Agent Zero sicher auf einem VPS selbst hosten

Was Agent Zero ist und wo die Gefahr liegt

Agent Zero ist ein Open-Source-Agent-Framework mit Docker als Grundlage. Ein primärer Agent kann untergeordnete Agents starten. Jeder Agent läuft in einem eigenen isolierten Docker-Container. Jeder Agent kann Code ausführen, einen Browser steuern und Shell-Befehle ausführen. Sie steuern das gesamte System über eine Web UI. Das Framework ist leistungsfähig und macht in der Praxis viel Spaß. Es läuft sogar auf Hardware so klein wie einem VPS für sechs Dollar. Wenn Sie die Multi-Agent-Struktur und nicht das Framework benötigen, können sich zwei Claude-Code-Sitzungen auf demselben System direkt Nachrichten senden. Das ist deutlich einfacher zu betreiben und abzusichern.

Die Gefahr liegt in der Web UI. Sie ist das Bedienfeld für ein System, das Befehle ausführt und Dateien schreibt. Eine öffentlich erreichbare Web UI ohne Authentifizierung ermöglicht daher einen direkten Remote-Zugriff auf genau dieses System. Hier liegt die Falle, in die Sie viele Einrichtungsanleitungen direkt führen: Die standardmäßige docker run veröffentlicht die Schnittstelle an Port 50001 auf jeder Netzwerkschnittstelle. Auf einem öffentlichen VPS ist sie dadurch erreichbar, sobald der Container startet. Das sollten Sie als Erstes beheben, nicht als Letztes.

Was Sie benötigen

Sie benötigen einen VPS mit installiertem Docker, einen API-Schlüssel für ein Sprachmodell oder ein lokales Modell, auf das Sie verweisen können, sowie zunächst einige Gigabyte RAM. Agent Zero läuft überall dort, wo Docker läuft – von einem kleinen VPS bis zu einem GPU-Server. Wenn Docker für Sie neu ist, erklärt der Leitfaden zu den Docker-Grundlagen, welche Voraussetzungen die folgenden Befehle annehmen.

Mit Docker installieren und an die Loopback-Schnittstelle binden

Der dokumentierte Schnellstart besteht aus einem einzigen docker run. Der wichtige Unterschied zur Version zum Kopieren und Einfügen, die Sie an anderer Stelle finden, ist die veröffentlichte Adresse. Veröffentlichen Sie Port 50001 nicht auf allen Schnittstellen. Veröffentlichen Sie ihn auf der Loopback-Schnittstelle:

docker run -d --name agent-zero \
  -p 127.0.0.1:5080:80 \
  -v a0_usr:/a0/usr \
  agent0ai/agent-zero

-p 127.0.0.1:5080:80 bindet die Weboberfläche ausschließlich an die Loopback-Adresse des Servers. Sie ist dadurch nicht aus dem Internet erreichbar. Greifen Sie von Ihrem eigenen Rechner über einen SSH-Tunnel darauf zu:

ssh -L 5080:127.0.0.1:5080 you@your-vps

Öffnen Sie anschließend http://127.0.0.1:5080 lokal und konfigurieren Sie Ihren Modellanbieter in der Weboberfläche. Für einen dauerhaften Betrieb mit mehreren Benutzern setzen Sie stattdessen ein VPN oder einen Reverse Proxy mit Authentifizierung davor. Veröffentlichen Sie die unveränderte Weboberfläche jedoch niemals im offenen Internet. Diese Vorgehensweise sollten Sie auch auf jedes andere Tool auf dem Server übertragen, dessen Oberfläche sensible Funktionen steuert. Auch ein selbst gehosteter Open-Kritt-Scanner sollte über einen Tunnel zu seiner Weboberfläche erreichbar sein und nicht über einen veröffentlichten Port.

Wo andere Anleitungen aufhören und warum Sie das nicht tun sollten

Wenn Sie nach einer Anleitung zur Installation von Agent Zero suchen, finden Sie zahlreiche Anleitungen, auch von Hosting-Unternehmen. Diese führen Sie zu einer laufenden Weboberfläche auf Port 50001 und enden dort. Genau hier beginnt das Risiko, nicht die Absicherung. Zwei Maßnahmen schließen die Absicherung ab. Erstens halten Sie die Weboberfläche wie oben beschrieben privat. Zweitens setzen Sie vor den Server eine Firewall mit standardmäßig blockierendem Verhalten. Dadurch kann weder ein versehentlich veröffentlichter Container noch ein späterer Fehler einen Port nach außen freigeben, den Sie übersehen haben:

sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw enable

Lesen Sie die Grundlagen der Firewall für das vollständige Bild. Achten Sie außerdem auf die IPv6-Lücke. Ein Dienst auf :: ist über IPv6 erreichbar, selbst wenn Ihre IPv4-Regeln restriktiv wirken.

