Sie betreiben n8n, Node-RED oder planen eine Automatisierungsplattform? Auf den Seiten zu n8n und Node-RED beschreiben wir Hosting, Betrieb und Workflow-Entwicklung. Die Lizenzlage ordnen wir vorab mit Ihnen ein. n8n-Seite ansehen · Erstgespräch buchen (unverbindlich und kostenlos)
Wer nach einer n8n-Alternative sucht, findet viele Werkzeuglisten. Im Betrieb stellen sich meist diese Fragen: Was erlaubt die Lizenz, was kostet der Betrieb, und was passiert mit den vorhandenen Workflows? Dieser Beitrag vergleicht n8n mit Activepieces und Node-RED nach diesen Kriterien und stützt sich auf Lizenztexte, Herstellerdokumentation und die GitHub-API. Stand: 5. November 2026.
Der Fokus liegt auf den Fragen Lizenz, Betrieb und Migration. Einen Vergleich von n8n mit Dify, Flowise und Langflow für KI-Anwendungen finden Sie im Beitrag Dify, Flowise, Langflow und n8n im Vergleich. Die Lizenz wird hier nur so weit wiederholt, wie der Vergleich sie braucht. Der Beitrag ist keine Rechtsberatung.
Inhaltsverzeichnis
- Kurz beantwortet
- Wann ist eine n8n-Alternative sinnvoll
- Was erlaubt die n8n-Lizenz
- Wie unterscheiden sich die drei Lizenzen
- Wofür eignen sich n8n, Activepieces und Node-RED
- Was ist kostenlos, was kostet Geld
- Welche Funktionen für Rollen, SSO und Audit gibt es ohne Lizenz
- Wie viel Betrieb brauchen die drei Werkzeuge
- Wie steht es um die Sicherheitsmeldungen
- Lässt sich ein n8n-System migrieren
- Was bedeutet das bei einem Dienstleister
- Verbreitete Irrtümer
- Stand und Methodik
- Unser Vorgehen bei WZ-IT
- Weiterführende Guides
- Quellen
Kurz beantwortet
| Frage | Antwort |
|---|---|
| Ist n8n Open Source? | Nein, nach Angabe des Herstellers nicht. Lizenz: Sustainable Use License 1.0 (fair-code) |
| Wann ist die n8n-Lizenz ein Grund für eine Alternative? | Beim Hosting einer Instanz, auf der Kunden selbst Workflows bauen, und beim Einbetten in ein Produkt, in dem Endnutzer Workflows konfigurieren |
| Interne Nutzung, Auftragsarbeit, Installation beim Kunden | Laut Lizenz-FAQ erlaubt |
| Direkte Alternative | Activepieces: MIT-Kern, Enterprise-Funktionen in ee-Verzeichnissen unter kommerzieller Lizenz |
| Anderes Werkzeug | Node-RED: Apache 2.0, ereignisbasierte Flows für Geräte, Protokolle und Edge |
| SSO ohne Lizenz | Node-RED per eigener Konfiguration ohne Lizenzaufschlag; n8n ab Business, Activepieces ab Team |
| Sicherheitsmeldungen 5.5. bis 5.11.2026 | Activepieces 8, Node-RED 0; n8n deutlich mehr, Gesamtzahl nicht belegt (nicht direkt vergleichbar) |
| Migration | Nach unserer Recherche kein offizieller Importer gefunden; Flows werden neu aufgebaut, Zugangsdaten im Ziel angelegt |
Wann ist eine n8n-Alternative sinnvoll
Nach unserer Einschätzung ist die Lizenz allein für Unternehmen, die n8n für eigene Prozesse betreiben, kein Grund zu wechseln. Wer n8n für die eigenen Prozesse betreibt, nutzt es laut Hersteller „for your own internal business purposes“, und das ist ausdrücklich erlaubt. Eine Alternative lohnt die Prüfung in diesen Fällen:
- Kunden sollen selbst Workflows bauen. Wer n8n hostet und seinen Kunden den Editor gibt, ist laut FAQ ohne Vereinbarung nicht abgedeckt (die FAQ nennt Ausnahmen für zeitlich begrenzte Schulungs- und Workshop-Konstellationen).
- Endnutzer sollen im eigenen Produkt Workflows konfigurieren. Das schließt die FAQ auch für eine eigene Oberfläche, die API, MCP oder einen KI-Agenten aus.
- Rollen, SSO oder Versionierung werden gebraucht, ohne dass ein Lizenzschlüssel gekauft werden soll. Bei Activepieces sind große Teile davon ebenfalls kostenpflichtig. Node-RED bringt Benutzerrechte, Git-Projects und per Konfiguration SSO mit, aber kein Rollenmodell wie die Enterprise-Stufen (siehe unten).
