Die 14 besten Container-Scan-Tools im Jahr 2026

Container sind zum Rückgrat des modernen DevOps geworden, doch ihre Absicherung ist eine komplexe und ständig wachsende Herausforderung. Ein anfälliges Basis-Image birgt ein anderes Risiko als ein falsch konfigurierter Container, was wiederum ein anderes Risiko darstellt als eine Abhängigkeit ohne CVE, die bösartigen Code zur Laufzeit ausführt. Die meisten Teams entdecken dies auf die harte Tour.

Die Zahlen spiegeln dies wider. Etwa 87 % der Container-Images weisen schwerwiegende oder kritische Schwachstellen auf. Lieferkettenangriffe nehmen zu. Und die CVE-Datenbanken, auf die sich die meisten Scanner verlassen, werden immer hinter dem zurückbleiben, was Angreifer tatsächlich ausnutzen. Das Scannen Ihrer Images in CI ist notwendig, deckt aber nur einen Teil des Gesamtbildes ab.

Die Landschaft des Container-Scannings ist mit dieser Komplexität gewachsen. Einige Tools konzentrieren sich rein auf das Image-Scanning und tun dies gut. Andere erweitern sich auf Laufzeit-Enforcement, Admission Control oder vollständige CNAPP-Abdeckung. Die Unterschiede zwischen ihnen sind wichtiger, als die Feature-Listen vermuten lassen, und die richtige Wahl hängt davon ab, was Ihr Team tatsächlich schützen muss und wann.

Dieser Leitfaden analysiert die Tools, die 2026 evaluiert werden sollten, gemessen daran, was sie erkennen, was sie beheben, was sie übersehen und für welche Umgebungen sie entwickelt wurden.

TL;DR

Aikido Sicherheit ist der wichtigste Ausgangspunkt für Unternehmensteams. Das Tool ermittelt container CVEs, Fehlkonfigurationen und anfällige Abhängigkeiten und behebt diese anschließend. AutoFix eröffnet einen Pull-Request mit der Behebung. Bei Schwachstellen im Basis-Image erfolgt dies durch einen einfachen Austausch gegen ein Image, in dem die bekannten kritischen und hohen Schwachstellen bereits behoben sind – eine Migration ist nicht erforderlich. „ Erreichbarkeitsanalyse “ und Deduplizierung beschränken den Bericht auf das, was tatsächlich ausgenutzt werden kann, anstatt Tausende von Rohbefunden aufzulisten. Und da die Arbeit mit Images auf derselben Plattform wie Ihr Code und Ihre Cloud stattfindet, wird ein „ container “-Befund mit dem dazugehörigen Kontext bereitgestellt und nicht in einem fünften separaten Tool.

Was ist Container-Scanning?

Container-Scanning ist der Prozess der Analyse von Container-Images (und gelegentlich laufenden Containern) auf Sicherheitsprobleme. Vereinfacht ausgedrückt bedeutet dies, den Inhalt Ihrer Docker/OCI-Images auf bekannte Schwachstellen, Malware, Secrets oder Konfigurationsfehler zu scannen, bevor diese Container in der Produktion ausgeführt werden. 

Ein Container-Scanner entpackt typischerweise ein Image, katalogisiert dessen OS-Pakete, Bibliotheken und Konfiguration und vergleicht all dies mit Schwachstellendatenbanken und Sicherheits-Benchmarks. 

In einem sicheren DevOps-Workflow ist Container-Scanning ein automatisierter Schritt in der Pipeline, um Probleme frühzeitig zu kennzeichnen, damit Entwickelnde sie als Teil der normalen Entwicklung beheben können, ähnlich wie beim Kompilieren von Code oder Ausführen von Tests.

Warum Sie Container-Scanning-Tools benötigen

Hier sind 5 Gründe, warum Sie Container-Scanning-Tools benötigen:

• Schwachstellen frühzeitig erkennen: Erkennen Sie bekannte CVEs und Schwachstellen in Ihren Images automatisch, bevor sie in Produktion gehen. Dies hilft Ihnen, Images proaktiv zu patchen oder neu zu erstellen, anstatt auf Vorfälle zu reagieren.
• Compliance sicherstellen: Erfüllen Sie Sicherheitsstandards und Best Practices (CIS-Benchmarks, PCI-DSS, HIPAA usw.), indem Sie überprüfen, ob Ihre Container keine verbotenen Pakete oder Konfigurationen enthalten. Scans erstellen Berichte und Audit-Trails, um Compliance-Anforderungen zu erfüllen.
• In CI/CD integrieren: Moderne Container-Scanner lassen sich in Ihre CI/CD-Pipeline oder Container-Registry integrieren und fungieren als Prüfpunkt. Sie können die Bereitstellung riskanter Images blockieren, ohne die Entwicklung zu verlangsamen.
• Risiko von Sicherheitsverletzungen reduzieren: Indem Scanner kritische Schwachstellen (z. B. eine alte OpenSSL-Bibliothek oder ein geleaktes Geheimnis) finden und zur Behebung auffordern, verkleinern sie Ihre Angriffsfläche. Weniger bekannte Schwachstellen in Containern bedeuten, dass Angreifer weniger leichte Ziele haben.
• Automatisieren und Zeit sparen: Anstatt manuell zu prüfen, was sich in jedem Container befindet, überlassen Sie die Schwerarbeit dem Tool. Teams erhalten konsistente, wiederholbare Scans mit minimalem Aufwand – wodurch Entwickelnde und DevOps sich auf Features konzentrieren können, anstatt Sicherheitsvorfälle zu bekämpfen.

So wählen Sie den richtigen Container-Scanner

Nicht alle Tools für Containersicherheit sind gleich. Bei der Bewertung von Scannern sollten Sie einige Schlüsselfaktoren berücksichtigen, die über die reine Frage „Findet es Schwachstellen?“ hinausgehen. Hier sind einige Kriterien, die Sie beachten sollten:

• CI/CD- und Registry-Integration: Das Tool sollte sich nahtlos in Ihren Workflow einfügen – z. B. eine CLI für Pipelines, Plugins für Jenkins/GitLab oder Registry-Hooks. Wenn es Bilder bei jedem Build oder Push automatisch scannen kann, ist die Wahrscheinlichkeit höher, dass Sie es tatsächlich regelmäßig nutzen.
• Genauigkeit (wenig Fehlalarme): Suchen Sie nach Scannern, die für ein hohes Signal-Rausch-Verhältnis bekannt sind. Die besten Tools verwenden Policy Engines oder intelligente Filterung, um Sie nicht mit irrelevanten Warnmeldungen zu überfluten. Weniger Fehlalarme bedeuten, dass Entwickelnde dem Tool vertrauen, anstatt es zu ignorieren.
• Abdeckung von Problemen: Berücksichtigen Sie, was jeder Scanner tatsächlich prüft. Einige konzentrieren sich ausschließlich auf OS-Paket-CVEs, während andere auch Schwachstellen in Sprachbibliotheken, geheime Schlüssel oder Konfigurationsprobleme kennzeichnen. Idealerweise wählen Sie einen Scanner, der die gesamte Bandbreite der für Ihren Stack relevanten Risiken abdeckt (Images, Dateisysteme, Kubernetes-Konfigurationen usw.).
• Hilfe bei der Behebung: Scannen ist Schritt eins, Beheben ist Schritt zwei. Gute Scanner bieten Anleitungen zur Behebung: z. B. „Aktualisieren Sie dieses Basis-Image auf Version X, um 10 Schwachstellen zu beheben“ oder sogar 1-Klick-AutoFix-Lösungen. Dies kann den Patching-Prozess drastisch beschleunigen.
• Skalierbarkeit und Management: Für größere Umgebungen sollten Sie prüfen, ob das Tool ein zentrales Dashboard oder Berichte, rollenbasierte Zugriffe und die Fähigkeit bietet, Tausende von Images kontinuierlich zu verwalten. Enterprise-Teams könnten Funktionen zur Durchsetzung von Richtlinien (wie das Blockieren eines Images, das die Kriterien nicht erfüllt) und die Integration mit Ticketing- oder SIEM-Systemen priorisieren.

Behalten Sie diese Kriterien im Hinterkopf, während Sie Optionen erkunden. Als Nächstes werfen wir einen Blick auf die besten Container-Scanning-Tools, die 2025 verfügbar sind, und was jedes davon bietet. Weiter unten werden wir die besten Scanner für spezifische Anwendungsfälle genauer betrachten: von Entwickelnden-Laptops bis hin zu Kubernetes-Clustern.

Die 13 besten Container-Scanning-Tools für 2026

(Alphabetisch nach Namen geordnet; jedes Tool bietet einzigartige Stärken bei der Sicherung von Containern.)

Zunächst ein Vergleich der Top 5 der gesamten Container-Scanning-Tools, basierend auf Funktionen wie CI/CD-Integration, Unterstützung bei der Behebung, Laufzeitsicherheit und Entwickelnden-Erfahrung. 

Diese Tools sind in ihrer Klasse führend für eine Vielzahl von Anforderungen (von schnell agierenden Entwicklungsteams bis hin zu großen Unternehmenssicherheitsoperationen).

Die 5 besten Tools für Container-Scanning

1. Aikido

Die meisten container -Scanner beschränken sich darauf, die CVEs zu finden und die Behebung Ihnen zu überlassen. Aikido findet sie und behebt sie. Der container -Image-Scan erkennt CVEs in Betriebssystempaketen, anfällige Abhängigkeiten und Fehlkonfigurationen. Anschließend schlägt AutoFix die Behebung als Pull-Request vor, den Sie prüfen und zusammenführen können – unabhängig davon, ob es sich um eine Aktualisierung der Abhängigkeiten oder den Wechsel zu einem gepatchten Basis-Image handelt.

Gerade beim Austausch des Basisbildes geht Aikido über die Funktionen eines Scanners hinaus. Aikido Images ist ein Verzeichnis mit über 2.000 sofort einsetzbaren Ersatzversionen, bei denen die bekannten kritischen und hochgradigen Sicherheitslücken in der Basisversion bereits behoben wurden – und zwar genau für die Basisversion, die Sie heute verwenden. Es ist keine Migration auf eine neue Distribution erforderlich und es gibt keine kompatibilitätsbrechenden Änderungen, da „ Aikido “ die von Ihnen bereits verwendete Basisversion patcht, anstatt Sie auf eine eigene umzustellen. Zum Beispiel: debian:bookworm liefert ein anfälliges glib2.0 das Debian in Trixie und Sid behoben hat, aber nie auf Bookworm zurückportiert wurde; die Variante „ Aikido “ weist ein gepatcht glib2.0 das CVE-2025-4373 behebt.

