PHP2Shell klingt nach einem Thema für die IT-Abteilung. Für eine deutsche Tochtergesellschaft ist es auch eine Frage der Buchführung: Laufen Webshop oder Dokumentenablage auf PHP, gehören sie zu den Systemen, die das deutsche Finanzamt prüft. Hier lesen Sie aus Sicht der Muttergesellschaft, welche Pflichten die Tochter jetzt hat und wer in der Gruppe was veranlasst.
Was passiert ist
„PHP2Shell“ bezeichnet zwei kritische Schwachstellen (CVE-2026-109618 und CVE-2026-109619) in PHP, der Programmiersprache vieler Websites und Onlineshops. Das Bundesamt für Sicherheit in der Informationstechnik (BSI), die deutsche Cybersicherheitsbehörde, verweist auf eine Bewertung von 9.2 von 10: Angreifer könnten aus der Ferne Schadcode auf Webservern ausführen, ohne Anmeldung und ohne Zutun eines Nutzers. Die Patches erschienen am 21. Oktober 2026 um 16 Uhr deutscher Zeit. Dem BSI sind bislang keine bestätigten Ausnutzungen bekannt; Sicherheitsfirmen melden erste Angriffsversuche.
Ob Ihre Systeme betroffen sind, erklärt unser Rechenzentrum-Partner DAVINCI Rechenzentrum im Beitrag Bin ich von PHP2Shell betroffen? (auf Deutsch).
Warum ein Webserver zur Buchhaltung gehört
Wie elektronische Bücher in Deutschland zu führen sind, regeln die GoBD, ein Schreiben des Bundesfinanzministeriums, nach dem die Finanzämter prüfen. Zum Datenverarbeitungssystem gehören danach nicht nur die Finanzbuchhaltung, sondern ausdrücklich auch Vor- und Nebensysteme wie Warenwirtschaft, Kasse, Zahlungsverkehr, Fakturierung, Archiv und Dokumentenablage, einschließlich der Schnittstellen zwischen ihnen. Eigene Hardware oder Cloud spielt keine Rolle (GoBD Rz. 20).
In einer Gruppe liegen diese Systeme oft in mehreren Ländern:
| System | Wo es häufig betrieben wird | Warum es steuerlich zählt |
|---|---|---|
| Webshop der deutschen Gesellschaft | bei einem Hoster oder in der Konzern-IT | erfasst Bestellungen, erzeugt Rechnungen |
| ERP der Muttergesellschaft | im Rechenzentrum der Mutter, oft im Ausland | übernimmt Aufträge und Konzernrechnungen über Schnittstellen |
| Dokumentenablage | Cloud oder eigener Server | enthält Belege und Verträge, die aufzubewahren sind |
| Buchhaltung in DATEV | in Deutschland, bei der Steuerkanzlei | übernimmt Daten aus allen Vorsystemen |
Der Fehler steckt in PHP selbst; laut Sicherheitsforschern sind deshalb auch Shops auf Magento, Shopware oder WooCommerce mit fehlerfreiem eigenem Code angreifbar. Läuft das ERP der Mutter nicht auf PHP, können über eine automatische Schnittstelle trotzdem veränderte Bestellungen dort ankommen.
Wer in der Gruppe verantwortlich ist
Die deutsche GmbH ist eine eigene Rechtsperson. Ihre Geschäftsführer müssen für eine ordnungsmäßige Buchführung sorgen (§ 41 GmbHG) und die steuerlichen Pflichten der Gesellschaft erfüllen (§ 34 AO). Das gilt auch, wenn der Geschäftsführer im Ausland lebt und die gesamte IT bei der Muttergesellschaft liegt. Das Bundesfinanzministerium sagt es ausdrücklich:
„Für die Ordnungsmäßigkeit elektronischer Bücher und sonst erforderlicher elektronischer Aufzeichnungen […] ist allein der Steuerpflichtige verantwortlich. Dies gilt auch bei einer teilweisen oder vollständigen organisatorischen und technischen Auslagerung von Buchführungs- und Aufzeichnungsaufgaben auf Dritte (z. B. Steuerberater oder Rechenzentrum).“
GoBD Rz. 21 · BMF-Schreiben vom 28.11.2019
Aus Sicht der Tochter ist die Konzern-IT der Mutter ein solcher Dritter.
