您的德国公司在PHP上运行着网站或网店，总部刚刚批准了一笔应急预算。紧接着就会出现下一个问题：费用由谁承担？德国税务局认可哪些费用？如果集团IT亲自出手相助，又需要注意什么？具体个案的税务审核，由我们与合作事务所TABAK Steuerberatung共同负责。

两句话说明事件背景

2026年10月21日，德国联邦信息安全办公室（BSI）就PHP中的两个漏洞发出警告：CVE-2026-109618和CVE-2026-109619，统称“PHP2Shell”。据此，攻击者可在无需登录、无需用户任何操作的情况下，远程在Web服务器上执行恶意代码。BSI目前尚未获悉经证实的漏洞利用案例；但已有安全公司报告了首批攻击尝试。技术上需要做什么，请参阅DAVINCI的文章 《PHP2Shell：您今天必须做什么》（德文）.

基本原则：德国GmbH自行承担其费用

GmbH（德国有限责任公司）是独立的法人，在税务局眼中也是独立的纳税人，即便它由您的母公司100%持有。它被视为商事公司，按照德国商法记账。因此，它始终通过资产负债表确定利润，而绝不采用简单的收支核算法。

企业所得税适用《个人所得税法》的规则（§ 8 Abs. 1 KStG）。据此，凡因经营而发生的支出均属经营支出（§ 4 Abs. 4 EStG）。防御和清除攻击的支出也包括在内，通常有：

在资产负债表中，费用计入其所属的财务年度，而非付款日所在的年度（§ 252 Abs. 1 Nr. 5 HGB）。因此，2026年10月所做工作的发票即使到次年1月才收到，也应计入2026年度财务报表。

德国服务商发票中的增值税，GmbH可作为进项税向税务局申请抵扣（§ 15 Abs. 1 UStG）。为此需要一张合规发票，注明服务的种类和范围以及服务提供时间（§ 14 Abs. 4 UStG）。

“紧急情况下，集团IT、托管服务商和外部取证专家往往同时在同一台服务器上工作。我们从第一天起就记录谁在何时做了什么。这份记录日后保险公司需要，账务需要；如果集团服务的费用要转嫁给子公司，税务稽查同样需要。”

Metehan Kurt，IT顾问 · DAVINCI Rechenzentrum

修复、重建、新设备

从税务角度看，起决定作用的不是发票金额，而是这笔钱用在了哪里。如果现有网站只是被清理并恢复到原有状态，就没有产生任何新东西。根据§ 255 Abs. 2 HGB，制造成本以制造、扩展或实质性改良为前提。修复属于当期费用。

措施税务处理依据
清理、恢复原有状态立即计入费用§ 255 Abs. 2 HGB
新网站，自行开发或委托服务商开发税务上立即计入费用；商法上可选择资本化§ 5 Abs. 2 EStG，H 5.5 EStH，§ 248 Abs. 2 HGB
有偿购置的成品网店系统资本化并计提折旧；使用年限视个案而定§ 5 Abs. 2 EStG
单台设备，净价不超过800欧元可立即全额扣除§ 6 Abs. 2 EStG
计算机、笔记本电脑、小型服务器可按一年使用年限折旧BMF 2022年2月22日通知
其他动产设备，例如防火墙设备按一般使用年限；2025年7月至2027年12月间购置的，可按最高30%递减余额折旧§ 7 Abs. 2 EStG

有三点值得多看一眼。第一：软件和网站属于无形资产。税务上，只有有偿取得的才予以资本化（§ 5 Abs. 2 EStG）。与代理公司签订的合同约定的是服务还是购置，请在签字前核实。第二：关于一年使用年限的BMF通知提到了ERP和进销存软件，但既未提及网站，也未提及网店。它是否适用于购置的网店软件，并无明确规定。第三：递减余额折旧仅适用于动产，即有形物，不适用于软件（R 7.1 Abs. 2 EStR）。其运作方式请参阅我们关于 投资加速方案（Investitionsbooster）的文章。如果旧网站曾被资本化而现在被弃用，其剩余账面价值可考虑计提特别折旧（§ 7 Abs. 1 Satz 7 EStG）。

当母公司出手相助时

集团IT常常亲自处理紧急情况，事后再把费用转嫁给德国子公司。这是允许的，但在税务局看来属于关联方之间的交易，适用独立交易原则（§ 1 Abs. 1 AStG）：GmbH支付的金额不得超过在可比条件下向无关联第三方支付的金额，否则税务局可以调整其所得。

“相关服务必须是实际提供且确有需要的。仅仅在跨国企业集团内部提供服务的可能，是不够的。”

