Sicherheitsrisiken von OpenClaw: Herausforderungen bei der Implementierung autonomer KI-Agenten

Die rapide Entwicklung und Verbreitung von KI-Agenten wie OpenClaw, vormals bekannt als Clawdbot, eröffnet neue Möglichkeiten für Automatisierung und Effizienz in Unternehmen. Gleichzeitig wirft sie jedoch tiefgreifende Sicherheitsfragen auf, die eine detaillierte Betrachtung erfordern. Aktuelle Analysen und Berichte deuten darauf hin, dass die Architektur und Implementierung dieser autonomen Systeme erhebliche Risiken bergen kann, die über traditionelle Malware-Bedrohungen hinausgehen.

Architektonische Schwachstellen als Einfallstor

Ein zentrales Problem bei OpenClaw, das von Sicherheitsexperten wie Zenity Labs aufgezeigt wurde, ist eine grundlegende architektonische Schwäche. Der KI-Agent verarbeitet Inhalte aus potenziell unvertrauenswürdigen Quellen – beispielsweise E-Mails oder geteilte Dokumente – im selben Kontext wie explizite Benutzerbefehle. Diese fehlende Trennung zwischen als sicher und unsicher eingestuften Eingaben schafft eine kritische Angriffsfläche.

Diese Architektur ermöglicht es Angreifern, indirekte Prompt-Injections durchzuführen. Dabei wird ein manipuliertes Dokument, das auf den ersten Blick harmlos erscheint, dazu genutzt, versteckte Anweisungen in den Verarbeitungsprozess des KI-Agenten einzuschleusen. Sobald OpenClaw ein solches Dokument verarbeitet, kann es dazu verleitet werden, Befehle auszuführen, die weit über die vom Benutzer beabsichtigten Aktionen hinausgehen.

Die Gefahr der permanenten Kompromittierung

Die Konsequenzen einer erfolgreichen Prompt-Injection können gravierend sein. Forscher demonstrierten, wie ein Angreifer eine dauerhafte Backdoor auf dem Hostsystem installieren kann. Dies geschieht, indem der KI-Agent angewiesen wird, eine neue Chat-Integration, beispielsweise einen Telegram-Bot, mit einem vom Angreifer kontrollierten Zugriffsschlüssel einzurichten. Einmal etabliert, ermöglicht diese Backdoor dem Angreifer einen persistenten Kontrollkanal, der für das betroffene Unternehmen oft unsichtbar bleibt.

Besonders beunruhigend ist die Möglichkeit der Persistenz. OpenClaw verwendet eine Konfigurationsdatei namens SOUL.md, welche das Verhalten des Agenten definiert. Über die Backdoor kann diese Datei modifiziert werden, um beispielsweise eine geplante Aufgabe einzurichten, die SOUL.md regelmäßig überschreibt. Selbst wenn die ursprüngliche Chat-Integration entfernt wird, behält der Angreifer so die Kontrolle über das System. Dies kann zur Installation von Command-and-Control (C2)-Beacons führen, die das kompromittierte KI-System in ein Einfallstor für weitere Angriffe, wie die laterale Bewegung im Netzwerk, den Diebstahl von Anmeldeinformationen oder die Verbreitung von Ransomware, verwandeln.

Weitreichende Sicherheitsmängel und öffentliche Exposition

Die genannten Probleme sind nicht isolierte Einzelfälle. Eine Sicherheitsanalyse von OpenClaw ergab, dass das System bei Tests mit dem Tool ZeroLeaks lediglich 2 von 100 Punkten erreichte, mit einer Extraktionsrate von 84 Prozent und einer Erfolgsquote von 91 Prozent bei Injektionsangriffen mittels gängiger Sprachmodelle. Nur Claude Opus 4.5 schnitt mit 39 von 100 Punkten besser ab, was jedoch immer noch weit unter einem akzeptablen Niveau liegt, insbesondere angesichts der weitreichenden Berechtigungen, die OpenClaw auf einem Computersystem haben kann.

Zudem wurden System-Prompts, Tool-Konfigurationen und Speicherdateien mit geringem Aufwand auslesbar. Eine einfache Suche identifizierte 954 OpenClaw-Instanzen mit offenen Gateway-Ports im öffentlichen Internet, viele davon ohne jegliche Authentifizierung. Diese ungeschützten Instanzen können API-Schlüssel, Anmeldeinformationen und Konversationsverläufe preisgeben, was ein erhebliches Risiko für die Datensicherheit darstellt.

Diese Umstände unterstreichen, dass die Sicherheitsprobleme von OpenClaw tiefgreifend sind und nicht nur auf einzelne Fehlkonfigurationen zurückzuführen sind, sondern auf strukturellen Schwachstellen basieren.

