StepSecurity vs. CRACI

Die kurze Antwort

StepSecurity ist eine Plattform für Software-Lieferkettensicherheit, die vier Kontrollpunkte abdeckt: Entwicklerrechner, Paket-Registries, Code-Repositories und CI/CD. Ihr CI/CD-Produkt Harden-Runner ist ein Agent, der jede ausgehende Verbindung, jeden Prozess und jeden Dateischreibvorgang in einem Job überwacht, dem verursachenden Workflow-Schritt zuordnet und Egress zu allem blockieren kann, was nicht auf einer Allowlist steht. Enterprise kostet $16 pro beitragendem Entwickler und Monat, und öffentliche Repositories auf GitHub-gehosteten Runnern sind kostenlos.

CRACI ersetzt den Runner selbst: Seine Egress-Richtlinie wird von der Runner-Plattform durchgesetzt und vor dem Jobstart validiert, und derselbe Job erzeugt eine SBOM auf Paketebene. Das ist die größte Überschneidung, die CRACI mit einem Sicherheitsanbieter hat, denn beide beschränken, was ein Build erreichen kann. Der Unterschied liegt darin, wo die Kontrolle sitzt. Harden-Runner sichert Runner, die Sie behalten, einschließlich GitHub-gehosteter. CRACIs Richtlinie ergibt sich daraus, dass es der Runner ist, und es zeichnet Pakete auf, nicht nur Ziele.

Auf einen Blick

„Keine Angabe“ bedeutet, dass wir es auf den öffentlichen Seiten von StepSecurity nicht bestätigen konnten.

Was StepSecurity gut kann

Harden-Runner

• Sichtbarkeit auf Schritt-Ebene. Jede ausgehende Verbindung, jeder Dateivorgang und jede Prozessausführung wird dem genauen Schritt, Job und Workflow zugeordnet, in dem sie stattfand. Die Enterprise-Stufe ergänzt Prozessargumente, Schreibpfade von Dateien und Warnungen per E-Mail, Slack, Microsoft Teams oder an Ihr SIEM.
• Erst auditieren, dann blockieren. Im Modus egress-policy: audit erstellt Harden-Runner eine Baseline der normalen ausgehenden Aufrufe jedes Jobs und markiert alles Neue. Danach können Sie mit einer Allowlist von Endpunkten in den Block-Modus wechseln. Eine von StepSecurity gepflegte globale Blocklist bekanntermaßen bösartiger Domains gilt auch im Audit-Modus.
• Manipulationserkennung. Es warnt bei unerwarteten Änderungen am Quellcode während des Builds.
• Breite Abdeckung. Voller Support auf GitHub-gehosteten Linux-Runnern, Audit-Modus auf GitHub-gehosteten Windows- und macOS-Runnern und in der Enterprise-Stufe selbst gehostete VMs, Bare Metal und Actions Runner Controller. StepSecurity listet außerdem GitLab CI, Azure DevOps und Runner von Drittanbietern wie Blacksmith, Depot und Namespace. Auf selbst gehosteten Runnern ist der Agent ins Runner-Image integriert, sodass Workflows keine Änderungen brauchen.
• Erfolgsbilanz. Laut StepSecurity hat Harden-Runner die Kompromittierung von tj-actions/changed-files (CVE-2025-30066) und das kompromittierte npm-Paket axios erkannt und sichert mehr als 25 Millionen Workflow-Läufe pro Woche ab. Der Agent der Community-Stufe ist Open Source unter Apache 2.0.

Wo Harden-Runner läuft

StepSecuritys eigene Support-Matrix für GitHub Actions, Stand September 2026:

Nicht unterstützt wird es, wenn ein ganzer Job in einem Container auf GitHub-gehosteten Runnern läuft, oder auf ubuntu-slim. Auf Actions Runner Controller werden nur Linux-Jobs unterstützt.

Der Rest der Plattform

• Actions-Governance: ein Inventar der von Ihnen genutzten Drittanbieter-Actions und wiederverwendbaren Workflows, Freigabe-Workflows für neue und StepSecurity Maintained Actions als geprüfte Drop-in-Ersatzlösungen.
• Secure Registry: Cooldown-Zeiträume für neue Paketversionen, Blockieren bekanntermaßen kompromittierter Versionen, Schutz vor Typosquatting und organisationsweite Blocklists, mit einer Richtlinie für Laptops und CI.
• Code Repo Security: Pull-Request-Prüfungen sowie Orchestrate Security, das Pull Requests öffnet, die Actions auf Commit-SHAs pinnen, GITHUB_TOKEN-Berechtigungen nach dem Prinzip der geringsten Rechte setzen und Dependabot-Konfigurationen ausrollen.
• Dev Machine Guard: ein Inventar von KI-Coding-Agenten, MCP-Servern, IDE-Erweiterungen und Paketen auf Entwicklerrechnern.

