← Alle Beiträge

Praxis-Tipp8. November 2026

Odoo absichern: Der offene Datenbankmanager ist ein Einfallstor

Odoo bringt einen Datenbankmanager mit, über den man Datenbanken anlegen, kopieren, sichern und löschen kann. Ist er aus dem Internet erreichbar und nur schwach geschützt, haben Angreifer leichtes Spiel.

Was wir in der Praxis sehen

In diesem Jahr haben wir mehrere Odoo-Installationen gesehen, die über einen offenen Datenbankmanager angegriffen wurden. Die Angreifer nutzten ein Standard-Masterpasswort, verschafften sich Zugriff und installierten Programme, die heimlich Kryptowährung schürfen. Die Server wurden langsam, und die Angreifer hatten Zugriff auf alle Geschäftsdaten.

Die Ursache war jedes Mal dieselbe: Odoo lief mit Einstellungen, die für eine Testumgebung gedacht sind.

Drei Einstellungen, die jede Odoo-Installation haben sollte

1. Ein starkes Masterpasswort: In der Konfigurationsdatei muss admin_passwd auf ein langes, zufälliges Passwort gesetzt sein, nie auf „admin“ oder ein leeres Feld.
2. Datenbankliste ausschalten: Mit list_db = False zeigt Odoo die Liste der Datenbanken nicht mehr an, und der Datenbankmanager ist im Browser nicht mehr nutzbar.
3. Datenbankfilter setzen: Mit dbfilter wird jede Domain fest einer Datenbank zugeordnet, zum Beispiel ^%d$.

Zusätzlich sollte Odoo nur über HTTPS hinter einem Reverse Proxy erreichbar sein, und der Pfad /web/database kann dort zusätzlich gesperrt werden.