- Die Aufgabe ist eine andere. Wer Geräte, Sensoren oder Protokolle verbindet, ist mit Node-RED oft näher an der Aufgabe als mit einem Werkzeug für SaaS-Prozesse.
Nicht dazu gehört nach unserer Einschätzung der Wunsch nach „mehr Open Source“ als Selbstzweck. Welche Betriebsfunktionen kostenlos sind, unterscheidet sich je Werkzeug und ist im Abschnitt zu Rollen, SSO und Audit aufgeführt.
Was erlaubt die n8n-Lizenz
Die Lizenz-FAQ des Herstellers nennt als Grundsatz: „If workflows are only created or modified by you or people in your organization, you can use n8n under the Community license for free.“ Der Kerntext der Sustainable Use License beschränkt die Nutzung auf „your own internal business purposes or for non-commercial or personal use“. Dateien mit .ee. im Namen oder .ee im Verzeichnisnamen stehen unter der n8n Enterprise License und sind produktiv nur mit gültiger Lizenz nutzbar.
Die Lizenz-FAQ führt Folgendes auf:
| Erlaubt (Wortlaut der FAQ) | Nicht erlaubt (Wortlaut der FAQ) |
|---|---|
| „Use n8n community version to help run your business“ | „Host n8n as a service and allow your clients to build workflows“ |
| „Build automations for your clients on your instance, as long as your clients do not have the possibility to create or edit them.“ | „Allow external end users to build or configure their own workflows through your product, whether via a custom UI, our API, MCP, or an AI agent acting on the user's behalf.“ |
| „Charge your customers for workflow creation, setup, and maintenance services.“ | „Fork n8n's code to launch your own automation product“ |
| „Charge your customers for training and consultancy services“ | „White-label n8n by removing our branding and offering n8n as is.“ |
| „Use n8n behind the scenes in your own product, where users can use and trigger the automations you built, and even connect their own accounts to them.“ | „Use enterprise features that ask for a license key without an Enterprise license.“ |
| „Run several instances of n8n community version“ |
Für Dienstleister ist der Abschnitt „Consulting and agency use“ der FAQ der wichtigste. Beratung und Automatisierungsleistungen sind danach ausdrücklich erlaubt, wenn n8n das interne Werkzeug bleibt und Kunden Ergebnisse erhalten, keinen Zugang. Ein Betrieb als Managed Service ist möglich, „provided clients do not access your n8n instance directly“. Die Zahl der Kunden ist nicht begrenzt, entscheidend ist der Zugriff. Die Installation auf dem Server eines Kunden ist erlaubt, „provided that you are not also hosting for them“.
Wie sich typische Konstellationen zur FAQ verhalten:
| Konstellation | Lage nach dem Wortlaut der FAQ |
|---|---|
| Eigene Instanz, Dienstleister baut die Workflows, Kunde erhält Ergebnisse | Erlaubt, auch gegen Entgelt |
| Installation und Wartung auf dem Server des Kunden, ohne Hosting durch den Dienstleister | Erlaubt |
| Dedizierte Instanz je Kunde, vom Dienstleister gehostet, Kunde mit Betrachter- oder Auslösezugang, Workflows baut der Dienstleister | Nicht eindeutig geregelt: „clients do not have the possibility to create or edit them“ betrifft nur das Bauen, der Abschnitt zur Agenturnutzung verlangt zugleich, dass Kunden nicht direkt auf die Instanz zugreifen. Ob eine eigene Instanz je Kunde noch als internes Werkzeug gilt, regelt die FAQ nicht |
| Kunde baut selbst Workflows auf einer gehosteten Instanz | Nicht erlaubt |
| SSO, Git, Environments oder externe Secrets nutzen | Nur mit Business- oder Enterprise-Lizenzschlüssel |
Für Konstellationen mit mehreren Kundenumgebungen verweist die FAQ auf [email protected] und nennt ein Partnerprogramm für die Verwaltung mehrerer Instanzen als in Entwicklung. Der Hersteller beschreibt dort außerdem, dass es nicht auf die Sichtbarkeit der Oberfläche ankommt, sondern darauf, wer die Workflow-Logik kontrolliert und wessen geschäftliche Interessen bedient werden. Ein anderes Nutzungsmodell erfordert laut Community-Lizenz-Seite einen eigenen Vertrag.
