OpenClaw Assess

Überblick

OpenClaw ist ein selbst gehosteter Open-Source-KI-Assistent und Agent-Gateway, der LLMs mit Chat-Kanälen, lokalen Tools und einer Community-Skill-Registry (ClawHub) verbindet (OpenClaw).

Das Projekt startete als Clawdbot, wurde am 27. Januar 2026 nach Markenrechtsbeschwerden von Anthropic in Moltbot und drei Tage später in OpenClaw umbenannt (Wikipedia). Sein Entwickler Peter Steinberger wechselte im Februar 2026 zu OpenAI; das Projekt ging in eine Foundation über, die OpenAI weiter unterstützt (The Decoder). Assess nach Bewertung von Security Model, Maintainer-Velocity und Überlappung mit Goose, OpenHands oder Hermes Agent. Early Adopters sollten Releases pinnen und die Skill-Supply-Chain überwachen.

Adoptionssignale

• Große Community-Resonanz: rund 390.000 Stars und 82.000 Forks, MIT-Lizenz, verwaltet von der OpenClaw Foundation (OpenClaw GitHub).
• Hohe Release-Frequenz mit pinnbarer Linie: 2026.9.7 erschien am 30. September 2026, 2026.8.33 ist ein reines Gateway-Release der Linie „extended-stable“, die das Projekt als LTS-Äquivalent bezeichnet (OpenClaw releases).
• Ein Anbieter-Ökosystem entsteht: NVIDIA kündigte auf der GTC im März 2026 NemoClaw an, mit der Open-Source-Schicht OpenShell, die Sandboxing auf Kernel-Ebene und einen Privacy Router bietet, der den Abfluss sensibler Daten blockiert (CIO).
• Die Security-Dokumentation ist gereift: standardmäßig Loopback-Binding und DM-Pairing, ein eingebautes openclaw security audit, gehärtete Baselines und ein auf MITRE ATLAS abgebildetes Threat Model (OpenClaw security docs).

Risiken

• Kompromittierung des Gateways. Über CVE-2026-25253 (CVSS 8,8) konnte ein einziger bösartiger Link das Gateway-Token stehlen und Befehle ausführen, auch bei reinen Loopback-Installationen; behoben in 2026.1.29 am 30. Januar 2026 (The Hacker News).
• Exponierte Instanzen. SecurityScorecard fand im Februar 2026 40.214 aus dem Internet erreichbare OpenClaw-Instanzen und schätzte 12.812 davon als per RCE ausnutzbar ein (Infosecurity Magazine).
• Skill-Supply-Chain. Koi Security prüfte 2.857 ClawHub-Skills und fand 341 bösartige, 335 davon aus einer Kampagne (ClawHavoc), die den Atomic macOS Stealer und einen Windows-Trojaner mit Keylogger-Funktion verteilte (The Hacker News).
• Menge an Advisories. Das Repository listet seit Januar 2026 722 veröffentlichte Security Advisories, 14 davon kritisch; Patchen muss daher kontinuierlich erfolgen (OpenClaw security advisories).
• Nur eine Vertrauensgrenze. Laut Projekt ist ein Gateway keine Grenze für feindliche Multi-Tenancy, und Agents mit Message-Tools können standardmäßig über Konversationen hinweg senden (OpenClaw security docs).

Empfehlung

OpenClaw bleibt in Assess. Das Projekt eignet sich, um zu verstehen, wie persönliche und Team-Assistenten Chat-Kanäle, Tools und Skills kombinieren, seine Security-Bilanz trägt aber noch keinen Produktionseinsatz mit Unternehmensdaten oder Credentials. Eine Evaluierung sollte auf isolierten Hosts mit Testkonten, der Extended-Stable-Linie, der gehärteten Baseline und einer Sandbox wie OpenShell stattfinden; openclaw security audit gehört vor und nach jede Konfigurationsänderung.

ClawHub-Skills sollten nur nach Code-Review und über eine interne Allowlist installiert werden, und ein Gateway sollte nicht an geteilte Kanäle angebunden werden, deren Nutzer einander nicht vertrauen. Wer heute einen governten Coding- oder Operations-Agenten braucht, vergleicht zuerst Goose, OpenHands oder Managed-Angebote. Eine Neubewertung lohnt sich, sobald die Zahl der Advisories sinkt und Foundation-Governance, signierte Skills und Multi-Tenant-Isolation dokumentiert sind.

Quellen

• OpenClaw GitHub
• OpenClaw releases
• OpenClaw issues
• OpenClaw security advisories
• OpenClaw security docs
• Wikipedia: OpenClaw
• The Decoder: Steinberger joins OpenAI
• The Hacker News: CVE-2026-25253
• The Hacker News: 341 malicious ClawHub skills
• Infosecurity Magazine: 40,000+ exposed instances
• CIO: NVIDIA NemoClaw