Hoe herstel je een gehackte WordPress-website?

Een gehackte WordPress-website is een nachtmerrie die helaas vaker voorkomt dan je denkt. In 2025 werden er meer dan 11.000 nieuwe kwetsbaarheden ontdekt in het WordPress-ecosysteem. De kans dat jouw site doelwit wordt, is dus reëel. Maar goed nieuws: met een gestructureerde aanpak herstel je de schade en voorkom je herhaling.

In deze gids doorloop je stap voor stap wat je moet doen na een hack. Van het bevestigen van de inbraak tot het aanvragen van een heroverweging bij Google. Sla geen stappen over. Elke stap bouwt voort op de vorige, en een halve opschoning is erger dan geen opschoning.

Bevestig dat je WordPress-website daadwerkelijk gehackt is

Voordat je in actie komt, wil je zeker weten dat er sprake is van een hack. Hackers proberen zo lang mogelijk onzichtbaar te blijven. Ze verzamelen gegevens of misbruiken je server terwijl jij niets merkt. Controleer je site daarom niet alleen als ingelogde beheerder, maar ook als anonieme bezoeker. Sommige omleidingen zijn namelijk bewust alleen actief voor niet-ingelogde gebruikers.

Veelvoorkomende signalen die wijzen op een gehackte WordPress-site:

• Onverwachte omleidingen naar verdachte of vreemde websites
• Google-waarschuwingen dat je site schadelijk is of malware bevat
• Onbekende beheerders in je WordPress-dashboard, zoals “wpadmin2” of willekeurige tekstreeksen
• Niet kunnen inloggen met het juiste wachtwoord
• Plotselinge daling in websiteverkeer zonder duidelijke reden
• Hoog servergebruik of onverklaarbare e-mailproblemen

Twijfel je nog? Controleer je site via het Google Transparantierapport Deze link opent in een nieuw tabblad. Dat vertelt je direct of Google malware of phishing-content heeft gedetecteerd. Zie je daar een melding staan, dan is de bevestiging rond en is het tijd voor de volgende stap.

Zet de website direct in onderhoudsmodus

Zodra je een hack vermoedt of bevestigt, zet je de website zo snel mogelijk offline of in onderhoudsmodus. Zo voorkom je dat bezoekers worden doorgestuurd naar malware en beperk je de reputatieschade. Elke minuut dat je site bereikbaar is voor bezoekers terwijl hij besmet is, vergroot het probleem.

Je hebt meerdere manieren om de onderhoudsmodus te activeren:

1. Installeer een plugin zoals SeedProd of WP Maintenance Mode en activeer de onderhoudspagina. Zorg dat de plugin een HTTP-statuscode 503 teruggeeft, zodat zoekmachines begrijpen dat de site tijdelijk niet beschikbaar is.
2. Gebruik WP-CLI via de server met het commando wp maintenance-mode activate. Na herstel schakel je dit weer uit met wp maintenance-mode deactivate.
3. Maak handmatig via FTP een leeg bestand aan met de naam .maintenance in de hoofdmap van WordPress. Verwijder dit bestand weer zodra de opschoning klaar is.

Na activatie zie je bij het bezoeken van je site een onderhoudspagina in plaats van de gewone inhoud. Controleer dit ook als niet-ingelogde bezoeker. Een korte periode in onderhoudsmodus heeft geen noemenswaardige invloed op je SEO, mits de juiste statuscode wordt meegegeven.

Maak een back-up en verzamel toegangsgegevens

Dit klinkt misschien tegenstrijdig, maar maak eerst een kopie van de besmette site. Je hebt die kopie nodig als bewijsmateriaal en om later te analyseren hoe de hacker is binnengekomen. Zet deze kopie nooit zomaar terug als back-up, maar bewaar hem apart.

Zo maak je een volledige back-up van de besmette installatie:

1. Download alle bestanden via FTP/SFTP naar je computer, inclusief de volledige map public_.
2. Exporteer de database via phpMyAdmin. Hierin staan alle pagina’s, teksten, instellingen en gebruikersgegevens opgeslagen.
3. Bewaar deze kopie op een aparte locatie, los van je website en reguliere back-ups.

