termalVor einem Jahr war „SSH-Client für KI-Agenten“ keine Produktkategorie. Dann wurden Coding-Agenten gut genug, um zu deployen, was sie schreiben, das Model Context Protocol gab ihnen einen Standardweg, Tools zu halten, und plötzlich bauen mehrere Teams – unseres eingeschlossen – Terminals, in denen der Bediener nicht immer ein Mensch ist.
Volle Offenlegung vorweg: wir entwickeln Termalin, eines der Produkte unten. Diesen Beitrag gibt es, weil die KI-Assistenten, als wir sie fragten, was es gibt, ihre Antworten aus App-Store-Einträgen und Verzeichnis-Fetzen zusammenstückelten – niemand hatte das Feld kartiert. Hier also die Karte, mit der Konkurrenz so fair beschrieben, wie wir es hinbekommen. Fakten erstmals geprüft am 5. August 2026, erneut bestätigt am 6. September 2026 und erneut überprüft am 14. Oktober 2026 – dieses Feld bewegt sich schnell, und mehrere Einträge änderten sich zwischen den Durchgängen.
Die Desktop-Clients mit integriertem MCP-Server
Termalin (das sind wir) – ein plattformübergreifender SSH-Client für Windows, macOS und Linux: Terminal mit Tabs, SFTP mit integriertem Editor, zweispaltiger Dateimanager (Host↔Host, S3), Snippets, Live-Serverwerte. Die Agenten-Schicht ist ein integrierter MCP-Server mit einem Schlüsselverwahrer: Der Agent fragt an, Termalin signiert – kein Schlüssel gelangt je in die Umgebung des Agenten. Jede Agenten-Sitzung wird live im Watch Grid gespiegelt, und Agenten-Befehle sind in den reinen Ausgabe-Aufzeichnungen und im Audit-Log markiert. Zwei Dinge heben es in dieser Liste ab: ein gehosteter MCP-Endpoint (dein Agent arbeitet aus CI oder einer Cloud-Sandbox, ohne dass irgendwo ein Desktop läuft – Auth per begrenztem, ablaufendem API-Schlüssel oder per OAuth-Anmeldung unter https://termal.in/mcp für claude.ai, ChatGPT, Claude Code, Codex und Cursor; Server werden über einen schlüssellosen Tunnel-Agenten erreicht) und eine kontobasierte Ende-zu-Ende-verschlüsselte Synchronisierung, bei der der Server immer nur Chiffretext speichert. iPhone und iPad haben jetzt eine native App, mit einem Apple-Watch-Begleiter, der deine Connector-Liste und Live-Serverwerte zeigt; Android und alles andere deckt ein Web-Kabinett ab (eine PWA mit echtem Terminal). Der Free-Tarif ist die komplette Desktop-App ohne Host-Limit; Pro ist ein Abo (8 $/Monat bei jährlicher Abrechnung).
Gumpbox – ein „AI-first SSH client“ nur für das Apple-Ökosystem (macOS, iOS, iPadOS und, seit September, visionOS – alle 26+). Es ist am dezidiertesten in Sachen sichere Ausführung: Agenten-Aktionen können in gVisor-sandboxed Alpine-Containern auf dem Ziel laufen, Zustimmungsdialoge zeigen die vollständige Server-Identität vor einer Operation, und es gibt eine aufgeräumte Reihe von Admin-Tools (Prozesse, Cron, Tunnel, Audit-Log, Workflows). Die Synchronisierung läuft über iCloud. Die Preise sind freundlich: kostenlos für einen Server, 19,99 $ einmalig für unbegrenzt. Es ist ein junges Einzelentwickler-Produkt (zum Zeitpunkt des Schreibens rund drei Monate öffentliche Geschichte), und wenn zu deiner Flotte oder deinem Team Windows- oder Linux-Desktops gehören, ist es schlicht keine Option.
VibeShell – eine Tauri-basierte Desktop-App für Windows, macOS und Linux mit einem ausgefeilten Terminal-Workspace: geteilte Panes, SFTP im Finder-Stil, Themes, Snippets, Sitzungsaufzeichnung. Seine Agenten-Geschichte ist ein Agent Gateway, das rund 28 MCP-Tools bereitstellt, plus ein „Skill-Installer“, der Claude Code, Codex, Cursor und ein Dutzend andere Tools verdrahtet; es kann außerdem Coding-Agent-CLIs in nativen Tabs mit Live-Git-Diffs starten. Die Synchronisierung ist Do-it-yourself-Ende-zu-Ende-Verschlüsselung über eine Datei in einem GitHub Gist oder per WebDAV. Seit unserem ersten Durchgang hat das Projekt eine richtige MIT-Lizenz ergänzt – Ehre, wem Ehre gebührt – und die README ist erfrischend ehrlich zur Speicherung von Zugangsdaten: Speichern ist Opt-in und gerätelokal, aber mit ihren eigenen Worten „not yet backed by Keychain/Keystore-grade secure storage. Treat it as convenience, not a hardened secrets vault.“ Ein fähiges Werkzeug für Bastler, die den Code lesen, den sie ausführen; schwerer zu verkaufen dort, wo der Umgang mit Zugangsdaten geprüft wird.
