Beste selbstgehostete KI-Agenten 2026

Die besten selbstgehosteten KI-Agenten im Jahr 2026, kurz gefasst

Die besten selbstgehosteten KI-Agenten im Jahr 2026 sind OpenClaw für einen persönlichen Assistenten über Chat-Apps, Hermes Agent für dieselbe Aufgabe auf dem kleinstmöglichen Server, Dify für Teams, die Anwendungen auf Basis von Sprachmodellen entwickeln, OpenHands für autonomes Coding und Agent Zero als Allzweck-Framework, dessen Agenten eigene Sub-Agenten erstellen. Alle fünf sind Open Source und laufen auf einem VPS, den Sie selbst kontrollieren. Diese Übersicht vergleicht sie hinsichtlich ihres Einsatzzwecks, ihres Aufbaus, ihrer Serveranforderungen und des Sicherheitsaufwands, damit Sie das richtige Tool vor der Installation auswählen können.

Wir führen jedes dieser Tools auf echten Servern aus. Jeder Abschnitt unten enthält einen Link zur vollständigen Setup- und Hardening-Anleitung für das jeweilige Tool.

Was ein selbstgehosteter KI-Agent ist

Ein KI-Agent ist eine Schleife (Loop), die um ein Sprachmodell gewickelt ist. Das Modell analysiert die Situation, entscheidet für eine Aktion, Ihr Server führt diese Aktion aus, und das Ergebnis speist die nächste Iteration der Schleife. Die Aktionen sind Werkzeuge (Tools): Ausführen eines Shell-Befehls, Lesen oder Schreiben einer Datei, Steuern eines Browsers, Aufrufen einer API. Wenn Sie die Mechanik im Detail verstehen möchten, erklärt der Aufbau eines eigenen KI-Agenten auf einem VPS die Schleife, die Tools und den Speicher von Grund auf.

Selbstgehostet bedeutet, dass die Agent-Runtime, der Speicher, die Tools und die Secrets auf Ihrem eigenen Server liegen statt auf einer fremden Plattform. Das Sprachmodell selbst ist meist eine gehostete API, da die leistungsstärksten Modelle nicht in den Speicher eines kleinen Servers passen. Sie können den Betrieb vollständig lokal durch das Bereitstellen eines Modells mit Ollama auf demselben VPS realisieren, allerdings benötigen Sie dann ausreichend RAM für ein leistungsfähiges Modell.

Der Grund für das Self-Hosting ist die Kontrolle: Ihr Chat-Verlauf, Ihre Dateien, Ihre API-Keys und jeder vom Agenten ausgeführte Befehl verbleiben auf einer Maschine, die Ihnen gehört. Der Grund für Vorsicht ist derselbe Fakt. Ein Agent, der Befehle auf Ihrem Server ausführt, ist nur so sicher wie die Beschränkungen, die Sie ihm auferlegen. Deshalb behandelt der folgende Vergleich die Sicherheitsarchitektur als primäres Kriterium und nicht nur als Randnotiz.

