n8n mit lokalem LLM: KI-Agenten on-premise auf vLLM oder Ollama, Tool-Aufrufe und Freigabeschritte

Den AI Agent von n8n mit einem lokalen LLM verbinden

n8n verbindet sich mit einem selbst gehosteten Modell über einen Sub-Node für das Chat-Modell, der am Node AI Agent hängt: das Ollama Chat Model für einen Ollama-Server, mit Zugangsdaten vom Typ Ollama, deren „Base URL“ standardmäßig http://localhost:11434 lautet, oder das OpenAI Chat Model für vLLM und andere Server mit OpenAI-kompatibler API. Seit n8n 1.82.0 arbeitet jeder Node AI Agent als Tools Agent, der seine Tools über die Tool-Calling-Schnittstelle von LangChain an das Modell übergibt; das Modell muss also Tool-Aufrufe erzeugen, die der Server parsen kann. Namen und Standardwerte entsprechen n8n 2.42.3, dem am 6. Oktober 2026 neuesten Release.

Die Zugangsdaten vom Typ OpenAI haben ein Feld „Base URL“, das in ihrer Dokumentation fehlt und das der Quellcode von n8n mit „Override the default base URL for the API“ beschreibt: Tragen Sie dort die /v1-Adresse von vLLM ein, etwa http://gpu01:8000/v1, und als „API Key“ den Schlüssel, mit dem vLLM gestartet wurde. Schalten Sie die Option „Use Responses API“ aus, die in Version 1.3 des OpenAI Chat Model standardmäßig aktiv ist, damit n8n die Chat-Completion-API nutzt, für die vLLM seine Tool-Optionen dokumentiert, und tragen Sie den Modellnamen ein, unter dem vLLM das Modell bereitstellt.

Weil in Docker „standardmäßig jeder Container sein eigenes localhost“ hat, setzt die Dokumentation von n8n für Ollama in einem separaten Container den Namen des Containers in die „Base URL“, etwa http://my-ollama:11434; aufgelöst wird dieser Name in einem benutzerdefinierten Docker-Netzwerk. Die Bibliothek von Ollama führt außerdem Cloud-Modelle auf, die „in der Cloud von Ollama“ laufen, und laut der FAQ von Ollama schaltet OLLAMA_NO_CLOUD=1 sie zusammen mit der Websuche ab. Eine n8n-Instanz teilt „ausgewählte, anonyme Telemetriedaten“ mit n8n, bis N8N_DIAGNOSTICS_ENABLED auf false gesetzt ist.

Tool Calling auf vLLM und Ollama: Flags, Parser und Modelle

Ein Agent überlässt die Wahl des Tools dem Modell; vLLM nennt das Auto Tool Choice. Die Dokumentation von vLLM kennzeichnet --enable-auto-tool-choice dafür als zwingend erforderlich, zusammen mit einem --tool-call-parser, der zur Modellfamilie passt und „verwendet wird, um den vom Modell erzeugten Tool-Aufruf in das OpenAI-API-Format zu parsen“.

Dokumentation zum Tool Calling und Parser-Registry von vLLM 0.31.0, Leitfaden von Qwen zum Function Calling sowie die Model Cards von gpt-oss-120b und Qwen3-Coder-Next, abgerufen am 6. Oktober 2026.

Der Parser wandelt nur die Ausgabe des Modells um; die Wahl von Tool und Argumenten bleibt beim Modell. Bei einem benannten Tool oder der Tool-Auswahl „required“ schränkt vLLM die Ausgabe mit Structured Outputs ein, die „einen gültig parsebaren Funktionsaufruf, keinen hochwertigen“ liefern. vLLM 0.31.0 ergänzt --tool-strict-level, das mit function Markup und Funktionsnamen jedes Tool-Aufrufs einschränkt und mit parameter zusätzlich dessen Argumente. Der Leitfaden von Qwen warnt, dass die Generierung womöglich nicht „immer dem Protokoll folgt, selbst mit geeignetem Prompting oder Templates“. Testen Sie Kandidaten in einem Pilotprojekt mit Ihren eigenen Tools und zählen Sie falsch gewählte Tools und fehlerhafte Argumente.

Bei Ollama braucht Tool Calling kein Server-Flag; es hängt vom Modell ab, und die Bibliothek von Ollama kennzeichnet Modelle, die Tools unterstützen. Die Standardwerte von Ollama für parallele Anfragen und Kontext weichen von denen von vLLM ab, wie unser Vergleich von vLLM, SGLang, TensorRT-LLM und Ollama zeigt.

