Ist OpenClaw sicher? Sicherheit von OpenClaw und Hermes Agent, Einstellungen zum Ändern

OpenClaw ist sicher genug für den Betrieb, wenn Sie es als das behandeln, was es ist: ein Programm, das Ihre Nachrichten und E-Mails lesen, Befehle ausführen und auf Grundlage des Gelesenen handeln kann. Ab Werk tendiert es zu mehr Fähigkeiten. Befehle laufen auf Ihrem Host, weil Sandboxing standardmäßig aus ist, und es meldet sich täglich beim Server des Projekts. Beides lässt sich in wenigen Minuten beheben. Dasselbe gilt für Hermes Agent, mit anderen Standardeinstellungen.

Was tatsächlich schiefgehen kann

• Befehle auf Ihrem Host. Ohne Sandbox läuft ein schädlicher Befehl mit dem Zugriff Ihres Benutzers auf Ihre Dateien.
• Prompt-Injection. Alles, was der Agent liest, eine E-Mail, eine Webseite, ein geteiltes Dokument, kann an ihn gerichtete Anweisungen enthalten. Je mehr Konten er bedienen kann, desto mehr kann eine eingeschleuste Anweisung bewirken.
• Skills von Dritten. Skills sind Code, den Sie installieren. Im Januar 2026 meldete Ciscos KI-Sicherheitsteam einen OpenClaw-Skill eines Drittanbieters, der Daten abfloss und Prompt-Injection ausführte, ohne dass der Nutzer es merkte (Zusammenfassung auf Wikipedia).
• Ein offenes Gateway. Wenn die Steuerungsoberfläche ohne Authentifizierung aus dem Internet erreichbar ist, kann jeder Ihren Agenten steuern.
• Secrets im Ruhezustand. Derselbe Wikipedia-Artikel fasst eine Prüfung von OpenClaw 2.0 aus dem August 2026 zusammen, die unverschlüsselt gespeicherte Secrets kritisierte.

Standardeinstellungen bei zehn Agenten

Die Checkliste-Tabelle oben zeigt, welche Agenten standardmäßig eine Sandbox nutzen und welche Telemetrie senden. Hier sehen Sie, was das praktisch bedeutet und wie Sie es ändern.

Agent	Isolation ab Werk	Telemetrie und wie Sie sie abschalten
OpenClaw	Aus; Docker-Sandbox verfügbar	Täglicher Update-Check; update.checkOnStart: false
Hermes Agent	Aus; smart-Freigaben, Docker-Backend verfügbar	Keine, sofern Sie nicht zustimmen
NemoClaw	An: OpenShell-Sandbox mit Egress-Freigabe	CLI-Telemetrie; NEMOCLAW_DISABLE_TELEMETRY=1
NanoClaw	An: ein Container pro Agent	Setup-Diagnosedaten; NANOCLAW_NO_DIAGNOSTICS=1
ZeroClaw	An: OS-Sandbox und Freigaben im Balanced-Profil	Keine
Rakazo	An: jeder Bot hat einen Sandbox-Computer	Keine von einem selbst gehosteten Server; die Desktop-App sucht nach Updates
Agent Zero	An: Agent arbeitet in eigenem Docker-Container	Update-Check; in den Einstellungen abschaltbar
nanobot	Aus; bubblewrap oder Seatbelt verfügbar, keine unter Windows	Keine
PicoClaw	Nur Pfadprüfungen; Prozessisolation aus, nur Linux und Windows	Keine
QwenPaw	Aus; keine Isolation innerhalb von Docker	Installationsdaten mit --defaults; im interaktiven qwenpaw init ablehnbar

Zwei Vorbehalte zu den „An”-Zeilen. Agent Zero führt Code im selben Container aus wie Agent Zero selbst; der Container schützt also Ihren Computer, aber nicht den Agenten vor seinem eigenen Code. Und ZeroClaws YOLO-Profil schaltet alles ab; prüfen Sie also, welches Profil Sie gewählt haben.

