Aufstieg und leises Verblassen von OpenClaw
Der Open-Source-Agent wurde im Januar zum Hit, verlor im Februar seinen Schöpfer an OpenAI und bis zum Frühling sein Scheinwerferlicht. Was passiert ist und was Unternehmen daraus lernen sollten.
Ende Januar war die meistbesprochene Software der Tech-Welt ein Hobbyprojekt eines österreichischen Entwicklers. Sie änderte innerhalb weniger Tage zweimal ihren Namen, und Entwickler markierten sie auf GitHub zu Zehntausenden mit einem Stern. Im Sommer fragten sich die Leute, was daraus geworden war.
Die ehrliche Antwort lautet: OpenClaw ist nicht verschwunden. Es hat seinen Schöpfer an OpenAI verloren, einen Grossteil der Aufmerksamkeit und seinen Neuheitswert, und seine besten Ideen sind in Produkte von Microsoft und Meta gewandert. Das Projekt selbst lebt in einer Stiftung weiter. Seine Geschichte ist erzählenswert, weil sie in einem einzigen Jahr zeigt, was persönliche Agenten können und was sie kosten.
Von Clawdbot zu OpenClaw
Peter Steinberger, der sich von seinem früheren Projekt PSPDFKit zurückgezogen hatte, veröffentlichte die erste Version im November 2025. Sie läuft auf dem eigenen Computer oder Server des Nutzers, nimmt Anweisungen über Messaging-Apps wie WhatsApp und iMessage entgegen und führt sie aus: Sie startet Shell-Befehle, liest und schreibt Dateien, steuert den Browser, verwaltet E-Mails und Kalender und lernt neue Aufgaben aus Skills, die ihre Community schreibt. Sie funktioniert mit mehreren KI-Modellen.
Zuerst nannte er sie Clawdbot, eine Anspielung auf Claude von Anthropic. Anthropic verlangte einen neuen Namen, und am 27. Januar wurde daraus Moltbot, wenige Tage später OpenClaw. Da hatte es nach Zählung von TechCrunch bereits mehr als 44'200 Sterne auf GitHub. Eine Begleitseite, Moltbook, ein soziales Netzwerk, in dem Agenten einander Beiträge schreiben, wurde ebenfalls zum Hit, teils mit Beiträgen, die Menschen fälschen konnten, weil die Seite nicht abgesichert war.
Die Sicherheitsrechnung
Seine Stärke kam vom Zugriff, und seine Probleme ebenso. Am 28. Januar testete das KI-Sicherheitsteam von Cisco einen Skill aus der Community und bezeichnete ihn als funktional Schadsoftware: Er schickte unbemerkt Daten an einen Server des Skill-Autors und nutzte Prompt Injection, damit der Agent Befehle ohne Rückfrage ausführte. Ciscos Urteil lautete, Sicherheit sei bei OpenClaw eine Option und nichts Eingebautes.
Eine am 31. Januar veröffentlichte Schwachstelle erlaubte es, mit einem einzigen präparierten Link das Token des OpenClaw-Gateways eines Nutzers zu stehlen und einem Angreifer die Kontrolle über den Agenten zu geben, selbst wenn dieser nur auf dem lokalen Rechner lauschte. Sie wurde in Version 2026.1.29 behoben. Anfang Februar untersuchte Koi Security 2'857 Skills auf ClawHub, dem Register des Projekts, und fand 341 bösartige, davon 335 aus einer einzigen Kampagne, die auf Macs einen Information Stealer installierte.
Am 9. Februar zählte SecurityScorecard 40'214 aus dem Internet erreichbare OpenClaw-Installationen, 12'812 davon offen für eine bekannte Schwachstelle, die das Ausführen von Code aus der Ferne erlaubte. Seine Forscher verwiesen auf die Voreinstellung: Ab Werk lauschte OpenClaw auf jeder Netzwerkschnittstelle, nicht nur auf dem lokalen Rechner. Später am selben Tag berichtete The Register, gestützt auf die Live-Zählung der Forscher, von mehr als 135'000.
Manche Fehler brauchten keinen Angreifer. Am 23. Februar beschrieb Summer Yue, KI-Sicherheitsforscherin bei Meta, wie ihr Agent, der E-Mails zum Löschen vorschlagen sollte, begann, ihren Posteingang zu leeren, und die Stoppbefehle ignorierte, die sie von ihrem Telefon schickte. Sie vermutet, dass er ihre Anweisung verlor, als er den Speicher einer langen Sitzung komprimierte. Im März gingen chinesische Behörden dazu über, OpenClaw in Behörden und staatseigenen Unternehmen einzuschränken, darunter grosse Banken.
