Open WebUI 0.13: Selbst gehostete KI bekommt Maus, Desktop und Browser

Worum es geht

Open WebUI ist eine kostenlose, quelloffene Chat-Oberfläche, die man auf dem eigenen Rechner oder Server installiert – eine Art selbst gehostetes ChatGPT. Dahinter können lokale Modelle laufen, etwa über Ollama oder llama.cpp (Programme, die KI-Modelle auf eigener Hardware ausführen), oder Modelle von Cloud-Anbietern, die per API angebunden werden. Das Projekt gehört zu den populärsten KI-Werkzeugen auf GitHub: Am 6. November zählte es laut dem Tech-Portal maccus.fr 157.862 Sterne.

Mit Version 0.13.0, veröffentlicht am 3. November 2026, macht Open WebUI einen großen Schritt: KI-Modelle können jetzt einen Computer bedienen. Sie bekommen einen Linux-Desktop, einen Webbrowser und Git – das Werkzeug, mit dem Änderungen an Programmcode verfolgt werden. Das Modell bewegt die Maus selbst, der Nutzer kann zuschauen, eingreifen oder jede Aktion einzeln freigeben. Das Team stellte die Neuerung am 4. November in einem Blogbeitrag mit dem Titel „Your model gets a computer“ (Dein Modell bekommt einen Computer) vor.

Desktop, Browser und Git neben dem Chat

Technisch läuft der Desktop über Open Terminal, ein separates, ebenfalls selbst gehostetes Programm desselben Teams, in dem ein Modell Befehle ausführen und Dateien verwalten kann. Ein Administrator verbindet Open Terminal einmal, danach findet jeder berechtigte Nutzer den Desktop in einem Reiter neben dem Chat – ohne selbst etwas zu installieren.

Empfohlen wird das Standard-Docker-Image von Open Terminal mit rund 4 GB. Docker packt Software in abgeschottete „Container“, kleine in sich geschlossene Räume auf dem Rechner. Die schlankeren Varianten enthalten keinen Desktop. Im Container läuft ein isoliertes Linux, getrennt von den Rechnern der Mitarbeiter. Alternativ lässt sich Open Terminal per pip (dem Installationswerkzeug für Python) direkt auf einem Mac oder Windows-PC installieren – dann arbeitet das Modell allerdings auf dem echten Bildschirm des angemeldeten Nutzers, mit dessen Rechten. Für Teams rät das Projekt deshalb zu Docker.

Voraussetzung auf Modellseite: Es muss Tools aufrufen können (also Aktionen auslösen) und Bilder verstehen, denn der Desktop schickt ihm Screenshots.

Der Browser-Reiter hat einen Chrome-Modus, in dem sich Nutzer und Modell eine Browsersitzung teilen; ein einfacher „Proxy“-Modus für Vorschauen bleibt erhalten. Das Modell kann Webseiten besuchen, Formulare ausfüllen und gerade selbst geschriebene Web-Apps testen. Ein Git-Panel zeigt die Codeänderungen des Modells, die man direkt aus dem Chat in die Projektgeschichte übernehmen oder in ein gemeinsames Repository hochladen kann.

Verwirrend benannt ist Open WebUI Desktop: eine separate App für macOS, Windows und Linux, die am 1. November Version 0.1.0 und tags darauf 0.1.4 erreichte. Sie installiert Open WebUI auf dem eigenen Rechner und kann über llama.cpp auch lokale Modelle ausführen – diese Option ist standardmäßig aber deaktiviert.

Unteragenten, weniger Grenzen, selbst geschriebene Tools

Unteragenten sind Helfer-KIs, an die das Hauptmodell Teilaufgaben abgibt. Neu ist, dass sie auf einem anderen Modell laufen können – ein großes Modell kann einfache Fragen also an ein kleines, günstigeres delegieren. Bisher nutzten sie immer dasselbe Modell.

Unteragenten sind standardmäßig aus. Wer sie einschaltet, sollte aber wissen: Sie laufen nun ohne Limits, bis ein Administrator welche setzt. In der Vorversion galten standardmäßig maximal 20 gleichzeitige Unteragenten, 20 im Hintergrund, 30 Tool-Schleifen pro Agent und 30.000 Zeichen Ausgabe. Das Limit für Tool-Runden in einer einzelnen Antwort stieg zudem von 256 auf 1.024.

Modelle mit Tool-Fähigkeit können auf Wunsch nun eigene Tools in Python schreiben – für Admins und Nutzer mit entsprechender Berechtigung; pro Modell lässt sich das abschalten. Standardmäßig steht die Einstellung „Full access“ aktiv: Jeder Tool-Aufruf wird sofort ausgeführt. Ein Administrator kann stattdessen einen Freigabemodus einschalten, in dem jede Aktion – auch auf Desktop und im Browser – auf Bestätigung wartet. Die Seitenleiste markiert wartende Chats.

