Agent Zero auf VPS selbst hosten Anleitung

Was Agent Zero ist und wo die Gefahr liegt

Agent Zero ist ein Open-Source-Agent-Framework mit Docker-Fokus. Ein primärer Agent kann untergeordnete Agenten starten, die jeweils in einem eigenen, isolierten Docker-Container laufen. Jeder dieser Agenten kann Code ausführen, einen Browser steuern und Shell-Befehle ausführen. Die Steuerung erfolgt über eine Web-UI. Das Framework ist leistungsfähig, einfach zu bedienen und läuft bereits auf Hardware mit minimalen Anforderungen, wie etwa einem sechs Dollar teuren VPS.

Die Gefahr geht von der Web-UI aus. Sie ist das Bedienfeld für ein System, das Befehle ausführt und Dateien schreibt. Eine ungeschützte, nicht authentifizierte Web-UI ermöglicht somit einen direkten Fernzugriff auf das System. Hier liegt eine häufige Falle in Installationsanleitungen: Der Standard-docker run veröffentlicht die Schnittstelle auf Port 50001 auf allen Netzwerkschnittstellen. Auf einem öffentlichen VPS bedeutet dies, dass die Schnittstelle sofort nach dem Start des Containers über das gesamte Internet erreichbar ist. Die Behebung dieses Problems ist die wichtigste Maßnahme.

Anforderungen

Sie benötigen einen VPS mit installiertem Docker, einen API-Key für ein Sprachmodell oder ein lokales Modell sowie mindestens zwei Gigabyte RAM. Agent Zero läuft überall dort, wo Docker läuft, von einem kleinen VPS bis hin zu einem GPU-Server. Falls Sie mit Docker neu sind, erklärt der Docker-Basiskurs die Voraussetzungen für die folgenden Befehle.

Installation mit Docker, gebunden an Loopback

Die dokumentierte Schnellinstallation besteht aus einem einzelnen docker run. Die entscheidende Änderung gegenüber anderen Anleitungen ist die veröffentlichte Adresse. Veröffentlichen Sie die Schnittstelle nicht auf allen Interfaces auf Port 50001. Nutzen Sie stattdessen Loopback:

docker run -d --name agent-zero \
  -p 127.0.0.1:5080:80 \
  -v a0_usr:/a0/usr \
  agent0ai/agent-zero

-p 127.0.0.1:5080:80 bindet die Web-UI nur an die Loopback-Adresse des Servers, wodurch sie nicht aus dem Internet erreichbar ist. Greifen Sie von Ihrem eigenen Rechner über einen SSH-Tunnel darauf zu:

ssh -L 5080:127.0.0.1:5080 you@your-vps

Öffnen Sie anschließend http://127.0.0.1:5080 lokal und konfigurieren Sie Ihren Modell-Anbieter in der UI. Für einen dauerhaften Multi-User-Betrieb sollten Sie das System hinter einem VPN oder einem authentifizierenden Reverse Proxy betreiben. Veröffentlichen Sie die Web-UI niemals direkt im offenen Internet.

Wo andere Anleitungen enden und warum Sie das nicht tun sollten

Eine Suche nach der Installation von Agent Zero liefert viele Anleitungen, auch von Hosting-Anbietern. Diese führen dazu, dass eine Web-UI auf Port 50001 läuft, hören dann aber auf. Genau dort beginnt das Risiko. Zwei Schritte sind für die Sicherheit notwendig. Erstens: Halten Sie die Web-UI privat, wie oben beschrieben. Zweitens: Installieren Sie eine Firewall mit einer Default-Deny-Regel vor dem Server. Dies verhindert, dass ein falsch konfigurierter Container oder ein späterer Fehler einen vergessenen Port öffnet:

sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw enable

Weitere Details finden Sie in den Firewall-Basics. Beachten Sie dabei die IPv6-Lücke, da ein Dienst auf :: auch über IPv6 erreichbar sein kann, selbst wenn die IPv4-Regeln korrekt konfiguriert sind.

