Beste selbst gehostete KI-Agenten 2026 im Vergleich

Die besten selbst gehosteten KI-Agenten 2026, kurz zusammengefasst

Die besten selbst gehosteten KI-Agenten 2026 sind OpenClaw als persönlicher Assistent, den Sie über Chat-Apps erreichen, Hermes Agent für denselben Zweck auf einem möglichst kleinen Server, Dify für Teams, die Anwendungen auf Basis von Sprachmodellen entwickeln, OpenHands für autonomes Programmieren und Agent Zero als allgemeines Framework, dessen Agenten eigene Subagenten starten. Alle fünf sind Open Source und laufen auf einem von Ihnen kontrollierten VPS. Dieser Vergleich betrachtet den Einsatzzweck, den Aufbau, die Serveranforderungen und den Sicherheitsaufwand der einzelnen Lösungen. So können Sie die passende Lösung auswählen, bevor Sie etwas installieren.

Wir betreiben alle diese Lösungen auf realen Servern. Jeder Abschnitt unten enthält einen Link zur vollständigen Einrichtungs- und Absicherungsanleitung für das jeweilige Tool.

Was ein Self-Hosted-KI-Agent ist

Ein KI-Agent ist eine Schleife um ein Sprachmodell. Das Modell liest die Situation, entscheidet sich für eine Aktion, Ihr Server führt diese Aktion aus, und das Ergebnis wird an den nächsten Schleifendurchlauf übergeben. Die Aktionen sind Tools: einen Shell-Befehl ausführen, eine Datei lesen oder schreiben, einen Browser steuern oder eine API aufrufen. Dieses umgebende Programm – die Schleife zusammen mit den Tools, den Berechtigungen und dem Sitzungsstatus – ist das, was ein Agent Harness tatsächlich ist. Wenn Sie die fünf folgenden Projekte vergleichen, wählen Sie in Wirklichkeit dieses Programm aus, weil hinter ihnen dasselbe Modell stehen kann. Wenn Sie die Funktionsweise vollständig nachvollziehen möchten, erklärt einen eigenen KI-Agenten auf einem VPS erstellen die Schleife, die Tools und den Speicher von Grund auf. Wenn Ihnen das heute zu weit geht, behandelt der schrittweise Lernpfad für Agenten von Grund auf dieselben Grundlagen in der richtigen Reihenfolge und enthält für jede Stufe eine kleine Bauaufgabe. Die Websuche ist eine häufige Ergänzung. Wenn Sie bereits eine eigene SearXNG-Instanz betreiben, können Sie sie als Such-Backend Ihres Agenten anbinden. Ihre Suchanfragen bleiben dadurch privat. Der Agent liest dann allerdings Seiten, die jeder verfassen kann.

Self-Hosted bedeutet, dass die Laufzeitumgebung des Agenten, sein Speicher, seine Tools und seine Secrets auf Ihrem eigenen Server liegen und nicht auf der Plattform eines anderen Anbieters. Das Sprachmodell selbst wird normalerweise weiterhin über eine gehostete API bereitgestellt, weil die leistungsfähigsten Modelle nicht in den Arbeitsspeicher eines kleinen Servers passen. Sie können vollständig lokal arbeiten, indem Sie ein Modell mit Ollama auf demselben VPS bereitstellen. Dafür benötigen Sie ausreichend RAM für ein leistungsfähiges Modell.

Der Grund für das Self-Hosting des Agenten ist die Kontrolle: Ihr Gesprächsverlauf, Ihre Dateien, Ihre API-Schlüssel und jeder vom Agenten ausgeführte Befehl bleiben auf einem Server, den Sie besitzen. Genau deshalb ist Vorsicht erforderlich. Ein Agent, der Befehle auf Ihrem Server ausführt, ist nur so sicher wie die Einschränkungen, die Sie für ihn festlegen. Deshalb behandelt der folgende Vergleich die Sicherheitsarchitektur als zentrale Bewertungskategorie und nicht als Fußnote.