Die fünf Agenten im Vergleich

[
  {
    "tool": "OpenClaw",
    "primary_use": "Personal assistant with full server access",
    "interface": "Chat apps (Telegram, WhatsApp, Slack, Discord)",
    "isolation_model": "One gateway process, on loopback by default",
    "ram_floor": "Small VPS; more if it drives a browser",
    "security_posture": "Safe network default; operator must harden the rest",
    "maturity": "380,000+ stars mid-2026; March 2026 CVE history"
  },
  {
    "tool": "Hermes Agent",
    "primary_use": "Lightweight personal assistant with memory",
    "interface": "Chat apps (Telegram, Discord)",
    "isolation_model": "Single process, runs fine under systemd",
    "ram_floor": "A $5 VPS is enough",
    "security_posture": "Connects outward only; no inbound port needed",
    "maturity": "New (February 2026), from Nous Research"
  },
  {
    "tool": "Dify",
    "primary_use": "LLM app platform for teams",
    "interface": "Web UI and API",
    "isolation_model": "Docker Compose stack of about six containers",
    "ram_floor": "2 GB free; 4 GB is comfortable",
    "security_posture": "Ships on plain HTTP port 80; needs TLS and a proxy in front",
    "maturity": "Established, fast release pace"
  },
  {
    "tool": "OpenHands",
    "primary_use": "Autonomous coding agent",
    "interface": "Web UI on port 3000",
    "isolation_model": "Per-task sandbox containers via the host Docker socket",
    "ram_floor": "4 GB",
    "security_posture": "Docker socket is root equivalent; run it on a disposable VPS",
    "maturity": "Established (formerly OpenDevin)"
  },
  {
    "tool": "Agent Zero",
    "primary_use": "General purpose multi-agent framework",
    "interface": "Web UI on port 50001",
    "isolation_model": "Subordinate agents in separate containers",
    "ram_floor": "2 GB to start",
    "security_posture": "Default run exposes the UI on every interface; bind it to loopback",
    "maturity": "Active, Docker-first"
  }
]

Zwei Muster in dieser Tabelle bestimmen den Großteil des Sicherheitsaufwands. Die persönlichen Agenten, OpenClaw und Hermes, erreichen Sie über Chat-Apps; sie stellen eine Verbindung nach außen her und benötigen keinen eingehenden Port. Die Web-basierten Tools, Dify, OpenHands und Agent Zero, stellen jeweils eine Schnittstelle über HTTP bereit. In jedem dieser Fälle ist die Standard-Netzwerkkonfiguration das erste, was nach der Installation korrigiert werden muss.

OpenClaw: der leistungsfähigste persönliche Agent

OpenClaw ist ein persönlicher KI-Agent, den Sie auf Ihrem eigenen Server ausführen und über Telegram, WhatsApp, Slack oder Discord ansprechen. Er kann Shell-Befehle ausführen, einen Browser steuern sowie Dateien lesen und schreiben. Dies macht ihn zum leistungsfähigsten Tool in dieser Liste, aber auch zum Tool mit dem größten Zugriff auf Ihr System. Er ist unter der MIT-Lizenz lizenziert und hat (Stand Mitte 2026) über 380.000 GitHub-Stars, was ihn zu einem der populärsten Projekte auf der Plattform macht. Das Ökosystem und die Community sind daher wesentlich größer als bei jedem anderen Agenten hier.

Zwei Fakten sollten Ihre Entscheidung beeinflussen. Erstens ist die Netzwerksicherheit standardmäßig sicher: Das Gateway, der einzelne Prozess, der alles steuert, lauscht standardmäßig auf der Loopback-Adresse und ist somit nicht aus dem Internet erreichbar, es sei denn, Sie machen ihn explizit öffentlich. Zweitens hat das Projekt eine reale Sicherheitshistorie. Im März 2026 wurden innerhalb von vier Tagen neun Sicherheitslücken bekannt gegeben, darunter eine kritische Schwachstelle zur Privilegieneskalation, CVE-2026-32922, mit einem Rating von 9,9 von 10. Das Sicherheitsmodell von OpenClaw überträgt die Hardening-Arbeit auf Sie als Betreiber. Keiner dieser Fakten ist ein Grund, das Tool zu vermeiden; sie sind ein Grund, es vorsichtig zu installieren, wie es in sicheres Ausführen von OpenClaw auf einem VPS Schritt für Schritt beschrieben wird.

Hermes Agent: der leichteste persönliche Agent

Hermes Agent stammt von Nous Research und wurde im Februar 2026 veröffentlicht, was ihn zum neuesten Tool in dieser Liste macht. Es ist ein persönlicher Agent, der ein persistentes Gedächtnis für Ihre Projekte besitzt, während der Arbeit wiederverwendbare Skills schreibt und Sie über Chat-Apps wie Telegram und Discord erreicht. Er ist modell-agnostisch, sodass Sie ihn mit jedem bevorzugten Sprachmodell verbinden können.

