OpenClaw erklärt: Der KI-Agent, der GitHub im Sturm nahm

Eine WhatsApp-Nachricht genügt, und im Hintergrund passiert der Rest von allein: Der Termin wird verschoben, der Report zusammengestellt, die Mail sortiert – ganz ohne Chatfenster, ohne Copy-Paste zwischen zehn Programmen. Genau das verspricht OpenClaw, und genau deshalb ist rund um dieses Projekt seit Anfang 2026 ein Hype entstanden, wie ihn selten ein einzelnes Open-Source-Tool ausgelöst hat. Aber was steckt tatsächlich dahinter, und warum ist ausgerechnet dieses Projekt – gemessen an GitHub-Stars – zum meistbeachteten Softwareprojekt des Jahres geworden?

Kurz gesagt: OpenClaw ist ein quelloffener KI-Agent des österreichischen Entwicklers Peter Steinberger, den Sie über Messaging-Apps wie WhatsApp, Telegram oder Slack steuern. Anders als ein Chatbot greift er eigenständig auf Programme, Dateien und Dienste zu, um Aufgaben zu erledigen. Seit dem viralen Durchbruch Ende Januar 2026 ist er das am schnellsten wachsende Softwareprojekt in der Geschichte von GitHub.

📅 Stand: September 2026. Dieser Artikel bildet den Stand vom September 2026 ab – Governance, Sicherheitslage und Verbreitung von OpenClaw entwickeln sich weiterhin im Wochentakt. Ich prüfe diesen Artikel alle 2 Monate.

Was ist ein autonomer KI-Agent – und warum ist OpenClaw dafür das bekannteste Beispiel?

In meinen Workshops erlebe ich immer wieder dieselbe Verwirrung: Für viele Teilnehmer ist „KI“ gleichbedeutend mit einem Chatfenster, in das man etwas eintippt und eine Antwort bekommt. Ein autonomer KI-Agent funktioniert grundlegend anders. Er besteht aus drei Zutaten, die einzeln längst existieren, aber selten so konsequent kombiniert wurden wie bei OpenClaw:

Erstens ein Sprachmodell als „Gehirn“ – bei OpenClaw wahlweise Claude, GPT, Gemini, DeepSeek oder ein lokal über Ollama beziehungsweise LM Studio laufendes Modell. Zweitens echter Zugriff: OpenClaw kann Dateien öffnen, Programme steuern, im Web recherchieren und E-Mails verschicken – nicht nur darüber reden. Drittens ein persistentes Gedächtnis, das sich über mehrere Interaktionen hinweg merkt, woran gerade gearbeitet wird.

Kostenlos ist dabei nur die Software selbst, nicht das Sprachmodell dahinter: Ein ChatGPT-Abo ließ sich schon seit Februar 2026 über Codex-OAuth direkt mit OpenClaw nutzen, was Sam Altman am 1. Mai 2026 auch öffentlich bestätigte. Ein Claude-Abo funktioniert ebenfalls: Nach einer kurzzeitigen Sperre für Fremd-Agenten zwischen April und Mai 2026 laufen Claude-Abos seit 13. Mai 2026 wieder auf den regulären Abo-Limits. Eine bereits angekündigte Umstellung auf separate Agent-Budgets hat Anthropic im Juni 2026 vorerst wieder ausgesetzt. Lokale Modelle lassen sich ohne laufende API-Kosten betreiben, daneben gibt es auch kostenlose Cloud-Angebote – etwa OpenRouters „:free“-Modelle oder kostenlos bereitgestellte NVIDIA-Modelle. Solche Free-Tiers sind allerdings kontingentiert und können sich jederzeit ändern.

Dazu kommt, wie Sie das Ganze steuern: über Messenger, die Sie ohnehin täglich offen haben – eine eigene App ist nicht nötig. Daneben gibt es aber sehr wohl eigene Oberflächen: eine macOS-App, native Apps für iPhone, iPad und Android, eine lokale Weboberfläche und ein Terminal-Interface.

