Website malware scannen en verwijderen: Complete gids

het verwijderen van malware op je site is een urgente taak waarmee je niet kunt wachten. Elke dag dat je website besmet is, lopen je bezoekers risico en daalt je positie in Google. In deze complete gids leer je hoe je het verwijderen van malware op je site kunt, hoe je een infectie detecteert en welke stappen je neemt om je site weer schoon en veilig te krijgen. We behandelen zowel handmatige als geautomatiseerde methoden voor het opsporen en verwijderen van malware.

Wat is website malware en hoe raakt je site besmet?

Website malware is kwaadaardige code die zonder je medeweten op je website wordt geplaatst. Deze code kan verschillende doelen hebben: het stelen van gegevens van bezoekers, het verspreiden van spam, het omleiden van verkeer naar andere sites, of het gebruiken van je server voor cryptocurrency mining. Het is cruciaal om website malware verwijderen als prioriteit te behandelen zodra je een infectie ontdekt.

Veelvoorkomende infectiemethoden

• Verouderde software - niet-geupdate WordPress, plugins of themas met bekende kwetsbaarheden
• Zwakke wachtwoorden - brute-force aanvallen op FTP, SSH of beheerderspanelen
• Onveilige plugins - plugins van onbetrouwbare bronnen met achterdeurtjes
• Cross-site scripting (XSS) - kwetsbaarheden in formulieren of invoervelden
• SQL-injectie - aanvallen op onbeveiligde database-queries
• Gecompromitteerde FTP-gegevens - via malware op je eigen computer

De meeste infecties komen voort uit verouderde software. Regelmatig WordPress updaten is daarom een van de belangrijkste preventieve maatregelen.

Symptomen: hoe herken je website malware?

Website malware verwijderen begint bij het herkennen van een infectie. Soms is malware duidelijk zichtbaar, maar vaak opereert het onzichtbaar op de achtergrond. Let op deze waarschuwingssignalen:

Zichtbare symptomen

• Je website toont onbekende content, pop-ups of advertenties
• Bezoekers worden omgeleid naar andere (vaak twijfelachtige) websites
• Google toont een waarschuwing "Deze site kan je computer beschadigen"
• Je browser blokkeert je website als onveilig
• Je website laadt veel trager dan normaal
• Onbekende gebruikersaccounts in je CMS

Verborgen symptomen

• Onverklaarbare pieken in servergebruik (CPU, geheugen)
• Onbekende bestanden of mappen op je server
• Gewijzigde core-bestanden van je CMS
• Verdachte database-entries
• Ongebruikelijke uitgaande verbindingen vanaf je server
• Spam-emails die verstuurd worden via je server

Website malware scannen: de beste tools

Voordat je website malware verwijderen kunt, moet je de infectie lokaliseren. Er zijn verschillende tools beschikbaar voor het scannen van je website op malware:

Tool	Type	Kosten	Functionaliteit
Sucuri SiteCheck	Online scanner	Gratis	Basis malware scan, blacklist check
Wordfence (WordPress)	Plugin	Gratis/Premium	Diepgaande scan, firewall, realtime bescherming
MalCare	Plugin/SaaS	Betaald	Automatische detectie en verwijdering
VirusTotal	Online scanner	Gratis	Multi-engine scan van URLs
Google Search Console	Online tool	Gratis	Beveiligingsproblemen en waarschuwingen
Immunify360	Server-level	Betaald	Server-brede malware detectie

Website malware verwijderen: stap-voor-stap handleiding

Nu je weet hoe je malware detecteert, is het tijd om website malware verwijderen in de praktijk te brengen. Volg deze stappen zorgvuldig en in de juiste volgorde:

Stap 1: Maak een backup voordat je begint

Voordat je iets wijzigt, maak een volledige backup van je website inclusief bestanden en database. Hoewel de backup besmet is, heb je deze nodig als referentie en als je wijzigingen ongedaan moet maken. Lees onze handleiding over website backup maken voor meer informatie.

Stap 2: Zet je website in onderhoudsmodus

Plaats je website in onderhoudsmodus of blokkeer tijdelijk alle toegang. Dit voorkomt dat bezoekers blootgesteld worden aan de malware terwijl je bezig bent met opschonen. Je kunt dit doen via je .htaccess bestand of via een onderhoudsplugin.

