OpenClaw (vormals Clawdbot): Der lokale KI-Agent im Test

Clawdbot ist Geschichte. Was vor einem guten halben Jahr als simpler WhatsApp-Bot startete, heißt seit dem 30. Januar 2026 offiziell OpenClaw und zählt mittlerweile über 385.000 Sterne auf dem GitHub-Repository, Stand 4. August 2026. Aus dem Wochenend-Hack ist eine ernstzunehmende Architektur für autonome KI-Agenten geworden. In diesem Guide schaue ich mir an, ob der Code hält, was der Hype verspricht, und wo die Sicherheitslücken liegen, über die zu selten gesprochen wird.

Was ist OpenClaw und wie unterscheidet es sich von einem Chatbot?

OpenClaw nennt sich selbst eine offene Agentenplattform für die eigene Hardware, und das Motto der Entwickler bringt es auf den Punkt: „Your assistant. Your machine. Your rules.“ Es ist der Gegenentwurf zu den glattgebügelten SaaS-Lösungen, bei denen deine Daten auf fremden Servern liegen.

Ein klassischer Chatbot wartet auf deinen Input und antwortet. OpenClaw läuft stattdessen in einem sogenannten Agentic Loop: Es wartet nicht nur, sondern führt aktiv Aufgaben in deiner Infrastruktur aus, egal ob auf dem Laptop, im Homelab oder auf einem VPS. Deine Hardware, deine API-Keys, deine Daten.

Wenn du den technischen Unterschied zwischen einem Helferlein und einem autonomen System genauer verstehen willst, lies meinen Artikel zum Unterschied zwischen KI-Assistent und KI-Agent.

Vom WhatsApp-Hack zu OpenClaw: die Geschichte hinter dem Namen

Die Namensgeschichte lohnt sich, weil sie zeigt, wie chaotisch so ein Projekt wachsen kann. Ursprünglich war es ein simples WhatsApp-Relay unter dem internen Namen Warelay, gebaut vom österreichischen Entwickler Peter Steinberger.

Im November 2025 wurde daraus Clawd, ein Wortspiel auf „Claude“ mit einer Klaue, betrieben unter dem Namen Clawdbot. Fühlte sich clever an, bis Anthropics Rechtsabteilung im Januar 2026 höflich wegen des Markennamens anklopfte. In einer Discord-Nachtsitzung am 27. Januar entstand daraufhin der Übergangsname Moltbot: „Molting“ (Häuten) als Symbol dafür, dass das Projekt wächst. Der Name rollte niemandem richtig von der Zunge.

Drei Tage später, am 30. Januar 2026, folgte die endgültige Migration zu OpenClaw, diesmal mit sauberer Markenrecherche und gekauften Domains. Innerhalb weniger Stunden wechselten GitHub-Repository, npm-Pakete und Dokumentation den Namen. Der neue Name trägt gleich zwei Bedeutungen: Open für Open Source, Claw als Verweis auf die Hummer-Herkunft des Maskottchens. Aus dem Meme ist mittlerweile eine eigene, gemeinnützige OpenClaw Foundation geworden, die das Projekt trägt.

Funktionen im Überblick: Messenger, Kalender und Shell-Befehle

OpenClaw ist längst mehr als ein WhatsApp-Relay und folgt dir dorthin, wo deine Arbeit stattfindet. Über eine einzige Gateway-Instanz erreichst du den Agenten inzwischen auf WhatsApp, Telegram, Discord, Slack, Microsoft Teams, Google Chat, Signal und iMessage. Wer streamt, kann sogar ein Plugin für Twitch einbinden.

Unter der Haube unterstützt OpenClaw eine breite Palette an Modellen: klassische Anbieter wie OpenAI, Anthropic und Google Gemini, dazu lokale Modelle über Ollama sowie eine wachsende Zahl weiterer Provider wie Moonshot (Kimi), Xiaomi und DeepSeek. Das Ziel ist Unabhängigkeit vom einzelnen Anbieter.

In der Praxis heißt das: Du schreibst „Blocke mir morgen früh zwei Stunden für Deep Work“, und OpenClaw führt das über die Kalender-API aus, ohne dass du eine Oberfläche anfassen musst. Das ist Automatisierung durch Agentic AI in ihrer direktesten Form. Und es lohnt sich gelegentlich, genauer hinzuschauen, was so ein Werkzeug eigentlich tut, während man wartet: Bei Claude Code sind das 186 zufällige Spinner-Verben, die nichts über den Status aussagen.

