Eigenen KI-Agenten wie OpenClaw selbst bauen

Was OpenClaw tatsächlich ist

OpenClaw ist ein selbst gehosteter persönlicher KI-Agent. Sie betreiben ihn auf Ihrem eigenen Server, verbinden ihn mit den Chat-Anwendungen, die Sie bereits verwenden, und er kann Shell-Befehle ausführen, einen Browser steuern, Ihre Dateien lesen und schreiben sowie auf die Nachrichten reagieren, die Sie ihm senden. Die Lizenz ist MIT, der Ansatz ist local-first, und bis Mitte 2026 hatte das Projekt mehr als 380,000 GitHub-Sterne. Damit gehört es zu den Projekten mit den meisten Sternen auf der Plattform. Hinter dem Aufsehen steht eine relativ kleine, sinnvoll verbundene Sammlung von Komponenten. Dieser Beitrag erklärt diese Komponenten. So verstehen Sie, wie ein solches Tool aufgebaut ist und an welchen Stellen besondere Risiken bestehen.

Zunächst ein wichtiger Hinweis, der jede der folgenden Designentscheidungen beeinflusst. Im März 2026 wurden innerhalb von vier Tagen neun Sicherheitsprobleme in OpenClaw offengelegt. Darunter war eine kritische Schwachstelle zur Rechteausweitung mit einer Bewertung von 9.9 von 10 (CVE-2026-32922). Das Projekt ist darauf ausgelegt, dass Sie als Betreiber es absichern. Ein Agent, der beliebige Befehle ausführen kann, ist nur so sicher wie das System, auf dem er läuft, und wie die Einschränkungen, die Sie für ihn festlegen. Behalten Sie das beim Lesen im Hinterkopf.

Der Gateway-Daemon: ein Prozess, privat gehalten

Im Zentrum steht ein einzelner, dauerhaft laufender Prozess, der normalerweise als Gateway bezeichnet wird. Er bildet die Steuerebene. Er empfängt Nachrichten, entscheidet über die auszuführenden Aktionen, startet die Tools und sendet Antworten zurück. Alles andere wird daran angebunden.

Entscheidend ist, an welcher Adresse der Gateway lauscht. OpenClaw bindet ihn standardmäßig an die Loopback-Adresse 127.0.0.1. Dadurch ist er aus dem Internet nicht erreichbar, solange Sie ihn nicht absichtlich nach außen veröffentlichen. Belassen Sie diese Einstellung. Dieser einzelne Prozess führt Befehle aus. Ein öffentlich erreichbarer Gateway verschafft jedem, der ihn findet, einen Remote-Einstiegspunkt in Ihren Server. Wenn Sie von Ihrem Laptop darauf zugreifen müssen, verwenden Sie ein VPN oder einen SSH-Tunnel, statt einen Port zu öffnen. Niemand kann einen Port angreifen, den er nicht erreichen kann.

Kanal-Connector: Nachrichten empfangen und Antworten senden

Ein persönlicher Agent ist nur dann nützlich, wenn Sie über die Anwendungen mit ihm kommunizieren können, die Sie bereits verwenden. Genau dafür sind die Kanal-Connectoren zuständig. Jeder Connector unterstützt eine Plattform wie Telegram, WhatsApp, Slack oder Discord. Dazu verwendet er die Bot-API oder Webhooks der jeweiligen Plattform.

Der Aufbau ist bei allen gleich. Der Connector registriert einen Bot bei der Plattform. Er empfängt Ihre eingehende Nachricht, entweder durch Abfragen der Plattform oder über einen Webhook, den die Plattform an ihn sendet. Anschließend übergibt er die Nachricht an das Gateway und sendet die Antwort des Gateways über dieselbe API zurück. Der Connector ist eine dünne Übersetzungsschicht. Er wandelt „Eine Telegram-Nachricht ist eingegangen“ in „Hier ist Text für den Agenten“ um und umgekehrt. Einen eigenen Connector zu erstellen, besteht im Wesentlichen darin, die Bot-Dokumentation einer Plattform zu lesen und deren Nachrichtenformat auf das des Gateways abzubilden.