🎯 Grundlagen zuerst: Was den Unterschied zwischen einer klassischen KI-Anwendung und einem echten Agenten ausmacht, erklärt mein Grundlagenartikel zu KI-Agenten – hilfreich, um OpenClaw richtig einzuordnen.

Ein konkretes Beispiel aus der Praxis macht das greifbarer: Ein Einzelunternehmer könnte OpenClaw morgens per Telegram-Nachricht bitten, die Inbox nach dringenden Kundenmails zu durchsuchen, einen Antwortentwurf vorzubereiten und gleich den Kalender für die Nachmittagstermine zu prüfen – alles in einem Aufwasch, ohne zwischen E-Mail-Programm, Kalender und Textverarbeitung hin- und herzuwechseln. Genau dieses Versprechen, lästige Verwaltungsarbeit im Hintergrund erledigen zu lassen, statt sie Schritt für Schritt selbst anzustoßen, hat maßgeblich zum Hype rund um das Projekt beigetragen.

Das erklärt aber noch nicht, warum ausgerechnet OpenClaw zum Aushängeschild dieser Kategorie wurde. Autonome Agenten gab es vorher schon, viele davon aus großen Unternehmen mit entsprechendem Marketing-Budget. OpenClaw hat stattdessen zwei Dinge richtig gemacht: Es ist von Anfang an quelloffen (MIT-Lizenz), lässt sich also kostenlos einsehen, verändern und selbst betreiben – und es ist technisch bewusst niedrigschwellig eingerichtet, weil die Steuerung über eine vertraute Chat-Oberfläche läuft statt über ein neues, unbekanntes Interface. Diese Kombination aus Offenheit und Alltagstauglichkeit hat eine Community-Dynamik ausgelöst, die kaum ein kommerzielles Produkt erreicht.

Die Geschichte: vom Wochenendprojekt zum meistgesternten Softwareprojekt auf GitHub

Was heute als etabliertes Projekt mit eigener Foundation dasteht, begann als Bastelprojekt eines einzelnen Entwicklers. Der österreichische Entwickler Peter Steinberger (TU Wien, davor Gründer des Wiener PDF-Spezialisten PSPDFKit, heute in San Francisco) veröffentlichte Ende November 2025 eine erste Version – die zunächst kaum Beachtung fand. Was dann folgte, ist fast schon eine eigene Anekdote: In gut zwei Monaten wechselte das Projekt gleich mehrfach den Namen, von „Warelay“ über „CLAWDIS“ zu „Clawdbot“. Der bekannteste Wechsel kam Ende Januar 2026: Aus „Clawdbot“ wurde „Moltbot“ – auf Druck von Anthropic, dem Unternehmen hinter Claude, das eine Verwechslungsgefahr mit dem eigenen Markennamen sah. Nur drei Tage später, am 30. Januar 2026, folgte der endgültige Name: OpenClaw.

Das eigentlich Bemerkenswerte ist aber nicht das Namenschaos, sondern das Tempo des Wachstums danach. Richtig viral wurde das Projekt erst Ende Januar 2026: Nach drei Wochen standen rund 200.000 Sterne zu Buche. Anfang März 2026 überholte OpenClaw dann React als meistgesterntes Nicht-Aggregator-Projekt der GitHub-Geschichte – gut fünf Wochen nach dem viralen Durchbruch, rund hundert Tage nach der ersten Zeile Code. React hatte für denselben Meilenstein über ein Jahrzehnt gebraucht. Aktuell bewegt sich die Zahl im Bereich mehrerer hunderttausend GitHub-Stars, mit weiterhin steigender Tendenz. Ich nenne hier bewusst keine tagesaktuelle Zahl, weil sie sich ohnehin überholt, sobald Sie diesen Artikel lesen – die Größenordnung und das Tempo sind die eigentliche Aussage.

Der Core ist in TypeScript geschrieben, Swift kommt unter anderem bei den nativen Apple-Apps zum Einsatz. Das Projekt läuft plattformübergreifend auf Mac, Windows und Linux und wird weiterhin aktiv weiterentwickelt, zuletzt unter anderem mit überarbeitetem Onboarding und automatischer Erkennung bestehender ChatGPT- und Claude-Logins.

