2026 OpenClaw auf Cloud-Mac installieren: Node-22-Umgebung, onboard-Daemon und TCC-Berechtigungs-Checkliste

Anders als bei Knotenwahl und launchd-Fehlersuche fokussiert dieser Artikel den 0→1-Pfad „Instanz gerade geliefert, OpenClaw noch nicht installiert“: Sie haben nur SSH (ggf. VNC), kein Golden Image und kein kopierbares ~/.openclaw vom Kollegen.

In Reviews werden diese fünf Punkte oft unterschätzt:

• Node-Version driftet: System-Node 18/20; Gateway-Laufzeit verlangt Node 22 LTS (22.16+) oder Node 24 – openclaw onboard bricht in der Dependency-Auflösung ab.
• Falscher Installationskanal: CI nutzt npm global, Ops Homebrew; zwei openclaw im PATH, doctor meldet Versionskonflikt.
• TCC ohne Antwort: Automation, Bedienungshilfen, Bildschirmaufnahme lassen sich per SSH nicht mit „Erlauben“ bestätigen – Gateway oder Channel-Probes schlagen intermittierend fehl.
• Token falsch hinterlegt: 2026 gilt gateway.auth.token (nicht gateway.token); nur in .zshrc, launchd erbt nicht → Schleife „Gateway auth is set to token, but no token is configured“.
• RAM/Storage unterschätzt: Mehrere Agents + lokaler Modell-Cache: M4 16 GB triggert swap; große Repos → 1 TB/2 TB Erweiterung oder M4 Pro (siehe Abschluss).

Merksatz: „Erst Node 22, dann eine CLI-Quelle, dann TCC, zuletzt onboard + Daemon“. Ein Schritt übersprungen – Pairing und Tunnel-Fehlersuche werden stundenlang.

OpenClaw unterstützt mehrere Installationswege auf macOS; auf einem Cloud-Mac nur per SSH zählt: wiederholbar, scriptbar, CI-konsistent.

Nach der Installation: which -a openclaw – genau ein Pfad; Symlink nach /opt/homebrew/bin oder /usr/local/bin, damit launchd-ProgramArguments nicht auf temporären Shell-PATH zeigen.

Vor openclaw onboard Umgebung per Non-Interactive-Skript prüfen – kein halb installierter Stand mitten in der Nacht.

node -v | grep -E 'v22\.(1[6-9]|[2-9][0-9])|v24\.' || exit 1
uname -m | grep -q arm64
df -h / | awk 'NR==2{gsub(/%/,"",$5); if($5>85) exit 1}'
xcode-select -p || xcode-select --install

Node zu alt: fnm oder offizielles Node-22-LTS-Paket; Login-Shell und launchd-Umgebung angleichen. Für Daemon: Token in ~/.openclaw/openclaw.json unter gateway.auth.token, nicht nur export in .zprofile.

• Referenz: Mindest-Node — Gateway-Laufzeit: Node 22.16+ oder Node 24 (laut offiziellem Onboarding).
• Referenz: Standard-Gateway-Port — 18789; nach Installation lsof -i :18789 nur 127.0.0.1.
• Referenz: Speicher — mindestens 30 GB für Caches und Logs; mehrere Agents parallel → 512 GB → 1 TB Erweiterung.

1. SSH und Basistools: Schlüssellogin laut Hilfezentrum; sw_vers macOS 14+, Zeitsync (TLS/Token).
2. Node 22 und eine CLI-Quelle: z. B. brew install node@22 && brew link --overwrite node@22 oder npm install -g openclaw@latest; openclaw --version.
3. onboard ausführen: openclaw onboard, Gateway wählen; Dauerbetrieb: --install-daemon registriert LaunchAgent ai.openclaw.gateway.
4. gateway.auth.token schreiben: openclaw doctor --generate-gateway-token oder manuell; chmod 600 ~/.openclaw/openclaw.json; bei launchd ohne Shell: launchctl setenv OPENCLAW_GATEWAY_TOKEN '…', dann launchctl kickstart -k gui/$(id -u)/ai.openclaw.gateway.
5. doctor-Abnahme: openclaw status, openclaw gateway status, openclaw doctor; gesund: Runtime running, RPC probe ok; curl auf /health → 200.
6. Ops-Baseline: Log-Rotation; auf Preisseite M4 Pro oder zweite Build-Maschine prüfen; weiter zu Remote-App-Pairing.

openclaw onboard --install-daemon
openclaw doctor
lsof -nP -iTCP:18789 -sTCP:LISTEN
TOKEN=$(openclaw config get gateway.auth.token)
curl -sf -H "Authorization: Bearer $TOKEN" http://127.0.0.1:18789/health

Startet openclaw gateway restart nach Agent-Trigger nicht wieder: oft openclaw gateway install --force (openclaw#40306); nicht deinstallieren/neu installieren, bevor doctor grün ist.

Cloud-Macs haben oft keinen physischen Monitor; macOS-Datenschutz (TCC) erfordert VNC / Bildschirmfreigabe für „Erlauben“. Tabelle nach Aufgabe – keine Über-Autorisierung.

Nach Autorisierung: VNC nur intern oder per SSH-Tunnel; Zeitpunkt und Operator im Change-Log für Audit.

OpenClaw auf Heim-Mac oder instabilem WLAN-Laptop: Sleep und Auto-Updates → Gateway nachts offline. Auf overselltem VPS oder Nicht-macOS: keine Apple-Channels, kein TCC-konformer Pfad. Teams mit 0→1 in Stunden, reproduzierbarem Node 22, dediziertem Bare Metal landen auf JEXCLOUD Cloud-Mac multi-region mit den sechs Schritten dieses Artikels, dann Knotenwahl und Remote-Pairing: ~120 s Bereitstellung, M4 Pro und 1 TB/2 TB nach Projekt. Tarife: JEXCLOUD Preisseite.