Kort gezegd: De kosten van een hackaanval voor een bedrijf bestaan uit drie groepen: directe kosten voor incidentafhandeling, opschoning en advies, indirecte kosten door uitval, arbeidstijd en verlies van vertrouwen, en vervolgkosten voor verharding, migratie en nawerk. Algemene bedragen zijn onbetrouwbaar. Betrouwbaar is een eigen berekening die elke post met uw cijfers vult en zo preventie onderbouwbaar maakt.
De rekening die niemand opstelt
In veel begrotingsrondes staat beveiliging als kostenpost aan de ene kant. Aan de andere kant staat niets, omdat de schade nog niet is ontstaan. Pas als een server is overgenomen, wordt zichtbaar wat er allemaal bij komt, en meestal is dat meer dan de rekening van de dienstverlener.
PHP2Shell heeft veel bedrijven deze week tot een afweging gedwongen: de website direct offline halen, zoals het BSI (Duitse federale dienst voor informatiebeveiliging) adviseerde voor systemen die niet te patchen zijn, of laten draaien? Ook die beslissing is een kostenvraag. Wie weet wat een dag uitval kost en wat een inbraak zou kunnen kosten, beslist rustiger. Volgens de media heeft bijvoorbeeld de stad Mainz haar centrale webportaal preventief uitgeschakeld; de afdelingen bleven telefonisch en per e-mail bereikbaar. Ook zo'n uitval heeft een prijs, maar een plannbare.
De kosten van een hackaanval op een rij
Het volgende overzicht noemt de typische posten. Niet elke post doet zich bij elk incident voor, maar elke post moet worden gecontroleerd.
| Groep | Kostenpost | Waarvan afhankelijk |
|---|---|---|
| Direct | incidentafhandeling en technische noodhulp | duur, aantal systemen, tijdstip |
| Direct | IT-forensisch onderzoek en bewijsveiligstelling | omvang, behoefte aan bewijskrachtige documentatie |
| Direct | opschoning of herbouw van servers | staat van de back-ups, documentatie |
| Direct | juridisch advies en advies over gegevensbescherming | meldplichten, contracten, vorderingen |
| Direct | berichtgeving aan betrokkenen, klantenservice | aantal betrokkenen, kanalen |
| Indirect | omzetverlies tijdens de uitschakeling | afhankelijkheid van het systeem, duur |
| Indirect | interne arbeidstijd van leiding, IT, verkoop | voorbereiding, duidelijkheid van de rollen |
| Indirect | verlies van zichtbaarheid in zoekmachines | waarschuwingen, ingebrachte spam |
| Indirect | geblokkeerd mailverkeer | misbruik van de server voor spam |
| Indirect | verlies van vertrouwen bij klanten en partners | communicatie, aard van de gegevens |
| Vervolg | verharding, monitoring, nieuwe processen | uitgangssituatie |
| Vervolg | migratie van verouderde software | bijv. PHP 8.1 en ouder |
| Vervolg | contractaanpassingen met dienstverleners | bestaande regelingen |
| Vervolg | mogelijke vorderingen van derden of boetes | individueel geval, juridische beoordeling |
Directe kosten: wat op facturen staat
De directe kosten zijn het gemakkelijkst vast te stellen, omdat ze als factuur binnenkomen. Daartoe behoren technische hulp, forensisch onderzoek, opschoning en advies. De omvang hangt sterk af van de voorbereiding. Is er een actuele inventaris, zijn er geteste back-ups en veiliggestelde logs, dan gaat de analyse sneller. Ontbreekt dat, dan bestaat een deel van het werk uit het zoeken naar basisgegevens. Wat een grondig onderzoek omvat, beschrijft IT-forensica na een aanval op een webserver.
Daarbij komen posten waaraan u eerst niet denkt: overuren van externe dienstverleners in het weekend, een vervangende server voor de overbruggingstijd of drukken en verzenden van brieven als betrokkenen zo moeten worden geïnformeerd.
Indirecte kosten: wat niet op facturen staat
De indirecte kosten zijn vaak groter en moeilijker te vatten. Het omzetverlies van een shop is af te leiden uit eigen cijfers. De arbeidstijd van directie, IT, verkoop en klantenservice wordt daarentegen zelden geregistreerd, hoewel een incident veel mensen dagenlang bezighoudt.
Twee gevolgen treffen websites bijzonder. Vindt Google schadelijke code, dan kan een waarschuwing bezoekers afschrikken totdat de opschoning is bevestigd; hoe u haar laat verwijderen, leest u onder Google-waarschuwing verwijderen. Wordt de server voor spam misbruikt, dan belanden e-mails van het bedrijf op blokkadelijsten en bereiken ze klanten niet meer. Beide werken vaak nog weken door na de technische opschoning.
