OpenClaw v2026.4.5 (veröffentlicht um den 2026-04-06) ist ein Meilenstein für Betreiber:innen: Viele öffentliche Legacy-Konfig-Aliase werden entfernt oder migriert zugunsten kanonischer Pfade und expliziter enabled-Semantik; mehrere Sicherheits-Härtungen (Tool-Allowlists nur für Plugins, /allowlist-Mutationen nur für den Eigentümer, fail-closed-Verhalten, wenn before_tool_call-Hooks abstürzen, früheres Blockieren bestimmter Browser-SSRF-Redirect-Klassen) kommen hinzu; doctor vergleicht normalisierte talk-Konfigurationen strukturell statt über brüchige Serialisierung – weniger lautes „No-op“-Rauschen. Auf einem gemieteten oder colocation-Mac scheitert der Betrieb selten an „npm konnte nichts herunterladen“ und häufiger an „meine Konfig enthält Schlüssel, die seit drei Minor-Versionen still nichts mehr tun.“ Dieses Playbook liefert fortgeschrittenen Nutzer:innen und Bereitschaftsteams eine wiederholbare Sequenz: Backup → Paket oder Image anheben → openclaw doctor → openclaw doctor --fix → Gateway starten → Steuer-UI in einem VNC-Desktop prüfen. Es ergänzt frühere Migrationsartikel mit Fokus auf v2026.4.5 Breaking- und Sicherheitshinweise und verweist auf Docker, launchd, SecretRef, Browser-MCP und No-Reply-Diagnostik anderswo auf dieser Website.
1) Schmerzpunkte: Remote-Upgrades und stille Konfig-Drift
- Halbwertszeit von Tutorials: Snippets aus Issues, Discord oder Blogbeiträgen binden an bestimmte Minors; sie können parsen, aber nach Schema-Verschärfung die Laufzeit nicht mehr beeinflussen.
- Späte Validierung: Das Gateway bricht erst bei Startchecks – unter launchd wirkt das wie ein Neustart-Sturm, wenn niemand die Logs mitliest.
- Toolchain-Zersplitterung: Homebrew-Node, nvm-Shims und globale npm-Präfixe streiten, welches
openclaw-Binary läuft; v2026.4.5 achtet explizit auf „das npm, das den Präfix besitzt.“ - GUI-Lücken über SSH: OAuth, Zustimmungsdialoge und lokale Browser-Handoffs brauchen einen Desktop; VNC vereint Terminal und Browser.
- Container-Schräge: Nur das Image-Tag zu erhöhen, während das Config-Volume noch Pre-Breaking-Formen trägt, erzeugt widersprüchliche doctor-Ergebnisse auf Host vs. Container.
- Strengere Sicherheits-Defaults: Abläufe, die „weil wir locker waren“ funktionierten, können jetzt fail-closed sein – das ist erwartbar und sollte über Policy gelöst werden, nicht durch blindes Abschalten von Schutzmechanismen.
2) Entscheidungsmatrix: npm vs. Docker vs. launchd vs. Multi-Workspace
| Topologie | Wo Sie upgraden | Haupt-Risiko | Praxis 2026 |
|---|---|---|---|
| Globales npm / Installer | Host-Shell | Präfix-Mismatch | Mit which openclaw + openclaw --version prüfen; dann doctor |
| Docker Compose | Image-Digest + Volume | Geteiltes CLI-Gedächtnis | doctor im dokumentierten Container-Kontext; Stack neu ziehen |
| launchd | Plist-Umgebung + WorkingDirectory | PATH ohne nvm | Absolute Binary-Pfade oder eine Toolchain; nach Änderungen bootout/bootstrap |
| Mehrere Workspaces | Viele JSON-Wurzeln | Nur einen Baum gefixt | Pfad-Liste pflegen; mit dem Multi-Projekt-Isolations-Artikel kombinieren |
3) Breaking- und Sicherheitsflächen in v2026.4.5
Breaking: Kanonisierung
Das Release entfernt Legacy-Aliase wie talk.voiceId/talk.apiKey, agents.*.sandbox.perSession, browser.ssrfPolicy.allowPrivateNetwork, hooks.internal.handlers und ordnet Kanal-/Gruppen-/Raum-allow-Schalter kanonischen Pfaden mit enabled zu – inklusive Ladezeit-Kompatibilität und Migrationsunterstützung durch openclaw doctor --fix. Bevorzugen Sie automatische Migration gegenüber manuellem Editieren verschachtelter JSON-Strukturen.
