Fachlich geprüft von Fatma Tabak-Özkul, Steuerberaterin
Stand: Oktober 2026
PHP2Shell ist der Name für zwei kritische Sicherheitslücken in PHP, der Programmiersprache, auf der viele Websites, Webshops und Web-Anwendungen laufen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) verweist auf eine Bewertung von 9.2 von 10 Punkten: Angreifer könnten aus der Ferne Schadcode auf Webservern ausführen, ohne Anmeldung und ohne Zutun eines Nutzers. Die Patches erschienen am 21. Oktober 2026.
Wie Sie Ihre Server prüfen und absichern, ist eine technische Frage. Dieser Beitrag beantwortet die andere: Was bedeutet ein mögliches Eindringen für Ihre Buchhaltung, wenn Webshop, Warenwirtschaft, webbasierte Kasse, Rechnungsprogramm oder Dokumentenablage auf PHP laufen? Und was müssen Sie gegenüber dem Finanzamt belegen können?
Warum betrifft PHP2Shell auch Ihre Buchhaltung?
Die Fehler stecken in PHP selbst, nicht in einer einzelnen Anwendung. Sicherheitsforscher haben gezeigt, dass Angreifer ohne Anmeldung Code ausführen können, unter anderem auf WordPress, Magento, Nextcloud und phpMyAdmin; Shops auf WooCommerce oder Shopware sind auch dann angreifbar, wenn ihr eigener Code fehlerfrei ist. Sicherheitsfirmen melden seit dem 21. Oktober erste Angriffsversuche; bestätigte Ausnutzungen waren dem BSI zum Zeitpunkt seiner Warnung noch nicht bekannt.
Steuerlich ist das relevant, weil die GoBD den Begriff des Datenverarbeitungssystems weit fassen. Dazu gehören neben der Finanzbuchhaltung ausdrücklich Vor- und Nebensysteme wie Kassensystem, Warenwirtschaft, Zahlungsverkehr, Fakturierung, Archivsystem und Dokumenten-Management-System – egal ob auf eigener Hardware oder in der Cloud (GoBD Rz. 20). Ein Webshop, der Bestellungen erfasst und Rechnungen erzeugt, erfüllt genau diese Funktionen.
Wer über eine solche Lücke Code auf dem Server ausführen kann, kann dort Dateien lesen und schreiben und erreicht häufig die Zugangsdaten zur Datenbank. Das reicht für Datenabfluss und Manipulationen. Ob Ihre Systeme überhaupt betroffen sind, lässt sich mit wenigen Fragen eingrenzen; DAVINCI beschreibt das im Beitrag Bin ich von PHP2Shell betroffen?.
Welche GoBD-Pflichten berührt ein Eindringen?
Unveränderbarkeit. Eine Buchung oder Aufzeichnung darf nicht so verändert werden, dass der ursprüngliche Inhalt nicht mehr feststellbar ist (§ 146 Abs. 4 AO). Das DV-Verfahren muss gewährleisten, dass einmal erfasste Belege, Grundaufzeichnungen und Buchungen nicht ohne Kenntlichmachung überschrieben, gelöscht oder verfälscht werden können (GoBD Rz. 108). Hatte ein Angreifer Schreibzugriff, lässt sich ohne weitere Prüfung nicht ausschließen, dass Daten unprotokolliert verändert wurden.
Schutz vor Verlust und unberechtigten Änderungen. Die GoBD verlangen, das System gegen Verlust zu sichern und gegen unberechtigte Eingaben und Veränderungen zu schützen (Rz. 103). Die Folge mangelnden Schutzes beschreibt das BMF unmissverständlich:
Werden die Daten, Datensätze, elektronischen Dokumente und elektronischen Unterlagen nicht ausreichend geschützt und können deswegen nicht mehr vorgelegt werden, so ist die Buchführung formell nicht mehr ordnungsmäßig.
Welche Rechtsfolgen sich daraus ergeben, hängt nach Rz. 105 vom Einzelfall ab. Ein Automatismus zur Verwerfung der Buchführung ist das nicht.
