CVSS 10.0, Malware im Skill-Store, 105.000 offene Instanzen – und ihr automatisiert damit eure Geschäftsprozesse?

Die Automatisierung von Geschäftsprozessen mit Low-Code-Plattformen boomt. Tools wie n8n und der virale KI-Agent OpenClaw (ehemals Moltbot/Clawdbot) versprechen schnelle Ergebnisse ohne tiefgreifende Programmierkenntnisse. Doch was auf den ersten Blick nach Effizienzgewinn aussieht, entpuppt sich bei genauerem Hinsehen als erhebliches Sicherheitsrisiko.

Allein in den letzten Wochen wurden bei beiden Plattformen kritische Schwachstellen mit CVSS-Scores von 9.9 und 10.0 aufgedeckt – die höchste Gefahrenstufe. Angreifer konnten Server übernehmen, Zugangsdaten stehlen und beliebigen Code ausführen. Für Unternehmen, die diese Tools produktiv einsetzen, ein Albtraumszenario.

Dieser Beitrag analysiert die konkreten Sicherheitsprobleme beider Plattformen und zeigt, warum schlanke Python-Skripte – generiert mit KI-gestützten Coding-Tools wie Claude Code – für viele Automatisierungsaufgaben die sicherere und nachhaltigere Alternative darstellen.

n8n: Fünf kritische CVEs in zwei Monaten

n8n ist eine beliebte Open-Source-Plattform für Workflow-Automatisierung mit über 200.000 wöchentlichen Downloads auf npm. Unternehmen nutzen sie, um APIs zu verknüpfen, Daten zu verarbeiten und Geschäftsprozesse zu orchestrieren. Doch zwischen November 2025 und Januar 2026 wurde eine Serie schwerwiegender Schwachstellen bekannt, die das Vertrauen in die Plattform grundlegend erschüttern:

CVE-2026-21858 (CVSS 10.0) – „Ni8mare": Eine Schwachstelle in der Webhook-Verarbeitung ermöglicht es unauthentifizierten Angreifern, beliebige Dateien vom Server zu lesen. Über die SQLite-Datenbank von n8n können Administrator-Zugangsdaten extrahiert und Session-Cookies gefälscht werden – ein vollständiger Authentifizierungs-Bypass. Laut Shadowserver waren im Januar 2026 über 105.000 Instanzen verwundbar.

CVE-2025-68613 (CVSS 9.9): Eine unzureichende Sandbox-Isolation erlaubt es authentifizierten Nutzern, über manipulierte Workflow-Expressions beliebige Betriebssystem-Befehle auszuführen. Die Schwachstelle betrifft den Kern der Workflow-Engine – also genau die Komponente, die n8n ausmacht.

CVE-2025-68668 – „N8scape" (CVSS 9.9): Ein Sandbox-Escape in der Pyodide-basierten Python-Ausführung. Die Sicherheitsforscher von Cyera beschreiben es als „strukturelles Problem", das aus einem Blocklist-Ansatz resultiert: n8n blockiert bekannte gefährliche Funktionen, entfernt aber nicht die zugrunde liegenden Fähigkeiten.

CVE-2026-21877 (CVSS 10.0): Ein uneingeschränkter Datei-Upload ermöglicht authentifizierten Angreifern die Ausführung von Schadcode über den n8n-Service.

CVE-2026-1470 und CVE-2026-0863: Im Januar 2026 entdeckten Forscher von JFrog zwei weitere Sandbox-Escape-Schwachstellen. Trotz mehrerer Validierungsschichten konnten subtile Spracheigenschaften und Laufzeitverhalten ausgenutzt werden, um Sicherheitsannahmen zu umgehen. Laut Bleeping Computer wiesen Ende Januar noch knapp 40.000 Instanzen unzureichende Patches auf – ein „sehr langsames Patching-Tempo".

Das Muster ist alarmierend: Die Schwachstellen liegen nicht in Randfunktionen, sondern in Kernkomponenten der Plattform – der Expression-Engine, der Webhook-Verarbeitung und der Sandbox-Isolation. Genau diese Architekturentscheidungen machen n8n flexibel, schaffen aber gleichzeitig eine enorme Angriffsfläche.

OpenClaw (Moltbot): Der KI-Agent mit Vollzugriff – und offener Flanke

OpenClaw, der virale KI-Agent (zuvor bekannt als Clawdbot und Moltbot), verfolgt einen noch radikaleren Ansatz: ein autonomer Agent mit Zugriff auf Dateisystem, Browser, E-Mail, Messenger und Terminkalender. Mit über 85.000 GitHub-Stars in kürzester Zeit und persistentem Gedächtnis über Sessions hinweg wurde OpenClaw zur Sensation. Cisco, Palo Alto Networks, CrowdStrike und Tenable haben das Tool inzwischen unabhängig voneinander als erhebliches Sicherheitsrisiko eingestuft.

