NemoClaw ist kein Konkurrent von OpenClaw, sondern eine Sandbox drumherum. Was diese Sandbox im Oktober 2026 wirklich leistet, was sie offenlässt und wie du einen selbst gehosteten Agenten härtest, egal wofür du dich entscheidest.
Update Oktober 2026: Was sich seit der ersten Fassung geändert hat
- Ich hatte NemoClaw „Enterprise-tauglich“ genannt. Zu großzügig: NVIDIA beschreibt es selbst als Early-Preview-Referenz-Stack für einen vertrauenswürdigen Operator auf einem Host, nicht als mandantenfähige Enterprise-Control-Plane.
- OpenShell ist keine OpenClaw-Komponente, sondern NVIDIAs Sandbox-Runtime. OpenClaw kann sie inzwischen auch direkt als Sandbox-Backend nutzen.
- Meine Liste der OpenClaw-Defaults ist überholt: Auf einem normalen Host bindet das Gateway an loopback, die meisten Kanäle antworten Unbekannten mit einem Pairing-Code,
openclaw security auditprüft die Konfiguration, Sessions landen auf der Platte, inzwischen in einer SQLite-Datenbank pro Agent (ältere als JSONL). Die Sandbox ist aber weiterhin standardmäßig aus. - Eine automatische PII-Filterung finde ich in der aktuellen NemoClaw-Doku nicht. Dokumentiert sind Secret-Redaction und ein Secret-Scanner für Memory-Dateien.
- Neben Linux gelten laut Voraussetzungen auch macOS (Apple Silicon) und WSL2 als „getestet mit Einschränkungen“. Node.js 22.19+ statt v20.
Was OpenClaw, OpenShell und NemoClaw heute sind
OpenClaw (früher Clawdbot, dann Moltbot) ist ein selbst gehostetes Gateway, das Chat-Kanäle wie WhatsApp, Telegram oder Slack mit einem KI-Agenten verbindet. Der Agent kann laut eigener Doku Shell-Befehle ausführen, Dateien lesen und schreiben, Netzwerkdienste ansprechen und Nachrichten an beliebige Empfänger senden (sofern Kanalzugriff besteht). Dazu kommen Skills aus dem Marktplatz ClawHub. Im Februar 2026 ist Gründer Peter Steinberger zu OpenAI gewechselt, das Projekt soll laut seiner Ankündigung in eine Foundation wandern und offen bleiben. Über 390.000 GitHub-Sterne: kein Nischenprojekt.
OpenShell ist NVIDIAs Open-Source-Runtime für Agenten-Sandboxes: Network Namespace, seccomp, Landlock, ein Proxy, durch den jede ausgehende Verbindung muss, und Inference-Routing, damit API-Keys auf dem Host bleiben.
NemoClaw ist NVIDIAs Referenz-Stack obendrauf, vorgestellt auf der GTC am 16. März 2026. Ein CLI plus versioniertes Blueprint baut per nemoclaw onboard eine gehärtete OpenShell-Sandbox für OpenClaw, inzwischen auch für Hermes und LangChain Deep Agents Code. Stand heute: v0.0.130 vom 1. Oktober 2026, weiterhin Early Preview. Das Modell bleibt frei wählbar, von NVIDIA über Anthropic und OpenAI bis lokal per Ollama.
Die Büro-Analogie
Die Analogie zeigt auch die Grenze: Kein Drehkreuz verhindert, dass der Mitarbeiter am Telefon einem Betrüger glaubt.
Das Threat Model: ein Agent mit allen drei Beinen
Ein selbst gehosteter Assistent ist fast per Definition die Lethal Trifecta. Er liest deine Mails, Kalender und Dateien: private Daten. Er verarbeitet Nachrichten aus Gruppenchats, Webseiten und Skill-Beschreibungen: untrusted Content. Und sein ganzer Zweck ist externe Kommunikation: Nachrichten senden, APIs aufrufen, URLs abrufen. Bei einem Messaging-Agenten ist das dritte Bein kein Nebeneffekt. Es ist das Produkt.
