OpenClaw installieren und einrichten: Sicherheit und Kosten

OpenClaw ist ein quelloffener persönlicher KI-Agent, den Sie selbst betreiben: Sie schreiben ihm über WhatsApp, Telegram oder Slack, und er sortiert Ihre E-Mails, recherchiert, liest und schreibt Dateien und erledigt Aufgaben. Je mehr er kann, desto mehr müssen Sie vorher entscheiden. Die Befehle ändern sich von Version zu Version (sie stehen in der offiziellen Installationsanleitung), deshalb geht es in diesem Leitfaden um die Entscheidungen: wo OpenClaw läuft, was Sie anbinden, wie Sie es absichern, was es kostet und wer es einrichten sollte.

Das Wichtigste

OpenClaw ist kostenlose Software unter MIT-Lizenz, ohne Bezahlversion und ohne offiziellen gehosteten Dienst. Die eigentlichen Entscheidungen sind, wo es läuft (Ihr Laptop, ein eigenes Gerät oder ein Cloud-Server), welches Modell und welche Chat-Apps es nutzt und wie viel Zugriff es bekommt. Starten Sie abgeschottet und öffnen Sie schrittweise: Gateway nicht ins öffentliche Internet stellen, Kopplung für neue Kontakte verlangen, Sandbox aktivieren, eigene Konten für den Agenten anlegen und alles freigeben, was er versendet. Die Kosten entstehen vor allem durch die Modellnutzung und die Maschine, auf der er läuft.

Was ist OpenClaw?

OpenClaw ist ein Open-Source-KI-Assistent, der auf Ihrem eigenen Computer oder Server läuft und über die Chat-Apps mit Ihnen spricht, die Sie ohnehin nutzen. Laut dem offiziellen GitHub-Repository (Englisch) verbindet er sich mit WhatsApp, Telegram, Slack, Discord, iMessage, Microsoft Teams und mehr als 20 weiteren Kanälen, dazu gibt es Begleit-Apps für macOS, iOS, Android, Windows und Linux. Ein Gateway kann eine einzelne Person oder ein ganzes Team bedienen.

Das Repository beantwortet auch die üblichen Fragen: OpenClaw steht unter MIT-Lizenz, wurde von Peter Steinberger und der Community entwickelt, wird von der OpenClaw Foundation betreut, einer unabhängigen gemeinnützigen Organisation, und hat keine Bezahlversion, keinen gehosteten Dienst und keinen Token. Zustand, Gedächtnis und Zugangsdaten bleiben auf Ihrer Hardware, während Ihre Eingaben an den Modellanbieter und die Chat-Plattformen gehen, die Sie konfigurieren. Das Maskottchen ist übrigens ein Weltraum-Hummer (🦞), weshalb chinesischsprachige Nutzer OpenClaw einfach „den Hummer“ nennen.

Was kann OpenClaw, und für wen eignet es sich?

OpenClaw eignet sich für vielbeschäftigte Menschen, die etwas Konfiguration nicht scheuen, etwa Gründer, Führungskräfte und Berater. Die OpenClaw-Website (Englisch) nennt das Sortieren des Posteingangs, das Versenden von E-Mails, die Kalenderverwaltung und den Online-Check-in für Flüge, außerdem Surfen im Web, das Ausfüllen von Formularen, das Lesen und Schreiben von Dateien und das Ausführen von Shell-Befehlen. Die offiziellen FAQ (Englisch) nennen fünf Alltagsanwendungen:

Persönliche Briefings zu Posteingang, Kalender und Nachrichten.
Recherche und Entwürfe für Zusammenfassungen, E-Mails und Dokumente.
Erinnerungen und Nachfassen nach Zeitplan.
Browser-Automatisierung: Formulare, Datensammlung, wiederkehrende Web-Aufgaben.
Geräteübergreifende Koordination: Aufgabe vom Handy schicken, das Gateway führt sie auf einem Server aus, das Ergebnis kommt in den Chat.

