NanoClaw ist ein möglicher Kandidat, wenn Isolation und ein überschaubarer Codeumfang wichtige Auswahlkriterien sind. Für regulierte Umfelder muss trotzdem der gesamte Datenfluss einschließlich Modellprovider, Secrets, Netzwerkausgänge, Logs und Administration bewertet werden.
Wer macht NanoClaw?
Referenziertes Repo: github.com/nanocoai/nanoclaw · Site: nanoclaw.dev. NanoClaw ist ein eigenständiges Projekt. Vor produktiven Setups werden Repository, Release-Herkunft, Maintainer-Status und offene Security-Themen direkt in den aktuellen Projektquellen geprüft.
Architektur in Stichpunkten
- TypeScript 90 %, Node.js 20+, pnpm 10+, Agent-Runner in Bun
- Container-Isolation als Default: jeder Agent in eigenem Linux-Container, eigener Filesystem-Bereich
- Memory: SQLite, exakt zwei Files pro Session, je ein Writer - sauber konkurrenzfrei
- Skills installierbar via Slash-Commands wie
/add-<channel> - Modell-Default: Claude (Anthropic Agent SDK), Multi-Provider via Slash-Commands
- Container-Optionen: Docker Desktop/Engine, optional Apple Container auf macOS, MicroVMs
Warum Container-Isolation der Verkaufspunkt ist
Bei klassischen Agent-Frameworks läuft jeder Agent im selben Prozess- und Filesystem-Raum. Wenn ein Agent durch Prompt-Injection kompromittiert wird, kann er theoretisch auf alles zugreifen, was der Host-Prozess sieht - Files anderer Agenten, Konfiguration, API-Keys.
NanoClaw verfolgt einen anderen Default: Agenten laufen in getrennten Containern und Dateisystembereichen. Das kann den Wirkungsradius reduzieren. Es ist jedoch keine absolute Sicherheitsgrenze: Netzwerkzugriffe, eingebundene Volumes, gemeinsam genutzte Secrets, Container-Konfiguration und mögliche Runtime-Schwachstellen müssen separat kontrolliert werden.
Für eine Sicherheitsbewertung heißt das zunächst: Der beabsichtigte Wirkungsradius pro Sitzung ist kleiner. Ob diese Grenze praktisch trägt, muss durch Konfigurationsprüfung und Tests belegt werden.
Killer-Features
- Core in ~500 LOC (laut Maintainer "in 8 Minuten verstehbar")
- Echte OS-Level-Isolation pro Agent
- 13 Messaging-Channels: WhatsApp, Telegram, Discord, Slack, Teams, iMessage, Matrix, Google Chat, Webex, Linear, GitHub, WeChat, Email (Resend)
- Edge-tauglich: läuft auf Mac Mini, kleinem Cloud-Server, Raspberry Pi (laut Marketing - keine offizielle Pi-Doku)
- Direkter Pfad zum Anthropic Claude Agent SDK - Claude-Code-Toolset out-of-the-box
Self-Host-Anforderungen
- macOS oder Linux (Windows via WSL2)
- Docker (Desktop oder Engine)
- Node 20+, Bun für Agent-Runner
- ~2 GB RAM reichen laut Community-Berichten für mehrere parallele Agents
Eine mögliche Betriebsoption ist ein EU-VPS von Hostinger. Dieser Link ist als Affiliate-Link gekennzeichnet. Region, Vertragsbedingungen, Ressourcen, Hardening, Backups und Logging müssen vor der Auswahl unabhängig geprüft werden.