Stap 3: Wijzig alle wachtwoorden

Verander onmiddellijk alle wachtwoorden die gerelateerd zijn aan je website. Dit omvat: FTP/SFTP-wachtwoorden, database-wachtwoorden, CMS-beheerderswachtwoorden, hostingpaneel-wachtwoorden en SSH-keys. Gebruik sterke, unieke wachtwoorden voor elk account.

Stap 4: Scan en identificeer besmette bestanden

Gebruik de eerder genoemde tools om een grondige scan uit te voeren. Let speciaal op recent gewijzigde bestanden, bestanden in upload-mappen en bestanden met verdachte namen. Controleer ook of er onbekende bestanden aanwezig zijn in core-mappen van je CMS.

Stap 5: Verwijder de malware

Er zijn twee benaderingen voor het daadwerkelijk website malware verwijderen: handmatig of automatisch.

Handmatig website malware verwijderen

Bij handmatige verwijdering download je alle bestanden via FTP en vergelijk je ze met een schone installatie van je CMS. Verwijder of vervang alle bestanden die afwijken. Doorzoek bestanden op verdachte code patronen zoals:

• base64_decode - vaak gebruikt om kwaadaardige code te versluieren
• eval() - voert willekeurige code uit
• gzinflate - gebruikt voor gecomprimeerde kwaadaardige code
• preg_replace met /e modifier - kan code uitvoeren
• Onbekende iframe-tags - laden externe content

Automatisch website malware verwijderen

Tools als Wordfence Premium en MalCare kunnen malware automatisch detecteren en verwijderen. Dit is sneller en betrouwbaarder dan handmatige verwijdering, maar kost wel een abonnement. Voor WordPress-sites is Wordfence de meest gebruikte optie.

Stap 6: Schoon de database op

Malware kan zich ook in je database bevinden. Gebruik phpMyAdmin om verdachte entries te zoeken en te verwijderen. Zoek specifiek naar:

• Onbekende beheerdersaccounts
• Verdachte JavaScript-code in posts of paginas
• Gewijzigde site-URL of admin-URL instellingen
• Onbekende cronjobs of scheduled tasks

Stap 7: Update alles

Na het verwijderen van de malware update je alle software naar de nieuwste versie: je CMS, alle plugins, themas en eventuele frameworks. Verwijder ook alle ongebruikte plugins en themas, want deze vormen een onnodig aanvalsoppervlak.

Stap 8: Controleer en herstel je reputatie

Als Google je site heeft geblokkeerd, vraag dan een herbeoordeling aan via Google Search Console. Controleer ook of je IP-adres of domein op blacklists staat via tools als MXToolbox. Het kan enkele dagen duren voordat alle waarschuwingen verdwijnen.

Preventie: voorkom toekomstige malware-infecties

Na het succesvol website malware verwijderen is het essentieel om maatregelen te nemen die toekomstige infecties voorkomen. Preventie is altijd beter en goedkoper dan genezing.

Technische maatregelen

• Houd alle software altijd up-to-date
• Gebruik een SSL-certificaat voor versleutelde verbindingen
• Installeer een Web Application Firewall (WAF)
• Beperk bestandspermissies tot het minimum noodzakelijke
• Schakel directory listing uit
• Gebruik SFTP in plaats van FTP
• Implementeer tweefactor-authenticatie

Operationele maatregelen

• Maak dagelijks automatische backups
• Scan je website wekelijks op malware
• Monitor je website op ongebruikelijke activiteit
• Gebruik sterke en unieke wachtwoorden
• Train medewerkers in cyberveiligheid
• Houd een incident response plan bij

WordPress specifieke malware-preventie

Omdat WordPress het meest gebruikte CMS is, verdient het speciale aandacht op het gebied van malware-preventie. Hier zijn WordPress-specifieke tips die helpen bij het voorkomen van infecties:

• Download plugins en themas alleen van wordpress.org of betrouwbare bronnen
• Gebruik nooit nulled (illegaal gekraakte) themas of plugins
• Beperk het aantal inlogpogingen met een plugin als Limit Login Attempts
• Verander de standaard wp-admin URL
• Bescherm wp-config.php met extra bestandspermissies
• Schakel bestandsbewerking uit in het dashboard (DISALLOW_FILE_EDIT)

Lees ook onze uitgebreide gids over WordPress onderhoud voor een compleet overzicht van alle beveiligings- en onderhoudsmaatregelen.

