Malware website verwijderen: stap-voor-stap checklist 2026

Je ontdekt op een ochtend dat je website bezoekers doorstuurt naar een casino-site. Of je hostingprovider mailt dat je account is opgeschort wegens actieve malware-verspreiding. Het overkomt meer websitebeheerders dan je verwacht. In Q1 2026 werden wereldwijd 474.000 websites met malware gedetecteerd, een stijging van 100% ten opzichte van het vorige kwartaal.^[1] Elke gehackte WordPressKeurigOnline zegtWordPressWordPress is een open-source contentmanagementsysteem (CMS) geschreven in PHP, waarmee je eenvoudig websites en blogs kunt bouwen en beheren.-site bevat gemiddeld 51,8 besmette bestanden.^[1] En het tempo van nieuwe meldingen neemt alleen maar toe: het totaal aantal malware-incidenten steeg in Q1 2026 met 51% ten opzichte van het vorige kwartaal.^[4]

De aanvallers zijn snel. De mediane tijd tussen de bekendmaking van een kwetsbaarheid en massale exploitatie is slechts 5 uur.^[2] En 62% van alle cyberaanvallen in Nederland is gericht op het MKB.^[6] Wachten tot het vanzelf overgaat is geen strategie.

Dit artikel geeft je een gefaseerde checklist: van de eerste herkenningssignalen tot de Google-herbeoordeling na opschoning. Stap voor stap, zodat je precies weet wat je wanneer moet doen.

Hoe weet je of je website malware heeft? (10 signalen)

Malware gedraagt zich vaak onzichtbaar voor de sitebeheerder, maar is goed zichtbaar voor bezoekers of voor Google. Bekijk de website-hack voorbeelden uit de praktijk als je wilt zien hoe een besmetting eruitziet. De tien meest voorkomende signalen:

• Onverwachte redirects. Bezoekers worden doorgestuurd naar casino-, farma- of phishingKeurigOnline zegtPhishingPhishing is een cyberaanval waarbij criminelen zich voordoen als betrouwbare organisaties om gevoelige informatie te stelen.-sites. Dit gebeurt soms alleen voor Google-crawlers, niet als je als beheerder bent ingelogd.
• Google-waarschuwing "Deceptive site ahead". Chrome, Firefox en Safari tonen een rood scherm als Google Safe Browsing je site op de blacklistKeurigOnline zegtBlacklistEen blacklist is een lijst met geblokkeerde IP-adressen, domeinnamen of e-mailadressen die als spam of onveilig worden beschouwd. heeft geplaatst.
• Onbekende beheerdersaccounts. WordPress-accounts die je zelf nooit hebt aangemaakt wijzen op een actieve backdoor in je installatie.
• Plotselinge daling organisch verkeer. Google degradeert geïnfecteerde pagina's in de rankings of verwijdert ze tijdelijk uit de index.
• Onverklaarbaar trage website. Kwaadaardige scripts verbruiken servercapaciteit. Je kunt de laadtijd meten met de tools die besproken worden in ons artikel over websitesnelheid testen.
• E-mails belanden in spam. Als het server-IP-adres op een e-mailblacklist staat, signaleert dat vaak een lopende malware-infectie op datzelfde server.
• Waarschuwing van je hostingprovider. Hosters detecteren actieve malware-verspreiding soms sneller dan jij zelf via servermonitoring.
• Bezoekers klagen over pop-ups of antivirusmeldingen. Browserextensies of beveiligingssoftware van bezoekers pikken ingespoten code op die jij als beheerder niet ziet.
• Admin-wachtwoord werkt niet meer. Een aanvaller heeft het account overgenomen en het wachtwoord gewijzigd.
• Onbekende bestanden in de uploadmap. PHPKeurigOnline zegtPHPPHP (Hypertext Preprocessor) is een populaire open-source scripttaal die speciaal is ontworpen voor webontwikkeling en server-side programmering.-bestanden in wp-content/uploads/ horen daar niet thuis en zijn een klassiek teken van een backdoor.

Gratis tools om malware op je website te detecteren

Voordat je begint met opschonen, wil je weten wat je precies te doen staat. Drie gratis tools geven je een eerste beeld, elk met zijn eigen blinde vlekken.