So sichern Sie OpenClaw ab

Grob nach Wirkung geordnet, auf Basis der Sicherheitsdokumentation von OpenClaw:

1. Führen Sie openclaw security audit aus. Es meldet, wo Ihr Setup von den sicheren Standards abweicht, und kann unterstützte Korrekturen anwenden.
2. Lassen Sie das Gateway auf Loopback. Eine normale Installation bindet an Loopback, aber Container-Images binden standardmäßig offen; fügen Sie also Authentifizierung hinzu oder stellen Sie es hinter ein privates Netzwerk, bevor Sie mit Docker deployen.
3. Lassen Sie DM-Pairing an. Standardmäßig erhalten unbekannte Absender auf den meisten Kanälen einen Pairing-Code statt einer Antwort. Stellen Sie keinen Kanal auf offen.
4. Schalten Sie die Sandbox ein. Setzen Sie agents.defaults.sandbox.mode auf all; non-main lässt die Hauptsitzung des Agenten auf dem Host (Sandbox-Modi). Docker ist das Standard-Backend. Nur die Tool-Ausführung läuft in der Sandbox: Das Gateway bleibt auf dem Host.
5. Verbieten Sie, was Sie nicht brauchen. Eine Tool-Richtlinie, die exec verbietet, deaktiviert den Shell-Zugriff vollständig. Vermeiden Sie tools.elevated, das Befehle außerhalb der Sandbox ausführt.
6. Nutzen Sie getrennte Konten. Die Dokumentation empfiehlt separate Nummern für WhatsApp, Signal und Telegram und ein Gateway pro Vertrauensgrenze: Teilen Sie kein Gateway zwischen Personen, die einander nicht vertrauen.
7. Lesen Sie Skills, bevor Sie sie installieren, und bevorzugen Sie offizielle Plugins.
8. Setzen Sie update.checkOnStart: false, wenn Sie die tägliche Meldung nicht wollen (Telemetrie-Dokumentation).

Wenn all das von außerhalb des Agenten durchgesetzt werden soll, betreiben Sie OpenClaw in NemoClaw, das eine Sandbox, Egress-Freigaben und die Verwahrung von Zugangsdaten ergänzt.

Ist Hermes Agent sicher?

Hermes Agent startet beim Datenschutz (keine Telemetrie) und beim Chat-Zugriff an einem besseren Punkt: Ohne gesetzte Allowlist lehnt er jeden Nutzer ab, und unbekannte DMs erhalten einen Pairing-Ablauf (Sicherheitsdokumentation). Seine Schwachstelle ist dieselbe wie bei OpenClaw: Das Terminal-Backend ist standardmäßig local.

So sichern Sie ihn ab:

• Setzen Sie terminal.backend: docker. Container entziehen bis auf wenige alle Linux-Capabilities, und Host-Secrets bleiben draußen, sofern Sie sie nicht in docker_forward_env aufführen; lassen Sie das also leer.
• Lassen Sie Freigaben an. Der Standardmodus smart lässt ein Hilfsmodell das Risiko beurteilen; manual fragt vor jedem gefährlichen Befehl. Nutzen Sie nie off, das --yolo entspricht.
• Setzen Sie Allowlists wie TELEGRAM_ALLOWED_USERS und nie GATEWAY_ALLOW_ALL_USERS=true.
• Führen Sie chmod 600 ~/.hermes/.env aus, und setzen Sie auth.adopt_external_logins: false, wenn Hermes Ihre Codex-CLI- oder Claude-Code-Logins nicht nutzen soll.

Regeln, die für jeden Agenten gelten

• Geben Sie ihm einen eigenen Rechner oder OS-Benutzer. Ein Ersatzcomputer oder kleiner Server begrenzt den möglichen Schaden auf eine Weise, die keine Einstellung leisten kann.
• Begrenzen Sie Zugangsdaten. Binden Sie wo möglich ein separates E-Mail- oder Kalenderkonto an und nutzen Sie API-Schlüssel mit Ausgabenlimits.
• Legen Sie per Allowlist fest, wer mit ihm sprechen darf, auf jedem Kanal.
• Prüfen Sie geplante Jobs. Ein Agent, der arbeitet, während Sie weg sind, macht auch Fehler, während Sie weg sind.

Wenn Sicherheit Ihre oberste Priorität ist

Wählen Sie einen Agenten, der standardmäßig isoliert, statt einen, den Sie erst härten müssen: ZeroClaw oder NanoClaw für einen einzelnen persönlichen Agenten, oder NemoClaw, wenn Sie gezielt OpenClaw oder Hermes Agent wollen. Unser Ranking selbst gehosteter Agenten gewichtet sichere Standards stark, und Was ist OpenClaw? behandelt die übrigen Abwägungen.