Sicherheit bei Odoo: Zertifizierungen und was sie bedeuten
Kurz gesagt
Ein Zertifikat nach ISO/IEC 27001 belegt ein gesteuertes Informationssicherheitsmanagementsystem in dem Geltungsbereich, den das Zertifikat nennt; dieser kann auf einzelne Geschäftsbereiche oder Standorte begrenzt sein. Die kundenseitige Einrichtung Ihrer Odoo-Datenbank – Benutzer, Gruppen, Datensatzregeln und Passwortrichtlinien – deckt ein solcher Nachweis nicht automatisch ab; prüfen Sie deshalb Geltungsbereich, Normjahr und die Akkreditierung der Zertifizierungsstelle. Für Odoo Cloud nennt Odoo selbst keine ISO-27001-Zertifizierung, sondern die Teilnahme am CSA-STAR-Programm, Level 1 (Selbstauskunft).
Das Wichtigste
- Der Geltungsbereich im Zertifikat entscheidet, nicht der Name des Anbieters; er kann auf einzelne Geschäftsbereiche oder Standorte begrenzt sein.
- ISO/IEC 27001 belegt ein Managementsystem, kein festes Sicherheitsniveau; ob eine einzelne Datenbank davon erfasst ist, entscheidet der Geltungsbereich.
- Gültige Zertifikate nennen ISO/IEC 27001:2022; die DAkkS befristete die Umstellung auf Ende Oktober 2025.
- Ein C5-Testat gilt für geprüfte Cloud-Dienste in festgelegten Regionen, nicht für den Anbieter als Ganzes.
- In der EU können genehmigte Verhaltensregeln (Art. 40) und genehmigte Zertifizierungsverfahren (Art. 42) nach Art. 28 Abs. 5 und Art. 32 Abs. 3 DSGVO als Faktor für Garantien und Maßnahmen herangezogen werden.
Zertifikate stehen in Angeboten, auf Sicherheitsseiten und in Fragebögen von Kunden. Sie sollen zeigen, ob ein Dienst für die eigenen Daten sicher genug ist. Wer sie prüft, muss wissen, wer sie ausgestellt hat, wofür sie gelten und wo ihre Grenze liegt.
Was ein ISO-27001-Zertifikat belegt
ISO/IEC 27001 ist die Norm für Informationssicherheitsmanagementsysteme (ISMS). Ein Zertifikat bestätigt, dass der Inhaber im festgelegten Geltungsbereich ein solches System betreibt: Er bewertet Risiken, wählt Maßnahmen, regelt Zuständigkeiten und prüft deren Wirksamkeit. Nach der Darstellung des BSI weist ein ISO 27001-Zertifikat auf Basis von IT-Grundschutz nach, dass der Informationsverbund durch ein wirksames ISMS geschützt ist; dieses Zertifikat stellt das BSI selbst aus, nach einem Audit durch einen beim BSI zertifizierten Auditor.
Ein normales Zertifikat stellt dagegen eine Zertifizierungsstelle aus. Deren Kompetenz bewertet die nationale Akkreditierungsstelle auf Grundlage der Norm ISO/IEC 17021-1; in Deutschland ist das die DAkkS, in der Schweiz die Schweizerische Akkreditierungsstelle (SAS) im Staatssekretariat für Wirtschaft. Die DAkkS führt eine Datenbank der akkreditierten Stellen; die SAS listet akkreditierte sowie suspendierte und aufgehobene Stellen und bietet Zertifikatsprüfungen an.
Was der Inhaber umsetzt, steht in seinen Unterlagen: Zu ISO/IEC 27001 gehört die Erklärung zur Anwendbarkeit (Statement of Applicability), die Ziffer 6.1.3 d) der Norm verlangt und die IAF MD 26 nennt.
Die BSI-Seite zu ISO/IEC 27001 im Kontext von NIS-2 hält fest, dass die Einrichtung den Geltungsbereich ihres ISMS selbst festlegt und er sich auf einzelne Geschäftsbereiche oder Standorte beschränken kann. Dieser Ausschnitt des Unternehmens und nicht der Name des Anbieters entscheidet, was ein Zertifikat belegt.
Diese Nachweise begegnen Ihnen bei Odoo
Die Tabelle zeigt, wer welchen Nachweis ausstellt und was er belegt; die Reihenfolge ist keine Bewertung.