Worin sich CRACI unterscheidet

Der Runner sein, nicht ein Agent darauf

Auf GitHub-gehosteten Runnern wird Harden-Runner durch einen Schritt installiert, den Sie als ersten Schritt jedes Jobs hinzufügen, und seine Reichweite hängt davon ab, was GitHubs Infrastruktur erlaubt. Das ist kein Mangel des Produkts; es ergibt sich daraus, dass es auf Infrastruktur läuft, die jemand anderem gehört.

CRACIs Richtlinie ist Teil des Runners. Sie wird vor dem Jobstart validiert, lehnt unbekannte Felder ab und blockiert im Zweifel (fail closed), sodass eine Richtlinie, die sich nicht anwenden lässt, keinen ungeschützten Lauf erzeugt. Läufe erscheinen weiterhin in GitHub, und einen Job umzuziehen bedeutet, sein Label runs-on zu ändern.

Pakete, nicht nur Ziele

Die Allowlist von Harden-Runner ist eine Liste von Endpunkten, und seine Netzwerk-Insights zeigen, welche Hosts jeder Schritt kontaktiert hat. CRACIs Quellen sind nach Ökosystem typisiert, mit 24 integrierten Presets für Softwarequellen, benutzerdefinierten Quellen für npm, PyPI, apt, apk, den Go-Proxy, Nix, Cargo, OCI-Registries und Git über HTTPS und SSH sowie expliziten TLS-, TCP-, UDP- und ICMP-Regeln. Ein paketbewusster Proxy zeichnet auf, welche Pakete jeder Job geladen hat, einschließlich der aus CI-Caches wiederhergestellten Pakete, und erzeugt eine CycloneDX- oder SPDX-SBOM mit einem Vollständigkeitsstatus pro Job und pro Cache.

Nach dem Build

• Provenienzdaten liefert die API zusammen mit SBOMs und Netzwerk-Traces. CRACI signiert keine Provenienz und beansprucht kein SLSA-Level.
• Die Überwachung bewertet die SBOMs des Ausgelieferten neu, sobald neue Schwachstellen auftauchen, und Sicherheitsteams sichten Befunde und leiten sie an die Teams weiter, die für die Behebung zuständig sind.
• Das Inventar zeigt genau, welche Softwareversionen in welchen Produkten im Einsatz sind, weltweit, sodass sich eine neue Schwachstelle direkt den Produkten zuordnen lässt, die die betroffene Version nutzen.

Preis

Stand September 2026 ist die Community-Stufe von StepSecurity für unbegrenzt viele öffentliche Repositories auf GitHub-gehosteten Runnern kostenlos. Die Enterprise-Stufe kostet $16 pro Monat und beitragendem Entwickler, also pro Person, die in den letzten 90 Tagen zu einem abgesicherten Repository beigetragen hat, und enthält Dev Machine Guard und Secure Registry. Dev Machine Guard allein kostet $8 pro Gerät und Monat. Private Repositories und selbst gehostete Runner brauchen Enterprise, beide kostenpflichtigen Stufen haben eine 14-tägige kostenlose Testphase, und StepSecurity bietet Mengenrabatte. Harden-Runner sichert Runner, für die Sie bereits zahlen, Runner-Minuten sind also ein separater Kostenpunkt.

CRACI berechnet nur Build-Minuten: $0.002 pro vCPU-Minute ($0.004 für einen Standard-Runner mit 2 vCPU), sekundengenau abgerechnet, ohne Monatsgebühr. Da CRACI der Runner ist, deckt dieser Preis die Rechenleistung ebenso ab wie die Nachweise. Aktuelle Konditionen finden Sie unter CRACI-Preise.

Was passt

StepSecurity passt besser, wenn

• Sie GitHub-gehostete Runner behalten möchten, einschließlich Windows und macOS.
• Sie selbst gehostete Runner, GitLab CI oder Azure DevOps nutzen.
• Sie den Datenverkehr im Audit-Modus beobachten möchten, bevor Sie etwas blockieren.
• Sie für die Reaktion auf Vorfälle Sichtbarkeit auf Prozess- und Dateiebene brauchen.
• Ihr Open-Source-Projekt auf GitHub-gehosteten Runnern läuft und eine kostenlose Option braucht.

CRACI passt besser, wenn

• Sie den Runner und die Egress-Richtlinie an einem Ort möchten, ohne einen Agenten auszurollen.
• Sie eine SBOM auf Paketebene aus jedem Build brauchen, mit Vollständigkeitsstatus.
• Sie eine Überwachung des Ausgelieferten möchten.
• Sie CRA-Nachweise oder Datenresidenz in der EU im Enterprise-Plan von CRACI brauchen.

Was Sie aufgeben, wenn Sie Jobs zu CRACI umziehen

Klar gesagt: CRACI hat noch keinen Audit- oder Monitor-Modus (er ist auf der Roadmap), überwacht weder Prozesse noch Dateischreibvorgänge, läuft noch nicht auf GitHub-gehosteten Runnern oder anderen CI-Systemen (GitLab CI und Jenkins sind auf der Roadmap), hat Paket-Blocklists nur auf der Roadmap, und seine Warnungen decken nur Richtlinienverstöße ab, ohne Integration in Slack, Teams oder SIEM. Wenn das Ihre Prioritäten sind, deckt StepSecurity sie heute ab.

