Die besten Minimus-Alternativen im Jahr 2026

Minimus wird eingestellt, und seine Registry (reg.mini.dev) wird am 22. Oktober 2026 nach einer 60-tägigen Wartungsphase, die am 24. August begonnen hat, abgeschaltet. Bereits heruntergeladene Images funktionieren weiterhin, es wird jedoch keine neuen Updates mehr geben. Wenn Sie Minimus-Images verwenden, müssen Sie diese bis zu diesem Stichtag migrieren.

Schon zuvor war dieses Modell nicht für jeden geeignet. Die Umstellung auf Minimus bedeutete, auf dessen Images umzusteigen, die auf einer eigenen Distribution (MinimOS) basierten, und sich an dessen Release-Rhythmus zu halten. Und da die Images „distroless“ sind (ohne Shell oder Paketmanager), musste alles, worauf Ihre Konfiguration angewiesen war und was Minimus entfernt hatte, überarbeitet werden. 

Es gibt Alternativen, mit denen sich dies vermeiden lässt. Anstatt Sie auf eine Anbieter-Distribution umzustellen, werden Patches auf das Basis-Image angewendet, das Sie bereits nutzen, und bei festgelegten Versionen werden Korrekturen in diese zurückportiert, anstatt Sie zu zwingen, auf eine neuere Version umzusteigen. In diesem Beitrag erfahren Sie, wie es nun weitergeht.

In diesem Beitrag geht es darum, wie es weitergeht und worauf Sie achten sollten, damit Sie nicht schon in einem Jahr wieder umsteigen müssen. Wir vergleichen:

• Aikido Security
• Chainguard
• Docker Hardened Images
• RapidFort
• Echo

TL;DR

Unsere erste Wahl ist Aikido Security. Anstatt Sie auf eine neue Distribution umzustellen, wird das von Ihnen bereits verwendete Basis-Image gepatcht, sodass nichts kaputtgeht und der Fix als Pull-Request bereitgestellt wird, den Sie einmalig zusammenführen. Danach erstellt „ Aikido “ das Image immer wieder neu, sobald neue Schwachstellen behoben werden, und benachrichtigt Sie, sobald ein neuer Build verfügbar ist. Jedes Image ist ein direkter Ersatz mit einer Herkunftsangabe gemäß „ SBOM “, VEX und SLSA, der CVEs auf Betriebssystemebene im Rahmen eines definierten SLA für die Patch-Erstellung abdeckt. Es wird auch nach Ablauf der Lebensdauer weiterhin gepatcht und ist Teil einer Plattform, die auch SAST, DAST, SCAsecrets -Erkennung sowie die Cloud-Sicherheitslage abdeckt. Da bereits Root-Kunden, kann „ Aikido “ Sie auf dieselbe Weise von Minimus wegführen.

{{cta}}

Was Minimus gut gemacht hat

Minimus erstellte seine „distroless“-Images aus dem Quellcode auf seiner eigenen Distribution, MinimOS, und integrierte dabei nur das, was eine Anwendung zur Ausführung benötigte – ohne die Shell- und Paketmanager-Tools, die die Angriffsfläche vergrößern. Der Katalog umfasste über 1.200 Images mit FIPS-, CIS-, NIST- und STIG-Baselines, und im Juni 2026 wurde das gesamte Angebot ohne Registrierung kostenlos zugänglich gemacht. Bei Images, die unverändert passten, erforderte die Einbindung lediglich eine einzeilige Änderung an einer Dockerfile-Datei oder einem Manifest.

Warum Sie jetzt eine Alternative zu Minimus brauchen

Der Minimus-Katalog wird eingestellt, und ab dem 22. Oktober wird es keine weiteren Aktualisierungen der Minimus-Images mehr geben. Alles, was Sie bereits heruntergeladen haben, läuft weiterhin, aber die CVEs werden sich häufen, ohne dass ein gepatchter Ersatz zur Verfügung steht.