Wichtige Funktionen:

• Erreichbarkeitsanalyse: Das Ziel ist nicht, die Anzahl der CVEs auf null zu senken, sondern zu wissen, welche davon tatsächlich erreichbar sind und ausgenutzt werden können. „ Aikido “ kombiniert über 100 benutzerdefinierte Regeln mit einer eigenen Erreichbarkeits-Engine, um Fehlalarme zu reduzieren und nur die wirklich relevanten Ergebnisse anzuzeigen.
• AutoFix und gepatchte Basis-Images: Ein-Klick-Korrekturen für Schwachstellen in „ container “, einschließlich des direkten Wechsels zu einer bereits gepatchten Basisversion. Jeder Pull aus docker.aikido.io wird mit einem „ SBOM “, einem VEX-Dokument und einer SLSA-Provenienz geliefert.
• Backportierte Korrekturen: Während die meisten Tools Probleme durch ein Upgrade eines Pakets auf eine neuere Version beheben, setzt „ Aikido “ auf Backporting, d. h. die Korrektur aus der neueren Version wird auf die Version angewendet, die Sie bereits nutzen. Da die Änderung gering bleibt, verhält sich das Image mit größerer Wahrscheinlichkeit so, wie es Ihre App erwartet, und Sie vermeiden den „Upgrade-Schulden“, die sich ansammeln, wenn jeder Patch Sie auf eine neuere Version zwingt.
• Unterstützung über das Ende des Lebenszyklus hinaus: „ Aikido “ stellt weiterhin Patches für Versionen bereit, nachdem die Upstream-Distribution die Unterstützung eingestellt hat. So können Sie eine ältere Basisversion beibehalten, ohne deren bekannte Sicherheitslücken in Kauf nehmen zu müssen.
• Sicherheitslücken ohne CVE: Ein wachsender Anteil tatsächlich behobener Sicherheitslücken erhält nie eine CVE-Nummer. Aikido Intel wertet zusätzlich zu den Standard-Feeds von NVD und GHSA die Changelogs und Commit-Verläufe der Upstream-Projekte aus, um Sicherheitslücken aufzuspüren, die stillschweigend ohne CVE-Nummer behoben wurden.
• Sofortige Deduplizierung: Wenn derselbe Fehler an vielen Stellen auftritt, wird er nur einmal angezeigt und klassifiziert, anstatt als eine Flut einzelner Probleme.
• Über das Image hinaus: Pakete auf Anwendungsebene aus npm, PyPI, Maven und Go werden direkt über „Aikido Libraries“ gepatcht, und die Arbeit an Images erfolgt auf derselben Plattform wie „ SAST “, „ DAST “, „ SCA “, „ secrets “ und die Cloud-Sicherheitsbewertung, sodass ein Befund aus „ container “ zusammen mit dem zugehörigen Code- und Cloud-Kontext angezeigt wird.
• Flexible Bereitstellung: Optionen für die Cloud und den lokalen Einsatz, mit der Erstellung von „ SBOM “ und der Erstellung von Berichten für Audits („ compliance “).

Ideal für:

Teams, die sich v container -Sicherheit feste Images und Abhängigkeiten wünschen und keine Liste, die man manuell abarbeiten muss. Die Lösung eignet sich sowohl für die erste Sicherheitskraft eines Start-ups (kostenlos zu Beginn, in wenigen Minuten einsatzbereit) als auch für eine Sicherheitsabteilung, die Richtlinien und Audit-Nachweise über Hunderte von Repos hinweg standardisiert – mit integriertem SSO, On-Premise-Bereitstellung und compliance -Berichterstellung.

Vorteile:

• Ergänzt die von Ihnen bereits verwendete Basis, sodass keine Migration und keine kompatibilitätsbrechenden Änderungen erforderlich sind
• Durch zurückportierte Korrekturen bleiben die einzelnen Änderungen klein und risikoarm, wobei die Bereitstellung von Patches auch nach Ablauf der Lebensdauer fortgesetzt wird.
• Erreichbarkeitsanalyse und durch die Deduplizierung bleibt die Liste der Ergebnisse kurz genug, um darauf reagieren zu können
• Container Die Ergebnisse werden im Zusammenhang mit dem Code und der Cloud bereitgestellt und nicht als eigenständiger Bericht
• Erkennt bekannte CVEs und – dank Intel – auch Schwachstellen, für die noch keine CVE vergeben wurde

Nachteile:

• Die In-App-Laufzeit-Sicherheit ist noch jünger als spezialisierte Laufzeit-Tools wie „ Sysdig “ und „Falco“; daher sollte ein Team, dessen wichtigster Bedarf in einer umfassenden Laufzeit- Bedrohungserkennung , besteht, dies berücksichtigen.
  

Vorteile:

• KI-gestütztes AutoFix reduziert die Behebungszeit drastisch
• Geringes Rauschen durch Erreichbarkeitsanalyse und sofortige Deduplizierung
• Vereinheitlichte Plattform für Code, Abhängigkeiten, Container und Cloud-Konfigurationen
• Nahtloses Entwicklererlebnis mit CI/CD-, Git- und IDE-Integrationen
• Erkennt sowohl bekannte als auch unbekannte Schwachstellen für umfassenderen Schutz

2. Anchore

Anchore ist eine „ container “-Scan-Plattform, die für ihren richtliniengesteuerten Ansatz bekannt ist. Sie bietet sowohl eine Open-Source-Engine als auch ein kommerzielles Unternehmensprodukt. Anchore analysiert container -Images auf Schwachstellen im Betriebssystem und in Anwendungen und ermöglicht es Ihnen, benutzerdefinierte Richtlinien für IhreImages durchzusetzen‍. So können Sie beispielsweise Regeln festlegen, nach denen ein Build abgebrochen wird, wenn kritische Schwachstellen vorliegen oder unzulässige Lizenzen gefunden werden. 

Die Engine von Anchore führt eine schichtweise Image-Inspektion durch, wobei jede Schwachstelle der spezifischen Image-Schicht zugeordnet wird, was hilft, die Quelle genau zu bestimmen (z. B. ein Basis-Image vs. eine hinzugefügte Bibliothek). Die Enterprise-Version bietet eine elegante UI, Skalierbarkeit und Integrationen mit CI-Tools und Registries für kontinuierliches Scanning.

Funktionen:

• Richtlinien-Engine: Sicherheitskontrollen durchsetzen (z. B. Images mit Schwachstellen hoher Schweregrade oder veralteten Paketen blockieren)
• Detaillierte Generierung von „ SBOM “: Bietet neben Schwachstellenscans auch die Überprüfung von Lizenz compliance en
• CI/CD-Integration: Unterstützt Build-Time-Image-Checks (Plugins für Jenkins usw. oder Verwendung von Anchore in Pipelines über Grype CLI)
• Schichtweise Schwachstellenattribution:  Erleichtert die Behebung, indem genau identifiziert wird, welcher Dockerfile-Schritt das Problem verursacht hat.
• Flexible Bereitstellung:Kann als gehosteter Dienst, On-Premise oder in einem Kubernetes-Cluster verwendet werden.

Am besten geeignet für: 

• Teams, die eine detaillierte Steuerung und compliance benötigen. 
• Anchore reduziert Fehlalarme durch Richtlinien und stellt sicher, dass die Bilder den Sicherheitsgrundlagen Ihres Unternehmens entsprechen.
  

Vorteile:

• SBOM und die Durchsetzung von Richtlinien
• Schichtweise Schwachstellenerkenntnisse
• Umfangreiche Integrationen mit CI/CD und Registries
• Unterstützt Kubernetes

Nachteile:

• Komplexes Setup für kleinere Teams
• Nur-CLI-Erfahrung in der Open-Source-Version
• Kann Rauschen erzeugen, bevor Richtlinien abgestimmt sind
• Leichter Performance-Overhead während Scans

3. AccuKnox

AccuKnox deckt den gesamten Containersicherheits-Lebenszyklus ab, vom Image-Scan in CI-Pipelines bis zur Laufzeitdurchsetzung in der Produktion. Sein Image-Scan erkennt CVEs auf OS-Ebene, Bibliotheks-Schwachstellen und Fehlkonfigurationen in einer Vielzahl von Registries: ECR (mit automatisiertem Scanning), ACR, GAR, Harbor, Docker Hub, Docker Trusted Registry, Sonatype Nexus, JFrog, Quay und In-Cluster via Helm. SBOM- und xBOM-Generierung werden nativ über knoxctl, Container-Image-Scan oder GitHub Actions unterstützt.

Über das Scannen hinaus sorgt AccuKnox für die Durchsetzung von Sicherheitsrichtlinien während der Laufzeit in laufenden Containern und blockiert dabei auf Kernel-Ebene das Erzeugen von Shells, unerwartete Netzwerkverbindungen sowie den Zugriff auf sensible eingebundene Volumes. Ein Admission Controller verhindert von vornherein, dass Pods, die gegen Richtlinien verstoßen, überhaupt eingeplant werden. Für die Untersuchung nach einem Vorfall stehen „ Container “ und VM-Forensik zur Verfügung.

Die Container-Scan-Funktion ist eigenständig oder als Teil von AccuKnox' vollständiger CNAPP verfügbar, die auch SAST, DAST, SCA, IaC-Scan und Secret Scanning über ihr ASPM-Modul umfasst. Agentenloser Cloud VM-Scan wird für Teams unterstützt, die Abdeckung ohne Agenten-Bereitstellung benötigen.

Funktionen:

• Image-Scan für CVEs und Fehlkonfigurationen über ECR, ACR, GAR, Harbor, JFrog, Quay, Docker Hub und In-Cluster hinweg
• Automatisiertes ECR-Scanning
• SBOM- und xBOM-Generierung via knoxctl, GitHub Actions oder Container-Image-Scan
• KubeArmor-Laufzeitdurchsetzung auf Kernel-Ebene
• Admission Controller-Sicherheit
• Container- und VM-Forensik
• CI/CD-Integration und Secret Scanning
• On-premise- und Air-Gapped-Bereitstellungsunterstützung

Ideal für:

‍Sicherheits-und „ DevSecOps “-Teams, die „ container “-Scans als eigenständiges Tool oder als Teil einer umfassenderen „ CNAPP “ nutzen möchten.

Vorteile:

• Umfassende Registry-Unterstützung einschließlich automatisiertem ECR-Scanning
• Laufzeit-Erzwingung mittels KubeArmor
• Admission Controller-Sicherheit
• SBOM- und xBOM-Generierung
• Verfügbar eigenständig oder als Teil einer vollständigen Plattform
• Unterstützung für Air-gapped-Bereitstellung

Nachteile:

• Teams, die einen leichtgewichtigen Image-only-Scanner suchen, könnten feststellen, dass AccuKnox deutlich mehr abdeckt als ein Point-Tool.

​

4. Aqua Security

Aqua Security ist eine Unternehmenslösung, die ein „ container “ über den gesamten Lebenszyklus hinweg sowie cloudnative Sicherheit bietet. Die Plattform von Aqua geht über das einfache Scannen von Images hinaus und umfasst:

• Laufzeit-Verteidigung
• Zugriffskontrollen  
• Compliance 

Aquas Scanner (integriert in seine Cloud Native Application Protection Platform) prüft Container-Images anhand einer riesigen Schwachstellendatenbank (unter Nutzung von Quellen wie der NVD und Aquas eigener Forschung). Er unterstützt das Scannen von Images in Registries, auf Hosts und innerhalb von CI-Pipelines.