Wie unterscheiden sich die drei Lizenzen
| n8n | Node-RED | Activepieces | |
|---|---|---|---|
| Kernlizenz | Sustainable Use License 1.0 (fair-code) | Apache 2.0 | MIT (Community-Teil) |
| Kostenpflichtiger Bereich im Repository | Dateien und Ordner mit .ee (n8n Enterprise License) |
Keiner im Kern | packages/ee und packages/server/api/src/app/ee (Enterprise-Lizenz, nach Nutzerplätzen) |
| Rechteinhaber laut Lizenztext | n8n GmbH | OpenJS Foundation | Activepieces Inc. |
| Open Source nach OSI | Nein (Aussage des Herstellers) | Ja | Community-Teil ja (MIT) |
| Hosting für Dritte, Kunden bauen selbst | Ohne Vereinbarung nicht erlaubt | Erlaubt | Für den MIT-Teil erlaubt |
| Interne Nutzung | Erlaubt | Erlaubt | Erlaubt |
n8n. Die Lizenz begrenzt die Nutzung und die Weitergabe. Der Hersteller räumt ein, dass er sich deshalb nicht Open Source nennt (Community-Lizenz). Den Contributor-Vertrag und die Lizenzhistorie behandelt der Beitrag Dify, Flowise, Langflow und n8n im Vergleich.
Node-RED. Die LICENSE-Datei trägt „Copyright OpenJS Foundation and other contributors“ und den Text der Apache License 2.0. Nutzung, Hosting und Einbetten sind erlaubt, Bedingungen sind unter anderem Lizenztext, Hinweise (gegebenenfalls NOTICE) und die Kennzeichnung von Änderungen. Die Marke „Node-RED“ gehört der OpenJS Foundation. Zusatzprodukte wie FlowFuse stehen unter eigenen Bedingungen: Das FlowFuse-Repository steht unter Apache 2.0, ausgenommen das Verzeichnis forge/ee/ mit eigener Lizenz.
Activepieces. Die LICENSE trennt: Inhalte unter packages/ee/ und packages/server/api/src/app/ee stehen unter der Lizenz in packages/ee/LICENSE, alles andere unter MIT, ausgenommen Komponenten Dritter, die ihre eigenen Lizenzen behalten. Die Enterprise-Lizenz erlaubt die produktive Nutzung nur bei Zustimmung zu den Subscription Terms oder einer anderen Vereinbarung und „a valid Activepieces Enterprise license for the correct number of user seats“. Die Lizenzseite der Dokumentation bestätigt: Der Kern ist MIT, Enterprise-Funktionen einer selbst gehosteten Instanz benötigen eine Lizenz. GitHub zeigt die Lizenz des Repositories als NOASSERTION beziehungsweise Other, vermutlich wegen dieser Mischung.
Wofür eignen sich n8n, Activepieces und Node-RED
Stand der Versionen am 5. November 2026: n8n 2.46.6 (Release 4. November), Activepieces 0.92.3-hotfix.2 (28. Oktober), Node-RED 5.0.9 (21. Oktober; Version 5.0.0 erschien am 9. Juni). GitHub-Sterne, gerundet: n8n 209.600, Activepieces 25.400, Node-RED 23.800.
| Kriterium | n8n | Activepieces | Node-RED |
|---|---|---|---|
| Visueller Editor | Ja | Ja (Flows, Agents, Tables) | Ja, browserbasierter Flow-Editor |
| Integrationen laut Hersteller | 2.622 Integrationen (die Seite nennt oben „2,000+“, die Zählregel ist nicht erläutert) | 775 Open-Source-Pieces | Flow-Library: 6.360 aktuelle Nodes, dazu Flows und Collections |
| Code | Code-Node mit JavaScript und Python | Code-Schritt, Pieces in TypeScript | Function-Node (JavaScript), eigene Nodes als npm-Module |
| KI und Agenten | AI-Agent-Node, MCP-Server-Trigger, MCP-Client | Agents, Chat, Knowledge, MCP-Server | Kein eigenes KI-Kernfeature; Anbindung über Community-Nodes oder HTTP-Request- und Function-Nodes |
| Stärke | Prozess- und SaaS-Integration | Prozess- und SaaS-Integration | IoT, Edge, Protokolle (MQTT; Modbus und OPC UA über Community-Nodes) |
| Projekte und Zugriffstrennung | Projects: Cloud ab Starter (ein Shared Project), self-hosted laut Preisseite ab Business; die Dokumentation ordnet Projects und RBAC abweichend zu | Projects in den bezahlten Tarifen ab Team | Nicht eingebaut, FlowFuse als separates Produkt |
Die Zahlen zählen Verschiedenes: n8n zählt Integrationen nach nicht erläuterter Regel, Activepieces Pieces, die Node-RED-Library einzelne Nodes. Sie taugen nicht als Rangfolge.
