Arcane Docker im Test: Ist es bereit, Portainer zu ersetzen?

Arcane hat am 7. Juni 2026 mit dem Release v2.0.0 eine vollständige rollenbasierte Zugriffskontrolle ausgeliefert. Außerdem scannt es Ihre Images nach bekannten Schwachstellen, nach einem Zeitplan, den Sie selbst festlegen. Beides galt noch nicht, als Brandon Lee am 29. Dezember 2025 seinen Ersteindruck zu Arcane veröffentlichte, gut fünf Monate vor dem RBAC-Release.

Diese Lücke ist im Moment der heikle Teil jedes Arcane-Docker-Tests. Das Tool steht bereits bei v2.10.2, veröffentlicht am 5. September 2026, weniger als zwei Wochen nach v2.9.0. Das Release v2.10.0 hat das weiter unten beschriebene GitOps-Clone-Leck behoben und einen experimentellen Workflow namens Convert to Compose für laufende Container ergänzt. Eine Feature-Liste, die nur wenige Tage früher geschrieben wurde, beschreibt ein anderes Produkt.

Kurzfassung

Arcane in v2.10.2 ist für den passenden Betreiber ein brauchbarer Portainer-Ersatz. Es liefert volles RBAC, OIDC-Single-Sign-on, Trivy-Schwachstellenscans und GitOps-Redeployments ohne Kosten und ohne Node-Obergrenze. Portainer behält diese Rollenhierarchie ab drei Nodes der Business Edition vor. 4 von 5. Was es zurückhält, ist das kurze Alter, nicht die Fähigkeiten.

• Wechseln Sie, sobald Sie über Portainers dritten Node hinaus sind und Rollen brauchen, die festlegen, wer was anfassen darf. Sie bekommen sechs eingebaute Rollen, eigene Rollen, Zuweisung pro Umgebung und OIDC-Gruppen-Claim-Mapping, ohne Bezahlung und ohne Zähler.
• Schwachstellenscans sind eingebaut. Arcane führt Trivy, einen Open-Source-Image-Scanner, nach einem Cron-Zeitplan aus und speichert die Ergebnisse pro Image.
• Portainer Business Edition ist bis drei Nodes kostenlos, ohne Funktionseinschränkungen. Unterhalb dieser Grenze haben Sie RBAC und SSO bereits, das Argument des kostenlosen Zugriffs zieht bei Arcane dort also deutlich weniger.
• Einen direkten Import von Portainer-Stacks gibt es weiterhin nicht. v2.10.0 kann laufende Container experimentell in Compose-Projekte umwandeln, was manuelle Arbeit spart, aber Sie müssen das erzeugte YAML weiterhin prüfen und eine Umschaltung planen, weil Namen und veröffentlichte Ports kollidieren können, solange die Originale laufen. Sichern Sie zuerst die Volumes.
• Härten Sie ENCRYPTION_KEY vor dem Produktivbetrieb und setzen Sie APP_URL korrekt. ENCRYPTION_KEY hat noch einen Entwicklungs-Standardwert, und die Passkey-Anmeldung funktioniert erst, wenn APP_URL auf den HTTPS-Hostnamen zeigt, den die Nutzer tatsächlich aufrufen. JWT_SECRET wird laut aktueller Installationsdokumentation nicht mehr verwendet.
• Der gegen v2.8.0 und v2.9.0 gemeldete GitOps-Bug mit vollgelaufener Festplatte ist in v2.10.0 behoben. Der Fix räumt übrig gebliebene temporäre Git-Clone-Verzeichnisse auf, statt sie auf dem Manager-Host anwachsen zu lassen.
• LDAP fehlt weiterhin. Die Identitätsanbindung läuft ausschließlich über OIDC.