Secure Registry, Code Repo Security und Dev Machine Guard von StepSecurity schützen Punkte, die CRACI nicht berührt: die Registry, aus der Ihre Pakete stammen, Ihre Repositories und Entwickler-Laptops. Sie hängen nicht vom Runner ab und sind daher nicht davon betroffen, wo Ihre Jobs laufen.

Für den Cyber Resilience Act

Der Cyber Resilience Act verlangt von Herstellern, die Komponenten in ihren Produkten zu kennen, Schwachstellen darin zu behandeln und Nachweise aufzubewahren. StepSecurity konzentriert sich darauf, Lieferkettenangriffe zu verhindern und zu erkennen, und seine Laufzeit-Insights helfen, wenn Sie einen Vorfall im CI untersuchen. CRACI automatisiert einen erheblichen Teil der Transparenz und der Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen: im Build erzeugte SBOMs, exportiert als CycloneDX oder SPDX, Schwachstellenverfolgung und Provenienz über die API. Siehe CRA-Nachweise.

Lesen Sie mehr über CI/CD-Integration und SBOM-Generierung während des Builds, oder buchen Sie eine Demo, um einen Job unter einer Egress-Richtlinie auf CRACI zu sehen.

StepSecurity: Fragen und Antworten

Was ist StepSecurity?

StepSecurity ist eine Plattform für Software-Lieferkettensicherheit. Ihr bekanntestes Produkt, Harden-Runner, ist ein Agent, der Netzwerk-Egress, Dateiintegrität und Prozessaktivität auf CI/CD-Runnern überwacht und Egress außerhalb einer Allowlist blockieren kann. Die Plattform deckt außerdem Paket-Registries (Secure Registry), Code-Repositories (Code Repo Security), Entwicklerrechner (Dev Machine Guard) und Threat Intelligence ab.

Was kostet StepSecurity?

Stand September 2026 ist die Community-Stufe für unbegrenzt viele öffentliche Repositories kostenlos. Enterprise kostet $16 pro beitragendem Entwickler und Monat, wobei als beitragender Entwickler jede Person gilt, die in den letzten 90 Tagen zu einem abgesicherten Repository beigetragen hat, und enthält Dev Machine Guard und Secure Registry. Dev Machine Guard allein kostet $8 pro Gerät und Monat. Beide kostenpflichtigen Stufen haben eine 14-tägige kostenlose Testphase, und Runner-Minuten sind ein separater Kostenpunkt.

Ist Harden-Runner kostenlos?

Ja, für öffentliche Repositories auf GitHub-gehosteten Runnern. Private Repositories und selbst gehostete Runner, auch selbst gehostete Runner für öffentliche Repositories, brauchen die Enterprise-Stufe. Der Agent der Community-Stufe ist Open Source unter der Lizenz Apache 2.0.

Welche Runner unterstützt Harden-Runner?

GitHub-gehostete Linux-Runner im Audit- und Block-Modus, GitHub-gehostete Windows- und macOS-Runner im Audit-Modus und bei Enterprise selbst gehostete VMs, Bare Metal und Actions Runner Controller. StepSecurity listet außerdem GitLab CI, Azure DevOps und Runner von Drittanbietern wie Blacksmith, Depot und Namespace. Nicht unterstützt wird es, wenn ein ganzer Job in einem Container auf GitHub-gehosteten Runnern läuft, oder auf ubuntu-slim.

Was ist der Unterschied zwischen StepSecurity und CRACI?

Harden-Runner ist ein Agent, den Sie zu Runnern hinzufügen, die Sie behalten. CRACI ist der Runner: Seine Egress-Richtlinie wird von der Runner-Plattform durchgesetzt, vor dem Jobstart validiert und blockiert im Zweifel (fail closed), und jeder Job erzeugt außerdem eine SBOM auf Paketebene mit Vollständigkeitsstatus. StepSecurity liegt vorn beim Audit-Modus, bei der Prozess- und Dateiüberwachung und bei der Abdeckung von Runnern und CI-Systemen.

Kann CRACI Harden-Runner ersetzen?

Für GitHub-Actions-Jobs auf Linux ja: Wenn Sie einen Job zu CRACI umziehen, erhält er Egress-Kontrolle vom Runner selbst, sodass für diesen Job kein Agent nötig ist. Sie geben den Audit-Modus (auf CRACIs Roadmap), die Prozess- und Dateiüberwachung sowie die Abdeckung von GitHub-gehosteten, Windows-, macOS- und Nicht-GitHub-Runnern auf.

Erzeugt StepSecurity eine SBOM?

Harden-Runner zeichnet die Ziele, Prozesse und Dateien auf, die ein Job berührt hat, keine SBOM des Builds auf Paketebene. CRACI zeichnet auf, welche Pakete jeder Job geladen hat, einschließlich der aus CI-Caches wiederhergestellten Pakete, und exportiert CycloneDX und SPDX.