Das Hauptverkaufsargument ist der geringe Ressourcenverbrauch. Hermes lässt sich mit einem einzigen Befehl installieren und läuft problemlos auf einem 5-Dollar-VPS, da der Agent die Runtime ist, nicht das Modell. Die rechenintensive Arbeit findet über die API statt, mit der Sie ihn verbinden. Da der Agent nur Verbindungen zu Ihrem Modell und Ihren Chat-Apps herstellt, benötigt er keinen eingehenden Port, wodurch die Angriffsfläche im Netzwerk nahezu bei Null liegt. Der Nachteil gegenüber OpenClaw ist die Reife: Hermes ist erst wenige Monate alt, während die Integrationen und die Community von OpenClaw wesentlich größer sind. Die vollständige Einrichtung, einschließlich der Erklärung, warum Sie ein curl-Installationsskript lesen sollten, bevor Sie es ausführen, finden Sie in Self-Hosting von Hermes Agent auf einem VPS.

Dify: die Plattform für Teams

Dify ist ein anderer Typ von Tool. Anstatt eines Agenten für eine Person ist es eine selbsthostbare Plattform zum Bauen von Anwendungen auf Basis von Sprachmodellen: eine Web-Oberfläche zum Entwerfen von Chat-Apps, Agenten und Retrieval-Pipelines, eine API zum Aufrufen aus eigenem Code sowie ein zentraler Ort zur Verwaltung von Prompts, Datensätzen und Modell-Keys. Ein kleines Team nutzt dies, damit alle auf einer gemeinsamen privaten Basis arbeiten, anstatt API-Keys über verschiedene Skripte zu verteilen.

Dieser Umfang bedeutet mehr Komponenten. Dify wird als Docker Compose Stack mit etwa einem halben Dutzend Containern ausgeliefert, einschließlich einer Postgres-Datenbank, einem Redis-Cache und einer Vektordatenbank. Planen Sie mindestens 2 GB freien RAM ein, idealerweise 4 GB. Auch der Sicherheitsaufwand ist anders: Der integrierte Webserver von Dify lauscht auf jedem Interface auf dem Standard-HTTP-Port 80, und der erste Besucher der Installationsseite übernimmt das Admin-Konto. Binden Sie den Dienst an die Loopback-Adresse, schalten Sie einen TLS-Reverse-Proxy davor und erstellen Sie sofort das Admin-Konto. Self-Hosting von Dify auf einem VPS erklärt die Installation und alle notwendigen Korrekturen.

OpenHands: der autonome Coding-Agent

OpenHands (ehemals OpenDevin) ist ein autonomer Software-Engineering-Agent. Sie geben ihm eine Aufgabe in natürlicher Sprache, und er plant die Arbeit, schreibt Code, führt Befehle aus, liest die Ausgabe und iteriert, bis die Aufgabe erledigt ist. Er läuft in Docker, stellt eine Web-UI auf Port 3000 bereit, unterstützt Dutzende von Modell-Backends und benötigt mindestens 4 GB RAM.

Eine Designentscheidung bestimmt Ihr gesamtes Setup. Um jede Aufgabe in einem frischen Sandbox-Container auszuführen, mountet der Controller das Host-Docker-Socket. Alles, was mit diesem Socket kommunizieren kann, kann einen Container starten, der das gesamte Dateisystem des Hosts mountet. Das bedeutet, dass der Socket-Zugriff effektiv Root-Rechte auf der Maschine bedeutet; Sie können OpenHands also nicht vollständig vom Host isolieren. Die einzige wirksame Gegenmaßnahme ist die Platzierung: Geben Sie ihm einen dedizierten, vergänglichen VPS ohne andere wichtige Daten, erstellen Sie einen Snapshot der Maschine vor dem Start und bauen Sie das System aus dem Snapshot wieder auf, anstatt einem Server zu vertrauen, auf dem wochenlang Agenten-generierter Code gelaufen ist. Das Setup, der SSH-Tunnel zur UI und die Begründung finden Sie in Self-Hosting von OpenHands auf einem VPS.

