OpenClaw ist ein Experiment. Dein Unternehmen ist keins.

Stand: September 2026

Ich baue seit Jahren lokale, autonome Agenten. Ich bin der Letzte, der jemandem sagt, er solle die Finger von Open Source lassen. Und trotzdem: Was gerade in deutschen Firmennetzen passiert, ist keine Innovation. Es ist unversicherte Schadensübernahme mit guter Laune.

Was OpenClaw ist

Ein Gateway, das auf dem eigenen Rechner läuft und Messenger wie Signal, Telegram, Slack, Teams oder WhatsApp mit einem Agenten verbindet. Der Agent führt Aufgaben aus, greift auf lokale Dateien zu, arbeitet rund um die Uhr und schreibt sich neue Fähigkeiten selbst. MIT-Lizenz, kein Abo, eigener API-Key. Gestartet im November 2025 von Peter Steinberger, zweimal umbenannt, seit dessen Wechsel zu OpenAI von einer Foundation getragen. Eines der am schnellsten gewachsenen Projekte auf GitHub.

Warum ich es gut finde

Weil die Architekturrichtung stimmt. Local-first, eigene Schlüssel, eigene Konfiguration, kein gehosteter Zwischenhändler, der mitliest. Das ist im Kern derselbe Gedanke, an dem ich unter dem Begriff Sovereign Continuity arbeite. OpenClaw ist das Gegenmodell zum SaaS-Agenten, der nach Hause telefoniert, und dafür gebührt dem Projekt Respekt.

Genau das macht es am Arbeitsplatz gefährlich. Nicht weil es schlecht wäre. Weil es gut genug ist, dass Menschen ihm vertrauen, und so gebaut, dass dieses Vertrauen nicht überprüfbar ist.

Fünf Dinge, die im Betrieb schiefgehen

1. Der Eingang steht offen. Der Steuerkanal ist ein Messenger. Jeder, der dir schreiben kann, kann versuchen, deinem Agenten zu schreiben. Prompt Injection ist hier kein Laborszenario, sondern der Normalbetrieb: Ein Agent, der eine Mail liest, einen Anhang öffnet oder eine Webseite abruft, hat fremde Anweisungen bereits entgegengenommen. Die Frage ist nur, ob er sie befolgt.
2. Der Agent bist du. Er läuft unter deinem Benutzerkonto, mit deinen SSH-Keys, deinem VPN, deinen Sessions, deinen gemounteten Laufwerken. Keine eigene Identität, keine eigene Berechtigungsgrenze. Der Schadensradius ist exakt das, was du darfst. In den meisten Unternehmen ist das erheblich mehr, als der Betroffene glaubt.
3. Es gibt kein Artefakt zum Prüfen. Ein Agent, der sich selbst neue Skills schreibt, ist morgen nicht mehr das, was du gestern freigegeben hast. Change Management, Vier-Augen-Prinzip, Release, Rollback: Diese Verfahren sind alle um stabile Artefakte herum definiert. Es gibt keine Version, die du abnehmen kannst.
4. Die Lieferkette ist ein Marktplatz. Plugin-Ökosystem, Community-kuratiert. Jedes dieser Plugins läuft mit den Rechten aus Punkt 2.
5. Hinterher kann niemand rekonstruieren, was passiert ist. Das ist der am meisten unterschätzte Punkt. Die interessante Frage im Ernstfall ist nicht, ob der Agent Schaden angerichtet hat, sondern ob du beweisen kannst, was er getan hat. Ohne manipulationssicheres, externes Protokoll gibt es keine Zuordnung, keine Incident-Rekonstruktion, keine Beweislage. Das fällt niemandem auf, bis es das erste Mal gebraucht wird.

Der deutsche Teil, den alle überspringen

DSGVO. Personenbezogene Daten fließen an eine Modell-API. Ohne Auftragsverarbeitungsvertrag, ohne Eintrag im Verzeichnis von Verarbeitungstätigkeiten, ohne dokumentierte technische und organisatorische Maßnahmen. Das ist keine Grauzone, das ist schlicht nicht vorhanden.