Unsere Leistung Private AI/ML umfasst das Deployment offener und kommerzieller Modelle on-premise mit vLLM, Ollama oder NVIDIA AI Enterprise. Nennen Sie uns das Modell, das Ihre Workflows aufrufen sollen, und die Tools, die es brauchen wird.

Kontextlänge, Memory und Iterationsgrenzen

Jeder Schritt eines Agenten sendet die Systemnachricht, die Tool-Definitionen, das bisherige Gespräch und jedes Tool-Ergebnis an das Modell, sodass lange Tool-Ausgaben einen Kontext schnell füllen. Bei vLLM ist die Grenze --max-model-len, bei Ollama die Kontextlänge des Servers, und für Agenten empfiehlt die Dokumentation von Ollama mindestens 64.000 Token. Das Ollama Chat Model von n8n hat eine eigene Option „Context Length“, nach dem Hinzufügen standardmäßig 2.048 Token; geben Sie ihr also den Wert des Servers oder lassen Sie sie weg. Unser Leitfaden zu einem privaten Coding-Assistenten zeigt, wie weit Agenten-Prompts wachsen und wie viel GPU-Speicher eine Sitzung braucht. Die Option „Max Iterations“ des AI Agent, standardmäßig 10, begrenzt, wie oft das Modell für einen Prompt läuft.

Simple Memory übergibt standardmäßig die letzten fünf Interaktionen und hält sie im n8n-Prozess, wo der Quellcode von n8n eine Sitzung nach einer Stunde ohne Zugriff verwirft; im Queue-Modus „funktioniert es nicht in einem aktiven Produktiv-Workflow“. Postgres und Redis Chat Memory halten den Verlauf in einer Datenbank, etwa mit der Ticketnummer als Schlüssel.

Menschliche Freigabe, bevor ein Agent handelt

Im Tools Panel des AI Agent nimmt ein Abschnitt „Human review“ einen Freigabekanal und die Tools entgegen, die eine Freigabe brauchen, und „wenn ein Tool eine menschliche Prüfung erfordert, pausiert der Workflow und wartet auf eine Person“, die freigibt oder ablehnt. Die Freigabe führt das Tool „mit der von der KI angegebenen Eingabe“ aus; bei einer Ablehnung „wird die Aktion abgebrochen und die KI über die Ablehnung informiert“. Die Anfrage geht an den integrierten Chat von n8n, an Slack, Telegram, Gmail oder einen anderen von neun Kanälen, und die Nachricht kann $tool.name und $tool.parameters anzeigen. n8n rät, diese Tools und die Reaktion auf eine Ablehnung in der Systemnachricht zu benennen.

Im Workflow selbst haben Nodes wie Gmail eine Operation „Send and Wait for Approval“, bei der „Type of Approval“ auf „Approve Only“ oder „Approve and Disapprove“ steht. Die Freigabeschaltflächen dieser Operation sind Links, und die Slack-Dokumentation von n8n vermerkt zu solchen Schaltflächen, dass „jeder, der den Link hat, antworten kann und n8n nicht erkennen kann, wer geklickt hat“. In der Slack-Operation „Send and Wait for Response“ schaltet „Capture Who Responded“ auf die interaktiven Schaltflächen von Slack um, erfasst die freigebende Person und macht „Restrict Who Can Approve“ verfügbar, setzt aber voraus, dass die n8n-Instanz „von Slack aus über öffentliches HTTPS erreichbar“ ist. Send-and-Wait-Operationen und der Wait-Node, den n8n für „komplexere Freigaben“ vorschlägt, haben eine Option „Limit Wait Time“, die eine wartende Ausführung nach einer Frist fortsetzt; leiten Sie diesen Fall deshalb in den Zweig für Ablehnungen. Eine Freigabeanfrage über Slack oder Gmail verlässt Ihr Netz mit den Argumenten, die sie anzeigt; der integrierte Chat von n8n bleibt auf Ihrer Instanz.

Ein Ticket oder eine E-Mail kann Anweisungen enthalten, die sich an das Modell richten; Tools, die Systeme ändern, gehören deshalb hinter einen Prüfschritt, wie unser Artikel zu Prompt Injection und LLM-Sicherheit erklärt.