Die Schleife zwischen Sprachmodell und Werkzeug

Im Gateway befindet sich der Teil, der daraus einen Agenten statt eines Chatbots macht. Es handelt sich um eine Schleife.

Eine Nachricht geht ein. Das Gateway sendet sie zusammen mit einer Liste der Werkzeuge, die das Modell verwenden darf, an ein Sprachmodell. Das Modell liest die Nachricht und entscheidet: direkt antworten oder ein Werkzeug aufrufen. Wenn es ein Werkzeug aufruft, führt das Gateway dieses Werkzeug aus, erfasst das Ergebnis und sendet es an das Modell zurück. Das Modell wertet das Ergebnis aus und entscheidet erneut. Dieser Vorgang wiederholt sich, bis das Modell nichts mehr zu tun hat und eine abschließende Antwort erzeugt.

Diese Schleife ist das Grundprinzip eines Agenten. Sie ist identisch, unabhängig davon, ob der Agent in einer Chat-Anwendung oder einem Terminal ausgeführt wird. Wie Werkzeuge standardisiert an diese Schleife angebunden werden, beschreibt Werkzeuge über das Model Context Protocol verbinden im nächsten Abschnitt. Die Modellseite wird in das Modell selbst auf eigener Hardware ausführen behandelt.

Das Toolset ist der Kern und zugleich die Gefahr

Die Tools machen OpenClaw leistungsfähig. Ein Tool führt einen Shell-Befehl aus. Ein anderes steuert einen Browser. Ein weiteres liest und schreibt Dateien. Wenn Sie der obigen Schleife Zugriff auf diese Tools geben, kann sie fast alles tun, was Sie an einer Tastatur tun können. Diese Reichweite ist das gesamte Produkt und zugleich das gesamte Risiko.

Ein Agent, der beliebige Befehle ausführen kann und Anweisungen aus einer Chat-Anwendung verarbeitet, hat eine große Angriffsfläche. Eine schädliche Anweisung, ein in einer vom Browser-Tool besuchten Webseite versteckter Prompt-Injection-Angriff oder ein Fehler wie die Schwachstellen aus dem März 2026 kann aus „Lies meinen Kalender“ den Befehl „Lösche meine Dateien“ machen. Die Einschränkungen sind daher keine optionalen Extras. Führen Sie den Agenten als dedizierten Benutzer ohne privilegierte Rechte und ohne sudo aus, damit ein kompromittierter Agent seine Rechte nicht ausweiten kann. Schützen Sie die gefährlichen Tools durch einen Genehmigungsschritt, damit der Agent vor destruktiven Aktionen nachfragt. Führen Sie die Tools in einer Sandbox aus, damit ein außer Kontrolle geratener Befehl eingeschlossen bleibt. Isolieren Sie den API-Schlüssel des Modells, damit ein Leak einem Angreifer nicht Zugriff auf Ihr Konto gibt. Berücksichtigen Sie auch die anderen Geheimnisse auf demselben System, denn die tatsächlichen Schwachstellen von Vaultwarden sind sein Admin-Token und seine Backup-Datei und nicht seine Verschlüsselung. Ein Agent mit Shell-Zugriff kann auf beide zugreifen.

Bevor Sie etwas bereitstellen, das Shell-Befehle ausführt, arbeiten Sie die Grundlagen bewusst durch. Erstellen Sie hier eine Checkliste für Ihr eigenes System und arbeiten Sie sie anschließend von oben nach unten ab:

Die Ausführung von Diensten als Benutzer ohne privilegierte Rechte wird ausführlich in Dienste als Benutzer ohne privilegierte Rechte ausführen behandelt. Die vollständige Anleitung für eine sichere Einrichtung des eigentlichen Projekts finden Sie unter OpenClaw sicher auf einem VPS ausführen.

Speicher als einfache Dateien

Die meisten Menschen erwarten, dass der Speicher eines Agenten in einer Datenbank liegt. Das ist bei OpenClaw nicht der Fall. OpenClaw speichert den Speicher als einfache Markdown-Dateien auf der Festplatte. Diese Entscheidung ist es wert, übernommen zu werden.

