CodeRabbit
CodeRabbit, Inc. ·www.coderabbit.ai· Stand: 2026-09-08
Dieses Werkzeug mit KI durchgehen
Unser Urteil
Wer Code mit Assistenten schreibt, erzeugt mehr Änderungen, als das menschliche Review verkraftet. Der Engpass wandert damit vom Schreiben zum Freigeben, und wer ohne maschinelle Vorprüfung arbeitet, merkt das zuerst an der Durchlaufzeit seiner Pull Requests. Ein Vorsprung entsteht daraus keiner: dasselbe Abonnement kann der Wettbewerb am selben Tag abschließen. Was einen Unterschied macht, sind die Regeln, die der Prüfer bekommt, und die Frage, wer für einen übersehenen Befund geradesteht.
Belege:Tarife, Preise, verbrauchsabhängige Zusätze und die Zuordnung von Einmalanmeldung, Protokollierung, Selbstbetrieb und EU-Umgebung zum UnternehmenstarifZur QuelleAuftragsverarbeitungsvertrag: Einbindung der Standardvertragsklauseln, Regelung zu Unterauftragnehmern, Rückgabe und Löschung, Sicherheitsanlage mit der Aussage zur ISO/IEC 27001:2022Zur QuelleNutzungsbedingungen: Trainingsausschluss samt Modellanbietern, Einbindung des Auftragsverarbeitungsvertrags, Klauseln zur KI-Verordnung und das Verbot der LeistungsbewertungZur QuelleDatenschutzerklärung mit Stand 10. Dezember 2025: Serverstandort, Speicherung von Vektor-Einbettungen zur Verbesserung der Reviews samt Widerspruchsrecht, Vertreter nach Artikel 27Zur QuelleVertrauensportal: Unterauftragnehmer mit Zweck und Land, Nachweise mit Norm und Fassung, datierte ÄnderungsmeldungenZur QuelleFinanzierungsrunden mit Datum, Betrag und InvestorenZur QuelleGründungsjahr und die Mengenangaben des Anbieters zu Kunden, geprüften Pull Requests und gefundenen Code-ProblemenZur QuelleAufarbeitung des Sicherheitsvorfalls vom Januar 2025 mit ZeitablaufZur QuellePreis und Selbstbetrieb des KI-nativen Vergleichsprodukts GreptileZur QuellePreismodell nach Codezeilen und Eigenbetrieb des Standardprodukts SonarQubeZur Quelle
Für wen es taugt
Solopreneur
geeignet
24 US-Dollar je Monat bei Jahreszahlung, 30 bei monatlicher Zahlung. Öffentliche Repositories werden kostenlos geprüft, und abgerechnet wird nur, wer selbst Pull Requests erstellt.
KMU
geeignet
24 bis 72 US-Dollar je Entwickler und Monat. Die Stufe entscheidet sich an einer Frage: Wird eine Sicherheitsprüfung je Pull Request gebraucht, kostet der Platz 72 statt 24 US-Dollar, also das Dreifache für dieselben Entwickler.
Konzern
bedingt geeignet
Bedingt, und die Bedingung ist der Tarif. Einmalanmeldung, rollenbasierte Rechte, Protokollierung, Selbstbetrieb und der Betrieb in einer EU-Umgebung liegen sämtlich im Unternehmenstarif ohne Listenpreis. Wer diese fünf Punkte in der Beschaffung braucht, verhandelt einen Vertrag, statt ein Abonnement zu bestellen.
Kaufen, wechseln oder bauen
Standardprodukt
SonarQube von Sonar
Die statische Analyse ist die gewachsene Antwort auf dieselbe Frage und rechnet nach Codezeilen ab, in der Cloud ab 34 US-Dollar im Monat für hunderttausend Zeilen, dazu als SonarQube Server für den Betrieb im eigenen Rechenzentrum. Konzerne bleiben aus drei Gründen dabei: Der Betrieb im eigenen Haus ist ohne Verhandlung zu haben, die Abrechnung nach Codezeilen entkoppelt die Kosten von der Größe der Mannschaft, und derselbe Code liefert bei jedem Lauf denselben Befund. Diese Wiederholbarkeit ist der Punkt, an dem Nachweispflichten hängen. Was fehlt, ist das Verstehen von Absicht: eine Regel erkennt ein Muster, keinen Denkfehler im Ablauf.