Die fünf Agents im direkten Vergleich

[
  {
    "tool": "OpenClaw",
    "primary_use": "Personal assistant with full server access",
    "interface": "Chat apps (Telegram, WhatsApp, Slack, Discord)",
    "isolation_model": "One gateway process, on loopback by default",
    "ram_floor": "Small VPS; more if it drives a browser",
    "security_posture": "Safe network default; operator must harden the rest",
    "maturity": "380,000+ stars mid-2026; March 2026 CVE history"
  },
  {
    "tool": "Hermes Agent",
    "primary_use": "Lightweight personal assistant with memory",
    "interface": "Chat apps (Telegram, Discord)",
    "isolation_model": "Single process, runs fine under systemd",
    "ram_floor": "A $5 VPS is enough",
    "security_posture": "Connects outward only; no inbound port needed",
    "maturity": "New (February 2026), from Nous Research"
  },
  {
    "tool": "Dify",
    "primary_use": "LLM app platform for teams",
    "interface": "Web UI and API",
    "isolation_model": "Docker Compose stack of about six containers",
    "ram_floor": "2 GB free; 4 GB is comfortable",
    "security_posture": "Ships on plain HTTP port 80; needs TLS and a proxy in front",
    "maturity": "Established, fast release pace"
  },
  {
    "tool": "OpenHands",
    "primary_use": "Autonomous coding agent",
    "interface": "Web UI on port 3000",
    "isolation_model": "Per-task sandbox containers via the host Docker socket",
    "ram_floor": "4 GB",
    "security_posture": "Docker socket is root equivalent; run it on a disposable VPS",
    "maturity": "Established (formerly OpenDevin)"
  },
  {
    "tool": "Agent Zero",
    "primary_use": "General purpose multi-agent framework",
    "interface": "Web UI on port 50001",
    "isolation_model": "Subordinate agents in separate containers",
    "ram_floor": "2 GB to start",
    "security_posture": "Default run exposes the UI on every interface; bind it to loopback",
    "maturity": "Active, Docker-first"
  }
]

Zwei Muster in dieser Tabelle bestimmen den größten Teil der Sicherheitsarbeit. Die persönlichen Agents OpenClaw und Hermes erreichen Sie über Chat-Apps. Deshalb bauen sie ausgehende Verbindungen auf und benötigen überhaupt keinen eingehenden Port. Die weborientierten Tools Dify, OpenHands und Agent Zero stellen jeweils eine Oberfläche über HTTP bereit. In allen drei Fällen korrigieren Sie die standardmäßige Netzwerkkonfiguration als Erstes nach der Installation.

OpenClaw: der leistungsfähigste persönliche Agent

OpenClaw ist ein persönlicher KI-Agent, den Sie auf Ihrem eigenen Server ausführen und über Telegram, WhatsApp, Slack oder Discord verwenden. Er kann Shell-Befehle ausführen, einen Browser steuern sowie Ihre Dateien lesen und schreiben. Damit ist er das leistungsfähigste Tool in dieser Liste und zugleich das Tool mit dem weitreichendsten Zugriff auf Ihr System. OpenClaw steht unter der MIT-Lizenz und hatte Mitte 2026 über 380,000 GitHub-Sterne. Damit gehört das Projekt zu den Projekten mit den meisten Sternen auf der Plattform. Das Ökosystem und die Community rund um OpenClaw sind daher deutlich größer als bei jedem anderen Agenten in dieser Übersicht.

