Hoe herken je een DDoS-aanval? 7 signalen die elk MKB-bedrijf moet weten

Wat is een DDoS-aanval eigenlijk?

DDoS staat voor Distributed Denial of Service. In gewoon Nederlands: een digitale verstikking. Aanvallers sturen duizenden (soms miljoenen) verzoeken naar jouw server, vanaf honderden verschillende apparaten tegelijk. Je server raakt overbelast en kan geen normale bezoekers meer bedienen.

Het is alsof duizend mensen tegelijk je winkel binnenstormen — niemand kan meer geholpen worden, en de echte klanten blijven buiten staan.

Uit het NBIP/NaWas DDoS-trendrapport van Q1 2026 blijkt dat het aantal aanvallen met 42% is gestegen ten opzichte van Q4 2025. En een groeiend deel daarvan treft gewone bedrijven — webshops, SaaS-platforms, hostingpartijen. Het probleem? Veel ondernemers herkennen een DDoS-aanval niet. Ze denken aan een technisch probleem, een storing bij de provider, of gewoon "drukte". Terwijl de schade elke minuut oploopt: gemiste omzet, gefrustreerde klanten, schade aan je merk.

Je website is plotseling niet meer bereikbaar

Hoe herken je het: Je site laadt niet, geeft een timeout, of je ziet foutmeldingen zoals "502 Bad Gateway" of "503 Service Unavailable".

Let op: als dit gebeurt zonder aanwijsbare reden (geen geplande update, geen hosting-onderhoud), is een DDoS-aanval een reële mogelijkheid. Zeker als andere sites op dezelfde server wel werken.

Extreem trage laadtijden

Hoe herken je het: Pagina's die normaal in 2 seconden laden, doen er nu 30 seconden over. Dit kan wijzen op een "low-and-slow" DDoS-aanval — een variant die net genoeg verkeer stuurt om je site te vertragen zonder direct alarm te laten afgaan.

Waarom dit gevaarlijk is: Voor een webshop is dit dodelijk: uit onderzoek blijkt dat 53% van de bezoekers een site verlaat als die langer dan 3 seconden laadt.

Onverklaarbare pieken in serverbelasting

Hoe herken je het: Check je server-monitoring. Zie je plotseling 500%, 1000% of meer CPU- of geheugengebruik, terwijl je geen campagne hebt lopen of verwacht veel bezoekers te krijgen?

Waarom dit gebeurt: Een botnet bestookt je server met duizenden verzoeken per seconde. Veel hostingproviders bieden basale monitoring, maar die toont vaak alleen of de server antwoordt — niet of er een aanval gaande is.

Een stortvloed aan rare verzoeken in je logs

Hoe herken je het: Kijk in je webserver- of toegangslogs. Zie je duizenden verzoeken vanaf IP-adressen uit vreemde landen? Of allemaal verzoeken naar dezelfde pagina (bijvoorbeeld /wp-login.php of /xmlrpc.php)?

Waarom dit gebeurt: Dit is een klassiek teken van een L7-aanval (laag 7, de applicatielaag). Volgens het NBIP/NaWas-rapport was 53% van alle gemitigeerde aanvallen in Q1 2026 een L7 HTTP-request flood.

Ongebruikelijke hoeveelheid netwerkverkeer

Hoe herken je het: Je internetprovider kan je meestal vertellen of er opeens 10, 50 of 100 Gbps aan data naar je server wordt gestuurd. Normaal gebruik je misschien 100 Mbps — een plotselinge sprong naar meerdere Gbps is een alarmsignaal.

Waarom dit gebeurt: Sommige aanvallen gebruiken nieuwe technieken zoals QUIC/HTTP3-flood of GRE "carpet bomb"-aanvallen. Die zijn moeilijker te filteren omdat ze gebruikmaken van protocollen die steeds vaker worden ingezet voor legitiem verkeer.

Je e-mail en andere online diensten werken niet meer

Hoe herken je het: DDoS-aanvallen richten zich niet altijd alleen op websites. Soms wordt je mailserver, VPN of bedrijfsapp platgelegd. Merk je dat e-mails niet aankomen of dat je geen toegang hebt tot je CRM-systeem, terwijl andere internetverbindingen wel werken?

Waarom dit gebeurt: Aanvallers kunnen je hele IP-range bestoken, niet alleen één dienst. Dit heet een IP-range DDoS en treft alle services op dat netwerksegment.

Klanten klagen dat ze niet bij je kunnen

Hoe herken je het: Dit is vaak het laatste signaal dat je hoort, maar had het eerste kunnen zijn. Klanten die bellen dat je website eruit ligt, dat bestellen niet werkt, of dat ze foutmeldingen krijgen. Neem dit altijd serieus.

Waarom dit gebeurt: Klanten zijn je early warning system. Als meerdere klanten onafhankelijk van elkaar hetzelfde probleem melden, is de kans groot dat er meer aan de hand is dan een tijdelijk storingetje.

Wat moet je doen bij een DDoS-aanval?

1. Blijf kalm — dekking zoeken is niet nodig, maar snel handelen wel.
2. Schakel je hostingprovider in — vraag of zij DDoS-mitigatie bieden.
3. Activeer je DDoS-bescherming — als je een dienst als Retslav hebt, wordt het verkeer automatisch gescrubd.
4. Communiceer met klanten — een statuspagina of social media-post schept vertrouwen.
5. Doe achteraf een analyse — welke zwakke plekken zijn blootgelegd? Gebruik een gratis security-scan om je site te controleren.

Hoe voorkom je een volgende keer?

De beste verdediging is een proactieve: zorg dat DDoS-bescherming al actief is voordat de aanval begint. Niet pas als je plat ligt.

Retslav biedt altijd-aan DDoS-filtering (L7 én L4) vanuit Nederlandse datacenters in Amsterdam en Brussel. Geen gedoe met BGP-routing of technische engineers — je schakelt het in en het werkt. Met prijzen vanaf €49 per maand voor 500 Gbps mitigatie is het betaalbaar voor elk MKB-bedrijf.

De Cyberbeveiligingswet (NIS2) is sinds 15 augustus 2026 van kracht. Dit betekent dat 8.000+ organisaties in 18 sectoren verplicht zijn "passende technische maatregelen" te nemen. DDoS-bescherming valt daar zeker onder. Laat je niet verrassen.

Een DDoS-aanval herkennen is de eerste stap naar bescherming. De signalen zijn helder: plotselinge onbereikbaarheid, trage laadtijden, pieken in serverbelasting, rare logs, veel netwerkverkeer, uitgevallen e-mail, en klachten van klanten. Zie je er meerdere tegelijk? Handel dan direct.

Bescherm je bedrijf tegen DDoS-aanvallen

Of je nu één van deze signalen herkent of preventief je beveiliging wilt regelen: je hoeft geen netwerk-engineer te zijn om je website of bedrijf te beschermen.