Cloud-Postfächer per OAuth in Odoo anbinden
Kurz gesagt
Ein Gmail- oder Microsoft-365-Postfach binden Sie in Odoo 20.0 in zwei Schritten an: Zuerst legen Sie beim Anbieter eine OAuth-Anwendung mit Weiterleitungsadresse und Berechtigungen an, dann tragen Sie deren ID und Geheimnis in Odoo ein und verbinden Postausgangs- und Posteingangsserver über die Schaltfläche des Anbieters. Stimmt eine dieser Angaben nicht, meldet der Anbieter einen Fehler, und es entsteht kein Token (Stand: 14. Oktober 2026).
Das Wichtigste
- Die Module Google Gmail und Microsoft Outlook verbinden Gmail und Microsoft 365 per OAuth für Ein- und Ausgang (Odoo 20.0).
- Weiterleitungsadresse: /google_gmail/confirm bei Google, /microsoft_outlook/confirm bei Microsoft, jeweils an der Basis-URL der Datenbank.
- Microsoft verlangt die delegierten Microsoft-Graph-Berechtigungen SMTP.Send und IMAP.AccessAsUser.All; für beide ist keine Administratorzustimmung vorgegeben.
- Ein Client-Geheimnis in Microsoft Entra gilt längstens 24 Monate; Google zeigt das Geheimnis nur bei der Erstellung an.
- Bei Gmail- und Outlook-Servern setzt der öffentliche Community-Zweig 20.0 (Community On-Premise) vor: Ausgang über Benutzername und leeres Passwortfeld mit TLS (STARTTLS), Eingang mit SSL und Port 993.
- Der Versand setzt den authentifizierten SMTP-Versand im Microsoft-365-Postfach voraus; Security Defaults schalten ihn ab.
Was Sie vorab brauchen
Ein OAuth-Zugang gehört dem Anbieter, nicht Odoo: Das Postfach bleibt bei Google oder Microsoft, und Odoo erhält über die Anwendung ein Token, mit dem es im Namen eines Kontos liest und sendet. Dafür brauchen Sie:
- Administratorrechte in Odoo: Im öffentlichen Community-Zweig 20.0 sehen nur Administratoren die Schaltfläche zum Verbinden, und nur sie dürfen sie auslösen.
- Ein Postfach bei Google Workspace oder Microsoft 365. Die Dokumentation 20.0 ist auf geteilte Postfächer wie
verkauf@ausgelegt und rät von persönlichen Adressen als Posteingangsserver ab. - Zugang zum Google-Cloud-Projekt oder zum Microsoft-Entra-Mandanten; bei Microsoft führt laut Anleitung ein Benutzer mit Zugriff auf die Entra-Einstellungen die Konfiguration aus.
- Die Basis-URL der Datenbank über HTTPS. Google verlangt für Weiterleitungsadressen HTTPS, lokale Adressen ausgenommen; Odoo baut die Adresse aus der Basis-URL, die sich mit der Anmeldeadresse ändern kann.
- Ein Empfängerpostfach außerhalb Ihrer Domain für den Zustelltest.
Der Ablauf selbst steht so in der Dokumentation 20.0 von Odoo S.A. Angaben zum Verhalten der Module – Feldprüfungen, Vorgaben für Server, Port und Verschlüsselung, die Beschränkung auf Administratoren, Fehlermeldungen und die deutschen Feldnamen – sind aus dem öffentlichen Community-Zweig 20.0 der Module Google Gmail, Microsoft Outlook und mail belegt. Dieser Zweig ist die Quelle für das Verhalten der Community-Edition; der Editionsvergleich von Odoo S.A. führt Hosting nur bei Enterprise, die Community-Edition läuft also auf einem eigenen Server (Community On-Premise). Für Enterprise, Odoo Online und Odoo.sh belegt die geöffnete Dokumentation 20.0 den Ablauf, nicht dieses Zusatzverhalten.
