Fachlich geprüft von Fatma Tabak-Özkul, Steuerberaterin
Stand: Oktober 2026
Seit dem 21. Oktober 2026 warnt das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor zwei kritischen Schwachstellen in PHP, die unter dem Namen „PHP2Shell“ bekannt geworden sind. Nach der Bewertung des BSI könnten Angreifer aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen – ohne Anmeldung und ohne Zutun eines Nutzers. Der Fehler steckt in PHP selbst. Damit sind auch Webshops auf Basis von WooCommerce, Shopware oder Magento angreifbar, selbst wenn der Shop-Code sauber ist.
Wie Sie Ihren Shop technisch prüfen, erklärt das IT-Systemhaus DAVINCI im Beitrag warum PHP2Shell nicht das Shopsystem, sondern den Unterbau trifft und wie Sie WordPress, TYPO3 oder Magento prüfen. Hier geht es um die Fragen, die danach auf dem Tisch der Geschäftsführung liegen: Stimmen die Rechnungen noch? Was gilt für Rechnungen, die jemand anderes in Ihrem Namen verschickt? Wie belegen Sie Ihre Umsätze – und wen müssen Sie wegen der Kundendaten informieren?
Sind die Rechnungen aus Ihrem Shop noch in Ordnung?
Ein Webshop erzeugt Rechnungen automatisch aus Vorlagen, Steuereinstellungen und Nummernkreisen. Wer Code auf dem Server ausführen kann, kann genau diese Daten lesen und verändern. Für Rechnungen an Unternehmen gilt: Sie müssen innerhalb von sechs Monaten nach der Leistung ausgestellt werden (§ 14 Abs. 2 Satz 2 Nr. 1 UStG) und alle Pflichtangaben nach § 14 Abs. 4 UStG enthalten – unter anderem Steuernummer oder USt-IdNr., eine fortlaufende Rechnungsnummer, Entgelt, Steuersatz und Steuerbetrag. Dazu kommt eine Anforderung, die nach einem Angriff besonderes Gewicht bekommt:
Die Echtheit der Herkunft der Rechnung, die Unversehrtheit ihres Inhalts und ihre Lesbarkeit müssen gewährleistet werden. Echtheit der Herkunft bedeutet die Sicherheit der Identität des Rechnungsausstellers. Unversehrtheit des Inhalts bedeutet, dass die nach diesem Gesetz erforderlichen Angaben nicht geändert wurden.
Prüfen Sie deshalb für den Zeitraum ab dem Angriff stichprobenartig, ob Rechnungsvorlagen, Steuersätze, Nummernkreise und Firmendaten unverändert sind. Ist eine Rechnung fehlerhaft, wird sie nach § 31 Abs. 5 UStDV berichtigt: Es genügt ein Dokument, das spezifisch und eindeutig auf die ursprüngliche Rechnung Bezug nimmt und nur die fehlenden oder falschen Angaben enthält. Was bei E-Rechnungen an Geschäftskunden zusätzlich gilt, steht in unserem Beitrag zur fehlerhaften E-Rechnung. Wurde in Rechnungs-PDFs oder Bestellmails die Bankverbindung ausgetauscht, lesen Sie unseren Beitrag zum Rechnungsbetrug mit gefälschter Bankverbindung.
Manipulierter Steuersatz: zu hoch oder zu niedrig
Weist eine Rechnung mehr Umsatzsteuer aus, als Sie gesetzlich schulden, schulden Sie nach § 14c Abs. 1 UStG auch den Mehrbetrag; Sie können ihn gegenüber dem Kunden berichtigen. Für Verkäufe an Privatkunden macht die Finanzverwaltung eine wichtige Ausnahme: Nach dem Umsatzsteuer-Anwendungserlass (Abschnitt 14c.1 Abs. 1a UStAE) entsteht keine Steuer nach § 14c Abs. 1 UStG, wenn die Leistung tatsächlich ausgeführt und die Rechnung an einen Endverbraucher gestellt wurde. Das müssen Sie allerdings glaubhaft darlegen – eine Schätzung des Anteils der Privatkunden ist ausdrücklich ausgeschlossen. Sie brauchen also Bestelldaten, aus denen hervorgeht, wer gekauft hat.
Ist der Steuersatz zu niedrig ausgewiesen, ändert das nichts an der gesetzlichen Steuer: Sie wird aus dem vereinnahmten Betrag herausgerechnet (§ 10 Abs. 1 Satz 2 UStG). Die Differenz geht zu Ihren Lasten.