Die Container-Isolierung schützt die Agents, nicht Ihren Server

Das Design von Agent Zero ist bei einer Form der Isolierung tatsächlich gut: Untergeordnete Agents laufen in separaten Containern und sind dadurch voneinander abgeschottet. Das ist sinnvoll. Es ist jedoch leicht, daraus zu schließen: „Die Ausführung ist sandboxed, also bin ich sicher“, und es dabei zu belassen. Die Container-Isolierung schützt die Agents voreinander. Sie schützt Ihren Server weder vor dem Internet noch verhindert sie, dass eine offengelegte Weboberfläche einem Fremden die Kontrolle übergibt. Dafür sind Sie auf dem Host verantwortlich. Legen Sie im Voraus fest, was ein Agent tun darf, wenn niemand ihn überwacht. Das ist dieselbe Abwägung wie bei den Berechtigungsmodi von Claude Code, wobei ein unbeaufsichtigter Server eine restriktivere Einstellung benötigt als der Laptop, der vor Ihnen steht.

Secrets, Benutzer und der Host

Bewahren Sie den Model-API-Key und alle anderen Zugangsdaten in der Konfiguration von Agent Zero oder in einer Umgebungsdatei auf, die nur das zuständige Konto lesen kann. Sie dürfen nicht in der Shell-Historie und nicht in einem Repository stehen. Das gilt auch für alle anderen Dateien auf dem System, die Secrets schützen. Bei einer Härtungsprüfung von Vaultwarden geht es vor allem um das Admin-Token und die Backup-Datei, nicht um die Verschlüsselung, die die Anwendung bereits zuverlässig übernimmt. Verwalten Sie das System als Benutzer ohne privilegierte Rechte und nicht als root, entsprechend Benutzern mit minimalen Rechten. Stellen Sie SSH außerdem auf reine Schlüsselauthentifizierung um, wie in SSH-Härtung beschrieben. Arbeiten Sie anschließend die folgende Checkliste durch, damit nichts übersehen wird.

Wenn Sie Agents vergleichen, gilt für die OpenClaw-Härtungsanleitung und die OpenHands-Anleitung dieselbe Sicherheitsausrichtung: Halten Sie die Steuerungsschnittstelle privat, führen Sie den Dienst als Benutzer ohne privilegierte Rechte aus, aktivieren Sie standardmäßig die Firewall und behandeln Sie den Host als System, auf dem Code ausgeführt wird, den Sie nicht selbst geschrieben haben. Eine Gegenüberstellung aller fünf Agents finden Sie unter den besten Self-Hosted-KI-Agents im Jahr 2026.

Die zugrunde liegenden Konzepte werden in Ihren eigenen KI-Agent auf einem VPS erstellen erläutert. Dify ist eine weitere Plattform, die Sie selbst hosten können und die sich für einen Vergleich eignet.

FAQ

Ist Agent Zero sicher im Self-Hosting?

Ja, wenn Sie die Web UI privat halten und den Host absichern. Agent Zero führt Code aus, verwendet einen Browser und eine Shell. Gesteuert wird es über eine Web UI, die standardmäßig auf Port 50001 veröffentlicht wird. Das Risiko entsteht daher durch eine exponierte Schnittstelle, nicht durch das Framework selbst. Binden Sie die UI an das Loopback-Interface und greifen Sie über SSH oder ein VPN darauf zu. Setzen Sie eine Firewall mit standardmäßig blockierendem Verhalten davor und führen Sie Agent Zero als nicht privilegierter Benutzer aus.

Stellt Agent Zero standardmäßig eine Web UI im Internet bereit?

Die standardmäßige docker run veröffentlicht die Schnittstelle auf Port 50001 an jedem Netzwerk-Interface. Auf einem öffentlichen VPS ist sie dadurch erreichbar, sobald der Container startet. Ändern Sie die veröffentlichte Adresse in 127.0.0.1, damit die UI nur auf dem Loopback-Interface lauscht. Greifen Sie anschließend über einen SSH-Tunnel oder ein VPN darauf zu.

Kann Agent Zero auf einem kleinen VPS ausgeführt werden?

Ja. Agent Zero läuft überall dort, wo Docker läuft, auch auf einem kleinen, günstigen VPS. Anspruchsvollere Aufgaben und größere lokale Modelle benötigen jedoch mehr Arbeitsspeicher. Wenn Sie ein selbst gehostetes Modell statt einer gehosteten API verwenden, dimensionieren Sie den Server für das Modell und nicht nur für Agent Zero.

Worin unterscheidet sich Agent Zero von OpenClaw oder Hermes?

Die Funktionen überschneiden sich, aber die Ausrichtung ist unterschiedlich. Agent Zero ist ein Docker-orientiertes Framework. Es basiert auf einem primären Agenten, der untergeordnete Agenten in isolierten Containern startet. Die Steuerung erfolgt über eine Web UI. OpenClaw und Hermes sind persönliche Assistenten, die Sie über Chat-Anwendungen erreichen. Für alle gilt dieselbe Sicherheitsanforderung: Halten Sie die Steuerungsschnittstelle privat und sichern Sie den Host ab.