Fragnesia: Linux-Kernel-Lücke macht aus php2shell-Einbrüchen Root-Zugriff
Die CISA führt die Kernel-Lücke CVE-2026-46300 seit dem 28. Oktober als ausgenutzt, verkettet mit php2shell. Welche Kernel sicher sind und was Sie prüfen sollten.
Weiterlesenvon Wolfscastle, Team
Ab 1. Januar 2027 reicht das PDF an Geschäftskunden für viele Händler nicht mehr. Wer betroffen ist, was als E-Rechnung gilt und was das neue BMF-Schreiben klärt.
Ab dem 1. Januar 2027 reicht das einfache PDF an Geschäftskunden für viele Händler nicht mehr. Wer 2026 mehr als 800.000 Euro Gesamtumsatz macht, muss Rechnungen an andere Unternehmen in Deutschland dann als E-Rechnung ausstellen. Das folgt aus der Übergangsregel in § 27 Abs. 38 UStG. Am 15. Oktober 2026 hat das Bundesfinanzministerium dazu ein drittes Schreiben nachgelegt. Stand dieses Beitrags ist der 30. Oktober 2026. Er informiert und ersetzt keine Steuerberatung.
Für 2027 zählt der Gesamtumsatz nach § 19 Abs. 2 UStG aus dem Jahr 2026. Liegt er bei höchstens 800.000 Euro, dürfen Sie 2027 weiter Papierrechnungen schreiben. Andere elektronische Formate wie das einfache PDF bleiben mit Zustimmung des Empfängers erlaubt. Ab dem 1. Januar 2028 gilt die Pflicht laut IHK Stuttgart für alle inländischen Unternehmen bei Umsätzen untereinander.
Bei einer umsatzsteuerlichen Organschaft zählt der Umsatz des gesamten Organkreises, so das BMF-Schreiben von 2024 in Randnummer 64. Wer über ein EDI-Verfahren abrechnet, also Rechnungsdaten direkt zwischen den Systemen austauscht, darf das mit Zustimmung des Empfängers noch bis Ende 2027 tun.
Die Übergangsregel für 2026 erfasst Umsätze, die bis zum Jahresende ausgeführt sind. Fragen Sie Ihre Steuerberatung, wie Sie Dezember-Lieferungen behandeln, die Sie erst im Januar abrechnen.
Die Pflicht greift nur, wenn Sie und Ihr Kunde im Inland ansässig sind und der Kunde für sein Unternehmen kauft. Rechnungen an Endverbraucher sind ausgenommen. Das gilt laut IHK Stuttgart auch für Fahrausweise, für bestimmte steuerfreie Umsätze und für Kleinunternehmer, die aber E-Rechnungen empfangen können müssen.
Für Shops ist vor allem die Kleinbetragsgrenze wichtig. Rechnungen bis 250 Euro dürfen immer als sonstige Rechnung raus, also etwa als einfaches PDF. Maßgeblich ist nach Randnummer 23 des Schreibens von 2024 der Gesamtbetrag der Rechnung. Bestellt eine Firma aus Deutschland für 300 Euro, ist bei einem Händler über der Umsatzgrenze also eine E-Rechnung fällig.
Eine E-Rechnung muss in einem strukturierten elektronischen Format ausgestellt, übermittelt und empfangen werden, das eine elektronische Verarbeitung ermöglicht. PDF-Dateien ohne integrierte Datensätze, Bilddateien und E-Mails zählen nach Randnummer 7 als „sonstige Rechnung“. Das BMF nennt im Schreiben von 2024 in Randnummer 25 zwei Formate als Beispiele:
ZUGFeRD ist ein hybrides Format und verbindet ein PDF mit einem XML-Datensatz. Für den Vorsteuerabzug zählt laut BMF nur der strukturierte Teil. Für den Versand kommt unter anderem die E-Mail infrage.
Stellen Sie trotz Pflicht eine sonstige Rechnung aus, ist das laut BMF keine Ordnungswidrigkeit nach § 26a UStG. Die Rechnung ist nach dem Schreiben von 2024 aber nicht ordnungsgemäß und berechtigt dem Grunde nach nicht zum Vorsteuerabzug. Sie können sie durch eine E-Rechnung berichtigen, die eindeutig auf die ursprüngliche Rechnung verweist. Das wirkt auf den Zeitpunkt der ersten Rechnung zurück.
