Ein ERP bündelt Ihre Preise, Gehälter, Kundenlisten und Bankdaten an einem Ort. Das macht es sehr nützlich – bedeutet aber auch, dass eine nachlässige Zugriffskonfiguration sensible Daten offenlegen oder einer einzelnen Person Handlungen erlauben kann, die ein Vier-Augen-Prinzip erfordern sollten. Odoo 19 bietet dafür ein mehrstufiges Kontrollsystem. Richtig eingesetzt, kann jede Person ihre Arbeit erledigen, ohne mehr zu sehen oder zu ändern, als sie sollte.
Ein Hinweis zu den Quellen: Dieser Leitfaden folgt der offiziellen Odoo-Dokumentation für Version 19.0. Menünamen und Optionen können sich je nach Version, Edition und installierten Apps unterscheiden. Prüfen Sie daher jeden Schritt in einer Test- oder duplizierten Datenbank, bevor Sie ihn im Live-System anwenden.
Zuerst die Benutzertypen kennen
Odoo kennt drei Benutzertypen. Interne Benutzer sind Mitarbeiter, die in der Datenbank arbeiten. Portalbenutzer sind externe Personen wie Kunden oder Lieferanten, die ihre eigenen Datensätze über das Portal einsehen. Öffentliche Benutzer sind Besucher im Website-Frontend.
Die offizielle Dokumentation beschreibt Administratoren zudem als interne Benutzer mit erweiterten Berechtigungen, etwa für technische Funktionen und den Datenexport. Behandeln Sie die Administratorrolle als Privileg für wenige vertrauenswürdige Personen, nicht als Bequemlichkeit für alle.
Portalbenutzer werden anders behandelt als interne Benutzer. Odoo erlaubt es nicht, für einen Portalbenutzer App-Zugriffsrechte festzulegen. Portalbenutzer erhalten stattdessen vordefinierte Datensatzregeln und eingeschränkte Menüs, und laut Dokumentation haben Portalbenutzer nur Lese- bzw. Ansichtszugriff auf Dokumente in der Datenbank.
Typische Portalanwendungen sind das Verfolgen und Bezahlen von Aufträgen, das Herunterladen und Bezahlen von Rechnungen, die Verwaltung von Zahlungsmethoden und Abonnements sowie die Pflege von Adressen.
Wie Odoo die Zugriffskontrolle staffelt
Es hilft, sich den Zugriff in Odoo als Abfolge von Filtern vorzustellen. Der Benutzertyp setzt den groben Rahmen. Die App-Zugriffsstufen im Benutzerformular legen fest, welche Apps die Person nutzen kann und in welchem Umfang. Hinter diesen Stufen stehen Gruppen, die Rechte auf Modellebene zum Lesen, Schreiben, Erstellen und Löschen enthalten. Datensatzregeln schränken dann ein, auf welche einzelnen Datensätze eine Gruppe zugreifen darf. Darüber hinaus können Sie einzelne Felder vor bestimmten Gruppen verbergen, die Unternehmen begrenzen, die ein Benutzer öffnen kann, und die Anmeldung selbst absichern.
Benutzer anlegen und App-Zugriff zuweisen
Um einen internen Benutzer hinzuzufügen, öffnen Sie die App Einstellungen, gehen zum Abschnitt Benutzer, klicken auf „Benutzer verwalten“ und dann auf „Neu“. Füllen Sie das Formular aus, einschließlich der E-Mail-Adresse.
Wählen Sie im Reiter „Zugriffsrechte“ für jede Anwendung eine Stufe. Hier erscheinen nur Apps, die in der Datenbank installiert sind. Übliche Stufen sind leer (kein Zugriff), „Benutzer: Nur eigene Dokumente“, „Benutzer: Alle Dokumente“ und „Administrator“; die genauen Optionen variieren jedoch je nach App.
Speichern Sie den Benutzer. Odoo sendet eine Einladung an die im Formular angegebene E-Mail-Adresse, und die Person muss sie annehmen, um ihr Login anzulegen. In der Ansicht „Benutzer verwalten“ helfen die Filter „Interner Benutzer“ und „Portalbenutzer“, jeden Typ separat zu prüfen.
Beginnen Sie bei jedem neuen Benutzer mit der niedrigsten Stufe, mit der er seine Arbeit erledigen kann, und erweitern Sie den Zugriff, wenn ein klarer Bedarf besteht. Zugriff später zu entziehen ist immer schwieriger, als ihn von Anfang an sorgfältig zu vergeben.
