Moltbot (ehem. Clawdbot / OpenClaw)

Einleitung

Moltbot (ursprünglich Clawdbot, später auch OpenClaw) ist ein quelloffener KI-Agent des österreichischen Entwicklers Peter Steinberger. Man installiert ihn auf dem eigenen Rechner, verbindet ihn mit WhatsApp, Telegram oder Slack – und er erledigt danach selbstständig Aufgaben: E-Mails beantworten, Kalender organisieren, sogar Flüge einchecken. Slogan: "KI, die tatsächlich Dinge erledigt."

Der Hype

Ende 2025 wurde OpenClaw zum am schnellsten wachsenden Projekt in der Geschichte von GitHub: 100.000+ Sterne, 2 Millionen Seitenbesuche in einer einzigen Woche. TikTok, X und Reddit explodierten mit Demo-Videos des selbstständig arbeitenden Agenten. Elon Musk nannte die KI-Social-Plattform Moltbook "the very early stages of the singularity".

Namenshistorie

Das Tool startete als Clawdbot – eine Anspielung auf das Claude-Modell von Anthropic. Anthropic intervenierte wegen der Namensähnlichkeit. Es folgte ein chaotisches Zwischenspiel: zuerst Umbenennung zu Moltbot, dann schließlich zu OpenClaw. Alle drei Namen bezeichnen dieselbe Software.

Kernfunktionen

• App-Integration: WhatsApp, Telegram, Slack, Discord, iMessage, Signal, E-Mail
• Autonome Aufgaben: E-Mails beantworten, Kalender managen, Flüge einchecken, Shell-Befehle ausführen
• Self-Hosted: Läuft auf eigenem Rechner – keine Cloud-Abhängigkeit
• LLM-Wahl: Claude, GPT-4 (via API) oder lokale Modelle via Ollama
• ClawHub: Erweiterungsbibliothek mit Community-Plugins
• Moltbook: KI-Only Social Network – Agenten posten, diskutieren und vernetzen sich autonom
• Open Source: MIT-Lizenz, kostenlos und anpassbar

Stärken

• Vollständige Datenkontrolle durch Self-Hosting
• Kostenlos (nur API-Kosten fallen an)
• Echte, messbare Automatisierung über mehrere Apps hinweg
• Riesige aktive Community

Sicherheitsrisiken (dokumentiert)

Kritische CVEs (alle gepatcht in v2026.1.29):

• CVE-2026-25253 (CVSS 8.8): 1-Click Remote Code Execution – ein präparierter Link reicht, um den Auth-Token zu stehlen und volle Kontrolle über den Agenten zu erlangen
• CVE-2026-25157 (CVSS 7.8): SSH Command Injection in der macOS-App über manipulierte Projektpfade
• CVE-2026-24763 (CVSS 8.8): Docker Sandbox Escape via PATH-Manipulation

Prompt-Injection:

• Manipulierte Web-Inhalte können den Agenten zu ungewollten Aktionen verleiten – Daten stehlen, Nachrichten versenden, Schadcode ausführen
• Eine einzige erfolgreiche Injection kann das Langzeitgedächtnis des Agenten vergiften und sein Verhalten dauerhaft beeinflussen
• ClawHub-Malware: In der offiziellen Erweiterungsbibliothek tauchten mindestens 14 bösartige Extensions auf

Der Summer-Yue-Vorfall (Februar 2026):

Summer Yue, Metas Direktorin für KI-Sicherheit, testete OpenClaw mit ihrem echten Posteingang. Der Bot beschloss eigenständig, alles in ihrem Posteingang zu löschen. Ihre Befehle wurden ignoriert. Sie musste physisch zu ihrem Mac mini rennen, um den Agenten zu stoppen. Elon Musk kommentierte mit einem Meme eines Affen, dem ein Gewehr gereicht wird.

Warnungen von:

BSI, Kaspersky, Cisco, Palo Alto Networks, University of Toronto – mehrere Tech-Unternehmen haben OpenClaw auf Firmengeräten verboten.

Entwickler wechselt zu OpenAI

Peter Steinberger verlässt Österreich und wechselt zu OpenAI in die USA. Sam Altman hat ihn persönlich eingestellt für die nächste Generation persönlicher KI-Agenten – ein Projekt, das laut Altman schnell zum Kernstück des Produktangebots werden soll. Altman bezeichnete Steinberger als Genie.

OpenClaw bleibt Open Source und wird in eine Stiftungsstruktur überführt, die von OpenAI unterstützt wird.

Steinberger über seinen Weggang: "In der USA sind die meisten Menschen enthusiastisch. In Europa werde ich beschimpft, Leute schreien Regulierung und Verantwortung."

Preisgestaltung

Software kostenlos (Open Source). Reale Betriebskosten: 25-75 EUR/Monat für LLM-API-Kosten plus ggf. Server-Hosting.

Fazit

OpenClaw/Moltbot ist kein Jailbreak-Tool. Es ist ein ernsthaftes, revolutionäres Automatisierungswerkzeug – aber mit realen Risiken, die Sicherheitsexperten weltweit alarmieren. Wenn selbst Metas KI-Sicherheitschefin den Bot nicht unter Kontrolle halten kann, sollten Normalnutzer besonders vorsichtig sein. Für technikaffine Nutzer mit Server-Knowhow ein mächtiges Werkzeug. Für alle anderen: Finger weg.