Sicherheitsfixes ohne Erklärung

Die Release Notes kündigen Sicherheitskorrekturen an und drängen, „so bald wie möglich“ zu aktualisieren. Im detaillierten Änderungsprotokoll fehlen sie jedoch. Das Team will Sicherheitshinweise (Advisories) veröffentlichen, sobald CVE-Nummern vergeben sind – öffentliche Kennungen für Sicherheitslücken. Laut maccus.fr stand derselbe Absatz schon in den Versionen 0.12.4 und 0.12.5 vom 25. und 29. Oktober; bis zum 6. November beschreibt kein Advisory diese Fixes. Das jüngste stammt vom 18. Oktober und betrifft eine mittelschwere Lücke aus Version 0.12.2. Auch die in 0.12.0 angekündigten Fixes sind nicht dokumentiert. Zuvor hatte das Projekt nach Version 0.11.4 Ende September auf einen Schlag 19 Advisories veröffentlicht, vier davon mit hoher Schwere. Ob Lücken ausgenutzt wurden, ist unbekannt.

Das Update braucht Vorbereitung: 0.13.0 ändert die Datenbankstruktur, ein Zurückgehen geht nur mit Backup. Installationen auf mehreren Servern müssen gleichzeitig aktualisiert werden, sonst drohen laut Release Notes Ausfälle.

Demos mit OpenAI statt lokaler Modelle

Open WebUI bewirbt die Funktion als selbst gehostet: Screenshots gehen an das gewählte Modell – bei einem lokalen Modell bleiben sie im Haus, bei einem Cloud-Modell landen sie beim Anbieter. Die Demo-Videos entstanden laut maccus.fr allerdings mit zwei OpenAI-Modellen über die API: gpt-6.1-sol als Hauptmodell und gpt-6-luna für die Unteragenten. Keine Demo zeigt ein lokales Modell am Desktop.

Immerhin geht der Beitrag auf ein bekanntes Problem ein: Manche lokalen Modelle klicken daneben, weil sie Positionen auf einem Raster von 0 bis 1.000 angeben statt in Pixeln. Abhilfe soll ein Hinweis im Systemprompt (den Daueranweisungen ans Modell) schaffen, dass Klicks Pixelpositionen im letzten Screenshot meinen – samt dessen Größe. Wie oft lokale Modelle tatsächlich erfolgreich sind, wird nicht gemessen.

Das Team nennt selbst Risiken: Webseiten können versteckte Anweisungen an das Modell enthalten (Prompt Injection), und das Modell kann jedes im geteilten Browser eingeloggte Konto nutzen. Empfohlen werden Docker, aktivierte Freigaben und das Abmelden von wichtigen Konten. Seit Open Terminal 0.15.5 (2. November) ist in den Docker-Images zudem die Sandbox von Chromium standardmäßig abgeschaltet, damit der Browser unter Dockers Standardeinschränkungen startet. Die Container-Isolation bleibt, aber innerhalb des Containers schützt Chromium Dateien und Programme nicht mehr. Der Mehrbenutzermodus von Open Terminal trennt Nutzer außerdem nicht voneinander – alle sehen dieselben Dateien. Eigene Container pro Person bietet das Tool „Terminals“, das für den Produktivbetrieb eine Enterprise-Lizenz braucht. Seit Open Terminal 0.16.3 kann der Browser-Reiter auf Wunsch auch den persönlichen Chrome des Nutzers samt Logins öffnen; 0.16.7 brachte ein Docker-Image mit vorinstallierten Coding-Tools Codex und Claude Code.

Einordnung

Open WebUI entwickelt sich rasant vom Chatfenster zur Arbeitsumgebung. Schon die 0.8er-Versionen brachten laut XDA Developers Skills, Prompt-Versionierung, eine Nachrichten-Warteschlange und Python-Ausführung im Browser; der Tester lobte, die Oberfläche sei für Power-User inzwischen in manchen Punkten ChatGPT voraus, bemängelte aber, dass beim Einsatz von Open Terminal Tool-Syntax im Chat auftauche. Im Vergleich mit LibreChat und AnythingLLM bescheinigt shattered.io Open WebUI das schnellste Release-Tempo und empfiehlt es für Team-Server – rät aber, die Lizenz genau zu lesen.

Die „Computer Use“-Funktion zieht mit Angeboten großer KI-Dienste gleich, mit dem Unterschied, dass alles auf eigener Hardware laufen kann. Genau das ist aber noch unbelegt: Die Demos nutzen Cloud-Modelle von OpenAI. Für Administratoren steigt der Aufwand – kaum rückgängig zu machende Datenbankänderung, aufgehobene Agenten-Limits, sofort ausgeführte Tool-Aufrufe und Sicherheitsfixes, deren Inhalt niemand kennt. Wer die neuen Funktionen nutzt, sollte Freigaben einschalten und Docker verwenden. Ob offene Modelle einen Desktop zuverlässig steuern können, werden erst unabhängige Tests mit Ollama oder llama.cpp zeigen.