Getroffen door een ransomware-aanval? Wat te doen om de schade te beperken

Er is een moment waarop iemand op maandagochtend de computer opstart en een scherm ziet met de mededeling dat alle bestanden versleuteld zijn. Vanaf dat moment tikt de klok en telt nog maar één vraag: wat te doen bij een ransomware-aanval? Wat je in de eerste twee uur doet, bepaalt grotendeels of dit een vervelende week wordt of een existentieel probleem.

De meeste artikelen over ransomware gaan over voorkomen. Belangrijk, en daar staan bij ons ook stukken over. Dit artikel gaat over de andere helft: je bent geraakt, wat nu? Want ook bedrijven die alles goed doen worden af en toe getroffen, en het verschil tussen twee dagen en drie weken stilstand zit in de voorbereiding.

Hieronder wat ransomware anno 2026 doet, wat je in de eerste uren wel en niet moet doen, en welke voorbereiding de schade daadwerkelijk beperkt.

Wat ransomware tegenwoordig doet

Ransomware is software die je bestanden versleutelt en losgeld vraagt voor de sleutel. Dat basisidee is niet veranderd, de aanpak eromheen wel.

Dubbele afpersing is de norm

Aanvallers versleutelen niet alleen, ze kopiëren je gegevens eerst. Betaal je niet, dan dreigen ze met publicatie. Dat betekent dat een goede back-up je wel weer aan het werk helpt, maar het datalek niet ongedaan maakt. Je hebt dus altijd twee sporen te bewaken: herstel én meldplicht.

Ze zitten er al langer in dan je denkt

Tussen de eerste binnenkomst en het versleutelen zit vaak dagen tot weken. In die tijd kijken aanvallers rond, stelen ze inloggegevens en zoeken ze specifiek naar je back-ups. Dat laatste is de reden dat online back-ups die vanaf een besmet netwerk bereikbaar zijn zo vaak mee de mist in gaan.

Ook cloud en telefoons zijn doelwit

Een gekaapt Microsoft 365-account kan volstaan om bestanden in SharePoint of OneDrive te versleutelen. Hoe dat werkt lees je in SaaS-ransomware: zo verdedig je je.

De eerste twee uur: wat je doet

Dit is het deel dat je van tevoren wilt weten, niet ter plekke wilt uitvinden.

Breng eerst je organisatie op de hoogte en neem direct contact op met je ICT-helpdesk of IT-partner. Zorg dat één iemand de regie heeft, zodat niet vijf mensen tegelijk aan hetzelfde apparaat gaan zitten. Daarna volg je deze zes stappen.

1. Isoleer, maar zet niet uit

Haal getroffen apparaten van het netwerk: netwerkkabel eruit, wifi uit. Zet ze niet uit en start ze niet opnieuw op — in het werkgeheugen kan bewijs of zelfs sleutelmateriaal staan dat je bij een herstart kwijt bent.

2. Trek de stekker uit je gedeelde omgeving

Ontkoppel netwerkschijven en pauzeer cloudsynchronisatie, zodat versleutelde bestanden niet netjes over je goede versies heen worden gesynchroniseerd.

3. Zet de back-up veilig

Koppel externe back-upmedia fysiek los. Zit je back-up in de cloud, controleer dan of die vanaf het besmette netwerk bereikbaar is en blokkeer die toegang tijdelijk.

4. Reset wachtwoorden van beheeraccounts

Ga ervan uit dat inloggegevens gestolen zijn. Reset in elk geval de beheerdersaccounts en zet tweestapsverificatie aan waar dat nog niet stond.

5. Leg vast wat je ziet

Maak foto’s van het scherm, noteer tijdstippen en welke systemen geraakt zijn. Dat heb je nodig voor je verzekeraar, voor de politie en voor de melding aan de Autoriteit Persoonsgegevens.

6. Bel je IT-partner en je verzekeraar

Doe dit vroeg, niet nadat je zelf een dag hebt geprobeerd. Veel cyberverzekeringen stellen bovendien eisen aan hoe snel je meldt en wie er aan het herstel mag werken.

Waarom je niet betaalt

De verleiding is groot, zeker als de bedrijfsvoering stilligt. Toch is losgeld betalen zelden verstandig:

• Er is geen garantie dat je een werkende sleutel krijgt, en decryptietools van aanvallers zijn vaak traag en onvolledig.
• Betalen voorkomt publicatie van gestolen data niet — je hebt alleen hun woord.
• Wie betaalt, wordt vaker opnieuw benaderd.
• Het houdt het verdienmodel in stand.