Der Wendepunkt: OpenAI heuert den Gründer

Mitte Februar 2026 kam die Nachricht, die viele in der Community überrascht hat: Peter Steinberger wechselte zu OpenAI. Für ein Projekt, das gerade erst zum Shootingstar der Open-Source-Szene geworden war, eine heikle Situation – was passiert mit einem Community-Projekt, wenn der Kopf dahinter beim größten kommerziellen KI-Anbieter anheuert?

Die Antwort darauf war die Gründung der „OpenClaw Foundation“, die sich selbst als unabhängigen, gemeinnützigen Steward des Projekts versteht – mit dem selbstgewählten Anspruch, so etwas wie die „Schweiz der KI“ zu sein, vergleichbar mit Stiftungen hinter Linux, Apache oder Mozilla. Einige Monate später kamen erste hauptamtliche Mitarbeiter dazu, Vorsitzender ist der Unternehmer Dave Morin. So weit die offizielle Lesart. Aus meiner Sicht als jemand, der beruflich viel mit Open-Source-Governance zu tun hat, bleibt dabei ein berechtigter Zweifel bestehen: Steinberger ist weiterhin bei OpenAI angestellt, wo er laut Sam Altman „die nächste Generation persönlicher Agenten“ verantwortet, und trifft laut Foundation selbst weiterhin die Entscheidungen, „besonders die technischen“. Ein Detail, das die Neutralitätsfrage zusätzlich verschärft: OpenAI gehört zu den Hauptspendern der Foundation. Eine Stiftung allein macht ein Projekt noch nicht unabhängig, solange die operative Kontrolle bei einer Person liegt, die gleichzeitig bei einem der größten kommerziellen Wettbewerber im Feld beschäftigt ist und dessen Geld die Stiftung mitfinanziert. Eine vollständige Board-Liste ist öffentlich bislang nicht dokumentiert – hier lohnt sich vor jeder unternehmerischen Entscheidung ein eigener, aktueller Blick auf die Foundation-Seite.

Die Schattenseite: warum Microsofts CEO von einem „Virus“ sprach

Rasantes Wachstum und tiefer Systemzugriff sind eine riskante Kombination, und OpenClaw hat das in den vergangenen Monaten mehrfach demonstriert. Für Aufsehen sorgte ein Kommentar von Microsoft-CEO Satya Nadella am 4. März 2026 auf der Morgan Stanley TMT Conference: Er nannte OpenClaw zwar innovativ, sagte aber, Microsoft könne so etwas nicht selbst veröffentlichen – das würde als „Microsoft, das einen Virus ausliefert“ wahrgenommen. Der Satz zielte weniger auf OpenClaw selbst als auf die Frage, was ein Konzern mit Compliance-Pflichten überhaupt ausliefern kann. Bemerkenswert ist, was danach passierte: Drei Monate später stellte Microsoft auf der Build 2026 „Scout“ vor – einen Always-on-Agenten für Teams, Outlook, OneDrive und SharePoint, der nicht gegen OpenClaw antritt, sondern auf OpenClaw aufbaut, ergänzt um Entra-Identitäten, Purview-Anbindung und Freigabeschritte für heikle Aktionen.

Eine Einschränkung, die Microsoft selbst dokumentiert und die für den Datenschutz-Blick entscheidend ist: Die eigentliche Sprachmodell-Verarbeitung läuft über GitHub Copilot – und dort gelten laut Microsoft Data-Residency-Zusagen, Aufbewahrungsrichtlinien, die Durchsetzung von Vertraulichkeitsbezeichnungen und eDiscovery ausdrücklich nicht. Das betrifft aber nur diese Verarbeitungsstrecke: Anmeldung, Berechtigungen und Mandantentrennung bleiben bestehen – Scout arbeitet mit den vorhandenen Microsoft-365-Rechten des Nutzers, und Sitzungs- sowie Gedächtnisdaten liegen in dessen OneDrive und damit im eigenen Tenant. Eine zweite Lücke nennt Microsoft dafür selbst: Automatisierungsanweisungen und Werkzeug-Ausgaben speichert Scout lokal auf dem Gerät, ausdrücklich nicht abgedeckt vom Microsoft-365-Datenschutznachtrag, sondern von der eigenen Endgeräte-Verwaltung.

