Fachlich geprüft von Fatma Tabak-Özkul, Steuerberaterin
Stand: Oktober 2026
Am 21. Oktober 2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor zwei Schwachstellen in PHP gewarnt, CVE-2026-109618 und CVE-2026-109619, die unter dem Namen „PHP2Shell“ bekannt geworden sind. Die Bewertung liegt bei 9,2 von 10 Punkten: Angreifer könnten aus der Ferne Schadcode auf Webservern ausführen, ohne Anmeldung und ohne Zutun eines Nutzers. Sicherheitsfirmen melden erste Angriffsversuche. Für viele Unternehmen heißt das jetzt: Notfall-Update am Abend, Prüfung auf Hintertüren, im ungünstigen Fall ein neuer Webshop.
Was technisch zu tun ist, erklärt DAVINCI im Beitrag welche Sofortmaßnahmen nach PHP2Shell nötig sind. Hier geht es um die Frage danach: Welche Kosten mindern Ihren Gewinn sofort, was muss aktiviert werden – und was trägt das Finanzamt nicht mit?
Kann ich die Kosten eines Hackerangriffs absetzen?
Ja, im Regelfall vollständig. Betriebsausgaben sind nach § 4 Abs. 4 EStG alle Aufwendungen, die durch den Betrieb veranlasst sind. Wird Ihre Website, Ihr Shop oder Ihr Server angegriffen, sind die Kosten für Abwehr und Beseitigung betrieblich veranlasst. Dazu gehören typischerweise:
- das Notfall-Update von PHP durch Ihren IT-Dienstleister oder Hoster,
- die forensische Untersuchung, ob Angreifer eingedrungen sind und Daten abgeflossen sein können,
- Bereinigung, Wiederherstellung aus der Datensicherung und der Austausch von Passwörtern und Zugangsschlüsseln,
- Beratung zur Frage, ob ein meldepflichtiger Datenschutzvorfall vorliegt.
Wird eine bestehende Website nur bereinigt und auf den alten Stand gebracht, entsteht kein neues Wirtschaftsgut. Herstellungskosten liegen nach § 255 Abs. 2 HGB nur vor, wenn etwas hergestellt, erweitert oder über den ursprünglichen Zustand hinaus wesentlich verbessert wird. Die Reparatur ist also laufender Aufwand.
Der Zeitpunkt hängt von Ihrer Gewinnermittlung ab. Mit Einnahmenüberschussrechnung zählen Ausgaben in dem Jahr, in dem Sie zahlen (§ 11 Abs. 2 EStG). Bilanzierende Unternehmen erfassen Aufwand unabhängig vom Zahlungstag in dem Geschäftsjahr, zu dem er gehört (§ 252 Abs. 1 Nr. 5 HGB).
Aus den Rechnungen der Dienstleister können Sie die Umsatzsteuer als Vorsteuer abziehen (§ 15 Abs. 1 Satz 1 Nr. 1 UStG). Voraussetzung ist eine ordnungsgemäße Rechnung nach §§ 14, 14a UStG – mit Umfang und Art der Leistung und dem Leistungszeitpunkt. Ein Sammelposten „IT-Notfall pauschal“ ist dafür eine schwache Grundlage.
Nach einem Angriff landet oft alles auf einer Rechnung: Update, Bereinigung, neue Firewall, neues Design. Technisch ist das ein Projekt, steuerlich sind es mindestens drei verschiedene Dinge. Wer Sofortmaßnahmen, Wiederherstellung und echte Neuerungen schon im Auftrag trennt, muss später nichts mühsam aufteilen.
Neue Website oder neuer Shop: Aufwand oder Anschaffung?
Anders liegt es, wenn Sie den Vorfall zum Anlass nehmen, Website oder Shop neu aufzubauen. Computerprogramme – und damit auch die Software hinter Shop und Website – zählen zu den immateriellen Wirtschaftsgütern (H 5.5 EStH). Für sie gilt in der Steuerbilanz eine klare Regel: Ein Aktivposten ist nur anzusetzen, wenn sie entgeltlich erworben wurden (§ 5 Abs. 2 EStG).
