OpenClaw 2.0 lieferte die Hälfte aller jemals gemergten Pull Requests des Projekts — nach sieben Wochen ohne Release

230 Tage lang veröffentlichte OpenClaw ungefähr jeden zweiten Tag ein Release — 106 insgesamt, die meisten innerhalb von ein bis zwei Tagen nach dem vorherigen. Dann, Mitte Juli 2026, hörte es auf. 49 Tage lang veröffentlichte der Open-Source-KI-Agent mit 388.419 GitHub-Sternen überhaupt nichts.

Am 31. August 2026 erschien v2026.8.1, und dieses Release enthielt mehr als 16.000 gemergte Pull Requests von 933 Mitwirkenden, von denen 569 zuvor nie etwas beigetragen hatten. Nach der eigenen Rechnung des Projekts trägt dieses eine Release rund 50 % aller jemals in OpenClaw gemergten Pull Requests.

Das Muster ist schwer zu übersehen, und es geht nicht wirklich um ein einzelnes Projekt. In den letzten achtzehn Monaten hat sich die Modell-Ebene geöffnet — Gewichte zum Herunterladen, lesbare Lizenzen, kollabierte Preise. Was OpenClaw 2.0 markiert, ist dasselbe eine Ebene höher: dort, wo entschieden wird, was ein Modell überhaupt anfassen darf. Dieser Text ist eine genaue Lektüre dieses Releases: was die Geschwindigkeitszahlen tatsächlich messen, das „Bring dein eigenes Modell mit"-Setup, das Ihr bereits bezahltes Abo importiert, die Multiplayer-Funktion, die das Problem der Kontextübergabe angeht, die Migration, die Ihre bestehende Installation beschädigen kann, und die Sicherheitsvoreinstellungen, die weiterhin ausgeschaltet sind. Es ist die Fortsetzung unserer Texte über das Stealth-Modell, das sich als GLM-5.3-Flash entpuppte und den 27B-Download, der das beste geschlossene Modell vom Februar überholte — dasselbe Argument, eine Abstraktionsebene höher.

Kurz gefasst:

• Das Volumen ist belegt und enorm. Über 16.000 PRs, 933 Mitwirkende, 569 zum ersten Mal, in einem am 31. August 2026 veröffentlichten Release — rund die Hälfte aller je gemergten PRs des Projekts, nach 49 Tagen ohne Veröffentlichung.
• „KI, die Ihnen gehört" hat jetzt eine konkrete Bedeutung. Das geführte Setup nutzt eine bestehende Codex-, ChatGPT- oder Claude-CLI-Anmeldung, einen eingefügten API-Key, eine frische Provider-Anmeldung oder ein installiertes Ollama-/LM-Studio-Modell — und beweist vor dem Speichern, dass die Wahl antworten kann.
• Das ist die Wende zur Reife, und sie kostet etwas. Sessions und Transkripte liegen jetzt in SQLite, HEARTBEAT.md wird zur Laufzeit nicht mehr gelesen, der deactivate-Alias des Plugin-SDK ist weg — und ein Rollback über die Migration hinweg verlangt, dass die aktuelle CLI zuerst archivierte Alt-Artefakte wiederherstellt.
• Bessere Sicherheit ist nicht dasselbe wie sichere Voreinstellungen. Sandboxing und Ausführungsfreigaben sind ab Werk aus, der Secret Store ist im Ruhezustand unverschlüsselt, und geteilte Sessions sind dokumentiert keine Sicherheitsgrenze.

Kadenz und Inhalt des 2.0-Zyklus. Zahlen aus den Release Notes und dem Blogbeitrag des Projekts vom 31. August 2026.

Sechzehntausend Pull Requests sind eine Aussage über Menschen, nicht über Code

Beginnen wir damit, was die Zahl nicht ist. 16.000 gemergte PRs sind keine 16.000 Features, und wer je ein aktives Repository beobachtet hat, weiß, dass das meiste davon Dokumentationskorrekturen, Dependency-Updates, Test-Härtung und Einzeiler sind. Die Release Notes bestätigen das: ganze Unterabschnitte bestehen aus Einträgen wie „Onboarding-Setup-Befehl korrigiert" und „Unterstreichungen von den Dashboard-Session-Karten entfernt".

Was die Zahl tatsächlich misst, ist Beteiligung — und das ist die interessantere Größe. 933 Menschen haben zu diesem Release beigetragen, und 569 von ihnen hatten OpenClaw zuvor nie etwas beigesteuert: eine Erstbeitragsquote von 61 %. Dieses Verhältnis zeigt ein Projekt, dessen Beitragendenbasis noch wächst, statt sich um ein Kernteam zu verdichten.

Die Kurve drumherum ist noch steiler als das Release selbst. Wikipedia verzeichnet das Projekt am 2. März 2026 mit 247.000 Sternen und 47.700 Forks. Als wir am 1. September 2026 die GitHub-API abfragten, lieferte dasselbe Repository 388.419 Sterne und 81.534 Forks — ein Zuwachs von rund 141.000 Sternen und 34.000 Forks in sechs Monaten, bei einem Repository, das vor dem 24. November 2025 nicht existierte.

