing.
• Een melding in Search Console. In Google Search Console staat onder Beveiliging een melding bij Beveiligingsproblemen, en je krijgt meestal ook een mail.
• Vreemde beheerders. In WordPress staat bij Gebruikers een beheerder die je niet kent, vaak met een nietszeggende naam.
• Je hostingpartij zet je site offline of meldt dat je server spam verstuurt.
• Bezoekers klagen dat hun virusscanner alarm slaat op je website.

Spamreacties of een stroom nepinschrijvingen betekenen niet automatisch dat je gehackt bent. Dat is vervelend, maar het is iets anders. Wat je daartegen doet, lees je in ons artikel over spam in WordPress.

2) Je website is gehackt: wat doe je eerst?

Blijf rustig en werk in een vaste volgorde. Wie in paniek plugins begint te wissen, vernietigt sporen en mist vaak de achterdeur die de hacker heeft achtergelaten.

1. Noteer wat je ziet. Wat is er mis, sinds wanneer, en wat is er recent veranderd? Een nieuwe plugin, een update, een nieuwe medewerker met een login? Neem schermafbeeldingen. Dat helpt jou of wie je site opkuist.
2. Maak een kopie van de besmette site. Bestanden en database, ook al zit de hack erin. Gaat er iets mis tijdens het opkuisen, dan heb je tenminste nog iets om op terug te vallen.
3. Verwittig je hostingpartij. Zeker op gedeelde hosting kan de hack meer raken dan jouw site. Je host kan ook zeggen of er nog een oudere back-up bestaat.
4. Verander alle wachtwoorden. Niet alleen je WordPress-login. Ook die van je hosting, FTP of SFTP, de database en de mailboxen op hetzelfde domein. Doe dat vanaf een computer die je eerst met een virusscanner hebt nagekeken. Vervang ook de beveiligingssleutels in wp-config.php, dan wordt iedereen die nog ingelogd is buitengezet.
5. Zet de site offline of in onderhoudsmodus als hij bezoekers doorstuurt of malware verspreidt. Liever een paar uur geen website dan klanten die op een phishingpagina belanden.
6. Scan. Een beveiligingsplugin zoals Wordfence of Sucuri scant de bestanden, een externe scanner zoals Sucuri SiteCheck of VirusTotal bekijkt de site van buitenaf. Samen geven ze een beter beeld. Een scanner vindt niet alles, dus zie het als een begin.
7. Kuis op. Daarover meer in het volgende deel.
8. Update alles en verander de wachtwoorden opnieuw. Pas als de site schoon is. Wachtwoorden die je tijdens de hack veranderde, kunnen al opnieuw onderschept zijn.
9. Vraag een review aan in Search Console als Google een waarschuwing toont.

Vraagt een hacker geld om je site terug te geven? Betaal niet. Je hebt geen enkele garantie dat je iets terugkrijgt, en je bevestigt dat je een gewillig doelwit bent.

Stonden er persoonsgegevens van klanten op je site, zoals bestellingen of formulierinzendingen, en zijn die mogelijk gelekt? Dan moet je dat in principe binnen 72 uur melden bij de Gegevensbeschermingsautoriteit, tenzij het lek waarschijnlijk geen risico inhoudt voor de betrokkenen.

3) Hoe kuis je een gehackte WordPress-site op?

Je vervangt alles wat je opnieuw kan downloaden door een schone versie, en je controleert met de hand wat je niet kan vervangen. Alleen de verdachte bestanden wissen die een scanner vindt, is zelden genoeg.

Wat je vervangt

• WordPress zelf. De mappen wp-admin en wp-includes kan je volledig vervangen door een verse download van wordpress.org, van dezelfde versie. Doe dat via FTP of je bestandsbeheer, niet via de herinstallatieknop in het dashboard. Die overschrijft bestaande bestanden, maar laat bestanden staan die de hacker toegevoegd heeft.
• Plugins en thema's. Verwijder ze en installeer ze opnieuw vanuit de officiële bron. Gooi wat je niet gebruikt meteen weg. Een uitgeschakelde plugin kan nog altijd een lek bevatten.

Wat je nakijkt

• Het bestand .htaccess, een favoriete plek voor doorverwijzingen.
• De map uploads. Daar horen afbeeldingen en documenten, geen PHP-bestanden.
• wp-config.php en de bestanden van je thema, zoals functions.php, header.php en footer.php.
• De gebruikers. Verwijder elke beheerder die je niet kent.
• De database, op zoek naar ingevoegde scripts in berichten en instellingen.

Een back-up terugzetten?

Dat kan, als je zeker weet dat de back-up van vóór de hack is. Dat is lastiger dan het klinkt. Veel hacks zitten weken of maanden stil in een site voor iemand ze opmerkt. Zet je een besmette back-up terug, dan begint alles opnieuw. En ook na een schone back-up moet je updaten: het lek waarlangs de hacker binnenkwam, zit er nog in.

4) Hoe wordt een website gehackt?

Bijna nooit door een hacker die jouw bedrijf persoonlijk viseert. Het gaat om geautomatiseerde scripts die dag en nacht het internet afschuimen naar websites met een bekend lek. Jouw site is geen doelwit, hij is een gelegenheid.

Verouderde plugins en thema's

De belangrijkste oorzaak. Raakt er een lek in een populaire plugin bekend, dan zoeken bots binnen enkele dagen naar sites die nog de oude versie draaien. Staan je plugins al maanden niet meer bijgewerkt, dan mag je je zorgen maken. Lees ook wat WordPress-updates precies doen.

Zwakke of hergebruikte wachtwoorden

Een login als admin met een wachtwoord dat je ook voor je webmail gebruikt, is een open deur. Lekt het wachtwoord ergens anders uit, dan proberen bots het ook op je website. Zonder tweestapsverificatie volstaat dat ene wachtwoord om binnen te geraken.