Wie diese Bewertung entstanden ist: dies ist eine Auswertung der Belege, kein Praxistest. Kein Sponsoring, keine Bezahlung, kein gestelltes Produkt, kein Kontakt zum Maintainer. Jede Aussage zu Funktionen wurde gegen Arcanes aktuelle Dokumentation und Release Notes geprüft, und jede Aussage zur Zuverlässigkeit führt auf ein datiertes Issue im öffentlichen Tracker des Projekts oder auf einen namentlich genannten Betreiber zurück, der über sein eigenes Deployment schreibt. Niemand hier hat Arcane für diesen Text betrieben; wo das die Einschätzung begrenzt (wie sich die Oberfläche anfühlt, wie sie sich unter Dauerlast hält), sagt der Artikel das, statt zu raten.

Was bietet Arcane kostenlos, was Portainer nicht bietet?

Vor allem eines: vollständige rollenbasierte Zugriffskontrolle. Portainer CE bietet eine einfache Benutzerverwaltung; die Rollenhierarchie steckt in der Business Edition. Arcane liefert sie bei jeder Node-Anzahl kostenlos, zusammen mit Trivy-Scans, GitOps-Redeployments, Swarm-Unterstützung, Passkey-Anmeldung, Remote-Agents und den in v2.9.0 ergänzten S3-Backups.

Das RBAC ist der Teil, den man sich genau ansehen sollte, denn „hat RBAC“ kann sehr Unterschiedliches bedeuten. Arcanes Dokumentation zur Zugriffskontrolle beschreibt sechs unveränderliche eingebaute Rollen: Admin, Editor, No-Shell Editor, Deployer, Monitor und Viewer. Jede davon lässt sich in eine eigene Rolle klonen, in der Sie einzelne Berechtigungen ankreuzen; sie folgen dem <resource>:<action> Muster wie containers:start. Zuweisungen gelten global oder pro Umgebung, und ein Nutzer kann mehrere gleichzeitig halten. Die Dokumentation nennt das Beispiel direkt: Editor auf prod, Viewer auf staging.

Für einen SSO-Rollout zählt, dass die Rollenzuweisung vom Identitätsanbieter selbst gesteuert werden kann: „Bei jeder Anmeldung liest Arcane den Gruppen-Claim des Nutzers und synchronisiert seine aus OIDC stammenden Zuweisungen neu“, und ein Nutzer in mehreren zugeordneten Gruppen erhält die Vereinigung davon. Das ist das Berechtigungsmodell, das Portainer CE nie hatte.

Schwachstellenscans sind der zweite Baustein. Arcanes Scan-Dokumentation hält fest, dass „Scans optional sind, nach einem Cron-Zeitplan laufen und die Ergebnisse pro Image gespeichert werden“, wobei die Ergebnisse in der Oberfläche angezeigt werden. Standardmäßig laufen sie täglich um Mitternacht, trivyIgnoreUnfixed beschränkt die Ergebnisse auf Schwachstellen mit bekanntem Fix, und Trivy wird in einem versionsfixierten Tools-Image ausgeliefert, sodass Sie Scanner-Updates nicht selbst nachhalten müssen.

Nun das Gegengewicht, und es ist ein großes. Portainers eigene Seite zu CE gegen BE sagt, die Business Edition „ist für bis zu 3 Nodes dauerhaft kostenlos. Keine Testphase. Keine Kreditkarte. Keine Funktionseinschränkungen.“ Das ist der volle BE-Umfang: RBAC mit eigener Rollenhierarchie, OIDC, Audit-Logs mit Syslog-Export, erweitertes GitOps. Die Take-3-Bedingungen stellen eine Einjahreslizenz aus, die jährlich kostenlos verlängert wird, solange Sie bei drei Nodes oder weniger bleiben.

Die Rechnung mit dem Gratis-Tarif geht also erst ab Node vier zugunsten von Arcane auf. Darunter gibt es die Bezahlschranke nicht. Arcane bietet bei einem oder zwei Nodes trotzdem etwas: keinen Lizenzschlüssel, keine Verlängerung, an die man denken muss, ein Projekt, das man forken kann. Aber das ist nicht dasselbe Argument wie „RBAC kostet Geld“.

Arcane ist eines von vier Tools, die ernsthaft um den Platz von Portainer konkurrieren, und die anderen unterscheiden sich entlang anderer Linien.

