Sicherheitsrisiko Schatten-KI: Was der Bitdefender-Report für die IT-Sicherheit deines Business bedeutet

OpenClaw, zuvor unter den Namen Clawdbot und Moltbot bekannt, wurde innerhalb kurzer Zeit zu einem der meistdiskutierten KI-Agenten-Tools auf GitHub. Das Versprechen klang verführerisch: ein digitaler Assistent, der E-Mails beantwortet, Kalender verwaltet, Aufgaben erledigt, Dateien bearbeitet und wiederkehrende Arbeitsprozesse automatisiert.

Auf LinkedIn sah es entsprechend aus: euphorische Erfahrungsberichte, Screenshots, grosse Namen, schnelle Erfolgsgeschichten. IBM, Silicon Valley, chinesische Tech-Giganten; die Referenzen und Andeutungen flossen durch die Posts. Wer zweifelte, stand rasch im Verdacht, den nächsten Technologiesprung zu verschlafen.

GitHub-Sterne messen Interesse

Sie messen keine Sicherheit. Sie ersetzen kein Audit, keine Freigabe durch die IT und keine Prüfung der Lieferkette. Ein virales Tool ist nicht automatisch ein vertrauenswürdiges Tool. Und ein KI-Agent, der lokal auf einem Firmenrechner läuft, ist nicht einfach ein weiteres Chatfenster.

Er ist Software mit Zugriff.

Warum KI-Agenten anders sind als Chatbots

Bevor wir zu OpenClaw kommen, lohnt ein Blick auf die grundsätzliche Lage. Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, unterscheidet mehrere Arten, wie KI heute für Angriffe genutzt wird.

Erstens: KI als Recherche- und Täuschungswerkzeug.
Angreifer nutzen KI, um Informationen über Unternehmen, Mitarbeitende und interne Abläufe schneller auszuwerten. Phishing-Mails werden überzeugender, weil KI sprachliche Fehler eliminiert, Texte personalisiert und Tonalität anpasst. Was früher nach Massenbetrug aussah, kann heute wie eine plausible Nachricht aus dem beruflichen Umfeld wirken.

Zweitens: Angriffe auf KI-Systeme selbst.
Unternehmen, die interne Chatbots, Cloud-KI-Systeme oder KI-gestützte Wissensdatenbanken einsetzen, schaffen neue Angriffsflächen. Prompt-Jailbreaks versuchen, Schutzmechanismen zu umgehen oder vertrauliche Informationen herauszulösen. Poisoning-Angriffe auf Trainings- oder Wissensdaten zielen darauf, Systeme gezielt zu manipulieren. Manche Szenarien sind noch theoretischer Natur, andere bereits praktisch relevant.

Drittens: trojanisierte KI-Tools und Erweiterungen.
Hier wird es für Unternehmen besonders konkret. Wer ein kostenloses KI-Tool oder eine Erweiterung aus unsicherer Quelle installiert, kann Schadsoftware einschleusen. Das Risiko betrifft nicht nur Privatnutzer. Es betrifft zunehmend auch Arbeitsrechner, Entwicklerumgebungen, Browserprofile, API-Schlüssel, Kundendaten und interne Dokumente.

OpenClaw gehört in diese dritte Risikozone.

Weil diese neue Softwareklasse besonders mächtige Berechtigungen verlangt. Ein Agent soll nicht nur antworten. Er soll handeln. Dafür benötigt er Zugriff auf Dateien, Browser, Terminal, Kalender, E-Mail, Schnittstellen und lokale Daten. Genau dieser Handlungsspielraum macht ihn nützlich und gefährlich.

Was Bitdefender dokumentiert hat

Bitdefender hat zu OpenClaw ein konkretes Angriffsmuster öffentlich beschrieben. Im Fokus stand nicht nur das Haupttool selbst, sondern vor allem das Ökosystem darum: Zusatzfunktionen, Skills, Erweiterungen und Installationsabläufe, die Nutzer dazu bringen, Befehle direkt ins Terminal zu kopieren.

Das Szenario ist kein Gedankenexperiment.

Ein Nutzer installiert OpenClaw. Er sucht anschliessend im Erweiterungsverzeichnis nach Zusatzfunktionen. Eine Erweiterung klingt nützlich, sieht professionell aus und verspricht zusätzliche Automatisierung. Beim Installationsprozess erscheint eine Warnung oder Anleitung. Der Nutzer folgt den Schritten. Ein Befehl landet in der Zwischenablage. Er fügt ihn ins Terminal ein, weil genau das die Anleitung beschreibt.

Ab diesem Moment kann aus Komfort ein Sicherheitsvorfall werden.

Laut Bitdefender konnten bösartige Erweiterungen eine Hintertür einrichten, sich dauerhaft auf dem System verankern und sensible Daten ausleiten: Passwörter, Browserdaten, Zugangstokens, API-Schlüssel und andere vertrauliche Informationen. Für Angreifer ist das besonders attraktiv, weil solche Daten nicht abstrakt sind. Sie sind der direkte Weg in geschäftliche Systeme.

