21.10.2026 / Betrieb
php2shell: was die PHP-Lücke für euren Shop bedeutet
Zwei kritische Lücken in PHP selbst, berichtigt am 21. Oktober 2026. Ein Update der Shopsoftware hilft nicht — nur eine neue PHP-Fassung.
JTL-Wawi
Die E-Rechnung ist keine Neuigkeit, und JTL-Wawi kann sie. Was zum Jahreswechsel endet, ist die Erlaubnis, stattdessen weiter Papier zu schicken. Der technische Teil ist überschaubar: zwei Formate, ein Vorlagensatz, ein Validator. Die meisten Einrichtungen scheitern an einer Stelle — und es ist nicht die, die man erwartet.
Die Pflicht ist nicht neu, und das Format auch nicht. Was zum 1. Januar 2027 endet, ist die Erlaubnis, stattdessen weiter Papier zu schicken und zwar nur für einen Teil der Betriebe. In JTL-Wawi ist das keine Frage des Könnens: Beide Formate sind vorhanden. Es ist eine Frage der Einrichtung und wer die E-Rechnung einrichten will, trifft dabei auf eine Stelle, an der es regelmäßig scheitert.
Empfangen müssen E-Rechnungen alle schon seit dem 1. Januar 2025. Beim Ausstellen gilt die Übergangsregelung in § 27 Absatz 38 UStG:
Für Umsätze, die bis Ende 2026 ausgeführt werden, war weiter Papier oder ein anderes elektronisches Format erlaubt (Nummer 1).
Für Umsätze im Jahr 2027 bleibt das erlaubt, wenn der Gesamtumsatz nach § 19 Absatz 2 UStG im Vorjahr nicht mehr als 800.000 Euro betragen hat (Nummer 2). Vorjahr ist dabei 2026.
Rechnungen über EDI dürfen mit Zustimmung des Empfängers bis Ende 2027 im bisherigen Format laufen (Nummer 3).
Kleinunternehmer dürfen nach § 34a UStDV weiter sonstige Rechnungen ausstellen.
Praktisch heißt das: Wer 2026 über 800.000 Euro Gesamtumsatz liegt, stellt für Umsätze ab dem 1. Januar 2027 E-Rechnungen aus. Genau 800.000 Euro liegen noch in der Übergangsregelung. Zwei Dinge werden dabei regelmäßig verwechselt: Es zählt der ausgeführte Umsatz und nicht der Tag der Rechnungsstellung eine Leistung aus dem Dezember 2026, die im Januar abgerechnet wird, kann damit schon unter die neue Form fallen. Und es entscheidet das Jahr 2026, also das Jahr, in dem diese Frage noch gestaltbar ist. Wie der Gesamtumsatz nach § 19 Absatz 2 UStG zu berechnen ist, beantwortet die Steuerberatung. Ab 2028 ist ohnehin niemand mehr ausgenommen.
JTL-Wawi stellt beide Formate aus, und sie sind verschiedene Dinge:
XRechnung ist eine reine XML-Datei. Sie lässt sich mit verschiedenen Programmen anzeigen, aber sie ist kein Dokument zum Ansehen.
ZUGFeRD ist eine PDF-Datei mit einer XML-Datei im Anhang. Für die Buchhaltung zählt der Inhalt der XML-Datei, nicht die Darstellung im PDF so steht es in der Dokumentation von JTL, und dieser Satz erklärt die meisten Missverständnisse.
Beim Mailversand verhalten sie sich unterschiedlich. Eine Rechnung geht immer als PDF hinaus; bei zusätzlicher XRechnung kommt die XML-Datei als weiterer Anhang dazu, bei ZUGFeRD ersetzt die ZUGFeRD-PDF die Standard-PDF. Beide Formate parallel sind möglich über „Vorlage einschränken" lässt sich festlegen, welche Kundschaft welches Format bekommt, etwa nach Kundengruppe.
Welches Format sinnvoll ist, entscheidet nicht der eigene Betrieb, sondern wer die Rechnung bekommt. Öffentliche Auftraggeber in Deutschland verlangen die XRechnung, und dazu gehört die Leitweg-ID der empfangenden Stelle. Im Handel zwischen Unternehmen ist ZUGFeRD meist der bequemere Weg: Die Gegenseite bekommt ein lesbares PDF, und die XML-Datei ist trotzdem da.
Hier scheitert es, und es scheitert leise. E-Rechnungen funktionieren nur mit Druckvorlagen der Ausgabe 2.0. Erkennbar sind die an den englischen Variablen; Vorlagen der Ausgabe 1.0 tragen in JTL-Wawi zusätzlich die Endung „(veraltet)".