Container-Isolation schützt die Agenten, nicht Ihren Server

Das Design von Agent Zero bietet eine gute Isolation: Untergeordnete Agenten laufen in separaten Containern und sind somit voneinander isoliert. Das ist ein Vorteil. Es ist jedoch ein Fehler, dies als vollständige Sandboxing-Lösung zu interpretieren. Die Container-Isolation schützt die Agenten untereinander. Sie schützt Ihren Server nicht vor dem Internet und verhindert nicht, dass eine offene Web-UI die Kontrolle an Unbefugte übergibt. Die Absicherung des Hosts liegt in Ihrer Verantwortung.

Secrets, Benutzer und der Host

Speichern Sie den Modell-API-Key und andere Anmeldedaten in der Agent Zero-Konfiguration oder einer Environment-Datei, auf die nur der berechtigte Account zugreifen kann. Vermeiden Sie die Speicherung in der Shell-Historie oder in Git-Repositories. Verwalten Sie den Server als unprivilegierte Benutzer gemäß Least-Privilege-Prinzip und stellen Sie die SSH-Authentifizierung auf Key-only um, wie in SSH-Hardening beschrieben. Prüfen Sie anschließend die folgende Checkliste:

Beim Vergleich von Agenten gilt für alle die gleiche Sicherheitsstrategie wie beim OpenClaw Hardening Guide und dem OpenHands Guide: Halten Sie die Steuerungsoberfläche privat, nutzen Sie unprivilegierte Benutzer, setzen Sie eine Firewall ein und behandeln Sie den Host als System, das Code ausführt, den es nicht selbst geschrieben hat. Eine Übersicht über alle fünf Agenten finden Sie unter die besten Self-Hosted AI Agents 2026.

Grundlegende Konzepte finden Sie in Building your own AI Agent on a VPS. Dify ist eine weitere vergleichbare, selbst gehostete Plattform.

FAQ

Ist Agent Zero sicher für den Self-Hosting-Betrieb?

Ja, sofern die Web-UI privat bleibt und der Host gehärtet wird. Agent Zero führt Code, einen Browser und eine Shell aus. Da die Web-UI standardmäßig auf Port 50001 veröffentlicht wird, besteht die Gefahr in der offenen Schnittstelle, nicht im Framework selbst. Binden Sie die UI an Loopback, greifen Sie via SSH oder VPN darauf zu, nutzen Sie eine Default-Deny-Firewall und nutzen Sie unprivilegierte Benutzer.

Veröffentlicht Agent Zero standardmäßig eine Web-UI im Internet?

Der Standard-docker run veröffentlicht die Schnittstelle auf Port 50001 auf allen Netzwerkschnittstellen. Auf einem öffentlichen VPS ist sie daher sofort nach dem Start des Containers über das Internet erreichbar. Ändern Sie die Adresse auf 127.0.0.1, damit die UI nur auf Loopback lauscht, und greifen Sie über einen SSH-Tunnel oder ein VPN darauf zu.

Kann Agent Zero auf einem kleinen VPS laufen?

Ja. Agent Zero läuft überall, wo Docker läuft, einschließlich kleiner, kostengünstiger VPS. Komplexe Aufgaben oder große lokale Modelle benötigen jedoch mehr Arbeitsspeicher. Wenn Sie ein selbst gehostetes Modell statt einer API nutzen, muss die Hardware primär auf das Modell und nicht nur auf Agent Zero ausgelegt sein.

Was ist der Unterschied zwischen Agent Zero, OpenClaw oder Hermes?

Es gibt Überschneidungen, aber die Ziele sind unterschiedlich. Agent Zero ist ein Docker-fokussiertes Framework, das um einen primären Agenten herum aufgebaut ist, der untergeordnete Agenten in isolierten Containern startet. Die Steuerung erfolgt über eine Web-UI. OpenClaw und Hermes sind persönliche Assistenten, die über Chat-Apps bedient werden. Die Sicherheitsanforderungen sind für alle gleich: Die Steuerungsoberfläche muss privat bleiben und der Host muss gehärtet werden.