CI/CD-Tools und -Plattformen im Vergleich

Für wen diese Seite gedacht ist

Sie wählen eine CI/CD-Plattform aus oder überprüfen Ihre bestehende, und auf der Liste steht eine neue Frage. Ein Kunde, ein Auditor oder der EU Cyber Resilience Act will wissen, was in jedes Release eingeflossen ist. Jede Plattform hier kann Ihre Builds ausführen. Der Unterschied liegt darin, woher diese Nachweise kommen und wie viel davon Sie selbst zusammenstellen.

Aus diesem Grund steht CRACI auf dieser Seite, und es ist keine CI-Plattform. Es ist ein Runner für GitHub Actions: Sie behalten GitHub Actions und ändern runs-on auf craci. CRACI unterstützt heute nur GitHub Actions; GitLab CI und Jenkins sind auf der Roadmap. Pipelines von GitLab CI, CircleCI und Buildkite laufen nicht darauf. Wir entwickeln CRACI, berücksichtigen Sie das; die anderen Produkte sind anhand ihrer eigenen Dokumentation beschrieben.

Woher sollte die SBOM kommen?

Es gibt drei Stellen, an denen eine Plattform sie erhalten kann.

1. Das Repository. Die Plattform parst Manifeste und Lockfiles. Der Dependency Graph von GitHub und das SBOM-basierte Dependency Scanning von GitLab funktionieren so. Das ist immer aktiv und günstig im Betrieb, und es beschreibt, was das Projekt deklariert. Install-Skripte, heruntergeladene Toolchains oder aus einem Cache wiederhergestellte Pakete sieht es nicht, und der Export von GitHub bildet den Default-Branch ab statt eines fest angegebenen Commits.
2. Ein Tool, das Sie der Pipeline hinzufügen. Sie führen einen SBOM-Generator als Schritt aus, über einen CircleCI-Orb oder auf Ihren Buildkite-Agents. Das ist flexibel, und das Ergebnis hängt vom Tool und seiner Konfiguration ab: Jeder Generator liest andere Dateien und löst sie anders auf, sodass zwei davon für denselben sauberen Checkout nicht dieselbe Komponentenliste liefern. CRACI lässt sich so nicht vergleichen, weil es Builds aufzeichnet, statt ein Verzeichnis zu scannen.
3. Der Runner, der den Build beobachtet hat. Die SBOM wird aus dem Datenverkehr aufgezeichnet, den der Job während der Ausführung erzeugt hat. Genau das macht CRACI.

Bei der Provenienz verläuft dieselbe Trennlinie. Die Artifact Attestations von GitHub, ein Schritt, den Sie einem Workflow hinzufügen, bieten SLSA v1.0 Build Level 2 oder mit wiederverwendbaren Workflows Level 3. GitLab Runner kann in allen Tarifen ein SLSA-1.0-Provenienz-Statement erzeugen. Buildkite Package Registries kann in Enterprise-Plänen SLSA-Provenienz veröffentlichen, die laut Buildkite Build Level 1 erfüllt. Die API von CRACI liefert Provenienzdaten vom Runner, der den Job beobachtet hat, unsigniert und ohne SLSA-Level.

Auf einen Blick

Die Spalte GitHub Actions umfasst die GitHub-Plattformfunktionen, die Teams damit nutzen: Dependency Graph, Dependabot, Artifact Attestations und GitHub Advanced Security. Preise Stand September 2026.

Die Plattformen

CRACI, ein sicherer Runner für GitHub Actions

CRACI ersetzt den Runner, nicht GitHub Actions. Installieren Sie die CRACI GitHub App und ändern Sie runs-on; die Ausführungen erscheinen weiterhin in der GitHub-Oberfläche. Während jeder Job läuft, zeichnet ein paketbewusster Proxy auf, was der Job geladen hat, einschließlich Paketen aus CI-Caches, und erzeugt eine CycloneDX- oder SPDX-SBOM mit einem Vollständigkeitsstatus pro Job und pro Cache. Egress-Richtlinien werden vor dem Start des Jobs validiert und blockieren im Zweifel (fail closed). Am besten geeignet für GitHub-Actions-Teams, die Software ausliefern und Nachweise für jedes Release brauchen. Zu beachten: heute nur GitHub Actions und Linux (GitLab CI, Jenkins, Windows und macOS sind auf der Roadmap) und keine SAST- oder Secret-Scans.

