Persönliche KI-Agenten — OpenClaw, Hermes und was davon zu uns passt

Ein Sprachmodell allein kann reden. Es kann keine Datei öffnen, keinen Termin eintragen, keine Nachricht verschicken. Damit aus dem Reden Handeln wird, braucht es ein Programm dazwischen: Es nimmt den Auftrag entgegen, fragt das Modell, führt aus, was zurückkommt, und merkt sich das Ergebnis. Solche Programme gibt es seit Jahren. Neu ist, dass 2026 zwei davon in einer Weise populär geworden sind, die man nicht mehr übersehen kann — und dass beide quelloffen sind und auf eigener Hardware laufen.

OpenClaw: das Ding mit dem Hummer

OpenClaw ist im Januar 2026 aus einem Wochenend-Projekt des Entwicklers Peter Steinberger entstanden und hat innerhalb von Wochen eine Aufmerksamkeit erreicht, wie sie sonst kein quelloffenes Projekt bekommt. Es hat in dieser Zeit zweimal den Namen gewechselt: erst von „Clawdbot“ zu „Moltbot“, weil Anthropic den Anklang an den eigenen Modellnamen beanstandete, dann wenige Tage später zu OpenClaw. Der Hummer als Maskottchen ist geblieben. Heute steht hinter dem Projekt eine eigene Stiftung, und im Quelltext-Verzeichnis stehen Sponsoren-Namen wie OpenAI, GitHub, NVIDIA und Vercel.

Technisch ist OpenClaw ein dauerhaft laufender Vermittler auf dem eigenen Rechner. An ihn werden Kanäle angeschlossen — WhatsApp, Telegram, Discord, Slack und über zwanzig weitere —, sodass man dem Agenten schlicht schreibt wie einem Menschen. Er hat Zugriff auf Dateien, kann Programme starten und einen Browser steuern. Erweiterungen, im Projekt „Skills“ genannt, kommen aus einem öffentlichen Verzeichnis. Das Sprachmodell ist frei wählbar: Anthropic, OpenAI, Google, ein Vermittler wie OpenRouter oder ein selbst betriebener Dienst mit kompatibler Schnittstelle.

Hermes: dasselbe, aber mit Gedächtnis als Verkaufsargument

Hermes Agent kommt von Nous Research, einer Forschungsgruppe, die vor allem für frei herunterladbare Sprachmodelle bekannt ist, und ist im Februar 2026 erschienen. Der Bauplan ist derselbe: ein Server auf eigener Hardware, Chat-Kanäle davor, Werkzeuge dahinter, MIT-Lizenz, kein Zwang zu irgendeiner Wolke. Der Unterschied, mit dem das Projekt wirbt, ist eine Lernschleife — der Agent führt ein Gedächtnis über Sitzungen hinweg, schreibt sich selbst Anleitungen für wiederkehrende Aufgaben und durchsucht seine eigenen alten Gespräche.

Bemerkenswert ist, wie offen sich Hermes an OpenClaw anlehnt: Die Einrichtung erkennt eine vorhandene OpenClaw-Installation und bietet an, Gedächtnis, Fähigkeiten und Zugangsdaten zu übernehmen. Daneben verkauft Nous Research ein Abonnement, das Modell-Zugriff und einige fertige Zusatz-Dienste bündelt. Man braucht es nicht — der freie Tarif enthält allerdings auch kein Guthaben.

Die Alternativen

Wer nicht messenger-artig arbeiten will, findet ausgereifte Nachbarn:

goose kommt ursprünglich von Block, ist in Rust geschrieben und liegt seit April 2026 bei der Agentic AI Foundation unter dem Dach der Linux Foundation — demselben Dach, unter das im Dezember 2025 auch MCP gewandert ist. Apache-2.0, Arbeitsplatz-Programm und Kommandozeile, konsequent auf MCP gebaut, läuft mit lokalen Modellen. Von allen hier ist das die institutionell stabilste Wahl.

OpenHands ist auf Programmieren spezialisiert, läuft eingesperrt in Containern und ist die Referenz, wenn ein Agent selbstständig Quelltext ändern soll.

