Zum Hauptinhalt springen

Website-Schutz

Ihre Unternehmenswebsite ist rund um die Uhr dem Internet ausgesetzt. Jeden Tag wird sie von automatisierten Scans nach Schwachstellen durchsucht, von Bots, die Inhalte scrapen oder Logins per Brute-Force angreifen, und gelegentlich von gezielten Attacken. Die meisten Websites kleiner Unternehmen haben null Schutz über das hinaus, was der Hosting-Anbieter bietet — und das ist meist nichts.

Cloudflare sitzt zwischen Ihrer Website und dem Internet. Der gesamte Traffic fließt zuerst durch ihr Netzwerk, wo Bedrohungen gefiltert werden, bevor sie Ihren Server erreichen. Das Bemerkenswerte: Der kostenlose Tarif enthält Schutz, dessen Eigenimplementierung Tausende von Euro kosten würde.

Die Einrichtung dauert etwa 30 Minuten. Sie ändern Ihre DNS-Nameserver, konfigurieren einige Einstellungen, und Ihre Website ist geschützt.

Was Sie sofort erhalten (kostenloser Tarif)

Wenn Sie Ihre Website hinter Cloudflare schalten, erhalten Sie sofort:

DDoS-Mitigation

Traffic-Fluten, die Ihren Server überlasten würden, werden vom Netzwerk von Cloudflare absorbiert. Sie bewältigen Angriffe im Terabit-pro-Sekunde-Bereich — Ihr 1-Gbit/s-Server-Link spielt keine Rolle, weil der Angriff ihn gar nicht erst erreicht. Dieser Schutz ist unlimitiert. Keine Bandbreitenbeschränkungen, keine Extrakosten während eines Angriffs.

SSL/TLS-Zertifikate

Kostenloses SSL-Zertifikat für Ihre Domain. Besucher sehen das Schloss-Symbol, der Traffic wird verschlüsselt. Cloudflare übernimmt die Zertifikatsausstellung und -erneuerung automatisch. Mit einem Schalter können Sie HTTPS für Ihre gesamte Website erzwingen.

Web Application Firewall (WAF)

Grundschutz gegen häufige Webangriffe:

  • SQL-Injection-Versuche
  • Cross-Site-Scripting (XSS)
  • Bekannte Schwachstellen-Exploits

Der kostenlose Tarif enthält verwaltete Regelsätze, die Cloudflare aktualisiert, wenn neue Bedrohungen auftauchen. Außerdem erhalten Sie 5 benutzerdefinierte Firewall-Regeln für Ihre spezifischen Bedürfnisse.

Bot-Schutz

Der Bot Fight Mode fordert automatisierten Traffic heraus. Scraper, Credential-Stuffing-Bots und Schwachstellen-Scanner werden blockiert oder herausgefordert. Legitime Besucher und Suchmaschinen-Crawler passieren.

CDN und Caching

Ihre statischen Inhalte (Bilder, CSS, JavaScript) werden auf den Edge-Servern von Cloudflare weltweit gecacht. Ein Besucher in Singapur wartet nicht auf Ihren Server in Frankfurt — er erhält gecachte Inhalte von einem nahegelegenen Cloudflare-Standort. Schnellere Ladezeiten, weniger Last auf Ihrem Server.

Sicherheits-Header

Cloudflare kann Sicherheits-Header automatisch hinzufügen:

  • HSTS (HTTPS erzwingen)
  • X-Content-Type-Options
  • X-Frame-Options

Diese schützen vor häufigen browserbasierten Angriffen, ohne Ihren Anwendungscode zu ändern.

Analysen und Transparenz

Sehen Sie, wer Ihre Website besucht, woher sie kommen und welche Bedrohungen blockiert werden. Das kostenlose Dashboard zeigt Traffic-Muster, Sicherheitsereignisse und Leistungsmetriken.

Kostenloser Tarif vs. bezahlt: Was ist der wirkliche Unterschied?

