Agent Zero sicher auf einem VPS selbst hosten

Was Agent Zero ist und wo die Gefahr liegt

Agent Zero ist ein Open-Source-Agent-Framework mit Docker als primärer Laufzeitumgebung. Ein primärer Agent kann untergeordnete Agenten starten, um eine Aufgabe in klar abgegrenzte Teilaufgaben zu zerlegen. Die Agenten können Code ausführen, einen Browser steuern und Shell-Befehle ausführen. Das geschieht vollständig innerhalb des Agent Zero Docker-Containers. Sie steuern das gesamte System über eine Web-UI. Das Framework ist leistungsfähig und macht bei der Nutzung tatsächlich Spaß. Es läuft sogar auf Hardware ab einem VPS für sechs Dollar. Wenn Sie statt des Frameworks nur die Struktur mit mehreren Agenten benötigen, können zwei Claude Code-Sitzungen auf demselben System direkt miteinander kommunizieren. Das ist deutlich kleiner und einfacher zu betreiben und abzusichern.

Die Gefahr liegt in der Web-UI. Sie ist das Bedienfeld für ein System, das Befehle ausführt und Dateien schreibt. Eine nach außen erreichbare Web-UI ohne Authentifizierung bietet deshalb einen Remote-Zugang genau zu diesem System. Hier liegt die Falle, in die die meisten Einrichtungsanleitungen direkt führen: Die docker run-Beispiele veröffentlichen die Schnittstelle, ohne eine Adresse anzugeben. Stand 2026-10-12 ordnet der direkte Befehl in der README den Host-Port 80 (-p 80:80) zu. Der A0 Install-Launcher verwendet Port 5080. Die Anleitung für die Bereitstellung auf einem VPS empfiehlt Port 50080. Anleitungen für Releases bis zur v0.9.x-Linie verwenden dagegen Port 50001. Unabhängig vom gewählten Port lauscht eine Zuordnung ohne Adresse auf jeder Netzwerkschnittstelle. Auf einem öffentlichen VPS ist die Schnittstelle dadurch erreichbar, sobald der Container startet, und zwar aus dem gesamten Internet. Das müssen Sie als Erstes beheben, nicht als Letztes.

Was Sie benötigen

Sie benötigen einen VPS mit installiertem Docker, einen API-Schlüssel für ein Sprachmodell oder ein lokales Modell, auf das Sie verweisen können, sowie zunächst einige Gigabyte RAM. Agent Zero läuft überall dort, wo Docker läuft – von einem kleinen VPS bis zu einem GPU-Server. Wenn Docker für Sie neu ist, erklärt der Leitfaden zu den Docker-Grundlagen, welche Voraussetzungen die folgenden Befehle annehmen.

Mit Docker installieren und an Loopback binden

Der dokumentierte Schnellstart besteht aus einem einzelnen docker run. Die wichtige Änderung gegenüber der Copy-and-paste-Version, die Sie an anderer Stelle finden, betrifft die Adresse, die Sie veröffentlichen. Veröffentlichen Sie den Dienst nicht auf allen Schnittstellen, wie es -p 80:80 tut. Veröffentlichen Sie ihn auf Loopback:

docker run -d --name agent-zero \
  -p 127.0.0.1:5080:80 \
  -v a0_usr:/a0/usr \
  agent0ai/agent-zero

-p 127.0.0.1:5080:80 bindet die Weboberfläche ausschließlich an die Loopback-Adresse des Servers. Sie ist dadurch nicht aus dem Internet erreichbar. Greifen Sie von Ihrem eigenen Rechner über einen SSH-Tunnel darauf zu:

ssh -L 5080:127.0.0.1:5080 you@your-vps

Öffnen Sie anschließend http://127.0.0.1:5080 lokal. Konfigurieren Sie den Modellanbieter in der Weboberfläche. Legen Sie unter Settings, Authentication einen Benutzernamen und ein Passwort für die Anmeldung an der Weboberfläche fest. Laut offizieller Dokumentation sollte dies geschehen, bevor Sie die Instanz für andere Personen öffnen. Für einen dauerhaften Betrieb mit mehreren Benutzern verwenden Sie stattdessen ein VPN oder einen authentifizierenden Reverse Proxy. Veröffentlichen Sie die unveränderte Weboberfläche jedoch niemals im offenen Internet. Diese Vorgehensweise sollten Sie auch auf alle anderen Tools auf dem Server übertragen, deren Oberfläche sensible Funktionen steuert. Dazu gehört auch, einen selbst gehosteten Open-Kritt-Scanner über einen Tunnel zu seiner Weboberfläche zu erreichen, statt einen Port zu veröffentlichen.

Wo andere Anleitungen enden – und warum Sie das nicht tun sollten

Wenn Sie nach einer Anleitung zur Installation von Agent Zero suchen, finden Sie zahlreiche Anleitungen, auch von Hosting-Anbietern. Sie führen zu einer laufenden Weboberfläche auf einem veröffentlichten Port (50001 in älteren Anleitungen, 80, 5080 oder 50080 in neueren) und enden dort. Genau an diesem Punkt beginnt das Risiko, nicht dort, wo es endet. Zwei Maßnahmen schließen die Lücke. Erstens halten Sie die Weboberfläche wie oben beschrieben privat. Zweitens setzen Sie eine Firewall mit standardmäßiger Ablehnung vor den Server. So kann kein vergessener Dienst Anfragen aus dem Internet beantworten:

sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw enable

Beachten Sie jedoch die Einschränkung: Docker leitet den Datenverkehr für veröffentlichte Container-Ports weiter, bevor die Regeln von UFW angewendet werden. Die Firewall schützt daher keinen Container-Port, der an alle Schnittstellen veröffentlicht wurde. Deshalb ist die Bindung an die Loopback-Schnittstelle oben wichtig. Wie Docker-Ports UFW umgehen erläutert die Details. Eine vollständige Übersicht finden Sie unter den Grundlagen der Firewall. Beachten Sie außerdem die Lücke bei IPv6: Ein Dienst auf :: ist über IPv6 erreichbar, auch wenn Ihre IPv4-Regeln restriktiv wirken.

Die Container-Isolation schützt die Agents, nicht Ihren Server

Das Design von Agent Zero bietet tatsächlich eine gute Isolation in einem Bereich: Das Framework und alle von ihm gestarteten Agents laufen in ihrem Docker-Container und nicht direkt auf Ihrem Host. Der von ihnen geschriebene und ausgeführte Code landet daher im Container und nicht in Ihrem Home-Verzeichnis. Das ist sinnvoll. Untergeordnete Agents teilen sich diesen einen Container mit dem primären Agent. Die Trennung besteht also zwischen den Agents und Ihrem Host, nicht zwischen den Agents untereinander. Es ist leicht, daraus zu schließen: „Die Ausführung erfolgt in einer Sandbox, also bin ich sicher“, und es dabei zu belassen. Die Container-Isolation hält die Arbeit der Agents vom Host fern. Sie schützt Ihren Server jedoch nicht vor dem Internet und verhindert nicht, dass eine exponierte Web UI einem Fremden die Kontrolle übergibt. Dafür sind Sie auf dem Host verantwortlich. Legen Sie im Voraus fest, was ein Agent tun darf, wenn niemand seine Aktionen überwacht. Das ist dieselbe Abwägung wie bei den Berechtigungsmodi von Claude Code. Für einen unbeaufsichtigten Server ist eine strengere Einstellung angemessen als für den Laptop, der vor Ihnen steht.