Nach einem Einbruch in einen Shop wird zuerst nach der Schadsoftware gesucht. Genauso wichtig ist die Frage, welche Einstellungen und Vorlagen der Angreifer verändert hat. Wir vergleichen deshalb Steuerregeln, Rechnungsvorlagen und Zahlungsdaten mit einem Stand von vor dem Angriff – erst dann wissen wir, welche Rechnungen betroffen sind.
Was gilt für Rechnungen, die ein Angreifer in Ihrem Namen verschickt?
Mit Kundendaten und Rechnungsvorlagen lassen sich täuschend echte Rechnungen erstellen. Steuerlich ist dabei § 14c Abs. 2 UStG im Blick zu behalten: Wer in einer Rechnung Umsatzsteuer ausweist, obwohl er dazu nicht berechtigt ist – etwa weil gar keine Lieferung stattgefunden hat –, schuldet den ausgewiesenen Betrag.
Für gefälschte Rechnungen gibt es eine klare Linie der Finanzverwaltung. Wirkt der in der Rechnung als Aussteller Bezeichnete in keiner Weise bei der Erstellung des Dokuments mit, kommt eine Inanspruchnahme nach § 14c Abs. 2 UStG nicht in Betracht (Abschnitt 14c.2 Abs. 4 Satz 4 UStAE, gestützt auf ein Urteil des Bundesfinanzhofs vom 16.03.1993, XI R 103/90). Der Erlass fügt aber hinzu, dass die Grundsätze der Stellvertretung zu berücksichtigen sind – einschließlich Anscheins- und Duldungsvollmacht.
Für die Praxis heißt das: Halten Sie fest, ab wann Sie von gefälschten Rechnungen wussten und was Sie unternommen haben – Kundenwarnung, Strafanzeige, Sperrung von Zugängen. Schwieriger ist der Fall, in dem der Angreifer Ihr eigenes Shopsystem nutzt, um Rechnungen zu erzeugen. Dann stammt das Dokument aus Ihrer Software. Ob es Ihnen zuzurechnen ist, ist eine Frage des Einzelfalls, die sich nur mit den technischen Protokollen beantworten lässt.
Wichtiger Hinweis: Schulden Sie Steuer aus einem unberechtigten Steuerausweis, kann der Betrag nach § 14c Abs. 2 Satz 3 bis 5 UStG berichtigt werden, sobald die Gefährdung des Steueraufkommens beseitigt ist – also der Empfänger keine Vorsteuer gezogen oder sie zurückgezahlt hat. Die Berichtigung müssen Sie beim Finanzamt gesondert schriftlich beantragen.
Gefälschte Rechnungen im Umlauf?
Wir klären mit Ihnen, welche Rechnungen Ihnen steuerlich zuzurechnen sind, und bereiten Berichtigungen und den Antrag beim Finanzamt vor.
✓ Antwort binnen 120 Minuten ✓ kostenlos ✓ unverbindlichWie weisen Sie Umsätze nach, wenn Bestelldaten fehlen?
Buchungen und Aufzeichnungen sind einzeln, vollständig, richtig, zeitgerecht und geordnet vorzunehmen (§ 146 Abs. 1 AO). Für die Umsatzsteuer müssen die Aufzeichnungen die vereinbarten Entgelte erkennen lassen, getrennt nach Steuersätzen und steuerfreien Umsätzen (§ 22 Abs. 2 Nr. 1 UStG). Auch Steuerbeträge, die Sie wegen eines unrichtigen oder unberechtigten Steuerausweises nach § 14c UStG schulden, sind aufzuzeichnen (§ 22 Abs. 2 Nr. 4 UStG).
Wurden Bestellungen gelöscht oder verändert, lassen sich die Umsätze meist aus Quellen außerhalb des Shops nachvollziehen:
| Quelle | Was sie zeigt | Grenze |
|---|---|---|
| Abrechnungen der Zahlungsdienstleister | Zahlungseingänge je Transaktion, Erstattungen, Gebühren | keine Artikel und Steuersätze |
| Abrechnungen von Marktplätzen | Verkäufe, Erstattungen, Gebühren je Bestellung | nur Umsätze über den Marktplatz |
| Kontoauszüge | Überweisungen und Sammelauszahlungen | meist keine Einzelbestellung erkennbar |
| Datensicherung von vor dem Angriff | vollständige Bestelldaten bis zum Sicherungszeitpunkt | Lücke zwischen Sicherung und Entdeckung |
Gleichen Sie diese Quellen mit den Shopdaten ab und dokumentieren Sie jede Abweichung. Welche Folgen Lücken für die Ordnungsmäßigkeit der Buchführung haben, beschreibt unser Beitrag PHP2Shell: Buchhaltung und GoBD.
