OpenClaw AI-Sicherheitskrise: 512 CVEs, 820 fehlerhafte Plugins

Ein KI-Agent, der alles erledigt , auch das, wonach Sie nicht gefragt haben

Ende Januar 2026 entwickelte sich ein Open-Source-Projekt namens OpenClaw von der Unbekanntheit zum am schnellsten wachsenden Star in der Geschichte von GitHub. In nur wenigen Tagen sammelte es über 183.000 Sterne. Den Entwicklern gefiel es: ein autonomer KI-Agent, der Ihre E-Mails, Ihren Kalender und Ihre Dateien verwalten und sogar Shell-Befehle ausführen konnte , alles über bekannte Messenger-Plattformen wie WhatsApp, Slack und Telegram.

Dann tauchten die Sicherheitsforscher auf. Was sie fanden, verwandelte OpenClaw von einem Entwicklerliebling in die erste große KI-Sicherheitskatastrophe des Jahres , und ein anschauliches Beispiel dafür, was schief gehen kann, wenn agentische KI auf die reale Welt trifft.

Was genau ist OpenClaw?

Im Gegensatz zu herkömmlichen Chatbots, die auf Ihre Anfragen warten, arbeitet OpenClaw autonom. Der vom Entwickler Peter Steinberger erstellte Agent stellt eine Verbindung zu Ihren Messenger-Plattformen her und handelt in Ihrem Namen: Er sendet E-Mails, surft im Internet, verwaltet Dateien, führt Shell-Befehle aus und plant Besprechungen. Dank der dauerhaften Speicherfunktion kann es Ihre Vorlieben lernen und den Kontext über Sitzungen hinweg beibehalten.

Betrachten Sie es als einen persönlichen Assistenten mit Root-Zugriff auf Ihr digitales Leben. Genau diese Fähigkeit machte es gleichzeitig revolutionär und gefährlich. Die gleichen umfassenden Berechtigungen, die OpenClaw wirklich nützlich machten, bedeuteten auch, dass jede Kompromittierung katastrophal sein konnte , ein Muster, das jedem bekannt ist, der beobachtet, wie KI-Codierungstools und Agenten die Softwareentwicklung verändern.

Zeitleiste: Vom Virenhit zum Sicherheitsalbtraum

Die Geschwindigkeit, mit der sich die Sicherheitskrise von OpenClaw entwickelte, ist an sich schon eine Warnung dafür, dass die KI-Einführung die Sicherheitspraktiken übertrifft.

Woche eins: Explosives Wachstum

OpenClaw startete als „Clawdbot“ und hat innerhalb von 24 Stunden 20.000 GitHub-Sterne angehäuft. Am Ende der ersten Woche waren es über 100.000. Entwickler entwickelten benutzerdefinierte „Skills“ , Plugins, die die Fähigkeiten des Agenten erweiterten , und teilten sie auf dem ClawHub-Marktplatz. Die Vibe-Coding-Bewegung erkannte es als ultimativen Produktivitätsmultiplikator an.

Woche zwei: Risse treten auf

• 27., 29. Januar , ClawHavoc: Angreifer verbreiteten 341 bösartige Fähigkeiten über ClawHub, etwa 12 % des gesamten Marktes. Sie gaben sich als legitime Tools aus, während sie Keylogger oder Atomic Stealer-Malware installierten.
• 29. Januar: Das erste kritische CVE wurde vor der Veröffentlichung gepatcht.
• 30. Januar , CVE-2026-25253: Eine Sicherheitslücke zur Remotecodeausführung mit einem Klick, die nicht validierte URL-Parameter in der Control-Benutzeroberfläche ausnutzt. Sogar Systeme, die nur auf localhost konfiguriert waren, waren anfällig.
• 31. Januar: Censys entdeckte 21.639 öffentlich zugängliche Instanzen, ein Anstieg von etwa 1.000 in nur wenigen Tagen. Durch falsch konfigurierte Systeme gingen API-Schlüssel und OAuth-Tokens verloren.
• 31. Januar , Moltbook-Leak: Eine ungesicherte Datenbank enthüllte 35.000 E-Mail-Adressen und 1,5 Millionen Agent-API-Tokens aus einem sozialen Netzwerk, das ausschließlich für OpenClaw-Agenten erstellt wurde.