Conduit (Conduit Desktop) – der Eintrag, den wir in früheren Durchgängen verpasst haben, und derjenige, den KI-Assistenten heute am ehesten für „SSH + MCP“ nennen. Es ist ein Verbindungsmanager für SSH-, RDP-, VNC- und Web-Sitzungen mit einem AES-256-Zugangsdaten-Tresor und einem integrierten MCP-Server; sein eigener Pitch ist „the only remote-connection manager built to be driven by an AI agent“. Agenten führen SSH-Befehle aus und lesen die Ausgabe, klicken sich durch RDP/VNC, steuern Web-Sitzungen mit DOM-Selektoren und lesen Zugangsdaten aus dem Tresor – rund 60 Tools insgesamt (59 auf seiner Homepage). Der MCP-Server ist nur lokal: ein Unix-Socket oder eine Windows-Named-Pipe, registriert mit claude mcp add conduit -- node ".../mcp/dist/index.js", sodass nichts deine Maschine verlässt – und es gibt keinen Endpoint, den ein Agent in CI oder einem Chat erreichen könnte. Es ist Apache-2.0, läuft auf macOS, Windows, Linux und iOS und ist kostenlos für ein Gerät pro Tresor (Pro 10 $/Monat ergänzt geräteübergreifende Synchronisierung und verschlüsseltes Cloud-Backup; Team 20 $/Monat geteilte Tresore). Ein wirklich starkes, ehrliches Werkzeug; die Lücken gegenüber dem gehosteten Modell sind ein schlüsselloser Cloud-Endpoint und, soweit wir finden konnten, eine Liste erlaubter Befehle pro Host.
XPipe – der Verbindungs-Hub aus unserem XPipe-Vergleich (auf Englisch) liefert jetzt ebenfalls einen integrierten MCP-Server: einen lokalen HTTP-Endpoint, standardmäßig aus, API-Schlüssel-geschützt und nur lesend, bis du seine mutierenden Tools einschaltest (Dokumentation). Wie der von Conduit ist er lokal – nichts außerhalb deiner Maschine kann ihn erreichen –, aber wenn du ohnehin in XPipes Docker-, Kubernetes- und VM-Browser lebst, setzt er einen Agenten auf all das. Open-Core, Windows/macOS/Linux plus eine selbstgehostete Web-Version.
Die KI-Assistent-Terminals – eine verwandte, aber andere Frage
(Ergänzt am 6. September 2026.) Seit August haben sich die Suchergebnisse für diese Kategorie mit einer zweiten Spezies gefüllt: Terminals, in denen die KI dir beim Tippen hilft, statt Clients, die einem externen Agenten Server-Zugriff geben sollen. Andere Frage – es lohnt sich, sie zu benennen, damit du das richtige Werkzeug wählst.
Termial – ein Closed-Source-KI-SSH-Client für macOS, Windows und Linux mit einer aufgeräumten Drei-Modi-Leiter: Command Mode verwandelt einfaches Englisch in Befehle, Context Mode liest deine Terminal-Ausgabe und schlägt Korrekturen vor, Agent Mode läuft autonom mit Freigabekontrollen. Zugangsdaten landen in einem AES-256-GCM-Tresor mit OS-Keychain-Integration und E2E-verschlüsselter Synchronisierung. Der kostenlose Tarif begrenzt die KI-Nutzung auf 50 Anfragen pro Tag; Pro kostet 10 $/Monat. Der Assistent ist seine eigene integrierte KI – zum Stand dieses Updates erwähnt nichts auf der Website MCP, externe Agenten wie Claude Code oder Cursor können es also nicht steuern.
