Die 13 besten Tools für Software Composition Analysis (SCA) 2026

Für wen das gedacht ist

Diese Seite richtet sich an Teams, die ein SCA-Tool auswählen oder prüfen, ob ihres noch passt. Wir bauen CRACI, berücksichtigen Sie das also. Jede Aussage über ein anderes Produkt stammt aus der eigenen Dokumentation des Anbieters, und zu den meisten Produkten gibt es eine längere Seite CRACI vs. X.

Eines vorab: CRACI ist kein SCA-Scanner im klassischen Sinn. Es ist ein Rekorder. Es führt Ihre GitHub-Actions-Jobs aus und zeichnet auf, was sie geladen haben. Es soll neben einem SCA-Tool stehen, nicht eines ersetzen.

Was SCA-Tools leisten

Fast jedes SCA-Tool folgt denselben Schritten. Sie unterscheiden sich darin, wie gut sie jeden davon erledigen. Die Grundlagen finden Sie unter Was ist Software Composition Analysis, Wie ein SCA-Scan funktioniert, SAST vs. SCA und Erreichbarkeitsanalyse.

1. Komponenten identifizieren. Manifeste und Lockfiles lesen, Quellcode analysieren oder Fingerprints von Binärdateien erstellen, um direkte und transitive Abhängigkeiten aufzulisten.
2. Schwachstellen abgleichen. Jede Komponente und Version mit Datenbanken wie der NVD, der GitHub Advisory Database und OSV abgleichen.
3. Lizenzen prüfen anhand Ihrer Policy.
4. Priorisieren. Befunde nach Schweregrad, Exploit-Daten wie EPSS und bei vielen Tools nach Erreichbarkeit ordnen.
5. Beheben. Upgrades vorschlagen oder Pull Requests öffnen.
6. Überwachen und berichten. Vor neuen Schwachstellen warnen und eine SBOM exportieren.

Schritt eins entscheidet alles Weitere. Eine Komponente, die das Tool nie identifiziert hat, lässt sich weder abgleichen noch priorisieren noch in der SBOM aufführen. Deshalb fragt die erste Zeile der Tabellen unten, woher die Komponentenliste jedes Tools stammt. Die Grundlagen finden Sie unter Was Software Composition Analysis ist und wie sie sich von SAST unterscheidet.

So wählen Sie

Einige Fragen unterscheiden diese Tools schneller als Funktionslisten:

• Vor dem Merge oder nach dem Release? SCA-Tools glänzen bei Pull Requests und in der IDE. Wenn Ihre schwierige Frage lautet, was in ein ausgeliefertes Release eingeflossen ist, brauchen Sie eine Aufzeichnung des Builds.
• Nur Abhängigkeiten oder auch Ihr eigener Code? Die meisten dieser Produkte bündeln inzwischen SAST. Manche ergänzen Secrets, IaC, Container oder Cloud.
• Wie viel Alarmrauschen können Sie verkraften? Bei der Erreichbarkeitsanalyse, die prüft, ob Ihr Code die verwundbare Funktion aufrufen kann, konkurrieren mehrere Anbieter.
• Müssen Sie schädliche Pakete an der Tür stoppen? Repository-Firewalls und Paket-Proxys blockieren sie vor dem Download. Scanner melden sie nur nachträglich.
• Welches CI nutzen Sie? Die meisten SCA-Tools hier passen zu vielen CI-Systemen. CRACI unterstützt heute nur GitHub Actions; GitLab CI und Jenkins sind auf der Roadmap.
• Deckt es Ihre Sprachen und Build-Systeme ab? Prüfen Sie jedes Ökosystem, das Sie ausliefern, einschließlich Monorepos und der Teile Ihres Builds, die kein Lockfile beschreibt.
• Was müssen Sie vorlegen? Wenn Kunden oder der EU Cyber Resilience Act eine SBOM pro Release verlangen, prüfen Sie die Formate, welcher Plan den Export enthält und ob das Tool Ihnen sagt, wann die Liste unvollständig ist.
• Wie möchten Sie bezahlen? Pro Entwickler, pro Committer, pro Contributor, pro Plan oder auf Anfrage.

