OpenClaw
im Test.

OpenClaw ist über WhatsApp oder Telegram erreichbar und arbeitet dabei auf der eigenen Hardware. Binnen weniger Wochen wurde daraus der KI-Agent mit den meisten Sternen auf GitHub, und ebenso schnell wuchs die Liste der Sicherheitsvorfälle. Zwischen Februar und Mai 2026 kamen 9 CVEs mit eigener Kennung zusammen, dazu 341 Erweiterungen mit Schadcode im offiziellen Verzeichnis und über 135.000 offen erreichbare Installationen. Das Projekt hat nachgebessert und ist heute deutlich besser abgesichert als im Frühjahr, die Vorgeschichte gehört trotzdem in jede Entscheidung.

Wichtigste Funktionen

• Über 30 Chat-Kanäle: Das Handbuch führt 32 Kanäle auf, von WhatsApp, Telegram, Slack und Discord über Signal und iMessage bis zu Matrix, Microsoft Teams und Nextcloud Talk. Du erreichst den Agenten in der App, die du ohnehin benutzt, und brauchst keine weitere Oberfläche.
• E-Mail, Kalender und geplante Aufträge: OpenClaw beantwortet Nachrichten, legt Termine an und arbeitet wiederkehrende Aufgaben nach Zeitplan ab, auch wenn niemand vor dem Rechner sitzt.
• Browser-Steuerung: Für Aufgaben im Web startet OpenClaw eine eigene Chrome-Instanz und bedient sie wie ein Mensch. Seit Version 2026.7.1 steuert OpenClaw diesen Browser auch auf einem entfernten Rechner.
• Freie Modellwahl je Agent: Du weist jedem Agenten ein eigenes Modell zu, von Anthropic, OpenAI, MiniMax und OpenRouter bis zum lokalen Modell, samt Ausweichanbieter bei Ausfällen. So arbeitet der Agent für private Nachrichten mit einem anderen Modell als der für die Websuche.
• Lokaler Gateway mit Begleit-Apps: Eine lokale Steuerungsebene verwaltet Verbindungen, Sitzungen und Werkzeuge. Apps für iOS, Android und macOS hängen sich als Ausführungsknoten daran und bringen Sprachsteuerung, Kamera und Standort mit; auf Android läuft die Weckwort-Erkennung seit Juli 2026 auch im Vordergrund.

Preise und Tarife

OpenClaw steht unter der MIT-Lizenz und kostet nichts, auch bei kommerzieller Nutzung. Eine kostenpflichtige Cloud-Fassung gibt es vom Projekt nicht, und Angebote, die unter ähnlichem Namen ein gehostetes OpenClaw verkaufen, stammen von Dritten ohne Verbindung zur Foundation. Kosten entstehen trotzdem. Das Sprachmodell zahlst du pro Token, bindest ein vorhandenes Abonnement ein oder betreibst es lokal auf passender Hardware. Dazu kommt ein Rechner, der dauerhaft erreichbar bleibt, weil der Gateway sonst nicht antwortet; laut Handbuch genügt dafür ein kleiner Server oder ein Gerät der Raspberry-Pi-Klasse mit 4 GB Arbeitsspeicher, solange die Modelle woanders laufen. Was Modellanbieter und Hoster verlangen, ist bei ihnen als Nettobetrag ausgewiesen, die Umsatzsteuer kommt hinzu.

Sicherheitslage

Zwischen dem 2. Februar und dem 4. April 2026 veröffentlichte das Projekt 137 Sicherheitshinweise, 5 davon mit eigener CVE-Kennung. Die schwerste Lücke hat die Kennung CVE-2026-32922 und kommt auf einen CVSS-Wert von 9.9 von 10. Ein gekoppeltes Gerät mit minimalen Rechten konnte über einen einzigen API-Aufruf einen Administrator-Token erzeugen und damit beliebigen Code auf verbundenen Geräten ausführen. Version 2026.3.11 vom 13. März 2026 hat das behoben.

Im Mai kamen 4 weitere Lücken dazu, die unter dem Namen Claw Chain zusammengefasst wurden. Ein Angreifer kann sie nacheinander ausnutzen, aus der abgeschotteten Ausführungsumgebung des Agenten ausbrechen und sich dauerhaft auf dem Wirtssystem einrichten. Version 2026.4.22 schließt sie. Tatsächlich ausgenutzt wurde bislang nur CVE-2026-25253 mit CVSS 8.8, eine Übernahme der lokalen WebSocket-Verbindung, also des dauerhaft offenen Datenkanals zwischen den Bausteinen auf dem Rechner.

Im offiziellen Erweiterungsverzeichnis ClawHub fand Koi Security im Februar 2026 341 Erweiterungen mit Schadcode. Bitdefender stieß in den ersten Wochen bei rund 17 % der untersuchten Erweiterungen auf eine Schadfunktion. Seit Version 2026.7.1 prüft ClawHub Veröffentlichungen vor dem Download, sperrt verbotene Erweiterungen und verlangt bei auffälligen Erweiterungen eine ausdrückliche Bestätigung.

