CRACI vs. Wiz

Die kurze Antwort

Wiz ist eine Cloud-Sicherheitsplattform und seit dem 11. März 2026 Teil von Google. Wiz Code ist das Produkt für Code-Sicherheit: Es scannt Code, Abhängigkeiten, Secrets und IaC, prüft Einstellungen von Versionsverwaltung und CI/CD und verbindet die Ergebnisse mit den Cloud-Ressourcen, auf denen der Code letztlich läuft. Im April 2026 hat Wiz Wiz Code auf GitHub Actions erweitert: Es parst jetzt Workflow-Dateien, modelliert Workflows, Jobs und Runner in seinem Security Graph und kennzeichnet riskante Trigger, Berechtigungen, Actions Dritter und KI-Agenten-Konfigurationen.

Das ist Konfigurationsanalyse: Sie zeigt, welche Workflows missbraucht werden könnten. CRACI arbeitet eine Ebene tiefer. Es ist der Runner für GitHub Actions, zeichnet also die Pakete auf, die jeder Job tatsächlich geladen hat, setzt während des Jobs eine Egress-Richtlinie durch und überwacht das Ausgelieferte weiter. Wiz deckt weitaus mehr ab, vom Code bis zur Cloud; CRACI deckt ab, was im Build passiert.

Auf einen Blick

„Keine Angabe“ bedeutet, dass wir es auf den öffentlichen Seiten von Wiz nicht bestätigen konnten.

Was Wiz gut kann

Vom Code bis zur Cloud

• Cloud-Kontext. Der Kern von Wiz ist Cloud-Sicherheit über AWS, Azure, Google Cloud und Oracle Cloud hinweg. Es scannt VMs, Container und Serverless-Funktionen ohne Agenten und ordnet Schwachstellen mit Kontext aus seinem Security Graph ein: Netzwerkexposition, Identitäten, Datensensibilität und Angriffspfade.
• Code-to-Cloud-Zuordnung. Wiz Code führt ein in der Cloud gefundenes Risiko bis zu dem Quellcode zurück, der es erzeugt hat, und schlägt den Fix in diesem Code vor. Für ein Team, das bereits Wiz nutzt, landen Code-Befunde im selben Graphen wie alles andere.
• Scanning an einem Ort. SCA und SBOM für direkte und transitive Abhängigkeiten, IaC-Scanning von Terraform, CloudFormation, Azure Resource Manager, Kubernetes und Docker anhand von mehr als 1.000 Regeln, Secrets in Code, IaC-Templates und Container-Images, sensible Daten wie PII und PHI sowie Malware-Scanning der Codebasis „before it reaches your CI runners“. Wiz SAST und Befunde von Scannern Dritter runden das Bild ab.

GitHub Actions und CI/CD-Posture

• Workflows im Graphen. Wiz parst Workflow-YAML von GitHub Actions und modelliert Workflows, Jobs, Runner und ihre Beziehungen. So wird eine Pipeline zu einem abfragbaren Asset mit Kontext dazu, was sie auslöst und worauf sie zugreifen kann.
• Riskante Konfiguration. Es kennzeichnet gefährliche Trigger wie pull_request_target, analysiert die in Workflow-Dateien deklarierten Berechtigungen und meldet riskante oder übermäßige, deckt riskante Eingaben und mögliche Secret-Leaks in Pipeline-Definitionen auf, inventarisiert die Actions Dritter, die jeder Workflow nutzt, und kennzeichnet KI-Agenten in Workflows, die für Prompt Injection anfällig sind.
• Benchmarks. Wiz Code prüft Versionsverwaltungs- und CI/CD-Systeme auf Fehlkonfigurationen und unsichere Standardeinstellungen, mit OpenSSF Best Practices, den OWASP Top 10 CI/CD Risks und CIS-Benchmarks für GitHub und GitLab.
• Bedrohungserkennung. Wiz nimmt Audit-Logs von Versionsverwaltungs- und CI/CD-Plattformen auf, um Ereignisse wie einen verdächtigen Clone oder eine gelöschte Branch-Protection-Regel zu erfassen, und sein Sensor auf selbst gehosteten CI-Runnern kann verdächtige Aktivitäten erkennen, etwa wenn ein Runner eine Crypto-Mining-Domain kontaktiert.