FunktionKostenlosPro (20 $/Monat)Business (200 $/Monat)
DDoS-MitigationUnlimitiertUnlimitiertUnlimitiert
SSL-ZertifikateGeteiltDediziertDediziert + benutzerdefiniert
WAF-verwaltete RegelnGrundlegendMehr RegelnVollständiger Regelsatz
Benutzerdefinierte Firewall-Regeln520100
Rate Limiting1 Regel10 Regeln
Bot-ErkennungGrundlegendBesserErweitert
Bildoptimierung
Seiten-Regeln32050
SupportCommunityE-MailPriorität
Cache-AnalysenGrundlegendDetailliertErweitert
API Shield

Für die meisten Websites kleiner Unternehmen reicht der kostenlose Tarif. Upgraden, wenn Sie Folgendes benötigen:

  • Rate Limiting (Brute-Force-Schutz für Logins)
  • Mehr benutzerdefinierte Firewall-Regeln
  • Bessere Bot-Erkennung
  • E-Mail-Support

Cloudflare einrichten

Schritt 1: Ihre Website hinzufügen

  1. Konto erstellen bei cloudflare.com
  2. Auf „Add a Site" klicken
  3. Ihre Domain eingeben
  4. Kostenlosen Tarif auswählen

Cloudflare scannt Ihre aktuellen DNS-Einträge automatisch.

Schritt 2: DNS-Einträge überprüfen

Cloudflare importiert Ihre vorhandenen DNS-Einträge. Für jeden Eintrag wählen Sie:

Proxied (orangefarbene Wolke) — Traffic läuft durch Cloudflare, erhält Schutz und Caching.

Nur DNS (graue Wolke) — Nur DNS-Auflösung, keine Cloudflare-Funktionen.

Diese proxyen:

  • Hauptwebsite (A/AAAA-Einträge für @ und www)
  • Webanwendungen
  • APIs, die vom Schutz profitieren

Nicht proxyen:

  • E-Mail (MX-Einträge) — Cloudflare verarbeitet keine E-Mails
  • SSH-Zugang — Stattdessen Cloudflare Access verwenden oder als DNS-only belassen
  • Dienste, die eine direkte IP-Verbindung erfordern

Schritt 3: Nameserver ändern

Cloudflare stellt zwei Nameserver bereit. Gehen Sie zu Ihrem Domain-Registrar und ersetzen Sie Ihre aktuellen Nameserver durch die von Cloudflare.

RegistrarStandort
GoDaddyMy Products → DNS → Nameservers
NamecheapDomain List → Manage → Nameservers
Google DomainsDNS → Custom nameservers
Cloudflare RegistrarBereits gesetzt

Die Propagierung dauert Minuten bis 48 Stunden (normalerweise unter 2 Stunden).

Schritt 4: SSL konfigurieren

Wählen Sie in den SSL/TLS-Einstellungen den Verschlüsselungsmodus:

Off — Keine Verschlüsselung. Verwenden Sie das nicht.

Flexible — HTTPS vom Besucher zu Cloudflare, HTTP von Cloudflare zu Ihrem Server. Nur verwenden, wenn Ihr Server kein HTTPS unterstützt.

Full — HTTPS überall, aber Cloudflare verifiziert das Zertifikat Ihres Servers nicht.

Full (Strict) — HTTPS überall mit Zertifikatsverifizierung. Verwenden Sie das. Wenn Ihr Server Let's Encrypt oder ein anderes gültiges Zertifikat hat, ist das die richtige Wahl.

Schritt 5: Sicherheitsfunktionen aktivieren

Security → Settings:

  • Security Level: Medium (fordert verdächtige IPs heraus)
  • Challenge Passage: 30 Minuten
  • Browser Integrity Check: An

Security → Bots:

  • Bot Fight Mode: An

SSL/TLS → Edge Certificates:

  • Always Use HTTPS: An
  • Automatic HTTPS Rewrites: An
  • Minimum TLS Version: TLS 1.2

Empfohlene Firewall-Regeln

Im kostenlosen Tarif erhalten Sie 5 benutzerdefinierte Regeln. Verwenden Sie sie weise:

Regel 1: Admin-Bereiche schützen

(http.request.uri.path contains "/admin" or 
http.request.uri.path contains "/wp-admin" or
http.request.uri.path contains "/login")
→ Action: Managed Challenge

Fügt ein CAPTCHA für den Admin-Zugang hinzu. Blockiert automatisierte Angriffe auf Login-Seiten.

