PHP2Shell-Vorfall in Deutschland:
Welche Kosten Ihre Gesellschaft steuerlich geltend machen kann.

Ihre deutsche Gesellschaft betreibt eine Website oder einen Onlineshop auf PHP, und die Zentrale hat gerade ein Notfallbudget freigegeben. Dann folgt bald die nächste Frage: Wer trägt die Kosten, was erkennt das deutsche Finanzamt an, und was ist zu beachten, wenn die Konzern-IT selbst hilft? Die steuerliche Prüfung im Einzelfall übernehmen wir gemeinsam mit unserer Partnerkanzlei TABAK Steuerberatung.

Der Anlass in zwei Sätzen

Am 21. Oktober 2026 hat das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) vor zwei Schwachstellen in PHP gewarnt, CVE-2026-109618 und CVE-2026-109619, bekannt als „PHP2Shell“. Angreifer könnten danach aus der Ferne Schadcode auf Webservern ausführen, ohne Anmeldung und ohne Zutun eines Nutzers. Das BSI kennt bisher keine bestätigten Ausnutzungen; Sicherheitsfirmen melden erste Angriffsversuche. Was technisch zu tun ist, erklärt DAVINCI im Beitrag PHP2Shell: Was Sie heute tun müssen (auf Deutsch).

Grundregel: Die deutsche GmbH trägt ihre Kosten selbst

Eine GmbH ist eine eigene Rechtsperson und für das Finanzamt ein eigener Steuerpflichtiger, auch wenn sie zu 100 Prozent Ihrer Muttergesellschaft gehört. Sie gilt als Handelsgesellschaft und führt Bücher nach deutschem Handelsrecht. Ihren Gewinn ermittelt sie deshalb immer über die Bilanz, nie über eine einfache Einnahmen-Ausgaben-Rechnung.

Für die Körperschaftsteuer gelten die Regeln des Einkommensteuergesetzes (§ 8 Abs. 1 KStG). Danach sind Betriebsausgaben alle Aufwendungen, die durch den Betrieb veranlasst sind (§ 4 Abs. 4 EStG). Abwehr und Beseitigung eines Angriffs gehören dazu, typischerweise:

• das Notfall-Update durch Hoster oder IT-Dienstleister,
• die forensische Untersuchung, ob Angreifer eingedrungen sind,
• Bereinigung, Wiederherstellung und neue Passwörter und Zugangsschlüssel,
• die Prüfung, ob ein meldepflichtiger Datenschutzvorfall vorliegt.

In der Bilanz zählt der Aufwand in dem Geschäftsjahr, zu dem er gehört, nicht am Zahlungstag (§ 252 Abs. 1 Nr. 5 HGB). Eine Rechnung für Arbeiten im Oktober 2026, die erst im Januar eintrifft, gehört also in den Abschluss 2026.

Die Umsatzsteuer aus deutschen Dienstleisterrechnungen kann die GmbH als Vorsteuer vom Finanzamt zurückholen (§ 15 Abs. 1 UStG). Dafür braucht sie eine ordnungsgemäße Rechnung mit Art und Umfang der Leistung und dem Leistungszeitpunkt (§ 14 Abs. 4 UStG).

„Im Ernstfall arbeiten oft Konzern-IT, Hoster und ein externer Forensiker gleichzeitig am selben Server. Wir halten vom ersten Tag an fest, wer was wann gemacht hat. Dieses Protokoll braucht später die Versicherung, die Buchhaltung und, wenn Konzernleistungen weiterbelastet werden, auch die Betriebsprüfung.“

Metehan Kurt, IT-Berater · DAVINCI Rechenzentrum

Reparatur, Neuaufbau, neue Geräte

Steuerlich entscheidet nicht die Höhe der Rechnung, sondern was mit dem Geld geschieht. Wird die bestehende Website nur bereinigt und auf den alten Stand gebracht, entsteht nichts Neues. Herstellungskosten setzen nach § 255 Abs. 2 HGB eine Herstellung, Erweiterung oder wesentliche Verbesserung voraus. Die Reparatur ist laufender Aufwand.