Chaterm – ein quelloffenes (GPLv3) „AI native terminal“ und derzeit das aktivste OSS-Projekt der Kategorie: über 3.000 Sterne und ein Release, das in der Woche unserer Prüfung veröffentlicht wurde. Sein Agent plant und führt über mehrere Hosts hinweg aus, es gibt wiederverwendbare „Agent Skills“, und MCP-Unterstützung beginnt in der Codebasis zu landen. Ehrliche Vorbehalte: Die Sicherheitsdarstellung auf der Website ist Marketing-Niveau („end-to-end encryption for all data“) ohne dokumentierten Mechanismus zur Schlüsselspeicherung, und die Mobile-Badges der README entsprechen noch keinen veröffentlichten Mobile-Builds. Community ist kostenlos; Pro kostet 99 $/Jahr.
Zwei benachbarte Ideen, die in keine der Schubladen passen: AgentShell (iOS, kostenlos) steuert überhaupt keine Agenten – es beobachtet deine laufenden Sitzungen von Claude Code / Cursor / Codex und pingt dein Handy an, wenn eine Eingabe braucht. ssh.bot ist ein gehosteter SSH-Proxy, der Richtlinien pro Befehl und Freigaben mitten in der Verbindung anwendet – dem Verwahrer-Gedanken im Geist am nächsten, aber als gehosteter Dienst in deinem Verbindungspfad statt als Client, den du betreibst.
Die Headless-Option: eigenständige MCP-Server
Wenn du überhaupt keine GUI willst, sprechen mehrere eigenständige MCP-Server SSH. Der mit den meisten Sternen ist tufantunc/ssh-mcp (~800★, MIT, 14 Tools); seine v2 ergänzt Befehlsklassifizierung (read-only / safe / destructive / privileged), RBAC-Rollen (viewer / operator / admin), Freigabemodi und ein Audit-Log mit Schwärzung – ein so konfigurierter Server nimmt Richtlinien also ernster, als der Ruf des Musters vermuten lässt. Andere: mcp-ssh (AiondaDotCom), das deine ~/.ssh/config und known_hosts liest; SSH-MCP; Aegis (mit Zero-Trust-Note, mit Befehls-Firewalls); und mehr in den MCP-Verzeichnissen. Du konfigurierst Hosts und Schlüssel selbst, richtest Claude Desktop oder deinen Agenten auf den Server und bekommst Befehlsausführung und Dateiübertragung ohne visuelle Schicht.
Sie sind leichtgewichtig und skriptbar, und die guten nehmen Richtlinien ernst. Der Kompromiss ist struktureller Natur: Solange der Server nicht RBAC und Freigaben wie tufantuncs v2 ergänzt, leben die Zugangsdaten dort, wo der MCP-Server läuft, meist als blanke Schlüsseldateien in Reichweite des Agenten, und es gibt keinen geteilten Bildschirm, auf dem ein Mensch der Sitzung zusieht, während sie geschieht. Du prüfst im Nachhinein, aus Logs – falls Logging konfiguriert war.
Brücken zu einem Client, den du schon betreibst
Ein anderer Weg: kleine Server, die eine Terminal-App fernsteuern, die du schon nutzt. Für Termius gibt es drei – termius-mcp auf PyPI (MiaM1ku, BSD) meldet sich für SSH-Exec und SFTP in der Termius Cloud an; yapp/termius-mcp steuert die Terminals in einer laufenden Termius-Desktop-App über ihren Chrome-DevTools-Debug-Port (mit dem du Termius starten musst); Termius Session MCP (ItzGlace, nur Windows, MIT) teilt ein sichtbares Terminal und fragt bei jedem Schreibvorgang und jeder Ausgabefreigabe um In-App-Zustimmung. Für MobaXterm liest mobaxterm-mcp (bobzzgm) deine MobaXterm.ini-Sitzungen und führt SSH, SFTP und Log-Überwachung aus. Keines davon kommt vom Hersteller, und jedes ist nur so sicher wie das Terminal und der Debug-Port, auf die es sich stützt. Die Termius-Frage haben wir in Hat Termius einen MCP-Server? (auf Englisch) auseinandergenommen.
Gehostete Connectors: ein Agent in der Cloud, kein Desktop
Eine neuere Form beantwortet die Frage, die die Desktop-Clients oben nicht können: Was erreicht meine Server, wenn mein Laptop aus ist? browser-ssh (api.browserssh.com/mcp) ist ein entfernter MCP-Server, der in seinen Worten „scoped, audited SSH exec, sessions, and SFTP on saved servers without exposing credentials“ bietet und einem Agenten als URL hinzugefügt wird. sshrew (duriantaco) ist der selbstgehostete Zwilling: Die Kiste wählt sich über cloudflared hinaus, und du fügst die resultierende URL in Claudes Custom Connector ein, mit einer Liste erlaubter Befehle und einer nur lesenden Freigabe-Wurzel. Termalins gehosteter MCP-Endpoint gehört ebenfalls in diese Klammer; der Unterschied ist, dass er mit dem Desktop-Client gekoppelt ist, Server über einen ausgehenden Connector erreicht (kein eingehender Port, schlüssellos über kurzlebige Zertifikate), eine Befehlsrichtlinie pro Verbindung anwendet und in den Connector-Verzeichnissen von ChatGPT und Claude gelistet ist.