Regel 2: Bekannte Angreifer blockieren (optional)

(ip.geoip.country in {"XX" "YY"})
→ Action: Block

Nur wenn Sie wirklich keine Nutzer aus bestimmten Ländern haben. Vorsicht — das blockiert auch echte Menschen.

Regel 3: Verdächtige Anfragen herausfordern

(cf.threat_score gt 10)
→ Action: Managed Challenge

Cloudflare vergibt Threat-Scores an IPs. Besucher von IPs mit schlechtem Ruf herausfordern.

Regel 4: Leere User-Agents blockieren

(http.user_agent eq "")
→ Action: Block

Legitime Browser senden immer User-Agent-Strings. Leere sind meist Bots.

Regel 5: Notfall-Slot

Einen Regel-Slot für Notfälle freihalten. Wenn Sie unter einem Angriff von bestimmten IPs oder Mustern sind, können Sie sofort reagieren.

Was bei einem Angriff passiert

Wenn Ihre Website angegriffen wird:

Automatische Reaktion: Cloudflare erkennt Angriffsmuster und beginnt automatisch zu filtern. Die meisten Angriffe werden gestoppt, ohne dass Sie etwas tun müssen.

Manuelle Reaktion (schwere Angriffe):

  1. Ins Cloudflare-Dashboard einloggen
  2. Zu Security → Settings gehen
  3. „I'm Under Attack Mode" aktivieren

Dadurch wird allen Besuchern eine JavaScript-Challenge hinzugefügt. Dauert 5 Sekunden für Menschen, blockiert die meisten Bots.

Überwachung: Security → Events zeigt alle blockierten Anfragen, Angriffsquellen und Muster.

Über Sicherheit hinaus: Leistungsvorteile

Cloudflare ist nicht nur Sicherheit. Das CDN verbessert die Leistung erheblich:

Globales Edge-Netzwerk Inhalte werden von 300+ Standorten weltweit ausgeliefert. Besucher erhalten Daten von nahegelegenen Servern statt von Ihrem Ursprungsserver.

Automatisches Caching Statische Dateien werden am Edge gecacht. Ihr Server verarbeitet weniger Anfragen.

Komprimierung Brotli- und Gzip-Komprimierung für Textinhalte, automatisch.

HTTP/2 und HTTP/3 Moderne Protokolle standardmäßig aktiviert, auch wenn Ihr Ursprungsserver nur HTTP/1.1 unterstützt.

Minifizierung Automatische JavaScript-, CSS- und HTML-Minifizierung (kann aktiviert werden).

Typische Verbesserung: 30–50 % schnellere Seitenladezeiten, 50–70 % weniger Server-Bandbreite.

Ihren Ursprungsserver schützen

Cloudflare schützt nur Traffic, der durch es fließt. Wenn Angreifer die echte IP Ihres Servers finden, können sie direkt angreifen.

Wie Ursprungs-IPs durchsickern

  • Alte DNS-Einträge (vor Cloudflare)
  • E-Mail-Header (Ihre MX-Einträge könnten auf denselben Server zeigen)
  • Subdomains, die nicht durch Cloudflare proxiert werden
  • Historische DNS-Datenbanken (SecurityTrails usw.)
  • Anwendung, die IP in Headern oder Fehlerseiten offenbart

So schützen Sie sich

Ihren Server mit einer Firewall schützen: Nur Web-Traffic von Cloudflare-IPs akzeptieren. Alles andere auf Ports 80/443 blockieren.

# iptables example - allow only Cloudflare
for ip in $(curl -s https://www.cloudflare.com/ips-v4); do
iptables -A INPUT -p tcp --dport 443 -s $ip -j ACCEPT
done
iptables -A INPUT -p tcp --dport 443 -j DROP

IP nach Aktivierung von Cloudflare wechseln: Wenn Ihre IP vor Cloudflare öffentlich war, fordern Sie eine neue IP von Ihrem Hosting-Anbieter an.

Separate IP für E-Mail verwenden: E-Mail nicht auf derselben IP wie Ihre Website hosten. Einen dedizierten E-Mail-Dienst verwenden.

Header-Sicherheit prüfen: Sicherstellen, dass Ihre Anwendung die Ursprungs-IP nicht in Antworten offenbart.

