OpenClaw, Hermes, Grok Bot, OpenAI dots und Claude Duet: was ein Dauer-Agent im Betrieb braucht

Ein früher Tester hatte vergessen, einer Zeitschrift eine Rechnung zu stellen. Sein KI-Agent bemerkte das, bereitete die Rechnung vor und verschickte sie, nachdem der Tester sie freigegeben hatte. Mit dieser Geschichte stellte OpenAI am 29. September 2026 dots vor, KI-Agenten, die rund um die Uhr für ihren Nutzer arbeiten. Gut gewählt ist sie, weil sie in drei Sätzen zeigt, was diese Produktklasse verspricht: Der Agent wird ungefragt tätig, er kennt die Vorgänge seines Nutzers, und er handelt erst nach einer Freigabe.

OpenAI ist damit nicht der Erste. Das freie OpenClaw, im November 2025 noch unter dem Namen Clawdbot gestartet, zählte am 25. Oktober 2026 auf GitHub rund 393.000 Sterne, am 25. Februar 2026 stellte Nous Research seinen ebenfalls freien Hermes Agent vor, und am 11. August 2026 brachte xAI den Grok Bot heraus. Gut drei Wochen nach dots folgte am 21. Oktober 2026 Anthropic mit Claude Duet, vorerst als Forschungsvorschau.

Ob es solche Agenten gibt, ist damit entschieden; offen ist, welchem davon Sie welchen Zugang zu Ihrem Betrieb geben.

Was einen Dauer-Agenten ausmacht

Alle fünf Produkte bestehen aus denselben Bausteinen. Jeder Agent arbeitet auf einem eigenen Rechner, bei dots, Grok Bot und Claude Duet in der Cloud des Anbieters (bei Grok Bot teilen sich die Bots eines Kontos einen Rechner), bei OpenClaw und Hermes üblicherweise auf einem Server, den Sie selbst betreiben. Er hat ein Gedächtnis, das einzelne Gespräche überdauert, Verbindungen zu Programmen wie Postfach, Kalender oder CRM und einen Zeitplan, nach dem er auch ohne Auftrag tätig wird. Erreichbar ist er über einen Chat, je nach Produkt in ChatGPT, einer eigenen App, Slack, Teams, Telegram oder WhatsApp. Wir nennen diese Klasse im Folgenden Dauer-Agenten. Claude Cowork und ChatGPT Work arbeiten im Kern Aufträge ab, die Sie ihnen geben, auch zu festen Zeiten, denn Cowork kann wiederkehrende Aufgaben planen (wie weit diese Werkzeuge für den Schreibtisch tragen, beschreibt unser Artikel über Claude Cowork und ChatGPT Work). Ein Dauer-Agent dagegen hat eine fortlaufende Zuständigkeit, sucht selbst nach Arbeit, behält den Stand über Wochen und meldet sich, wenn etwas zu entscheiden ist.

Neu ist die Technik dahinter nicht. Unsere eigene Agentensteuerung arbeitet nach demselben Muster: Sie schlägt Aufgaben aus Outlook und ausgewählten WhatsApp-Gesprächen vor, Agenten arbeiten sie ab, und die Ergebnisse warten auf Prüfung und Freigabe. Neu ist, dass xAI, OpenAI und Anthropic diesen Aufbau inzwischen im Abo verkaufen. Eine unserer eigenen wiederkehrenden Arbeiten zieht sich durch diesen Artikel, weil sie zeigt, was an einem Dauer-Agenten austauschbar ist und was nicht: Seit August 2026 recherchieren bei uns KI-Agenten jede Woche Unternehmen für unsere Akquise und bereiten Erstkontakte vor, und jede Ansprache verschickt unser Gründer selbst.

Wer den Rechner des Agenten betreibt

Die fünf Produkte unterscheiden sich vor allem darin, wer diesen Rechner betreibt und damit für Updates, Zugangsdaten und Protokolle verantwortlich ist. Bei dots, Grok Bot und Claude Duet ist es der Anbieter, bei OpenClaw und Hermes in der Regel Sie. Hermes gibt es inzwischen auch als gehostete Variante bei Nous Research.