März-Zahlen aus dem Wikipedia-Artikel zu OpenClaw, September-Zahlen am 1. September 2026 direkt über die GitHub-REST-API abgerufen. Sternzahlen sind ein Beliebtheitssignal, keine Nutzungsmessung.

Diese letzte Einschränkung zählt. Sterne sind die billigste denkbare Zustimmung — ein Lesezeichen, keine Installation. Wir zitieren sie, weil die Differenz etwas über Aufmerksamkeit aussagt, nicht weil 388.419 Menschen einen Agenten auf ihrem Laptop laufen lassen.

Und hier ist der Punkt; wir markieren den Übergang ausdrücklich. Alles bisher war Messung, was folgt, ist unsere Lesart. Dieses Release ist einen Artikel wert, weil die Geschichte der offenen KI bislang fast ausschließlich eine Geschichte über Gewichte war. Labore veröffentlichten Modelle; alles, was entschied, was diese Modelle tun durften — Ihre E-Mails lesen, einen Button klicken, Ihrem Bruder schreiben — blieb im geschlossenen Produkt irgendeines Anbieters. Ein Release mit 933 Mitwirkenden auf der Harness-Ebene ist der erste starke Beleg dafür, dass die Agentenebene der Modellebene in die Offenheit folgt — und zwar schneller, als es die Modellebene tat.

Warum das schnelle Projekt bewusst aufhörte, schnell zu sein

Die Lücke von sieben Wochen ist die zitierfähigste Tatsache dieses Releases und die am wenigsten diskutierte.

Die Erklärung des Teams ist ungewöhnlich direkt. In ihrem Release-Beitrag schreiben sie, die Kadenz habe sich verlangsamt, während die Entwicklung beschleunigte: „unser Team wuchs, und das gestiegene Volumen und Tempo der Arbeit überstieg sowohl das Fundament von OpenClaw als auch den Prozess, mit dem wir ausliefern, also haben wir beides gleichzeitig überarbeitet." Die zusätzlichen Wochen flossen darin, das Release den Kontakt mit bestehenden Installationen überstehen zu lassen, nicht nur mit frischen.

Liest man das gegen die 106 Releases in 230 Tagen, entsteht das Porträt eines sehr spezifischen Übergangs. Jeden zweiten Tag auszuliefern, macht ein Projekt, solange die Kosten eines schlechten Releases niedrig sind, weil noch niemandes Setup tragend ist. 49 Tage zu pausieren, um einen Migrationspfad zu schreiben, macht ein Projekt, wenn das nicht mehr stimmt.

Wir nennen das die Infrastrukturwende: den Moment, in dem ein schnelles Werkzeug genug echte Nutzer hat, dass „schnell sein" und „nicht kaputt machen, worauf sich Leute verlassen" aufhören, vereinbar zu sein — und das Projekt sich entscheiden muss. OpenClaw hat sich öffentlich entschieden, und die Release Notes liefern die Belege: eine Speicher- und Downgrade-Warnung ganz oben im Installationsabschnitt, ein dokumentiertes Backup-Verfahren und openclaw doctor --fix-Migrationen für zwei separate Subsysteme.

Ein kleiner Beleg dafür, dass der Prozess noch hinterherkommt: Die Release Notes beginnen mit der Warnung, dass ein als 2026.9.1-beta.1 veröffentlichtes Paket falsch versioniert wurde und tatsächlich 2026.8.1-beta.4 ist und nicht als neuer als das stabile 2026.8.1 interpretiert werden darf. Ein Versionierungsfehler, der ein eigenes Banner braucht, ist genau das, was die Infrastrukturwende beseitigen soll. Sie hat es noch nicht.

„KI, die Ihnen gehört" beginnt beim Setup-Bildschirm, und das ist keine Kleinigkeit

Der Ausdruck „KI, die Ihnen gehört" wird locker verwendet. In diesem Release hat er eine konkrete, überprüfbare Bedeutung: Das Erste, was der Installer tut, ist nach KI-Zugängen zu suchen, die Sie bereits haben, statt Sie zum Kaufen aufzufordern.

Das geführte Setup akzeptiert im selben Durchlauf vier Quellen:

1. Eine bestehende, verifizierte CLI-Anmeldung — Codex, ChatGPT oder Claude. Wenn Sie ohnehin ein Consumer-Abo zahlen, kann der Agent es nutzen.
2. Einen eingefügten API-Key, für alle, die den Verbrauch lieber direkt abrechnen.
3. Eine frische Provider-Anmeldung, für alle, die weder das eine noch das andere haben. Neue OpenAI-Setups verwenden standardmäßig GPT-5.6.
4. Lokal installierte Modelle — das Setup durchsucht die Maschine nach vorhandenen Ollama- und LM-Studio-Installationen.

Dann kommt der Schritt, den die meisten Onboarding-Flows auslassen: Es beweist, dass das gewählte Modell tatsächlich antworten kann, bevor Modell und Zugangsdaten gespeichert werden. Wer je zwanzig Minuten damit verbracht hat herauszufinden, dass ein gespeicherter API-Key auf das falsche Projekt eingeschränkt war, weiß, was diese Prüfung wert ist.

