Clawdbot: Der KI-Assistent, der Anthropic nervt – und deine Daten freilegt

Peter Steinbergers KI-Assistent Clawdbot (jetzt Moltbot) ging viral, kassierte eine Abmahnung von Anthropic – und offenbart massive Sicherheitslücken. Hunderte ungeschützte Server liegen offen im Netz.

Ein österreichischer Entwickler baut einen KI-Assistenten, der lokal auf dem eigenen Rechner läuft, binnen Tagen viral geht und dann von Anthropic zum Rebranding gezwungen wird. Klingt nach einem Tech-Märchen – wäre da nicht das Sicherheitsdesaster, das sich parallel entfaltet. Moltbot, ursprünglich Clawdbot genannt, zeigt gerade exemplarisch, wie schnell aus einem cleveren Open-Source-Projekt ein Albtraum für Datenschutz werden kann. Über 44.200 GitHub-Sterne in wenigen Wochen sprechen für die Faszination. Hunderte offene Server ohne Authentifizierung sprechen gegen die Umsetzung.

Vom Hummer zum Rechtsstreit

Peter Steinberger, bekannt als @steipete, entwickelte Moltbot als persönlichen Assistenten – eine KI, die tatsächlich Dinge erledigt, statt nur zu plaudern. Kalender verwalten, Nachrichten verschicken, Flug-Check-ins durchführen. Das Projekt startete als Soloprojekt eines Entwicklers, der nach drei Jahren Pause seine Leidenschaft fürs Coden wiederfand.

Steinberger nannte seinen Bot zunächst nach Anthropics Flaggschiff-Modell Claude – ein Fehler, wie sich herausstellte. Anthropic zwang ihn laut TechCrunch zum Rebranding wegen Markenrechtsverletzungen. Aus Clawdbot wurde Moltbot, die Hummer-Seele blieb. Der Rechtsstreit zeigt: Selbst Open-Source-Projekte kollidieren mit Corporate-Interessen, sobald sie Reichweite entwickeln.

Was Clawdbot/Moltbot kann – und wo es versagt

Moltbot integriert sich in Telegram, WhatsApp, Signal und iMessage, verbindet verschiedene Sprachmodelle und läuft komplett lokal. Kein Cloud-Zwang, keine Big-Tech-Abhängigkeit. Die Theorie klingt verlockend: Ein Assistent mit Gedächtnis, der proaktiv Briefings sendet und Aufgaben automatisiert – für fünf Dollar monatliche Server-Kosten. Die Praxis offenbart fundamentale Schwächen.

Sicherheitsforscher Jamieson O’Reilly dokumentierte laut Trendingtopics, dass hunderte Nutzer ihre Kontrollserver ungeschützt betreiben. Eine simple Shodan-Suche nach „Clawdbot Control“ liefert binnen Sekunden hunderte exponierte Instanzen. API-Schlüssel, Bot-Tokens, OAuth-Credentials, komplette Chat-Verläufe – alles öffentlich einsehbar.

Das Authentifizierungs-Desaster

Die technische Ursache liegt im Design: Moltbot genehmigt Localhost-Verbindungen automatisch ohne Authentifizierung. Praktisch für lokale Setups, fatal für reale Deployments hinter Reverse-Proxies. Alle Verbindungen erscheinen als lokal, externe Zugriffe werden durchgewunken. Borncity berichtet von Fällen, in denen Nutzer Signal-Konten auf öffentlich zugänglichen Servern einrichteten – Pairing-Credentials weltweit lesbar in temporären Dateien.

Ein exponiertes System einer KI-Agentur erlaubte sogar die Ausführung beliebiger Befehle mit Root-Rechten. Matvey Kukuy, CEO von Archestra AI, extrahierte per Prompt-Injection binnen fünf Minuten einen privaten Schlüssel. Die Blockchain-Sicherheitsfirma SlowMist identifizierte mehrere hundert kompromittierte API-Schlüssel.

Zwischen Hype und Härtung

Der virale Erfolg hat absurde Nebenwirkungen: Cloudflares Aktie stieg um 14 Prozent im vorbörslichen Handel, weil Entwickler die Infrastruktur für Moltbot nutzen. Mac-Mini-Verkäufe schnellten hoch. Über 44.200 GitHub-Sterne in Rekordzeit. Doch die Begeisterung übersieht die Realität: Wer Moltbot sicher betreiben will, braucht einen separaten Rechner mit Wegwerf-Accounts – was den Nutzen eines persönlichen Assistenten ad absurdum führt. Sicherheitsexperten fordern bessere Standardkonfigurationen, die auch Nutzer schützen, die Dokumentationen ignorieren.

O’Reilly reichte einen Pull Request mit Härtungsmaßnahmen ein. SlowMist empfiehlt striktes IP-Whitelisting. Die Frage bleibt: Kann ein System, das vollständigen Systemzugriff benötigt, überhaupt sicher sein?

