Eigenen KI-Agenten wie OpenClaw selbst bauen

Was OpenClaw eigentlich ist

OpenClaw ist ein selbstgehosteter persönlicher KI-Agent. Sie betreiben ihn auf Ihrem eigenen Server, verbinden ihn mit den von Ihnen genutzten Chat-Apps, und er kann Shell-Befehle ausführen, einen Browser steuern, Ihre Dateien lesen und schreiben sowie auf Ihre Nachrichten reagieren. Das Projekt ist MIT-lizenziert, verfolgt einen Local-First-Ansatz und verzeichnete Mitte 2026 über 380.000 GitHub-Sterne, was es zu einem der am häufigsten mit Sternen markierten Projekte auf der Plattform macht. Hinter der Fassade besteht es aus einer überschaubaren Anzahl von Komponenten, die sinnvoll miteinander verknüpft sind. Dieser Beitrag erläutert diese Komponenten, damit Sie verstehen, wie ein solches Werkzeug aufgebaut ist und wo die kritischen Schwachstellen liegen.

Ein Hinweis vorab, da er jede Designentscheidung beeinflusst: Im März 2026 veröffentlichten die Entwickler von OpenClaw eine Flut von Sicherheitshinweisen: 22 allein am 13. März und fünf weitere am 16. März, während die National Vulnerability Database für diesen Monat 199 OpenClaw-CVEs verzeichnete. Die Charge vom 13. März enthielt zwei kritische Schwachstellen mit einer Bewertung von 9,9 von 10, darunter einen Fehler zur Privilegienerweiterung (CVE-2026-32922), der es einem Gerät mit lediglich Pairing-Rechten ermöglichte, vollständige Admin-Token zu erstellen. Das Projekt ist darauf ausgelegt, von Ihnen als Betreiber gehärtet zu werden. Ein Agent, der beliebige Befehle ausführen kann, ist nur so sicher wie das System, auf dem er läuft, und die Beschränkungen, die Sie ihm auferlegen. Behalten Sie dies beim Lesen im Hinterkopf.

Der Gateway-Daemon: ein Prozess, privat gehalten

Im Zentrum steht ein einzelner, dauerhaft laufender Prozess, meist als Gateway bezeichnet. Er bildet die Steuerungsebene. Er empfängt Nachrichten, entscheidet über das weitere Vorgehen, führt die Werkzeuge aus und sendet Antworten zurück. Alles andere wird an ihn angebunden.

Der wichtigste Aspekt des Gateways ist der Port, auf dem es lauscht. Bei einer regulären Host-Installation bindet OpenClaw es an die Loopback-Adresse, 127.0.0.1, sodass es aus dem Internet nicht erreichbar ist, sofern Sie es nicht explizit freigeben. Container-Images bilden die Ausnahme: Die Sicherheitsdokumentation von OpenClaw gibt an, dass diese standardmäßig an alle Schnittstellen binden. Wenn Sie den Container betreiben, behalten Sie die Authentifizierung bei und veröffentlichen Sie den Port nicht im Internet. Halten Sie ihn in jedem Fall privat. Da dies der einzige Prozess ist, der Befehle ausführt, verschafft ein offenes Gateway jedem, der es findet, einen Fernzugriff auf Ihren Server. Wenn Sie von Ihrem Laptop darauf zugreifen müssen, nutzen Sie ein VPN oder einen SSH-Tunnel, anstatt einen Port zu öffnen. Niemand kann einen Port angreifen, den er nicht erreichen kann.

Kanal-Connector: Nachrichten empfangen und Antworten senden

Ein persönlicher Agent ist nur dann nützlich, wenn Sie über die Anwendungen mit ihm kommunizieren können, die Sie bereits verwenden. Genau dafür sind die Kanal-Connectoren zuständig. Jeder Connector unterstützt eine Plattform wie Telegram, WhatsApp, Slack oder Discord. Dazu verwendet er die Bot-API oder Webhooks der jeweiligen Plattform.