Aqua ist außerdem für seine Kubernetes-Integration und seine Zulassungskontrollen bekannt. Es kann verhindern, dass Pods ausgeführt werden, wenn ihre Images Fehler aufweisen. 

Zusätzlich stellt Aqua Tools wie Trivy (Open Source) für Entwickelnde und eine Enterprise Console für die zentrale Verwaltung zur Verfügung.

Wichtige Funktionen:

• Umfassendes Scannen: Nutzt eine der branchenweit umfassendsten CVE-Datenbanken zur Erkennung von Image-Schwachstellen
• Kubernetes-Integration: Scannt Images in Registries oder während der Bereitstellung automatisch mit integrierter Richtliniendurchsetzung
• Laufzeitschutz: Erkennt anomales Verhalten und blockiert Exploits in laufenden Containern durch Sicherheitsagenten
• Compliance-Prüfungen: Umfasst CIS-Benchmarks, Secret Scanning und Konfigurationsvalidierung zur Einhaltung gesetzlicher Vorschriften
• Umfassende Berichterstattung: Bietet detaillierte Dashboards zur Risikobewertung in großen Container-Umgebungen

Am besten geeignet für: 

Teams, die eine durchgängige Sicherheit für „ container “ benötigen. 

Vorteile:

• Umfassender Image- und Laufzeitschutz
• Tiefe Kubernetes- und Registry-Integration
• Leistungsstarke Richtliniendurchsetzung und Zulassungskontrollen
• Robuste Berichts- und Compliance-Funktionen

Nachteile:

• Die Enterprise-Preise können für kleinere Teams hoch sein
• Einrichtung und Konfiguration können komplex sein
• Erfordert Feinabstimmung, um Alarmmüdigkeit zu vermeiden
• Voller Funktionsumfang nur in der kostenpflichtigen Edition verfügbar

5. Clair

Clair ist ein Open-Source-Container-Image-Scanner, der ursprünglich von CoreOS (jetzt Teil von Red Hat) entwickelt wurde. Dank seines API-gesteuerten Designs ist er eine beliebte Wahl für die Integration von Scanning in Container-Registries und CI-Systeme. 

Clair scannt jede Schicht eines Container-Images auf bekannte Schwachstellen, indem es Pakete mit Schwachstellendaten aus Quellen wie Debian, Alpine, Red Hat usw. abgleicht. 

Clair selbst ist eher ein Backend-Dienst, da es Scan-Ergebnisse in einer Datenbank speichert und eine API zur Abfrage dieser bereitstellt. Bemerkenswert ist, dass Red Hat’s Quay Registry Clair im Hintergrund verwendet, um Images beim Push automatisch zu scannen. 

Als Open-Source-Projekt erfordert Clair etwas Einrichtung (containerisierte Dienste und eine Datenbank), und Sie müssen es in Ihren Workflow integrieren (oder etwas wie Quay verwenden). Es kommt nicht mit einer ausgefallenen Benutzeroberfläche, aber es ist ein zuverlässiger Scanner für diejenigen, die bereit sind, zu experimentieren.

Wichtige Funktionen:

• Schichtweises CVE-Scannen von Images, Protokollierung der in jeder Schicht gefundenen Schwachstellen (hilft zu verstehen, welche Schicht welche CVE eingeführt hat)
• Bietet eine REST-API zur Integration von Scan-Ergebnissen in andere Systeme (CI-Pipelines, Registries usw.)
• Aktualisierbare Schwachstellendatenbank: bezieht Daten aus mehreren Linux-Distributions-Feeds und kann für weitere Schwachstellenquellen erweitert werden
• Schnelle, inkrementelle Scans – Clair kann nur geänderte Schichten erneut scannen, anstatt jedes Mal das gesamte Image
• Vollständig Open Source und kostenlos nutzbar (Apache-Lizenz), mit einer Community, die CVE-Feeds und Updates pflegt

Ideal für: 

• Plattformteams und DIY-Enthusiasten, die einen Scanner wünschen, den sie tief in Benutzerdefinierte Workflows oder interne Plattformen integrieren können.
• Clair eignet sich hervorragend für den Einsatz in einer internen Registry oder als Teil eines maßgeschneiderten CI-Systems. (Wenn Sie Red Hat-basierte Umgebungen oder Quay verwenden, ist Clair möglicherweise Ihre Standardwahl für das Schwachstellen-Scanning.)
  

Vorteile:

• Open Source und vollständig kostenlos nutzbar
• Leichtgewichtig und einfach über API zu integrieren
• Inkrementelles Scannen beschleunigt wiederholte Prüfungen
• Starker Community-Support und häufige Updates der Schwachstellen-Feeds

Nachteile:

• Erfordert manuelle Einrichtung und Datenbankkonfiguration
• Fehlt eine integrierte UI oder ein Dashboard
• Begrenzte Ökosystem-Unterstützung im Vergleich zu kommerziellen Tools
• Keine integrierten Funktionen zur Behebung oder Richtliniendurchsetzung

6. Docker Scout

Docker Scout ist Docker's eigenes Container-Analyse-Tool, entwickelt, um nahtlos mit Docker Hub und Docker CLI zu integrieren. Wenn Sie als Entwickelnde Docker Desktop oder Hub nutzen, fügt Scout Sicherheitserkenntnisse in Ihren bestehenden Workflow ein. Es generiert automatisch eine SBOM (Software-Stückliste) für Ihre Images und kennzeichnet bekannte Schwachstellen in diesen Komponenten‍. 

Eine der Stärken von Docker Scout ist das Vorschlagen von Behebungspfaden; zum Beispiel kann es ein Upgrade des Basis-Images empfehlen, das eine Reihe von Schwachstellen beseitigen würde. Scout läuft als Cloud-Dienst mit einem Web-Dashboard und ist auch in die Docker CLI integriert (Sie können Docker Scout-Befehle ausführen, um Images lokal oder in CI zu analysieren). 

Das Tool verwendet kontinuierlich aktualisierte Schwachstellendaten und überwacht sogar Ihre Images über die Zeit (es benachrichtigt Sie, wenn eine neue CVE ein Image betrifft, das zuvor sauber war). Docker Scout bietet einen kostenlosen Tarif (für einzelne Entwickelnde/kleine Projekte) und kostenpflichtige Pläne für Teams.

Wichtige Funktionen:

• SBOM-Generierung und -Analyse: Es zerlegt Ihr Image in Ebenen und Pakete, listet genau auf, was sich darin befindet, und hebt anfällige Komponenten hervor.
• Abgleich mit Schwachstellendatenbanken mit Echtzeit-Updates (gestützt durch Docker-Datenfeeds, sodass neue CVEs schnell erkannt werden)
• Empfehlungen für Korrekturen: schlägt neuere Image-Tags oder Paket-Updates vor, um Schwachstellen zu beheben (mit dem Ziel, Änderungen der Image-Größe zu minimieren)
• Integrationen in das Docker-Ökosystem: Sicherheitsinformationen direkt auf Docker Hub-Seiten oder in Docker Desktop anzeigen und CLI-Befehle in CI-Pipelines verwenden
• Richtlinienfunktionen zur Durchsetzung von Regeln (z. B. einen Build fehlschlagen lassen, wenn Schwachstellen einen Schwellenwert überschreiten, unter Verwendung der CLI-/CI-Integration von Docker Scout)

Ideal für: 

• Entwickelnde und kleine Teams, die bereits in Docker Hub/CLI investiert haben und integrierte Sicherheitsprüfungen wünschen, ohne eine separate Plattform einführen zu müssen. 
• Docker Scout ist eine klare Empfehlung, wenn Sie Images in den Docker Hub pushen – es liefert Ihnen sofortiges Feedback zum Image-Risiko und wie Sie es verbessern können. (Zudem ist die Basisfunktionalität für öffentliche Repos und ein privates Repo kostenlos, was es zu einer einfachen Wahl für individuelle Projekte macht.)
  

Vorteile:

• Nahtlose Integration mit Docker Hub, CLI und Desktop
• Automatische SBOM-Generierung mit Echtzeit-Schwachstellenerkenntnissen
• Umsetzbare Empfehlungen zur Behebung für Basis-Images und Pakete

Nachteile:

• Beschränkt auf das Docker-Ökosystem und im Hub gehostete Images
• Weniger anpassbar als eigenständige Enterprise-Scanner
• Richtlinienkontrollen sind grundlegend im Vergleich zu spezialisierten Tools

7. Falco

Falco unterscheidet sich ein wenig von den anderen Einträgen auf dieser Liste. Es handelt sich nicht um einen Image-Scanner, sondern um ein Open-Source-Tool zur Laufzeitüberwachung ( Bedrohungserkennung ) von Containern. Wir führen es hier auf, da die Sicherheit von „ container “ nicht bei der Erstellungsphase endet und Falco sich zum De-facto-Standard für die Echtzeitüberwachung des Verhaltens von „ container “ entwickelt hat. 

Falco wurde ursprünglich von Sysdig entwickelt und ist mittlerweile ein Inkubationsprojekt der CNCF. Falco läuft auf Ihren Hosts oder Clustern und nutzt Daten auf Kernel-Ebene (über eBPF oder Treiber), um die Aktivitäten von Containern zu überwachen. Es verfügt über eine Reihe von Regeln, die verdächtige Aktivitäten erkennen, wie beispielsweise: einen „ container “, der eine Shell startet oder Systembinärdateien verändert, unerwartete Netzwerkverbindungen, das Auslesen sensibler Dateien usw. Wenn die Regeln von Falco ausgelöst werden, kann das System Warnmeldungen generieren oder Informationen an Workflows zur Incident-Response weiterleiten. 

Während Falco Ihnen nichts über bekannte CVEs in Ihren Images sagt, informiert es Sie, wenn ein Container etwas tut, was er nicht sollte, wie z. B. die Anzeige eines aktiven Exploits oder einer Fehlkonfiguration.

Wichtige Funktionen:

• Überwacht laufende Container (und Hosts) auf Systemaufrufebene, erkennt Anomalien in Echtzeit (z. B. Krypto-Mining-Verhalten, Dateizugriffsverletzungen)
• Standard-Regelsatz für gängige Bedrohungen, plus hochgradig anpassbare Regeln (schreiben Sie Ihre eigenen, um Falco an das erwartete Verhalten Ihrer Anwendung anzupassen)
• Kubernetes-Audit-Log-Integration: Falco kann auch K8s-Ereignisse aufnehmen, um Dinge wie das Ausführen von Befehlen in Pods oder Änderungen in Pod-Sicherheitsrichtlinien zu erkennen
• Open Source und Teil der CNCF, was eine aktive Community und kontinuierliche Verbesserung bedeutet; Beiträge neuer Regeln für aufkommende Bedrohungen
• Leichtgewichtige Bereitstellung als Daemonset in Kubernetes oder als Systemdienst auf jedem Linux. Alarme können zur Reaktion an STDOUT, Slack oder SIEM-Systeme gesendet werden.

