Deze herfst zochten we de Instagram- en LinkedIn-accounts op van verenigingen en stichtingen in heel Nederland. Daarvoor openden we duizenden websites: van sportclubs, muziekverenigingen, dorpshuizen, scoutinggroepen en musea. Alleen al bij ruim 3.000 sites van voetbal- en tennisclubs hielden we bij wat we tegenkwamen. Wat ons opviel, ging niet over Instagram.
- Ruim 25 sites waren gehackt of gekaapt. Op sommige stonden tussen de clubberichten verborgen links naar casino's en gokspellen. Vaak zie je die als bezoeker niet, maar Google wel. Bij andere liet het oude adres van de club een gokwebsite zien: het domein was verlopen en door een ander opgekocht.
- Ruim 40 sites hadden een verlopen of ongeldig beveiligingscertificaat. Wie de site opent, krijgt van de browser een waarschuwing dat de verbinding niet veilig is.
- Bijna 90 sites waren verdwenen. Het adres bestond niet meer, stond te koop of liet een lege pagina zien.
Samen is dat ongeveer één op de twintig clubsites. Namen noemen we niet. Het gaat ons niet om die clubs: het kan elke vereniging overkomen. Het is geen domme fout van één vrijwilliger. Het gebeurt als niemand er meer naar omkijkt.
Hoe het gebeurt
De site wordt niet meer bijgewerkt. Veel verenigingssites zijn ooit gebouwd door een handig lid, vaak in WordPress: een veelgebruikt programma om websites mee te maken. Zo'n site heeft regelmatig updates nodig, net als je telefoon. Gebeurt dat jaren niet, dan vinden inbrekers een gat. Ze komen niet voor jullie ledenlijst. Ze willen de goede naam van je site gebruiken om hun gokreclame hoger in Google te krijgen.
De domeinnaam verloopt. Je domeinnaam is het adres van je site, zoals jouwclub.nl. Die betaal je elk jaar. Loopt de betaling via de creditcard van een oud-bestuurslid, of via een mailadres dat niemand meer leest, dan stopt het op een dag. Bij een .nl-adres heb je daarna nog 40 dagen om het terug te halen. Daarna mag iedereen het kopen. Gokbedrijven kopen zulke adressen graag op: andere sites linken er nog naar, en dat telt mee in Google.
Het certificaat wordt niet vernieuwd. Het beveiligingscertificaat zorgt voor het slotje in de adresbalk: de verbinding met je site is versleuteld (onleesbaar gemaakt voor anderen). Het moet steeds opnieuw worden aangevraagd. Meestal gaat dat vanzelf, maar niet als het pakket bij je hostingbedrijf (het bedrijf waar je site draait) is veranderd of een instelling niet klopt.
Waarom het ertoe doet
- Leden, ouders en sponsors schrikken. Een ouder die het trainingsschema zoekt, komt bij een casino uit. Of ziet een waarschuwing en vertrouwt de site niet meer.
- Google zet een waarschuwing bij je site. Bij een gehackte site laat Google soms zien dat de site gehackt kan zijn. Dan klikt bijna niemand meer.
- Je mail kan bij een ander terechtkomen. Je mailadressen gebruiken meestal hetzelfde adres als je site. Koopt een ander je verlopen domeinnaam, dan kan die de mail ontvangen die nog naar secretaris@jouwclub.nl wordt gestuurd. Ook een mail om een wachtwoord te herstellen.
- Terughalen is lastig of onmogelijk. Is de domeinnaam eenmaal van een ander, dan moet je vaak een nieuw adres nemen. Al je drukwerk, je shirts en de links op andere sites wijzen dan naar een gokwebsite.
Vragen om jezelf te stellen
Zo voorkom je het
- Zet de domeinnaam op naam van de vereniging, met een mailadres van de vereniging als contact, zoals secretaris@jouwclub.nl. Hoe je dat doet, lees je in Bouw op eigen grond.
- Laat verlengen automatisch gaan, van de rekening van de vereniging. Niet van de creditcard van een bestuurslid.
- Spreek af wie de site bijwerkt. Kan niemand dat, kies dan voor een websitebouwer die dat voor je doet, of voor een kant-en-klaar platform waar de updates bij inzitten.
- Twee mensen kunnen erbij. Bij de website, het hostingbedrijf en het bedrijf waar je de domeinnaam koopt.