Wer über Jahre eigene Vorlagen gepflegt hat, hat gute Chancen, Ausgabe 1.0 im Einsatz zu haben. Das Ergebnis ist eine PDF-Datei mit Rechnungsnummer, Betrag und gewohntem Layout ohne XML-Anhang. Nach außen sieht das aus wie vorher, und genau das ist das Problem: Es ist keine E-Rechnung, und auffallen wird es bei der Gegenseite.
Die Probe dauert eine Minute und steht so in der FAQ zu E-Rechnungen bei JTL:
Die ausgegebene PDF-Datei in einem Reader öffnen und nach dem Anhang sehen eine Büroklammer zeigt ihn an.
Fehlt die XML-Datei, liegt der Verdacht auf Vorlagen der Ausgabe 1.0.
Zur Gegenprobe unter Admin > Druck-/E-Mail-/Exportvorlagen ein neues Vorlagenset mit einer Standardvorlage anlegen und eine Rechnung damit ausgeben. Erscheint die XML-Datei jetzt, ist der eigene Vorlagensatz die Ursache und muss auf Ausgabe 2.0 umgestellt werden.
Das ist auch der Grund, warum diese Umstellung Zeit braucht und nicht am 30. Dezember beginnt: Ein über Jahre gewachsener Vorlagensatz wird nicht umgeschaltet, er wird nachgebaut Layout, Felder, Mehrsprachigkeit, Sonderfälle. Vorlagen, Ausgabeprozesse und die Kontrolle der Ausgabe sind unsere Seite.
Beide Wege beginnen unter Admin > Druck-/E-Mail-/Exportvorlagen, bei den Vorlagensets unter Beleg Verkauf > Rechnung.
Die XRechnung läuft über eine Exportvorlage. Dort „Rechnung (*)" markieren, die Registerkarte Exportieren öffnen, über Hinzufügen die Option XRechnung wählen und die Vorlage anpassen. Damit sie beim Versand mitgeht, wird sie an die Mailvorlage gehängt: Registerkarte Alle beziehungsweise Mailen, E-Mail-Vorlage bearbeiten, unter Anhänge einen Anhang aus Ausgabeprozess hinzufügen und das Element Rechnung (Rechnung) [Export] wählen. Ohne diesen letzten Handgriff entsteht die Datei — und verlässt das Haus nicht.
ZUGFeRD braucht keine Exportvorlage. Eine XML-Vorlage ist bereits hinterlegt und wird an die PDF-Datei angehängt. Anpassen lässt sie sich über die Registerkarte ZUGFeRD und die Schaltfläche Bearbeiten. JTL rät dazu ausdrücklich nur, wer sich mit XML auskennt — die Dateien sind komplex, und ein Fehler darin fällt erst im Validator auf, wenn überhaupt.
Geprüft wird über Verkauf > XRechnung/ZUGFeRD validieren. Das ist der Schritt, den man nicht überspringt, und der nächste Abschnitt handelt davon.
Die Angaben Dritter gehen hier auseinander. Diese stammen aus den Seiten von JTL selbst:
| ab Version | Was damit geht |
|---|---|
| 1.9.7.0 | Leitweg-ID am Auftrag — über ein eigenes Feld für Aufträge mit dem Namen „Leitweg-ID" |
| 1.11 | ZUGFeRD-Rechnungen ausstellen |
| 1.11.0 | Die ZUGFeRD-XML anpassen — Vorlagenverwaltung, Vorlagenset Rechnung, Registerkarte ZUGFeRD |
| 1.11.0 | ZUGFeRD auf bestimmte Kundengruppen beschränken, über die Spalte „Kundengruppe" |
Welche Version tatsächlich läuft, steht im Programm. Ob ein Update ansteht, ist dieselbe Frage wie bei jeder anderen Frist Updates und Serverseite hängen zusammen, und ein Wawi-Update ist kein Handgriff zwischen zwei Terminen.
Die Meldungen tragen die Kennungen der europäischen Norm — BT-38, BT-84 und so weiter. Sie zerfallen in zwei Gruppen, und der Unterschied zwischen ihnen ist der Grund, früh zu prüfen.
Gruppe eins: die Firmendaten sind unvollständig. Nachgetragen wird unter Admin > Firmen-/E-Mail-Einstellungen, danach wird die Rechnung neu ausgegeben und neu validiert. Eine Sache von Minuten.
| Meldung | Was fehlt |
|---|---|
| BT-35, BT-37, BT-38 | Straße, Ort, Postleitzahl |
| BT-31, BT-32 | Steuernummer und Umsatzsteuer-Identifikationsnummer |
| BT-84, BT-85, BT-86 | IBAN, Name der Bank, BIC |
| BT-41 | eine Ansprechstelle — bei einem Einzelunternehmen genügt „Inhaber" |
| BT-42, BT-43 | Telefonnummer und E-Mail-Adresse |
| BT-22, BT-33 | Geschäftsführung und Handelsregister — die gibt die Standardvorlage nicht aus, das geht nur über die Vorlage selbst |
Gruppe zwei: die Angabe steht auf der Rechnung. Dann hilft kein Nachtragen in den Einstellungen die Rechnung wird storniert und neu gestellt.