Scout ist bis heute ein Preview-Feature und nicht allgemein verfügbar – Microsoft kennzeichnet auch die Dokumentation ausdrücklich als vorläufig. Der Zugang läuft ausschließlich über Microsofts Frontier-Preview-Programm, das der Admin erst für den Tenant freischalten muss. Dazu kommen eine Microsoft-365-Copilot-Lizenz, eine GitHub-Copilot-Lizenz der Stufe Business oder Enterprise (ab 19 US-Dollar pro Nutzer und Monat), eine Intune-Richtlinie und eine ausdrückliche Admin-Attestierung. Einen eigenen Listenpreis für Scout hat Microsoft bislang nicht veröffentlicht: Zugang und Nutzung laufen über die genannten Lizenzen, für Scout selbst kündigt Microsoft aber ausdrücklich eine nutzungsabhängige Verrechnung an und will weitere Kostenangaben nachreichen. Der Tokenverbrauch läuft allerdings über das GitHub-Konto: In der Copilot-Business-Lizenz sind 1.900 GitHub AI Credits pro Nutzer und Monat enthalten (ein Credit entspricht 0,01 US-Dollar, macht rechnerisch 19 US-Dollar), die organisationsweit in einen gemeinsamen Pool gerechnet werden. Darüber hinausgehender Verbrauch wird zusätzlich verrechnet, solange der Administrator kein Budgetlimit mit aktivierter Ausgabensperre setzt (die Sperre ist im Standard aus). Der Sitzpreis ist also keine Kostenobergrenze.

Die Kehrtwende zeigt trotzdem, wie schnell sich die Lage bei diesem Thema dreht.

Schon Ende Januar 2026 hatte eine Analyse von Cisco gezeigt, dass Drittanbieter-Skills – vergleichbar mit Plugins – unbemerkt Daten abgreifen und Prompt Injection ausnutzen konnten: Eine Skill, die im Verzeichnis künstlich auf Platz 1 gepusht worden war, schickte Daten still per curl an einen fremden Server und wies den Agenten an, die eigenen Sicherheitsregeln zu übergehen – die Platzierung war manipuliert, nicht verdient. Für viel Aufsehen sorgte im Februar 2026 der sogenannte „MoltMatch“-Vorfall, bei dem ein Agent ohne ausdrückliche Zustimmung des Nutzers eigenständig ein Dating-Profil anlegte – ein plakatisches, aber durchaus reales Beispiel dafür, was passiert, wenn ein System zu viel eigenständigen Handlungsspielraum bekommt und zu wenig Rückfrage einbaut. Auch auf Regierungsebene gab es im März 2026 gleich zwei Reaktionen: Am 10. März 2026 warnte Chinas CERT (CNCERT) über seinen offiziellen WeChat-Kanal öffentlich vor einer ausgesprochen schwachen Standardkonfiguration, die sich über präparierte Webseiten und manipulierte Skills angreifen lasse, und davor, dass OpenClaw weitreichende Systemrechte erhält und Nutzerdaten dadurch abfließen, versehentlich gelöscht oder missbraucht werden können. Einen Tag später wurde bekannt, dass interne Hinweise an Behörden, Staatsbetriebe und Großbanken ergingen, OpenClaw nicht auf Dienstgeräten zu installieren und bestehende Installationen zu melden.

🛡️ Vertiefung Sicherheit: Prompt Injection und Supply-Chain-Risiken sind keine OpenClaw-Spezialität, sondern ein grundsätzliches Problem KI-gestützter Systeme mit Werkzeugzugriff – meinen Überblick zu den kritischen Risikobereichen der KI-Sicherheit lege ich jedem ans Herz, der OpenClaw ernsthaft in Betracht zieht.