Verander daarna direct alle toegangsgegevens. Doe dit grondig en in één keer, anders laat je een achterdeur openstaan. Wijzig ook de beveiligingssleutels in het bestand wp-config.php. Als er persoonsgegevens zijn gelekt, ben je verplicht dit binnen 72 uur te melden bij de Autoriteit Persoonsgegevens Deze link opent in een nieuw tabblad.

Verander minimaal de volgende gegevens:

• WordPress-beheerderwachtwoord
• Hostingaccountwachtwoord
• FTP/SFTP-wachtwoord
• Databasewachtwoord
• E-mailadres gekoppeld aan het beheerdersaccount
• Beveiligingssleutels in wp-config.php

Verwijder malware en herstel besmette bestanden

Dit is de meest technische stap. Malware verstopt zich op slimme plekken: in de map wp-content/mu-plugins/ (bestanden die automatisch laden en niet in de pluginlijst verschijnen), in wp-config.php, in .htaccess, in de uploads-map en zelfs in de database zelf. Een oppervlakkige scan mist dat laatste volledig.

Doorloop de opschoning systematisch:

1. Installeer een beveiligingsplugin zoals Wordfence, MalCare of Sucuri SiteCheck en draai een volledige scan. De plugin vergelijkt je bestanden met de originele WordPress-kernbestanden en markeert afwijkingen.
2. Herstel gemarkeerde kernbestanden via de “Repair”-functie van de plugin of door ze te vervangen door een verse download van dezelfde WordPress-versie.
3. Controleer handmatig de map wp-content/uploads op PHP-bestanden die daar niet horen te staan.
4. Deactiveer en verwijder alle onbekende of niet-herkende plugins, en verwijder zeker alle “nulled” (illegale) plugins en thema’s.
5. Controleer de WordPress-database via phpMyAdmin op verdachte code in de tabel wp_options.

Let op: een simpele restore van een oude back-up is zelden voldoende. Hackers plaatsen backdoors waarmee ze later opnieuw binnenkomen. Zolang de oorzaak niet is weggenomen, keert de malware terug. Kom je er zelf niet uit, dan lost een specialist het probleem doorgaans binnen een dag op. De herstelkosten lopen afhankelijk van de complexiteit uiteen van een paar honderd tot enkele duizenden euro’s.

Sluit de beveiligingslekken die de hack mogelijk maakten

De malware is weg, maar de voordeur staat nog open. Zonder het onderliggende lek te dichten, is het een kwestie van tijd voordat je site opnieuw wordt getroffen. De meeste hacks zijn geen gerichte aanvallen maar geautomatiseerde scans: bots die het internet afstruinen op zoek naar bekende kwetsbaarheden. Onderzoek van Patchstack laat zien dat 97% van de WordPress-kwetsbaarheden afkomstig is uit plugins, niet uit WordPress zelf.

Neem de volgende maatregelen om de lekken te dichten:

• Update alles: WordPress core, alle thema’s en alle plugins. Verouderde software is de nummer één oorzaak van gehackte sites.
• Verwijder ongebruikte plugins en thema’s: ook gedeactiveerde plugins zijn kwetsbaar.
• Gebruik geen “nulled” plugins: gratis versies van betaalde plugins van onbetrouwbare bronnen bevatten vrijwel altijd malware.
• Verander de beheerdersgebruikersnaam: gebruik nooit “admin”. Maak een nieuw account aan met een niet voor de hand liggende naam en verwijder het oude account.
• Gebruik SFTP of SSH in plaats van onversleuteld FTP, zodat inloggegevens niet als platte tekst over het internet gaan.

Controleer ook of de kwetsbaarheid in een specifieke plugin zat en of daar inmiddels een beveiligingsupdate voor beschikbaar is. Als die er niet is, verwijder de plugin dan definitief.

Controleer en herstel gebruikersaccounts en rechten

Na een hack is het standaard dat hackers extra beheerders aanmaken of bestaande rechten aanpassen. Soms vergrendelen ze jouw account en vragen ze geld om de toegang terug te geven. Een grondige controle van alle gebruikersaccounts is daarom geen optie maar een vereiste.