- Kijk één keer per kwartaal. Open je site op je telefoon. Zie je een waarschuwing of iets wat er niet hoort? Zoek ook in Google op site:jouwclub.nl casino. Vindt Google iets, dan is je site waarschijnlijk gehackt.
- Neem het mee bij een bestuurswissel. Zie Bestuurswissel bij je vereniging.
Is het al gebeurd?
Schrik niet, en verwijder niet in paniek de hele site. Bel eerst je hostingbedrijf: die kan vaak zien wat er is veranderd en een oude versie terugzetten. Verander daarna alle wachtwoorden van de site en het hostingaccount, en werk alles bij. Laat Google daarna weten dat de site weer schoon is, via Google Search Console: de gratis dienst van Google om je site te beheren.
Is je domeinnaam verlopen? Zoek hem op in de Whois van SIDN, de organisatie die bijhoudt van wie elk .nl-adres is. Staat er 'In quarantaine', dan kan de vorige eigenaar hem nog terughalen via een bedrijf dat domeinnamen verkoopt. Wacht daar niet mee.
Waar wij bij helpen
De +Z Checkup voor verenigingen loopt ook dit na: op wiens naam jullie domeinnaam staat, of die automatisch verlengt, wie de website bijwerkt en wie erbij kan. Een bestuurslid of vrijwilliger beantwoordt de vragen in een kwartier tot een uur. Jullie IT-plan laat zien wat al goed staat en welke stap eerst moet.
We verkopen geen websites, hosting of pakketten. Het advies gaat dus over wat jullie vereniging nodig heeft, en niet meer dan dat.
Veelgestelde vragen
Wij zijn maar een kleine club. Wie wil er nou onze site hacken?
Niemand kiest jullie club uit. Inbrekers laten programma's het hele internet afzoeken naar sites met een bekend gat. Een kleine site met een goede naam in de regio is voor hen juist handig.
Hoe zie ik of onze site gehackt is, als ik zelf niets vreemds zie?
De links zijn vaak verborgen voor bezoekers. Zoek in Google op site:jouwclub.nl casino of site:jouwclub.nl gokken. Komen er pagina's van je eigen site uit die je niet kent, dan is er iets mis.
Wat kost het om een verlopen domeinnaam terug te halen?
In de 40 dagen quarantaine meestal een klein bedrag, afhankelijk van het bedrijf dat het voor je regelt. Daarna is de domeinnaam vrij, en heeft een ander hem misschien al gekocht.
Bronnen
SIDN, Undoing the cancellation of a domain name: een opgeheven .nl-domeinnaam staat 40 dagen in quarantaine; alleen de vorige houder kan hem terughalen, daarna kan iedereen hem registreren. SIDN, Mail traffic to cancelled domain names: mail naar een opgeheven domeinnaam.
Google, "This site may be hacked": wanneer Google die melding toont en hoe je hem weg krijgt.
Eigen waarneming van Insert Z, november 2026: websites van verenigingen en stichtingen bekeken bij het opzoeken van hun sociale media.
Bijgewerkt op 4 november 2026. Feiten en bronnen nagekeken op die datum.
Lees ook
- Bouw op eigen grond: drie dingen van je website die van jou moeten zijn
- Bestuurswissel bij je vereniging: zo draag je de IT over
- WordPress, of je eigen website bouwen met AI?
- Tweede inlogstap: de belangrijkste stap die je vandaag kunt zetten
Voor je vereniging of stichting: Voetbalvereniging · Tennisvereniging · Muziekvereniging · Scouting · alle verenigingen
Liever iemand spreken over je eigen IT? Bewaar het kaartje van Jorn →
Deel het met wie over de site van je club gaat
Wie houdt bij jullie de website en de domeinnaam bij? Stuur dit artikel naar die vrijwilliger en naar het bestuur. Even kijken kost vijf minuten.
Ken je andere clubs of stichtingen? Deel het ook met hen: het kan elke vereniging overkomen.
Help ons groeien. Help anderen.
Advies over IT geven we al jaren. Met de +Z Checkup maken we het nu toegankelijk voor iedere organisatie: eenvoudig en betaalbaar. De Checkup is nieuw, en nog niet veel mensen kennen hem. Daar helpt geen reclame bij, wel mensen die ons doorgeven. Vond je dit nuttig? Volg ons, en deel het met iemand die er iets aan heeft.
Heb je de Checkup al? Breng dan iemand aan met je eigen link in de app. Neemt die de Checkup ook, dan krijgen jullie allebei een maand extra.