Was ist Langflow?
Langflow ist ein Drag-and-Drop-Editor, mit dem du KI-Agenten und RAG-Pipelines aus Komponenten wie Modellen, Prompts, Vector Stores und Tools baust. Jeder Flow lässt sich als API aufrufen oder als MCP-Server bereitstellen, und du kannst den Python-Code hinter jeder Komponente bearbeiten. Version 1.13.0, erschienen am 22. Oktober 2026, brachte zeitgesteuerte und Webhook-Trigger sowie eine API zur Team- und Nutzerverwaltung.
DataStax kaufte Langflow 2024, und IBM schloss den Kauf von DataStax im Mai 2025 ab. Der gehostete Dienst DataStax Langflow wurde am 9. April 2026 eingestellt und seine Daten gelöscht. Heute hostest du Langflow also selbst mit Docker oder Kubernetes oder nutzt Langflow Desktop.
Die Sicherheitsbilanz 2026 ist schlecht: bisher 33 GitHub-Advisories in diesem Jahr, 16 davon als kritisch eingestuft, und eine Lücke zur Codeausführung ohne Authentifizierung (CVE-2026-33017) wurde innerhalb von 20 Stunden nach der Offenlegung ausgenutzt und in die Liste Known Exploited Vulnerabilities der CISA aufgenommen.
Lohnt sich Langflow?
Langflow ist ein starkes Entwicklerwerkzeug mit einer Sicherheitsbilanz, die verändern sollte, wie du es betreibst. Seit Flowise im August 2026 archiviert wurde, ist es der wichtigste vollständig quelloffene visuelle Builder, und anders als bei Dify bringt seine MIT-Lizenz keine Zusatzbedingungen mit. Es hat rund 156.000 GitHub-Sterne und veröffentlicht etwa jede Woche ein Release.
Entwickler schätzen, dass jede Komponente bearbeitbarer Python-Code ist, dass Flows zugleich als MCP-Clients und MCP-Server arbeiten und dass derselbe Flow headless als API läuft. Version 1.13 bringt Zeitplan-, Webhook- und Slack-Trigger, Schutzmechanismen für die Bearbeitung durch mehrere Nutzer und eine API zur Teamverwaltung, und SSO funktioniert jetzt über einen externen OIDC-Proxy wie Keycloak. Echte rollenbasierte Zugriffskontrolle bleibt im Vergleich zu kommerziellen Buildern dünn.
Das Sicherheitsbild ist der Grund für die niedrigere Bewertung. GitHub listet für Langflow 2026 33 Advisories, 16 davon kritisch, viele davon Codeausführung über Komponenten, die Python oder MCP-stdio-Befehle ausführen. CVE-2026-33017, ein Fehler zur Codeausführung ohne Authentifizierung im öffentlichen Flow-Build-Endpunkt, wurde laut Sysdig innerhalb von 20 Stunden nach der Offenlegung ausgenutzt. Die Angreifer hatten es auf die in Flows gespeicherten Keys für OpenAI, Anthropic und AWS abgesehen; JFrog stellte fest, dass der erste angebliche Fix in 1.8.2 weiter ausnutzbar war. Es ist nach CVE-2025-3248 der zweite Langflow-Fehler auf der Liste ausgenutzter Lücken der CISA.
Der gehostete DataStax-Dienst schloss am 9. April 2026 und löschte die verbliebenen Daten. Übrig bleiben Self-Hosting oder eine IBM-Vereinbarung ohne Preisangabe. Dify ist für nicht technische Verantwortliche ausgereifter, und n8n ist für Geschäftsautomatisierung das sicherere Terrain, aber keines von beiden lässt eine Python-Entwicklerin so in jeden Knoten greifen wie Langflow.
Wo es sich lohnt
Ein Python-Entwickler bei einer Agentur mit 30 Leuten, der Chatbots für Kunden prototypisiert
Eine RAG-Pipeline visuell verdrahten und Kunden dann eine API übergeben
Baue den Flow auf dem Canvas, passe Komponenten in Python an und rufe ihn über die REST-API oder als MCP-Server auf. Auf einer kleinen VM kostenlos zu betreiben, aber halte ihn in einem privaten Netz und aktualisiere wöchentlich, angesichts von 16 kritischen Advisories 2026.
Ein Plattformteam bei einer Bank, das interne Agenten-Builder bewertet
Fachbereichen einen visuellen Builder auf freigegebener Infrastruktur anbieten
Betreibe die headless Runtime auf Kubernetes (die Doku empfiehlt mindestens 2 GB RAM und eine CPU pro Pod, drei Replicas) mit externem PostgreSQL und SSO über einen OIDC-Proxy. Plane Zeit für Sicherheitsprüfungen ein: Mehrere Advisories aus 2026 erlaubten authentifizierten Nutzern, Betriebssystembefehle auszuführen oder die Flows anderer Nutzer zu lesen.
Eine Data Engineerin, die die Sortierung von Dokumenten automatisiert
Einen geplanten Flow ausführen, der eingehende Dateien klassifiziert und weiterleitet
Die Zeitplan- und Webhook-Trigger aus Version 1.13 machen einen externen Cron überflüssig. Kosten entstehen für den Host plus LLM-Aufrufe; jede Komponente, die URLs abruft, sollte geprüft werden, denn ein SSRF-Advisory zeigte, dass der Schutz vor 1.10.3 standardmäßig nur warnte.
