GitHub Advanced Security: Preise und wo CRACI ansetzt

Die kurze Antwort

Stand September 2026 verkauft GitHub GitHub Advanced Security als zwei Add-ons. GitHub Secret Protection kostet $19 pro aktivem Committer und Monat und deckt Secret Scanning und Push Protection ab. GitHub Code Security kostet $30 pro aktivem Committer und Monat und deckt Code Scanning mit CodeQL, Copilot Autofix, Dependency Review und Premium-Funktionen von Dependabot ab. Beide zusammen kosten $49 pro aktivem Committer und Monat. Beide erfordern einen GitHub-Team- oder Enterprise-Plan, und Sie zahlen sie zusätzlich zu Ihren GitHub-Lizenzen.

Ein aktiver Committer ist jede Person, deren Commit in den letzten 90 Tagen in ein Repository mit aktiviertem Produkt gepusht wurde, einmal gezählt für Ihre gesamte Organisation. Deshalb richtet sich die Rechnung danach, wer Code pusht, nicht danach, wie viele Lizenzen Sie haben.

GitHub-Advanced-Security-Preise auf einen Blick

Die Preise sind Listenpreise von GitHub und Azure, Stand September 2026. GitHubs Planseite listet die Funktionen, die jedes Add-on bei Team und Enterprise ergänzt; die kostenlose Spalte gilt für öffentliche Repositories auf GitHub.com.

Wie sich die Rechnung zusammensetzt

• Pro aktivem Committer, pro Produkt. Ein Committer ist aktiv, wenn einer seiner Commits in den letzten 90 Tagen in ein aktiviertes Repository gepusht wurde, unabhängig davon, wann er erstellt wurde. Jede Person belegt eine Lizenz in der gesamten Organisation oder im gesamten Enterprise, egal wie viele Repositories sie bearbeitet.
• Nur aktivierte Repositories zählen. Sie aktivieren Secret Protection und Code Security unabhängig voneinander, können also Secret Protection überall einschalten und Code Security nur dort, wo Sie es brauchen.
• Nutzungsbasierte oder Volumenabrechnung bei Enterprise. Die nutzungsbasierte Abrechnung, verfügbar für GitHub Enterprise Cloud und für GitHub Enterprise Server 3.13 oder neuer mit GitHub Connect, berechnet monatlich die genutzten Lizenzen, ohne vorab festgelegtes Limit und ohne Überschreitungsstatus. Bei der Volumen- oder Abonnementabrechnung kaufen Sie eine feste Anzahl von Lizenzen für einen Zeitraum, in der Regel mindestens ein Jahr.
• Kostenlose Risikobewertungen. Organisationen mit Team und Enterprise Cloud können vor dem Kauf ein kostenloses Secret Risk Assessment und ein Code Security Risk Assessment für bis zu 20 aktive Repositories durchführen.

Ein Rechenbeispiel

Ein Team mit 50 Entwicklern, die alle in Repositories pushen, in denen beide Produkte aktiviert sind, zahlt 50 × $19 = $950 für Secret Protection und 50 × $30 = $1,500 für Code Security: $2,450 pro Monat oder $29,400 pro Jahr zum Listenpreis. Hinzu kommen GitHub-Team- oder Enterprise-Lizenzen und GitHub-Actions-Minuten. Jede Person mit einer Lizenz in Ihrer Organisation, die in ein aktiviertes Repository pusht, zählt, auch externe Mitarbeiter, zählen Sie also Committer statt Angestellte.

Was Sie ohne Bezahlung erhalten

Der Abhängigkeitsgraph und Dependabot-Warnungen sind in allen GitHub-Plänen enthalten. In öffentlichen Repositories sind Code Scanning, Secret Scanning, Push Protection und Dependency Review kostenlos. Wenn Ihr Code Open Source ist, kostet ein Großteil von GitHub Advanced Security nichts.

GitHub Advanced Security for Azure DevOps

Dieselben zwei Produkte werden für Azure Repos verkauft, laut Azures Preisseite für $19 pro Committer und Monat für Secret Protection und $30 für Code Security. Die Kosten fallen täglich an und werden monatlich über das Azure-Abonnement abgerechnet, das mit der Azure-DevOps-Organisation verknüpft ist, und Committer werden pro Produkt über dieses Abonnement hinweg einmal gezählt.

Was GitHub Advanced Security gut macht

Code Scanning mit CodeQL ist eine in Pull Requests integrierte semantische statische Analyse, und Copilot Autofix schlägt Fixes für die dabei ausgelösten Warnungen vor. Secret Scanning deckt die Git-Historie, Pull Requests, Issues und Wikis ab, und Push Protection blockiert ein Secret, bevor es im Repository landet. Gültigkeitsprüfungen zeigen, ob geleakte Zugangsdaten noch aktiv sind. CRACI leistet nichts davon, und nichts auf dieser Seite legt nahe, es zu ersetzen.