OpenClaw ist kein öffentlicher Kundenservice-Bot: Ein Gateway ist für eine Vertrauensgrenze gedacht (Sie selbst oder ein Team, dessen Mitglieder einander vertrauen); wer Fremden antworten will, braucht eine eigene Lösung für KI-Kundenservice. Es ist auch kein Selbstläufer: Dieselben FAQ empfehlen, bei allem, was nach außen geht, einen Menschen einzubinden. Lassen Sie OpenClaw Entwürfe schreiben, freigeben tun Sie. Agenten für feste Geschäftsprozesse, etwa die Nachverfolgung von Anfragen, behandelt unser Leitfaden zu KI-Agenten für Unternehmen.

OpenClaw installieren: Laptop, eigenes Gerät, VPS oder Ein-Klick-Hosting

Installieren Sie OpenClaw auf einem VPS oder einem eigenen Gerät, wenn es rund um die Uhr erreichbar sein soll; zum Ausprobieren genügt Ihr eigener Computer. Die offiziellen FAQ zu Anbietern und Hosting (Englisch) benennen die Vor- und Nachteile offen:

Ihr eigener Computer: keine Serverkosten, direkter Zugriff auf lokale Dateien, ein sichtbarer Browser. Ruhezustand, Netzabbrüche und Betriebssystem-Updates unterbrechen ihn aber. Gut zum Testen.
Ein eigenes Gerät (Mac mini, Heimserver, Raspberry Pi): immer an und getrennt von Ihrem Arbeitsrechner. Die FAQ nennen einen eigenen Host „nicht erforderlich, aber für Zuverlässigkeit und Isolation empfohlen“. Einen Mac brauchen Sie nur für iMessage oder andere reine macOS-Werkzeuge.
Ein VPS: immer an, mit stabiler Verbindung, und Chat-Kanäle funktionieren vom Server aus problemlos. Er läuft aber meist ohne Bildschirm, der Dateizugriff erfolgt aus der Ferne, und Updates laufen über SSH. Dokumentiertes Minimum sind 1 vCPU und 1 GB RAM, empfohlen werden 2 GB oder mehr, am besten getestet ist Ubuntu LTS.
Ein-Klick-Vorlagen und verwaltete Plattformen: Die offizielle Seite zu Linux-Servern nennt Plattformen mit Ein-Klick-Einrichtung wie Railway und Northflank sowie Anleitungen für DigitalOcean, Hetzner, Oracle Cloud und andere. Das ist der schnellste Weg, aber es sind Drittplattformen: Das OpenClaw-Projekt hostet selbst nichts, Ihre Konfiguration, Chats und Zugangsdaten liegen auf dieser Plattform, und für die Sicherheit bleiben Sie verantwortlich.

Wo auch immer OpenClaw läuft, dieselbe Seite beschreibt die sichere Standardeinstellung: das Gateway an die Loopback-Schnittstelle gebunden lassen (nur lokale Verbindungen), es über einen SSH-Tunnel oder Tailscale erreichen, statt es ins Internet zu öffnen, und Zustand und Arbeitsbereich regelmäßig sichern.

Welche Modelle und Chat-Apps kann OpenClaw nutzen?

OpenClaw ist an keinen Modellanbieter gebunden, und seine Kanäle decken die meisten großen Chat-Apps ab. Das offizielle Anbieterverzeichnis umfasst Anthropic (Claude), OpenAI, Google Gemini, Mistral, DeepSeek, Qwen Cloud, Moonshot AI (Kimi) und viele mehr, dazu lokale Modelle über Ollama oder LM Studio. Zwei offizielle Warnungen sind wichtig:

Agenten, die handeln, brauchen starke Modelle. Der Leitfaden zu Prompt-Injection (Englisch) hält fest, dass kleinere, günstigere Modelle anfälliger für Tool-Missbrauch und das Kapern von Anweisungen sind, und rät davon ab, sie für Agenten einzusetzen, die Tools ausführen oder auf Dateien und Netzwerke zugreifen.
Lokal ist nicht automatisch sicherer. Die Seite zu lokalen Modellen weist darauf hin, dass lokale Modelle die Sicherheitsfilter gehosteter Anbieter nicht mitbringen. Dass die Daten auf Ihrem Rechner bleiben, ist ein echter Vorteil, verlangt aber engere Berechtigungen.

