Jouw website is een doelwit. Ja, ook die van jou.
"Hackers vallen alleen grote bedrijven aan." Dat is het gevaarlijkste misverstand in het MKB. In werkelijkheid richt 43% van alle cyberaanvallen zich op kleine bedrijven. Niet omdat ze interessanter zijn, maar omdat ze makkelijker zijn.
Geen IT-afdeling. Geen beveiligingsbudget. Vaak een verouderde WordPress-site met 30 plugins waarvan er 12 niet meer geupdate worden. Voor een hacker is dat als een open voordeur met een bordje "welkom" erop.
In dit artikel leggen we uit welke risico's je loopt, wat je zelf kunt doen, en waarom de technologie achter je website het grootste verschil maakt.
De vier grootste risico's voor jouw website
1. Hacking en overname
Een hacker krijgt toegang tot je website en past de inhoud aan. Soms subtiel — een link naar een malafide site in je footer die je maanden niet opmerkt. Soms brutaal — je hele site wordt vervangen door een pagina in een vreemde taal.
Het resultaat: Google blacklist je domein, je klanten zien een waarschuwing, en je reputatie is beschadigd. Het herstellen kost tijd, geld en vertrouwen.
2. Datadiefstal
Als je website een contactformulier heeft, sla je waarschijnlijk persoonsgegevens op. Namen, e-mailadressen, telefoonnummers, soms zelfs bedrijfsgegevens. Bij een datalek ben je als ondernemer verantwoordelijk — ook als je niet wist dat je site kwetsbaar was.
Sinds de AVG kan een datalek je een boete opleveren tot 4% van je jaaromzet. Voor een ZZP'er met €80.000 omzet is dat tot €3.200. Geen leuk bedrag voor iets dat te voorkomen was.
3. Defacing
Defacing is digitaal vandalisme. Je website wordt overgenomen en het uiterlijk wordt veranderd. Meestal politiek of ideologisch gemotiveerd, soms gewoon voor de lol. Het is het digitale equivalent van graffiti op je winkelpui.
Het probleem: het ondermijnt direct het vertrouwen van je klanten. Als je je eigen website niet kunt beschermen, hoe veilig zijn dan de gegevens die klanten bij je achterlaten?
4. Spam en misbruik
Je contactformulier wordt overspoeld met spam. Je site wordt gebruikt om phishing-emails te versturen. Of er worden onzichtbare links geplaatst naar malafide websites, waardoor jouw SEO-scores kelderen.
Dit laatste is extra verraderlijk. Je merkt het pas als je Google-positie ineens daalt en je onderzoekt waarom.
WordPress: het meest aangevallen CMS ter wereld
Laten we het over de olifant in de kamer hebben. WordPress draait 43% van alle websites. Het is ook verantwoordelijk voor 94% van alle gehackte CMS-sites.
Dat is geen toeval. WordPress is gebouwd als blogplatform in 2003 en sindsdien opgeplakt met duizenden plugins van duizenden verschillende ontwikkelaars. Elke plugin is een potentieel beveiligingslek.
De cijfers zijn niet fraai:
- 97% van WordPress-kwetsbaarheden komt via plugins en thema's
- Gemiddeld 90.000 aanvallen per minuut op WordPress-sites wereldwijd
- 70% van WordPress-installaties heeft minstens 1 kwetsbare plugin
- Populaire plugins zoals Contact Form 7, Elementor en WooCommerce hebben regelmatig kritieke lekken
Het probleem is structureel. WordPress heeft een database nodig — die kan geinjecteerd worden. Het heeft een admin-panel — dat kan gebrute-forced worden. Het draait PHP op een server — die kan geexploit worden. En elke plugin voegt een nieuw aanvalsoppervlak toe.
WordPress veilig houden is een fulltime baan. Updates draaien, plugins controleren, security-scans uitvoeren, backups maken, firewall-regels instellen. De meeste MKB'ers doen dit niet. En dan is het wachten tot het misgaat.
Basismaatregelen die elke website nodig heeft
Ongeacht welke technologie je gebruikt, deze basis moet op orde zijn:
HTTPS is niet optioneel
Als je website nog op HTTP draait (geen slotje in de browser), stop dan met lezen en regel dit vandaag. Google markeert HTTP-sites als "Niet veilig" en rankt ze lager. Bezoekers zien een waarschuwing en klikken weg.
HTTPS versleutelt de communicatie tussen je bezoeker en je website. Zonder HTTPS kan iedereen op hetzelfde wifi-netwerk meelezen — wachtwoorden, formuliergegevens, alles.
Een SSL-certificaat is tegenwoordig gratis via Let's Encrypt. Er is geen excuus meer om zonder te draaien.
Updates zijn verplicht, niet optioneel
De nummer-1 reden dat websites gehackt worden: verouderde software. Een beveiligingslek wordt ontdekt, er komt een patch, maar de website-eigenaar draait de update niet. De hacker scant het internet op sites die nog kwetsbaar zijn. Bingo.