Einordnung nach Aufgabe:
| Aufgabe | Eher passend | Zu beachten |
|---|---|---|
| Prozessautomatisierung zwischen vielen SaaS-Systemen, mit Ausführungshistorie und Credential-Verwaltung | n8n oder Activepieces | Funktionen für Teams (Rollen, SSO, Git) sind bei beiden kostenpflichtig |
| Wunsch nach MIT-lizenziertem Kern in der Prozessautomatisierung | Activepieces | ee-Funktionen bleiben kostenpflichtig |
| Sensoren, Maschinendaten, MQTT, Dashboards, Edge-Geräte | Node-RED | Editor ohne Konfiguration offen, Absicherung selbst nötig |
| Workflows durch Kunden selbst bauen lassen | Activepieces (MIT-Kern) oder Node-RED, nicht n8n ohne Vereinbarung | Rechte- und Mandantentrennung selbst klären |
| Bestehende n8n-Workflows unverändert weiterbetreiben | n8n | Lizenzumfang prüfen, wenn Dritte Zugang erhalten |
Node-RED verarbeitet Nachrichten-Objekte (msg) in ereignisbasierten Flows, n8n arbeitet mit Items und Expressions, Activepieces mit Step-Referenzen. Nach unserer Einschätzung (kein Vergleichstest) führt die Einführung von Node-RED als 1:1-Ersatz für n8n zu einer anderen Aufgabenstellung, als Node-RED ursprünglich adressiert.
Was ist kostenlos, was kostet Geld
Selbst betrieben fällt in allen drei Fällen keine Lizenzgebühr für den Community-Kern an, solange die Bedingungen eingehalten werden und keine Enterprise-Funktionen genutzt werden. Die Hersteller bieten zusätzlich Cloud- und Lizenzstufen an (Preisseiten, abgerufen am 5. November 2026):
| Werkzeug | Stufe | Preis laut Herstellerseite | Enthalten laut Herstellerseite |
|---|---|---|---|
| n8n | Starter | 20 EUR im Monat bei jährlicher Abrechnung | 2.500 Ausführungen, 1 Shared Project |
| n8n | Pro | 50 EUR im Monat bei jährlicher Abrechnung | 10.000 Ausführungen, 3 Projekte, Admin-Rollen, Workflow-Historie |
| n8n | Business | 667 EUR im Monat bei jährlicher Abrechnung | 40.000 Ausführungen, nur Self-hosted, SSO und LDAP, Git, Environments, 6 Projekte |
| n8n | Enterprise | Individuell | Externe Secret-Stores, Log-Streaming, Audit-Logging, SLA |
| Activepieces | Free | 0 USD | 1.000 Credits im Monat, bis 5 Nutzer |
| Activepieces | Plus | 20 USD im Monat | 10.000 Credits, bis 5 Nutzer |
| Activepieces | Team | 200 USD im Monat | 50.000 Credits, 25 Nutzer, unbegrenzte Projekte, SSO, Standard-Rollen |
| Activepieces | Ultimate | Individuell | SCIM, Custom RBAC, Audit-Logs, Secret-Manager, Releases und Git-Sync |
| Node-RED | Open Source | Keine Herstellerpreise | Kein Bezahlbereich im Kern; FlowFuse hat eine eigene Preisseite |
n8n rechnet nach Ausführungen ab, nicht nach Schritten oder Nutzern; ob die Beträge netto oder brutto gelten, nennt die Seite nicht. Activepieces rechnet auf der Cloud nach Credits: ein Lauf kostet 1 Credit unabhängig von der Zahl der Schritte, KI-Schritte mit herstellerbezahlten Modellen kosten je nach Modell 2, 10 oder 20 Credits (mit eigenen Schlüsseln laut Preis-FAQ 1 Credit je KI-Schritt zuzüglich Modellkosten), agentische Zusatzaktionen werden gesondert gezählt, die Überschreitung kostet bei Plus und Team 0,007 USD je Credit. Die Install-Seite des Herstellers schreibt, jeder Tarif der Preisseite sei auch selbst gehostet verfügbar. Ob und wie die Nutzergrenzen und das Credit-Modell bei einer selbst gehosteten Community-Instanz greifen, haben wir nicht geprüft.
Bei n8n führt die Preisseite den Queue Mode unter Business auf, die Dokumentation zu den Community-Funktionen nennt ihn als in der Community Edition enthalten, Multi-Main dagegen nicht. Das schließt sich nicht zwingend aus; wir folgen der Dokumentation. Für registrierte Community-Nutzer (kostenlos per E-Mail) schaltet n8n zusätzlich Folders, Debugging im Editor und eigene Ausführungsdaten frei. Business- und Enterprise-Lizenzschlüssel müssen laut n8n täglich den Lizenzserver erreichen.