Zwei Fakten sollten Ihre Entscheidung bestimmen. Erstens ist die Netzwerkseite zunächst sicher: Das Gateway, also der einzelne Prozess, der alles steuert, lauscht standardmäßig auf der Loopback-Adresse. Es ist daher nicht aus dem Internet erreichbar, solange Sie es nicht selbst veröffentlichen. Zweitens verfügt das Projekt über eine dokumentierte Sicherheitsgeschichte. Im März 2026 wurden innerhalb von vier Tagen neun Sicherheitsprobleme offengelegt. Dazu gehörte die kritische Schwachstelle zur Rechteausweitung CVE-2026-32922 mit einer Bewertung von 9.9 von 10. Das Sicherheitsmodell von OpenClaw überlässt die Härtung Ihnen als Betreiber. Keiner dieser beiden Fakten ist ein Grund, OpenClaw zu vermeiden. Sie sind ein Grund, OpenClaw sorgfältig zu installieren. Genau darum geht es Schritt für Schritt in OpenClaw sicher auf einem VPS betreiben.

Hermes Agent: der schlankste persönliche Agent

Hermes Agent stammt von Nous Research und wurde im Februar 2026 veröffentlicht. Damit ist es das neueste Tool in diesem Vergleich. Es ist ein persönlicher Agent, der sich dauerhaft an Ihre Projekte erinnert, während der Arbeit eigene wiederverwendbare Skills erstellt und Sie über Chat-Apps wie Telegram und Discord erreicht. Hermes ist unabhängig vom Modell. Sie können es daher mit dem von Ihnen bevorzugten Sprachmodell verbinden.

Der entscheidende Vorteil ist der geringe Ressourcenbedarf. Hermes wird mit einem einzigen Befehl installiert und läuft problemlos auf einem VPS für $5, weil der Agent die Laufzeitumgebung und nicht das Modell ist. Die rechenintensiven Aufgaben werden von der API übernommen, mit der Sie ihn verbinden. Hermes kommuniziert mit Ihrem Modell und Ihren Chat-Apps und benötigt daher keinen eingehenden Port. Dadurch bleibt die Netzwerkoberfläche nahezu vollständig geschlossen. Der wesentliche Nachteil gegenüber OpenClaw ist der geringere Reifegrad: Hermes ist erst wenige Monate alt, und die Integrationen sowie die Community von OpenClaw sind deutlich größer. Die vollständige Einrichtung, einschließlich der Gründe, warum Sie ein curl-Installationsskript vor der Ausführung herunterladen und lesen sollten, finden Sie unter Hermes Agent auf einem VPS selbst hosten.

Dify: die Plattform für Teams

Dify ist ein anderes Werkzeug. Statt eines einzelnen Agenten, der für eine Person arbeitet, handelt es sich um eine selbst hostbare Plattform zum Erstellen von Anwendungen auf Basis von Sprachmodellen: eine Weboberfläche zum Entwickeln von Chat-Anwendungen, Agenten und Retrieval-Pipelines, eine API zum Aufrufen dieser Anwendungen aus Ihrem eigenen Code sowie eine zentrale Stelle zum Verwalten von Prompts, Datensätzen und Model-Keys. Ein kleines Team richtet die Plattform ein, damit alle auf einer gemeinsamen privaten Basis arbeiten, anstatt API-Keys über verschiedene Skripte zu verteilen. Wenn Ihr Bedarf eher darin besteht, jeder Person eine eigene isolierte Agentenumgebung bereitzustellen, verfolgt OneCLI diesen Ansatz mit einem Agenten pro Person, während die Model-Keys weiterhin in einem zentralen Gateway verwaltet werden.

Dieser Umfang bringt zusätzliche Komponenten mit sich. Dify wird als Docker-Compose-Stack mit etwa einem halben Dutzend Containern ausgeliefert, darunter eine Postgres-Datenbank, ein Redis-Cache und eine Vektordatenbank. Planen Sie daher mindestens 2 GB freien Arbeitsspeicher ein, besser 4 GB. Auch die Sicherheitsmaßnahmen unterscheiden sich: Der mitgelieferte Webserver von Dify lauscht auf allen Schnittstellen an Port 80 über unverschlüsseltes HTTP. Der erste Besucher der Installationsseite übernimmt das Administratorkonto. Binden Sie Dify an die Loopback-Schnittstelle, schalten Sie einen TLS-Reverse-Proxy davor und erstellen Sie das Administratorkonto sofort. Dify auf einem VPS selbst hosten beschreibt die Installation und jede dieser Korrekturen.