Auch technisch zeigt sich das Bild einer Software, die schneller wächst als ihre Absicherung: Seit Januar 2026 wurden mehrere schwere Sicherheitslücken bekannt, darunter eine mit Schweregrad High, die mit einem einzigen Klick Remote-Code-Execution ermöglichte (CVE-2026-25253, CVSS 8,8, behoben am 30. Jänner 2026), und eine Critical-Schwachstelle mit einem der höchsten überhaupt vergebenen Schweregrade (CVE-2026-32922, CVSS 9,9, behoben am 12. März 2026 mit Version 2026.3.11). Beide sind gepatcht – wer aktuell hält, ist hier nicht mehr betroffen. Die öffentlichen Advisory-Listen führten Ende August 2026 rund 647 Einträge zu OpenClaw. Das sind Offenlegungsdatensätze über den gesamten Zeitraum – und ausdrücklich nicht die Zahl aktuell offener oder ausnutzbarer Sicherheitslücken, wie OpenClaw selbst betont. Die genaue Zahl ist dabei weniger wichtig als die Einordnung: Die Fähigkeiten von OpenClaw wachsen spürbar schneller, als die meisten Nutzer ihre Sicherheitsgewohnheiten anpassen.

Wofür sinnvoll, wofür (noch) nicht

Nach allem, was ich bisher beschrieben habe, drängt sich eine pragmatische Frage auf: Lohnt sich der Einsatz überhaupt? Meine Einschätzung dazu ist bewusst undogmatisch, weil pauschales Schwarz-Weiß-Denken dem Thema nicht gerecht wird.

Für technisch versierte Einzelpersonen und Entwickler, die genau verstehen, was sie tun, ist OpenClaw schon heute ein spannendes Werkzeug – gerade weil es sich lokal betreiben lässt und dadurch, anders als reine Cloud-Chatbots, mehr Datenhoheit ermöglicht. Wer OpenClaw mit einem lokal laufenden Modell etwa über Ollama betreibt, hält zumindest die Modellverarbeitung im eigenen Netz. Achtung: Das gilt nur für das Modell. Steuern Sie den Agenten über WhatsApp, Telegram oder Slack, läuft jede Anweisung trotzdem über die Server dieser Anbieter – für einen lokalen Steuerweg bleiben die eigenen Oberflächen wie Terminal und lokale Weboberfläche – und auch das nur, solange Sie nicht die seit Version 2.0 möglichen geteilten Cloud-Sessions verwenden. Auch Web-Suche, Browser-Automation und installierte Skills können Daten nach außen tragen.

Für Unternehmen sieht die Sache anders aus. Ein unbeaufsichtigter Agent mit vollem Systemzugriff auf einem gewöhnlichen Firmen-PC ist angesichts der oben beschriebenen Vorfälle aktuell keine gute Idee – jedenfalls nicht ohne begleitende IT-Abteilung, klare Rechte-Beschränkungen und ein Auge auf jede installierte Drittanbieter-Erweiterung. Seit Version 2.0 (August 2026) zielt OpenClaw ausdrücklich auch auf Unternehmen: geteilte Sessions, Mehrbenutzer-Betrieb, Audit-Funktionen und strengere Rechte- und Zugangskontrollen – die allerdings erst greifen, wenn man sie einschaltet. Sandbox und Ausführungs-Freigaben sind im Auslieferungszustand aus. Zudem unterstützt OpenClaw weiterhin Klartext-Zugangsdaten: Je nach Authentifizierungsweg können diese etwa in der Konfiguration, in einer .env-Datei oder lokalen Credential-Speichern liegen und für den Agenten lesbar sein. Für unterstützte statische Zugangsdaten stehen sogenannte SecretRefs zur Verfügung, die aber pro einzelnem Zugangsdatensatz aktiv eingerichtet werden müssen – OAuth- und CLI-Anmeldungen folgen teils eigenen Speicherwegen.

Entwarnung ist das nicht: OpenClaw dokumentiert selbst, dass die geteilten Sessions gar keine Sicherheitsgrenze sind – Besitzzuordnung, Sichtbarkeit und Anwesenheitsanzeige sind laut Doku Komfortfunktionen, kein Schutz. Wer einen Agenten bedienen darf, kann alles tun, was dieser Agent kann; für echte Trennung verlangt die Dokumentation getrennte Agenten oder getrennte Gateway- beziehungsweise Host-Grenzen.