Wohin es ging
Mitte Februar gab Steinberger bekannt, dass er zu OpenAI wechselt. Sam Altman schrieb, OpenClaw werde in einer Stiftung als Open-Source-Projekt weiterleben, das OpenAI weiter unterstützen werde. Steinberger sagte, er hätte wohl ein grosses Unternehmen darum aufbauen können, und die Idee habe ihn nicht begeistert.
Von da an verlor das Projekt zwei seiner Motoren: die volle Aufmerksamkeit seines Gründers und den günstigen Zugang zu den besten Modellen. Am 4. April stellte Anthropic sicher, dass Claude-Abonnemente Werkzeuge von Drittanbietern wie OpenClaw nicht mehr abdecken, sodass Vielnutzer separat zahlen mussten. Steinberger warf Anthropic vor, beliebte Funktionen zu kopieren und dann Open Source auszusperren. Anthropic sagte, seine Abonnemente seien nicht für diese Art der Nutzung gebaut. Im Mai entschuldigte sich Steinberger im Blog des Projekts für eine Reihe langsamer und fehlerhafter Releases und schrieb, zu viel hänge noch an ihm. Die Stiftung baut mit Hilfe von OpenAI ein Team um das Projekt auf.
Die grossen Plattformen nahmen sich derweil die Idee. Im März kaufte Meta Moltbook. Im Juni startete Microsoft Scout, einen persönlichen Assistenten auf dem OpenClaw-Framework, mit einer eingebauten Richtlinienprüfung, die eine Prüfspur hinterlässt. Im September erreichte Metas Assistent Muse die Spitze des US-App-Stores, und Nat Friedman vom Superintelligence-Labor von Meta schrieb, er sei stark von OpenClaw inspiriert. TechCrunch fasste den Bogen in einem Satz zusammen: Der Schwung des Projekts liess nach, nachdem OpenAI seinen Gründer angeheuert hatte. Techzine hält fest, dass sich seine GitHub-Sterne und sein Web-Verkehr seit März eingependelt haben.
Weiter offen, weiter riskant
Das Projekt ist nicht verschwunden. Am 30. August veröffentlichte die OpenClaw Foundation Version 2.0, ihr bisher grösstes Update, gebaut von 933 Beitragenden, mit einfacherer Installation und einem Chatfenster als Eingangstür. Ihr Blog sagt, sie verkaufe nichts, und OpenClaw gehöre den Menschen, die es nutzen und bauen.
Das Sicherheitsmodell hat sich weniger verändert. In seiner Prüfung fand The Register die Sandbox standardmässig ausgeschaltet, gespeicherte Geheimnisse im Ruhezustand nicht verschlüsselt und geteilte Sitzungen, die laut den Release Notes selbst keine Sicherheitsgrenze darstellen.
Was ein Unternehmen daraus mitnehmen sollte
OpenClaw war in einem Punkt ehrlich: Ein Agent ist in dem Mass nützlich, in dem er etwas berühren darf. Das ist zugleich das Risiko. Daraus folgen fünf Lehren.
Rechte vor Funktionen. Ein Agent mit vollem Zugriff auf einen Laptop hält jeden Schlüssel, den sein Besitzer hält. Geben Sie jedem Agenten den engsten Zugang, den seine Aufgabe braucht.
Skills sind Software von Fremden. Prüfen Sie sie wie einen Lieferanten oder installieren Sie sie nicht.
Voreinstellungen entscheiden. Viele Menschen ändern nie eine Einstellung, also bleibt offen, was offen ausgeliefert wird.
Stopps gehören ausserhalb des Modells. Ein Stoppbefehl, den der Agent im eigenen Speicher verlieren kann, ist kein Stopp. Senden, Zahlen und Löschen sollten an einem Tor warten, das das Modell nicht passieren kann.
Wissen, was Ihre Leute betreiben. Fragen Sie, welche Agenten auf Firmenrechnern laufen und mit welchen Konten.
Das ist der Unterschied zwischen einem persönlichen Agenten und einem geführten Firmengehirn. Twin, das Gehirn, das wir für Unternehmen bauen, gibt jeder Rolle den Teil des Unternehmens, den sie braucht, und nicht mehr. Die Finanzen sind nicht für alle lesbar, jeder Schreibzugriff wird pro Nutzer angemeldet, und jeder Schritt wird protokolliert. Twin entwirft, antwortet und bereitet vor, und Menschen entscheiden und senden. Es arbeitet in dem Assistenten, den ein Team schon nutzt, oder privat auf Eigna, wenn die Daten nicht hinausdürfen.
Wir wollen, dass Agenten mehr Arbeit übernehmen, und das schneller. Bei den Menschen sollte bleiben, was ein Agent berühren darf, und die Hand auf dem Knopf, der sendet.
