OpenClaw-Gruppenchats sicher einrichten: Rechte, Erwähnungen und getrennte Sitzungen

Ein Gruppenchat wird nicht dadurch sicher, dass der Agent nur auf ausgewählte Personen reagiert. Eine Nachricht kann als Auslöser blockiert sein und trotzdem über Zitate oder den bisherigen Verlauf beim Modell landen. Wer beides gleichsetzt, schützt den Trigger und übersieht den Inhalt.

OpenClaw unterstützt Gruppenchats laut der Dokumentation vom 7. September 2026 unter anderem in Discord, Matrix, Microsoft Teams, Signal, Slack, Telegram und WhatsApp. Die Kanäle unterscheiden sich in ihrer Konfiguration, die entscheidenden Fragen bleiben jedoch dieselben: Welcher Raum ist erlaubt, wer darf dort eine Aktion auslösen, wann wird der Agent aktiviert und welchen Gesprächskontext kann seine Sitzung sehen?

Trigger und Kontext sind zwei Schutzflächen

OpenClaw trennt in seiner Gruppensicherheits-Dokumentation die Berechtigung zum Auslösen von der Sichtbarkeit zusätzlichen Kontexts. Allowlisten entscheiden, wer eine Aktion starten darf. Sie entfernen aber nicht automatisch zitierte oder historische Gesprächsausschnitte, die zusammen mit einer erlaubten Nachricht beim Modell ankommen.

Das ist die eigentliche Falle.

Eine nicht zugelassene Person muss den Agenten nicht selbst aktivieren, um Informationen in einen später sichtbaren Gesprächsverlauf einzubringen. Es genügt, dass ein zugelassener Teilnehmer ihre Nachricht zitiert oder dass der betreffende Ausschnitt anderweitig in den Kontext einer erlaubten Anfrage gelangt.

Die Freigabe eines Raums braucht deshalb zwei getrennte Prüfungen:

1. Wer darf den Agenten auslösen?
2. Welche Inhalte können diese erlaubten Anfragen mitbringen?

Ein öffentlicher Projektkanal sollte daher anders behandelt werden als eine Direktnachricht, selbst wenn beide denselben Agenten verwenden. OpenClaw kann laut Dokumentation einen gemeinsamen Workspace und ein gemeinsames Memory mit unterschiedlichen Ausführungsprofilen für Direktnachrichten und öffentliche Gruppen verbinden. Das erleichtert den Betrieb, schafft aber keine automatische Vertraulichkeitsgrenze.

Wer die Grundlagen dieser Trennung noch nicht eingerichtet hat, sollte zuerst die OpenClaw-Konfiguration im Überblick prüfen und Gruppen danach als eigene Sicherheitsfläche behandeln.

Räume und Absender getrennt begrenzen

Die OpenClaw-Dokumentation beschreibt mehrere Ebenen der Zugriffskontrolle. *.allowFrom regelt Direktnachrichten. Für Gruppen greifen dagegen *.groupPolicy, *.groups und *.groupAllowFrom. Eine Freigabe auf der einen Ebene ist keine Freigabe auf der anderen.

Die sinnvolle Reihenfolge lautet:

1. Setze die Gruppenrichtlinie auf disabled, wenn der Kanal überhaupt keine Gruppen annehmen soll, oder auf allowlist, wenn nur benannte Räume zugelassen werden sollen.
2. Trage ausschließlich die tatsächlich benötigten Gruppen ein.
3. Begrenze innerhalb dieser Räume die Absender, die Aktionen auslösen dürfen.
4. Prüfe Direktnachrichten separat über die zugehörige allowFrom-Regel.

Für WhatsApp akzeptiert channels.whatsapp.groups nach Angaben der OpenClaw-Dokumentation Gruppen-JIDs. Der Eintrag "*" lässt alle Gruppen zu und vergrößert die Angriffsfläche entsprechend. Er ist bequem, aber für einen Agenten mit Zugriff auf Werkzeuge, Memory oder interne Daten eine schlechte Ausgangsbasis.

Der dokumentierte Nachrichtenfluss liefert klare Sollwerte: disabled verwirft Gruppennachrichten. Bei allowlist werden auch Nachrichten aus nicht zugelassenen Räumen verworfen. Erst wenn Raum und Absender passen, sollte das Aktivierungsgate entscheiden, ob aus der Nachricht eine Anfrage wird.

Erwähnungen bilden ein eigenes Gate

OpenClaw verlangt in Gruppen standardmäßig eine Erwähnung, sofern das Mention-Gating nicht für die betreffende Gruppe deaktiviert wurde. Gesteuert wird dieses Verhalten über requireMention beziehungsweise /activation. Fehlt die Erwähnung bei aktivem Gate, löst die Nachricht laut dokumentiertem Ablauf keine unmittelbare Anfrage aus, kann aber als Kontext vorgemerkt werden.

Damit begrenzt das Mention-Gate die Aktivierung, nicht die Sichtbarkeit des Inhalts.