Website-Schutzdienste im Vergleich

CDN + Sicherheit (wie Cloudflare)

DienstKostenloser TarifBezahlt abGeeignet für
CloudflareJa20 $/MonatBester kostenloser Tarif, meiste Funktionen
FastlyBegrenzt~50 $/MonatDynamische Inhalte, Entwickler
AWS CloudFront + ShieldBasic Shield kostenlosNutzungsbasiert + 3000 $/MonatAWS-Infrastruktur
AkamaiNeinEnterprise-PreiseGroße Unternehmen
Bunny CDNNein0,01 $/GBBudget-CDN

WordPress-spezifisch

DienstKostenloser TarifBezahlt abEnthält
SucuriNein199 $/JahrWAF + Malware-Bereinigung
WordfenceJa (Plugin)119 $/JahrWAF + Scanning
JetpackBegrenzt10 $/MonatCDN + Grundsicherheit

Self-hosted-Alternativen

LösungKostenWas es tut
ModSecurityKostenlosWAF-Regeln für Apache/Nginx
Fail2banKostenlosIP-Blockierung bei wiederholten Fehlern
CrowdSecKostenlosKollaborative Bedrohungserkennung

Empfehlung: Mit dem kostenlosen Cloudflare-Tarif beginnen. Er bietet das beste Preis-Leistungs-Verhältnis. Spezialisierte Tools nur hinzufügen, wenn Sie spezifische Anforderungen haben, die Cloudflare nicht abdeckt.

Cloudflare-Alternativen

Cloudflare ist die Standardempfehlung, aber nicht die einzige Option. Hier ist, wann Sie etwas anderes in Betracht ziehen sollten.

Wenn Sie bereits bei einem Cloud-Anbieter sind

Wenn der Großteil Ihrer Infrastruktur auf AWS, GCP oder Azure liegt, integrieren sich deren native Schutz-Tools enger als Cloudflare und können durch Ihre Ausgaben bereits teilweise abgedeckt sein.

AWS CloudFront + AWS WAF + AWS Shield

  • CloudFront ist das CDN; WAF fügt regelbasierte Filterung hinzu; Shield Standard ist bei allen AWS-Konten kostenlos enthalten
  • Shield Advanced (3.000 $/Monat) fügt dedizierte DDoS-Reaktion und Kostenschutz hinzu — lohnt sich nur für Hochrisiko-Ziele
  • Geeignet für: Teams, die bereits auf AWS laufen und alles in einem Abrechnungskonto haben möchten
  • Schwäche: Kein kostenloser WAF-Tarif (WAF kostet ~5 $/Regel/Monat + Traffic)

Azure Front Door

  • Microsofts kombiniertes CDN, WAF und globaler Load Balancer
  • Enthält Bot-Schutz und DDoS-Mitigation
  • Geeignet für: Unternehmen mit Microsoft 365 + Azure, die eine einheitliche Sicherheitsgrenze wünschen
  • Schwäche: Komplexer zu konfigurieren als Cloudflare; Preisgestaltung schwerer vorherzusagen

Google Cloud Armor

  • WAF und DDoS-Schutz für Apps auf GCP, integriert mit Cloud Load Balancing
  • Adaptiver Schutz verwendet ML, um Angriffe automatisch zu erkennen und zu blockieren
  • Geeignet für: Teams, die auf GCP mit von Google verwalteter Infrastruktur bereitstellen
  • Schwäche: Schützt nur Traffic, der durch GCP-Load-Balancer geleitet wird

Wenn Sie mehr Kontrolle über WAF-Regeln benötigen

Fastly — entwicklerfreundliches CDN und Edge-Plattform mit einem vollständig programmierbaren WAF (powered by Signal Sciences). Beliebt bei Engineering-Teams, die benutzerdefinierte Logik am Edge schreiben möchten. Kostenlose Testphase, dann nutzungsbasierte Preise. Gut geeignet für APIs und dynamische Anwendungen.

Imperva (früher Incapsula) — dedizierter WAF und DDoS-Schutz mit starkem Compliance-Tooling (PCI DSS, DSGVO). Teurer als Cloudflare, bietet aber granularere Regelkontrolle und SLA-Garantien. Richtet sich an Unternehmen mit Compliance-Anforderungen.