Welche Funktionen für Rollen, SSO und Audit gibt es ohne Lizenz
| Funktion | n8n | Activepieces | Node-RED |
|---|---|---|---|
| Benutzer und Rollen | Community: Instanzrollen Owner und Member; Cloud Starter enthält bereits ein Shared Project und Credential-Sharing; Admin-Rollen ab Pro (Cloud), self-hosted nennt die Preisseite Business, die Rollen-Dokumentation Enterprise; Custom Roles Enterprise | Standard-Rollen ab Team | adminAuth mit Benutzerliste, Berechtigung * oder read; kein Rollenmodell wie bei Enterprise-RBAC |
| SSO | SSO und LDAP ab Business (Preisseite), OIDC laut Anleitung nur Enterprise | Ab Team | OAuth und OpenID über Passport-Strategien selbst konfigurierbar |
| Git und Versionierung | Git und Environments nur Business und Enterprise | Version History (Draft und Published); Releases und Git-Sync nur Ultimate | Projects mit Git, in der settings.js zu aktivieren |
| Externe Secret-Stores | Nur Enterprise | Secret-Manager nur Ultimate | Kein zentraler Secret-Manager im Kern belegt |
| Audit-Logs | Nur Enterprise | Nur Ultimate | Zugriffe auf die Admin-API lassen sich über logging.console.audit protokollieren (Logging); kein Audit-Log wie in den Enterprise-Stufen |
| Projekte und Zugriffstrennung | Siehe oben (Preisseite: self-hosted ab Business) | Projects ab Team | Nicht eingebaut |
Für Node-RED gilt eine Eigenheit: Ohne Konfiguration kann jeder, der die IP-Adresse erreicht, den Editor nutzen und Flows deployen. Die Dokumentation hält diesen Zustand nur für ein vertrauenswürdiges Netzwerk geeignet. Ein Betrieb für mehrere Parteien braucht eine vorgeschaltete Absicherung oder getrennte Instanzen.
Wie viel Betrieb brauchen die drei Werkzeuge
| Aspekt | n8n | Activepieces | Node-RED |
|---|---|---|---|
| Installation | Docker, Docker Compose, npm | Docker Compose, Helm | npm, Docker, auch Raspberry Pi |
| Datenbank | SQLite (Standard) oder PostgreSQL (16, 17, 18 laut Dokumentation) | PostgreSQL | Dateibasiert (flows.json), keine Pflicht-Datenbank |
| Weitere Komponenten | Redis für den Queue Mode; Task Runner für Code-Nodes | Redis; S3-Speicher in der Produktionsform | Keine |
| Laufzeit | Node.js (im Container enthalten) | Container | Node.js 22.9 oder neuer ab Version 5.0 |
| Skalierung | Queue Mode in der Community Edition, Multi-Main kostenpflichtig | Worker-Modell | Mehrere Instanzen, aufgeteilt nach Flow-Sets (unser Architekturvorschlag, in der Dokumentation nicht beschrieben) |
Für n8n liegt ein Hersteller-Benchmark vor: bis zu 220 Ausführungen je Sekunde bei einem Webhook mit Edit-Fields-Schritt auf einem AWS-c5a.large mit 4 GB RAM und PostgreSQL. Für Activepieces empfiehlt die Dokumentation zum Produktions-Setup in der Produktionsform als Startwerte einen Worker je gleichzeitigem Flow (0,5 vCPU, 1 GB), eine App-Instanz mit 1 vCPU und 1 GB je zehn Worker, PostgreSQL mit 2 vCPU und 4 GB, Redis und S3. Beide Angaben sind Hersteller-Szenarien beziehungsweise Empfehlungen, keine allgemeinen Kapazitätszusagen oder Mindestanforderungen.
Versionssprünge. n8n kündigt für Version 3.0 (Status „early access“) Änderungen an: Self-Hosting nur noch mit Docker, kein npm oder npx mehr. Ein Migrationsbericht unter Einstellungen zeigt die Auswirkungen in fünf Stufen (von „Upgrade blocked“ bis „Capability removed“), siehe die Seiten zu den Breaking Changes und zum Migrationsbericht. Die Dokumentation von Activepieces führt Versionen mit Umbauten auf (zum Beispiel 0.87.0 mit geänderter Abrechnung und 0.91.0 mit geänderter Provider-Validierung, siehe Breaking Changes) und beschreibt einen Rollback. Bei Node-RED verlangt Version 5.0 mindestens Node.js 22.9 und empfiehlt Node.js 24; ältere Hosts brauchen vorher ein Update der Laufzeit. Eine n8n-Installation, die auf Ubuntu mit Caddy läuft, gehört deshalb vor einem Versionssprung auf die Prüfliste.