Ideal für: 

• Teams, die zusätzlich zum Image-Scanning eine Sicherheitslösung für die Laufzeit container en benötigen. 
• Wenn Sie wissen möchten, wann ein Container sich fehlerhaft verhält (sei es aufgrund eines Zero-Day-Exploits, einer Insider-Bedrohung oder einfach einer fehlerhaften Konfiguration), ist Falco die bevorzugte Lösung. 
• Es ist beliebt in Kubernetes-Umgebungen, wo Sie eine zusätzliche Verteidigungslinie über Admission Controls hinaus wünschen.

Vorteile:

• Echtzeit-Erkennung von abnormaler Container- und Host-Aktivität
• Hochgradig anpassbare Regel-Engine für maßgeschneiderte Bedrohungserkennung
• Leichtgewichtig und einfach als DaemonSet oder Systemdienst bereitzustellen
• Starke Community-Unterstützung unter der CNCF mit häufigen Regel-Updates

Nachteile:

• Erkennt keine bekannten CVEs oder führt kein Image-Scanning durch
• Erfordert Feinabstimmung zur Reduzierung von Rauschen und zur Vermeidung von Fehlalarmen
• Begrenzte Sichtbarkeit außerhalb von Linux-basierten Umgebungen
• Keine integrierte Behebung — Integration mit externen Alarmierungs- oder Reaktionstools

8. Grype

Grype ist ein Open-Source-Schwachstellenscanner für „ container “-Images und Dateisysteme, der von Anchore entwickelt wurde. Es handelt sich im Wesentlichen um den Nachfolger des älteren Open-Source-Projekts „ Anchore Engine“, das zu einem einfachen CLI-Tool vereinfacht wurde. 

Mit Grype können Sie ein Docker-Image (über Tag oder TAR-Datei) oder sogar ein Verzeichnis im Dateisystem angeben, woraufhin das Tool den gesamten Inhalt auflistet und bekannte Schwachstellen ermittelt. Es greift auf die zuverlässigen Schwachstellen-Feeds von Anchorefür verschiedene Betriebssysteme und Sprachumgebungen zurück. Ein wichtiger Schwerpunkt von Grype liegt auf der Genauigkeit, da es versucht, Fehlalarme durch den Abgleich von Paketversionen zu minimieren. Es unterstützt zudem neue Standards wie VEX (Vulnerability Exploitability eXchange), um bestimmte Schwachstellen als nicht zutreffend oder behoben zu kennzeichnen. 

Grype funktioniert gut in CI-Pipelines (es gibt JSON- oder Tabellenergebnisse aus) und lässt sich mit Anchores Syft-Tool kombinieren (das SBOMs generiert). Im Wesentlichen bietet Grype einen kostenlosen Scanner, den Sie mit minimalem Aufwand skripten können.

Wichtige Funktionen:

• Scannt viele Image-Quellen: Docker-/OCI-Images (lokal oder remote), Dateiverzeichnisse, SBOM-Dateien – was es vielseitig für verschiedene Anwendungsfälle macht
• Unterstützt OS-Pakete und sprachspezifische Abhängigkeiten (z. B. findet es anfällige Gems, npm-Pakete usw. in Images)
• Fokus auf wenige False Positives und relevante Ergebnisse – Grypes Schwachstellenabgleich ist recht intelligent und reduziert Rauschen
• Regelmäßig aktualisierte Schwachstellendatenbank (kann online mit Anchores Feed oder offline mit heruntergeladener DB arbeiten)
• Ausgabe in mehreren Formaten (JSON, CycloneDX SBOM, Textzusammenfassungen) für die einfache Integration in Pipelines und andere Tools

Ideal für: 

• Entwickler oder DevOps-Ingenieure, die nach einem Scanner suchen, den sie in ihre Automatisierung einbinden können. 
• Wenn Sie ein Open-Source-Tool suchen, das Sie in einer GitHub Action oder einem Shell-Skript ausführen können, um Builds bei Schwachstellen mit hohem Schweregrad fehlschlagen zu lassen, ist Grype ideal. 
• Es eignet sich auch hervorragend für das Scannen von Dateisysteminhalten (nicht nur Container-Images), was in CI-Umgebungen nützlich für das Scannen von Anwendungsabhängigkeiten sein kann.

Vorteile:

• Leichtgewichtiges CLI-Tool für schnelle Schwachstellenscans
• Geringe Fehlalarme mit präzisem Paket- und Versionsabgleich
• Unterstützt mehrere Eingabetypen einschließlich Images, Verzeichnisse und SBOMs
• Lässt sich leicht in CI/CD integrieren mit JSON- und CycloneDX-Ausgaben

Nachteile:

• Keine Benutzeroberfläche oder zentrales Dashboard zur Ergebnisverwaltung
• Beschränkt auf Schwachstellenscans (keine Laufzeit- oder Compliance-Funktionen)
• Erfordert manuelle Einrichtung für Offline-Datenbank-Updates
• Die Ausgabe kann ohne ordnungsgemäße Filterung oder Automatisierung ausführlich sein

9. OpenSCAP

OpenSCAP ist ein Sicherheits-Audit-Tool aus der Linux-Welt, und obwohl es nicht ausschließlich für Container ist, kann es verwendet werden, um Container-Images auf Compliance und Schwachstellen zu scannen. 

OpenSCAP wird von Red Hat unterstützt, setzt den SCAP-Standard (Security Content Automation Protocol) um und verfügt über eine Bibliothek mit Sicherheitsprofilen (z. B. DISA-STIGs, PCI-DSS-Prüfungen usw.). Mit OpenSCAP können Sie ein Image oder einen laufenden container -Host anhand dieser Profile bewerten, um festzustellen, ob es bzw. er den Best Practices entspricht. Speziell bei „ container “-Images kann OpenSCAP nach bekannten CVEs suchen und zudem die Konfigurationsabsicherung überprüfen (z. B. sicherstellen, dass bestimmte unsichere Dienste nicht vorhanden sind). Es wird häufig mit Red-Hat-basierten Containern verwendet (es gibt sogar ein OpenSCAP- container -Image, das andere Images scannen kann). Das Tool richtet sich an compliance -Anwender, kann jedoch überdimensioniert sein, wenn Sie lediglich einen schnellen Schwachstellenscan durchführen möchten.

Wichtige Funktionen:

• Compliance-Scanning: Validierung von Containern oder Hosts anhand vordefinierter Sicherheits-Baselines (CIS-Benchmarks, Regierungsstandards usw.)
• Schwachstellen-Scanning unter Verwendung von Red Hats CVE-Daten (besonders nützlich für RHEL/UBI Container-Images, um anwendbare Errata zu finden)
• Kommandozeilen-Tool (oscap), das Container-Tarballs oder sogar Docker-Images anhand ihrer ID scannen und dabei HTML- oder XML-Berichte erstellen kann
• Integration mit Red Hat-Tools (z. B. Red Hat Satellite, Foreman und innerhalb von OpenShift-Pipelines für Sicherheitsprüfungen)
• Open-Source-Framework, erweiterbar durch das Schreiben eigener XCCDF/OVAL-Checks bei Bedarf

Ideal für: 

• Sicherheits- und Compliance-Teams von Unternehmen, die Container-Images anhand strenger Standards bewerten müssen. 
• Wenn Ihre Organisation hohe Audit-Anforderungen hat (z. B. im Regierungs- oder Finanzsektor), bietet OpenSCAP eine bewährte Methode, um Container sowohl auf Schwachstellen als auch auf Konfigurations-Compliance zu überprüfen‍. 
  

Vorteile:

• Unterstützt von Red Hat und hält sich an Industriestandards für Compliance
• Hochgradig anpassbar durch XCCDF- und OVAL-Definitionen
• Generiert detaillierte HTML- und XML-Berichte für Audits und Dokumentation

Nachteile:

• Steilere Lernkurve und CLI-lastiger Workflow
• Begrenzte Benutzeroberfläche und entwickelndenfreundliche Integrationen
• Am besten geeignet für Red Hat-basierte Umgebungen
• Überdimensioniert für Teams, die nur schnelle Schwachstellenscans benötigen

10. Qualys Container Security

Qualys Container Security ist Teil der Cloud-Sicherheits-Suite von Qualys und bringt deren Expertise im Schwachstellenmanagement in die Container-Welt. Qualys CS bietet einen zentralisierten Cloud-Service, um Container und Images in Ihren Umgebungen (On-Prem, Cloud, CI-Pipelines) zu entdecken und auf Schwachstellen und Fehlkonfigurationen zu scannen. 

Qualys nutzt „container “-Sensoren, die Sie auf Hosts oder in Clustern bereitstellen und die dann automatisch laufende Container, Images und sogar Details zum Orchestrator erkennen. 

Schwachstellendaten werden mit der riesigen Cloud-Datenbank von Qualys korreliert, und Sie erhalten eine zentrale Übersicht über alle Container-Assets und deren Sicherheitslage. Qualys Containersicherheit kann auch Compliance-Checks (wie CIS Docker Benchmark-Scanning) durchführen und integriert sich in CI/CD (sie bieten beispielsweise ein Jenkins-Plugin an, um Images während des Build-Prozesses zu scannen). 

Wichtige Funktionen:

• Automatische Erkennung und Inventarisierung von Containern und Images in Ihrer gesamten Infrastruktur. Sie wissen, welche Images wo laufen und welche Schwachstellen sie aufweisen.
• Scannen von Images in Registries (verbindet sich mit gängigen Registries, um neue Images beim Push zu scannen) sowie auf Hosts
• Container-Laufzeitsicherheitsfunktionen: können Probleme in laufenden Container-Instanzen erkennen und alarmieren (und sogar Container blockieren, die von ihrer Image-Baseline abweichen)
• Enge Integration in DevOps-Pipelines über API und native Plugins (damit Entwickler Feedback in ihrem Build-Prozess erhalten)
• Richtliniengesteuerte Durchsetzung und Compliance-Berichterstattung unter Verwendung der Kontrollbibliothek von Qualys (z. B. Untersagung der Ausführung von Containern mit kritischen Schwachstellen, Sicherstellung sicherer Docker-Daemon-Konfigurationen usw.)

Ideal für: 

• Große Teams und regulierte Branchen, die Qualys bereits für die „ Schwachstellenmanagement “ nutzen und diese Transparenz auf Container ausweiten möchten. 
• Wenn Sie eine vereinheitlichte Berichterstattung über VM- und Container-Schwachstellen benötigen, ist Qualys eine gute Wahl. 
• Es eignet sich auch für Unternehmen mit Tausenden von Containern, bei denen die automatisierte Erkennung genauso wichtig ist wie das Scannen (Qualys hilft Ihnen dabei, keine in Ihrer Umgebung ausgeführten Prozesse zu übersehen).
  

