PflichtausrüstungFertigproduktEtabliert, KI nachgerüstet

GitLab

GitLab Inc. (Nasdaq: GTLB) ·about.gitlab.com· Stand: 2026-07-30

Hält den Verlauf jeder Änderung am Quellcode fest und bringt Prüfung, Vorgang, Build-Lauf, Sicherheitsprüfung und Auslieferung in ein System. Der Unterschied zum Wettbewerber liegt nicht in dieser Aufzählung, sondern darin, dass der Kern quelloffen ist und man ihn selbst betreiben darf.

Unser Urteil

Quellcodeverwaltung verschafft keinen Vorsprung, sie ist die Voraussetzung dafür, dass überhaupt etwas Gebautes einem Unternehmen gehört und nicht einzelnen Rechnern. Für die Leitfrage dieser Sammlung ist GitLab der Fall, an dem sich die Achse zwischen Kaufen und Bauen sauber zeigt: Der Kern liegt unter einer freien Lizenz, also ist der Wechsel vom betreuten Betrieb in den Eigenbetrieb keine Migration zu einem anderen Hersteller, sondern eine Übernahme der Betriebsverantwortung. Das ist kein Argument dafür, sofort selbst zu betreiben. Es ist ein Argument dafür, dass man es könnte, und genau das begrenzt, was ein Anbieterwechsel oder eine Übernahme des Anbieters anrichten kann.

Für wen es taugt

Solopreneur

geeignet

Der kostenlose Tarif trägt private Projekte mit 400 Minuten für Build-Läufe im Monat. Wer mehr Minuten braucht, stellt einen eigenen Läufer, und das geht auf einem kleinen Server für wenige Euro im Monat.

KMU

geeignet

29 US-Dollar je Nutzer und Monat bei Jahresabrechnung liegen deutlich über dem Wettbewerber. Bezahlt wird damit unter anderem der Anspruch auf 10.000 Minuten und die Möglichkeit, jederzeit in den Eigenbetrieb zu wechseln, ohne den Hersteller zu verlassen.

Konzern

geeignet

Die betreute Einzelmandanten-Variante lässt die Wahl aus acht EU-Regionen zu, dazu getrennt wählbare Regionen für Ausweichbetrieb und Sicherungen, mit ISO/IEC 27001:2022 und SOC 2 Type 2 im Umfang. Der Haken ist doppelt: Die Variante setzt die höchste Stufe voraus, deren Preis nicht öffentlich steht, und die Regionswahl ist nach der Einrichtung endgültig.

Kaufen, wechseln oder bauen

Standardprodukt

Der Marktführer als Amtsinhaber

Die naheliegende Wahl ist die größere Werkstatt: mehr fertige Bausteine für Prüfketten, mehr Erweiterungen, und fast jede Bewerberin kennt die Abläufe. Bezahlt wird das mit dem Eigentum. Die Serversoftware ist nicht quelloffen, die selbst betreibbare Fassung ist ein lizenzpflichtiges Produkt desselben Hauses, und der Eigentümer ist ein Konzern, dessen Strategie die Richtung des Produkts setzt. Die EU-Speicherung gibt es dort nur als getrennte Umgebung im teuersten Tarif, ohne öffentliche Repositorien. Wer die Werkstatt rein als Werkzeug betrachtet, fährt damit gut. Wer sie als Ort betrachtet, an dem das eigene Gebaute liegt, sollte den Unterschied kennen.

KI-nativ

Kein KI-nativer Ersatz, wohl aber eine Verlagerung des Modells

Es gibt keine KI-native Werkstatt, die diese Kategorie ablöst, denn die Aufgabe ist Versionierung und Regelwerk. Der Unterschied, der in dieser Kategorie tatsächlich zählt, ist nicht ein neuer Anbieter, sondern wo das Modell läuft. Der Anbieter bietet eine Fassung an, bei der die Assistenzfunktionen gegen ein Modell im eigenen Haus arbeiten statt gegen einen fremden Dienst. Damit verlässt die Eingabe das Haus nicht, und die Frage nach Trainingsnutzung und Drittland fällt für diesen Teil weg. Der Preis ist der Betrieb des Modells, also Hardware, Aktualisierung und Bewertung der Antwortgüte.

Eigenbau

Die Community Edition selbst betreiben

Hier ist der Eigenbau kein Nachbau, sondern dasselbe Produkt unter freier Lizenz. Keine Lizenzgebühr, keine Nutzergrenze, voller Zugriff auf den Quelltext. Das ist der Grund, warum diese Kategorie überhaupt in die Kaufen-oder-Bauen-Achse gehört: Der Ausstieg ist keine Migration, sondern eine Übernahme. Bezahlt wird er im Betrieb, mit Sicherung, Verfügbarkeit, Aktualisierung, Anbindung an den Verzeichnisdienst, eigenen Läufern und Bereitschaft. Und es fehlen die Funktionen der kostenpflichtigen Stufen, allen voran die Weiterleitung der Prüfereignisse und ein Teil der Sicherheitsprüfungen. Der Weg trägt bei harten Souveränitätsauflagen und in Häusern, die ohnehin Server betreiben. Für eine Person trägt er nicht.

Unser Rat

  • Solopreneur: Kostenloser Tarif. Der Eigenbetrieb lohnt für eine Person nicht.
  • KMU: Kaufen. Den Eigenbetrieb erst rechnen, wenn jemand die Bereitschaft dauerhaft übernimmt.
  • Konzern: Kaufen, und zwar die Einzelmandanten-Variante in einer EU-Region, oder bewusst selbst betreiben.

Wer dahinter steht

Tragfähigkeit: Etabliert

Ein börsennotiertes Unternehmen mit veröffentlichten Zahlen, wachsendem Umsatz, deutlich positivem Mittelzufluss aus dem Betrieb und weiterhin negativem Jahresergebnis. Die eigentliche Unsicherheit für diese Sammlung liegt nicht im Geschäft, sondern im Eigentum: Seit 2024 wird das Unternehmen wiederholt als Übernahmekandidat gehandelt, ohne dass es zu einem Abschluss kam. Wer darauf setzt, sollte wissen, dass die quelloffene Fassung diesen Fall entschärft, ohne ihn aufzuheben.

  • Eigentum: börsennotiert an der Nasdaq unter GTLB; Alphabet hielt nach Reuters-Bericht vom 17.07.2024 22,2 Prozent der Stimmrechte · Quelle · Stand 2026-07-30
  • Geschäftszahlen: Geschäftsjahr 2026: 955,2 Mio. US-Dollar Umsatz, plus 26 Prozent gegenüber dem Vorjahr, Nettoverlust 56,0 Mio. US-Dollar, Mittelzufluss aus dem Betrieb 232,9 Mio. US-Dollar, erstmals ein Rückkaufprogramm über 400 Mio. US-Dollar beschlossen · Quelle · Stand 2026-07-30
  • Übernahmeinteresse: Reuters berichtete am 17.07.2024 über einen Verkaufsprozess mit Interesse von Datadog; im Oktober 2025 folgten Berichte über ein erneutes Gebot von über 60 US-Dollar je Aktie, jeweils ohne Abschluss und ohne Bestätigung durch die Beteiligten · Quelle · Stand 2026-07-30
  • Zertifizierung: ISO/IEC 27001:2022, ISO/IEC 27017:2015, ISO/IEC 27018:2019 und SOC 2 Type 2, jeweils für GitLab.com und die Einzelmandanten-Variante · Quelle · Stand 2026-07-30
  • Quelloffener Kern: die Community Edition steht unter der MIT-Lizenz und ist ohne Nutzergrenze selbst betreibbar; die kostenpflichtigen Funktionen liegen unter einer eigenen, nicht freien Lizenz · Quelle · Stand 2026-07-30

Ausstiegskosten: Gering

Zwei Wege stehen offen, und der zweite ist der eigentliche Unterschied zum Wettbewerber. Erstens ist Git verteilt, jeder Klon enthält die vollständige Geschichte, und für Vorgänge, Änderungsanfragen und Einstellungen gibt es einen Projekt- und Gruppenexport als Archiv. Zweitens liegt der Kern des Systems als Community Edition unter der MIT-Lizenz und lässt sich ohne Zustimmung des Anbieters selbst betreiben. Wer vom betreuten Betrieb weg will, wechselt also nicht zwingend den Hersteller, sondern übernimmt die Betriebsverantwortung. Der Preis dieses Weges steht im selben Satz: Was in der Community Edition fehlt, sind die Funktionen der kostenpflichtigen Stufen. Wer Prüfereignis-Weiterleitung, Sicherheitsprüfungen oder Freigabeketten aus diesen Stufen im Arbeitsablauf verankert hat, verliert sie beim Umstieg.

Regulatorik und Daten

Auftragsverarbeitungvorhanden; die Datenschutzerklärung nennt den Abo-Vertrag als tragenden Rahmen, ein gesondertes Kundendokument wird im öffentlichen Handbuch geführtDas gesonderte Dokument war in dieser Prüfung nicht direkt abrufbar, weil das Handbuch auf eine Anmeldung umleitete. Belegt ist damit die Existenz und der Verweis, nicht der Wortlaut. Wer Meldefristen, Löschfristen und das Widerspruchsfenster bei neuen Unterauftragnehmern braucht, muss das Dokument vor der Unterschrift anfordern und lesen.Quelle · Stand 2026-07-30
Speicherortder geteilte Dienst liegt in einer einzigen US-Region; EU-Speicherung nur über die betreute Einzelmandanten-Variante mit Wahl aus acht EU-RegionenDie Datenschutzerklärung sagt für den geteilten Dienst ausdrücklich, dass die Dienste in den USA betrieben werden. Für die Einzelmandanten-Variante stehen Frankfurt, Irland, London, Mailand, Paris, Spanien, Stockholm und Zürich zur Auswahl, dazu getrennt wählbare Regionen für Ausweichbetrieb und Sicherungen. Die Wahl ist nach der Einrichtung endgültig. Das ist mehr Wahlfreiheit als beim Wettbewerber, kostet aber die höchste Stufe.Quelle · Stand 2026-07-30
Subunternehmeröffentliche Liste mit 14 benannten Dritten, je Eintrag mit Zweck und Land; Benachrichtigung über ein AnmeldeformularUnter den Dritten stehen mehrere Modellanbieter, darunter Google, Amazon Web Services, Anthropic und OpenAI, alle mit Sitz in den USA. Ein Änderungsdatum trägt die Seite nicht. Wer Änderungen mitbekommen will, muss sich aktiv eintragen, statt sie zugestellt zu bekommen.Quelle · Stand 2026-07-30
DrittlandübermittlungÜbermittlung in die USA, gestützt auf den EU-US-Datenschutzrahmen samt britischer Erweiterung und Schweizer Fassung, ergänzend auf StandardvertragsklauselnDie Datenschutzerklärung nennt beide Grundlagen ausdrücklich und für Japan zusätzlich Angemessenheitsbeschlüsse und konzerninterne Vereinbarungen. Das ist deutlich klarer dokumentiert als beim Wettbewerber. Unberührt bleibt, dass ein US-Mutterunternehmen dem Zugriff nach US-Recht unterliegt; wer das ausschließen muss, landet bei der Einzelmandanten-Variante in einer EU-Region oder beim Eigenbetrieb.Quelle · Stand 2026-07-30
Training mit Kundendatenausgeschlossen ohne Anweisung oder vorherige Einwilligung des KundenDie Datenschutzerklärung sagt zu, KI-Eingaben nicht ohne Anweisung oder vorherige Einwilligung zum Training von Sprachmodellen zu verwenden. Das ist an dieser Stelle die stärkere Zusage im Vergleich zum Wettbewerber, der seine persönlichen Tarife ab April 2026 standardmäßig einbezieht. Offen bleibt, was die eingebundenen Modellanbieter tun; der Anbieter beschreibt dafür vertragliche Beschränkungen, die vor der Unterschrift zu prüfen sind.Quelle · Stand 2026-07-30
Aufbewahrung und Löschungfür die Dauer des aktiven Kontos und darüber hinaus nach Erforderlichkeit; ein konkreter Wert wird nur für Chat-Protokolle genannt, nämlich 12 MonateDie Datenschutzerklärung nennt sonst nur den Grundsatz der Erforderlichkeit. Für Prüfereignisse vermerkt die Dokumentation ausdrücklich, dass sich keine Aufbewahrungsregel einstellen lässt. Wer eine Löschfrist braucht, muss sie vertraglich holen oder selbst betreiben.Quelle · Stand 2026-07-30
ZertifikateISO/IEC 27001:2022, ISO/IEC 27017:2015, ISO/IEC 27018:2019 und SOC 2 Type 2 für Sicherheit, Vertraulichkeit und Verfügbarkeit, jeweils für GitLab.com und die Einzelmandanten-VarianteNorm, Fassung und Geltungsbereich stehen öffentlich, was die Prüfung eines Sicherheitsfragebogens erheblich verkürzt. FedRAMP und TISAX nennt die Seite nicht. Für den Eigenbetrieb gelten diese Nachweise nicht, denn dort ist der Betreiber man selbst.Quelle · Stand 2026-07-30
EU-KI-Verordnung, Artikel 50unklarMit den KI-Funktionen enthält das System ein KI-System im Sinne der Verordnung, also greifen die Transparenzpflichten aus Artikel 50 ab August 2026. Der Anbieter unterhält eine eigene Seite zur Offenlegung seiner KI-Funktionen und ihrer Modelle. Eine ausdrückliche Aussage zur Verordnung und zu Artikel 50 haben wir auf den geprüften Sicherheits-, Datenschutz- und Dokumentationsseiten nicht gefunden.ohne Quellenangabe · Stand 2026-07-30
ProtokollierungPrüfereignisse in den beiden kostenpflichtigen Stufen, Weiterleitung an eigene Systeme nur in der höchsten Stufe; keine einstellbare AufbewahrungsfristDie Trennung verläuft an derselben Stelle wie beim Wettbewerber: Sehen ja, Ausleiten nur in der teuersten Stufe. Im Eigenbetrieb liegt die Datenbank bei einem selbst, womit die Aufbewahrungsfrist zu einer eigenen Betriebsfrage wird statt zu einer Tariffrage.Quelle · Stand 2026-07-30

Was es wirklich kostet

Einstieg

Kostenlos mit 400 Minuten für Build-Läufe im Monat. Die mittlere Stufe kostet 29 US-Dollar je Nutzer und Monat bei Jahresabrechnung und enthält 10.000 Minuten, die höchste Stufe wird nur nach Anfrage angeboten und enthält 50.000 Minuten. Der Eigenbetrieb der Community Edition kostet keine Lizenzgebühr und kennt keine Nutzergrenze.

Quelle · Stand2026-07-30

Was teuer wird

Beim Sprung von 29 US-Dollar auf einen Preis, der nicht öffentlich steht. Alles, was ein größeres Haus braucht, hängt an der höchsten Stufe: die Weiterleitung der Prüfereignisse, ein Teil der Sicherheitsprüfungen und vor allem die betreute Einzelmandanten-Variante, also die einzige Fassung mit Wahl einer EU-Region. Wer diesen Weg geht, verlässt die öffentliche Preisliste und verhandelt. Dazu kommt der Verbrauch: Über die enthaltenen Minuten hinaus wird gerechnet, es sei denn, man stellt eigene Läufer. Und der Eigenbetrieb ist nicht kostenlos, er verlagert die Kosten nur von der Rechnung in die eigene Zeit, mit Sicherung, Aktualisierung und Bereitschaft als dauerhaften Posten.

Was es verdrängt

  • Zentraler Versionsserver mit Sperrmodell
  • Getrennte Werkzeuge für Vorgang, Prüfung und Auslieferung
  • Selbst betriebener Build-Server neben dem Versionsserver
  • Zugekaufte Sicherheitsprüfung als eigenständiges Werkzeug

Schnittstellen

  • REST- und GraphQL-Schnittstelle
  • Webhooks auf jedes Ereignis im Projekt
  • Build- und Ausliefer-Läufe mit eigenen Läufern
  • Anmeldung über SAML und OIDC, Kontenpflege über SCIM
  • Projekt- und Gruppenexport als Archiv für den Umzug

Bei uns: Nicht von uns genutzt

Für diese Prüfung nicht als eigener Betrieb belegt. Die Einordnung stützt sich ausschließlich auf öffentlich abrufbare Anbieterseiten, Dokumentation und die Mitteilung zum Geschäftsjahr, nicht auf eigene Erfahrung.

Passende Methoden

Alternativen

Belege

  1. 1.Stufen, Preis je Nutzer bei Jahresabrechnung und enthaltene Minuten für Build-Läufe · Stand 2026-07-30
  2. 2.Acht wählbare EU-Regionen, getrennte Regionen für Ausweichbetrieb und Sicherungen, Endgültigkeit der Wahl · Stand 2026-07-30
  3. 3.Höchste Stufe als Voraussetzung der Einzelmandanten-Variante, Betrieb ausschließlich auf einer Cloud-Plattform, fehlende Anmeldeverfahren · Stand 2026-07-30
  4. 4.Betrieb der Dienste in den USA, EU-US-Datenschutzrahmen und Standardvertragsklauseln, Zusage zur Trainingsnutzung, zwölf Monate für Chat-Protokolle · Stand 2026-07-30
  5. 5.14 benannte Dritte mit Zweck und Land, Benachrichtigung über ein Anmeldeformular · Stand 2026-07-30
  6. 6.ISO/IEC 27001:2022, 27017:2015, 27018:2019 und SOC 2 Type 2 mit benanntem Geltungsbereich · Stand 2026-07-30
  7. 7.Umsatz, Wachstum, Nettoverlust, Mittelzufluss aus dem Betrieb und Rückkaufprogramm im Geschäftsjahr 2026 · Stand 2026-07-30
  8. 8.Verkaufsprozess mit Interesse von Datadog, Stimmrechtsanteil von Alphabet, Marktwert zum Berichtszeitpunkt · Stand 2026-07-30
  9. 9.MIT-Lizenz für die Community Edition · Stand 2026-07-30
  10. 10.Prüfereignisse in den kostenpflichtigen Stufen, Weiterleitung nur in der höchsten Stufe · Stand 2026-07-30

Zuletzt geprüft: 2026-07-30vonDr. Oliver Gausmann, Convios GmbH

Angaben veraltet? Schreiben Sie uns.

Diese Methode mit KI durchgehen