OpenClaw unter Beschuss: Vier neue Schwachstellen ermöglichen Datendiebstahl und Systemübernahme
Der KI-Agent OpenClaw zeigt erneut, wie gefährlich autonome Agentensysteme mit Vollzugriff sind – inklusive Prompt-Injection, Token-Diebstahl und ClawJacked-Risiko.
Auf einen Blick
Im Open-Source-KI-Agenten OpenClaw wurden vier kritische Schwachstellen bekannt. Sie ermöglichen Datendiebstahl, Prompt-Injection, Privilege Escalation und Zugriff auf Tokens, Logs und Konfigurationen. Tausende Instanzen sind öffentlich erreichbar – teilweise ohne Authentifizierung. Empfehlung: Updates installieren, Instanzen aus dem Internet nehmen, MFA erzwingen, Agenten segmentieren, Plugins prüfen und EDR/XDR scharfschalten.
KI-Agent mit Vollzugriff – und massiver Angriffsfläche
OpenClaw gehört aktuell zu den bekanntesten Open-Source-KI-Agenten weltweit. Die Software kann auf lokale Dateien zugreifen, E-Mails lesen, Kalender verwalten, Shell-Befehle ausführen und externe Dienste anbinden. Genau diese tiefen Systemrechte machen die Plattform allerdings auch hochgefährlich, sobald Sicherheitslücken auftreten.
File Access
Lesen und Schreiben lokaler Dateien – inklusive Konfigurationen und Secrets.
E-Mail-Zugriff
Postfächer durchsuchen, E-Mails verfassen und versenden – im Namen des Nutzers.
Kalender
Termine lesen, anlegen und verändern – Einblick in interne Abläufe.
Shell-Befehle
Direkter Zugriff auf das Betriebssystem – mit den Rechten des laufenden Users.
Plugins / Skills
Erweiterbar über Drittanbieter-Plugins – jedes neue Plugin ist ein neuer Angriffsvektor.
API-Integrationen
Anbindung an SaaS, Cloud-Dienste und interne APIs – inklusive gespeicherter Tokens.
Die vier neuen Schwachstellen im Überblick
Laut aktuellen Analysen ermöglichen die neu entdeckten Schwachstellen unter anderem die Umgehung von Sicherheitsmechanismen, Manipulation von Agenten-Aktionen und Zugriff auf Tokens, Logs und Konfigurationsdaten. Besonders kritisch wird es, wenn OpenClaw direkt mit produktiven Systemen, APIs oder Cloud-Diensten verbunden ist.
Datendiebstahl aus lokalen Instanzen
Angreifer können gezielt Dateien, Tokens, Logs und Konfigurationen aus laufenden OpenClaw-Instanzen abziehen.
Prompt-Injection-Angriffe
Manipulierte Inhalte (Webseiten, Dokumente, E-Mails) bringen den Agenten dazu, Anweisungen des Angreifers auszuführen.
Privilege Escalation
Über fehlerhafte Plugin- und Berechtigungsprüfungen lassen sich Aktionen jenseits der eigentlichen Nutzerrolle erzwingen.
Zugriff auf Tokens & Secrets
Gespeicherte API-Keys, OAuth-Tokens und Konfigurationsdaten werden auslesbar – Sprungbrett für laterale Angriffe in Cloud und SaaS.
Webseiten könnten lokale KI-Agenten angreifen
Bereits zuvor sorgte die sogenannte „ClawJacked"-Schwachstelle für Schlagzeilen. Dabei reichte teilweise schon der Besuch einer manipulierten Webseite aus, um über lokale WebSocket-Verbindungen Zugriff auf laufende OpenClaw-Systeme zu erhalten. Sicherheitsforscher warnten davor, dass Angreifer dadurch KI-Agenten faktisch vollständig kontrollieren könnten.
Das eigentliche Problem liegt tiefer: KI-Agenten wie OpenClaw kombinieren autonome Entscheidungen mit weitreichenden Systemrechten. Genau dadurch entsteht eine völlig neue Angriffsfläche, die klassische Sicherheitskonzepte oft nicht ausreichend absichern.
