OpenClaw KI-Agent selbst bauen Anleitung

Was OpenClaw tatsächlich ist

OpenClaw ist ein selbst gehosteter persönlicher KI-Agent. Sie führen ihn auf Ihrem eigenen Server aus, verbinden ihn mit den Chat-Apps, die Sie bereits nutzen, und er kann Shell-Befehle ausführen, einen Browser steuern, Ihre Dateien lesen und schreiben sowie auf die Nachrichten reagieren, die Sie an ihn senden. Er ist unter der MIT-Lizenz lizenziert, verfolgt einen Local-First-Ansatz und hat mit Stand Mitte 2026 über 380.000 GitHub-Stars, was ihn zu einem der am häufigsten mit Sternen markierten Projekte auf der Plattform macht. Hinter dem Hype verbirgt sich ein relativ kleiner Satz von Komponenten, die sinnvoll miteinander verbunden sind. Dieser Beitrag beschreibt diese Komponenten, damit Sie verstehen, wie ein solches Werkzeug gebaut wird und wo die kritischen Schwachstellen liegen.

Eine Warnung vorab, da sie jede nachfolgende Designentscheidung beeinflusst. Im März 2026 wurden innerhalb von vier Tagen neun Sicherheitslücken für OpenClaw bekannt gegeben, darunter eine kritische Privilege-Escalation-Schwachstelle mit einer Bewertung von 9,9 von 10 (CVE-2026-32922). Das Projekt ist so konzipiert, dass Sie als Betreiber die Absicherung (Hardening) übernehmen. Ein Agent, der jeden Befehl ausführen kann, ist nur so sicher wie der Host-Rechner und die Beschränkungen, die Sie ihm auferlegen. Beachten Sie dies beim Lesen.

Der Gateway-Daemon: ein Prozess, privat gehalten

Im Zentrum steht ein einzelner, dauerhaft laufender Prozess, der meist als Gateway bezeichnet wird. Er ist die Control Plane. Er empfängt Nachrichten, entscheidet über die Aktion, führt die Tools aus und sendet Antworten zurück. Alles andere wird an ihn angebunden.

Die wichtigste Eigenschaft des Gateways ist die IP-Adresse, an der er lauscht. Standardmäßig bindet OpenClaw ihn an die Loopback-Adresse 127.0.0.1, sodass er aus dem Internet nicht erreichbar ist, es sei denn, Sie machen ihn explizit öffentlich zugänglich. Lassen Sie ihn so. Dies ist der einzige Prozess, der Befehle ausführt; ein exponiertes Gateway gewährt jedem, der es findet, einen Remote-Zugriff auf Ihren Server. Wenn Sie von Ihrem Laptop darauf zugreifen müssen, nutzen Sie ein VPN oder einen SSH-Tunnel, anstatt einen Port zu öffnen. Niemand kann einen Port angreifen, der nicht erreichbar ist.

Channel-Connectors: Nachrichten empfangen und Antworten senden

Ein persönlicher Agent ist nur nützlich, wenn Sie über die Apps, die Sie bereits nutzen, mit ihm kommunizieren können. Genau das übernehmen die Channel-Connectors. Jeder Connector kommuniziert mit einer Plattform, wie Telegram, WhatsApp, Slack oder Discord, unter Verwendung der Bot-API oder der Webhooks der jeweiligen Plattform.

Das Prinzip ist für alle gleich. Der Connector registriert einen Bot bei der Plattform, empfängt Ihre eingehende Nachricht (entweder durch Polling oder durch einen Webhook der Plattform) und übergibt diese Nachricht an das Gateway. Anschließend postet er die Antwort des Gateways über dieselbe API zurück. Der Connector ist eine dünne Übersetzungsschicht. Er konvertiert „eine Telegram-Nachricht ist eingegangen“ in „hier ist Text für den Agenten“ und umgekehrt. Ein eigenes System zu bauen, bedeutet primär, die Bot-Dokumentation einer Plattform zu lesen und deren Nachrichtenformat auf das Format des Gateways abzubilden.

Das Gehirn und die Tool-Loop

Innerhalb des Gateways befindet sich der Teil, der ihn von einem Chatbot zu einem Agenten macht. Es ist eine Schleife (Loop).

Eine Nachricht trifft ein. Das Gateway sendet sie zusammen mit einer Liste der erlaubten Tools an ein Sprachmodell. Das Modell liest die Nachricht und entscheidet: direkt antworten oder ein Tool aufrufen. Wenn es ein Tool aufruft, führt das Gateway dieses Tool aus, erfasst das Ergebnis und sendet das Ergebnis zurück an das Modell. Das Modell prüft das Ergebnis und entscheidet erneut. Dies wiederholt sich, bis das Modell keine weiteren Aufgaben mehr hat und eine finale Antwort generiert.