Vorteile:

• Vereinheitlichte Transparenz über VMs, Hosts und Container hinweg in einem Dashboard
• Automatisierte Erkennung von Container-Assets in hybriden Umgebungen
• Nahtlose CI/CD- und Registry-Integrationen für kontinuierliches Scannen

Nachteile:

• Primär auf große Unternehmen ausgerichtet, was es für kleinere Teams aufwendig macht
• Die anfängliche Einrichtung und Bereitstellung kann bei Skalierung komplex sein
• Preis- und Lizenzdetails sind undurchsichtig

11. Snyk Container

Snyk Container ist ein Containersicherheitsprodukt von Snyk, einem Unternehmen, das darauf abzielt, entwickelndenfreundliche Sicherheitstools bereitzustellen. Snyk Container konzentriert sich auf die Integration in den Entwicklungsprozess. Es kann Container-Images auf Schwachstellen in OS-Paketen und Anwendungsbibliotheken scannen, unter Nutzung von Snyks Schwachstellendatenbank und Open-Source-Intelligence. 

Snyk Hilft Entwicklern dabei, Prioritäten zu setzen, welche Sicherheitslücken wirklich von Bedeutung sind (beispielsweise durch die Hervorhebung, ob eine anfällige Bibliothek im Image tatsächlich von der Anwendung genutzt wird). Außerdem bietet es Anleitungen zur Behebung der Probleme. 

Snyk Container lässt sich in CI/CD integrieren (mit Plugins und CLI) und kann Images über die Zeit überwachen (Warnungen senden, wenn neue Schwachstellen Ihr Image betreffen). Es kann sogar eine Verbindung zu Kubernetes-Clustern herstellen, um laufende Workloads kontinuierlich auf Probleme zu überwachen.

Wichtige Funktionen:

• CI/CD- und Git-Integration: Entwickelnde können Images in ihren Pipelines scannen oder sogar Scans über GitHub-/GitLab-Integrationen auslösen, um Probleme vor dem Merge zu erkennen.
• Entwickelnde-zentrierte Behebungshinweise (z. B. „Wechseln Sie zu diesem schlankeren Basis-Image, um 30 Probleme zu beseitigen“) und die Möglichkeit, automatisierte Fix-PRs für Basis-Image-Updates zu erstellen.
• Transparenz in Kubernetes: Snyk kann sich mit einem K8s-Cluster verbinden und alle laufenden Images sowie deren Schwachstellen auflisten, wobei dies mit den Deployment-Konfigurationen verknüpft wird (hilft, Dev und Ops zu verbinden).

Compliance-Funktionen wie Lizenz-Scanning und Konfigurationsprüfungen, zusätzlich zum Schwachstellen-Scanning (da es auf den Software-Kompositionsanalyse-Wurzeln von Snyk aufbaut).

Ideal für: 

DevOps-Teams, die Security nach links verschieben und sie zu einem Teil der Entwicklung machen wollen. 

Vorteile:

• Tiefe Entwickelnde-Integration mit Git, CI/CD und Kubernetes.
• Umsetzbare Behebungshinweise und automatisierte PRs für Basis-Image-Updates.
• Intuitives Dashboard für Schwachstellen-Tracking und -Reporting.

Nachteile:

• Kostenpflichtige Pläne für erweiterte Funktionen und größere Teams erforderlich.
• Bekannt für sein hohes Aufkommen an Fehlalarmen.
• Nur-Cloud-Dienst ohne On-Premise-Bereitstellungsoptionen.
• Weniger geeignet für stark regulierte Umgebungen, die ein vollständiges Offline-Scanning benötigen.

12. Black Duck

Black Duck ist bekannt für die Open-Source-Lizenz compliance und SCA (Software-Kompositionsanalyse). Im Zusammenhang mit container Black Duck kann Bilder unter container scannen, um alle Open-Source-Komponenten und deren Schwachstellen zu identifizieren. Im Wesentlichen führt es eine gründliche Software-Kompositionsanalyse an Ihrem Image durch, extrahiert die Stückliste (alle Bibliotheken, Pakete und Betriebssystemkomponenten) und ordnet diese Black DuckWissensdatenbank für Open-Source-Risiken abgleichen. 

Eine der Black Duckseiner Stärken ist die Lizenz compliance. Wenn Sie sich also Gedanken über die Lizenzierung von Komponenten in Ihren Containern machen (z. B. um GPL-Code zu vermeiden), ist dies sehr nützlich. Black DuckBei der Lizenz container -Prüfung wird häufig eine Komponente namens „Black Duck Docker Inspector“, um Images Schicht für Schicht zu analysieren. Die Ergebnisse fließen in den Black Duck Hub (zentrales Dashboard) eingespeist, wo Sicherheits- und Rechtsabteilungen Informationen zu Schwachstellen und Richtlinienverstößen einsehen und sogar eine Risikoeinstufung vornehmen können. Dieses Tool wird in der Regel vor Ort oder als Managed Service bereitgestellt und richtet sich an große Unternehmen.

Wichtige Funktionen:

• Umfassende „ SBOM “-Analyse: Identifiziert die gesamte Open-Source-Software im Image (bis hin zu Sprachbibliotheken) und kennzeichnet bekannte Sicherheitslücken und Lizenzen
• Schichtspezifische Einblicke: Zeigt, welche Schicht welche Komponenten eingebracht hat und somit, wo eine Schwachstelle eingeführt wurde (nützlich für die Planung der Behebung)
• Richtlinienverwaltung: Sie können Richtlinien definieren (z. B. „keine Komponenten mit GPL-Lizenz“ oder „keine Schwachstellen über mittlerer Schwere“) und Black Duck kennzeichnet Images, die diese verletzen
• Integration in CI-Pipelines über das Synopsys Detect Plugin/CLI, sodass Sie Builds fehlschlagen lassen oder Berichte während des Build-Prozesses erhalten können
• Links zu detaillierten Behebungsinformationen in der Black Duck-Datenbank und kann Issues oder Pull Requests zur Aktualisierung von Komponenten erstellen

Ideal für: 

• Teams, deren Schwerpunkt stark auf der Open-Source-Governance liegt. 
• Wenn die Verfolgung von Lizenzen und eine umfassende Sicht auf Komponentenrisiken genauso wichtig ist wie das Aufspüren von CVEs, ist Black Duck ein starker Kandidat.

Es wird häufig in Branchen wie der Automobilindustrie, Luft- und Raumfahrt oder anderen mit strengen Compliance-Anforderungen für Softwarekomponenten eingesetzt. Vorteile:

• Umfassende SCA- und Lizenz-Compliance-Analyse für Container
• Schichtweise Einblicke in Komponentenherkunft und Schwachstellen
• Leistungsstarke Richtlinienverwaltung für Sicherheits- und rechtliche Compliance

Nachteile:

• Komplexere Einrichtung und höhere Ressourcenanforderungen
• Primär ausgerichtet auf große Unternehmen mit Compliance-Anforderungen
• Langsamere Scanzeiten im Vergleich zu leichtgewichtigen Open-Source-Scannern
• Die Enterprise-Preise können für kleinere Teams hoch sein
  

13. Sysdig Secure

Sysdig Secure ist eine Containersicherheitsplattform, die sowohl Image-Scanning als auch Laufzeitsicherheit in einem Produkt vereint (oft als CNAPP – Cloud Native App Protection Platform bezeichnet). 

Mit Sysdig Secure können Sie Container-Images in Ihrer CI-Pipeline oder in Registries auf Schwachstellen scannen und auch Richtlinien durchsetzen, um Deployments zu blockieren, die Ihre Kriterien nicht erfüllen. Aber Sysdig geht noch weiter: Unter Verwendung der Open-Source-Engine Falco überwacht es kontinuierlich laufende Container, um anomales Verhalten zu erkennen. Diese Kombination bedeutet, dass Sysdig Secure Ihnen Feedback zur Build-Zeit und Schutz zur Laufzeit bietet‍. 

Zu den herausragenden Funktionen gehören die Verknüpfung von Scan-Ergebnissen mit Kubernetes-Deployments (sodass Sie sehen können, welche laufenden Workloads anfällige Images aufweisen) und die Zuordnung von Ergebnissen zu Compliance-Standards (PCI, NIST usw.) für Berichte. 

Sysdig bietet auch eine nützliche Funktion zur Vorschlag von Korrekturen, z.B. indem es Ihnen mitteilt, welche Basis-Image-Version bestimmte Schwachstellen beheben würde. Als kommerzielles Tool wird es mit einer Web-UI, API und Integrationen mit CI/CD- und Registry-Webhooks geliefert.

Wichtige Funktionen:

• Image-Scanning + Laufzeitsicherheit in einem: Schwachstellenscans plus Echtzeit-Syscall-Monitoring (über Falco), um Angriffe im Moment ihres Auftretens zu erkennen‍
• Kubernetes-fähige Transparenz: Korreliert Images und Container mit Kubernetes-Metadaten (Namespaces, Deployments), wodurch es einfacher wird, Korrekturen für aktiv laufende Dienste zu priorisieren
• Richtlinien-Engine zur Durchsetzung der Sicherheit während des Builds und Deployments (z.B. verhindern, dass ein Pod startet, wenn er eine blockierte Schwachstelle aufweist oder gegen Compliance-Regeln verstößt)
• Compliance-Mapping und Berichterstattung – vorkonfigurierte Prüfungen für Standards wie PCI, HIPAA und Benutzerdefinierte Regeln, mit Nachweisen aus Image-Scans und Laufzeitdaten
• Funktionen zur Incident Response: Sysdig kann detaillierte Aktivitäten (Syscall-Captures) rund um Sicherheitsereignisse aufzeichnen, was bei der forensischen Analyse hilft, wenn ein Container kompromittiert wird

Ideal für: 

Es eignet sich besonders gut für Kubernetes-Umgebungen, in denen Laufzeittransparenz und Image-Scanning Hand in Hand gehen müssen, um die Pipeline wirklich abzusichern.

Vorteile:

• Vereinheitlichte Plattform, die Image-Scanning, Laufzeitsicherheit und Compliance kombiniert
• Umfassender Kubernetes-Kontext zur Priorisierung von Schwachstellen in aktiven Workloads
• Basierend auf Falco für Echtzeit-Bedrohungserkennung und Verhaltensüberwachung

Nachteile:

• Unternehmensorientierte Plattform mit höheren Preisen als eigenständige Scanner
• Einrichtung und Feinabstimmung können für kleinere Teams komplex sein
• Erfordert fortlaufendes Regelmanagement, um Alert Fatigue zu vermeiden

14. Trivy

Trivy (von Aqua Security) bietet einen Open-Source- container -Scanner an, der aus einer einzigen Binärdatei besteht und keine komplizierte Einrichtung erfordert. Sie können ihn ausführen trivy image myapp:latest und eine Liste der Schwachstellen abrufen. 