OpenAI dots

Bei dots betreibt OpenAI alles. Jeder dot hat einen eigenen Cloud-Rechner mit Browser und nutzt unterstützte Plugins für den Zugriff auf Ihre Programme. Wenn Sie gerade nicht mit ihm arbeiten, sucht er im Hintergrund nach Arbeit; OpenAI nennt das „proaktive Recherche“ und beschränkt die Werkzeuge dafür auf reines Lesen, sodass er dabei weder Nachrichten senden noch Inhalte ändern kann. Für alles Weitere gelten eingebaute Regeln, die Sie ergänzen können, indem Sie eine Aktion erlauben, freigeben lassen oder sperren. Ein Passwort zu ändern bleibt immer beim Menschen, und Inhalte aus Business- und Enterprise-Arbeitsbereichen verwendet OpenAI nach eigener Aussage standardmäßig nicht zum Training. Für einen deutschen Betrieb kommt ChatGPT Business Premium infrage. Laut OpenAIs Zugangsübersicht, geprüft am 25. Oktober 2026, läuft die Freischaltung weltweit schrittweise; ein berechtigter Tarif garantiert deshalb noch keinen sofortigen Zugang. Die Pro-Tarife schließen den Europäischen Wirtschaftsraum weiterhin aus. Die aktuellen Konditionen stehen auf OpenAIs Tarifseite.

Grok Bot

Grok Bot läuft ebenfalls in der Cloud, technisch auf der Plattform von Cursor. Er nutzt Plugins, wo es sie gibt, und bedient alle anderen Programme über die Oberfläche, mit Maus, Tastatur und Bildschirm. Stößt er auf eine Anmeldung, übergibt er Ihnen seinen Rechner; Sie tippen Passwort und Zwei-Faktor-Code selbst ein, und die angemeldete Sitzung bleibt für spätere Aufgaben bestehen. Ein eigenes Prüfmodell entscheidet, welche Aktion er ohne Rückfrage ausführt, und Sie können einzelne Aktionen einmal oder dauerhaft erlauben. Laut Cursors Sicherheitsdokumentation, geprüft am 25. Oktober 2026, laufen die Rechner ausschließlich in den USA. Prüfprotokolle, automatische Benutzerverwaltung und Netzwerkregeln gibt es erst im Enterprise-Tarif.

Claude Duet

Auch Claude Duet arbeitet auf einem eigenen Rechner in der Cloud, einer virtuellen Maschine mit eigenem Browser. Gedächtnis, Skills und verbundene Programme übernimmt er aus Ihrem Claude-Konto. Auf Ihre Programme greift er über die Konnektoren und Plugins von Claude zu, und für Seiten ohne Konnektor nutzt er seinen Browser. Fragt eine Seite nach einem Passwort, tippen Sie es in ein eigenes Formular, das es direkt an diesen Browser gibt; Passwörter und Anmelde-Tokens sieht der Agent laut Anthropic nie selbst. Ihre Konten prüft er alle paar Stunden, weil ständiges Nachsehen die Nutzungsgrenzen des Abos zu schnell aufbrauchen würde, und so kann eine dringende Nachricht bis zur nächsten Prüfung unbemerkt bleiben. Vor einer möglicherweise heiklen Nachricht, einer Zahlung, einer Unterschrift oder einer Löschung zeigt er Ihnen nach Anthropics Beschreibung den Schritt samt Empfängern und Inhalt und wartet auf Ihre Freigabe. Wiederholte Rückfragen können Sie für manche Schritte abschalten, für Zahlungen, das Löschen einer Bestellung oder das Anlegen eines Kontos aber nicht. Zusätzlich bewertet eine automatische Prüfung außerhalb des arbeitenden Modells, ob jede Aktion Ihrem Auftrag entspricht. Wertpapiere handeln, Geld zwischen Konten verschieben oder auf fremde Konten zugreifen darf er auch mit Freigabe nicht. Laut Anthropics Hilfeartikel, geprüft am 30. Oktober 2026, gibt es Claude Duet während der Forschungsvorschau nur in den USA, nur in den Tarifen Pro und Max und nur auf Einladung über eine Warteliste. Team- und Enterprise-Tarife sollen später folgen, und Microsoft 365 lässt sich noch nicht anbinden.

OpenClaw und Hermes Agent

Bei OpenClaw und Hermes Agent betreiben Sie den Rechner selbst, auf einem eigenen oder einem gemieteten Server. Beide stehen unter der freien MIT-Lizenz, merken sich Gespräche, laufen nach Zeitplan und sind über Messenger wie Telegram, WhatsApp oder Teams erreichbar. Beide arbeiten außerdem mit dem Sprachmodell, das Sie wählen, bis hin zu einem lokal betriebenen Modell oder einem europäischen Anbieter wie Mistral. Damit sind sie die beiden Lösungen, bei denen Daten und Modell vollständig in Ihrer Hand bleiben können. OpenClaw gehört seit Juli 2026 einer gemeinnützigen Stiftung; Hermes entwickelt Nous Research. Am 25. Oktober 2026 ist Version 0.22.5 die aktuelle Freigabe, also weiterhin eine Version vor 1.0. Den Preis für diese Kontrolle zahlen Sie in Betriebsaufwand, denn Updates, Schlüssel, Protokolle und Ausfälle liegen bei Ihnen, und die OpenClaw-Freigaben und die Hermes-Freigaben zeigen auch bei der Prüfung am 25. Oktober 2026 mehrere neue Versionen pro Woche.