Bei Abhängigkeiten parst der Abhängigkeitsgraph die Manifeste und Lockfiles in Ihrem Repository, und Dependabot warnt Sie, wenn eine davon einem Advisory in der GitHub Advisory Database entspricht. Security Updates versuchen, für jede offene Warnung mit verfügbarem Patch einen Pull Request zu öffnen, und Dependency Review (Teil von Code Security) zeigt, was ein Pull Request ändert, bevor er gemergt wird. Automatic Dependency Submission kann für Maven, Gradle und Python im Build aufgelöste Daten ergänzen. Sie können den Graphen über die Oberfläche oder die REST-API als SPDX-SBOM exportieren.

Artifact Attestations nutzen Sigstore, um Build-Provenienz für Binärdateien und Container-Images zu signieren, und können SBOMs in SPDX oder CycloneDX attestieren. GitHub dokumentiert, dass Attestations für sich genommen SLSA v1.0 Build Level 2 bieten und mit wiederverwendbaren Workflows Level 3.

Was der Preis nicht abdeckt

Jede Funktion von GitHub Advanced Security liest Ihr Repository: seinen Code, seine Secrets und seine deklarierten Abhängigkeiten. Keine davon zeichnet auf, was im Build passiert, der Ihr Release erzeugt, oder kontrolliert, was dieser Build im Netzwerk erreichen kann. Genau hier setzt CRACI an.

Die Tabelle mischt GitHub Advanced Security mit den GitHub-Plattformfunktionen, auf denen es aufbaut (Abhängigkeitsgraph, Dependabot, Artifact Attestations und gehostete Runner), weil Teams sie so erleben.

Eine Aufzeichnung des Builds, nicht des Repositorys

Der Abhängigkeitsgraph beschreibt das Repository und wird aktualisiert, wenn ein Commit ein Manifest oder Lockfile auf dem Default-Branch ändert. Das ist nützlich, aber nicht dasselbe wie eine Aufzeichnung des Jobs, der ein Release erzeugt hat. CRACI beobachtet den Build selbst: Ein paketbewusster Proxy sieht den Datenverkehr zu Paketquellen, über npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen hinweg. Die Nachweise reisen mit CI-Caches, und jede SBOM gibt ihre Vollständigkeit pro Job und pro Cache an: Complete, Complete with connections, Incomplete, Unavailable oder Not recorded.

Kontrolle darüber, was der Job erreichen kann

CRACI setzt pro Job eine Egress-Richtlinie durch: Default Deny oder Default Allow, mit 24 integrierten Presets für Softwarequellen und typisierten benutzerdefinierten Quellen für Registries und Git. Richtlinien werden vor dem Jobstart validiert und sind fail closed, und CRACI warnt Sie bei einem Richtlinienverstoß. Das ist eine Laufzeitkontrolle für den Build, die das Scannen des Repositorys nicht bieten kann.

Provenienz

GitHubs Artifact Attestations sind ein Workflow-Schritt, den Sie hinzufügen. Sie signieren Build-Provenienz, und GitHub dokumentiert dafür SLSA v1.0 Build Level 2. CRACI signiert keine Provenienz und beansprucht kein SLSA-Level: Die API liefert SBOMs, Netzwerk-Traces und Provenienz. Wenn Sie signierte Provenienz oder ein dokumentiertes SLSA-Level brauchen, bieten das GitHubs Attestations.

Überwachung des Ausgelieferten

CRACI aggregiert Schwachstellen über Builds und Repositories hinweg, bewertet überwachte SBOMs laufend neu und lässt Sicherheitsteams Befunde sichten und an die Teams weiterleiten, die für die Behebung zuständig sind. Seine Inventaransicht zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit. SBOMs lassen sich als CycloneDX oder SPDX exportieren, einschließlich Schwachstellen, und die API liefert SBOMs, Netzwerk-Traces und Provenienz.

Ein anderes Preismodell

GitHub Advanced Security wird pro aktivem Committer berechnet. CRACI wird nur pro Build-Minute berechnet, weil es der Runner ist: $0.002 pro vCPU-Minute ($0.004 für einen Standard-Runner mit 2 vCPU), sekundengenau abgerechnet, ohne Monatsgebühr. Diese Minuten führen Jobs aus, die Sie sonst auf GitHub-gehosteten Runnern ausführen würden. Aktuelle Konditionen finden Sie unter CRACI-Preise.

Wie beide zusammenpassen

• GitHub Advanced Security bei jedem Pull Request: CodeQL, Secret Scanning, Push Protection und Dependency Review.
• Dependabot hält deklarierte Abhängigkeiten gepatcht.
• CRACI als Runner: zeichnet jeden Build auf, setzt die Egress-Richtlinie durch und verwahrt die Nachweise.