| Nachweis | Wer stellt ihn aus | Was er belegt |
|---|---|---|
| ISO/IEC 27001-Zertifikat | akkreditierte Zertifizierungsstelle | gesteuertes ISMS im genannten Geltungsbereich |
| ISO 27001-Zertifikat auf Basis von IT-Grundschutz | Bundesamt für Sicherheit in der Informationstechnik | ISO-27001-Anforderungen im geprüften Informationsverbund, nach IT-Grundschutz-Methodik |
| C5-Testat | Wirtschaftsprüfer nach ISAE 3000 | Mindestanforderungen des BSI-Kriterienkatalogs für geprüfte Cloud-Dienste in festgelegten Regionen |
| SOC 2-Bericht | Wirtschaftsprüfer nach den Standards des AICPA | Kontrollen des Dienstleisters zu den Kategorien im Berichtsumfang, etwa Sicherheit, Verfügbarkeit, Vertraulichkeit |
| CSA-STAR-Eintrag, Level 1 | der Anbieter selbst | seine Antworten auf den CAIQ-Fragebogen, ohne Prüfung durch Dritte |
| Tier-III-Zertifizierung des Rechenzentrums | je nach Schema; Odoo nennt für die Rechenzentren von Odoo Cloud Tier-III oder gleichwertig | die Strom- und Netzanbindung des Standorts mit N+1-Redundanz |
Das C5-Testat ist kein Zertifikat des Anbieters, sondern ein Bestätigungsvermerk: Nach der FAQ des BSI werden ein oder mehrere Cloud-Dienste für festgelegte Regionen geprüft; ein ISO/IEC-27001-Zertifikat führt nicht automatisch dazu. Dieselbe FAQ unterscheidet Testate zu einem Stichtag (Typ 1) und Testate über einen Zeitraum (Typ 2).
Was ein Zertifikat abdeckt – und was nicht
Die Tabelle trennt, was ein Nachweis abdeckt, von dem, was bei Ihnen bleibt.
| Punkt | Was der Nachweis abdeckt | Was er nicht abdeckt |
|---|---|---|
| Dienst und Geltungsbereich | den im Zertifikat oder Prüfbericht genannten Dienst, Organisationsteil und Standort | andere Dienste, andere Regionen und Unternehmensteile außerhalb dieses Bereichs |
| Rechenzentrum und Infrastruktur | beim Standortnachweis die Strom- und Netzanbindung des Gebäudes mit N+1-Redundanz | Software, Einrichtung und Inhalt der Odoo-Datenbank; die Zutrittsregelungen der Rechenzentren nennt Odoo als eigene Anforderung an die Betreiber seiner Rechenzentren, nicht als Inhalt des Standortzertifikats |
| Ihre Odoo-Einrichtung | je nach Geltungsbereich den Betrieb der Plattform, auf der Ihre Datenbank läuft | keine automatische Absicherung Ihrer Konfiguration: Benutzer, Gruppen, Datensatzregeln und Passwortrichtlinien richten Sie selbst ein, und wer auf welche Datensätze zugreift und welche Felder sichtbar sind, entscheiden Sie |
| Ihre Abläufe und Daten | die Sicherungen und Verfügbarkeitszusagen des jeweiligen Hostingmodells; Odoo nennt für Odoo Cloud 14 vollständige Sicherungen je Datenbank über mindestens drei Monate | keine automatische Sicherung Ihrer eigenen Installation; eigene Exporte und Löschfristen bleiben Ihre Aufgabe |
| Speicherung Ihrer Daten | die technische Speicherung und Verschlüsselung, soweit der Geltungsbereich sie erfasst | ob Ihre Daten vollständig, aktuell und rechtmäßig verarbeitet werden |
| Unterauftragnehmer und Drittmodule | beim C5-Bericht die Kontrollen der Unterauftragnehmer: Der Anbieter muss sie an die Kriterien binden, und ihre Kontrollen sind im Bericht aufzuführen | Betreiber von Modulen aus dem Apps Store und weitere Empfänger, die Sie selbst beauftragen |
| Zeitraum und Aktualität | eine Laufzeit oder einen Prüfzeitraum mit Datum | ob der Nachweis heute noch gilt: C5-Testate gibt es als Typ 1 zu einem Stichtag und als Typ 2 über einen Zeitraum |
| Gesetzliche Pflichten | einen Faktor für Ihre eigene Risikobewertung | keinen Ersatz für Vertrag, Risikobewertung und Maßnahmen |
Beim letzten Punkt zählt, was das Gesetz als Nachweis anerkennt. Art. 28 Abs. 5 DSGVO nennt als Faktor für hinreichende Garantien genehmigte Verhaltensregeln nach Art. 40 und genehmigte Zertifizierungsverfahren nach Art. 42; Art. 32 Abs. 3 DSGVO verweist auf dieselben beiden Instrumente. Beide Absätze sagen „kann als Faktor herangezogen werden“; sie nennen damit mögliche Nachweise und sind keine abschließende Beweismittelliste. Ein ISO/IEC-27001-Zertifikat ist keines der beiden Instrumente. Eine Zertifizierung nach Art. 42 setzt Kriterien voraus, die die zuständige Aufsichtsbehörde nach Art. 58 Abs. 3 DSGVO oder der Europäische Datenschutzausschuss nach Art. 63 DSGVO genehmigt hat; erteilt wird sie von einer nach Art. 43 DSGVO akkreditierten Zertifizierungsstelle oder von der zuständigen Aufsichtsbehörde selbst, und sie gilt höchstens drei Jahre (Art. 42 Abs. 5 und 7 DSGVO). Nach Art. 42 Abs. 4 DSGVO mindert auch eine Zertifizierung die Verantwortung des Verantwortlichen nicht. In der Schweiz verlangt Art. 8 Abs. 1 DSG eine dem Risiko angemessene Datensicherheit, und nach Art. 9 Abs. 2 DSG muss sich der Verantwortliche vergewissern, dass der Auftragsbearbeiter dazu in der Lage ist.
