Vergleich
fremforge vs. GitLab
fremforge ist eine europäische Alternative zu GitLab: Git-Hosting, Merge Requests als Pull Requests, CI/CD-Runner, Paket-Registries und Sicherheitsscans auf einer Plattform, betrieben von einem europäischen Unternehmen auf T Cloud Public in Deutschland. Diese Seite vergleicht beide bei Preis, Sicherheit, Lieferkette und Datenstandort anhand der Seiten, die GitLab selbst veröffentlicht, und sagt klar, was GitLab hat, das wir nicht haben.
Preis pro Platz
Die meisten Sicherheitsscans von GitLab stecken in Ultimate, für das GitLab Preise inzwischen nur auf Anfrage nennt. Bei fremforge sind sie im einen Preis pro Platz enthalten.
GitLab Premium 🇺🇸 US-Unternehmen
$29/Nutzer/Monatjährliche Abrechnung
„$29 per user/month, billed annually“ mit 10.000 Compute-Minuten im Monat (GitLab-Preise). Dependency Scanning, Secret Push Protection, DAST und Lizenz-Scans sind Funktionen von Ultimate (Quellen in der Tabelle unten).
GitLab Ultimate 🇺🇸 US-Unternehmen
$99/Nutzer/Monatberichteter Listenpreis, jährliche Abrechnung
Auf GitLabs Seite steht „Get custom pricing“, mit 50.000 Compute-Minuten im Monat (GitLab-Preise); $99 pro Nutzer und Monat bei jährlicher Abrechnung ist der Preis, den Käufer berichten (SpendBase).
fremforge 🇪🇺 gehostet in Deutschland
30 €/Platz/Monatpauschal · 25,50 € pro Platz und Monat bei jährlicher Abrechnung
Secret-Scanning mit Push-Schutz, SAST, Scans für Abhängigkeiten, Container-Images, IaC und Lizenzen, Erreichbarkeit, Sicherheitskorrektur-Pull-Requests, der Abhängigkeits-Proxy und 1.000 CI-Minuten pro Platz und Monat – alles im Preis pro Platz. Preise.
Die Preise von GitLab stehen wie veröffentlicht in USD; wir haben sie nicht umgerechnet. GitLab Free kostet $0 für bis zu 5 Nutzer pro Top-Level-Gruppe, mit 400 Compute-Minuten im Monat (GitLab-Preise).
Funktion für Funktion
Spalte GitLab: die Stufe, die die Dokumentation von GitLab selbst für gitlab.com angibt. Spalte fremforge: was jeder fremforge-Platz enthält.
| Funktion | GitLab | fremforge |
|---|---|---|
| Secret-Erkennung in Pipelines | Ab Free (Doku) | Inklusive |
| Push-Schutz für Secrets | Ultimate (Doku) | Inklusive. Secrets werden abgelehnt, bevor der Commit in die Historie gelangt, mit eigenen Mustern pro Organisation oder Repository |
| Gültigkeitsprüfung von Secrets | Ultimate (Doku) | Inklusive, pro Anbieter eingeschaltet |
| SAST | Einfache Scans in jeder Stufe; Funde in Merge Requests und Advanced SAST in Ultimate (Doku) | Inklusive. OpenGrep bei jedem Pull Request, Funde direkt im Pull Request |
| Abhängigkeits-Scan | Ultimate (Doku) | Inklusive. Trivy und osv-scanner bei jedem Pull Request |
| Container-Scan | Scans in jeder Stufe; Ansichten in Merge Requests und im Sicherheitsbereich in Ultimate (Doku) | Inklusive. Jedes gepushte Image wird gescannt, mit Pull Requests zur Korrektur des Basis-Images |
| Scan von Infrastructure as Code | Scans in jeder Stufe; Verarbeitung der Ergebnisse in Ultimate (Doku) | Inklusive. Terraform, Kubernetes, Helm, Dockerfile und Compose |
| Erreichbarkeit | Statische Erreichbarkeit, Ultimate (Doku) | Inklusive. Erreichbar, nicht erreichbar oder unbekannt, mit Datei und Zeile als Nachweis |
| Bekannt ausgenutzte und EPSS | KEV und EPSS auf der Detailseite einer Schwachstelle, Ultimate (Doku) | Inklusive. Einträge in der EU Vulnerability Database der ENISA und im KEV-Katalog der CISA werden zuerst eingereiht und zuerst behoben; EPSS innerhalb eines Schweregrads |
