Vergleich
fremforge vs. GitHub
fremforge ist eine europäische Alternative zu GitHub: Git-Hosting, Pull Requests, CI/CD-Runner, Paket-Registries und Sicherheitsscans auf einer Plattform, betrieben von einem europäischen Unternehmen auf T Cloud Public in Deutschland. Diese Seite vergleicht beide bei Preis, Sicherheit, Lieferkette und Datenstandort anhand der Seiten, die GitHub selbst veröffentlicht, und sagt klar, was GitHub hat, das wir nicht haben.
Preis für ein Team, das Code committet
Bei GitHub sind Secret-Scanning und Code-Scanning für private Repositorys kostenpflichtige Add-ons pro aktivem Committer. Bei fremforge sind sie im Platz enthalten.
GitHub Enterprise Cloud 🇺🇸 US-Unternehmen
$70/Committer/Monat$21 Enterprise Cloud + $19 Secret Protection + $30 Code Security
Enterprise Cloud „starting at $21 USD per user/month“ (GitHub-Preise). Secret Protection kostet „$19 USD per active committer/month“ und Code Security „$30 USD per active committer/month“ (GitHub-Security-Tarife). Ein Committer gilt als aktiv, wenn „one of their commits has been pushed to the repository within the last 90 days“ (GitHub-Abrechnungsdokumentation). Für ein Mitglied, das committet, sind das $70 im Monat; ein Mitglied, das nie committet, kostet $21.
fremforge 🇪🇺 gehostet in Deutschland
30 €/Platz/Monatpauschal · 25,50 € pro Platz und Monat bei jährlicher Abrechnung
Secret-Scanning mit Push-Schutz, SAST, Scans für Abhängigkeiten, Container-Images, IaC und Lizenzen, Erreichbarkeit, Sicherheitskorrektur-Pull-Requests, der Abhängigkeits-Proxy und 1.000 CI-Minuten pro Platz und Monat – alles im Preis pro Platz. Preise.
Die Preise von GitHub stehen wie veröffentlicht in USD; wir haben sie nicht umgerechnet. GitHub Team kostet $4 pro Nutzer und Monat und kann dieselben beiden Add-ons dazukaufen; es hat weder SAML-Single-Sign-on noch eine IP-Allowlist (GitHub-Tarife).
Funktion für Funktion
Spalte GitHub: was die Dokumentation von GitHub selbst sagt, für private Repositorys im Besitz einer Organisation. Spalte fremforge: was jeder fremforge-Platz enthält.
| Funktion | GitHub | fremforge |
|---|---|---|
| Secret-Scanning und Push-Schutz | Erfordert das Add-on Secret Protection zu Team oder Enterprise Cloud (Doku) | Inklusive. Secrets werden abgelehnt, bevor der Commit in die Historie gelangt, mit eigenen Mustern pro Organisation oder Repository |
| Gültigkeitsprüfung von Secrets | Add-on Secret Protection (Doku) | Inklusive, pro Anbieter eingeschaltet; die Konsole zeigt, wohin jede Prüfung gesendet wird |
| Code-Scanning (SAST) | CodeQL; erfordert das Add-on Code Security (Doku) | Inklusive. OpenGrep bei jedem Pull Request, standardmäßig aktiv |
| Warnungen zu verwundbaren Abhängigkeiten | Dependabot-Warnungen und Sicherheitsupdates in jedem Tarif (Doku) | Inklusive. Trivy und osv-scanner bei jedem Pull Request, Merge-Sperre ab dem Schweregrad, den du wählst |
| Scan von Container-Images | Über Scanner von Drittanbietern, die SARIF-Ergebnisse hochladen (Doku) | Inklusive. Jedes in die Registry gepushte Image wird gescannt, mit Pull Requests zur Korrektur des Basis-Images |
| Scan von Infrastructure as Code | Über Scanner von Drittanbietern (derselbe SARIF-Weg) | Inklusive. Terraform, Kubernetes, Helm, Dockerfile und Compose, bei jedem Pull Request |
| Erreichbarkeit | Ein Sortierkriterium für Dependabot-Warnungen („whether vulnerable function calls are detected“) (Doku) | Jeder Fund ist als erreichbar, nicht erreichbar oder unbekannt markiert, mit Datei und Zeile als Nachweis. Aufrufgraphen für Go, JavaScript und TypeScript; Python, Java und Kotlin auf Import-Ebene |
| Bekannt ausgenutzte zuerst | EPSS-Filter für Dependabot-Warnungen (Doku) | Einträge in der EU Vulnerability Database der ENISA und im KEV-Katalog der CISA werden markiert, zuerst eingereiht und zuerst behoben; EPSS innerhalb eines Schweregrads |