Dateien sind einfach. Es gibt kein Schema, das migriert werden muss, keinen Dienst, der dauerhaft laufen muss, und keine Abfragesprache, die Sie erlernen müssen. Dateien sind einsehbar: Sie können den Ordner öffnen und genau lesen, was der Agent über Sie glaubt. Sie können eine falsche Notiz durch Bearbeiten der Datei korrigieren oder eine Erinnerung durch Löschen der Datei entfernen. Dateien sind außerdem portabel, weil Sie den Agenten durch das Kopieren eines Verzeichnisses auf einen neuen Server verschieben können. Für einen persönlichen Agenten mit einem Benutzer reicht ein Ordner mit Textdateien aus. Dadurch bleibt das gesamte System leicht nachvollziehbar.

Skills: Eine portable Möglichkeit, Fähigkeiten hinzuzufügen

Neben den integrierten Tools verwendet OpenClaw ein portables Skill-Format. Dadurch kann die Community die Funktionen erweitern, ohne den Kern zu ändern. Ein Skill ist ein eigenständiges Paket aus Anweisungen und manchmal auch Code. Er bringt dem Agenten eine neue Aufgabe bei. Der Agent lädt einen Skill, wenn die jeweilige Aufgabe ihn erfordert. Die Websuche ist normalerweise der erste Skill, den Nutzer hinzufügen. Wenn Sie diesen Skill auf Ihre eigene SearXNG-Instanz verweisen, bleiben Ihre Suchanfragen von einer kommerziellen Such-API getrennt. Gleichzeitig wird klar, wo die Vertrauensgrenze eines Skills liegt, da alle von ihm zurückgegebenen Inhalte Text sind, den ein Fremder geschrieben hat.

Der Vorteil eines solchen Formats besteht darin, dass sich Fähigkeiten gemeinsam nutzen lassen. Jemand erstellt einen Skill für eine bestimmte Aufgabe, veröffentlicht ihn, und andere installieren ihn. Diese praktische Lösung hat jedoch auch Nachteile. Ein Skill enthält Code von einem Fremden, den Ihr Agent ohne weitere Prüfung ausführt. Daher sollten Sie alles, was Sie nicht selbst geschrieben haben, vor dem Laden durch einen von Ihnen selbst gehosteten Sicherheitsscanner prüfen lassen. Wenn Sie Ihren eigenen Agenten entwickeln, erspart Ihnen ein kleines, klar definiertes Erweiterungsformat zu einem frühen Zeitpunkt, später jede Fähigkeit fest in den Kern zu integrieren.

Eigenes Modell verwenden

OpenClaw ist modellunabhängig. Es liefert kein eigenes Sprachmodell mit. Stattdessen verbindet es sich mit einem Modell Ihrer Wahl. Dabei kann es sich um eine gehostete API oder ein von Ihnen selbst betriebenes Modell handeln.

Diese Trennung ist für Kosten, Datenschutz und Kontrolle wichtig. Eine gehostete API stellt Ihnen die leistungsfähigsten Modelle bereit, ohne dass Sie Hardware verwalten müssen. Sie zahlen pro Token, und Ihre Prompts verlassen Ihren Server. Ein selbst gehostetes Modell, das beispielsweise mit Ollama bereitgestellt wird, hält jede Nachricht auf Ihrem eigenen System. Die Kosten beschränken sich auf Hardware und Strom. Dafür müssen Sie ein kleineres oder langsameres Modell betreiben. Viele Anwender kombinieren beide Ansätze. Wenn Sie einen Agent vollständig privat betreiben möchten, schließt das Selbsthosten des Modells auf Ihrem VPS diese letzte Lücke. Hermes Agent ist ein weiterer selbst gehosteter Agent, den Sie zum Vergleich heranziehen können.

Sollten Sie einen eigenen Agenten bauen?

