OpenClaw

Hintergrund und normative Einordnung

OpenClaw entstand als persönliches Experimentalprojekt und wurde im November 2025 als Open-Source-Software freigegeben. Die Kernarchitektur besteht aus einem lokalen Gateway-Prozess, der als Vermittler zwischen einem konfigurierten Sprachmodell (z. B. GPT-4o, Claude 3.5, lokale Ollama-Modelle) und einer Menge von Werkzeuggruppen fungiert. Werkzeuggruppen umfassen: Dateisystem-Operationen (Lesen, Schreiben, Löschen), Shell-Ausführung (Kommandozeilenbefehle), Browser-Automatisierung (Webseiteninteraktion mit realem Browser-Profil) sowie Messenger-Anbindungen. Das Gateway lauscht standardmäßig auf Port 18789. Die offizielle Sicherheitsdokumentation von OpenClaw hält fest: 'Never expose the Gateway unauthenticated on 0.0.0.0', diese Warnung reagiert auf eine GitHub-Issue (Issue #5263, gemeldet am 31. Januar 2026), die dokumentiert, dass der Canvas-Host-Server standardmäßig ohne Authentifizierung an 0.0.0.0 bindet (CWE-668, OWASP A01:2021 Broken Access Control). Das Issue wurde als 'not planned' (nicht behoben) geschlossen. Im Unternehmenskontext ist OpenClaw, wie gleichartige selbst gehostete Agenten-Tools, ein konkretes Beispiel für Schatten-KI: installiert auf einem Entwickler-Notebook, verbunden mit Unternehmens-Diensten, nicht im Inventar erfasst.

Die Sicherheitslage rund um OpenClaw ist im Jahr 2026 erheblich eskaliert. CVE-2026-25253 (CVSS 8.8 HIGH, veröffentlicht 1. Februar 2026, NVD/NIST) beschreibt eine Cross-Site-WebSocket-Hijacking-Schwachstelle: OpenClaw vor Version 2026.1.29 liest den Parameter gatewayUrl aus dem Query-String und baut automatisch eine WebSocket-Verbindung auf, ohne Herkunft oder Nutzerbestätigung zu prüfen. Ein Angreifer kann so mit einem einzigen Klick auf einen manipulierten Link den Gateway-Token exfiltrieren und anschließend vollständige Kontrolle über die Gateway-API erlangen, einschließlich der Möglichkeit, beliebige Shell-Kommandos auszuführen (Remote Code Execution). Unabhängig davon meldete SecurityScorecard im Februar 2026 mehr als 40.000 öffentlich exponierte OpenClaw-Instanzen im Internet. ENISA Threat Landscape 2025 beschreibt den breiteren Kontext: KI-basierte Angriffswerkzeuge und die Kompromittierung von KI-Werkzeug-Supply-Chains sind 2025 erstmals als eigenständige Bedrohungskategorie erfasst. Für Unternehmen, die OpenClaw oder ähnliche Agenten-Tools einsetzen, empfiehlt sich eine strukturierte EU AI Act Compliance-Beratung, um Inventarisierung, Risikobewertung und Policy-Entwicklung systematisch aufzusetzen.

Normative Bezüge:

Vorgehen in der Praxis

Unternehmen, die feststellen oder vermuten, dass OpenClaw oder gleichartige selbst gehostete KI-Agenten in ihrer Umgebung betrieben werden, sollten in vier Schritten vorgehen. Das Ziel ist keine reflexartige Blockade, sondern eine fundierte Risikoentscheidung auf Basis vollständiger Sichtbarkeit.

