WordPress gehackt? Zo herstel je je website snel en veilig

Snel antwoord: Is je WordPress website gehackt, zet hem dan eerst in onderhoudsmodus of offline, verander alle wachtwoorden en maak een back-up van de huidige staat. Scan daarna op malware, verwijder onbekende bestanden en admingebruikers, herstel een schone back-up en update WordPress, je thema en alle plugins. Sluit af met beveiliging zodat het niet opnieuw gebeurt. Kom je er niet uit, schakel dan snel hulp in.

Je opent je eigen site en er klopt iets niet. Vreemde teksten op de homepage, bezoekers die ineens naar een gokwebsite worden gestuurd of een waarschuwing van Google dat je pagina onveilig is. Een WordPress website gehackt voelt als thuiskomen en de voordeur open zien staan. Meestal is het te herstellen, en vaak sneller dan je denkt. Hieronder lopen we stap voor stap met je mee, van eerste hulp tot het dichttimmeren van de boel.

Hoe weet je of je WordPress website gehackt is?

Niet elke storing is een hack. Soms botst een plugin gewoon met een update. Maar sommige signalen moet je serieus nemen.

Je site is waarschijnlijk gehackt als je een of meer van deze dingen ziet:

• Bezoekers worden doorgestuurd naar een vreemde website (de beruchte redirect-hack)
• Er staan teksten, advertenties of links op je pagina’s die je er nooit op hebt gezet
• Je kunt niet meer inloggen, terwijl je zeker weet dat je wachtwoord klopt
• Er zijn nieuwe admingebruikers aangemaakt die je niet kent
• Google toont een rood waarschuwingsscherm of meldt “Deze site kan schadelijk zijn”
• Je host heeft je site geschorst wegens verdachte activiteit of spam-mails
• De site is plotseling loodzwaar of compleet offline

Twijfel je? Een gratis scan via tools als Sucuri SiteCheck of de Google Search Console (Google Search Console uitleg) laat snel zien of er malware of een blacklist-melding actief is. Zie je niks geks maar voelt het toch niet goed, kijk dan in de logs. Een gehackte site verraadt zich bijna altijd ergens.

Wat moet je als eerste doen bij een gehackte WordPress website?

Elke minuut telt, maar in paniek handelen maakt het meestal erger. Dit is de volgorde die wij zelf aanhouden als we een gehackte WordPress-site herstellen.

Stap 1: Zet de site in onderhoudsmodus of haal hem offline

Zolang de hack live staat, kan hij bezoekers besmetten en jouw reputatie bij Google verder beschadigen. Zet de site in onderhoudsmodus of laat je host hem tijdelijk op slot zetten. Zo stopt de schade en heb je rust om te werken.

Stap 2: Verander alle wachtwoorden

Echt allemaal: je WordPress-admin, je hostingaccount, je FTP/SFTP, je database en het e-mailadres dat aan je beheerdersaccount hangt. Gebruik nieuwe, lange wachtwoorden die je nergens anders gebruikt. Een wachtwoordmanager maakt dat een stuk makkelijker.

Stap 3: Maak een back-up van de besmette site

Een back-up van een gehackte site klinkt gek, maar je hebt bewijs nodig en je wilt later kunnen vergelijken welke bestanden zijn aangepast. Bewaar deze kopie apart en zet hem nooit zomaar terug.

Stap 4: Scan op malware en kwaadaardige bestanden

Installeer een beveiligingsplugin zoals Wordfence of MalCare en draai een volledige scan. Let extra op recent gewijzigde bestanden, vreemde code in de wp-config.php, de .htaccess en in de thema-bestanden. Hackers verstoppen hun code graag op plekken waar je niet snel kijkt.

Stap 5: Verwijder onbekende admingebruikers en verdachte bestanden

Loop je gebruikerslijst na en gooi elk account weg dat je niet herkent. Verwijder de bestanden die de scan als kwaadaardig markeert. Twijfel je over een bestand, verwijder het dan niet blind, maar zoek eerst uit wat het doet.

Stap 6: Herstel een schone back-up

Heb je een back-up van vóór de hack, zet die dan terug en je site is in één keer weer schoon. Zonder schone back-up moet je de besmette installatie met de hand opschonen, en daar lopen veel mensen op vast.

Stap 7: Update alles en sluit het gat

Update WordPress zelf, je thema en al je plugins naar de nieuwste versie. Verwijder plugins en thema’s die je niet gebruikt. De meeste hacks komen binnen via een verouderde plugin met een bekende kwetsbaarheid, dus deze stap sla je niet over.

Hoe verwijder je malware van een WordPress site zonder schone back-up?

Zonder back-up van vóór de hack wordt het handwerk: je de kern, het thema en de plugins vervangt door verse, officiële bestanden.

Download een nieuwe kopie van WordPress via wordpress.org en vervang alle kernbestanden, behalve de map wp-content en je wp-config.php. Doe daarna hetzelfde met je thema en plugins: weghalen en opnieuw installeren via de officiële bron. De wp-content/uploads-map is lastiger, want daar staan je eigen afbeeldingen tussen de mogelijke rotzooi. Hier moet je gericht zoeken naar PHP-bestanden die er niet horen, want in een uploadmap hoort geen uitvoerbare code te staan.

Vergeet de database niet. Hackers planten soms code of spam-content in tabellen. Scan hem grondig en kijk ook in je gebruikerstabel. Hier wordt het echt technisch: mis je één verstopte achterdeur, dan staat de hacker volgende week weer binnen.

Veelgemaakte fouten na een hack

We zien steeds dezelfde fouten, en die leveren vaak een tweede hack op.