Der Aufbau ist bei allen gleich. Der Connector registriert einen Bot bei der Plattform. Er empfängt Ihre eingehende Nachricht, entweder durch Abfragen der Plattform oder über einen Webhook, den die Plattform an ihn sendet. Anschließend übergibt er die Nachricht an das Gateway und sendet die Antwort des Gateways über dieselbe API zurück. Der Connector ist eine dünne Übersetzungsschicht. Er wandelt „Eine Telegram-Nachricht ist eingegangen“ in „Hier ist Text für den Agenten“ um und umgekehrt. Einen eigenen Connector zu erstellen, besteht im Wesentlichen darin, die Bot-Dokumentation einer Plattform zu lesen und deren Nachrichtenformat auf das des Gateways abzubilden.

Das Gehirn und die Werkzeugschleife

Im Gateway befindet sich der Teil, der es zu einem Agenten und nicht zu einem Chatbot macht. Es handelt sich um eine Schleife.

Eine Nachricht geht ein. Das Gateway sendet sie zusammen mit einer Liste der Werkzeuge, die das Modell verwenden darf, an ein Sprachmodell. Das Modell liest die Nachricht und entscheidet: direkt antworten oder ein Werkzeug aufrufen. Wenn es ein Werkzeug aufruft, führt das Gateway dieses Werkzeug aus, erfasst das Ergebnis und sendet das Ergebnis an das Modell zurück. Das Modell wertet das Ergebnis aus und entscheidet erneut. Dies wird wiederholt, bis das Modell nichts mehr zu tun hat und eine abschließende Antwort erzeugt.

Diese Schleife ist das Grundprinzip eines Agenten. Sie ist dieselbe, unabhängig davon, ob der Agent in einer Chat-Anwendung oder in einem Terminal läuft. Wie Werkzeuge standardisiert an diese Schleife angebunden werden, erklärt Werkzeuge über das Model Context Protocol verbinden in einem empfehlenswerten nächsten Artikel. Für die Modellseite ergänzt das Modell selbst auf eigener Hardware ausführen die andere Hälfte.

Das Toolset ist der Kern und zugleich die Gefahr

Die Tools machen OpenClaw leistungsfähig. Ein Tool führt einen Shell-Befehl aus. Ein anderes steuert einen Browser. Ein weiteres liest und schreibt Dateien. Wenn Sie der obigen Schleife Zugriff auf diese Tools geben, kann sie fast alles tun, was Sie an einer Tastatur tun können. Diese Reichweite ist das gesamte Produkt und zugleich das gesamte Risiko.

Ein Agent, der beliebige Befehle ausführen kann und Anweisungen aus einer Chat-Anwendung verarbeitet, hat eine große Angriffsfläche. Eine schädliche Anweisung, ein in einer vom Browser-Tool besuchten Webseite versteckter Prompt-Injection-Angriff oder ein Fehler wie die Schwachstellen aus dem März 2026 kann aus „Lies meinen Kalender“ den Befehl „Lösche meine Dateien“ machen. Die Einschränkungen sind daher keine optionalen Extras. Führen Sie den Agenten als dedizierten Benutzer ohne privilegierte Rechte und ohne sudo aus, damit ein kompromittierter Agent seine Rechte nicht ausweiten kann. Schützen Sie die gefährlichen Tools durch einen Genehmigungsschritt, damit der Agent vor destruktiven Aktionen nachfragt. Führen Sie die Tools in einer Sandbox aus, damit ein außer Kontrolle geratener Befehl eingeschlossen bleibt. Isolieren Sie den API-Schlüssel des Modells, damit ein Leak einem Angreifer nicht Zugriff auf Ihr Konto gibt. Berücksichtigen Sie auch die anderen Geheimnisse auf demselben System, denn die tatsächlichen Schwachstellen von Vaultwarden sind sein Admin-Token und seine Backup-Datei und nicht seine Verschlüsselung. Ein Agent mit Shell-Zugriff kann auf beide zugreifen.

Bevor Sie etwas bereitstellen, das Shell-Befehle ausführt, arbeiten Sie die Grundlagen bewusst durch. Erstellen Sie hier eine Checkliste für Ihr eigenes System und arbeiten Sie sie anschließend von oben nach unten ab:

Die Ausführung von Diensten als Benutzer ohne privilegierte Rechte wird ausführlich in Dienste als Benutzer ohne privilegierte Rechte ausführen behandelt. Die vollständige Anleitung für eine sichere Einrichtung des eigentlichen Projekts finden Sie unter OpenClaw sicher auf einem VPS ausführen.