Auf einen Blick

Zehn Spalten passen nicht in eine Tabelle, deshalb sind die Produkte auf zwei verteilt. Beide Tabellen nutzen dieselben Zeilen. „Keine Angabe“ bedeutet, dass die von uns zitierten Herstellerseiten dazu nichts sagen. Preise Stand September 2026.

SCA- und AppSec-Suiten für Unternehmen

Developer-First- und Plattform-Tools

Die Tools im Einzelnen

CRACI

CRACI ist ein Rekorder, kein Scanner. Ihre GitHub-Actions-Jobs laufen auf CRACI-Runnern, und ein paketbewusster Proxy zeichnet auf, was jeder Job lädt, wobei die Abhängigkeitsnachweise mit CI-Caches mitreisen. Aus dieser Aufzeichnung erzeugt es eine CycloneDX- oder SPDX-SBOM, die ihre eigene Vollständigkeit angibt, bewertet überwachte SBOMs laufend neu, leitet jeden Befund an das Team weiter, das für die Behebung zuständig ist, und kann einen Build wegen einer Lizenz blockieren. Ideal für Teams, die belegen müssen, was in jedes Release eingeflossen ist. Zu beachten: kein SAST, kein Secrets- oder IaC-Scanning, keine Erreichbarkeitsanalyse und heute nur Linux-Jobs auf GitHub Actions (weitere CI-Systeme, Windows und macOS sind auf der Roadmap). SBOM-Generierung während des Builds

Snyk

Snyk ist eine Developer-First-Plattform: SCA plus Snyk Code (SAST), Snyk Container und Snyk IaC, für IDE, CLI, SCM-Integrationen und CI. Es priorisiert Befunde zu Abhängigkeiten nach Erreichbarkeit, Exploit-Reife, EPSS und CVSS und öffnet Upgrade-Pull-Requests. Ideal für Teams, deren Entwickler Probleme schon ab dem Editor beheben sollen. Zu beachten: Sein Abhängigkeitsbaum stammt aus Manifesten und Lockfiles, und der Befehl snyk sbom ist nur in Enterprise-Plänen verfügbar. CRACI vs. Snyk

Sonatype

Sonatype ist auf Open-Source-Governance ausgerichtet. Lifecycle wendet Sicherheits- und Lizenz-Policies an (die Lizenz-Policies umfassen mehr als 2.000 Lizenzen), nutzt Advanced Binary Fingerprinting für das, was der Build erzeugt hat, und öffnet Golden Pull Requests. Repository Firewall stellt Komponenten unter Quarantäne, bevor sie in Ihre Repositories gelangen, und SBOM Manager überwacht importierte SBOMs. Ideal für große Organisationen, die ein Gate am Repository möchten. Zu beachten: Das Produktangebot ändert sich, und neue Kunden kaufen jetzt Sonatype Guide. CRACI vs. Sonatype

Black Duck

Black Duck findet Open Source, wo immer es sich versteckt: Paketmanager-Scans, Signatur- und Snippet-Scanning sowie Binäranalyse von ausführbaren Dateien und Firmware ohne Quellcode. Seine KnowledgeBase verfolgt mehr als 2.750 Lizenzen, und Coverity ergänzt SAST für 22 Sprachen. Ideal für Code mit langer Historie an kopiertem oder vendortem Open Source und für die Prüfung von Binärdateien Dritter. Zu beachten: Preise gibt es nur auf Anfrage, und seine Fix PRs decken direkte Abhängigkeiten ab. CRACI vs. Black Duck

Mend.io

Mend AppSec kombiniert Mend SCA, das den Aufrufgraphen durch transitive Abhängigkeiten verfolgt, mit Mend SAST für mehr als 30 Sprachen. Mend Renovate hält Abhängigkeiten über 90 oder mehr Paketmanager hinweg aktuell, und die Renovate CLI ist kostenlos. Ideal für Teams mit großem Backlog, die Priorisierung und automatisierte Updates zusammen möchten. Zu beachten: Mends eigene Dokumentation empfiehlt, nach dem Build-Schritt zu scannen, die Genauigkeit hängt also davon ab, wo in der Pipeline Sie es ausführen. CRACI vs. Mend.io