Bij WordPress moet je wekelijks controleren:
- WordPress core updates
- Plugin updates (alle 20-35 plugins)
- Thema updates
- PHP versie op de server
Mis je een update? Dan loop je risico. Zo simpel is het.
Sterke wachtwoorden en twee-factor authenticatie
Het meest voorkomende wachtwoord voor WordPress admin-panels is nog steeds een variatie op "admin123" of de bedrijfsnaam. Hackers proberen deze automatisch — duizenden combinaties per minuut.
Gebruik een wachtwoord van minimaal 16 tekens met letters, cijfers en symbolen. Beter nog: gebruik een wachtwoordmanager zoals Bitwarden of 1Password.
Twee-factor authenticatie (2FA) voegt een extra laag toe. Zelfs als iemand je wachtwoord raadt, komt die er niet in zonder je telefoon. Stel dit in op alles: je hosting, je CMS, je e-mail.
Beperk wat je opslaat
Sla alleen op wat je echt nodig hebt. Geen creditcardgegevens als je geen webshop hebt. Geen geboortedata als je die niet nodig hebt. Hoe minder je opslaat, hoe minder er gestolen kan worden.
En als je wel persoonsgegevens opslaat: zorg dat je AVG-compliant bent. Privacyverklaring, verwerkingsovereenkomsten en een protocol voor datalekken.
De slimme oplossing: een website zonder aanvalsoppervlak
De beste beveiliging is geen beveiliging nodig hebben. Klinkt paradoxaal, maar dat is precies wat moderne webtechnologie mogelijk maakt.
Een statische Next.js website werkt fundamenteel anders dan WordPress:
Geen database. Er is geen database om te injecteren. Je content staat als bestanden in je code, niet in een MySQL-database die bevraagd kan worden door iedereen die de juiste query kent.
Geen server-side code. Er draait geen PHP of Node.js op een server die geexploit kan worden. Je website is een set HTML-, CSS- en JavaScript-bestanden op een CDN. Niets meer.
Geen plugins. Geen Contact Form 7 met een kwetsbaarheid. Geen Elementor met een lek. Geen 35 plugins van 35 verschillende ontwikkelaars met 35 verschillende beveiligingsniveaus.
Geen admin-panel. Er is geen /wp-admin om te brute-forcen. Er is geen inlogpagina voor hackers om te vinden.
Automatisch HTTPS. Vercel — het platform waar wij op deployen — regelt SSL-certificaten automatisch. Geen handmatige configuratie, geen verloop, geen vergeten te verlengen.
Vergelijk het zo: WordPress is een huis met 35 deuren en 50 ramen. Je moet elk slot controleren, elke ruit intact houden en 24/7 een bewaker neerzetten. Een statische Next.js site is een kluis met een muur van beton. Er zijn simpelweg geen deuren om open te breken.
Wat kost een gehackte website je?
De kosten van een hack gaan verder dan de reparatie:
- Directe kosten: €500-5.000 voor herstel door een specialist
- Downtime: elke dag dat je site offline is, mis je klanten en omzet
- Google-ranking: een gehackte site daalt in zoekresultaten. Dat herstel duurt maanden
- Reputatieschade: klanten die een "deze site is niet veilig"-melding zien, komen niet terug
- AVG-boetes: bij een datalek met persoonsgegevens
- Tijd: het uitzoeken, communiceren met hosting, herstellen en testen kost dagen
Voor een gemiddelde MKB'er schat de Kamer van Koophandel de totale kosten van een cyberincident op €40.000-€60.000 als je klantgegevens verliest. Zelfs een "simpele" hack zonder dataverlies kost al snel €1.000-3.000 aan herstel en gederfde inkomsten.
Praktische stappen die je vandaag kunt zetten
Wil je direct je beveiliging verbeteren? Start hier:
Vandaag
- Controleer of je site op HTTPS draait (slotje in de adresbalk)
- Verander je wachtwoorden naar iets van 16+ tekens
- Schakel twee-factor authenticatie in op je hosting en CMS
Deze week
- Draai alle beschikbare updates (WordPress, plugins, thema's)
- Verwijder plugins die je niet gebruikt
- Controleer of je een werkende backup hebt
Deze maand
- Test je site op kwetsbaarheden via Sucuri SiteCheck (gratis)
- Stel automatische backups in
- Overweeg of je huidige technologie je wel goed beschermt
De beste beveiliging is de juiste basis
Je kunt firewalls stapelen, security-plugins installeren en wekelijks scannen. Of je kunt een website bouwen op technologie die van nature veilig is.
Bij Agentic Webdesign bouwen we websites op Next.js en Vercel. Geen database, geen plugins, geen aanvalsoppervlak. HTTPS standaard inbegrepen. Automatische deployments zonder server-beheer.
Je website is je digitale voordeur. Zorg dat die niet openstaat.
€399 eenmalig + €39/maand, inclusief hosting op een platform dat van nature veilig is. Start je website en slaap rustig.