Kurz gesagt: Für die IT-Sicherheit von Steuerberatern ist entscheidend, welche Systeme die Kanzlei selbst betreibt. Großportale von Softwareanbietern liegen in deren Verantwortung, die eigene Website, Upload-Formulare und Datenräume dagegen in Ihrer. Diese gehören jetzt auf gepatchtes PHP, mit Neustart und schriftlichem Nachweis.
Welche Systeme in Steuerkanzleien auf PHP laufen
Für Finanzbuchhaltung und Lohn nutzen die meisten Kanzleien spezialisierte Software und deren Portale. Daneben entstehen über die Jahre eigene Lösungen: ein Upload-Formular auf der Website für Belege, Fragebögen zur Einkommensteuer, eine Seite für neue Mitarbeiter der Mandanten zum Erfassen der Lohnstammdaten, ein Bewerbungsportal oder eine selbst betriebene Nextcloud für große Dateien.
Diese Systeme laufen fast immer auf PHP und werden von einer Agentur, einem Systemhaus oder einem Hoster betreut. Gerade die kleinen Formulare geraten in Vergessenheit, weil sie einmal eingerichtet wurden und seitdem einfach funktionieren. Häufig liegen hochgeladene Belege dann jahrelang im Upload-Ordner des Webservers, obwohl sie längst in der Kanzleisoftware verarbeitet sind.
Welche Daten auf dem Spiel stehen
Steuerkanzleien verarbeiten Daten in einer Dichte, die kaum eine andere Branche erreicht: IBAN und Kontoauszüge, Steuer-IDs, Einkommensnachweise, Gesellschafterlisten und Lohnabrechnungen. Lohndaten enthalten mitunter auch besondere Kategorien nach Art. 9 DSGVO, etwa die Religionszugehörigkeit für die Kirchensteuer.
Hinzu kommt das Berufsgeheimnis: Steuerberaterinnen und Steuerberater sind zur Verschwiegenheit verpflichtet, die unbefugte Offenbarung kann nach § 203 StGB strafbar sein. Und viele Betroffene sind gar nicht Ihre Mandanten, sondern deren Beschäftigte. Bei einem Abfluss wächst der Kreis der Betroffenen damit schnell.
Steuerberater-IT-Sicherheit: was ein Vorfall konkret auslöst
Ein Angriff auf eine Steuerkanzlei hat typische Folgen, die sich von anderen Branchen unterscheiden:
- Betrug mit echten Daten: Wer Rechnungen, Kontoverbindungen und Ansprechpartner kennt, kann täuschend echte Zahlungsaufforderungen an Mandanten schicken.
- Fristendruck: Fällt das Upload-Portal in der Abgabezeit aus, stauen sich Belege, und Mandanten weichen auf unsichere Wege wie unverschlüsselte Mails aus.
- Vertrauen: Mandanten verlassen sich darauf, dass ihre Finanzen vertraulich bleiben. Ein Vorfall, über den sie aus der Presse erfahren, wiegt schwerer als einer, über den die Kanzlei selbst sachlich informiert.
Steht Ihr Upload-Portal auf einem Server, dessen PHP-Patchstand niemand bestätigen kann, nehmen Sie es vom Netz, bis Patch und Neustart nachgewiesen sind. So empfiehlt es das BSI für Server, die nicht sofort aktualisiert werden können.
Die Zuständigkeitslücke zwischen Systemhaus und Agentur
Das Systemhaus betreut Kanzleisoftware und Arbeitsplätze, die Agentur die Website, der Hoster den Server. Wer für PHP auf dem Webserver zuständig ist, steht selten ausdrücklich im Vertrag. Klären Sie das jetzt und lassen Sie sich den Paketstand bestätigen. Wie Sie die Angaben einordnen, erklärt die Anleitung PHP-Version und Patchstand prüfen.
Behobene Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Zeigt eine Oberfläche einen älteren Stand, kann trotzdem ein Backport eingespielt sein. Umgekehrt genügt ein Update ohne Neustart der PHP-Prozesse nicht.