Wie steht es um die Sicherheitsmeldungen
Grundlage sind die veröffentlichten GitHub Security Advisories der Repositories im Zeitraum 5. Mai bis 5. November 2026, von uns am 5. November 2026 ausgewertet. Die Zählung ist eine Momentaufnahme; GitHub-Listen ändern sich, und die n8n-Gesamtzahl und Schweregrad-Verteilung haben wir nicht reproduzieren können und nennen sie deshalb nicht. Die Einstufungen folgen GitHub („moderate“).
| Werkzeug | Veröffentlichte Advisories | Verteilung nach Schweregrad | Quelle |
|---|---|---|---|
| n8n | Gesamtzahl nicht belegt, Liste siehe Quelle | Drei als critical eingestufte, siehe unten | Liste |
| Activepieces | 8 | 1 critical, 3 high, 4 moderate | Liste |
| Node-RED | 0 | Im Repository insgesamt 2 Advisories, beide vom 19. Februar 2021 | Liste |
Die drei bei n8n als critical eingestuften Advisories, auf GitHub am 13. Mai 2026 veröffentlicht (die CVE-Datensätze folgten teils später), betreffen CVE-2026-44791 (Prototype-Pollution-Bypass im XML-Node), CVE-2026-44789 (Prototype Pollution in der Pagination des HTTP-Request-Nodes bis zu Remote Code Execution) und CVE-2026-44790 (beliebiges Lesen von Dateien über den Git-Node); die Korrekturen stehen in den Versionen 2.22.1, 2.20.7 und 1.123.43. Beispiele für high sind GHSA-6h4x-896x-fw5m (Remote Code Execution im Hauptprozess über Pfadtraversierung beim Laden des MCP-Node-Schemas, 5. August; setzt authentifizierten Zugriff als Member voraus) und GHSA-6xcw-7xm6-48c6 beziehungsweise CVE-2026-86083 (Ausbruch aus der Expression-Sandbox, 2. September; betrifft die Legacy-Expression-Engine). Die Entwicklung seit September behandelt der Beitrag n8n Sicherheitsupdate September 2026.
Bei Activepieces war die kritische Meldung GHSA-m992-8rcw-vmrx ein ohne Authentifizierung erreichbares Queue-Dashboard (Bull-Board, 9. August, betroffen 0.80.0 bis 0.84.0 bei aktiviertem Dashboard, behoben in 0.84.1). Als high eingestuft sind (nach GitHub; der CNA-Datensatz von CVE-2026-48499 nennt critical) CVE-2026-48499 (Zugriff auf Daten anderer Mandanten und Code-Injection über den Sandbox-Cache der Code-Pieces, vor 0.84.0), CVE-2026-73081 (Command Injection im Namen eines Code-Steps, behoben in 0.80.0) und CVE-2026-73083 (Ausbruch aus der V8-Isolate-Sandbox, 0.80.0).
Einordnung. Die Zahlen sind ohne Bezug auf Größe, Angriffsfläche und Meldekultur nicht vergleichbar, und 0 Advisories bei Node-RED heißt nicht, dass Node-RED-Installationen sicher sind: Die Sicherheit hängt dort an dem abgesicherten Editor und an den eingesetzten Community-Nodes. In den genannten Beispielen bei n8n und Activepieces wiederholen sich zwei Muster: Ausbrüche aus Sandboxes bei der Codeausführung und Rechteprobleme zwischen Projekten oder Mandanten (keine vollständige Häufigkeitsanalyse). Nach unserer Einschätzung zählt für den Betrieb ein geregeltes Update-Verfahren, unabhängig vom Werkzeug.
Lässt sich ein n8n-System migrieren
Nach unserer Recherche am 5. November 2026 haben wir keinen offiziellen Importer von n8n nach Activepieces oder Node-RED gefunden; Activepieces schreibt selbst, dass es n8n-Workflows nicht importiert oder konvertiert. Node-RED importiert eigene Flow-JSON-Dateien. Drittanbieter-Konverter haben wir nicht geprüft und empfehlen sie nicht.
Was sich nach unserer Recherche nicht automatisch überträgt:
- die Workflow-Logik, weil Datenmodell und Ausdrücke verschieden sind (n8n-Items und
{{ $json... }}, Activepieces-Step-Referenzen, Node-RED-msg-Objekte) - Zugangsdaten: n8n kann sie per CLI auch entschlüsselt exportieren (Klartext, sorgfältig behandeln); ein automatischer Import ins Zielwerkzeug ist nicht dokumentiert, die Zielkonfiguration muss angepasst werden
- Ausführungshistorie, Trigger-Zustände, Variablen, Rollen, Projekte und Community-Nodes: ein dokumentierter Standardtransfer ist uns nicht bekannt
- Webhook-URLs: Aufrufer müssen in der Regel umgestellt werden, sofern keine Weiterleitung die alten URLs erhält
Ein praktischer Weg in sechs Schritten:
- Workflows inventarisieren: Trigger, angebundene Systeme, Datenmengen, Code-Nodes, Community-Nodes.