Welche Nachteile hat OpenClaw?

Die Nachteile von OpenClaw sind gut dokumentiert, weil sie öffentlich passiert sind. Am 1. Februar 2026 wurde die Lücke CVE-2026-25253 veröffentlicht, bei der ein einziger Klick auf einen präparierten Link genügte, um das Zugangstoken des Agenten abzugreifen und ihn zu übernehmen; Version 2026.1.29 hatte sie bereits geschlossen. Einen Tag zuvor hatte der Internet-Scanner Censys 21.639 OpenClaw-Installationen gezählt, die aus dem Internet erreichbar waren; die meisten verlangten allerdings noch ein Zugangstoken. Im Februar schätzte die niederländische Datenschutzbehörde, dass etwa ein Fünftel der Erweiterungen im Marktplatz ClawHub Schadcode enthielt, und riet, OpenClaw und ähnliche Agenten nicht auf Systemen mit Personal-, Finanz- oder vertraulichen Daten einzusetzen. Bei der Prüfung am 25. Oktober 2026 nennt die Sicherheitsseite des Projekts weiterhin 722 veröffentlichte und behobene Sicherheitshinweise, darunter 14 kritische. Die Seite weist den 11. September 2026 als letzten Aktualisierungsstand aus. Dass so viele Hinweise öffentlich sind, spricht allerdings auch für die Offenheit des Projekts. Inzwischen prüft es jede neue Erweiterung automatisch auf Schadcode, und ein am 21. September 2026 veröffentlichter Bericht über ein Audit durch Trail of Bits nennt 23 gefundene und inzwischen behobene Probleme, keines davon kritisch. Die isolierte Ausführung von Befehlen in einer Sandbox ist laut Dokumentation, geprüft am 25. Oktober 2026, aber weiterhin standardmäßig ausgeschaltet.

Wichtiger als die einzelne Lücke ist der Mechanismus dahinter. Der Entwickler Simon Willison nennt ihn das „tödliche Dreigespann“: Ein Agent, der private Daten hält, fremde Texte liest und Daten nach außen senden kann, lässt sich über einen versteckten Befehl in einer E-Mail oder auf einer Webseite gegen seinen Besitzer wenden. Jedes Produkt in diesem Vergleich bringt die ersten beiden Bedingungen mit, sobald es Ihr Postfach liest; ob es auch senden kann, entscheiden die Rechte, die Sie ihm geben. Das BSI rät deshalb in seinen Hinweisen zu KI-Agenten, dass kein Agent gleichzeitig Zugang zu E-Mails, Bankkonto und persönlichen Dateien haben sollte. Bei OpenClaw kommt ein vierter Weg hinzu, weil ein Skill aus dem Marktplatz Anweisungen und oft auch Skripte enthält, die ein Fremder geschrieben hat und denen der Agent auf Ihrem Rechner folgt.

Solange ein Agent Erweiterungen aus einem offenen Marktplatz lädt und Befehle ohne Sandbox ausführt, gehört er deshalb nicht an ein Firmenpostfach.

Welche Alternativen gibt es zu OpenClaw?

Wer OpenClaw wegen der Idee installiert hat, findet in Hermes Agent dasselbe Betriebsmodell. Hermes legt sein Gedächtnis in zwei kleinen Textdateien ab, die Sie lesen und ändern können, prüft Erweiterungen aus seinem eigenen Skills Hub mit einem Scanner und lässt riskante Befehle von einem zweiten Sprachmodell einstufen, bevor es sie ausführt. Sicherer als OpenClaw ist es deshalb nicht automatisch. Die Entwickler schreiben in ihren Sicherheitsrichtlinien selbst, die einzige Sicherheitsgrenze gegen ein feindlich gesteuertes Sprachmodell sei das Betriebssystem, und in der Grundeinstellung führt Hermes Befehle direkt auf dem Server aus. Für einen Betrieb heißt das, Hermes in einem Container oder einer eigenen virtuellen Maschine laufen zu lassen, betreut von jemandem, der Server absichern kann.

