Ein Erfahrungsbericht von innen. Mehrere Wochen KI-Agent im Tagesgeschäft eines Wuppertaler Büros für Bauplanung und Projektmanagement, mit den Stellen, die nicht funktioniert haben.
Lesen ist frei, Handeln fragt. Der Agent sammelt Aufmerksamkeitsarbeit ein, der Mensch entscheidet und unterschreibt. Der schwierige Teil war nie das Modell, sondern die Entscheidung, was das Ding anfassen darf.
Alpha Quadrat ist ein Büro für Bauplanung und Projektmanagement in Wuppertal. Wir sind klein. Wir arbeiten für öffentliche Auftraggeber und private Bauherren, und damit sitzen wir mitten im Vergaberecht, in der Berufshaftung und in der Datenschutz-Grundverordnung. Keine dieser Regeln wurde für autonome Agenten geschrieben, und keine wird für uns umgeschrieben.
Wir betreiben OpenClaw seit mehreren Wochen im Tagesgeschäft. Dieser Bericht kommt von innen, aus einem regulierten Betrieb, und er ist geschrieben, weil es keinen veröffentlichten Erfahrungsbericht dieser Art gibt. Die Stellen, die nicht funktioniert haben, stehen mit drin.
Eine OpenClaw-Instanz auf einem Mac mini, ein Agent, den wir safi nennen, verdrahtet mit dem Büro: Post, Kalender, Dokumente, ein Slack-Arbeitsbereich, eine Handvoll eigener Skripte. Seine Startanweisungen sind vier Zeilen lang und überwiegend Verbote: kurz und direkt antworten, bei einem Fehler erst die Ursache bestätigen und dann genau einen Vorschlag machen, sich nie in Schleifen wiederholen, große Protokolle verdichten. Jede dieser Zeilen entstand, nachdem wir das Gegenteil beobachtet hatten.
Was er gut macht, ist die Arbeit, die niemand will: ein Postfach im Auge behalten, merken, dass eine Antwort gekommen ist, ein Aktenzeichen aus einem Dokument ziehen, prüfen, ob sich eine Frist verschoben hat. Nicht die interessanten Entscheidungen. Die Aufmerksamkeit.
Enge Aufgaben mit klarer Erfolgsbedingung. Ein Postwächter, der alle fünf Minuten ein Postfach auf Antworten bestimmter Absender prüft, Abwesenheitsnotizen aussortiert und eine Zeile in einen Slack-Kanal schreibt. Läuft seit Ende August ohne Eingriff.
Den Agenten dorthin berichten lassen, wo man nachlesen kann. Wir haben mit WhatsApp angefangen, weil es auf dem Telefon ankommt. Umgezogen sind wir nach Slack, aus einem unspektakulären Grund, den wir lange übersehen haben: ein Telegram-Bot kann seine eigene Historie nicht lesen, und unser WhatsApp-Weg schreibt nur. Slack ist der einzige Kanal, in dem der Agent schreiben und später das Geschriebene wieder lesen kann. Ein Agent, der seine eigene Ausgabe nicht erneut lesen kann, kann seine eigene Arbeit nicht prüfen.
Aufschreiben, was tatsächlich stimmt, statt was man annimmt. Unsere eigene Regel, teuer gelernt: nichts behaupten, was nicht gemessen wurde. Ein Selbsttest, der 28 von 28 grün meldet, ist eine Tatsache. Ein Selbsttest, der 26 meldet, ist ein Befund und kein Rundungsfehler.
Der eigene Zeitplaner von OpenClaw für Routineprüfungen. Er ist agentenbasiert, jeder Lauf kostet also einen Modellaufruf. Für eine Aufgabe, die alle fünf Minuten läuft und in neunundneunzig von hundert Fällen eine simple Bedingung ist, ist das die falsche Form. Wir haben diese Aufgaben auf launchd mit kleinen Python-Skripten verlegt und OpenClaw für die Aufrufe behalten, die wirklich Urteilsvermögen brauchen. Das ist keine Kritik am Entwurf, sondern eine Grenze, die wir erst gefunden haben, nachdem wir sie bezahlt hatten.
Es gibt keinen Mailkanal. OpenClaw hat Chat-Transporte: WhatsApp, Telegram, Discord, IRC, Google Chat, Slack, Signal, iMessage. SMTP fehlt. Für ein Unternehmen, dessen gesamte Außenkorrespondenz E-Mail ist, ist das eine echte Lücke, und wir überbrücken sie außerhalb von OpenClaw.
Das Gedächtnis ist uns zerfallen. Wir haben vier getrennte Speicher, die alle glauben, den aktuellen Stand zu kennen: das Gedächtnis von OpenClaw, das eines zweiten Werkzeugs, datierte Textprotokolle und einen Notizspeicher. Zusammen rund vierhundert Megabyte. Jeder für sich vertretbar. Zusammen erzeugen sie den Fehler, dass man fragt, wie der Stand ist, und eine selbstbewusste Antwort aus dem Speicher bekommt, der zufällig Monate alt ist. Unsere Lösung ist grob und wirkt: ein Skript schreibt den aktuellen Stand in eine einzige Datei, und die liest jeder zuerst.
Sandkasten und echte Maschine sind sich über das Netz nicht einig. Viele unserer Installationsschritte laufen nur direkt auf der Maschine, nicht in der Umgebung des Agenten. Wir haben aufgehört, dagegen zu kämpfen, und es stattdessen im Betriebshandbuch vermerkt.
Das ist der Teil, auf den es in einem regulierten Betrieb ankommt, und der Grund, warum wir öffentlich vorsichtig sind mit dem, was wir behaupten.