Was Mandanten jetzt von Ihnen wissen sollten
Mandanten reagieren auf Nachrichten über Sicherheitslücken mit Unsicherheit, gerade wenn sie regelmäßig Belege hochladen. Eine kurze, sachliche Information wirkt dann vertrauensbildend: welche Wege für den Belegaustausch aktuell gelten, dass die Kanzlei Kontoverbindungen nie per Mail ändert und dass verdächtige Zahlungsaufforderungen telefonisch rückgefragt werden sollten.
Für Unternehmensmandanten ist ein weiterer Hinweis sinnvoll: Lohnbüros und Personalabteilungen sollten bei Anfragen zu Gehaltsdaten oder geänderten Bankverbindungen von Beschäftigten besonders aufmerksam sein. Solche Betrugsversuche nutzen gern Wissen, das aus Kanzleien stammt. Ob ein konkreter Vorfall eine formelle Benachrichtigung nach DSGVO erfordert, ist eine eigene Frage, die Sie mit Ihrem Datenschutzbeauftragten klären.
Erste Stunden für die Kanzleileitung
- Alle eigenen, aus dem Internet erreichbaren PHP-Systeme auflisten, auch alte Formulare und Testinstallationen.
- Für jedes System Patchstand und Neustart schriftlich bestätigen lassen oder es vorübergehend abschalten.
- Logs ab dem 20.10.2026 sichern und einen sicheren Ersatzweg für den Belegaustausch festlegen.
- Versicherer und Datenschutzbeauftragten früh informieren. Was Ihr Vertrag verlangt, erläutert die Seite zur Cyberversicherung.
Wie hilft PHP SOS konkret?
- Wir erfassen alle extern erreichbaren PHP-Systeme der Kanzlei und klären, welche beim Softwareanbieter und welche bei Ihnen liegen.
- Im Rahmen der PHP2Shell-Soforthilfe patchen wir oder lassen patchen, starten alle Worker neu und belegen das Ergebnis.
- Wir prüfen Upload-Verzeichnisse und Datenbanken auf Webshells und unbekannte Zugriffe.
- Wir räumen auf: Was nicht mehr gebraucht wird, schalten wir in Absprache ab, statt es weiter zu patchen.
- Mit einem Security-Wartungsvertrag bleibt die Verantwortung für PHP danach klar geregelt.
Häufige Fragen
Ist der Belegaustausch über große Software-Portale betroffen?
Portale, die ein Softwareanbieter in seinem eigenen Rechenzentrum betreibt, liegen in dessen Verantwortung. Für deren Patchstand ist der Anbieter zuständig. Betroffen sein können vor allem Systeme, die Ihre Kanzlei selbst oder über eine Agentur betreibt, etwa Website-Formulare, Upload-Seiten oder eine eigene Nextcloud.
Warum sind Daten von Steuerberatern für Angreifer so interessant?
Eine Steuerkanzlei bündelt Daten vieler Unternehmen und Privatpersonen: Bankverbindungen, Einkommen, Steuer-IDs und Lohndaten von Arbeitnehmern. Damit lassen sich glaubwürdige Betrugsmails und Identitätsmissbrauch vorbereiten. Ein einziger Vorfall betrifft so oft Hunderte Menschen, die die Kanzlei nie direkt beauftragt haben.
Was tun, wenn das Portal mitten in der Abgabezeit offline gehen muss?
Legen Sie vorab einen Ersatzweg für den Belegaustausch fest, etwa eine verschlüsselte Übergabe über ein nicht betroffenes System. Informieren Sie Mandanten kurz und sachlich. Fristen und mögliche Fristverlängerungen klären Sie wie gewohnt fachlich, ein offline genommenes Portal ist dafür kein Ersatz für eine Abstimmung.
Zahlt die Cyberversicherung, wenn wir ungepatcht waren?
Das hängt von den Bedingungen und Obliegenheiten Ihres Vertrags ab. Informieren Sie den Versicherer früh und dokumentieren Sie, wann Sie welche Maßnahme ergriffen haben. Verbindliche Auskunft gibt nur der Versicherer oder Ihr Makler.