Hermes vs. OpenClaw: Ein praktischer Vergleich

Die Kategorie

Beide Projekte sind selbst gehostete persönliche Agenten: ein dauerhaft laufender Prozess auf deiner eigenen Hardware, verdrahtet mit deinen Messaging-Apps, mit echten Tools (Shell, Dateien, Web, ein Browser), einem Gedächtnis, das Neustarts übersteht, und einer Skill-Bibliothek, die mitwächst. Du schreibst ihm vom Handy aus; er handelt auf deinen Maschinen.

Genau dieser letzte Teil ist der Grund, warum Sicherheit den Vergleich dominiert. Ein Chatbot, der falsch antwortet, verschwendet deine Zeit. Ein Agent mit Shell-Zugriff, der manipuliert wird, richtet echten Schaden an.

OpenClaw

Peter Steinberger hat OpenClaw im November 2025 als „Clawdbot" gestartet. Anthropic hatte etwas gegen die Namensähnlichkeit zu Claude einzuwenden; kurzzeitig hieß es „Moltbot", bevor Ende Januar 2026 der Name OpenClaw feststand. Innerhalb von 48 Stunden nach dem Rebranding knackte es 100.000 GitHub-Stars. Zwei Wochen später wechselte Steinberger zu OpenAI, und das Projekt ging in eine unabhängige Foundation mit OpenAI-Unterstützung über, die MIT-Lizenz blieb bestehen. Im März überholte es Reacts All-Time-Star-Rekord und liegt jetzt bei knapp 380.000.

Unter der Haube ist es ein dauerhaft laufendes Node.js-Gateway: eine lokale Steuerzentrale für Sessions, Kanäle, Tools und Events, mit einer eingebetteten Agent-Runtime, die die Modellaufrufe übernimmt. Die Persönlichkeit steckt in einer Datei namens SOUL.md. Es spricht mit 14+ LLM-Anbietern, von GPT, Claude und Gemini bis runter zu lokalen Modellen über Ollama.

Das bekommst du:

• 28 Messaging-Kanäle: WhatsApp, Telegram, Slack, Discord, Signal, iMessage, Teams, SMS, WeChat und 19 weitere
• Browser-Automatisierung auf Playwright-Basis
• Voice-Wake-Word und Talk-Modus, mit ElevenLabs-Text-to-Speech
• Companion-Apps für macOS, iOS (inklusive Apple Watch) und Android
• ClawHub, eine Community-Skill-Registry mit inzwischen fast 68.000 Skills
• Deployment-Guides für alles von einem Mac mini bis zu Kubernetes

Das Designziel ist Breite: mit allem verbinden, überall laufen, alles können. Das ist eher ein Betriebssystem für Agenten als ein einzelner Assistent.

Hermes

Hermes kommt von Nous Research, einem unabhängigen KI-Forschungslabor. In den ersten zwei Monaten knackte es 90.000 Stars, mittlerweile liegt es über 200.000. Der Design-Schwerpunkt ist ein anderer, und ein Satz aus einem Kilo-Blog-Vergleich bringt es auf den Punkt: „Hermes verpackt ein Gateway um einen lernenden Agenten. OpenClaw verpackt einen Agenten um ein Messaging-Gateway." Gleiche Bausteine, entgegengesetzter Schwerpunkt.

Im Zentrum von Hermes steht eine Schleife, die den Agenten besser macht, je länger du ihn laufen lässt:

Gedächtnis in drei Stufen. Zwei winzige Markdown-Dateien (eine 2.200 Zeichen lange MEMORY.md und eine 1.375 Zeichen lange USER.md), die bei jedem Sessionstart eingespeist werden; Volltextsuche über jede vergangene Unterhaltung, gespeichert in SQLite; und austauschbare externe Memory-Provider, falls du mehr willst. Kritische Fakten bleiben immer geladen. Alles andere ist bei Bedarf durchsuchbar.

Skills, die sich der Agent selbst schreibt. Wenn er eine komplexe Aufgabe abschließt, sich durch einen Fehler zu einer Lösung durcharbeitet oder von dir korrigiert wird, speichert er die funktionierende Vorgehensweise als Markdown-Skill-Datei. Beim nächsten Mal lädt er die bewährte Vorgehensweise, statt sie neu zu entdecken.