Warum ein Passwort nicht mehr genügt
Microsoft hat die Basisauthentifizierung mit Benutzername und Passwort in Exchange Online abgeschaltet und lässt sie nicht wieder einschalten. Betroffen sind laut Microsoft Learn Exchange ActiveSync, POP, IMAP, Remote PowerShell, Exchange Web Services, das Offlineadressbuch, Autodiscover sowie Outlook für Windows und Mac; SMTP AUTH wurde in Mandanten abgeschaltet, die es nicht nutzten.
Google geht denselben Weg: Nach der Google-Hilfe werden seit Januar 2025 weniger sichere Apps, die sich nur mit Benutzername und Passwort anmelden, für Google-Workspace-Konten nicht mehr unterstützt; betroffene Zugriffe erzeugen Fehler wie Invalid username oder Unable to log in. Beide Anbieter verweisen dafür auf die moderne Anmeldung mit OAuth 2.0; Odoo unterstützt diesen Weg für Postausgangs- und Posteingangsserver.
Die Werte beider Anbieter im Überblick
Die Tabelle stellt die Angaben gegenüber, die in der Odoo-Dokumentation 20.0 und in den Anleitungen der Anbieter stehen; die deutschen Feldnamen folgen der deutschen Übersetzung des öffentlichen Community-Zweigs 20.0.
| Angabe | Google Workspace (Gmail) | Microsoft 365 (Outlook) |
|---|---|---|
| Ort der Anwendung | Google Cloud Console: Projekt und OAuth-Zustimmungsbildschirm | Microsoft Entra Admin Center: App-Registrierung |
| Kontoarten | Nutzertyp Intern (Workspace) oder Extern (persönliches Konto) | Konten in einem beliebigen Organisationsverzeichnis und persönliche Microsoft-Konten |
| Weiterleitungsadresse | https://<Datenbankadresse>/google_gmail/confirm |
https://<Basis-URL>/microsoft_outlook/confirm |
| Berechtigungen | der Schritt Scopes wird in der Anleitung übersprungen | Microsoft Graph, delegiert: SMTP.Send und IMAP.AccessAsUser.All |
| Anmeldedaten in Odoo | Felder ID und Geheimnis | Felder ID und Geheimnis |
| Postausgangsserver | Authentifizieren mit: Gmail-OAuth-Authentifizierung | Authentifizieren mit: Outlook-OAuth-Authentifizierung |
| Posteingangsserver | Servertyp: Gmail-OAuth-Authentifizierung | Servertyp: Outlook-OAuth-Authentifizierung |
Schritt für Schritt: Anwendung anlegen und Postfach verbinden
Schritt 1: Projekt oder App-Registrierung anlegen
Bei Google legen Sie in der Google Cloud Console ein Projekt an, nennen es Odoo und wählen als Ort Ihre Workspace-Organisation; bei einem persönlichen Konto bleibt der Ort auf No Organization. Im Zustimmungsbildschirm wählen Sie den Nutzertyp Intern oder Extern, tragen App-Name, Support-Adresse und als autorisierte Domain odoo.com ein.
Bei Microsoft öffnen Sie im Entra Admin Center Microsoft Entra ID ‣ App-Registrierungen ‣ Neue Registrierung. Als Name genügt Odoo; bei den unterstützten Kontoarten wählt die Odoo-Anleitung Konten in einem beliebigen Organisationsverzeichnis und persönliche Microsoft-Konten. Endzustand: Die Anwendungs- beziehungsweise Client-ID steht in der Übersicht.
Schritt 2: Weiterleitungsadresse eintragen
Bei Google erzeugen Sie unter Anmeldedaten eine OAuth-Client-ID vom Typ Webanwendung und tragen als Autorisierte Weiterleitungs-URI https://<Ihre-Datenbankadresse>/google_gmail/confirm ein, mit dem tatsächlichen Datenbanknamen. Bei Microsoft ist die Adresse Teil der Registrierung: Plattform Web und https://<Basis-URL>/microsoft_outlook/confirm.
