OpenClaw

Zwei Wochen nach der ersten Folge zum Thema hat das Kind schon
wieder einen neuen Namen: Aus Clawdbot wurde erst Moldbot, jetzt
heißt der kleine "Space Lobster" OpenClaw. Mark hat sich die
Open-Source-Software von Entwickler Peter auf einem Mac Mini
installiert, an Anthropics Opus-Modell angebunden und über Telegram
als Chat-Kanal eingerichtet, inklusive kurioser Anfangsfehler wie
versehentlichem Google-Login über den Browser-Cache und einer
Sprachnachricht, die als Videobild missverstanden wurde. Der
Schwerpunkt der Folge liegt aber klar auf Sicherheit. Mark und Jens
erklären, warum OpenClaw fast zwangsläufig zum "Security Nightmare"
wird, sobald man ihm echte Zugriffsrechte gibt: Ein Testbericht
zeigt eine Erfolgsquote von 98 Prozent bei bekannten
Prompt-Injection-Angriffen, und ein Experiment beweist, dass eine
einzige gefälschte Sicherheitswarnungs-Mail ausreicht, damit
OpenClaw brav das komplette Postfach leert. Besonders anfällig
macht das Tool sein "naives", stark auf Hilfsbereitschaft
trainiertes Verhalten: klassischer Enkeltrick-Stoff, nur eben gegen
eine KI statt gegen einen Menschen. Technisch spannend ist der
Unterschied zu Claude Code oder ähnlichen Werkzeugen: OpenClaw
arbeitet nicht mit einem festen, deterministischen Workflow,
sondern über einen "Heartbeat", einen einstellbaren Herzschlag, bei
dem der Agent selbstständig in Memory und Aufgabenliste nachschaut,
ob etwas zu erledigen ist, und dabei den Lösungsweg jedes Mal neu
erfindet. Das führt zu echten Überraschungen (etwa der
eigenmächtigen Installation eines schnelleren Modells, "weil es
schneller ging") und mitunter zu ungeplanten Kosten im
dreistelligen Euro-Bereich, wenn das System fleißig vor sich hin
arbeitet. Kulturell hochinteressant: Die Community rund um OpenClaw
hat mit "Moldbook" ein eigenes soziales Netzwerk für Bots gebaut,
in dem sich Agenten Wissen austauschen, sich gegenseitig "heiraten"
oder auch mal einen Shop eröffnen: ein Sammelsurium aus echten
Bot-Interaktionen und von Menschen instruierten Fake-Posts. Dazu
kommen erste Ansätze wie "Rent-a-Human", bei dem ein Agent über
MCP-Tooling Aufgaben an echte Menschen weiterreichen kann, wenn er
selbst nicht weiterkommt, ein kleiner Vorgeschmack auf zukünftige
Mensch-Maschine-Arbeitsteilung. Eine klare Warnung gibt es
trotzdem: Ungefähr die Hälfte der Skills im offiziellen Skill-Hub
gilt aktuell als "verseucht" und lädt im Hintergrund Schadsoftware
nach. Wer experimentieren will, sollte das laut Mark und Jens nur
in einer isolierten Umgebung tun: eigener Rechner ohne
Produktivdaten, dedizierter VPS oder Docker-Container, nicht auf
dem Familienrechner mit Steuererklärung und Online-Banking. Zum
Schluss noch ein Ausblick: Anthropic hat parallel mit Opus 4.6 und
neuen Claude-Code-Funktionen echte Multi-Agent-Teams mit
Orchestrator nachgelegt, ein Zeichen, dass dieses Thema 2026
branchenweit an Fahrt aufnimmt.