Verbinden Sie Repository-Scans, kontextbezogene KI-Codeprüfung, automatische Korrekturen und autorisierte Pentests mit den vorhandenen Tools Ihres Entwicklungsteams.
Hast du dieses Tool genutzt? Bewerte es
Hast du dieses Tool genutzt? Bewerte es
Aikido ist eine Plattform für Anwendungssicherheit, die Code-, Cloud- und Laufzeitschutz in einem zentralen System vereint.
KI-Codeprüfung, Quellcodeanalyse und KI-Pentests betreffen unterschiedliche Entwicklungsphasen mit eigenen Zugriffs- und Abrechnungsbedingungen.
AutoFix schlägt überprüfbare Änderungen an Abhängigkeiten, Anwendungscode, Infrastruktur als Code, Containern und Pentest-Befunden vor: als Inline-Diffs in der IDE, CI/PR-Vorschläge sowie manuell oder täglich erzeugte Pull Requests.
Bei Abhängigkeiten bevorzugt AutoFix die niedrigste korrigierte Version, meist ein Patch- oder Minor-Upgrade. Ein Major-Upgrade bedeutet, dass keine niedrigere Version das Problem behebt.
Cloud Discovery sucht kontenübergreifend nach Ressourcen, Risiken und Fehlkonfigurationen. Cloud Inventory bildet Assets ab, und eigene CSPM-Regeln markieren riskante Konfigurationen.
Zen Firewall wird direkt in den Anwendungscode eingebettet und läuft auf demselben Server. Die aufgeführten Kontrollen betreffen gefährliche Benutzereingaben, Injection- und Path-Traversal-Angriffe, Ratenlimits für Routen und Benutzer, schädlichen Datenverkehr wie Bots oder bekannte Angreifer, länderbezogenen Zugriff sowie die Überwachung ausgehenden Datenverkehrs.
Aikido nennt für Deep Review das Beispiel eines PR, der Bestellungen eines Benutzers für einen anderen sichtbar macht: Die App läuft weiter, und SAST erkennt möglicherweise kein bekanntes gefährliches Muster.
AI Code Analysis untersucht vorhandenen Quellcode, wenn ein Team unsicher ist, ob eine bestehende Anwendung ihre Kunden voneinander isoliert.
Attack Surface Monitoring entdeckt erreichbare Assets wie eine alte Anmeldeseite oder eine durch eine Proxy-Änderung freigelegte Admin-API. Quick Scan prüft fortlaufend die Exposition bereits bekannter Domains.
Aikido verbindet sich über GitHub, GitLab, Bitbucket, Azure DevOps und lokale Installationen zur Quellcodeverwaltung. IDE-Zugänge gibt es für Visual Studio, VS Code, JetBrains IDEs, Cursor, Windsurf, Kiro, Google Antigravity und Eclipse.
Die Dokumentation des lokalen Scanners enthält CI/CD-Einrichtungen für Azure DevOps Server, Bitbucket Pipelines, Bamboo, CircleCI, GitHub Actions, GitLab Self-Managed, Jenkins und TeamCity sowie Anleitungen für Linux, Mac und Windows.
MCP-Einrichtungen sind für Claude Code, Cursor, Codex CLI, Gemini CLI, JetBrains AI, GitHub Copilot, Mistral Vibe, OpenCode und Devin veröffentlicht. Auch API Authorization and Rate Limiting ist dokumentiert.
SAST unterscheidet dateiübergreifende und dateiinterne Taint-Verfolgung. Für dateiübergreifende Analyse sind JavaScript, TypeScript, PHP, .NET/C#, Java, Rust, Go, Ruby, Python, Scala, C/C++ und Visual Basic aufgeführt. Für dateiinterne Analyse sind es Swift, Android, Kotlin, Dart, Elixir, Apex und Clojure.
Zen unterstützt die Laufzeiten Node.js, Python, PHP, Java, .NET Core and Framework, Ruby und Golang; Golang ist als beta gekennzeichnet.