Die Konzern-IT schließt die Lücke und sichert Spuren. Die deutsche Geschäftsführung veranlasst das und dokumentiert die Folgen für die Bücher. Die Steuerkanzlei bewertet, was gegenüber dem Finanzamt zu tun ist.
Vier Pflichten, die ein Eindringen berührt
- Unveränderbarkeit: Eine Buchung oder Aufzeichnung darf nicht so verändert werden, dass der ursprüngliche Inhalt nicht mehr feststellbar ist (§ 146 Abs. 4 AO, GoBD Rz. 108). Nach fremdem Schreibzugriff ist das ohne Prüfung nicht mehr sicher.
- Schutz vor Verlust: Das System ist gegen Verlust und unberechtigte Veränderungen zu sichern (GoBD Rz. 103). Können Daten deswegen nicht mehr vorgelegt werden, ist die Buchführung formell nicht mehr ordnungsmäßig (Rz. 104). Die Folgen hängen vom Einzelfall ab (Rz. 105).
- Aufbewahrung und Datenzugriff: Bücher sind zehn Jahre, Buchungsbelege acht Jahre aufzubewahren (§ 147 Abs. 3 AO). In der Betriebsprüfung, im Gesetz „Außenprüfung“ genannt, kann das Finanzamt auf die Daten zugreifen (§ 147 Abs. 6 AO), auch auf die Daten der Vor- und Nebensysteme (GoBD Rz. 159).
- Beweiskraft: Eine ordnungsmäßige Buchführung legt das Finanzamt der Besteuerung zugrunde, außer es besteht Anlass, ihre sachliche Richtigkeit zu beanstanden (§ 158 AO). Kann es die Grundlagen nicht ermitteln, schätzt es (§ 162 AO). Dabei sind alle Umstände zu berücksichtigen, die für die Schätzung von Bedeutung sind.
„Ein Angriff macht die Buchführung nicht automatisch wertlos. In der Betriebsprüfung zählt, ob die Gesellschaft zeigen kann, welche Daten betroffen sein konnten und wie sie wiederhergestellt und abgeglichen wurden. Diesen Nachweis muss die deutsche Gesellschaft führen können, nicht nur die IT der Mutter.“
Fatma Tabak, Steuerberaterin · TABAK Steuerberatung
Rekonstruktion: welche Daten jetzt zählen
Am Anfang steht ein Datum: der früheste Zeitpunkt, ab dem ein System nicht mehr als vertrauenswürdig gilt. Daraus folgt:
- Bis zum Stichtag stammen die Daten aus einer eindeutig datierten Sicherung von vor dem Vorfall.
- Ab dem Stichtag werden sie gegen Quellen außerhalb des betroffenen Systems abgeglichen: Bankumsätze, Abrechnungen von Zahlungsdienstleistern und Marktplätzen, versandte Rechnungen. In einer Gruppe zusätzlich: die Konzernverrechnungen im ERP der Mutter.
- Nacherfassungen bleiben erkennbar: Rekonstruierte Daten dürfen nicht aussehen, als wären sie ursprünglich so erfasst worden (§ 146 Abs. 4 Satz 2 AO, GoBD Rz. 111).
- Der Abgleich wird aufbewahrt: welche Quelle, welcher Zeitraum, welche Abweichungen.
