Sie stellen Waren im Ausland her und verkaufen sie über einen eigenen Onlineshop an Kunden in Deutschland? Dann läuft Ihr Shop sehr wahrscheinlich auf PHP, etwa mit WooCommerce, Shopware oder Magento. Seit dem 21.10.2026 warnt das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) vor zwei kritischen Lücken in PHP, bekannt als „PHP2Shell“. Was bedeutet das für Ihre Umsatzsteuer, Ihre Rechnungen und Ihre Kundendaten?
Was über PHP2Shell bekannt ist
Nach der Bewertung des BSI könnten Angreifer aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen, ohne Anmeldung und ohne Zutun eines Nutzers. Der Fehler steckt in PHP selbst, also im Unterbau des Shops. Ein sauberer Shop-Code schützt nicht; nur das PHP-Update hilft. Stand heute meldet das BSI keine bestätigten Ausnutzungen. Sicherheitsfirmen berichten jedoch von ersten Angriffsversuchen.
Wer Code auf dem Server ausführen kann, kann Bestellungen, Steuereinstellungen, Rechnungsvorlagen und Kundendaten lesen und verändern. Die technische Prüfung erklärt DAVINCI im Beitrag WordPress, TYPO3 oder Magento nach PHP2Shell prüfen (auf Deutsch). Hier geht es um die steuerlichen und rechtlichen Folgen.
Ihr Weg in den deutschen Markt bestimmt, wer handeln muss
Die Umsatzsteuer ist die deutsche Mehrwertsteuer, zuständig ist ein Finanzamt (Steueramt). Welches, und wer handeln muss, hängt von Ihrer Struktur ab:
| Structure | Zuständiges Finanzamt | Wer handeln muss |
|---|---|---|
| Deutsche Vertriebs-GmbH betreibt den Shop | Das Finanzamt, von dessen Bezirk aus die GmbH ihr Unternehmen betreibt (§ 21 Abs. 1 Satz 1 AO) | Geschäftsführung der GmbH, auch wenn sie im Ausland lebt |
| Ausländisches Unternehmen verkauft direkt, mit deutscher Umsatzsteuer-Registrierung | Ein zentrales Finanzamt je Herkunftsland, z. B. Bonn-Innenstadt für die USA, Dortmund-Unna für die Türkei; für nicht aufgeführte Länder wie China Berlin International (§ 1 UStZustV) | Leitung des ausländischen Unternehmens |
Die Regeln zu Rechnungen und Aufzeichnungen, um die es hier geht, gelten in beiden Fällen. Welche Struktur für Ihren Vertrieb passt, beschreibt der Beitrag Produire à l'étranger, vendre en Allemagne.
Rechnungen: Herkunft und Inhalt müssen stimmen
Ein Shop erstellt Rechnungen automatisch aus Vorlagen, Steuersätzen und Nummernkreisen. Nach einem Angriff wird diese Anforderung entscheidend:
„Die Echtheit der Herkunft der Rechnung, die Unversehrtheit ihres Inhalts und ihre Lesbarkeit müssen gewährleistet werden. … Unversehrtheit des Inhalts bedeutet, dass die nach diesem Gesetz erforderlichen Angaben nicht geändert wurden.“
§ 14 Abs. 3 Satz 1 und 3 Umsatzsteuergesetz
Das Gesetz nennt dafür innerbetriebliche Kontrollverfahren, die einen verlässlichen Prüfpfad zwischen Rechnung und Leistung schaffen. Praktisch heißt das: Rechnung, Zahlung und Warenausgang müssen zueinander passen. Eine fehlerhafte Rechnung wird mit einem Dokument berichtigt, das eindeutig auf die ursprüngliche Rechnung verweist (§ 31 Abs. 5 UStDV).
Wenn der Steuersatz verändert wurde
Weist eine Rechnung zu viel Umsatzsteuer aus, schulden Sie grundsätzlich auch den Mehrbetrag (§ 14c Abs. 1 UStG). Bei Privatkunden macht die Finanzverwaltung eine Ausnahme, wenn die Leistung tatsächlich erbracht wurde (Abschnitt 14c.1 Abs. 1a Umsatzsteuer-Anwendungserlass). Sie müssen aber glaubhaft darlegen, welche Rechnungen an Privatkunden gingen; eine Schätzung ist ausgeschlossen. Ohne vollständige Bestelldaten wird das schwierig. Ist der Steuersatz zu niedrig, wird die gesetzliche Steuer aus dem erhaltenen Preis herausgerechnet (§ 10 Abs. 1 Satz 2 UStG). Die Differenz tragen Sie.
