Een medewerker kan maandagochtend geen bestanden meer openen. Het boekhoudpakket vraagt om losgeld, de planning ligt stil en klanten wachten op antwoord. Dan is de vraag niet alleen hoeveel kost ransomware herstel, maar vooral: hoeveel kost elk uur dat uw bedrijf niet kan werken?

Een vast bedrag bestaat niet. Herstel na ransomware kan enkele duizenden euro’s kosten, maar bij een zwaar getroffen organisatie loopt de totale schade snel op tot tienduizenden euro’s of meer. De technische interventie is slechts één deel van de rekening. Productiviteitsverlies, gemiste omzet, communicatie met klanten, juridische verplichtingen en herstel van vertrouwen wegen vaak zwaarder door.

Hoeveel kost ransomware herstel in de praktijk?

De kosten hangen af van de omvang van de aanval, de staat van uw back-ups en de snelheid waarmee u ingrijpt. Een kleine omgeving met één getroffen toestel en een gecontroleerde, recente back-up is meestal relatief snel weer operationeel. Bij een aanval die servers, cloudaccounts, werkplekken en back-ups raakt, is een volledig onderzoek en gefaseerd herstel nodig.

Voor een eerste technische inschatting kunt u denken aan deze situaties. Een beperkte besmetting waarbij systemen snel worden geïsoleerd en data uit een schone back-up wordt teruggezet, vraagt vaak enkele uren tot enkele werkdagen specialistisch werk. Wanneer meerdere systemen zijn versleuteld, identiteiten mogelijk zijn misbruikt en de aanvalsvector onbekend is, loopt de inzet op. Dan moeten experts niet alleen bestanden herstellen, maar ook aantonen dat de omgeving opnieuw veilig kan worden gebruikt.

De werkelijke kostprijs bestaat dus uit twee delen: de kosten van incident response en herstel, plus de kosten van bedrijfsstilstand. Voor veel kmo’s is die tweede post de grootste. Een verkoopteam zonder CRM, een magazijn zonder voorraadbeheer of een zorgpraktijk zonder toegang tot dossiers kan niet zomaar verder werken met pen en papier.

Welke factoren bepalen de herstelkosten?

De omvang en verspreiding van de aanval

Ransomware blijft zelden netjes op één computer staan. Aanvallers proberen zich vaak eerst toegang te verschaffen tot beheerdersaccounts, gedeelde schijven, virtuele servers en back-ups. Hoe verder ze zijn geraakt, hoe meer systemen moeten worden gecontroleerd, opnieuw opgebouwd of teruggezet.

Ook de versleuteling zelf is niet het enige risico. Moderne ransomwaregroepen kopiëren vooraf gegevens en dreigen die openbaar te maken. In dat geval krijgt u naast herstelwerk ook te maken met een mogelijk datalek, communicatie naar betrokkenen en een beoordeling van meldplichten.

De kwaliteit van uw back-ups

Een bruikbare back-up verlaagt de kost van ransomware herstel aanzienlijk, maar alleen als ze recent, volledig en gescheiden van de productieomgeving is opgeslagen. Een back-up die permanent verbonden is met hetzelfde netwerk kan mee versleuteld zijn. Een back-up die nooit is getest, blijkt soms pas tijdens een crisis onbruikbaar.

Herstellen vanaf een schone back-up is meestal de veiligste route. Toch kost het tijd: servers moeten worden voorbereid, applicaties moeten opnieuw worden ingesteld en gegevens moeten worden gecontroleerd. De vraag is niet alleen of u een back-up hebt, maar ook hoeveel data u maximaal mag verliezen en hoe snel u opnieuw operationeel moet zijn.

De oorzaak moet worden verwijderd

Bestanden terugzetten zonder de toegang van de aanvaller af te sluiten, is geen herstel. Het is een uitnodiging voor een tweede incident. Daarom onderzoekt een degelijk hersteltraject hoe de aanval is binnengekomen: via phishing, een zwak wachtwoord, een niet-gepatcht systeem, externe toegang of een gecompromitteerde leverancier.

Daarna volgen maatregelen zoals het resetten van wachtwoorden, het intrekken van sessies, het controleren van beheerdersrechten, het activeren van multifactor-authenticatie en het dichten van kwetsbaarheden. Dat verhoogt de initiële factuur, maar voorkomt dat u enkele weken later opnieuw moet betalen voor dezelfde fout.

Downtime, reputatie en verplichtingen

De directe IT-kosten zijn zichtbaar op een offerte. Minder zichtbaar zijn de kosten die intern ontstaan. Medewerkers kunnen niet werken, orders worden uitgesteld en uw team besteedt kostbare tijd aan noodcommunicatie. Als persoonsgegevens zijn betrokken, moet u bovendien beoordelen of de Gegevensbeschermingsautoriteit en de getroffen personen moeten worden geïnformeerd.

