OpenClaw ist ein Open-Source-KI-Assistent unter MIT-Lizenz, der auf deinem eigenen Rechner oder Server läuft und dich dort erreicht, wo du ohnehin schreibst: in WhatsApp, Telegram, Slack, Teams, Discord, iMessage und laut Projekt über 20 weiteren Kanälen. Ein lokaler Dienst, das Gateway, verbindet diese Kanäle mit einem Sprachmodell deiner Wahl (Claude, Codex oder ein lokales Modell), mit Werkzeugen, Skills und Plugins. So führt der Agent Befehle aus, bearbeitet Dateien, steuert einen Browser und verschickt Nachrichten. Genau dort liegt das Risiko: Laut Doku laufen Werkzeuge ohne eingerichtete Sandbox direkt auf dem Rechner, Plugins mit vollem Vertrauen im Gateway, und jede Nachricht und jede gelesene Webseite kann eine Prompt Injection enthalten. Wenn du OpenClaw nutzen willst, richte es auf einer eigenen Maschine oder VM ohne private Zugänge ein, lass das Gateway nur lokal lauschen, schalte die Sandbox ein und installiere Skills und Plugins erst, nachdem du sie gelesen hast.
Ich arbeite täglich mit Claude und betreibe damit meine Belegschaft aus vierzehn KI-Mitarbeitern. OpenClaw wurde für diesen Beitrag nicht installiert und nicht getestet. Alles hier stützt sich auf Repository, Doku und Sicherheitshinweise des Projekts, abgerufen am 01.11.2026; aktuell war Version 2026.10.9 vom 29.10.2026. Alles, was ich zu KI-Agenten geschrieben habe, sammle ich auf der Seite KI-Agenten.
Was ist OpenClaw?
OpenClaw beschreibt sich als „open-source AI assistant that runs on your own computer and meets you in the channels you already use“. Gebaut hat ihn Peter Steinberger mit der Community, heute steht die OpenClaw Foundation dahinter, eine gemeinnützige Organisation nach US-Recht. Laut README gibt es keinen bezahlten Tarif und keinen gehosteten Dienst; zu den Spendern zählt OpenAI, laut Projekt „a donor, not an owner“. Auf GitHub hatte das Repository am 01.11.2026 rund 394.000 Sterne.
Was ein KI-Agent grundsätzlich ist, steht in Was ist ein KI-Agent? Einfach erklärt. Besonders an OpenClaw ist der Zugang: Du schreibst ihm wie einem Kollegen im Messenger, und er handelt auf deinem Rechner und mit deinen Konten.
Architektur: Gateway, Kanäle, Skills und Plugins
Im Zentrum steht das Gateway, ein dauerhaft laufender Dienst. Es hält die Kanäle, verwaltet Sitzungen und Werkzeuge und lauscht auf einem Port, standardmäßig 18789, auf einem normalen Rechner laut Doku nur auf 127.0.0.1.
Skills und Plugins findest du auf ClawHub, dem öffentlichen Verzeichnis des Projekts. Hochladen darf dort laut Doku jeder mit einem ausreichend alten GitHub-Konto; ClawHub prüft neue Versionen automatisch und zeigt das Ergebnis vor der Installation. Laut README meldet sich OpenClaw im Standard nur für eine tägliche Versionsprüfung.
OpenClaw Sicherheit: fünf Risiken
Das Bedrohungsmodell der Doku beginnt mit dem Satz: „Your AI assistant can execute arbitrary shell commands, read/write files, access network services, and send messages to anyone (if given channel access).“ Daraus ergeben sich fünf Risiken.
1. Rechte. Ohne Sandbox laufen Werkzeuge der Hauptsitzung direkt auf dem Rechner, für einen einzelnen Betreiber laut Doku im Standard ohne Rückfrage, und das ist gewollt. Der Agent darf also, was dein Benutzerkonto darf.
2. Prompt Injection. Jeder Inhalt, den der Agent liest, ob Webseite, E-Mail oder Anhang, kann Anweisungen enthalten: „The content itself is a threat surface“. Die Sicherheitsrichtlinie des Projekts zählt Prompt Injection allein nicht als Sicherheitslücke. Den Schaden begrenzen musst also du. Wie solche Angriffe funktionieren, steht in Prompt Injection: KI-Agenten absichern.
