Hoe lang duurt herstel na een ransomware-aanval?

Hoe lang duurt herstel na ransomware?

Voor de meeste organisaties tussen een paar dagen en enkele weken. Hoe snel je herstelt, hangt veel meer af van wat je hebt voorbereid dan van de soort ransomware. Daarom hoort herstel in je disaster recovery-plan, het plan om je systemen na een calamiteit weer draaiend te krijgen.

Het is maandag, 9.47 uur. Bestanden in SharePoint krijgen een andere extensie, een gebruiker meldt een losgeldbrief en de telefoon van de servicedesk blijft rinkelen. Of je woensdag weer draait of pas over drie weken, is maanden eerder al bepaald.

• In de Sophos State of Ransomware 2025 had 53% van de slachtoffers zich binnen een week hersteld, tegen 35% het jaar ervoor.
• Waren de back-ups aangetast, dan herstelde slechts 26% volledig binnen een week, tegen 46% bij intacte back-ups, volgens de analyse van Sophos uit 2024. Aanvallers probeerden de back-ups aan te tasten bij 94% van de aanvallen.
• Ransomware speelt een rol bij 48% van alle datalekken, volgens het Verizon 2026 Data Breach Investigations Report.

Herstel en onderzoek lopen niet op dezelfde klok. Volgens het IBM Cost of a Data Breach Report 2025 duurde het opsporen en indammen van een datalek gemiddeld 241 dagen, over alle soorten datalekken. Plan dus dat je systemen weer draaien lang voordat het forensisch onderzoek klaar is.

Wat zijn de fasen van herstel na ransomware?

Herstel verloopt in vijf fasen, en de meldplichten lopen vanaf het eerste uur parallel mee. De tijden hieronder zijn planningsdoelen voor een voorbereide organisatie, geen benchmarks.

De fasen volgen de incidentcyclus uit het Incidentresponsplan Ransomware van het NCSC: voorbereiding, identificatie, insluiting, uitroeiing, herstel en lessen trekken. Het NCSC adviseert getroffen systemen in slaapstand te zetten in plaats van uit te schakelen, om bewijs te bewaren.

De meldklok

Volgens NIS2-artikel 23(4) van Richtlijn (EU) 2022/2555 sturen essentiële en belangrijke entiteiten binnen 24 uur nadat ze een significant incident hebben vastgesteld een vroege waarschuwing, binnen 72 uur een incidentmelding en binnen een maand na die melding een eindrapport. Zijn persoonsgegevens getroffen, dan vereist AVG-artikel 33 ook een melding aan de toezichthouder binnen 72 uur, waar mogelijk. In Nederland geldt de Cyberbeveiligingswet sinds 15 augustus 2026. In onze gids over NIS2 Compliance lees je wie eronder valt.

Hoe zien de eerste vier uur eruit in Microsoft 365?

In Microsoft 365 bepalen de eerste vier uur of je terugzet vanaf een schoon moment of de aanvaller blijft achtervolgen. Neem eerst de identiteiten onder controle, bewaar daarna bewijs en zet dan terug op prioriteit.

Minuut 0–15: detecteren, uitroepen, isoleren

• Bevestig de signalen: massale bestandswijzigingen in SharePoint of OneDrive, ongebruikelijke aanmeldingen, losgeldbrieven.
• Roep een incident uit en wijs één incidentleider aan.
• Schakel verdachte accounts uit, trek sessies in en isoleer getroffen endpoints (laptops, desktops en mobiele apparaten).
• Pauzeer OneDrive-synchronisatie en Exchange ActiveSync, zoals het ransomware-draaiboek van Microsoft adviseert, zodat versleuteling zich niet naar andere apparaten verspreidt.

Minuut 15–60: intrekken, bewaren, beginnen met terugzetten

• Reset wachtwoorden van accounts met verhoogde rechten en trek OAuth-toestemmingen van apps in die je niet herkent.
• Exporteer auditlogs voordat ze verlopen.
• Kies een herstelpunt van vóór de eerste kwaadaardige wijziging en begin met het terugzetten van de meest kritieke sites en mailboxen.

Uur 1–4: terugzetten en versterken

• Zet de overige OneDrive-accounts, mailboxen en Teams-data terug op prioriteit.
• Schakel legacy-authenticatie uit en scherp voorwaardelijke toegang (conditional access) en extern delen aan.
• Controleer herstelde data voordat gebruikers weer verbinden.

De eigen tools van Microsoft hebben grenzen. De prullenbak van Microsoft 365 bewaart verwijderde items maximaal 93 dagen, en Microsoft beschrijft dat OneDrive Files Restore werkt voor "een eerder tijdstip binnen de afgelopen 30 dagen". Is de aanval eerder begonnen, of verwijderde de aanvaller data met beheerrechten, dan heb je een onafhankelijke Microsoft 365-back-up nodig. Waarom, lees je in beschikbaarheid versus herstelbaarheid in Microsoft 365.