• Alleen de zichtbare schade opruimen. Je haalt de rare tekst van de homepage en denkt dat het klaar is. De achterdeur die de hacker heeft geplaatst, staat dan nog open.
• Wachtwoorden niet écht allemaal veranderen. Je vernieuwt je admin-wachtwoord, maar vergeet FTP of de database. Eén vergeten sleutel is genoeg.
• Geen idee hoe ze binnenkwamen. Zolang je de oorzaak niet vindt, dweil je met de kraan open. Zoek altijd eerst het lek.
• De site te snel weer online zetten. Te vroeg live gaan terwijl Google je nog op de blacklist heeft, schaadt je vindbaarheid langer dan nodig.

Hoe voorkom je dat je WordPress website opnieuw gehackt wordt?

Voorkomen is veel goedkoper dan herstellen. Met deze basis beveilig je je WordPress-site zelf tegen hackers:

• Houd alles up-to-date. WordPress brengt regelmatig beveiligingsupdates uit, net als de makers van plugins en thema’s. Verouderde software is de belangrijkste oorzaak van hacks.
• Installeer een firewall en beveiligingsplugin. Wordfence of Sucuri houden brute-force-aanvallen en bekende exploits buiten de deur.
• Gebruik sterke wachtwoorden en tweestapsverificatie. Een wachtwoord als “welkom123” is vragen om problemen.
• Maak automatische back-ups. Dagelijks of wekelijks, en bewaar ze los van je server. Met een verse back-up is een hack een ongemak in plaats van een ramp.
• Verwijder wat je niet gebruikt. Elke ongebruikte plugin is een extra deur die je op slot moet houden.
• Kies een betrouwbare host met monitoring. Een host die verdachte activiteit opmerkt, waarschuwt je eerder.

Dat is best veel werk. Daarom besteden veel ondernemers het uit aan iemand die er dagelijks mee bezig is.

Zelf herstellen of uitbesteden, wat is slimmer?

Dat hangt af van twee dingen: hoeveel technische kennis je hebt en hoeveel je site je waard is per dag offline. Een hobbyblog kun je rustig zelf oppakken. Een webshop die dagelijks bestellingen binnenhaalt, niet.

	Zelf herstellen	Uitbesteden
Kosten	Alleen je tijd	150 tot 600 euro afhankelijk van de hack
Doorlooptijd	Uren tot dagen, met veel zoekwerk	Vaak binnen een dag opgelost
Risico op herhaling	Hoog als je het lek mist	Laag, het gat wordt gericht gedicht
Geschikt voor	Eenvoudige hack, schone back-up aanwezig	Webshop, geen back-up, of geen tijd

De bedragen in de tabel zijn marktprijzen. Bij rscreate betaal je € 45 excl. btw voor de analyse en een eerste herstelpoging, en daarna € 15 per kwartier, alleen na jouw akkoord. Malware verwijderen en de site daarna beveiligen kost bij ons meestal € 135 tot € 255 excl. btw. Lukt het ons niet om het probleem op te lossen, dan krijg je geen rekening.

Een voorbeeld uit de praktijk: een lokale ondernemer belde ons omdat zijn klanten ineens op een nepwebshop belandden. Het was een klassieke redirect-hack, binnengekomen via een verouderde plugin voor contactformulieren. Hij had het zelf geprobeerd, de zichtbare redirect weggehaald en gedacht dat het klaar was. Twee dagen later stond de hack er weer, want de achterdeur in een themabestand had hij over het hoofd gezien. Wij vonden het lek, schoonden de installatie op en hadden hem dezelfde middag weer veilig online. Sindsdien draait zijn site op automatisch onderhoud en is het rustig gebleven.

De zichtbare schade is dus zelden het hele verhaal. Opruimen is iets anders dan oplossen.

Wanneer schakel je hulp in bij een gehackte website?

Zodra je merkt dat het je boven het hoofd groeit. Een redirect-hack opruimen is voor een leek al lastig, een database opschonen of een verstopte achterdeur vinden is echt vakwerk. En als je site inkomsten oplevert, telt elke dag offline dubbel.

Bij rscreate hebben we hier een aparte dienst voor: Website EHBO. Je hebt er geen abonnement voor nodig: we springen bij als je site eruit ligt of gehackt is. We scannen, schonen op, sluiten het lek en zetten je weer veilig online. Daarna leggen we uit hoe het misging, zodat je het een volgende keer voor kunt zijn.

Zit je nu met een gehackte WordPress website en wil je het niet zelf uitvechten? Bel ons gerust op 06 13 30 42 85 of vraag direct hulp aan via onze Website EHBO-pagina. We pakken het snel op, want een gehackte site wacht niet op kantooruren.

Conclusie

Een gehackte WordPress-site is vervelend, maar zelden het einde van de wereld. Werk in vaste volgorde: eerst de schade stoppen, dan opschonen, herstellen en het lek dichten. De grootste valkuil is denken dat je klaar bent zodra de zichtbare rotzooi weg is. Vind je het gat niet, dan ben je volgende maand weer aan de beurt. Loop je vast of wil je zeker weten dat het goed gebeurt? Dan helpen we je met Website EHBO, zonder abonnement.

Bronnen

• WordPress.org, “Hardening WordPress” (2025): https://wordpress.org/documentation/article/hardening-wordpress/
• WordPress.org, “FAQ: My site was hacked” (2025): https://wordpress.org/documentation/article/faq-my-site-was-hacked/
• Google web.dev, “Help, I think I’ve been hacked”: https://web.dev/articles/hacked