Speicher als einfache Dateien

Die meisten Anwender erwarten, dass der Speicher eines Agenten in einer Datenbank liegt. Bei OpenClaw ist das nicht der Fall. Es speichert Informationen als einfache Markdown-Dateien auf der Festplatte, und diese Entscheidung ist nachahmenswert. Die Dateien sind die Quelle der Wahrheit; die Standard-Speicher-Engine führt einen SQLite-Suchindex daneben, der bei Bedarf aus den Dateien neu erstellt werden kann.

Dateien sind simpel. Es gibt kein Schema, das migriert werden muss, keinen Dienst, der ständig laufen muss, und keine Abfragesprache, die man erlernen müsste. Sie sind einsehbar: Sie können den Ordner öffnen und genau nachlesen, was der Agent über Sie weiß, eine falsche Notiz durch Bearbeiten der Datei korrigieren oder eine Erinnerung durch Löschen einer Datei entfernen. Zudem sind sie portabel, da der Umzug des Agenten auf einen neuen Server lediglich das Kopieren eines Verzeichnisses erfordert. Für einen persönlichen Single-User-Agenten ist ein Ordner mit Textdateien ausreichend, und das gesamte System bleibt leicht nachvollziehbar.

Skills: Eine portable Möglichkeit, Fähigkeiten hinzuzufügen

Neben den integrierten Tools verwendet OpenClaw ein portables Skill-Format. Dadurch kann die Community die Funktionen erweitern, ohne den Kern zu ändern. Ein Skill ist ein eigenständiges Paket aus Anweisungen und manchmal auch Code. Er bringt dem Agenten eine neue Aufgabe bei. Der Agent lädt einen Skill, wenn die jeweilige Aufgabe ihn erfordert. Die Websuche ist normalerweise der erste Skill, den Nutzer hinzufügen. Wenn Sie diesen Skill auf Ihre eigene SearXNG-Instanz verweisen, bleiben Ihre Suchanfragen von einer kommerziellen Such-API getrennt. Gleichzeitig wird klar, wo die Vertrauensgrenze eines Skills liegt, da alle von ihm zurückgegebenen Inhalte Text sind, den ein Fremder geschrieben hat.

Der Vorteil eines solchen Formats besteht darin, dass sich Fähigkeiten gemeinsam nutzen lassen. Jemand erstellt einen Skill für eine bestimmte Aufgabe, veröffentlicht ihn, und andere installieren ihn. Diese praktische Lösung hat jedoch auch Nachteile. Ein Skill enthält Code von einem Fremden, den Ihr Agent ohne weitere Prüfung ausführt. Daher sollten Sie alles, was Sie nicht selbst geschrieben haben, vor dem Laden durch einen von Ihnen selbst gehosteten Sicherheitsscanner prüfen lassen. Wenn Sie Ihren eigenen Agenten entwickeln, erspart Ihnen ein kleines, klar definiertes Erweiterungsformat zu einem frühen Zeitpunkt, später jede Fähigkeit fest in den Kern zu integrieren.

Eigenes Modell verwenden

OpenClaw ist modellunabhängig. Es liefert kein eigenes Sprachmodell mit. Stattdessen verbindet es sich mit einem Modell Ihrer Wahl. Dabei kann es sich um eine gehostete API oder ein von Ihnen selbst betriebenes Modell handeln.

Diese Trennung ist für Kosten, Datenschutz und Kontrolle wichtig. Eine gehostete API stellt Ihnen die leistungsfähigsten Modelle bereit, ohne dass Sie Hardware verwalten müssen. Sie zahlen pro Token, und Ihre Prompts verlassen Ihren Server. Ein selbst gehostetes Modell, das beispielsweise mit Ollama bereitgestellt wird, hält jede Nachricht auf Ihrem eigenen System. Die Kosten beschränken sich auf Hardware und Strom. Dafür müssen Sie ein kleineres oder langsameres Modell betreiben. Viele Anwender kombinieren beide Ansätze. Wenn Sie einen Agent vollständig privat betreiben möchten, schließt das Selbsthosten des Modells auf Ihrem VPS diese letzte Lücke. Hermes Agent ist ein weiterer selbst gehosteter Agent, den Sie zum Vergleich heranziehen können.