德国联邦财政部，《2024年转让定价管理原则》，Rn. 3.67（中文为非官方译文）

从管理原则中可以得出三条实务规则：

为此GmbH须备存哪些资料，请参阅我们关于 转让定价文档的文章。至于母公司所在国的视角，我们通过20多个国家的合作事务所为您厘清。

境外发票：增值税由GmbH缴纳

如果开票方是母公司或在德国没有注册地的境外取证服务商，发票上通常不会列明德国增值税。但这并不意味着无需缴税。向企业提供的服务，视为在接受方经营企业的所在地提供（§ 3a Abs. 2 UStG），此处即为德国。此时由作为服务接受方的GmbH承担纳税义务（§ 13b Abs. 5 UStG）。服务提供方来自其他欧盟成员国的，适用§ 13b Abs. 1；来自欧盟以外的，适用§ 13b Abs. 2 Nr. 1 UStG。GmbH在其增值税预申报中申报该税款，通常可同时作为进项税抵扣（§ 15 Abs. 1 Satz 1 Nr. 4 UStG）。这通常不产生实际成本，但必须申报。

保险与数据保护

如果网络保险为GmbH支付取证或恢复费用，这属于经营收入：即一切因经营而产生的现金或现金等价物流入（H 4.7 EStH）。在资产负债表中，利润只有在资产负债表日已实现时才予以确认（§ 252 Abs. 1 Nr. 4 HGB）。尚未结清的索赔是否已应计入2026年度财务报表，取决于理赔的进展。

如果个人数据已经外泄，须严格区分两类支付。数据保护监管机构处以的罚款（Art. 83 DSGVO，即欧盟《通用数据保护条例》）不能减少利润：

“由本法适用范围内的法院或行政机关、由某一成员国或由欧盟机构处以的罚款、秩序罚款和警告罚款，以及与之相关的支出。”

§ 4 Abs. 5 Satz 1 Nr. 8 Satz 1 EStG（中文为非官方译文）

相比之下，依据Art. 82 DSGVO向受影响者支付的损害赔偿不属于罚款，原则上属于经营支出。对于已被主张但尚不确定的索赔，GmbH应计提准备金（§ 249 Abs. 1 HGB）。

“在税务局眼中，即便在紧急情况下，德国GmbH也始终是独立的纳税人。集团总部出手相助是对的，但结算方式应当与外部服务商一样：有协议、有证明、价格可核查。”

Fatma Tabak，税务师 · TABAK Steuerberatung

管理层现在应当推动的事项

德国公司的五个步骤

1. 为该事件设立单独的成本中心。2. 恢复工作与真正的更新改造分开委托、分开结算。3. 事先与集团IT书面约定服务内容，并以工时记录作为凭证。4. 未列明德国增值税的境外发票，立即转交账务部门。5. 将与保险公司和监管机构的往来函件归入该事件档案。

该成本中心随后也会出现在 向总部提交的月度报告中。账务数据本身是否受到影响，请参阅 PHP2Shell与您德国子公司的账务。网店中的发票和增值税问题，请参阅 PHP2Shell之后，如何在德国开展线上销售.

我们以中文为您服务——直接沟通，无需中间人。

常见问题

我们的德国GmbH能否在税前扣除PHP2Shell攻击造成的费用？

可以，通常可全额扣除。更新、取证、清理和恢复均属于经营支出（§ 4 Abs. 4 EStG，§ 8 Abs. 1 KStG）。此外，凭合规发票还可抵扣进项税。

我们的集团IT可以向德国子公司收取PHP2Shell应急援助的费用吗？

可以，前提是服务确实已提供且确有需要，且价格符合独立交易原则（§ 1 AStG）。协议、工时记录和价格测算应在入账前准备就绪。

GmbH收到来自境外的PHP2Shell相关发票，需要缴纳增值税吗？

通常由GmbH自行承担德国增值税（§ 13b UStG），并在预申报中申报。一般情况下，它可同时将该金额作为进项税抵扣。但申报不可遗漏。

PHP2Shell之后我们要搭建新网店，这笔支出要计提折旧吗？

这取决于合同。税务上，软件只有在有偿取得时才予以资本化（§ 5 Abs. 2 EStG）。购置的网店软件是否适用一年使用年限，并无明确规定。

PHP2Shell数据泄露后的DSGVO罚款可以扣除吗？

不可以。德国境内行政机关、欧盟成员国或欧盟机构处以的罚款不能减少利润（§ 4 Abs. 5 Satz 1 Nr. 8 EStG）。相比之下，依据Art. 82 DSGVO向受影响者支付的损害赔偿原则上属于经营支出。

参考来源

Metehan Kurt

IT顾问 · DAVINCI Rechenzentrum GmbH 总经理

在中型企业及跨国集团IT领域拥有25年以上经验，专长为IT取证。本文经税务师Fatma Tabak专业审核。

作者简介 →

事件之后，发票归类要准确。

我们帮您梳理应急费用、新购置资产和集团服务，让您的德国公司能够规范入账、有据可查。税务评估由我们的合作事务所TABAK Steuerberatung负责。

预约咨询 → 了解服务：税务咨询 →