Vergleich
Preise für Software-Lieferkettensicherheit im Vergleich
Was es kostet zu wissen, was in Ihre Software einfließt, und es überwacht zu halten: veröffentlichte Preise der SCA-, SBOM- und Build-Sicherheitstools für diese Aufgabe, pro Entwickler und gesamt mit dem CI-Runner.
Aktualisiert am
Die Kurzfassung
- Die meisten Tools rechnen pro Entwickler ab. Bei 25 Entwicklern liegen die veröffentlichten Lizenzen zwischen $16 und $70 pro Entwickler und Monat. Enterprise-SCA von Black Duck, Sonatype und Endor Labs gibt es nur auf Anfrage.
- Der SBOM-Export erfordert oft einen höheren Plan. Snyk exportiert SBOMs nur in Enterprise und Socket ab Business; GitHub exportiert den Abhängigkeitsgraphen kostenlos als SPDX.
- CRACI erhebt derzeit keine Lizenzgebühr. Abgerechnet werden nur Build-Minuten, $0.002 pro vCPU-Minute, und diese Minuten bezahlen auch den Runner. Auf Standard-x64-Runnern liegt das unter den Minuten GitHub-gehosteter Runner allein.
- Der Umfang ist nicht derselbe. Mehrere Tools ergänzen SAST, Secrets-Erkennung oder Malware-Erkennung. CRACI zeichnet auf, was jeder Build tatsächlich geladen hat, und kontrolliert, was er erreichen kann.
Wer in diesem Vergleich vorkommt
CRACI führt GitHub-Actions-Jobs aus, zeichnet jedes Paket, das ein Job geladen hat, als SBOM auf, überwacht diese SBOMs auf neue Schwachstellen und setzt für den Job eine Egress-Richtlinie durch. Diese Seite vergleicht die Preise der Produkte, die einen Teil dieser Aufgabe für die Software übernehmen, die Sie bauen:
- SCA mit SBOM-Export: Snyk, GitHub Code Security, Aikido, Socket, Semgrep Supply Chain, JFrog Xray und Kusari Inspector.
- SBOM-Management: FOSSA sowie Docker Scout für Container-Images.
- Build-Sicherheit: StepSecurity, das den Runnern, die Sie behalten, eine Egress-Kontrolle hinzufügt.
Nicht enthalten: CI-Runner, die einen eigenen Preisvergleich haben; reine SAST-Tools; Firmware- und Binäranalyse; und gehärtete Images wie Chainguard, die die Eingaben absichern, statt den Build aufzuzeichnen.
Was jede Lizenz pro Entwickler kostet
Jedes Produkt im günstigsten Plan, der SBOM-Export enthält. Pauschal- und Staffelpläne werden durch das Team geteilt, sodass FOSSA, JFrog und Aikido pro Entwickler günstiger werden, je mehr das Team eine Staffel ausfüllt. Fahren Sie mit der Maus über einen Balken, um zu sehen, was der Plan abdeckt.
Lizenz pro Entwickler pro Monat für ein Team von 25, niedrigste zuerst
CRACI liegt hier bei $0: keine Lizenz und keine Gebühr pro Entwickler. Sie zahlen $0.002 pro vCPU-Minute Build-Zeit, was auch den Runner bezahlt; das nächste Diagramm rechnet das ein.
Die Gesamtkosten: Runner-Minuten plus Sicherheit
CRACI ersetzt den Runner, also gehört der Runner bei einem fairen Vergleich auf jede Seite. Mit jedem anderen Tool zahlen Sie weiter für Minuten GitHub-gehosteter Runner und zusätzlich die Lizenz. Mit CRACI zahlen Sie Build-Minuten und sonst nichts. Geben Sie Ihr Team ein und wie viele Build-Minuten jeder Entwickler im Monat nutzt; der Standardwert von 1.000 dient nur der Veranschaulichung.
Monatliche Kosten für 25 Entwickler und 25,000 Build-Minuten auf 2 vCPU x64, niedrigste zuerst
CRACI $100 pro Monat gegenüber $132 für GitHub-gehostete Runner allein: SBOM, Schwachstellenüberwachung und Egress-Richtlinie liegen unter dem, was die Runner-Minuten heute kosten.
Jährliche Kosten bei wachsendem Team, gleiche Build-Minuten pro Entwickler
Zu Listenpreisen kosten die Build-Minuten von CRACI auf einem Standard-x64-Runner mit 2 vCPU etwa 33 % weniger als GitHub-gehostete Minuten, und jedes Produkt hier kommt mit einer Lizenz obendrauf. Bei großen ARM64-Runnern verschiebt sich das Verhältnis: GitHubs arm64-Runner mit 32 Kernen kostet laut Liste $0.050 pro Minute gegenüber $0.064 bei CRACI, CRACI kostet dort also etwa 28 % mehr pro Minute. CRACI führt Builds außerdem etwa doppelt so schnell aus wie GitHub-gehostete Runner, dank schnellerer Hardware, kürzerer Wartezeiten und Caching; setzen Sie das Häkchen, um das einzurechnen.