OpenClaws eigene Doku sagt es nüchtern: Die meisten Fehler seien keine exotischen Exploits, sondern „jemand hat dem Bot geschrieben, und der Bot hat getan, was verlangt wurde“. Die Verteidigungsreihenfolge dort: erst Identität (wer darf mit dem Bot reden), dann Scope (wo darf er handeln), zuletzt das Modell, mit der Annahme, dass es manipulierbar ist. Das ist genau die Haltung „Architektur vor Prompts“, die sich durch diese Serie zieht.
Was 2026 tatsächlich passiert ist
- ClawHavoc (Februar): Koi Security prüfte 2.857 Skills auf ClawHub und fand 341 bösartige, 335 davon aus einer einzigen Kampagne. Ein gefälschter „Prerequisites“-Abschnitt brachte Nutzer dazu, Malware wie Atomic Stealer zu installieren. OpenClaw scannt Skills seitdem mit VirusTotal, schreibt aber selbst: Ein Skill, der den Agenten in natürlicher Sprache zu etwas Bösartigem anweist, löst keine Virensignatur aus.
- CVE-2026-25253 (CVSS 8.8, gefixt in 2026.1.29): Die Control UI übernahm eine
gatewayUrlaus dem Query-String und schickte das Gateway-Token ungefragt dorthin. Ein Klick auf einen präparierten Link genügte, um das Gateway zu übernehmen, auch bei Bind an loopback, weil der Browser des Opfers die Verbindung aufbaut. - Claw Chain (Mai, gefixt in 2026.4.22): Vier verkettbare Lücken, drei davon in OpenClaws OpenShell-Sandbox-Backend und im MCP-Loopback, darunter eine Race Condition, über die Schreibzugriffe aus der Sandbox heraus umgeleitet werden konnten; die vierte steckt in der Exec-Allowlist. Startpunkt: Code-Ausführung in der Sandbox, etwa per bösartigem Plugin oder Prompt Injection.
- CVE-2026-24222 (NemoClaw, gefixt in v0.0.18): Prompt Injection konnte den Agenten dazu bringen, unzureichend abgeschirmte Host-Umgebungsvariablen auszulesen und zu exfiltrieren.
- Gesamtbild: Das OpenClaw-Repo listet über 700 veröffentlichte Security Advisories, 14 davon kritisch (Stand 6. Oktober 2026). Das spricht auch für einen funktionierenden Disclosure-Prozess, heißt aber: patchen wie bei einem Browser.
Zwei Lektionen. Erstens: Die Sandbox ist selbst Code und hat Bugs. Plane für den Fall, dass sie bricht. Zweitens: Die Ketten beginnen dort, wo untrusted Content auf den Agenten oder seinen Nutzer trifft, bei einem Skill, einem Link, einer injizierten Nachricht. Genau dieses Muster habe ich in Das Jahr, in dem KI-Agenten zur Angriffsfläche wurden beschrieben.
Was NemoClaw mitigiert und was nicht
Legt man die Kontrollen auf die drei Beine der Trifecta, ergibt sich ein klares Bild. Grundlage ist NVIDIAs eigene Security-Posture-Doku, die offen über Restrisiken spricht.