Risiken durch autonomes Handeln und weitreichende Berechtigungen

Im Gegensatz zu herkömmlichen Chatbots ist OpenClaw darauf ausgelegt, aktiv zu handeln. Es kann Befehle ausführen, Dateien lesen und schreiben und operiert mit den Berechtigungen, die ihm bei der Einrichtung erteilt wurden. Dies bedeutet, dass eine Fehlkonfiguration oder eine erfolgreiche Kompromittierung ein erhebliches Schadenspotenzial birgt. Wenn der Agent die falschen Anweisungen erhält, kann der Schaden beträchtlich sein.

Die Autonomie von KI-Agenten erfordert weitreichende Berechtigungen, um nützlich zu sein. Dies kollidiert jedoch mit dem traditionellen Sicherheitsprinzip der geringsten Rechte. Wenn die Kontrollebene eines solchen Agenten exponiert ist, erben Angreifer diese weitreichenden Befugnisse und können den Assistenten in eine interne Bedrohung verwandeln. Viele Instanzen laufen zudem mit Root-Zugriff innerhalb von Containern, was Angreifern bei erfolgreicher Kompromittierung die vollständige Kontrolle über das Hostsystem ermöglicht.

Die Rolle von Prompt Injection

Prompt Injection-Angriffe stellen für Cybersicherheitsexperten, die sich mit KI befassen, ein erhebliches Problem dar. Diese Angriffsvektoren erfordern, dass ein KI-Assistent bösartige Anweisungen liest und ausführt, die beispielsweise in Quellmaterialien im Web oder in URLs versteckt sein können. Ein kompromittierter KI-Agent könnte dann sensible Daten preisgeben, Informationen an von Angreifern kontrollierte Server senden oder Aufgaben auf dem System des Benutzers ausführen, sofern er die entsprechenden Berechtigungen besitzt.

Die Dokumentation von OpenClaw selbst weist darauf hin, dass das Problem der Prompt Injection bei KI-Assistenten und Agenten noch nicht gelöst ist. Selbst wenn nur der Benutzer mit dem Bot kommunizieren kann, ist eine Prompt Injection über nicht vertrauenswürdige Inhalte (Websuche, E-Mails, Dokumente, Anhänge) möglich. Dies verdeutlicht, dass nicht nur der Absender, sondern auch der Inhalt selbst bösartige Anweisungen enthalten kann.

Ausblick und Handlungsempfehlungen

Die Erfahrungen mit OpenClaw unterstreichen die Notwendigkeit einer kritischen Auseinandersetzung mit der Sicherheit von KI-Agenten. Für Unternehmen, die den Einsatz solcher Technologien in Betracht ziehen, ergeben sich daraus klare Handlungsempfehlungen:

• Sorgfältige Konfiguration: Es ist unerlässlich, KI-Agenten mit äußerster Sorgfalt zu konfigurieren und sicherzustellen, dass keine unnötigen Berechtigungen erteilt werden.
• Netzwerksegmentierung: KI-Agenten sollten in isolierten Netzwerksegmenten betrieben werden, um das Risiko einer lateralen Bewegung im Falle einer Kompromittierung zu minimieren.
• Regelmäßige Sicherheitsaudits: Führen Sie regelmäßige Audits durch, um exponierte Instanzen und Fehlkonfigurationen zu identifizieren.
• Überprüfung externer Inhalte: Implementieren Sie Mechanismen zur Überprüfung und Filterung von Inhalten aus nicht vertrauenswürdigen Quellen, bevor diese von KI-Agenten verarbeitet werden.
• Bewusstseinsschulung: Klären Sie Mitarbeiter über die Risiken von Prompt Injection und den Umgang mit potenziell manipulierten Dokumenten auf.
• Zero-Trust-Prinzipien: Wenden Sie Zero-Trust-Prinzipien auf den Einsatz von KI-Agenten an, indem Sie jede Zugriffsanfrage als potenziell bösartig betrachten und streng authentifizieren und autorisieren.

Die Wirtschaftlichkeit von KI-Agenten macht ihre Verbreitung wahrscheinlich unvermeidlich. Sie bieten zweifellos einen Mehrwert, doch müssen sie als privilegierte Infrastruktur und nicht als einfache Anwendungen behandelt werden. Die Sicherheit Ihrer digitalen Infrastruktur hängt maßgeblich davon ab, wie sorgfältig diese neuen Technologien implementiert und verwaltet werden.

Bibliography

- "OpenClaw's OpenDoor problem is so bad that installing malware yourself might save time", Matthias Bastian, The Decoder, 2026-02-04. - "OpenClaw is a security nightmare - 5 red flags you shouldn't ignore (before it's too late)", Charlie Osborne, ZDNET, 2026-02-02. - "Everyone Installs It Without Understanding the Risks… WATCH ...", The AI Doctor, YouTube, 2026-01-31. - "Clawdbot Security: How an AI Agent Could Leave Your Front Door Unlocked", William OGOU, blog.ogwilliam.com, 2026-01-26. - "Over 1,000 Clawdbot AI Agents Exposed on the Public Internet: A Security Wake-Up Call for Autonomous AI Infrastructure", breached.company, 2026-01-26. - "Troubleshooting", OpenClaw Documentation, docs.clawd.bot.