Letta ist kein Agent, sondern eine Laufzeit-Umgebung, deren einziges Thema das Gedächtnis ist: gestuft in Kern-, Rückruf- und Archiv-Speicher, vom Agenten selbst verwaltet, in einer Datenbank abgelegt. Wer das Gedächtnis-Problem ernsthaft angeht, landet hier — zahlt aber mit der Bindung an die ganze Plattform.

Khoj dreht die Frage um: nicht ein Agent, der handelt, sondern ein zweites Gehirn, das die eigenen Dokumente durchsuchbar macht.

Und dann gibt es das kommerzielle Feld — Claude Code, Cursor und Verwandte —, das in der Sache oft weiter ist, aber nicht selbst betrieben werden kann und für unsere Zwecke deshalb nur als Werkzeug taugt, nicht als Fundament.

Was 2026 schiefgegangen ist

Die eigentliche Lehre dieses Jahres steckt nicht in den Funktionen, sondern in den Vorfällen. Sie kamen aus drei Richtungen.

Die offene Tür. OpenClaw hörte anfangs auf allen Netz-Schnittstellen statt nur auf der eigenen Maschine und behandelte alles, was von dort zu kommen schien, als vertrauenswürdig. Wer den Dienst hinter einen üblichen Vor-Server stellte, machte damit unabsichtlich jeden Fremden zum Besitzer. Sicherheits- Forscher fanden binnen Sekunden Installationen, aus denen Modell-Schlüssel, Chat-Zugangsdaten und vollständige Gesprächsverläufe zu lesen waren. Über die Gesamtzahl gehen die Angaben weit auseinander; dass es viele Tausend waren, bestreitet niemand.

Der Marktplatz. Erweiterungen laufen im selben Prozess wie der Agent und mit allen seinen Rechten. Bei einer vollständigen Prüfung des offiziellen Verzeichnisses im Februar 2026 waren 341 von 2.857 Erweiterungen bösartig, der größte Teil aus einer einzigen Kampagne. Nachgeschobene Prüfungen haben das Gröbste eingedämmt, aber noch Monate später fanden Forscher durchgerutschte Fälle.

Die untergeschobene Anweisung. Ein Agent, der Webseiten liest und Nachrichten empfängt, liest zwangsläufig auch Text, den ein Angreifer verfasst hat. Steht darin eine Anweisung, kann sie befolgt werden — bis hin dazu, dass der Agent Daten in eine Adresse verpackt, die er selbst abruft. Das ist kein Fehler einer Fassung, sondern eine Eigenschaft der Bauform: Zwischen „Daten, die der Agent liest“ und „Befehlen, die er ausführt“ gibt es keine harte Grenze.

Microsoft hat daraus im Februar 2026 die kürzeste brauchbare Merkregel gemacht: Man solle einen solchen Agenten behandeln wie fremden Programmcode, der mit den eigenen dauerhaft gespeicherten Zugangsdaten läuft. Genau so ist es. Beide Projekte haben inzwischen nachgezogen — Rückschleifen-Bindung als Vorgabe, Freigabe-Verfahren für unbekannte Absender, Container-Abschottung, Erweiterungs-Listen. Der Bauplan bleibt trotzdem der eines Programms mit sehr weitreichenden Rechten.

Unsere Haltung dazu

Wir bauen keinen eigenen persönlichen Agenten. Der Aufwand steht in keinem Verhältnis, und die beiden hier funktionieren.

Was wir tun können, kostet fast nichts: dafür sorgen, dass unsere Apps von außen bedienbar sind, wenn jemand einen solchen Agenten betreibt. Das Protokoll dafür haben wir schon im Haus, den Werkzeug-Server auch. Wer sich OpenClaw oder Hermes hinstellt, soll damit seine eigenen Notizen, Bilder und Termine bei uns erreichen können — und zwar unter seinem eigenen Zugang, mit unseren Zählwerken davor.

Und wenn wir selbst einmal einen betreiben, dann eingesperrt, ohne fremde Erweiterungen, mit einem Modell auf der eigenen Grafikkarte und ohne offene Tür ins Netz. Das ist keine besondere Vorsicht. Das ist die Regel, nach der bei uns ohnehin jeder Dienst läuft.