Wenn Sie Ihre Images frei von Sicherheitslücken halten möchten, sind Sie nun gezwungen, eine kostspielige Migration weg von Minimus durchzuführen. Der Ausstieg bedeutet, dass jedes Minimus-Image, auf dem einer Ihrer Dienste gehostet wird, durch eine andere Quelle ersetzt und erneut getestet werden muss. Die Migration selbst ist mittlerweile unvermeidbar. Es lohnt sich daher, einen Ersatz zu wählen, der Sie nicht an seine eigene Distribution und seinen eigenen Release-Rhythmus bindet – andernfalls müssen Sie diesen Vorgang wiederholen, sobald ein Anbieter seinen Kurs ändert. 

Und selbst wenn man keine Probleme bei der Migration auf diese Distribution gehabt hätte, war das Modell anfällig. Minimus erstellte Images auf Basis der Upstream-Versionen neu und veröffentlichte neue Releases, sodass selbst bei unveränderter Versionsnummer ein gepatchtes Image einen neuen Digest bedeutete. Um auf dem neuesten Stand zu bleiben, musste man auf jedes neue Release umsteigen, und jeder Umstieg bedeutete ein neues Image, das getestet und erneut freigegeben werden musste.

Das „Rolling Forward“ funktionierte gut, bis es plötzlich nicht mehr funktionierte. Ein Beispiel: Eine CVE betraf eine Bibliothek in Ihrem Image, und der Fix wurde in Version 2.1 bereitgestellt, aber ein anderes Paket, von dem Sie abhängig waren, akzeptierte nur Versionen unter 2.0. Die vernünftige Vorgehensweise bestand darin, diese Abhängigkeit auf eine bestimmte Version festzulegen, doch dann konnten Sie kein Upgrade mehr durchführen, und im Image sammelten sich einfach immer mehr Sicherheitslücken an. 

Worauf man bei einer Minimus-Alternative achten sollte

• Ein umfangreicher Katalog mit vorgefertigten Lösungen: Wie viele der von Ihnen tatsächlich genutzten Basissysteme deckt er bereits ab? Achten Sie auf eine echte Breite über Debian, Ubuntu und Alpine hinweg, sowohl auf amd64 als auch auf arm64.
• Nachweisbare Herkunft: Ein signiertes „ SBOM “-Dokument, ein VEX-Dokument und die SLSA-Herkunftsangaben werden jedem Pull beigefügt, sodass Sie nachweisen können, was in einem Image enthalten ist und wie es erstellt wurde.
• Sicherheit über das Ende des Lebenszyklus hinaus: Patches , die auch nach dem Ende der Unterstützung durch die Upstream-Distribution weiterhin bereitgestellt werden, sodass Sie eine ältere Basisversion beibehalten können, ohne die bekannten kritischen und hochgradigen CVEs in Kauf nehmen zu müssen.
• Abdeckung über das Basisimage hinaus: Suchen Sie nach einem Tool, das auch Ihre Abhängigkeiten, Ihren Code (SAST), IaC ( secrets) und die Laufzeit abdeckt, damit ein Befund mit dem entsprechenden Kontext geliefert wird.
• Compliance Standardmäßige Nachweise: FIPS-, CIS-, NIST- und STIG-Richtlinien mit automatisch generierten Audit-Dokumenten.
• Ein Anbieter, auf dessen Zukunftsperspektiven Sie sich verlassen können: Finanzielle Solidität, Erfolgsbilanz und wie hoch Ihr Verlust wäre, falls es erneut passieren sollte.

Die besten Minimus-Alternativen

Aikido Security

Während Minimus Sie auf eine eigene Distribution umgestellt hat, patcht „ Aikido “ das Basis-Image, das Sie bereits nutzen. „Aikido Images“ ist ein Verzeichnis mit über 2.000 sofort einsetzbaren Ersatzimages, bei denen die bekannten kritischen und hochgradigen Sicherheitslücken in der Basisversion bereits behoben sind. Diese Images werden während des Erstellungsprozesses neu kompiliert, gepatcht, minimiert und gehärtet, sodass Sie auf der Basisversion, die Sie bereits nutzen, den vollen Schutz, eine kleinere Angriffsfläche und streng gesicherte Standardeinstellungen erhalten.

