Runlayer

Was es ist

Runlayer ist ein gemanagtes MCP-Gateway und eine Control Plane für Agents. Jede MCP-Anfrage aus Claude, Cursor, ChatGPT, Codex oder einem internen Agent läuft durch ein Single-Tenant-Gateway auf AWS – von Runlayer gehostet oder in Ihr eigenes Konto deployt –, das den Aufrufer gegen Ihren Identity Provider authentifiziert, die Policy prüft, den Aufruf scannt und ihn in ein Audit-Log schreibt. Um dieses Gateway herum liegen vier Bausteine, die Käufer tatsächlich bewerten: ein Katalog vorab geprüfter MCP-Server, aus dem Mitarbeitende wie aus einem Okta-App-Launcher wählen, ToolGuard und AgentGuard für Bedrohungserkennung zur Laufzeit, Shadow-AI-Discovery für Server und Plugins, die Leute eigenmächtig installiert haben, und Session Recording, das Prompts, Tool-Aufrufe und Berechtigungsentscheidungen mitschneidet.

Das Unternehmen kam am 17. November 2025 aus dem Stealth-Modus, mit einer Seed-Runde über 11 Mio. $, angeführt von Keith Rabois bei Khosla Ventures und Felicis, und kündigte am 24. Juni 2026 eine Series A über 30 Mio. $ an, angeführt von Felicis mit Khosla – insgesamt 42 Mio. $. CEO Andy Berman gründete zuvor Vowel, 2024 an Zapier verkauft; die Mitgründer Tal Peretz und Vitor Balocco kommen von Zapier. MCP-Miterfinder David Soria Parra ist Angel-Investor. Zu den genannten Kunden gehören Instacart, Gusto, Opendoor, dbt Labs, AngelList, Decagon und Lemonade.

Die Frage, die es beantwortet

„Unsere Teams verbinden Claude und Cursor auf eigene Faust mit MCP-Servern – was regelt, welche Tools Agents aufrufen dürfen, und wer auditiert das?“ Die Antwort von Runlayer ist eine vom Anbieter betriebene Control Plane statt einer Infrastruktur, die Sie selbst zusammensetzen. Okta- und Entra-Gruppen synchronisieren über SSO und SCIM, sodass der Zugriff auf einen Salesforce- oder Slack-MCP-Server derselben Gruppenmitgliedschaft folgt wie die App selbst. Audit-Logs werden fortlaufend nach S3 exportiert, zur Aufnahme in Splunk, Sentinel oder CrowdStrike, Telemetrie geht an Datadog und Honeycomb. Die Plattform ist nach SOC 2 Type II und HIPAA zertifiziert.

Die Erkennungsschicht unterscheidet sie von einem reinen Gateway. ToolGuard ist eine Reihe von ML-Modellen, die Tool-Definitionen, Aufrufe und Ausgaben auf Tool Poisoning, Prompt Injection, Zugangsdaten und unsichtbare Zeichen scannen, laut Anbieter mit 50-100 ms Inferenz pro Aufruf. AgentGuard überwacht die gesamte Session auf Abweichungen. Beim Launch von OpenClaw for Enterprise im Februar 2026 meldete Runlayer, ToolGuard habe die Resistenz gegen Prompt Injection von einer Baseline von 8,7 % auf 95 % gehoben – ein Benchmark des Anbieters, kein unabhängiger. Die Discovery läuft über einen per MDM verteilten Endpoint-Agent, der nicht verwaltete MCP-Server auf Laptops findet.

Preise in der Praxis

Es gibt keinen öffentlichen Preis. runlayer.com/pricing liefert einen 404, jeder Deal beginnt mit einer Demo, und es gibt weder einen kostenlosen Tarif noch eine Self-Service-Registrierung. Runlayer verkauft eine Plattformgebühr, die nach Deployment-Größe und Funktionsumfang bemessen wird, nicht pro Seat – das erklärte Ziel ist, dass Adoption nicht pro Kopf besteuert wird. Das Listing im AWS Marketplace ist ein 12-Monats-Vertrag, dessen einzige Dimension eine Obergrenze von 5.000.000 $ plus 20 $ pro Überschreitungseinheit trägt; behandeln Sie das als Platzhalter für ein Private Offer, nicht als Angebot. Der praktische Nutzen: Ein Kauf über den Marketplace kann auf eine bestehende AWS-Ausgabenzusage angerechnet werden.

Zur Einordnung: Obot ist unter MIT kostenlos, wenn Sie das Kubernetes selbst betreiben, und TrueFoundry veröffentlicht einen Pro-Plan für 499 $ im Monat, der 25 MCP-Server abdeckt. Runlayer ist als Enterprise-Security-Software bepreist, oberhalb von beiden. Planen Sie es als Posten für eine Security-Plattform ein und rechnen Sie damit, dass sich das Angebot mit der Zahl der Clients und Server im Scope bewegt.

