KI-Server selbst einrichten:
vom leeren VPS zum laufenden Agenten in 90 Minuten

Der 90-Minuten-Plan im Überblick

Die Anleitung ist in 9 Phasen à 10 Minuten getaktet. Du kannst sie an einem Stück durchziehen oder über zwei Sessions verteilen. Wichtig ist, dass du die Reihenfolge einhältst: jede Phase bereitet die nächste vor, vor allem die Sicherheits-Phasen 4 bis 6 sind nicht verhandelbar, bevor irgendwas Produktives auf dem Server läuft.

Vorbereitung: VPS bestellen

Bevor du eine einzige Zeile Code schreibst, brauchst du einen Server. Für 90 Prozent aller Leser dieser Anleitung ist Hostinger KVM 2 die richtige Wahl: 8 GB RAM, 100 GB NVMe, Standort Frankfurt, 1-Click-Ubuntu-22.04 und ein Panel auf Deutsch. Wer schon einen Hetzner-Account hat oder bewusst CLI-affin ist, fährt mit Hetzner Cloud CX22 ebenfalls ausgezeichnet.

Achte beim Bestellen auf drei Dinge: Standort EU, Image Ubuntu 22.04 LTS oder neuer und SSH-Key direkt im Bestellprozess hinterlegen statt root-Passwort per Mail zu akzeptieren. Wenn dein Hoster zwingend ein root-Passwort schickt: Phase 2 wechselt es sofort.

Schritt 1: SSH-Key generieren (10 Min)

Auf deinem lokalen Rechner (macOS, Linux oder WSL2 unter Windows) erzeugst du ein Schlüsselpaar. Ein Private-Key bleibt bei dir, der Public-Key landet auf dem Server. Damit ist ein Login ohne Passwort möglich und gleichzeitig deutlich sicherer.

ssh-keygen -t ed25519 -C "openclaw@deinrechner" -f ~/.ssh/openclaw_ed25519

Wähle eine sinnvolle Passphrase. Den Public-Key zeigst du dir mit cat ~/.ssh/openclaw_ed25519.pub an und fügst ihn im Hoster-Panel beim Anlegen des Servers ein. Hostinger und Hetzner haben dafür beide ein eigenes SSH-Keys-Menü.

Wichtig: Wenn du mehrere Server verwaltest, lege einen Eintrag in ~/.ssh/config an. Das spart dir das ewige Tippen der IP und definiert pro Host den richtigen Key.

# ~/.ssh/config
Host openclaw
  HostName 1.2.3.4
  User claw
  IdentityFile ~/.ssh/openclaw_ed25519
  IdentitiesOnly yes

Schritt 2: Erste SSH-Verbindung & root-Passwort tauschen (10 Min)

Sobald der Hoster dir die IP des Servers bestätigt hat, loggst du dich ein. Wenn du den SSH-Key bereits beim Bestellen hinterlegt hast, geht das ohne Passwort:

ssh -i ~/.ssh/openclaw_ed25519 root@1.2.3.4

Beim ersten Login akzeptierst du den Server-Fingerprint mit yes. Direkt danach bringst du das System auf Stand und wechselst, falls vom Hoster vergeben, das root-Passwort:

apt update && apt upgrade -y
passwd

Wenn das Update Kernel- oder libc-Pakete betrifft, fragt das System nach einem Reboot. Mach den Reboot jetzt sofort. Es ist der einzige Punkt der Anleitung, an dem du dem Server eine Minute alleine lässt.

Schritt 3: Neuen User anlegen + sudo-Rechte (10 Min)

Direkt als root zu arbeiten ist eine schlechte Idee, selbst auf deinem privaten Server. Ein Tippfehler in einem rm-Befehl löscht sonst dein Betriebssystem. Lege einen Standard-User an, gib ihm sudo, und kopiere deinen SSH-Key in dessen Profil:

adduser claw
usermod -aG sudo claw

mkdir -p /home/claw/.ssh
cp /root/.ssh/authorized_keys /home/claw/.ssh/
chown -R claw:claw /home/claw/.ssh
chmod 700 /home/claw/.ssh
chmod 600 /home/claw/.ssh/authorized_keys

Teste den neuen User in einer zweiten Shell, ohne die root-Session zu schließen. Erst wenn der Login als claw funktioniert und du dort mit sudo whoami ein root bekommst, machst du in Schritt 4 weiter. Solltest du dich aussperren, hilft dir die noch offene root-Session, den Fehler zu finden.

Schritt 4: SSH absichern (10 Min)

Jetzt schließt du die häufigsten Angriffsvektoren: root-Login per SSH und Passwort-Authentifizierung. Beides braucht ein produktiver KI-Server nicht. Editiere die SSH-Config:

sudo nano /etc/ssh/sshd_config

# diese drei Werte setzen
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes

Speichern (Strg-O, Enter, Strg-X), dann SSH-Dienst neu laden:

sudo systemctl reload ssh

Optional, aber empfohlen für maximale Ruhe in den Logs: SSH-Port von 22 auf eine hohe Zahl wechseln, etwa 2222. Damit verschwinden 99 Prozent der Bot-Logins. Dafür in der Config Port 2222 setzen, später in UFW erlauben und in deiner ssh-config-Datei den Port-Eintrag ergänzen.

