OpenClaws GitHub-Momentum: Warum bei KI-Agenten der Betrieb entscheidet

Laut Fortune standen Mitte März 2026 fast 1.000 Menschen vor der Tencent-Zentrale in Shenzhen an, um sich OpenClaw auf den Laptop installieren zu lassen. Der Open-Source-Assistent ist in China zum Massenphänomen geworden. Damit wird die Frage dringender, wie viel Zugriff eine Software bekommen sollte, die selbstständig handelt.

„Einen Hummer aufziehen“

Das rote Hummer-Logo hat dem Trend seinen Namen gegeben: Chinesische Nutzer sprechen laut Fortune davon, „einen Hummer aufzuziehen“. Die großen Cloud-Anbieter des Landes haben OpenClaw oder Ableger davon ins Angebot genommen, darunter Alibaba Cloud, Tencent Cloud, ByteDances Volcano Engine und Baidu. Die Stadt Wuxi stellt nach Fortune-Angaben bis zu 5 Millionen Yuan für OpenClaw-basierte Durchbrüche in Robotik und Industrie in Aussicht.

Auch ein Nebengewerbe ist entstanden. Techniker verlangen 500 Yuan dafür, OpenClaw vor Ort einzurichten. Wer danach kalte Füße bekommt, zahlt für die Deinstallation noch einmal.

Ein Harness, kein Modell

Fortune beschreibt OpenClaw als „agentic harness“. Das Projekt ist selbst kein KI-Modell: Nutzer wählen ein Modell als Antrieb, OpenClaw zerlegt Ziele in Teilaufgaben, bindet Werkzeuge an und merkt sich, was bereits erledigt wurde. Nach den Projektangaben auf GitHub läuft der Assistent auf dem eigenen Rechner und ist über Messenger wie WhatsApp, Telegram, Slack oder iMessage erreichbar. Zustand, Gedächtnis und Zugangsdaten bleiben demnach auf der eigenen Hardware.

Der praktische Reiz ist leicht zu verstehen, wenn der Agent laut Fortune regelmäßig das Postfach prüft, bestimmte Mails automatisch beantwortet oder Reservierungen übernimmt, ohne dass jemand danebensitzt.

Der Preis der Nähe

Im Westen dämpfen Sicherheitsbedenken die Begeisterung, schreibt Fortune. Über Prompt Injection lassen sich Agenten mit präparierten Anweisungen auf Webseiten manipulieren. OpenClaw-Agenten wurden so bereits dazu gebracht, Finanzdaten und Schlüssel von Krypto-Wallets hochzuladen, in anderen Fällen löschten sie E-Mails und Code-Bibliotheken. Auch Peking reagiert: Laut einem von Fortune zitierten Bloomberg-Bericht wurden Behörden und Staatsbetriebe davor gewarnt, OpenClaw auf Dienstgeräten zu installieren.

Das Projekt benennt das Risiko selbst. In den Angaben auf GitHub gelten eingehende Nachrichten als nicht vertrauenswürdige Eingaben, und unbekannte Absender in Direktnachrichten müssen zunächst gekoppelt werden. Werkzeuge laufen für die Hauptsitzung direkt auf dem Host, solange kein Sandboxing konfiguriert ist.

Diese Voreinstellung sollte man kennen.

Vier Fragen vor dem Einsatz

Eine lange Warteschlange ersetzt keinen Betriebstest. Bevor ein Agent Zugriff auf Postfach oder Dateien bekommt, sollten Entwickler- und Betriebsteams vier Punkte klären:

• Welche Aktionen darf der Agent selbstständig ausführen?
• Welche Schritte verlangen eine ausdrückliche Bestätigung?
• Läuft die Werkzeugausführung in einer Sandbox oder direkt auf dem Host?
• Wo lassen sich Verlauf, Fehler und Abbruch nachvollziehen?

Die Warteschlange in Shenzhen belegt den großen Bedarf an Assistenten, die tatsächlich Aufgaben erledigen. Ob sich ein Einsatz lohnt, zeigt sich im Alltag: Löscht ein Agent eine Mail, statt sie nur zu entwerfen, verspielt er mehr Vertrauen, als ihm jede Warteschlange eingebracht hat.