Sicherheit und Plugins
Rechnen Sie mit strengerer Durchsetzung bei Plugin-Tool-Allowlists, privilegierten Allowlist-Befehlen, Hook-Fehlern und Browser-SSRF-Abwehr. Nach dem Upgrade eine minimale Plugin-Matrix fahren: ein sicherer Tool-Call, eine Kanalnachricht, ein verweigerter Pfad – so bestätigen Sie das intendierte Policy-Verhalten.
Doctor und Provider
Die Notes erwähnen auch das Aufräumen veralteter anthropic:claude-cli-Profile und bessere Vergleiche bei Talk-Normalisierung – hilfreich, wenn Sie zuvor endlose „fixed talk.provider“-Meldungen ohne echten Diff sahen.
Backup-Snippet
cp ~/.openclaw/openclaw.json ~/backups/openclaw-$(date +%Y%m%d).json tar czf ~/backups/openclaw-workspace-$(date +%Y%m%d).tar.gz ~/.openclaw/workspace 2>/dev/null || true
4) Sieben Schritte von Backup bis Verifikation
Umfang einfrieren und sichern
Konfig, Secrets-Strategie, Workspace; Versionen von Node und OpenClaw notieren.
Auf v2026.4.5 über einen Kanal upgraden
npm global, Installer-Skript oder Docker-Tag – nicht mischen.
openclaw doctor ausführen (noch ohne fix)
Vollständige Ausgabe fürs Ticketsystem erfassen.
openclaw doctor --fix anwenden
doctor erneut laufen lassen, bis Breaking-Punkte leer sind; SecretRef-Flows ausrichten, falls genutzt.
Gateway starten und Logs lesen
Listener, Provider, Plugins bestätigen; Port 18789 bei Containerisierung mappen.
Steuer-UI in VNC verifizieren
Browser-Zustimmung oder OAuth-Schleifen abschließen; bei anhaltenden Symptomen Browser-MCP- und No-Reply-Leitfäden nutzen.
Smoke-Test und Rollback-Plan
Minimaler Chat plus Tool-Aufruf; bei Bruch Backup-Tarball wiederherstellen und Diff dokumentieren.
5) Referenzfakten und Befehle
doctor mehr als veralteten Community-Snippets, wenn Schemas wandern.- Vorher/Nachher-doctor-Ausgabe archiviert
- Jedes Workspace-Verzeichnis migriert
- Tooling-Smoke-Test bestanden
- Rollback-Tarball auf Wiederherstellung getestet
6) FAQ, verwandte Artikel, Abschluss
F: doctor überspringen und JSON von Hand? Möglich, aber fehleranfällig bei verschachtelten Schemas.
F: Kanäle nach Upgrade still? Zuerst Umgebungsvererbung in launchd prüfen, dann No-Reply- und Netzwerk-Artikel.
Weiterlesen: häufige Fehler (10 Lösungen), launchd-Checkliste, offizieller Docker-Compose-Leitfaden, SecretRef-Audit, Browser-MCP, No-Reply-Diagnostik.
Abschluss: Upgrades erneuern die Konfig-Evidenzkette
Auf geteilten Remote-Macs blockiert eine halbe Migration alle, die von diesem Gateway abhängen. Nutzen Sie VNC, um CLI-Ausgabe, Browser-Verifikation und Dateiedits in einer Sitzung zu alignen. Wenn Sie macOS-Kapazität ohne Hardwarekauf für einen kurzen Zyklus brauchen, ist VNCMac plus diese Checklisten-Bibliothek meist schneller als Ad-hoc-Rechner-Leihgaben.