BetrVG § 87 Abs. 1 Nr. 6. Ein System, das objektiv geeignet ist, Verhalten oder Leistung von Beschäftigten zu überwachen, ist mitbestimmungspflichtig. Ein Agent, der Teamchats liest, zusammenfasst und bewertet, erfüllt das mühelos. Betriebsrat nicht gefragt, Einführung unwirksam.

NIS2 und KRITIS-Dachgesetz. Risikomanagement ist Leitungsaufgabe, mit persönlicher Verantwortung der Geschäftsführung. Ein undokumentierter Agent mit Shell-Zugriff auf einem Firmengerät ist das Lehrbuchbeispiel für das, was dieses Regime adressiert.

AI Act. Die Pflicht zur KI-Kompetenz trifft Betreiber, nicht nur Anbieter. “Ein Kollege hat das mal installiert” ist keine Schulung.

Nichts davon ist ein Argument gegen Agenten. Es ist ein Argument gegen Agenten ohne Aktenlage.

Der eigentliche Unterschied

Ein Experiment darf scheitern. Das ist sein Zweck. Es ist definiert durch vier Eigenschaften: begrenzt, beobachtet, umkehrbar, und die Kosten des Scheiterns trägt niemand außer dir.

Produktion ist das Gegenteil. Sie darf nicht scheitern, und die Kosten des Scheiterns tragen andere. Kunden, Kollegen, der Betriebsrat, am Ende der Versicherer.

OpenClaw auf meinem Rechner zu Hause ist ein Experiment. Dasselbe Binary auf einem Firmenlaptop mit Domänenanmeldung ist Produktion. Die Software ändert sich nicht. Die Haftung schon.

Wenn du es trotzdem willst, und du willst es

Acht Punkte. Nichts davon ist exotisch.

1. Eigene Identität. Eigener Service-Account, eigene VM oder eigenes Gerät. Niemals die Benutzersitzung eines Mitarbeiters.
2. Least Privilege, explizit. Gescopte Token mit Ablaufdatum. Kein Admin, keine Wildcards, kein “Lesezugriff auf alle Repos”.
3. Egress-Kontrolle. Ausgehender Verkehr auf Allowlist. Ein Agent, der überall hin darf, kann auch alles hinaustragen.
4. Kein Schreibzugriff auf Produktion. Lesen ist billig, Schreiben ist teuer. Alles Irreversible geht über eine menschliche Freigabe.
5. Eingefrorene Skills. Geprüft, gepinnt, versioniert. Selbstmodifikation gehört in die Sandbox, nicht in die Betriebsumgebung.
6. Getrennter Steuerkanal. Nicht das Postfach, das externe Mails empfängt. Nicht der Gruppenchat, in den Fremde schreiben können.
7. Lückenloses, externes Protokoll. Jeder Prompt, jeder Tool-Call, jedes Ergebnis, append-only in ein System geschrieben, das der Agent selbst nicht erreichen kann. Hier scheitern die meisten Setups, und dieser Punkt entscheidet, ob ein Vorfall erklärbar oder nur peinlich ist.
8. Ein Blatt Papier. Wer hat es freigegeben, was darf es, wer schaltet es ab. Wenn das nicht auf eine Seite passt, ist es nicht betriebsbereit.

Das ist dieselbe Disziplin, die man jedem Prozess mit Shell-Zugriff angedeihen lässt, den man nicht selbst geschrieben hat. Wir vergessen sie nur, weil dieser hier spricht.

Schluss

Das Projekt und seine Community haben Bemerkenswertes gebaut. Das Problem ist nicht OpenClaw. Das Problem ist die Lücke zwischen “läuft in fünf Minuten” und “darf hier laufen”. Diese Lücke war schon immer der Ort, an dem Betrieb stattfindet, und sie verschwindet nicht dadurch, dass ein Projekt gute Dokumentation hat.

OpenClaw ist ein Experiment. Dein Unternehmen ist keins.

---

H.G.O. Dillenberg arbeitet seit 1998 in der IT und baut unter dem Begriff Sovereign Continuity lokale, dezentrale Agentensysteme. Zum Thema Protokollierung aus Punkt 7: logpy.com.