Typischer Ablauf eines Ransomware-Vorfalls:<\/p>\n
Angreifer verschl\u00fcsseln Server, Datenbanken und Arbeitsstationen.<\/p>\n<\/li>\n
Wichtige Unternehmensdaten und Backups werden unzug\u00e4nglich.<\/p>\n<\/li>\n
Zus\u00e4tzlich werden h\u00e4ufig Daten exfiltriert.<\/p>\n<\/li>\n
Die T\u00e4ter drohen mit der Ver\u00f6ffentlichung dieser Daten im Darknet.<\/p>\n<\/li>\n
Es wird L\u00f6segeld gefordert \u2013 meist in Kryptow\u00e4hrungen.<\/p>\n<\/li>\n<\/ul>\n
In vielen F\u00e4llen geht es um zwei konkrete Forderungen:<\/p>\n
L\u00f6segeld f\u00fcr einen funktionierenden Entschl\u00fcsselungsschl\u00fcssel<\/strong> (Decryption Key).<\/p>\n<\/li>\n L\u00f6segeld f\u00fcr die Zusage, exfiltrierte Daten zu l\u00f6schen bzw. nicht zu ver\u00f6ffentlichen<\/strong> (Data Leak Extortion).<\/p>\n<\/li>\n<\/ol>\n Genau um diese beiden Konstellationen geht es in diesem Artikel.<\/p>\n Nach \u00f6sterreichischem Einkommensteuerrecht sind Betriebsausgaben alle Aufwendungen, die durch den Betrieb veranlasst sind. Vereinfacht gesagt:<\/p>\n Es muss ein klarer wirtschaftlicher Zusammenhang mit dem Unternehmen bestehen.<\/p>\n<\/li>\n<\/ul>\n Bei Ransomware-L\u00f6segeldzahlungen ist dieser Zusammenhang regelm\u00e4\u00dfig gegeben:<\/p>\n Betroffen sind in der Regel betriebliche IT-Systeme und Unternehmensdaten.<\/p>\n<\/li>\n Die Zahlung dient dazu,<\/p>\n die Arbeitsf\u00e4higkeit des Unternehmens wiederherzustellen (Entschl\u00fcsselung), oder<\/p>\n<\/li>\n einen weiteren massiven Schaden durch Datenver\u00f6ffentlichung zu verhindern (L\u00f6schung\/Unterlassung des Leaks).<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n Damit spricht sehr viel daf\u00fcr, diese Zahlungen dem Grunde nach als betrieblich veranlasste Aufwendungen einzuordnen. Sie sind wirtschaftlich mit Schadensbegrenzungs- und Wiederherstellungskosten vergleichbar.<\/p>\n Ein naheliegendes Gegenargument ist \u00a7 20 Abs 1 Z 5 lit a EStG. Dort hei\u00dft es vereinfacht: Zuwendungen, deren Gew\u00e4hrung oder Annahme mit gerichtlicher Strafe bedroht ist, sind nicht abzugsf\u00e4hig.<\/p>\n Die Fachliteratur\u00a0differenziert hier deutlich:<\/p>\n Die Norm soll vor allem korruptive Zahlungen und Schmiergelder erfassen.<\/p>\n<\/li>\n Gemeint sind F\u00e4lle, in denen sich der Zahlende bewusst einen unrechtm\u00e4\u00dfigen Vorteil verschafft.<\/p>\n<\/li>\n<\/ul>\n Bei einer Ransomware-L\u00f6segeldzahlung ist die Situation anders:<\/p>\n Das Unternehmen ist Opfer einer Erpressung.<\/p>\n<\/li>\n Es versucht, einen bestehenden Schaden zu begrenzen und den Fortbestand des Betriebs zu sichern.<\/p>\n<\/li>\n Es geht nicht darum, eine eigene Straftat zu begehen oder jemanden rechtswidrig zu beeinflussen.<\/p>\n<\/li>\n<\/ul>\n Daher wird \u00fcberzeugend vertreten, dass \u00a7 20 Abs 1 Z 5 lit a EStG im Regelfall nicht dazu f\u00fchren sollte, den Betriebsausgabenabzug beim Opfer eines Ransomware-Angriffs zu versagen, wenn es nur um die Entschl\u00fcsselung oder Nichtver\u00f6ffentlichung von Unternehmensdaten geht.<\/p>\n Grenzen k\u00f6nnen dort verlaufen, wo:<\/p>\n klar ist, dass das L\u00f6segeld erkennbar an eine sanktionierte oder terroristische Organisation flie\u00dft, oder<\/p>\n<\/li>\n das Unternehmen bewusst in eigene strafbare Beteiligung hineinrutscht.<\/p>\n<\/li>\n<\/ul>\n In typischen, anonymen Ransomware-F\u00e4llen besteht diese Konstellation jedoch meist nicht.