| Automatische Korrekturen | Dependabot-Sicherheitsupdates; Copilot Autofix für Code-Scanning erfordert Code Security (Doku) | Sicherheitskorrektur-Pull-Requests für npm, Go, PyPI, Maven, Gradle, NuGet, Cargo und Basis-Images, einer pro Paket, bekannt ausgenutzte zuerst; KI-Korrekturen für ausgewählte SAST-Funde mit deinem eigenen Modellschlüssel |
| Lizenz-Compliance | Enterprise-Konto mit Code Security (Doku) | Inklusive. SPDX-Allowlist pro Repository, von der Organisation vererbt |
| Abhängigkeits-Proxy und Paket-Cache | Eine Paket-Firewall als öffentliche Vorschau für Enterprises, dokumentiert für npm (Doku) | Inklusive und standardmäßig aktiv: npm, PyPI, Go, Maven, NuGet, Cargo, Helm, RPM und Container-Images, pro Organisation gecacht. Ablehnung bekannter Malware, Paketrichtlinie, Mindestalter für Releases; liefert weiter aus, wenn eine Upstream-Registry ausfällt |
| Malware | Malware-Warnungen zusammen mit Dependabot-Warnungen (Doku) | Bekannte Malware wird im Abhängigkeits-Proxy abgelehnt; ClamAV bei jedem Upload von Paketen und Images |
| SBOM und Provenance | SBOM-Export für alle; Artefakt-Attestierungen für private Repositorys erfordern Enterprise Cloud, SLSA Build Level 2 (Doku) | SBOM zu jedem vom Runner gebauten Image; signierte SLSA-Provenance von den gehosteten Runnern |
| Signaturen | Attestierungen über Sigstore Public Good für öffentliche Repositorys, über GitHubs eigene Instanz für private (Doku) | Schlüssellose Signatur mit cosign über das eigene Sigstore von fremforge (Fulcio und Zeitstempeldienst) in Deutschland; Signaturrichtlinie für Images beim Pull |
| Freigaben für Deployments | Erforderliche Reviewer für private Repositorys setzen Enterprise voraus (Doku) | Inklusive. Benannte Umgebungen mit Secrets pro Umgebung, Branch-Regeln und erforderlichen Reviewern |
| Audit an dein SIEM | Audit-Log-Streaming mit Enterprise Cloud (Doku) | Inklusive. Signierte Zustellung an Splunk, QRadar, Sentinel oder Datadog; hash-verketteter Audit-Trail |
| IP-Allowlist | Nur Enterprise Cloud (Doku) | Inklusive |
| CI-Minuten | 3.000 im Monat bei Team, 50.000 bei Enterprise Cloud, pro Konto; danach Linux für $0.006 pro Minute (Doku) | 1.000 im Monat pro Platz, gebündelt; danach 0,01 € pro Minute; eine Einweg-VM pro Job |
| Wo deine Daten liegen | „your local region, the United States, and other countries“ (Datenschutzerklärung); eine Option zur Datenresidenz in der EU mit Enterprise Cloud, wobei manche Daten außerhalb der Region gespeichert werden (Doku) | Deutschland, auf T Cloud Public der Deutschen Telekom (eu-de). Kein Auftragsverarbeiter mit US-Muttergesellschaft im Datenpfad |
Was GitHub hat, das fremforge nicht hat
- Einen kostenlosen Tarif. GitHub Free kostet $0. fremforge bietet eine 30-tägige kostenlose Testphase, danach 30 € pro Platz.
- SAML-Single-Sign-on. Bei fremforge meldest du dich über OIDC an (Entra ID, Okta, Google Workspace, Keycloak, Authentik und andere), nicht über SAML.
- Selbst hosten. GitHub Enterprise Server läuft in deinem eigenen Rechenzentrum. fremforge gibt es nur gehostet.
- Copilot. fremforge hat keine eigene KI; optionale KI-Funktionen laufen nur mit dem Schlüssel deines eigenen Anbieters.
- Das Ökosystem. GitHub Marketplace, Codespaces, GitHub Pages und die größte Open-Source-Community. Gängige Actions wie
actions/checkoutfunktionieren auf fremforge über EU-Mirrors; manche Marketplace-Actions brauchen kleine Anpassungen. - Projekte und Planung. fremforge hat Issues, Labels und Meilensteine, aber keine Boards wie GitHub Projects.
Umzug von GitHub
Der Importer übernimmt Repositorys mit ihrer Historie, Issues, Pull Requests und Releases. Ein kleines Repository mit einfachen Actions braucht 15 bis 30 Minuten Handarbeit. Du kannst Repositorys auch spiegeln und auf GitHub weiterarbeiten, während du umziehst.
Jede Aussage über GitHub auf dieser Seite stammt von GitHubs eigenen Seiten, verlinkt an der Stelle, an der sie steht, abgerufen am 23. Oktober 2026. GitHub ändert seine Tarife und Preise; wenn hier etwas veraltet ist, sag uns Bescheid unter support@frem.sh, und wir korrigieren es. GitHub ist eine Marke von GitHub, Inc. fremforge ist nicht mit GitHub verbunden.