CVE-2026-25253 (CVSS 8.8) – One-Click RCE: Sicherheitsforscher von DepthFirst demonstrierten, dass ein einziger Klick auf einen manipulierten Link ausreicht, um die vollständige Kontrolle über eine OpenClaw-Installation zu erlangen. Der Angriff nutzt eine Token-Exfiltration über WebSocket und umgeht dabei sogar Sandboxing- und Sicherheitsschranken. Der Entdecker fasst zusammen: „Das Opfer muss lediglich eine bösartige Webseite besuchen."

Malware über den offiziellen Skill-Store: Zwischen Ende Januar und Anfang Februar 2026 wurden über 400 bösartige Skills auf ClawHub – dem offiziellen Registry – veröffentlicht. Die Skills tarnten sich als Kryptowährungs-Tools und installierten Infostealer-Malware auf Windows und macOS. Der Betreiber von ClawHub räumte ein, dass das Registry nicht ausreichend gesichert werden kann.

Die „Lethal Trifecta" – plus persistentes Gedächtnis: Palo Alto Networks ordnet OpenClaw in das von Simon Willison beschriebene Modell der „Lethal Trifecta" ein: Zugriff auf private Daten, Exposition gegenüber nicht vertrauenswürdigen Inhalten und Fähigkeit zur externen Kommunikation. OpenClaws persistentes Gedächtnis verschärft das Problem zusätzlich: Schadhafte Anweisungen können fragmentiert eingeschleust, im Langzeitgedächtnis gespeichert und zeitversetzt ausgeführt werden – eine Art „Logikbombe" für KI-Agenten.

Cisco bringt es auf den Punkt: „OpenClaw ist funktional Malware, wenn ein bösartiger Skill installiert wird." Das Problem ist architektonisch bedingt: Ein Agent, der alles können soll, muss auch auf alles zugreifen können – und genau das macht ihn verwundbar.

Das strukturelle Problem von Low-Code-Plattformen

Die Sicherheitsprobleme von n8n und OpenClaw sind keine Einzelfälle, sondern Symptome eines grundsätzlichen Architekturproblems. Low-Code-Plattformen schaffen Angriffsflächen, die bei konventioneller Entwicklung in dieser Form nicht existieren:

Überdimensionierte Angriffsfläche: Um maximale Flexibilität zu bieten, müssen Plattformen wie n8n Code-Ausführung, Datenbankzugriff, API-Anbindung und Dateisystemzugriff in einer einzigen Anwendung bündeln. Jede dieser Fähigkeiten ist ein potenzieller Angriffsvektor. Ein einfaches Python-Skript, das genau eine Aufgabe erledigt, hat naturgemäß eine um Größenordnungen kleinere Angriffsfläche.

Sandbox-Illusion: Sowohl n8n als auch OpenClaw setzen auf Sandboxing, um Nutzern Code-Ausführung zu ermöglichen, ohne den Host zu gefährden. Die wiederholt erfolgreichen Sandbox-Escapes zeigen: Diese Isolation ist in der Praxis kaum verlässlich aufrechtzuerhalten. Die JFrog-Forscher formulieren es treffend: „Trotz mehrerer Validierungsschichten können subtile Spracheigenschaften genutzt werden, um Sicherheitsannahmen zu umgehen."

Abhängigkeit vom Ökosystem: Community-Nodes bei n8n und Skills bei OpenClaw sind im Grunde Code von Dritten, der mit den Rechten der Plattform ausgeführt wird. Das entspricht einer Supply-Chain-Attacke by Design.

Patch-Disziplin: Censys und Shadowserver berichten übereinstimmend, dass ein erheblicher Teil der n8n-Instanzen auch Wochen nach Veröffentlichung von Patches noch verwundbar ist. Self-Hosted-Plattformen erfordern aktive Wartung – eine Ressource, die in vielen KMU knapp ist.

Die Alternative: Python-Skripte mit Claude Code

Was, wenn die eigentliche Automatisierungsaufgabe gar keine visuelle Workflow-Plattform mit Hunderten von Integrationen benötigt? In vielen Fällen – gerade im KMU-Umfeld – lässt sich dasselbe Ergebnis mit einem einfachen Python-Skript erreichen: transparent, auditierbar und mit minimaler Angriffsfläche.

