Alternativen zu Anchore

Wir entwickeln CRACI, berücksichtigen Sie das; wir beschreiben jede Option anhand ihrer eigenen Dokumentation und sagen, wann ein anderes Tool besser passt.

Warum Teams über Anchore hinausschauen

Zuerst zu den Namen, denn sie sind hier wichtig. Anchore entwickelt zwei Open-Source-Tools, Syft (SBOM-Generierung) und Grype (Schwachstellenscans), beide unter Apache 2.0. Anchore Enterprise ist die separate kommerzielle Plattform, die laut Anchore „auf den Open-Source-Tools Syft und Grype aufbaut“. Diese Seite behandelt Alternativen zu Anchore Enterprise.

Falls Sie wegen Anchore Engine hier sind, dem älteren Open-Source-Dienst: Laut README wird er seit 2023 nicht mehr gepflegt, und das Repository wurde am 24. März 2026 archiviert. Anchore verweist seine Nutzer auf Syft und Grype oder auf Anchore Enterprise.

Anchore Enterprise macht vieles gut. Es erstellt SBOMs für Container, Quellcode und Dateisysteme, importiert anderswo erstellte SBOMs, scannt gespeicherte SBOMs ohne das ursprüngliche Artefakt neu und setzt Policy-Packs für FedRAMP, NIST, CIS, PCI DSS und CMMC durch. Es läuft auf Ihrem eigenen Kubernetes oder Docker Compose, auch in air-gapped Installationen, und lässt sich mit GitHub, GitLab, Jenkins, AWS CodeBuild und Azure Pipelines integrieren.

Teams vergleichen trotzdem Alternativen, meist aus Gründen des Umfangs und der Passung:

• Woher die SBOM stammt. Die SBOMs von Anchore beschreiben, was ein Scanner in einem Image oder einem Verzeichnis findet. Manche Teams wollen einen Nachweis dessen, was der Build geladen hat.
• Ein anderer Schwerpunkt. Lizenz-Compliance, das Einsammeln von Lieferanten-SBOMs oder das Teilen von SBOMs mit Kunden ist Ihnen womöglich wichtiger als Container-Richtlinien.
• Betriebsmodell. Vielleicht wollen Sie eine kostenlose, selbst gehostete Open-Source-Plattform oder einen verwalteten Dienst statt eines, den Sie selbst betreiben.
• Preise. Anchore Enterprise gibt es zu Preisen auf Anfrage (Stand September 2026). Manche Teams bevorzugen einen veröffentlichten Preis.

Worauf es ankommt

• Wie die SBOM entsteht: aus Dateien gescannt, aus dem Quellcode analysiert oder aus dem Build aufgezeichnet.
• Ob das Tool Ihnen sagt, wann eine SBOM unvollständig ist, und nicht nur, wann sie falsch formatiert ist.
• Annahme von Lieferanten-SBOMs, VEX und das Teilen mit Kunden oder Behörden.
• Lizenz-Richtlinien und Attribution, wenn Ihre Rechtsabteilung darauf angewiesen ist.
• Selbst-Hosting, Air-Gap und die CI-Systeme, die Sie betreiben.

Die Optionen

1. CRACI (unser Produkt)

CRACI ist ein GitHub-Actions-Runner, der die SBOM aufzeichnet, während der Build läuft. Ein paketbewusster Proxy erfasst den Datenverkehr zu den Paketquellen, auch für Pakete aus CI-Caches, und jede SBOM trägt einen Vollständigkeitsstatus pro Job und pro Cache. CRACI setzt eine Egress-Richtlinie durch, die im Zweifel blockiert (fail closed), und bewertet überwachte SBOMs laufend neu. Es exportiert CycloneDX und SPDX, was Anchore Enterprise importieren kann. Die Inventaransicht von CRACI zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit.

Ideal für: Teams auf GitHub Actions, die zeigen müssen, woraus jedes Release gebaut wurde. In Betracht ziehen, wenn: Sie auf das verzichten können, was CRACI nicht tut: Images scannen, die Sie nicht gebaut haben, Policy-Packs, Selbst-Hosting (vom Kunden gehostete Runner sind für Enterprise auf der Roadmap) und andere CI-Systeme als GitHub Actions (GitLab CI und Jenkins sind auf der Roadmap). CRACI vs. Anchore

2. FOSSA

FOSSA begann mit Lizenz-Compliance: Volltext-Lizenzerkennung, automatische Richtlinien, Extraktion von Copyright-Angaben und Attributionshinweise. Es erzeugt SPDX- und CycloneDX-SBOMs, optional mit VDR oder VEX, importiert Lieferanten-SBOMs mit Richtlinien für die Mindestelemente von NTIA und FDA und teilt SBOMs im Enterprise-Plan über ein SBOM Portal.