| Automatische Korrekturen | Automatische Behebung beim Container-Scan und agentenbasierte Auflösung von SAST-Funden, Ultimate (Doku) | Inklusive. Sicherheitskorrektur-Pull-Requests für npm, Go, PyPI, Maven, Gradle, NuGet, Cargo und Basis-Images; KI-Korrekturen für ausgewählte SAST-Funde mit deinem eigenen Modellschlüssel |
| Lizenz-Compliance | Ultimate (Doku) | Inklusive. SPDX-Allowlist pro Repository |
| DAST | Ultimate (Doku) | Nicht im Angebot |
| Abhängigkeits-Proxy | Container-Images in jeder Stufe, als Pull-Through-Cache (Doku); eine virtuelle Registry für andere Formate als Beta, ab Premium (Doku) | Inklusive und standardmäßig aktiv: npm, PyPI, Go, Maven, NuGet, Cargo, Helm, RPM und Container-Images – mit Ablehnung bekannter Malware, Paketrichtlinie und Mindestalter für Releases |
| SBOM | Abhängigkeitsliste und Export, Ultimate (Doku) | SBOM zu jedem vom Runner gebauten Image; signierte SLSA-Provenance |
| Signaturen | Schlüssellose Sigstore-Signatur in CI (Doku) | Schlüssellose Signatur mit cosign über das eigene Sigstore von fremforge in Deutschland; Signaturrichtlinie für Images beim Pull |
| Geschützte Umgebungen | Ab Premium (Doku) | Inklusive. Erforderliche Reviewer pro Umgebung |
| Audit an dein SIEM | Audit-Event-Streaming, Ultimate (Doku) | Inklusive. Signierte Zustellung an Splunk, QRadar, Sentinel oder Datadog |
| IP-Allowlist | Ab Premium (Doku) | Inklusive |
| Wo deine Daten liegen | „hosted in the United States“ für gitlab.com (Datenschutzerklärung); freie Wahl der Region, auch in der EU, mit GitLab Dedicated, einem Single-Tenant-Angebot auf Basis von Ultimate auf AWS (Doku) | Deutschland, auf T Cloud Public der Deutschen Telekom (eu-de). Kein Auftragsverarbeiter mit US-Muttergesellschaft im Datenpfad |
Was GitLab hat, das fremforge nicht hat
- Einen kostenlosen Tarif. GitLab Free kostet $0 für bis zu 5 Nutzer. fremforge bietet eine 30-tägige kostenlose Testphase, danach 30 € pro Platz.
- Self-Managed und Dedicated. GitLab läuft in deiner eigenen Umgebung oder als Single-Tenant-Instanz. fremforge gibt es nur gehostet.
- SAML-Single-Sign-on. Bei fremforge meldest du dich über OIDC an (Entra ID, Okta, Google Workspace, Keycloak, Authentik und andere), nicht über SAML.
- DAST. fremforge führt keine dynamischen Anwendungssicherheitstests durch.
- Planung. Epics, Roadmaps und Iterationen. fremforge hat Issues, Labels und Meilensteine.
- GitLab-CI-Syntax. Die CI von fremforge nutzt die Workflow-Syntax von GitHub Actions,
.gitlab-ci.yml-Pipelines werden also als Workflows neu geschrieben. Die Umzugsanleitung zeigt, wie.
Umzug von GitLab
Der Importer übernimmt Repositorys mit ihrer vollständigen Historie, Issues, Merge Requests (als Pull Requests), Labels, Meilensteinen, Wikis und Releases. Ein kleines Repository mit einer einfachen .gitlab-ci.yml braucht 30 bis 60 Minuten, die Pipeline eingeschlossen.
Jede Aussage über GitLab auf dieser Seite stammt von GitLabs eigenen Seiten, verlinkt an der Stelle, an der sie steht, abgerufen am 23. Oktober 2026. GitLab ändert seine Stufen und Preise; wenn hier etwas veraltet ist, sag uns Bescheid unter support@frem.sh, und wir korrigieren es. GitLab ist eine Marke von GitLab Inc. fremforge ist nicht mit GitLab verbunden.