Am besten für

Die IT- oder Security-Leitung in einem Unternehmen mit 500 bis 5.000 Mitarbeitenden, in dem Claude Code, Cursor und ChatGPT bereits täglich im Einsatz sind und MCP-Server schneller entstehen, als jemand sie prüfen kann. Der konkrete Fall, in dem Runlayer gewinnt: RevOps- und Support-Teams, die per MCP auf Salesforce, Slack und Notion zugreifen, ein Security-Team, das jeden Tool-Aufruf an eine Okta-Identität gebunden und ins SIEM geliefert braucht, und kein Platform Engineer, der ein selbst gehostetes Gateway betreiben könnte.

Nicht für

Ein Team unter etwa 50 Personen oder alle, die einen Preis sehen wollen, bevor sie mit dem Vertrieb sprechen. Es ist auch die falsche Wahl, wenn Ihr Security-Review Closed-Source-Software im Anfragepfad ablehnt oder wenn Sie nicht auf AWS laufen – sowohl das gehostete als auch das selbst gehostete Deployment von Runlayer basieren auf AWS, wobei der Runlayer Operator zusätzlich kundenverwaltete EKS- oder GKE-Cluster abdeckt.

Im Vergleich zu den Alternativen

• Obot – MIT-lizenziert, selbst gehostet, eine Policy für Tool-Aufrufe und Modellaufrufe. Wählen Sie es, wenn Sie Kubernetes-Know-how haben und die Anforderung lautet, dass kein Anbieter im Pfad der Zugangsdaten sitzt. Sie verzichten auf ML-Bedrohungserkennung und Endpoint-Discovery.
• Docker MCP Gateway – die breiteste Verbreitung in der Kategorie, ausgeliefert im MCP Toolkit von Docker Desktop. Wählen Sie es für sichere lokale Ausführung auf Entwicklerrechnern. Es beantwortet nicht, welcher Mitarbeitende diesen Schreibzugriff unternehmensweit autorisiert hat.
• Amazon Bedrock AgentCore Gateway – die Hyperscaler-Option, die APIs und Lambda-Funktionen innerhalb von AWS in MCP-Tools verwandelt. Wählen Sie es, wenn Ihre Agents auf Bedrock gebaut sind und IAM das Identitätsmodell ist, dem Sie bereits vertrauen.
• Rippling AI Governance – der sich am schnellsten bewegende Neueinsteiger: MCP-Gateway, AI-Gateway, Agent-Identität und Shadow-AI-Erkennung, gestartet im August 2026, direkt nachdem Runlayer und Rippling ihre gegenseitigen Klagen am 19. August ohne Vergleich zurückgezogen hatten. Wählen Sie es, wenn Rippling bereits Ihr HRIS ist und der Zugriff Rolle und Beschäftigungsstatus folgen soll, ohne einen weiteren Anbieter.
• Composio oder Arcade – gemanagtes Tool-Auth mit großen Integrationskatalogen. Wählen Sie sie, wenn das Ziel Agents sind, die in diesem Quartal in Hunderte von SaaS-Apps schreiben, und nicht die Governance der Tools, die Mitarbeitende schon angebunden haben.

Wenn die eigentliche Sorge Shadow AI in SaaS-Copilots ist und nicht MCP-Traffic, sehen Sie sich zuerst Zenity oder WitnessAI an.

Worauf Sie achten sollten

• Closed Source, vom Anbieter betrieben und im Pfad jedes Agent-Aufrufs. Ein Ausfall oder eine Preisänderung bei Runlayer trifft jeden Agent im Unternehmen. Absicherung: Nehmen Sie das selbst gehostete Deployment in Ihrem eigenen AWS-Konto, wenn Ihr Team es betreiben kann, lassen Sie sich Uptime-SLA und Datenexport-Bedingungen schriftlich geben und halten Sie einen dokumentierten Bypass für kritische MCP-Server bereit.
• Beta-Komponenten in der Dokumentation. Regeln für menschliche Freigaben sind als Beta markiert und lassen sich noch nicht auf bestimmte Ressourcen einschränken; das LLM-Gateway ist im Early Access; selbst gehostetes ToolGuard braucht GPU-Kapazität. Absicherung: Listen Sie vor dem Pilot die genauen Kontrollen auf, die Ihre Policy verlangt, und testen Sie jede ausschließlich gegen GA-Funktionen.
• Der Marktführer der Kategorie steht noch nicht fest. Rippling bündelt jetzt ein konkurrierendes Gateway in seine HR-Plattform, und Okta, Microsoft und AWS liefern bereits Funktionen für Agent-Identitäten. Absicherung: Unterschreiben Sie 12 Monate, nicht 36, deckeln Sie die Preiserhöhung bei der Verlängerung und stellen Sie sicher, dass Audit-Logs in einem Format exportiert werden, das Ihr SIEM nach einem Wechsel behält.
• Erkennungs-Benchmarks vom Anbieter selbst. Die 95 % Injection-Resistenz sind Runlayers eigene Zahl. Absicherung: Führen Sie im Pilot ein Red-Teaming von ToolGuard mit Ihren eigenen vergifteten Tool-Beschreibungen durch und verfolgen Sie zwei Wochen lang die False-Positive-Rate auf echtem Traffic, bevor Sie das Blockieren einschalten.