Tracecat wettet darauf, dass günstige Open-Source-SOAR Splunks 100.000-Dollar-Stack schlägt; 3,8k Sterne

Tracecat ist eine Open-Source-Plattform für Sicherheitsautomatisierung für Teams und KI-Agenten: Analysten erstellen Alarmreaktions-Automatisierungen (untersuchen, Opfer kontaktieren, eskalieren, Beweise protokollieren) mit Low-Code-Workflows, Fallmanagement und über 100 Konnektoren, einsetzbar als verwaltete Cloud oder selbst gehostet.

Teams können sich SOAR nicht leisten, daher kann eine Open-Source-Engine, die auf einer einzigen VM läuft – und später Prompts in Automatisierungen verwandelt – dort gewinnen, wo Splunk SOAR 100.000 US-Dollar pro Jahr verlangt.

Die Gründer waren Data Engineers, die immer wieder von Freunden aus der Sicherheitsbranche hörten, dass sie sich SOAR nicht leisten konnten – Splunk SOAR kostet etwa 100.000 US-Dollar pro Jahr –, während Analysten mit etwa 100 Alarmen pro Tag bei rund 30 Minuten pro Alarm konfrontiert sind, sodass Alarme liegen bleiben und Sicherheitsvorfälle auf wochenalte Tickets zurückzuführen sind. Tracecat begann als rudimentäre Alpha: webhook-ausgelöste Ereignis-Workflows, REST-API-Integrationen, JSONPath-Parsing, bedingte Blöcke, Tantivy-Log-Speicherung und eine Jira-ähnliche Falltabelle, am 2024-03-25 vorgestellt als „eine Open-Source-Automatisierungsplattform für Sicherheitsalarme“.

Der Show-HN-Thread wurde zu einer Positionsdebatte: Die Gründer verteidigten ein Open-Core-Geschäftsmodell und argumentierten, sie könnten die etablierten Anbieter bei der UX überholen, insbesondere bei KI-Funktionen; Kommentatoren warnten, dass freie Software kein Geschäftsmodell sei und Tracecat Funktionen hinter eine Bezahlschranke stellen müsse. Das Produkt rückte dann in der Wertschöpfungskette nach oben: Beim Crawl vom 2026-09-04 beschreibt das README „die agentische Sicherheitsautomatisierungsplattform“ mit Prompt-zu-Automatisierungen, gesteuert aus Claude Code, Codex und OpenCode über MCP, code-nativer Python-Synchronisierung, sandboxed Ausführung mit nsjail, dauerhaften Workflows auf Temporal und einer Enterprise Edition unter AGPL-3.0 mit kostenpflichtiger EE-Lizenzierung und verwalteter Cloud (USA/EU) oder Self-Hosting-Optionen.

Läuft weiterhin als Open-Core-Unternehmen: Der Crawl vom 2026-09-04 zeigt 3,8k Sterne, 411 Forks, 5.736 Commits, eine kostenpflichtige Tracecat-Enterprise-Stufe und verwaltete Cloud plus Self-Hosting-Bereitstellungsoptionen. Das Material enthält keine Angaben zu Finanzierung, Umsatz, Stilllegung oder Übernahme.

Nachweisbare Aufmerksamkeit: Der Show HN vom 2024-03-25 erzielte 264 Punkte und 65 Kommentare, und das Repository erreichte bis zum Crawl vom 2026-09-04 3,8k Sterne, 411 Forks und 5.736 Commits.

Die Wette ist scharf und überprüfbar: Preis und Betriebskomplexität halten SOAR für die meisten Teams außer Reichweite, daher greift eine Open-Source-Engine für eine einzige VM Splunks 100.000-Dollar-Stack auf Kubernetes-Niveau dort an, wo er am schwächsten ist.

Der Thread zeigt die Geschäftsmodellfrage in Echtzeit diskutiert – Open Core versus für immer kostenlos – und die AGPL-plus-Enterprise-Lizenzierung von 2026 zeigt, welche Antwort das Unternehmen gewählt hat.

Die Geschichte hat einen überprüfbaren Bogen vom Alpha-Start bis zu einer umbenannten agentischen Plattform, alles dokumentiert im selben Repository und HN-Thread.

Greife Preis und Betriebskomplexität des etablierten Anbieters an, bevor seine Funktionen: Ein SOAR, das auf einer einzigen VM läuft, lässt den 100.000-Dollar-Stack auf Kubernetes-Niveau absurd erscheinen, und offener Code übernimmt den Verkauf.

Stand 2026-09-05 läuft Tracecat als Open-Core-Unternehmen: Der Crawl von TracecatHQ/tracecat vom 2026-09-04 zeigt 3,8k Sterne, 411 Forks und 5.736 Commits, und das README präsentiert die Plattform als „agentische Sicherheitsautomatisierung“ mit Prompt-zu-Automatisierungen über MCP, über 100 Konnektoren, nsjail-Sandboxing, dauerhaften Workflows auf Temporal-Basis und einer kostenpflichtigen Enterprise Edition unter AGPL-3.0, verkauft als verwaltete Cloud (USA/EU) oder selbst gehostet mit Support. Das Material enthält keine Offenlegungen zu Finanzierung, Umsatz, Stilllegung oder Übernahme, sodass die kommerzielle Hälfte der Wette aus diesen Quellen nicht überprüfbar ist.