您在境外生产商品，并通过自营网店销售给德国客户？那么您的网店很可能运行在PHP之上，例如使用WooCommerce、Shopware或Magento。自2026年10月21日起，德国联邦信息安全办公室（BSI）就PHP中两个被称为“PHP2Shell”的严重漏洞发出警告。这对您的增值税、发票和客户数据意味着什么？

关于PHP2Shell的已知信息

根据BSI的评估，攻击者可在无需登录、无需用户任何操作的情况下，远程在运行PHP应用的Web服务器上执行恶意代码。漏洞存在于PHP本身，也就是网店的底层平台。网店自身代码再干净也无济于事；唯有更新PHP才能解决问题。截至今日，BSI尚未报告经证实的漏洞利用案例，但安全公司已报告了首批攻击尝试。

能够在服务器上执行代码的人，就能读取和篡改订单、税务设置、发票模板和客户数据。技术层面的检查方法，请参阅DAVINCI的文章 《PHP2Shell之后如何检查WordPress、TYPO3或Magento》（德文）。本文聚焦税务和法律方面的后果。

进入德国市场的方式，决定了由谁采取行动

德国的增值税（Umsatzsteuer）由税务局（Finanzamt）主管。具体是哪个税务局、由谁采取行动，取决于您的企业架构：

架构主管税务局由谁采取行动
德国销售GmbH运营网店GmbH经营企业所在辖区的税务局（§ 21 Abs. 1 Satz 1 AO）GmbH的管理层，即使其常居境外
境外企业直接销售，已在德国办理增值税登记按来源国设立的集中主管税务局，例如美国企业由波恩市中心税务局（Bonn-Innenstadt）主管，土耳其企业由多特蒙德-翁纳税务局（Dortmund-Unna）主管；未列明的国家（如中国）由柏林国际税务局（Berlin International）主管（§ 1 UStZustV）境外企业的管理层

本文涉及的发票和记录规则，在两种情况下均适用。哪种架构适合您的销售业务，请参阅文章 海外生产，德国销售.

发票：来源与内容必须准确无误

网店根据模板、税率和编号规则自动生成发票。遭受攻击后，以下要求就变得至关重要：

“必须确保发票来源的真实性、内容的完整性及其可读性。……内容的完整性是指本法所要求的信息未被更改。”

§ 14 Abs. 3 Satz 1、3 UStG（《德国增值税法》；中文为非官方译文）

为此，法律规定了企业内部控制程序，以在发票与服务之间建立可靠的审计线索。实际上这意味着：发票、付款和出库必须相互吻合。有误的发票，须通过一份明确指向原发票的文件予以更正（§ 31 Abs. 5 UStDV）。

如果税率被篡改

如果发票上列明的增值税过多，原则上您也须缴纳多出的部分（§ 14c Abs. 1 UStG）。对于私人客户，如果服务确已提供，税务机关会作例外处理（UStAE《增值税适用令》第14c.1节第1a款）。但您必须可信地说明哪些发票开给了私人客户，且不允许估算。若没有完整的订单数据，这将十分困难。如果税率过低，则从实际收到的价款中倒算出法定税额（§ 10 Abs. 1 Satz 2 UStG），差额由您承担。

“境外商家的网店往往托管在德国的服务商处，订单流入母公司的ERP，付款则经由第三方服务商处理。事件发生后，这种分散反而是优势：我们将三套数据相互比对，就能准确看出网店在哪些地方已与实际情况不符。”

Metehan Kurt，IT顾问 · DAVINCI Rechenzentrum

以您名义发出的伪造发票

利用窃取的客户数据和模板，可以发出以假乱真的发票。无权开具却列明增值税者，须缴纳该税额（§ 14c Abs. 2 UStG）。但对于伪造行为，税务机关划定了界限：被列为开票方的企业如未以任何方式参与，则不会被追缴（UStAE第14c.2节第4款第4句）。不过须考虑代理规则，包括表见代理和容忍代理。如果企业容忍他人以其名义行事，或本可在尽到应有注意时加以阻止，则在某些情况下须承担相应后果。

因此，请记录您何时得知伪造行为以及采取了哪些措施：警示客户、报案、封锁访问权限。如果攻击者利用您自己的网店系统生成发票，责任归属取决于个案情况和技术日志。

网店数据缺失时如何证明销售额

就增值税而言，您的记录必须能显示按税率分列的对价（§ 22 Abs. 2 Nr. 1 UStG）。如果订单被删除或篡改，网店以外的数据可以提供帮助：

数据缺口对您德国公司的账务有何影响，请参阅文章 PHP2Shell与您德国子公司的账务.