Secrets, Benutzer und der Host

Bewahren Sie den Model-API-Key und alle anderen Zugangsdaten in der Konfiguration von Agent Zero oder in einer Umgebungsdatei auf, die nur das zuständige Konto lesen kann. Sie dürfen nicht in der Shell-Historie und nicht in einem Repository stehen. Das gilt auch für alle anderen Dateien auf dem System, die Secrets schützen. Bei einer Härtungsprüfung von Vaultwarden geht es vor allem um das Admin-Token und die Backup-Datei, nicht um die Verschlüsselung, die die Anwendung bereits zuverlässig übernimmt. Verwalten Sie das System als Benutzer ohne privilegierte Rechte und nicht als root, entsprechend Benutzern mit minimalen Rechten. Stellen Sie SSH außerdem auf reine Schlüsselauthentifizierung um, wie in SSH-Härtung beschrieben. Arbeiten Sie anschließend die folgende Checkliste durch, damit nichts übersehen wird.

Wenn Sie Agents vergleichen, gilt für die OpenClaw-Härtungsanleitung und die OpenHands-Anleitung dieselbe Sicherheitsausrichtung: Halten Sie die Steuerungsschnittstelle privat, führen Sie den Dienst als Benutzer ohne privilegierte Rechte aus, aktivieren Sie standardmäßig die Firewall und behandeln Sie den Host als System, auf dem Code ausgeführt wird, den Sie nicht selbst geschrieben haben. Eine Gegenüberstellung aller fünf Agents finden Sie unter den besten Self-Hosted-KI-Agents im Jahr 2026.

Die zugrunde liegenden Konzepte werden in Ihren eigenen KI-Agent auf einem VPS erstellen erläutert. Dify ist eine weitere Plattform, die Sie selbst hosten können und die sich für einen Vergleich eignet.

FAQ

Ist Agent Zero sicher im Self-Hosting?

Ja, wenn Sie die Web UI privat halten und den Host absichern. Agent Zero führt Code aus und stellt einen Browser sowie eine Shell bereit. Gesteuert wird es über eine Web UI an dem Host-Port, den Sie veröffentlichen. Die Gefahr geht daher von einer exponierten Schnittstelle aus, nicht vom Framework selbst. Binden Sie die UI an das Loopback-Interface und greifen Sie über SSH oder ein VPN darauf zu. Legen Sie einen UI-Login und ein Passwort fest. Setzen Sie eine Firewall mit standardmäßiger Ablehnung davor. Führen Sie Agent Zero als nicht privilegierten Benutzer aus.

Stellt Agent Zero standardmäßig eine Web UI im Internet bereit?

Die dokumentierten docker run Befehle veröffentlichen die Schnittstelle ohne IP-Adresse (die README verwendet -p 80:80). Eine solche Zuordnung lauscht auf allen Netzwerk-Interfaces. Auf einem öffentlichen VPS ist die Schnittstelle dadurch erreichbar, sobald der Container startet. UFW verhindert das nicht, weil Docker veröffentlichte Ports daran vorbei weiterleitet. Fügen Sie 127.0.0.1 zur veröffentlichten Adresse hinzu, damit die UI nur auf dem Loopback-Interface lauscht. Greifen Sie anschließend über einen SSH-Tunnel oder ein VPN darauf zu.

Kann Agent Zero auf einem kleinen VPS ausgeführt werden?

Ja. Agent Zero läuft überall dort, wo Docker läuft, auch auf einem kleinen und günstigen VPS. Aufwendigere Aufgaben und größere lokale Modelle benötigen jedoch mehr Arbeitsspeicher. Wenn Sie statt einer gehosteten API ein selbst gehostetes Modell verwenden, dimensionieren Sie den Server für das Modell und nicht nur für Agent Zero.

Worin unterscheidet sich Agent Zero von OpenClaw oder Hermes?

Die Funktionen überschneiden sich, aber die Ausrichtung ist unterschiedlich. Agent Zero ist ein Docker-First-Framework. Es basiert auf einem primären Agenten, der innerhalb seines Containers untergeordnete Agenten startet. Gesteuert wird es über eine Web UI. OpenClaw und Hermes sind persönliche Assistenten, die Sie über Chat-Apps erreichen. Für alle gilt dieselbe Sicherheitsanforderung: Halten Sie die Steuerungsschnittstelle privat und sichern Sie den Host ab.