KI-gestützte Coding-Tools wie Claude Code machen diesen Ansatz auch für Teams zugänglich, die keine dedizierten Python-Entwickler beschäftigen. Der Workflow:

1. Aufgabe beschreiben → Claude Code generiert das Skript
2. Code reviewen → Jede Zeile ist lesbar und prüfbar
3. Testen → Lokale Ausführung, kein externer Service nötig
4. Deployen → Cron-Job, systemd-Service oder CI/CD-Pipeline

Praktisches Beispiel: CSV-Verarbeitung und E-Mail-Versand

Eine typische n8n-Workflow-Aufgabe – CSV-Datei einlesen, filtern und per E-Mail versenden – sieht als Python-Skript so aus:

import csv
import smtplib
from email.mime.text import MIMEText
from email.mime.multipart import MIMEMultipart
from datetime import datetime
import os
 
def process_and_notify():
    """Liest offene Rechnungen aus CSV, filtert überfällige
    und versendet eine Zusammenfassung per E-Mail."""
 
    overdue = []
    today = datetime.now()
 
    with open("/data/invoices.csv", "r", encoding="utf-8") as f:
        reader = csv.DictReader(f, delimiter=";")
        for row in reader:
            due_date = datetime.strptime(row["faellig_am"], "%Y-%m-%d")
            if due_date < today and row["status"] == "offen":
                overdue.append(row)
 
    if not overdue:
        return
 
    # E-Mail zusammenstellen
    body = f"Es gibt {len(overdue)} überfällige Rechnungen:\n\n"
    total = 0
    for inv in overdue:
        body += f"- {inv['kunde']}: {inv['betrag']}€ "
        body += f"(fällig seit {inv['faellig_am']})\n"
        total += float(inv["betrag"])
    body += f"\nGesamtsumme: {total:.2f}€"
 
    msg = MIMEMultipart()
    msg["From"] = os.environ["SMTP_USER"]
    msg["To"] = os.environ["NOTIFY_EMAIL"]
    msg["Subject"] = f"Mahnlauf: {len(overdue)} überfällige Rechnungen"
    msg.attach(MIMEText(body, "plain", "utf-8"))
 
    with smtplib.SMTP_SSL(os.environ["SMTP_HOST"], 465) as server:
        server.login(os.environ["SMTP_USER"], os.environ["SMTP_PASS"])
        server.send_message(msg)
 
if __name__ == "__main__":
    process_and_notify()

Dieses Skript hat keine externen Abhängigkeiten (nur Python-Standardbibliothek), keine offenen Ports, keine Weboberfläche und keine Sandbox, die umgangen werden könnte. Es tut genau eine Sache – und die nachvollziehbar.

Der Sicherheitsvergleich

Wann Python-Skripte die bessere Wahl sind

Python-Skripte via Claude Code eignen sich besonders für Aufgaben, die klar definiert und wiederholbar sind: Datenverarbeitung und -transformation, automatisierte Berichte und Benachrichtigungen, API-Integrationen zwischen zwei bis drei Systemen, Dateisystem-Operationen und Batch-Processing sowie regelmäßige Prüf- und Monitoring-Aufgaben.

Wann Low-Code weiterhin sinnvoll sein kann

Low-Code-Plattformen haben nach wie vor ihre Berechtigung – allerdings mit bewusstem Risikomanagement. Komplexe Orchestrierungen mit vielen parallelen Integrationen, Szenarien mit häufig wechselnden Anforderungen durch Fachabteilungen und Rapid Prototyping, bei dem Sicherheit (noch) nicht im Vordergrund steht, können von visuellen Workflow-Tools profitieren. In diesen Fällen sollte die Plattform jedoch in einer gehärteten Umgebung betrieben, regelmäßig gepatcht und von Community-Erweiterungen isoliert werden.

Fazit: Weniger Plattform, mehr Kontrolle

Die Sicherheitsbilanz von n8n und OpenClaw in den letzten Wochen ist ernüchternd: CVSS-Scores von 10.0, Sandbox-Escapes im Stundentakt, Malware im offiziellen Skill-Store, zehntausende ungeschützte Instanzen im Internet. Die Schwachstellen sind nicht das Ergebnis schlechter Handwerksarbeit – sie sind die unvermeidliche Konsequenz einer Architektur, die maximale Flexibilität über Sicherheit stellt.

Für viele Automatisierungsaufgaben im Unternehmensalltag gibt es eine pragmatische Alternative: ein gut geschriebenes Python-Skript, das genau eine Aufgabe erledigt, dessen Code vollständig einsehbar ist und das keine unnötige Angriffsfläche bietet. KI-Coding-Tools wie Claude Code machen diesen Ansatz auch ohne Python-Experten im Team realisierbar.

Die Empfehlung für IT-Verantwortliche lautet: Bevor die nächste Automatisierung als n8n-Workflow oder OpenClaw-Skill umgesetzt wird, lohnt sich die Frage – reicht ein Skript? In den meisten Fällen lautet die Antwort ja. Und in den meisten Fällen ist das die sicherere Entscheidung.