Checkmarx One

Checkmarx One ist eine breite AppSec-Plattform: SAST, SCA, Secrets, IaC, API-Sicherheit, DAST, Container und Schutz vor bösartigen Paketen, darüber eine ASPM-Schicht. Seine SCA nutzt Exploitable Path Analysis, und Policies können Builds abbrechen. Ideal für Organisationen, die einen Anbieter für alle Anwendungssicherheitstests möchten. Zu beachten: Die GitHub Action lädt ein Zip-Archiv Ihres Quellcodes zum Scannen hoch (SCA Resolver kann stattdessen On-Premises analysieren), und Preise gibt es nur auf Anfrage. CRACI vs. Checkmarx One und Checkmarx-Alternativen

Endor Labs

Endor Labs ist auf Erreichbarkeit auf Funktionsebene ausgerichtet und verfolgt Codepfade von Ihrem Quellcode bis zur verwundbaren Funktion in direkten und transitiven Abhängigkeiten. Es ergänzt Upgrade-Impact-Analyse, Endor Patches, die Fixes zurückportieren, AI SAST, Secrets- und Container-Scanning, eine Package Firewall und Artefakt-Signierung. Ideal für Teams, die in Abhängigkeits-Warnungen ertrinken. Zu beachten: Wo kein vollständiger Build möglich ist, fällt es auf gröbere Erreichbarkeit auf Abhängigkeitsebene zurück. CRACI vs. Endor Labs

Semgrep Supply Chain

Semgrep Supply Chain ist das SCA-Produkt der AppSec-Plattform von Semgrep, neben Semgrep Code (SAST) und Semgrep Secrets. Es stuft Befunde als erreichbar, bedingt erreichbar oder nicht erreichbar ein, und laut Semgrep reduziert das False Positives um bis zu 98 %. Wo Lockfiles unvollständig sind, kombiniert Dynamic Dependency Resolution das Parsen von Manifesten mit dem Paketmanager, um die Liste zu vervollständigen. Es prüft außerdem Lizenzen anhand Ihrer Policy, erkennt bösartige Abhängigkeiten, öffnet Upgrade-Pull-Requests und exportiert CycloneDX-SBOMs. Ideal für Teams, die bereits Semgrep-Regeln schreiben, oder kleine Teams: Der kostenlose Plan umfasst bis zu 10 Contributors. Zu beachten: Kostenpflichtige Produkte werden separat berechnet, ab $30 pro Contributor und Monat für Supply Chain im Teams-Plan.

GitHub Advanced Security

GitHub verkauft inzwischen Secret Protection und Code Security (CodeQL, Copilot Autofix, Dependency Review) zusätzlich zum Abhängigkeitsgraphen und zu Dependabot, die jeder GitHub-Plan enthält. Artifact Attestations ergänzen signierte Provenienz auf SLSA v1.0 Build Level 2. Ideal für Teams, die bereits auf GitHub sind und Sicherheit direkt in Pull Requests möchten. Zu beachten: Der Abhängigkeitsgraph beschreibt die Manifeste und Lockfiles des Repositorys, und private Repositories brauchen für die kostenpflichtigen Produkte einen Team- oder Enterprise-Plan. CRACI vs. GitHub Advanced Security

Aikido

Aikido bündelt SCA, SAST, Secrets, IaC, Cloud Posture, Container, DAST und Lizenz-Scanning in einem Dashboard. Seine SCA nutzt Erreichbarkeit auf Funktionsebene, AutoFix öffnet Pull Requests, und das kostenlose Tool Safe Chain blockiert bekannte Malware bei npm- und PyPI-Installationen. Ideal für kleinere Teams, die schnell eine breite Abdeckung möchten, oder für SOC-2- und ISO-27001-Berichte aus AppSec-Befunden. Zu beachten: Diese Compliance-Berichte gibt es erst ab dem Advanced-Plan, und Abhängigkeiten stammen aus Manifesten und Lockfiles. CRACI vs. Aikido

Kostenlose und Open-Source-SCA-Tools

Wenn das Budget die Grenze setzt, decken vier Open-Source-Tools den Kern von SCA ab. Alle sind kostenlos unter Apache-2.0. Sie betreiben sie selbst, Überwachung, Triage und Reporting müssen Sie also selbst aufbauen.