- Selbst geschaffen: Bauen eigene Mitarbeiter die neue Website, sind die Kosten steuerlich sofort Aufwand. Kein entgeltlicher Erwerb liegt nach H 5.5 EStH auch bei Honoraren für Dienstleistungen vor, mit denen ein im Betrieb selbst geschaffener Wert entsteht. Handelsrechtlich dürfen selbst geschaffene immaterielle Vermögensgegenstände dagegen aktiviert werden (§ 248 Abs. 2 HGB) – ein Wahlrecht, das im Jahresabschluss bewusst ausgeübt werden sollte.
- Entgeltlich erworben: Kaufen Sie ein fertiges Shopsystem oder lassen Sie sich gegen Entgelt ein Programm übertragen, wird aktiviert und über die Nutzungsdauer abgeschrieben.
Wo bei einer Agentur-Website die Grenze zwischen Dienstleistung und Erwerb liegt, entscheidet der Vertrag. Diese Prüfung lohnt sich vor der Unterschrift, nicht erst beim Jahresabschluss.
Gilt die einjährige Nutzungsdauer auch für Websites?
Das BMF-Schreiben vom 22.02.2022 erlaubt für Computerhardware und für „Betriebs- und Anwendersoftware zur Dateneingabe und -verarbeitung“ eine Nutzungsdauer von einem Jahr. Als Beispiele nennt es ERP-Software, Warenwirtschaft und sonstige Anwendungssoftware zur Unternehmensverwaltung oder Prozesssteuerung. Es wird nicht beanstandet, wenn die Abschreibung im Anschaffungsjahr in voller Höhe vorgenommen wird.
Websites und Webshops nennt das Schreiben nicht. Ob eine erworbene Shopsoftware unter den Software-Begriff fällt, ist damit nicht ausdrücklich geregelt und hängt vom Einzelfall ab. Das klären wir mit Ihnen, bevor die Abschreibung gebucht wird.
War die alte Website aktiviert und wird sie wegen des Angriffs aufgegeben, prüfen wir außerdem eine Absetzung für außergewöhnliche Abnutzung (§ 7 Abs. 1 Satz 7 EStG) für den Restbuchwert.
Neue Website nach dem Angriff geplant?
Wir prüfen Angebot und Vertrag, bevor Sie unterschreiben – damit klar ist, was sofort abziehbar ist und was abgeschrieben werden muss.
✓ Antwort binnen 120 Minuten ✓ kostenlos ✓ unverbindlichNeue Hardware: sofort, ein Jahr oder degressiv?
Oft wird nach einem Vorfall auch Hardware ersetzt. Hier gibt es drei Wege:
| Fall | Steuerliche Behandlung | Grundlage |
|---|---|---|
| Einzelnes Gerät bis 800 € netto, selbständig nutzbar | Sofortabzug in voller Höhe möglich | § 6 Abs. 2 EStG |
| Computer, Notebooks, Workstations, Small-Scale-Server, Peripherie | Nutzungsdauer von einem Jahr möglich | BMF vom 22.02.2022, Rz. 1–4 |
| Übrige bewegliche Anlagegüter, z. B. eine Firewall-Appliance | Nutzungsdauer nach allgemeinen Regeln; bei Anschaffung Juli 2025 bis Dezember 2027 degressiv bis 30 % | § 7 Abs. 2 EStG |
Die Aufzählung der Geräte im BMF-Schreiben ist abschließend, nur bei Peripheriegeräten nicht (Rz. 4). Netzwerkgeräte wie Firewalls nennt das Schreiben nicht. Für sie kommt die degressive Abschreibung in Betracht – Rechenbeispiele finden Sie in unserem Beitrag Degressive AfA 30 %. Für Software und Websites als immaterielle Wirtschaftsgüter gilt sie nicht: Bewegliche Wirtschaftsgüter können nur Sachen, Tiere und Scheinbestandteile sein (R 7.1 Abs. 2 EStR).
Ist die Zahlung der Cyberversicherung steuerpflichtig?
Betriebseinnahmen sind nach H 4.7 EStH alle Zugänge in Geld oder Geldeswert, die durch den Betrieb veranlasst sind. Ersetzt eine betriebliche Cyberversicherung Forensik, Wiederherstellung oder Ertragsausfall, ist die Zahlung deshalb zu versteuern. Unterm Strich gleicht sie die abgezogenen Kosten aus – aber nicht immer im selben Jahr:
- Einnahmenüberschussrechnung: Die Versicherungsleistung zählt im Jahr des Zuflusses (§ 11 Abs. 1 Satz 1 EStG). Kosten im Oktober 2026, Erstattung im Februar 2027 – dann mindert der Aufwand 2026, die Erstattung erhöht 2027.