Schritt 5: UFW-Firewall (10 Min)

Default deny incoming, default allow outgoing. UFW (Uncomplicated Firewall) macht genau das mit drei Befehlen sauber. Reihenfolge ist wichtig: erst SSH erlauben, dann erst aktivieren, sonst sperrst du dich aus.

sudo apt install ufw -y

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
# falls du den Port gewechselt hast:
# sudo ufw allow 2222/tcp

sudo ufw enable
sudo ufw status verbose

HTTP/HTTPS, OpenClaw-Webhooks oder Reverse-Proxy-Ports ergänzt du später, wenn der jeweilige Service tatsächlich da ist. Eine Firewall, die alles offen lässt, ist nutzlos. Eine Firewall mit zehn unbenutzten Allow-Regeln auch.

Schritt 6: fail2ban gegen Brute-Force (10 Min)

Selbst mit Pubkey-Only-SSH und unüblichem Port klopfen Bots im Sekundentakt. fail2ban liest die Logs und sperrt IPs nach X erfolglosen Versuchen automatisch. Out-of-the-box-Profil für sshd reicht für 95 Prozent der Setups.

sudo apt install fail2ban -y
sudo systemctl enable fail2ban
sudo systemctl start fail2ban
sudo fail2ban-client status sshd

Falls du strenger sein willst, kopiere /etc/fail2ban/jail.conf nach jail.local und reduziere maxretry von 5 auf 3 sowie bantime auf 1 Stunde. Mehr braucht ein OpenClaw-Server in der Praxis nicht.

Schritt 7: Node.js 22 LTS installieren (10 Min)

Ubuntu liefert in den eigenen Repos häufig veraltete Node-Versionen. Für OpenClaw und Claude-Code-Tools brauchst du mindestens Node 20, besser 22 LTS. NodeSource ist die offizielle und saubere Quelle:

curl -fsSL https://deb.nodesource.com/setup_22.x | sudo -E bash -
sudo apt install -y nodejs

node -v
npm -v

Du solltest v22.x.x für Node und etwas in Richtung 10.x für npm sehen. Falls nicht, hat dein System eine ältere Version vorinstalliert. In dem Fall vorher sudo apt purge nodejs npm ausführen und dann das NodeSource-Setup wiederholen.

Pro-Tipp: Wenn du parallel auch andere Node-Tools betreibst, ist nvm als User-Installation eleganter. Für einen reinen OpenClaw-Server reicht das System-Node aber, weil ein Major-Update sowieso nur einmal pro Jahr ansteht.

Schritt 8: OpenClaw installieren (10 Min)

OpenClaw kommt als globales npm-Paket. Der Setup-Wizard fragt dich durch alle wichtigen Konfigurationen und legt einen User-Datenordner unter ~/.openclaw an.

npm install -g openclaw

openclaw init
# beantworte die Fragen:
#  - Anthropic API-Key (sk-ant-...)
#  - bevorzugtes Claude-Modell (Sonnet 4.7 ist Default)
#  - Speicher-Pfad (Default reicht)

openclaw doctor

doctor ist OpenClaws eingebauter Health-Check. Er prüft Node-Version, Schreibrechte, API-Key-Konnektivität und Skill-Pfade. Wenn alle Häkchen grün sind, ist dein KI-Server technisch einsatzbereit.

API-Key sicher ablegen: niemals in Git, niemals in ungeschützten Backup-Ordnern. OpenClaw speichert ihn standardmäßig in einer mit chmod 600 geschützten Config-Datei. Wer mehrere Projekte trennen will, nutzt pro Projekt einen Sub-Account in der Anthropic-Konsole.

Schritt 9: Telegram-Bot anbinden (10 Min)

Telegram ist der einfachste Erst-Channel für deinen Agenten: kostenlos, schnell, mit klarer API. Die Anbindung dauert real 5 bis 7 Minuten.

1. In Telegram nach @BotFather suchen und dort /newbot senden.
2. Bot-Name und Bot-Username vergeben. Der Username muss auf _bot enden.
3. BotFather schickt dir einen Token im Format 123456:ABC-DEF.... Genau diesen Token kopierst du, ohne Leerzeichen vorne oder hinten.
4. Auf dem Server openclaw channel:add telegram ausführen und den Token einfügen.
5. openclaw start starten und im Telegram-Chat mit deinem neuen Bot /start senden. OpenClaw schickt dir einen Pairing-Code, den du auf dem Server bestätigst.

openclaw channel:add telegram
# Token einfügen (kein Leerzeichen!)

openclaw start
# in Telegram: /start senden, Pairing-Code bestätigen

Sobald der Bot dir antwortet, hast du einen funktionierenden KI-Server mit Messenger-Anbindung. Glückwunsch. Das ist exakt der Punkt, an dem 95 Prozent der Cloud-Bot-Anbieter ihre Pricing-Page schalten und dich monatlich zahlen lassen wollen.

Häufige Fragen zur KI-Server-Einrichtung