Moet je losgeld betalen na een ransomware-aanval?

Moet je losgeld betalen?

Nee, in de regel niet. Alle grote opsporingsinstanties en cyberbeveiligingsautoriteiten raden af om te betalen, en de redenen zijn vooral praktisch, niet alleen moreel. Betalen mag nooit in de plaats komen van een plan voor disaster recovery, oftewel een plan om je systemen weer draaiend te krijgen na een calamiteit.

Het is dinsdagochtend 7.30 uur. Op elk scherm staat een losgeldbrief en de aanvallers eisen binnen 72 uur bitcoin. De druk om te betalen is echt. Dit zeggen de autoriteiten:

• FBI: "De FBI steunt het betalen van losgeld bij een ransomware-aanval niet", omdat betalen geen herstel garandeert en aanvallen op andere slachtoffers aanmoedigt (IC3).
• Nationaal Cyber Security Centrum (NCSC): er is "geen garantie dat betaling leidt tot teruggave van je data". Betalen financiert criminelen en sommige slachtoffers kregen te maken met hogere eisen of nieuwe aanvallen (NCSC, Wat te doen bij een ransomware-aanval?).
• No More Ransom, een samenwerking met Europol en de Nederlandse politie: "Het algemene advies is om het losgeld niet te betalen", omdat dat bevestigt dat ransomware werkt (nomoreransom.org).
• NCSC UK publiceerde in 2024, samen met de Britse verzekeringsorganisaties ABI, BIBA en IUA, een richtlijn voor organisaties die overwegen te betalen. Die benadrukt melden, impactanalyse en het vastleggen van elke beslissing.

Steeds meer slachtoffers weigeren. Volgens de Verizon DBIR 2026, samengevat door Help Net Security, betaalde 69% van de slachtoffers van ransomware niet.

Wat gebeurt er echt als je losgeld betaalt?

Je koopt een ontsleutelingssleutel en een belofte, van een crimineel. Van geen van beide weet je zeker dat het werkt, en de aanvallers zijn je vaak een stap voor.

• Data is niet altijd bruikbaar. In het onderzoek van Cybereason uit 2024 onder meer dan 1.000 beveiligingsprofessionals kreeg minder dan de helft (47%) van de organisaties die betaalden data en diensten ongeschonden terug.
• Je wordt een terugkerend doelwit. Hetzelfde onderzoek vond dat 78% van de organisaties die betaalden een tweede keer door ransomware werd getroffen.
• Ontsleutelen gaat langzaam. Server voor server ontsleutelen kost tijd. Daarna moet je nog herbouwen, controleren op backdoors en data valideren voordat je de systemen weer kunt vertrouwen.
• Gestolen data blijft gestolen. Veel groepen kopiëren data voordat ze die versleutelen, en een belofte om die te verwijderen is weinig waard.

Volgens de Sophos State of Ransomware 2026 was de mediane losgeldbetaling 769.000 dollar en kostte herstel gemiddeld 1,7 miljoen dollar, exclusief het losgeld. Betalen komt bovenop de herstelkosten.

Is losgeld betalen legaal in de EU?

Er is geen algemeen EU-verbod op het betalen van losgeld, maar betalen kan toch strafbaar zijn en haalt nooit je meldplichten weg. Vraag juridisch advies voordat je betaalt.

• Sancties. Een betaling aan een persoon of groep op een sanctielijst kan onrechtmatig zijn. De richtlijn van NCSC UK waarschuwt hiervoor met het oog op Britse sancties. EU-sanctieregimes werken volgens hetzelfde principe en je kunt vaak niet weten wie achter een wallet zit.
• NIS2-melding. Volgens NIS2-artikel 23 (Richtlijn (EU) 2022/2555) moeten essentiële en belangrijke entiteiten binnen 24 uur nadat ze van een significant incident weten een vroegtijdige waarschuwing sturen, binnen 72 uur een melding en binnen één maand een eindverslag. Betalen verandert hier niets aan.
• AVG. Als persoonsgegevens zijn versleuteld of gestolen, vereist AVG-artikel 33 (Verordening (EU) 2016/679) dat je waar mogelijk binnen 72 uur melding doet bij de toezichthouder. In Nederland is dat de Autoriteit Persoonsgegevens.
• Het beleid wordt strenger. In juli 2025 bevestigde het Verenigd Koninkrijk plannen om losgeldbetalingen door overheidsinstanties en kritieke infrastructuur te verbieden. Daar is nog wetgeving voor nodig (The Register).

In Nederland geldt de Cyberbeveiligingswet (Cbw), de Nederlandse uitwerking van NIS2, sinds 15 augustus 2026. In Duitsland geldt de NIS2UmsuCG sinds 6 december 2025. Lees onze NIS2-gids om te zien of je organisatie eronder valt.

Wat moet je doen in de eerste uren na een ransomware-aanval?

