Microsoft hat am 19. Februar 2026 einen umfassenden Sicherheitsbericht zu OpenClaw veröffentlicht – der beliebten selbst-gehosteten KI-Agenten-Laufzeitumgebung. Die Kernbotschaft ist klar: OpenClaw verfügt über begrenzte eingebaute Sicherheitskontrollen und sollte als nicht vertrauenswürdige Codeausführung mit dauerhaften Anmeldeinformationen behandelt werden.
Die drei Hauptrisiken von OpenClaw
Microsoft identifiziert drei Risiken, die sich bei einer ungeschützten Bereitstellung schnell materialisieren:
1. Credential-Exfiltration – Anmeldeinformationen und zugängliche Daten können offengelegt oder exfiltriert werden. OpenClaw erbt das Vertrauen und das Risiko der Maschine und der Identitäten, die es nutzen kann.
2. Memory-Manipulation – Der persistente Zustand oder das "Gedächtnis" des Agenten kann modifiziert werden, sodass er über die Zeit hinweg Anweisungen von Angreifern befolgt, statt die des Betreibers.
3. Host-Kompromittierung – Die Host-Umgebung kann kompromittiert werden, wenn der Agent dazu gebracht wird, schädlichen Code abzurufen und auszuführen.
Zwei Angriffsvektoren: Skills und Prompts
Microsoft unterscheidet zwei Lieferketten, die in einer einzigen Ausführungsschleife konvergieren:
Skill-Malware über ClawHub
Angreifer veröffentlichen bösartige Skills auf ClawHub – dem öffentlichen Skills-Register für OpenClaw. Diese werden als nützliche Werkzeuge getarnt oder manchmal sogar offen als Malware verpackt. Die Installation eines Skills entspricht im Wesentlichen der Installation von privilegiertem Code.
Indirekte Prompt-Injection
Wenn Agenten so konfiguriert sind, dass sie einen gemeinsamen Feed abfragen (z.B. über Moltbook), kann ein Angreifer bösartige Anweisungen in Inhalte einbetten, die der Agent aufnimmt. Ein einziger schädlicher Beitrag kann mehrere Agenten gleichzeitig erreichen.
Das Angriffsszenario: Der vergiftete Skill
Microsoft beschreibt ein fünfstufiges Kompromittierungsszenario:
Stufe 1: Verteilung – Angreifer veröffentlicht bösartigen Skill auf ClawHub und bewirbt ihn über Community-Kanäle.
Stufe 2: Installation – Ein Entwickler oder der Agent selbst installiert den Skill, weil er für eine Aufgabe relevant erscheint.
Stufe 3: Zustandszugriff – Der Angreifer erhält Zugriff auf Tokens, gecachte Anmeldeinformationen, Konfigurationsdaten und Transkripte.
Stufe 4: Privilegien-Missbrauch – Mit gültigen Identitätsmaterialien führt der Angreifer Aktionen über Standard-APIs durch.
Stufe 5: Persistenz – Persistenz manifestiert sich als dauerhafte Konfigurationsänderungen wie neue OAuth-Zustimmungen, geplante Ausführungen oder modifizierte Agenten-Aufgaben.
Microsofts Mindestanforderungen für sicheren Betrieb
Microsoft empfiehlt folgende Basislinie, wenn OpenClaw evaluiert werden muss:
Nur in Isolation betreiben – Dedizierte virtuelle Maschine oder separates physisches Gerät, das nicht für die tägliche Arbeit genutzt wird.
Dedizierte Anmeldeinformationen verwenden – Konten, Tokens und Datensätze, die ausschliesslich für den Agenten existieren. Regelmässige Rotation einplanen.
Zustandsmanipulation überwachen – Regelmässige Überprüfung der gespeicherten Anweisungen und des Zustands des Agenten.
Schnellen Rebuild ermöglichen – Regelmässig neu installieren und sofort neu aufbauen, wenn anomales Verhalten beobachtet wird.
Wie CNEXT Ihr Unternehmen absichert
Als Microsoft-Partner mit Expertise in Security und Identity bietet CNEXT umfassende Unterstützung für Unternehmen, die KI-Agenten sicher betreiben möchten:
Microsoft Entra ID & Zero Trust
Wir implementieren dedizierte Agent-Identitäten mit minimalen Berechtigungen, kurzlebige Tokens und Conditional Access Policies. Jeder Agent erhält genau die Rechte, die er benötigt – und nicht mehr.
Microsoft Defender XDR
Wir konfigurieren Microsoft Defender for Endpoint auf Agent-Hosts und nutzen Microsoft Defender XDR, um Endpoint-Aktivitäten mit Identity- und Cloud-Ereignissen zu korrelieren. Verdächtige Aktivitäten werden sofort erkannt und eingedämmt.
Governance mit Microsoft Defender for Cloud Apps
App Governance inventarisiert OAuth-Apps, überwacht Consent-Drift und alarmiert bei riskanten Publishern oder Berechtigungsstufen. So behalten Sie die Kontrolle über alle Agent-Zugriffsrechte.
Isolierte Agent-Umgebungen
Wir entwerfen und implementieren isolierte Betriebsumgebungen für KI-Agenten – von dedizierten VMs über Container-Lösungen bis hin zu netzwerkisolierten Segmenten mit minimaler Angriffsfläche.
Monitoring & Incident Response
Unser Team richtet kontinuierliches Monitoring ein und definiert Playbooks für den Fall, dass ein Agent kompromittiert wird. Von der Erkennung bis zur Wiederherstellung – wir sorgen dafür, dass Ihr Unternehmen handlungsfähig bleibt.
Managed Platforms vs. Self-Hosted: Die richtige Entscheidung
Microsoft betont einen wichtigen Unterschied: Bei verwalteten Plattformen (wie Microsoft Copilot) werden Sicherheitskontrollen zentral verwaltet. Bei selbst-gehosteten Laufzeitumgebungen wie OpenClaw liegt die Verantwortung vollständig beim Unternehmen.
Unsere Empfehlung: Prüfen Sie zunächst, ob Ihre Anforderungen mit Microsoft Copilot Studio oder Azure AI Foundry abgedeckt werden können – dort profitieren Sie von eingebauter Governance, Identity-Management und Compliance. Wenn selbst-gehostete Agenten unvermeidbar sind, helfen wir Ihnen, diese sicher zu betreiben.
Fazit
Der Microsoft-Sicherheitsbericht macht deutlich: Selbst-gehostete KI-Agenten sind kein Plug-and-Play-Thema. Sie erfordern durchdachte Sicherheitsarchitekturen, dedizierte Identitäten und kontinuierliches Monitoring. CNEXT unterstützt Schweizer Unternehmen dabei, KI-Agenten sicher und kontrolliert einzusetzen – mit der vollen Kraft des Microsoft Security Stacks.
Kontaktieren Sie uns für eine Sicherheitsbewertung Ihrer KI-Agenten-Infrastruktur.