Trivy von Aqua Security liest in einem Repository Lockfiles und in einem Image die Metadaten installierter Pakete und schreibt CycloneDX- oder SPDX-SBOMs. CRACI vs. Trivy. Grype von Anchore scannt, was sein Begleiter Syft auflistet, und läuft bis auf den Download seiner Datenbank vollständig lokal. CRACI vs. Syft und Grype. OSV-Scanner von Google ist der offizielle Client für die Datenbank OSV.dev und unterstützt 19 oder mehr Lockfile-Typen. OWASP Dependency-Check identifiziert Komponenten per CPE und gleicht sie mit der NVD ab, was am besten zu Java- und .NET-Projekten passt. Wie die kostenlosen SBOM-Generatoren hinter diesen Scannern ein Repository lesen und warum sie sich widersprechen, zeigt was Open-Source-SBOM-Generatoren übersehen.

Wo CRACI ansetzt

Jedes andere Tool oben ist ein Scanner. Es liest ein Manifest, ein Lockfile, ein Quellcode-Archiv oder eine Binärdatei und ermittelt, was darin steckt. CRACI ist ein Rekorder. Ihre GitHub-Actions-Jobs laufen auf CRACI-Runnern (ändern Sie runs-on auf craci), und ein paketbewusster Proxy zeichnet auf, was jeder Job von npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen lädt, dazu Download-Presets. Die Abhängigkeitsnachweise reisen mit CI-Caches. Die Inventaransicht von CRACI zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit.

Aus dieser Aufzeichnung erzeugt CRACI eine CycloneDX- oder SPDX-SBOM, die ihre eigene Vollständigkeit pro Job und pro Cache angibt. Es setzt eine Egress-Richtlinie mit Fail-closed-Verhalten durch, liefert über seine API SBOMs, Netzwerk-Traces und Provenienz, bewertet überwachte SBOMs laufend neu und lässt Sicherheitsteams Befunde sichten und jeden an das Team weiterleiten, das für die Behebung zuständig ist. Jede Komponente trägt ihre deklarierte Lizenz, sodass Copyleft- und andere restriktive Lizenzen sichtbar werden, bevor Sie ausliefern, und eine Lizenzrichtlinie kann einen Build wegen einer Lizenz blockieren. CRACI automatisiert einen erheblichen Teil der Transparenz und der Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen.

CRACI ist nicht die richtige Wahl, wenn:

• Sie SAST, Secrets- oder IaC-Scanning brauchen (es bietet nichts davon),
• Erreichbarkeit Ihre Priorität ist (CRACI bietet sie nicht) oder Sie heute Paket-Blocklists brauchen (auf der Roadmap),
• Ihre Pipelines auf GitLab, Jenkins oder CircleCI laufen oder Windows- oder macOS-Runner brauchen (CRACI führt heute Linux-Jobs auf GitHub Actions aus; weitere CI-Systeme, Windows und macOS sind auf der Roadmap).

Wählen Sie in diesen Fällen aus den Tools oben. Wenn Sie außerdem belegen müssen, was in jedes Release eingeflossen ist, setzen Sie CRACI als Runner ein und behalten Sie Ihr SCA für Pull Requests bei. Die Argumente zu Scanner und Rekorder im Detail finden Sie unter CRACI vs. SCA- und SBOM-Tools und SBOM-Tools im Vergleich. Lesen Sie mehr über SBOM-Generierung während des Builds und Preise, oder buchen Sie eine Demo, um die Aufzeichnung eines GitHub-Actions-Builds zu sehen.

CRACI im Vergleich mit jedem Tool

• CRACI vs. Snyk Was Ihre Manifeste deklarieren vs. was Ihr Build tatsächlich getan hat.
• CRACI vs. Aikido Eine breite AppSec-Suite vs. deterministische Build-Nachweise.
• CRACI vs. Sonatype Repository-Gatekeeping und SCA vs. Build-Nachweise.
• CRACI vs. Black Duck Code-, Snippet- und Binärscans vs. Build-Nachweise.
• CRACI vs. Mend.io Abhängigkeiten scannen vs. Abhängigkeiten beobachten.
• CRACI vs. Checkmarx AppSec-Testplattform vs. Nachweise aus dem Build.
• CRACI vs. Endor Labs Erreichbarkeitsanalyse vs. Beobachtung des Builds.
• CRACI vs. JFrog Artefaktverwaltung vs. Nachweise pro Build.
• CRACI vs. GitHub Advanced Security Code-, Secret- und Abhängigkeitsscans vs. Build-Nachweise.
• CRACI vs. Dependabot Versionsupdates vs. Wissen, was Ihre Builds verwendet haben.