Die am 28. Oktober 2026 erfassten USD-Preise gelten pro Bezahlplan für 10 Benutzer; Jahrespreise sind Jahressummen. Quellen-, Einfuhr-, Verkaufs-, Mehrwert- und sonstige lokale Steuern sind nicht enthalten.
| Plan | Monatliche Abrechnung | Jährliche Abrechnung | Enthaltene Benutzer |
|---|---|---|---|
| Developer | $0 | $0 | 2 |
| Basic | $350/Monat | $3780/Jahr | 10 |
| Pro | $700/Monat | $7560/Jahr | 10 |
| Advanced | $1050/Monat | $11340/Jahr | 10 |
Developer benötigt keine Kreditkarte und nennt erneute Scans alle drei Tage. Die Kontingente der Plankarten unterliegen fairer Nutzung. Ein Strich bedeutet, dass die Karte kein Kontingent für VM-Skalierungsgruppen nennt.
| Plan | Repositorys / Images | Domains / Cloud-Konten | VM-Skalierungsgruppen | AI AutoFix pro Monat | Geschützte Anfragen pro Monat |
|---|---|---|---|---|---|
| Developer | 10 / 2 | 1 / 1 | — | 10 | 250k |
| Basic | 100 / 50 | 3 / 3 | — | Unbegrenzt | 10M |
| Pro | 200 / 100 | 10 / 10 | 30 | Unbegrenzt | 20M |
| Advanced | 500 / 200 | 20 / 20 | 100 | Unbegrenzt | 50M |
Aikido Max ist ein Zusatzangebot nach individuellem Angebot mit unbegrenzten monatlichen Credits für alle KI-Funktionen einschließlich Deep Review, vorbehaltlich fairer Nutzung.
Ein Aikido-Credit entspricht $1 USD. Berechtigte aktive Pro- und Advanced-Arbeitsbereiche können pro Kalendermonat 100 bzw. 200 kostenlose Credits erhalten; Developer und Basic enthalten diese Aufstockung nicht. Gekaufte und kostenlose Credits bilden ein gemeinsames, nicht verfallendes Guthaben. Ohne Nutzung des Guthabens kann die kostenlose Aufstockung im betreffenden Monat entfallen; das vorhandene Guthaben bleibt.
Pro Kauf sind mindestens 500 Credits nötig. Zahlung ist per Karte oder Rechnung möglich, wobei Rechnungskauf nur zahlenden Kunden offensteht und Credits nach erfolgreicher Zahlung gutgeschrieben werden.
Admins des Arbeitsbereichs können pro Funktion Ausgabenlimits setzen; Rücksetzzeiträume hängen von der Funktion ab. Ist ein Limit erreicht, überspringt Aikido Aktionen, die Credits kosten würden, bis zur Rücksetzung.
Deep Review kostet einen Credit pro Pull Request, ohne Aufpreis für weitere Prüfungen desselben PR. Bei fehlenden Credits werden Prüfungen übersprungen. Das Monatslimit überspringt kostenpflichtige Prüfungen bis zum nächsten Kalendermonat.
Ein Standard Pentest kostet 4000 Credits für eine zeitlich begrenzte Prüfung einer Anwendung und ihrer primären APIs. Rightsized Pentests nutzt verbundene Repositorys, um Angriffsvektoren abzubilden und den sicherheitsrelevanten Prüfumfang zu bestimmen; die Gesamtsumme steht vor Testbeginn fest. Rightsized zeigt $50–$30000+ an, mit einem Umfang aus Repositorys, Endpunkten und Rollen.
Continuous Pentesting wird mit 10 Credits pro gestartetem Agenten abgerechnet. Die Jahreshochrechnung nutzt die letzten 30 Tage Git-Aktivität. Aikido prüft konfigurierte Deployments oder geplante Läufe, startet Agenten aber nur bei sicherheitsrelevanten Änderungen. Die tatsächlichen Gebühren hängen somit von Starts und nicht allein von der Schätzung ab. Befunde des ersten Pentests lassen sich bis zu sechs Monate erneut testen, einschließlich möglicher Umgehungen der Fehlerbehebungen.