Sie können all das selbst bauen. Die Bestandteile sind nicht exotisch: ein Daemon, einige Chat-Connectoren, eine Schleife für Modell und Tools, ein Ordner mit Markdown-Dateien und ein Plugin-Format. Es ist sehr nützlich, diese Bestandteile zu verstehen. Dadurch werden die Funktionsweisen aller Agenten nachvollziehbar, die Sie einsetzen. Außerdem erkennen Sie genau, wo die Gefahren liegen.

Für die meisten ist die ehrliche Antwort jedoch, die echte Lösung zu betreiben und abzusichern, statt sie neu zu entwickeln. OpenClaw hat die Konnektoren, die Schleife und das Skill-Format bereits gelöst und wurde einer echten Sicherheitsprüfung unterzogen. Ihre Zeit ist besser in den Teil investiert, den Sie selbst korrekt umsetzen müssen: die Einrichtung und Absicherung auf Ihrem eigenen Server. Wenn Sie zunächst den Lernweg wählen möchten, ist es sinnvoller, die Konzepte schrittweise zu erarbeiten, als den Quellcode eines Agenten unvorbereitet zu lesen. Jede Stufe hinterlässt dabei etwas, das Sie tatsächlich selbst erstellt haben. Erstellen Sie eine kleine Lösung, um zu lernen. Betreiben und sperren Sie die echte Lösung ab, um sie zu verwenden.

Die allgemeinen Grundlagen finden Sie unter einen eigenen AI-Agenten auf einem VPS bauen. einen Agenten mit Claude bauen zeigt dieselben Konzepte mit einem bestimmten Modell als zentraler Komponente.

FAQ

Ist es schwierig, einen Agenten wie OpenClaw zu entwickeln?

Die einzelnen Komponenten sind nicht schwierig. Ein Gateway-Prozess, ein Chat-Connector, eine Schleife aus Modell und Tools sowie ein Verzeichnis mit Dateien sind jeweils für sich unkompliziert. Die sichere Umsetzung ist der schwierige Teil. Ein Agent, der Shell-Befehle aus Chat-Nachrichten ausführt, bildet eine erhebliche Angriffsfläche. Die korrekte Konfiguration von Sandboxing, Berechtigungen und einem unprivilegierten Benutzer erfordert mehr Arbeit als die Verbindung der einzelnen Funktionen.

Warum speichert OpenClaw den Speicher als Markdown-Dateien statt in einer Datenbank?

Für einen persönlichen Agenten eines einzelnen Benutzers reichen Dateien aus und sind wesentlich einfacher. Sie müssen keinen Datenbankdienst betreiben. Der Speicher lässt sich leicht lesen und manuell korrigieren. Um den Agenten auf einen anderen Server zu verschieben, genügt es, ein Verzeichnis zu kopieren. Eine Datenbank lohnt sich bei größerem Umfang, aber nicht in diesem Fall.

Welcher Teil eines persönlichen KI-Agenten ist am gefährlichsten?

Am gefährlichsten sind die Tools, mit denen der Agent Aktionen ausführt: Shell-Befehle starten, einen Browser steuern und Dateien schreiben. Diese Funktionen sind der Grund, den Agenten zu entwickeln, und zugleich der Grund, warum er Ihnen schaden kann. OpenClaw's Sicherheitsvorfall im March 2026 mit neun Problemen innerhalb von vier Tagen, darunter eine kritische Schwachstelle mit dem Schweregrad 9.9, zeigt am deutlichsten, dass die Tool-Schicht sorgfältig behandelt werden muss: Führen Sie den Agenten als unprivilegierten Benutzer aus, sichern Sie destruktive Aktionen ab und führen Sie die Ausführung in einer Sandbox durch.

Benötige ich ein eigenes Sprachmodell, um einen solchen Agenten zu entwickeln?

Nein. Agenten wie OpenClaw sind unabhängig vom verwendeten Modell. Sie können daher ein Modell Ihrer Wahl anbinden. Das kann eine gehostete API für besonders leistungsfähige Modelle oder ein selbst betriebenes Modell für vollständige Privatsphäre sein. Mit Ollama bleiben beim Self-Hosting alle Nachrichten auf Ihrem eigenen Server. Dafür müssen Sie ein kleineres Modell betreiben.