Een firewall instellen, een SSL-certificaat aanschaffen, een sterk wachtwoord kiezen: de meeste ondernemers denken dat hun website daarmee beveiligd is. Toch draait een groot deel van de websites die wij binnenkrijgen na een hack gewoon op een verouderde WordPress-kern, een oud thema of een plugin die al drie versies achterloopt. Niet de hacker is dan het probleem, maar het onderhoud dat is blijven liggen.
Uit rapportages van beveiligingsbedrijven die gehackte WordPress-installaties analyseren, komt steeds hetzelfde beeld naar voren: ruim de helft van de gecompromitteerde sites had op het moment van de aanval minimaal één plugin, thema of CMS-versie die al maanden niet was bijgewerkt. Een aanvaller hoeft dan niets te kraken. Hij zoekt simpelweg naar bekende kwetsbaarheden waarvoor de patch al lang beschikbaar was, maar nooit is geïnstalleerd.
Waarom “later bijwerken” duurder uitpakt dan u denkt
Stel: u runt een webshop met een jaaromzet van 180.000 euro. Dat is gemiddeld 493 euro omzet per dag. Na een hack ziet u de volgende kostenpost ontstaan:
- 3 tot 5 dagen offline tijdens het opschonen en herstellen – al gauw 1.500 tot 2.500 euro gemiste omzet.
- Specialistische malware-verwijdering: tussen de 500 en 1.200 euro, afhankelijk van hoe diep de infectie zit.
- Google-blacklist herstel: als uw site als “onveilig” wordt gemarkeerd, duurt het vaak 1 tot 2 weken voordat zoekresultaten en advertenties weer normaal functioneren, met een merkbare terugval in organisch verkeer in die periode.
- Reputatieschade: klanten die een waarschuwing van hun browser krijgen, komen zelden dezelfde dag nog terug.
Tel dit bij elkaar op en een hack die had kunnen worden voorkomen met een update van 10 minuten, kost al snel tussen de 3.000 en 6.000 euro aan directe schade — nog los van de tijd die u er zelf in steekt.
Een update-beleid dat wél werkt: het stappenplan
De meeste ondernemers weten dat updates belangrijk zijn, maar hebben er geen structuur voor. Dat is het echte probleem: updates gebeuren ad hoc, meestal pas als er iets stuk is. Zo pak je het wel aan:
Stap 1: Inventariseer alles wat u draait
Maak een lijst van CMS-versie, thema en alle actieve plugins. Vreemd genoeg weten veel ondernemers niet eens hoeveel plugins er op hun site actief zijn – wij zien regelmatig installaties met 40 tot 60 plugins, waarvan de eigenaar er hooguit 15 kan benoemen.
Stap 2: Verwijder wat u niet meer gebruikt
Elke geïnstalleerde plugin is een potentiële ingang, ook als hij “uitgeschakeld” staat. Gedeactiveerde plugins worden zelden bijgewerkt, maar de kwetsbare code staat gewoon nog op de server. Verwijderen, niet alleen deactiveren.
Stap 3: Test updates altijd eerst op een staging-omgeving
Dit is de stap die het vaakst wordt overgeslagen, meestal uit tijdgebrek. Toch is dit precies waarom veel ondernemers updates uitstellen: ze zijn een keer bang geweest dat een update de site zou breken. Een staging-omgeving – een exacte kopie van uw live site – kost bij een goede hostingpartij niets extra en voorkomt dat u met bibberende handen op “update” klikt tijdens kantooruren.
Stap 4: Plan een vast updatemoment
Wekelijks, op een vast tijdstip buiten piekuren. Niet “als het uitkomt”. Bedrijven die dit structureel doen, lopen aantoonbaar minder risico dan bedrijven die updates pas draaien als er een waarschuwing verschijnt.
Stap 5: Maak vóór elke update een backup, volgens de 3-2-1-regel
Drie kopieën van uw data, op twee verschillende soorten opslag, waarvan één extern (dus niet op dezelfde server als uw website). Zonder actuele backup is elke update een gok, met backup is het een formaliteit.
Wat als u dit zelf niet kunt bijhouden?
Voor de meeste MKB-ondernemers is dit precies het punt waarop onderhoud blijft liggen: er is geen tijd, geen kennis, of gewoonweg geen zin om elke week handmatig plugins te controleren. Dat is ook waar managed hosting zijn waarde bewijst – niet als marketingterm, maar heel concreet: automatische patches op serverniveau, monitoring op verdachte bestandswijzigingen, en een staging-omgeving die standaard klaarstaat in plaats van iets dat u zelf moet regelen.
Het verschil zit hem niet in dure beveiligingssoftware, maar in discipline. Een website die wekelijks wordt bijgewerkt en waarvan de ongebruikte plugins zijn opgeruimd, is in de praktijk vele malen veiliger dan een website met de nieuwste firewall maar een CMS-kern van anderhalf jaar oud.
Een korte zelftest
Weet u op dit moment, zonder in te loggen, hoeveel plugins er op uw website actief zijn en wanneer de laatste update is uitgevoerd? Zo niet, dan is dat de eerste actie voor deze week – niet het aanschaffen van extra beveiligingstools.