Sucuri SiteCheck

Sucuri SiteCheck scant je URL op bekende malware-indicatoren en controleert meteen of je site op zwarte lijsten van Google, McAfee en andere aanbieders staat. De scan duurt minder dan een minuut en is volledig gratis. Let op: Sucuri scant alleen de frontend (de HTMLKeurigOnline zegtHTMLHTML is de programmeertaal voor het maken van webpagina’s. die de browser ontvangt). Server-side PHP-code die zich verbergt of alleen aan specifieke bezoekers toont, detecteert deze tool niet.

Google Search Console

Ga in Google Search Console naar "Beveiliging en handmatige acties" en vervolgens naar "Beveiligingsproblemen". Dit is de officiële Google-bron: als Google malware of misleidende content heeft gedetecteerd, staat het hier. Het tabblad "Handmatige acties" laat zien of een Google-reviewer je site manueel heeft bestraft. Gebruik Search Console ook later voor de herbeoordeling na opschoning.

VirusTotal

VirusTotal controleert een URL of bestand tegen de databases van meer dan 70 virusscanners tegelijk. Handig voor het controleren van individuele bestanden die je verdacht vindt, of voor een tweede mening over je domeinnaamKeurigOnline zegtDomeinnaamEen domeinnaam is een uniek webadres gekoppeld aan je website en e-mail, zoals voorbeeld.nl, bedrijf.com of startup.ai. als de andere tools niets vinden.

Fase 1: inperken en scannen

De eerste prioriteit is schade beperken, voor bezoekers en voor je SEO-positie. Doorloop deze stappen in volgorde. Je kunt ze als werkdocument gebruiken: vink elk punt af voordat je doorgaat naar het volgende.

• ☐ Zet de website offline. Schakel onderhoudsmodus in of vraag je hoster om een 503-respons te retourneren. Zo worden bezoekers niet blootgesteld aan kwaadaardige code en loopt Google geen vers besmette pagina's tegen het lijf.
• ☐ Maak een backupKeurigOnline zegtBackupEen backup is een reservekopie van digitale gegevens die je kunt terugzetten bij dataverlies of storingen. van de huidige staat. Ook van een geïnfecteerde site. Je hebt dit nodig voor forensisch onderzoek: wanneer is het misgegaan en via welk bestand is de aanvaller binnengekomen?
• ☐ Vraag de toegangslogs op bij je hoster. ApacheKeurigOnline zegtApacheApache HTTP Server is een open source webserver ontwikkeld door de Apache Software Foundation.- of NginxKeurigOnline zegtNginxNginx is een open-source webserver, reverse proxy en load balancer die veel gebruikt wordt voor hoogperformante websites.-logs tonen welk IP-adres via welk bestand en op welk tijdstip toegang heeft gekregen. Dit is de sleutel om de aanvalsvector te achterhalen.
• ☐ Vraag een server-level malwarescan aan. Imunify360KeurigOnline zegtImunify360Imunify360 is een uitgebreide beveiligingssuite voor Linux webservers met AI-aangedreven malware scanning. (standaard bij veel DirectAdminKeurigOnline zegtDirectAdminDirectAdmin is een webhosting control panel ontwikkeld door JBMC Software als kostenefficiënt en gebruiksvriendelijk alternatief voor cPanel.- en cPanel-omgevingen) scant alle bestanden op serverniveau en vindt code die plugin-scanners missen. Neem contact op met de helpdesk voor een handmatige scan met rapport.
• ☐ Scan via Sucuri SiteCheck en VirusTotal. Voeg de resultaten samen met de server-scan voor een compleet beeld van de besmettingsgraad.
• ☐ Noteer alle bevindingen. Welke bestanden zijn aangetast? Welke beheerdersaccounts zijn onbekend? Wanneer zijn bestanden voor het laatste gewijzigd?

Fase 2: bestanden en database opschonen

Nu het beeld compleet is, begin je met het daadwerkelijke opschonen. Dit is het meest tijdsintensieve deel. Als er bij je hoster een schone backup beschikbaar is van vóór de infectie, is die terugzetten de snelste en zekerste route. Zonder schone backup doorloop je de stappen hieronder handmatig.