Für Händler mit gemischter Kundschaft ist Randnummer 5 des aktuellen Schreibens wichtig. Danach wird ein Verstoß beim Aussteller nicht beanstandet, solange er nicht wusste, dass er an ein Unternehmen liefert. Er darf das auch mit der Sorgfalt eines ordentlichen Kaufmanns nicht erkennen können. Der Vorsteuerabzug des Kunden richtet sich trotzdem nach den allgemeinen Regeln. Das BMF nennt als Beispiel für das Massengeschäft Energieversorger, keinen Onlineshop. Klären Sie deshalb mit Ihrer Steuerberatung, was Angaben wie Firmenname oder USt-IdNr. im Checkout dafür bedeuten.
Das Schreiben ergänzt die Fassungen von 2024 und 2025. Laut der Zusammenfassung von Ebner Stolz sind das die wichtigsten Punkte für den Handel:
Für Bruttopreise gibt es eine eigene Regel. XRechnung und ZUGFeRD haben laut BMF noch kein Bruttorechnungs-Format. Bis zum 31. Dezember 2027 wird deshalb nicht beanstandet, wenn der strukturierte Teil solcher Rechnungen nur Summen je Steuersatz enthält. Die Einzelpositionen stehen dann in einem eingebetteten, menschenlesbaren Anhang. E-Rechnungen, die bis Ende 2026 ausgestellt werden und nur die Schreiben von 2024 und 2025 erfüllen, werden laut PwC nicht beanstandet.
Der Händlerbund empfiehlt, zuerst den Weg der Rechnung zu prüfen, also Shopsystem, Warenwirtschaft und Buchhaltung. Dann fragen Sie den Softwareanbieter nach Update und Termin, ziehen Ihre Steuerberatung hinzu und holen von B2B-Kunden die künftige Empfangsadresse ein.
Für den Empfang brauchen Sie laut BMF nur ein E-Mail-Postfach, die Pflicht gilt schon seit Januar 2025. Den strukturierten Teil müssen Sie in der ursprünglichen Form unveränderbar aufbewahren, und die Finanzverwaltung muss ihn maschinell auswerten können.
Shopware erzeugt ZUGFeRD-Rechnungen laut einer Analyse des Dienstleisters Xictron seit Version 6.6.10.0 in der Standardrechnung, Gutschrift und Storno ab 6.7.9.0. Die Linie 6.5 kann das demnach nicht. Rechnungen aus einem ERP liegen außerhalb dieser Shop-Funktion, und bei steuerfreien EU-Lieferungen fehlt die USt-ID des Käufers in der XML. Für Shopify gibt es im App Store eigene Apps, etwa InvoPass. Wir haben diese Apps nicht getestet.
Im Shopware-Management und bei E-Commerce-Projekten schauen wir mit Ihnen, welches System Ihre Rechnungen erzeugt und ob dort E-Rechnungen herauskommen. Die steuerliche Bewertung bleibt bei Ihrer Steuerberatung.
Wenn Sie nicht sicher sind, ob Ihr Shop im Januar bereit ist, schreiben Sie uns.
Die CISA führt die Kernel-Lücke CVE-2026-46300 seit dem 28. Oktober als ausgenutzt, verkettet mit php2shell. Welche Kernel sicher sind und was Sie prüfen sollten.
WeiterlesenDie US-Behörde CISA führt die Brotli-Lücke CVE-2026-111497 seit dem 27. Oktober als aktiv ausgenutzt. Welche Versionen betroffen sind und was Sie tun sollten.
WeiterlesenWir sind bereit, Ihre digitalen Herausforderungen anzunehmen - ob E-Commerce, Web-App oder komplexes Ökosystem.
Wolfscastle arbeitet vollständig remote, aber immer auf Augenhöhe und mit direkter Kommunikation - ohne Umwege und zwischengeschaltete Projektmanager.