OpenClaw-Hype: Warum autonome KI-Agenten ein Sicherheitsrisiko sind
Zehntausende offen erreichbare OpenClaw-Instanzen, ein ungeschütztes Agenten-Netzwerk und Schadsoftware in Erweiterungen: Der Hype um autonome KI-Agenten zeigt, wie schnell Komfort zum Sicherheitsrisiko wird. Was passiert ist und welche Regeln Sie jetzt in Ihrem Unternehmen brauchen.
Was ist passiert?
OpenClaw, zuvor unter den Namen Clawdbot und Moltbot bekannt, ist ein Open-Source-KI-Agent, der Ende Januar 2026 viral ging. Er läuft auf dem eigenen Rechner oder Server, verbindet sich mit Messengern, E-Mail und Kalender und kann selbstständig Befehle ausführen, Dateien bearbeiten und Webseiten bedienen. Genau diese weitreichenden Rechte machen ihn attraktiv und gefährlich zugleich.
Innerhalb weniger Tage kamen mehrere Sicherheitsprobleme ans Licht:
- Offen erreichbare Instanzen: Ein Entwickler fand zunächst rund 950 Installationen mit offenem Gateway-Port im Internet, viele davon ohne Authentifizierung. Der Grund waren laut Berichten Konfigurationen, bei denen das Gateway auf allen Netzwerkschnittstellen statt nur lokal lauschte. Kurz darauf zählte der Scan-Dienst Censys Berichten zufolge mehr als 21.000 öffentlich erreichbare Instanzen, nachdem es eine Woche zuvor noch etwa 1.000 gewesen waren.
- Offene Datenbank bei Moltbook: Das Netzwerk Moltbook, auf dem KI-Agenten untereinander posten, lief auf Supabase, offenbar ohne aktivierte Row Level Security. Der Sicherheitsforscher Jamieson O'Reilly stieß auf rund 1,49 Millionen frei abrufbare Datensätze, darunter geheime API-Schlüssel der Agenten. Damit hätte jeder im Namen beliebiger Agenten posten oder deren Konten übernehmen können. Die Lücke wurde inzwischen geschlossen.
- Schadsoftware in Skills: Auf dem Erweiterungsmarktplatz ClawHub identifizierte Koi Security unter 2.857 geprüften Skills 341 bösartige. Die meisten forderten Nutzer über angebliche Installationsvoraussetzungen auf, Schadcode auszuführen, in vielen Fällen den macOS-Infostealer Atomic Stealer.
Hinzu kommt Prompt Injection: In Tests ließen sich System-Prompts und Konfigurationsdateien des Agenten mit präparierten Eingaben häufig auslesen. Eine verlässliche Abwehr dagegen gibt es bislang nicht.
Warum betrifft Sie das?
KI-Agenten wie OpenClaw werden selten zentral eingeführt. Sie landen auf dem Laptop eines technikaffinen Mitarbeiters oder auf einem schnell gemieteten Cloud-Server, verbunden mit dem Firmen-Mail-Konto, dem Kalender oder Slack. Diese „Schatten-KI“ hat oft mehr Zugriff als jedes offiziell eingeführte Tool, aber niemand in der IT weiß davon.
Ein kompromittierter Agent ist für Angreifer ideal: Er besitzt gespeicherte Zugangsdaten, darf Befehle ausführen und liest E-Mails, die wiederum versteckte Anweisungen enthalten können. Sicherheitsforscher von Palo Alto Networks beschreiben die Kombination aus Zugriff auf private Daten, Kontakt mit nicht vertrauenswürdigen Inhalten und externer Kommunikation als grundlegendes Risiko solcher Agenten.
Was Sie jetzt tun sollten
- Bestandsaufnahme machen: Fragen Sie offen nach, wer KI-Agenten nutzt, und prüfen Sie Endgeräte und Cloud-Konten. Ein Blick auf offene Ports hilft, etwa auf den Standardport des OpenClaw-Gateways:
ss -tlnp | grep 18789
- Klare Regeln aufstellen: Legen Sie fest, welche Agenten erlaubt sind, auf welchen Geräten sie laufen dürfen und mit welchen Konten sie sich verbinden dürfen.
- Rechte minimieren: Agenten sollten eigene, eingeschränkte Konten und API-Schlüssel erhalten, nie die persönlichen Zugänge von Mitarbeitern oder Admin-Rechte.
- Netzwerkzugriff begrenzen: Steuerungsoberflächen nur lokal oder über VPN erreichbar machen, niemals direkt aus dem Internet und immer mit Authentifizierung.
- Skill-Quellen kontrollieren: Nur geprüfte Erweiterungen zulassen. Installationsanweisungen, die zum Einfügen von Skripten ins Terminal auffordern, sind ein Warnsignal.
- Prompt Injection einplanen: Kritische Aktionen wie Zahlungen, Löschvorgänge oder externe Nachrichten nur mit menschlicher Freigabe.
- Schlüssel rotieren: Wer OpenClaw oder Moltbook genutzt hat, sollte alle verknüpften API-Schlüssel und Tokens erneuern.
Fazit
Autonome KI-Agenten sind ein echter Produktivitätsgewinn, aber sie sind Software mit weitreichenden Rechten und gehören entsprechend abgesichert. Verbote allein helfen wenig. Besser sind klare Regeln und eine sichere, freigegebene Alternative. Wenn Sie dafür eine tragfähige Lösung suchen, sprechen Sie uns an.