Wat te doen bij een cyberaanval: dit doe je in het eerste uur

Wat te doen bij een cyberaanval? Als het je bedrijf treft, telt vooral wat je in het eerste uur doet.

Het is ook het moment waarop je het makkelijkst een dure fout maakt: de verkeerde computer uitzetten, bewijs wissen, of antwoorden vanuit een mailaccount dat de aanvaller al meeleest. De stappen hieronder vertellen je wat je moet doen, en in welke volgorde, zodat je niet hoeft te gokken op het moment zelf. Technische kennis heb je er niet voor nodig.

Eerst dit: maak het niet erger

Voordat je iets aanraakt, vermijd deze dingen:

Zet de getroffen computer niet uit als het even kan. Loskoppelen van het netwerk is beter, want uitzetten kan bewijs wissen dat helpt te achterhalen wat er is gebeurd.

Verwijder niets. Laat het losgeldbericht, de verdachte mail en eventuele meldingen precies staan waar ze staan. Dat is wat je IT-partij en onderzoekers nodig hebben.

Betaal niet meteen losgeld.

Bespreek de aanval niet via de gehackte mail of accounts. Zit een aanvaller in je inbox, dan leest hij die berichten mee. Schakel over op bellen of een ander account.

Het stappenplan

Werk deze stappen op volgorde af, vanaf het moment dat je merkt dat er iets mis is.

1. Koppel de getroffen apparaten los van het netwerk. Trek de netwerkkabel eruit en zet wifi uit op alles wat besmet lijkt. Dit voorkomt dat het probleem overslaat naar andere computers en naar je back-ups. Het advies is om apparaten te isoleren in plaats van uit te zetten waar dat kan, en een apparaat pas helemaal af te sluiten als je het op geen enkele andere manier van het netwerk krijgt.

2. Bel je IT-partij direct, telefonisch. Mail niet, voor het geval de aanvaller je inbox meeleest. Heb je een cyberverzekering? Bel die daarna, want veel polissen eisen dat je hun incidentteam vroeg inschakelt.

3. Laat het bewijs met rust. Wis, herinstalleer of “ruim” de getroffen machines nog niet op. Schermafbeeldingen van het losgeldbericht of verdachte mails zijn nuttig, maar bewaar ook de originelen.

4. Is er geld overgemaakt? Bel meteen je bank. Vraag of ze de overboeking kunnen terughalen en blokkeren. Bij bankfraude maakt snel handelen — binnen de eerste uren — het grootste verschil.

5. Reset wachtwoorden vanaf een schoon apparaat en zet tweefactorauthenticatie aan. Begin met mail en alle beheerdersaccounts, en gebruik een apparaat waarvan je zeker weet dat het niet besmet is.

6. Meld de aanval. Dat helpt je herstellen en is soms wettelijk verplicht. Waar je meldt, lees je hieronder.

Waar meld je het?

In Nederland kun je op een paar plekken terecht:

Doe aangifte bij de politie. Cybercrime en fraude meld je via politie.nl of op het bureau. Bij financiële schade is aangifte ook belangrijk voor je verzekering.

Meld oplichting bij de Fraudehelpdesk. Via fraudehelpdesk.nl kun je fraude en phishing melden en advies krijgen over de vervolgstappen.

Schakel het NCSC in voor advies. Sinds begin 2026 is het Nationaal Cyber Security Centrum (waarin het Digital Trust Center is opgegaan) het centrale aanspreekpunt voor Nederlandse organisaties bij digitale dreigingen en incidenten.

Is er geld naar een oplichter gegaan? Meld het snel. Hoe eerder je bank ervan weet, hoe groter de kans dat het geld nog te stoppen of terug te halen is.

Zijn er persoonsgegevens van je klanten of medewerkers gelekt, dan ben je mogelijk verplicht dit te melden bij de Autoriteit Persoonsgegevens — onder de AVG vaak binnen 72 uur — en soms ook bij de betrokkenen zelf. Vraag je jurist of IT-partij hier vroeg naar, zodat je geen termijn mist.

Moet je het losgeld betalen?