Auch der lokale Pfad bekam strukturelle Arbeit. node-llama-cpp wurde durch einen verwalteten llama-server ersetzt, Gemma 4 wurde zum RAM-abhängigen llama.cpp-Standard, und das llama.cpp-Standardkontextfenster wurde auf 64K angehoben. Diese letzte Zahl sollten Sie behalten: 64K Token lokaler Standardkontext entsprechen ungefähr einem 90-minütigen Meeting-Transkript, auf Ihrer eigenen Hardware, ohne Rechnung pro Token.

Die vier akzeptierten Quellen des geführten Setups und das Prüftor. Quelle: Release Notes v2026.8.1, 31. August 2026.

Stellen Sie diese Form nun den geschlossenen Assistenz-Ökosystemen gegenüber, die die meisten Menschen tatsächlich nutzen — der Kontrast ist das Argument.

Ein struktureller, kein qualitativer Vergleich. Geschlossene Produkte sind oft besser poliert; entscheidend ist hier die letzte Zeile.

Diese letzte Zeile ist die ganze These. In der geschlossenen Spalte sind Modell, Oberfläche, Speicher und Erweiterungspolitik zu einer einzigen Entscheidung gebündelt, die Sie einmal treffen und nicht wieder entbündeln können. In der offenen Spalte sind es vier getrennte Entscheidungen. Nichts daran garantiert ein besseres Produkt — es garantiert einen anderen Fehlermodus. Wenn ein geschlossener Assistent die Preise erhöht oder ein Feature streicht, haben Sie keinen Zug. Wenn das Modell Ihres eigenen Agenten teuer wird, ändern Sie eine Einstellung.

Messenger-first ist eine Designwette, keine Bequemlichkeitsfunktion

Die meisten KI-Produkte setzen sich in eine neue App und hoffen, dass Sie vorbeikommen. OpenClaws Kernwette war von der ersten Version an die umgekehrte: Der Agent lebt in den Messaging-Apps, die Sie ohnehin offen haben.

Dieses Release vertieft das erheblich. Telegram bekam reichhaltigere Nachrichten und Medien. Slack hält jetzt Live-Fortschritt und finale Antwort zusammen. Discord ergänzte optionale Activities und Voice-Räume, die wissen, wer anwesend ist. Signal-Antworten behalten ihren nativen Zitatblock über gewöhnliche, gestückelte, Medien- und dauerhafte Zustellung hinweg, und kurz vor einem Absturz empfangene Nachrichten können aus dem lokalen Speicher fortgesetzt werden. Über die unterstützten Kanäle hinweg erscheinen geeignete Einzelauswahl-Fragen als native Plattform-Steuerelemente in Telegram, Discord und Slack statt als „antworte mit 1, 2 oder 3".

Unter der Politur liegt eine Zuverlässigkeitsgeschichte, die wir für die wichtigere Änderung halten. Wenn ein Versand ohne bestätigtes Ergebnis in ein Timeout läuft, hält OpenClaw dieses Ergebnis jetzt als ungewiss fest und kann beim nächsten Kontakt warnen, statt eine wahrscheinlich doppelte Nachricht zu erzeugen. Wer Messaging-Integrationen gebaut hat, weiß, wie viel unglamouröse Arbeit hinter diesem Satz steckt — und wie schlecht sich die Alternative anfühlt: ein Agent, der Ihrer Kollegin dieselbe Sache zweimal schickt, weil ein Socket geschluckt hat.

Die eigene Illustration des Teams ist bewusst unspektakulär, und genau deshalb trifft sie. Aus ihrem Release-Beitrag: Lassen Sie den Agenten Ihren Posteingang nach E-Mails der Schule Ihrer Kinder beobachten und Ihnen eine Telegram-Nachricht schicken, wenn etwas Wichtiges kommt — Hausaufgabenfrist, eine Aktivität, die vorbereitet werden muss. Ein Posteingang, ein paar Dinge, nach denen gesucht wird, ein Ziel. Das zweite Beispiel geht einen Schritt weiter: Ihr Bruder schreibt per iMessage und fragt, welches iPad Sie für Ihren Vater gekauft haben — statt Ihre Mails nach der Rechnung zu durchsuchen, sagen Sie Ihrem Claw, dass Ihr Bruder geschrieben hat, und bitten es, die Antwort zu finden und ihm zu schicken.

Keines der Beispiele enthält einen Benchmark. Beide bestehen darin, dass ein Agent einen von Ihnen vergebenen Zugang hält, etwas liest, das Ihnen gehört, und an eine Person schreibt, die Sie ausgewählt haben. Das ist die eigentliche Produktkategorie, und sie liegt näher an „einem Skript mit Gedächtnis und Telefonnummer" als an „einem Chatbot".

Multiplayer-KI: Das Schwere war nie der Bildschirm, sondern der Kontext

Die zentrale Kollaborationsfunktion in 2.0 sind geteilte Cloud-Sessions, und das Team räumt offen ein, dass sie aus dem eigenen Schmerz entstanden. Beim Bau dieses Releases verlagerte es mehr Arbeit auf seine Agenten, wollte dann Aufgaben teilen, zusammenarbeiten und manchmal ganz übergeben — und stellte fest, dass „OpenClaw keine Möglichkeit hatte, eine weitere Person in die Arbeit zu holen, ohne zu verlieren, was der Claw bereits wusste".