Trivy Es scannt „ container “-Images, Dateisysteme, Git-Repos, Dockerfiles, Kubernetes-Manifeste und vieles mehr. Es bezieht Schwachstellendaten aus zahlreichen Quellen (Sicherheitshinweise zu Linux-Distributionen, GitHub-Sicherheitshinweise für Sprachabhängigkeiten usw.) und scannt auf Wunsch sogar „Infrastructure-as-Code“-Konfigurationen auf Probleme. 

Trivy kann Ergebnisse in Tabellenform oder als JSON ausgeben (und unterstützt die Generierung von SBOMs in SPDX/CycloneDX). Es wird auch als Engine für andere Tools verwendet (zum Beispiel verwendet die Harbor Registry Trivy als Plug-in-Scanner, und Kubernetes Lens-Tools integrieren es). 

Als Open-Source-Lösung ist es komplett kostenlos und wird von der Community gepflegt (obwohl Aqua eine kostenpflichtige Version mit einer UI namens Trivy Premium anbietet).

Wichtige Funktionen:

• Sehr schnelle und einfache CLI – keine Voraussetzungen, aktuelle Schwachstellendatenbank wird beim ersten Start automatisch heruntergeladen
• Scannt verschiedene Zieltypen: Container-Images (lokal oder remote), Verzeichnisse, Konfigurationsdateien (K8s YAML, Terraform) und sogar aktive Kubernetes-Cluster auf Workload-Probleme
• Hohe Genauigkeit und Abdeckung durch eine breite Palette von Schwachstellenquellen und fein abgestimmtes Parsing (Trivy wird dafür gelobt, viele Ergebnisse ohne viele Fehlalarme zu finden)
• Kann SBOMs generieren und SBOM-Dateien auf Schwachstellen scannen, wodurch moderne Workflows für die Sicherheit der Lieferkette unterstützt werden
• Lässt sich einfach in CI integrieren (einfach die Binärdatei hinzufügen und in einer Pipeline ausführen) und verfügt über eine erweiterbare Ausgabe, die in Tools wie Grafana oder Slack-Benachrichtigungen eingespeist werden kann

Ideal für: 

• Wenn Sie eine schnelle, zuverlässige Überprüfung eines „ container “-Images auf bekannte Probleme benötigen 
• Teams mit begrenztem Budget oder solche, die gerade erst damit beginnen, ihre Pipelines sicherer zu gestalten. 
  

Vorteile:

• Seine Flexibilität, mehr als nur Images zu scannen, macht es auch zu einem wertvollen allgemeinen Sicherheitstool in jedem DevOps-Toolkit.
• Schnell, leichtgewichtig und einfach mit einem einzigen CLI-Befehl auszuführen
• Genaue Ergebnisse mit minimalen Fehlalarmen
• Komplett kostenlos und Open Source mit starker Community-Unterstützung

Nachteile:

• Nur CLI-Schnittstelle, es sei denn, die kostenpflichtige Trivy Premium UI wird verwendet
• Benötigt Internetzugang, um Schwachstellendatenbanken zu aktualisieren
• Große Scans können beim ersten Durchlauf aufgrund von Datenbank-Downloads langsamer sein
  

Nachdem wir die wichtigsten Tools im Allgemeinen behandelt haben, gehen wir nun auf die besten Optionen für spezifische Szenarien ein. Je nachdem, ob Sie ein Entwickelnde sind, der an einem persönlichen Projekt arbeitet, ein Startup-CTO oder Tausende von Containern in der Produktion betreibt, kann die ideale Container-Scanning-Lösung variieren.

Im Folgenden stellen wir die besten Container-Scanner für verschiedene Anwendungsfälle vor, mit einer kurzen Begründung für jeden.

Die 5 besten Container-Scanning-Tools für Entwickelnde

Entwickelnde wünschen sich Tools, die Sicherheit so reibungslos wie möglich gestalten. Die besten Container-Scanner für Entwickelnde sind diejenigen, die sich ohne viel Einrichtung oder Aufwand in Coding- und Build-Workflows integrieren lassen.

Wichtige Anforderungen sind schnelles Feedback (niemand möchte einen Scan, der 30 Minuten dauert), einfache CI/CD-Integration und umsetzbare Ergebnisse (vorzugsweise mit Korrekturvorschlägen), damit das Beheben von Schwachstellen als Teil des normalen Entwicklungszyklus empfunden wird. Auch ein gewisses Maß an entwickelnden-zentrierter Finesse – wie ein IDE-Plugin oder eine benutzerfreundliche CLI – ist sehr hilfreich.

Hier sind einige Top-Empfehlungen speziell für Entwickelnde:‍

1. Aikido 

Aikido ist perfekt für Entwickelnde, da es Sicherheitsprüfungen direkt in den Entwicklungsprozess einbettet. Sie erhalten sofortige Schwachstellenwarnungen in Ihrer IDE und bei Pull Requests, und sein KI-AutoFix kann sogar Patches für Sie generieren. Es ist im Wesentlichen ein Sicherheitsassistent für Entwickelnde, der Container-Scans (und mehr) im Hintergrund durchführt, damit Sie sich auf das Coding konzentrieren können.‍

2. Snyk Container 

Snyk lässt sich in GitHub, Jenkins usw. integrieren, um Ihre Images zu scannen und dann Fix-Pull-Requests zu öffnen (z. B. durch Vorschlagen einer höheren Basis-Image-Version). Entwickelnde schätzen die klaren Berichte von Snyk und die Möglichkeit, bestimmte Probleme über die Konfiguration zu ignorieren oder zu pausieren.‍

3. Docker Scout 

Für viele Entwickelnde ist Docker bereits Teil des Arbeitsalltags. Docker Scout nutzt dies, um Ihnen direkt in Docker Hub oder über die Docker CLI Einblicke in Schwachstellen zu geben. Es ist sehr einfach zu bedienen (nahezu keine Lernkurve, wenn Sie Docker kennen) und bietet schnelle Hinweise zur Verbesserung der Image-Sicherheit. Dies macht es zu einer natürlichen Wahl für einzelne Entwickelnde oder kleine Teams, die eine einfache und integrierte Lösung wünschen.

4. Trivy

Trivys superschnelles CLI-Scanning ist ideal für Entwickelnde, die einen lokalen Check eines Images vor dem Pushen durchführen möchten. Es ist so einfach wie das Ausführen Ihrer Tests. Da es auch Konfigurationsdateien und Quell-Repos scannt, können Entwickelnde Trivy in mehreren Phasen einsetzen (Code-Abhängigkeiten scannen, dann das erstellte Image scannen). Es ist Open Source, sodass Sie es frei skripten und anpassen können – ein großer Vorteil für Entwickelnde, die Automatisierung mögen.

5. Grype

Grype is another excellent open source developer-friendly scanner, built by Anchore with simplicity and automation in mind. It’s a single CLI tool you can drop into any workflow — just run grype <image> and it lists vulnerabilities clearly and fast. Developers like it because it focuses on accuracy (low false positives) and pairs nicely with Syft, its companion SBOM generator.

Wenn Sie einen Open-Source-, skriptbaren, funktionalen Scanner wünschen, den Sie ohne Einrichtungsprobleme automatisieren oder lokal ausführen können, ist Grype eine solide Wahl.

Die 5 besten Container-Scanning-Tools für Unternehmen

Unternehmen legen typischerweise Wert auf Skalierbarkeit, Governance und Integration in einen breiteren Security Stack. Die besten Enterprise Container-Scanning-Tools bieten zentralisiertes Management, rollenbasierte Zugriffskontrolle, Compliance-Berichterstattung und die Fähigkeit, Tausende von Images über verschiedene Teams und Projekte hinweg zu verwalten.

Sie sollten sich in Ticketing-Systeme und CI/CD auf Enterprise-Niveau integrieren lassen und sich möglicherweise mit anderen Sicherheitstools (wie SIEMs oder Asset-Inventaren) verbinden. 

Hier sind die besten Container-Scanner für Enterprise-Anforderungen:

1. Aikido 

Aikido Security zeichnet sich als eines der wenigen Container-Scanning-Tools aus, das sowohl auf die Developer Experience als auch auf die Enterprise Governance ausgelegt ist.

Von Enterprise-Funktionen wie SSO über On-Prem-Bereitstellung (für Compliance) bis hin zu sofort einsatzbereiten Compliance-Frameworks ermöglicht Aikido Unternehmen, nicht nur aktuelle Sicherheitsanforderungen zu erfüllen, sondern auch zuversichtlich für die Zukunft zu innovieren.

Im Gegensatz zu älteren Enterprise-Tools, die sich oft schwerfällig und isoliert anfühlen, konzentriert sich Aikido auf entwickelndenfreundliche Workflows und rauschfreie Ergebnisse. Das bedeutet weniger Fehlalarme, schnellere Behebung und eine engere Integration mit Tools, die Unternehmen bereits nutzen.

2. Aqua Security 

Aqua ist eine Top-Wahl für große Unternehmen, die Container und Kubernetes betreiben. Es bietet eine vollständige Lifecycle-Abdeckung – Image-Scanning, Admission Control und Runtime Defense – mit einer robusten Managementkonsole. Unternehmen schätzen Aquas Compliance-Module (mit Vorlagen für Standards) und seine Fähigkeit, sich in alles zu integrieren, von CI-Pipelines bis hin zu Cloud-Konten. 

Es ist in großen Bereitstellungen praxiserprobt und unterstützt Multi-Cloud- und Hybrid-Umgebungen problemlos.‍

3. Qualys Container Security 

Viele Unternehmen nutzen Qualys bereits für das Schwachstellenmanagement auf Servern, und Qualys Container Security erweitert dies auf den Container-Bereich. Es ist für großflächige Transparenz konzipiert und entdeckt automatisch Container-Instanzen in Rechenzentren und der Cloud. Qualys glänzt im Asset Management und bei der Compliance: Ein Enterprise Security Team erhält eine zentrale Ansicht für „alle Container-Images und deren Schwachstellen unternehmensweit“. 

Die integrierten CI-Plugins und die API ermöglichen es Unternehmen zudem, das Scanning in komplexe CI/CD-Workflows zu integrieren. Wenn Sie umfangreiche Berichterstattung und Integration mit unternehmensweiten Sicherheits-Dashboards benötigen, ist Qualys ein starker Kandidat.

4. Black Duck

Große Organisationen, die sich um Open-Source-Risiken sorgen, entscheiden sich oft für Black Duck. Für das Enterprise Container Scanning ist Black Ducks Fähigkeit, jede Open-Source-Komponente zu erkennen und Lizenz-/Rechtsrisiken zu verfolgen, ein Alleinstellungsmerkmal. Man stelle sich ein großes Unternehmen vor, das Software veröffentlicht – es muss sicherstellen, dass keine verbotenen Lizenzen oder ungepatchten Bibliotheken durchrutschen. Black Duck bietet diese Governance-Schicht mit Workflows für Sicherheits- und Rechtsfreigaben. Es ist leistungsstark, aber sehr mächtig für Unternehmen, bei denen Compliance und IP-Risiko oberste Priorität haben.