Kernbestanden vergelijken

Download een schone versie van WordPress via WordPress.org en vergelijk de kernbestanden met die op jouw server. Bestanden in wp-includes/ en wp-admin/ moeten identiek zijn aan de originelen. Elke afwijking is verdacht.

Verdachte PHP-patronen opsporen

Controleer via SFTP of de bestandsbeheerder de volgende bestanden op ingespoten code: wp-config.php, .htaccess, functions.php, header.php en alle bestanden in wp-content/uploads/. PHP-bestanden horen niet in de uploadmap thuis. Zoek ook op de obfuscatiepatronen die malware typisch gebruikt:

eval(
base64_decode(
gzinflate(
str_rot13(

Elk van deze patronen op zichzelf is geen bewijs, maar in combinatie of op een onlogische plek in een bestand bijna altijd verdacht.

Database opschonen

Controleer in phpMyAdmin of via WP-CLIKeurigOnline zegtWP-CLIWP-CLI is de command line interface voor WordPress waarmee ontwikkelaars WordPress beheren via de terminal. de tabel wp_options: zijn de velden siteurl en home nog de juiste URL of zijn ze omgebogen naar een externe site? Doorzoek wp_posts op ingespoten JavaScriptKeurigOnline zegtJavaScriptJavaScript is een programmeertaal die wordt gebruikt om interactieve en dynamische websites te maken. of <iframe>-code. Verwijder alle beheerdersaccounts die je niet herkent.

Checklist voor opschoning

• ☐ Kwetsbare plugin of thema verwijderd of bijgewerkt
• ☐ Kernbestanden vergeleken met schone WordPress-installatie
• ☐ Onbekende PHP-bestanden verwijderd uit wp-content/uploads/
• ☐ .htaccess gecontroleerd op onbekende herschrijfregels naar externe URL's
• ☐ Themabestanden doorzocht op eval( en base64_decode(
• ☐ DatabaseKeurigOnline zegtDatabaseEen database is een georganiseerde verzameling gegevens die elektronisch wordt opgeslagen en beheerd. gecontroleerd op gemanipuleerde siteurl/home en ingespoten scripts
• ☐ Onbekende beheerdersaccounts verwijderd

Fase 3: herstel en hardening

De bestanden zijn schoon. Nu zorg je ervoor dat hetzelfde niet opnieuw kan gebeuren. Doorloop deze checklist volledig voordat je de site weer online zet.

• ☐ Update alles. CMSKeurigOnline zegtCMSEen CMS is een platform om webcontent eenvoudig te creëren, beheren en publiceren zonder te coderen.-kern, alle actieve plugins, alle thema's en de PHP-versie op je hostingomgeving. In 2025 werden 11.334 nieuwe kwetsbaarheden gevonden in het WordPress-ecosysteem, 42% meer dan het jaar daarvoor.^[2]
• ☐ Verwijder inactieve plugins en thema's. Omdat 46% van kwetsbaarheden geen patch had op het moment van bekendmaking^[2], is verwijderen veiliger dan ongebruikte software laten staan in de hoop dat een patch volgt.
• ☐ Reset alle wachtwoorden. WordPress-beheerders, FTPKeurigOnline zegtFTPFTP (File Transfer Protocol) is een protocol voor het overdragen van bestanden tussen computers via een netwerk./SFTP-toegang, hosting control panel, database en zakelijke e-mail. Gebruik voor elk account een uniek, sterk wachtwoord via een wachtwoordmanagerKeurigOnline zegtWachtwoordmanagerEen wachtwoordmanager is software die al je wachtwoorden veilig en versleuteld opslaat..
• ☐ Vernieuw de geheime sleutels in wp-config.php. Dit logt alle actieve sessies uit en maakt eventuele sessie-cookies van de aanvaller ongeldig. Genereer nieuwe sleutels via de WordPress Salt API.
• ☐ Activeer tweestapsverificatie (2FAKeurigOnline zegt2FA2FA (tweefactorauthenticatie) is een beveiligingsmethode die naast je wachtwoord een tweede verificatie vereist.). Op alle WordPress-beheeraccounts en op het control panel van je hosting. Dit is de meest effectieve maatregel tegen wachtwoorddiefstal.
• ☐ Installeer een Web Application FirewallKeurigOnline zegtFirewallEen firewall is een beveiligingssysteem dat netwerkverkeer filtert en ongeautoriseerde toegang tot netwerken en servers blokkeert. (WAF). De gratis versie van Wordfence of Sucuri biedt actieve bescherming tegen bekende exploits en blokkeer verdacht verkeer voordat het je bestanden bereikt.
• ☐ Stel dagelijkse automatische backups in. Bewaar backups buiten de server, bij voorkeur op een externe locatie of cloudopslag. Zo heb je altijd een schoon herstelpunt.
• ☐ Zet de site weer online en houd de komende 48 uur de logs en analytics in de gaten op afwijkingen.

