Kort gezegd: Voor de IT-beveiliging van belastingadviseurs is beslissend welke systemen het kantoor zelf beheert. Grote portalen van softwareaanbieders liggen onder hun verantwoordelijkheid, de eigen website, uploadformulieren en datarooms daarentegen onder de uwe. Die horen nu op gepatcht PHP te draaien, met herstart en schriftelijk bewijs.
Welke systemen in belastingkantoren op PHP draaien
Voor financiële administratie en salarisverwerking gebruiken de meeste kantoren gespecialiseerde software en de bijbehorende portalen. Daarnaast ontstaan in de loop der jaren eigen oplossingen: een uploadformulier op de website voor bonnen, vragenlijsten voor de inkomstenbelasting, een pagina voor nieuwe medewerkers van cliënten om loonstamgegevens vast te leggen, een sollicitatieportaal of een zelf beheerde Nextcloud voor grote bestanden.
Deze systemen draaien vrijwel altijd op PHP en worden verzorgd door een bureau, een systeemhuis of een hostingprovider. Juist de kleine formulieren raken in de vergetelheid, omdat ze eenmaal zijn ingericht en sindsdien gewoon werken. Vaak staan geüploade bonnen dan jarenlang in de uploadmap van de webserver, ook al zijn ze allang in de kantoorsoftware verwerkt.
Welke gegevens op het spel staan
Belastingkantoren verwerken gegevens in een dichtheid die nauwelijks een andere sector bereikt: IBAN en rekeningafschriften, belastingnummers, inkomensbewijzen, aandeelhoudersregisters en loonstroken. Loongegevens bevatten soms ook bijzondere categorieën volgens art. 9 AVG, zoals het kerkelijk lidmaatschap voor de kerkbelasting (in Duitsland).
Daar komt het beroepsgeheim bij: belastingadviseurs zijn tot geheimhouding verplicht, het onbevoegd openbaren kan in Duitsland volgens § 203 StGB (het Duitse wetboek van strafrecht) strafbaar zijn. En veel betrokkenen zijn helemaal geen cliënten van u, maar hun medewerkers. Bij een lek groeit de kring van betrokkenen zo snel.
IT-beveiliging van belastingadviseurs: wat een incident concreet teweegbrengt
Een aanval op een belastingkantoor heeft typische gevolgen die verschillen van andere sectoren:
- Fraude met echte gegevens: Wie facturen, rekeningnummers en contactpersonen kent, kan bedrieglijk echte betalingsverzoeken aan cliënten sturen.
- Tijdsdruk door termijnen: Valt het uploadportaal in het aangiftetijdvak uit, dan stapelen bonnen zich op en wijken cliënten uit naar onveilige routes zoals onversleutelde mail.
- Vertrouwen: Cliënten rekenen erop dat hun financiën vertrouwelijk blijven. Een incident waarover ze uit de pers vernemen, weegt zwaarder dan een waarover het kantoor zelf zakelijk informeert.
Staat uw uploadportaal op een server waarvan niemand de PHP-patchstatus kan bevestigen, haal het dan van het netwerk tot patch en herstart zijn aangetoond. Zo adviseert het BSI (de Duitse federale dienst voor informatiebeveiliging) dat voor servers die niet direct kunnen worden bijgewerkt.
De verantwoordelijkheidskloof tussen systeemhuis en bureau
Het systeemhuis verzorgt kantoorsoftware en werkplekken, het bureau de website, de hostingprovider de server. Wie voor PHP op de webserver verantwoordelijk is, staat zelden uitdrukkelijk in het contract. Stel dat nu vast en laat u de pakketstatus bevestigen. Hoe u de gegevens beoordeelt, legt de handleiding PHP-versie en patchstatus controleren uit.
Verholpen versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Toont een interface een oudere stand, dan kan toch een backport zijn doorgevoerd. Omgekeerd volstaat een update zonder herstart van de PHP-processen niet.
Wat cliënten nu van u moeten weten
Cliënten reageren op berichten over beveiligingslekken met onzekerheid, zeker als ze regelmatig bonnen uploaden. Een korte, zakelijke mededeling schept dan vertrouwen: welke routes voor de documentuitwisseling momenteel gelden, dat het kantoor rekeningnummers nooit per mail wijzigt en dat verdachte betalingsverzoeken telefonisch moeten worden nagevraagd.
Voor zakelijke cliënten is nog een aanwijzing zinvol: salarisadministraties en personeelsafdelingen moeten bij vragen over loongegevens of gewijzigde bankrekeningen van medewerkers bijzonder alert zijn. Zulke fraudepogingen maken graag gebruik van kennis die uit kantoren afkomstig is. Of een concreet incident een formele kennisgeving volgens de AVG vereist, is een aparte vraag die u met uw functionaris voor gegevensbescherming bespreekt.
Eerste uren voor de kantoorleiding
- Zet alle eigen, vanaf internet bereikbare PHP-systemen op een rij, ook oude formulieren en testinstallaties.
- Laat voor elk systeem patchstatus en herstart schriftelijk bevestigen of schakel het tijdelijk uit.
- Zet logs vanaf 20 oktober 2026 veilig en leg een veilige noodroute voor de documentuitwisseling vast.
- Informeer verzekeraar en functionaris voor gegevensbescherming vroeg. Wat uw contract vereist, licht de pagina over cyberverzekering toe.
Hoe helpt PHP SOS concreet?
- Wij inventariseren alle extern bereikbare PHP-systemen van het kantoor en stellen vast welke bij de softwareaanbieder en welke bij u liggen.
- In het kader van de PHP2Shell-spoedhulp patchen wij of laten wij patchen, herstarten alle workers en tonen het resultaat aan.
- Wij controleren uploadmappen en databases op webshells en onbekende toegang.
- Wij ruimen op: wat niet meer nodig is, schakelen wij in overleg uit in plaats van het verder te patchen.
- Met een beveiligingsonderhoudscontract blijft de verantwoordelijkheid voor PHP daarna duidelijk geregeld.
Veelgestelde vragen
Wordt de documentuitwisseling via grote softwareportalen getroffen?
Portalen die een softwareaanbieder in zijn eigen rekencentrum beheert, vallen onder diens verantwoordelijkheid. Voor de patchstatus daarvan is de aanbieder verantwoordelijk. Getroffen kunnen vooral systemen zijn die uw kantoor zelf of via een bureau beheert, zoals websiteformulieren, uploadpagina's of een eigen Nextcloud.
Waarom zijn gegevens van belastingadviseurs zo interessant voor aanvallers?
Een belastingkantoor bundelt gegevens van veel bedrijven en particulieren: bankrekeningen, inkomens, belastingnummers en loongegevens van werknemers. Daarmee zijn geloofwaardige fraudemails en identiteitsmisbruik voor te bereiden. Eén incident treft zo vaak honderden mensen die het kantoor nooit rechtstreeks hebben ingeschakeld.
Wat te doen als het portaal midden in het aangiftetijdvak offline moet?
Leg vooraf een noodroute voor de documentuitwisseling vast, bijvoorbeeld een versleutelde overdracht via een niet getroffen systeem. Informeer cliënten kort en zakelijk. Termijnen en mogelijke uitstelmogelijkheden regelt u zoals gebruikelijk inhoudelijk; een offline gehaald portaal is daarvoor geen vervanging van overleg.
Keert de cyberverzekering uit als wij ongepatcht waren?
Dat hangt af van de voorwaarden en verplichtingen in uw contract. Informeer de verzekeraar vroeg en documenteer wanneer u welke maatregel hebt genomen. Een bindend antwoord geeft alleen de verzekeraar of uw adviseur.