Zehntausende Instanzen öffentlich erreichbar
Besonders alarmierend: Laut Sicherheitsanalysen sollen zehntausende OpenClaw-Instanzen öffentlich im Internet erreichbar sein. Ein erheblicher Teil davon offenbar ohne ausreichende Authentifizierung oder mit schwachen Zugangsdaten.
„AI Security Crisis" – warum KI-Agenten ein Sicherheits-Albtraum sind
Immer mehr Sicherheitsforscher sprechen offen von einer „AI Security Crisis" rund um autonome Agentensysteme. Die Kombination aus folgenden Faktoren macht Plattformen wie OpenClaw extrem attraktiv für Angreifer:
Autonome Aktionen
Agenten treffen Entscheidungen ohne menschliche Freigabe – ein erfolgreicher Prompt-Injection wird sofort exekutiert.
Plugin-Systeme
Drittanbieter-Plugins erweitern die Angriffsfläche und werden selten so geprüft wie Kernsoftware.
Shell-Zugriff
Wer den Agenten kontrolliert, hat de facto eine Remote-Shell auf dem Host.
API-Integrationen
Gespeicherte Tokens öffnen Türen in CRM, Cloud, Mail und Code-Repositories.
Persistenter Speicher
Memory-Stores enthalten oft sensible Inhalte aus früheren Sessions – ein lohnendes Ziel.
Fehlende Isolation
Viele Setups laufen ohne Container, Sandbox oder Netzsegmentierung – ein Vorfall trifft direkt das Hostsystem.
Was Unternehmen jetzt tun sollten
- 1
Sofort alle verfügbaren OpenClaw- und Plugin-Updates installieren
- 2
OpenClaw-Instanzen niemals direkt aus dem Internet erreichbar machen – Reverse-Proxy mit MFA oder VPN davorschalten
- 3
Starke Authentifizierung erzwingen, Default-Konten deaktivieren, Passwort-Rotation prüfen
- 4
KI-Agenten strikt netzseitig segmentieren – eigene Zone, keine direkte Verbindung zu Domain-Controllern oder Backups
- 5
Keine unnötigen Systemrechte vergeben – Least Privilege auch für Agenten und Service-Accounts
- 6
Plugins und „Skills" auf Quelle, Maintainer und Berechtigungen prüfen – kein Wildwuchs
- 7
Logs und Agenten-Aktivitäten zentral erfassen, ungewöhnliche Tool-Aufrufe alarmieren
- 8
EDR/XDR auf Hosts mit OpenClaw scharfschalten und ins SOC-Monitoring einbinden
Vor allem Unternehmen sollten vermeiden, experimentelle KI-Agenten direkt mit kritischen Produktivsystemen zu verbinden.
Wasacon-Fazit
KI-Agenten wie OpenClaw sind im Mittelstand 2026 längst kein Spielzeug mehr – sondern produktive Systeme mit weitreichenden Berechtigungen. Die neuen vier Schwachstellen zeigen erneut, dass autonome Agenten ohne Härtung, Segmentierung und Monitoring ein erhebliches Risiko darstellen.
Wir empfehlen: Updates installieren, Instanzen aus dem Internet nehmen, MFA und Reverse-Proxy davorschalten, Plugins prüfen und Agenten in eine eigene Netzwerkzone segmentieren. EDR/XDR auf Hosts mit Agentensoftware ist Pflicht, nicht Bonus.
Die größte Gefahr bei AI-Agenten ist nicht die KI selbst – sondern der Vollzugriff, den man ihr gibt.
Häufige Fragen
Wer kontrolliert eigentlich Ihre KI-Agenten?
Wasacon prüft Härtung, Berechtigungen, Plugins und Monitoring Ihrer KI-Agentensysteme – inklusive Netzwerksegmentierung, MFA und 24/7-EDR/XDR-Reaktion auf verdächtige Aktivitäten.
Mehr zu KI-Sicherheit & AI-Agenten
Weitere aktuelle Analysen rund um KI-Agenten, Prompt-Injection und AI-Security:
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