“对税务局而言，凭证才算数，推测不算。因此，我们首先保全支付服务商和电商平台的结算单，据此按税率重建销售额，然后再更正预申报或OSS申报。”

Fatma Tabak，税务师 · TABAK Steuerberatung

一站式申报（OSS）：您的数据也会传给其他欧盟国家

许多商家也从德国向其他欧盟国家的私人客户发货。相关增值税通过联邦中央税务局（BZSt）的一站式申报机制（One-Stop-Shop，OSS）集中申报（§ 18j UStG）；对于来自第三国、价值不超过150欧元的货件，也有类似程序（§ 18k UStG）。相关记录须保存十年，并应要求以电子方式提供，包括提供给其他欧盟国家的主管机关（§ 22 Abs. 1 Satz 4 UStG）。因此，数据缺失并不只是德国国内的问题。屡次未履行记录义务者，将被排除在该程序之外（§ 18j Abs. 6 UStG）。错误可在三年内通过后续申报予以更正（§ 18j Abs. 4 Satz 5 UStG）。

事件发生后的退款

如果因订单取消、未交付或退货而向客户退款，增值税须相应调整（§ 17 Abs. 1、2 UStG）。请将每笔退款与原始订单一一对应。

客户数据：核查是否须在72小时内报告

欧盟《通用数据保护条例》（DSGVO）要求，发生数据泄露时，须立即、并尽可能在72小时内向主管监管机构报告，除非该泄露预计不会给相关人员带来风险（Art. 33 Abs. 1 DSGVO）。如风险较高，还须通知客户（Art. 34 Abs. 1 DSGVO）。每一起事件都须记录在案（Art. 33 Abs. 5 DSGVO）。对于PHP2Shell，这项核查须认真对待：据安全研究人员称，其中一个漏洞还可能泄露内存中的内容，例如密码和访问密钥。

由哪个机构主管，取决于公司所在地。在德国，每个联邦州都设有各自的企业数据保护监管机构（§ 40 Abs. 1 BDSG）；位于曼海姆的销售GmbH，主管机构为巴登-符腾堡州数据保护专员。即使在欧盟没有分支机构，只要您向欧盟客户提供商品，DSGVO同样适用（Art. 3 Abs. 2 DSGVO）。此时，您必须以书面形式指定一名欧盟代表，作为监管机构和客户的联络人（Art. 27 DSGVO）。关于向母公司传输客户数据，请参阅 中德之间的数据传输。具体个案的法律评估，应由您的数据保护官或律师负责。

管理层现在应当推动的事项

  1. 确认已完成更新： 如果您的服务器由托管服务商运营，必须由其更新PHP。仅更新网店本身是不够的。
  2. 保全当前状态： 将网店中的税务设置、发票模板和银行信息，与可能遭受攻击之前的备份进行比对。
  3. 保全结算单： 下载支付服务商和电商平台的导出数据。
  4. 核查数据保护义务： 72小时期限自您知悉数据泄露之时起算。
  5. 厘清税务影响： 与税务顾问协调发票更正、预申报和OSS申报。

我们将这些步骤串联成一套完整流程：IT检查、账务处理，以及与合作事务所TABAK Steuerberatung共同完成的税务评估。我们以中文为您服务——直接沟通，无需中间人。

常见问题

我们从境外通过德国网店销售。PHP2Shell在税务上会影响我们吗？

会，只要您的网店运行在PHP上。攻击者可能篡改发票、税率和订单。无论是通过德国GmbH，还是在主管税务局自行登记，您都仍须对德国增值税义务负责。

PHP2Shell之后有人以我们的名义发出伪造发票，我们须为其中的增值税缴税吗？

如果您未以任何方式参与开具，税务机关不会向您追缴（UStAE第14c.2节第4款）。但表见代理和容忍代理的规则仍然适用。请记录您何时得知此事以及采取了哪些措施。

PHP2Shell之后订单数据缺失，这对一站式申报（OSS）意味着什么？

OSS记录须保存十年，并应要求以电子方式提供，包括提供给其他欧盟国家的主管机关（§ 22 Abs. 1 Satz 4 UStG）。请依据支付和平台结算单重建销售额，并在三年内更正申报。

我们在欧盟没有分支机构。PHP2Shell造成的数据泄露应向谁报告？

只要您向欧盟客户提供商品，DSGVO同样适用于您。您必须已指定一名欧盟代表，作为监管机构的联络人（Art. 27 DSGVO）。请与该代表及您的数据保护顾问确认应向哪个机构报告。

参考来源

Metehan Kurt

IT顾问 · DAVINCI Rechenzentrum GmbH 总经理

在中型企业及跨国集团IT领域拥有25年以上经验，专长为IT取证。本文经税务师Fatma Tabak专业审核。

作者简介 →

网店受影响，还是不确定？

我们与您一起检查网店、发票和销售数据，并与合作事务所TABAK Steuerberatung协调各项更正，必要时也与您在境外的集团IT对接。

沟通事件情况 → 了解服务：税务咨询 →