Die Kanalliste umfasst WhatsApp, Telegram, Slack, Discord, Signal, iMessage, Microsoft Teams, Google Chat, LINE und Matrix, dazu Feishu und WeChat (Letzteres über ein externes, von Tencent gepflegtes Plugin, nur für Direktchats). Die Dokumentation empfiehlt, mit Telegram zu beginnen, das nur ein Bot-Token braucht. Bringen Sie einen Kanal zum Laufen, bevor Sie den nächsten hinzufügen, und wenn OpenClaw in Ihrem Namen Nachrichten an andere schreiben soll, geben Sie ihm eine eigene Nummer oder ein eigenes Konto.

OpenClaw mit Telegram und WhatsApp verbinden

Telegram ist der Kanal, der sich am schnellsten verbinden lässt: Sie legen einen Bot an und geben OpenClaw dessen Token. WhatsApp erfordert mehr Sorgfalt, weil sich OpenClaw als verknüpftes Gerät bei einem normalen WhatsApp-Konto anmeldet. Die offizielle Telegram-Einrichtungsanleitung (Englisch) und die Seite zum WhatsApp-Kanal beschreiben die aktuellen Schritte; kurz zusammengefasst:

Telegram: Schreiben Sie @BotFather, führen Sie /newbot aus und tragen Sie das Token in die Konfiguration von OpenClaw ein. Ihre erste Nachricht an den Bot liefert einen Kopplungscode, den Sie auf dem Gateway mit openclaw pairing approve telegram <CODE> freigeben; die Codes verfallen nach einer Stunde. In Gruppen verbirgt der Privatsphäre-Modus von Telegram die meisten Nachrichten vor Bots: Schalten Sie ihn mit /setprivacy aus oder machen Sie den Bot zum Gruppenadministrator, entfernen Sie ihn danach aus der Gruppe und fügen Sie ihn erneut hinzu.
WhatsApp: OpenClaw verbindet sich über WhatsApp Web als verknüpftes Gerät, nicht über die offizielle WhatsApp Business Platform von Meta. Sie melden sich mit openclaw channels login --channel whatsapp an, indem Sie einen QR-Code scannen; planen Sie auf einem Server also ein, wie der live angezeigte Code auf Ihr Handy gelangt. Die Dokumentation empfiehlt eine eigene Nummer, eine private Nummer funktioniert aber auch; standardmäßig müssen unbekannte Absender per Kopplung freigegeben und Gruppen auf eine Zulassungsliste gesetzt werden.

Weil der WhatsApp-Kanal über ein normales Konto läuft, sollten Sie ihn auf die Nutzung als persönlicher Assistent beschränken. WhatsApp kann Konten, die gegen seine Bedingungen verstoßen, deaktivieren oder sperren, und seine Nutzungsbedingungen für Nutzer außerhalb Europas nennen Massennachrichten und automatisierte Nachrichten als unzulässig. Kunden in großem Umfang anzuschreiben gehört deshalb auf die offizielle Business-Plattform, wie unser Leitfaden zum KI-Chatbot für den Kundenservice erklärt. Die drei Wege zu einem KI-Agenten für Kundengespräche auf WhatsApp vergleicht unser Beitrag KI-Agent für WhatsApp Business.

OpenClaw absichern: abgeschottet starten, dann öffnen

Die Sicherheit von OpenClaw hängt an zwei Fragen: Wer darf ihm Anweisungen geben, und worauf darf er zugreifen? OpenClaw kann Dateien lesen und schreiben, E-Mails bearbeiten und Befehle ausführen; eine schlecht konfigurierte Instanz kann deshalb so viel Schaden anrichten wie ein gestohlenes Konto. Der offizielle Sicherheitsleitfaden geht von vorsichtigen Standardeinstellungen aus: Bei einer normalen Installation nimmt das Gateway nur lokale Verbindungen an, und auf den meisten Kanälen erhält ein unbekannter Absender einen Kopplungscode, statt dass seine Nachricht verarbeitet wird. Darauf bauen Sie auf:

Minimale Rechte, menschliche Freigabe. Aktivieren Sie nur die Tools und Konten, die nötig sind, zunächst nur lesend. Die OWASP Top 10 für LLM-Anwendungen (2025) führen Excessive Agency (übermäßige Handlungsfreiheit, englisch) als LLM06, verursacht durch zu viele Funktionen, Rechte und zu viel Autonomie, und empfehlen, offene Tools wie Shell-Ausführung zu vermeiden, minimale Rechte zu vergeben und folgenreiche Aktionen von einem Menschen freigeben zu lassen. Bei OpenClaw heißt das: E-Mails oder Nachrichten senden, bezahlen und Dateien löschen erst nach Ihrer Bestätigung.
Isolation. Das Sandboxing von OpenClaw ist standardmäßig deaktiviert; schalten Sie es ein, damit Tools in einer isolierten Umgebung laufen und der mögliche Schaden kleiner bleibt. Nutzen Sie ein eigenes Gerät, eine VM oder einen eigenen Betriebssystem-Benutzer und ein eigenes Browserprofil. Die offiziellen Sicherheits-FAQ (Englisch) empfehlen außerdem eigene E-Mail- und GitHub-Konten und Telefonnummern für den Bot, damit sich Zugriffe leicht entziehen lassen, und raten davon ab, ihm volle Autonomie über Ihre privaten Nachrichten zu geben.
Geheimnisse. API-Schlüssel und Kanal-Tokens liegen auf dem Gateway-Host. Die Dokumentation zur Geheimnisverwaltung warnt, dass Zugangsdaten im Klartext in Dateien, die der Agent einsehen kann, etwa openclaw.json oder .env, für ihn lesbar bleiben; mit SecretRefs lassen sie sich aus einem externen Secret-Manager beziehen. Halten Sie Geheimnisse aus Prompts heraus, schränken Sie Dateirechte ein, verschlüsseln Sie die Festplatte des Hosts und tauschen Sie jeden Schlüssel aus, bei dem Sie ein Leck vermuten.
Prompt-Injection. OWASP stuft Prompt-Injection (Englisch) als LLM01 ein. Die indirekte Form tritt auf, wenn externe Inhalte, die das Modell liest, etwa Webseiten oder Dateien, sein Verhalten verändern. Der Prompt-Injection-Leitfaden von OpenClaw ist eindeutig: Selbst wenn nur Sie dem Bot schreiben können, können die Seiten, E-Mails, Dokumente und Anhänge, die er liest, schädliche Anweisungen enthalten. Die Empfehlung: Ein reiner Lese-Agent ohne Tools fasst nicht vertrauenswürdige Inhalte für den Hauptagenten zusammen, Websuche und Browser bleiben für Agenten mit Tools aus, solange sie nicht gebraucht werden, und Links und Anhänge gelten grundsätzlich als feindlich.
Skills und Plugins. Laut den Sicherheits-FAQ sind Skills aus ClawHub und Plugins von Drittanbietern wie Code zu behandeln, dem Sie bewusst vertrauen: vorher lesen, vertrauenswürdige Autoren und fixierte Versionen bevorzugen und ihnen keinen breiten Zugriff auf Dateien, Shell, Browser oder Geheimnisse geben.

Führen Sie nach jeder Konfigurationsänderung das eingebaute openclaw security audit aus. Halten Sie im Team die dokumentierte Grenze ein: ein Gateway für Menschen, die einander vertrauen, getrennte Gateways für alle anderen, und keine Vermischung von privaten und geschäftlichen Konten in einer Laufzeitumgebung.

Was kostet OpenClaw?

Die Software ist kostenlos; Sie zahlen für das Modell, die Maschine und die Pflege.

Modellnutzung: API-Zugang mit Abrechnung pro Token oder ein Abo beim Anbieter. Agenten verbrauchen mehr Tokens als ein normaler Chat, weil jeder Durchlauf Kontext, Tool-Definitionen und Verlauf mitschickt, und geplante Aufgaben laufen weiter, auch wenn Sie nicht hinsehen.
Server oder Hardware: eine monatliche VPS-Rechnung oder ein eigenes Gerät plus Strom; lokale Modelle brauchen Hardware mit ausreichend Speicher.
Dienste von Drittanbietern: etwa SMS über Twilio, APIs für die Websuche oder der Tarif einer Hosting-Plattform.
Wartung: Updates, Sicherheitsprüfungen und Backups, bezahlt mit Zeit oder Servicegebühren.

