Die beiden meistbeachteten Projekte für persönliche KI-Agenten der letzten zwölf Monate sind sich in fast nichts einig. Sie sind uneins über Prozessmodell, Aufbau des Gedächtnisses, Deployment-Oberfläche, Multi-Agent-Topologie, Sicherheitshaltung und die Frage, wer eigentlich die Arbeit machen soll. Einig sind sie sich in einem Punkt. Die Einheit, in der ein Agent Fähigkeiten bekommt, ist eine Markdown-Datei namens SKILL.md.
Diese Konvergenz ist das Interessanteste an beiden Projekten. OpenClaw, Peter Steinbergers Node-basiertes Gateway, das Ende 2025 die Open-Source-Debatte über KI an sich riss, und Hermes Agent, die Python-Runtime, die Nous Research im Februar 2026 veröffentlichte, kamen auf dieselbe Antwort auf die Frage „wie erweitern wir einen Agenten“: prozedurales Markdown mit YAML-Frontmatter, auf der Platte abgelegt, pro Workspace abgegrenzt.
Fast alles andere folgt aus einer früheren Architekturentscheidung. Wo lebt der Agent eigentlich?
Die Antwort von OpenClaw ist das Gateway. Ein langlaufender Node-Prozess, der auf 127.0.0.1:18789 lauscht, vermittelt alles: Channel-Adapter, Session-Lebenszyklus, Routing, Tool-Ausführung, Agentenauswahl, Sandbox-Zustand. Mehrere Agenten leben nebeneinander unter demselben Gateway, jeder definiert durch einen Workspace-Ordner voller Markdown-Dateien, die das Gateway beim Session-Start liest. Die Agenten-Runtime ruft das LLM und die Tools auf, aber das Zusammensetzen gehört dem Gateway. Der Agent gilt hier als Konfiguration, die das Gateway interpretiert.
Die Antwort von Hermes ist die AIAgent-Schleife. Ein einziges Python-Modul, run_agent.py, führt den gesamten Gesprächszyklus aus: System-Prompt bauen, Provider auflösen, Modell aufrufen, Tool-Calls verteilen, Trajektorie in SQLite festschreiben. Alles andere (Gateway, Scheduler, Plugins, Terminal-Backends) hängt als Satellit an dieser Schleife. Das Zusammensetzen gehört hier nicht dem Gateway, es liefert nur Nachrichten an die Schleife. Der Agent gilt hier als Runtime, der alles andere dient.
Das Gedächtnis folgt dem Schwerpunkt
Wenn Ihr Agent sein Workspace IST, besteht sein Gedächtnis aus Dateien. Die fünf zentralen Markdown-Dokumente von OpenClaw (AGENTS.md für die Betriebsregeln, SOUL.md für Persona und Entscheidungsgrenzen, USER.md für das Betreiberprofil, TOOLS.md für die Umgebung, MEMORY.md für dauerhafte Notizen) und die Tageslogs unter memory/YYYY-MM-DD.md werden beim Session-Start innerhalb konfigurierter Zeichenlimits geladen. In den Vorlagen der Systemnachrichten steht dazu der Satz „diese Dateien sind dein Gedächtnis“. Wer die Dateien bearbeitet, bearbeitet den Zustand. Das Gateway hat die Aufgabe, sie deterministisch zu einem stabilen Prompt-Präfix zusammenzusetzen. Das Context-Engine-Plugin LosslessClaw baut über dem entstehenden Graphen DAGs für den selektiven Abruf und die Kompaktierung der Blattknoten.
Die Stärke dieses Entwurfs ist die Auditierbarkeit. Das Gedächtnis ist für Menschen lesbar, lässt sich versionieren und mühelos diffen. Der Preis dafür: Die Kompaktierung läuft passiv. Der Agent übersteht das Kontextlimit, lernt aber nichts daraus, wie sein Verlauf komprimiert wurde.