SBOM-Generierung während des Builds

GitHub Actions

In GitHub integriertes CI/CD mit gehosteten Linux-, Windows- und macOS-Runnern und selbst gehosteten Runnern für Ihre eigenen Maschinen. Die Pläne enthalten 2.000 bis 50.000 Minuten im Monat, und ein Standard-Linux-Runner mit 2 Kernen kostet Stand September 2026 $0.006 pro Minute. Dazu kommen Dependency Graph, Dependabot-Warnungen und Sicherheitsupdates, Artifact Attestations sowie die kostenpflichtigen Produkte GitHub Secret Protection und GitHub Code Security. Am besten geeignet für Code, der bereits auf GitHub liegt. Zu beachten: eine SBOM, die das Repository beschreibt, nicht den Build, sofern Sie nicht selbst einen Generator hinzufügen.

CRACI vs. GitHub-gehostete Runner und CRACI und GitHub Advanced Security

GitLab CI

Teil einer vollständigen DevSecOps-Plattform: Versionsverwaltung, Merge Requests, Planung und CI/CD in einem Produkt. Grundlegendes SAST, Secret Detection und Container-Scans laufen in allen Tarifen; Ultimate ergänzt Dependency Scanning, kontinuierliche Schwachstellenscans, DAST und den Schwachstellenbericht. Gehostete Runner decken Linux auf x86-64 und arm64 ab, Windows und macOS sind in der Beta. Stand September 2026 enthält Free 400 Rechenminuten, und Premium kostet $29 pro Nutzer und Monat bei jährlicher Abrechnung. Am besten geeignet für alles aus einer Hand über den gesamten Lebenszyklus. Zu beachten: Abhängigkeitserkennung aus Lockfiles und signierte SLSA-Level-3-Attestierungen, die GitLab als Experiment führt.

CRACI vs. GitLab CI

CircleCI

Eine ausgereifte, flexible gehostete CI/CD-Plattform, die sich mit GitHub, GitLab und Bitbucket verbindet. Sie führt Jobs auf Docker-, Linux-, Arm-, Windows-, macOS- und GPU-Ressourcenklassen aus, mit selbst gehosteten Runnern für Ihre eigenen Maschinen. Docker Layer Caching gibt es in allen Plänen, und Test Splitting verteilt Testsuiten anhand von Laufzeitdaten auf parallele Executors. Die Empfehlungen von CircleCI zur Lieferkette konzentrieren sich auf den Schutz von Zugangsdaten mit Contexts und OIDC. Stand September 2026 enthält der Free-Plan 30.000 Credits im Monat. Am besten geeignet für gemischte Plattformen und große Testsuiten. Zu beachten: SBOMs und Scans kommen aus den Orbs und Tools, die Sie einbinden.

CRACI vs. CircleCI

Buildkite

Eine hybride Plattform: Die SaaS-Steuerungsebene von Buildkite orchestriert, und die Agents, die die Jobs ausführen, laufen auf Ihrer eigenen Infrastruktur, sodass Quellcode und Secrets in Ihrer Umgebung bleiben. Gehostete Agents gibt es ebenfalls, Stand September 2026 für $0.004 pro vCPU-Minute unter Linux. Mit signierten Pipelines können Agents Jobs ablehnen, die nach dem Upload verändert wurden, und Test Engine kümmert sich um Flaky Tests und Test Splitting. Am besten geeignet für Builds, die auf Ihrer eigenen Hardware oder in Ihrem eigenen Netzwerk laufen müssen. Zu beachten: Die Build-Sicherheit müssen Sie selbst gestalten: Buildkites eigene Empfehlungen raten, auf Ihren Agents strikte Kontrollen für ausgehenden Netzwerkverkehr durchzusetzen.

