Waarom mkb’ers vaker doelwit zijn van cybercrime dan grote bedrijven4 min gelezen

Nijhuis Bouw uit Rijssen werd in februari 2025 getroffen door ransomware, lazen we in het AD. Huurdersgegevens lagen op straat en de schade liep op tot ruim 75.000 euro. Dit middelgrote bouwbedrijf is geen uitzondering. In dezelfde maand werden ook Pippel Autoschade en Tosaf Nederland platgelegd door cyberaanvallen. In deze blog vertelt Paul Vreeker, relatiemanager bij 2source4, waarom juist mkb-bedrijven steeds vaker doelwit zijn van cybercriminelen en welke concrete stappen je vandaag nog kunt zetten.

De mythe van ‘wij zijn te klein’

We horen het vaak: “Wij zijn maar een mkb-bedrijf, hackers zijn toch op zoek naar de grote jongens?” Het tegendeel is waar. Recent onderzoek toont aan dat 80% van de mkb-bedrijven al eens slachtoffer was van cybercrime, tegenover 75% van de grote bedrijven. En dat percentage neemt snel toe.

Waarom? Mkb’ers hebben vaak minder geavanceerde beveiliging, minder budget en minder kennis om cybersecurity goed te regelen. Grote bedrijven hebben securityteams, protocollen en budgetten. Mkb’ers hebben vaak één IT’er die ook de printers fikst.

Cybercriminelen weten dit. Ze scannen het internet met geautomatiseerde tools. Verouderde software? Bingo. Geen multifactorauthenticatie? Jackpot. Open poorten? Welkom binnen. Het is niet persoonlijk. Je bent gewoon een makkelijk doelwit.

Waarom juist nu?

De digitalisering van het mkb gaat razendsnel. Corona heeft dat proces met jaren versneld. Thuiswerken, cloudapplicaties, digitale processen. Fantastisch voor je bedrijf, maar elke nieuwe tool is ook een nieuwe deur die op slot moet.

Tegelijkertijd worden cybercriminelen steeds geavanceerder dankzij AI-gestuurde aanvallen. Ransomware-as-a-Service bestaat echt. Voor een paar honderd euro per maand kun je een complete aanvalskit huren, inclusief helpdesk. En dat is geen grap. De drempel om cybercrimineel te worden is lager dan ooit.

De zwakke plekken van het mkb

Menselijke fouten zijn de grootste boosdoener. Bij het mkb ontbreken vaak duidelijke procedures en awareness-trainingen. Medewerkers klikken op links, gebruiken wachtwoorden als Welkom123! en verbinden privé-devices met het bedrijfsnetwerk. Eén medewerker die op een phishingmail klikt, en je hele netwerk ligt plat.

Verouderde systemen vormen het tweede grote risico. Die Windows Server uit 2012 die nog steeds draait omdat “hij het toch doet”? Een open uitnodiging voor hackers. Updates zijn er niet voor niets – ze dichten bekende kwetsbaarheden.

Back-ups? Die maken we. Maar staan ze ook offline? Zijn ze getest? Bij de helft van de mkb-bedrijven waar we komen, blijken back-ups corrupt of onvolledig. En daar kom je pas achter als het te laat is.

Concrete stappen die je vandaag kunt zetten

Genoeg doemscenario’s. Tijd voor actie. Dit kun je vandaag nog doen:

1. Zet multifactorauthenticatie (MFA) aan op álles

Begin met e-mail, boekhouding, CRM en cloudapplicaties. Het kost vijf minuten per applicatie en maakt hacken van accounts stukken lastiger.

2. Update je systemen. Nu.

Voer updates altijd direct uit. Software, besturingssystemen, plug-ins – alles. Kan een systeem niet geüpdatet worden? Dan is het tijd voor vervanging. Een nieuwe server kost minder dan één dag productieverlies.

3. Train je mensen

Geef medewerkers korte, praktische securitytraining. Laat zien hoe phishing eruitziet. Stuur een nep-phishingmail. Wie klikt? Die krijgt direct een korte training. Herhaal dit maandelijks. Na drie maanden daalt het klikpercentage van 30% naar 5%.

4. Maak offline back-ups

Bewaar minimaal één back-up buiten het bedrijfsnetwerk, bijvoorbeeld op een externe harde schijf. Ook als je in Microsoft365 werkt. Test maandelijks het terugzetten, want een back-up die niet werkt, is geen back-up.

5. Beperk toegangsrechten

Geef medewerkers alleen toegang tot wat ze echt nodig hebben. De boekhouding hoeft niet bij de productiedata. Marketing niet bij HR-bestanden. En verwijder direct toegang als iemand vertrekt.

6. Maak een incidentplan

Wie bel je als het misgaat? Wat schakel je uit? Waar staan de back-ups? Print dit plan en hang het op. Bij een aanval heb je geen tijd om na te denken.

Investeren of bloeden

Een penetratietest kost tussen de 5.000 en 15.000 euro. Duur? Een cyberaanval kost mkb-bedrijven gemiddeld tonnen aan losgeld, herstel en omzetverlies. Tel uit je winst.

24/7 monitoring lijkt overdreven voor een mkb-bedrijf. Totdat je beseft dat de meeste aanvallen in het weekend gebeuren. Criminelen werken wanneer jij vrij bent. Managed detection kost een fractie van een fulltime securityspecialist.

En vergeet NIS2 niet. Naar verwachting wordt deze wet medio 2025 in Nederland van kracht. Veel mkb-bedrijven in vitale sectoren, of die leveren aan bedrijven in vitale sectoren, moeten dan aan strenge securityeisen voldoen. Boetes kunnen oplopen tot 10 miljoen euro of 2% van de jaaromzet. Begin nu met voorbereiden, niet pas als de wet van kracht is.

De realiteit onder ogen

Cybersecurity is geen IT-project meer, het gaat immers om je bedrijfscontinuïteit. Je investeert niet in firewalls, je investeert in het voortbestaan van je bedrijf. De keuze is simpel. Of je neemt nu actie, of je wacht tot je op een maandagochtend je scherm aanzet en alleen maar rode letters ziet. Bij welke groep wil jij horen?

Meer weten?

Wil je direct aan de slag? Kijk op het Digital Trust Center voor gratis scans en praktische checklists. Of vraag een professionele securityscan aan om direct inzicht te krijgen in je kwetsbaarheden. Begin vandaag. Morgen kan te laat zijn.

Laat je je liever eerst nog een tijdje inspireren? Of ben je nog op zoek naar dagelijkse inspiratie en inzichten? Schrijf je in voor onze nieuwsbrief, check onze whitepapers en rapporten of blijf op de hoogte door onze LinkedIn-pagina te volgen. We delen regelmatig updates en nuttige tips die jouw bedrijf vooruit kunnen helpen.