Worin sich CRACI unterscheidet

Durchsetzung im Job, nicht Befunde darüber

Die Ankündigung von Wiz beschreibt Inventar, Analyse und Befunde. Sie beschreibt keine Kontrolle darüber, was ein Job während des Laufs erreichen kann. Die Egress-Richtlinie von CRACI ist Teil des Runners. Richtlinien sind standardmäßig sperrend oder erlaubend, mit 24 integrierten Presets für Softwarequellen, typisierten eigenen Quellen für npm, PyPI, apt, apk, den Go-Proxy, Nix, Cargo, OCI-Registries und Git sowie expliziten TLS-, TCP-, UDP- und ICMP-Regeln. Sie werden vor dem Start des Jobs validiert und blockieren im Zweifel (fail closed), und CRACI warnt Sie bei einem Verstoß.

Das ist wichtig, weil Lieferkettenangriffe in Jobs ablaufen, die korrekt konfiguriert aussehen. Laut der eigenen Forschung von Wiz zur zweiten Shai-Hulud-Welle liefen die meisten Infektionen in CI/CD-Pipelines. Ein Posture-Befund kann Ihnen sagen, dass ein Workflow exponiert ist; ein bereits laufendes kompromittiertes Paket kann er nicht stoppen. Mit einer standardmäßig sperrenden Richtlinie wird eine Verbindung zu einem Host, den der Build nicht braucht, blockiert, selbst bei einem Angriff, den noch niemand gesehen hat.

Was der Build geladen hat, nicht was der Code deklariert

Die SCA von Wiz Code scannt die Abhängigkeiten in Ihrem Code, und seine agentenlosen SBOMs beschreiben Cloud-Workloads. CRACI sieht den Datenverkehr, der in jeden Build hineinkommt: Ein paketbewusster Proxy zeichnet jedes Paket auf, das der Job von npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen geladen hat, dazu Download-Presets, einschließlich aus CI-Caches wiederhergestellter Pakete. So zeichnet CRACI die versteckten Abhängigkeiten auf, die Lockfile-basierte Tools übersehen, etwa von npm-Install-Hooks heruntergeladenen Code oder die Basis-Image-Layer eines Container-Builds. Auch die GitHub Actions, die ein Workflow ausgeführt hat, stehen in der SBOM, gepinnt auf den verwendeten Commit. Jede SBOM trägt einen Vollständigkeitsstatus pro Job und pro Cache. Hat die Aufzeichnung eine Lücke, sagt sie das.

Nachweise aus dem Build

Die API liefert SBOMs, Netzwerk-Traces und Provenienz. CRACI signiert Provenienz nicht und beansprucht kein SLSA-Level. CRACI bewertet die SBOMs des Ausgelieferten laufend neu, sobald neue Schwachstellen veröffentlicht werden, und zeigt jeden früheren Build, der eine verwundbare Abhängigkeit enthielt, sodass Sie wissen, wie lange Sie exponiert waren.

Wo Wiz vorn liegt

Klar gesagt: CRACI hat kein SAST-, Secrets-, IaC- oder Malware-Scanning, keine CI/CD-Posture-Prüfungen, keine Prozessüberwachung auf Runnern, keine Cloud-Sicherheit und keine Code-to-Cloud-Zuordnung. Es führt heute nur GitHub Actions aus; GitLab CI und Jenkins sind auf der Roadmap. Wenn Ihre Priorität eine einzige Risikosicht vom Code bis zur Cloud ist, deckt Wiz deutlich mehr ab.

Was passt

Wiz passt besser, wenn

• Sie Wiz bereits für Cloud-Sicherheit nutzen und Code- und Pipeline-Risiken im selben Graphen möchten.
• Sie riskante Workflow-Trigger, Berechtigungen und Actions Dritter über viele Repositories hinweg finden möchten.
• Sie SAST-, Secrets-, IaC- und Malware-Scanning mit Cloud-Kontext für die Priorisierung brauchen.
• Sie selbst gehostete Runner betreiben und darauf Bedrohungserkennung möchten.