Aufbewahrung und Datenzugriff. Bücher und Aufzeichnungen sind zehn Jahre, Buchungsbelege acht Jahre aufzubewahren (§ 147 Abs. 3 AO). Elektronische Unterlagen müssen während der gesamten Frist jederzeit verfügbar, unverzüglich lesbar und maschinell auswertbar sein (§ 147 Abs. 2 Nr. 2 AO). In der Außenprüfung kann das Finanzamt Einsicht nehmen oder Auswertungen und Datenübertragungen verlangen (§ 147 Abs. 6 AO) – ausdrücklich auch für die Daten aller Vor- und Nebensysteme (GoBD Rz. 159). Fehlen die Shop- oder Kassendaten eines Zeitraums, fehlt genau das, was der Prüfer anfordert.
Verdacht auf einen Vorfall in Shop oder Warenwirtschaft?
Wir prüfen mit Ihnen, welche Buchführungsdaten betroffen sein können, wie sie sich belegen lassen und was in die Verfahrensdokumentation gehört.
✓ Antwort binnen 120 Minuten ✓ kostenlos ✓ unverbindlichBeweiskraft und Schätzung: Worum es in der Betriebsprüfung geht
Eine Buchführung, die den Vorschriften der §§ 140 bis 148 AO entspricht, ist der Besteuerung zugrunde zu legen (§ 158 Abs. 1 AO). Das gilt nicht, soweit nach den Umständen des Einzelfalls Anlass besteht, ihre sachliche Richtigkeit zu beanstanden (§ 158 Abs. 2 Nr. 1 AO). Ein Angriff auf das System, aus dem die Umsätze stammen, kann ein solcher Anlass sein – besonders, wenn niemand sagen kann, welche Daten in welchem Zeitraum verändert worden sein könnten.
Kann die Finanzbehörde die Besteuerungsgrundlagen nicht ermitteln, schätzt sie (§ 162 Abs. 1 AO). Das gilt insbesondere, wenn Bücher oder Aufzeichnungen nicht vorgelegt werden können oder nach § 158 Abs. 2 AO nicht zugrunde gelegt werden (§ 162 Abs. 2 AO). Bei der Schätzung sind aber alle Umstände zu berücksichtigen, die für sie von Bedeutung sind. Genau hier setzt eine saubere Rekonstruktion an.
| Pflicht | Norm | Was ein Eindringen bedeuten kann |
|---|---|---|
| Unveränderbarkeit | § 146 Abs. 4 AO, GoBD Rz. 108 | unprotokollierte Änderungen nicht ausgeschlossen |
| Schutz vor Verlust | GoBD Rz. 103, 104 | gelöschte oder verschlüsselte Daten nicht mehr vorlegbar |
| Aufbewahrung, Datenzugriff | § 147 Abs. 2, 3, 6 AO | Lücken in Shop-, Kassen- oder Rechnungsdaten |
| Beweiskraft | § 158 AO | Anlass, die sachliche Richtigkeit zu beanstanden |
| Schätzung | § 162 AO | Schätzung der Besteuerungsgrundlagen für den betroffenen Zeitraum |
Wie Sie Daten nach einem Vorfall rekonstruieren und belegen
Am Anfang steht ein Datum: der früheste Zeitpunkt, ab dem das System nicht mehr als vertrauenswürdig gilt. Wie IT-Forensiker diesen Zeitpunkt bestimmen und warum eine gefundene Schaddatei nicht sofort gelöscht werden sollte, erklärt DAVINCI unter Webshell gefunden – die richtige Reihenfolge. Bei PHP2Shell wurden technische Details bereits am 20. Oktober 2026 öffentlich, also vor dem Patch.
- Daten bis zum Stichtag stammen aus einer Datensicherung von vor dem Vorfall. Sie sollte eindeutig datiert sein, damit sich nachweisen lässt, dass sie unberührt ist.
- Daten ab dem Stichtag gleichen Sie gegen Quellen außerhalb des betroffenen Systems ab: Bankumsätze, Abrechnungen von Zahlungsdienstleistern und Marktplätzen, versandte Rechnungen im E-Mail-Postfach, Lieferscheine.
- Nachträgliche Erfassungen kennzeichnen: Spätere Änderungen sind so vorzunehmen, dass der ursprüngliche Inhalt und die Tatsache der Änderung erkennbar bleiben (GoBD Rz. 111). Rekonstruierte Daten dürfen nicht aussehen, als wären sie ursprünglich so erfasst worden (§ 146 Abs. 4 Satz 2 AO).
