2026 OpenClaw Gateway: Ausgehende Governance & Sicherheitsleitplanken – Domain-Whitelist, Sandbox, Audit-Logs & Human-in-the-Loop auf physischem Fern-Mac (openclaw.json + FAQ)

2. Schmerzpunkte

1. Unsichtbarer Egress-Sprawl. Jeder neue Modell-Endpunkt, OAuth-Issuer oder „schneller“ Paketspiegel vergrößert die Schadensspanne; ohne benannte Whitelist kann Incident Response nicht unterscheiden, ob Verbindungen erwarteter Agentenverkehr oder Kompromittierung sind.
2. Tooling ohne Sandbox-Grenzen. Shell-, Browser- und Datei-Tools auf einem geteilten Mac können Nutzerdaten oder CI-Geheimnisse berühren; zu großzügige Defaults machen Prompt-Injection zur Befehlsausführung mit Hostrechten.
3. Audit-Lücken und fehlendes HITL. JSONL ohne request_id-Korrelation und Rotation füllt Platten und scheitert an Compliance; irreversible Aktionen ohne Freigabewarteschlange erzeugen „stille Ops“-Haftung auf geteilter Hardware.

3. Entscheidungsmatrix: Leitplanke × Strategie

Linke Spalte mit Security unterzeichnen; rechts die minimale tragfähige Haltung für Produktions-Agenten auf geteilten Fern-Macs.

4. Reproduzierbare openclaw.json-Fragmente

Die folgenden Blöcke sind illustrativ: Schlüsselnamen müssen zur OpenClaw-Version passen; ohne Kanal-Bindings oder Credential-Referenzen zu überschreiben mergen und auf dem Mac ein zeitgestempeltes Backup halten.

4.1 Ausgangsrichtlinie und Domain-Whitelist

{
  "gateway": {
    "outbound": {
      "defaultPolicy": "deny",
      "profiles": {
        "prod-llm": {
          "allowHosts": [
            "api.openai.com",
            "api.anthropic.com",
            "*.openai.azure.com"
          ],
          "denyHosts": ["metadata.google.internal"],
          "tlsMinVersion": "1.2",
          "dns": { "resolver": "system", "ndots": 1 }
        },
        "breakglass-24h": {
          "allowHosts": ["pypi.org", "files.pythonhosted.org"],
          "expiresAt": "2026-04-17T00:00:00Z",
          "ticket": "SEC-4821"
        }
      },
      "activeProfile": "prod-llm"
    }
  }
}

4.2 Tool-Sandbox (Workspace + Befehls-Whitelist)

{
  "gateway": {
    "tools": {
      "sandbox": {
        "enabled": true,
        "profile": "strict-ci",
        "profiles": {
          "strict-ci": {
            "workspaceRoots": ["/Users/agent/OpenClawWorkspaces/ci-bot"],
            "allowCommands": ["/usr/bin/git", "/usr/bin/curl", "/opt/homebrew/bin/jq"],
            "denyPatterns": ["**/\.ssh/**", "**/Library/Keychains/**"],
            "maxSubprocesses": 4,
            "wallClockMs": 120000,
            "network": "outbound-profile:prod-llm"
          }
        }
      }
    }
  }
}

4.3 Audit-Logging (JSONL)

{
  "gateway": {
    "audit": {
      "enabled": true,
      "sink": "file",
      "path": "/var/log/openclaw/audit.jsonl",
      "rotateBytes": 268435456,
      "fields": [
        "ts", "request_id", "channel", "actor", "tool", "decision",
        "egress_host", "http_status", "latency_ms", "hil_state"
      ],
      "redact": ["authorization", "cookie", "x-api-key"]
    }
  }
}

4.4 Human-in-the-Loop-Gates

{
  "gateway": {
    "humanInTheLoop": {
      "enabled": true,
      "queues": {
        "default": { "timeoutMs": 300000, "escalateTo": "pagerduty:gateway" }
      },
      "requireApprovalFor": [
        { "toolPattern": "payment.*", "queue": "default" },
        { "toolPattern": "prod-k8s.*", "queue": "default" },
        { "egressHost": "*.corp.internal", "queue": "default" }
      ],
      "dryRunChannels": ["staging-slack"]
    }
  }
}

Ausgangsprofile, Tool-Sandbox-Netzwerk und HITL-Warteschlangen aufeinander abstimmen: Ein Tool, das beliebige Hosts aufrufen kann, darf defaultPolicy: deny nicht umgehen, außer Break-Glass ist aktiv und auditiert.

