Eine aktuelle Sicherheitsuntersuchung hat **Hunderte von im Internet erreichbaren Steuerungsoberflaechen** aufgedeckt, die mit OpenClaw (ehemals Moltbot) Installationen verbunden sind. Diese ungeschuetzten Dashboards stellen erhebliche Risiken fuer die Sicherheit und Privatsphaere der Nutzer dar.
Was gefunden wurde
Forscher entdeckten, dass viele OpenClaw-Nutzer versehentlich ihre Administrationspanels dem oeffentlichen Internet ausgesetzt haben. In mehreren Faellen ermoeglichte der Zugang zu diesen Oberflaechen Aussenstehenden:
- Konfigurationsdaten einzusehen
- API-Schluessel fuer Dienste wie Anthropic, OpenAI und andere abzurufen
- Vollstaendige Gespraechsverlaeufe aus privaten Chats zu durchstoebern
- Auf Dateiaustausch und gespeicherte Dokumente zuzugreifen
Wie das passiert
Die meisten Expositionen entstehen durch:
1. **Betrieb ohne Authentifizierung** - Verwendung von Standardkonfigurationen, die kein Login erfordern
2. **Port-Weiterleitungsfehler** - Versehentliches Freigeben des Dashboard-Ports ins Internet
3. **Cloud-Fehlkonfigurationen** - Einrichten von VPS-Instanzen ohne ordnungsgemaesse Firewall-Regeln
4. **Reverse-Proxy-Fehler** - Falsche Konfiguration von nginx oder Caddy
Sofortige Massnahmen
Wenn du OpenClaw betreibst, fuehre diese Schritte sofort durch:
1. Pruefe deine Exposition
Fuehre diesen Befehl aus, um zu sehen, ob dein Dashboard extern erreichbar ist:
curl -I http://DEINE_SERVER_IP:3000
Wenn du eine Antwort erhaeltst, ist dein Panel moeglicherweise exponiert.
2. Aktiviere Authentifizierung
Stelle sicher, dass du die Authentifizierung in deinen OpenClaw-Einstellungen konfiguriert hast:
auth:
enabled: true
username: dein_benutzername
password: dein_sicheres_passwort
3. Verwende eine Firewall
Erlaube Zugriff nur von vertrauenswuerdigen IPs:
# UFW Beispiel
sudo ufw deny 3000
sudo ufw allow from DEINE_IP to any port 3000
4. Rotiere kompromittierte Schluessel
Wenn du vermutest, dass deine API-Schluessel exponiert wurden, sofort:
- Rotiere deine Anthropic/OpenAI/Google API-Schluessel
- Ueberpruefe deine Gespraechsprotokolle auf sensible Informationen
- Pruefe auf unautorisierte Aktivitaeten in deinen verknuepften Konten
Empfehlungen von Brave
Das Brave-Browser-Team gab Empfehlungen aus, dass Nutzer:
- OpenClaw auf isolierten Maschinen betreiben sollten
- Kontozugriff begrenzen sollten
- Das Dashboard niemals direkt dem Internet aussetzen sollten
- VPN oder SSH-Tunneling fuer Fernzugriff verwenden sollten
Ausblick
Das OpenClaw-Team arbeitet an:
- Obligatorischer Authentifizierung in zukuenftigen Versionen
- Besseren Standard-Sicherheitskonfigurationen
- Im Dashboard integrierten Sicherheits-Audit-Tools
- Verbesserungen der Dokumentation zur sicheren Bereitstellung
Bleib wachsam und ueberpruefe noch heute deine Konfiguration.