Wat bepaalt hoe lang het herstel duurt?

Vijf factoren bepalen hoe lang het herstel duurt, en je hebt ze allemaal vóór de aanval zelf in de hand.

1. Of je back-ups het hebben overleefd. Dit is de grootste enkele factor in de data van Sophos. Onveranderbare en air-gapped kopieën (kopieën zonder verbinding met je netwerk) kan een aanvaller met beheerrechten niet versleutelen of verwijderen.
2. Of je een schone plek hebt om op terug te zetten. Terugzetten op aangetaste servers riskeert een tweede versleuteling. Met een geïsoleerde herstelomgeving op een apart netwerk kun je terugzetten terwijl het forensisch onderzoek doorloopt.
3. Of je weet wat je eerst terugzet. Een prioriteitenlijst die je met de business hebt afgesproken, met afhankelijkheden (identiteit vóór applicaties, databases vóór front-ends), scheelt uren discussie.
4. Of het plan is getest. Niet-geteste plannen falen op details: ontbrekende inloggegevens, verouderde draaiboeken, terugzetacties die vijf keer langer duren dan verwacht.
5. Of je het toegangspunt kunt vinden. Zolang je niet weet hoe de aanvaller binnenkwam, bestaat het risico dat herstelde systemen opnieuw worden aangetast.

Identiteit telt het zwaarst aan het begin. Sophos meldt in de State of Ransomware 2026 dat 79% van de aanvallen begon met een identiteitsgerichte aanpak en dat bij 56% het versleutelen van data slaagde. Het insluiten van accounts gaat dus voor elk herstel.

Versnelt het betalen van losgeld het herstel?

Meestal niet. Betalen voegt een onderhandelingsfase toe en levert een decryptor van onbekende kwaliteit op, terwijl je nog steeds elk systeem moet opbouwen, schoonmaken en valideren.

• Ontsleuteling gaat systeem voor systeem en kan mislukken bij beschadigde bestanden.
• Je moet nog steeds het toegangspunt vinden en de toegang van de aanvaller verwijderen voordat je weer verbindt.
• De meldtermijnen van NIS2 en de AVG gelden, ook als je betaalt.

De FBI, het Nederlandse NCSC en No More Ransom raden allemaal af om te betalen. Het bewijs zetten we op een rij in moet je losgeld betalen na een ransomware-aanval?

Hoe verkort je de hersteltijd na ransomware?

Stel per systeem een realistische RTO vast (recovery time objective, de maximale hersteltijd). Bouw en test daarna de opzet die daaraan voldoet. De RTO is hoe lang een systeem plat mag liggen. De RPO (recovery point objective) is hoeveel werk je mag verliezen.

1. Deel systemen in als kritiek (uren), belangrijk (een dag of twee) en de rest. Baseer dat op wat downtime kost: ons model voor de kosten van downtime helpt daarbij.
2. Bescherm de back-ups met onveranderbaarheid en een air-gapped kopie, volgens de 3-2-1-1-0-regel.
3. Richt een schone herstelomgeving in zodat kritieke VM's kunnen starten terwijl het productienetwerk nog wordt onderzocht.
4. Schrijf het draaiboek, met contactpersonen, beslisbevoegdheden, de meldsjablonen voor 24 en 72 uur en de volgorde van terugzetten.
5. Test het, minstens elk kwartaal voor kritieke systemen, en leg de werkelijke hersteltijden vast.

Meer over het stellen van doelen lees je in RTO en RPO uitgelegd.

Wat je nu kunt doen

Herstel na ransomware duurt zo lang als je voorbereiding toelaat. Met intacte back-ups, een schone plek om op terug te zetten en een getest draaiboek duurt herstel dagen. Zonder die voorbereiding kan het weken duren, terwijl de termijnen van NIS2 en de AVG blijven doorlopen.

Bij Mindtime zijn back-ups onveranderbaar met een air-gapped kopie, gescand op malware en na elke taak automatisch gecontroleerd. VM's starten direct in een geïsoleerde herstelomgeving op een apart, schoon netwerk, en kritieke workloads worden hersteld binnen een SLA van 4 uur. Voor Microsoft 365 herstellen we op itemniveau. Onze Disaster Recovery-dienst voegt standby-infrastructuur toe en elk kwartaal geautomatiseerde DR-tests, met bewijs voor auditors.

Wil je zien hoe snel je weer draait? Plan een gratis demo van 15 minuten.

Dit artikel is algemene informatie, geen juridisch advies.