Die Nutzungserfassung von OpenClaw bietet /usage cost im Chat, eine lokale Kostenübersicht aus den Sitzungsprotokollen, und eine Nutzungsansicht im Control UI. Setzen Sie zusätzlich Budgetgrenzen beim Modellanbieter.

OpenClaw selbst einrichten oder einrichten lassen?

Richten Sie OpenClaw selbst ein, wenn Sie mit Kommandozeile und Servern vertraut sind und es privat ausprobieren, ohne geschäftliche E-Mails oder sensible Dateien. Holen Sie sich erfahrene Hilfe, wenn es dauerhaft auf einem Server laufen, mehrere Kanäle anbinden, auf Firmen-E-Mails oder Geschäftssysteme zugreifen oder von einem Team genutzt werden soll. Der Einrichtungsassistent prüft den Modellzugang, legt den Arbeitsbereich an und konfiguriert das Gateway; die Installation ist also nicht der schwierige Teil, sondern Berechtigungen, Geheimnisse und laufende Updates.

Wer auch immer es einrichtet: Bei der Übergabe sollten Sie diese Fragen beantworten können:

Auf welcher Maschine läuft OpenClaw, und wer hat Administratorzugriff?
Welche Tools und Konten sind aktiviert, und welche Aktionen brauchen Ihre Freigabe?
Wo liegen die Geheimnisse, und wie wird aktualisiert und gesichert?
Laufen alle Konten, Schlüssel und Server auf Ihren Namen?

Häufige Fragen

Ist OpenClaw kostenlos?

Ja. OpenClaw ist Open Source unter MIT-Lizenz, ohne Bezahlversion und ohne offiziellen gehosteten Dienst. Sie zahlen für die Modellnutzung (API oder Abo), den Server oder das Gerät, auf dem es läuft, und für zusätzliche Dienste von Drittanbietern; eine professionelle Einrichtung und Wartung kosten extra.

Ist OpenClaw sicher?

OpenClaw kann sicher betrieben werden, wenn es sorgfältig konfiguriert ist: Die meisten Risiken entstehen durch Konfiguration und Nutzung. Weil OpenClaw Dateien lesen und schreiben, E-Mails bearbeiten und Befehle ausführen kann, können ein aus dem Internet erreichbares Gateway, offene Direktnachrichten, weitreichende Rechte oder eine Webseite mit versteckten Anweisungen zu Datenlecks oder unerwünschten Aktionen führen. Minimale Rechte, Sandboxing, eigene Konten, Freigaben für heikle Aktionen und das offizielle Sicherheitsaudit verringern dieses Risiko deutlich.

Brauche ich einen Mac mini, um OpenClaw zu betreiben?

Nein. Die offiziellen FAQ nennen den Mac mini einen beliebten Dauerbetriebs-Host, aber ein kleiner VPS, ein Heimserver oder ein Gerät der Raspberry-Pi-Klasse funktionieren ebenso, und das Installationsprogramm unterstützt macOS, Linux und Windows. Einen Mac brauchen Sie nur für iMessage oder andere reine macOS-Werkzeuge.

UsualMatrix installiert und konfiguriert OpenClaw für Einzelpersonen und Teams: wo es läuft, welche Modelle und Chat-Apps es nutzt, Berechtigungen und Geheimnisse, welche Aktionen Ihre Freigabe brauchen und wie Sie es im Alltag einsetzen. Wir arbeiten mit Kunden weltweit und kommunizieren auf Chinesisch, Spanisch oder Englisch. Mehr dazu auf unserer Seite zu KI-Lösungen, oder schreiben Sie uns.

Hinweis: Dieser Beitrag gibt den Stand der offiziellen OpenClaw-Dokumentation und des GitHub-Repositorys vom 3. Oktober 2026 wieder. Das Projekt entwickelt sich schnell; prüfen Sie die aktuelle offizielle Dokumentation für Standardeinstellungen, Kanäle und Installationsschritte.