Die erste vollständige Prüfung kann ohne vorigen Credit-Kauf mit noch zu bezahlenden Credits beginnen. High- und Critical-Befunde bleiben bis zur Zahlung unscharf; größere Prüfungen zeigen mindestens einen solchen Befund als Vorschau. Bericht und Wiederholungstests werden nach Zahlung oder Erlass des offenen Betrags verfügbar. Vor erneuter Nutzung des Angebots muss jeder ausstehende Betrag beglichen sein.
Vorausgesetzt werden keine unbezahlten Credits, ein Pentest für höchstens 8000 Credits, mindestens ein aktives Nicht-Demo-Repository, mindestens zwei gültige Testkonten sowie eine berufliche E-Mail-Adresse des Benutzers oder eines Arbeitsbereichsadmins. Private E-Mail-Adressen sind nicht berechtigt.
Für den Erlass müssen alle Bedingungen vorliegen: erste vollständige Prüfung des Arbeitsbereichs, Nutzung von Run now, pay later, ein Rightsized Pentest mit mindestens empfohlener Abdeckung, korrekte Einrichtung für gründliche Tests und Abschluss ohne High- oder Critical-Befunde. Die Nichtzahlungsbedingung schließt geringere Abdeckung, zweite Läufe und Wiederholungstests, Continuous Pentesting, eng gefasste Funktions- oder Endpunkttests und unvollständige Einrichtung wie fehlende Benutzer oder unzureichenden Anwendungskontext aus. Sie kann auch bei einem Medium- oder Low-Befund verweigert werden, wenn Exploit Further verfügbar, aber ungenutzt war und der Befund plausibel auf High- oder Critical-Schwere hätte steigen können. Es geht um den Schweregrad und um mehr als Rechteausweitung allein.
Der öffentliche MSA sieht automatische Verlängerung um die aktuelle Laufzeit vor. Zur Kündigung am Laufzeitende ist mindestens 30 Kalendertage vorher schriftliche Mitteilung nötig. Erfolgt die Kündigung nicht wegen einer nicht behobenen wesentlichen Vertragsverletzung durch Aikido, schuldet der Kunde die Gebühren für die Restlaufzeit. Bei Kündigung wegen Aikidos nicht behobener wesentlicher Vertragsverletzung gibt es eine anteilige Erstattung vorausbezahlter ungenutzter Gebühren.
Die kostenlose Plankarte sagt „dauerhaft kostenlos“. Der MSA gewährt der Gratisversion jedoch keine Mindest- oder garantierte Laufzeit und erlaubt Aikido, sie jederzeit aus beliebigem Grund zu beenden.
Snyk nennt Produkte für Code, Open-Source-Abhängigkeiten, Container, Infrastruktur als Code, API/web DAST und Geheimnisse: ein Vergleich nach dem Umfang von Entwicklerscannern.
SonarQube deckt Codeverifikation, Qualität und Sicherheit ab; SonarQube for IDE bietet laufende Analyse und Programmierhinweise. SonarQube Cloud ist vollständig verwaltetes SaaS; SonarQube Server wird innerhalb der Kundengrenzen selbst verwaltet.
Ziele müssen ausdrücklich benannt sein und dem Kunden gehören oder rechtmäßig zum Test autorisiert sein. Ziele Dritter benötigen deren ausdrückliche Erlaubnis. Anwendungstests erfolgen standardmäßig in Nichtproduktions-, Staging- oder Testumgebungen ohne echte Benutzerdaten und ohne Gefahr für den laufenden Geschäftsbetrieb, außer beide Parteien vereinbaren ausdrücklich schriftlich etwas anderes. Network Pentests können ausdrücklich im Umfang gewählte Produktionsziele einschließen, unter Anerkennung des erhöhten Risikos für den Dienst.
Credential-Based Testing ist optional und erfordert eine ausdrückliche Auswahl in der Umfangskonfiguration oder schriftliche Genehmigung. Es kann Standard- oder schwache Zugangsdaten sowie bereits offengelegte Zugangsdaten betreffen, die scheinbar zum Kunden, seinen Domains oder Benutzern gehören. Die Erlaubnis lässt sich nach Ziel, Portal oder Zugangsdatenkategorie begrenzen und widerrufen; die Einstellung wird in wirtschaftlich angemessener Zeit zugesagt. Der Kunde braucht die betreffenden Rechte und eine Grundlage zur Verarbeitung personenbezogener Daten. Der Zusatz nennt auch mögliche Kontosperren, Warnungen, Passwortzurücksetzungen oder ähnliche Folgen.