LESEN

Portainer-Alternativen: ein Praxisleitfaden zu Dockge, Arcane, Dockhand und Komodo

Wie zuverlässig ist Arcane derzeit?

Besser, als es bei v2.9.0 aussah, aber noch jung. Arcanes bisherige Bug-Historie liest sich wie die eines aktiven Projekts, das Dinge repariert, und der schwere GitOps-Bug mit vollgelaufener Festplatte, gemeldet gegen v2.8.0 und v2.9.0, wurde am 31. August 2026 in v2.10.0 behoben.

Ein Betreiber meldete am 26. August 2026, dass die GitOps-Synchronisation ein Clone-Verzeichnis übrig lässt: "gitops-<N> Clone-Verzeichnisse sammeln sich mit etwa 1.000 pro Tag (~9 GB/Tag) an und werden nie aufgeräumt, bis die Festplatte voll ist." Sechs Tage davon ergaben rund 6.467 Verzeichnisse und 40 GB. Sobald die Festplatte voll war, konnte der Manager nicht mehr in seine SQLite-Datenbank schreiben und geriet in eine Neustartschleife, erreichte 389 Neustarts und riss dabei Edge-Agent-Verbindungen und API-Aufrufe mit. Das Issue ist inzwischen geschlossen, und v2.10.0 enthält den Fix, der übrig gebliebene temporäre Git-Clone-Verzeichnisse aufräumt.

Wenn Sie noch auf v2.8.0 oder v2.9.0 sind: aktualisieren Sie, bevor Sie sich auf häufige GitOps-Synchronisation verlassen. Der Fix für das Clone-Leck kommt mit v2.10.0.

Die ältere Historie ist ermutigender. Ein Hänger nach dem Update zwischen 2.0 und 2.0.1 wurde gelöst. Ein Bug, bei dem „Update Projects“ jeden Container traf auf dem Host statt nur die des ausgewählten Projekts, wurde mit dem gemergten Fix-PR #2289 geschlossen. Image-Polling, das stillschweigend nicht auslöste in v1.13.2, wurde in v1.14.0 behoben. Drei Bugs, drei Fixes.

Die reine Zahl offener Issues sagt bei einem Projekt, das in diesem Tempo ausliefert, für sich allein sehr wenig. Projekte, gegen die niemand Issues meldet, sind dadurch nicht zuverlässiger.

Meine Einschätzung bleibt, dass es ein Problem des Alters ist, nicht der Fähigkeiten. Das schnelle Ausliefern ist der Grund, warum sich die Lücken bei RBAC und Scans überhaupt geschlossen haben, und auch der Grund, warum v2.10.0 weniger als eine Woche nach v2.9.0 einen schweren GitOps-Defekt beheben musste. Das Risiko sitzt im neuen Code, und ihn zu übernehmen ist eine Entscheidung.

Was kostet der Wechsel von Portainer tatsächlich?

Grob gesagt: ein Wartungsfenster und etwas manuelles Aufräumen. Arcane hat weiterhin keinen direkten Import von Portainer-Stacks, aber v2.10.0 ergänzt eine experimentelle Aktion namens Convert to Compose für laufende Container. Sie erzeugt eine Compose-Datei, während die Originale weiterlaufen, was einen Teil der YAML-Rekonstruktion abnimmt. Bind-Mounts, Netzwerke, Umgebungswerte und die Umschaltung selbst müssen Sie trotzdem prüfen; Namen und veröffentlichte Ports können kollidieren, bis die Originale gestoppt sind, ein Knopf für eine Migration ohne Ausfallzeit ist das also nicht.

Vor v2.10.0 spiegelte das projekteigene Forum einen komplett manuellen Weg wider. Ein Betreiber mit mehr als 80 Containern auf fünf Servern fragte, ob eine Live-Migration möglich sei , ohne vorher die nach außen sichtbaren Dienste abzuschalten. Die Antwort von jemandem, der es bereits hinter sich hatte: „Sie werden keine andere Wahl haben, als die bestehenden Container (und damit die Portainer-Stacks) zu löschen und sie in Arcane von Grund auf neu anzulegen.“ Seine Reihenfolge: sauber herunterfahren, sichern, löschen, Daten kopieren, neu anlegen und erneut ausrollen.