Für das Finanzamt zählt, was Sie belegen können. Deshalb sichern wir nach einem Vorfall zuerst die Abrechnungen von Zahlungsdienstleistern und Marktplätzen, bevor wir über Korrekturen in der Voranmeldung sprechen.
Verkäufe in andere EU-Staaten über den One-Stop-Shop
Wer Fernverkäufe an Privatkunden in anderen EU-Staaten über das besondere Besteuerungsverfahren (One-Stop-Shop, § 18j UStG) meldet, hat strengere Pflichten. Die Aufzeichnungen sind zehn Jahre lang ab Ende des Jahres, in dem der Umsatz bewirkt wurde, aufzubewahren und auf Anfrage der zuständigen Finanzbehörde im Inland oder im übrigen Gemeinschaftsgebiet elektronisch zur Verfügung zu stellen (§ 22 Abs. 1 Satz 4 UStG). Fehlen nach dem Angriff Bestelldaten, betrifft das also nicht nur Ihr Finanzamt.
Erstattungen und Rückbuchungen richtig erfassen
Nach einem Vorfall kommt es oft zu Stornierungen, Erstattungen und Rückbuchungen. Umsatzsteuerlich greift § 17 UStG:
- Teilerstattung oder Preisnachlass: Ändert sich das Entgelt, berichtigen Sie die geschuldete Steuer (§ 17 Abs. 1 Satz 1 UStG).
- Bezahlt, aber nicht geliefert: Auch dann ist zu berichtigen (§ 17 Abs. 2 Nr. 2 UStG).
- Kauf rückgängig gemacht: etwa nach Rücksendung (§ 17 Abs. 2 Nr. 3 UStG).
- Geld nicht mehr zu bekommen: Wird das Entgelt uneinbringlich, kommt eine Berichtigung nach § 17 Abs. 2 Nr. 1 UStG in Betracht; geht es später doch ein, ist erneut zu berichtigen.
Die Berichtigung erfolgt für den Zeitraum, in dem sich die Bemessungsgrundlage geändert hat (§ 17 Abs. 1 Satz 8, § 18 Abs. 1 Satz 3 UStG), also in der laufenden Umsatzsteuervoranmeldung.
Tipp: Ordnen Sie jede Erstattung eindeutig der ursprünglichen Bestellung zu. Nur so lässt sich später zeigen, welche Korrektur zu welchem Umsatz gehört.
Kundendaten: Wen Sie informieren müssen
Bei einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche diese unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zuständigen Aufsichtsbehörde – es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen (Art. 33 Abs. 1 DSGVO). Bei voraussichtlich hohem Risiko sind auch die betroffenen Kunden unverzüglich zu benachrichtigen (Art. 34 Abs. 1 DSGVO). Den Vorfall müssen Sie in jedem Fall dokumentieren (Art. 33 Abs. 5 DSGVO).
Für Unternehmen in Baden-Württemberg ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Aufsichtsbehörde; er bietet für Meldungen nach Art. 33 DSGVO ein Online-Formular an. Bei PHP2Shell sollten Sie die Meldepflicht ernsthaft prüfen, denn eine der beiden Schwachstellen kann nach Angaben von Sicherheitsforschern zusätzlich Speicherinhalte wie Passwörter und Schnittstellenschlüssel preisgeben. Ablauf, Fristen und Inhalt der Meldung erläutert DAVINCI im Beitrag wann ein Datenschutzvorfall gemeldet werden muss und was die Meldung enthält. Die rechtliche Bewertung im Einzelfall gehört zu Ihrem Datenschutzbeauftragten oder einem Rechtsanwalt.
Weiterlesen: PHP2Shell-Schaden steuerlich absetzen, monatliche Buchhaltung, Vorsteuerabzug im Glossar und so arbeitet unsere digitale Kanzlei.
Häufige Fragen
Mein Webshop war von PHP2Shell betroffen – sind meine Rechnungen noch gültig?