- Jeden n8n-Node einem Activepieces-Piece oder Node-RED-Node zuordnen; fehlende Integrationen können oft, aber nicht immer (Protokoll, Authentifizierung), über das HTTP-Piece beziehungsweise den HTTP-Request-Node abgebildet werden.
- Den n8n-Export (Workflow-JSON über CLI oder API) als Dokumentation der Logik sichern.
- Flows im Zielwerkzeug neu aufbauen und Zugangsdaten dort anlegen.
- Parallelbetrieb mit Weiterleitung der Webhooks, bis die Ergebnisse übereinstimmen.
- Ausführungsdaten archivieren, soweit sie gebraucht werden, denn ein dokumentierter Standardimport ins Zielwerkzeug fehlt.
Wer nur aus Lizenzgründen wechselt, sollte vorher prüfen, ob eine Klärung mit dem Hersteller oder die Anpassung des Betriebsmodells (zum Beispiel Installation auf dem Kundenserver) den Wechsel erspart.
Was bedeutet das bei einem Dienstleister
Wer eine Automatisierungsplattform von einem Dienstleister betreiben lässt, sollte drei Fragen vorab klären:
- Wer baut Workflows? Bauen nur der Dienstleister und Ihre eigenen Mitarbeitenden, spricht das für eine Nutzung im Rahmen der FAQ; zusätzlich zählen Infrastruktur, Vertragsverhältnis und Kundenzugriff. Sollen externe Parteien den Editor nutzen, ist das in der Regel nicht abgedeckt (Ausnahmen für zeitlich begrenzte Schulungen nennt die FAQ).
- Wo läuft die Instanz? Auf Ihrer Infrastruktur oder auf der des Dienstleisters. Die Lizenz-FAQ unterscheidet zwischen der Installation beim Kunden und dem Hosting.
- Welche Funktionen werden gebraucht? SSO, Git, Environments und externe Secrets setzen bei n8n einen Lizenzschlüssel voraus, der zusätzlich zu den Betriebskosten anfällt.
Die dedizierte Instanz je Kunde, die ein Dienstleister hostet, ist wie oben beschrieben ein Grenzfall, den die FAQ nicht eindeutig regelt. Der Hersteller nennt dafür ein Partnerprogramm in Entwicklung und [email protected] als Ansprechpartner. Wir leiten daraus keine Aussage ab. Für Activepieces und Node-RED entfällt diese Frage für den jeweiligen Community-Kern, bei Activepieces bleibt sie für die ee-Funktionen.
Verbreitete Irrtümer
- „n8n ist Open Source.“ Nein, der Hersteller nennt sich selbst nicht so. Der Quellcode ist einsehbar, die Nutzung ist durch die Sustainable Use License begrenzt.
- „Selbst gehostet heißt kostenlos für alles.“ Nein. Funktionen mit
.ee(n8n) beziehungsweise imee-Verzeichnis (Activepieces) brauchen eine Lizenz, und bei n8n gelten Grenzen für das Hosting für Dritte. - „Activepieces ist komplett MIT.“ Nur der Community-Teil. Die Enterprise-Verzeichnisse stehen unter einer kommerziellen Lizenz.
- „Node-RED ersetzt n8n 1:1.“ Nein, die Aufgaben unterscheiden sich: Geräte- und Protokollflüsse gegenüber Prozess- und SaaS-Integration.
- „Workflows lassen sich exportieren und importieren.“ Nach unserer Recherche nicht automatisch zwischen den Werkzeugen. Der Export dokumentiert die Logik, aufgebaut wird neu.
- „Keine Advisories heißt sicher.“ Nein. Node-RED veröffentlichte im Zeitraum keine, trotzdem hängt die Sicherheit am Editor-Zugang und an den Community-Nodes.