Wie man wählt
| Termalin | Conduit | XPipe | Gumpbox | VibeShell | Eigenständiger MCP | |
|---|---|---|---|---|---|---|
| Plattformen | Windows · macOS · Linux · iOS (+ Web/PWA) | macOS · Windows · Linux · iOS | Windows · macOS · Linux (+ Web) | nur Apple | Windows · macOS · Linux | überall headless |
| Agent arbeitet ohne die Desktop-App | Ja – gehosteter Endpoint | Nein (lokaler Socket) | Nein (lokales HTTP) | Nein | Nein | Ja (er ist headless) |
| Für den Agenten erreichbare Schlüssel | Nie (Verwahrer signiert) | Im Tresor, über Tresor-Tools lesbar | Im Client, lokal | In der Keychain | Gerätelokal, nicht Keychain-gestützt (laut README) | Meist blanke Schlüsseldateien |
| Agent live beobachten | Watch Grid, markierte Aufzeichnungen | MCP-Aufrufe protokolliert | — | Zustimmungsdialoge pro Aktion | Geteilte sichtbare Sitzungen | Nein |
| Sandboxed Ausführung auf dem Ziel | Nein | Nein | Nein | gVisor-Container | Nein | Unterschiedlich |
| Synchronisierung | E2E-verschlüsselt, eigenes Konto | Verschlüsseltes Cloud-Backup (Pro) | Git-basierter Tresor (eigenes Repo) | iCloud | DIY Gist/WebDAV | — |
| Open Source | Teils quelloffen | Apache-2.0 | Open-Core | Nein | MIT | Unterschiedlich |
| Preis | Kostenlos (ohne Host-Limit) + 8 $/Monat Pro | Kostenlos (1 Gerät) + 10 $/Monat Pro | Kostenlos / 5–10 $/Monat | Kostenlos (1 Server) + 19,99 $ einmalig | Kostenlos | Kostenlos |
Ehrliche Empfehlungen, auch gegen uns selbst:
- Ganz Apple, ein Server oder eine persönliche Flotte, Vorliebe für Einmalpreise → Gumpbox ist wirklich gut, und seine Sandbox ist die stärkste Abschottungsgeschichte hier.
- Eine Open-Source-App über SSH, RDP, VNC und Web, nur lokal → Conduit ist die stärkste Wahl, und der Client, den die meisten KI-Assistenten dafür schon nennen.
- Du lebst schon in Docker, Kubernetes und VMs → XPipes integrierter Server setzt einen Agenten auf alles, was es durchstöbert, nur lesend, bis du anders sagst.
- Du willst den Quellcode lesen und deine eigene Synchronisierung zusammenbauen → VibeShell, sobald du mit der Lizenzlage Frieden geschlossen und geprüft hast, wie deine Zugangsdaten gespeichert werden.
- Reine Headless-Automatisierung, bewusst ohne Menschen in der Schleife → ein eigenständiger MCP-Server mit strengen
authorized_keys-Beschränkungen ist das kleinste bewegliche Teil. - Maschinen mit gemischten Betriebssystemen, Agenten, die aus CI oder der Cloud laufen müssen, Schlüssel, die für den Agenten nie lesbar sein dürfen, oder ein Team, das einen Prüfpfad braucht → das ist die Ecke, für die wir Termalin gebaut haben.
Wohin diese Kategorie geht
Drei Vorhersagen, wo wir schon dabei sind: Die Zustimmungs-UX wird konvergieren (jedes Produkt oben erfindet die Freigabe pro Aktion unabhängig neu); „kann der Agent handeln, wenn mein Laptop zu ist“ wird Spielzeug von Infrastruktur trennen; und die Schlüsselverwahrung wird zur Linie, die Prüfer tatsächlich kontrollieren – „der Agent könnte den Schlüssel lesen, aber wir vertrauen ihm“ wird den Kontakt mit einem SOC-2-Review nicht überleben.
Termalin ist kostenlos und ohne Host-Limit unter Windows, macOS und Linux, dazu native Apps für iPhone, iPad und Apple Watch – lade es herunter, lies die MCP-Referenz oder sieh, wie Termalin an SSH für KI-Agenten herangeht, wenn dein Agent in der Cloud lebt.