Agent Zero: das Allzweck-Framework

Agent Zero ist ein Docker-zentriertes Agent-Framework. Ein Primär-Agent kann untergeordnete Agenten starten, die jeweils in einem eigenen isolierten Container laufen. Jeder dieser Agenten kann Code ausführen, einen Browser steuern und Shell-Befehle ausführen. Sie steuern alles über eine Web-UI. Das Framework läuft auf Hardware, die so klein wie ein 6-Dollar-VPS ist, was es zur einfachsten Methode macht, Multi-Agenten-Setups mit geringem Budget zu testen.

Zwei Sicherheitsmaßnahmen sind wichtig. Die Standard-docker run in den meisten Anleitungen veröffentlicht die Web-UI auf Port 50001 auf jedem Netzwerkinterface. Auf einem öffentlichen VPS ist das Kontrollpanel für ein System, das Befehle ausführt, sofort nach dem Start des Containers aus dem gesamten Internet erreichbar. Veröffentlichen Sie es stattdessen auf der Loopback-Adresse und greifen Sie über einen SSH-Tunnel darauf zu. Betrachten Sie die Container-Isolierung zudem kritisch: Untergeordnete Agenten sind voneinander isoliert, was die Agenten schützt, aber nicht Ihren Server. Die Arbeit auf Host-Ebene liegt weiterhin bei Ihnen; Self-Hosting von Agent Zero auf einem VPS deckt dies ab, einschließlich der Loopback-Bindung, die in den meisten Tutorials fehlt.

Welcher selbstgehostete KI-Agent ist der richtige für Sie?

• Sie möchten einen leistungsfähigen persönlichen Assistenten in Ihren Chat-Apps und akzeptieren hohen Hardening-Aufwand: OpenClaw.
• Sie möchten einen persönlichen Agenten auf dem kleinsten, günstigsten Server mit minimaler Angriffsfläche: Hermes Agent.
• Ihr Team benötigt eine gemeinsame, private Basis für LLM-Anwendungen mit einer UI für Nicht-Entwickler: Dify.
• Sie möchten, dass Code geschrieben wird, während Sie weg sind, und können dafür einen vergänglichen Server bereitstellen: OpenHands.
• Sie möchten mit Agenten experimentieren, die Aufgaben an andere Agenten delegieren: Agent Zero.

Ein Anwendungsfall passt nicht in diese Liste. Wenn Sie einen interaktiven Coding-Agenten suchen, den Sie Sitzung für Sitzung über das Terminal steuern, statt eines autonomen Agenten, dann hat diese Kategorie eigene Tools und Anleitungen: siehe Ausführen von OpenCode auf einem VPS für die populärste Open-Source-Option und Ausführen eines Coding-KI-Agenten auf einem VPS für das breitere Feld.

Der Sicherheitsaufwand ist bei allen fünf gleich

Egal für welchen Agenten Sie sich entscheiden, das Hardening-Muster bleibt gleich, da das Risiko identisch ist: Alle diese Tools führen Befehle oder Code auf Ihrem Server aus. Daher muss das System begrenzen, was ein Fehler erreichen kann.

Vier Gewohnheiten tragen die Hauptlast. Führen Sie den Agenten als dedizierten, unprivilegierten Benutzer aus, niemals als root, damit das Konto, unter dem er läuft, die Obergrenze für den potenziellen Schaden bildet (erklärt in Ausführen von Diensten als unprivilegierter Benutzer). Halten Sie jede Schnittstelle privat: Nutzen Sie die Loopback-Bindung für Web-UIs und Gateways und greifen Sie via SSH-Tunnel oder VPN darauf zu, da niemand einen Port angreifen kann, der nicht erreichbar ist. Schalten Sie eine Default-Deny-Firewall vor den Server und prüfen Sie sowohl IPv6 als auch IPv4. Eine Regelwerksatzung, die nur IPv4 abdeckt, kann denselben Dienst auf IPv6 offen lassen – genau diese IPv6-Firewall-Lücke, die so viele Self-Hoster trifft. Und speichern Sie Secrets nur in Dateien, die nur der Benutzer des Agenten lesen kann (Modus 600), und laden Sie diese über den Dienst statt durch Einfügen in die Befehlszeile.