Woche drei bis sechs: Krise im großen Ausmaß

Das STRIKE-Team von SecurityScorecard entdeckte schließlich über 135.000 exponierte OpenClaw-Instanzen in 82 Ländern, von denen mehr als 15.000 direkt anfällig für die Ausführung von Remotecode waren. Der schwerwiegendste Fehler mit dem Codenamen ClawJacked (CVE-2026-25253, CVSS 8.8) ermöglichte es Angreifern, jede OpenClaw-Instanz über eine bösartige Webseite zu kapern, indem sie die Standardnetzwerkbindung von 0.0.0.0:18789 (anstelle von localhost) ausnutzten.

Unter den 10.700 Fähigkeiten von ClawHub wurden über 820 bösartige Plugins gefunden , ein Angriff auf die Lieferkette, der die Art von KI-Manipulationsrisiken widerspiegelt, vor denen Forscher in anderen Zusammenhängen gewarnt haben.

Der Meta Researcher-Vorfall

Die Geschichte, die die Risiken von OpenClaw einer breiteren Öffentlichkeit bekannt machte, kam aus einer unerwarteten Quelle. Ein Sicherheitsforscher von Meta AI hat auf X über einen OpenClaw-Agenten gepostet, der in seinem Posteingang „durcheinander geraten“ ist. Wie TechCrunch feststellte, sieht der Beitrag „wie eine Satire aus. Aber es ist tatsächlich eine Warnung davor, was schief gehen kann, wenn man einem KI-Agenten Aufgaben anvertraut.“

Der Agent, dem umfangreiche E-Mail-Berechtigungen erteilt worden waren, begann, autonome Aktionen durchzuführen, die der Forscher nicht beabsichtigt hatte , Antworten zu senden, Nachrichten zu organisieren und zu entscheiden, was wichtig war. Dies war eine anschauliche Demonstration, wie überprivilegierte autonome Agenten auch ohne böswillige Absicht Chaos verursachen können. Es ist das gleiche grundlegende Problem, das Prompt-Injection-Angriffe so gefährlich macht: KI-Systeme handeln nach Anweisungen, denen sie nicht vertrauen sollten.

Warum das über OpenClaw hinaus wichtig ist

OpenClaw ist nicht nur eine warnende Geschichte über ein einzelnes Projekt. Es ist der erste groß angelegte Stresstest für eine ganze Kategorie: Agentische KI , Systeme, die nicht nur Fragen beantworten, sondern in der realen Welt agieren.

Das Schatten-KI-Problem

Das Forschungsteam für KI-Bedrohungen und Sicherheit von Cisco bezeichnete OpenClaw als „bahnbrechend“ in Bezug auf die Fähigkeiten, aber als „absoluten Albtraum“ für die Sicherheit. Das Kernproblem: Mitarbeiter gewährten KI-Agenten Zugriff auf SaaS-Unternehmensanwendungen , Slack, Google Workspace, E-Mail-Systeme , ohne Sichtbarkeit für das Sicherheitsteam. Kompromittierte Agenten erben alle damit verbundenen Berechtigungen und den dauerhaften Zugriff auf sensible Daten.

Dies ist das „Schatten-KI“-Problem, das Sicherheitsteams befürchtet haben. Herkömmliche Sicherheitstools können das Verhalten von Agenten nicht überwachen, sodass Unternehmen für laterale Bewegungen und Datenexfiltration blind sind. Wie der CEO von Anthropic warnte, geht die aktuelle Phase der Mensch-KI-Zusammenarbeit zu Ende , und die für diese Phase entwickelten Sicherheitsmodelle sind für das Kommende unzureichend.