Gruppen, Datensatzregeln und Feldsicherheit
Die Stufen, die Sie im Reiter „Zugriffsrechte“ wählen, entsprechen im Hintergrund Gruppen. Um sie zu sehen, aktivieren Sie den Entwicklermodus im Abschnitt Entwickler-Tools der App Einstellungen. Anschließend können Sie im Benutzer den Reiter „Technische Zugriffsrechte“ öffnen, der die ausgewählten Gruppen sowie die Gruppen auflistet, die automatisch hinzugefügt wurden, weil andere Gruppen sie implizieren.
In diesem Reiter kennzeichnet Grün ein Recht, das bereits durch eine andere Berechtigung gewährt wird, Rot kennzeichnet Rechte, die sich widersprechen und nicht gleichzeitig aktiv sein können, und Kursivschrift kennzeichnet Rechte, die von einer ausgewählten Gruppe impliziert werden. Das Entfernen einer ausgewählten Gruppe kann auch die automatisch hinzugefügten Gruppen verändern – prüfen Sie das Ergebnis daher nach jeder Änderung.
Bei aktivem Entwicklermodus sind Gruppen unter Einstellungen > Benutzer & Unternehmen > Gruppen aufgeführt. Jedes Gruppenformular zeigt die Benutzer, geerbte Gruppen, Menüs, Ansichten, Zugriffsrechte auf Modellebene mit den Optionen Lesen, Schreiben, Erstellen und Löschen sowie Datensatzregeln.
Datensatzregeln sind Filter auf Zeilenebene, die als Domains formuliert werden, also als Filterbedingungen für den Datensatz. Jede Regel kann getrennt für Lesen, Schreiben, Erstellen und Löschen gelten. Mit ihnen beschränkt Odoo beispielsweise einen Vertriebsmitarbeiter auf seine eigenen Dokumente.
Die Odoo-Dokumentation warnt, dass nur Administratoren Zugriffsrechte ändern können und dass unbedachte Änderungen die Datenbank in einen Zustand versetzen können, in dem kein Benutzer sie mehr korrigieren kann. Sie empfiehlt, vor der direkten Bearbeitung von Gruppen oder Datensatzregeln einen erfahrenen Analysten hinzuzuziehen. In der Praxis sollten Sie die Standardstufen im Reiter „Zugriffsrechte“ bevorzugen und Gruppen und Regeln nur dann anfassen, wenn die Standardoptionen wirklich nicht passen.
Der Abschnitt Administration im Reiter „Zugriffsrechte“ eines Benutzers steuert, wer das System selbst verwalten darf. Mit „Zugriffsrechte“ kann eine Person den Zugriff anderer Benutzer verwalten, während „Einstellungen“ einen umfassenderen Konfigurationszugriff gewährt.
Der Superuser-Modus, der im Entwicklermodus über das Debug-Menü für Benutzer mit Zugriff auf die Einstellungen verfügbar ist, umgeht Datensatzregeln und Zugriffsrechte vollständig. Nutzen Sie ihn nur für Notfälle und zur Fehlersuche, niemals für die tägliche Arbeit, und melden Sie sich von der Superuser-Sitzung ab, sobald Sie fertig sind.
Manchmal soll eine Person einen Datensatz nutzen, aber ein bestimmtes Feld darauf nicht sehen, etwa Kosten oder ein Gehalt. In Odoo Studio gehören zu den Feldeigenschaften „Sichtbarkeit für Gruppen erlauben“, „Sichtbarkeit für Gruppen verbieten“ und „Schreibgeschützt“, sodass Sie einschränken können, wer ein bestimmtes Feld sieht oder bearbeitet.
Studio kann außerdem Genehmigungsregeln konfigurieren und Sicherheitsregeln anpassen. Studio ist Teil von Odoo Enterprise und in Community nicht verfügbar. Laut Dokumentation kann seine Installation Ihren Abonnementplan beeinflussen – prüfen Sie das also, bevor Sie beginnen.
In Odoo Community ist das zentrale Sicherheits-Framework aus Gruppen, Zugriffsrechten auf Modellebene und Datensatzregeln weiterhin vorhanden. Ohne Studio werden Änderungen auf Feldebene und eigene Regeln in der Regel von einem Entwickler über ein eigenes Modul umgesetzt.