Wenn Sie WordPress oder ein anderes CMS betreiben

Sucuri — Website-Sicherheitsplattform, die speziell für CMS-Websites entwickelt wurde. Enthält WAF, Malware-Scanning und Malware-Bereinigungsservice (Sie bezahlen sie für die Bereinigung, wenn Sie infiziert werden). Ab 199 $/Jahr. Lohnt sich, wenn Sie bereits angegriffen wurden oder sensible Inhalte auf WordPress hosten.

Wordfence — WordPress-Plugin mit integriertem WAF, Login-Schutz und Malware-Scanner. Die kostenlose Version ist funktional. 119 $/Jahr für Echtzeit-Bedrohungsdaten. Erfordert keine Änderung Ihrer DNS- oder Nameserver. Gut für: Teams, die Schutz ohne Routing des Traffics durch einen externen Anbieter möchten.

Wenn Sie Self-hosted-Kontrolle möchten

CrowdSec — Open-Source, kollaborative Bedrohungserkennung. Teilt blockierte IP-Daten über alle CrowdSec-Nutzer (crowdsourced Blockliste). Läuft als Agent auf Ihrem Server und integriert sich mit nginx, Apache, Traefik und anderen. Kostenlos und aktiv gepflegt. Gute Ergänzung zu Cloudflare, kein Ersatz.

ModSecurity + OWASP Core Rule Set — der klassische Self-hosted-WAF für Apache und nginx. Kostenlos, battle-tested, hochgradig konfigurierbar. Erfordert erhebliche Zeit zum Anpassen — Out-of-the-box-Regeln erzeugen False Positives. Gut für Teams mit einem Sysadmin, der weiß, was er tut.

Fail2ban — scannt Protokolldateien und sperrt IPs nach wiederholten fehlgeschlagenen Versuchen (Brute Force, Credential Stuffing). Leichtgewichtig und effektiv für Login-Angriffe. Kein WAF — prüft keine HTTP-Nutzdaten.

Schneller Vergleich

OptionGeeignet fürKostenloser TarifAufwand
CloudflareAlle als AusgangspunktJaGering
AWS CloudFront + WAFAWS-native TeamsTeilweiseMittel
Azure Front DoorAzure/Microsoft-UmgebungenNeinMittel
Google Cloud ArmorGCP-DeploymentsNeinMittel
FastlyAPI-lastige Apps, Entwickler-TeamsTestphaseMittel
ImpervaCompliance-getriebene OrganisationenNeinMittel
SucuriWordPress, nach einem VorfallNeinGering
WordfenceWordPress, ohne DNS-ÄnderungJaGering
CrowdSecSelf-hosted-ServerJaMittel
ModSecurityVollständige WAF-Kontrolle auf eigenen ServernJaHoch

Häufige Fehler

Fehler 1: Ursprungs-IP offengelassen

Ihr Server ist direkt über seine öffentliche IP erreichbar. Angreifer umgehen Cloudflare vollständig.

Lösung: Firewall so konfigurieren, dass nur Cloudflare-IPs auf Web-Ports akzeptiert werden.

Fehler 2: Falscher SSL-Modus

Flexible verwenden, wenn Ihr Server HTTPS unterstützt. Traffic zwischen Cloudflare und Ihrem Ursprungsserver ist unverschlüsselt.

Lösung: Full (Strict) mit einem gültigen Zertifikat auf Ihrem Server verwenden.

Fehler 3: Nicht alle Subdomains proxieren

Die Hauptseite ist geschützt, aber api.example.com oder staging.example.com sind nur DNS.

Lösung: Alle öffentlich zugänglichen Subdomains proxieren. Nur DNS-only für Dienste, die es wirklich brauchen.

Fehler 4: Private Inhalte cachen

Cloudflare cached das Dashboard eines eingeloggten Nutzers und liefert es anderen Besuchern.

Lösung: Cache-Control-Header korrekt setzen. Seiten-Regeln verwenden, um Cache für authentifizierte Bereiche zu umgehen.

Fehler 5: Legitime Bots blockieren

Bot-Schutz blockiert Ihre API-Clients oder Monitoring-Dienste.

Lösung: Firewall-Regeln erstellen, um bestimmte IPs oder User-Agents zuzulassen. Oder DNS-only für API-Endpunkte verwenden.

Workshop: Ihre Website schützen

30–45 Minuten einplanen.