Wenn Ihr Agent eine Schleife IST, hat sein Gedächtnis die Form einer Datenbank. Hermes betreibt einen geschichteten Stack auf SQLite mit WAL und FTS5. Session-Transkripte liegen in einem Volltextindex und lassen sich mit dem Tool session_search über den gesamten Verlauf des Agenten abfragen. Dauerhafte Notizen (auf bescheidene Zeichenlimits begrenzt, MEMORY.md umfasst etwa 800 Token) und ein sich entwickelndes Nutzermodell, aufgebaut auf Honcho für das, was die Dokumentation dialektische Nutzermodellierung nennt, überdauern die Sessions. Das prozedurale Gedächtnis liegt in einem eigenen Verzeichnis, für den Abruf indexiert und in abgestuften Detailgraden geladen: zuerst Name und Beschreibung, dann die Parameter, die vollständigen Ausführungsschritte erst beim Aufruf.
Beide Entwürfe nutzen denselben Trick: Sie halten den häufig benutzten Teil des Gedächtnisses eingefroren, damit der Prompt-Cache stabil bleibt. OpenClaw erzwingt eine deterministische Sortierung von Plugins, Tools und Gedächtnisdateien, damit sich das Prompt-Präfix zwischen den Turns nicht ändert. Hermes verwendet einen eingefrorenen Gedächtnis-Snapshot vom Session-Start. Schreibvorgänge mitten in der Session sind dauerhaft, wirken aber erst ab der nächsten Session. Unterschiedliche Architekturen, dieselbe Bedingung: Der Cache muss intakt bleiben.
Was sich ändert, ist die Frage, was als Gedächtnis zählt. Für OpenClaw ist Gedächtnis das, was der Betreiber aufschreibt. Für Hermes ist Gedächtnis das, was die Schleife bewahrt.
Auch die Skills folgen dem Schwerpunkt
Bei OpenClaw schreiben Sie die Skills. SKILL.md-Dateien sind von Betreibern verfasste Playbooks: Schritt-für-Schritt-Anleitungen, denen der Agent beim Aufruf folgt. ClawHub, der Marktplatz von OpenClaw, verteilt Tausende von der Community geschriebene Skills, die Sie installieren können. Skills sind Infrastruktur als Text: geschrieben, geprüft, versioniert, auditiert. Den Marktplatz gibt es, weil die Architektur das Verfassen als Menschenarbeit behandelt.
Bei Hermes schreibt der Agent die Skills. Nach einem Workflow mit mehreren Tool-Calls geht Hermes in eine Reflexionsphase, extrahiert die erfolgreiche Trajektorie und schreibt eine SKILL.md nach ~/.hermes/skills/. Spätere Läufe verfeinern die Datei, wenn das Verfahren auf neue Randfälle trifft. Der Standard agentskills.io, den beide Projekte nominell unterstützen, macht die entstehenden Artefakte portabel. Einen Marktplatz gibt es nicht, weil die Architektur das Verfassen als emergente Eigenschaft der Schleife behandelt.
Beide Entwürfe reagieren auf dasselbe Grundproblem: Die Fähigkeiten eines Agenten kommen nicht mit dem Modell, und die Lücke im Harness muss irgendwie gefüllt werden. OpenClaw füllt sie mit Betreiberarbeit, vermittelt über einen Marktplatz. Hermes füllt sie mit autonomer Abstraktion.
Die Wette von OpenClaw: Menschen können Markdown auditieren, die Introspektion eines Modells aber nicht. Der Marktplatz bringt die Prüfung, der Workspace das Review.
Die Wette von Hermes: Menschen schreiben nicht genug Skills. Die meisten wiederholten Workflows bleiben unkodifiziert, weil das Verfassen einer SKILL.md selbst Arbeit ist. Schreibt der Agent sie aus beobachtetem Erfolg, sinken die Kosten auf null, und der Skill-Bestand wächst mit Zinseszins.
Multi-Agent folgt dem Schwerpunkt
OpenClaw betreibt viele Agenten, weil das Gateway die Abstraktion ist, mit der das ganz natürlich wird. Jeder bekommt seinen eigenen Workspace, seine eigene Modellkonfiguration, seine eigene Tool-Policy, seine eigenen Session-Verläufe und sein eigenes Auth-Profil. Untereinander kommunizieren sie bei Bedarf über das Gateway. Community-Erweiterungen legen für den Einsatz in Organisationen Manager-Worker-Muster über Matrix-Räume. Die Architektur belohnt „ein Team von Spezialisten, zentral gesteuert“.