​

Für Beispiel, debian:bookworm liefert eine gepatchte glib2.0 für CVE-2025-4373, das Debian in Trixie und Sid behoben hat, jedoch nicht in Bookworm. Die Variante „ Aikido -Images“ von debian:bookworm trägt das geflickte glib2.0 Damit ist die Sache erledigt.

Da es sich bei dem Swap um einen Drop-in handelt, den AutoFix als Pull-Request vorschlägt, wird die Korrektur sofort nach dem Merge übernommen, und jeder Pull von docker.aikido.io enthält eine Herkunftsangabe mit SBOM, VEX und SLSA. Aikido sorgt weiterhin für Patches für Versionen, nachdem der Upstream diese eingestellt hat, selbst für solche, deren Lebensdauer abgelaufen ist. So können Sie auf einer älteren Basis bleiben, ohne deren bekannte Sicherheitslücken in Kauf nehmen zu müssen und ohne zu einer neueren Version gedrängt zu werden, um weiterhin geschützt zu sein.

Das Team hinter diesen Images kam durch die Übernahme von Root durch Aikido hinzu. Root ist das Unternehmen hinter SlimToolkit (ehemals DockerSlim), einem der am weitesten verbreiteten Open-Source-Tools zur Image-Absicherung, das über 23.000 GitHub-Stars vorweisen kann und nachweislich in der Lage ist, Images um das bis zu 30-Fache zu verkleinern. Die bestehenden Kunden von Root wurden auf Aikido Images and Libraries migriert, und Aikido kann Ihnen auf die gleiche Weise bei der Ablösung von Minimus helfen. 

Aikido hat 85 Millionen Dollar eingeworben und wird von mehr als 150.000 Teams genutzt, darunter Unternehmen wie Revolut, Belfius, die Premier League, Deel und SoundCloud sowie Visma, das „ Aikido “ in über 200 Portfoliounternehmen und mit 6.000 Entwicklern betreibt. Ein Unternehmen, das über genügend Liquidität verfügt, um Root vollständig zu übernehmen, ist nicht gerade eines, das im Begriff ist, seine Registrierungsstelle abzuschalten.

Ein wachsender Anteil echter Fehlerbehebungen erhält überhaupt keine CVE-Nummer. Die laufende Überwachung von Aikido wird zum Teil von Aikido Intel gespeist, das die Changelogs und Commit-Verläufe der Upstream-Projekte auswertet, um Schwachstellen aufzuspüren, die stillschweigend und ohne CVE-Nummer behoben wurden. Und während die meisten dieser Tools eine CVE durch ein Upgrade des betroffenen Pakets auf eine neuere Version beheben, setzt Aikido in großem Umfang auf zurückportierte Patches: Dabei wird der Fix aus der neueren Version übernommen und auf die Version angewendet, die Sie bereits nutzen. Dadurch bleibt der Umfang der Änderung gering, sodass das Image sich mit größerer Wahrscheinlichkeit so verhält, wie es Ihre Anwendung erwartet – und es entsteht weniger „Upgrade-Schulden“, die sich ansammeln, wenn Sie zu neuen Versionen gedrängt werden.

Wenn ein sauberes Backport nicht möglich ist, führt „ Aikido “ stattdessen ein Upgrade oder einen Neuaufbau der Komponente durch. Außerdem ordnet es jede „ container “ der Basis zu, von der sie abgeleitet ist, und zeigt Ihnen den Austausch auf, der das geringste Risiko für die gesamte Organisation birgt – mit täglich über 100 recherchierten und getesteten Patches sowie einer Abdeckung auf Betriebssystemebene im Rahmen eines definierten SLA für die Patch-Erstellung.

Sicherheitslücken auf Anwendungsebene in Paketen verschiedener Ökosysteme wie npm, PyPI, Maven und Go werden direkt über „Aikido -Bibliotheken“ behoben. All dies ist Teil einer ausgereiften Software-Sicherheitsplattform, die zudem die Erkennung von SAST, DAST, SCA und secrets sowie die Cloud-Sicherheitslage und das Scannen von Images unter container abdeckt, sodass bei der Identifizierung eines Images der zugehörige Code und der Cloud-Kontext angezeigt werden.

