OpenClaw im Test 2026: Zweimal umbenannt, jetzt von einer Stiftung geführt

OpenClaw (github.com/openclaw/openclaw) ist ein Open-Source-KI-Agenten-Gateway — ein dauerhaft laufender Hintergrunddienst, kein Chatfenster, das Sie besuchen —, der auf Ihrem eigenen Rechner läuft und Sie über Messaging-Apps erreicht, die Sie ohnehin nutzen. Die eigene Projektbeschreibung bringt es auf den Punkt: „The AI that really does things. Any OS. Any Platform." Im Zentrum steht das Gateway, ein Daemon, der Verbindungen zu Messaging-Kanälen verwaltet, eingehende Nachrichten an Agenten-Sessions weiterleitet und die Terminplanung übernimmt.

OpenClaw begann nicht als OpenClaw. Der österreichische Softwareentwickler Peter Steinberger, Gründer der PDF-Tooling-Firma PSPDFKit, baute für sich selbst einen persönlichen KI-Assistenten namens „Clawd" — eine spielerische Anspielung auf Anthropics Claude — und veröffentlichte im November 2025 eine leistungsfähigere Version davon als Open Source auf GitHub, unter dem Namen Clawdbot.

Am 27. Januar 2026 schickte Anthropics Rechtsabteilung einen Markenhinweis: „Clawd" sei phonetisch zu nah an „Claude". Steinberger griff das Hummer-Maskottchen des Projekts auf — Hummer häuten sich, um zu wachsen — und benannte es noch am selben Tag in Moltbot um, mit „Molty" als neuer Agenten-Persona. Drei Tage später, am 29. Januar 2026, benannte er es erneut um, diesmal in OpenClaw, weil ihm „Moltbot" nie richtig über die Zunge gegangen sei. Die zweite Umbenennung erfolgte mit bewusster Geheimhaltung und koordiniertem Timing, um einen erneuten Zwischenfall zu vermeiden, und verweist sowohl auf die Open-Source-Natur des Projekts als auch auf sein Hummer-Erbe.

Der Übergang verlief nicht reibungslos. Als Steinberger versuchte, die GitHub-Organisation und den X/Twitter-Handle des Projekts gleichzeitig umzubenennen, kaperten Krypto-Betrüger die kurzzeitig verwaisten Handles binnen rund 10 Sekunden und bewarben einen gefälschten „$CLAWD"-Token auf Solana, der Berichten zufolge eine Marktkapitalisierung von über 16 Millionen US-Dollar erreichte, bevor Steinberger ihn öffentlich als Betrug bezeichnete. In den folgenden Tagen tauchten zudem Typosquatting-Domains und ein geklontes GitHub-Repository auf.

Im Februar 2026 gab Steinberger bekannt, dass er zu OpenAI wechsle und dass eine gemeinnützige Stiftung die Betreuung des Projekts übernehmen werde. Die OpenClaw Foundation ging offiziell mit 501(c)(3)-Gemeinnützigkeitsstatus an den Start, mit einem ersten festangestellten Team aus zehn Personen in Engineering und Betrieb, unter Vorsitz des Unternehmers und Investors Dave Morin. OpenAI verpflichtete sich, die Stiftung zu sponsern, während OpenClaw unter der MIT-Lizenz quelloffen bleibt.

Im Zentrum von OpenClaws Architektur steht das Gateway: ein dauerhaft laufender Daemon, der jede Verbindung zu Messaging-Kanälen verwaltet, eingehende Nachrichten an die richtige Agenten-Session weiterleitet und geplante oder Hintergrundaufgaben übernimmt. Innerhalb einer einzelnen Session werden Nachrichten nacheinander über eine Command Queue verarbeitet, nicht parallel — die eigene Dokumentation des Projekts erklärt, dass dies bewusst so gestaltet ist, um Tool-Konflikte zu vermeiden und den Sitzungsverlauf konsistent zu halten. Gesprächstranskripte werden in einer lokalen SQLite-Datenbank mit Vektorsuche indiziert, und der Agent führt vor jeder Antwort eine Gedächtnissuche gegen diesen Index aus, statt sich allein auf das aktuelle Konversationsfenster zu verlassen.