Das Praxisbeispiel für dieses gesamte Muster, inklusive einer gehärteten systemd-Unit mit NoNewPrivileges, ProtectSystem=strict, PrivateTmp und ProtectHome, ist der OpenClaw Hardening-Guide. Das gleiche Rezept gilt für jeden Agenten auf dieser Seite. Eine weitere Gewohnheit ist wichtig: Aktualisieren Sie gezielt. Die OpenClaw-Veröffentlichungen vom März 2026 haben gezeigt, wie schnell eine kritische Schwachstelle in einem Agenten zur Dringlichkeit wird. Da ein Agent bereits Befehle ausführt, ist ein Privilege-Escalation-Bug hier weitaus schwerwiegender als in einer gewöhnlichen Web-App.

FAQ

Was ist der beste selbstgehostete KI-Agent im Jahr 2026?

Es kommt auf die Aufgabe an. OpenClaw ist der leistungsfähigste und populärste persönliche Agent mit über 380.000 GitHub-Stars (Stand Mitte 2026), und Hermes Agent ist die leichteste Alternative für dieselbe Rolle. Dify ist die beste Plattform für Teams, die LLM-Anwendungen entwickeln, OpenHands ist der stärkste autonome Coding-Agent und Agent Zero ist das flexibelste Multi-Agenten-Framework. Wählen Sie primär nach dem Anwendungsfall und sekundär danach, wie viel Hardening-Aufwand Sie betreiben möchten.

Kann ich einen selbstgehosteten KI-Agenten auf einem günstigen VPS ausführen?

Ja, bei den meisten. Hermes Agent läuft auf einem 5-Dollar-VPS und Agent Zero benötigt etwa 2 GB RAM, während Dify 2 bis 4 GB freien Speicher benötigt und OpenHands mindestens 4 GB. Die Agenten selbst sind leichtgewichtig, da das Sprachmodell meist über eine gehostete API läuft. Falls Sie das Modell selbst hosten, dimensionieren Sie den Server für das Modell; dies stellt eine wesentlich höhere Anforderung dar als der Agent selbst.

Benötige ich eine GPU für das Self-Hosting eines KI-Agenten?

Nein. Der Agent ist eine Runtime: eine Schleife, Tools und Speicher – alles gewöhnlicher Code, der auf einem reinen CPU-VPS läuft. Eine GPU ist nur relevant, wenn Sie das Sprachmodell selbst auf Ihrer eigenen Hardware ausführen möchten, anstatt eine gehostete API aufzurufen. In diesem Fall muss das Modell in den Speicher passen; dimensionieren Sie die Maschine für das Modell, bevor Sie es herunterladen.

Ist es sicher, selbstgehostete KI-Agenten auszuführen?

Sie sind nur so sicher wie die Beschränkungen, die Sie ihnen auferlegen. Jeder Agent hier führt Befehle oder Code aus, daher sind die Risiken eine offene Schnittstelle, eine Installation als Root und geleakte API-Keys. Die Lösungen sind für alle fünf gleich: ein unprivilegierter Benutzer, nur auf Loopback beschränkte Interfaces (erreichbar via SSH oder VPN), eine Default-Deny-Firewall für IPv4 und IPv6, korrekte Dateiberechtigungen für Secrets und regelmäßige Updates. Ein so installierter Agent ist sicher betreibbar; ein Agent, der ungeschützt auf einem öffentlichen Port offenliegt, nicht.