Für WhatsApp dokumentiert OpenClaw die Modi mention und always; mention ist der Standard. Als Ping können eine echte @-Erwähnung, ein konfiguriertes Regex-Muster, die E.164-Ziffern des Bots im Text oder eine zitierte Antwort auf eine Bot-Nachricht gelten. Für geteilte Nummern im Self-Chat nennt die Dokumentation bei zitierten Antworten eine Ausnahme. Im Modus always wird der Agent dagegen bei jeder Nachricht aktiviert.

In Multi-Agent-Setups muss außerdem der richtige Agent reagieren. agents.entries.*.groupChat.mentionPatterns definiert Erkennungsmuster pro Agent, während messages.groupChat.mentionPatterns als globaler Fallback dient. Fehlen beide Angaben, kann OpenClaw die Muster aus dem Namen oder Emoji der Agentenidentität ableiten.

Teste deshalb nicht nur, ob irgendein Agent auf einen Namen reagiert. Prüfe, ob ausschließlich der vorgesehene Agent anspringt und alle anderen still bleiben.

Auch die Ausgabe braucht eine eigene Entscheidung: Der dokumentierte Standard messages.groupChat.visibleReplies: "automatic" veröffentlicht den finalen Antworttext im Raum. Ein korrektes Mention-Gate verhindert somit nicht, dass ein erlaubter Lauf sein Ergebnis für alle Gruppenmitglieder sichtbar macht.

Vier Gegenproben statt eines erfolgreichen Pings

Die WhatsApp-Dokumentation formuliert zwei getrennte Ziele: Der Agent soll in Gruppen nur bei einem Ping aufwachen und den Gruppenverlauf von der persönlichen DM-Sitzung getrennt halten. Ein erfolgreicher Ping prüft nur das erste Ziel.

Für einen belastbaren Test brauchst du:

• eine erlaubte und eine nicht erlaubte Gruppe,
• einen zugelassenen und einen nicht zugelassenen Absender,
• eine Nachricht mit und eine ohne Erwähnung,
• harmlose Markersätze für Gruppen- und DM-Kontext.

Sende in der erlaubten Gruppe zunächst eine Anfrage ohne Erwähnung und danach dieselbe Anfrage mit Erwähnung. Bei aktivem Mention-Gate darf nur die zweite Nachricht eine Antwort auslösen. Die erste kann nach dem von OpenClaw beschriebenen Ablauf dennoch für den Kontext vorgemerkt werden.

Wiederhole die Anfrage anschließend aus der nicht erlaubten Gruppe und mit dem nicht zugelassenen Absender. Beide Varianten dürfen keine Aktion starten.

Prüfe danach die Kontextgrenze: Taucht ein eindeutig markierter Satz aus der Gruppe später in einer Direktnachricht auf? Erscheint umgekehrt ein Marker aus der persönlichen Unterhaltung in einer Gruppenantwort? Verwende dafür niemals echte vertrauliche Daten. Ein Satz wie MARKER-GRUPPE-17 reicht aus und lässt sich eindeutig zuordnen.

Nach Angaben der OpenClaw-Dokumentation wird der nur für Kontext gesammelte Nachrichtenpuffer nach einem Lauf geleert; bereits in der Sitzung gespeicherte Nachrichten werden nicht erneut injiziert. Plane trotzdem mindestens zwei aufeinanderfolgende Testläufe: Der erste prüft die unmittelbare Aktivierung, der zweite zeigt, welche Informationen die bestehende Sitzung noch trägt.

Weitere solche Prüfungen gehören nicht in einen einmaligen Abnahmetermin, sondern in die laufende Betriebsroutine. Die Tutorials zu OpenClaw und Agentenbetrieb liefern dafür passende Ansatzpunkte.

Grenzen der Einordnung

Diese Einordnung basiert auf der OpenClaw-Dokumentation vom 7. September 2026 und wurde nicht mit allen unterstützten Kanälen praktisch nachgestellt. Die konkreten Mention-Regeln und Konfigurationspfade können sich je nach Adapter unterscheiden; die WhatsApp-Angaben sollten deshalb nicht ungeprüft auf Discord, Slack oder andere Kanäle übertragen werden.

Belastbar ist die zugrunde liegende Betriebsregel: Räume, Absender, Aktivierung und Kontext sind vier getrennte Kontrollflächen. Eine pauschale Freigabe über "*", unklare Erwähnungsmuster oder vermischte Gruppen- und DM-Sitzungen schwächen diese Trennung.

Fazit

Eine Gruppenfreigabe ist erst vollständig, wenn vier Gegenproben erfolgreich sind:

1. Ein nicht erlaubter Raum löst nichts aus.
2. Ein nicht erlaubter Absender löst nichts aus.
3. Eine Nachricht ohne erforderliche Erwähnung löst nichts aus.
4. Unerwünschter Gruppen- oder DM-Kontext taucht nicht in der jeweils anderen Sitzung auf.

Vier grüne Gegenproben sind belastbarer als ein einzelner erfolgreicher Bot-Ping.