KI-nativ
Greptile und die übrigen KI-nativen Prüfer
Greptile verlangt 30 US-Dollar je Platz und Monat und liegt damit zwischen den Stufen Essentials und Team; der Selbstbetrieb ist auch dort dem Unternehmenstarif vorbehalten. Der Preisabstand innerhalb dieser Gruppe ist klein, die Auswahl entscheidet sich an anderem: an der Zahl der Repositories, die gemeinsam betrachtet werden, und an der Frage, ob eigene Prüfregeln vor dem Zusammenführen greifen. Aufgegeben wird in dieser ganzen Gruppe die Wiederholbarkeit. Zwei Läufe über denselben Code können unterschiedlich ausfallen, und die Regelbasis liegt beim Anbieter, der sie ohne Ankündigung ändern kann.
Eigenbau
Eigener Prüfschritt in der Bau-Kette
Machbar mit Claude Code als Bauwerkzeug im Ablauf, LiteLLM als Modell-Gateway, Langfuse für die Protokollierung der Modellaufrufe und GitHub oder GitLab als Anker für die Kommentare. Gerechnet mit zehn bis fünfzehn Personentagen für den ersten belastbaren Stand und einem halben Tag im Monat für die Nachjustierung liegt der Eigenbau bei einem Tagessatz von 800 Euro im ersten Jahr über einem Team-Abonnement für zehn Entwickler und holt den Abstand auch im zweiten Jahr nicht auf. Er lohnt daher dort, wo die Prüfregeln aus dem eigenen Haus kommen und kein Code das Netz verlassen darf. Gescheitert wird selten an der Technik und meistens an der Kalibrierung: Ein Prüfer, der zu viel meldet, wird nach zwei Wochen weggeklickt, und die Arbeit, seine Kriterien gegen echte menschliche Urteile abzugleichen, hört nie auf.
Unser Rat
- Solopreneur: Nehmen. Bei öffentlichen Repositories kostenlos, sonst der günstigste Weg zu einem zweiten Paar Augen.
- KMU: Nehmen und im selben Zug festlegen, wer einen Befund abnimmt und was ohne menschliche Freigabe nie zusammengeführt wird. Die Speicherung der Codeinhalte abstellen, falls sie unerwünscht ist.
- Konzern: Vor der Beschaffung im Unternehmenstarif verhandeln: EU-Umgebung, Reichweite und Frist der Protokollierung sowie der Geltungsbereich der Zertifikate schriftlich. Parallel den Betriebsrat einbeziehen, denn das Werkzeug erhebt Kennzahlen je Entwickler.
Wer dahinter steht
Tragfähigkeit: Finanziert
CodeRabbit ist 2023 gestartet und damit zu jung für die Einordnung etabliert. Geprüfte Abschlüsse liegen nicht vor, Profitabilität ist nicht belegt, und sämtliche Kunden- und Mengenangaben stammen vom Unternehmen selbst. Für die Einordnung finanziert sprechen drei aufeinanderfolgende Runden binnen zwei Jahren, zuletzt 143 Mio. US-Dollar im August 2026 bei einer Bewertung von 1,5 Mrd. US-Dollar. Diese Bewertung ist der in einer privaten Runde vereinbarte Preis und keine Marktnotierung. Die Runde ist eine Primärtransaktion: das Unternehmen nennt als Verwendung die internationale Ausweitung sowie Forschung und Produktentwicklung, das Geld fließt also in die Gesellschaft. Laufender Betrieb ist unabhängig davon belegbar, weil die Unterauftragnehmer-Liste im Vertrauensportal datierte Änderungsmeldungen führt und der Anbieter einen Sicherheitsvorfall aus dem Januar 2025 mit Zeitablauf öffentlich aufgearbeitet hat.
