OpenClaw Mobile Apps Launch: Open-Source KI-Agenten landen auf iPhone und Android – und Sicherheitsexperten schlagen Alarm

OpenClaw, der Open-Source-KI-Agent, der Anfang 2026 viral ging und von OpenAI für rund 1 Milliarde US-Dollar übernommen wurde, hat am 29. Juni 2026 seine ersten offiziellen nativen mobilen Apps für iOS und Android veröffentlicht . Die kostenlosen Apps – im App Store als „OpenClaw – AI that does things“ gelistet – bringen erstmals agentische KI aufs Smartphone, sind aber keine eigenständigen Chatbots . Stattdessen wird jedes Telefon zu einem Companion-Node, der mit einem selbst gehosteten OpenClaw Gateway gekoppelt werden muss .

Woher kommt OpenClaw? Ein Nebenprojekt, das OpenAI für 1 Milliarde US-Dollar kaufte

OpenClaw begann als Clawdbot, ein persönliches Open-Source-KI-Agenten-Nebenprojekt des österreichischen Entwicklers Peter Steinberger Mitte 2025, das zunächst auf Anthropics Claude basierte . Es ging Anfang 2026 viral und erreichte bis Januar 150.000 Downloads . Am Valentinstag 2026 (14. Februar) übernahm OpenAI das Projekt in einem Deal, der allgemein mit 1 Milliarde US-Dollar beziffert wurde. Steinberger wechselte zu OpenAI, um an der Aufgabe zu arbeiten, „Agenten zu allen zu bringen“ . Im Rahmen des Deals wurde OpenClaw an die OpenClaw Foundation, eine gemeinnützige Organisation, übertragen, um Open Source und unabhängig zu bleiben . Sowohl Meta als auch OpenAI hatten sich ein Bietergefecht um das Projekt geliefert .

Was die mobilen Apps tatsächlich tun

Es handelt sich um Companion-Node-Apps, nicht um eigenständige Chatbots . Sie müssen mit einem selbst gehosteten OpenClaw Gateway (laufend auf einem Mac, Linux-Rechner oder Windows-PC) gekoppelt werden, um zu funktionieren . Nach der Kopplung agiert das Telefon als sicherer mobiler Knoten mit folgenden Funktionen:

• Echtzeit-Text-Chat mit dem KI-Agenten
• Echtzeit-Sprachkommunikation und Push-to-Talk
• Push-Benachrichtigungen, um den Agenten zu wecken und Benachrichtigungen zu empfangen
• Aktionsfreigabe-Workflows (Aktionen des Agenten vom Telefon aus genehmigen oder ablehnen)
• Selektive gerätegesteuerte Automatisierung
• QR-Code- oder Setup-Code-Kopplung mit dem privaten Gateway
• Kanäle, Aufgaben und Antworten unterwegs

Die Apps sind nicht eigenständig – ohne ein selbst gehostetes Gateway können sie nicht betrieben werden .

Erste Berichte deuten darauf hin, dass der iOS-Client ausgereifter und funktionaler erscheint, während der Android-Start viele negative Bewertungen im Play Store wegen Kopplungsfehlern, Bugs und einer niedrigen Bewertung erhielt .

Das Sicherheitsbild: ClawHub-Marktplatz und bekannte Schwachstellen

OpenClaw ist seit seinem viralen Durchbruch ein häufiges Ziel von Sicherheitsforschern. Mit dem Start der mobilen Apps werden diese Risiken nun auch auf Smartphones übertragen, da ein kompromittiertes Gateway das gekoppelte Telefon ähnlichen Gefahren aussetzen kann .