„Bei ausländischen Händlern liegt der Shop oft bei einem Hoster in Deutschland, die Bestellungen laufen ins ERP der Muttergesellschaft und die Zahlungen über einen dritten Anbieter. Nach einem Vorfall ist diese Verteilung ein Vorteil: Wir gleichen die drei Datenbestände ab und sehen genau, wo der Shop nicht mehr mit der Wirklichkeit übereinstimmt.“
Metehan Kurt, IT-Berater · DAVINCI Rechenzentrum
Gefälschte Rechnungen in Ihrem Namen
Mit gestohlenen Kundendaten und Vorlagen lassen sich täuschend echte Rechnungen verschicken. Wer Umsatzsteuer ausweist, ohne dazu berechtigt zu sein, schuldet diesen Betrag (§ 14c Abs. 2 UStG). Für Fälschungen zieht die Finanzverwaltung aber eine Grenze: Hat das als Aussteller genannte Unternehmen in keiner Weise mitgewirkt, wird es nicht in Anspruch genommen (Abschnitt 14c.2 Abs. 4 Satz 4 UStAE). Zu berücksichtigen sind jedoch die Regeln der Stellvertretung, einschließlich Anscheins- und Duldungsvollmacht. Wer ein Auftreten in seinem Namen duldet oder bei gebotener Sorgfalt hätte verhindern können, muss es sich unter Umständen zurechnen lassen.
Dokumentieren Sie deshalb, wann Sie von den Fälschungen erfahren und was Sie unternommen haben: Kundenwarnung, Strafanzeige, Sperrung von Zugängen. Erzeugt der Angreifer Rechnungen mit Ihrem eigenen Shopsystem, ist die Zurechnung eine Frage des Einzelfalls und der technischen Protokolle.
Umsätze belegen, wenn Shopdaten fehlen
Für die Umsatzsteuer müssen Ihre Aufzeichnungen die Entgelte erkennen lassen, getrennt nach Steuersätzen (§ 22 Abs. 2 Nr. 1 UStG). Wurden Bestellungen gelöscht oder verändert, helfen Daten außerhalb des Shops:
- Zahlungsdienstleister: Zahlungen, Erstattungen und Gebühren je Transaktion, aber ohne Artikel und Steuersatz.
- Marktplätze: Verkäufe und Erstattungen je Bestellung, aber nur für Umsätze über den Marktplatz.
- ERP oder Lagersystem der Muttergesellschaft: Warenausgänge und Lieferadressen, wenn Bestellungen dorthin übertragen werden.
- Datensicherung von vor dem Angriff: vollständige Bestellungen bis zum Sicherungszeitpunkt.
Welche Folgen Lücken für die Buchhaltung Ihrer deutschen Gesellschaft haben, erklärt der Beitrag PHP2Shell und die Buchhaltung Ihrer deutschen Tochter.
„Für das Finanzamt zählt der Beleg, nicht die Vermutung. Wir sichern deshalb zuerst die Abrechnungen von Zahlungsdienstleistern und Marktplätzen. Daraus bauen wir die Umsätze je Steuersatz nach, bevor wir eine Voranmeldung oder eine OSS-Erklärung korrigieren.“
Fatma Tabak, Steuerberaterin · TABAK Steuerberatung
One-Stop-Shop: Ihre Daten gehen auch an andere EU-Staaten
Viele Händler liefern von Deutschland aus auch an Privatkunden in anderen EU-Staaten. Die Umsatzsteuer dafür melden sie zentral über den One-Stop-Shop (OSS) beim Bundeszentralamt für Steuern (§ 18j UStG); für Sendungen aus Drittländern bis 150 Euro gibt es ein ähnliches Verfahren (§ 18k UStG). Die Aufzeichnungen sind dann zehn Jahre aufzubewahren und auf Anfrage elektronisch bereitzustellen, auch den Behörden der übrigen EU-Staaten (§ 22 Abs. 1 Satz 4 UStG). Fehlende Daten sind also kein rein deutsches Thema. Wer seine Aufzeichnungspflichten wiederholt nicht erfüllt, wird vom Verfahren ausgeschlossen (§ 18j Abs. 6 UStG). Fehler berichtigen Sie innerhalb von drei Jahren in einer späteren Erklärung (§ 18j Abs. 4 Satz 5 UStG).
Erstatten Sie Kunden Geld, weil eine Bestellung storniert, nicht geliefert oder zurückgegeben wurde, wird die Umsatzsteuer berichtigt (§ 17 Abs. 1 und 2 UStG). Ordnen Sie jede Erstattung der ursprünglichen Bestellung zu.
Kundendaten: Meldung binnen 72 Stunden prüfen
Die europäische Datenschutz-Grundverordnung (DSGVO) verlangt, eine Datenpanne unverzüglich und möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde zu melden, außer sie führt voraussichtlich zu keinem Risiko für die Betroffenen (Art. 33 Abs. 1 DSGVO). Bei hohem Risiko sind auch die Kunden zu benachrichtigen (Art. 34 Abs. 1 DSGVO). Dokumentiert wird jeder Vorfall (Art. 33 Abs. 5 DSGVO). Bei PHP2Shell ist die Prüfung ernst zu nehmen: Nach Angaben von Sicherheitsforschern kann eine der Lücken zusätzlich Speicherinhalte wie Passwörter und Zugangsschlüssel preisgeben.