Hermes betreibt Sub-Agenten, weil die Schleife die Abstraktion ist. Die Eltern-Schleife startet bis zu drei gleichzeitige Kinder (delegation.max_concurrent_children steht standardmäßig auf 3), jedes mit eigener Terminal-Session, eigenem begrenztem Kontext und eigenem Toolset. Die Kinder melden sich zurück und verschwinden. Das Konzept langlebiger, gleichrangiger Agenten, die über Sessions hinweg Zustand halten, gibt es hier nicht. Dafür bräuchte es eine Abstraktion, die Hermes nicht hat. Die Architektur belohnt „einen Agenten, der parallele Arbeit delegiert“.
Die richtige Einordnung lautet nicht „OpenClaw hat Multi-Agent und Hermes nicht“. Beide haben es. Sie haben es in unterschiedlicher Form, weil sie auf unterschiedliche Fragen antworten: wie man ein Team orchestriert und wie man einen Workflow parallelisiert.
Die Sicherheitsausgaben folgen dem Schwerpunkt
Die OpenClaw-Sicherheitskrise von 2026 wird meist als Abfolge von CVEs beschrieben. Nützlicher liest man sie als Stresstest der Architektur.
Das Gateway stellte einen WebSocket-Server auf localhost bereit, der Origin-Header nicht validierte. ClawHub prüfte Uploads nicht. Die Workspace-Berechtigungen waren standardmäßig weit gefasst. Jede dieser Entscheidungen ist für sich klein, zusammen führten sie zu einem Wendepunkt im März 2026. Joel Gamblins öffentlicher Tracker verzeichnete 137 Sicherheitshinweise zu OpenClaw zwischen dem 2. Februar und dem 4. April 2026. Fünf bekamen formale CVE-Nummern. ClawBleed (CVE-2026-25253, CVSS 8,8) war der erste breit berichtete Fall: ein Cross-Site-WebSocket-Hijack mit einem Klick, über den jede bösartige Seite das Auth-Token einer lokalen OpenClaw-Instanz stehlen und beliebige Befehle ausführen konnte. CVE-2026-32922 (CVSS 9,9) war der schwerste, eine Race Condition bei der Token-Rotation, die zu Remote Code Execution führte.
Das strukturellere Problem war die Lieferkettenkampagne mit dem Namen ClawHavoc. Koi Security fand in seinem ersten Audit vom 1. Februar 341 bösartige Skills unter 2.857, also 11,9 % der Registry. Sie folgten einem Muster, das Forscher später ClickFix 2.0 nannten: SKILL.md-Dateien mit gefälschten Abschnitten „Prerequisites“, die den Agenten dazu brachten, dem Nutzer gefälschte Setup-Dialoge zu zeigen. Diese lieferten dann Atomic macOS Stealer (AMOS) auf Macs und Keylogger auf Windows aus. Die spätere Erweiterung von Antiy CERT katalogisierte 1.184 bösartige Pakete, die zu 12 Publisher-Konten gehörten. Die Kurationshürde von ClawHub vor der Kampagne war ein eine Woche altes GitHub-Konto.
Die Lehre ist architektonisch. OpenClaw gibt sein Sicherheitsbudget dort aus, wo die Architektur den Wert konzentriert: bei Policies auf Workspace-Ebene, beim Sandboxing pro Agent (die NemoClaw-Runtime von NVIDIA legt über OpenShell Landlock, seccomp und Namespace-Isolation darüber), bei Freigaben auf Gateway-Ebene und bei Plugin-Hooks, an denen sich Sicherheitserweiterungen registrieren. Der Marktplatz war bei dieser Architektur unvermeidlich, das Lieferkettenrisiko ebenso.
Hermes gibt sein Budget dort aus, wo seine Architektur den Wert konzentriert: an der Grenze der Schleife. Freigabeschranken für gefährliche Befehle (konfigurierbar, nicht entfernbar). Container-Härtung beim Docker-Backend. Credential-Filter, die Umgebungsvariablen standardmäßig aus Kindprozessen entfernen und für Tools, die sie brauchen, eine ausdrückliche Weiterleitung verlangen. Kontext-Scans mit dem Tirith-Binary auf Prompt Injection, Homograph-URLs, Exfiltrationsmuster und Terminal Injection. Eine harte Blockliste, die bestimmte zerstörerische Befehle auch bei deaktivierten Freigaben verweigert. Stand April 2026 hatte Hermes keine formalen CVEs, auch wenn ein Community-Sicherheitsaudit von v0.8.0 die Default-Allow-Haltung als größte Risikofläche benannte. Das ist eine andere Form desselben allgemeinen Problems.