Wanneer schakel je een professional in?

Hoewel je veel malware zelf kunt verwijderen, zijn er situaties waarin het verstandig is een beveiligingsexpert in te schakelen. Dit geldt met name voor complexe infecties die telkens terugkeren, als je server als onderdeel van een botnet wordt gebruikt, bij datalekken met persoonlijke gegevens of als je niet technisch onderlegd genoeg bent om bestanden te analyseren.

Professionele malware-verwijderingsdiensten kosten tussen de 100 en 500 euro, afhankelijk van de complexiteit. Dit lijkt misschien veel, maar de kosten van een langdurige infectie in termen van verloren verkeer, reputatieschade en mogelijke boetes zijn doorgaans veel hoger.

Samenvatting en actiepunten

Website malware verwijderen is een proces dat grondigheid en systematiek vereist. Door de stappen in deze gids te volgen, kun je de meeste infecties succesvol opschonen. Het belangrijkste is om snel te handelen zodra je een infectie ontdekt, alle bestanden en de database grondig te scannen, preventieve maatregelen te nemen na het opschonen en regelmatig te controleren of je website schoon blijft. Met de juiste kennis en tools kun je je website effectief beschermen tegen malware en snel ingrijpen wanneer dat nodig is.

Veelgestelde vragen over website malware verwijderen

Bij het website malware verwijderen komen veel vragen naar voren. Hieronder beantwoorden we de meest gestelde vragen zodat je goed voorbereid bent.

Hoe lang duurt het om malware te verwijderen?

Het verwijderen van malware duurt gemiddeld 1 tot 4 uur, afhankelijk van de complexiteit van de infectie. Eenvoudige malware zoals geinjecteerde scripts kan in minder dan een uur worden verwijderd. Complexe infecties met backdoors en gewijzigde core-bestanden kunnen een hele dag in beslag nemen. Automatische tools als Wordfence kunnen het proces aanzienlijk versnellen, maar handmatige controle blijft noodzakelijk voor een grondige reiniging.

Kan ik malware voorkomen met alleen een beveiligingsplugin?

Een beveiligingsplugin is een belangrijke eerste stap, maar op zichzelf niet voldoende. Effectieve malware-preventie vereist een gelaagde aanpak: regelmatige software-updates, sterke wachtwoorden, een firewall, beperkte bestandspermissies en regelmatige backups. Beschouw een beveiligingsplugin als onderdeel van je totale beveiligingsstrategie, niet als de enige maatregel.

Hoe weet ik of mijn website gehackt is?

De meest voorkomende tekenen zijn: onbekende bestanden op je server, gewijzigde core-bestanden, onbekende beheerders in je CMS, een plotselinge daling in zoekverkeer, Google-waarschuwingen in Search Console, en spam die wordt verstuurd vanaf je server. Regelmatige malware-scans helpen om infecties vroegtijdig te detecteren, vaak voordat zichtbare symptomen optreden.

Malware-typen die websites treffen

Om effectief malware te kunnen bestrijden, is het nuttig de verschillende typen te kennen die websites treffen. Backdoors zijn verborgen toegangspunten die hackers achterlaten om later terug te keren, zelfs nadat je de oorspronkelijke infectie hebt opgeschoond. Spam scripts versturen ongewenste e-mails via je server, wat je IP-reputatie schaadt. Cryptominers gebruiken de rekenkracht van je server of de browsers van je bezoekers om cryptocurrency te genereren. Defacement malware vervangt je website-inhoud met een eigen boodschap. SEO spam injecteert onzichtbare links of doorverwijzingen naar twijfelachtige websites om hun zoekpositie te verbeteren ten koste van jouw domeinautoriteit. Het herkennen van het type malware helpt bij het kiezen van de juiste verwijderingsmethode en het implementeren van gerichte preventieve maatregelen.

