Was ein Salesforce PDO macht, und wann Sie einen beauftragen

Kurze Antwort: Ein Salesforce PDO (Product Development Outsourcer) ist ein Salesforce-Beratungspartner, der kommerzielle Apps auf der Plattform für Softwareanbieter baut, paketiert und durch die Security Review auf AgentExchange bringt, den Marktplatz, der AppExchange im April 2026 aufgenommen hat. Sie beauftragen einen, wenn Sie ein Produkt auf Salesforce ausliefern wollen, nicht wenn Ihnen ein Entwickler fehlt.

Was ist ein Salesforce PDO?

Ein Product Development Outsourcer ist ein Salesforce-Partner, der darauf spezialisiert ist, Produkte auf der Plattform zu bauen, statt die Plattform für ein einzelnes Unternehmen einzurichten. ISVs (unabhängige Softwareanbieter) geben ihm die Teile der Produktlieferung, die Salesforce-spezifisch sind: Paketarchitektur, Namespace- und Abhängigkeitsstrategie, Lizenzierung, das Marktplatz-Listing und die Security Review, die alles davon absichert.

Der Unterschied in einer Zeile:

• Ein Systemintegrator passt Salesforce an Ihr Unternehmen an.
• Ein PDO macht aus Ihrer Idee etwas, das andere Unternehmen bei sich installieren.

Was macht ein Salesforce PDO konkret?

• Produktarchitektur. Was gehört in das Managed Package, was bleibt in Ihrem eigenen Dienst, was muss pro Subscriber konfigurierbar sein.
• Paketierung. 1GP oder 2GP, Namespace-Registrierung, Abhängigkeiten zwischen Paketen und eine Versionsstrategie, die Jahre trägt. Falls das noch nicht entschieden ist, zeigt unser Leitfaden zu den Salesforce-Packaging-Modellen für ISVs die Abwägungen, bevor ein PDO sie festschreibt.
• Security Review. Vorbereitung, Einreichung und Nacharbeit, wenn die Prüfer mit Findings zurückkommen.
• Lizenzierung und Provisionierung. Die License Management App, Trial-Flows und das Listing selbst.
• Release Engineering nach dem Launch. Patches, Upgrades und gepushte Versionen, die Orgs nicht zerlegen, die Sie nicht sehen können.
• Supportmodell. Ein ISV betreut Installationen, die er nicht kontrolliert. Das ist eine andere Disziplin als der Support einer einzelnen Org.

Nur der erste Punkt sieht nach gewöhnlicher Salesforce-Arbeit aus. Der Rest ist Produktbetrieb, und genau dort verlieren erstmalige ISVs ganze Quartale. Diesen gesamten Umfang, vom ersten Entwurf bis zum gelisteten Paket, deckt unser AppExchange-App-Entwicklungsservice ab.

Was hat sich 2026 für Salesforce PDOs und ISVs geändert?

Drei Plattformverschiebungen ändern, was ein PDO in diesem Jahr wissen muss:

• Aus AppExchange wurde AgentExchange. Am 17. April 2026 hat Salesforce AgentExchange angekündigt, einen gemeinsamen Marktplatz, der AppExchange, den Slack Marketplace und das Agentforce-Ökosystem vereint, mit mehr als 10.000 Salesforce- und Partner-Apps. Jede gelistete Lösung durchläuft weiterhin die Security Review.
• Connected Apps wichen External Client Apps. Die Entwicklerdokumentation von Salesforce nennt die Erstellung von Connected Apps seit Spring '26 eingeschränkt und empfiehlt stattdessen External Client Apps. Trailhead nennt die Möglichkeit, External Client Apps mit Second-Generation Managed Packages zu verteilen ihren größten Vorteil, wobei die OAuth Consumer Credentials außerhalb des Pakets bleiben.
• Die Frist für die OAuth-Härtung ist verstrichen. Partner hatten bis zum 11. Mai 2026 Zeit, vier Kontrollen für ihre Apps zu aktivieren und sich selbst zu attestieren. Mehr dazu unten.

Wann sollten Sie einen Salesforce PDO beauftragen?

Fünf Signale, grob nach Dringlichkeit:

1. Sie haben eine Produktthese und einen ersten Designpartner, aber keinen Namespace und keine schriftliche Paketierungsentscheidung. Das ist der günstigste Moment, denn noch ist nichts festgelegt.
2. Ihre App läuft in der Sandbox und bricht als Paket. Namespace-Präfixe, dynamisches SOQL und Abhängigkeiten zwischen Paketen scheitern auf Wegen, die unpaketierter Code nie zeigt.
3. Sie gehen zum ersten Mal in die Security Review. Das Risiko ist selten eine einzelne Ablehnung, sondern drei Ablehnungen und zwei verlorene Quartale. Unser Beitrag dazu, wie ISVs die AppExchange Security Review bestehen, zeigt, wo diese Zyklen meist verloren gehen.
4. Sie sind auf 1GP und wollen nach 2GP. Salesforce hat Package Migrations mit Summer '25 allgemein verfügbar gemacht: Die Funktion konvertiert ein 1GP-Paket nach 2GP und migriert installierte Subscriber mit. Die Frage ist nicht mehr ob, sondern wann und in welcher Reihenfolge, und welche 2GP-Entscheidungen dauerhaft sind, sobald Sie sie treffen. External Client Apps stärken das Argument zusätzlich, denn sie sind dafür gebaut, in 2GP ausgeliefert zu werden.
5. Sie haben Subscriber und jedes Release ist zum Risiko geworden. Sobald andere Unternehmen an Ihren Versionsnummern hängen, ist Release Engineering nicht mehr optional.