Ideal für: Teams, bei denen das Lizenzrisiko gleich neben der Sicherheit steht. In Betracht ziehen, wenn: die Abrechnung pro Projekt passt; es gibt einen kostenlosen Plan für 5 Projekte, und Business kostet $20 pro Projekt und Monat bei jährlicher Abrechnung (Stand September 2026). CRACI vs. FOSSA

3. Cybeats SBOM Studio

SBOM Studio bezeichnet sich selbst als „das SBOM-System of Record“. Es speichert SBOMs Ihrer Produkte und Lieferanten von SPDX 2.2 bis 3.0.1 und CycloneDX 1.2 bis 1.7, prüft sie vor dem Import mit einem Quality Score, gleicht jede Komponente laufend ab und erzeugt VEX. Es teilt SBOMs mit Kunden, auch über die Transparency Exchange API.

Ideal für: Produktsicherheitsteams in Branchen wie ICS und OT, Medizintechnik, Telekommunikation und Automotive. In Betracht ziehen, wenn: Sie einen separaten Weg zur SBOM-Erzeugung haben; Cybeats verweist dafür auf Anbieter in seinem Marketplace. CRACI vs. Cybeats

4. Manifest

Manifest erstellt und importiert SBOMs für Ihre eigenen Produkte, die Software Ihrer Anbieter und Ihre KI-Modelle, reichert sie an und teilt sie. Anbieter laden SBOMs über ein Portal hoch, und wenn sie keine liefern können, kann Manifest sie aus der kompilierten Binärdatei erzeugen. Befunde werden zu Tickets, Lieferantenanfragen und Risikoberichten.

Ideal für: Organisationen, deren größtes Risiko zugekaufte Software ist. In Betracht ziehen, wenn: Sie eine andere Erzeugungsmethode wollen; die GitHub Action von Manifest führt standardmäßig Syft aus, ganz ähnlich wie Anchore. CRACI vs. Manifest

5. Dependency-Track (Open Source)

OWASP Dependency-Track ist eine kostenlose Plattform unter Apache 2.0, die Komponenten über jede Version jeder Anwendung in Ihrem Portfolio hinweg verfolgt. Sie bezieht Schwachstellendaten aus Quellen wie der NVD und GitHub Advisories, hat eine Policy-Engine für Sicherheits-, Lizenz- und Betriebsregeln und verarbeitet und erzeugt CycloneDX-VEX.

Ideal für: Teams, die eine transparente, selbst gehostete SBOM-Plattform ohne Lizenzgebühr wollen. In Betracht ziehen, wenn: Sie bereit sind, sie zu betreiben und zu befüllen; sie analysiert die SBOMs, die Sie hochladen, und erzeugt keine. CRACI für Dependency-Track-Nutzer

6. Trivy (Open Source)

Trivy ist ein kostenloser Scanner unter Apache-2.0 für Container-Images, Dateisysteme, Repositories, VM-Images und Kubernetes. Er findet Schwachstellen, Fehlkonfigurationen, Secrets und Lizenzen, schreibt CycloneDX- und SPDX-SBOMs und scannt vorhandene SBOMs mit trivy sbom.

Ideal für: Teams, die kostenlose Image- und SBOM-Scans plus IaC- und Secret-Prüfungen in einer einzigen Binärdatei wollen. In Betracht ziehen, wenn: Sie ohne zentrale Plattform auskommen; Ergebnisspeicherung, Richtlinien und Überwachung müssen Sie selbst bauen. CRACI vs. Trivy

7. Snyk Container

Snyk Container scannt Container-Images und die darin enthaltenen Open-Source-Abhängigkeiten, empfiehlt Basis-Images mit weniger Schwachstellen und überwacht Kubernetes-Workloads. Es verbindet sich mit Registries wie Docker Hub, Amazon ECR, Azure ACR, Google GCR, Artifactory, Harbor und Red Hat Quay und priorisiert Befunde nach Exploit-Reife und Workload-Konfiguration. Es ergänzt die Code-, Abhängigkeits- und IaC-Scans von Snyk.

Ideal für: Entwickler, die Empfehlungen für Basis-Image-Upgrades im selben Tool wie ihre anderen Scans wollen. In Betracht ziehen, wenn: die Abrechnung pro Entwickler passt; Snyk hat einen Free-Plan, Team ab $25 pro Monat und einen Enterprise-Plan (Stand September 2026). CRACI vs. Snyk

8. Docker Scout

Docker Scout analysiert Container-Images: Es stellt eine SBOM ihrer Komponenten zusammen und gleicht sie mit einer laufend aktualisierten Schwachstellendatenbank ab. Sie nutzen es über Docker Hub, die Docker CLI und das Docker Scout Dashboard, und es lässt sich mit GitHub Actions, GitLab, Azure DevOps Pipelines, CircleCI und Jenkins sowie mit OCI-Registries wie Amazon ECR, Azure Container Registry, JFrog Artifactory, Harbor und Sonatype Nexus integrieren.

Ideal für: Teams, die Images bereits mit den Tools von Docker bauen und speichern. In Betracht ziehen, wenn: der Plan zu Ihrer Zahl an Repositories passt; Stand September 2026 enthält der kostenlose Personal-Plan 1 Scout-fähiges Repository und Pro 2, während Team, für $15 pro Nutzer und Monat bei jährlicher Abrechnung, und Business unbegrenzt viele Repositories enthalten.