- Den Abgleich aufbewahren: Welche Quelle, welcher Zeitraum, welche Abweichungen – das ist Ihr Beleg, wenn der Prüfer fragt.
Nach einem Angriff bestimmen wir zuerst, ab wann ein System nicht mehr vertrauenswürdig ist. Dieses Datum ist auch für die Buchhaltung die wichtigste Zahl: Alles davor kann aus einer sauberen Sicherung kommen, alles danach muss gegen Bank- und Zahlungsdaten abgeglichen werden.
Tipp: Laden Sie die Abrechnungen Ihrer Zahlungsdienstleister und Marktplätze für Oktober 2026 schon jetzt herunter und legen Sie sie getrennt vom Shop-Server ab. Warum eine Sicherung dafür allein nicht genügt, steht im Beitrag Datensicherung ist kein Archiv.
Muss ich den Vorfall dem Finanzamt melden?
Eine allgemeine Pflicht, dem Finanzamt einen Angriff oder Datenverlust von sich aus anzuzeigen, enthalten weder die Abgabenordnung noch die GoBD. Handeln müssen Sie aber in zwei Situationen:
- Falsche Erklärung erkannt: Stellen Sie fest, dass eine bereits abgegebene Erklärung, etwa eine Umsatzsteuer-Voranmeldung, wegen manipulierter Daten unrichtig ist und es dadurch zu einer Steuerverkürzung kommen kann, sind Sie verpflichtet, dies unverzüglich anzuzeigen und richtigzustellen (§ 153 Abs. 1 AO).
- Außenprüfung: In Prüfungen, die nach dem 31.12.2024 angeordnet wurden, kann nach einem qualifizierten Mitwirkungsverlangen ein Mitwirkungsverzögerungsgeld von 75 Euro je Kalendertag festgesetzt werden, höchstens für 150 Tage (§ 200a Abs. 2 AO). Davon ist abzusehen, wenn Sie glaubhaft machen, dass die Verzögerung entschuldbar ist. Ist die Mitwirkung unmöglich, weil Daten fehlen, sollten Sie darauf unverzüglich hinweisen; andernfalls kann sich die Frist verlängern, in der das Finanzamt die geprüften Steuern festsetzen darf (§ 200a Abs. 4 AO).
Daneben kennt § 146 Abs. 2c AO ein Verzögerungsgeld von 2.500 bis 250.000 Euro, wenn der Datenzugriff nach § 147 Abs. 6 AO nicht eingeräumt wird. Meldungen nach Datenschutzrecht sind eine eigene Frage; was für Kundendaten und Rechnungen im Shop gilt, behandelt der Beitrag Webshop von PHP2Shell betroffen.
Warum der Vorfall in die Verfahrensdokumentation gehört
Die GoBD enthalten keine ausdrückliche Pflicht, einen Sicherheitsvorfall zu dokumentieren. Sie verlangen aber eine Verfahrensdokumentation, die alle System- und Verfahrensänderungen inhaltlich und zeitlich lückenlos dokumentiert (Rz. 150). Änderungen müssen versioniert und historisch nachvollziehbar sein (Rz. 154). Nach einem Angriff ändert sich fast immer etwas: PHP-Version, Neuaufbau des Servers, Rücksicherung, neue Zugangsdaten. Zudem ist anlassbezogen zu prüfen, ob das eingesetzte System noch dem dokumentierten entspricht (Rz. 101).
Halten Sie deshalb fest: Zeitpunkt des Updates, ermittelten Stichtag, betroffene Systeme, verwendeten Sicherungsstand und das Ergebnis des Datenabgleichs. Eine fehlende oder ungenügende Verfahrensdokumentation ist nach Rz. 155 kein formeller Mangel mit sachlichem Gewicht, soweit Nachvollziehbarkeit und Nachprüfbarkeit nicht beeinträchtigt sind – nach einem Angriff ist genau das die offene Frage. Wie Sie die Dokumentation grundsätzlich aufbauen, lesen Sie unter Verfahrensdokumentation erstellen.
Wichtiger Hinweis: Ein Angriff macht Ihre Buchführung nicht automatisch unbrauchbar. Entscheidend ist, ob Sie zeigen können, welche Daten betroffen sein konnten und wie Sie sie wiederhergestellt und abgeglichen haben.