Warum ist ein PDO eine Produktentscheidung und keine Personalentscheidung?

Staff Augmentation beantwortet eine Kapazitätsfrage: Wir brauchen sechs Monate lang zwei zusätzliche Apex-Entwickler. Ein PDO-Auftrag beantwortet eine Produktfrage: Version 1.0 muss im zweiten Quartal gelistet, geprüft und installierbar sein. Der zweite Rahmen ist schwerer einzukaufen und deutlich besser zu verantworten, denn fast jeder teure Fehler in der ISV-Lieferung ist eine Entscheidung und kein Mangel an Händen.

Ein Namespace wird einmal registriert und bleibt am Paket. Die Wahl zwischen 1GP und 2GP legt Ihr Releasemodell für Jahre fest. Was im Paket liegt, bestimmt, was Sie später ändern können, ohne jeden Subscriber um Erlaubnis zu bitten. Nichts davon löst sich, indem man einem Team Kapazität hinzufügt, das noch nie ein Paket ausgeliefert hat.

Wenn Ihre Salesforce-Arbeit eine Roadmap, Subscriber und eine Versionsnummer hat, kaufen Sie Produktengineering ein. Kaufen Sie es auch so ein.

Worauf prüft die Salesforce Security Review wirklich?

Die Security Review ist ein Produkttor, keine Stilprüfung für Code. Sie sieht sich an, wie Ihr Paket mit Daten, Secrets, Sharing und Zugriffen umgeht, und sie kommt wieder, sobald die Anforderungen der Plattform strenger werden.

Das aktuelle Beispiel ist OAuth bei Connected Apps und External Client Apps. Der ISVforce Guide von Salesforce verlangte von Partnern, OAuth PKCE, Refresh Token Rotation, eine Idle-Refresh-Token-Lebensdauer von 30 Tagen und eine IP-Allowlist für Refresh Tokens zu aktivieren und bis zum 11. Mai 2026 selbst zu attestieren, dass die App darauf umgestellt ist. Nach der Attestierung sind die Kontrollen gesperrt und lassen sich nicht mehr deaktivieren; laut Guide drohen bei Verstößen De-Listing oder die Aussetzung der Interoperation mit Salesforce. Hat Ihre App die Frist verpasst, ist das jetzt ein Sanierungspunkt statt eines Roadmap-Punkts und genau die Art von Verpflichtung, die ein PDO für Sie verfolgt.

Für die Review selbst listet unsere Salesforce-Security-Review-Checkliste die häufigen Findings auf, die Sie vor der Einreichung in dieser Reihenfolge beheben, und unser Security-Review-Service übernimmt Einreichung und Nacharbeit.

Wie wählen Sie einen Salesforce PDO aus?

Stellen Sie fünf Fragen und gewichten Sie die Antworten hoch:

• Welche Pakete haben Sie durch die Security Review gebracht, und in welchen Branchen? Regulierte Branchen legen die Latte höher.
• Zeigen Sie mir ein 2GP-Paket, das Sie heute pflegen. Eines zu bauen ist nicht dasselbe, wie es über Subscriber-Orgs zu versionieren.
• Wie gehen Sie mit External Client Apps und den OAuth-Kontrollen 2026 um? Ein aktueller PDO beantwortet das, ohne nachzuschlagen.
• Wer behebt die Findings, wenn die Review zurückkommt? Die Antwort sollte lauten: sie.
• Was passiert nach dem Launch? Ein Partner, der beim Listing verschwindet, lässt Ihnen den schwersten Teil.

Tekunda beantwortet das aus der Lieferung heraus, nicht aus einer Broschüre. Wir sind zertifizierter Salesforce SI, ISV und PDO, haben die AppExchange Security Review in Gesundheitswesen, Logistik und Fertigung bestanden und haben Pakete im Produktivbetrieb ausgeliefert und gepflegt: die Syntilio Managed Packages, die wir für einen eHealth-ISV entwickelt haben (2022 bis 2025), auf der AppExchange, und das 2GP Managed Package für ASSA ABLOY, das deren Connected-Device-Last trägt. ISV und PDO zu sein macht uns außerdem zum schnelleren Integrator, weil Komponenten in Produktqualität wiederverwendet statt neu gebaut werden. Sprechen Sie mit uns über Ihre App.

FAQ

Wofür steht PDO bei Salesforce?

Product Development Outsourcer: ein Salesforce-Beratungspartner, spezialisiert auf Bau, Paketierung und Listing kommerzieller Apps für Softwareanbieter.

Was ist der Unterschied zwischen einem PDO und einem Salesforce-Implementierungspartner?

Ein Salesforce-Implementierungspartner richtet Salesforce für den Eigenbedarf eines Unternehmens ein. Ein PDO baut ein paketiertes Produkt, das viele Unternehmen installieren, was Namespace, Versionierung, Lizenzierung und Security Review hinzufügt.

Brauche ich einen PDO, um die Security Review zu bestehen?

Nein. Viele ISVs schaffen das allein. Ein PDO spart vor allem Reviewzyklen, weil die typischen Findings berechenbar werden, wenn man den Prozess mehrfach durchlaufen hat.

Ist ein Salesforce PDO dasselbe wie Plauti PDO?

Nein. Plauti Data Orchestration, ebenfalls zu PDO abgekürzt, ist ein Salesforce-Produkt von Plauti. Ein Salesforce PDO ist eine Art von Beratungspartner.

Wie früh sollte ein ISV einen PDO einbinden?

Bevor die Entscheidungen zu Namespace und Paketierung fallen. Genau die sind teuer rückgängig zu machen, und sie fallen meist in der ersten Woche.