Das Entscheidende: Der Angriff wirkt für den Nutzer nicht wie ein klassischer Betrug. Er klickt nicht auf eine E-Mail und folgt einer Anleitung innerhalb eines Tools, das auf LinkedIn und GitHub bereits sichtbar, erfolgreich und legitim wirkt.

Genau darin liegt die neue Qualität des Risikos.

Shadow AI: Wenn die IT erst nach dem Vorfall davon erfährt

Viele Unternehmen haben inzwischen Regeln für ChatGPT, Microsoft Copilot, Gemini oder andere bekannte KI-Dienste. Deutlich schwieriger wird es bei lokal installierten Agenten-Tools, Open-Source-Projekten, Browser-Erweiterungen und experimentellen Automatisierungswerkzeugen.

Mitarbeitende installieren solche Tools manchmal selbst. Sie wollen schneller arbeiten, Prozesse automatisieren, technische Möglichkeiten testen oder im Wettbewerb mithalten. Die IT-Abteilung erfährt davon häufig erst spät oder gar nicht.

Der Begriff dafür lautet: Shadow AI.

Shadow AI beschreibt den Einsatz von KI-Werkzeugen ausserhalb freigegebener, kontrollierter Unternehmensprozesse. Bei einfachen Chatbots ist das bereits problematisch. Bei lokalen KI-Agenten ist es kritischer, weil diese Tools nicht nur Text verarbeiten, sondern Aktionen auf dem Gerät ausführen können.

Ein Chatbot bekommt im Normalfall das, was ein Nutzer hineinkopiert.
Ein Agent kann potenziell sehen, was auf dem Rechner liegt.

Das ist ein fundamentaler Unterschied.

Warum Erweiterungen das Einfallstor sind

Der OpenClaw-Fall zeigt ein Muster, das aus anderen Software-Ökosystemen längst bekannt ist. Browser-Erweiterungen, WordPress-Plugins, npm-Pakete, Python-Bibliotheken, VS-Code-Extensions: Immer wieder entstehen Sicherheitsvorfälle nicht durch das Hauptprodukt, sondern durch Zusatzmodule.

Das Haupttool erzeugt Vertrauen. Das Erweiterungsökosystem erzeugt Angriffsfläche.

Je populärer ein Tool wird, desto attraktiver wird sein Umfeld für Angreifer. Eine Erweiterung muss nicht jeden Nutzer täuschen. Es genügt, wenn sie einen kleinen Teil der Installationen erreicht. In einem Unternehmenskontext kann bereits ein einziger kompromittierter Rechner reichen, wenn dort Zugangsdaten, Kundendaten oder interne Schnittstellen verfügbar sind.

Deshalb ist die Frage nicht nur:

Ist OpenClaw sicher?

Sondern:

Welche Erweiterungen dürfen installiert werden?
Wer prüft sie?
Welche Rechte erhalten sie?
Welche Daten liegen auf dem Gerät?
Welche Befehle werden im Terminal ausgeführt?
Welche Secrets sind lokal gespeichert?

Das klingt weniger spektakulär als „KI übernimmt den Computer“. Es ist aber die realistischere Gefahr.

Die Rolle von Social Proof

Ein weiterer Faktor ist sozialer Druck. LinkedIn spielt dabei eine grössere Rolle, als viele Unternehmen wahrhaben wollen.

Wenn ein Tool innerhalb weniger Wochen viral geht, entsteht ein Signal: Alle testen es. Alle reden darüber. Wer nicht mitmacht, ist hinten dran. Genau dieses Gefühl ist eine Angriffsfläche.

FOMO ist ein Sicherheitsrisiko.

In der Cybersicherheit wird über technische Schwachstellen gesprochen: CVEs, Patches, Rechteverwaltung, Netzwerksegmentierung. Weniger Aufmerksamkeit erhält eine andere Schwachstelle: beruflicher Anpassungsdruck. Wenn Kolleginnen, Branchenkontakte und angebliche Experten ein Tool öffentlich feiern, sinkt die Hemmschwelle zur Installation.

Gerade bei KI-Tools kommt hinzu: Viele Nutzer können die technische Tiefe nicht beurteilen. Sie sehen eine Oberfläche, ein Demo-Video, Sterne auf GitHub und positive Posts. Sie sehen nicht, welche Prozesse im Hintergrund laufen, welche Rechte vergeben werden und welche Daten erreichbar sind.

Was das für dein Business bedeutet

Für Unternehmen ist OpenClaw deshalb weniger ein Einzelfall als ein Warnsignal.

„Können ähnliche Tools bei uns unkontrolliert installiert werden?“

Wenn Mitarbeitende auf Arbeitsrechnern eigenständig KI-Agenten testen können, entsteht ein Kontrollverlust an mehreren Stellen.