Ein Garbage Collector für diese Skills. Selbstgeschriebene Skills stapeln sich zu Dutzenden enger, überlappender Playbooks, wenn nichts sie ausdünnt. Ein Hintergrundprozess namens Curator markiert Skills nach 30 ungenutzten Tagen als veraltet, archiviert sie nach 90 und durchforstet die Bibliothek regelmäßig, um überlappende Skills zusammenzuführen. Gelöscht wird nie – jede Änderung lässt sich rückgängig machen.

Offline-Skill-Evolution. Agenten, die ihre eigene Arbeit benoten, erweisen sich als unzuverlässig (sie finden sich selbst fast immer großartig). Deshalb bringt Hermes eine separate Pipeline namens GEPA mit, die echte Ausführungs-Traces liest, herausfindet, wo ein Skill versagt, und über Suche bessere Varianten entwickelt. Das kostet ein paar Dollar pro Durchlauf, braucht keine GPU, und die Gewinner landen als Pull Requests, die du prüfst – keine stillen Änderungen.

Profile. Jedes Profil ist eine vollständig isolierte Agenten-Instanz: eigene Config, eigenes Gedächtnis, eigene Skills, eigene Credentials, eigene Persönlichkeitsdatei. Ein Coding-Agent und ein Research-Agent auf derselben Maschine teilen sich standardmäßig nichts.

Die Reichweiten-Lücke hat sich verkleinert. Im Frühjahr hat Hermes Browser-Automatisierung ergänzt, eine native Desktop-App für macOS, Linux und Windows, und Unterstützung für über 20 eigene Messaging-Plattformen, darunter Teams, iMessage und WhatsApp. Was weiterhin fehlt, ist OpenClaws Phone-native-Schicht: keine iOS- oder Android-Companion-Apps, keine Watch-App, kein Voice-Wake-Word. Zugriff vom Handy heißt hier: ein Messaging-Bot. Der Kernunterschied liegt darin, was jedes Projekt als sein Zentrum begreift: OpenClaw wächst, indem es sich mit mehr Orten verbindet, Hermes, indem es den Agenten selbst schlauer macht.

Wo sie sich einig sind

Beide halten die Persönlichkeit in einer SOUL.md-Datei. Beide behandeln Skills als Markdown mit Frontmatter. Beide planen wiederkehrende Aufgaben aus Cron-Anfragen in normalem Englisch, und beide laufen mit lokalen Modellen über Ollama. Seit dem Frühjahr können beide Browser automatisieren und beide sprechen mit über zwanzig Messaging-Plattformen. Die beiden nähern sich schnell an, ein Feature-Vergleich veraltet also in Wochen; verstehe die Tabelle unten als Momentaufnahme vom Juli 2026.

Nebeneinander

Sicherheit

Das ist der Abschnitt, der meine Entscheidung gefällt hat, deshalb bekommt er den meisten Platz.

OpenClaws Bilanz 2026. Eine One-Click-Remote-Code-Execution-Kette mit CVSS 8.8 (CVE-2026-25253, im Januar gepatcht); die „ClawHavoc"-Kampagne, die ClawHub mit bösartigen Skills verseucht hat, bis Forscher mehr als 800 schädliche Pakete zählten – damals rund ein Fünftel der Registry; über 30.000 Instanzen, die ungeschützt und ohne Authentifizierung im offenen Internet gefunden wurden; und Infostealer-Malware, die gezielt nach OpenClaw-Konfigurationsdateien sucht, in denen API-Keys und Tokens im Klartext liegen. Im April kam eine zweite RCE dazu (CVE-2026-41295: Ein Workspace mit einem bösartigen Channel-Plugin wird geöffnet, und es führt sich aus, bevor irgendeine Trust-Prüfung greift). Im März untersagte China Behörden, Banken und Staatsunternehmen, OpenClaw überhaupt zu betreiben.