Schwachstellen des ClawHub-Marktplatzes („Skills“)

• Palo Alto Networks Unit 42 (Juni 2026): Berichtete, dass fünf schadhafte Skills die Sicherheitskontrollen von ClawHub (VirusTotal und ClawScan) umgehen konnten und in drei Bedrohungskategorien fielen: macOS-Infostealer-Verbreitung, Scanner-Umgehung und agentischer Missbrauch .
• Snyk (Februar 2026): Entdeckte „Leaky Skills“ – eine systemische Schwachstelle, bei der Skills im ClawHub-Ökosystem hartcodierte API-Schlüssel und Anmeldeinformationen preisgaben. Bei der Durchsuchung von 3.984 Skills stellten Forscher fest, dass 283 Skills (7,1 %) kritische Sicherheitsmängel aufwiesen .
• Drittanbieter-Berichte: Forscher fanden bis zu 820 schadhafte Skills auf ClawHub, die Keylogger, Skripte zur Datenextraktion, versteckte Shell-Befehle und Hintergrund-Dateiextraktion enthielten .

Weitere kritische Sicherheitsvorfälle

• „ClawJacked“-Schwachstelle (CVE, Feb. 2026): Eine hochriskante WebSocket-Sicherheitslücke, die es einer bösartigen Website ermöglichte, einen lokal laufenden OpenClaw-Agenten zu kapern und die Kontrolle zu übernehmen. OpenClaw schloss die Lücke zusammen mit einer Log-Poisoning-Schwachstelle .
• Sicherheitsaudit: Ein vollständiges Audit deckte angeblich 512 Schwachstellen auf, von denen acht als kritisch eingestuft wurden .
• Offengelegte Instanzen: Sicherheitsforscher fanden über 42.000 ungesicherte OpenClaw-Instanzen im öffentlichen Internet, die API-Schlüssel und private Daten preisgaben .
• Moltbook-Datenbankverstoß: Ein massiver Verstoß gegen die frühere Marke „Moltbook“ legte 1,5 Millionen API-Tokens offen, die für jeden mit einem Browser zugänglich waren .
• Frühes Chaos: Innerhalb der ersten Woche nach dem viralen Durchbruch musste das Projekt mehrere erzwungene Markenumbenennungen (Clawdbot → Moltbot → OpenClaw), Übernahmen durch Krypto-Betrüger, mehrere kritische CVEs, Supply-Chain-Malware auf macOS und offengelegte Steuerungsschnittstellen verkraften .
• Microsoft (Feb. 2026): Veröffentlichte eine Anleitung zum sicheren Betrieb von OpenClaw und warnte davor, dass ungeschützte Bereitstellungen das Risiko des Abflusses von Anmeldeinformationen, der dauerhaften Zustandsmanipulation durch Angreifer und der lateralen Bewegung von kompromittierten Agenten bergen .

Mobilspezifischer Risikohinweis

Die mobilen Apps erfordern die Gewährung des Zugriffs auf verschiedene Telefonkomponenten (Kamera, Bildschirm, Standort, Fotos, Kontakte, Kalender, Erinnerungen) . Die Companion-Node-Architektur bedeutet, dass ein kompromittiertes Gateway das gekoppelte Telefon ähnlichen Risiken aussetzen könnte . Sicherheitsexperten warnen davor, dass das Sicherheitsmodell von OpenClaw – das für die Selbstbereitstellung auf dem Desktop konzipiert wurde – nun direkt auf mobile Geräte ausgeweitet wird .

Wichtige Erkenntnisse für Nutzer, die die OpenClaw Mobile App in Betracht ziehen

• Die mobilen Apps erfordern ein selbst gehostetes Gateway; sie sind weder eigenständig noch Plug-and-Play-fähig
• Der ClawHub-Marktplatz hat eine dokumentierte Geschichte von schädlichen Skills, die die Sicherheitskontrollen umgehen konnten
• Seit Februar 2026 wurden mehr als 60 CVEs und mehrere kritische Schwachstellen gemeldet und behoben
• Der Betrieb von OpenClaw mit den Standardeinstellungen wird von Sicherheitsforschern weithin als unsicher beschrieben
• Microsoft empfiehlt Identitätsisolierung, Runtime-Sandboxing und sorgfältiges Berechtigungsmanagement für jede OpenClaw-Installation