Zugriff bei mehreren Unternehmen
Eine Odoo-Datenbank kann mehrere Unternehmen enthalten. Im Benutzerformular legt der Bereich „Mehrere Unternehmen“ im Reiter „Zugriffsrechte“ die erlaubten Unternehmen fest, in denen der Benutzer arbeiten darf, sowie das Standardunternehmen, in dem er nach der Anmeldung landet.
Benutzer wechseln über die Unternehmensauswahl oben rechts in der Kopfzeile zwischen ihren erlaubten Unternehmen und können mehrere Unternehmen ankreuzen, um gleichzeitig unternehmensübergreifend zu arbeiten.
Das Feld Unternehmen auf einem Datensatz steuert dessen Sichtbarkeit. Ein leeres Feld Unternehmen macht den Datensatz für alle Unternehmen verfügbar, während ein bestimmtes Unternehmen ihn auf Benutzer beschränkt, die in diesem Unternehmen angemeldet sind. Belege wie Angebote, Kundenrechnungen und Lieferantenrechnungen erscheinen nur, wenn Sie in ihrem Unternehmen angemeldet sind. Neue Produkte und Kontakte werden standardmäßig geteilt, sofern Sie kein Unternehmen für sie festlegen.
Die Dokumentation warnt, dass falsche Einstellungen für mehrere Unternehmen zu inkonsistentem Verhalten führen können; nur erfahrene Administratoren sollten sie daher ändern. Legen Sie bei Konzernstrukturen frühzeitig fest, welche Daten geteilt werden und welche unternehmensspezifisch sind, und testen Sie unternehmensübergreifende Abläufe vor dem Go-live.
Zwei-Faktor-Authentifizierung und Passwortrichtlinie
Jeder Benutzer kann die Zwei-Faktor-Authentifizierung unter „Meine Einstellungen“ im Reiter „Sicherheit“ mit einem Klick auf „2FA aktivieren“ einschalten. Nach Bestätigung des Passworts scannt er einen QR-Code mit einer Authenticator-App und gibt den Bestätigungscode ein.
Administratoren können die Zwei-Faktor-Authentifizierung im Abschnitt Berechtigungen der App Einstellungen erzwingen, indem sie „Zwei-Faktor-Authentifizierung erzwingen“ ankreuzen und „Nur Mitarbeiter“ oder „Alle Benutzer“ wählen. „Alle Benutzer“ schließt auch Portalbenutzer ein.
Verliert ein Benutzer den Zugang zu seinem Authenticator, muss ein Administrator die Zwei-Faktor-Authentifizierung für dieses Konto deaktivieren, bevor sich der Benutzer wieder anmelden kann. Nehmen Sie diesen Wiederherstellungsschritt in Ihr Supportverfahren auf, damit er mit einer ordnungsgemäßen Identitätsprüfung erfolgt.
Installieren Sie für Passwörter das Modul Password Policy und legen Sie im Abschnitt Berechtigungen der Einstellungen eine Mindestlänge für Passwörter fest. Im selben Abschnitt können Sie mit der Option „Passwort zurücksetzen“ außerdem entscheiden, ob Benutzer ihr Passwort selbst über die Anmeldeseite zurücksetzen dürfen.
Ist das Modul für Sitzungs-Timeouts installiert, erhalten Gruppenformulare einen Reiter „Timeouts“. Dort können Sie Bildschirmsperren bei Inaktivität und Sitzungsabmeldungen festlegen, optional kombiniert mit Zwei-Faktor-Authentifizierung.
Nachvollziehbarkeit: Chatter und der Prüfpfad der Buchhaltung
Der Chatter auf nahezu jedem Datensatz liefert eine fortlaufende Historie. Ändert sich ein Datensatz, protokolliert Odoo eine Notiz mit den Änderungsdetails und einem Zeitstempel; Änderungen durch Importe oder Systemaktionen werden OdooBot zugeschrieben. Notizen sind nur für interne Benutzer sichtbar.
In der Buchhaltung erfasst der Prüfpfad Änderungen an Feldern, die sich auf die Bücher auswirken, einschließlich Datum und Uhrzeit, Benutzer, Art der Änderung sowie vorherigem und neuem Wert. Er ist unter Buchhaltung > Prüfung > Prüfpfad verfügbar.