Die Reaktion der Maintainer war aggressiv: Pairing-Codes für unbekannte Absender, ein Diagnosebefehl doctor, Tool-Allowlists, VirusTotal-Scans für ClawHub-Einreichungen. Aber das Problem ist strukturell. Achtundzwanzig eingehende Kanäle, eine öffentliche Skill-Registry, ein Browser und Shell-Zugriff ergeben zusammen eine große Angriffsfläche, die sich durch Patches nicht verkleinern lässt. Jeder Kanal ist eine Tür. Jeder Community-Skill ist eine Supply Chain. Und was dahintersteckt, führt Befehle aus.

Warum Hermes die sicherere Wahl ist. Mehrere Sicherheitsvorteile von Hermes sind struktureller Natur, nicht bloß eine Folge von weniger Nutzern:

• Profil-Isolation. Jedes Profil ist eine vollständig isolierte Agenten-Instanz mit eigener Config, eigenem Gedächtnis, eigenen Skills und eigenen Credentials. Eine Kompromittierung in einem Kontext gibt nicht den Rest preis.
• Kein zentraler Skill-Marktplatz, den man vergiften könnte. Skills kommen aus GitHub-Repos, denen du explizit vertraust (Taps im Homebrew-Stil), oder direkt aus der Hand des Agenten. Es gibt keine gemeinsame Registry, die ein Angreifer verseuchen könnte – das ClawHavoc-Szenario existiert hier schlicht nicht.
• Überprüfbare Selbstverbesserung. Die Offline-Skill-Evolution liefert ihre Änderungen als Pull Requests, die du prüfst – keine stillen Edits.
• Ein hartes Limit von 90 Turns pro Aufgabe, damit eine gekaperte Schleife nicht endlos weiterlaufen kann.

Die ehrlichen Einschränkungen: Hermes hat weniger Nutzer, das heißt weniger Angreifer, aber auch weniger Forscher, die hinschauen, und seine Angriffsfläche ist gewachsen, seit Kanäle und ein Browser dazugekommen sind. Die Release-Notes vom Juli listen nur CVE-Fixes auf Abhängigkeits-Ebene, bisher keine projektspezifischen Vorfälle. Aber die strukturellen Eigenschaften oben sind der Grund, warum ich ihm auf einer Maschine, die abgeschottet bleiben muss, mehr vertraue.

Das Fazit gilt für beide Tools: Behandle sie als nicht vertrauenswürdige Software mit Shell-Zugriff, denn genau das sind sie. Die wichtigste Sicherheitsarbeit passiert auf Maschinen- und Netzwerkebene, komplett unterhalb des Agenten. Genau darum geht's im nächsten Post.

Welches solltest du laufen lassen?

OpenClaw, wenn du Abdeckung willst: dein Agent auf dem Handy und am Handgelenk, antwortet per Sprache, steuert deinen Browser und deine Lautsprecher, mit der größten Community im Feld. Plane echte Zeit fürs Hardening ein – die Standardeinstellungen retten dich nicht.

Hermes, wenn du einen Agenten willst, der sich aufaddiert, und eine kleinere, besser prüfbare Angriffsfläche: Er kennt deine Umgebung im dritten Monat weit besser als in Woche eins, hält Projekte in getrennten Profilen und verbessert sich über eine Pipeline, die du prüfen kannst. Wenn die Maschine, auf der er läuft, abgeschottet bleiben muss, sind das Supply-Chain-Modell und die Isolations-Primitive genau der Punkt. Mir hat auch gefallen, dass es aus einem unabhängigen Forschungslabor (Nous Research) kommt statt aus einem Projekt, das inzwischen von OpenAI unterstützt wird. Das ist genauso eine Governance-Frage wie eine technische.

Was ich nutze

Bei mir läuft eine Hermes-Instanz auf einer isolierten Maschine und treibt die Produktentwicklung für eines meiner Nebenprojekte voran: Prior-Art-Recherche, Planung, die unglamouröse Arbeit in der Mitte. Ich steuere und prüfe; er führt aus.

Der nächste Post behandelt das Setup, das es vertretbar macht, ihn unbeaufsichtigt laufen zu lassen: Netzwerk-Isolation, getunnelter Zugriff, Firewall-Regeln, und die Abgrenzung, was der Agent erreichen kann und was nicht.