Praktisch heißt das: Volume-Backups, bevor Sie irgendetwas anfassen, und ein Wartungsfenster, das sich sowohl nach der Zahl Ihrer Stacks als auch nach der zu bewegenden Datenmenge richtet. Das Neuanlegen der Container ist meist der schnelle Teil; große Volumes zu kopieren und abhängige Dienste in der richtigen Reihenfolge hochzufahren kann das Fenster strecken. Ein Begriffshinweis für die Planung: Was Portainer Stack nennt, nennt Arcane Projekt.

Der Zeitaufwand fällt schon im Homelab-Maßstab an. Moises Aguirre, der am 28. Februar 2026 über den Umzug eines Homelabs weg von Portainerschrieb, nannte es „ein solides Wochenende Arbeit (und die Konfrontation mit meinen Dämonen)“, und die Dämonen waren sein eigener Wildwuchs: Er musste jeden laufenden Container prüfen und YAML für Dienste schreiben, die er „vorher einfach zusammengeklickt“ hatte. Das ist seine Erfahrung und keine Regel, aber das Muster überträgt sich.

Eine Sache sollten Sie prüfen, bevor Sie Compose-Dateien übernehmen. Die Release Notes zu v2.7.0 haben die Variablenauflösung auf vier Quellen eingeengt: Ihre globalen Variablen in .env.global, die projekteigene .env -Datei, in der Compose-Datei selbst hinterlegte Standardwerte sowie Zeitzone und Locale aus Arcanes Umgebung. Der erklärte Effekt: Ein über Arcane ausgerolltes Projekt löst seine Variablen genauso auf wie docker compose up im Projektverzeichnis. Das ist das korrektere Verhalten. Es bedeutet aber auch, dass alles, was bisher stillschweigend einen Wert aus der Container-Umgebung des Managers geerbt hat, jetzt zu etwas anderem aufgelöst wird, oder zu nichts, und zwar ohne sich zu beschweren.

Nichts davon ist ein Defekt des Produkts. Es sind einmalige Kosten, vorhersehbar genug, um sie einzuplanen, und das ist das Wichtigste, was man von einer Migration erwartet.

Entwickeln Sie auf einem Linux-VPS mit Root-Zugriff, NVMe und AMD-EPYC-Power.

Linux-Pläne ansehen

Was müssen Sie vor dem Produktivbetrieb härten?

Einen Verschlüsselungsschlüssel, die öffentliche URL und TLS. Arcane legt beim ersten Start ein Standard-Admin-Konto an und erzwingt bei der ersten Anmeldung einen Passwortwechsel, ein vernünftiger Standard. Zwei Einstellungen müssen vor dem Produktivbetrieb stimmen. Die erste ist ENCRYPTION_KEY; die zweite ist APP_URL.

Die Referenz der Umgebungsvariablen führt weiterhin ENCRYPTION_KEY mit dem Standardwert arcane-dev-key-32-characters!!!auf, während die Installationsdokumentation verlangt, einen eindeutigen 32-Byte-Wert anzugeben. Ändern Sie ihn vor dem Produktivbetrieb. Noch etwas hat sich geändert: Die Installationsdokumentation sagt inzwischen, dass JWT_SECRET nicht mehr verwendet wird. Arcane erzeugt den Schlüssel zum Signieren der Sitzungen selbst; bleibt JWT_SECRET konfiguriert, gibt es nur eine Warnung beim Start, entfernen Sie ihn also aus der Umgebung. Die Installationsdokumentation legt fest, dass ENCRYPTION_KEY „32 Bytes lang sein muss (roh, Base64 oder Hex)“.

Versionshygiene gehört ebenfalls auf diese Liste. Arcane hat 2026 mehrere Sicherheitshinweise veröffentlicht; ein Hinweis mit hohem Schweregrad vom 29. Juli 2026 führt Versionen vor v2.5.0 als betroffen auf und beschreibt, wie eine delegierte users:update -Berechtigung das Passwort eines Administrators zurücksetzen konnte. Als gepatchtes Release nennt er v2.6.0, v2.10.0 ist also nicht betroffen, aber es ist ein konkreter Grund, ein Produktiv-Deployment nicht auf einem alten Tag stehen zu lassen.

APP_URL steht standardmäßig auf http://localhost:3552, und das hat eine funktionale Folge jenseits der Hygiene. Passkey-Anmeldung und Passkey-MFA laufen beide über WebAuthn, und Arcanes Passkey-Dokumentation ist eindeutig: „Browser stellen die WebAuthn-API nur in einem sicheren Kontext bereit, Passkeys brauchen also HTTPS (oder localhost).“ Die Relying-Party-ID wird aus APP_URLabgeleitet, Passkeys sind an diesen Hostnamen gebunden, und wenn APP_URL keinen Hostnamen enthält, startet der Passkey-Dienst nicht. Über reines HTTP blendet Arcane die Passkey-Bedienelemente komplett aus. Wer auf einer nackten IP mit Port ausrollt, sieht die zentrale Authentifizierungsfunktion von v2 schlicht nicht. Die Dokumentation sagt es klar: „Setzen Sie APP_URL auf die URL, die Ihre Nutzer tatsächlich aufrufen, über HTTPS, bevor jemand einen Passkey registriert.“

Remote-Agents entscheiden, was Sie öffnen müssen. Arcanes Dokumentation zu Umgebungen sagt, dass im Direktmodus „der Manager sich mit dem Agent über TCP 3553verbindet“, dieser Port muss auf dem Remote-Host also eingehend erreichbar sein. Im Edge-Modus „verbindet sich der Agent ausgehend mit dem Manager“ und braucht überhaupt keinen eingehenden Port.

Darüber hinaus verweise ich lieber, als so zu tun, als wüsste ich es. Arcane veröffentlicht eine Anleitung zum Einrichten eines Socket-Proxys , deren Prämisse lautet, dass ein direkt eingehängter Socket „Arcane vollen Zugriff auf Docker gibt“ und ein Proxy das auf die benötigten API-Aufrufe eingrenzt. Dieselbe Angriffsfläche, die das Isolieren des Docker-Sockets überall sinnvoll macht, und auch hier lohnt es sich. Ich lese diese Dokumentation so, wie jemand sie liest, der ausrollt, ohne das Token-Schema zu auditieren.

Was kann Arcane weiterhin nicht?

Zwei Lücken bestehen gegenüber Arcanes aktueller Dokumentation weiterhin: kein LDAP und kein allgemeiner Browser für das Dateisystem eines Containers. Mehrere andere Lücken aus der Zeit vor v2 haben sich seitdem geschlossen.

LDAP fehlt. Arcanes Single-Sign-on-Dokumentation behandelt OIDC und nur OIDC, und weder sie noch die Seite zur Zugriffskontrolle erwähnen LDAP oder Active Directory an irgendeiner Stelle. Portainers Business Editionintegriert sich dagegen mit „Active Directory, LDAP und OIDC-kompatiblen Identitätsanbietern“. Wenn Ihre Organisation sich gegen ein Verzeichnis ohne vorgeschaltete OIDC-Schicht authentifiziert, ist das ein harter Stopp, kein Workaround.

Kein allgemeiner Dateibrowser innerhalb von Containern. Arcanes Container-Ansicht zeigt Konfiguration, Mounts, Logs und Compose-Quelle, aber keinen Browser für das Dateisystem des Containers selbst. Es gibt inzwischen einen Volume Workspace, der Dateien in Docker-Volumes durchsuchen und bearbeiten kann, die verbleibende Lücke ist also schmaler als die alte Beschreibung „kein Dateibrowser“.

