Was Moodle ist

Moodle ist eine Lernplattform für Kurse mit Aufgaben, Tests, Foren, Bewertungen und Abschlussverfolgung. Martin Dougiamas hat sie 2001 veröffentlicht. Der Quellcode steht unter der GNU GPL v3, und das Projekt nennt rund 154.000 Moodle-Sites weltweit.

Projektträger und Markeninhaberin ist die Moodle Pty Ltd aus West Perth in Australien. Seit 2017 hält eine Tochter der französischen Familienholding Leclercq eine Minderheitsbeteiligung. Moodle HQ bietet selbst Hosting, MoodleCloud und die kommerzielle Variante Moodle Workplace an, daneben gibt es zertifizierte Partner in vielen Ländern.

Wofür es eingesetzt wird

Hochschulen, Schulen, Behörden und Unternehmen nutzen Moodle für Lehrveranstaltungen, Fortbildungen und Pflichtschulungen. Wer keinen eigenen Betrieb aufbauen will, findet zertifizierte Partner, die Moodle in Deutschland hosten und betreuen.

Im Selbstbetrieb liegt die Verantwortung für Updates, Sicherung und Härtung beim eigenen Haus oder beim beauftragten Dienstleister. Für die Anmeldung über SAML braucht es ein Zusatzmodul, und viele Erweiterungen stammen von Dritten mit eigener Lizenz und Pflege.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz des freien Projekts im Selbstbetrieb; Fragen zu Anbieter und Vertrag sind für ein Open-Source-Projekt sinngemäß gelesen.

Rechtsraum eingeschränkt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	nein	Auslegung: Beim freien Projekt im Selbstbetrieb gibt es keinen Anbieter im Vertragssinn; bewertet wird der Projektträger. Projekt und Marke gehören der Moodle Pty Ltd mit Sitz in West Perth, Australien. Eine Minderheitsbeteiligung hält seit 2017 eine Tochter der französischen Familienholding Leclercq. Beleg: Privacy Notice · Moodle Developer Resources: License · Moodle Welcomes $6m European Investment to Fuel…
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	ja	Auslegung: Im Selbstbetrieb hat Moodle HQ keinen Zugriff auf Inhalte; für selbst betriebene Installationen ist die jeweilige Einrichtung datenschutzrechtlich verantwortlich. Die freiwillige Registrierung überträgt laut Doku aggregierte Daten, Moodle greift nach eigenen Angaben nicht auf die Site zu. Eine Herausgabeanordnung gegen den Projektträger würde daher keine Inhalte erfassen. Beleg: Privacy Notice · MoodleDocs: Site registration
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	ja	Im Selbstbetrieb liegen Datenbank, Dateien und Schlüssel ausschließlich in der Infrastruktur des Betreibers. Der Schutz beruht auf dem eigenen Betrieb; eine Ende-zu-Ende-Verschlüsselung ist für ein Lernsystem nicht vorgesehen. Beleg: GitHub-Repository moodle/moodle (README, COPYING… · Privacy Notice
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	teilweise	Hinter dem Projekt steht die Moodle Pty Ltd (West Perth, Australien); der Sitz ist in 1.1 bewertet. Öffentlich belegt ist nur eine Minderheitsbeteiligung der französischen Familienholding Leclercq (Education For The Many) von 2017; die vollständige Eigentümerstruktur der privaten Gesellschaft ist nicht veröffentlicht. Hinweise auf einen Kontrollwechsel im Zeitraum 05.11.2024 bis 05.11.2026 wurden nicht gefunden. Beleg: Moodle Welcomes $6m European Investment to Fuel… · About Moodle