De reputatieschade is moeilijker te berekenen, maar reëel. Klanten aanvaarden meestal dat een incident kan gebeuren. Wat vertrouwen schaadt, is radiostilte, tegenstrijdige informatie of dagenlange onduidelijkheid. Een duidelijke aanpak helpt om de operationele en commerciële impact te beperken.

Waarom losgeld zelden een voorspelbare oplossing is

Het gevraagde losgeld is geen herstelbudget. Betalen biedt geen garantie dat u een werkende decryptiesleutel ontvangt, dat alle bestanden volledig worden hersteld of dat gekopieerde data wordt verwijderd. U weet evenmin of de aanvallers een achterdeur hebben achtergelaten.

Daarom moet de beslissing nooit alleen worden genomen op basis van paniek of de hoogte van het bedrag. Laat eerst vaststellen welke systemen geraakt zijn, welke data nog beschikbaar is en of herstel uit back-ups mogelijk is. Juridische, verzekerings- en complianceaspecten kunnen eveneens meespelen. Een technische partner kan de feiten verzamelen, maar de keuze vraagt altijd een zorgvuldige afweging door uw organisatie en betrokken adviseurs.

Zo beperkt u de kosten zodra ransomware toeslaat

De eerste uren bepalen vaak het verschil tussen een afgebakend incident en een bedrijfsbrede crisis. Isoleer getroffen toestellen onmiddellijk van het netwerk, maar schakel ze niet overhaast uit als dat forensisch onderzoek bemoeilijkt. Koppel ook gedeelde schijven, VPN-toegang en externe sessies los waar nodig.

Gebruik geen vermoedelijk besmette toestellen om wachtwoorden te wijzigen of met de aanvallers te communiceren. Bewaar meldingen, screenshots, tijdstippen en bestandsnamen. Die informatie helpt bij het onderzoek, de verzekeraar en eventuele wettelijke meldingen.

Vermijd vervolgens de reflex om alles tegelijk terug te zetten. Herstel eerst de basis: identiteiten, netwerktoegang, beveiliging en de systemen die uw kernproces dragen. Pas wanneer duidelijk is dat de toegang van de aanvaller is afgesloten, is het verantwoord om data gecontroleerd terug te plaatsen. Zo voorkomt u dat besmette of versleutelde gegevens opnieuw door uw omgeving verspreiden.

Een goed hersteltraject verloopt in duidelijke fases

Een professionele aanpak begint met containment: verdere verspreiding stoppen en de schade in kaart brengen. Daarna volgt onderzoek naar de toegangsmethode, betrokken accounts, getroffen data en de betrouwbaarheid van back-ups. Op basis daarvan wordt een herstelvolgorde bepaald die aansluit bij uw bedrijfsprocessen.

Vervolgens worden systemen opnieuw opgebouwd of gereinigd, gegevens teruggezet en beveiligingsmaatregelen aangescherpt. Voor de herstart is testen essentieel. Kunnen medewerkers aanmelden? Werkt de boekhouding? Zijn koppelingen met leveranciers, printers, telefonie en cloudtoepassingen beschikbaar? Pas als die controles slagen, is de omgeving werkelijk inzetbaar.

Bij Letech ligt de focus daarbij niet alleen op het herstellen van toestellen, maar op het weer werkbaar maken van uw organisatie. Dat betekent heldere communicatie, één aanspreekpunt en keuzes die passen bij de urgentie van uw bedrijf.

De investering die herstel betaalbaar houdt

Preventie voorkomt niet elke aanval, maar verkleint de kans én de herstelrekening aanzienlijk. Meervoudige, gescheiden back-ups, multifactor-authenticatie, patchbeheer, endpointbeveiliging en beperkte beheerdersrechten vormen samen een sterke basis. Medewerkers verdienen daarbij evenveel aandacht: één geloofwaardige phishingmail kan technische bescherming omzeilen.

Test ook uw herstel. Vraag niet alleen of er back-ups draaien, maar laat aantonen hoe snel een cruciale server, mailbox of gedeelde map werkelijk kan worden teruggezet. Leg vast wie bij een incident beslist, wie extern contact opneemt en welke processen eerst moeten herstarten. Die voorbereiding maakt uren verschil wanneer elke minuut telt.

De beste vraag is daarom niet wat ransomware herstel achteraf mag kosten. Vraag welke uitval uw bedrijf vandaag kan dragen, en organiseer uw IT zo dat een aanval nooit uw volledige werking gijzelt.