| Bein | Was NemoClaw tut | Was offen bleibt |
|---|---|---|
| Externe Kommunikation | Egress ist deny-by-default. Unbekannte Ziele landen zur Freigabe im Terminal-UI, Regeln lassen sich auf einzelne Binaries, HTTP-Methoden und Pfade einschränken. Stark | Jeder erlaubte Endpunkt ist laut NVIDIA ein möglicher Exfiltrationspfad. Der Default-Tier „Balanced“ öffnet npm, PyPI, Hugging Face und Homebrew. Endpunkte ohne L7-Inspektion prüft der Proxy nur nach Host, Port und Binary. Und die Chat-Kanäle sind selbst ein Ausgang. Offen |
| Private Daten | Keys für Modelle und MCP-Server bleiben auf dem Host, der Agent spricht nur mit inference.local. Systempfade sind read-only, schreibbar sind im Wesentlichen /sandbox und /tmp. Stark |
Alles, was du dem Agenten in den Workspace legst, kann er lesen und weitergeben. Seine OpenClaw-Konfiguration bleibt für ihn änderbar, und Base64-kodierte Secrets erkennt der Scanner nicht. Offen |
| Untrusted Content | Wenig. Ein Scanner verhindert, dass der Agent 14 bekannte Credential-Muster in Memory-Dateien schreibt. | Prompt Injection über Nachrichten, Webseiten und Skills funktioniert unverändert. NemoClaw führt keine eigene Plugin-Allowlist. Offen |
| Host (Blast Radius) | seccomp, Landlock, Privilege-Drop, kein gcc und kein netcat im Image. Stark |
Landlock läuft „best effort“ und entfällt auf Kerneln vor 5.13 stillschweigend. Agent, Gateway und Supervisor teilen sich eine UID. |
Unterm Strich beantwortet NemoClaw sehr gut, was ein kompromittierter Agent auf meinem Host und mit meinen Keys anrichten kann. Es beantwortet nicht, wie ich verhindere, dass er kompromittiert wird. In Trifecta-Begriffen: NemoClaw schützt Credentials, nicht Daten, und kappt das Kommunikations-Bein nur so weit, wie du die Allowlist eng hältst.
Härtungs-Checkliste, egal wofür du dich entscheidest
- Patchen wie einen Browser. Mindestens OpenClaw 2026.4.22 und NemoClaw v0.0.18, besser die jeweils aktuelle Version.
- Gateway privat halten. Bind an loopback, Token-Auth, DM-Pairing, in Gruppen nur auf Mention reagieren. Zugriff von außen per SSH-Tunnel oder Tailscale, nie öffentlich. Vorsicht: Container-Images binden laut OpenClaw-Doku standardmäßig nach außen.
openclaw security auditregelmäßig laufen lassen, nicht nur beim Setup. Konfigurationen driften.- Sandbox einschalten. In OpenClaw ist sie standardmäßig aus; per
agents.defaults.sandboxaktiviert, startet das Docker-Backend ohne Netzwerk. Aber nur die Tool-Ausführung zieht um, das Gateway mit den Chat-Kanälen bleibt auf dem Host. Mit NemoClaw: Tier „Restricted“ statt des Defaults „Balanced“, Freigaben einzeln statt pauschal. - Tools pro Agent minimal halten. Wer untrusted Content liest, bekommt kein
exec, keinen Dateizugriff, keintools.elevated. Die Hardened Baseline ist ein guter Startpunkt. - Reader-Agent vorschalten. Ein Agent ohne Tools fasst Mails und Webseiten zusammen, erst die Zusammenfassung geht an den Agenten mit Rechten. OpenClaw empfiehlt das selbst. Die Zusammenfassung bleibt trotzdem untrusted.
- Secrets aus der Reichweite des Agenten. Keine
.env-Dateien im Workspace, eigene Accounts und eine eigene Nummer für den Bot, Tokens mit minimalen Scopes. - Skills wie Dependencies behandeln.
SKILL.mdvor der Installation lesen, nie „Prerequisites“ aus einer Skill-Beschreibung ausführen. Der VirusTotal-Scan ist eine Schicht, kein Freibrief. - Memory im Blick behalten. Der Secret-Scanner hält Keys fern, nicht vergiftete Fakten. Wie billig Memory Poisoning ist, habe ich mit zwei Chat-Nachrichten gezeigt.
- Ausgabenlimit beim Provider setzen. NemoClaw deckelt keine Token-Kosten.
- Nach einem Verdacht neu aufsetzen. Sandbox aus vertrauenswürdigem Zustand neu bauen, Keys rotieren. In NemoClaw verschwinden freigegebene Endpunkte erst, wenn du die Sandbox zerstörst und neu aufsetzt;
nemoclaw <sandbox> rebuildübernimmt die aktuelle Policy samt Freigaben.