Läufe auf CRACI erscheinen weiterhin in der GitHub-Oberfläche, und Ihre Workflows behalten ihre Schritte; ein Job zieht zu CRACI um, indem Sie sein Label runs-on ändern. Bleiben Sie für Windows- und macOS-Jobs bei GitHub-gehosteten Runnern: CRACI läuft heute nur auf Linux, auf x86-64 und ARM64, Windows und macOS sind auf der Roadmap.

Vergleichen Sie stattdessen Code-Scanner? Siehe Alternativen zu GitHub Advanced Security, mit ihren Preisen.

Für den Cyber Resilience Act

GitHubs Tools helfen Ihnen, Schwachstellen vor dem Release zu finden und zu beheben, was ein Hersteller tun muss. CRACI automatisiert einen erheblichen Teil der Transparenz und der Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen: was in jedes Release eingeflossen ist, die SBOMs, Netzwerk-Traces und Provenienz, die die API liefert, und die laufende Schwachstellenverfolgung. Keines von beiden macht ein Produkt von sich aus konform. Siehe Was der CRA ist und CRA-Nachweise.

Lesen Sie mehr über CI/CD-Integration und SBOM-Generierung während des Builds, oder buchen Sie eine Demo, um die Build-Aufzeichnung von CRACI neben Ihrem Abhängigkeitsgraphen zu sehen.

Fragen zu den Preisen von GitHub Advanced Security

Was kostet GitHub Advanced Security?

Stand September 2026 verkauft GitHub Advanced Security als zwei Add-ons: GitHub Secret Protection für $19 und GitHub Code Security für $30 pro aktivem Committer und Monat, für beide zusammen also $49 pro aktivem Committer. Sie werden zusätzlich zu einem GitHub-Team- oder Enterprise-Plan gekauft.

Wer zählt als aktiver Committer?

Jede Person mit einer GitHub-Team- oder Enterprise-Lizenz in Ihrer Organisation, deren Commit in den letzten 90 Tagen in ein Repository gepusht wurde, in dem Secret Protection oder Code Security aktiviert ist, unabhängig davon, wann der Commit erstellt wurde. Jede Person belegt in der gesamten Organisation oder im gesamten Enterprise eine Lizenz, egal zu wie vielen Repositories sie beiträgt.

Ist GitHub Advanced Security für öffentliche Repositories kostenlos?

Teilweise. In öffentlichen Repositories aktiviert GitHub Code Scanning, Secret Scanning und Push Protection standardmäßig, und auch Dependency Review ist kostenlos. Private Repositories brauchen die kostenpflichtigen Add-ons. Der Abhängigkeitsgraph und Dependabot-Warnungen sind in jedem GitHub-Plan enthalten.

Kann ich GitHub Advanced Security mit einem GitHub-Free- oder Pro-Plan kaufen?

Nein. GitHub Secret Protection und GitHub Code Security erfordern einen GitHub-Team- oder GitHub-Enterprise-Plan. Organisationen mit Team und Enterprise Cloud können außerdem zuerst ein kostenloses Secret Risk Assessment und ein Code Security Risk Assessment durchführen.

Wie wird GitHub Advanced Security bei Enterprise abgerechnet?

Auf zwei Arten. Die nutzungsbasierte Abrechnung, verfügbar für GitHub Enterprise Cloud und für GitHub Enterprise Server 3.13 oder neuer mit GitHub Connect, berechnet monatlich die Lizenzen, die aktive Committer genutzt haben, ohne vorab festgelegtes Limit. Bei der Volumen- oder Abonnementabrechnung kaufen Sie eine feste Anzahl von Lizenzen für einen festen Zeitraum, in der Regel mindestens ein Jahr.

Was kostet GitHub Advanced Security bei Azure DevOps?

GitHub Advanced Security for Azure DevOps funktioniert mit Azure Repos. Azure listet Secret Protection mit $19 und Code Security mit $30 pro Committer und Monat, täglich berechnet und monatlich über das Azure-Abonnement abgerechnet, das mit der Azure-DevOps-Organisation verknüpft ist. Committer werden pro Produkt über dieses Abonnement hinweg einmal gezählt.

Enthält GitHub Advanced Security eine SBOM?

GitHub kann den Abhängigkeitsgraphen eines Repositorys als SPDX-SBOM exportieren, und der Abhängigkeitsgraph ist in jedem Plan enthalten. Diese SBOM beschreibt die Manifeste und Lockfiles auf dem Default-Branch, nicht einen bestimmten Build. CRACI zeichnet die Pakete auf, die jeder Build tatsächlich geladen hat, und exportiert CycloneDX und SPDX pro Build.

Ersetzt CRACI GitHub Advanced Security?

Nein. CRACI bietet weder Code Scanning noch Secret Scanning. CRACI ersetzt den Runner, auf dem Ihre GitHub-Actions-Jobs laufen, und zeichnet auf und kontrolliert, was jeder Build tut. Teams auf GitHub behalten in der Regel Secret Protection und Code Security für ihre Repositories und ergänzen CRACI für Build-Nachweise.