Zugangsdaten und was jedes Tool darf

Geben Sie jedem Tool eigene Zugangsdaten mit nur den Rechten, die seine Aufgabe braucht: ein Token nur mit Leserechten für Monitoring- und Ticketabfragen, ein separates Token für Ticketkommentare, einen SSH-Schlüssel für den Control Node von Ansible. n8n verschlüsselt Zugangsdaten, „bevor sie in der Datenbank gespeichert werden“, mit einem Schlüssel, den es beim ersten Start in ~/.n8n anlegt; setzen Sie ihn selbst mit N8N_ENCRYPTION_KEY, wie es der Queue-Modus für jeden Worker verlangt.

Das Teilen von Workflows, im selbst gehosteten n8n Teil der Pläne Business und Enterprise, „erlaubt Bearbeitern, alle im Workflow verwendeten Zugangsdaten zu nutzen“, auch solche, die nicht mit ihnen geteilt sind; beschränken Sie daher den Kreis der Bearbeiter eines Workflows, der Zugangsdaten mit Schreibrechten enthält. Externe Secrets, geladen aus einem Speicher wie HashiCorp Vault, sind eine Enterprise-Funktion.

Ab n8n 2.0 ist der Node Execute Command standardmäßig deaktiviert, und unter Docker würde er Befehle „im n8n-Container und nicht auf dem Docker-Host“ ausführen. Führen Sie Ansible stattdessen über den SSH-Node auf einem Control Node aus, mit einem Schlüssel, den die OpenSSH-Optionen restrict und command= an ein einziges Wrapper-Skript binden: sshd ignoriert den Befehl, den n8n sendet, und übergibt ihn in SSH_ORIGINAL_COMMAND, wo das Skript Playbook und Host gegen eine Allowlist prüft.

ITOps-Beispiel: ein Ansible-Runbook hinter einer Freigabe

Die Triage von Tickets braucht kein Tool mit Schreibzugriff: Der AI Agent liest das Ticket, ruft Tools mit reinem Lesezugriff wie ein HTTP Request Tool auf und gibt über einen Structured Output Parser Kategorie, Priorität und einen Antwortentwurf zurück, und ein gewöhnlicher Node HTTP Request schreibt sie in das Ticket. Ein Runbook, das einen Server ändert, ergänzt eine Prüfung und eine Freigabe:

1. Ein Webhook-Node mit „Header auth“ oder „JWT auth“ und einer IP-Allowlist nimmt den Alarm entgegen.
2. Der AI Agent fragt Tools mit reinem Lesezugriff ab und schlägt ein Playbook aus der Allowlist in seiner Systemnachricht vor, dazu den Zielhost und seine Begründung.
3. Der Workflow prüft den Vorschlag gegen die Allowlist, und der SSH-Node führt das Playbook auf dem Control Node mit --check --diff und --limit für diesen Host aus.
4. Eine Send-and-Wait-Nachricht zeigt der für das System verantwortlichen Person den Vorschlag und den Diff, mit den Schaltflächen „Approve“ und „Decline“.
5. Nach der Freigabe führt der SSH-Node das Playbook ohne --check aus; eine Ablehnung oder eine abgelaufene Wartezeit endet mit einem Ticketkommentar.
6. Ein Node HTTP Request schreibt das Ergebnis und die Ausführungs-ID von n8n in das Ticket.

Im Check-Modus läuft Ansible, „ohne Änderungen an entfernten Systemen vorzunehmen“, aber „Module, die den Check-Modus nicht unterstützen, melden nichts und tun nichts“, sodass der Diff die Änderung kleiner darstellen kann, als sie ist. Ein Task mit check_mode: false ändert das System auch unter --check; prüfen Sie die Playbooks auf der Allowlist also darauf, und diff: false hält Secrets im Diff eines Tasks aus der Freigabenachricht heraus. Wo der Agent selbst während eines Laufs handeln muss, stellen Sie dieses Tool hinter einen Schritt „Human review“.

Dokumentation von n8n, Seite von Ansible zum Check-Modus (aktualisiert am 5. Oktober 2026) und Handbuchseite zu sshd von OpenSSH, abgerufen am 6. Oktober 2026.

Agenten-Workflows und ITOps-Automatisierung mit n8n und Ansible gehören zu unserer Leistung Private AI/ML. Beschreiben Sie im Formular unten die erste Routineaufgabe, die Sie einem Agenten übergeben würden, und wer sie heute freigibt.