Die optionale Einstellung „Restriktiver Prüfpfad“ im Abschnitt Berichtswesen der Buchhaltungseinstellungen verhindert, dass erfasste Datensätze gelöscht werden. Sie können nur storniert oder archiviert werden, wodurch die Historie erhalten bleibt.
Beispiele für Funktionstrennung
Funktionstrennung bedeutet, dass keine einzelne Person einen sensiblen Prozess vollständig von Anfang bis Ende kontrolliert. Mit den App-Zugriffsstufen, Gruppen und Genehmigungsregeln von Odoo lassen sich diese Schritte auf verschiedene Personen aufteilen.
- Wer Lieferanten und deren Bankdaten anlegt, sollte nicht dieselbe Person sein, die Zahlungen erfasst und versendet.
- Mitarbeiter im Einkauf erstellen Anfragen und Bestellungen, während eine Führungskraft mit höheren Rechten Bestellungen oberhalb eines vereinbarten Limits genehmigt.
- Lagermitarbeiter validieren Wareneingänge und Lieferungen, während Bestandsanpassungen von jemandem außerhalb des Lagerteams genehmigt werden.
- Vorbereitung und Freigabe der Lohnabrechnung liegen bei unterschiedlichen Personen, und Gehaltsfelder sind für Benutzer verborgen, die sie nicht benötigen.
- Nur eine kleine IT- oder Admin-Gruppe besitzt die Administrationsstufe „Zugriffsrechte“, und niemand genehmigt Änderungen am eigenen Zugriff.
In kleineren Unternehmen, in denen eine vollständige Trennung nicht möglich ist, gleichen Sie dies durch Kontrollen aus: Nutzen Sie die Chatter-Historie und den Prüfpfad der Buchhaltung, um sensible Änderungen regelmäßig zu überprüfen.
Bewährte Praktiken und regelmäßige Überprüfung
- Vergeben Sie nur den minimal nötigen Zugriff und dokumentieren Sie, warum jeder Benutzer welche Stufe hat.
- Halten Sie die Liste der Administratoren kurz und namentlich, und vermeiden Sie gemeinsam genutzte Logins.
- Erzwingen Sie Zwei-Faktor-Authentifizierung und eine Mindestlänge für Passwörter.
- Archivieren Sie Benutzer umgehend, wenn sie das Unternehmen verlassen, und widerrufen Sie den Portalzugang für Kontakte, die ihn nicht mehr benötigen.
- Testen Sie jede Zugriffsänderung mit einem Testbenutzer in einer duplizierten Datenbank, bevor Sie sie live anwenden.
- Überprüfen Sie Benutzer, Gruppen und erlaubte Unternehmen nach einem festen Zeitplan, etwa vierteljährlich, sowie nach jeder Umstrukturierung.
Um einen Benutzer zu archivieren, wählen Sie ihn unter „Benutzer verwalten“ aus, öffnen das Aktionsmenü und wählen „Archivieren“. Um den Portalzugang zu entfernen, öffnen Sie den Kontakt, wählen im Aktionsmenü „Portalzugang gewähren“ und klicken auf „Zugriff widerrufen“.
Eine regelmäßige Überprüfung sollte jeden aktiven Benutzer mit seiner aktuellen Tätigkeit abgleichen, prüfen, wer die Stufen Administrator oder „Zugriffsrechte“ besitzt, die erlaubten Unternehmen bestätigen und jüngste sensible Änderungen im Chatter und im Prüfpfad sichten. Halten Sie jede Überprüfung kurz schriftlich fest, damit Sie sie Prüfern vorlegen können.
Wie 1CBMS Sie unterstützen kann
1CBMS konzipiert und implementiert Zugriffsmodelle in Odoo 19 für Unternehmen in Ägypten und im Irak. Wir bilden Ihre Organisation und Ihre Genehmigungsrichtlinien auf Benutzer, Gruppen, Datensatzregeln und Einstellungen für mehrere Unternehmen ab, richten Zwei-Faktor-Authentifizierung und Passwortregeln ein, verankern die Funktionstrennung in Ihren täglichen Abläufen, testen alles in einer Staging-Datenbank und schulen Ihr Team für regelmäßige Zugriffsprüfungen. Kontaktieren Sie uns über www.1cbms.com, um Ihre Odoo-Datenbank prüfen oder absichern zu lassen.