<\/p>\n Ein weiterer Knackpunkt ist die Empf\u00e4ngerbenennung nach \u00a7 162 BAO. Die Finanz kann verlangen, dass ein Unternehmen den Empf\u00e4nger einer Zahlung genau bezeichnet. Erfolgt das nicht, kann die Betriebsausgabe gestrichen werden.<\/p>\n Problem in der Praxis:<\/p>\n Ransomware-T\u00e4ter sind anonym,<\/p>\n<\/li>\n die Zahlung erfolgt auf eine Krypto-Wallet-Adresse,<\/p>\n<\/li>\n es gibt keine reale Chance, Name oder Sitz des Empf\u00e4ngers zu ermitteln.<\/p>\n<\/li>\n<\/ul>\n Nach der in der Literatur vertretenen Auffassung gilt:<\/p>\n \u00a7 162 BAO setzt eine \u201eVerweigerung\u201c der Empf\u00e4ngerbenennung voraus.<\/p>\n<\/li>\n Wenn der Empf\u00e4nger objektiv nicht ermittelt werden kann, liegt keine Verweigerung, sondern eine Unm\u00f6glichkeit vor.<\/p>\n<\/li>\n<\/ul>\n Im Kontext von Ransomware bedeutet das:<\/p>\n Wenn das Unternehmen den Angriff und die Zahlung nachvollziehbar dokumentiert,<\/p>\n<\/li>\n und darlegt, dass eine Identifizierung der T\u00e4ter trotz zumutbarer Anstrengungen nicht m\u00f6glich ist,<\/p>\n<\/li>\n darf die Betriebsausgabe nicht allein wegen fehlender Empf\u00e4ngerbenennung versagt werden.<\/p>\n<\/li>\n<\/ul>\n F\u00fcr die steuerliche Behandlung macht es in der Praxis keinen grunds\u00e4tzlichen Unterschied, ob das L\u00f6segeld gezahlt wird f\u00fcr:<\/p>\n Entschl\u00fcsselung von Unternehmensdaten<\/p>\n Ziel: Wiederherstellung der Arbeitsf\u00e4higkeit.<\/p>\n<\/li>\n<\/ul>\n<\/li>\n Zusage zur L\u00f6schung oder Nichtver\u00f6ffentlichung exfiltrierter Unternehmensdaten<\/p>\n Ziel: Vermeidung weiterer Sch\u00e4den (Image, Gesch\u00e4ftsgeheimnisse, DSGVO-Risiken, Haftungsanspr\u00fcche von Betroffenen, etc.).<\/p>\n<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n In beiden F\u00e4llen ist die Zahlung eng an die betriebliche T\u00e4tigkeit gekoppelt. Sie dient der Schadensbegrenzung und dem Schutz des Unternehmens.<\/p>\n Ergebnis: Beide Varianten lassen sich grunds\u00e4tzlich als steuerlich abzugsf\u00e4hige Betriebsausgaben argumentieren, sofern die \u00fcbrigen Voraussetzungen (Opferrolle, keine erkennbaren Sanktionsverst\u00f6\u00dfe, sauber dokumentierter Sachverhalt inkl. Pr\u00fcfung der faktischen und rechltichen Zul\u00e4ssigkeit der L\u00f6segeldzahlung) erf\u00fcllt sind.<\/p>\n Wir sind Rechtsanw\u00e4lte, keine Steuerberater. Im Rahmen unserer T\u00e4tigkeit in Incident-Response-Teams werden wir jedoch h\u00e4ufig mit der Frage der steuerlichen Behandlung von L\u00f6segeldzahlungen konfrontiert und arbeiten dabei regelm\u00e4\u00dfig mit spezialisierten Steuerberater:innen zusammen.<\/p>\n Die in diesem Beitrag dargelegten Informationen beruhen auf unserem derzeitigen Verst\u00e4ndnis der Rechtslage und erheben keinen Anspruch auf Richtigkeit, Vollst\u00e4ndigkeit oder Aktualit\u00e4t. Soweit ersichtlich, liegen zu den hier behandelten Fragen derzeit keine letztinstanzlichen Entscheidungen \u00f6sterreichischer H\u00f6chstgerichte vor, sodass sich die Beurteilung durch zuk\u00fcnftige Rechtsprechung oder Verwaltungspraxis \u00e4ndern kann.<\/p>\n Teile der Darstellung st\u00fctzen sich insbesondere auf den Fachaufsatz von Br\u00e4umann \/ Kofler \/ Tumpel, \u201eSind L\u00f6segeldzahlungen bei Ransomware-Angriffen steuerlich abzugsf\u00e4hig?\u201c, SWK 26\/2021, 1194\u20131205, ohne dass damit eine steuerliche Beratung ersetzt wird.<\/p>\n Sind L\u00f6segeldzahlungen in \u00d6sterreich steuerlich absetzbar?