Datenhoheit erfüllt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	ja	Auslegung: Im Selbstbetrieb des frei herunterladbaren GPL-Projekts bestimmt der Betreiber den Speicherort von Inhalten und Backups selbst; Kurssicherungen landen im Backup-Bereich der Site bzw. in einem vom Administrator gewählten Verzeichnis auf dem Server. Die freiwillige Registrierung bei Moodle überträgt keine Kursinhalte. Beleg: GitHub-Repository moodle/moodle (README, COPYING… · MoodleDocs: Course backup · MoodleDocs: Site registration
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	ja	Moodle lässt sich laut Projekt kostenlos herunterladen und auf einem eigenen Webserver betreiben, im eigenen Rechenzentrum oder bei einem frei gewählten Dienstleister. Für den Betrieb durch Dritte gibt es ein Netz zertifizierter Partner, etwa die eLeDia GmbH in Berlin. Beleg: GitHub-Repository moodle/moodle (README, COPYING… · About Moodle · Zertifizierungen und Auszeichnungen (Moodle Prem…
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	ja	Die Registrierung der Site bei Moodle ist freiwillig und lässt sich über „Unregister“ wieder aufheben; Pflicht ist sie nur für die Nutzung der offiziellen Moodle-App. Moodle verwendet die Daten laut Doku aggregiert und anonym für Statistiken. Eine vollständige Feldliste nennt die geprüfte Seite nicht; ohne Registrierung entfallen auch die vorab versandten Sicherheitshinweise. Beleg: MoodleDocs: Site registration · Moodle Developer Resources: Security process
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	ja	Auslegung: Im Selbstbetrieb verarbeitet der Betreiber die Daten; Moodle HQ betreibt keine eigenen KI-Modelle für das freie LMS. Das KI-Subsystem nutzt Anbieter, die der Administrator selbst einrichtet (z. B. OpenAI, Azure AI, Ollama). Die freiwillige Registrierung übermittelt laut Dokumentation keine Inhalte der Seite („We don't go into your site“). Beleg: MoodleDocs: AI subsystem · MoodleDocs: Site registration

Quellcode & Lizenz erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	ja	Moodle-Kern und Dokumentation stehen unter der GNU GPL v3 oder später, einer OSI-anerkannten Lizenz. Zusatzmodule aus dem Plugin-Verzeichnis lizenzieren ihre Entwickler jeweils selbst. Beleg: GitHub-Repository moodle/moodle (README, COPYING… · Moodle Developer Resources: License
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	ja	Der Kern läuft ohne proprietäre Bestandteile; LDAP und OAuth 2 sind als Anmeldeverfahren enthalten. SAML 2 erfordert das Zusatzmodul auth_saml2, das Catalyst IT pflegt; dessen Lizenz nennt die Plugin-Seite nicht. Die offizielle Moodle-App setzt die Registrierung bei Moodle HQ voraus. Beleg: GitHub-Repository moodle/moodle (README, COPYING… · MoodleDocs: LDAP authentication · MoodleDocs: OAuth 2 authentication · SAML2 Single sign on (auth_saml2) · MoodleDocs: Site registration
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	ja	Auslegung: Beim freien Projekt gibt es kein Vertragsende. Moodle läuft ohne Lizenzschlüssel unbegrenzt weiter. Sicherheitsupdates gibt es nur für unterstützte Versionen; für Moodle 5.3 bis Oktober 2029. Beleg: GitHub-Repository moodle/moodle (README, COPYING… · Moodle Developer Resources: Releases