Prüfen Sie, unter welcher Adresse Sie sich in der Datenbank anmelden; die Odoo-Dokumentation weist darauf hin, dass die Basis-URL davon abhängen kann. Endzustand: Die gespeicherte Adresse stimmt zeichengenau mit der überein, die Odoo aufruft.
Schritt 3: Berechtigungen und Konten zuweisen
Bei Microsoft öffnen Sie API-Berechtigungen, fügen unter Microsoft Graph delegierte Berechtigungen hinzu und wählen SMTP.Send und IMAP.AccessAsUser.All; die Berechtigung User.Read kommt automatisch dazu. Danach weisen Sie der Anwendung die Benutzer oder Gruppen zu, die über sie senden und empfangen sollen. Nach der Referenz von Microsoft Graph ist für beide Berechtigungen keine Administratorzustimmung nötig; die Microsoft-Anleitung zur Benutzerzustimmung beschreibt, wie ein Mandant die Zustimmung dennoch einschränken kann.
Bei Google merken Sie die Adressen der Postfächer für den Zustimmungsbildschirm vor: Im Nutzertyp Extern läuft die Anwendung zunächst im Testmodus, in dem laut Odoo-Dokumentation keine Prüfung durch Google nötig ist, die Anwendung aber auf 100 Nutzer begrenzt bleibt. Endzustand: Die zustimmenden Konten stehen in der Anwendung.
Schritt 4: Anmeldedaten erzeugen und sichern
Bei Google erzeugen Sie unter Anmeldedaten die OAuth-Client-ID vom Typ Webanwendung und kopieren ID und Geheimnis; das Geheimnis zeigt Google nur einmal an, und je Client sind höchstens zwei Geheimnisse möglich. Bei Microsoft gehen Sie auf Zertifikate und Geheimnisse ‣ Neues Clientgeheimnis, vergeben eine Beschreibung wie Odoo Fetchmail und setzen ein Ablaufdatum; den Wert kopieren Sie sofort, er wird später nicht mehr angezeigt.
Microsoft begrenzt die Laufzeit eines Clientgeheimnisses auf höchstens 24 Monate und empfiehlt weniger als 12 Monate. Ein abgelaufenes Geheimnis unterbricht die Verbindung, deshalb notieren Sie das Datum. Endzustand: ID und Geheimnis liegen bereit, ein Termin vor dem Ablaufdatum ist eingeplant.
Schritt 5: Modul installieren und Anmeldedaten eintragen
Öffnen Sie Einstellungen ‣ Allgemeine Einstellungen und aktivieren Sie im Abschnitt E-Mails die Option Benutzerdefinierte E-Mail-Server verwenden, dann Speichern. Erst damit erscheinen die Optionen Einen Gmail-Server verwenden und Einen Outlook-Server verwenden; die Dokumentation 20.0 beschreibt für beide Anbieter, dass diese Option erst nach dem Aktivieren und Speichern der Option Benutzerdefinierte E-Mail-Server verwenden erscheint.
Installieren Sie das Modul Google Gmail beziehungsweise Microsoft Outlook über die Option im Abschnitt E-Mails oder im Apps-Menü und speichern Sie. Tragen Sie danach im erscheinenden Abschnitt ID und Geheimnis ein und speichern Sie erneut. Endzustand: Die Datenbank kennt die OAuth-Anwendung.
Schritt 6: Postausgangsserver verbinden
Klicken Sie unter derselben Option auf Postausgangsserver und legen Sie einen Datensatz an. Wählen Sie im Feld Authentifizieren mit den Wert Gmail-OAuth-Authentifizierung oder Outlook-OAuth-Authentifizierung: Der Modulcode des öffentlichen Community-Zweigs 20.0 setzt dann Server, Port 587 und die Verschlüsselung TLS (STARTTLS) vor.