Diese Schleife ist das Kernkonzept eines Agenten; sie ist identisch, egal ob der Agent in einer Chat-App oder in einem Terminal läuft. Für die standardisierte Anbindung von Tools an diese Schleife ist das Verbinden von Tools über das Model Context Protocol eine gute nächste Lektüre. Für die Modell-Seite bietet das Ausführen des Modells auf eigener Hardware die ergänzende Information.

Das Tool-Set ist der Kern und die Gefahr

Die Tools verleihen OpenClaw seine Leistungsfähigkeit. Ein Tool, das einen Shell-Befehl ausführt, ein Tool, das einen Browser steuert, ein Tool, das Dateien liest und schreibt. Wenn die obige Schleife Zugriff auf diese erhält, kann sie fast alles tun, was Sie an einer Tastatur tun können. Diese Reichweite ist das gesamte Produkt und gleichzeitig das gesamte Risiko.

Ein Agent, der Befehle ausführt, basierend auf Anweisungen aus einer Chat-App, stellt eine große Angriffsfläche dar. Eine fehlerhafte Anweisung, ein Prompt-Injection-Angriff, der in einer Webseite versteckt ist, die das Browser-Tool besucht, oder ein Bug wie die Schwachstellen vom März 2026 können „Lies meinen Kalender“ in „Lösche meine Dateien“ verwandeln. Daher sind Beschränkungen keine optionalen Extras. Führen Sie den Agenten als dedizierten, unprivilegierten Benutzer ohne sudo-Rechte aus, damit eine Kompromittierung nicht eskalieren kann. Schützen Sie gefährliche Tools durch einen Freigabeschritt (Approval Step), damit der Agent vor destruktiven Aktionen um Erlaubnis fragt. Nutzen Sie Sandboxing für die Tool-Ausführung, um unkontrollierte Befehle zu isolieren. Isolieren Sie den API-Key des Modells, damit ein Leak nicht den Zugriff auf Ihr Konto ermöglicht.

Bevor Sie etwas exponieren, das Shell-Befehle ausführt, arbeiten Sie die Grundlagen gezielt durch. Erstellen Sie hier eine Checkliste für Ihr eigenes System und arbeiten Sie diese von oben nach unten ab:

Die Details zur Ausführung als unprivilegierter Benutzer finden Sie in Ausführen von Diensten als unprivilegierter Benutzer. Eine vollständige Anleitung für ein sicheres Setup des Originalprojekts finden Sie in Sicheres Ausführen von OpenClaw auf einem VPS.

Speicher als einfache Dateien

Die meisten Nutzer erwarten, dass der Speicher eines Agenten in einer Datenbank liegt. OpenClaws Speicher funktioniert anders. Er speichert den Speicher als einfache Markdown-Dateien auf der Festplatte, und diese Entscheidung ist empfehlenswert.

Dateien sind einfach. Es gibt kein Schema, das migriert werden muss, keinen Dienst, der am Laufen gehalten werden muss, und keine Abfragesprache, die gelernt werden muss. Sie sind einsehbar: Sie können den Ordner öffnen und genau lesen, was der Agent über Sie gespeichert hat, eine falsche Notiz durch Bearbeiten der Datei korrigieren oder eine Erinnerung durch Löschen der Datei entfernen. Zudem sind sie portabel, da das Verschieben des Agenten auf einen neuen Server lediglich das Kopieren eines Verzeichnisses erfordert. Für einen persönlichen Agenten für Einzelnutzer reicht ein Ordner mit Textdateien aus und hält das gesamte System übersichtlich.

Skills: ein portables Format für Erweiterungen

Zusätzlich zu den integrierten Tools verwendet OpenClaw ein portables Skill-Format, damit die Community die Funktionen erweitern kann, ohne den Kern zu verändern. Ein Skill ist ein eigenständiges Paket aus Anweisungen und teilweise Code, das dem Agenten eine neue Aufgabe vermittelt. Der Agent lädt einen Skill, wenn die Aufgabe dies erfordert.

Der Vorteil eines solchen Formats ist die Teilbarkeit von Fähigkeiten. Jemand schreibt einen Skill für eine spezifische Aufgabe, veröffentlicht ihn und andere können ihn einbinden. Wenn Sie Ihren eigenen Agenten entwickeln, spart Ihnen die frühzeitige Definition eines klaren Erweiterungsformats das spätere Hardcoden jeder einzelnen Funktion im Kern.

Eigene Modelle nutzen

OpenClaw ist modell-agnostisch. Es wird kein eigenes Sprachmodell mitgeliefert. Stattdessen verbindet es sich mit einem Modell Ihrer Wahl, das entweder über eine API oder als lokal laufendes Modell bereitgestellt wird.