Die Sicherheitsbilanz von OpenClaw ist dokumentiert und gemischt. Cisco fand einen Fremd-Skill, der über eine Prompt-Injektion Daten abfließen ließ. China untersagte den Einsatz im März 2026 auf Bürorechnern staatlicher Stellen. Die Kritik von The Register an der Fassung 2.0 lautete, sie sei ab Werk nicht sicher. Nichts davon ist ein Grund, es nicht einzusetzen. Alles davon ist ein Grund, bewusst vorzugehen.
Was wir tun:
Lesen ist frei, Handeln fragt. Ein Wächter sitzt vor den Werkzeugen des Agenten. Er fragt nie, bevor er etwas liest. Er fragt vor genau drei Klassen von Handlungen: Geld bewegen, Konten oder Daten löschen, und in unserem Namen eine Nachricht senden. Diese drei decken fast alles ab, was wir bereuen würden. Die Liste ist bewusst kurz genug, dass die Menschen im Büro sie auswendig können. Eine Richtlinie mit zwanzig Punkten kennt niemand.
Fremde Skills sind unvertrauenswürdige Eingabe, keine Software. Ein Skill ist eine Textdatei, die einem Modell sagt, was es tun soll. Er kommt mit derselben Vertrauensstufe an wie eine E-Mail von einem Fremden.
Mandantendaten gehen nirgendwohin, wo wir die Auftragsverarbeitung nicht gelesen haben. Das klingt selbstverständlich. In der Praxis ist es die Bedingung, an der die meisten sonst attraktiven Anbindungen sterben, und die wiederkehrende Falle ist, dass die Speicherregion eines Anbieters und seine Verarbeitungsregion nicht dasselbe sind. Man muss beides getrennt fragen.
Keine autonome Außenkommunikation. Der Agent entwirft, ein Mensch sendet. Wir haben keine Fassung dieser Regel gefunden, die wir einem Mandanten gegenüber verteidigen würden, und solange das so ist, bleibt sie stehen.
Alles, wo Falschsein teuer und Langsamsein billig ist. Statische Beurteilungen. Alles, was in einen Bauantrag geht. Alles, wo eine Unterschrift Haftung trägt. Fachlich verantwortlich ist bei uns ein Architekt mit über zwei Jahrzehnten in der öffentlichen Bauverwaltung, und die Arbeitsteilung ist einfach: die Maschine sammelt, der Mensch entscheidet und unterschreibt.
Wir benutzen es auch nicht als Suchmaschine für Dinge, die wir schneller selbst nachschlagen, als die Frage zu formulieren.
Unsere Arbeit hängt an den Ratsinformationen deutscher Kommunen: welche Schule saniert wird, welcher Haushalt beschlossen ist, welcher Ausschuss eine Vorlage führt. Das ist von Gesetzes wegen öffentlich und steht in Ratsinformationssystemen, von denen die meisten eine maschinenlesbare Schnittstelle namens OParl anbieten. Ordentlich daran zu kommen hat gedauert, vor allem weil die vorhandenen Bibliotheken nicht gepflegt werden und das öffentliche Verzeichnis der Endpunkte veraltet ist.
Also haben wir das als Skill verpackt und veröffentlicht. Er tut eine Sache, er dokumentiert, wo er scheitert, und er ist von Haus aus höflich zu kommunalen Servern, weil sich mehrere Städte eine Maschine teilen und ein achtloser Crawler für jemanden echte Kosten erzeugt.
Eine Entscheidung darin ist erwähnenswert. OParl liefert auch E-Mail-Adressen und Telefonnummern von Mandatsträgern. Der Skill gibt sie bewusst nicht aus. Das Bundesverwaltungsgericht hat am 29.01.2025 entschieden, dass eine Veröffentlichung zu einem Zweck keine Ansprache zu einem anderen erlaubt, und für Werbemails braucht es vorher eine ausdrückliche Einwilligung, auch gegenüber Unternehmen und Behörden. Dass ein Feld in einer Antwort steht, ist keine Erlaubnis. Agenten sind ausgesprochen gut darin, verfügbare Daten in Kontaktversuche zu verwandeln, und genau das will man nicht automatisiert haben.
OpenClaw hat unser Geschäft nicht verwandelt. Es hat eine Kategorie kleiner, aufmerksamkeitsförmiger Arbeit beseitigt, die früher eine Stunde am Tag gefressen hat und schlecht erledigt wurde, weil sie niemand machen will. Das ist viel wert, und es ist weniger, als das Marketing um Agenten herum nahelegt.
Der schwierige Teil war nie das Modell. Es war die Entscheidung, was das Ding anfassen darf, und das aufzuschreiben, bevor man es teuer herausfindet.
Alpha Quadrat Bauplanung & Projektmanagement UG (haftungsbeschränkt), Wuppertal. Nichts in diesem Beitrag ist eine Befürwortung durch die OpenClaw Foundation, und nichts davon wurde von ihr geprüft oder bestätigt.
FACHLICH VERANTWORTET
Lazaros Amperidis, Dipl.-Ing. Architekt (AKNW)
Mitglied der Architektenkammer NRW (Mitgliedsnr. 32316), bauvorlageberechtigt, Wuppertal. Die Anerkennung als staatlich anerkannter Sachverständiger für Schäden an Gebäuden ist in Vorbereitung (angestrebt voraussichtlich ab November 2026). Er verantwortet die fachlichen Inhalte und jede Gutachtenfreigabe persönlich.
MEINUNGSBEITRAG DES GENANNTEN AUTORS. ALLGEMEINE EINORDNUNG, KEINE VERBINDLICHE BERATUNG IM EINZELFALL.