Im direkten Vergleich

Mehrere Tools auf einer Seite, wenn Sie eine Kategorie wählen und nicht ein einzelnes Produkt.

• Tools für Schwachstellenmanagement im Vergleich Tenable, Qualys, Rapid7, Microsoft Defender und Tools für die Software, die Sie selbst bauen.

SCA-Tools: FAQ

Kurze Antworten auf häufige Fragen zur Software Composition Analysis

Was ist ein SCA-Tool?

Ein Tool für Software Composition Analysis (SCA) findet die Open-Source- und Drittanbieter-Komponenten in Ihrer Software, gleicht sie mit Schwachstellendatenbanken wie der NVD, der GitHub Advisory Database oder OSV ab und kennzeichnet bekannte Schwachstellen und Lizenzrisiken. Die meisten SCA-Tools priorisieren außerdem Befunde, schlagen Upgrade-Pull-Requests vor oder öffnen sie, exportieren eine SBOM und überwachen weiter auf neue Schwachstellen.

Was ist SCA-Scanning?

Ein SCA-Scan liest die Manifeste, Lockfiles, installierten Pakete oder ein Container-Image eines Projekts, ermittelt, welche Komponenten enthalten sind, und gleicht sie mit Schwachstellen- und Lizenzdaten ab. Die meisten Tools führen ihn bei jedem Pull Request und nach Zeitplan aus, sodass auch neue Advisories für bereits genutzte Versionen erfasst werden.

Was ist der Unterschied zwischen SCA und SAST?

SAST analysiert den Code, den Ihr Team schreibt, auf Fehler wie Injection-Bugs. SCA analysiert die Komponenten, von denen Sie abhängen, auf bekannte Schwachstellen und Lizenzprobleme. Die meisten kommerziellen Tools auf dieser Seite verkaufen inzwischen beides, doch beide beantworten unterschiedliche Fragen.

Was ist der Unterschied zwischen SCA und einer SBOM?

SCA ist der Prozess, Komponenten zu finden und zu bewerten. Eine SBOM ist eine maschinenlesbare Liste dieser Komponenten, meist im Format CycloneDX oder SPDX. Die meisten SCA-Tools können eine exportieren, und die SBOM ist nur so vollständig wie die Methode, die sie erzeugt hat: ein Manifest-Scan, ein Binär-Scan oder eine Aufzeichnung des Builds.

Was sind die besten kostenlosen SCA-Tools?

Trivy, Grype, OSV-Scanner und OWASP Dependency-Check sind kostenlos und Open Source. Unter den kommerziellen Tools hat Semgrep einen kostenlosen Plan für bis zu 10 Contributors, Snyk, Endor Labs und Aikido haben kostenlose Pläne, und Dependabot-Warnungen gehören zu jedem GitHub-Plan. Kostenlose Tools überlassen Überwachung, Triage und Reporting meist Ihnen.

Was ist Erreichbarkeitsanalyse bei SCA?

Die Erreichbarkeitsanalyse prüft, ob Ihr Code die verwundbare Funktion in einer Abhängigkeit tatsächlich aufrufen kann, sodass nicht erreichbare Befunde auf der Liste nach unten rutschen. Snyk, Endor Labs, Mend, Checkmarx, Semgrep, Aikido, Sonatype und Black Duck bieten alle eine Form davon. CRACI nicht.

Ist CRACI ein SCA-Tool?

Nicht im klassischen Sinn. SCA-Tools scannen Dateien, um zu ermitteln, was enthalten ist. CRACI ist ein Rekorder: Es führt Ihre GitHub-Actions-Jobs aus, zeichnet die Pakete auf, die jeder Job tatsächlich geladen hat, erzeugt eine CycloneDX- oder SPDX-SBOM, die ihre eigene Vollständigkeit angibt, und überwacht sie weiter auf neue Schwachstellen. Teams setzen es neben einem SCA-Tool ein, das Pull Requests und SAST abdeckt.