Wer keinen Server betreiben will, landet bei dots oder Grok Bot (in den am 25. Oktober 2026 geprüften Zugangshinweisen und FAQ fanden wir keine ausdrückliche Bestätigung für deutsche Konten). Claude Duet kommt für einen deutschen Betrieb vorerst nicht infrage, weil Anthropic es nur für US-Konten freigibt; wer Postfach und Kalender in Microsoft 365 führt, könnte sie ohnehin noch nicht anbinden. Sofern Ihr Betrieb den Tarif Business Premium nutzt, spricht derzeit mehr für dots, und das aus zwei Gründen. Erstens arbeitet dots vorrangig über Anbindungen an Ihre Programme, Grok Bot dagegen überall dort über den Bildschirm, wo kein Plugin existiert. Anthropic, das selbst Bildschirmsteuerung anbietet, ordnet sie in seiner Dokumentation als langsameren und fehleranfälligeren Weg ein, und für wiederkehrende Arbeit in ERP und CRM sehen wir das genauso (warum Agenten APIs statt Bildschirme brauchen). Zweitens wird für ChatGPT Business eine europäische Speicherregion schrittweise wählbar. Laut der am 25. Oktober 2026 geprüften Speicherregelung bleibt eine Kopie jedes Prompts und jeder Antwort zeitweise in den USA. Die Speicherregion legt den Ort der Verarbeitung nicht fest; für Anforderungen an die Datenregion von dots verweist OpenAI an das Account-Team. Grok Bots Rechner laufen dagegen ausschließlich in den USA.

Ohne Lücke ist dots für kleine Betriebe allerdings auch nicht. Die Hilfeseite zur Verwaltung von dots beschreibt ihre Schalter ausdrücklich für Enterprise-Arbeitsbereiche. Bei der Prüfung am 25. Oktober 2026 fanden wir dort keine Zusage derselben Schalter für Business Premium. Welche Kontrollen Ihr Tarif tatsächlich bietet, sollten Sie deshalb vor dem Anschluss eines Firmenpostfachs klären.

Was unsere eigene Akquise über Dauer-Agenten zeigt

Zurück zu unserer Akquise, denn an ihr lässt sich ablesen, wie viel an einem Dauer-Agenten das Produkt ausmacht und wie viel die Regeln drumherum. Die Agenten recherchieren jede Woche in einem Bestand von rund 1.900 Unternehmen aus den Ausstellerlisten dreier Fachmessen (AMB, Z Zuliefermesse und Intec). Sie arbeiten mit schriftlichen Arbeitsanweisungen in Markdown und einem Standard-CRM, seit September Notion, erstellen jede Woche eine Handvoll recherchierter Dossiers und bereiten Erstkontakte vor. Abgeschickt wird nichts davon ohne unseren Gründer.

Manche Regeln stehen fest, bevor ein Agent den ersten Satz entwirft. Ein Unternehmen, das schon Kunde, Lieferant oder Partner ist, bekommt keine Erstansprache, und jedes geprüfte Unternehmen kommt mit seinem Ergebnis in eine Liste, damit die Recherche es kein zweites Mal aufgreift. Eine solche feste Regel braucht keinen Agenten, denn ein festes Programm prüft sie schneller und jedes Mal gleich. Sie gehört in die Arbeitsanweisung und, wo das Werkzeug es erlaubt, in die Rechte des Agenten, etwa indem er gar nicht senden darf. In xAIs eigenem Beispiel für Vertriebs-Outbound recherchiert Grok Bot über Nacht Firmen und entwirft E-Mails und LinkedIn-Nachrichten. Ob aus einem solchen Entwurf ein Versand wird, entscheidet die Freigaberegel, die Sie einstellen, nicht die Qualität seiner Texte.

Aus dieser Schleife haben wir eine Lehre gezogen, die für alle fünf Produkte gilt. Austauschbar ist an unserem Aufbau der Agent. Die Arbeitsanweisung, die festlegt, was ein passendes Unternehmen ist, das CRM als einzige Quelle für den Stand jedes Kontakts und die Freigabe vor dem Versand hätten wir für dots, Grok Bot, Claude Duet oder Hermes genauso schreiben müssen. Die Freigabe ist dabei derselbe Schritt, den auch OpenAIs Rechnungsbeispiel beim Menschen lässt. Kein Standardprodukt der fünf Anbieter bringt diesen Teil fertig mit.