Beide Architekturen stecken ihr Sicherheitsbudget dorthin, wo die Architektur den Wert konzentriert. Die Frage ist, welche Wertfläche Angreifer zuerst finden.
Das Deployment folgt dem Schwerpunkt
OpenClaw läuft als Node-Dienst über launchd oder systemd. Immer an, langlaufend. Begleit-Apps für macOS (Menüleiste) und iOS/Android (Nodes) behandeln das Gateway als Dienst, auf den der Rest des Systems zugreift. Die Channel-Unterstützung ist breit: WhatsApp, Telegram, Slack, Discord, Signal, iMessage, Teams, Matrix und ein Long Tail darüber hinaus. Die Integrationsbreite ist das Hauptmerkmal, denn was die Architektur gut kann, ist, ein Hub zu sein.
Hermes läuft in Python (verwaltet mit uv) und hat sieben Terminal-Backends: local, Docker, SSH, Singularity, Modal, Daytona, Vercel Sandbox. Die Serverless-Optionen sind wichtig. Modal und Daytona lassen die Schleife im Leerlauf in den Ruhezustand gehen und bei Bedarf aufwachen, sodass ein leistungsfähiger Agent im Leerlauf fast nichts kostet. Die Channel-Unterstützung erreichte mit der Ergänzung von Google Chat in v0.13.0 zwanzig Plattformen. Das CLI ist eine React/Ink-TUI mit mehrzeiliger Bearbeitung, Autovervollständigung für Slash-Befehle und Live-Streaming der Tool-Ausgaben. Die Architektur ist gut darin, eine Schleife zu sein, und eine Schleife kann schlafen.
Hermes liefert außerdem ein Migrationswerkzeug mit: hermes claw migrate wandelt einen OpenClaw-Workspace in die datenbankgestützte Struktur von Hermes um. Persona-Dateien landen im Persona-Slot, MEMORY.md wird in SQLite-Einträge zerlegt, USER.md fließt in das Nutzermodell ein, API Keys wandern auf Wunsch nach ~/.hermes/.env. Das Werkzeug gibt es nicht ohne Grund: Im März und April 2026 wechselte eine nicht unerhebliche Zahl von OpenClaw-Nutzern.
Was jeder Hälfte fehlt
OpenClaw fehlt ein reflektierender Skill-Autor. Die Architektur behandelt das Verfassen als Menschenarbeit, das machte den Marktplatz unvermeidlich und damit die Lieferkette zur Angriffsfläche. Eine OpenClaw-Version, die Skills aus erfolgreichen Workspace-Läufen herauskristallisiert und sie durch die vorhandene Review-Oberfläche schickt, würde die Lücke schließen, ohne den Audit Trail aufzugeben.
Hermes fehlt eine Workspace-Oberfläche, auf der Menschen vom Agenten verfasste Skills prüfen, bevor sie freigegeben werden. Die Architektur behandelt das Verfassen als emergente Eigenschaft der Schleife, das machte den Marktplatz überflüssig und hielt damit die Lieferkette als Angriffsfläche sauber. Eine Hermes-Version, die herauskristallisierte Skills als Markdown zum Diff vorlegt, bevor sie in die aktive Menge aufgenommen werden, würde die Lücke schließen, ohne die Schleife mit ihrem Zinseszinseffekt aufzugeben.
Das erste Projekt, das beides kann, mit einer sauberen Vertrauensabstufung zwischen von Betreibern verfassten und vom Agenten herauskristallisierten Skills, gewinnt die Architekturdebatte. Heute haben wir zwei Hälften dieses Systems, und keine gibt vor, das Ganze zu sein.
Die Gegenüberstellung „selbstverbessernd vs. dateibasiert“ verrät einiges. Sie setzt voraus, dass Selbstverbesserung eindeutig die fortgeschrittenere Haltung ist. Das ist sie nicht. Sie ist eine andere Wette darauf, wo der Engpass liegt, und es bringt mehr, den Rest der Architektur als Folge dieser Wette zu lesen, als Punkte für Features zu vergeben.
Aus dem Englischen übersetzt: zum Originalbeitrag