Controleer en herstel gebruikersaccounts op deze manier:

1. Ga naar Gebruikers in het WordPress-dashboard en verwijder alle accounts die je niet herkent of niet zelf hebt aangemaakt.
2. Controleer of bestaande accounts de juiste rol hebben. Geef gebruikers alleen de rechten die ze echt nodig hebben: iemand die teksten plaatst, heeft geen beheerdersrechten nodig.
3. Verwijder inactieve accounts volledig. Een account dat niemand gebruikt, is een open achterdeur.
4. Activeer tweefactorauthenticatie (2FA) voor alle beheerders en redacteuren. 2FA voegt een extra laag toe: naast het wachtwoord is een tweede verificatie via een app vereist.
5. Als je de toegang tot het dashboard kwijt bent, voeg dan een nieuw beheerdersaccount toe via phpMyAdmin in de database.

Trek ook de rechten in van externe ontwikkelaars of bureaus waarmee je niet meer samenwerkt. Geef externe partijen altijd een eigen account en verwijder dat account zodra de samenwerking klaar is. Na deze stap heb je de volledige controle over je site terug.

Verzoek Google om heroverweging na een hack

Als Google je site heeft gemarkeerd als onveilig, verschijnen er waarschuwingen in de zoekresultaten of zelfs een interstitial-pagina in de browser. Die waarschuwingen verdwijnen niet vanzelf, ook niet als je site al schoon is. Je moet Google actief vragen om je site opnieuw te beoordelen.

Doorloop de volgende stappen voor een heroverwegingsverzoek:

1. Log in op Google Search Console en open het rapport Beveiligingsproblemen.
2. Controleer welke specifieke problemen Google heeft gedetecteerd en noteer ze.
3. Klik op “Herstel aanvragen” en beschrijf gedetailleerd welke stappen je hebt gezet om de malware te verwijderen en de lekken te dichten. Vage beschrijvingen worden afgewezen.
4. Gebruik de URL-blokkeringstool in Search Console om URL’s te blokkeren die de hacker heeft aangemaakt en die nog in de index staan.
5. Wacht op de beoordeling. Volgens de officiële Google-documentatie Deze link opent in een nieuw tabblad duurt een beoordeling een paar dagen tot een paar weken.

Dien geen nieuw verzoek in voordat je een definitief besluit hebt ontvangen op het openstaande verzoek. Wordt je verzoek afgewezen, dan is de opschoning waarschijnlijk niet volledig geweest. Controleer je site opnieuw en dien daarna een nieuw verzoek in. Er geldt ook een korte vertraging in het waarschuwingssysteem: het kan enkele dagen duren voordat updates zichtbaar zijn in Chrome en Search Console.

Voorkom een volgende hack met structurele beveiliging

Je site is schoon, Google heeft de waarschuwingen verwijderd en alles draait weer normaal. Nu is het moment om te investeren in preventie. Preventief onderhoud kost een fractie van de kosten van een hack. Structurele WordPress-beveiliging is geen eenmalige actie maar een doorlopend proces.

Zet de volgende maatregelen structureel in:

• Beveiligingsplugin met firewall: installeer Wordfence of Sucuri en activeer een Web Application Firewall (WAF). Combineer dit eventueel met Cloudflare voor een dubbele beschermingslaag.
• Automatische updates: schakel automatische updates in voor kleine beveiligingsupdates van WordPress core en houd thema’s en plugins altijd actueel.
• Dagelijkse back-ups: sla back-ups op een externe locatie op, met minimaal 30 dagen bewaring.
• Tweefactorauthenticatie (2FA): verplicht voor elk account met beheerderstoegang, inclusief het hostingcontrolepaneel.
• Minimale rechten: geef gebruikers alleen de toegang die ze nodig hebben. Eén account zonder 2FA is genoeg voor een nieuwe inbraak.
• SFTP of SSH: gebruik nooit onversleuteld FTP voor bestandsoverdracht.

Wil je WordPress-beveiliging volledig uit handen geven? Bij Stuurlui zit veilig coderen in het DNA. Van OWASP-kennis tot code reviews en pentests. Bekijk wat we doen op het gebied van WordPress website laten maken en hoe we beveiliging vanaf dag één meenemen in elk project.

Een gehackte website is vervelend, maar herstelbaar. Volg je deze stappen consequent op, dan sta je er sterker voor dan daarvoor. Heb je hulp nodig bij de opschoning of wil je voorkomen dat het ooit zover komt? Neem contact op met ons team. We denken graag met je mee.