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	teilweise	Auslegung: Das freie Projekt im Selbstbetrieb hat kein eigenes Zertifikat; Nachweise müssen für die eigene Betriebsumgebung erbracht werden. Ein ISO-27001-Zertifikat der Moodle Pty Ltd wurde nicht gefunden; die Trust-Seite war nicht abrufbar. Zertifizierte Partner wie eLeDia (ISO 27001 durch DQS für Hosting, Entwicklung und Support) bieten zertifizierten Betrieb an. Beleg: Moodle Hosting (Official Hosting, MoodleCloud, M… · Zertifizierungen und Auszeichnungen (Moodle Prem…
4.2 Öffentlicher Prozess für Sicherheitslücken?	ja	Sicherheitslücken werden über ein Meldeformular gemeldet, das an Bugcrowd angebunden ist. Moodle beantragt CVE-Kennungen, informiert registrierte Sites vorab per E-Mail und veröffentlicht Hinweise nach dem Update im Security-News-Forum; geprüft werden alle unterstützten Versionen. Eine bezahlte öffentliche Bug-Bounty gibt es nicht. Beleg: Moodle Developer Resources: Security process · Moodle Developer Resources: Releases
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	teilweise	Auslegung: Beim freien Projekt gibt es keinen Vertragspartner und keinen zugesicherten Support. Hosting, Support und Anpassungen bieten zertifizierte Partner an, darunter die eLeDia GmbH in Berlin. Deren Vertragsbedingungen und die Bedingungen von Moodle HQ wurden nicht geprüft. Beleg: About Moodle · Zertifizierungen und Auszeichnungen (Moodle Prem…
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	ja	Auslegung: Im Selbstbetrieb verarbeitet Moodle HQ keine Kundendaten; Unterauftragsverarbeiter entstehen nur durch die Wahl des Betreibers (Rechenzentrum, Partner, KI-Anbieter). Ausnahme sind optionale Dienste wie die Push-Benachrichtigungen für die Moodle App, die der Administrator aktivieren muss. Beleg: MoodleDocs: Site registration · MoodleDocs: Mobile app notifications
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	ja	Auslegung: Betrieb und Administration liegen beim Betreiber oder einem von ihm gewählten Dienstleister; das freie Projekt umfasst keinen Hersteller-Support mit Zugriff auf Kundensysteme. Laut Dokumentation greift Moodle auch bei registrierten Sites nicht auf die Site zu („We don't go into your site“). Beleg: GitHub-Repository moodle/moodle (README, COPYING… · MoodleDocs: Site registration

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Kurse lassen sich mit Nutzerdaten, Bewertungen und Protokollen als .mbz-Datei sichern, auch automatisiert und per Kommandozeile. Das Format ist für die Wiederherstellung in Moodle gedacht; andere Lernplattformen oder Austauschformate behandelt die Doku nicht. Im Selbstbetrieb sind Datenbank und Dateien zusätzlich mit Standardwerkzeugen sicherbar. Beleg: MoodleDocs: Course backup · GitHub-Repository moodle/moodle (README, COPYING…
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	LDAP und OAuth 2 (u. a. Google und Microsoft) sind als Anmeldeverfahren enthalten; SAML 2 gibt es über das verbreitete Zusatzmodul auth_saml2. Ein Web-Service-Framework stellt Endpunkte bereit; jede Installation erzeugt ihre API-Dokumentation selbst. Beleg: MoodleDocs: LDAP authentication · MoodleDocs: OAuth 2 authentication · SAML2 Single sign on (auth_saml2) · Moodle Developer Resources: External Services
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	ja	Im Selbstbetrieb hat der Betreiber vollen Zugriff auf Datenbank und Dateien und kann ohne Mitwirkung oder Kosten eines Anbieters exportieren; Kurssicherungen lassen sich per Kommandozeile für alle Kurse erstellen. Beleg: MoodleDocs: Course backup · GitHub-Repository moodle/moodle (README, COPYING…

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Welche Daten die Registrierung bei Moodle HQ im Einzelnen überträgt.
Unter welcher Lizenz das SAML-Zusatzmodul steht.
Ob die Moodle Pty Ltd selbst nach ISO 27001 zertifiziert ist.
Welche Vertragsbedingungen Moodle HQ und europäische Partner für Hosting und Support anbieten.
Wie die Beteiligungsverhältnisse an der Moodle Pty Ltd heute aussehen.
Wer die Mehrheit an der Moodle Pty Ltd hält, weil die Gesellschaft ihre Eigentümerstruktur nicht veröffentlicht.

Fragen vor einer Entscheidung

Wer betreibt und aktualisiert Ihre Moodle-Instanz, und bleiben Sie auf einer Version mit Sicherheitsupdates?
Welche Zusatzmodule setzen Sie ein, und wer pflegt sie, wenn ihre Entwickler aufhören?
Haben Sie Ihre Site registriert, und wie erhalten Sie sonst Sicherheitshinweise vor der Veröffentlichung?
Wie würden Sie Kurse, Bewertungen und Protokolle in ein anderes Lernsystem übernehmen?

Moodle