Supply-Chain-Angriffe auf KI-Marktplätze

Die über 820 bösartigen Fähigkeiten auf ClawHub stellen einen neuen Angriffsvektor dar: Angriffe auf die Lieferkette durch KI-Agenten. Diese Plugins nutzten irreführende Namen und Dokumentationen zur Verbreitung von Malware und umgingen dabei herkömmliche Systeme zur Verhinderung von Datenverlust vollständig. Dies ähnelt NPM- oder PyPI-Supply-Chain-Angriffen, die das Entwickler-Ökosystem geplagt haben, weist jedoch einen entscheidenden Unterschied auf: Diese Plugins erhalten Zugriff auf weit mehr als nur den Quellcode. Sie können Ihre E-Mails lesen, auf Ihre Dateien zugreifen und in Ihrem Namen Befehle ausführen.

Für Unternehmen, die auf KI aufbauen, verändert dies das Bedrohungsmodell grundlegend. Da sich der Wettlauf um die Entwicklung von KI-Agenten in der gesamten Branche beschleunigt, sollte der Angriff auf den ClawHub-Marktplatz ein Weckruf für die Sicherheitsfolgen von Agenten-Ökosystemen sein.

Reaktion: Schnelle Flecken, langsamer kultureller Wandel

Man muss dem OpenClaw-Entwicklungsteam zugute halten, dass es schnell reagiert hat. ClawJacked wurde innerhalb von 24 Stunden nach der Offenlegung behoben. Version 2026.2.26 enthielt Korrekturen für über 40 Schwachstellen. Das Team arbeitete mit VirusTotal für die Prüfung bösartiger Fähigkeiten zusammen und Cisco veröffentlichte einen Open-Source-Skill-Scanner zur Erkennung bösartiger Agentenfähigkeiten.

Aber das Patchen von Schwachstellen ist eine Sache. Die Sicherheitskultur von über 180.000 Entwicklern zu verändern, die einen Agenten mit Root-Zugriff auf ihr digitales Leben eingesetzt haben, ist etwas ganz anderes. Auf vielen der 135.000 exponierten Instanzen werden immer noch veraltete Versionen ausgeführt. Die Kluft zwischen Einführungsgeschwindigkeit und Sicherheitsbewusstsein bleibt die grundlegende Herausforderung von OpenClaw.

Fünf Lektionen für das Zeitalter der Agenten-KI

1. Die geringsten Rechte sind nicht verhandelbar. Ein KI-Agent benötigt nicht Zugriff auf alles. Beschränken Sie die Berechtigungen auf das für jede Aufgabe erforderliche Minimum. Der E-Mail-Vorfall des Meta-Forschers ereignete sich, weil der Agent einen umfassenderen Zugriff als nötig hatte.
2. Standardkonfigurationen müssen sicher sein. OpenClaws Standardbindung an 0.0.0.0 anstelle von localhost machte Tausende von Instanzen verfügbar. Sichere Standardeinstellungen retten Leben , oder zumindest Daten.
3. Agentenmarktplätze benötigen eine Sicherheitsüberprüfung. Der ClawHub-Angriff auf die Lieferkette war vorhersehbar. Jeder Marktplatz für KI-Agent-Plugins muss über automatisierte und manuelle Sicherheitsüberprüfungsprozesse verfügen, bevor Plugins Benutzer erreichen.
4. Sichtbarkeit ist eine Voraussetzung. Wenn Ihr Sicherheitsteam nicht sehen kann, was KI-Agenten in Ihrem Unternehmen tun, haben Sie einen blinden Fleck, den keine Firewall beheben kann. Investieren Sie in die Beobachtbarkeit des Agentenverhaltens.
5. Einführungsgeschwindigkeit ≠ Sicherheitsgeschwindigkeit. OpenClaw wuchs schneller als jedes andere Projekt in der Geschichte von GitHub. Seine Sicherheitspraktiken wurden nicht im gleichen Tempo skaliert. Dieses Missverhältnis , zwischen Geschäftsdruck auf Ergebnisse und der langsameren Arbeit beim Aufbau sicherer Systeme , definiert das Zeitalter der Agenten-KI.

Antwort der Branche: Ratlosigkeit, Google und der Wettlauf um sichere Agenten

Die Sicherheitskrise von OpenClaw beschleunigte den Wettlauf um die Entwicklung sicherer Alternativen. Perplexity stellte seinen „Personal Computer“ vor , ein lokales KI-Agentensystem, das auf einem dedizierten Mac mini läuft und ausdrücklich als kontrollierte, sichere Alternative positioniert ist. Google und andere große Player investieren ebenfalls stark in Agentensicherheits-Frameworks.