Dazu kommt die Kritik, dass ein zentraler Not-Aus fehlt: Es gibt keine Verwaltungskonsole, über die ein Unternehmen alle laufenden Instanzen auf einen Schlag finden, patchen oder abschalten könnte. Wie viele Instanzen überhaupt öffentlich erreichbar sind, ist dabei umstritten – Messungen aus dem Frühjahr 2026 reichen von rund 63.000 über etwa 135.000 bis zu einer Einzelmessung von rund 500.000.

Mit Microsoft Scout gibt es seit Juni 2026 zusätzlich einen gemanagten Unternehmens-Aufsatz auf derselben Basis (Zugang und Lizenzvoraussetzungen siehe oben). Wer als Unternehmen einsteigen will, nimmt also eher diesen gemanagten Weg als den kompletten Eigenbau auf dem Firmen-PC – für kleinere Betriebe ist aber auch er vorerst kaum erreichbar, weil die oben beschriebenen Zugangsvoraussetzungen eine IT-Organisation verlangen, die Einzelunternehmer und kleine Teams schlicht nicht haben. Für sie bleibt aktuell der abgegrenzte Testbetrieb mit OpenClaw selbst die realistischere Option: ein einzelner, isolierter Rechner oder eine Testumgebung, ein überschaubarer Aufgabenbereich, und bewusst ohne Zugriff auf produktive Kundendaten – so lässt sich der praktische Nutzen erproben, ohne im Ernstfall gleich das ganze Unternehmensnetzwerk zu gefährden.

⚖️ Einordnung: OpenClaw ist kein Ersatz für ChatGPT, Claude oder Gemini, sondern nutzt solche Sprachmodelle als „Gehirn“ – wie sich die großen KI-Anbieter sonst unterscheiden, zeige ich in meinem Vergleich ChatGPT vs. Claude vs. Gemini.

Fazit: Ein Meilenstein mit ungelösten Fragen

OpenClaw zeigt eindrucksvoll, wohin sich KI-Anwendungen entwickeln: weg vom reinen Chatfenster, hin zu Systemen, die eigenständig handeln. Das Wachstumstempo, das dieses Projekt hingelegt hat, ist ohne historisches Vorbild, und die Idee dahinter – ein offener, selbst hostbarer Agent statt eines geschlossenen Cloud-Produkts – trifft einen echten Bedarf. Gleichzeitig zeigen Nadellas vieldiskutierter Kommentar, die chinesischen Einsatzbeschränkungen und die Sicherheitslücken der vergangenen Monate, dass dieses Werkzeug seiner eigenen Absicherung nach wie vor davonläuft. Wer OpenClaw ausprobieren will, sollte das mit offenen Augen tun: kontrolliert, mit lokalem Modell wo möglich, und ohne die Governance-Frage rund um die Foundation aus den Augen zu verlieren.

Ihre Erfahrungen sind gefragt!

Haben Sie OpenClaw schon selbst ausprobiert, vielleicht sogar mit einem lokalen Modell über Ollama? Oder überwiegt bei Ihnen angesichts der Sicherheitslage aktuell noch die Vorsicht? In meinen weiteren KI & Automatisierung-Artikeln finden Sie mehr Einordnung und Praxis-Tipps rund um KI-Agenten und ihren sinnvollen Einsatz im Arbeitsalltag.

Quellen:

• Introducing the OpenClaw Foundation | openclaw.ai
• OpenClaw went viral: meet the maintainers building and securing it | GitHub Blog
• Get started with Microsoft Scout | Microsoft Learn
• Responsible AI FAQ for Microsoft Scout | Microsoft Learn
• Copilot Cowork and Microsoft Scout: What partners need to know | Microsoft Partner Center
• Personal AI Agents like OpenClaw Are a Security Nightmare | Cisco Blogs
• China’s CERT warns OpenClaw can inflict nasty wounds | The Register
• Pairing-scoped device tokens security advisory (CVE-2026-32922) | GitHub Security Advisories
• Secrets management | OpenClaw Docs
• OpenClaw | Wikipedia