ClawHosters
von Daniel Samer
5 Min. Lesezeit
Shadow AI war mal, dass jemand im Team mittags mit ChatGPT gechattet hat. Code reinkopiert, Antwort bekommen, weitergemacht. Nervig für Compliance, vielleicht, aber der Schaden war überschaubar.
Das war 2023.
2026 bedeutet Shadow AI: Ein Mitarbeiter hat einen autonomen Agenten auf seinem Firmen-Laptop installiert. Dieser Agent hat Shell-Zugriff, liest Dateien, schickt E-Mails, verbindet sich per OAuth mit Slack und speichert deine Firmen-API-Keys in einer Klartext-.env-Datei. Er läuft im Hintergrund. Er handelt, ohne dass jemand zuschaut.
Und laut Token Security laufen auf bis zu 22% der überwachten Unternehmens-Endpoints bereits OpenClaw oder eine Variante, ohne IT-Freigabe.
Vom Chatbot zum autonomen Agenten
Der Unterschied ist nicht subtil. Ein Chatbot ist ein Textfeld. Ein KI-Agent ist ein autorisierter Akteur innerhalb deines Netzwerks.
OpenClaw hat in vier Monaten 250.000 GitHub-Stars überschritten. Es installiert sich mit einem einzigen npm install. Keine Admin-Rechte nötig. Der Traffic sieht aus wie normale HTTPS-Anfragen an die Anthropic-API. Nicht unterscheidbar von einem Entwickler, der Claude ganz regulär nutzt.
Deine Firewall sieht nichts Auffälliges. Dein DLP sieht nichts Auffälliges. Aber der Agent kann jetzt jede Datei auf dem Rechner lesen, beliebige Shell-Befehle ausführen und auf alle Credentials zugreifen, die der Mitarbeiter lokal gespeichert hat.
Das Microsoft Defender Security Research Team formuliert es direkt: OpenClaw "is not appropriate to run on a standard personal or enterprise workstation."
Was tatsächlich schiefgeht
Das ist nicht theoretisch. Das passiert bereits.
Credentials im Klartext. OpenClaw speichert API-Keys für Anthropic, OpenAI und AWS unter ~/.clawdbot/.env. Keine Verschlüsselung. Der Lumma-Infostealer hat genau diesen Pfad in seine Zielliste aufgenommen. Ein kompromittierter Rechner, und jedes Credential, das der Entwickler gespeichert hat, wird exfiltriert.
One-Click-Übernahme. CVE-2026-25253 (CVSS 8.8) erlaubte es jeder bösartigen Website, einen lokalen OpenClaw-Agenten per WebSocket zu kapern. Keine Plugins, keine Nutzerinteraktion. Falsche Seite besucht, und der Angreifer kontrolliert deinen Agenten, der deinen Rechner kontrolliert.
Vergifteter Marketplace. Bitdefenders Analyse fand rund 800 bösartige Skills in ClawHub. Das sind etwa 20% aller verfügbaren Pakete. Manche blieben inaktiv, bis bestimmte Prompts die Payload-Ausführung auslösten und Reverse Shells öffneten.
Und die finanziellen Kosten? IBMs 2025 Cost of a Data Breach Report zeigt, dass Shadow AI im Schnitt 670.000 Dollar an Mehrkosten bei Sicherheitsvorfällen verursacht.
Drei Governance-Ansätze
Jede Organisation, mit der wir gesprochen haben, fällt in eines von drei Lagern.
1. Verbieten. Meta hat Mitarbeitern mit Kündigung gedroht, falls sie OpenClaw auf Firmen-Laptops installieren. Das Problem? Entwickler, die ein Verbot bekommen, nutzen private Geräte stattdessen und nehmen Firmendaten in eine noch unsicherere Umgebung mit. Verbote töten die Nachfrage nicht. Sie verlagern sie in den Untergrund.
2. Enterprise-Leitplanken. Runlayer hat ToolGuard gebaut, eine Governance-Schicht, die sich um bestehende OpenClaw-Installationen legt. Gusto hat es ausgerollt und die kontrollierte Agentennutzung auf etwa die Hälfte ihrer Belegschaft ausgeweitet. Dieser Ansatz funktioniert gut für Unternehmen, die feingranulare Policy-Kontrolle wollen. Aber der Agent läuft weiterhin auf dem Rechner des Mitarbeiters. Credentials liegen weiter auf dem Endpoint.
3. Managed Hosting. Dafür haben wir ClawHosters gebaut. Den Agenten komplett vom Gerät des Mitarbeiters wegbewegen. Jede Instanz läuft in ihrem eigenen isolierten Docker-Container auf deutscher Infrastruktur. Credentials werden verschlüsselt gespeichert, nie auf einem Firmen-Laptop. Der Mitarbeiter greift über den Browser oder Messaging-Apps auf seinen Agenten zu.
Keine Klartext-Keys auf Endpoints. Keine ~/.clawdbot/.env als Ziel für Infostealer. Kein localhost-WebSocket, den bösartige Websites ausnutzen können.
Wie das im Detail aussieht, steht in unserem Self-Hosted vs. Managed-Vergleich. Die technischen Details findest du in der Sicherheitsübersicht.
Das eigentliche Problem
Wenn deine Firmen-KI-Policy geschrieben wurde, als die größte Sorge war "Mitarbeiter kopieren Firmengeheimnisse in ChatGPT", dann ist sie veraltet. Wie Citrix' Brian Madden es formuliert: Die meisten Organisationen adressieren ein Problem von 2023, während die Bedrohung von 2026 Agenten sind, die handeln und nicht nur Fragen beantworten.
Verbieten wird wahrscheinlich nicht funktionieren. Ignorieren definitiv nicht. Die Frage ist, ob du willst, dass die KI-Agenten deines Teams unkontrolliert auf Firmen-Laptops laufen, oder isoliert in Containern, wo du die Credentials und den Blast Radius kontrollierst.
Wir finden die Antwort offensichtlich, aber wir sind befangen. Pläne starten ab 19 $/Monat, falls du es selbst sehen willst.