Website Malware Verwijderen: Stap-voor-Stap Forensisch Onderzoek

Voordat je begint met het verwijderen van website malware, is een grondig forensisch onderzoek essentieel. Dit helpt niet alleen bij het opruimen, maar voorkomt ook herbesmetting. Begin met het identificeren van het type malware en de infectieroute.

Veelvoorkomende Malware-typen en Hun Kenmerken

Malware-type	Symptomen	Risico	Verwijdermoeilijkheid
Backdoor scripts	Onbekende PHP-bestanden, vreemde uploads	Volledig servertoegang	Gemiddeld
SEO-spam injectie	Verborgen links, doorverwijzingen naar spam	Zoekmachine-blacklisting	Hoog
Cryptominer scripts	Hoog CPU-gebruik, trage website	Performance en reputatie	Laag
Phishing paginas	Nep-inlogpaginas in subdirectories	Juridische aansprakelijkheid	Laag
Database-injectie	Kwaadaardige code in database-records	Datadiefstal	Zeer hoog

Controleer bij een infectie altijd de server-access-logs. Zoek naar ongebruikelijke POST-verzoeken, uploads naar onverwachte directories en verzoeken aan bestanden die er niet horen te zijn. Met gerichte log-analyse vind je veelgebruikte obfuscatie-patronen die malware verbergen in schijnbaar onschuldige bestanden.

Automatische Malware-scanners versus Handmatige Controle

Er zijn twee hoofdbenaderingen voor het detecteren en verwijderen van website malware: automatische scanners en handmatige controle. Beide hebben voor- en nadelen die je moet afwegen.

Automatische scanners zoals Sucuri SiteCheck, VirusTotal en Wordfence scannen je website op bekende malware-signatures. Ze zijn snel en effectief voor bekende bedreigingen, maar missen vaak op maat gemaakte malware of geavanceerde backdoors die specifiek voor jouw website zijn geschreven.

Handmatige controle is tijdrovender maar grondiger. Vergelijk bestanden met de originele broncode, controleer database-tabellen op verdachte invoer en analyseer .htaccess-bestanden op ongeautoriseerde redirects. Vooral bij WordPress-websites is het vergelijken van core-bestanden met de officiële versie een effectieve methode.

• Download een schone kopie van WordPress, je thema en plugins
• Vergelijk bestandsgroottes en checksums met de originelen
• Let extra op wp-config.php, .htaccess en index.php bestanden
• Controleer de wp_options-tabel op onbekende entries
• Zoek naar onbekende admin-gebruikers in de database

Herbesmetting Voorkomen na het Verwijderen van Malware

Het verwijderen van malware is slechts de helft van het werk. Zonder structurele maatregelen is herbesmetting slechts een kwestie van tijd. Volg dit actieplan om je website blijvend schoon te houden:

1. Wijzig alle wachtwoorden — FTP, database, admin-accounts, hosting-paneel en SSH-sleutels. Gebruik een wachtwoordmanager voor sterke, unieke combinaties.
2. Update alles — CMS, thema, plugins en server-software. Verouderde software is de belangrijkste oorzaak van infecties.
3. Installeer een firewall — Een website firewall blokkeert kwaadaardig verkeer voordat het je website bereikt.
4. Schakel two-factor authenticatie in — Bescherm admin-accounts met two-factor authenticatie als extra beveiligingslaag.
5. Stel bestandsmonitoring in — Tools zoals OSSEC of Wordfence waarschuwen je bij ongeautoriseerde bestandswijzigingen.
6. Maak regelmatige backups — Bewaar minstens drie recente backups op een externe locatie, gescheiden van je webserver.

Overweeg ook het gebruik van server monitoring tools om afwijkend gedrag vroegtijdig te detecteren. Een plotselinge stijging in CPU-gebruik of uitgaand verkeer kan wijzen op een nieuwe infectie. Goede WordPress beveiligingsplugins bieden real-time monitoring en automatische blokkering van verdachte IP-adressen.