OpenHands: der autonome Coding-Agent

OpenHands, früher OpenDevin, ist ein autonomer Agent für Softwareentwicklung. Sie geben ihm eine Aufgabe in natürlicher Sprache. Anschließend plant er die Arbeit, schreibt Code, führt Befehle aus, liest die Ausgabe und wiederholt diese Schritte, bis die Aufgabe abgeschlossen ist. OpenHands läuft mit Docker, stellt eine Weboberfläche auf Port 3000 bereit, unterstützt Dutzende Modell-Backends und benötigt mindestens 4 GB RAM.

Eine Designentscheidung sollte Ihre gesamte Einrichtung bestimmen. Damit jede Aufgabe in einem neuen Sandbox-Container ausgeführt werden kann, bindet der Controller den Docker-Socket des Hosts ein. Alles, was auf diesen Socket zugreifen kann, kann einen Container starten, der das gesamte Dateisystem des Hosts einbindet. Der Zugriff auf den Socket entspricht damit faktisch root-Zugriff auf dem System. Sie können OpenHands daher nicht vollständig von seinem Host isolieren. Die ehrliche Gegenmaßnahme ist die Wahl des Standorts: Verwenden Sie eine dedizierte, jederzeit ersetzbare VPS, auf der sich nichts anderes befindet, das Sie benötigen. Erstellen Sie vor dem Start einen Snapshot des Systems. Bauen Sie das System anschließend aus diesem Snapshot neu auf, statt einem Server zu vertrauen, auf dem seit Wochen vom Agenten erzeugter Code ausgeführt wurde. Die Einrichtung, der SSH-Tunnel zur Weboberfläche und die Begründung werden in OpenHands selbst auf einer VPS hosten beschrieben.

Agent Zero: das Framework für allgemeine Zwecke

Agent Zero ist ein agentenorientiertes Framework mit Docker als Grundlage. Ein primärer Agent kann untergeordnete Agents starten. Jeder Agent läuft in seinem eigenen isolierten Container und kann Code ausführen, einen Browser steuern und Shell-Befehle ausführen. Sie steuern das gesamte System über eine Weboberfläche. Es läuft auch auf Hardware ab 6 Dollar pro Monat, beispielsweise auf einem VPS. Dadurch können Sie Setups mit mehreren Agents kostengünstig und einfach testen.

Zwei Maßnahmen erhöhen die Sicherheit. Das standardmäßige docker run aus den meisten Anleitungen veröffentlicht die Weboberfläche auf Port 50001 an jeder Netzwerkschnittstelle. Auf einem öffentlichen VPS ist das Bedienfeld für ein System, das Befehle ausführt, dadurch ab dem Start des Containers aus dem gesamten Internet erreichbar. Veröffentlichen Sie die Weboberfläche stattdessen nur auf dem Loopback-Interface und greifen Sie über einen SSH-Tunnel darauf zu. Beachten Sie außerdem die tatsächlichen Grenzen der Containerisolierung: Untergeordnete Agents sind voneinander abgeschottet. Das schützt die Agents, nicht Ihren Server. Die Arbeiten auf dem Host bleiben Ihre Verantwortung. Agent Zero auf einem VPS selbst hosten beschreibt die erforderlichen Schritte einschließlich der Loopback-Bindung, die in den meisten Anleitungen fehlt.

Welcher selbst gehostete KI-Agent passt zu Ihnen?