- Series C: 143 Mio. USD bei 1,5 Mrd. USD Bewertung: 143 Mio. US-Dollar, co-angeführt von Atomico und Smash Capital, mit BMW i Ventures, Datadog, Hirtle Callaghan, SineWave Ventures und Scenic Management als neuen sowie CRV, Scale Venture Partners, Flex Capital, Pelion Venture Partners, Harmony Partners und Engineering Capital als bestehenden Investoren. Bewertung 1,5 Mrd. US-Dollar. Die Angaben stammen aus der Unternehmensmeldung.Finanzierungsrunden mit Datum, Betrag und InvestorenZur Quelle · Stand 2026-08-12
- Series B: 60 Mio. USD: 60 Mio. US-Dollar, elf Monate vor der Series C. Die beiden Runden zusammen zeigen einen verkürzten Abstand zwischen den Finanzierungen, was für Kapitalbedarf ebenso spricht wie für Nachfrage nach Anteilen. Welche der beiden Deutungen trägt, lässt sich von außen nicht entscheiden.Finanzierungsrunden mit Datum, Betrag und InvestorenZur Quelle · Stand 2025-09-16
- Gründung 2023, Mengenangaben des Anbieters: Gründungsjahr 2023. Der Anbieter nennt im Presse-Kit über 17.000 Kunden, über 2 Mio. geprüfte Pull Requests je Woche und über 75 Mio. gefundene Code-Probleme. Alle drei Zahlen sind Angaben des Unternehmens ohne offengelegte Erhebungsmethode und ohne externe Prüfung.Gründungsjahr und die Mengenangaben des Anbieters zu Kunden, geprüften Pull Requests und gefundenen Code-ProblemenZur Quelle · Stand 2026-09-08
- Sicherheitsvorfall Januar 2025, öffentlich aufgearbeitet: Am 24. Januar 2025 meldeten Forscher von Kudelski Security über das Meldeprogramm des Anbieters, dass das Prüfwerkzeug RuboCop außerhalb der abgeschotteten Umgebung lief. Nach Darstellung des Anbieters wurde der Dienst binnen einer Stunde abgeschaltet, alle betroffenen Zugangsdaten binnen drei Stunden gewechselt und die Behebung binnen zwölf Stunden ausgeliefert; ein Zugriff auf Kundendaten sei nicht festgestellt worden. Die Stellungnahme des Geschäftsführers datiert vom 19. August 2025 und kam damit rund sieben Monate nach der Meldung. Der Vorfall betraf genau die Kernfläche des Produkts, nämlich das Ausführen fremden Codes.Aufarbeitung des Sicherheitsvorfalls vom Januar 2025 mit ZeitablaufZur Quelle · Stand 2025-08-19
- Gelebte Meldepraxis bei Unterauftragnehmern: Das Vertrauensportal führt datierte Änderungsmeldungen zur Unterauftragnehmer-Liste, zuletzt am 4. August 2026 mit drei Aufnahmen und am 29. April 2026 mit zwölf Aufnahmen und zwei Streichungen. Damit ist die im Auftragsverarbeitungsvertrag zugesagte Vorabmeldung von dreißig Tagen nachweisbar in Betrieb und keine reine Vertragsformel. Die beiden Meldungen nennen für Rückfragen unterschiedliche Adressen.Vertrauensportal: Unterauftragnehmer mit Zweck und Land, Nachweise mit Norm und Fassung, datierte ÄnderungsmeldungenZur Quelle · Stand 2026-08-04
Ausstiegskosten: Gering
Die Befunde stehen als Kommentare in den Pull Requests der eigenen Versionsverwaltung und bleiben dort, wenn das Abonnement endet. Zurück bleibt die Einrichtungsarbeit: angelernte Vorlieben, eigene Prüfregeln vor dem Zusammenführen und die Historie der Sicherheitsbefunde gehen zum nächsten Anbieter nicht mit. Der Wechsel kostet damit Einrichtungstage, und Daten müssen dafür nirgends zurückgeholt werden.
Regulatorik und Daten
| Auftragsverarbeitungbelegt, ohne Auflage: Auftragsverarbeitungsvertrag öffentlich abrufbar und ohne weitere Bedingung Bestandteil des Vertrags; oder er entfällt nachvollziehbar begründet, weil kein Anbieter Kundendaten verarbeitet.belegt, an eine Auflage gebunden: Vertrag existiert, ist aber an einen Tarif gebunden, nur nach Anfrage einsehbar oder allein in den Nutzungsbedingungen geregelt statt als eigenes Dokument.belegt, aber ungünstig: Kein Auftragsverarbeitungsvertrag im üblichen Sinn: entweder weil der Anbieter für das Kerngeschäft eigenständig Verantwortlicher ist und stattdessen eine andere Konstruktion gilt, oder weil öffentlich offen bleibt, ob überhaupt einer angeboten wird.an einem kritischen Punkt offen: Weder ein Vertrag noch ein dokumentierter Weg zu einem Vertrag; der Einkauf hätte nichts, worauf er sich stützen kann. | belegt, ohne Auflageja, öffentlich abrufbar und über die Nutzungsbedingungen automatisch VertragsbestandteilAuftragsverarbeitungsvertrag: Einbindung der Standardvertragsklauseln, Regelung zu Unterauftragnehmern, Rückgabe und Löschung, Sicherheitsanlage mit der Aussage zur ISO/IEC 27001:2022Zur QuelleZiffer 7.4 der Nutzungsbedingungen bindet den Auftragsverarbeitungsvertrag ausdrücklich in den Vertrag ein, sodass für die Geltung keine gesonderte Unterzeichnung nötig ist. Eine unterzeichnete Fassung stellt der Anbieter auf Anfrage bereit. Der Vertrag gilt für alle Tarife.Stand 2026-09-08 |
|---|---|
| Speicherortbelegt, ohne Auflage: EU-Speicherort ohne Zusatzkosten und ohne Tarifbindung, oder der Ort ist vollständig selbst bestimmbar, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: EU-Speicherort möglich, aber an einen Tarif, einen gesondert zu aktivierenden Zusatz oder einen Umzug in eine getrennte Umgebung gebunden; oder die EU-Region ist nicht die Voreinstellung.belegt, aber ungünstig: Kein EU-Speicherort, der Ort ist aber eindeutig benannt, sodass die Folgen bewertbar sind.an einem kritischen Punkt offen: Der Speicherort ist öffentlich nicht benannt oder vom Kunden nicht steuerbar, sodass sich die Verarbeitung nicht verorten lässt. | belegt, an eine Auflage gebundenUSA im Standard; ein Betrieb in einer EU-Umgebung wird nur im Unternehmenstarif angebotenDatenschutzerklärung mit Stand 10. Dezember 2025: Serverstandort, Speicherung von Vektor-Einbettungen zur Verbesserung der Reviews samt Widerspruchsrecht, Vertreter nach Artikel 27Zur QuelleDie Datenschutzerklärung mit Stand 10. Dezember 2025 benennt die Server in den Vereinigten Staaten. Die Preisseite führt EU SaaS deployment ausschließlich im Unternehmenstarif. Dazu passt die Verarbeitungskette: von dreißig gelisteten Unterauftragnehmern sitzen neunundzwanzig in den USA, der einzige mit europäischem Sitz übernimmt die Prüfung von Dokumentation. Ein EU-Speicherort ist damit erreichbar, jedoch weder voreingestellt noch ohne Vertragsverhandlung zu haben.Stand 2026-09-08 |
| Subunternehmerbelegt, ohne Auflage: Vollständige öffentliche Liste der Unterauftragnehmer mit Zweck und Land; oder es gibt keine, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Liste existiert und ist benannt, aber nur nach Anfrage oder nach Zugang zu einem Vertrauensportal einsehbar, oder sie nennt Zweck und Land nicht vollständig.belegt, aber ungünstig: Keine geführte Liste; namentlich stehen nur einzelne Dienste in der Datenschutzerklärung, überwiegend solche der eigenen Website.an einem kritischen Punkt offen: Weder eine Liste noch eine Nennung der Verarbeiter des Produkts, und kein dokumentierter Weg, sie zu erfahren. | belegt, ohne Auflageja, vollständige öffentliche Liste mit Zweck und Land, ohne Zugangsantrag einsehbarVertrauensportal: Unterauftragnehmer mit Zweck und Land, Nachweise mit Norm und Fassung, datierte ÄnderungsmeldungenZur QuelleAnhang III des Auftragsverarbeitungsvertrags verweist auf das Vertrauensportal, und die Liste ist dort ohne Anmeldung und ohne Geheimhaltungserklärung lesbar. Sie führt zum Abrufdatum dreißig Einträge mit Zweck und Land, darunter Anthropic und OpenAI für die Modelle, Google Cloud, Cloudflare und Vercel für den Betrieb sowie LanceDB als Vektordatenbank. Neunundzwanzig Einträge nennen die USA, einer Deutschland. Wer nur die Datenschutzerklärung des Anbieters liest, findet diese Kette nicht.Stand 2026-09-08 |
| Drittlandübermittlungbelegt, ohne Auflage: Keine Übermittlung in ein Drittland, oder die Übermittlung findet statt und die Grundlage ist benannt und im Vertrag verankert, etwa Standardvertragsklauseln, Angemessenheitsbeschluss oder EU-US-Datenschutzrahmen.belegt, an eine Auflage gebunden: Übermittlung findet statt, eine Grundlage ist genannt, aber ohne Zuordnung, welcher Empfänger auf welcher Grundlage arbeitet.belegt, aber ungünstig: Übermittlung findet statt und die eigenen Unterlagen widersprechen sich, oder die genannte Grundlage bezieht sich erkennbar nur auf einen Randbereich wie die Marketing-Website.an einem kritischen Punkt offen: Übermittlung findet erkennbar statt und eine Grundlage wird nirgends genannt. | belegt, ohne Auflageja, Übermittlung in die USA; abgesichert über die EU-Standardvertragsklauseln im AuftragsverarbeitungsvertragAuftragsverarbeitungsvertrag: Einbindung der Standardvertragsklauseln, Regelung zu Unterauftragnehmern, Rückgabe und Löschung, Sicherheitsanlage mit der Aussage zur ISO/IEC 27001:2022Zur QuelleZiffer 8.2 bindet die Standardvertragsklauseln ein und ordnet Modul eins, zwei und drei den jeweiligen Rollen zu; die Anhänge des Vertrags füllen die Anhänge der Klauseln aus. Für Übermittlungen aus dem Vereinigten Königreich gilt wahlweise der Datenschutzrahmen oder ebenfalls die Klauseln. Als Vertreter nach Artikel 27 der Datenschutz-Grundverordnung ist eine Kanzlei in Bonn benannt, für das Vereinigte Königreich eine Gesellschaft in Peterborough. Die Klausel zur Übermittlung reicht weiter als die Länderliste: sie erlaubt die Verarbeitung überall dort, wo der Anbieter oder seine Unterauftragnehmer tätig sind.Stand 2026-09-08 |
| Training mit Kundendatenbelegt, ohne Auflage: Vertraglich oder in der Datenschutzerklärung ausdrücklich ausgeschlossen, mit Erstreckung auf die eingesetzten Modellanbieter; oder es gibt keine Datenübertragung an einen Anbieter.belegt, an eine Auflage gebunden: Ausschluss ab einem bestimmten Tarif, oder die Zusage steht nur auf einer Dokumentationsseite statt im Vertrag, oder die Frage stellt sich für das Werkzeug sachlich kaum und der Anbieter schweigt dazu.belegt, aber ungünstig: Nutzung ist die Voreinstellung und nur ein Widerspruch beendet sie; oder der Anbieter trainiert eigene Modelle auf bereinigten Kundendaten.an einem kritischen Punkt offen: Keine Aussage, obwohl das Werkzeug KI-Funktionen auf Kundeninhalten betreibt. | belegt, aber ungünstigModelltraining vertraglich ausgeschlossen, auch für die Modellanbieter; die Speicherung von Codeinhalten als Vektoren läuft dagegen als Voreinstellung mit WiderspruchsrechtDatenschutzerklärung mit Stand 10. Dezember 2025: Serverstandort, Speicherung von Vektor-Einbettungen zur Verbesserung der Reviews samt Widerspruchsrecht, Vertreter nach Artikel 27Zur QuelleZiffer 3.3 der Nutzungsbedingungen sagt zu, dass weder der Anbieter noch die eingesetzten Modellanbieter Kundencode zum Training von Modellen verwenden, und benennt OpenAI und Anthropic mit einer Vereinbarung über Null-Datenhaltung; die entsprechenden Nachweise liegen im Vertrauensportal. Die Datenschutzerklärung beschreibt daneben eine zweite Verwendung: Der Anbieter speichert Daten zur Verbesserung der Reviews, überwiegend als Vektor-Einbettungen, und diese Speicherung ist eingeschaltet, bis der Kunde ihr widerspricht. Der Vertrag regelt damit das Training, die Datenschutzerklärung die Weiterverwendung, und beide Aussagen stehen an verschiedenen Stellen. Wer den Code vollständig heraushalten will, muss die Speicherung aktiv abstellen.Stand 2026-09-08 |
| Aufbewahrung und Löschungbelegt, ohne Auflage: Löschfristen nach Vertragsende beziffert und die Löschung oder Rückgabe zugesagt; oder die Fristen bestimmt der Betreiber selbst, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Löschung ist zugesagt, die Fristen sind aber nur teilweise beziffert, oder Sicherungskopien sind ausdrücklich ausgenommen.belegt, aber ungünstig: Nur der Grundsatz der Erforderlichkeit ohne jede Frist nach Vertragsende, oder Fristen sind allein für Randbereiche wie Website-Protokolle genannt.an einem kritischen Punkt offen: Keine Aussage zu Aufbewahrung und Löschung. | belegt, an eine Auflage gebundenRückgabe oder Löschung nach Vertragsende auf Anforderung; Sicherungskopien ausdrücklich ausgenommen, keine Frist beziffertAuftragsverarbeitungsvertrag: Einbindung der Standardvertragsklauseln, Regelung zu Unterauftragnehmern, Rückgabe und Löschung, Sicherheitsanlage mit der Aussage zur ISO/IEC 27001:2022Zur QuelleZiffer 6 des Auftragsverarbeitungsvertrags sagt Rückgabe oder Löschung zu, knüpft sie aber an eine Anforderung des Kunden. Daten in Sicherungssystemen sind ausdrücklich ausgenommen und werden nach den Löschgewohnheiten des Anbieters entfernt, ohne dass eine Frist genannt wird. Eine Löschbestätigung erhält der Kunde ebenfalls nur auf Anforderung. Der Abschnitt der Datenschutzerklärung, der Aufbewahrung und proprietären Code im Titel führt, beziffert Fristen allein für personenbezogene Daten.Stand 2026-09-08 |
| Zertifikatebelegt, ohne Auflage: Mehrere anerkannte Nachweise, benannt mit Norm, Fassung und Geltungsbereich, und bezogen auf den Anbieter selbst.belegt, an eine Auflage gebunden: Ein anerkannter Nachweis für den Anbieter belegt, der Bericht aber nur auf Anfrage, oder der Nachweis hängt an einem Tarif, oder der Geltungsbereich bleibt teilweise offen.belegt, aber ungünstig: Nur pauschale Nennung ohne Norm-Fassung und Geltungsbereich, oder bloße Selbstauskunft, oder die Nachweise gehören dem Infrastrukturanbieter statt dem Anbieter, oder der Prüfzeitraum ist erkennbar veraltet, oder die eigenen Angaben widersprechen sich.an einem kritischen Punkt offen: Kein Nachweis genannt und keine Sicherheits- oder Vertrauensseite vorhanden. | belegt, an eine Auflage gebundenSOC 2 Typ II, ISO/IEC 27001:2022, SOC 3, ein Prüfbericht zur Datenschutz-Grundverordnung und ein Eindringtest; die Berichte selbst erst nach Zugangsantragtrust.coderabbit.aiZur QuelleDas Vertrauensportal führt die Nachweise mit Norm und Fassung, die zugehörigen Berichte liegen hinter einem Zugangsantrag, und der Geltungsbereich bleibt öffentlich offen. Die Anlage zum Auftragsverarbeitungsvertrag formuliert vorsichtiger als das Portal: dort steht, der Anbieter betreibe ein Managementsystem, das den Anforderungen der ISO/IEC 27001:2022 entspricht. Eine Entsprechungsaussage und eine Zertifizierung sind zweierlei, und welche der beiden Formulierungen den Sachstand trifft, lässt sich ohne Einsicht in den Bericht nicht klären.Stand 2026-09-08 |
| EU-KI-Verordnung, Artikel 50belegt, ohne Auflage: Der Anbieter macht eine belegte Aussage, die die eigene Pflicht trägt, etwa Modelldokumentation und Zertifizierung nach ISO/IEC 42001; oder das Werkzeug enthält nachvollziehbar begründet kein KI-System im Sinne der Verordnung.belegt, an eine Auflage gebunden: Der Anbieter äußert sich zur Verordnung oder ordnet die eigene Funktion ein, eine benannte Zusage zu den Transparenzpflichten aus Artikel 50 fehlt aber; oder das Werkzeug enthält kein KI-System, das gegenüber Menschen auftritt, und der Anbieter schweigt.belegt, aber ungünstig: Das Produkt enthält KI-Funktionen, der Anbieter schweigt dazu oder trägt ein Selbstetikett ohne Nachweis; die Kennzeichnung ist vom Betreiber aber selbst setzbar.an einem kritischen Punkt offen: KI spricht im Produkt unmittelbar mit Endkunden und der Anbieter sagt zu Artikel 50 nichts; die Kennzeichnung lässt sich ohne Zusage des Anbieters nicht sicher setzen. | belegt, an eine Auflage gebundenDer Anbieter nennt die Verordnung in den Verträgen und verlagert die Einhaltung auf den Kunden; eine Aussage zu den eigenen Pflichten fehltNutzungsbedingungen: Trainingsausschluss samt Modellanbietern, Einbindung des Auftragsverarbeitungsvertrags, Klauseln zur KI-Verordnung und das Verbot der LeistungsbewertungZur QuelleZiffer 4.2 der Nutzungsbedingungen untersagt Nutzungen, die den verbotenen Praktiken aus Artikel 5 entsprechen; die Fassung für Partner untersagt darüber hinaus den Einsatz in Hochrisiko-Systemen im Sinne der Verordnung. Zu seiner eigenen Rolle und zu den Transparenzpflichten aus Artikel 50 äußert der Anbieter sich nicht. Für deutsche Betriebe wichtiger ist eine andere Klausel derselben Ziffer: Der Anbieter untersagt ausdrücklich, das Werkzeug oder seine Auswertungen für Entscheidungen über Arbeitsverhältnisse, für die Aufgabenverteilung nach persönlichen Merkmalen oder für die Bewertung der Leistung von Beschäftigten zu verwenden. Wer die Kennzahlen des Werkzeugs in eine Entwicklerbewertung überführt, verletzt damit den Vertrag, und das noch vor jeder Frage nach der Mitbestimmung.Stand 2026-09-08 |
| Protokollierungbelegt, ohne Auflage: Nachvollziehbares Protokoll über Zugriffe und Änderungen in allen Tarifen enthalten, mit benannter Frist und Ausleitung in eigene Systeme; oder die Nachvollziehbarkeit liegt vollständig in eigener Hand, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Protokoll vorhanden, aber an einen höheren Tarif oder einen kostenpflichtigen Zusatz gebunden, oder die Ausleitung fehlt in den unteren Stufen; Reichweite und Frist sind benannt.belegt, aber ungünstig: Protokolle sind nur anbieterseitig beschrieben, oder Reichweite und Frist bleiben offen, sodass sich Nachweispflichten nicht planen lassen.an einem kritischen Punkt offen: Öffentlich nicht belegt, ob der Kunde überhaupt ein auswertbares Protokoll erhält. | belegt, aber ungünstignur im Unternehmenstarif; Reichweite, Aufbewahrungsfrist und Ausleitung sind öffentlich nicht benanntTarife, Preise, verbrauchsabhängige Zusätze und die Zuordnung von Einmalanmeldung, Protokollierung, Selbstbetrieb und EU-Umgebung zum UnternehmenstarifZur QuelleDie Preisseite führt Protokollierung zusammen mit rollenbasierten Rechten und Einmalanmeldung im Unternehmenstarif und nennt sie in keiner der drei Listenstufen. Was das Protokoll erfasst, wie lange es vorgehalten wird und ob es sich in eigene Systeme ausleiten lässt, steht in den öffentlichen Unterlagen nirgends. Wer Nachweispflichten planen muss, kann das aus den veröffentlichten Angaben nicht tun und ist auf die Vertragsverhandlung angewiesen.Stand 2026-09-08 |
Was es wirklich kostet
Einstieg
Essentials 24 US-Dollar je Entwickler und Monat bei Jahreszahlung, 30 bei monatlicher Zahlung. Team 48 beziehungsweise 60, Advanced 72 bei Jahreszahlung. Der Unternehmenstarif trägt keinen Listenpreis. Öffentliche Repositories werden kostenlos geprüft, und abgerechnet wird nur, wer Pull Requests erstellt.Tarife, Preise, verbrauchsabhängige Zusätze und die Zuordnung von Einmalanmeldung, Protokollierung, Selbstbetrieb und EU-Umgebung zum UnternehmenstarifZur Quelle
Stand 2026-09-08
Was teuer wird
An zwei Stellen. Jeder Tarif enthält eine Zahl von Reviews je Entwickler und Stunde; darüber hinaus kostet jede geprüfte Datei 0,25 US-Dollar, abgerechnet zur Monatsrechnung. Die Agenten in der Cloud und in Slack rechnen mit 0,40 US-Dollar je Agentenminute ab. Beide Posten lassen sich mit einer monatlichen Obergrenze deckeln, und ohne diese Obergrenze wächst die Rechnung mit der Zahl der Änderungen statt mit der Zahl der Plätze.
Was es verdrängt
- Erste Durchsicht durch einen zweiten Entwickler bei Routineänderungen
- Getrennt beschaffte Abonnements für Linter und statische Sicherheitsprüfung in kleineren Teams
Schnittstellen
- GitHub und GitLab
- Jira und Linear
- Kommandozeile und Editor
- Werkzeuganbindung über MCP
- Slack als kostenpflichtiger Zusatz
Passende Methoden
- DORA-Delivery-DiagnoseDie Diagnose misst Durchsatz und Stabilität als Paar, und ein maschineller Prüfer greift genau dort ein: Er verkürzt die Durchlaufzeit einer Änderung, während die Änderungsfehlerquote zeigt, ob der gewonnene Takt echt ist oder nur verlagert wurde.