Im selben Zeitraum standen laut einer Auswertung des Sicherheitsanbieters ARMO vom Februar 2026 über 135.000 Installationen offen im Internet, 63 % davon ohne jede Anmeldung. Das liegt an der Konfiguration der Betreiber, vergrößert die Folgen jeder gefundenen Lücke aber erheblich.

Wir haben den Quelltext am 4. August 2026 ausgezählt und kommen auf rund 3 Millionen Zeilen TypeScript in mehr als 14.000 Dateien, Testdateien nicht mitgerechnet. Ein vollständiges Sicherheitsaudit ist in dieser Größenordnung für ein einzelnes Unternehmen nicht zu leisten.

Setzt du OpenClaw ein, dann betreibe ihn in einem Container oder einer virtuellen Maschine, leg den Gateway hinter eine Anmeldung und schalte nur die Kanäle und Werkzeuge frei, die du tatsächlich brauchst. Nach jeder Änderung an der Konfiguration prüft openclaw security audit --deep die Einstellungen. Das Projekt rät zusätzlich dazu, Websuche und Browser bei Agenten mit Schreibrechten abzuschalten, weil untergeschobene Anweisungen aus fremden Webseiten sonst dieselben Rechte bekommen wie du selbst.

Für wen ist OpenClaw geeignet?

• Technikaffine Privatnutzer: Wer einen persönlichen Assistenten in einer abgeschotteten Testumgebung ausprobieren will, bekommt ein Werkzeug mit 32 Chat-Kanälen und über 150 Erweiterungen, hinter dem eine große Nutzergemeinde steht. Für private Termine, Notizen und Chats ohne heikle Inhalte bleibt das Risiko überschaubar.
• Entwickler und Sicherheitsforscher: Für die Architektur von KI-Agenten und die typischen Fehlerklassen solcher Systeme ist OpenClaw ein ergiebiges Studienobjekt und eine Grundlage für eine eigene, schlankere Umsetzung. Die Vorfälle sind öffentlich dokumentiert und im Repository Zeile für Zeile nachvollziehbar.
• Nicht geeignet für Unternehmen mit Kundendaten: Für die Arbeit mit personenbezogenen Daten, Mandatsakten oder Konstruktionsunterlagen scheidet OpenClaw aus. Die Angriffsfläche ist zu groß und der mögliche Schaden zu schwer einzugrenzen.

DSGVO und Datenschutz

Der Gateway läuft auf eurer eigenen Hardware, Nachrichten und Konfiguration liegen als Dateien daneben, und mit einem lokalen Modell greift kein externer Anbieter auf die Inhalte zu. Sobald OpenClaw an ein Postfach, einen Messenger oder einen Kalender angeschlossen wird, verarbeitet er die dort liegenden Daten, und beim üblichen Weg über einen Modellanbieter gehen die Gesprächsinhalte an dessen Server, meist in den USA. Einen Auftragsverarbeitungsvertrag schließt du deshalb mit dem Modellanbieter und den Betreibern der angebundenen Dienste. Das Projekt selbst verarbeitet keine Daten.

Im Unternehmen scheitert der Einsatz am Sicherheitsniveau, denn eine Erweiterung mit Schadcode oder eine noch offene Lücke genügt, damit ein Angreifer an personenbezogene Daten kommt, ohne dass es jemand bemerkt. Artikel 32 DSGVO verlangt aber den Nachweis geeigneter technischer Maßnahmen. Solange dieser Nachweis nicht belastbar zu führen ist, taugt OpenClaw nicht für die Verarbeitung personenbezogener Daten. Für die private Nutzung ohne heikle Inhalte fällt das Urteil milder aus, vorausgesetzt, der Agent läuft in einem Container mit eng gefassten Rechten.

Alternativen zu OpenClaw

• NemoClaw: NVIDIAs abgesichertes Gesamtpaket rund um OpenClaw. Es setzt den Agenten in eine abgeschottete Ausführungsumgebung, begrenzt die erlaubten Aktionen und hält über einen Datenschutz-Router heikle Inhalte zurück. Das ist die erste Wahl, wenn OpenClaw trotz allem produktiv laufen soll.
• NanoBot: Quelloffener persönlicher Agent aus dem Data Intelligence Lab der Universität Hongkong, deutlich kleiner und dadurch leichter zu prüfen. NanoBot hat weniger Kanäle und Anbindungen als OpenClaw. Sein Sicherheitsmodell bleibt dafür überschaubar.
• n8n: Für wiederkehrende Abläufe mit KI-Bausteinen die stabilere Wahl. Es läuft selbst gehostet, hat einen grafischen Editor und eine Architektur, die auf den Unternehmenseinsatz ausgelegt ist. Einen Gesprächspartner im Messenger ersetzt n8n allerdings nicht.