Installation und Einrichtung: So nutzt du OpenClaw lokal

Weil OpenClaw konsequent local-first gedacht ist, bist du selbst der Admin, und mit Root-Rechten kommt Verantwortung. Die Installation läuft über das offizielle GitHub-Repository und ist dank Installationsskript und TypeScript-CLI zugänglicher geworden als früher. Trotzdem braucht sie Disziplin.

Pro-Tipp: Docker oder VPS statt Hauptrechner. Installiere OpenClaw niemals bare metal auf deinem Hauptrechner, wenn du Shell-Zugriff erlaubst. Nutze immer einen Docker-Container oder einen dedizierten VPS. Diese Isolation ist deine Lebensversicherung, und dazu später mehr im Sicherheitsabschnitt.

Messenger verbinden: WhatsApp, Telegram und der Rest

Die eigentliche Stärke von OpenClaw liegt darin, dass die KI nicht im Browser gefangen ist, sondern in deiner Kontaktliste sitzt. WhatsApp und Telegram sind dabei nur die Fernbedienung, die Rechenleistung passiert auf deinem eigenen Server.

Ist dein Server offline, schweigt der Bot. Das ist der Preis der Unabhängigkeit, den du zahlst, wenn du kein „Set and Forget“ in der Cloud willst. Für simple Automatisierungen ohne eigenen Server lohnt sich stattdessen ein Blick auf meinen Vergleich von n8n und Make.

Sicherheit: Wie gefährlich ist der autonome Zugriff wirklich?

Hier müssen wir Tacheles reden. Ein KI-Agent mit Shell-Zugriff ist wie ein Praktikant mit Generalschlüssel: potenziell katastrophal, wenn niemand aufpasst.

Ich habe die aktuelle Sicherheitsdokumentation und die Sandboxing-Doku von OpenClaw durchgesehen, und die Entwickler machen sich selbst nichts vor: Sandboxing ist standardmäßig ausgeschaltet. Tool-Ausführung läuft ohne zusätzliche Konfiguration direkt auf deinem Host, erst wenn du es aktiv einschaltest, wandert sie in einen Docker-, Podman- oder SSH-Container. Wörtlich heißt es in der Doku, dass Prompt Injection nicht allein durch Systemprompt-Guardrails gelöst wird, sondern harte Durchsetzung nur über Tool-Policies, Ausführungs-Freigaben, Sandboxing und Kanal-Whitelists funktioniert, und selbst die kannst du als Betreiber wieder abschalten.

Das betrifft nicht nur öffentliche Chats. Jeder Inhalt, den der Agent liest, egal ob Websuche, E-Mail, Dokument oder eingefügter Code, kann feindliche Anweisungen enthalten. Die Entwickler raten deshalb selbst, eingehende Nachrichten grundsätzlich als nicht vertrauenswürdig zu behandeln und nach jeder Konfigurationsänderung openclaw security audit laufen zu lassen.

Für dich heißt das: Vertraue keiner autonomen KI blind Zugriff auf sensible E-Mails oder Root-Rechte an. Halte dich an den Docker- oder VPS-Rat von weiter oben, wenn du Shell-Zugriff erlaubst, und beobachte die Logs. Wie du solche Grenzen grundsätzlich ziehst, erkläre ich im Artikel über Context Engineering.

Community und wohin sich OpenClaw entwickelt

Das Herz von OpenClaw ist die „Claw Crew“: Jeder Contributor, der Code geliefert oder ein Issue gemeldet hat, trägt zum Projekt bei. Der „Space Lobster“ ist dabei zum Community-Meme geworden, ein Projekt, das sich häutet und wächst, inzwischen getragen von der gemeinnützigen OpenClaw Foundation statt von einer einzelnen Person.

Das Tool ist längst über das hinausgewachsen, was ein Team allein warten kann. Aktuell werden weiter Maintainer und Sponsoren gesucht, um die Flut an Pull Requests zu bewältigen. Der Fokus liegt inzwischen weniger auf neuen Features als auf Stabilität im laufenden Betrieb.

Mein Tipp bleibt derselbe wie beim ersten Test: Installiere OpenClaw in einer isolierten Umgebung, probiere es mit deinen eigenen Workflows aus, aber behalte die Logs im Auge. Die KI ersetzt kein eigenes Urteilsvermögen, so bequem das für die Planung auch wäre.