5. Sieben-Schritte-Runbook (physischer Fern-Mac)

1. Egress inventarisieren. Eine Woche Gateway-Traces: alle FQDNs erfassen; mit intendierten LLM- und OAuth-Endpunkten abgleichen; „Mystery“-Auflösungen vor dem Verschärfen entfernen.
2. Config sichern und verzweigen. cp openclaw.json openclaw.json.bak.$(date +%Y%m%d%H%M); Diff an ein Change-Ticket hängen.
3. Ausgangs- und Sandbox-Blöcke mergen. Zuerst defaultPolicy: deny, dann Whitelists; Tool-network an dieselben Profilnamen binden.
4. JSONL-Audit + Rotation aktivieren. Logverzeichnis nur für den Gateway-User beschreibbar; rotierte Dateien bei Bedarf zentral auslagern.
5. HITL für Hochrisiko-Tools konfigurieren. Mit Zahlungs- und Produktiv-Orchestrierungsmustern starten; dryRunChannels für Staging nutzen.
6. Golden Tests auf localhost. Ein erlaubter Request, ein beabsichtigter Deny (strukturierter Block im Audit), eine HITL-Enqueue mit Freigabe- und Timeout-Pfad.
7. Observability und Review. Dashboards für Deny-Rate, HITL-Warteschlagentiefe, Audit-Schreibfehler; vierteljährliche Whitelist- und Sandbox-Befehlsliste prüfen.

6. Deny- / HITL-Triage

7. Zitierfähige Kennzahlen (für Runbooks)

• JSONL-Rotation: rotateBytes: 268435456 (256 MiB) pro Datei vor Auslagerung in Cold Storage—balanciert forensische Granularität mit Inode-Druck auf APFS.
• HITL-Standardwartezeit: timeoutMs: 300000 (fünf Minuten) für interne Ops-Warteschlangen; für kundennahe Bots nach gemessenem p95 der Freigabe verkürzen.
• Sandbox-Echtzeit: wallClockMs: 120000 (zwei Minuten) als erste Kappe für nicht-streamende Tool-Ketten—nur mit Ticket und Profiling anheben.

8. FAQ

9. Fazit und Knotenwahl

Ausgehende Governance macht Agentenverkehr zu einem auditierbaren Vertrag: Ausgangs-Default-Deny, sandboxed Tools, strukturiertes JSONL und HITL, wo Fehler wehtun. So läuft OpenClaw auf geteilten physischen Macs, ohne jeden Knoten in einen generischen Egress-Relay zu verwandeln.

macOS liefert für unbeaufsichtigte Gateways dauerhaften Wert: Gatekeeper, SIP und FileVault senken die Malware-Baseline gegenüber typischen Windows-Flotten; natives Unix-Tooling und stabile launchd-Aufsicht halten Config-Drift sichtbar. Ein Mac mini M4—oft bei rund 4 W Leerlauf, leise und zuverlässig für 7×24—passt zu Gateway- und leichten Tool-Workloads ohne Rack-Footprint. Dieselben Richtlinien auf ZoneMac-Fern-Metal auszuführen hält Ihr Runbook mit echten SSH- und Dateipfaden konsistent.

Wenn Sie OpenClaw-Leitplanken auf vorhersagbarer Apple-Silicon-Hardware mit minimalem Ops-Aufwand betreiben wollen, ist der Mac mini M4 ein starker Einstieg—entdecken Sie ZoneMac, um dieses Runbook auf einem dedizierten physischen Fern-Mac zu fahren.