Beispiel: Ein Dienstleister legt ein Zertifikat für den „Betrieb der Odoo-Datenbanken in Frankfurt am Main“ vor, ausgestellt am 12. März 2024. Läuft Ihre Datenbank in einem anderen Rechenzentrum desselben Anbieters, deckt dieser Nachweis sie nicht ab.
Odoo Cloud, Odoo.sh und die eigene Installation
Odoo nennt auf seiner Sicherheitsseite (gelesen am 14. Oktober 2026) für die Cloud die Teilnahme am CSA-STAR-Programm mit Level 1 und verlinkt die Antworten auf den CAIQ-Fragebogen; im STAR-Registry der Cloud Security Alliance ist Odoo seit dem 27. Juli 2020 geführt. Dieselbe Seite beschreibt für Odoo Cloud Sicherungen (14 vollständige Sicherungen je Datenbank über mindestens drei Monate, auf mindestens drei Rechenzentren verteilt), Verschlüsselung im Transport und im Ruhezustand, getrennte Kundendatenbanken und den begrenzten Mitarbeiterzugriff. Als Anforderung an die Rechenzentren nennt sie abgeschirmte Bereiche, Zutrittskontrollen mit Ausweis oder Biometrie, Kameraüberwachung und eigenes Sicherheitspersonal rund um die Uhr. Zu unabhängigen Sicherheitsprüfungen steht dort, dass Kunden sie beauftragen und die Berichte vertraulich bleiben. Eine ISO/IEC-27001-Zertifizierung nennt die Seite nicht.
Das Cloud-Service-Level-Agreement von Odoo beschreibt die Rechenzentren als Tier-III-zertifiziert oder gleichwertig, mit N+1-Redundanz für Strom und Netz — eine Aussage über Gebäude und Verfügbarkeit, nicht über Ihre Datenbank. Betreiben Sie Odoo selbst, liegt die Einrichtung bei Ihnen: Die Bereitstellungsdokumentation behandelt HTTPS, Sicherheitsempfehlungen und den Datenbankmanager; was zu tun ist, steht unter Odoo-Server absichern und Odoo sichern. Für die Nachweise Ihres Hosters ist der ausgewiesene Geltungsbereich maßgeblich: Ihre kundenseitige Odoo-Einrichtung ist darin nicht automatisch erfasst, und er kann nach der Darstellung des BSI auf einzelne Geschäftsbereiche oder Standorte beschränkt sein – lassen Sie sich ihn deshalb zeigen. Rollen und Verträge je Hostingmodell: Odoo-Hosting und DSGVO, Auftragsverarbeitung bei Odoo.
Typische Fehler beim Prüfen
- Nach dem Namen des Anbieters fragen statt nach Dienst, Standort und Region.
- Ein Zertifikat für einen Standort oder Geschäftsbereich auf das ganze Unternehmen beziehen.
- Ein Zertifikat ohne Geltungsbereich, Normjahr und Laufzeit weiterreichen.
- Ein ISO/IEC-27001-Zertifikat als DSGVO-Zertifizierung lesen; Art. 28 Abs. 5 und Art. 32 Abs. 3 DSGVO nennen genehmigte Regeln und Verfahren als mögliche Nachweise, und ein ISO/IEC-27001-Zertifikat ist keines von beiden.
- Ein C5-Testat ohne Blick auf den Typ (Typ 1 zum Stichtag, Typ 2 über einen Zeitraum) und den genannten Zeitraum akzeptieren.
- Den Vertrag durch den Nachweis ersetzen; Aufrechterhaltung, Berichtsvorlage und Auftragsverarbeitung gehören in den Vertrag.
So prüfen Sie einen Nachweis
- Legen Sie fest, für welchen Dienst und welche Region der Nachweis gelten soll: die Odoo-Datenbank, die Sie nutzen, und das Hostingmodell.
- Fordern Sie den Nachweis im Original an: Zertifikat mit Geltungsbereich und Normjahr, C5-Bericht mit Prüfaussage und Typ (Typ 1 zum Stichtag, Typ 2 über einen Zeitraum), SOC-2-Bericht mit Berichtszeitraum oder den Registry-Eintrag.
- Prüfen Sie Normjahr und Datum: Die DAkkS hat am 13. Januar 2023 mitgeteilt, dass die Akkreditierungen bis zum 31. Oktober 2023 und alle Zertifikate bis Ende Oktober 2025 auf ISO/IEC 27001:2022 umzustellen waren.
- Prüfen Sie die ausstellende Stelle: die Akkreditierung in der Datenbank der DAkkS oder in den Angaben der SAS, beim C5-Testat die Unterschrift des Wirtschaftsprüfers.
- Halten Sie im Vertrag fest, dass der Nachweis aufrechterhalten und jeder Folgebericht vorgelegt wird, und regeln Sie die Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO.