Website mit Cloudflare schützen: Was der kostenlose Tarif gegen Bots und Angriffe leistet und wo er bremst

Wer eine Website hinter Cloudflare stellt, bekommt eine Art Pförtner vor den eigenen Webserver: Jede Anfrage läuft zuerst über das Netz von Cloudflare, dort werden bekannte Bots, Angriffswellen und typische WordPress-Exploits abgefangen, erst der Rest erreicht den Hoster. Das geht im kostenlosen Tarif und ist in einer Stunde eingerichtet. Die Kehrseite: Die harte Stufe mit Prüfseite sperrt nicht nur Angreifer aus, sondern auch Werkzeuge und Crawler, die Sie eigentlich auf der Seite haben wollen. Dieser Beitrag ordnet ein, was der Gratis-Tarif tatsächlich bietet, welche Einstellung für eine Unternehmenswebsite sinnvoll ist und was Sie beim Datenschutz beachten müssen.

Wie Cloudflare vor die Website kommt

Cloudflare ist ein Content Delivery Network mit angeschlossener Firewall. Die Umstellung läuft über das Domain Name System: Sie legen die Domain im Cloudflare-Konto an, Cloudflare liest die vorhandenen DNS-Einträge ein, und Sie tragen beim Registrar, bei All-Inkl etwa im KAS, die beiden Cloudflare-Nameserver ein. Ab diesem Moment beantwortet Cloudflare die Namensauflösung. Für Einträge mit aktiviertem Proxy, in der Oberfläche die orange Wolke, zeigt die Domain auf Cloudflare-Adressen, und Cloudflare holt die Seite im Hintergrund vom bisherigen Server. Mail-Einträge lassen Sie ohne Proxy, sonst kommt keine E-Mail mehr an.

Wichtig ist die Verschlüsselung dahinter. Unter SSL/TLS gehört die Einstellung „Full (strict)“, damit auch die Strecke zwischen Cloudflare und Ihrem Hoster verschlüsselt und das Zertifikat geprüft wird. Die Standardeinstellung „Flexible“ lässt diese Strecke unverschlüsselt, was bei Formularen und Logins niemand will. Der Hoster braucht dafür ein gültiges Zertifikat, bei All-Inkl und den meisten Anbietern ist das über Let’s Encrypt ohnehin vorhanden.

Was der kostenlose Tarif enthält

Nach den Angaben in der Cloudflare-Dokumentation (Stand Oktober 2026) bringt der Free-Tarif fünf Bausteine mit, die sich unabhängig voneinander einschalten lassen.

• DDoS-Schutz läuft automatisch auf jeder Anfrage und fängt Lastangriffe ab, bevor sie den Server erreichen.
• Free Managed Ruleset: ein vorgefertigter Regelsatz gegen weit verbreitete Angriffe, darunter Log4J, Shellshock und gängige WordPress-Exploits. Er ist auf neuen Zonen bereits aktiv.
• Bot Fight Mode: ein einfacher Schalter unter Security. Cloudflare erkennt Anfragen mit bekannten Bot-Mustern, etwa aus Cloud-Rechenzentren, und stellt ihnen eine rechenintensive Aufgabe. Verifizierte Crawler wie Googlebot und Bingbot bleiben verschont. Der Schalter lässt sich nicht feiner einstellen und nicht durch eigene Regeln umgehen; wer Ausnahmen braucht, muss in den Pro-Tarif mit Super Bot Fight Mode wechseln.
• Fünf eigene Regeln (Custom Rules) mit den Aktionen Blockieren, Managed Challenge, Überspringen oder nur Protokollieren. Sie greifen auf Pfad, Methode, Land, User-Agent und ähnliche Merkmale zu. Die Bot-Bewertung je Anfrage, der sogenannte Bot Score, steht im Free-Tarif nicht als Regelmerkmal zur Verfügung, das ist dem Bot-Management-Zusatz vorbehalten.
• Eine Ratenbegrenzungsregel: Sie zählt Anfragen je IP-Adresse in einem kurzen Zeitfenster und blockt bei Überschreitung. Für ein Kontaktformular oder eine Login-Seite reicht das.

Dazu kommt der Schalter „Block AI Bots“, der KI-Crawler aussperrt, und der „Under Attack Mode“, der jedem Besucher die Prüfseite vorschaltet. Genau diese Prüfseite sehen Sie auf manchen Websites als „Just a moment …“ mit fünf Sekunden Wartezeit.

Wo die harte Stufe schadet

Die Prüfseite ist für akute Angriffe gedacht, nicht als Dauerzustand. Dauerhaft eingeschaltet kostet sie jeden Erstbesucher Zeit, und sie sperrt alles aus, was keinen vollwertigen Browser mitbringt. Dazu gehören Monitoring-Dienste, Zahlungsanbieter, die Ihre Seite per Callback erreichen, Werkzeuge wie IndexNow-Pings, Screenshot-Skripte und die Crawler von ChatGPT, Perplexity und Claude. Wer gerade Aufwand in Sichtbarkeit in KI-Antworten steckt, sägt mit einer pauschalen Prüfseite am eigenen Ast. Auch der Schalter „Block AI Bots“ ist deshalb eine bewusste Entscheidung: Er schützt Inhalte vor Training und Zusammenfassung, nimmt die Seite aber auch aus den Antworten heraus.