Dam de aanval in, bewaar bewijs, meld en controleer je back-ups, in die volgorde, voordat iemand over betalen praat. Deze stappen volgen het advies van het NCSC en het eigen ransomware-draaiboek van Microsoft.

1. Isoleer de getroffen systemen. Koppel ze los van het netwerk. Het Incidentresponsplan Ransomware van het NCSC raadt aan systemen niet uit te zetten maar in slaapstand te zetten, zodat bewijs in het geheugen bewaard blijft.
2. Blokkeer gecompromitteerde accounts en reset wachtwoorden, te beginnen met beheerdersaccounts. Het draaiboek van Microsoft raadt ook aan online back-ups los te koppelen totdat de aanval is ingedamd.
3. Bel je IT-partner en start een incidentlogboek met tijdstempels. Directie, verzekeraars en toezichthouders bekijken het later.
4. Doe aangifte bij de politie. Het NCSC wijst erop dat de politie mogelijk al ontsleutelingssleutels uit eerdere zaken heeft.
5. Kijk bij No More Ransom of er een gratis decryptor (een tool om bestanden te ontsleutelen) is voor jouw type ransomware. Gebruik daarvoor de Crypto Sheriff.
6. Controleer je back-ups op volledigheid en op malware voordat je iets terugzet.
7. De meldtermijnen beginnen te lopen: de vroegtijdige waarschuwing van NIS2 binnen 24 uur als je eronder valt, en de AVG-melding binnen 72 uur als er persoonsgegevens bij betrokken zijn.

Zie onze tijdlijn voor herstel na een ransomware-aanval voor de hele reeks van detectie tot normale bedrijfsvoering.

Waarom betalen organisaties toch?

Vooral omdat ze geen werkend alternatief hebben. Als de back-ups weg zijn, lijkt betalen de enige weg terug.

De cijfers laten dat duidelijk zien. In de Sophos-analyse van aangetaste back-ups probeerden aanvallers in 94% van de ransomware-aanvallen de back-ups aan te tasten. Organisaties met aangetaste back-ups betaalden bijna twee keer zo vaak (67% tegenover 36%) en hun mediane losgeldeis was meer dan het dubbele: 2,3 miljoen dollar tegenover 1 miljoen dollar. In de Sophos State of Ransomware 2025 betaalde 49% van de slachtoffers.

Als betalen ooit serieus op tafel ligt, noemt de richtlijn van NCSC UK de vragen die je eerst beantwoordt: wat de echte impact op je bedrijf is, of er omwegen bestaan, wat elke herstelmogelijkheid kost en of de oorzaak is opgelost. Leg elke beslissing vast, en wie haar nam.

Wil je de impact in een bedrag uitdrukken? Gebruik dan ons model voor de kosten van downtime.

Hoe zorg je dat je nooit hoeft te beslissen?

Zorg dat aanvallers je back-ups niet kunnen bereiken, wijzigen of verwijderen, en bewijs dat je ervan kunt herstellen. Dan is een losgeldbrief een herstelklus, geen onderhandeling.

• Volg de 3-2-1-1-0-regel: drie kopieën, op twee soorten media, één off-site, één onveranderbare of air-gapped kopie (zonder verbinding met je netwerk) en nul fouten na verificatie.
• Scheid de beheertoegang tot je back-ups van je gewone domein en eis MFA (meervoudige authenticatie) voor elke beheeractie.
• Maak ook een back-up van je SaaS-data. Microsoft 365 is geen back-up; zie Maakt Microsoft 365 een back-up van mijn data?
• Test regelmatig of je kunt terugzetten, ook complete systemen, en noteer hoe lang dat duurt.
• Plan waar je herstelt. Terugzetten op besmette infrastructuur nodigt uit tot een tweede versleuteling.

Wat je nu kunt doen

Betaal niet uit reflex en neem de beslissing niet alleen. Dam de aanval in, meld hem, kijk bij No More Ransom en controleer je back-ups. De organisaties die uiteindelijk betalen, zijn meestal die waarvan de back-ups faalden. De echte beslissing valt dus maanden voor de aanval.

Mindtime bewaart onveranderbare back-ups (Object Lock) plus een air-gapped kopie, scant back-ups op malware en controleert elke back-uptaak automatisch. Voor beheeracties is MFA verplicht. Na een aanval starten virtuele machines (VM's) direct op in een geïsoleerde herstelomgeving op een apart, schoon netwerk. Kritieke workloads worden hersteld volgens een SLA van 4 uur. Onze dienst Disaster Recovery voegt standby-infrastructuur toe en elk kwartaal een geautomatiseerde DR-test, met bewijs voor auditors.

Weet je niet zeker of je back-ups een aanval zouden overleven? Vraag een gratis assessment aan en we kijken er samen met je naar, in het Nederlands, Duits of Engels.

Dit artikel is algemene informatie, geen juridisch advies.