ClawHosters
von Daniel Samer
3 Min. Lesezeit
Jeder dreizehnte Skill auf ClawHub ist bösartig. Das zeigt ein Follow-up-Scan von Koi Security und Termdock vom 16. Februar 2026: 824 bösartige Skills von insgesamt über 10.700. Eine Infektionsrate von 7,7 % auf dem offiziellen Skill-Marktplatz von OpenClaw.
Wenige Wochen vorher war es schlimmer. Ein Koi-Security-Audit am 1. Februar zählte 341 bösartige Skills von 2.857 insgesamt. Das waren 11,9 %. Der Marktplatz wuchs, die absolute Zahl schädlicher Skills hat sich mehr als verdoppelt, aber der prozentuale Anteil sank leicht, weil legitime Uploads schneller nachkamen als Malware.
ClawHavoc: 335 bösartige ClawHub-Skills mit versteckten Hintertüren
Die größte Kampagne bekam einen Namen. ClawHavoc umfasste 335 Skills, die als Produktivitätstools getarnt waren. Namen wie solana-wallet-tracker und youtube-summarize-pro. Manche davon funktionierten tatsächlich. Das macht es so gefährlich.
Versteckt im Prerequisite-Feld von SKILL.md: base64-kodierte Shell-Befehle, die AMOS (Atomic Stealer) herunterluden. Einmal gestartet, exfiltrierte AMOS Passwörter aus Chrome, Safari und Firefox, Krypto-Wallet-Keys, SSH-Schlüssel und Keychain-Daten. Die Analyse von Bitdefender schätzte etwa 900 bösartige Skills in ihrem eigenen Scan, ca. 17 % der analysierten Menge.
Das Ausmaß der Exposition ist beträchtlich. Laut Cyberdesserts' Recherche waren über 135.000 OpenClaw-Instanzen in 82 Ländern öffentlich im Internet erreichbar. Ein einzelner Uploader-Account, hightower6eu, lud 677 Skills hoch, bevor er gesperrt wurde. Die breitere Analyse von Antiy CERT erfasste historisch 1.184 bösartige Skills über 12 Accounts.
OpenClaws Reaktion
OpenClaw reagierte am 7. Februar mit der Integration von VirusTotal-Scanning für neue Skill-Uploads. Ein guter Schritt. Aber er schützt niemanden rückwirkend, der einen bösartigen Skill vor dem Scanner installiert hat. Und er erkennt keine neuen Payloads, die VirusTotal noch nicht kennt.
Was das für Self-Hoster vs. Managed Hosting bedeutet
Hier muss man ehrlich sein. ClawHosters prüft oder kuratiert keine Skill-Bibliotheken. Wenn du einen bösartigen Skill installierst, installierst du einen bösartigen Skill. Das ist ein Ökosystem-Problem, an dem OpenClaw arbeitet.
Was ClawHosters adressiert, ist die Infrastruktur-Angriffsfläche. Die 135.000 exponierten Instanzen? ClawHosters-Kunden gehören nicht dazu. Jede Instanz läuft auf einem isolierten VPS ohne offene Ports, mit Firewall, Brute-Force-Schutz und automatischen OpenClaw-Updates (über 60 CVEs allein 2026 gepatcht). Mehr zu den Unterschieden zwischen Self-Hosting und Managed im Vergleich.
Die Bedrohung auf Skill-Ebene ist real und dauert an. Die Bedrohung auf Infrastruktur-Ebene ist der Bereich, in dem Managed Hosting die Lücke schließt.