Weiterlesen: E-Rechnungen GoBD-konform archivieren, GoBD im Steuer-Glossar, PHP2Shell-Schaden steuerlich absetzen und Begleitung bei Betriebsprüfungen.
Häufige Fragen
Muss ich dem Finanzamt melden, dass mein Webshop von PHP2Shell betroffen war?
Eine allgemeine Pflicht, einen Angriff oder Datenverlust von sich aus dem Finanzamt anzuzeigen, sehen Abgabenordnung und GoBD nicht vor. Erkennen Sie aber, dass eine abgegebene Erklärung wegen manipulierter Daten unrichtig ist, müssen Sie das nach § 153 AO unverzüglich anzeigen und richtigstellen. Meldungen nach Datenschutzrecht sind davon getrennt zu prüfen.
Ist meine Buchführung nach einem PHP2Shell-Angriff noch GoBD-konform?
Nicht automatisch unbrauchbar, aber angreifbar: Die GoBD verlangen Schutz gegen Verlust und unberechtigte Veränderungen (Rz. 103). Können Daten deswegen nicht mehr vorgelegt werden, ist die Buchführung formell nicht mehr ordnungsmäßig (Rz. 104); die Rechtsfolgen hängen vom Einzelfall ab (Rz. 105). Entscheidend ist, ob Sie Betroffenheit, Wiederherstellung und Abgleich belegen können.
Was passiert, wenn durch PHP2Shell Buchhaltungsdaten verloren gehen?
Können Bücher oder Aufzeichnungen nicht vorgelegt werden, darf das Finanzamt die Besteuerungsgrundlagen schätzen (§ 162 Abs. 2 AO). Dabei sind alle Umstände zu berücksichtigen, die für die Schätzung von Bedeutung sind. Eine dokumentierte Rekonstruktion aus Bankumsätzen, Zahlungsdienstleister-Abrechnungen und Sicherungen von vor dem Vorfall ist deshalb Ihr wichtigstes Argument.
Darf ich nach PHP2Shell eine alte Datensicherung einspielen?
Ja, eine Sicherung von vor dem Vorfall ist die verlässlichste Grundlage. Alles, was danach entstanden ist, sollten Sie gegen Bank- und Zahlungsdaten abgleichen und nacherfassen. Nachträgliche Erfassungen müssen als solche erkennbar bleiben (§ 146 Abs. 4 AO, GoBD Rz. 111). Wie Sie den Stichtag bestimmen, beschreibt DAVINCI unter Webshell gefunden – was jetzt?.
Gehört ein PHP2Shell-Vorfall in die Verfahrensdokumentation?
Eine ausdrückliche Pflicht, Sicherheitsvorfälle zu dokumentieren, enthalten die GoBD nicht. Die Verfahrensdokumentation muss aber alle System- und Verfahrensänderungen inhaltlich und zeitlich lückenlos dokumentieren (Rz. 150) – also auch PHP-Update, Neuaufbau, Rücksicherung und neue Zugangsdaten nach einem Vorfall.
Quellen
- BSI-Cybersicherheitswarnung vom 21.10.2026: PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit
- PHP Group: Sicherheitsversionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35
- § 146 AO – Ordnungsvorschriften für die Buchführung und für Aufzeichnungen
- § 147 AO – Ordnungsvorschriften für die Aufbewahrung von Unterlagen
- § 153 AO – Berichtigung von Erklärungen
- § 158 AO – Beweiskraft der Buchführung
- § 162 AO – Schätzung von Besteuerungsgrundlagen
- § 200a AO – Qualifiziertes Mitwirkungsverlangen
- Art. 97 § 37 EGAO – Anwendung (Modernisierung der Außenprüfung)
- BMF, Amtliches AO-Handbuch 2025, Anhang 33 – GoBD
- BMF-Schreiben vom 14.07.2025 – GoBD, 2. Änderung
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine steuerliche Beratung im Einzelfall. Rechtsstand siehe oben; Gesetze, BMF-Schreiben und Rechtsprechung können sich ändern.
TABAK Steuerberatung
Augustaanlage 33, 68165 Mannheim
Inhaberin und Steuerberaterin: Fatma Tabak-Özkul