Dieser Satz benennt ein Problem, das weit über OpenClaw hinausgeht. Nennen wir es die Übergabeklippe: den Punkt, an dem Arbeit von einer Person zur nächsten wandert und alles, was das Werkzeug angesammelt hatte — die Fehlstarts, die Korrekturen, das, was Sie ihm zweimal untersagt haben — über die Kante fällt. Der Ersatz ist eine Zusammenfassung, und eine Zusammenfassung ist kein Kontext. Sie ist ein komprimiertes Artefakt, das Schlussfolgerungen bewahrt und die Begründungen verwirft, die sie sicher machten.

Geteilte Cloud-Sessions greifen das direkt an. Eine zweite Person kann laufende Arbeit mit intaktem Kontext betreten oder ganz übernehmen, und der Eigentümer oder ein Administrator wählt, welche der vier Stufen diese Person erhält: lesen, Änderungen vorschlagen, in einem Entwurf arbeiten oder direkt mitwirken. Entwürfe lassen sich ohne Race Condition erstellen und veröffentlichen, Vorschläge behalten ihren Urheber, und leichte Präsenz- und Tipp-Hinweise zeigen, wer da ist, ohne ein Einzel-Setup zu überfrachten.

Gründer Peter Steinberger schrieb auf X am frühen 31. August 2026, das Team habe zwei Monate an der Mission „OpenClaw mit OpenClaw bauen" gearbeitet und sei von individuellen lokalen Coding-Harnesses auf eine geteilte Agentenumgebung unter team.openclaw.ai umgezogen. „Multiplayer-Coding + unbegrenzte Rechenleistung mit Nodes und Cloud-Sessions hat verändert, wie wir bauen", schrieb er und ergänzte, lokale Harnesses fühlten sich inzwischen „wie Relikte der Vergangenheit" an. Das ist ein Gründer, der sein eigenes Produkt beschreibt — gewichten Sie es entsprechend. Aber das Release existiert, und es wurde so gebaut.

Die Übergabeklippe und was geteilte Sessions daran ändern. Die dokumentierte Grenze steht bewusst mit im Diagramm.

Nun die ehrliche Einschränkung, die die Dokumentation klar benennt und die die meiste Berichterstattung vergraben hat: Diese Berechtigungsstufen sind keine Mandantentrennung und keine Sicherheitsgrenze. Entzogener Zugriff kann kurzzeitig noch verfügbar wirken, bis die Oberfläche aktualisiert oder das Gateway die Aktion ablehnt. Der Inkognito-Modus ist enger, als sein Name suggeriert: Das Gespräch lebt im Prozessspeicher und verschwindet beim Neustart des Gateways, aber der Modellanbieter erhält weiterhin jede Nachricht, Werkzeuge können weiterhin Dateien schreiben und externe Dienste erreichen, inhaltsfreie Audit-Metadaten bleiben zurück, und wer das Gateway betreibt, kann live zusehen. Help Net Security ergänzte ein Detail, das man vor dem Einsatz auf einer geteilten Maschine kennen sollte: Der schnellere Start beruht auf einem begrenzten Transkript-Snapshot, der unverschlüsselt im Browser-Profil liegt.

Aus der Browser-App wurde der Ort, an dem man wirklich arbeitet

In die neu gebaute Control UI floss der größte Teil der sichtbaren Ingenieursarbeit, und sie liefert die einzige saubere Leistungszahl des Releases.

In einem simulierten Standard-Chat-Test gegen ein gemocktes Gateway mit 50 ms HTTP/1.1-Latenz fielen die JavaScript-Requests von 140 auf 45 und der Start von rund 1,6 Sekunden auf 575 Millisekunden — 64 % weniger Requests und eine 2,8-fache Verbesserung der Zeit bis zum Chat. Sie degradiert auch über lange Sitzungen weniger: Verborgene Panels holen keine Daten mehr, die sie nicht anzeigen, gehaltener State ist begrenzt, und die Rückkehr in ein Gespräch wiederholt weniger Rendering.

Rund um den Chat halten angedockte Panels jetzt einen Workspace-Dateieditor, ein Git-gestütztes Changes-Panel mit Branch-Commits, Working-Tree-Änderungen, Pull-Request-Status und CI-Zusammenfassungen, ein Browser-Panel, das navigieren, klicken, tippen, scrollen, Elemente inspizieren und einen Screenshot annotieren kann, bevor es ihn an das Gespräch anhängt, sowie ein Vollbild-Web-Terminal. Freigabeanfragen erscheinen in dem Gespräch, das sie ausgelöst hat, mit rollierender 30-Tage-Historie, und ein /btw-Befehl öffnet ein Nebengespräch, damit eine kurze Frage das Haupttranskript nicht verunreinigt.