AutoFix GitHub App verlangt Lese-/Schreibzugriff auf Code, PRs und Workflows sowie Lesezugriff auf Checks und Actions. Dieser Korrekturweg mit Schreibrechten unterscheidet sich vom minimalen Leseumfang der standardmäßigen Scanintegration.
Laut Aikido nutzt die Repository-Analyse einen frischen Container und löscht die Analysedaten bei dessen Beendigung. Dokumentierte Ausnahmen: AutoFix behält ursprüngliche und korrigierte Diffs betroffener Dateien, und AutoTriaged SAST-Befunde behalten Aufrufbäume bis zu zwei Wochen.
Die Repository-Datendokumentation nennt Anwendungsinstanzen in EU, US, US Gov, ME und AU und beschreibt Speicherung in den jeweiligen Regionen.
Aikido beschreibt KI-Vorgänge als reine Inferenz mit vorübergehender Verarbeitung im Speicher ohne Aufbewahrung oder Wiederverwendung. Kleine anonymisierte Codefragmente könnten eine genaue Einstufung und Korrektur unterstützen. Für SAST-, IaC- und Container-AutoFix würden nur die minimal nötigen Ausschnitte verschlüsselt an AWS Bedrock gesendet; weder Aikido noch AWS Bedrock trainierten oder verfeinerten Modelle mit diesem Code. Diese Anbieteraussagen beziehen sich auf die genannten Verarbeitungsbereiche.
Die Datenschutzerklärung verortet personenbezogene Daten in Europa und den USA und bewahrt Dienstdaten während der Kundenbeziehung sowie danach für Betrieb, Historie und Archivierung auf. Personenbezogene Daten unter Aikidos Kontrolle können nach einem geprüften Antrag gelöscht werden.
Pentest-Aktivitäten und Befunde werden protokolliert. Testdaten können der Ergebnisbereitstellung und Dienstverbesserung dienen; Zugangsdaten aus Zugangsdatenprüfungen und andere personenbezogene Daten sind gemäß DPA auf die Ergebnisbereitstellung begrenzt. Rohdaten bleiben befristet für Rückfragen oder die Abwehr von Ansprüchen gespeichert und werden dann gelöscht; die zitierte Klausel nennt keine feste Dauer. Aikido darf eine Archivkopie des Abschlussberichts behalten.
Der MSA wahrt das Kundeneigentum an Inhalten, Repositorys, Codebasen, Containern und Cloud-Infrastruktur und erlaubt zugleich Verarbeitung zur Pflichterfüllung, Durchsetzung vertraglicher Rechte oder Erfüllung gesetzlicher Anforderungen oder einer Autorisierung. Nach Kündigung gibt es 30 Tage zum Abruf nativer Inhalte und Nutzungsanalysen; Inhalte sind innerhalb von 200 Tagen zu löschen. Die Aufbewahrung in dieser Zeit ist auf die Verfügbarkeit von Sicherungen beschränkt.
Nein. Laut Aikido verbessert Repository-Zugriff den Kontext zu Anwendungslogik, Rollen und Datenflüssen deutlich, was tiefere Abdeckung und genauere Befunde ermöglicht.
Eine erste Prüfung muss abgeschlossen sein, und die zum Erkennen sicherheitsrelevanter Änderungen genutzten Repositorys müssen verbunden sein. Nach der Einrichtung kann Aikido bei Anwendungsänderungen gezielte Pentests ausführen.
Die API-Token-Einrichtung verwendet OAuth Client Credentials für Server-zu-Server-Kommunikation. Ein Arbeitsbereichsadmin erstellt zunächst die Client-Zugangsdaten für den Abruf eines Zugriffstokens.
Arbeitsbereichsadmins verwalten MCP-Rechte, die für jeden Benutzer über alle MCP-Tools gelten. Die Problemliste ist auf bereits zugängliche Probleme begrenzt; das Ignorieren von Befunden unterliegt weiterhin den bestehenden Rollenrechten des Benutzers.
