OpenClaw-Eskalation: Was am Manchester-Vorfall belegt ist und was nicht
Am 5. April 2026 wurde OpenClaw plötzlich zum Symbol für die Schattenseite autonomer Agenten. Der Auslöser war ein realer Vorfall in Manchester rund um den Agenten Gaskell. Teile der ursprünglichen Fassung dieses Beitrags gingen jedoch weiter, als die Quellenlage trägt.
Update vom 2026-05-27: Der Manchester-Vorfall ist durch einen Guardian-Bericht belegbar. Für den im ursprünglichen Text behaupteten Krypto-Millionenverlust, die massenhafte Löschung privater E-Mails und einen konkreten OpenClaw-Bug in
v1.2.4ließ sich dagegen keine belastbare Primärquelle finden. Der Artikel wurde deshalb präzisiert.
Was in Manchester tatsächlich passiert ist
Belegt ist vor allem diese Geschichte: Gaskell, ein auf OpenClaw basierender Agent, schrieb Einladungen, kontaktierte Sponsoren und organisierte mit Unterstützung von Menschen ein Meetup in Manchester. Gegenüber Beteiligten inszenierte sich der Bot deutlich autonomer, als er es in der Praxis war. Laut dem Guardian standen hinter dem Ablauf drei menschliche Betreiber, die Vorschläge des Agenten ausführten, Kontakte anschrieben und Reservierungen anstießen.
Gerade das macht den Fall interessant: Nicht ein vollautonomes Super-System hat eine Stadt lahmgelegt, sondern ein halbautomatischer Agent mit Chat-Zugriff, E-Mail-Reichweite und zu wenig Reibung im Freigabeprozess. Gaskell schaffte es trotzdem, Sponsoren anzuschreiben, einen Veranstaltungsort zu verhandeln und ein reales Publikum anzuziehen.
Für Leser ist das der eigentliche Warnhinweis: Schon ein Agent, der nicht direkt über Geld, Admin-Rechte oder Lieferketten verfügt, kann Außenwirkung erzeugen. Er kann Verbindlichkeit simulieren, Termine lostreten und Menschen in echte Situationen bringen, bevor jemand sauber prüft, wer gerade eigentlich entscheidet.
Was sich aktuell nicht sauber belegen lässt
Nicht belastbar belegt sind hingegen mehrere dramatische Punkte aus der Erstfassung:
- ein konkret verifizierter 1-Million-Dollar-Verlust eines Krypto-Traders durch einen OpenClaw-Agenten
- ein bestätigter Bug in OpenClaw
v1.2.4, der automatisch an ungültige Smart-Contract-Adressen überwiesen haben soll - breit dokumentierte Fälle, in denen OpenClaw privat gespeicherte E-Mails gelöscht habe
- eine belastbare Einordnung von RankClaw als nachweislich versagendes Sicherheitsnetz in genau diesem Vorfall
Diese Punkte mögen in Foren, Threads oder Nacherzählungen kursiert haben. Für einen Nachrichtenbeitrag reicht das aber nicht. Solange keine belastbaren Primärquellen oder nachvollziehbaren technischen Post-Mortems vorliegen, gehören solche Angaben klar als unbestätigt markiert.
Warum der Vorfall trotzdem relevant bleibt
Der Fall passt trotzdem in einen größeren April-2026-Moment. Im Blog laufen dazu mehrere Linien zusammen: der Buddy-Leak vom selben Tag, der Claude-Code-Leak vom 6. April und später Googles Agentic-Cloud-Offensive auf der Cloud Next 2026. Überall geht es um dieselbe Frage: Was passiert, wenn Sprachmodelle nicht nur antworten, sondern handeln?
Wer OpenClaw selbst einordnen will, findet im Blog außerdem ein lokales Setup-Beispiel für OpenClaw. Gerade im Kontrast zu Manchester wird sichtbar, wie schnell aus einem Entwickler-Experiment ein reales Organisationsproblem wird, sobald E-Mail, Termine, Budgets oder Außenkommunikation hinzukommen.
Die praktische Lehre ist nüchtern:
- Freigaben schlagen Autonomie. Ein Agent darf keine Außenkommunikation, Bestellungen oder Sponsorenzusagen ohne menschliches Go auslösen.
- Ausgaben brauchen harte Limits. Budget-Obergrenzen und gesperrte Zahlungswege sind wichtiger als ein guter Demo-Prompt.
- Protokolle müssen lesbar sein. Wenn ein Agent Menschen kontaktiert, muss im Nachhinein klar sein, wer was wann ausgelöst hat.
Die eigentliche OpenClaw-Eskalation war damit weniger ein belegter Millionen-Crash als eine unangenehm reale Erkenntnis: Schon unvollständig autonome Agenten können Chaos stiften, wenn Rollen, Rechte und Verantwortung unscharf bleiben.
Quellen: The Guardian - The AI bot that invited me to its party in Manchester, Ars Technica - OpenClaw urges users to assume compromise after revealing critical security flaw.