• Sie möchten einen leistungsfähigen persönlichen Assistenten in Ihren Chat-Anwendungen und akzeptieren umfangreiche Härtungsarbeiten: OpenClaw.
• Sie möchten einen persönlichen Agenten auf dem kleinsten und günstigsten Server mit nahezu keiner Angriffsfläche: Hermes Agent.
• Ihr Team möchte eine gemeinsame, private Basis für LLM-Anwendungen mit einer Benutzeroberfläche, die auch Nichtentwickler verwenden können: Dify.
• Sie möchten Code schreiben lassen, während Sie abwesend sind, und können dafür einen kurzlebigen Server bereitstellen: OpenHands.
• Sie möchten mit Agenten experimentieren, die andere Agenten delegieren: Agent Zero.

Ein Fall fällt aus dieser Liste heraus. Wenn Sie einen interaktiven Coding-Agenten möchten, den Sie Sitzung für Sitzung über das Terminal steuern, statt eines autonomen Agenten, gibt es dafür eigene Werkzeuge und eine eigene Anleitung: Unter OpenCode auf einem VPS ausführen finden Sie die Open-Source-Option mit den meisten Stars, und einen Coding-KI-Agenten auf einem VPS ausführen behandelt das gesamte Feld. Ein zweiter Fall hängt eher von der Verfügbarkeit als von den Fähigkeiten ab: Wenn der Agent weiterarbeiten soll, während Sie abwesend sind, zeigt KiroCrew als dauerhaft laufenden Agenten ausführen das Muster mit einem fest verankerten Container und systemd, das Speicher und geplante Aufgaben über einen Reboot hinweg erhält. Genau diesen Teil überlassen die meisten Agent-Installationen dem Zufall. Ein dritter Fall ist noch spezieller: Wenn der Agent selbst Sicherheitsprüfungen statt allgemeiner Assistenz durchführen soll, beschreibt open-kritt auf einem VPS selbst hosten diese Einrichtung einschließlich des SSH-Tunnels zu seiner Benutzeroberfläche und des Provider-Budgets, über das Sie vor dem ersten Scan entscheiden sollten.

Die Sicherheitsmaßnahmen sind bei allen fünf gleich

Unabhängig vom gewählten Agenten ändert sich das Hardening-Muster nicht, weil das Risiko gleich bleibt: Jedes dieser Tools führt Befehle oder Code auf Ihrem Server aus. Daher muss der Server begrenzen, worauf ein Fehler zugreifen kann. Wie viel der Agent ohne Rückfrage ausführen darf, ist ebenfalls Teil dieser Entscheidung. Die Berechtigungsmodi von Claude Code stellen den Zielkonflikt klar dar: Die Einstellung, mit der ein Agent unbeaufsichtigt handeln darf, sollte auf einem nicht überwachten Server am sparsamsten vergeben werden.

Vier Gewohnheiten sind besonders wichtig. Führen Sie den Agenten als eigenen Benutzer ohne privilegierte Rechte aus, niemals als root. Dadurch begrenzt das Konto, unter dem der Agent läuft, den möglichen Schaden, wie unter Dienste als Benutzer ohne privilegierte Rechte ausführen beschrieben. Halten Sie alle Zugriffsschnittstellen privat: Binden Sie Web-UIs und Gateways an loopback und verwenden Sie bei Bedarf einen SSH-Tunnel oder ein VPN. Denn ein Port kann nicht angegriffen werden, wenn er nicht erreichbar ist. Setzen Sie eine Firewall mit standardmäßig verweigertem Zugriff vor den Server. Prüfen Sie dabei auch IPv6 und nicht nur IPv4. Ein Regelsatz, der nur IPv4 abdeckt, kann denselben Dienst über IPv6 vollständig offen lassen. Genau diese IPv6-Firewall-Lücke betrifft viele Self-Hoster. Bewahren Sie Geheimnisse außerdem in Dateien auf, die nur der Benutzer des Agenten lesen kann (mode 600). Lassen Sie den Dienst diese Dateien laden, statt Geheimnisse in Befehlszeilen einzufügen. Dieselbe Grundregel gilt überall dort, wo eine Datei den Zugriff auf alles andere ermöglicht: Die tatsächliche Sicherheit von Vaultwarden hängt vom Admin-Token und der Backup-Datei ab, nicht vom verschlüsselten Tresor, den diese beiden Elemente schützen.