Teil 1: Einrichtung (15 Minuten)

  1. Bei cloudflare.com registrieren
  2. Ihre Domain hinzufügen
  3. DNS-Einträge überprüfen (Proxy für Web-Traffic aktivieren)
  4. Nameserver beim Registrar ändern

Ergebnis: Domain hinzugefügt, Nameserver geändert

Teil 2: Sicherheitskonfiguration (10 Minuten)

  1. SSL/TLS → Full (Strict) einstellen
  2. SSL/TLS → Edge Certificates → Always Use HTTPS: An
  3. Security → Bot Fight Mode: An
  4. Security → Settings → Security Level: Medium

Ergebnis: Kern-Sicherheitseinstellungen konfiguriert

Teil 3: Firewall-Regeln (10 Minuten)

  1. Regel erstellen, um Admin-Bereich-Zugriff herauszufordern
  2. Regel erstellen, um leere User-Agents zu blockieren
  3. Restliche Slots für Notfälle aufbewahren

Ergebnis: Benutzerdefinierter Schutz für Ihre spezifische Website

Teil 4: Ursprungsschutz (10 Minuten)

  1. Prüfen, ob Ihre Ursprungs-IP auffindbar ist (SecurityTrails verwenden)
  2. Server-Firewall wenn möglich konfigurieren
  3. Status des Ursprungs-IP-Schutzes dokumentieren

Ergebnis: Ursprungsoffenlegung bewertet und dokumentiert

Workshop-Checkliste

  • Cloudflare-Konto erstellt
  • Domain hinzugefügt und aktiv
  • SSL auf Full (Strict) gesetzt
  • Always Use HTTPS aktiviert
  • Bot Fight Mode an
  • Mindestens eine Firewall-Regel erstellt
  • Ursprungs-IP-Schutz bewertet
  • Wissen, wie man „Under Attack Mode" aktiviert

Selbstcheck: Ist Ihre Website geschützt?

Grundlegende Einrichtung

  • Website ist bei Cloudflare
  • Nameserver zeigen auf Cloudflare
  • Status zeigt „Active"
  • Hauptwebsite ist proxiert (orangefarbene Wolke)

Sicherheitskonfiguration

  • SSL-Modus ist Full oder Full (Strict)
  • Always Use HTTPS ist aktiviert
  • Bot Fight Mode ist an
  • Mindestens eine benutzerdefinierte Firewall-Regel

Ursprungsschutz

  • Server-Firewall beschränkt Web-Zugriff auf Cloudflare-IPs (oder dokumentiert, warum nicht)
  • Ursprungs-IP ist nicht leicht auffindbar
  • E-Mail verwendet separate IP/Dienst

Überwachung

  • Zugriff auf das Cloudflare-Dashboard möglich
  • Wissen, wo sich „Under Attack Mode" befindet
  • Jemand überprüft regelmäßig Sicherheitsereignisse

Mindestens 10 von 13 Punkten abhaken, bevor Sie weitermachen.

Gespräch mit der Unternehmensführung

„Ich habe Website-Schutz mit Cloudflare eingerichtet. Unsere Website hat jetzt DDoS-Schutz, eine Web Application Firewall, automatisches SSL und Bot-Blocking — alles kostenlos. Seiten laden schneller dank globalem CDN-Caching. Die Einrichtung dauerte 30 Minuten. Wenn wir jemals angegriffen werden, kann ich den Notfallschutz-Modus mit zwei Klicks aktivieren."

Kurze Version: „Unsere Website ist jetzt vor Angriffen geschützt und lädt schneller. Kostenlos, 30 Minuten."

Was kommt als nächstes

Sie haben das Quick-Wins-Modul abgeschlossen. Ihr Unternehmen hat jetzt:

  • Passwortmanagement und MFA
  • Zentrales Benutzerverzeichnis mit SSO
  • SaaS-Inventar und Zugriffsverwaltung
  • Patch-Management und Schwachstellen-Scanning
  • E-Mail-Sicherheit (SPF, DKIM, DMARC)
  • Phishing-Awareness-Training
  • Datensicherungsstrategie
  • Website-Schutz

Diese Grundlagen schützen vor den häufigsten Angriffen. Nächstes Modul: Sicherheit in der Entwicklung — Integration von Sicherheit in Ihre CI/CD-Pipelines und Ihren Code.