Use-Cases im DACH-Kontext
- Sicherheits-kritische Inbox-Agents (DSGVO/On-Prem)
- Isolierter Code-Execution-Agent für Kunden-Tickets - wenn Kunden Code-Snippets schicken, die geprüft werden müssen
- Edge-Deployments in Filialen / IoT-Setups
- Schnelle Bot-MVPs auf günstigen VPS
- Multi-Tenant-SaaS, wo jeder Kunde eigenen Container braucht
Vergleich: NanoClaw vs. OpenClaw vs. Hermes
| NanoClaw | OpenClaw | Hermes | |
|---|---|---|---|
| Profil | Minimalist + Sicherheit | Maximalist | Lerner |
| Codegröße Core | ~500 LOC | 500 k+ LOC | Mittel |
| Container-Isolation | Default | Optional | Optional |
| Channels | 13 | 22+ | ~7 |
| Self-Improvement | Nein | Nein | Ja |
| Self-Host-Schwierigkeit | Niedrig | Mittel-Hoch | Mittel |
| Isolationsfokus | Container als Default | konfigurationsabhängig | konfigurationsabhängig |
Wann NanoClaw die richtige Wahl ist
- Container-Isolation ist eine dokumentierte Sicherheitsanforderung
- Ein Multi-Tenant-Service benötigt getrennte Ausführungsbereiche
- Ein kleiner, lesbarer Codebestand soll intern geprüft werden können
- Das eingesetzte Agent SDK passt zum Provider- und Exit-Konzept
So beginnen Sie
- VPS / Mac Mini bereitstellen (Hostinger KVM für Cloud)
- Docker-Engine installieren
- Unterstützte Runtime-Versionen in der aktuellen Projektdokumentation prüfen
- Repository und Release-Herkunft verifizieren
- Anthropic-API-Key in
.env - Container ohne produktive Daten starten und den ersten Channel im Shadow Mode testen
Setup-Hilfe: Termin buchen oder per Mail anfragen.
Häufige Fragen
Wer steht hinter NanoClaw?
Das hier referenzierte Repo ist nanocoai/nanoclaw vom Qwibit.ai-Team; dazu gehört nanoclaw.dev. Vor produktiver Nutzung sollten Organisation, Release, Signatur und aktuelle Maintainer-Angaben direkt im offiziellen Projekt geprüft werden.
Was ist der Hauptunterschied zu OpenClaw?
NanoClaw setzt auf Container-Isolation als Default: Jeder Agent läuft in einem eigenen Linux-Container, mit eigenem Filesystem-Bereich. Bash-Calls treffen den Container, nicht den Host. OpenClaw kann das auch, aber als Option - bei NanoClaw ist es Architekturprinzip. Plus: NanoClaw-Core hat laut Maintainer ~500 LOC ("in 8 Minuten verstehbar"), OpenClaw ist deutlich umfangreicher.
Welche Modelle laufen damit?
Default ist Anthropic Claude (über das Anthropic Claude Agent SDK). OpenAI/Google/DeepSeek lassen sich via /add-opencode-Slash-Command nachziehen, lokale Modelle via /add-ollama-provider. Setzt das Anthropic SDK voraus → Modell-API-Kosten kommen on top.
Welche Hardware brauche ich?
macOS oder Linux (Windows via WSL2), Docker (Desktop oder Engine), Node 20+, Bun für Agent-Runner. RAM-Minimum offiziell nicht dokumentiert (Stand 2026-05-10). Community-Berichte: 2 GB VPS reicht für mehrere parallele Agents. Auf macOS optional Apple Container.
Streaming, MCP - unterstützt?
Streaming und MCP sind im README aktuell nicht explizit dokumentiert (Stand 2026-05-10). Da NanoClaw aber direkt auf dem Anthropic Claude Agent SDK aufsetzt, sind die zugrunde liegenden SDK-Features verfügbar - das Repo führt allerdings keine offiziellen MCP-Beispiele.
Lock-in?
Die MIT-Lizenz reduziert die Code-Abhängigkeit. Bindungen können dennoch durch Agent SDK, Providerfunktionen, Skills, Datenformate, Channel-APIs und Betriebswissen entstehen. Multi-Provider-Unterstützung muss für die eingesetzte Version praktisch getestet werden.