OpenClaw im Test: Einrichtung, Docker und Sicherheit beim Selbst-Hosten

OpenClaw ist die Standardantwort, wenn jemand nach einem Open-Source-KI-Agenten fragt, den man selbst betreiben kann. Es erschien im November 2025, hatte bei unserer Prüfung am 8. November 2026 394.193 GitHub-Sterne und steht heute unter dem Dach einer gemeinnützigen Stiftung ohne Bezahlstufe. Diese Popularität bringt viel: 29 Chat-Kanäle, 64 Modell- und Medienanbieter und 142 offizielle Plugins. Sie bedeutet aber auch, dass viele Menschen einen Agenten mit Shell-Zugriff auf ihrem Hauptrechner betreiben, ohne die Sicherheitsdokumentation gelesen zu haben. In diesem Test geht es darum, was der Betrieb tatsächlich erfordert.

Für wen es sich eignet

OpenClaw passt zu Entwicklern oder technisch versierten Hobbyisten, die einen Agenten über WhatsApp, Telegram, iMessage oder Slack erreichen, das Modell selbst wählen (und wechseln) und die Einrichtung selbst in die Hand nehmen wollen. Wenn Sie sich nicht wohl dabei fühlen, eine Konfigurationsdatei zu lesen, um eine Sandbox einzuschalten, warnen selbst die Maintainer, dass es für Sie riskant ist, und eine stärker abgeschottete Option aus der Liste unten ist der bessere Einstieg.

OpenClaw einrichten: drei echte Wege

Die Installationsdokumentation bietet drei praktische Wege:

• Installer-Skript. curl -fsSL https://openclaw.ai/install.sh | bash unter macOS, Linux oder WSL2 oder ein PowerShell-Einzeiler unter Windows. Es richtet Node ein, falls Sie es noch nicht haben, und startet dann das Onboarding. Diesen Weg sollten die meisten wählen.
• npm. npm install -g openclaw@latest, danach openclaw onboard --install-daemon. Sinnvoll, wenn Sie Node bereits selbst verwalten; Sie benötigen Node 24.16+ oder 26.1+.
• Desktop-Apps für macOS, Windows und Linux sowie ein Ein-Klick-Deployment auf Railway, wenn Sie es auf einem Server betreiben wollen, ohne ein Terminal anzufassen.

Das Onboarding führt Sie durch die Wahl eines Modellanbieters und Ihres ersten Kanals. Rechnen Sie damit, dass der knifflige Teil der Kanal ist, nicht die Installation: iMessage etwa hat eine eigene Einrichtungsseite.

OpenClaw in Docker

Es gibt einen offiziellen Docker-Weg: Führen Sie ./scripts/docker/setup.sh aus dem Repo aus. Das Skript fragt nach API-Schlüsseln, schreibt ein Gateway-Token und startet das Gateway mit Docker Compose. Sie können das vorgefertigte Image ghcr.io/openclaw/openclaw verwenden; ein lokaler Build benötigt mindestens 6 GB RAM. Die Control UI lauscht dann auf 127.0.0.1:18789.

Der Punkt, den die meisten übersehen: Das Gateway in Docker zu betreiben ist nicht dasselbe, wie den Agenten in eine Sandbox zu stecken. Die Docker-Dokumentation sagt es deutlich: Sandboxing ist standardmäßig aus und „does not require the Gateway itself to run in a container.“ Docker liefert Ihnen eine aufgeräumte Installation, die sich leicht wegwerfen lässt. Es bestimmt allein aber nicht, worauf die Tools des Agenten zugreifen können. Das ist eine separate Einstellung.

OpenClaw-Sicherheit: was Sie am ersten Tag ändern sollten

Ab Werk laufen die Tools von OpenClaw auf dem Host. Die Sandboxing-Dokumentation erklärt, dass agents.defaults.sandbox das steuert, mit Docker als Standard-Backend und Podman, SSH, OpenShell und Crabbox als Alternativen. Auch bei eingeschalteter Sandbox bleibt der Gateway-Prozess auf dem Host, und tools.elevated ist ein expliziter Notausgang, der Befehle außerhalb davon ausführt. Die Dokumentation nennt die Sandbox „not a perfect security boundary.“

In der Praxis sieht eine vernünftige Grundkonfiguration so aus:

1. Schalten Sie die Sandbox ein (das Minimalbeispiel der Dokumentation verwendet mode: "non-main" mit workspaceAccess: "none").
2. Verbieten Sie exec in der Tool-Policy, wenn der Agent keine Shell braucht, und lassen Sie elevated aus.
3. Behandeln Sie Skills von Drittanbietern wie jeden anderen Code, den Sie installieren, denn ein Skill läuft mit den Zugriffsrechten des Agenten.
4. Überlegen Sie genau, welche Postfächer Sie verbinden. Alles, was der Agent liest, auch eine E-Mail von einem Fremden, kann versuchen, ihn zu steuern.

Das größere Risikobild behandeln wir in Ist OpenClaw sicher?. Wenn Sie OpenClaw selbst nutzen möchten, aber mit eingebauter Sandbox und Netzwerkfreigaben, umhüllt NVIDIAs NemoClaw es; siehe NemoClaw vs. OpenClaw.

Telemetrie

OpenClaw ist standardmäßig nicht stumm. Ab Werk führt es eine tägliche Update-Prüfung durch, die Ihre OpenClaw-, Betriebssystem- und Node-Versionen sowie die CPU-Architektur übermittelt, dazu eine Installationszählung ohne Kennung und Update-Berichte. Feature-Statistiken sind Opt-in. Laut der Telemetrie-Dokumentation schaltet update.checkOnStart: false all das ab. Für die meisten Selbst-Hoster ist das ein akzeptabler Standard; für einen Rechner ohne Netzverbindung (Air-Gap) stellen Sie die Einstellung um.

Modelle und laufende Kosten

Die Software ist kostenlos, das Modell nicht – es sei denn, Sie betreiben eines lokal über Ollama, LM Studio oder vLLM. Bei OpenClaw ist das wichtiger als bei einer Chat-App, denn ein Agent arbeitet in Schleifen: Er plant, ruft Tools auf, liest Ergebnisse und ruft erneut auf. Notebookcheck berichtete von Nutzern, die mit teuren Modellen über 100 $ pro Tag ausgaben. Legen Sie bei Ihrem Anbieter ein Ausgabenlimit fest, bevor Sie den Agenten dauerhaft laufen lassen, und starten Sie proaktive und geplante Jobs mit einem günstigeren Modell.

Wartung und Reife

Die Entwicklung ist sehr aktiv: Die geprüfte Version war v2026.11.1, und Releases kommen häufig. Das ist gut für Fehlerbehebungen und schlecht für „einrichten und vergessen“. Planen Sie regelmäßige Updates ein, lesen Sie die Release Notes auf Konfigurationsänderungen und führen Sie nach Upgrades openclaw doctor aus, um Konfigurationsprobleme zu finden (das Docker-Image erledigt das beim Start für Sie). Der Vorteil der Größe: Die meisten Probleme, auf die Sie stoßen, hatten andere schon, haben danach gefragt und eine Antwort bekommen.

Wann Sie etwas anderes wählen sollten

• Sie wollen standardmäßig Isolation: NanoClaw führt jeden Agenten in einem eigenen Container aus, und ZeroClaw liefert eine Betriebssystem-Sandbox in einem einzigen Rust-Binary. Siehe NanoClaw vs. OpenClaw und ZeroClaw vs. OpenClaw.
• Sie wollen einen Agenten, der seine eigenen Skills schreibt: Hermes Agent, das auch Ihr OpenClaw-Setup importieren kann. Siehe Hermes Agent vs. OpenClaw.
• Sie wollen mehrere ständig laufende Bots, jeden mit eigenem Computer: Rakazo.

Das komplette Feld finden Sie auf unserer Seite OpenClaw-Alternativen.

Fazit

OpenClaw ist der Agent mit den meisten Sternen auf unserer Liste und hat ein großes Plugin-Ökosystem; dank MIT-Lizenz ohne Bezahlstufe wartet kein Upsell. Seine Schwachstelle ist die Grundeinstellung: Tools auf dem Host, Telemetrie an und ein Ökosystem von Skills, die Sie selbst prüfen müssen. Richten Sie Sandbox und Tool-Policy ein, bevor Sie Ihre E-Mails verbinden, dann ist es eine starke Wahl.