Diese Trennung ist entscheidend für Kosten, Datenschutz und Kontrolle. Eine gehostete API bietet Ihnen die leistungsstärksten Modelle ohne Hardware-Aufwand, gegen Gebühr pro Token, wobei Ihre Prompts Ihren Server verlassen. Ein selbst gehostetes Modell (z. B. mit Ollama) hält jede Nachricht auf Ihrem eigenen Rechner und verursacht nur Hardware- und Stromkosten, allerdings auf Kosten eines kleineren oder langsameren Modells. Viele Nutzer kombinieren beide Ansätze. Wenn Sie einen Agenten vollständig privat halten wollen, schließt das Self-Hosting des Modells auf Ihrem VPS diese letzte Lücke. Hermes Agent ist ein weiterer selbst gehosteter Agent, der als Vergleich dient.

Sollten Sie einen bauen?

Sie können all dies selbst bauen. Die Komponenten sind nicht exotisch: ein Daemon, einige Chat-Connectors, eine Modell-und-Tool-Schleife, ein Ordner mit Markdown-Dateien und ein Plugin-Format. Das Verständnis dieser Teile ist sehr nützlich, da es die Funktionsweise jedes Agenten entmystifiziert und genau aufzeigt, wo die Gefahren liegen.

Für die meisten Nutzer ist die ehrliche Antwort jedoch: Nutzen Sie das fertige Produkt und sichern Sie es ab, anstatt es neu zu erfinden. OpenClaw hat die Connectors, die Schleife und das Skill-Format bereits gelöst und wurde bereits Sicherheitsprüfungen unterzogen. Ihre Bemühungen sind besser darin investiert, den Teil korrekt umzusetzen, der Ihnen gehört: das Setup und die Absicherung auf Ihrem eigenen Server. Bauen Sie ein kleines Modell zum Lernen. Nutzen Sie und sichern Sie das echte Modell für den produktiven Einsatz ab.

Die allgemeinen Grundlagen finden Sie in Bau eines eigenen KI-Agenten auf einem VPS. Bau eines Agenten mit Claude zeigt dieselben Konzepte mit einem spezifischen Modell als Gehirn.

FAQ

Ist es schwierig, einen Agenten wie OpenClaw zu bauen?

Die einzelnen Komponenten sind nicht schwierig. Ein Gateway-Prozess, ein Chat-Connector, eine Modell-und-Tool-Schleife und ein Ordner mit Dateien sind jeweils unkompliziert. Der schwierige Teil ist die sichere Umsetzung. Ein Agent, der Shell-Befehle aus Chat-Nachrichten ausführt, stellt eine ernsthafte Sicherheitsrisiko dar. Die korrekte Konfiguration von Sandboxing, Berechtigungen und dem unprivilegierten Benutzer erfordert mehr Arbeit als die bloße Verknüpfung der Funktionen.

Warum speichert OpenClaw den Speicher als Markdown-Dateien statt in einer Datenbank?

Weil für einen persönlichen Agenten für Einzelnutzer Dateien ausreichen und wesentlich einfacher sind. Es muss kein Datenbankdienst betrieben werden, der Speicher ist manuell lesbar und korrigierbar, und das Verschieben des Agenten auf einen anderen Server erfordert nur das Kopieren eines Verzeichnisses. Datenbanken sind für größere Skalierungen gedacht, nicht für diesen Anwendungsfall.

Was ist der gefährlichste Teil eines persönlichen KI-Agenten?

Die Tools, die ihn handlungsfähig machen: das Ausführen von Shell-Befehlen, das Steuern eines Browsers und das Schreiben von Dateien. Sie sind der Grund für den Einsatz, aber auch der Grund für potenzielle Schäden. Das Sicherheitsereignis von OpenClaw im März 2026 (neun Schwachstellen in vier Tagen, darunter eine kritische mit der Bewertung 9,9) ist das deutlichste Argument für einen vorsichtigen Umgang mit der Tool-Ebene: Ausführung als unprivilegierter Benutzer, Absicherung destruktiver Aktionen und Sandboxing der Ausführung.

Benötige ich ein eigenes Sprachmodell, um einen Agenten zu bauen?

Nein. Agenten wie OpenClaw sind modell-agnostisch, Sie können also ein beliebiges Modell wählen. Dies kann eine gehostete API für die leistungsstärksten Modelle sein oder ein selbst gehostetes Modell für volle Privatsphäre. Die Selbsthostung mit Ollama hält jede Nachricht auf Ihrem eigenen Server, erfordert jedoch die Hardware für ein potenziell kleineres Modell.