# It-sikkerhed for skatterådgivere og deres klientportaler > Bilagsupload, klientportal, lønoplysninger: Sådan sikrer skatterådgivere deres PHP-systemer mod PHP2Shell og beskytter klientdata i afleveringsperioden. Kilde: https://phpsos.de/da/branchen/steuerberater/ Status: 25.10.2026 Udbyder: PHP SOS, PHP-nødhjælp og serversikkerhed. Akut hjælp på WhatsApp: https://wa.me/491736494914?text=Hej%20PHP%20SOS%2C%20vi%20har%20brug%20for%20hj%C3%A6lp%20med%20vores%20PHP-server.%20Firma%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6 **Kort sagt:** For it-sikkerheden hos skatterådgivere er det afgørende, hvilke systemer kontoret selv driver. Store portaler fra softwareudbydere er udbydernes ansvar, kontorets eget website, uploadformularer og datarum derimod jeres. Disse hører nu hjemme på patchet PHP, med genstart og skriftlig dokumentation. ## Hvilke systemer på skatterådgiverkontorer der kører på PHP Til finansbogholderi og løn bruger de fleste kontorer specialiseret software og dens portaler. Ved siden af opstår der over årene egne løsninger: en uploadformular på websitet til bilag, spørgeskemaer om indkomstskat, en side til klienternes nye medarbejdere til indtastning af lønstamdata, en ansøgerportal eller en selvdrevet [Nextcloud](https://phpsos.de/da/plattformen/nextcloud/) til store filer. Disse systemer kører næsten altid på PHP og passes af et bureau, et systemhus eller en hostingudbyder. Netop de små formularer går i glemmebogen, fordi de engang blev sat op og siden bare har fungeret. Ofte ligger uploadede bilag så i årevis i webserverens upload-mappe, selv om de for længst er behandlet i kontorets software. ## Hvilke data der står på spil Skatterådgiverkontorer behandler data i en tæthed, som næppe nogen anden branche når: IBAN og kontoudtog, skatte-id'er, indkomstdokumentation, ejerlister og lønsedler. Lønandata indeholder af og til også særlige kategorier efter art. 9 GDPR, f.eks. religiøst tilhørsforhold i forbindelse med kirkeskat. Dertil kommer tavshedspligten: Skatterådgivere er forpligtet til tavshed, og uberettiget videregivelse kan efter § 203 StGB (den tyske straffelov) være strafbar. Og mange berørte er slet ikke jeres klienter, men deres ansatte. Ved et udslip vokser kredsen af berørte dermed hurtigt. ## It-sikkerhed for skatterådgivere: hvad en hændelse konkret udløser Et angreb på et skatterådgiverkontor har typiske følger, der adskiller sig fra andre brancher: - **Svindel med ægte data:** Den, der kender fakturaer, kontoforbindelser og kontaktpersoner, kan sende bedragerisk ægte udseende betalingsopfordringer til klienter. - **Fristpres:** Falder uploadportalen ud i afleveringsperioden, hober bilag sig op, og klienter viger ud til usikre veje som ukrypterede mails. - **Tillid:** Klienter regner med, at deres økonomi forbliver fortrolig. En hændelse, som de erfarer om i pressen, vejer tungere end en, som kontoret selv informerer sagligt om. > **Handl med det samme:** > Står jeres uploadportal på en server, hvis PHP-patchstatus ingen kan bekræfte, så tag den af nettet, indtil rettelse og genstart er dokumenteret. Sådan anbefaler BSI (det tyske forbundsagentur for informationssikkerhed) det for servere, der ikke kan opdateres med det samme. ## Ansvarshullet mellem systemhus og bureau Systemhuset passer kontorets software og arbejdspladser, bureauet websitet, hostingudbyderen serveren. Hvem der er ansvarlig for PHP på webserveren, står sjældent udtrykkeligt i aftalen. Afklar det nu, og lad jer bekræfte pakkestatus. Hvordan I vurderer oplysningerne, forklarer vejledningen [Tjek PHP-version og patchstatus](https://phpsos.de/da/php2shell/php-version-pruefen/). Rettede versioner er PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Viser en brugerflade en ældre version, kan