5. Sysdig Secure 

Sysdig Secure spricht Unternehmen an, die eine zentrale Cloud-native Sicherheitsplattform suchen. Es wird von Fortune-500-Unternehmen genutzt, die riesige Kubernetes-Cluster betreiben. Die Fähigkeit des Tools, das Image-Scanning mit dem Laufzeitkontext zu verknüpfen (z. B. „dieses anfällige Image läuft in der Produktion in diesen Clustern“), ist bei Skalierung für die Priorisierung von unschätzbarem Wert. 

Unternehmen schätzen auch Funktionen wie Sysdigs Integration mit LDAP/AD für die Benutzerverwaltung und seine erweiterten Analysen (z. B. Risikobewertung über Tausende von Images hinweg). Für ein Security Operations Center (SOC) in einem Unternehmen bietet Sysdig sowohl eine umfassende Übersicht als auch detaillierte Einblicke, wenn diese benötigt werden.

Die 4 besten Container-Scanning-Tools für Startups

Startups benötigen Sicherheitstools, die überdurchschnittliche Leistung erbringen, ohne das Budget zu sprengen. Typischerweise sucht ein Startup etwas Erschwingliches (oder Kostenloses), das einfach einzurichten ist (keine Zeit für einen dedizierten Security Engineer) und idealerweise schnelle Entwicklungs-Sprints nicht verlangsamt. 

Die besten Container-Scanner für Startups sind jene, die starke Standardsicherheit mit minimaler Konfiguration bieten und mit dem Wachstum des Unternehmens skalieren können. Zudem ist Flexibilität entscheidend – der Tech-Stack eines Startups kann sich schnell ändern, daher ist ein Tool, das mehrere Umgebungen (Cloud, On-Prem, verschiedene Sprachen) abdeckt, ein Pluspunkt. 

Hier sind großartige Optionen für junge Unternehmen:

1. Aikido 

Für ein Startup bietet Aikido einen unglaublichen Mehrwert: Es ist kostenlos zu starten und bietet eine sofortige Sicherheitsabdeckung für Ihre Container, Ihren Code und Ihre Cloud-Ressourcen. Ein kleines Team kann SAST, SCA, Containersicherheit und IaC-Checks von Aikido erhalten, ohne mehrere separate Tools verwalten zu müssen. Dasselbe Produkt läuft bei Visma, Lithia Motors und anderen Unternehmen, sodass eine frühe Einführung keine spätere Migration bedeutet.

Die Tatsache, dass es Cloud-basiert und in wenigen Minuten einsatzbereit ist, entspricht dem Bedürfnis eines Startups, es „einfach und unkompliziert zu sichern“. Wenn das Startup wächst, kann Aikido skalieren und erweiterte Prüfungen einführen, aber am ersten Tag bietet es viel Schutz mit sehr geringem Aufwand, perfekt für ein schnelllebiges Unternehmen.

2. Trivy 

Trivy ist eine fantastische Wahl für Startups, da es kostenlos, Open Source und einfach ist. Ein zweiköpfiges Entwicklerteam kann Trivy lokal oder in seiner CI-Pipeline verwenden, um offensichtliche Fehler (wie das Ausliefern einer kritischen Schwachstelle) zu verhindern. Es gibt keinen Beschaffungsprozess oder komplexe Integration – einfach die Binärdatei hinzufügen und loslegen.

Für ein finanziell eingeschränktes Startup deckt Trivy die Grundlagen von Container-Schwachstellen und sogar Dinge wie IaC-Scan ab, was ein großer Gewinn ohne Kosten ist.

3. Docker Scout 

Wenn die Entwickelnden Ihres Startups bereits mit Docker vertraut sind, ist Docker Scout ein einfacher Gewinn. Es bietet Sicherheitseinblicke praktisch ohne Einrichtung (insbesondere wenn Sie Images auf Docker Hub hosten). Die kostenlose Stufe reicht wahrscheinlich für ein oder zwei private Repos eines kleinen Startups aus. Scout stellt sicher, dass Sie kein offensichtlich anfälliges Basis-Image verwenden. Es ist eine einfache Möglichkeit, der Entwicklung eine Schicht Sicherheitsbewusstsein hinzuzufügen.

4. Grype  

Ein weiteres Open-Source-Juwel, Grype ist großartig für Startups, die einen leichtgewichtigen Scanner in ihren Build-Prozess integrieren möchten. Sie können Grype so skripten, dass es bei jedem Pull Request oder Image-Build ausgeführt wird; es wird den Build fehlschlagen lassen, wenn etwas Gravierendes gefunden wird. Startups schätzen Grypes Einfachheit und die Tatsache, dass keine Server gewartet oder Abonnements bezahlt werden müssen. Es ist ein pragmatisches Tool, um einen grundlegenden Sicherheitsstandard vom ersten Tag der Produktentwicklung an durchzusetzen.

Die 4 besten kostenlosen Container-Scanning-Tools

Suchen Sie nach Container-Scanning mit einem Budget von 0 $? Es gibt viele hochwertige kostenlose Optionen – meist Open-Source-Tools –, die Sie nutzen können, ohne einen Cent zu bezahlen. „Kostenlos“ kann dabei Unterschiedliches bedeuten: Einige sind vollständig Open Source und selbst gehostet, andere sind SaaS-Angebote mit großzügigen kostenlosen Tarifen. 

Kostenlose Scanner eignen sich hervorragend für einzelne Entwickelnde, Open-Source-Projekte oder als Testlauf, bevor in eine kostenpflichtige Lösung investiert wird. Beachten Sie, dass kostenlose Tools zwar ihre Aufgabe erfüllen können, Sie jedoch möglicherweise Abstriche beim Komfort machen müssen (z. B. fehlende Benutzeroberfläche oder Enterprise-Funktionen). 

Hier sind die besten kostenlosen Container-Scanner:

1. Trivy

Trivy führt die Liste der kostenlosen Scanner an. Es ist Open Source, wird von Aqua Security gepflegt und ist für jedermann kostenlos. Sie erhalten einen umfassenden Schwachstellen-Scan (Betriebssystempakete und Anwendungsabhängigkeiten) ohne Einrichtung. Die Updates der Schwachstellendatenbank sind ebenfalls kostenlos, sodass Sie immer mit aktuellen Daten scannen. Für viele Benutzer deckt Trivy allein 80 % der Anforderungen ab.‍

2. Grype 

Ebenfalls vollständig kostenlos und Open Source, ist Grype eine großartige Alternative (oder Ergänzung) zu Trivy. Es konzentriert sich auf Genauigkeit und lässt sich gut in CI integrieren. Da es CLI-first ist, eignet es sich perfekt, um Scans in einer DevOps-Pipeline kostenlos zu automatisieren. Das Anchore-Team hält seine Schwachstellen-Feeds aktuell und offen zugänglich.‍

3. Clair 

Clair ist kostenlos nutzbar und eine gute Wahl, wenn Sie einen Scanning-Dienst in Ihrer eigenen Umgebung betreiben möchten. Obwohl die Einrichtung etwas mehr Aufwand erfordert, aktualisiert es nach dem Start kontinuierlich seine Schwachstellendaten und kann per API zum Scannen von Images aufgerufen werden. Mit Clair können Sie effektiv Ihren eigenen kostenlosen „Containersicherheitsservice“ intern aufbauen. Viele kleinere Registries oder selbst gehostete CI-Setups nutzen Clair zu diesem Zweck.

4. Docker Scout (Kostenloser Tarif)

Der Basisplan von Docker Scout ist kostenlos und ermöglicht das Scannen einer begrenzten Anzahl von Repositorys und unbegrenzt vieler öffentlicher Images. Das bedeutet, wenn Sie ein kleines Projekt haben oder hauptsächlich mit öffentlichen Open-Source-Images arbeiten, können Sie den Cloud-Dienst von Docker Scout für 0 $ nutzen. Es ist eine gute Option, wenn Sie eine Web-UI und die Integration in Docker Hub bevorzugen, ohne selbst etwas zu deployen.

(Weitere erwähnenswerte kostenlose Tools: OpenSCAP – kostenlos und Open Source, wenn auch etwas spezialisiert; Dockle – ein Open-Source-Container-Linter für Konfigurationsprobleme, nützlich und kostenlos; und CVEbench/CVE-Scanner – es existieren verschiedene andere Community-Tools, die jedoch im Allgemeinen von Trivy/Grype übertroffen werden.)

Die 5 besten Tools für den Docker-Image-Schwachstellenscan

Wenn Ihr Hauptanliegen der Scan von Docker-Images auf Schwachstellen ist, im Gegensatz zu einer umfassenderen Container-Laufzeitsicherheit, gibt es eine Reihe von Tools, die sich besonders gut für diese Aufgabe eignen. „Docker-Image-Schwachstellenscan“ bedeutet, ein Image (wahrscheinlich aus einem Dockerfile erstellt) zu nehmen und bekannte CVEs darin zu identifizieren. 

Die besten Tools in diesem Bereich zeichnen sich durch das Parsen von Linux-Paketmanagern, Sprachpaketdateien und anderen Inhalten des Images aus. Sie sollten Docker-/OCI-Image-Formate unterstützen und sich idealerweise mit Docker-Registries verbinden lassen. 

Hier sind die Top-Tools für diesen Anwendungsfall:

1. Aikido 

Aikido Es scannt ein Docker-Image und zeigt Ihnen, wie Sie die gefundenen Probleme beheben können – nicht nur, was falsch ist. Es erkennt CVEs in Betriebssystempaketen und anfällige Sprachabhängigkeiten. Anschließend schlägt AutoFix die Behebung als Pull-Request vor – sei es ein Paket-Upgrade oder ein einfacher Wechsel zu einem Basis-Image, in dem die bekannten kritischen und hochriskanten Schwachstellen bereits behoben wurden. „ Erreichbarkeitsanalyse “ beschränkt die Liste auf die Schwachstellen, die tatsächlich behoben werden können, sodass Sie nicht erst eine Flut von Befunden durchforsten müssen, um die wirklich wichtigen zu finden. Wenn Sie ein Image-Scanning wünschen, bei dem die Korrektur bereits enthalten ist und nicht als „Hausaufgabe“ zurückbleibt, ist Aikido hier kaum zu übertreffen.

2. Anchore/Grype 

Anchore (über das Grype-Tool oder Anchore Enterprise) ist speziell für den Docker-Image-Scan entwickelt worden. Es parst die Image-Layer-Inhalte gründlich und prüft sie anhand umfassender CVE-Feeds. Die Lösungen von Anchore können in Docker-Build-Pipelines integriert oder auf Images in Registries ausgeführt werden. Sie sind bekannt für ihren richtlinienbasierten Schwachstellenscan, was bedeutet, dass Sie anpassen können, welche Schwachstellen relevant sind. Dies ist hervorragend, wenn Sie eine präzise Kontrolle über Ihre Docker-Image-Standards wünschen.