Wanneer Professionele Hulp Inschakelen bij Malware

Niet elke malware-infectie kun je zelf oplossen. In bepaalde gevallen is professionele hulp noodzakelijk om verdere schade te voorkomen. Schakel een specialist in wanneer:

• De malware na meerdere opschoningspogingen terugkeert
• Je website op de Google Safe Browsing-blacklist staat
• Er aanwijzingen zijn dat klantgegevens zijn gestolen (meldingsplicht onder AVG)
• De infectie zich heeft verspreid naar meerdere websites op dezelfde server
• Je geen toegang meer hebt tot je eigen hosting-account

Professionele malware-verwijderingsdiensten kosten gemiddeld tussen de 150 en 500 euro, afhankelijk van de complexiteit. Dit omvat doorgaans een complete scan, opschoning, hardening en monitoring voor een bepaalde periode. Bij een hosting pakket met managed security worden dergelijke problemen vaak door de provider opgepakt, wat een belangrijk voordeel is van managed hosting ten opzichte van unmanaged oplossingen.

Website Malware Verwijderen: Preventief Beveiligingsbeleid

Het beste moment om na te denken over website malware verwijderen is voordat het nodig is. Een preventief beveiligingsbeleid vermindert het risico op infectie aanzienlijk en versnelt het herstel wanneer het toch misgaat. Implementeer deze preventieve maatregelen als standaardprocedure voor elke website die je beheert.

Stel een beveiligingsschema op dat de volgende periodieke taken omvat: dagelijkse automatische backups naar een externe locatie, wekelijkse malware-scans met een betrouwbare scanner, maandelijkse controle van alle gebruikersaccounts en hun rechten, driemaandelijkse update van alle wachtwoorden voor kritieke systemen, en halfjaarlijkse penetratietests om kwetsbaarheden te identificeren voordat aanvallers ze vinden.

Beperk het aanvalsoppervlak door ongebruikte plugins en themas te verwijderen, niet alleen te deactiveren. Elke extra plugin is een potentiele kwetsbaarheid. Gebruik het principe van least privilege: geef gebruikers alleen de minimale rechten die ze nodig hebben voor hun werk. Een redacteur hoeft geen admin-rechten te hebben, en een gastauteur hoeft geen plugins te kunnen installeren. Documenteer wie toegang heeft tot welke systemen en controleer dit regelmatig.

Kosten van een Malware-infectie voor Bedrijven

De werkelijke kosten van een malware-infectie gaan ver voorbij de directe opschoonkosten. Wanneer je de volledige impact berekent, wordt duidelijk waarom preventie altijd goedkoper is dan herstel. De directe kosten omvatten professionele opschoningsdiensten, inkomstenverlies tijdens downtime en mogelijke boetes bij datalek onder de AVG. De indirecte kosten zijn vaak nog groter: reputatieschade bij klanten en zoekmaschines, verlies van zoekmachine-rankings na blacklisting door Google, en het tijdverlies voor intern personeel dat bij het herstel betrokken is. Voor webshops komt daar het verlies van klantvertrouwen bij, wat maanden kan duren om te herstellen. Investeer daarom in preventie: een goed hostingpakket, regelmatige updates en professionele beveiligingstools kosten een fractie van wat een succesvolle aanval kost.

Checklist voor Website Malware Verwijderen

Gebruik deze stapsgewijze checklist wanneer je vermoedt dat je website geinfecteerd is met malware. Systematisch te werk gaan voorkomt dat je stappen overslaat die later voor herbesmetting kunnen zorgen bij het verwijderen van website malware.

• Maak een volledige backup van de huidige (besmette) staat voor forensisch onderzoek
• Wijzig direct alle FTP-, SSH- en database-wachtwoorden via een schoon apparaat
• Scan alle bestanden met minimaal twee verschillende malware-scanners
• Vergelijk verdachte bestanden met originele bronbestanden van je CMS en plugins
• Controleer de database op verdachte invoer, met name in gebruikerstabellen en opties
• Verwijder alle gedetecteerde malware en vervang aangetaste bestanden door schone versies
• Update alle software inclusief CMS-core, thema, plugins en server-software
• Controleer en herstel bestandsrechten naar de correcte waarden
• Dien een herbeoordelingsverzoek in bij Google als je website op de blacklist staat
• Monitor de website intensief gedurende minimaal vier weken na de opschoning

Bewaar de logs en documentatie van het incident minstens een jaar. Dit is waardevol voor toekomstige referentie en kan nodig zijn voor juridische doeleinden of verzekeringsaanspraken.