DefectDojo-Alternativen

Wir entwickeln CRACI, bitte berücksichtigen Sie das; wir beschreiben jede Option anhand ihrer eigenen Dokumentation und sagen, wann ein anderes Tool besser passt.

Warum Teams über DefectDojo hinausschauen

DefectDojo ist eine Open-Source-Plattform für Schwachstellenmanagement und ein OWASP-Flagship-Projekt, mit einer kommerziellen Edition von DefectDojo Inc. in Austin, Texas. Die Website nennt mehr als 500 unterstützte Tools, und DefectDojo bereinigt deren Ergebnisse in einer einzigen Warteschlange mit Verantwortlichen, SLAs und Jira-Tickets. DefectDojo Pro ergänzt Locations, ein Asset-Modell auf Komponentenebene, das CycloneDX- und SPDX-SBOMs importiert, und die PSIRT Advisory Engine, die Advisory-Feeds mit diesen SBOM-Daten abgleicht, die Ergebnisse zu Fällen gruppiert und Advisories als PDF im eigenen Branding veröffentlicht. Die Community Edition ist unter der BSD-3-Clause-Lizenz kostenlos.

Teams vergleichen trotzdem Alternativen, meist aus einem dieser Gründe:

• Die SBOM ist der Schwachpunkt. DefectDojo erzeugt keine SBOMs. Der Abgleich von Advisories hängt von den SBOM-Daten ab, die Sie laden, und die sind nur so vollständig wie der Generator, der sie erstellt hat.
• Produkte, nicht Anwendungen. Gerätehersteller brauchen oft Binär- und Firmware-Analyse oder SBOMs aus dem, was sie von Lieferanten erhalten, statt einer Warteschlange für Befunde.
• Skalierung und Automatisierung. Manche großen Programme wollen eine Exposure-Management-Plattform mit mehr Korrelation und KI-Agents über den gebündelten Befunden.
• Umfang der Open-Source-Version. Die SBOM-Funktionen und die PSIRT Advisory Engine sind in Pro, und laut DefectDojo werden rollenbasierte Zugriffskontrolle und SSO in der Open-Source-Edition v3 nicht unterstützt.

Worauf Sie achten sollten

• Woher die Komponentenliste stammt: vom Tool erzeugt, importiert oder aus dem Build aufgezeichnet.
• Ob das Tool Ihnen sagt, wie vollständig eine SBOM ist.
• Ob Sie eine Warteschlange für jeden Scanner brauchen oder eine Aufzeichnung dessen, was jedes Produkt enthält.
• Wie ein neues Advisory den Produkten und Releases zugeordnet wird, die es betrifft, und wie schnell.
• VEX-, Sichtungs- und Zuständigkeits-Workflows, falls Ihr PSIRT heute darin arbeitet.
• Wer es betreibt und wie die Preise skalieren.

Die Optionen

1. CRACI (unser Produkt)

CRACI bündelt keine Befunde. Es ist ein mit GitHub Actions kompatibler Runner: Sie ändern runs-on auf craci, und ein paketbewusster Proxy zeichnet auf, was jeder Job aus Paketquellen lädt, einschließlich Paketen aus CI-Caches und versteckten Abhängigkeiten, die in keinem Lockfile stehen. Die SBOM, als CycloneDX oder SPDX, entsteht aus dieser Aufzeichnung, mit einem Vollständigkeitsstatus pro Job und pro Cache.

CRACI bewertet überwachte SBOMs laufend neu, führt Befunde über Builds und Repositories hinweg zusammen, unterstützt VEX und lässt Sicherheitsteams Befunde sichten und jeden an das Team weiterleiten, das für die Behebung zuständig ist. Die Build-Historie zeigt, welche früheren Builds innerhalb Ihres Aufbewahrungszeitraums eine verwundbare Abhängigkeit enthielten, und die Inventaransicht zeigt, welche Softwareversionen in welchen Produkten im Einsatz sind. Sie können Hersteller-SBOMs hinzufügen, und weil CRACI den Job ausführt, setzt es eine Egress-Richtlinie durch, die im Zweifel blockiert (fail closed).

Ideal für: Teams, deren größtes Risiko in den Abhängigkeiten der Software liegt, die sie auf GitHub Actions bauen, und die Build, SBOM und Schwachstellenverfolgung an einem Ort wollen. Sinnvoll, wenn: Sie SAST-, DAST- und Cloud-Befunde woanders behalten können; CRACI importiert keine Ergebnisse anderer Scanner, bietet keine Erreichbarkeitsanalyse und unterstützt heute nur GitHub Actions; GitLab CI und Jenkins sind auf der Roadmap. CRACI vs. DefectDojo

2. OWASP Dependency-Track

Dependency-Track ist Open Source unter der Apache-2.0-Lizenz. Es verfolgt die Nutzung von Komponenten über jede Version jeder Anwendung in einem Portfolio hinweg, bezieht Schwachstelleninformationen aus Quellen wie der NVD und den GitHub Advisories, wendet Sicherheits-, Lizenz- und Betriebsrichtlinien an und verarbeitet und erzeugt CycloneDX-VEX. Pipelines laden SBOMs über die API hoch; Dependency-Track erzeugt sie nicht.

Ideal für: Teams, die DefectDojo vor allem für Abhängigkeitsbefunde nutzen und eine kostenlose, selbst gehostete Plattform rund um SBOMs wollen. Sinnvoll, wenn: Sie es gern selbst betreiben und den eingehenden SBOMs bereits vertrauen. CRACI vs. Dependency-Track

3. ArmorCode

ArmorCode bezeichnet sich als „Agentic AI Platform for Unified Exposure Management“. Es vereint Befunde aus Hunderten von Sicherheitstools (laut Startseite über 400 Integrationen), korreliert sie mit Assets, Code-Repositories, Cloud-Ressourcen und Zuständigkeiten und setzt KI-Agents wie einen Vulnerability Researcher, einen Remediation Helper und einen Zero-Day Hunter für Sichtung und Behebung ein. Das Lieferkettenmodul konsolidiert Komponenten aus Ihren SBOMs. Zu den auf der Website genannten Kunden gehören Visa, PayPal und Jaguar Land Rover.

Ideal für: große Sicherheitsprogramme, die einem selbst gehosteten Aggregator entwachsen sind und kommerzielle Korrelation und Automatisierung über Befunde aus Anwendungen, Cloud und Infrastruktur wollen. Sinnvoll, wenn: ein Kauf auf Angebotsbasis zu Ihnen passt; ArmorCode veröffentlicht keine Preise.

4. Cybellum

Cybellum ist eine Produktsicherheitsplattform für Gerätehersteller in Automotive, Medizintechnik und industrieller Fertigung. Es erstellt SBOMs laut Cybellum „durch die Kombination von Daten aus Binärscannern, Quellcode und externen SBOM-Quellen in den Formaten SPDX, CycloneDX oder CPE-CSV“, sichtet Schwachstellen und übernimmt Befunde aus Threat Models, Pentests und Fuzz-Tests. Das Incident-Response-Modul überwacht Schwachstellen-Feeds, gibt dem Team eine Arbeitsumgebung für Untersuchungen und Tickets und teilt den Schwachstellenstatus „über VEX/CSAF-Berichte“. Das Compliance-Modul deckt FDA PMA, ISO 21434 und den CRA ab.

Ideal für: PSIRTs bei Geräteherstellern, die SBOMs, Schwachstellenmanagement und Untersuchungen in einer Produktsicherheitsplattform wollen. Sinnvoll, wenn: Ihre Produkte vernetzte Geräte und keine Web-Services sind; Cybellum veröffentlicht keine Preise.

5. Finite State

Finite State analysiert Firmware, Binärdateien, Quellcode und Lieferanten-SBOMs, laut Finite State mit „Unterstützung für über 50 binäre Befehlssatzarchitekturen“, und führt sie in einem System of Record für ausgelieferte Software zusammen. Es ordnet Befunde nach Erreichbarkeit und Exploit-Informationen, hält VEX-Entscheidungen fest, bietet „Überwachung nach Markteinführung mit lebenden SBOMs“ und ordnet Nachweise den Kontrollen von CRA und FDA zu. Es bindet Prüfungen in GitHub Actions, GitLab CI und Jenkins ein.

Ideal für: Hersteller vernetzter Geräte, die in Firmware von vielen Lieferanten hineinsehen müssen, mit weniger Rauschen durch nicht erreichbare Befunde. Sinnvoll, wenn: ein Kauf auf Angebotsbasis zu Ihnen passt; Finite State veröffentlicht keine Preise. CRACI vs. Finite State

6. ONEKEY

ONEKEY ist eine Plattform für Produkt-Cybersicherheit und Compliance für vernetzte Geräte. Es analysiert kompilierte Firmware, ohne dass laut ONEKEY „Quellcode oder Netzwerkzugriff nötig“ sind, erzeugt eine SBOM aus der Binärdatei, importiert Lieferanten-SBOMs, exportiert CycloneDX und SPDX und analysiert hochgeladene Firmware täglich neu. Die Zero-Day-Analyse sucht nach Problemen wie fest codierten Zugangsdaten, und der Compliance Wizard deckt den CRA, IEC 62443-4-2, ETSI EN 303 645 und die Radio Equipment Directive ab.

Ideal für: Gerätehersteller, die Firmware analysieren müssen, die sie nicht selbst gebaut haben. Sinnvoll, wenn: Sie im Image selbst Befunde über bekannte CVEs hinaus wollen. CRACI vs. ONEKEY

Im direkten Vergleich

„Keine Angabe“ bedeutet, dass wir es auf den öffentlichen Seiten des Anbieters nicht finden konnten, nicht, dass es fehlt. ONEKEY ist oben beschrieben und nicht in der Tabelle enthalten. Mit Pro markierte Zellen bei DefectDojo gelten für DefectDojo Pro, nicht für die Community Edition.