- Bilanz: Gewinne sind nur zu berücksichtigen, wenn sie am Abschlussstichtag realisiert sind (§ 252 Abs. 1 Nr. 4 HGB). Ob der Anspruch gegen den Versicherer zum Stichtag schon erfasst werden darf, klären wir vor dem Abschluss anhand des Regulierungsstands.
Ob der Versicherer zahlt, hängt auch davon ab, ob Sie die vertraglichen Obliegenheiten erfüllt haben. Welche Pflichten Policen typischerweise enthalten, beschreibt DAVINCI unter Obliegenheiten und Meldeweg der Cyberversicherung.
DSGVO-Bußgeld und Schadenersatz: Was nicht abziehbar ist
Sind beim Angriff personenbezogene Daten abgeflossen, drohen zwei Arten von Zahlungen, die steuerlich völlig unterschiedlich behandelt werden. Für Bußgelder gilt ein gesetzliches Abzugsverbot:
Geldbußen, Ordnungsgelder und Verwarnungsgelder, die von einem Gericht oder einer Behörde im Geltungsbereich dieses Gesetzes oder von einem Mitgliedstaat oder von Organen der Europäischen Union festgesetzt wurden sowie damit zusammenhängende Aufwendungen.
DSGVO-Bußgelder verhängt die Datenschutz-Aufsichtsbehörde (Art. 83 DSGVO). Sie mindern den Gewinn nicht. Nach dem Wortlaut erfasst das Verbot auch damit zusammenhängende Aufwendungen – welche Kosten im Einzelfall dazugehören, prüfen wir anhand der Rechnungen.
Anders ist Schadenersatz an betroffene Kunden nach Art. 82 DSGVO. Er ist keine Geldbuße, fällt also nicht unter das Abzugsverbot und ist als betrieblich veranlasste Aufwendung grundsätzlich Betriebsausgabe. Bilanzierende Unternehmen bilden für ungewisse Verbindlichkeiten, etwa geltend gemachte Ansprüche, eine Rückstellung (§ 249 Abs. 1 HGB), die über § 5 Abs. 1 EStG grundsätzlich auch steuerlich wirkt.
Ein Hackerangriff ist steuerlich kein Sonderfall: Was der Betrieb für Abwehr und Beseitigung ausgibt, ist Betriebsausgabe. Schwierig wird es bei den Grenzen – zwischen Reparatur und neuer Website, zwischen Schadenersatz und Bußgeld. Diese Grenzen ziehen wir anhand von Rechnungen und Verträgen, nicht pauschal.
So dokumentieren Sie die Kosten richtig
Tipp: Legen Sie für den Vorfall sofort ein eigenes Konto oder eine Kostenstelle an, etwa „IT-Sicherheitsvorfall Oktober 2026“. Das hilft beim Jahresabschluss und beim Versicherer gleichermaßen.
- Jede Rechnung mit konkreter Leistungsbeschreibung und Leistungsdatum anfordern.
- Wiederherstellung des alten Stands und echte Neuerungen getrennt beauftragen und abrechnen lassen.
- Zeitpunkt der Entdeckung, ergriffene Maßnahmen und Forensikbericht zusammen ablegen.
- Korrespondenz mit Versicherer und Aufsichtsbehörde dem Vorgang zuordnen.
Wichtiger Hinweis: Ob Ihre Buchhaltungsdaten selbst betroffen sind und was das für Aufbewahrung und GoBD bedeutet, behandeln wir in PHP2Shell: Buchhaltung und GoBD. Fragen zu Rechnungen und Umsatzsteuer im Onlineshop klärt der Beitrag Webshop von PHP2Shell betroffen.
Weiterlesen: Betriebsausgaben im Steuer-Glossar, Abschreibung einfach erklärt und unser Grenzsteuersatz-Rechner, der zeigt, wie viel Steuer ein zusätzlicher Euro Betriebsausgabe spart.