Das vollständige Beispiel für dieses Muster einschließlich einer gehärteten systemd-Unit mit NoNewPrivileges, ProtectSystem=strict, PrivateTmp und ProtectHome finden Sie im Hardening-Leitfaden für OpenClaw. Dieselbe Vorgehensweise lässt sich auf jeden Agenten auf dieser Seite übertragen. Eine weitere Gewohnheit ist bei allen fünf wichtig: Führen Sie Updates gezielt durch. Die OpenClaw-Sicherheitsmeldungen vom March 2026 haben gezeigt, wie schnell eine kritische Schwachstelle in einem Agenten dringend werden kann. Ein Agent führt bereits Befehle aus. Daher ist eine Privilege-Escalation-Schwachstelle in einem Agenten deutlich schwerwiegender als in einer gewöhnlichen Webanwendung.

FAQ

Was ist 2026 der beste selbst gehostete KI-Agent?

Das hängt von der Aufgabe ab. OpenClaw ist der leistungsfähigste und beliebteste persönliche Agent. Mitte 2026 hatte er mehr als 380,000 GitHub stars. Hermes Agent ist für dieselbe Aufgabe die schlankste Alternative. Dify ist die beste Plattform für ein Team, das LLM-Anwendungen entwickelt. OpenHands ist der stärkste autonome Coding-Agent. Agent Zero ist das flexibelste Multi-Agent-Framework. Wählen Sie zuerst nach dem Anwendungsfall und danach danach, wie viel Härtungsaufwand Sie übernehmen möchten.

Kann ich einen selbst gehosteten KI-Agenten auf einem günstigen VPS betreiben?

Ja, bei den meisten. Hermes Agent läuft auf einem VPS für $5. Agent Zero startet mit etwa 2 GB RAM. Dify benötigt 2 bis 4 GB freien Speicher. OpenHands benötigt mindestens 4 GB. Die Agents selbst sind leichtgewichtig, weil das Sprachmodell normalerweise über eine gehostete API ausgeführt wird. Wenn Sie auch das Modell selbst hosten, dimensionieren Sie den Server für das Modell. Das ist eine deutlich höhere Anforderung als der Agent.

Benötige ich eine GPU, um einen KI-Agenten selbst zu hosten?

Nein. Der Agent ist eine Laufzeitumgebung: eine Schleife, Werkzeuge und Speicher. Das ist gewöhnlicher Code, der auf einem VPS ohne GPU ausgeführt wird. Eine GPU ist nur erforderlich, wenn Sie das Sprachmodell selbst auf Ihrer Hardware ausführen möchten, anstatt eine gehostete API aufzurufen. In diesem Fall muss das Modell in den Speicher passen. Dimensionieren Sie das System für das Modell, bevor Sie es herunterladen.

Sind selbst gehostete KI-Agents sicher?

Sie sind nur so sicher wie die Einschränkungen, die Sie für sie festlegen. Jeder hier genannte Agent führt Befehle oder Code aus. Die Risiken sind daher eine exponierte Steuerungsschnittstelle, eine Installation als root und offengelegte API-Schlüssel. Für alle fünf gelten dieselben Maßnahmen: ein nicht privilegierter Benutzer, Schnittstellen nur auf loopback, die über SSH oder ein VPN erreichbar sind, eine standardmäßig alles ablehnende Firewall für IPv4 und IPv6, Dateiberechtigungen für vertrauliche Daten und regelmäßige Updates. Ein auf diese Weise installierter Agent ist vertretbar. Ein Agent, der unverändert an einem öffentlichen Port erreichbar ist, ist es nicht.