Welche Behörde zuständig ist, hängt vom Sitz ab. In Deutschland hat jedes Bundesland eine eigene Aufsicht für Unternehmen (§ 40 Abs. 1 BDSG); für eine Vertriebs-GmbH in Mannheim ist es der Landesbeauftragte für den Datenschutz Baden-Württemberg. Ohne Niederlassung in der EU gilt die DSGVO trotzdem, wenn Sie Kunden in der EU Waren anbieten (Art. 3 Abs. 2 DSGVO). Dann müssen Sie schriftlich einen Vertreter in der Union benennen, der Behörden und Kunden als Anlaufstelle dient (Art. 27 DSGVO). Zur Übermittlung von Kundendaten an die Muttergesellschaft lesen Sie Données entre la Chine et l'Allemagne. Die rechtliche Bewertung im Einzelfall gehört zu Ihrem Datenschutzbeauftragten oder einem Rechtsanwalt.
Was Ihre Geschäftsführung jetzt veranlassen sollte
- Update bestätigen lassen: Betreibt ein Hoster Ihren Server, muss er PHP aktualisieren. Ein Update des Shops allein reicht nicht.
- Stand sichern: Steuereinstellungen, Rechnungsvorlagen und Bankdaten im Shop mit einer Sicherung von vor dem möglichen Angriff vergleichen lassen.
- Abrechnungen sichern: Exporte von Zahlungsdienstleistern und Marktplätzen herunterladen.
- Datenschutz prüfen: Die 72-Stunden-Frist beginnt, sobald Sie von der Datenpanne wissen.
- Steuerfolgen klären: Rechnungskorrekturen, Voranmeldungen und OSS-Erklärungen mit der Steuerberatung abstimmen.
Wir verbinden diese Schritte zu einem Ablauf: IT-Prüfung, Buchhaltung und, gemeinsam mit unserer Partnerkanzlei TABAK Steuerberatung, die steuerliche Bewertung. Wir beraten Sie in Ihrer Sprache — direkt und ohne Zwischenvermittler.
Questions fréquentes
Wir verkaufen aus dem Ausland über einen deutschen Shop. Betrifft uns PHP2Shell steuerlich?
Ja, wenn Ihr Shop auf PHP läuft. Ein Angreifer könnte Rechnungen, Steuersätze und Bestellungen verändern. Für Ihre deutschen Umsatzsteuerpflichten bleiben Sie verantwortlich, ob über eine deutsche GmbH oder mit eigener Registrierung beim zuständigen Finanzamt.
Müssen wir Umsatzsteuer aus gefälschten Rechnungen zahlen, die nach PHP2Shell in unserem Namen verschickt wurden?
Haben Sie an der Erstellung in keiner Weise mitgewirkt, nimmt die Finanzverwaltung Sie nicht in Anspruch (Abschnitt 14c.2 Abs. 4 UStAE). Die Regeln zur Anscheins- und Duldungsvollmacht gelten aber. Dokumentieren Sie, wann Sie davon erfahren und was Sie unternommen haben.
Nach PHP2Shell fehlen Bestelldaten. Was bedeutet das für den One-Stop-Shop?
OSS-Aufzeichnungen müssen zehn Jahre aufbewahrt und auf Anfrage elektronisch auch Behörden anderer EU-Staaten bereitgestellt werden (§ 22 Abs. 1 Satz 4 UStG). Rekonstruieren Sie die Umsätze aus Zahlungs- und Marktplatzabrechnungen und berichtigen Sie Erklärungen innerhalb von drei Jahren.
Wir haben keine Niederlassung in der EU. Wem melden wir eine Datenpanne durch PHP2Shell?
Die DSGVO gilt auch für Sie, wenn Sie Kunden in der EU Waren anbieten. Sie müssen einen Vertreter in der Union benannt haben, der Anlaufstelle für die Aufsichtsbehörden ist (Art. 27 DSGVO). Klären Sie mit ihm und Ihrem Datenschutzberater, an welche Behörde die Meldung geht.
Quellen
- BSI: Cybersicherheitswarnung PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit (21.10.2026)
- php.net: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35
- § 14 UStG – Ausstellung von Rechnungen
- § 14c UStG – Unrichtiger oder unberechtigter Steuerausweis
- BMF: Umsatzsteuer-Anwendungserlass (Stand 2. Juni 2026), Abschnitte 14c.1 und 14c.2
- § 22 UStG – Aufzeichnungspflichten
- § 1 Umsatzsteuerzuständigkeitsverordnung (UStZustV)
- BZSt: One-Stop-Shop, EU-Regelung
- Verordnung (EU) 2016/679 (DSGVO), Art. 3, 27, 33 und 34
- § 40 BDSG – Aufsichtsbehörden der Länder
Shop betroffen oder unsicher?
Wir prüfen mit Ihnen Shop, Rechnungen und Umsatzdaten und stimmen die Korrekturen mit unserer Partnerkanzlei TABAK Steuerberatung ab, auch mit Ihrer Konzern-IT im Ausland.