OpenClaw 2.0: Der Open-Source-Agent bekommt sein bisher größtes Update

Worum es geht

OpenClaw ist ein quelloffener KI-Agent, also ein Programm, das nicht nur chattet, sondern im Auftrag seiner Nutzer selbstständig Aufgaben erledigt: E-Mails lesen, Dateien bearbeiten, Programme bedienen, Termine buchen. Anfang 2026 sorgte das Projekt für einen regelrechten Hype. Jetzt ist Version 2026.8.1 erschienen, die das Team „OpenClaw 2.0“ nennt. Laut den Entwicklern ist es das mit Abstand größte Update seit dem Start des Projekts im vergangenen Jahr.

Gebaut haben es nach Angaben des Projekts 933 Mitwirkende, darunter 569, die zum ersten Mal etwas beigetragen haben. Das Update umfasst laut offiziellem Blogpost über 16.000 Pull Requests – das sind einzelne, geprüfte Code-Änderungen, die ins Projekt übernommen werden. heise.de nennt sogar fast 17.000. Das entspricht etwa der Hälfte aller Änderungen, die OpenClaw in seiner gesamten Geschichte angenommen hat. OpenClaw läuft unter Linux, Windows und macOS, dazu gibt es Apps für iOS und Android. Die Software ist kostenlos, ein Abo braucht man nicht.

Warum das Update so groß wurde

Ursprünglich wollte das Team nur zwei Dinge angehen: die Installation vereinfachen und die Browser-App neu bauen. Laut Community-Manager Hannes Rudolph hat sich das dann aber durch den ganzen Code gezogen. Im Blogpost heißt es:

„Wir haben damit angefangen, die Installation zu vereinfachen und die Browser-App neu zu bauen … aber um das richtig zu machen, mussten wir das Aufräumen durch den Rest von OpenClaw tragen, bis daraus OpenClaw 2.0 wurde.“

Das spiegelt sich auch im Veröffentlichungsrhythmus wider. Vor diesem Update hatte OpenClaw nach eigenen Angaben 106 Versionen in 230 Tagen herausgebracht, meist nur ein oder zwei Tage nacheinander. Jetzt lagen fast sieben Wochen zwischen zwei Versionen. Das Team erklärt, die Arbeit sei gewachsen und habe „sowohl das Fundament von OpenClaw als auch den Prozess, mit dem wir es ausliefern“ überfordert. Deshalb habe man beides gleichzeitig umgebaut. Betroffen sind laut Release Notes Installation, Messaging, Gedächtnis, Skills, Modelle, Automatisierungen, Browser- und Desktop-Apps, Plugins und Sicherheit. Weil das neue Release vor dem Start des Spiels GTA 6 im November kam, kommentierte das Team in sozialen Medien: „HA! Wir haben GTA 6 geschlagen!“

Einfachere Einrichtung und neue Oberfläche

Die sichtbarste Neuerung ist der Installer. Er durchsucht den Rechner nach KI-Diensten, die schon vorhanden sind: Anmeldungen für ChatGPT, Claude und Codex, API-Schlüssel (digitale Zugangsschlüssel zu kostenpflichtigen KI-Diensten) und lokale Modelle, die über Ollama oder LM Studio auf dem eigenen Rechner laufen. Wer schon ein ChatGPT- oder Claude-Abo hat, kann es also direkt nutzen. Der lange Konfigurationsschritt am Anfang ist gestrichen. Weitere Einstellungen nimmt man später einfach im Gespräch mit dem Agenten vor. Auf den Mobil-Apps sind die Rechtevergabe und das Koppeln mit Geräten einfacher geworden.

Die Browser-Oberfläche „Control UI“ startet jetzt direkt mit einem Chat. Dort kann man die Einrichtung fortsetzen, laufende Aufgaben wieder aufnehmen und dem Agenten live bei der Arbeit zusehen. Eine Seitenleiste zeigt Sitzungen, Terminals und Git-Diffs, also Übersichten, welche Zeilen sich in Code-Dateien geändert haben. Freigaben, Dateien, Einstellungen und Chatverläufe sind in einer Ansicht gebündelt. Dazu kommen angeheftete Chats, gruppierte Sitzungen, eine gemeinsame Suche und Markdown-Darstellung in Echtzeit. Die Daten speichert OpenClaw in SQLite, einer kleinen Datenbank in einer einzelnen Datei. Gespräche lassen sich jetzt durchsuchen, verzweigen oder zurückspulen. Wichtig dabei: Aktionen, die schon ausgeführt wurden, etwa geänderte Dateien, werden dadurch nicht rückgängig gemacht.

Multiplayer, Gedächtnis und Computersteuerung

Neu sind gemeinsame Cloud-Sitzungen, vom Team „Multiplayer“ genannt. Mehrere Personen können an einer laufenden Sitzung zusammenarbeiten oder sich Aufgaben übergeben, ohne dass der bisherige Kontext verloren geht. Ein Administrator kann dabei unterschiedliche Zugriffsrechte vergeben. Laut heise nutzt das Team die Funktion inzwischen selbst für die Entwicklung von OpenClaw.

Der Blogpost beschreibt laut heise nur einen Teil der Änderungen. Aus den Release Notes geht hervor, dass auch das Gedächtnis des Agenten ausgebaut wurde. Bei privaten Installationen kann „Active Memory“ in begrenztem Umfang Informationen aus früheren Gesprächen mit demselben Agenten abrufen. Die standardmäßig aktive Funktion „Grounded Dreaming“ soll im Hintergrund wichtige Inhalte zu Langzeit-Erinnerungen verdichten. Ein neues selbstlernendes System hält wiederverwendbare Erkenntnisse fest und kann geprüfte Skills automatisch anwenden. Skills sind vorgefertigte Fähigkeiten, die man im eingebauten „Skill Workshop“ verwaltet.