Die Release Notes sind erfrischend deutlich, wo die Panels aufhören: Der Dateieditor kann keine Dateien anlegen oder löschen, das Changes-Panel ist schreibgeschützt, und „Create PR" übergibt an GitHub, statt innerhalb von OpenClaw einzureichen. Wir haben viele Release Notes gelesen, die diese drei Grenzen als „fokussiert" oder „schlank" beschrieben hätten. Sie als Grenzen zu benennen, ist die richtige Entscheidung und eine kleine Glaubwürdigkeitseinzahlung.

Sessions wanderten nach SQLite, und dort liegen die Breaking Changes

Dies ist der Abschnitt, den Sie lesen sollten, bevor Sie openclaw update tippen.

Sessions und Transkripte sind nicht mehr dateibasiert, sie leben in SQLite. Ebenso eine lange Liste weiterer, bisher verstreuter Dinge: Node-Host-Identität und Gateway-Einstellungen, APNs-Registrierungen, Workspace-Setup-Status, Kanal-Laufzeitstatus, MCP-OAuth-Zugangsdaten und Refresh-State, Reef-Peer-Trust sowie begrenzter BLOB-Speicher für vertrauenswürdige Plugins. Das Standardbudget für das Session-Archiv wurde auf 10 GiB angehoben. Auf Web, macOS, iOS und Android können SQLite-gestützte Chats jetzt zu einer früheren Nutzernachricht zurückspulen, das Gespräch verzweigen und zwischen erhaltenen Zweigen wechseln — Zurückspulen ändert allerdings nur den Transkriptzweig und macht Dateien, gesendete Nachrichten oder andere Werkzeugnebenwirkungen nicht rückgängig.

Der Preis: Downgrades sind nicht mehr gratis. Hier das von den Release Notes vorgegebene Vorgehen, der Reihe nach:

1. Erstellen Sie vor dem Upgrade ein verifiziertes Backup über den dokumentierten Backup-Pfad, um den gesamten OpenClaw-Zustand zu schützen — nicht nur Sessions.
2. Upgraden Sie mit openclaw update, das Ihren Installationstyp erkennt (npm, pnpm, Bun oder git), die Version holt, openclaw doctor ausführt und einen verwalteten Gateway-Dienst neu startet. Nutzen Sie zuerst --dry-run für eine Vorschau.
3. Wenn Sie QMD-Memory nutzen, führen Sie openclaw doctor --fix aus. Das eingebaute Memory besitzt jetzt den zentralen Such- und Recall-Pfad; die Migration überträgt unterstützte Daten in einen anderen Kern, und QMD-eigenes Reranking, Query-Expansion und agentenübergreifende Transkriptsuche entfallen.
4. Wenn Sie HEARTBEAT.md nutzen, führen Sie openclaw doctor --fix aus. Heartbeat-Zeitpläne werden jetzt als Automations verwaltet, und OpenClaw liest HEARTBEAT.md zur Laufzeit nicht mehr.
5. Falls Sie je zurückrollen müssen, stellen Sie mit der aktuellen CLI archivierte Alt-Transkript-Artefakte wieder her, bevor Sie ein älteres dateibasiertes Release installieren. Nach der Migration erstellte Sessions erscheinen in älteren Releases überhaupt nicht.

Plugin-Autoren haben ihre eigene Liste. Ausgemusterte Juli- und August-SDK-Pfade sind entfernt, der deactivate-Alias ist durch gateway_stop ersetzt, und Clients, die die v2026.7.2-Beta-Formen für question, worker oder session-catalog nutzen, müssen auf die umbenannten und abgeflachten Verträge wechseln. Die beta.5-Session-Store-Brücke bleibt bis zum 12. Oktober 2026 verfügbar — ein echtes, datiertes Deprecation-Fenster, was mehr Höflichkeit ist, als die meisten schnellen Projekte gewähren. Eigene agents.defaults.cliBackends-Befehle, -Argumente, -Umgebungen, -Aliase und -Parser gehören jetzt in ein Backend-Plugin statt in die Konfiguration. Und verwaltete Worktrees unterdrücken nun Repository-Git-Hooks, sofern ein Administrator nicht bewusst ein separates Setup-Skript ausführt — wer sich auf implizite Hooks verlassen hat, muss dieses Setup in den expliziten Pfad verschieben.

Nichts davon ist katastrophal. Alles davon ist die Sorte Sache, die ein zweiminütiges Update in einen zweistündigen Abend verwandelt, wenn man es erst hinterher merkt.

Sicherheit wurde deutlich besser und ist weiterhin nicht standardmäßig aktiv

Hier muss die Begeisterung diszipliniert werden, denn ein Agent, der Ihre E-Mails lesen und Befehle ausführen kann, ist ein anderes Risikoobjekt als ein Chatbot.