Business Punk Check

Moltbot entlarvt die Illusion vom harmlosen KI-Spielzeug. Was als charmantes Open-Source-Projekt startet, wird zur Sicherheitskatastrophe, sobald technikbegeisterte Laien ohne Verständnis für Netzwerksicherheit mitmischen. Die Wahrheit: Ein KI-Agent mit Shell-Zugriff, der Dateien liest, Befehle ausführt und Browser steuert, ist per Definition ein Sicherheitsrisiko. Steinbergers Projekt zeigt, was autonome KI leisten könnte – aber auch, dass die Infrastruktur dafür nicht existiert. Hunderte offene Server beweisen: Die meisten Nutzer verstehen nicht, was sie da installieren.

Für Early Adopters gilt: Wer nicht weiß, was ein VPS ist oder wie Reverse-Proxies funktionieren, sollte die Finger davon lassen. Wer experimentieren will, braucht isolierte Systeme mit Wegwerf-Credentials. Die eigentliche Innovation liegt woanders: Moltbot demonstriert, dass lokale KI-Assistenten technisch machbar sind – aber gesellschaftlich und sicherheitstechnisch sind wir Jahre von massentauglichen Lösungen entfernt. Der Anthropic-Rechtsstreit ist dabei das kleinste Problem. Die eigentliche Frage lautet: Wollen wir wirklich KI-Agenten mit Vollzugriff auf unsere digitalen Leben, wenn selbst Sicherheitsprofis vor den Risiken warnen? Moltbot liefert die ernüchternde Antwort: Noch nicht.

Häufig gestellte Fragen

Warum musste Clawdbot in Moltbot umbenannt werden?

Anthropic zwang Entwickler Peter Steinberger zum Rebranding, weil der ursprüngliche Name Clawdbot zu nah an ihrem Flaggschiff-Produkt Claude lag und Markenrechte verletzte. Der Rechtsstreit zeigt, dass selbst Open-Source-Projekte mit Corporate-Interessen kollidieren, sobald sie viral gehen. Die Hummer-Thematik und Kernfunktionen blieben trotz Umbenennung erhalten.

Welche konkreten Sicherheitsrisiken birgt Moltbot?

Moltbot genehmigt Localhost-Verbindungen automatisch ohne Authentifizierung, was bei Deployments hinter Reverse-Proxies fatale Folgen hat. Sicherheitsforscher fanden hunderte exponierte Server mit öffentlich einsehbaren API-Schlüsseln, Chat-Verläufen und OAuth-Credentials. Prompt-Injection-Angriffe ermöglichen die Ausführung beliebiger Befehle mit Root-Rechten. Wer Moltbot testet, sollte es ausschließlich auf isolierten Systemen mit Wegwerf-Accounts betreiben.

Für wen ist Moltbot überhaupt geeignet?

Ausschließlich für technisch versierte Entwickler, die Reverse-Proxies konfigurieren, VPS-Server aufsetzen und Sicherheitsrisiken einschätzen können. Wer noch nie von einem Virtual Private Server gehört hat oder nicht weiß, wie IP-Whitelisting funktioniert, sollte abwarten. Die Installation erfordert tiefes Verständnis für Netzwerksicherheit und Authentifizierungsmechanismen – sonst wird der persönliche Assistent zur Datenschleuder.

Was unterscheidet Moltbot von ChatGPT oder anderen KI-Assistenten?

Moltbot läuft komplett lokal auf eigener Hardware statt in der Cloud, integriert verschiedene Sprachmodelle und hat vollständigen Systemzugriff. Der Assistent kann Dateien lesen und schreiben, Befehle ausführen, Browser steuern und hat persistentes Gedächtnis. Diese Autonomie macht ihn potenziell nützlicher als Cloud-Dienste – aber auch exponentiell gefährlicher bei falscher Konfiguration. Die Kontrolle über eigene Daten erkauft man sich mit massiv erhöhtem Sicherheitsrisiko.

Wird Moltbot jemals massentauglich werden?

Nicht in der aktuellen Form. Die grundlegende Architektur autonomer KI-Agenten mit Systemzugriff widerspricht etablierten Sicherheitsmodellen. Solange bessere Standardkonfigurationen fehlen und Nutzer Dokumentationen ignorieren, bleibt Moltbot ein Experiment für Early Adopters. Massentauglichkeit erfordert Lösungen, die auch technische Laien schützen – davon ist das Projekt Jahre entfernt. Der virale Hype überdeckt die Realität: Sichere autonome KI-Assistenten sind technisch machbar, gesellschaftlich aber noch nicht umsetzbar.

Quellen: TechCrunch, Trendingtopics, Borncity