01. Drei Schmerzklassen

1) Kein web_search in der Palette: Oft ist das Modell unschuldig—das Agentenprofil / Plain-Capability-Bundle exponiert kein Web-Retrieval, oder ein Skill wurde installiert, nach Gateway-Neustart aber nicht neu registriert. Folgen Sie der Schichtung in Skills-3.24-Triage: UI, Plugin-Manifest und Laufzeit-Tool-Tabelle vor JSON-Änderungen erfassen.

2) Tool vorhanden, aber 401/403/429: Brave Search und Tavily erwarten rotierbare API-Schlüssel und einen klaren Egress. Corporate-Proxies mit MITM auf api.search.brave.com oder Tavily-Endpunkten wirken wie vage Timeouts. Vor openclaw.json-Rewrite einen minimalen curl-Test als denselben Unix-Benutzer wie das Gateway ausführen.

3) „Gestern ging es noch“ nach Patch: Tool-Registrierung und Plugin-ABI können von Node-Minoren oder Caches abweichen. Eine Installationskette einfrieren (siehe v2026.4.5-Artikel), sauber neu starten, ggf. Tag pinnen—während der Triage npm-Host-Gateways nicht mit Containern mischen.

02. Anbieter-Vergleich

Mit der Matrix wählen Sie in unter zehn Minuten eine Such-Lieferkette; Feldnamen stehen in den Release Notes, hier geht es um Betriebsgrenzen. Bei Freigabe-Grenzen weiterlesen: MCP-Integration.

Dimension	Brave Search API	Tavily-ähnliche APIs	Self-hosted SearXNG
Onboarding & Abrechnung	Dashboard-Schlüssel; Gratis-Tiers oft ~2.000 Abfragen/Monat (Konsole prüfen)	Staffelung pro Call; gut für Burst-Experimente	Höherer Setup-Aufwand, amortisiert sich
Compliance & Datenstandort	ToS/Logging prüfen; Abfragen verlassen das Netz	Gleiche Vorsicht bei Intranet-Hostnamen in Prompts	Abfragen können in einer VPC bleiben
OpenClaw-Kopplung	`tools.web.search`-Provider-String + Schlüsselrotation	Ähnlich; hohe Modelltemperatur kann QPS erhöhen	Oft MCP oder eigene HTTP-Tool-Wrapper
Tagesmiete-Mac	Gut für „Schlüssel ok, Gateway ruft nicht“	Nützlich für Kontingent-/Breaker-Übungen	Simuliert interne DNS/Zertifikatsprobleme

03. Symptomtriage

Teilen Sie „kein Browsen“ in unsichtbar, sichtbar aber kaputt, flaky auf. Öffentliche Gateways leaken Schlüssel und Abfragetext—vor Produktionstriage Gateway Token & SecretRef lesen.

Symptom	Zuerst prüfen	Weiterlesen
Kein web_search in der UI	Agent-Allowlist, Skills-Schalter, alter Gateway-PID	Skills-Konsole
401/403 beim Tool-Call	Schlüssel in richtiger Umgebung, Uhrzeit, vermischte Konten	Befehls-FAQ
429 oder sporadische Timeouts	Kontingent, Proxy, DNS, parallele Tool-Stürme	Nutzungs-Governance

04. Fünf Schritte

Version & Kette einfrieren: openclaw --version, Node-Major, systemd/launchd/Docker notieren—wie im v2026.4.5-Artikel; nicht mitten in der Triage zwischen npm und Container wechseln.
doctor & Snippets archivieren: Ausgabe ans Ticket; bei TLS-Hinweis außerhalb von OpenClaw mit curl prüfen, Strings mit FAQ abgleichen.
Minimaler tools.web.search-Block: ein Anbieter, ein Schlüssel, Rechte nur für den Gateway-User—keine Secrets in Chat-Logs.
Gateway neu starten & Ein-Turn-Smoke: schwere Skills aus, nur Such-Tools, eine faktenbasierte Abfrage.
Rollback per Binärsuche: letztes gutes Tag, Diff von Plugins/Konfig; Ablauf für Audits in Upgrade/Migration/Rollback dokumentieren.