Die echten Verbesserungen sind real und konkret. Ein neuer teamweiter lokaler Secret Store trennt geschützte Werte von agentenlesbaren Umgebungswerten und unterstützt maskierte Zugangsanfragen, Vault- oder 1Password-Referenzen sowie zielgebundene Substitution, die eine geschützte Zugangsinformation in eine freigegebene, vom Gateway gehostete HTTPS-Anfrage einsetzen kann, ohne dass sie je in Klartextkonfiguration oder modellsichtbarem Text auftaucht. Private Zugangsanfragen lassen einen Agenten ein Geheimnis über eine maskierte Eingabe erfragen, ohne dass der Wert in den Chatverlauf oder den Modellkontext gelangt. Die Netzwerkrichtlinie blockiert jetzt unspezifizierte und lokal genutzte NAT64-Ziele standardmäßig und verlangt für private Automations-Webhook-Ziele eine exakte Host-Ausnahme. Text, den Suche, Fetch, MCP, Plugins und das Browser-Werkzeug zurückgeben, wird begrenzt, normalisiert und ausdrücklich als nicht vertrauenswürdiger externer Inhalt markiert, bevor das Modell ihn sieht. Terminal- und CSV-Ausgaben neutralisieren abgedeckte Steuersequenz- und Formelinjektionsformen. Das Gateway bindet standardmäßig an Loopback, die meisten Chatkanäle antworten unbekannten DM-Absendern mit einem Pairing-Code, und es gibt jetzt einen Befehl openclaw security audit, der eingehenden Zugriff, Werkzeug-Wirkradius, Netzwerkexposition, Browser-Steuerungsexposition und Plugin-Allowlists prüft.

Nun die Einschränkungen — jede davon aus der Dokumentation des Projekts selbst, nicht von Kritikern.

Secret-Store-Werte sind im Ruhezustand nicht verschlüsselt. Sie hängen an den Dateisystemrechten des OpenClaw-Statusverzeichnisses. Zielgebundene Substitution gilt nur für vom Gateway gehostete HTTPS-Befehle, deren Subprozess die Proxy-Einstellungen respektiert — Raw Sockets, Container, Remote-Nodes, provider-native Harnesses und einfaches HTTP liegen außerhalb.

Inhalte als nicht vertrauenswürdig zu markieren, macht sie nicht harmlos. Die Release Notes sagen es direkt: Die Grenze wird explizit gemacht, aber „das Modell kann weiterhin von feindseligem Material beeinflusst werden, das es liest".

Sandboxing und Ausführungsfreigaben werden ausgeschaltet ausgeliefert. Die schärfste Zusammenfassung der Unternehmensperspektive liefert VentureBeat: OpenClaws Basiskonfiguration setzt einen vertrauenswürdigen Einzeloperator voraus und erlaubt Host-Ausführung, solange Administratoren keine strengeren Beschränkungen konfigurieren — weshalb container-first-Alternativen wie NanoClaw existieren. Ihr Fazit lohnt das wörtliche Zitat: „Unternehmen müssen diese Primitive in Policy verwandeln. OpenClaw 2.0 macht OpenClaw nicht automatisch unternehmenstauglich, aber es macht ein unternehmenstaugliches OpenClaw-Deployment ab Werk deutlich einfacher."

Zur Prompt Injection speziell behandelt OpenClaws eigene Dokumentation die Modellwahl als erste Gegenmaßnahme und zitiert eine crowdgesourcte Arena von 2026 mit 272.000 Angriffen über 41 Agentenszenarien, gewertet nur, wenn der Agent die schädliche Handlung ausführte und sie vor dem Nutzer verbarg: 0,5 % Erfolg gegen Claude Opus 4.5, 1,0 % gegen Sonnet 4.5, 1,3 % gegen Haiku 4.5 und 8,5 % gegen Gemini 2.5 Pro. Dieselbe Seite warnt, dass adaptive menschliche Angreifer weiterhin über 80 % Erfolg gegen Verteidigungen auf dem Stand der Technik erzielen — weshalb Werkzeugrichtlinien, Ausführungsfreigaben und Sandboxing die harte Durchsetzungsebene bleiben, nicht das Modell.

Beide Zahlen nebeneinander ergeben den ehrlichen Stand der Agentensicherheit 2026: Automatisierte Injection im großen Maßstab ist gegenüber einem guten Modell inzwischen ein Problem unter 2 %, und ein entschlossener Mensch bleibt gegenüber allem ein 80-%-Problem. Dieses Release ändert die zweite Zahl nicht.

Zusammengestellt aus den Release Notes v2026.8.1 und OpenClaws Sicherheitsdokumentation, abgerufen am 1. September 2026.

Was sich für jemanden ändert, der kein Entwickler ist

Zieht man Plugin-Verträge und SQLite-Migration ab, bleibt eine Sache, die normale Nutzer betrifft: Die Installationshürde ist deutlich gesunken. Wer den Weg selbst gehen möchte: Wir haben dazu eine Schritt-für-Schritt-Anleitung für Einsteiger geschrieben, die den gesamten Weg vom Download bis zum ersten Gespräch abdeckt.

Der unterstützte Installationspfad hält App oder Befehl jetzt auch nach dem Setup verfügbar. Eine aus dem Download-Ordner geöffnete Mac-App kann anbieten, sich selbst nach „Programme" zu verschieben, wo Updates und Start bei Anmeldung korrekt funktionieren. Unter Linux und anderen Unix-Systemen macht der Installer openclaw in neuen Terminal-Sitzungen verfügbar, ohne dass jemand eine Shell-Startdatei bearbeiten muss. iPhone, iPad und Android platzieren Pairing und Berechtigungen dort, wo Menschen sie erwarten. Und es gibt jetzt einen Linux-Desktop-Begleiter mit Ersteinrichtung, Tray- und Dienststeuerung, eingebetteter Control UI, Deep Links, Autostart und nativen Benachrichtigungen — die Release Notes weisen allerdings selbst darauf hin, dass die Verfügbarkeit der .deb- und AppImage-Pakete als v2026.8.1-Downloads „noch nicht verifiziert" ist.

