Die „Full-Lifecycle“-
Alternative zu „
“ Chainguard-Bibliotheken

Chainguard erstellt gehärtete, minimalistische Container- und Basis-Images, die kontinuierlich neu kompiliert werden, um frei von bekannten CVEs zu bleiben, und mit signierter SLSA-Herkunftsnachweis ausgeliefert werden. Im Jahr 2025 wurde das Angebot mit Chainguard Libraries auf Sprachpakete ausgeweitet, wobei Open-Source-Pakete aus dem Quellcode neu kompiliert werden. Die größte Stärke und der beste Ruf des Unternehmens liegen auf der Ebene der Container-Images, wo es von container-nativen Sicherheitsteams weit verbreitet eingesetzt wird.

Chainguard sichert Pakete bereits an der „Haustür“: Es baut sie aus einer sauberen Quelle neu auf, sodass das, was Sie einbinden, verifiziert ist. SecureChain tut dies ebenfalls und schützt diese Pakete anschließend so lange, wie sie in Ihrem Stack laufen – mit zeitgebundenen SLAs für CVE-Korrekturen, fortlaufenden Patches auch nach Einstellung der Upstream-Unterstützung sowie Malware-Scans. Die Stärke von Chainguard liegt in gehärteten Container-Images; die von SecureChain darin, Ihre Open-Source-Abhängigkeiten während ihres gesamten Lebenszyklus in der Produktion zu schützen.

Das hängt davon ab, welches Problem Sie lösen möchten. Was die Sicherheit der Lieferkette für Sprachpakete angeht, kann SecureChain eigenständig eingesetzt werden. Bei gehärteten Container-Images ersetzt es Chainguard jedoch nicht. Behalten Sie Chainguard für diese Ebene bei und nutzen Sie SecureChain zusätzlich, um Ihre Open-Source-Abhängigkeiten zu sichern.

Ja, und es handelt sich um eine klare Trennung. Chainguard sichert den Container und die Betriebssystemebene; SecureChain sichert die Ebene der Anwendungsabhängigkeiten. Die SBOM- und Herkunftsnachweise beider Lösungen können für die Compliance-Berichterstattung zusammengeführt werden.

SecureChain verpflichtet sich zu einer SLA für CVE-Korrekturen für aktive Bibliotheken und für Versionen, deren Lebenszyklus beendet ist, gerechnet ab der Veröffentlichung der CVE. Chainguard Libraries veröffentlicht keine zeitgebundene SLA; seine CVE-Richtlinie sieht lediglich „wirtschaftlich angemessene Anstrengungen“ vor.

Die meisten Bibliotheken werden stillschweigend aktualisiert. Eine neue Hauptversion wird veröffentlicht, und die ältere Version, die Sie noch verwenden, erhält stillschweigend keine Fehlerbehebungen mehr, ohne dass es eine offizielle Ankündigung zum Ende des Lebenszyklus gibt (axios, requests, urllib3, Guava). In der von Ihnen verwendeten Version häufen sich dann die CVEs an.

SecureChain sorgt im Rahmen des SLA weiterhin für Patches für die von Ihnen verwendeten Versionen, unabhängig davon, ob der Upstream-Entwickler ein Ende des Lebenszyklus ankündigt oder nicht. Das entsprechende Backporting von Chainguard deckt nur CVEs mit hohem und kritischem Risiko für eine Teilmenge von Python-Bibliotheken ab.

Die Preise für Chainguard Libraries richten sich nach der Anzahl der Entwickler pro Ökosystem, sodass die Kosten steigen, wenn Ihr Team wächst und Sie weitere Sprachen hinzufügen. SecureChain wird als einzelne Unternehmenslizenz und nicht pro Arbeitsplatz verkauft, wobei neue Ökosysteme im Laufe Ihrer Vertragslaufzeit bei deren Einführung mit einbezogen werden. Da der richtige Vergleich von Ihrem Stack und Ihrer Teamgröße abhängt, sollten Sie sich vor Ihrer Entscheidung ein auf Ihren Stack zugeschnittenes Angebot einholen.

Was die derzeit verfügbaren Sprachpakete angeht, deckt Chainguard Libraries mehr ab: JavaScript, Python und Java. SecureChain deckt nun JavaScript (npm) ab, Java und Python folgen im August 2026 sowie Go, Rust und PHP im vierten Quartal 2026. Der Schwerpunkt von SecureChain liegt auf der Tiefe pro Ökosystem, mit einer kontinuierlichen SLA für CVE-Patches für jedes Paket. Bei Container-Images deckt Chainguard weitaus mehr ab; SecureChain bietet keine gehärteten Container-Images an.

Bei Chainguard-Libraries beschränkt sich die Migration im Wesentlichen auf eine Umleitung der Registrierung und eine erneute Überprüfung der Herkunftsbescheinigungen. Wenn Sie auch die Container-Images von Chainguard verwenden, sollten Sie eine längere Evaluierungsphase einplanen, in der Ihr Image-Katalog abgeglichen wird, da SecureChain diese Ebene nicht abdeckt. Sprechen Sie uns an, um einen auf Ihre Infrastruktur zugeschnittenen Migrationsplan zu erhalten.

TuxCare sorgt für die Sicherheit der Open-Source-Software, auf der die Welt aufbaut. Heute schützen wir mehr als 1,2 Millionen Workloads und helfen Unternehmen dabei, auch in großem Maßstab sicher, konform und widerstandsfähig zu bleiben. Wir bieten Sicherheit und Support auf Unternehmensniveau für den gesamten Open-Source-Stack – von Paketen und Bibliotheken bis hin zu Laufzeitumgebungen, Anwendungen und Betriebssystemen.

SecureChain schützt Open-Source-Pakete in allen wichtigen Ökosystemen – von der Vorinstallation bis über das Ende des Supportzeitraums (EOL) hinaus. Der „Endless Lifecycle Support“ erweitert die Bereitstellung von Sicherheitspatches auf Open-Source-Versionen, für die kein Support mehr angeboten wird, auf die Ihr Team jedoch weiterhin angewiesen ist. Mit unseren Patching-Lösungen ohne Neustart können Unternehmen kritische Korrekturen ohne Ausfallzeiten oder Unterbrechungen bereitstellen, während unser Enterprise-Support für Community-Linux-Distributionen Teams erstklassige Funktionen, fachkundige Beratung und langfristiges Vertrauen in ihre Open-Source-Infrastruktur bietet.

Darüber hinaus ist unsere Schwesterorganisation Imunify eine der größten serverseitigen Plattformen zur Malware-Erkennung im Hosting-Bereich und stützt sich auf jahrelange Erfahrung in der Malware-Forschung. SecureChain greift auf genau dieses Know-how in den Bereichen Patching und Malware-Forschung zurück und wendet es auf die Open-Source-Bibliotheken an, auf die Ihre Anwendungen angewiesen sind.