# Minimale Diagnostik (Pfade anpassen)
openclaw --version
openclaw doctor
grep -n "web" ~/.openclaw/openclaw.json
curl -sS -o /dev/null -w "%{http_code}\n" "https://api.search.brave.com/res/v1/web/search?q=test"
lsof -i :18789 | head

Unter Linux ss -lntp für Listener; unter Windows den Windows-doctor-Artikel zu WSL vs. PowerShell-Home lesen.

05. Kennzahlen & Mythen

Kennzahl 1: In Stichproben 2026 waren 40–55% der „Tool kaputt“-Meldungen in Wahrheit Konfig nicht neu geladen / Gateway nicht neu gestartet / PATH-Split—vor Modell-Tuning minimalen Smoke fahren.
Kennzahl 2: Brave-Gratis-Tier oft ~zweitausend Abfragen/Monat (Dashboard); aggressive Re-Queries können 429 in Minuten erzeugen, nicht 401.
Kennzahl 3: Suchschlüssel nur auf Tagesmiete-macOS, keine Brave/Tavily-Secrets auf Laptops: übliche Sicherheitsargumentation zu Seitenkanal-Leaks (Shell-Historie, Screenshots, geteiltes VNC)—ca. eine Größenordnung weniger Risiko als Dauer-Debugging lokal (keine Rechtsgarantie).

Mythos A: Starke Modelle ersetzen web_search—halluzinieren bei volatilen Fakten. B: Globales Export der Keys repariert launchd—Dienste ohne Shell-Umgebung. C: Docker isoliert immer—schlechte Volume-Mounts leaken .env in Logs.

Connectivity: SSH/VNC-FAQ; Hardware: Bare-Metal-macOS-Preise; Remote: Remote-Zugriff.

tools.web.search + Skills: Doppelregistrierung oder Alias-Mismatch möglich—zuerst eine Lieferkette, zweite erst nach Latenz- und HTTP-Logging. Freigaben mit MCP-Integration verzahnen.

Schlüsselrotation: wie DB-Passwörter dokumentieren. Mit SecretRef & Budgets: Such-QPS in Alerts, damit Nacht-Automation keine Kontingente leert.

TLS-Inspection: fehlende Enterprise-Roots in Node → undurchsichtige TLS-Fehler. curl/node als Gateway-User, Trust-Bundles Container vs. Host vergleichen, private Roots nicht auf Miet-Maschinen importieren.

429: exponentielles Backoff und Parallelitätsdeckel statt höherer Temperatur; Routing-Fallbacks aus dem Governance-Artikel nutzen.

Windows/WSL: openclaw.json auf Windows editieren, Gateway liest WSL—Windows-doctor für einheitliches Home.

Tagesmiete-Probe: Miete → eine User-Kette → doctor → minimale Suche → Smoke → redigierte Logs → aus. Mit Pitfalls, keine Keys in geteiltem VNC.

Reihenfolge: Sichtbarkeit → Auth (401/403) → Kontingent/Netz (429) → Version/Plugin-ABI; doctor- und Gateway-Logs für FAQ-String-Matching anhängen.

06. Linux/Windows vs. Mac-Miete

Headless-Linux oder Windows mit starkem Docker Desktop eignen sich für CI-Sonden, erzeugen aber oft gespaltene Homes, Trust-Store-Mismatch und langsame Abstimmung von Browser-Konsole und Gateway-Logs. Nicht als einziges Zuhause mehrerer Produktions-Suchschlüssel nutzen.

Für Apple-identisches TLS und Toolchain mit zeitlich begrenztem Credential-Risiko zuerst nativ macOS smoketesten. Tagesmiete-Mac hält Konsolenparität und vernichtet die Umgebung am Mietende. Kosten-Trial und Pitfalls kombinieren und im Runbook festhalten.