3. Plugins und Skills aus fremden Quellen. „Plugins run in-process with the Gateway - treat them as trusted code“, schreibt die Doku. Eine Installation führt Code aus, und OpenClaw blockiert dabei laut Doku nicht von sich aus gefährlichen Code; dafür richtest du selbst eine Installationsrichtlinie ein. Ein bösartiges Plugin, das du installiert hast, gilt laut Sicherheitsrichtlinie nicht als Lücke in OpenClaw.
4. Offene Ports. In einem Container lauscht das Gateway laut Doku standardmäßig auf allen Adressen (0.0.0.0). Ohne Anmeldung startet es dort nicht, aber wer das Token hat, hat vollen Zugriff als Betreiber.
5. Zugangsdaten. Unter ~/.openclaw liegen Tokens, Messenger-Zugänge, Profile für Modellanbieter und Gesprächsverläufe mit Werkzeugausgaben. Die Doku empfiehlt Rechte 700 und 600, Festplattenverschlüsselung und einen eigenen Benutzer.
Auf GitHub hat das Projekt zwischen dem 31.01. und dem 11.09.2026 722 Sicherheitshinweise veröffentlicht, 14 davon als kritisch eingestuft, etwa ein Pfad-Ausbruch bei der Plugin-Installation (behoben in 2026.2.1) und ein Ausbruch aus der Sandbox (behoben in 2026.3.31). Bis zum Abruf am 01.11.2026 kam kein neuer Hinweis dazu. Halte OpenClaw trotzdem aktuell: Jede ältere Version trägt die Lücken, die danach behoben wurden.
OpenClaw sicher einrichten: Schritt für Schritt
- Eigene Umgebung. Für einen Agenten im Unternehmen nennt die Doku eine eigene Maschine, VM oder einen Container mit eigenem Benutzer und eigenen Konten, ohne persönliche Apple- oder Google-Konten. Eine VM trennt den Agenten von deinem Rechner, laut Doku aber nicht die Bausteine darin voneinander. Grundlagen dazu stehen in Eigenen Server absichern: Linux und Windows.
- Installation nachvollziehen. Empfohlen ist das Installationsskript, alternativ
npm install -g openclaw@latest. Lade das Skript erst herunter (curl -fsSL https://openclaw.ai/install.sh -o install.sh), lies es und führe es dann mit bash install.sh aus.
- Gateway nur lokal.
gateway.bind: "loopback" ausdrücklich setzen, Anmeldung per Token, Fernzugriff laut Doku lieber über Tailscale Serve als über das lokale Netz.
- Sandbox einschalten. Mit
agents.defaults.sandbox und mode: "all" laufen alle Werkzeuge, auch die deiner eigenen Sitzung, in einem Docker- oder Podman-Container und sehen deinen Arbeitsordner im Standard nicht (workspaceAccess: "none"). Die Doku selbst: „This is not a perfect security boundary“. Den Ausweg tools.elevated lässt du aus.
- Werkzeuge begrenzen. Die gehärtete Grundkonfiguration der Doku sperrt Dateisystem-, Laufzeit- und Automatisierungswerkzeuge, verbietet Shell-Befehle und erlaubt Dateizugriff nur im Arbeitsordner.
- Absender begrenzen. Unbekannte Absender koppeln sich erst, in Gruppen antwortet der Agent nur auf Erwähnung, und Messenger mit Telefonnummer bekommen laut Doku besser eine eigene Nummer.
- Skills und Plugins. Liste erlaubter Plugins (
plugins.allow), feste Versionen, Code vor dem Einschalten lesen.
- Prüfen.
openclaw security audit meldet Abweichungen von den sicheren Standards. Danach regelmäßig aktualisieren.
Beim Modell rät die Doku für Agenten mit Werkzeugen zum stärksten aktuellen Modell, weil kleinere leichter zu manipulieren seien.
OpenClaw im Betrieb: wann es passt und wann nicht
Für einen Betrieb ist OpenClaw kein Produkt mit Hersteller, sondern Software, die du selbst betreibst: Das Gateway läuft bei dir, deine Eingaben gehen an den Modellanbieter, den du anbindest, und Updates, Rechte und Prüfung liegen bei dir.