<\/strong><\/p>\n Ja, sofern es um Entschl\u00fcsselung oder Nichtver\u00f6ffentlichung betrieblicher Daten geht, das Unternehmen eindeutig Opfer ist und der Vorfall sauber dokumentiert wird, lassen sich diese Zahlungen grunds\u00e4tzlich als Betriebsausgaben argumentieren.<\/p>\n Ja. Wenn die Zahlung dazu dient, die Ver\u00f6ffentlichung von Unternehmensdaten zu verhindern und damit betriebliche Sch\u00e4den abzuwenden (z.B. Gesch\u00e4ftsgeheimnisse, Haftungsrisiken, Reputationssch\u00e4den), besteht ebenfalls eine klare betriebliche Veranlassung.<\/p>\n Grunds\u00e4tzlich kann die Finanz die Empf\u00e4ngerbenennung verlangen. Bei typischen Ransomware-F\u00e4llen sind die T\u00e4ter jedoch anonym. Ist eine Identifizierung trotz zumutbarer Bem\u00fchungen nicht m\u00f6glich, liegt eine Unm\u00f6glichkeit der Benennung vor. Die Betriebsausgabe sollte dann nicht allein aus diesem Grund versagt werden.<\/p>\n Die Zahlung in Kryptow\u00e4hrungen \u00e4ndert nichts an der grunds\u00e4tzlichen steuerlichen Qualifikation als Betriebsausgabe. Wichtig ist vor allem die Dokumentation der Transaktion (Wallet, Transaktions-ID, Umrechnung in EUR) und die Einordnung als Schadensaufwendung.<\/p>\n Nach Meinung der einschl\u00e4gigen Literatur in der Regel nein. Die Bestimmung zielt prim\u00e4r auf Schmiergeld und korruptive Zahlungen, nicht auf Opferzahlungen in einer Erpressungssituation. Bei typischen Ransomware-F\u00e4llen ist das Unternehmen Opfer und versucht lediglich, einen massiven Schaden zu begrenzen. Problematisch k\u00f6nnen Sonderf\u00e4lle sein, in denen klar erkennbar ist, dass Zahlungen an sanktionierte oder terroristische Organisationen flie\u00dfen.<\/p>\n F\u00fcr \u00f6sterreichische Unternehmen, die nach einem Ransomware-Angriff L\u00f6segeld f\u00fcr die Entschl\u00fcsselung von Daten oder f\u00fcr die Zusage zur L\u00f6schung bzw. Nichtver\u00f6ffentlichung exfiltrierter Unternehmensdaten zahlen, ist nach aktueller Fachmeinung eine steuerliche Abzugsf\u00e4higkeit als Betriebsausgabe gut vertretbar \u2013 F\u00fcr weitere Informationen steht Roman Taudes<\/a> und sein Team jederzeit unter office@atb.law<\/a> bzw. telefonisch unter 01 39 12345<\/a> zur Verf\u00fcgung.<\/p>\n\n\n2. Steuerlicher Grundsatz: Betriebliche Veranlassung als Ausgangspunkt<\/h2>\n
\n
\n
\n
3. Abzugsverbot f\u00fcr \u201estrafbare Zuwendungen\u201c \u2013 trifft das Opfer?<\/h2>\n
\n
\n
\n
4. Empf\u00e4ngerbenennung: Was ist mit \u00a7 162 BAO, wenn die T\u00e4ter anonym sind?<\/h2>\n
\n
\n
\n
5. L\u00f6segeld f\u00fcr Entschl\u00fcsselung vs. L\u00f6segeld f\u00fcr Datenl\u00f6schung<\/h2>\n
\n
\n
\n
6. Fachlicher Hintergrund<\/h2>\n
7. FAQ: H\u00e4ufige Fragen zur steuerlichen Behandlung von Ransomware-L\u00f6segeld<\/h2>\n
Sind L\u00f6segeldzahlungen auch absetzbar, wenn nur die Ver\u00f6ffentlichung exfiltrierter Daten verhindert werden sollen?<\/strong><\/h3>\n
Muss ich den Empf\u00e4nger der L\u00f6segeldzahlung gegen\u00fcber dem Finanzamt nennen?<\/strong><\/h3>\n
Spielt es steuerrechlich eine Rolle, ob L\u00f6segeld mit Kryptow\u00e4hrungen gezahlt wird?<\/strong><\/h3>\n
Steht \u00a7 20 Abs 1 Z 5 EStG (\u201estrafbare Zuwendungen\u201c) der Abzugsf\u00e4higkeit einer L\u00f6segeldzahlung entgegen?<\/strong><\/h3>\n
8. Kurz-Fazit<\/h2>\n
vorausgesetzt, die betriebliche Veranlassung ist klar, der Sanktions- und Terrorismusbezug ist negativ gepr\u00fcft und der Vorfall ist umfassend dokumentiert.<\/p>\n