OpenClaws Sicherheitshistorie ist für ein Projekt jeden Alters ungewöhnlich gut dokumentiert und ungewöhnlich umfangreich. Laut GitHubs eigener Security-Advisories-API veröffentlichte das Projekt zwischen dem 31. Januar und dem 30. Juni 2026 insgesamt 647 Hinweise: 14 als kritisch, 219 als hoch, 350 als mittel und 64 als niedrig eingestuft. Zwischen Juli und dem Datenstand dieses Tests im September 2026 wurden keine neuen Hinweise veröffentlicht — das spiegelt jedoch den Erhebungszeitpunkt dieses Tests wider, nicht die Garantie, dass sich das Tempo dauerhaft verlangsamt hat. Prüfen Sie den aktuellen Stand im Live-Feed des Repositorys.

Der schwerwiegendste offengelegte Fund stammt vom Sicherheitsforscher Chinmohan Nayak: drei schwerwiegende Schwachstellen (GHSA-hjr6-g723-hmfm, GHSA-9969-8g9h-rxwm, beide CVSS 8,8; GHSA-575v-8hfq-m3mc, CVSS 8,4), die zusammen eine nicht authentifizierte Remote-Code-Execution-Kette bildeten, auslösbar durch eine einzige WhatsApp-Nachricht. Sie betraf Versionen bis 2026.6.1 und wurde in 2026.6.6 behoben.

Getrennt davon berichteten die Sicherheitsfirma Malwarebytes und weitere Forscher in den Tagen nach der Umbenennung im Januar 2026 von über 1.000 öffentlich zugänglichen OpenClaw-Instanzen, die API-Schlüssel, private Chatverläufe und Systemzugangsdaten offenlegten — ein Konfigurations- und Bereitstellungsproblem (unsichere öffentliche Exposition), keine Schwachstelle in OpenClaw selbst.

Ja, aktiv. Das Repository wurde innerhalb weniger Stunden vor der Recherche zu diesem Test aktualisiert, und OpenClaw veröffentlicht etwa alle paar Tage ein neues Release — die fünf jüngsten Tags zum Zeitpunkt des Tests waren v2026.9.1, v2026.8.2, v2026.8.1 sowie zwei Beta-Releases, verteilt über weniger als zwei Wochen.

Die Governance wechselte im Februar 2026: Gründer Peter Steinberger wechselte zu OpenAI, und die Betreuung ging an die gemeinnützige OpenClaw Foundation über (501(c)(3)-Status, unter Vorsitz von Dave Morin, ein erstes festangestelltes Team aus zehn Personen in Engineering und Betrieb, gesponsert von OpenAI). Das Projekt bleibt unter dieser Konstellation MIT-lizenziert. Zum Zeitpunkt dieses Tests hatte die Stiftung noch keine detaillierten öffentlichen Governance-Dokumente veröffentlicht, sodass von außen nicht vollständig transparent ist, wie technische Entscheidungen und die Roadmap im Alltag getroffen werden.

Die richtige Wahl hängt stark davon ab, wie viel Toleranz Sie dafür haben, dass ein junges, sich schnell veränderndes und ungewöhnlich stark unter Sicherheitsbeobachtung stehendes Projekt echten Zugriff auf Ihre Konten, Dateien und Shell erhält.

OpenClaws Kombination aus Messaging-Kanal-Reichweite und voller Rechnersteuerung hat in diesem Verzeichnis kein exaktes Gegenstück. Die nächsten Vergleiche verteilen sich auf zwei verschiedene Achsen: andere breit angelegte persönliche Agenten-Gateways und engere, einzweckige Agenten, die OpenClaws Reichweite gegen eine kleinere Angriffsfläche eintauschen.