CRACI vs. Buildkite

Wo CRACI passt

CRACI ist eine Ergänzung zu GitHub Actions, kein Ersatz für eine CI-Plattform. Auf GitHub ist ein gängiges Setup GitHub Advanced Security und Dependabot für jeden Pull Request und CRACI als Runner, der jeden Build aufzeichnet und die Egress-Richtlinie durchsetzt. Überwachte SBOMs werden neu bewertet, sobald neue Schwachstellen auftauchen, und lassen sich als CycloneDX oder SPDX exportieren, einschließlich Schwachstellen. CRACI automatisiert einen erheblichen Teil der Transparenz und der Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen Compliance-Prozess zum Cyber Resilience Act brauchen.

Wenn Ihre Pipelines auf GitLab CI, CircleCI oder Buildkite laufen, bedeutet der Einsatz von CRACI, diese Pipelines auf GitHub Actions umzuziehen. GitLab CI und Jenkins sind auf der Roadmap. CRACI ist nicht die richtige Wahl, wenn:

• Sie eine einzige Plattform für Code, Planung, CI und Scans wollen. Dafür ist GitLab gebaut.
• Builds auf Ihrer eigenen Hardware oder in Ihrem eigenen Netzwerk laufen müssen. Buildkite und selbst gehostete Runner passen; CRACI ist heute ein verwalteter Dienst, vom Kunden gehostete Runner sind für Enterprise auf der Roadmap.
• Sie Windows-, macOS- oder GPU-Builds brauchen. CRACI unterstützt heute nur Linux; Windows und macOS sind auf der Roadmap.
• Sie heute ein dokumentiertes SLSA-Level brauchen. Die Artifact Attestations von GitHub bieten eines.

Siehe CRACI-Preise und CI/CD-Integration.

CRACI im Vergleich mit jedem Tool

• CRACI vs. GitHub-hosted Runner Dieselben Workflows, schnellere Builds, geringere Kosten.
• CRACI vs. GitLab CI Scanner einer DevSecOps-Plattform vs. ein Runner, der aufzeichnet.
• CRACI vs. CircleCI Gehostetes CI vs. Nachweise aus dem Build.
• CRACI vs. Buildkite Selbst gehostete Agents vs. Runner, die Builds aufzeichnen.
• CRACI vs. Blacksmith Schnelle Runner vs. CI mit integrierter Lieferkettensicherheit.
• CRACI vs. Depot Build-Beschleunigung vs. Build-Nachweise.
• CRACI vs. Namespace Schnelle CI-Infrastruktur vs. Runner, die Builds aufzeichnen.
• CRACI vs. WarpBuild Schnelle Runner und BYOC vs. Runner mit Nachweisen.
• CRACI vs. RunsOn Runner in Ihrem AWS-Konto vs. Runner, die Builds aufzeichnen.
• CRACI vs. Ubicloud Günstige Runner vs. CI mit integrierter Lieferkettensicherheit.
• CRACI vs. Avrea CI-Observability vs. Nachweise aus dem Build.
• CRACI vs. Harness SBOM-Scans in der Pipeline vs. ein Runner, der den Build aufzeichnet.
• CRACI vs. Northflank Eine Build- und Deploy-Plattform vs. ein Runner, der Builds aufzeichnet.
• CRACI vs. Jenkins Ein CI-Server, den Sie selbst betreiben, vs. verwaltete Runner, die Builds aufzeichnen.
• CRACI vs. Azure Pipelines Parallele Jobs vs. minutengenau abgerechnete Runner mit Build-Nachweisen.

Im direkten Vergleich

Mehrere Tools auf einer Seite, wenn Sie eine Kategorie wählen und nicht ein einzelnes Produkt.

• GitHub-Actions-Runner im Vergleich GitHub-hosted, CRACI, Blacksmith, Depot, Namespace und WarpBuild im direkten Vergleich.