Gaat het om ransomware, dan is de grote vraag of je betaalt. Het advies van politie en experts is: doe dat niet. Betalen geeft geen garantie dat je je bestanden terugkrijgt, het markeert je als een bedrijf dat betaalt, en het geld financiert nieuwe aanvallen.

Uiteindelijk is het jouw beslissing, maar neem die samen met de politie, je IT- of incidentteam en je verzekeraar — niet alleen in het eerste paniekerige uur. Soms bestaat er al een gratis ontsleuteltool voor precies de ransomware die jou trof. Op nomoreransom.org, een initiatief van onder meer politie en Europol, vind je zulke tools. Nog een reden om eerst de experts erbij te halen voordat je iemand betaalt.

Het beste moment om je voor te bereiden is vóóraf

Dit alles is een stuk makkelijker als je een deel al hebt bedacht voordat het gebeurt. Je hebt geen dik draaiboek nodig, maar wel een simpel plan dat dit dekt:

Wie je als eerste belt (je IT-partij, je verzekeraar) en hun nummers, bewaard op een plek die je bereikt zonder je hoofdsystemen.

Waar je back-ups staan, en bewijs dat ze werken doordat je er weleens vanaf hebt teruggezet.

Welke accounts en apparaten het belangrijkst zijn, zodat je weet wat je als eerste moet beschermen.

Voor de meeste kleine bedrijven is één A4’tje met die punten genoeg. En het scheelt je een hoop gedoe als de dag ooit komt.

Veelgestelde vragen

Wat is het eerste wat ik moet doen bij een cyberaanval?

Koppel de getroffen apparaten los van het netwerk door de netwerkkabel eruit te trekken en wifi uit te zetten, en bel daarna je IT-partij telefonisch. Het apparaat van het netwerk halen voorkomt dat het probleem zich verspreidt terwijl je hulp regelt.

Moet ik de computer uitzetten bij ransomware?

Als het kan, koppel je hem liever los van het netwerk dan dat je hem uitzet. Uitschakelen kan bewijs wissen dat in het geheugen staat en helpt te achterhalen wat er is gebeurd. Zet een apparaat alleen helemaal uit als je het op geen andere manier van het netwerk krijgt.

Moet ik het losgeld betalen?

Het advies is van niet. Betalen geeft geen garantie dat je je data terugkrijgt en het financiert nieuwe aanvallen. Neem die beslissing samen met de politie, je IT- of incidentteam en je verzekeraar, en check eerst of er al een gratis ontsleuteltool bestaat.

We hebben geld overgemaakt naar een oplichter. Wat nu?

Bel meteen je bank en vraag of ze de overboeking kunnen terughalen. Hoe sneller je erbij bent, hoe groter de kans dat het geld nog te stoppen is. Meld de fraude daarnaast bij de Fraudehelpdesk en doe aangifte bij de politie.

Bij wie meld ik een cyberaanval?

Doe aangifte bij de politie en meld oplichting bij de Fraudehelpdesk. Voor advies kun je terecht bij het NCSC. Licht ook je cyberverzekeraar in, en check of je wettelijk verplicht bent een datalek te melden bij de Autoriteit Persoonsgegevens als er persoonsgegevens zijn gelekt.

Kan ik versleutelde bestanden bij ransomware zelf terugkrijgen?

Soms wel. Voor een deel van de ransomware-families bestaat een gratis decryptor; kijk op No More Ransom, een initiatief van politie en securitybedrijven, of jouw variant erbij staat. Verder is een goede back-up de enige betrouwbare route terug: herstel je bestanden pas nadat de aanvaller geen toegang meer heeft tot je systeem, anders versleutelt hij de nieuwe kopie ook. Zijn er persoonsgegevens gestolen of versleuteld, dan is er sprake van een datalek en moet je dat binnen 72 uur melden bij de Autoriteit Persoonsgegevens.

Bij OkayICT helpen we MKB-bedrijven een aanval vóór te zijn én er rustig op te reageren als het toch gebeurt — met een simpel plan en korte lijnen. Wil je weten hoe je bedrijf ervoor staat? Neem gerust contact op.