Für eine Unternehmenswebsite ist die mittlere Stufe die richtige: Bot Fight Mode an, Managed Ruleset an, dazu zwei oder drei eigene Regeln für die Stellen, an denen Spam und Brute-Force tatsächlich ankommen. Bei WordPress sind das wp-login.php und xmlrpc.php, bei statischen Seiten die Formular-Endpunkte. Verifizierte Crawler lassen Sie über eine Regel mit der Bedingung cf.client.bot und der Aktion „Skip“ ausdrücklich durch, damit keine eigene Regel versehentlich Google trifft.

Was Cloudflare nicht ersetzt

Eine Firewall vor dem Server fängt bekannte Muster ab, sie repariert keine Software. Das hat die PHP2Shell-Lücke im Oktober gezeigt: Cloudflare und Hoster hatten rasch Regeln gegen bekannte Angriffsmuster, die eigentliche Abhilfe war trotzdem die neue PHP-Version. Updates von WordPress, Plugins und PHP bleiben Pflicht, ebenso Backups und ein Hoster, der Versionen zeitnah bereitstellt. Mehr dazu steht auf der Seite zur WordPress-Wartung.

Ein zweiter Punkt ist der Datenschutz. Cloudflare ist ein Anbieter aus den USA mit Rechenzentren in der EU. Jede Anfrage Ihrer Besucher läuft über dessen Netz, und die Prüfung setzt Cookies, etwa __cf_bm und nach bestandener Prüfseite cf_clearance. Dafür brauchen Sie einen Auftragsverarbeitungsvertrag, den Cloudflare im Konto zur Annahme anbietet, und einen Abschnitt in der Datenschutzerklärung. Wer seine Texte mit eRecht24 erstellt, findet dort einen fertigen Cloudflare-Baustein. Eine Einwilligung über das Cookie-Banner ist für die Sicherheits-Cookies nicht nötig, weil sie technisch erforderlich sind; die Information in der Datenschutzerklärung ist es schon.

Einrichtung in sechs Schritten

1. Kostenloses Cloudflare-Konto anlegen, Domain hinzufügen, eingelesene DNS-Einträge mit dem Hoster-Panel vergleichen.
2. Proxy nur für die Web-Einträge (A, AAAA, CNAME für www) aktivieren, Mail-Einträge grau lassen.
3. Nameserver beim Registrar auf die beiden genannten Cloudflare-Nameserver umstellen. Die Umstellung dauert meist unter einer Stunde, maximal einen Tag.
4. SSL/TLS auf „Full (strict)“ stellen und „Always Use HTTPS“ aktivieren.
5. Unter Security: Bot Fight Mode einschalten, Managed Ruleset prüfen, eine Skip-Regel für verifizierte Bots anlegen, dann Regeln für Login und Formulare mit Managed Challenge, zuletzt eine Ratenbegrenzung auf den Formular-Endpunkt.
6. Eine Woche lang unter Security Events kontrollieren, was die Regeln treffen. Erst wenn dort nur Bot-Verkehr auftaucht, Challenge auf Block umstellen.

Cloudflare liefert als Nebeneffekt einen Zwischenspeicher für Bilder, CSS und JavaScript, was die Ladezeit aus entfernten Regionen verbessert. Für eine Seite mit Besuchern aus Augsburg und Bayern ist das ein kleiner Bonus, die Sicherheitsfunktionen sind der eigentliche Grund.

Quellen

• Cloudflare Docs: Web Application Firewall, Tarifübersicht
• Cloudflare Docs: Stop malicious bots while allowing legitimate traffic
• Cloudflare Docs: Security features interoperability
• Cloudflare Docs: Managed Rules

Kurz beantwortet

Reicht der kostenlose Cloudflare-Tarif für eine Firmenwebsite?

Ja, für Bot-Abwehr, DDoS-Schutz und ein paar gezielte Regeln. Feinere Bot-Steuerung mit Ausnahmen und mehr Regeln gibt es ab dem Pro-Tarif für rund 20 Dollar im Monat.

Blockiert Cloudflare Google?

Bot Fight Mode verschont verifizierte Crawler. Bei eigenen Regeln sollten Sie verifizierte Bots mit einer Skip-Regel ausdrücklich durchlassen und die Prüfseite nicht pauschal auf die ganze Website legen.

Brauche ich für Cloudflare ein Cookie-Banner?

Nein, die Sicherheits-Cookies gelten als technisch notwendig. Nötig sind ein Auftragsverarbeitungsvertrag mit Cloudflare und ein Abschnitt in der Datenschutzerklärung.