Rechnungen bleiben gültig, wenn die Pflichtangaben nach § 14 Abs. 4 UStG stimmen. Weil ein Angreifer Vorlagen, Steuersätze oder Bankdaten verändert haben kann, sollten Sie die Rechnungen ab dem Angriffszeitpunkt prüfen. Fehlerhafte Rechnungen berichtigen Sie nach § 31 Abs. 5 UStDV mit einem Dokument, das sich eindeutig auf die ursprüngliche Rechnung bezieht.
Muss ich Umsatzsteuer aus gefälschten Rechnungen zahlen, die Angreifer in meinem Namen verschickt haben?
Nach Abschnitt 14c.2 Abs. 4 UStAE kommt eine Inanspruchnahme nach § 14c Abs. 2 UStG nicht in Betracht, wenn der als Aussteller Bezeichnete in keiner Weise an der Erstellung mitgewirkt hat. Zu berücksichtigen sind aber die Grundsätze der Anscheins- und Duldungsvollmacht. Dokumentieren Sie deshalb, ab wann Sie von den Fälschungen wussten und was Sie dagegen unternommen haben.
Wie weise ich Umsätze nach, wenn nach dem Angriff Bestelldaten im Shop fehlen?
Die Aufzeichnungen müssen die Entgelte getrennt nach Steuersätzen erkennen lassen (§ 22 Abs. 2 Nr. 1 UStG). Fehlen Bestelldaten, helfen Abrechnungen von Zahlungsdienstleistern und Marktplätzen, Kontoauszüge und Datensicherungen von vor dem Angriff. Gleichen Sie diese Quellen ab und dokumentieren Sie jede Abweichung.
Muss ich einen PHP2Shell-Angriff auf meinen Shop der Datenschutzbehörde melden?
Wenn personenbezogene Daten betroffen sind, ist der Vorfall unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Aufsichtsbehörde zu melden, es sei denn, er führt voraussichtlich nicht zu einem Risiko (Art. 33 DSGVO). In Baden-Württemberg ist das der Landesbeauftragte für den Datenschutz und die Informationsfreiheit. Wie die Meldung abläuft, erklärt DAVINCI zur Meldung von Datenschutzvorfällen.
Wie korrigiere ich die Umsatzsteuer bei Erstattungen an Kunden nach einem Shop-Vorfall?
Ändert sich das Entgelt, wird ein bezahlter Auftrag nicht ausgeführt oder ein Kauf rückgängig gemacht, berichtigen Sie die Umsatzsteuer nach § 17 UStG. Die Berichtigung gehört in den Voranmeldungszeitraum, in dem die Änderung eingetreten ist (§ 17 Abs. 1 Satz 8, § 18 Abs. 1 Satz 3 UStG).
Quellen
- BSI-Cybersicherheitswarnung: PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit (21.10.2026)
- php.net – Sicherheitsupdates PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35
- § 14 UStG – Ausstellung von Rechnungen
- § 14c UStG – Unrichtiger oder unberechtigter Steuerausweis
- § 10 UStG – Bemessungsgrundlage
- § 17 UStG – Änderung der Bemessungsgrundlage
- § 18 UStG – Besteuerungsverfahren (Voranmeldung)
- § 18j UStG – Besonderes Besteuerungsverfahren (One-Stop-Shop, EU-Regelung)
- § 22 UStG – Aufzeichnungspflichten
- § 31 UStDV – Angaben in der Rechnung
- § 146 AO – Ordnungsvorschriften für die Buchführung und für Aufzeichnungen
- BMF: Umsatzsteuer-Anwendungserlass, konsolidierte Fassung (Stand 2. Juni 2026), Abschnitte 14c.1 und 14c.2
- BZSt: One-Stop-Shop, EU-Regelung (Aufzeichnungspflichten)
- Verordnung (EU) 2016/679 (DSGVO), Art. 33 und 34
- LfDI Baden-Württemberg: Aufgaben und Zuständigkeiten
- LfDI Baden-Württemberg: Für Verantwortliche – Datenpanne melden
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine steuerliche Beratung im Einzelfall. Rechtsstand siehe oben; Gesetze, BMF-Schreiben und Rechtsprechung können sich ändern.
TABAK Steuerberatung
Augustaanlage 33, 68165 Mannheim
Inhaberin und Steuerberaterin: Fatma Tabak-Özkul