9. Chainguard

Chainguard geht den anderen Weg zu weniger Befunden in Images: Es baut Open-Source-Software aus dem Quellcode und liefert sie gehärtet aus. Seine Container-Images, die es als Zero-CVE bezeichnet, kommen mit einer signierten SBOM und SLSA-Provenienz, und Kunden mit einem Auftrag sagt es zu, kritische CVEs innerhalb von 7 Tagen und andere Schweregrade innerhalb von 14 Tagen nach einem qualifizierenden Patch zu beheben. Außerdem bietet es neu gebaute Sprachbibliotheken, VM-Images und gehärtete GitHub Actions.

Ideal für: Teams, die lieber mit sauberen Basis-Images starten, als Scan-Ergebnisse zu sichten. In Betracht ziehen, wenn: Sie auf seine Images umsteigen können; fünf sind kostenlos, und Katalogpreise beginnen bei $19K für ein Team von 10 (Stand September 2026). CRACI und Chainguard

Im direkten Vergleich

„Anchore“ steht für Anchore Enterprise. „Keine Angabe“ bedeutet, dass die Funktion in der Dokumentation des Anbieters nicht beschrieben ist, nicht, dass sie fehlt. Die Tabelle umfasst die SBOM-Plattformen; Snyk Container, Docker Scout und Chainguard sind oben beschrieben.

Eine Anmerkung zu gescannten SBOMs

Die meisten Optionen hier erzeugen SBOMs per Scan oder sind auf einen vorgeschalteten Scanner angewiesen. Ein Scanner meldet, was die Dateien vor ihm deklarieren. Ein Repository ohne eingechecktes Lockfile gibt ihm nichts aufzulösen, und welche Cataloger laufen, ist eine Einstellung und keine Eigenschaft des Projekts. So kann dasselbe Tool in derselben Version aus demselben Checkout sehr unterschiedliche Listen liefern. Das sagt mehr über das Scannen als Methode als über ein einzelnes Tool. CRACI lässt sich auf diese Weise gar nicht vergleichen, weil es Builds aufzeichnet und kein Verzeichnis scannen kann.

Wann Sie bei Anchore bleiben sollten

• Sie scannen viele Container-Images über mehrere CI-Systeme hinweg, nicht nur in GitHub Actions.
• Sie brauchen fertige Policy-Packs für FedRAMP, NIST, CIS, PCI DSS oder CMMC.
• Sie müssen selbst hosten, auch in einem air-gapped Netzwerk.
• Sie nutzen bereits Syft und Grype und wollen die Enterprise-Schicht von denselben Maintainern. Wenn Sie nur Erzeugung und Abgleich brauchen, reichen die kostenlosen Tools womöglich allein: CRACI vs. Syft und Grype.

Mehr zur Aufzeichnung von SBOMs an der Quelle finden Sie unter SBOM-Generierung im Build und CRA-Compliance.

Alternativen zu Anchore: FAQ

Kurze Antworten auf die Fragen, die Teams beim Vergleichen stellen

Wofür wird Anchore verwendet?

Mit Anchore werden SBOMs erzeugt und auf Schwachstellen gescannt, überwiegend für Container-Images. Die kostenlosen Open-Source-Tools sind Syft, das SBOMs erzeugt, und Grype, das nach Schwachstellen scannt. Anchore Enterprise baut darauf auf, um SBOMs über ein Portfolio hinweg zu verwalten, gespeicherte SBOMs neu zu scannen und Policy-Packs für FedRAMP, NIST, CIS, PCI DSS und CMMC durchzusetzen, selbst gehostet oder air-gapped.

Ist Grype kostenlos?

Ja. Grype ist Open Source unter Apache-2.0, ebenso Syft. Anchore Enterprise, die darauf aufbauende kommerzielle Plattform, gibt es zu Preisen auf Anfrage (Stand September 2026).

Was ist Anchore Grype?

Grype ist der Open-Source-Schwachstellenscanner von Anchore für Container-Images, Dateisysteme und SBOMs. Er deckt Betriebssystempakete und Sprachen wie Java, JavaScript, Python, .NET, Go, PHP, Ruby und Rust ab, priorisiert mit EPSS- und KEV-Daten und unterstützt OpenVEX zum Filtern der Ergebnisse. Er wird mit Syft kombiniert, das die SBOM erzeugt.

Wird Anchore Engine noch gepflegt?

Nein. Laut README wird Anchore Engine seit 2023 nicht mehr gepflegt, und es erscheinen keine weiteren Versionen; das GitHub-Repository wurde am 24. März 2026 archiviert. Anchore verweist auf Syft und Grype oder auf Anchore Enterprise für eine Plattform mit Support.

Welche guten Tools für Containersicherheit gibt es neben Anchore?

Zum Scannen von Images sind Trivy und Grype kostenlos, Snyk Container und Docker Scout sind kommerziell mit kostenlosen Stufen. Wer mit Images mit weniger CVEs starten will, findet bei Chainguard gehärtete Images. Um aufzuzeichnen, was Ihre eigenen Builds geladen haben, Basis-Images eingeschlossen, zeichnet CRACI die SBOM auf, während ein GitHub-Actions-Build läuft.