Overleg altijd eerst met je verzekeraar en een specialist. Soms bestaat er al een gratis decryptietool voor de betreffende variant, bijvoorbeeld via het No More Ransom-initiatief waar de Nederlandse politie aan meewerkt.

De meldplicht vergeet je niet

Zijn er persoonsgegevens geraakt — en dat is vrijwel altijd zo — dan geldt de AVG-meldplicht: binnen 72 uur na ontdekking melden bij de Autoriteit Persoonsgegevens als er risico is voor betrokkenen. Bij hoog risico moet je ook de mensen zelf informeren. Val je onder NIS2, dan gelden aanvullende en strengere termijnen; zie wat NIS2 voor jou betekent.

Doe daarnaast aangifte bij de politie. Het voelt kansloos, maar meldingen helpen bij het in kaart brengen van groepen en zijn vaak een voorwaarde voor je verzekering. De valkuilen in deze fase staan in datalek afhandelen: 5 valkuilen.

Wat de schade echt beperkt: de voorbereiding

Alles hierboven verloopt soepel of chaotisch, en dat verschil maak je vooraf.

Een back-up die niet meebesmet raakt

Dit is de belangrijkste. Werk volgens 3-2-1: drie kopieën, twee soorten media, één daarvan offline of onveranderbaar (immutable). Een back-up die vanaf je gewone netwerk te benaderen en te verwijderen is, is geen verzekering. Test bovendien elk kwartaal of terugzetten echt lukt — zie veilige back-ups: best practices.

Beperkte rechten en netwerksegmentatie

Ransomware verspreidt zich met de rechten van het account dat besmet raakt. Werkt iedereen als beheerder, dan gaat alles plat. Scheid daarnaast je netwerk: productie, kantoor, gasten en slimme apparaten hoeven elkaar niet te zien.

Detectie die vroeg alarm slaat

Omdat aanvallers dagen rondlopen voordat ze toeslaan, is dat je kans. Moderne endpointbescherming en continue monitoring zien ongebruikelijk gedrag vaak voordat de versleuteling begint.

Een herstelplan van één A4

Wie bel je, in welke volgorde, welke systemen zet je als eerste terug, wie informeert klanten? Print het, want als het misgaat kun je waarschijnlijk niet bij je bestanden. Loop het één keer per jaar met je team door.

Weten wat stilstand kost

Reken uit wat één dag zonder systemen je kost aan omzet, loon en herstelwerk. Dat getal maakt de discussie over back-upbudget in één keer eenvoudig — zie de verborgen kosten van IT-uitval.

Praktijkvoorbeeld: waarom testen loont

Een groothandel met 25 medewerkers wordt op een zaterdag geraakt. Maandagochtend staat alles stil. Ze hebben back-ups, dus de eerste reactie is opgelucht. Tot blijkt dat de laatste geslaagde back-up van elf dagen eerder is: de taak liep sindsdien op een fout die niemand had opgemerkt, want er kwam alleen een mail als het goed ging.

Elf dagen orders, facturen en correspondentie opnieuw invoeren kostte hen ruim drie weken. Een kwartaaltest van vijftien minuten had dat voorkomen.

Veelgestelde vragen

Moet ik de politie inschakelen bij ransomware?

Ja, doe aangifte. Het helpt bij het volgen van criminele groepen, je verzekeraar vraagt er meestal om, en soms is er via lopende onderzoeken een decryptiesleutel beschikbaar. Kijk daarnaast op No More Ransom of er voor jouw variant al een gratis tool bestaat.

Beschermt mijn cyberverzekering mij hiertegen?

Een verzekering dekt vaak herstelkosten, juridische bijstand en soms omzetverlies, maar voorkomt niets. Let goed op de voorwaarden: veel polissen eisen tweestapsverificatie, actuele software en geteste back-ups. Voldoe je daar niet aan, dan kan een uitkering vervallen.

Hoe lang duurt herstel na een ransomware-aanval?

Met geteste, gescheiden back-ups en een plan: vaak één tot drie dagen voor de kritische systemen. Zonder dat loopt het snel op tot weken, omdat je eerst moet uitzoeken wat besmet is, systemen opnieuw moet opbouwen en gegevens handmatig moet reconstrueren.

Kan ransomware ook mijn cloudopslag raken?

Zeker. Synchroniseert een besmette pc met OneDrive of Google Drive, dan gaan de versleutelde versies gewoon mee. Versiebeheer helpt vaak, maar is beperkt houdbaar. Behandel je clouddata daarom als iets waarvan je een aparte back-up nodig hebt.

Wil je weten hoe jouw bedrijf ervoor staat als het morgen gebeurt? We testen graag een keer of je back-up echt terug te zetten is en helpen je het herstelplan op één A4 te krijgen.