Wann keins von beiden reicht
Beide Projekte benennen ihre Grenze offen: eine Vertrauensgrenze pro Gateway bei OpenClaw, ein vertrauenswürdiger Operator pro Host bei NemoClaw. In vier Fällen reicht deshalb keins von beiden:
- Mehrere Nutzer, die sich nicht vertrauen. Wer einem OpenClaw-Agenten mit Tools schreiben kann, teilt dessen Rechte. NemoClaw trennt ebenfalls keine Mandanten. Lösung: getrennte Gateways, OS-User oder Hosts.
- Enterprise-Anforderungen. Laut NVIDIAs Enterprise-Readiness-Seite ist SSO Roadmap, Operator-RBAC und Mandantentrennung sind out of scope, Audit-Export, SIEM und Fleet-Policy sind Handarbeit. Für ein Team mit Compliance-Pflichten ist NemoClaw ein Baustein, keine Plattform.
- Ein Agent, der alle drei Beine mit sensiblen Daten braucht. Liest derselbe Agent Kundenmails, schreibt ins CRM und verschickt Mails, hilft keine Sandbox: Der Exfiltrationsweg ist eine erlaubte Funktion. Zerlege die Aufgabe in Agenten, denen je ein Bein fehlt, und setze eine menschliche Freigabe vor jede ausgehende Aktion.
- Kein Patch-Prozess. Liest niemand die Advisories, ist ein Always-on-Agent mit Shell-Zugriff ein Risiko, das keine Konfiguration ausgleicht.
Meine Entscheidungshilfe
Experiment auf dem eigenen Rechner, keine echten Accounts
OpenClaw mit eingeschalteter Sandbox und Hardened Baseline reicht. NemoClaw lohnt sich, wenn du Egress-Allowlists im Alltag kennenlernen willst.
Always-on-Assistent mit echten Accounts auf einem Server
NemoClaw im Tier „Restricted“, oder OpenShell direkt, wenn du eigene Images und Policies brauchst. Plus die komplette Checkliste oben.
Team, Kundendaten, Compliance
Architektur zuerst: Trifecta-Beine pro Aufgabe trennen, Freigaben für ausgehende Aktionen, eigenes Monitoring. NemoClaw kann darin die Sandbox-Schicht sein, nicht das Sicherheitskonzept.
Wo dein eigener Agent heute steht, kannst du mit meinem Agent-Security-Self-Assessment einordnen.
Fazit
Die Frage „OpenClaw oder NemoClaw?“ ist immer noch falsch gestellt, nur anders, als ich im Frühjahr dachte. NemoClaw ist nicht „das sichere OpenClaw“, sondern eine gute Netzwerk- und Credential-Grenze um einen Agenten, dessen Entscheidungen manipulierbar bleiben. Das begrenzt den Blast Radius. Es ersetzt aber nicht die Frage, die ich jedem stelle, der einen Agenten deployt: Wenn er einer Injection folgt, was kann er dann tatsächlich anrichten?
Aus der Lethal Trifecta kommst du nicht per Prompt raus, und auch nicht per Sandbox allein. Eine Sandbox kappt bestenfalls ein Bein, und nur so weit, wie du die Allowlist pflegst. Den Rest musst du per Architektur bauen. Wie das aussieht, steht im Defense Playbook für KI-Agenten und in der Auswertung von 247 Papern zur Agent Security.
Quellen (Stand 6. Oktober 2026): NVIDIA NemoClaw Docs: Ecosystem, Security Posture, Filesystem Controls, Enterprise Readiness, Release Notes; OpenClaw Docs: Trust Model, Sandboxing, Prompt Injection; OpenClaw Security Advisories.
Verwendete Tools:
Du betreibst einen selbst gehosteten Agenten oder planst einen und willst wissen, was er im Ernstfall anrichten kann? Schreib mir, ich helfe bei Threat Model, Härtung und Architektur.