| Meldung | Wo es herkommt |
|---|---|
| BT-153 | die Artikelbezeichnung einer Position |
| BT-49, BT-58 | die E-Mail-Adresse in der Rechnungsadresse |
| BT-53, BT-78 | die Postleitzahl in Rechnungs- und Lieferadresse |
Daraus folgt die Empfehlung, die in diesem Beitrag Geld spart: eine Testrechnung ausgeben und validieren, bevor es ernst wird. Die Meldungen der zweiten Gruppe kommen aus den Kundenstammdaten, und eine Rechnung, die wegen einer fehlenden Postleitzahl storniert werden muss, ist im Januar teurer als im November. Bei vielen Adressen ist das keine Handarbeit, sondern eine Abfrage über den Bestand.
Den Gesamtumsatz 2026 gegen die 800.000 Euro halten. Die Berechnung gehört in die Steuerberatung, die Zahl steht in der Buchhaltung.
Die eigene Wawi-Version nachsehen und gegen die Tabelle oben halten.
Eine Rechnung testweise ausgeben, die PDF-Datei auf den XML-Anhang ansehen und über den Validator laufen lassen.
Den Vorlagensatz prüfen: englische Variablen, keine Endung „(veraltet)".
Die Firmendaten vollständig machen. Das ist der billigste Teil und beseitigt die Hälfte der Meldungen.
Das Format nach den Empfangsstellen wählen. Öffentliche Auftraggeber bedeuten XRechnung samt Leitweg-ID.
Die Rechnungsadressen im Bestand auf Postleitzahl und E-Mail-Adresse durchsehen — vor der Umstellung, nicht danach.
Wir richten die E-Rechnung in JTL-Wawi ein, und zwar mit den Druckvorlagen: Vorlagensatz der Ausgabe 2.0, Export- und ZUGFeRD-Vorlagen, der Anhang am Mailversand, der Durchlauf durch den Validator und die Kontrolle, dass am Ende wirklich eine XML-Datei im PDF steckt. Dazu die Wawi-Version und die Serverseite, wenn ein Update dazugehört. Das ist unsere Seite bei eurem JTL-System genauso wie bei einem, das jemand anders eingerichtet hat.
Was ausdrücklich nicht unsere Seite ist: die steuerliche und die rechtliche Beurteilung. Ob die Übergangsregelung für einen Betrieb noch greift, wie der Gesamtumsatz nach § 19 Absatz 2 UStG zu berechnen ist und wie eine Rechnung steuerlich zu behandeln und aufzubewahren ist, beantwortet die Steuerberatung. Fragen zu Haftung und Abmahnrisiko beantwortet eine Rechtsanwaltskanzlei. Wir sind eine E-Commerce-Agentur, keine Kanzlei, und erbringen weder Rechts- noch Steuerberatung beides dürfen wir nicht, und beides wollen wir nicht ersetzen. Die Frage dorthin ist allerdings kürzer, wenn die technische Lage vorher geklärt ist, und das ist der Teil, den wir übernehmen.
Dieser Beitrag ist allgemeine Information, keine Rechtsberatung, und er beurteilt keinen Einzelfall. Grundlage sind § 27 Absatz 38 UStG und § 34a UStDV in der verlinkten Fassung sowie die Dokumentation von JTL, Stand Oktober 2026. Menüpfade, Versionsangaben und Vorlagen ändern sich mit den Programmversionen; Rechtslagen ändern sich ebenfalls, und Fristen werden verschoben. Für Entscheidungen auf dieser Grundlage übernehmen wir keine Haftung.
21.10.2026 / Betrieb
Zwei kritische Lücken in PHP selbst, berichtigt am 21. Oktober 2026. Ein Update der Shopsoftware hilft nicht — nur eine neue PHP-Fassung.
06.10.2026 / Recht
Seit dem 27. September 2026 Pflicht für B2C-Shops — ohne Übergangsfrist. JTL-Shop 5.8.0 kann es, aber nicht von allein.
Kontakt
Schildert uns kurz, wo es hakt. Wir melden uns innerhalb eines Werktages — mit einer Einschätzung, nicht mit einem Verkaufsgespräch.
Diese Seite kommt ohne Tracking aus. Notwendige Funktionen — etwa die Sitzung beim Absenden des Kontaktformulars — brauchen wir für den Betrieb. Alles Weitere nur, wenn ihr zustimmt. Näheres in der Datenschutzerklärung.