CRACI passt besser, wenn

• Sie eine in jedem GitHub-Actions-Job durchgesetzte Egress-Richtlinie möchten, nicht nur Befunde zum Workflow.
• Sie eine SBOM dessen brauchen, was jeder Build tatsächlich geladen hat, mit einem Vollständigkeitsstatus, den Sie einem Auditor zeigen können.
• Sie die Überwachung des Ausgelieferten und die Build-Historie aus derselben Aufzeichnung möchten.

Beide nutzen

Die Posture-Prüfungen, das Code-Scanning und die Cloud-Sicherheit von Wiz Code decken Bereiche ab, die CRACI bewusst nicht berührt, sie bleiben also, wo sie sind. CRACI ersetzt den Runner, nicht GitHub Actions: Ihre Workflows und Repositories bleiben in GitHub, Wiz analysiert also weiter dieselben Workflow-Dateien, während die Jobs auf CRACI laufen. CRACI führt Builds außerdem etwa doppelt so schnell aus wie GitHub-gehostete Runner, dank schnellerer Hardware, kürzerer Wartezeiten und Caching, und berechnet nur Build-Minuten. Siehe CRACI-Preise.

Für den Cyber Resilience Act

Der Cyber Resilience Act ist eines von mehreren Regelwerken, die eine SBOM und einen Prozess zur Schwachstellenbehandlung verlangen. CRACI automatisiert einen erheblichen Teil der Lieferketten-Transparenz und der Nachweise, die ein CRA-Prozess braucht: Build-Time-SBOMs, exportiert als CycloneDX oder SPDX, Schwachstellenverfolgung und Provenienz über die API. Siehe CRA-Nachweise. Keines der Tools macht ein Produkt allein konform.

Weitere Plattformen in diesem Bereich finden Sie unter CRACI vs. OX Security, CRACI vs. StepSecurity, CRACI vs. Xygeni und Tools für Software-Lieferkettensicherheit.

Wiz: Fragen und Antworten

Was ist Wiz Code?

Wiz Code ist der Teil der Cloud-Sicherheitsplattform Wiz für Code-Sicherheit. Es scannt Code auf verwundbare Abhängigkeiten, Secrets, IaC-Fehlkonfigurationen, sensible Daten und Malware, ergänzt SAST und Befunde von Scannern Dritter, prüft Einstellungen von Versionsverwaltung und CI/CD anhand von Benchmarks und führt Cloud-Risiken bis zu dem Quellcode zurück, der sie verursacht hat.

Sichert Wiz Code GitHub Actions ab?

Wiz Code analysiert die Konfiguration von GitHub Actions. Seit April 2026 parst es Workflow-YAML-Dateien und modelliert Workflows, Jobs, Runner und ihre Beziehungen im Wiz Security Graph, kennzeichnet gefährliche Trigger wie pull_request_target, meldet riskante oder übermäßige Berechtigungen, inventarisiert Actions Dritter und kennzeichnet riskante KI-Agenten-Setups. Die Ankündigung von Wiz beschreibt keine Kontrolle darüber, was ein Job während des Laufs erreichen kann. CRACI ist der Runner und setzt daher in jedem Job eine Egress-Richtlinie durch.

Gehört Wiz zu Google?

Ja. Google hat die Übernahme von Wiz am 11. März 2026 abgeschlossen. Laut Wiz bleibt es eine Multi-Cloud-Plattform für AWS, Azure, Google Cloud und Oracle Cloud.

Was kostet Wiz?

Wiz veröffentlicht keine Listenpreise. Stand September 2026 beschreibt die Preisseite einheitliche Angebote und À-la-carte-Optionen mit Preisen auf Anfrage. CRACI berechnet nur Build-Minuten: $0.002 pro vCPU-Minute ($0.004 für einen Standard-Runner mit 2 vCPU), sekundengenau abgerechnet, ohne Monatsgebühr.

Kann CRACI Wiz Code ersetzen?

Nicht als Ganzes. CRACI hat kein SAST-, Secrets-, IaC- oder Malware-Scanning, keine CI/CD-Posture-Prüfungen und keine Cloud-Sicherheit. Für GitHub-Actions-Builds ergänzt CRACI, was Konfigurationsanalyse nicht leisten kann: Es ist der Runner, zeichnet also die Pakete auf, die jeder Job geladen hat, und setzt während des Jobs eine Egress-Richtlinie durch.