Drei Punkte verdienen einen zweiten Blick. Erstens: Software und Websites sind immaterielle Wirtschaftsgüter. Steuerlich werden sie nur aktiviert, wenn sie entgeltlich erworben wurden (§ 5 Abs. 2 EStG). Ob ein Agenturvertrag eine Dienstleistung oder einen Erwerb regelt, prüfen Sie vor der Unterschrift. Zweitens: Das BMF-Schreiben zur einjährigen Nutzungsdauer nennt ERP- und Warenwirtschaftssoftware, aber weder Websites noch Webshops. Ob es für eine erworbene Shopsoftware gilt, ist nicht ausdrücklich geregelt. Drittens: Die degressive Abschreibung gilt nur für bewegliche Wirtschaftsgüter, also Sachen, nicht für Software (R 7.1 Abs. 2 EStR). Wie sie funktioniert, zeigt unser Beitrag zum Investitionsbooster. War die alte Website aktiviert und wird sie aufgegeben, kommt für den Restbuchwert eine außergewöhnliche Abschreibung in Betracht (§ 7 Abs. 1 Satz 7 EStG).

Wenn die Muttergesellschaft hilft

Oft übernimmt die Konzern-IT den Notfall selbst und belastet die Kosten später an die deutsche Tochter weiter. Das ist zulässig, aber für das Finanzamt ein Geschäft zwischen nahestehenden Personen. Dafür gilt der Fremdvergleichsgrundsatz (§ 1 Abs. 1 AStG): Die GmbH darf nicht mehr zahlen, als sie unabhängigen Dritten unter vergleichbaren Bedingungen gezahlt hätte. Sonst kann das Finanzamt ihre Einkünfte berichtigen.

„Die Leistungen müssen tatsächlich erbracht und benötigt worden sein. Das bloße Angebot in einer multinationalen Unternehmensgruppe genügt nicht.“

Bundesministerium der Finanzen, Verwaltungsgrundsätze Verrechnungspreise 2024, Rn. 3.67

Aus den Verwaltungsgrundsätzen folgen drei praktische Regeln:

• Nachweis: Was die Konzern-IT konkret für die deutsche Gesellschaft getan hat, muss belegbar sein. Für Dienstleistungen sieht die Verwaltung grundsätzlich die Kostenaufschlagsmethode vor, also Kosten plus Aufschlag (Rn. 3.72).
• Umlage: Lassen sich Kosten nur mit unverhältnismäßigem Aufwand direkt zuordnen, ist eine Konzernumlage mit sachgerechtem Schlüssel möglich, zum Beispiel nach der Zahl der Computerarbeitsplätze (Rn. 3.78).
• Grenze: Kosten aus der Gesellschafterstellung, etwa für die Führung und Kontrolle der Beteiligung, sind nicht verrechenbar (Rn. 3.69).

Welche Unterlagen die GmbH dafür vorhalten muss, beschreibt unser Beitrag zur Verrechnungspreis-Dokumentation. Die Sicht des Heimatlandes Ihrer Muttergesellschaft klären wir über Partnerkanzleien in über 20 Ländern.

Rechnungen aus dem Ausland: Umsatzsteuer schuldet die GmbH

Rechnet die Muttergesellschaft oder ein ausländischer Forensik-Dienstleister ohne deutschen Sitz ab, steht auf der Rechnung meist keine deutsche Umsatzsteuer. Das heißt nicht, dass keine anfällt. Eine Dienstleistung an ein Unternehmen gilt dort als ausgeführt, wo der Empfänger sein Unternehmen betreibt (§ 3a Abs. 2 UStG), hier also in Deutschland. Die Steuer schuldet dann die GmbH als Leistungsempfängerin (§ 13b Abs. 5 UStG). Für Leistende aus einem anderen EU-Staat gilt § 13b Abs. 1, für Leistende außerhalb der EU § 13b Abs. 2 Nr. 1 UStG. Die GmbH meldet die Steuer in ihrer Umsatzsteuer-Voranmeldung und kann sie im Regelfall zugleich als Vorsteuer abziehen (§ 15 Abs. 1 Satz 1 Nr. 4 UStG). Das kostet meist kein Geld, muss aber erklärt werden.