Am besten geeignet für: Teams, die Schwachstellen aus den Basis-Images und den bereits verwendeten Abhängigkeiten beseitigen möchten, ohne auf eine Anbieter-Distribution umzusteigen.

{{walkthrough}}

Chainguard

Chainguard Das Unternehmen zerlegt ein Image vollständig und baut es auf Basis von „Wolfi“, seiner eigenen Linux-Distribution, neu auf. Jedes Image wird mit einer signierten „ SBOM “- und einer „Sigstore“-Signatur ausgeliefert, und es gilt eine SLA-Frist von 7 Tagen für die Behebung kritischer CVEs sowie von 14 Tagen für alle anderen Fälle. Zudem gibt es Optionen auf Bundesebene mit FIPS-validierten Varianten und DISA-STIG-Absicherung.

Die Kosten bestehen in der Migration und der Bindung an das System. Die Umstellung auf „ Chainguard “ bedeutet, dass Sie Ihre Dienste in den entsprechenden Katalog und auf „Wolfi“ verlagern müssen. Wenn Ihre Anwendung auf einer Funktion basiert, die in „ Chainguard “ entfernt wurde, funktioniert sie nicht mehr. Das Modell zwingt Sie dazu, immer mit der neuesten Version zu arbeiten, sodass jede Korrektur als neuer Digest bereitgestellt wird, den Sie erneut testen und genehmigen müssen. Wenn Sie zur Reproduzierbarkeit an einen bestimmten Digest „pinnen“, erreichen die Patches Sie gar nicht mehr. 

Chainguard Außerdem werden ältere Versionen schnell ausgemustert. Pakete, die nicht auf dem neuesten Stand sind, werden etwa 12 Monate lang aufbewahrt, und die Nachfrist nach Ablauf der Lebensdauer beträgt sechs Monate; sie gilt nur für die Abhängigkeitspakete eines Images und nicht für die Hauptkomponente und fällt nicht unter das normale CVE-SLA. Alles, was aus dem allgemeinen Wolfi-OSS-Repository bezogen wird, fällt nicht unter das SLA, die FIPS-Verpflichtung erstreckt sich nicht auf benutzerdefinierte Builds, und Chainguard gibt keine Auskunft darüber, was ein Image auf CVE-Ebene enthält; daher verweisen die eigenen Dokumentationen zum Scannen auf Trivy, Grype, Snyk oder Docker Scout. 

Am besten geeignet für: Teams, die sich auf die Release-Struktur und den Release-Rhythmus eines einzigen Anbieters festlegen können. Nicht geeignet für Teams, die eine Basisversion oder eine bestimmte Version stabil halten müssen, ohne diese ständig neu zu testen.

Weitere Informationen finden Sie in unserer vollständigen Liste der Alternativen zu „ Chainguard “.

Docker Hardened Images

Der „Hardened Catalog“ von Docker wurde im Mai 2025 eingeführt und ist seit Dezember 2025 unter der Apache-2.0-Lizenz kostenlos und als Open Source verfügbar. DHI ist eine Überlegung wert für Teams, die bereits Docker Hub nutzen. Das Ziel ist es, CVE-Images mit nahezu null Schwachstellen auf Basis der Standard-Distributionen Alpine und Debian bereitzustellen, ohne dass eine proprietäre Distribution eingeführt werden muss, und es werden signierte SBOMs sowie VEX-Bescheinigungen mitgeliefert. DHI Select bietet zusätzlich ein 7-Tage-SLA für kritische CVEs sowie FIPS- und STIG-Varianten, während DHI Enterprise Anpassungsmöglichkeiten mit erweitertem Lebenszyklus-Support für bis zu fünf Jahre über das Ende des Lebenszyklus des Upstream-Projekts hinaus bietet.