Wat kan je hostingprovider voor je doen?

De meeste zelfhulpgidsen stoppen bij plugins en handmatige bestandscontroles. Maar je hostingprovider beschikt over mogelijkheden die geen plugin kan evenaren. Dagelijks worden er wereldwijd 560.000 nieuwe malwarebedreigingen geïdentificeerd, waarvan 90% polymorf is en bekende signaturen omzeilt.^[3] Server-level beveiliging is de laag die dat opvangt.

Server-level malwarescan

Imunify360, dat standaard inbegrepen is bij KeurigOnline en bij veel DirectAdminKeurigOnline zegtDirectAdminDirectAdmin is een webhosting control panel ontwikkeld door JBMC Software als kostenefficiënt en gebruiksvriendelijk alternatief voor cPanel.- en cPanel-omgevingen, scant alle bestanden op serverniveau, ook verborgen PHP-bestanden die nooit een browser-verzoek ontvangen. Vraag de helpdesk expliciet om een Imunify360-scan en vraag om een overzicht van aangetaste bestanden als basis voor je opschoning.

Toegangslogs voor forensisch onderzoek

Hosters bewaren ApacheKeurigOnline zegtApacheApache HTTP Server is een open source webserver ontwikkeld door de Apache Software Foundation.- of NginxKeurigOnline zegtNginxNginx is een open-source webserver, reverse proxy en load balancer die veel gebruikt wordt voor hoogperformante websites.-toegangslogs. Met de bestandsnaam en het tijdstip van de infectie kun je exact achterhalen via welk IP-adres, welke plugin-URL of welke upload de aanvaller toegang heeft gekregen. Vraag de logs op via de helpdesk of download ze direct vanuit het control panel onder "Logboeken".

Backup terugzetten

De meeste hostingproviders bewaren dagelijkse of wekelijkse snapshots van je volledige account. Als er een schone backup beschikbaar is van vóór de infectie, is terugzetten de snelste en zekerste herstelroute. Vraag bij de helpdesk op welke herstelpunten beschikbaar zijn en op welke datum de besmetting is binnengekomen (uit de logs) zodat je het juiste punt kiest.

Accountopschorting voorkomen

Als malware actief wordt verspreid vanuit jouw account, kan de hoster het account tijdelijk opschorten om andere klanten op de gedeelde server te beschermen. In Nederland was 58% van de onderzochte bedrijven het afgelopen jaar doelwit van phishing of malware-aanvallen.^[5] Proactief de hoster inlichten bij een vermoeden van infectie en direct een scan aanvragen, voorkomt dat je onverwacht offline gaat.

Google-blacklist verwijderen na malware

Als Google Safe Browsing je site heeft gemarkeerd, zien bezoekers een rood waarschuwingsscherm in Chrome, Firefox en Safari. Dit kost direct organisch verkeer en beschadigt je reputatie. Na het opschonen verwijder je de markering via een herbeoordeling. Dien die pas in als de opschoning volledig is afgesloten.

Stap 1: controleer de status in Search Console

Ga naar Google Search Console en klik op "Beveiliging en handmatige acties", daarna op "Beveiligingsproblemen". Hier zie je welke problemen Google heeft gedetecteerd en op welke URL's. Het tabblad "Handmatige acties" laat zien of een Google-medewerker je site manueel heeft bestraft voor spam of misleidende content.