Häufige Fragen
Kann ich die Kosten eines Hackerangriffs von der Steuer absetzen?
Ja. Kosten für Abwehr und Beseitigung eines Angriffs auf Website, Shop oder Server sind betrieblich veranlasst und damit Betriebsausgaben (§ 4 Abs. 4 EStG). Aus ordnungsgemäßen Dienstleisterrechnungen können Sie zusätzlich die Vorsteuer abziehen (§ 15 UStG). Nicht abziehbar sind dagegen behördlich festgesetzte Bußgelder.
Sind die Kosten für das PHP2Shell-Notfall-Update Betriebsausgaben?
Ja. Update, Bereinigung und Wiederherstellung bringen die bestehende Website auf den alten Stand zurück und schaffen kein neues Wirtschaftsgut. Herstellungskosten setzen nach § 255 Abs. 2 HGB eine Herstellung, Erweiterung oder wesentliche Verbesserung über den ursprünglichen Zustand hinaus voraus.
Wie schreibe ich eine neue Website nach einem Hackerangriff ab?
Selbst geschaffene Websites dürfen steuerlich nicht aktiviert werden; die Kosten sind sofort Aufwand (§ 5 Abs. 2 EStG). Entgeltlich erworbene Software wird aktiviert und abgeschrieben. Ob die einjährige Nutzungsdauer aus dem BMF-Schreiben vom 22.02.2022 gilt, ist für Websites nicht ausdrücklich geregelt und eine Frage des Einzelfalls.
Muss ich die Zahlung der Cyberversicherung versteuern?
Ja. Leistungen einer betrieblichen Versicherung sind Betriebseinnahmen, weil sie durch den Betrieb veranlasst sind (H 4.7 EStH). Bei Einnahmenüberschussrechnung zählt das Jahr des Zuflusses (§ 11 EStG), bei Bilanzierung der Zeitpunkt, zu dem der Anspruch realisiert ist (§ 252 Abs. 1 Nr. 4 HGB).
Kann ich ein DSGVO-Bußgeld nach einem Datenleck absetzen?
Nein. Geldbußen, die eine Behörde im Inland oder ein Organ der EU festgesetzt hat, und damit zusammenhängende Aufwendungen dürfen den Gewinn nicht mindern (§ 4 Abs. 5 Satz 1 Nr. 8 EStG). Schadenersatz an betroffene Personen nach Art. 82 DSGVO ist dagegen keine Geldbuße und grundsätzlich als Betriebsausgabe abziehbar.
Quellen
- § 4 EStG – Gewinnbegriff, Betriebsausgaben, Abzugsverbot für Geldbußen
- § 5 EStG – Gewinn bei Kaufleuten (immaterielle Wirtschaftsgüter)
- § 6 EStG – Bewertung (geringwertige Wirtschaftsgüter)
- § 7 EStG – Absetzung für Abnutzung
- § 11 EStG – Vereinnahmung und Verausgabung
- § 15 UStG – Vorsteuerabzug
- § 248 HGB – Bilanzierungsverbote und -wahlrechte
- § 249 HGB – Rückstellungen
- § 252 HGB – Allgemeine Bewertungsgrundsätze
- § 255 HGB – Bewertungsmaßstäbe (Herstellungskosten)
- BMF-Schreiben vom 22.02.2022 – Nutzungsdauer von Computerhardware und Software (Amtliches EStH 2025, Anhang 1 V.)
- Amtliches EStH 2025 – H 4.7 Betriebseinnahmen und -ausgaben
- Amtliches EStH 2025 – H 5.5 Immaterielle Wirtschaftsgüter
- Amtliches EStH 2025 – R 7.1 Abnutzbare Wirtschaftsgüter
- Verordnung (EU) 2016/679 (DSGVO), Art. 82 und 83
- BSI-Cybersicherheitswarnung vom 21.10.2026 zu CVE-2026-109618 und CVE-2026-109619
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine steuerliche Beratung im Einzelfall. Rechtsstand siehe oben; Gesetze, BMF-Schreiben und Rechtsprechung können sich ändern.
TABAK Steuerberatung
Augustaanlage 33, 68165 Mannheim
Inhaberin und Steuerberaterin: Fatma Tabak-Özkul