Abgrenzung zu verwandten Begriffen

Typische Fehler und wie ihr sie vermeidet

• OpenClaw als Malware behandeln: OpenClaw ist quelloffene Software mit dokumentierten Anwendungsfällen in der Softwareentwicklung und Prozessautomatisierung, keine Malware im technischen Sinne. Eine Einordnung als Malware führt zu einer falschen Risikobewertung: Antivirus-basierte Erkennung greift nicht zuverlässig, und Nutzer, die das Tool aus legitimen Gründen einsetzen, werden nicht über Risiken informiert, sondern lediglich blockiert. Die korrekte Einordnung ist: nicht genehmigte oder noch nicht bewertete Software mit erheblichem Risikopotenzial, die einer Governance-Entscheidung bedarf.
• Pauschalverbot ohne vorherige Discovery: Ein Verbot ohne vorherige Inventarisierung aller laufenden Instanzen hat keinen Wirksamkeitsnachweis. Instanzen auf Entwickler-Notebooks, in WSL-Umgebungen oder auf privaten Endgeräten, die auf Unternehmens-Ressourcen zugreifen, sind vom Verbot nicht erfasst, solange sie nicht sichtbar sind. Der erste Schritt muss immer die Discovery sein; erst dann kann ein Verbot oder eine Freigabe mit Bedingungen sinnvoll umgesetzt werden.
• Keine AI Acceptable-Use-Policy eingerichtet: Ohne schriftliche AUP fehlt Mitarbeitenden die Grundlage für eine konforme Nutzungsentscheidung. EU AI Act Art. 4 verpflichtet Betreiber seit dem 2. Februar 2025, sicherzustellen, dass Personal über ausreichende AI Literacy verfügt. Eine AUP, die nicht existiert oder OpenClaw-artige Agenten-Tools nicht explizit adressiert, ist eine dokumentierte Compliance-Lücke, sowohl unter dem EU AI Act als auch unter ISO/IEC 42001 Clause 6.
• Standardkonfiguration als sicher angenommen: Die Standardinstallation von OpenClaw bindet das Gateway auf 0.0.0.0 (alle Netzwerkschnittstellen) ohne Authentifizierung. GitHub-Issue #5263 (Januar 2026) dokumentiert dieses Verhalten als Sicherheitslücke (CWE-668); das Issue wurde als 'not planned' geschlossen, d. h. das Verhalten ist in der Standardinstallation weiterhin vorhanden. Wer OpenClaw ohne explizite Härtung (Loopback-Binding auf 127.0.0.1, Token-Authentifizierung, Werkzeug-Gruppeneinschränkungen) betreibt, kann nicht davon ausgehen, dass die Installation nur lokal erreichbar ist.

Relevanz im regulatorischen Kontext

OpenClaw ist als KI-System im Sinne von Art. 3(1) EU AI Act einzustufen: Es ist ein maschinenbasiertes System, das mit variablem Autonomiegrad operiert, für explizite oder implizite Ziele aus Eingaben Ausgaben ableitet (Entscheidungen, Empfehlungen, Inhalte) und physische wie virtuelle Umgebungen beeinflussen kann. Die Risikoklassifikation hängt vom Einsatzkontext ab: OpenClaw in der Softwareentwicklung ohne Verarbeitung personenbezogener Daten ist wahrscheinlich als Minimal-Risiko-System einzustufen; OpenClaw mit Zugriff auf HR-Daten, Kundendaten oder in kritischen Infrastrukturen kann Hochrisiko-Anforderungen auslösen. Für Deployer, also Unternehmen, die OpenClaw im Betrieb einsetzen, gelten in jedem Fall die AI-Literacy-Pflichten aus Art. 4 (anwendbar seit 2. Februar 2025) und, bei Hochrisiko-Klassifikation, die umfangreichen Dokumentations-, Überwachungs- und Transparenzpflichten aus Art. 26.

ISO/IEC 42001:2023 adressiert OpenClaw und gleichartige Agenten-Tools über zwei Kernmechanismen: Clause 6 (Planning) verlangt eine systematische KI-Risikobewertung für alle eingesetzten KI-Systeme, einschließlich nicht offiziell genehmigter Tools, sobald sie im Discovery-Prozess identifiziert wurden. Clause 8 (Operation) verlangt ein aktuelles Inventar aller KI-Systeme und die Umsetzung definierter Kontrollen aus Annex A. BSI IT-Grundschutz Baustein OPS.1.1.2 (Ordnungsgemäße IT-Administration) fordert die vollständige Erfassung und autorisierte Freigabe aller eingesetzten Softwareprodukte. OpenClaw-Instanzen ohne Inventareintrag verstoßen direkt gegen diese Anforderung. Der BSI-Lagebericht IT-Sicherheit in Deutschland 2025 dokumentiert erstmals KI-Schwachstellen als eigenständige Kategorie mit einem durchschnittlichen Zuwachs von 119 neuen Schwachstellen pro Tag, was den Patch-Management-Druck für Tools wie OpenClaw (CVE-2026-25253, CVSS 8.8) unterstreicht.

Häufige Fragen