Sollten Sie einen eigenen Agenten bauen?

Sie können all das selbst bauen. Die Bestandteile sind nicht exotisch: ein Daemon, einige Chat-Connectoren, eine Schleife für Modell und Tools, ein Ordner mit Markdown-Dateien und ein Plugin-Format. Es ist sehr nützlich, diese Bestandteile zu verstehen. Dadurch werden die Funktionsweisen aller Agenten nachvollziehbar, die Sie einsetzen. Außerdem erkennen Sie genau, wo die Gefahren liegen.

Für die meisten ist die ehrliche Antwort jedoch, die echte Lösung zu betreiben und abzusichern, statt sie neu zu entwickeln. OpenClaw hat die Konnektoren, die Schleife und das Skill-Format bereits gelöst und wurde einer echten Sicherheitsprüfung unterzogen. Ihre Zeit ist besser in den Teil investiert, den Sie selbst korrekt umsetzen müssen: die Einrichtung und Absicherung auf Ihrem eigenen Server. Wenn Sie zunächst den Lernweg wählen möchten, ist es sinnvoller, die Konzepte schrittweise zu erarbeiten, als den Quellcode eines Agenten unvorbereitet zu lesen. Jede Stufe hinterlässt dabei etwas, das Sie tatsächlich selbst erstellt haben. Erstellen Sie eine kleine Lösung, um zu lernen. Betreiben und sperren Sie die echte Lösung ab, um sie zu verwenden.

Die allgemeinen Grundlagen finden Sie unter einen eigenen AI-Agenten auf einem VPS bauen. einen Agenten mit Claude bauen zeigt dieselben Konzepte mit einem bestimmten Modell als zentraler Komponente.

FAQ

Ist es schwierig, einen Agenten wie OpenClaw zu bauen?

Die einzelnen Teile sind nicht schwierig. Ein Gateway-Prozess, ein Chat-Connector, eine Schleife für Modell und Werkzeuge sowie ein Ordner mit Dateien sind für sich genommen unkompliziert. Der schwierige Teil ist die sichere Umsetzung. Ein Agent, der Shell-Befehle aus Chat-Nachrichten ausführt, stellt eine erhebliche Angriffsfläche dar. Die korrekte Implementierung von Sandboxing, Berechtigungen und die Einrichtung eines unprivilegierten Benutzers erfordern mehr Aufwand als die reine Verknüpfung der Funktionen.

Warum speichert OpenClaw den Speicher als Markdown-Dateien statt in einer Datenbank?

Weil Dateien für einen persönlichen Single-User-Agenten ausreichen und wesentlich einfacher sind. Es muss kein Datenbankdienst betrieben werden, der Speicher ist leicht lesbar und manuell korrigierbar, und der Umzug auf einen anderen Server ist nur das Kopieren eines Verzeichnisses. Eine Datenbank rechtfertigt ihren Einsatz bei größerer Skalierung, nicht hier.

Was ist der gefährlichste Teil eines persönlichen KI-Agenten?

Die Werkzeuge, die ihm Handlungen ermöglichen: das Ausführen von Shell-Befehlen, die Steuerung eines Browsers und das Schreiben von Dateien. Das ist der Grund, warum man ihn baut, und der Grund, warum er Ihnen schaden kann. Die Welle von Sicherheitshinweisen für OpenClaw im März 2026 – 27 Veröffentlichungen zwischen dem 13. und 16. März, darunter zwei kritische Schwachstellen mit 9,9-Bewertung – ist das deutlichste Argument dafür, die Werkzeugebene mit Vorsicht zu behandeln: Führen Sie den Dienst als unprivilegierter Benutzer aus, beschränken Sie destruktive Aktionen und nutzen Sie Sandboxing für die Ausführung.

Benötige ich ein eigenes Sprachmodell, um einen Agenten zu bauen?

Nein. Agenten wie OpenClaw sind modellagnostisch, Sie können also ein Modell Ihrer Wahl anbinden. Dies kann eine gehostete API für die leistungsfähigsten Modelle sein oder ein Modell, das Sie für volle Privatsphäre selbst betreiben. Das Self-Hosting mit Ollama hält jede Nachricht auf Ihrem eigenen Server, erfordert jedoch den Betrieb eines kleineren Modells.