Nulled thema's en plugins

Nulled software is een betalend thema of plugin die iemand gekraakt en gratis online gezet heeft. Dat lijkt een koopje, maar vaak zit er al een achterdeur in nog voor je hem installeert. Updates krijg je evenmin. Dit is de cowboypraktijk die we het vaakst terugzien bij websites die voor een prikje gebouwd zijn.

Andere ingangen

• Oude accounts van ex-medewerkers, stagiairs of een vorig webbureau die nooit verwijderd zijn.
• Een besmette computer die je wachtwoorden onderschept.
• Een verouderde PHP-versie op de server, of andere oude websites op hetzelfde hostingaccount die besmet raken en de rest meenemen.

5) Hoe krijg je de waarschuwing in Google weer weg?

Via het rapport Beveiligingsproblemen in Search Console. Daar vraag je een review aan zodra je site volledig opgekuist is.

• Kuis eerst alles op. Niet alleen de voorbeeld-URL's die Google toont, maar elke besmette pagina. Een review voor een half opgekuiste site wordt afgewezen.
• Controleer wat Google ziet. Sommige hacks tonen de spam alleen aan Googlebot. Dat heet cloaking. Met de URL-inspectie in Search Console zie je de pagina zoals Google ze ziet.
• Kijk je sitemap na. Hackers voegen soms hun eigen spampagina's toe aan je sitemap of plaatsen een tweede sitemap.
• Laat spampagina's verdwijnen. Zorg dat de URL's die de hacker aanmaakte een 404 of 410 geven, niet doorverwijzen naar je homepage. Dan verdwijnen ze na verloop van tijd uit de zoekresultaten.
• Vraag de review aan en beschrijf kort wat er mis was en wat je gedaan hebt. Dien geen nieuwe aanvraag in zolang er een loopt.

Google zegt zelf dat zo'n review van enkele dagen tot enkele weken kan duren (Google over het rapport Beveiligingsproblemen). De waarschuwing in Chrome verdwijnt zodra de review goedgekeurd is. Je posities kunnen in de tussentijd gezakt zijn. Wanneer en hoeveel ze herstellen, kan niemand je beloven.

6) Hoe voorkom je dat je website opnieuw gehackt wordt?

Door je website te onderhouden zoals je auto: geregeld, en niet pas wanneer er rook uit de motorkap komt. Een website hackvrij garanderen kan niemand, maar de meeste hacks zijn met deze basis te vermijden.

• Update elke maand, en beveiligingsupdates meteen. Controleer daarna of je formulieren en webshop nog werken. Meer daarover in hoe vaak update je jouw website?
• Gebruik sterke, unieke wachtwoorden uit een wachtwoordmanager, en tweestapsverificatie voor elke beheerder.
• Geef niemand meer rechten dan nodig. Een copywriter heeft geen beheerdersaccount nodig. Ruim oude accounts op.
• Installeer enkel plugins en thema's van betrouwbare bronnen, en nooit nulled versies.
• Maak elke dag een back-up op een andere plek dan je server, en test af en toe of terugzetten echt lukt.
• Zet een firewall voor je site. Het gratis plan van Cloudflare houdt al heel wat geautomatiseerd verkeer tegen. Hoe dat werkt, lees je in ons artikel over Cloudflare voor je website.
• Draai een ondersteunde PHP-versie en laat oude, vergeten websites niet op hetzelfde hostingaccount staan.

Wil je dat niet zelf doen? Bij KNEET kost hosting en beheer 195 euro per maand, met geteste updates, dagelijkse back-ups en beveiliging. Wat onderhoud elders kost en wat er in een goed contract hoort, lees je in wat kost het onderhoud van een website?

7) Wanneer laat je het opkuisen aan een specialist over?

Wanneer je niet zeker weet of je alles gevonden hebt. Een hack die half opgekuist is, komt meestal binnen enkele dagen terug, want de achterdeur staat nog open.

Roep zeker hulp in als:

• je geen toegang meer hebt tot je dashboard of hosting;
• de hack terugkomt nadat je hem opgekuist hebt;
• je een webshop hebt met klantgegevens en betalingen;
• Google of je host je site geblokkeerd heeft en elke dag omzet kost.

Via onze WordPress-hulp bekijken we eerst gratis wat er aan de hand is. Daarna krijg je een vrijblijvende raming. Duurt het twintig minuten, dan rekenen we geen zes uur aan. Wil je eerst beter begrijpen hoe WordPress in elkaar zit, lees dan WordPress uitgelegd.

Samenvattend

Een gehackte website herken je aan doorverwijzingen naar spam, vreemde pagina's in Google, een waarschuwing in Chrome of Search Console en beheerders die je niet kent. Blijf rustig, maak een kopie, verander alle wachtwoorden, kuis grondig op en vraag pas daarna een review aan bij Google.

De meeste hacks komen binnen via verouderde plugins, zwakke wachtwoorden en gekraakte thema's. Maandelijks updaten, tweestapsverificatie en een back-up buiten je server zijn geen luxe. Ze kosten minder dan één dag offline.

Twijfel je of je website veilig is, of zit je nu met een hack? Laat het ons vrijblijvend weten, dan kijken onze astronauten mee.

Dit artikel werd geschreven door KNEET.

Wij zijn een Belgisch marketingbureau met een sterke focus op online marketing via kanalen zoals Facebook, Instagram, nieuwsbrieven en Google Ads. Daarnaast bouwen en optimaliseren we converterende websites en webshops.
Sinds 2016 kenden we al 100+ tevreden klanten in tal van sectoren.
Maken we binnenkort eens vrijblijvend kennis?