Vervolgkosten: wat na de opschoning komt
Is de server weer schoon, dan is de rekening nog niet afgesloten. Bijna elk incident legt verzuimen bloot die nu moeten worden ingehaald: verharding van de servers, monitoring die voortaan eerder waarschuwt, geteste back-ups, nieuwe toegangen voor alle betrokkenen. Draait een systeem op PHP 8.1 of ouder, waarvoor geen officiële updates meer bestaan, dan staat vaak een migratie op de agenda die toch al aan de orde was, maar nu onder tijdsdruk.
Daarbij komen organisatorische vervolgkosten. Contracten met hoster en bureau worden herzien, het noodplan wordt aangepast, medewerkers worden getraind. Sommige van deze posten zijn zinvolle investeringen die zonder het incident goedkoper waren geweest. Precies dat is het argument voor preventie.
Uw eigen berekening opstellen
In plaats van statistieken van anderen helpt een berekening met eigen cijfers. Zo gaat u te werk:
- Kritieke systemen benoemen: welke websites, shops en portalen dragen omzet of processen?
- Uitvalkosten per dag schatten: uit omzetgegevens, orderinstroom of arbeidstijd die zonder het systeem niet geleverd kan worden.
- Interne uren aanzetten: wie zou hoe lang vastzitten? Waardeer met interne uurtarieven.
- Directe posten navragen: raamoffertes van dienstverleners voor noodhulp en forensisch onderzoek opvragen.
- Verzekeringsdekking vergelijken: welke posten dekt de polis, welk eigen risico en welke voorwaarden gelden?
- Met preventie vergelijken: wat kosten inventaris, patchproces, back-ups, monitoring en onderhoud per jaar?
Reken met een bandbreedte in plaats van met één getal: een incident dat dezelfde dag wordt ontdekt en een dat pas na weken opvalt. Het verschil laat zien wat vroege detectie waard is.
Of een cyberverzekering afzonderlijke posten vergoedt, regelen uitsluitend uw polisvoorwaarden; aanwijzingen over typische verplichtingen geeft Cyberverzekering: wat bij schade telt. Mogelijke vorderingen van derden, contractuele boetes of bestuurlijke boetes zijn niet vooraf te becijferen; dat is een juridische vraag voor advocaat en functionaris voor gegevensbescherming. Deze pagina is geen juridisch advies.
Hoe helpt PHP SOS concreet?
- Wij benoemen samen met u de kritieke systemen en laten zien welke kostenposten bij een incident daar realistisch zouden ontstaan.
- Wij controleren hoe goed back-ups, logs en inventaris zijn voorbereid, want daarvan hangen de directe kosten sterk af.
- Wij stellen een schriftelijke offerte voor preventie op die u kunt afzetten tegen uw eigen berekening.
- Duurzame preventie nemen wij over via een beveiligingsonderhoudscontract met duidelijk omschreven omvang.
Conclusie: De duurste posten van een hack staan zelden op een factuur. Wie ze vooraf met eigen cijfers zichtbaar maakt, kan preventie onderbouwen en in een noodgeval sneller beslissen.
Veelgestelde vragen
Wat kost een hackaanval een bedrijf?
Dat is niet algemeen te zeggen. De kosten hangen af van aard en duur van het incident, de getroffen gegevens, de afhankelijkheid van het systeem en de voorbereiding. Serieus is alleen een overzicht van kostenposten dat u met eigen cijfers vult.
Welke kosten neemt een cyberverzekering over?
Dat regelen de polisvoorwaarden van uw contract. Vaak gaat het om kosten van incidentafhandeling, bedrijfsonderbreking en bepaalde aansprakelijkheidsgevallen, steeds met voorwaarden en verplichtingen. Stem de omvang vooraf af met uw verzekeraar of makelaar.
Welke kosten worden het vaakst over het hoofd gezien?
De interne arbeidstijd, de weken na het incident, gevolgen voor het mailverkeer en voor zoekmachines, en kosten van maatregelen die eigenlijk al eerder aan de orde waren, zoals de migratie van een verouderde PHP-versie.
Kunnen boetes of schadevergoeding vooraf worden becijferd?
Nee. Of en in welke hoogte zulke vorderingen ontstaan, hangt af van het individuele geval en is een juridische kwestie. Voor een inschatting zijn de functionaris voor gegevensbescherming en een advocaat bevoegd; deze pagina is geen juridisch advies.