Was Sie für den Preis bekommen
| Funktion | Dargestellter Plan | Abrechnung | SBOM in diesem Plan | Egress-Kontrolle für CI-Jobs |
|---|---|---|---|---|
| CRACI | Pro, Abrechnung pro Build-Minute | $0.002 pro vCPU-Minute Build-Zeit, Runner inklusive | Im Build aufgezeichnet, mit Vollständigkeitsstatus | Vor dem Job validiert, sperrt im Fehlerfall |
| GitHub Code Security | Code Security | $30 pro aktivem Committer pro Monat | SPDX-Export des Abhängigkeitsgraphen ist in jedem Plan kostenlos | Nicht aufgeführt |
| Snyk | Enterprise-Credits | 1 Credit ($1) pro aktivem Contributor pro Tag | SBOM-Export und Lizenz-Compliance nur in Enterprise | Nicht aufgeführt |
| Aikido | Basic, über 20 dann Pro | Monatliche Pauschale pro Nutzerblock | SBOM-Generierung ab Basic | Nicht aufgeführt |
| Socket | Business | $50 pro Entwickler pro Monat, mindestens 20 | SBOM-Import und -Export ab Business (Export in der Beta) | Nicht aufgeführt |
| Semgrep Supply Chain | Kostenlos bis 10, dann Teams | $30 pro Contributor pro Monat | SBOM-Generierung in jeder Stufe | Nicht aufgeführt |
| FOSSA | Business | Größenstufen nach Entwicklern und Projekten | SBOM-Generierung, -Import und VEX | Nicht aufgeführt |
| JFrog Xray | Enterprise X (Cloud) | Ab $950 pro Monat | Xray erstellt und exportiert SBOMs | Nicht aufgeführt |
| Docker Scout | Team, dann Business | $16 pro Nutzer pro Monat | SBOMs nur für Container-Images | Nicht aufgeführt |
| Kusari Inspector | Inspector für Teams | Ab $25 pro Entwickler pro Monat | SBOM-Generierung in kostenpflichtigen Plänen | Nicht aufgeführt |
| StepSecurity | Enterprise | $16 pro beitragendem Entwickler pro Monat | Auf der Preisseite nicht aufgeführt | Nicht aufgeführt |
- Enthalten
- Teilweise
- Nicht enthalten
Produkte ohne veröffentlichte Preise
Enterprise-SCA und die Plattformen für Lieferkettensicherheit werden meist über den Vertrieb verkauft, in der Regel pro beitragendem Entwickler. Sie erfüllen dieselbe Aufgabe für die Software, die Sie bauen, gehören also auf die Shortlist, lassen sich aber nicht in einem Diagramm darstellen.
| Funktion | Was es leistet | Preis |
|---|---|---|
| Black Duck | SCA über Quellcode, Pakete und Binärdateien | Nur auf Anfrage |
| Sonatype Lifecycle and SBOM Manager | SCA und SBOM-Management | Nur auf Anfrage |
| Endor Labs | SCA mit Erreichbarkeit, SBOM und VEX | Pro beitragendem Entwickler, nur auf Anfrage |
| Mend AppSec | SCA, SAST und Container | Bis zu $1,000 pro Entwickler und Jahr |
| Anchore Enterprise | SBOM-Generierung und -Management | Nur auf Anfrage |
| Cycode | ASPM mit CI/CD-Sicherheit und SBOM | Nur auf Anfrage, nach Entwicklern und KI-Nutzung |
| OX Security | Sicherheitslage von Code, SCA, SBOM und Pipeline | Pro beitragendem Entwickler, nur auf Anfrage |
| Apiiro | ASPM mit Software-Inventar | Nicht veröffentlicht |
| Legit Security | SDLC- und Pipeline-Sicherheit | Nicht veröffentlicht |
| Cybeats, Manifest, Lineaje | SBOM-Management | Nicht veröffentlicht |
| SBOM Observer | SBOM-Management | Etwa $80 (€69) pro Nutzer und Monat, bis zu 10 Projekte |
| sbomify | SBOM-Hub und Trust Center | $199 pro Monat, 5 Produkte |
| Dependency-Track | SBOM-Analyse, Open Source | Kostenlos; Sie hosten und betreiben es selbst |
Was CRACI nicht leistet
CRACI deckt nicht alles ab, was diese Tools leisten. Es scannt Quellcode nicht auf Schwachstellen oder Secrets, führt keine Erreichbarkeitsanalyse durch und bewertet Pakete nicht auf Malware; es markiert bekannte bösartige Releases, sobald es ein Advisory gibt. Es führt GitHub-Actions-Jobs unter Linux aus; Windows und macOS stehen auf der Roadmap. Wenn SAST oder Secrets-Scanning auf Ihrer Liste stehen, gibt es viele gute Tools, die neben CRACI laufen.