Erstens: Datenkontrolle
Kundendaten, Verträge, Geschäftszahlen, interne Strategiepapiere oder technische Dokumentationen können für ein Tool erreichbar sein, das nie geprüft wurde.

Zweitens: Zugangskontrolle
Browser speichern Sessions. Entwickler speichern API-Schlüssel. Teams arbeiten mit Cloud-Zugängen, Tokens und lokalen Konfigurationsdateien. Wer diese Informationen ausliest, braucht kein Passwort mehr zu erraten.

Drittens: Lieferkettenkontrolle
Ein Unternehmen kann das Haupttool prüfen und trotzdem über eine Erweiterung kompromittiert werden. Deshalb reicht es nicht, nur bekannte Anwendungen zu betrachten. Auch Plugins, Skills und Zusatzmodule gehören in die Risikobewertung.

Viertens: Verantwortungskontrolle
Wenn ein nicht freigegebenes Tool Daten abzieht, stellt sich nicht nur eine technische Frage. Es stellt sich eine organisatorische: Wer durfte was installieren? Welche Richtlinie galt? Wer hat sie kommuniziert? Wer hat sie technisch durchgesetzt?

Was du konkret tun kannst

Installiere kein KI-Agenten-Tool auf einem Arbeitsrechner, wenn du nicht verstehst, welche Rechte es erhält. Besonders kritisch sind Tools, die Terminalzugriff, Dateisystemzugriff, Browserzugriff oder Zugriff auf lokale Zugangsdaten benötigen.

Behandle Erweiterungen und Plugins wie eigenständige Software. Eine Erweiterung ist keine Zusatzfunktion. Sie kann dieselben Risiken erzeugen wie ein vollständiges Programm. Der OpenClaw-Fall zeigt gerade, dass der Angriff über das Erweiterungsumfeld besonders gefährlich werden kann.

Kopiere keine Befehle aus Installationsanleitungen blind ins Terminal. Wer einen Terminalbefehl ausführt, gibt dem System eine direkte Anweisung. Das ist nicht vergleichbar mit dem Klick auf einen normalen Button. In Unternehmen sollte klar geregelt sein, wer solche Befehle ausführen darf und auf welchen Geräten.

Stelle dir bei LinkedIn-Hypes immer die Frage:

Wer oder was darf nach der Installation in meinem Namen handeln; und kann ich diese Handlungsmacht kontrollieren, begrenzen und wieder entziehen?

Sieh es als eine Sicherheitsfrage. Viralität ist kein Prüfverfahren. Sichtbarkeit ist kein Qualitätsnachweis. Begeisterung ist keine Risikoanalyse.

Für Unternehmen heisst das: KI-Agenten gehören in dieselbe Governance wie andere sicherheitsrelevante Software. Es braucht Freigabelisten, technische Beschränkungen, Monitoring, Schulungen und klare Regeln für lokale Installationen. Besonders sensible Arbeitsbereiche sollten keine experimentellen Agenten-Tools auf produktiven Rechnern nutzen.

Lokale Kontrolle zurückgewinnen

OpenClaw ist ein Beispiel dafür, wie schnell die Grenze zwischen Produktivität und Kontrollverlust verschwimmen kann. Ein Tool verspricht Automatisierung. Ein Erweiterungsökosystem verspricht noch mehr Komfort. Ein Nutzer folgt einer Anleitung. Und plötzlich hat ein Angreifer Zugriff auf das, was eigentlich geschützt sein sollte.

Die Lehre ist unbequem, aber einfach: Nicht jedes KI-Tool ist ein Risiko.
Aber jedes KI-Tool mit lokalen Rechten ist eine Sicherheitsentscheidung.

Sicherheitsentscheidungen gehören nicht in den LinkedIn-Feed. Sie gehören in die Verantwortung des Unternehmens.

Manuela Frenzel ist unabhängige Publizistin und akkreditierte Journalistin für KI-Einordnung sowie lokale KI. In ihrer Serie über digitale Kontrolle analysiert sie, wie Unternehmen KI nutzen können, ohne Kontrolle über Daten, Zugänge und Entscheidungsprozesse zu verlieren.

Quellen:

Deutschland: Bundesamt für Sicherheit in der Informationstechnik (BSI), Lagebericht KI und Cyberbedrohungen 2024.

Bitdefender, Cybersecurity Predictions 2025: Hype vs. Reality.

Bitdefender Labs, Technical Advisory OpenClaw.

Bitdefender LinkedIn-Webinar Ctrl-Alt-DECODE, Episode 6.

CNBC, Gary Marcus Substack, Vectra AI, Fortune.

Schweiz: Das Bundesamt für Cybersicherheit (BACS) verzeichnete 2024 rund 63.000 gemeldete Cybervorfälle, fast eine Verdoppelung gegenüber 2023.