DefectDojo vs. Dependency-Track

Beide sind kostenlose Open-Source-Projekte der OWASP und werden oft verwechselt. Sie setzen bei unterschiedlichen Eingaben an:

• DefectDojo setzt bei Scanner-Ergebnissen an. Es importiert Befunde aus SAST-, DAST-, SCA-, Cloud- und Container-Tools, bereinigt Duplikate und verfolgt die Behebung. SBOM-Import und Advisory-Abgleich sind in Pro.
• Dependency-Track setzt bei SBOMs an. Es analysiert die hochgeladenen CycloneDX-SBOMs anhand von Schwachstellenquellen und wendet Richtlinien über ein Portfolio hinweg an.

Keines von beiden erzeugt die SBOM oder zeichnet auf, was Ihr Build geladen hat. Diese Lücke schließt CRACI für Software, die Sie auf GitHub Actions bauen.

Für PSIRT-Teams

Die erste Frage in den meisten PSIRT-Fällen lautet, welche Produkte und Versionen die betroffene Komponente enthalten. DefectDojo Pro, Cybellum und Finite State beantworten sie aus SBOM-Daten und Analysen innerhalb ihrer Plattformen. CRACI beantwortet sie aus einer Aufzeichnung dessen, was jeder Build geladen hat, mit Build-Historie und einem Inventar dessen, was wo im Einsatz ist. Lesen Sie was ein PSIRT tut, CRACI für PSIRT-Teams und PSIRT-Tools im Vergleich.

Für regulierte Produkte automatisiert CRACI einen erheblichen Teil der Transparenz und der Nachweise zur Software-Lieferkette, die Unternehmen für ihren übergreifenden CRA-Compliance-Prozess brauchen. Kein Tool auf dieser Seite macht ein Produkt allein compliant.

Wann Sie bei DefectDojo bleiben sollten

• Es ist die eine Warteschlange, in der die Ergebnisse all Ihrer Scanner zusammenlaufen, und Sie verlassen sich auf die Duplikatbereinigung.
• Sie wollen eine kostenlose Open-Source-Plattform, die Sie selbst hosten.
• Sie sind auf die PSIRT Advisory Engine für Advisory-Feeds, Fälle und PDF-Advisories neben Ihren Befunden angewiesen.

Mehr dazu unter SBOM-Generierung während des Builds, Tools für Schwachstellenmanagement im Vergleich und Dependency-Track-Alternativen.

DefectDojo-Alternativen: häufig gestellte Fragen

Kurze Antworten auf die Fragen, die Teams beim Vergleichen stellen

Was ist DefectDojo?

DefectDojo ist eine Open-Source-Plattform für Schwachstellenmanagement und ein OWASP-Flagship-Projekt. Sie importiert Ergebnisse von Sicherheitstools wie SAST-, DAST-, SCA-, Cloud- und Container-Scannern, bereinigt Duplikate in einer einzigen Warteschlange und verfolgt die Behebung. Die Community Edition ist unter der BSD-3-Clause-Lizenz kostenlos; DefectDojo Pro von DefectDojo Inc. ergänzt SBOM-Verwaltung, eine PSIRT Advisory Engine und eine gehostete oder selbst gehostete Bereitstellung.

Ist DefectDojo kostenlos?

Die Community Edition ist kostenlos und Open Source. DefectDojo Pro kostet bei nutzungsabhängiger Abrechnung $100 pro Monat plus $0.15 pro verarbeitetem Befund, mit Rabatten bei jährlicher Vorauszahlung (Stand Oktober 2026). SBOM-Verwaltung in Locations und die PSIRT Advisory Engine sind Funktionen von Pro.

Erzeugt DefectDojo SBOMs?

Nein. Laut seiner Dokumentation erzeugt DefectDojo selbst keine SBOMs. Pro importiert CycloneDX- und SPDX-Dateien, die Sie hochladen, und exportiert CycloneDX oder SPDX sowie Befundstatus als CycloneDX-VEX. Die SBOM stammt weiterhin von einem Generator irgendwo vorgelagert oder von einem Lieferanten.

Was ist die PSIRT Advisory Engine von DefectDojo?

Eine Funktion von DefectDojo Pro, eingeführt im April 2026. Sie nimmt Advisories aus Feeds wie CISA KEV, der NVD, der EUVD, Red Hat und Exploit-DB auf, gleicht sie mit SBOM-Daten oder eigenen Asset-Regeln ab, priorisiert sie nach CVSS, EPSS und KEV-Status, gruppiert sie zu Fällen mit Verantwortlichen und veröffentlicht Advisories als PDF im eigenen Branding. Das Release vom September 2026 ergänzte den Export von Advisories als CSAF 2.0 und VEX sowie eine Meldeschnittstelle nach Artikel 14 des CRA.

Kann CRACI DefectDojo ersetzen?

Für die Abhängigkeiten von Software, die Sie auf GitHub Actions bauen, ja: CRACI führt den Build aus, zeichnet die SBOM aus dem auf, was er geladen hat, überwacht sie auf neue Schwachstellen und lässt Sicherheitsteams Befunde sichten und weiterleiten. Es importiert keine Befunde anderer Scanner; wenn also in DefectDojo Ihre SAST-, DAST- und Cloud-Ergebnisse zusammenlaufen, behalten Sie es für diese Aufgabe.