Diese Korrekturen sollte man ausdrücklich festhalten, denn die Beschreibung von Arcane als „kein RBAC, keine Schwachstellenscans“ gilt nicht mehr. RBAC kam mit v2.0.0 am 7. Juni 2026, und Trivy-Scans sind dokumentiert und laufen nach Zeitplan. Auch die Aktivitätsprotokollierung hat sich weiterentwickelt: Arcanes Dokumentation zu Aktivitäten beschreibt ein Activity Center, das Pulls, Builds, Lifecycle-Aktionen, Scans und Prunes abdeckt, daneben ein Ereignisprotokoll mit Schweregrad, Typ, Zeitstempel und dem Nutzer, der die jeweilige Aktion ausgelöst hat, sofern Arcane sie zuordnen kann. Ob es wie Portainers Business-Stufe nach Syslog exportiert, klärt die Dokumentation nicht.

Was das Release-Tempo nicht behebt, ist das Alter. Das Arcane-Repository wurde im April 2025 angelegt. Portainer hat Jahre an angesammelten Stack-Overflow-Antworten, Anleitungen von Dritten und Integrationen hinter sich, und wenn Sie um 23 Uhr auf etwas Seltsames stoßen, ist dieser Unterschied das, was Sie spüren.

Wer sollte zu Arcane wechseln, und wer nicht?

Wechseln Sie zu Arcane, wenn Sie auf Portainer über drei Nodes hinaus sind und abgegrenzten Mehrbenutzerzugriff mit in Git versioniertem Compose wollen, ohne Lizenzgespräch. Bleiben Sie, wo Sie sind, wenn Sie bei drei Nodes oder weniger liegen. Hosts zu zählen klärt das meiste davon schneller als jede Feature-Liste.

Drei Profile, für die Arcane ein klares Ja ist:

• Betreiber jenseits von Portainers Drei-Node-Grenze, die abgegrenzten Zugriff brauchen. Über drei Nodes kosten diese Fähigkeiten bei Portainer Geld und bei Arcane nichts, und die Rollen sind fein genug, um jemandem Deployer auf einer Umgebung und Viewer überall sonst zu geben.
• Betreiber, die Compose-Dateien als Single Source of Truth wollen. Wenn der Wechsel daher rührt, dass Stack-Definitionen in einer Datenbank statt in einem Repo liegen, ist das eine strukturelle Passung, keine Vorliebe. Das Migrationswochenende geht größtenteils dafür drauf, aufzuschreiben, was Sie ohnehin schon betreiben, eine Arbeit, die Sie sowieso schuldig waren.
• Betreiber, die mehrere Hosts zusammenführen, auch solche hinter NAT. Agents im Edge-Modus brauchen auf der Remote-Seite keinen eingehenden Port, Swarm-Cluster werden vom Manager-Node aus verwaltet, und Remote-Umgebungen kosten nichts.

Zwei Profile, für die es das nicht ist:

• Alle mit drei Nodes oder weniger. Die Business Edition ist in dieser Größe mit vollem Funktionsumfang kostenlos, ein Wechsel kostet also ein Wartungsfenster und ein Wochenende für Fähigkeiten, die Sie bereits haben. Als Portainer-Alternative ist Arcane fähig; ein Grund zum Wechseln ist das trotzdem nicht.
• Alle, die LDAP brauchen oder ihre Stacks nicht herunterfahren können. Verzeichnisauthentifizierung gibt es nicht, und die Migration erfordert weiterhin eine geplante Umschaltung. Für keines von beidem gibt es einen cleveren Workaround.

Eine Bedingung gehört zu diesem Urteil. Wenn GitOps-Redeployment der konkrete Grund für Ihren Wechsel ist, verwenden Sie v2.10.0 oder neuer. Der gegen v2.8.0 und v2.9.0 gemeldete Bug mit vollgelaufener Festplatte ist dort behoben.

LESEN

Docker auf VPS bekommen: ein umfassender Guide, wie du den VPS für Containerisierung nutzt 🗂️

Häufig gestellte Fragen