Automations bekamen dieselbe Behandlung. Der mitgelieferte IMAP-Watcher lässt authentifizierte neue Mail aus einem bestehenden Postfach einen eingeschränkten Lese-Agenten starten, ohne einen HTTP-Hook offenzulegen — standardmäßig deaktiviert, nur eingehend, mit Pflicht zu Absender-Allowlist und Authentifizierung, und ohne die Möglichkeit, Mail zu senden oder zu ändern. Das ist das Schul-E-Mail-Beispiel aus dem Release-Beitrag, ausgeliefert als begrenztes Least-Privilege-Primitiv statt als „Gmail verbinden"-Button. Gmail-Automations können einen akzeptierten Batch jetzt in einen isolierten Lauf pro Nachricht aufteilen und Gesendet- und Entwurfsmail filtern.

Wir tun trotzdem nicht so, als wäre das ein Consumer-Produkt. Einer der eigenen Maintainer von OpenClaw wurde mit der Aussage zitiert, dass das Projekt für alle, die nicht wissen, wie man eine Kommandozeile bedient, viel zu gefährlich für den sicheren Einsatz sei; und im März 2026 untersagten chinesische Behörden Staatsunternehmen und Regierungsstellen aus Sicherheitsgründen den Betrieb von OpenClaw-Apps auf Bürorechnern. Diese Fakten stehen im Raum, und dieses Release löscht sie nicht. Was es tut, ist den Boden anzuheben: Der Abstand zwischen „neugieriger Person" und „funktionierendem Agenten" misst sich jetzt in einem geführten Setup statt in einer Konfigurationsdatei.

Vier Dinge, die wir nicht verifizieren konnten

Die Aussage, das Release berühre „jeden Teil von OpenClaw", ist die Formulierung des Teams selbst; und obwohl die Release Notes tatsächlich Installation, Messaging, Memory, Skills, Modelle, Automations, Browser- und native Apps, Plugins und Sicherheit umfassen, liegt uns keine unabhängige Prüfung der 16.000-PR-Zahl oder der 933 Mitwirkenden vor. Beides stammt vom Projekt.

Die Quellen widersprechen sich beim Releasedatum. Wikipedias Infobox nennt das stabile 2.0-Release am 30. August 2026, MarkTechPost veröffentlichte seine Berichterstattung mit Datum 30. August, und das GitHub-Release-Objekt zum Tag v2026.8.1 verzeichnet einen Veröffentlichungszeitstempel von 31. August 2026, 03:30 UTC. Wir haben durchgängig den 31. August verwendet, weil es das Erstquellen-Artefakt ist; wenn Sie anderswo den 30. August lesen, ist das diese Diskrepanz.

Das Lizenzfeld ist uneinheitlich. Wikipedia führt OpenClaw als MIT-lizenziert; die GitHub-API liefert für die Repository-Lizenz NOASSERTION, was GitHub meldet, wenn sein Detektor die Datei nicht klassifizieren kann. Wir haben nicht aufgelöst, was maßgeblich ist, und würden auf keiner der beiden Angaben eine Compliance-Entscheidung aufbauen, ohne die Lizenzdatei direkt zu lesen.

Steinbergers Beschreibung des internen Workflows — „unbegrenzte Rechenleistung", lokale Harnesses als „Relikte der Vergangenheit" — ist die Schilderung eines Gründers über sein eigenes Produkt auf seiner eigenen Timeline, gepostet am 31. August 2026. Wir zitieren sie, weil sie die Herkunft des Features erklärt, nicht weil sie eine Bewertung wäre.

Fazit: Open-Source-KI ist keine Geschichte über Gewichte mehr

Zwei Jahre lang bedeutete „offene KI" eine Datei, die man herunterladen kann. Die interessante Frage lag immer eine Ebene höher: ob auch der Teil, der Ihre Zugangsdaten hält, Ihren Posteingang liest und entscheidet, was als Nächstes passiert, etwas wird, das man inspizieren, forken und selbst betreiben kann — oder ob er im Produkt eines Anbieters bleibt, wo Modellwahl, Oberfläche und Speicher zu einer einzigen Alles-oder-nichts-Entscheidung gebündelt sind.

Ein Release mit 933 Mitwirkenden, einem Setup-Assistenten, der Ihre bestehenden Abos liest, einem lokalen Modellpfad mit 64K Standardkontext und einem dokumentierten Downgrade-Verfahren ist, wie die Antwort aussieht, wenn sie in die andere Richtung fällt. Sie ist keine polierte Antwort. Sandboxing ist aus, Geheimnisse sind im Ruhezustand unverschlüsselt, Teilen ist ausdrücklich keine Sicherheitsgrenze, und ein entschlossener Angreifer gewinnt weiterhin vier von fünf Mal. Aber das sind jetzt veröffentlichte Einschränkungen mit Issue-Nummern — eine kategorial andere Lage als Nichtwissen.