- Kalibrierte Eval-Schleife für KI-Ausgaben (Kriterien-Drift)Ein automatischer Prüfer taugt erst, wenn seine Kriterien gegen menschliche Urteile abgeglichen sind, und die Befundliste aus den ersten Wochen ist genau das Material, an dem sich zeigt, welche Regeln der Mannschaft standhalten und welche als Rauschen weggeklickt werden.
- AI-Agents als Team-Mitglieder führenDie Methode verlangt je Agent eine schriftlich festgelegte Rolle und einen Menschen, der freigibt, und ein Prüfer, der Korrekturen mit einem Klick einspielt, ist der Punkt, an dem diese Freigabe entweder benannt ist oder stillschweigend an den Agenten übergeht.
- DORA AI Capabilities Model (sieben KI-Fähigkeiten)Unter den sieben Fähigkeiten steht eine klare Haltung zur KI weit vorn, und die Entscheidung über die Speicherung von Codeinhalten sowie über den Verarbeitungsort zwingt ein Unternehmen dazu, diese Haltung erstmals schriftlich zu fassen.
Alternativen
Quellen
- 1.Tarife, Preise, verbrauchsabhängige Zusätze und die Zuordnung von Einmalanmeldung, Protokollierung, Selbstbetrieb und EU-Umgebung zum Unternehmenstarif (öffnet in neuem Tab)coderabbit.ai/pricing · Stand 2026-09-08
- 2.Auftragsverarbeitungsvertrag: Einbindung der Standardvertragsklauseln, Regelung zu Unterauftragnehmern, Rückgabe und Löschung, Sicherheitsanlage mit der Aussage zur ISO/IEC 27001:2022 (öffnet in neuem Tab)coderabbit.ai/legal/dpa · Stand 2026-09-08
- 3.Nutzungsbedingungen: Trainingsausschluss samt Modellanbietern, Einbindung des Auftragsverarbeitungsvertrags, Klauseln zur KI-Verordnung und das Verbot der Leistungsbewertung (öffnet in neuem Tab)coderabbit.ai/legal/terms-of-service · Stand 2026-09-08
- 4.Datenschutzerklärung mit Stand 10. Dezember 2025: Serverstandort, Speicherung von Vektor-Einbettungen zur Verbesserung der Reviews samt Widerspruchsrecht, Vertreter nach Artikel 27 (öffnet in neuem Tab)coderabbit.ai/privacy-policy · Stand 2026-09-08
- 5.Vertrauensportal: Unterauftragnehmer mit Zweck und Land, Nachweise mit Norm und Fassung, datierte Änderungsmeldungen (öffnet in neuem Tab)trust.coderabbit.ai/subprocessors · Stand 2026-09-08
- 6.Finanzierungsrunden mit Datum, Betrag und Investoren (öffnet in neuem Tab)coderabbit.ai/newsroom · Stand 2026-08-12
- 7.Gründungsjahr und die Mengenangaben des Anbieters zu Kunden, geprüften Pull Requests und gefundenen Code-Problemen (öffnet in neuem Tab)coderabbit.ai/press-kit · Stand 2026-09-08
- 8.Aufarbeitung des Sicherheitsvorfalls vom Januar 2025 mit Zeitablauf (öffnet in neuem Tab)coderabbit.ai/… · Stand 2025-08-19
- 9.Preis und Selbstbetrieb des KI-nativen Vergleichsprodukts Greptile (öffnet in neuem Tab)greptile.com/pricing · Stand 2026-09-08
- 10.Preismodell nach Codezeilen und Eigenbetrieb des Standardprodukts SonarQube (öffnet in neuem Tab)sonarsource.com/plans-and-pricing · Stand 2026-09-08
- 11.trust.coderabbit.ai (öffnet in neuem Tab)Stand 2026-09-08
Zuletzt geprüft: 2026-09-08 von Dr. Oliver Gausmann, Convios GmbH
Angaben veraltet? Schreiben Sie uns.
Vom Werkzeug zur Entscheidung
Welches Angebot zu diesem Werkzeug passt
Ein Werkzeugprofil beantwortet, was das Werkzeug kann und was es regulatorisch bedeutet. Ob es in Ihrem Haus Vorrang bekommt, entscheidet die Geschäftsführung an einem Arbeitstag: Der KI-Entscheidungsworkshop ordnet Ihre Vorhaben nach Geschäftswert, Risiko, Datenlage und Verantwortung.