3. Trivy 

Trivy again shines as a Docker image scanner. It handles all common base images (Alpine, Debian, CentOS, etc.) and finds vulns in both system packages and application deps inside the image. Running trivy image <image> is a quick way to get a list of CVEs before you push to production. It’s often used by Docker power-users and has very high CVE coverage. If you want a straightforward “tell me what’s insecure in this Docker image” tool, Trivy is hard to beat.

4. Docker Scout 

Da es von Docker stammt, integriert sich Scout direkt mit Docker-Images und Registries. Es bietet eine benutzerfreundliche UI, die die Schwachstellen eines Images Schicht für Schicht auflistet. Ein einzigartiger Aspekt: Es kann Ihnen die Basis-Image-Abstammung zeigen und woher Schwachstellen stammen, und dann eine weniger anfällige Basis empfehlen. Für Teams, die Docker Hub intensiv nutzen, bietet Scout einen praktischen Schwachstellenbericht direkt auf der Image-Seite. Dies macht es ideal für Dev-Teams, die sich ausschließlich auf die Verbesserung ihrer Docker-Image-Hygiene konzentrieren.

5. Qualys Container Security 

Für Organisationen, die Docker-Images scannen möchten, aber innerhalb eines breiteren Sicherheitskontextes, ist Qualys sehr leistungsstark. Es verbindet sich mit Docker-Registries (einschließlich Docker Hub, ECR usw.) und scannt Images, während sie erstellt oder aktualisiert werden. Der Vorteil hier sind die Enterprise-Schwachstelleninformationen, die Qualys bereitstellt – Sie erhalten detaillierte Informationen zu jeder CVE, Auswirkungsbewertungen und Links zu Patches. Für ein kleines Setup ist es möglicherweise ein Overkill, aber für ein Unternehmen mit vielen Docker-Images stellt Qualys sicher, dass kein Image ungescannt und ungetrackt bleibt.

Die 5 besten Containersicherheitstools mit Laufzeitschutz

Containersicherheit betrifft nicht nur ruhende Images, sondern auch Container in Bewegung. Für den Laufzeitschutz benötigen Sie Tools, die Container während ihrer Ausführung überwachen, Angriffe oder Anomalien erkennen und manchmal sogar eingreifen können, um bösartige Aktivitäten zu stoppen. 

Viele der Tools in dieser Kategorie kombinieren Image-Scanning mit Laufzeitfunktionen (da das Wissen über den Inhalt Ihres Images Aufschluss darüber geben kann, was zur Laufzeit überwacht werden sollte). 

Wichtige Funktionen, auf die Sie achten sollten: 

• Verhaltensüberwachung (wie Falcos Ansatz), 
• Firewalling oder Blockierung verdächtiger Aktionen, 
• Integration mit Container-Orchestrierungstools zur Quarantäne anfälliger Container, und 
• Erfassung von Incident-Response-Daten. 
  

Die folgenden sind führende Containersicherheitstools, die Laufzeitschutzfunktionen beinhalten:‍

1. Aikido

Die komplette Security-Plattform von Aikido deckt mehr als Image-Scans ab. Aikido Zen bietet eine In-App-Laufzeitverteidigung, die Exploits überwacht und anfällige Workloads, einschließlich 0-Day-Exploits, virtuell patchen kann, ohne auf eine Codeänderung warten zu müssen. Das bedeutet, dass dasselbe Produkt, das einen anfälligen Container in Ihrer Pipeline markiert hat, auch Exploits gegen die laufende Workload blockieren kann. Für Teams, die Build- und Laufzeitschutz von einem Anbieter wünschen, anstatt einen Image-Scanner mit einem separaten Laufzeit-Tool zusammenzufügen, deckt Aikido beide Seiten ab.

2. Sysdig Secure 

Sysdig Secure (basierend auf Falcos Engine) ist führend im Bereich der Laufzeit-Containersicherheit. Es scannt nicht nur Images, sondern überwacht auch aktiv die Systemaufrufe und das Netzwerk von Containern. Sysdig kann Container beenden oder pausieren, wenn sie Regeln verletzen, und bietet detaillierte Forensik (Erfassung der Systemaktivität rund um ein Ereignis). Es ist im Grunde wie ein Intrusion Detection System, das speziell auf Container und Kubernetes abgestimmt ist. Für die Laufzeit-Bedrohungsabwehr ist Sysdig mit seinen Echtzeit-Erkennungs- und Reaktionsfunktionen erstklassig.

3. Aqua Security 

Die Plattform von Aqua umfasst sogenannte Aqua Enforcers, also Agenten auf Ihren Knoten, die Live-Überwachung und -Kontrolle durchführen. Aqua kann verdächtige Prozesse blockieren, Privilegieneskalationen verhindern und sogar während der Laufzeit Image-Integritätsprüfungen durchführen (um sicherzustellen, dass der container manipuliert wurde). 

Aqua unterstützt auch Laufzeitscans – beispielsweise die Überprüfung des Speichers containerlaufenden containerauf bekannte Malware-Signaturen. Es handelt sich um eine umfassende Suite für die Laufzeit, die häufig in Hochsicherheitsumgebungen eingesetzt wird, in denen Container Ziel von Angriffen sein können.

4. Falco 

Wie bereits in unseren Top-Tools erwähnt, ist Falco die erste Wahl unter den Open-Source-Lösungen für Laufzeitsicherheit. Es blockiert zwar nicht (Falco dient nur der Erkennung; zum Blockieren müssen Sie es mit einer anderen Lösung integrieren), eignet sich jedoch hervorragend zur Beobachtung und Warnung bei verdächtigem Verhalten in Containern. 

Viele Teams verwenden Falco zusammen mit anderen Tools (oder selbst entwickelten Skripten zum Beenden von Containern), um Laufzeitschutz zu erreichen. Wenn Sie Ihre Laufzeitsicherheit kostenlos selbst erstellen möchten, ist Falco die zentrale Komponente, die Sie verwenden sollten.

5. AccuKnox

AccuKnox bietet Laufzeit-Enforcement über KubeArmor, das auf Kernel-Ebene innerhalb laufender Container agiert. Anstatt nur verdächtiges Verhalten zu erkennen, blockiert es dieses aktiv und verhindert so das Spawnen von Shells, unerwartete Netzwerkverbindungen und den Zugriff auf sensible gemountete Volumes, bevor Schaden entsteht. Ein Admission Controller fügt eine zweite Ebene hinzu, die verhindert, dass Pods mit Policy-Verletzungen überhaupt erst geplant werden. Für Teams, die Laufzeitschutz benötigen, der über reine Warnmeldungen hinausgeht, ist AccuKnox eines der wenigen Tools, das auf Kernel-Ebene erzwingt, anstatt nur zu beobachten.

​

Die 4 besten Open-Source Container-Scanning-Tools

Open-Source-Tools bieten Transparenz und Flexibilität. Sie können sie selbst hosten, anpassen und einen Vendor Lock-in vermeiden. Wenn es um Container-Scanning geht, sind einige der besten Lösungen Open Source. Diese eignen sich hervorragend für Communities, interne Tools oder Organisationen, die Open Source aus Kosten- oder philosophischen Gründen bevorzugen. 

Hier stellen wir die besten Open-Source Container-Scanner vor (einige davon haben wir bereits oben erwähnt):

1. Trivy 

Open Source (MIT-lizenziert) und äußerst beliebt, ist Trivy oft die erste Empfehlung für einen OSS-Scanner. Es verfügt über eine aktive Community, häufige Updates und eine weite Verbreitung. Ob für ein DevSecOps-Open-Source-Projekt oder eine interne Toolchain, Trivy liefert qualitativ hochwertige Scans ohne proprietäre Einschränkungen.

2. Grype 

Anchores Grype ist Apache-lizenziert und offen für Community-Beiträge. Es ist eine solide Wahl, wenn Sie einen OSS-Scanner mit Unternehmensunterstützung wünschen (Anchore unterstützt es, aber es ist wirklich Open Source). Das Projekt wird aktiv auf GitHub gepflegt, und viele Benutzer tragen zu Verbesserungen bei. Seine Kombination mit Syft (für die SBOM-Generierung, ebenfalls OSS) macht es zu einer guten Komponente in einem Open-Source-Supply-Chain-Security-Stack.

3. Clair 

Clair gibt es schon länger und ist nach wie vor ein bevorzugter Open-Source-Scanning-Dienst. Jetzt in Version 4 (mit Unterstützung für neue Distributionen und einfacherer Einrichtung) wird Clair in Projekten wie Harbor (Open-Source-Registry) als Standard-Scanner eingesetzt. Es ist GPL-lizenziert und wird von der Community gepflegt (hauptsächlich von Red Hat-Ingenieuren). Für diejenigen, die einen OSS-Schwachstellen-Scanner-Dienst in eine Registry oder CI integrieren möchten, ist Clair eine bewährte Lösung.

4. OpenSCAP 

OpenSCAP ist Open Source (LGPL), und obwohl es eher ein Compliance-Tool ist, bietet es Container-Scanning-Funktionen als Teil der OpenSCAP-Basis. Sicherheitsbewusste Open-Source-Benutzer (zum Beispiel in Fedora- oder CentOS-Communities) verwenden OpenSCAP, um Container-Images anhand von Sicherheitsrichtlinien zu überprüfen. Es wird durch Community-Beiträge unterstützt und ist ein fester Bestandteil im Open-Source-Ökosystem von Red Hat.

(Es ist auch erwähnenswert: andere OSS-Tools umfassen Dockle für das Konfigurations-Scanning und Tern für die SBOM-Generierung – je nach Ihren Anforderungen bietet die Open-Source-Welt wahrscheinlich ein oder zwei Tools, die passen.)

Fazit

Aikido liefert schnell Ergebnisse für ein „ container “-Image, und für jeden Befund wird eine Lösung zum Beheben des Problems angeboten. Das Tool erkennt CVEs in Betriebssystempaketen und anfällige Sprachabhängigkeiten; anschließend eröffnet AutoFix einen Pull-Request mit der Abhilfemaßnahme – entweder ein Paket-Upgrade oder ein einfacher Wechsel zu einem Basis-Image, in dem die bekannten kritischen und hohen Schwachstellen bereits behoben sind. Die Erreichbarkeits-Engine priorisiert dabei, was tatsächlich ausgenutzt werden kann, vor dem, was nicht ausgenutzt werden kann, sodass der Bericht als kurze Prioritätenliste statt als rohe CVE-Auflistung vorliegt. Für das Scannen von Images, das zu einer integrierten Korrektur führt, ist dies eine ausgezeichnete Wahl.