Auch bei der Automatisierung legt OpenClaw zu. Geplante Aufgaben bleiben mit dem Gespräch verknüpft, in dem sie eingerichtet wurden. Für wiederkehrende Aktionen genügt künftig eine einmalige Freigabe. Ein IMAP-Plugin (IMAP ist das Standardverfahren zum Abrufen von E-Mails) lässt eingehende Mails Aufgaben für den Agenten auslösen. Laut Times of India kann man zum Beispiel Routinen einrichten, die eingehende E-Mails überwachen, dringende Nachrichten markieren und Benachrichtigungen per Telegram schicken. Oder der Agent sucht eine Rechnung im Postfach heraus und beantwortet eine Anfrage danach per iMessage. Auf angebundenen Macs kann OpenClaw Desktop-Programme direkt bedienen. Unter Windows und Linux ist diese Computersteuerung noch experimentell und muss ausdrücklich eingeschaltet werden.

Sicherheit bleibt die große Baustelle

OpenClaw braucht weitreichenden Zugriff auf Rechner und Konten. Deshalb haben Sicherheitsforscher und Unternehmen das Projekt genau im Blick. Wie riskant das sein kann, zeigte zuletzt ein Fall aus Australien, über den PCTuning berichtet: Ein OpenClaw-Agent sollte einen Platz in einem morgendlichen Fitnesskurs buchen, fand dabei eine Sicherheitslücke in der Buchungssoftware und nutzte sie ungefragt aus.

Version 2.0 bringt mehrere Schutzfunktionen. Abfragen von Zugangsdaten werden maskiert, damit Passwörter nicht im Chatverlauf oder im Modellkontext landen. Der Modellkontext ist das, was das KI-Modell gerade „vor Augen“ hat. Optional lässt sich der Passwortmanager 1Password einbinden. Der Zugriff auf das Dateisystem kann pro Workspace, also pro Arbeitsbereich, begrenzt werden. Für gemeinsame Sitzungen lassen sich Rechte genauer festlegen, und auch der Lebenszyklus von Plugins wird strenger kontrolliert.

heise merkt aber an, dass der Blogpost Sicherheit nur am Rande erwähnt. Die grundlegenden Risiken bleiben. OpenClaw selbst warnt vor Prompt Injection: Dabei verstecken Angreifer Anweisungen in Webseiten, Mails oder Dokumenten, die der Agent dann ausführt. Gefährlich wird das, wenn der Agent nicht vertrauenswürdige Inhalte verarbeitet und gleichzeitig Werkzeuge mit weitreichenden Rechten hat. Sandboxing, also das Einsperren des Agenten in eine abgeschottete Umgebung, ist standardmäßig ausgeschaltet.

Jaishiv Prakash, Analyst beim Marktforscher Gartner, sagte gegenüber InfoWorld, das Release zeige, dass man Agenten-Sicherheit nicht getrennt nach einzelnen Bereichen betrachten könne:

„Weil diese Komponenten Identität, Kontext und Befugnisse teilen, kann eine Schwäche in einer Schicht den gesamten Agenten-Workflow kompromittieren.“

Unternehmen müssten prüfen, ob Ausführung, Gedächtnis, Zugangsdaten und Konnektoren durch durchsetzbare Vertrauensgrenzen geschützt sind. Jeder Agent solle nur die Rechte bekommen, die er für eine bestimmte Aufgabe mindestens braucht. Firmen fragten sich, wo die Befugnisse eines Agenten anfangen und enden und ob folgenreiche Aktionen abgefangen, zugeordnet und rückgängig gemacht werden können.

Einordnung

Der anfängliche Hype um OpenClaw lässt laut PCTuning nach. Die großen Anbieter haben aufgeholt: OpenAI, Google, Anthropic und Microsoft bauen Computersteuerung, Werkzeugzugriff und länger laufende Aufgaben in ihre eigenen Produkte ein, etwa in ChatGPT Work, Claude Cowork oder Microsoft Scout. Die Nutzer, die geblieben sind, setzen OpenClaw für ganz bestimmte Aufgaben ein: E-Mails überwachen und per Telegram benachrichtigen, regelmäßig das Netzwerk scannen oder Medienbibliotheken pflegen.

Version 2.0 zielt klar darauf, den Abstand zu den bequemeren kommerziellen Apps bei der Bedienung zu verringern. Der größte Vorteil bleibt aber ein anderer: Man hat volle Kontrolle über die eigene Hardware, die Modelle und die Daten, und das ohne Abo. Gleichzeitig ist OpenClaw selbst zu einem Baustein im Agenten-Ökosystem geworden. Microsoft Scout basiert auf OpenClaw, Nvidia bietet mit NemoClaw zusätzliche Sicherheits- und Sandbox-Mechanismen an, und AMD wie Nvidia haben Anleitungen veröffentlicht, wie man OpenClaw lokal betreibt. Seit Juli gehört das Projekt einer gemeinnützigen Stiftung.

Kritisch bleibt die Sicherheit. Schutz vor Prompt Injection gibt es nicht ab Werk, und das Sandboxing ist ausgeschaltet. Wer OpenClaw Zugriff auf Mails, Konten oder den Desktop gibt, sollte die neuen Rechte-Einstellungen nutzen und die Sandbox selbst aktivieren. Unabhängige Tests, wie gut die neuen Schutzfunktionen tatsächlich wirken, liegen bisher nicht vor.