Das ist keine Rechtsberatung, sondern die Betreiber-Perspektive. Sobald personenbezogene Daten über den Agenten laufen, klärst du den Datenschutz mit dem Modellanbieter und für deinen eigenen Server, genau wie bei jeder anderen KI. Welche Daten eine KI überhaupt sehen sollte, steht in KI und Datenschutz: was die KI sehen darf.
Bevor echte Daten fließen, lohnt ein Probelauf auf einer Wegwerf-VM ohne deine Zugänge, mit eigenem API-Schlüssel und Ausgabenlimit. Leg dort eine Testdatei mit einer versteckten Anweisung ab und schau, ob der Agent ihr folgt, einmal mit Standard-Einstellungen und einmal gehärtet mit Sandbox.
OpenClaw Alternative: was es sonst gibt
Ohne Rangliste, denn die Werkzeuge lösen verschiedene Aufgaben:
Den Kanal-Gedanken kenne ich aus meinem Aufbau. Fünf meiner KI-Mitarbeiter laufen mit Claude Code auf einem kleinen Linux-Server, jeder hat einen eigenen Slack-Bot, und jeder Bot nimmt Aufträge und Freigaben nur von meinem eigenen Slack-Konto an. Der Server hat keinen offenen Port, die Zugänge liegen verschlüsselt im Repository. Den Aufbau beschreibe ich in Claude Code auf dem Server betreiben. Wie Claude selbst an Dienste wie Mail oder Kalender angebunden wird, steht in Claude Connectors: was sie können, was nicht. Weitere Werkzeuge vergleicht Claude Code Alternativen 2026 im Überblick.
Häufige Fragen
Was ist OpenClaw?
Ein Open-Source-KI-Assistent unter MIT-Lizenz, der auf deinem eigenen Rechner läuft und über Messenger wie WhatsApp, Telegram oder Slack erreichbar ist. Ein lokales Gateway verbindet Kanäle, Modell, Werkzeuge, Skills und Plugins.
Ist OpenClaw sicher?
Die Standards sind laut Doku vorsichtig: Das Gateway lauscht nur lokal, unbekannte Absender müssen sich koppeln. Werkzeuge laufen ohne Sandbox aber direkt auf dem Rechner, und Prompt Injection ist nicht ausgeschlossen. Sicherer wird es mit eigener Umgebung, Sandbox, begrenzten Werkzeugen und Updates.
Ist OpenClaw kostenlos?
Die Software ja, laut README gibt es keinen bezahlten Tarif. Kosten entstehen durch das Modell und den Rechner, auf dem das Gateway läuft.
Kann ich OpenClaw mit Claude nutzen?
Ja, laut OpenClaw-Doku mit einem API-Schlüssel von Anthropic, abgerechnet nach Verbrauch, oder über einen vorhandenen Claude-Code-Login auf demselben Rechner; dann zählt die Nutzung gegen dein Abo. Für geteilte Automatisierung empfiehlt die Doku den API-Schlüssel.
Was ist ClawHub?
Das öffentliche Verzeichnis für Skills und Plugins von OpenClaw. Neue Versionen werden automatisch geprüft, fremde Skills gelten laut Doku trotzdem als nicht vertrauenswürdig.
Welche OpenClaw Alternative passt für Unternehmen?
Das hängt von der Aufgabe ab, siehe die Liste oben. Wichtiger als das Werkzeug ist, dass Rechte, Sandbox und Freigaben technisch festgelegt sind.
Wie du weitermachst
Bevor du OpenClaw installierst, entscheide, wo es laufen soll: auf einer eigenen Maschine oder VM, nicht auf deinem Arbeitsrechner. Starte mit der gehärteten Grundkonfiguration und der Sandbox, und lass openclaw security audit laufen, bevor du einen Messenger anbindest. Wenn du lieber mit Claude arbeitest, fang mit Claude Code installieren: Windows, Mac, Linux an. Wie ich KI-Mitarbeiter mit klaren Rechten und Freigaben aufbaue, zeige ich in meiner deutschsprachigen Community Claude Practitioners.