„In vielen Gruppen liegt die IT bei der Mutter, die Pflichten aber bei der deutschen Tochter. Nach PHP2Shell muss deshalb jemand in Deutschland wissen, welche Systeme betroffen sein konnten, ab wann sie nicht mehr vertrauenswürdig waren und wo die saubere Sicherung liegt. Dieses Datum ist auch für die Buchhaltung die wichtigste Zahl.“
Metehan Kurt, IT-Berater · DAVINCI Rechenzentrum
Wiederaufbau bei der Mutter? Erst § 146 AO prüfen
Shop oder Ablage nach dem Vorfall bei der Mutter neu aufbauen? Steuerlich ist das nicht frei. Bücher und Aufzeichnungen sind grundsätzlich in Deutschland zu führen und aufzubewahren (§ 146 Abs. 2 AO). Elektronisch dürfen sie auch in einem anderen EU-Staat liegen, wenn der Datenzugriff des Finanzamts in vollem Umfang möglich bleibt (§ 146 Abs. 2a AO). Für einen Staat außerhalb der EU braucht die Gesellschaft eine Bewilligung des Finanzamts (§ 146 Abs. 2b AO). Wer ohne Bewilligung verlagert, riskiert ein Verzögerungsgeld von 2.500 bis 250.000 Euro (§ 146 Abs. 2c AO).
Gibt es bereits eine Bewilligung, ist eine Änderung des mitgeteilten Systemstandorts dem Finanzamt unverzüglich mitzuteilen (§ 146 Abs. 2b Satz 4 AO). Die Grundlagen beschreibt unser Beitrag افهموا شركتكم التابعة في ألمانيا خلال 15 دقيقة.
Muss die Tochter das Finanzamt informieren?
Eine allgemeine Pflicht, einen Angriff oder Datenverlust von sich aus anzuzeigen, enthalten weder die Abgabenordnung noch die GoBD. Handeln muss die Gesellschaft aber in zwei Lagen:
- Falsche Erklärung erkannt: Stellt sich heraus, dass eine bereits abgegebene Erklärung, etwa eine Umsatzsteuer-Voranmeldung, wegen veränderter Daten unrichtig ist und Steuern verkürzt werden können, ist das unverzüglich anzuzeigen und richtigzustellen (§ 153 Abs. 1 AO).
- Laufende Betriebsprüfung: In Prüfungen, die seit 2025 angeordnet wurden, kann nach einem qualifizierten Mitwirkungsverlangen das Finanzamt ein Mitwirkungsverzögerungsgeld von 75 Euro je Tag festsetzen, höchstens für 150 Tage (§ 200a Abs. 2 AO). Davon ist abzusehen, wenn die Verzögerung entschuldbar ist. Fehlen Daten, sollte die Gesellschaft unverzüglich darauf hinweisen (§ 200a Abs. 4 AO).
Meldungen an eine Datenschutz-Aufsichtsbehörde sind eine eigene Frage; zu Kundendaten und Rechnungen eines Onlineshops siehe البيع عبر الإنترنت في ألمانيا بعد PHP2Shell. Zu den Kosten des Vorfalls: PHP2Shell-Vorfall: Kosten steuerlich geltend machen.
Der Vorfall gehört in die Verfahrensdokumentation
Die Verfahrensdokumentation beschreibt, wie die Buchführung technisch und organisatorisch abläuft. Sie muss alle System- und Verfahrensänderungen lückenlos festhalten (GoBD Rz. 150), versioniert und passend zu den eingesetzten Programmversionen (Rz. 154). Nach PHP2Shell ändert sich fast immer etwas: PHP-Version, Server, Zugangsdaten, oft der Sicherungsstand. Eine fehlende Dokumentation ist kein formeller Mangel mit sachlichem Gewicht, soweit Nachvollziehbarkeit und Nachprüfbarkeit nicht beeinträchtigt sind (Rz. 155). Nach einem Angriff ist genau das die offene Frage. Mehr dazu in unserer قائمة التحقق GoBD.