Protokollierung: was n8n und vLLM aufbewahren

n8n speichert jede Ausführung, ob erfolgreich oder fehlgeschlagen, mit der Ein- und Ausgabe jedes Nodes, die des Agenten eingeschlossen. Standardmäßig werden Ausführungen gelöscht, die älter als 336 Stunden sind (EXECUTIONS_DATA_MAX_AGE), und höchstens 10.000 aufbewahrt (EXECUTIONS_DATA_PRUNE_MAX_COUNT); setzen Sie das Alter also auf Ihre Aufbewahrungsfrist, mit einer Anzahl, die diese Frist abdeckt, oder kopieren Sie, was aufbewahrt werden muss, in das Ticket. Log-Streaming, eine Enterprise-Funktion, sendet Ereignisse wie „Tool called“ und „LLM generated“ an einen Syslog-Server, einen Webhook oder Sentry.

vLLM schreibt standardmäßig keine Prompts in sein Log, weil --enable-log-requests ausgeschaltet ist; eingeschaltet protokolliert es Request-IDs und Parameter auf der Stufe INFO und Prompts nur auf DEBUG. Ein Gateway vor vLLM gibt jedem Workflow oder Frontend einen eigenen Schlüssel und ein eigenes Anfrageprotokoll, wie unser Leitfaden zu einer privaten LLM-Plattform auf Kubernetes beschreibt.

Die Lizenz von n8n: Sustainable Use License und interne Nutzung

n8n verwendet nach eigener Angabe zwei Lizenzen („uses the Sustainable Use License and n8n Enterprise License“), und die erste, die Sustainable Use License, lautet: „You may use or modify the software only for your own internal business purposes or for non-commercial or personal use.“ Nutzung und Änderung der Software sind demnach nur für eigene interne Geschäftszwecke oder für nicht kommerzielle oder private Zwecke erlaubt. Die Lizenz-FAQ von n8n ergänzt: „If workflows are only created or modified by you or people in your organization, you can use n8n under the Community license …“, das heißt, wenn nur Sie oder Personen Ihrer Organisation Workflows erstellen oder ändern, können Sie n8n unter der Community-Lizenz nutzen. Die Lizenzseite von n8n erlaubt außerdem Beratungs- und Supportleistungen „(e.g. building n8n workflows) without the need for a separate license agreement“, also etwa das Erstellen von n8n-Workflows, ohne dass ein gesonderter Lizenzvertrag nötig ist.

Die FAQ schließt aus, n8n für Kunden zu hosten, damit diese Workflows bauen, externe Endnutzer über Ihr Produkt Workflows bauen oder konfigurieren zu lassen, „whether via a custom UI, our API, MCP, or an AI agent acting on the user’s behalf“, also gleich ob über eine eigene Oberfläche, die API von n8n, MCP oder einen im Auftrag des Nutzers handelnden KI-Agenten, und n8n per White-Labeling unter eigener Marke anzubieten. Dateien mit .ee. im Namen fallen unter die n8n Enterprise License, und SSO, Log-Streaming, externe Secrets, Projekte und das Teilen sind kostenpflichtige Funktionen. n8n bezeichnet sich nicht als Open Source und erklärt, dass nach der Open Source Initiative „open source licenses can’t include limitations on use“, Open-Source-Lizenzen also keine Nutzungsbeschränkungen enthalten dürfen. Ob eine geplante Nutzung als interne Geschäftsnutzung gilt, ist eine rechtliche Bewertung für Ihre Rechtsabteilung.

Was wir tun

Unsere Leistung Private AI/ML umfasst Agenten-Workflows und ITOps-Automatisierung mit n8n und Ansible, sodass Routineabläufe nach Regeln laufen, die Sie kontrollieren. Die Modelle laufen entweder on-premise mit vLLM, Ollama oder NVIDIA AI Enterprise oder auf dedizierter Hardware in einem Tier-3-Rechenzentrum in Litauen; nichts geht an öffentliche APIs, bis Sie selbst den Hybridmodus für eine konkrete Aufgabe freigeben, und Anfragen und Antworten werden protokolliert. Wir starten mit einem Pilotprojekt auf einem Prozess mit klaren Metriken und skalieren nur, was seinen Wert bewiesen hat. Eurokommerz hält den Vertrag und liefert die Hardware, das Engineering kommt von unserem Engineering-Partner Vixen.UNO; das erste Gespräch ist kostenlos, und der Preis des technischen Assessments steht vor Beginn fest. Wie wir während des Projekts mit Daten umgehen, beschreibt unsere Seite Sicherheit & Compliance.

FAQ