„Ich verschicke jede dieser Erstansprachen selbst, und ein besseres Produkt würde daran nichts ändern. In unserer eigenen Agentensteuerung arbeiten Claude und Codex nebeneinander, und wo ein Ergebnis eine unabhängige Prüfung braucht, geht sie im Regelfall an den jeweils anderen Anbieter. Austauschbar ist bei uns also schon heute der Agent; was wir pflegen, sind Anweisungen, Quellen und Freigaben. Fragt mich ein Kunde, welches dieser Produkte er nehmen soll, frage ich zuerst, welches Abo er schon bezahlt. Muss alles im eigenen Haus bleiben, nehme ich Hermes, abgeschottet in einer eigenen Umgebung. OpenClaw schlage ich nicht neu vor, und wo ein Kunde es schon betreibt, sichern wir es ab und pflegen es.“, sagt Sebastian Behler, Gründer von CERTAINCE.

OpenAI sieht das offenbar ähnlich. Für seine „spezialisierten dots“, die eigene Zugangsdaten bekommen und mit den Kernsystemen eines Unternehmens verbunden werden, legen OpenAIs eigene Ingenieure gemeinsam mit dem Unternehmen fest, welche Aufgaben der Agent übernimmt, welche Werkzeuge er nutzt und wie Menschen seine Arbeit prüfen und freigeben. Angeboten wird das vorerst nur in Pilotprojekten mit Enterprise-Kunden.

Sieben Fragen, bevor ein Dauer-Agent Zugang bekommt

Diese Fragen gehören auf den Tisch, bevor jemand einen Agenten mit dem Firmenkonto verbindet. Bleibt eine davon offen, ist der Agent noch nicht so weit.

• Welche Programme darf der Agent lesen, und in welche darf er schreiben? Breit lesen und eng schreiben ist der sichere Ausgangspunkt.
• Hält er private Daten, liest er fremde Texte und kann er nach außen senden? Treffen alle drei zu, nehmen Sie ihm eine davon.
• Welche Aktionen brauchen eine Freigabe? Alles mit Geld, Terminen oder Kunden, als Regel im Produkt eingetragen statt als Bitte im Chat.
• Unter wessen Namen handelt er? Ein eigenes Konto für den Agenten hält das Protokoll lesbar, ein geliehenes Konto eines Mitarbeiters nicht.
• Wo landet, was er über Ihren Betrieb lernt, und lässt es sich löschen? Bei dots und Claude Duet löscht das Trennen einer Verbindung laut den Anbietern nichts von dem, was der Agent daraus schon übernommen hat.
• Wer spielt Updates ein und liest die Protokolle? Beim Abo ist es zum Teil der Anbieter, beim eigenen Server sind es ganz Sie.
• Gibt es für jedes beteiligte System eine Schnittstelle, oder müsste der Agent über den Bildschirm klicken?

Diese Fragen zu beantworten und die Antworten im Werkzeug einzustellen, ist bei uns die Einrichtung, in der wir die Programme verbinden, die Ihr Team schon nutzt, die Quellen ordnen und festlegen, wer was freigibt. Wo ein System keine fertige Anbindung hat, bauen wir die Schnittstelle in der Entwicklung, damit der Agent nicht über den Bildschirm arbeiten muss. Einrichtung besprechen

Was „lernt mit der Zeit“ bedeutet, ist noch offen

OpenAI schreibt, ein dot lerne mit der Zeit Ihre Vorlieben, Ihre Denkweise und Ihre Maßstäbe. Was davon ein Lernen ist, das Sie einsehen und zurücknehmen können, lässt sich von außen noch nicht beurteilen. Hermes legt sein Gedächtnis in Dateien, die Sie öffnen können; über dots verrät die Hilfe bisher vor allem, dass das Trennen einer Verbindung nichts löscht und erst das Zurücksetzen den dot mit seinen Gesprächen, Erinnerungen und geplanten Aufgaben entfernt. Laut Anthropics Sicherheitsseite behält Claude Duet Gesprächsverlauf und Gedächtnis, bis Sie beides löschen oder zurücksetzen, und sieht auch, was sich Claude aus Ihren früheren Chats gemerkt hat. Ein Sprachmodell beginnt ohnehin jeden Tag wie am ersten (warum Kontext wichtiger ist als die Wahl des Modells), und ob die Gedächtnisse der Anbieter daran grundsätzlich etwas ändern, bleibt abzuwarten. Bis sich das klärt, gehören die Regeln Ihres Betriebs in Dateien, die Ihnen gehören; das Gedächtnis eines Agenten ergänzt sie höchstens.