Bevor du dich festlegst
- Einrichtung
- uv pip install langflow (Python 3.10 bis 3.14) und langflow run, das Docker-Image oder Langflow Desktop. Paketierte Releases deaktivieren den Auto-Login standardmäßig; setze LANGFLOW_SUPERUSER_PASSWORD. Für die Produktion wird die headless Runtime auf Kubernetes empfohlen, mit mindestens 2 GB RAM und einer CPU pro Pod, drei Replicas und externem PostgreSQL.
- Integrationen
- Hunderte Komponenten für Modellanbieter, Vector Stores und Tools; Flows, die über REST oder als MCP-Server bereitstehen und selbst MCP-Server aufrufen können; Verbindungspakete für Slack, Google Workspace und Microsoft; Zeitplan- und Webhook-Trigger ab 1.13.
- Daten und Datenschutz
- Beim Self-Hosting liegen Flows und gespeicherte API-Keys in deiner Datenbank, was eine offen erreichbare Instanz zum Ziel für Zugangsdaten macht. Telemetrie zu Flow-Läufen, Komponenten und Umgebung wird standardmäßig über Segment gesendet (Prompts und Freitext ausgenommen); setze DO_NOT_TRACK=True. 33 GitHub-Advisories 2026, 16 kritisch, darunter das von der CISA gelistete CVE-2026-33017.
- Kosten im großen Maßstab
- MIT, keine Lizenzgebühr. Eine Produktions-Runtime aus drei Replicas mit je 2 GB und 1 CPU plus eine PostgreSQL-Instanz mit rund 4 GB und 2 CPUs passt in einen kleinen Kubernetes-Cluster; die größeren Kosten sind Modellaufrufe und die Engineering-Zeit für wöchentliche Patches. Enterprise-Support läuft über IBM, ohne Preisangabe.
- Grenzen
- 1.220 offene Issues und Pull Requests. Häufige Releases mit Sicherheitsfixes machen es riskant, eine alte Version festzuschreiben. Die rollenbasierte Zugriffskontrolle ist begrenzt, Komponenten, die Python ausführen, sind eine dauerhafte Angriffsfläche für Codeausführung, und eine gehostete Option gibt es nicht.
Was gut ist
- MIT-Lizenz ohne Zusatzbedingungen
- Jede Komponente ist bearbeitbarer Python-Code
- Flows laufen als APIs, MCP-Server oder geplante Jobs
- Wöchentliche Releases
Was nicht
- 33 Sicherheits-Advisories 2026, 16 kritisch, eines in freier Wildbahn ausgenutzt
- SSO nur über einen externen OIDC-Proxy; dünne rollenbasierte Zugriffskontrolle
- Seit April 2026 keine Managed Cloud
- Produktion braucht PostgreSQL und mehrere Replicas
Am besten für
Entwickler, die Agenten und RAG-Pipelines prototypisieren und einen visuellen Editor mit freizügiger Lizenz wollen.
Alternativen zu Langflow
Langflow: häufige Fragen
- Lohnt sich Langflow?
- Langflow ist der leistungsfähigste vollständig MIT-lizenzierte visuelle Agenten-Builder, der noch übrig ist, und zugleich einer der meistangegriffenen. Behandle also jede Instanz als etwas, das wöchentlich gepatcht und nie direkt erreichbar gemacht wird. Wir bewerten es mit 3.8 von 5.
- Was kostet Langflow?
- Kostenlos und Open Source (MIT). Seit April 2026 keine offizielle gehostete Cloud; der Enterprise-Weg führt über IBM, ohne veröffentlichten Preis.
- Welche Nachteile hat Langflow?
- 33 Sicherheits-Advisories 2026, 16 kritisch, eines in freier Wildbahn ausgenutzt; SSO nur über einen externen OIDC-Proxy; dünne rollenbasierte Zugriffskontrolle; Seit April 2026 keine Managed Cloud; Produktion braucht PostgreSQL und mehrere Replicas.
- Für wen eignet sich Langflow?
- Entwickler, die Agenten und RAG-Pipelines prototypisieren und einen visuellen Editor mit freizügiger Lizenz wollen.
- Was kostet Langflow für ein Team oder im Produktivbetrieb?
- MIT, keine Lizenzgebühr. Eine Produktions-Runtime aus drei Replicas mit je 2 GB und 1 CPU plus eine PostgreSQL-Instanz mit rund 4 GB und 2 CPUs passt in einen kleinen Kubernetes-Cluster; die größeren Kosten sind Modellaufrufe und die Engineering-Zeit für wöchentliche Patches. Enterprise-Support läuft über IBM, ohne Preisangabe.
- Ist Langflow sicher für Firmendaten?
- Beim Self-Hosting liegen Flows und gespeicherte API-Keys in deiner Datenbank, was eine offen erreichbare Instanz zum Ziel für Zugangsdaten macht. Telemetrie zu Flow-Läufen, Komponenten und Umgebung wird standardmäßig über Segment gesendet (Prompts und Freitext ausgenommen); setze DO_NOT_TRACK=True. 33 GitHub-Advisories 2026, 16 kritisch, darunter das von der CISA gelistete CVE-2026-33017.
- Was sind die besten Alternativen zu Langflow?
- Die nächsten Alternativen, die wir getestet haben, sind Dify und n8n.
Antworten geprüft am 26. Okt. 2026.