Die Übergabeklippe würden wir als Nächstes beobachten. Geteilte Cloud-Sessions sind der erste ernsthafte Versuch, den wir gesehen haben, den angesammelten Kontext eines Agenten einen Betreiberwechsel überleben zu lassen — und dass ein Open-Source-Projekt mit 933 Mitwirkenden dieses Problem vor den meisten geschlossenen Assistenten erreicht hat, sagt Ihnen, wo die eigentliche Grenze liegt. Sie liegt nicht bei der Fähigkeit. Sie liegt bei der Kontinuität.

---

Wo Telli.sh hineinpasst: Die Übergabeklippe ist nicht agentenspezifisch — sie ist das älteste Problem von Meetings. Die Stunde Kontext, die im Raum lag, verdunstet, und was bei der Person ankommt, die gefehlt hat, ist eine Zusammenfassung, die die Schlussfolgerungen bewahrt und die Begründungen verloren hat. Telli.sh nimmt das Meeting auf, hält die Sprecher auseinander, übersetzt live in 15 Sprachen und hinterlässt ein durchsuchbares Transkript und strukturierte Notizen — damit die Übergabe die tatsächliche Aufzeichnung trägt statt die komprimierte Erinnerung von jemandem.

Live-KI-Notiz starten

Quellen

• OpenClaw Release Notes, v2026.8.1 (alias OpenClaw 2.0) — die Warnung zur fehlerhaft veröffentlichten Beta 2026.9.1-beta.1, die SQLite-Speicher- und Downgrade-Warnung, das geführte Setup, die Control-UI-Latenzzahlen, das Verhalten des Secret Store, die Messaging-Änderungen, die Bereinigung der Plugin-SDK-Verträge und das Brückenfenster bis 12. Oktober 2026; abgerufen am 1. September 2026
• OpenClaw-Blog, „OpenClaw 2.0, Accidentally", 31. August 2026 — 933 Mitwirkende, 569 Erstbeitragende, über 16.000 Pull Requests, 106 Releases in 230 Tagen, die Zahl von rund 50 % aller je gemergten PRs sowie die Beispiele Schul-E-Mail und iPad-Rechnung
• MarkTechPost, „OpenClaw Releases OpenClaw 2.0", 30. August 2026 — die 575-ms-Startzeit und die Zahlen 140→45 Requests, die Setup-Quellen Codex/ChatGPT/Claude/Ollama/LM Studio, GPT-5.6 als Standard, Gemma 4 und der 64K-llama.cpp-Kontext sowie die Ergebnisse der Prompt-Injection-Arena mit 272.000 Angriffen
• Help Net Security, „The OpenClaw 2.0 release moves your sessions into SQLite", 31. August 2026 — die Einordnung, dass Teilen keine Sicherheitsgrenze ist, der tatsächliche Umfang des Inkognito-Modus und der unverschlüsselte Transkript-Snapshot im Browser-Profil
• Cybersecurity News, „OpenClaw 2.0 Released With Major Security Upgrades for AI Agents, Plugins and Credentials", 31. August 2026 — private Zugangsanfragen über maskierte Eingabe, der optionale zielbeschränkende Proxy und der geteilte Zugangsdatenspeicher für Teams
• VentureBeat, „OpenClaw 2.0 is here: What it means for enterprises", 1. September 2026 — standardmäßig deaktiviertes Sandboxing und Ausführungsfreigaben, der NanoClaw-Vergleich, die erweiterte Audit-Fläche und das Fazit „Primitive in Policy verwandeln"; enthält Steinbergers X-Post vom 31. August 2026
• OpenClaw-Dokumentation, Cloud Sessions — wie eine geteilte Session Transkript und Kontext über eine Übergabe hinweg bewahrt
• OpenClaw-Dokumentation, Updating — Verhalten von openclaw update, das Flag --dry-run, Release-Kanäle und der Downgrade-Pfad über die Session-SQLite-Migration hinweg
• GitHub REST API, openclaw/openclaw — 388.419 Sterne, 81.534 Forks, 5.949 offene Issues, Repository erstellt am 24. November 2025, und der v2026.8.1-Release-Zeitstempel 31. August 2026, 03:30 UTC; abgerufen am 1. September 2026
• Wikipedia, „OpenClaw" — die Namensgeschichte Warelay → CLAWDIS → Clawdbot → Moltbot → OpenClaw, die Markenbeschwerde von Anthropic, die Stern- und Fork-Zahlen vom 2. März 2026, die Kommandozeilen-Warnung eines Maintainers und die chinesischen Beschränkungen vom März 2026; abgerufen am 1. September 2026
• Unser Beitrag zum Stealth-Modell Ox Alpha und GLM-5.3-Flash — der Preisverfall bei offenen Gewichten, auf dem dieses Release aufsitzt
• Unser Vorher-Nachher zum Comeback lokaler Modelle — die 27B-Open-Weight-Zahlen und der Aufholverzug