Stap 2: verifieer dat alle malware verwijderd is

Doorloop de checklists van Fase 1 tot en met Fase 3 volledig voordat je verder gaat. Een afgewezen herbeoordeling vertraagt het proces: Google wordt voorzichtiger met toekomstige verzoeken voor dezelfde site. Doe de herbeoordeling dus pas als je zeker bent dat je site schoon is.

Stap 3: dien de herbeoordeling in

Klik in Google Search Console op "Herbeoordeling aanvragen". Beschrijf in het verzoek welke stappen je hebt ondernomen: welke bestanden zijn verwijderd, welke plugins zijn bijgewerkt en welke accounts zijn gereset. Hoe concreter, hoe sneller de review.

Verwachte tijdlijn

Malware-herbeoordelingen duren doorgaans 2 tot 7 dagen. Spam-gerelateerde herbeoordelingen (bijvoorbeeld SEO-spam die in je databaseKeurigOnline zegtDatabaseEen database is een georganiseerde verzameling gegevens die elektronisch wordt opgeslagen en beheerd. is geïnjecteerd) kunnen enkele weken in beslag nemen. Na goedkeuring verdwijnt de waarschuwing en kan Google je pagina's opnieuw indexeren. Herstel daarna de eventuele SEO-schade met een gerichte inhaalstrategie, zoals besproken in ons artikel over SEO-impact herstellen met Yoast.

Zo voorkom je een nieuwe infectie

Deze sectie is ook relevant als je nooit gehackt bent. In 2025 werden 11.334 nieuwe kwetsbaarheden gevonden in het WordPressKeurigOnline zegtWordPressWordPress is een open-source contentmanagementsysteem (CMS) geschreven in PHP, waarmee je eenvoudig websites en blogs kunt bouwen en beheren.-ecosysteem^[2] en exploitatie volgt gemiddeld 5 uur na bekendmaking.^[2] De zeven pijlers van een geharde WordPress-site:

1. Automatische updates inschakelen. Schakel automatische updates in voor de WordPress-kern, plugins en thema's. Of controleer minimaal wekelijks handmatig: elke dag zonder update is een dag dat een bekende kwetsbaarheid open staat.
2. Ongebruikte plugins en thema's verwijderen. Elke geïnstalleerde maar niet-geüpdate plugin is een potentieel aanvalspunt, ook als hij op "inactief" staat. Verwijder alles wat je niet actief gebruikt.
3. Tweestapsverificatie (2FA) op alle accounts. WordPress-beheerder, FTPKeurigOnline zegtFTPFTP (File Transfer Protocol) is een protocol voor het overdragen van bestanden tussen computers via een netwerk./SFTP en het hosting control panel. 2FAKeurigOnline zegt2FA2FA (tweefactorauthenticatie) is een beveiligingsmethode die naast je wachtwoord een tweede verificatie vereist. is de meest effectieve maatregel tegen wachtwoorddiefstal.
4. Sterk, uniek wachtwoord per dienst. Gebruik een wachtwoordmanagerKeurigOnline zegtWachtwoordmanagerEen wachtwoordmanager is software die al je wachtwoorden veilig en versleuteld opslaat. zoals Bitwarden of 1Password. Hergebruik van wachtwoorden is een van de meest voorkomende oorzaken van accountovernames.
5. Dagelijkse offsite backups. Sla backups op buiten de server, zodat je altijd een schoon herstelpunt hebt dat een aanvaller niet kan bereiken of verwijderen.
6. Web Application Firewall actief houden. Wordfence of Sucuri blokkeren bekende exploit-patronen voordat ze je bestanden bereiken.
7. SSLKeurigOnline zegtSSLSSL (Secure Sockets Layer) is een beveiligingsprotocol voor versleutelde internetverbindingen.-certificaat actueel houden. Een verlopen certificaat triggert browserwaarschuwingen die identiek lijken aan malware-meldingen en ondermijnt het vertrouwen van bezoekers. Lees meer over het belang van een geldig SSL-certificaat voor je website.

Veelgestelde vragen