Versicherung und Datenschutz

Zahlt eine Cyberversicherung der GmbH Forensik oder Wiederherstellung, ist das eine Betriebseinnahme: Gemeint sind alle betrieblich veranlassten Zugänge in Geld oder Geldeswert (H 4.7 EStH). In der Bilanz zählt ein Gewinn erst, wenn er am Stichtag realisiert ist (§ 252 Abs. 1 Nr. 4 HGB). Ob ein offener Anspruch schon in den Abschluss 2026 gehört, hängt vom Stand der Regulierung ab.

Sind personenbezogene Daten abgeflossen, sind zwei Zahlungen streng zu trennen. Ein Bußgeld der Datenschutz-Aufsichtsbehörde (Art. 83 DSGVO) mindert den Gewinn nicht:

„Geldbußen, Ordnungsgelder und Verwarnungsgelder, die von einem Gericht oder einer Behörde im Geltungsbereich dieses Gesetzes oder von einem Mitgliedstaat oder von Organen der Europäischen Union festgesetzt wurden sowie damit zusammenhängende Aufwendungen.“

§ 4 Abs. 5 Satz 1 Nr. 8 Satz 1 EStG

Schadenersatz an betroffene Personen nach Art. 82 DSGVO ist dagegen keine Geldbuße. Er ist grundsätzlich Betriebsausgabe. Für geltend gemachte, aber noch ungewisse Ansprüche bildet die GmbH eine Rückstellung (§ 249 Abs. 1 HGB).

„Für das Finanzamt bleibt die deutsche GmbH auch im Notfall ein eigener Steuerpflichtiger. Dass die Konzernzentrale hilft, ist richtig. Abrechnen sollte sie aber so, wie es ein fremder Dienstleister täte: mit Vereinbarung, Nachweis und nachvollziehbarem Preis.“

Fatma Tabak, Steuerberaterin · TABAK Steuerberatung

Was die Geschäftsführung jetzt veranlassen sollte

Die Kostenstelle erscheint dann auch im Monatsbericht an die Zentrale. Ob die Buchhaltungsdaten selbst betroffen sind, behandelt PHP2Shell und die Buchhaltung Ihrer deutschen Tochter. Fragen zu Rechnungen und Umsatzsteuer im Onlineshop klärt Vendre en ligne en Allemagne après PHP2Shell.

Nous parlons votre langue — un conseil direct, sans intermédiaire.

Questions fréquentes

Quellen

• BSI-Cybersicherheitswarnung vom 21.10.2026 zu CVE-2026-109618 und CVE-2026-109619
• § 4 EStG – Betriebsausgaben, Abzugsverbot für Geldbußen
• § 5 EStG – Gewinn bei Kaufleuten, immaterielle Wirtschaftsgüter
• § 7 EStG – Absetzung für Abnutzung
• BMF-Schreiben vom 22.02.2022 – Nutzungsdauer von Computerhardware und Software (Amtliches EStH 2025)
• § 1 AStG – Berichtigung von Einkünften (Fremdvergleichsgrundsatz)
• BMF-Schreiben vom 12.12.2024 – Verwaltungsgrundsätze Verrechnungspreise 2024 (Kopie IHK München)
• § 13b UStG – Leistungsempfänger als Steuerschuldner
• § 15 UStG – Vorsteuerabzug
• Verordnung (EU) 2016/679 (DSGVO), Art. 82 und 83