der alligevel være indspillet en backport. Omvendt er en opdatering uden genstart af PHP-processerne ikke nok. ## Hvad klienter nu bør vide fra jer Klienter reagerer på nyheder om sikkerhedssårbarheder med usikkerhed, især hvis de regelmæssigt uploader bilag. En kort, saglig information virker da tillidsskabende: hvilke veje der aktuelt gælder for bilagsudvekslingen, at kontoret aldrig ændrer kontoforbindelser pr. mail, og at mistænkelige betalingsopfordringer bør verificeres pr. telefon. For virksomhedsklienter er endnu en henvisning fornuftig: Lønkontorer og personaleafdelinger bør være særligt opmærksomme ved forespørgsler om lønoplysninger eller ændrede bankforbindelser for ansatte. Sådanne svindelforsøg udnytter gerne viden, der stammer fra kontorer. Om en konkret hændelse kræver en formel underretning efter GDPR, er et eget spørgsmål, som I afklarer med jeres databeskyttelsesrådgiver. ## De første timer for kontorledelsen 1. List alle egne PHP-systemer, der kan nås fra internettet, også gamle formularer og testinstallationer. 2. Lad for hvert system patchstatus og genstart bekræfte skriftligt, eller sluk det midlertidigt. 3. Sikr logs fra 20.10.2026, og fastlæg en sikker erstatningsvej til bilagsudvekslingen. 4. Informér forsikringsselskabet og databeskyttelsesrådgiveren tidligt. Hvad jeres aftale kræver, forklarer siden om [cyberforsikring](https://phpsos.de/da/compliance/cyberversicherung/). ## Hvordan hjælper PHP SOS konkret? - Vi registrerer alle eksternt tilgængelige PHP-systemer på kontoret og afklarer, hvilke der ligger hos softwareudbyderen, og hvilke der ligger hos jer. - Inden for rammerne af [PHP2Shell-akuthjælpen](https://phpsos.de/da/leistungen/php2shell-soforthilfe/) patcher vi eller lader patche, genstarter alle workers og dokumenterer resultatet. - Vi kontrollerer upload-mapper og databaser for webshells og ukendte adgange. - Vi rydder op: Det, der ikke længere bruges, slukker vi i aftale med jer i stedet for fortsat at patche det. - Med en [sikkerhedsvedligeholdelsesaftale](https://phpsos.de/da/leistungen/security-wartungsvertrag/) forbliver ansvaret for PHP derefter klart reguleret. ## Ofte stillede spørgsmål **Er bilagsudvekslingen via store softwareportaler berørt?** Portaler, som en softwareudbyder driver i sit eget datacenter, er udbyderens ansvar. For deres patchstatus er udbyderen ansvarlig. Berørt kan især systemer være, som jeres kontor driver selv eller via et bureau, f.eks. websiteformularer, uploadsider eller en egen Nextcloud. **Hvorfor er skatterådgiveres data så interessante for angribere?** Et skatterådgiverkontor samler data om mange virksomheder og privatpersoner: bankforbindelser, indkomst, skatte-id'er og lønoplysninger for ansatte. Dermed kan troværdige svindelmails og identitetsmisbrug forberedes. En enkelt hændelse berører så ofte hundredvis af mennesker, som kontoret aldrig direkte er blevet hyret af. **Hvad gør vi, hvis portalen midt i afleveringsperioden må gå offline?** Fastlæg på forhånd en erstatningsvej til bilagsudvekslingen, f.eks. en krypteret overdragelse via et ikke-berørt system. Informér klienter kort og sagligt. Frister og mulige fristforlængelser afklarer I som sædvanlig fagligt; en portal, der er taget offline, erstatter ikke en afstemning herom. **Betaler cyberforsikringen, hvis vi var upatchet?** Det afhænger af betingelserne og forpligtelserne i jeres aftale. Informér forsikringsselskabet tidligt, og dokumentér, hvornår I traf hvilken foranstaltning. Bindende oplysning giver kun forsikringsselskabet eller jeres mægler. ## Kilder - [php.net: Sikkerhedsmeddelelser](https://www.php.net/) - [php.net: Understøttede versioner](https://www.php.net/supported-versions.php) - [BSI: Advarsler og anbefalinger](https://www.bsi.bund.de/)