Tragen Sie als Benutzername die vollständige Postfachadresse ein und lassen Sie das Feld Passwort leer; ein gefülltes Passwortfeld oder eine andere Verschlüsselung weist Odoo im öffentlichen Community-Zweig 20.0 mit einem Fehler zurück. Dort setzt der Modulcode die VON-Filterung auf den Benutzernamen, sodass der Server nur für diese Adresse sendet. Klicken Sie auf Verbinden Sie Ihr Gmail-Konto oder Verbinden Sie Ihr Outlook-Konto und schließen Sie die Anmeldung im Fenster des Anbieters ab; danach zeigt Odoo Gmail-Token gültig oder Outlook-Token Gültig. Schließen Sie mit Testverbindung ab. Endzustand: Der Datensatz ist gespeichert und der Token gültig.
Schritt 7: Posteingangsserver verbinden
Aktivieren Sie den Entwicklermodus und öffnen Sie Einstellungen ‣ Technisch ‣ E-Mails: Posteingangsserver. Legen Sie einen Datensatz je Postfach an, das Odoo abrufen soll, und wählen Sie als Servertyp Gmail-OAuth-Authentifizierung oder Outlook-OAuth-Authentifizierung. Der Modulcode des öffentlichen Community-Zweigs 20.0 setzt IMAP mit Port 993 vor und verlangt SSL; ohne SSL bricht Odoo mit der Meldung SSL ist für den Server erforderlich ab.
Tragen Sie den Benutzernamen ein, verbinden Sie das Konto über dieselbe Schaltfläche und bestimmen Sie, in welchem Modell neue Datensätze entstehen sollen. Der Abruf hängt an der geplanten Aktion Mail: Fetchmail Service, deshalb kommen Nachrichten nicht sofort an. Endzustand: Der Datensatz ist aktiv und der Token gültig.
So prüfen Sie das Ergebnis
- Beide Server zeigen den gültigen Token-Vermerk, und die Testverbindung am Ausgangsserver war erfolgreich. Eine erfolgreiche Testverbindung belegt laut Dokumentation noch keine Zustellung.
- Senden Sie aus dem Chatter eines Vorgangs eine Nachricht an ein Postfach außerhalb Ihrer Domain und prüfen Sie im Quelltext die Absenderzeile. Bei einem persönlichen OAuth-Server sendet Odoo im öffentlichen Community-Zweig 20.0 unter dem eingetragenen Benutzernamen.
- Antworten Sie aus dem Empfängerpostfach auf diese Nachricht; sie muss im selben Chatter erscheinen.
- Senden Sie eine neue Nachricht an einen Alias, die keine Antwort ist, und prüfen Sie, ob der erwartete Datensatz entsteht. Über den Posteingangsserver geschieht das erst nach dem nächsten Lauf von Mail: Fetchmail Service.
- Senden Sie aus Odoo eine Benachrichtigung an mehrere Empfänger. Sendet ein persönlicher OAuth-Server für das ganze Unternehmen, braucht der Benachrichtigungsversand einen Server mit passender VON-Filterung oder den Systemparameter
mail.default.from; sonst verwendet Odoo die Benachrichtigungsadresse.
Wer das Postfach lesen darf
Ein OAuth-Zugang gibt der Datenbank und den Personen, die den Server verbinden dürfen – im öffentlichen Community-Zweig 20.0 nur Administratoren –, Zugriff auf den Inhalt eines Postfachs. Für personenbezogene Daten darin – Kunden, Mitarbeitende, Bewerbende – verlangt Art. 32 Abs. 1 DSGVO in Deutschland und Österreich geeignete technische und organisatorische Maßnahmen für ein dem Risiko angemessenes Schutzniveau (anwendbar seit 25. Mai 2018). Für die Schweiz verlangt Art. 8 Abs. 1 DSG eine dem Risiko angemessene Datensicherheit (in Kraft seit 1. September 2023).