Was die Geschäftsführung jetzt veranlassen sollte
- Schriftlich bestätigen lassen (Konzern-IT oder Hoster), welche Systeme der Tochter auf PHP laufen und wann sie aktualisiert wurden.
- Abrechnungen von Banken, Zahlungsdienstleistern und Marktplätzen für Oktober 2026 außerhalb der betroffenen Systeme sichern.
- Bei Verdacht den Stichtag bestimmen und die Rekonstruktion mit der Steuerkanzlei abstimmen.
- Vor jedem Umzug von Systemen ins Ausland § 146 AO prüfen.
- Update, Stichtag, Sicherungsstand und Abgleich in die Verfahrensdokumentation aufnehmen.
Wir verbinden IT und Buchhaltung: Technisch begleitet DAVINCI Rechenzentrum, steuerlich unsere Partnerkanzlei TABAK Steuerberatung. Wir beraten Sie in Ihrer Sprache — direkt und ohne Zwischenvermittler.
الأسئلة الشائعة
Muss unsere deutsche Tochter einen PHP2Shell-Vorfall dem Finanzamt melden?
Eine allgemeine Meldepflicht gibt es nicht. Ist aber eine abgegebene Erklärung wegen veränderter Daten unrichtig, muss die Gesellschaft das unverzüglich anzeigen und richtigstellen (§ 153 AO).
Unsere IT sitzt bei der Muttergesellschaft. Wer ist nach PHP2Shell gegenüber dem Finanzamt verantwortlich?
Die deutsche Gesellschaft, vertreten durch ihre Geschäftsführer (§ 41 GmbHG, § 34 AO). Auslagerung an Dritte ändert daran nichts (GoBD Rz. 21).
Ist die Buchführung nach einem PHP2Shell-Angriff noch ordnungsmäßig?
Nicht automatisch unbrauchbar. Formell nicht mehr ordnungsmäßig ist sie, wenn Daten mangels Schutz nicht mehr vorgelegt werden können; die Folgen hängen vom Einzelfall ab (GoBD Rz. 104, 105).
Dürfen wir den Shop nach PHP2Shell im Rechenzentrum der Mutter in China neu aufbauen?
Nur mit Bewilligung des Finanzamts, soweit dort Bücher oder steuerlich erforderliche Aufzeichnungen geführt oder aufbewahrt werden (§ 146 Abs. 2b AO). Sonst droht ein Verzögerungsgeld (§ 146 Abs. 2c AO).
Was passiert, wenn Daten der Tochter durch PHP2Shell verloren gehen?
Das Finanzamt kann die Besteuerungsgrundlagen schätzen (§ 162 AO). Dann zählt eine dokumentierte Rekonstruktion aus Sicherungen, Bank- und Zahlungsdaten und Konzernverrechnungen.
Quellen
- BSI-Cybersicherheitswarnung vom 21.10.2026: PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit
- BMF, Amtliches AO-Handbuch 2025, Anhang 33 – GoBD
- § 34 AO – Pflichten der gesetzlichen Vertreter
- § 41 GmbHG – Buchführung
- § 146 AO – Ordnungsvorschriften für die Buchführung (Abs. 2, 2a, 2b, 2c, 4)
- § 147 AO – Aufbewahrung von Unterlagen, Datenzugriff
- § 153 AO – Berichtigung von Erklärungen
- § 158 AO – Beweiskraft der Buchführung
- § 162 AO – Schätzung von Besteuerungsgrundlagen
- § 200a AO – Qualifiziertes Mitwirkungsverlangen
PHP2Shell in Ihrer deutschen Gesellschaft?
Wir klären mit Ihrer Konzern-IT, welche Systeme der Tochter betroffen sein können, und sorgen dafür, dass Buchhaltung und Verfahrensdokumentation den Vorfall abbilden. Die steuerliche Bewertung übernimmt unsere Partnerkanzlei TABAK Steuerberatung.