# SSL-certificaat, 2FA en backups: de basisbeveiliging die elk klein bedrijf nodig heeft

## Cybercrime raakt ook kleine bedrijven harder dan je denkt

Veel ondernemers denken dat hackers zich alleen op grote bedrijven richten. Maar het tegendeel is waar: volgens het Verizon Data Breach Investigations Report is 46% van alle datalekken gericht op bedrijven met minder dan 1.000 medewerkers. Kleine bedrijven zijn een aantrekkelijk doelwit juist omdat ze minder beveiligd zijn.

Het goede nieuws: drie maatregelen dekken een enorm deel van de risico's. SSL, tweestapsverificatie en backups zijn geen luxe voor grote organisaties - ze zijn haalbaar voor elk bedrijf, vaak gratis of voor een paar tientjes per jaar.

## Waarom een SSL-certificaat meer is dan een groen slotje

Je herkent het aan het slotje in je browser of aan "https://" voor de URL. SSL - tegenwoordig eigenlijk TLS - versleutelt de verbinding tussen je website en de bezoeker. Dat betekent dat niemand de gegevens die heen en weer gaan kan onderscheppen.

Waarom dit voor jou relevant is:

- Contactformulieren sturen namen, emailadressen en soms telefoonnummers
- Webshops sturen betalingsgegevens
- Inlogschermen sturen wachtwoorden
- Zonder SSL zijn al die gegevens leesbaar voor iedereen op hetzelfde netwerk (bijv. openbare wifi)

Bovendien: Google markeert websites zonder SSL als "Niet veilig" en rankt ze lager in de zoekresultaten. Je verliest dus zowel bezoekers als SEO-waarde.

Instellen: de meeste hostingproviders bieden gratis SSL via Let's Encrypt. Als je site op Vercel, Netlify of Cloudflare staat, is het standaard al actief. Controleer je configuratie via de SSL Labs Server Test - die geeft een cijfer voor hoe goed je SSL is ingesteld.

## Tweestapsverificatie: de makkelijkste beveiliging die veel ondernemers overslaan

Een gestolen wachtwoord is genoeg om iemand toegang te geven tot je email, je boekhoudsoftware of je hostingaccount. Hoe sterk je wachtwoord ook is - als het uitgelekt is, ben je kwetsbaar.

Tweestapsverificatie (ook: 2FA of MFA) voegt een tweede controle toe. Je hebt niet alleen het wachtwoord nodig, maar ook een code die op je telefoon verschijnt. Zelfs als een aanvaller je wachtwoord heeft, komen ze er niet in zonder die code.

Volgens Microsofts eigen onderzoek blokkeert 2FA 99,9% van de geautomatiseerde aanvallen op accounts.

Zet 2FA aan op minimaal:

- Je emailprovider (Gmail, Outlook)
- Je hostingaccount
- Je domeinbeheer (bijv. TransIP, SIDN)
- Je CMS-inlog (WordPress, Webflow, etc.)
- Je boekhoudsoftware
- Je cloud-opslag (Google Drive, Dropbox)

Gebruik bij voorkeur een authenticator-app zoals Google Authenticator, Authy of Microsoft Authenticator. SMS is makkelijker te onderscheppen en valt niet aan te raden als enige methode.

Bij Web Design by Kick raden we standaard aan om 2FA te activeren voor alle accounts die bij een nieuw project horen. Dat is vijf minuten werk dat later veel ellende voorkomt.

## De 3-2-1-backupregel: zo verlies je nooit alles

Een backup is je vangnet. Maar veel bedrijven hebben geen backup, een verouderde backup of een backup die ze nooit getest hebben. Ransomware-aanvallen - waarbij aanvallers je bestanden versleutelen en losgeld eisen - zijn de reden dat die backup echt cruciaal is.

De 3-2-1-regel:

- **3** kopieën van je data
- **2** op verschillende opslagmedia (bijv. lokaal en cloud)
- **1** offsite (buiten je netwerk, zodat een aanval niet alle kopieën raakt)

Voor een klein bedrijf betekent dit in de praktijk:

- Je werkbestanden staan lokaal op je laptop
- Ze staan gesynchroniseerd in de cloud (Google Drive, OneDrive, Dropbox)
- Er is een wekelijkse of dagelijkse automatische backup naar een aparte locatie

**Websites:** Als je site op een CMS draait, controleer dan of je hostingpartij automatische backups maakt en hoe lang die bewaard worden. Veel partijen bewaren 7 tot 30 dagen. Maak ook zelf handmatige backups voor grote wijzigingen.

**Test je backup.** Een backup die je nooit hebt getest is waardeloos als hij niet werkt. Plan elk kwartaal een hersteltest: herstel een bestand en check of het werkt.

## Wat kost het als je dit overslaat?

Concrete schade-inschatting:

- **Datalek door geen SSL:** boete van de Autoriteit Persoonsgegevens, reputatieschade, klanten die afhaken
- **Gehackt account door geen 2FA:** herstel van een gecompromitteerd zakelijk account kost gemiddeld tientallen uren aan opruimwerk, en dat is nog het beste geval
- **Ransomware zonder backup:** je betaalt losgeld of je bouwt alles opnieuw op - en betalen geeft geen garantie op terugkrijgen van data

De maatregelen kosten je een middagje werk en een paar tientjes per jaar. De gevolgen van niets doen kunnen een bedrijf maanden terugwerpen.

## Hoe pak je dit aan als je geen IT-afdeling hebt?

Je hoeft geen techneut te zijn. Dit is de minimale actielijst:

1. **SSL** - Vraag je hostingprovider of het al actief is. Zo niet: zij zetten het aan, of schakel over naar een provider die het standaard biedt (Vercel, Netlify, Cloudflare).
2. **2FA emailprovider** - Ga naar de beveiligingsinstellingen van je emailaccount. In Gmail: Account > Beveiliging > Verificatie in twee stappen.
3. **2FA overige accounts** - Loop de accounts door die je dagelijks gebruikt en activeer 2FA waar mogelijk.
4. **Cloudbackup** - Als je dat nog niet hebt: Google Drive, OneDrive of Dropbox. Stel automatische synchronisatie in op je laptop.
5. **Controleer websitebackups** - Bel of email je hostingpartij en vraag hoe vaak er backups gemaakt worden en hoe je herstelt.

Totale tijdsinvestering: twee tot vier uur. Dan heb je het fundament staan.

## Conclusie

SSL, tweestapsverificatie en backups zijn de drie pijlers van basisbeveiliging voor elk bedrijf. Ze zijn goedkoop, haalbaar zonder technische kennis, en voorkomen de meest voorkomende cyberincidenten. Drie maatregelen, een middag werk, en je basisbeveiliging staat.

## Bronnen

- [Verizon Data Breach Investigations Report 2024](https://www.verizon.com/business/resources/reports/dbir/)
- [Microsoft Security Blog - MFA blokkeert 99,9% van aanvallen](https://www.microsoft.com/en-us/security/blog/2019/08/20/one-simple-action-you-can-take-to-prevent-99-9-percent-of-account-attacks/)
- [SSL Labs - SSL Server Test](https://www.ssllabs.com/ssltest/)
- [Digital Trust Center - Basisprincipes cyberveiligheid](https://www.digitaltrustcenter.nl/basisprincipes-cyberveiligheid)
- [NCSC - Ransomware: wat is het en wat kan ik doen?](https://www.ncsc.nl/onderwerpen/ransomware)

---

Bron: https://webdesign.bykick.nl/blog/ssl-2fa-backups-basisbeveiliging-klein-bedrijf