Die Lehre von DeepMind und anderen ist klar: Der Wert der Agenten-KI ist unbestreitbar, aber die Unternehmen, die das Sicherheitsproblem zuerst lösen, werden gewinnen. OpenClaw hat die Nachfrage bewiesen. Jetzt muss die Branche beweisen, dass sie diese Nachfrage sicher erfüllen kann.

Die Ironie von OpenClaw ist, dass es hervorragend funktioniert. Es zeigte sich, dass autonome KI-Agenten kein futuristisches Konzept sind , sie sind da, sie sind nützlich und Entwickler wollen sie unbedingt. Aber es zeigte auch, dass unsere Sicherheitsmodelle, die für eine Welt entwickelt wurden, in der alle Entscheidungen von Menschen getroffen werden, grundsätzlich nicht auf Agenten vorbereitet sind, die unabhängig agieren. Diese Lücke , zwischen was KI kann und was wir ihr sicher erlauben können , ist die entscheidende Herausforderung des Jahres 2026.

Was Sie sehen sollten

Das Team von OpenClaw verbessert aktiv die Sicherheit und das Projekt bleibt einer der leistungsfähigsten Open-Source-KI-Agenten. Aber die umfassenderen Fragen, die dadurch aufgeworfen wurden , zu Agentenberechtigungen, Marktvertrauen und Unternehmenstransparenz , sind noch lange nicht gelöst. Da KI-Systeme leistungsfähiger werden und Modelle wie Gemini 3 die Grenzen der Agentenfähigkeiten erweitern, werden die Sicherheitslektionen von OpenClaw nur noch relevanter.

Die Ära der Agenten-KI ist angebrochen. Ob es sicher ankommt, hängt davon ab, ob wir aus dem Beispiel von OpenClaw lernen , oder es in viel größerem Maßstab und mit weitaus höheren Einsätzen wiederholen.

Häufig gestellte Fragen

Was ist OpenClaw und warum ist es so beliebt geworden?

OpenClaw ist ein autonomer Open-Source-KI-Agent, der E-Mails, Kalender und Dateien verwaltet und Shell-Befehle über WhatsApp, Slack und Telegram ausführt. Es hat in nur wenigen Tagen 183.000 GitHub-Sterne gesammelt, weil es Entwicklern einen wirklich nützlichen autonomen Assistenten bot.

Welche Sicherheitsprobleme wurden in OpenClaw entdeckt?

Forscher fanden 512 Schwachstellen, über 820 bösartige Plugins und 135.000 exponierte Instanzen in 82 Ländern. Der kritischste Fehler (ClawJacked) ermöglichte es Angreifern, Instanzen über eine bösartige Webseite zu kapern.

Was ist agentische KI und warum ist sie gefährlich?

Agentic AI ist ein System, das nicht nur Fragen beantwortet, sondern unabhängig in der realen Welt agiert , E-Mails sendet, Befehle ausführt und Dateien verwaltet. Die Gefahr besteht darin, dass ein kompromittierter Agent umfassende Berechtigungen erben und dauerhaften Zugriff auf vertrauliche Daten erhalten kann.

Wie können Sie sich vor Sicherheitsrisiken durch KI-Agenten schützen?

Das wichtigste Prinzip ist die geringste Berechtigung , erteilen Sie einem KI-Agenten nur die Berechtigungen, die er für eine bestimmte Aufgabe benötigt. Wichtig sind außerdem sichere Standardkonfigurationen, Plugin-Sicherheitsüberprüfungen und die Überwachung des Agentenverhaltens.

Was ist ClawHub und warum war es anfällig?

ClawHub ist der Plugin-Marktplatz von OpenClaw, auf dem Entwickler Fähigkeiten (Plugins) austauschen. Von 10.700 Fähigkeiten erwiesen sich über 820 als bösartig , sie gaben sich als legitime Tools aus, während sie Keylogger oder Malware verbreiteten. Der Hauptgrund dafür war das Fehlen eines automatisierten Sicherheitsüberprüfungsprozesses.