Stattdessen zeichnet es den Build selbst auf. Während jeder Job läuft, zeichnet CRACI jedes geladene Paket auf, einschließlich der aus Caches wiederhergestellten Pakete, und macht daraus eine SBOM mit ausgewiesener Vollständigkeit. Es überwacht diese SBOMs, lässt Sicherheitsteams Befunde sichten und Builds anhand von Befunden blockieren und liefert SBOMs, Netzwerk-Traces und Provenienz über seine API. Siehe CRACI-Preise, oder buchen Sie eine Demo, um den Preis Ihrer eigenen Pipeline zu berechnen.
Wie wir verglichen haben
- Quellen: die Preisseite oder Dokumentation des jeweiligen Anbieters, geprüft am 29. September 2026.
- Pläne: der günstigste Plan mit SBOM-Export, monatlich abgerechnet, wo der Anbieter das anbietet. Snyk ist mit dem veröffentlichten Enterprise-Credit-Satz für Snyk Open Source dargestellt, ein Credit zu $1 pro aktivem Contributor pro Tag. Der Preis von Kusari ist ein Einstiegspreis.
- Teamgröße: Entwickler meint die Lizenzeinheit des jeweiligen Anbieters (aktiver Committer, beitragender Entwickler oder Nutzer), bezogen auf das gesamte Team.
- Runner-Minuten: Linux-Listenpreise für GitHub-gehostete Runner ohne Rundung pro Job, was GitHub leicht begünstigt. CRACI zum Listenpreis von $0.002 pro vCPU-Minute.
- Nicht enthalten: Steuern, Mengenrabatte, Rabatte für jährliche Vorauszahlung und die Kosten für den Eigenbetrieb von Open-Source-Tools wie Dependency-Track.
Preise für Lieferkettensicherheit: häufig gestellte Fragen
Kurze Antworten dazu, was diese Tools kosten und was der Preis abdeckt.
Was kostet Software-Lieferkettensicherheit?
Bei Tools mit veröffentlichten Preisen reicht die Spanne mit Stand September 2026 von nichts bis etwa $70 pro Entwickler und Monat. Die Dependabot-Warnungen und der SBOM-Export von GitHub sind kostenlos, Semgrep Supply Chain ist für bis zu 10 Contributors kostenlos, und Pläne pro Entwickler reichen von $16 (StepSecurity) bis $50 (Socket Business). Enterprise-SCA von Black Duck, Sonatype und Endor Labs gibt es nur auf Anfrage.
Wie ist die Preisgestaltung von CRACI?
CRACI rechnet nur Build-Minuten ab: $0.002 pro vCPU-Minute ($0.004 für einen Standard-Runner mit 2 vCPU), sekundengenau erfasst, ohne Monatsgebühr, ohne Gebühr pro Entwickler und ohne Gebühr pro SBOM. Die Build-Minuten bezahlen auch den Runner, denn CRACI ersetzt den GitHub-Actions-Runner.
Warum enthält der Vergleich Runner-Minuten?
Weil CRACI der Runner ist. Mit jedem anderen Tool auf dieser Seite zahlen Sie weiter für Minuten GitHub-gehosteter Runner und zusätzlich die Lizenz. Würde man die Build-Minuten von CRACI nur mit einer Lizenz vergleichen, fehlte die Runner-Rechnung, die CRACI ersetzt.
Welchen Plan brauchen Sie für den SBOM-Export?
Das ist unterschiedlich. Snyk exportiert SBOMs nur in Enterprise, Socket ab Business, Aikido ab Basic, und FOSSA, Semgrep und JFrog Xray in den hier dargestellten Plänen. GitHub exportiert den Abhängigkeitsgraphen in jedem Plan als SPDX. CRACI zeichnet in jedem Build, den es ausführt, eine SBOM auf.
Was leisten die anderen Tools, was CRACI nicht leistet?
Unter anderem SAST, Secrets-Scanning, Erreichbarkeitsanalyse und Reputationsbewertung bösartiger Pakete. Aikido, Snyk, Semgrep und GitHub Code Security scannen Quellcode; Socket und Aikido blockieren bösartige Pakete. CRACI markiert bekannte bösartige Releases, für die es ein Advisory gibt, bewertet Pakete aber nicht auf Malware. Es führt GitHub-Actions-Jobs unter Linux aus.
Berechnen Sie den Preis Ihrer Pipeline auf CRACI
Buchen Sie eine Demo: Wir lassen einen Ihrer Workflows auf CRACI laufen, zeigen seine SBOM und vergleichen die Kosten mit Ihrem heutigen Runner und Ihren Tools.
Demo buchen