Neue Agentensoftware
OpenClaw: Vorsicht vor erheblichen Sicherheitsrisiken beim Einsatz
OpenClaw ist ein aktuell stark diskutiertes Open-Source-Projekt für autonome KI-Agenten, das ursprünglich unter den Namen Clawdbot und Moltbot bekannt wurde. Die Software ermöglicht es, KI-Agenten lokal auf Endgeräten zu betreiben, die über gängige Messenger-Dienste (z. B. WhatsApp, Telegram, Slack) gesteuert werden und eigenständig komplexe Aufgaben ausführen – von der Dateiverwaltung bis hin zur Automatisierung von Workflows („act“ statt „respond“).
Warum OpenClaw so heikel ist
OpenClaw ist deshalb so attraktiv, weil es lokal laufen kann, sich mit gängigen Chat-Kanälen verbinden lässt und dabei wie ein Nutzer handeln kann – inklusive Integrationen in Betriebssysteme, Browser und zahlreiche Apps.
Genau dieses Versprechen („der Agent erledigt Dinge wirklich“) ist zugleich der Kern des Problems: Wenn ein Agent dieselben Rechte hat wie ein Benutzerkonto (oder darüber hinaus), kann er Dateien lesen, Sitzungen im Browser nutzen, Tools ausführen, Zugänge übernehmen und Aktionen anstoßen, ohne dass jede Handlung separat vom Nutzer freigegeben wird.
Bereits Ende Januar wiesen auch Analysten von Gartner darauf hin, dass OpenClaw zwar das große Interesse an agentenbasierter KI deutlich mache, zugleich jedoch erhebliche Sicherheitsrisiken berge. Nach Einschätzung von Gartner wurden zudem bereits Sicherheitslücken identifiziert, die es ermöglichen, innerhalb weniger Stunden nach der Implementierung eine Remote-Codeausführung zu realisieren.
Die wichtigsten Risiken
1. Vollzugriff durch „Agentenrechte“
In der Praxis bedeutet OpenClaw-Nutzung oft: Der Agent erhält breite Berechtigungen, damit er produktiv sein kann (E-Mail, Kalender, Browser, Dateisystem u. v. m.). Dabei besteht die Gefahr, dass kompromittierte oder falsch konfigurierte Systeme alles Mögliche offenlegen können.
2. Externe Steuerbarkeit über Chat-Kanäle
Ein besonders kritischer Punkt ist die Interaktion über Messaging-Plattformen. Es wird bereits u. a. über diesen „Blind Spot“ berichtet: Wenn OpenClaw beispielsweise in einem Gruppen-Chat hängt, kann es passieren, dass der Agent Anweisungen anderer Teilnehmer so behandelt, als kämen sie vom Eigentümer – mit der möglichen Folge, dass Angreifer über einen Kanal, der wie „normale Kommunikation“ aussieht, Agentenaktionen auslösen können.
3. Prompt-Injection und nicht vertrauenswürdige Inhalte als Steueroptionen
Bei agentischen Systemen reicht es nicht, „nur“ das Modell abzusichern: Inhalte aus E-Mails, Webseiten, Dokumenten oder Chats können so formuliert sein, dass der Agent sie als Handlungsanweisung interpretiert (sog. Prompt-Injection).
4. Weitere Risiken
Weitere Risiken bestehen u. a. in Supply-Chain-Risiken bei Nutzung von Erweiterungen, in verwundbaren Standardkonfigurationen und in der nicht genehmigten Nutzung der Software durch Mitarbeitende. Um Ihre Teams zum Thema Cyber-Security-Awareness zu schulen, können Sie diesen Test der IHK Schwaben kostenfrei nutzen.