Stand und Methodik
Stand: 5. November 2026. Datenbasis sind die LICENSE-Dateien der drei Repositories, die Lizenz-FAQ und Community-Lizenzseite von n8n, die Dokumentation und Preisseiten der Hersteller, die GitHub-API (Releases, Sterne, veröffentlichte Security Advisories im Zeitraum 5. Mai bis 5. November 2026) und die Integrationsverzeichnisse der Hersteller. Lizenztexte sind wörtlich zitiert, die Einordnung ist keine Rechtsberatung. Stellen, an denen wir etwas nicht geprüft haben, sind im Text genannt: die Nutzergrenzen und das Credit-Modell von Activepieces bei Selbst-Hosting sowie Drittanbieter-Konverter. Preisseite und Dokumentation von n8n weichen bei Projects, Rollen und Admin-Rechten voneinander ab; wir folgen der Dokumentation und nennen die Unterschiede. Den Queue Mode führen beide Seiten an unterschiedlicher Stelle (Preisseite unter Business, Dokumentation in der Community Edition); das ist eine unterschiedliche Darstellung, die wir nicht als Widerspruch werten. Aussagen, die mit „nach unserer Einschätzung“ eingeleitet sind, sind eigene Bewertungen und keine Herstellerangaben. Sterne ändern sich täglich. Preise sind Herstellerangaben, bei n8n ohne Angabe zu netto oder brutto.
Unser Vorgehen bei WZ-IT
Zu n8n bieten wir Installation, Konfiguration, Workflow-Entwicklung, Backups und laufenden Betrieb an, im jeweils abgestimmten Lizenz- und Betriebsumfang. Für Managed Hosting, Enterprise-Funktionen oder abweichende Nutzungsmodelle prüfen wir die erforderliche Herstellervereinbarung und beziehen sie auf Wunsch in das Angebot ein. Zu Node-RED bieten wir Installation, Managed Hosting und Betrieb sowie Flow- und Node-Entwicklung an. Activepieces gehört nicht zu unserem Angebot.
Bei einer Anfrage zu einem Wechsel gehen wir so vor:
- Ziel klären: Prozessautomatisierung oder Geräte- und Protokollflüsse, wer Workflows baut, wer Zugang erhält.
- Lizenzlage einordnen: Wortlaut der Herstellerlizenz gegen das Betriebsmodell halten, Grenzfälle benennen und mit dem Hersteller klären. Eine Rechtsberatung leisten wir nicht.
- Bestand erfassen: Workflows, Trigger, Systeme, Code- und Community-Nodes.
- Betrieb planen: Datenbank, Queue, Secrets, Updates, Backups und Absicherung des Editors.
- Umstellung begleiten: Neuaufbau, Parallelbetrieb, Abschaltung der alten Instanz.
Monitoring erfolgt 24/7, die Reaktion auf P1-Incidents erfolgt entsprechend Service Level. Mehr zum Betrieb: Managed Operations Support.
Unsicher, ob Ihr Betriebsmodell zur n8n-Lizenz passt oder ob eine Alternative die bessere Wahl ist? Wir ordnen Einsatzzweck, Lizenzlage und Betrieb mit Ihnen ein. n8n-Seite ansehen · Erstgespräch buchen (unverbindlich und kostenlos)
Weiterführende Guides
- Node-RED-Editor ohne adminAuth: CVE-2026-58115 (Siemens IoT2050) - warum der Node-RED-Editor ohne Anmeldung angegriffen wird
- Dify, Flowise, Langflow und n8n im Vergleich
- n8n Sicherheitsupdate September 2026
- n8n Installation auf Ubuntu 24.04 mit Caddy
- n8n Hosting und Betrieb
- Node-RED Hosting und Betrieb
Quellen
- n8n: LICENSE.md (Sustainable Use License 1.0)
- n8n: LICENSE_EE.md (Enterprise License)
- n8n Docs: Community License
- n8n Docs: License FAQ
- n8n: Preise
- n8n: Integrationen
- n8n Docs: Funktionen der Community Edition
- n8n Docs: Datenbank wählen
- n8n Docs: Breaking Changes in Version 3.0
- n8n Docs: Migrationsbericht für Version 3.0
- n8n: Security Advisories
- n8n: Releases
- n8n Docs: Kommandozeile (Export)
- n8n Docs: Performance messen (Benchmark)
- Node-RED: LICENSE
- Node-RED: package.json
- Node-RED Docs: Getting started
- Node-RED Docs: Securing Node-RED
- Node-RED Docs: Projects
- Node-RED Docs: Logging
- Node-RED: Flow-Library
- Node-RED: Releases
- Node-RED: Security Advisories
- FlowFuse: LICENSE
- FlowFuse: Preise
- Activepieces: LICENSE
- Activepieces: Enterprise-Lizenz (packages/ee/LICENSE)
- Activepieces Docs: License
- Activepieces: Preise
- Activepieces: Pieces
- Activepieces: Security Advisories
- Activepieces: Releases
- Activepieces: Produktions-Setup
- Activepieces: Breaking Changes
- Activepieces Docs: Rollback
- Activepieces Blog: n8n Free Plan, Community Edition und Cloud