Der Katalog ist neuer und weniger umfangreich als der der etablierten Anbieter, sodass die Erfolgsbilanz unter streng regulierten Arbeitslasten kürzer ist und eine gehärtete Version Ihrer genauen Basis nicht garantiert ist. Die Abdeckung endet zudem beim Image, wobei es keine Unterstützung für Ihren Code, Ihre Abhängigkeiten, IaC oder „ secrets “ gibt. Und DHI behebt Probleme durch „Roll-Forward“. Ein Fix wird als neue Version oder Digest bereitgestellt, die Sie erneut testen müssen, und das „Pinning“ zur Gewährleistung der Stabilität hält den Patch zurück.

Am besten geeignet für: Teams , die bereits auf Docker Hub vertreten sind, gehärtete Images benötigen und keine FIPS-, STIG- oder SLA-Konformität benötigen, da diese Funktionen erst in den kostenpflichtigen Tarifen enthalten sind. Nicht geeignet für Teams, deren konkrete Anforderungen nicht im noch recht überschaubaren Katalog von Docker abgedeckt sind.

RapidFort

RapidFort bietet einen Katalog mit gehärteten Images, die auf Standard-LTS-Distributionen wie Alpine, Debian, Ubuntu und Red Hat basieren und nicht auf einer proprietären Distribution. Das Angebot ist auf den Einsatz im Bundes- und Verteidigungsbereich ausgerichtet und verfügt über FIPS-Validierung sowie STIG- und CIS-Härtung. Zusätzlich zum Katalog bietet RapidFort eine Laufzeitprofilierung an, bei der überwacht wird, welche Pakete und Binärdateien in der Produktion tatsächlich ausgeführt werden, und alles entfernt wird, was nicht als ausgeführt erkannt wurde.

Genau diese Profilierung ist auch der Haken. Sie speichert nur das, was sie beobachtet; daher kann Code, der während des Profilierungsfensters nicht ausgeführt wird, entfernt werden und später im Produktivbetrieb zu Fehlern führen. Profile verlieren ihre Gültigkeit, wenn sich die App oder ihr Datenverkehr ändert. Jede wesentliche Änderung erfordert daher eine erneute Profilierung und erneute Tests, bevor die App veröffentlicht wird. Und wie bei den anderen hier endet die Abdeckung beim Image – darüber hinaus gibt es keine Informationen zu Ihrem Code, Ihren Abhängigkeiten oder Ihrer Cloud.

Am besten geeignet für: Auftragnehmer der US-Bundesregierung, Verteidigungszulieferer und regulierte Teams, die bereits nach FIPS und STIG compliance arbeiten. Teams, die eine tiefgreifendere Optimierung durch Laufzeit-Profiling anstreben, sollten jedoch beachten, dass diese Methode anfällig ist und bei jeder Änderung der Anwendung ein erneutes Profiling erfordert.

Echo

Echo ist ein neuer Marktteilnehmer, der eine KI-gesteuerte Image-Fabrik anbietet, die Images aus Quellmaterial zusammenstellt und dabei nur die Komponenten einbezieht, die eine App benötigt. Dabei überwachen Agents die Feeds zu Sicherheitslücken und generieren neue Images, sobald neue CVEs auf der Upstream-Seite bekannt werden. Die Images zielen auf null CVEs ab, werden als direkte Ersatzlösungen für Standard-Docker-Basissimages ausgeliefert und sind für Teams, die dies benötigen, FIPS-validiert und STIG-konform.

Die entscheidende Frage ist die Reife. Echo ist ein Unternehmen in der Serie-A-Finanzierungsrunde mit einer kurzen Betriebsgeschichte, daher ist die Pipeline für den Neuaufbau und das Patchen unter regulierten Workloads im Produktionsmaßstab die am wenigsten erprobte der Gruppe, und da der Katalog kleiner ist, könnte die Abdeckung für weniger verbreitete Workloads geringer ausfallen. Wie bei den anderen Anbietern auf dieser Liste erfolgt die Behebung durch die Bereitstellung eines neuen Images, anstatt die von Ihnen ausgeführte Version zu patchen, und die Abdeckung endet beim Image.

Am besten geeignet für: Teams, die eine auf dem Quellcode basierende Basis-Image-Strategie verfolgen möchten und das Risiko eingehen können, dass ein Anbieter der Serie A mit kurzer Erfolgsbilanz die Pipeline betreibt, von der ihre Images abhängen.

FAQ