Für den Zugriff selbst gilt: Die Dokumentation 20.0 ist auf geteilte Postfächer ausgelegt und rät von persönlichen Adressen als Posteingangsserver ab; sie nennt Sicherheitsrisiken, falsches Routing und Probleme beim Zuordnen von Antworten. Beim Anbieter beschränken Sie die Anwendung auf die Berechtigungen für Senden und Abrufen; bei Microsoft 365 sind das SMTP.Send und IMAP.AccessAsUser.All. Halten Sie außerdem die Zahl der Konten klein, die den Server verbinden oder das Postfach lesen dürfen, und prüfen Sie diese Liste bei Personalwechsel (redaktionelle Einschätzung).
Wenn etwas nicht klappt
| Symptom | Ursache | Abhilfe |
|---|---|---|
| Google meldet 403 access denied | Im Testmodus sind keine Testnutzer eingetragen | Die betroffene Adresse im Zustimmungsbildschirm als Testnutzer hinzufügen |
| Google meldet Authorization Error | Als Anwendungstyp wurde Desktop-App gewählt | Anmeldedaten löschen, neue als Webanwendung mit Weiterleitungsadresse anlegen |
| Google meldet Forbidden | Das Modul Google Gmail ist nicht auf dem Stand der Datenbank | Das Modul im Apps-Menü aktualisieren |
| Der Anbieter meldet redirect_uri_mismatch oder eine ungültige Weiterleitung | Gespeicherte und aufgerufene Adresse weichen ab: anderes Schema, anderer Datenbankname oder fehlender Pfad | Adresse beim Anbieter korrigieren; bei Microsoft die Basis-URL der Datenbank prüfen |
| Microsoft verlangt Administratorzustimmung | Die Richtlinie des Mandanten lässt Benutzern die Zustimmung nicht zu | Zustimmung durch einen Administrator erteilen, Richtlinie nach der Microsoft-Anleitung anpassen |
| Die Schaltfläche zum Verbinden erscheint nicht | Im öffentlichen Community-Zweig 20.0 ist sie Administratoren vorbehalten, und nur sie dürfen den Server verbinden | Einen Administrator verbinden lassen und den Datensatz danach wie vorgesehen nutzen |
| Odoo weist den Ausgangsserver beim Speichern zurück | Passwortfeld gefüllt oder andere Verschlüsselung (Prüfung im öffentlichen Community-Zweig 20.0) | Passwortfeld leeren, Verschlüsselung auf TLS (STARTTLS) setzen |
| Microsoft 365 weist den Versand ab, der Empfang funktioniert | Für das Postfach ist der authentifizierte SMTP-Versand nicht zugelassen | Im Microsoft-365-Admincenter unter Benutzer ‣ Mail ‣ E-Mail-Apps den authentifizierten SMTP einschalten; Security Defaults schalten ihn mandantenweit ab |
| Die Verbindung bricht nach Monaten ab | Das Client-Geheimnis ist abgelaufen | Neues Geheimnis anlegen, in Odoo eintragen, Server erneut verbinden |
| Odoo meldet im öffentlichen Community-Zweig 20.0, die Adresse des Kontos passe nicht zum Server | Bei einem persönlichen Mailserver gehört das angemeldete Konto zu einer anderen Adresse | Dasselbe Konto verwenden oder den Server als geteiltes Postfach anlegen |
Wann Sie Hilfe holen sollten
Holen Sie Ihre IT oder Ihren Partner dazu, wenn die Basis-URL der Datenbank geändert werden soll: An ihr hängen beide Weiterleitungsadressen und damit alle Token-Verbindungen. Dasselbe gilt, wenn Ihr Mandant die Zustimmung zu Anwendungen einschränkt oder der Zugang über einen Proxy läuft.
Für Aliase und Weiterleitungen neben dem OAuth-Weg hilft E-Mail in Odoo: Eingangsserver, Aliase und Versand, für die Anmeldung von Personen über einen Anbieter Zwei-Faktor-Anmeldung und SSO in Odoo. Wenn Nachrichten ankommen, aber im Spam landen, führt Odoo-Mails kommen nicht an: SPF, DKIM, DMARC weiter; für die Ticketannahme aus einem geteilten Postfach Tickets per E-Mail in Odoo annehmen.