Was ist Cloudflare? Erklärt für Shop-Betreiber

Cloudflare ist ein US-Unternehmen aus San Francisco, das ein weltweites Netz aus Rechenzentren betreibt und Websites als Reverse Proxy vorgeschaltet wird: Jede Anfrage an Ihren Shop läuft zuerst durch Cloudflare, wird dort geprüft, gefiltert und oft aus dem Zwischenspeicher beantwortet — erst dann erreicht sie Ihren Server. Für Shop-Betreiber heißt das: Schutz vor DDoS-Angriffen und Bots, schnellere Auslieferung statischer Dateien und weniger Last auf dem eigenen Server. Der Einstieg kostet 0 USD, die Kehrseite ist eine neue Abhängigkeit. Stand: 5. September 2026.

Für wen dieser Beitrag geschrieben ist: für Shop-Betreiber, denen Hoster, Agentur oder Forum „nimm einfach Cloudflare“ geraten haben — und die vorher verstehen wollen, was sie sich damit vor den Shop stellen. Es ist keine Klick-Anleitung. Wie die Einrichtung für einen JTL-Shop konkret abläuft, steht auf unserer Seite zu Cloudflare für JTL-Shop.

1. Wie funktioniert Cloudflare?

Cloudflare arbeitet als Reverse Proxy: Ihre Domain zeigt per DNS auf das Cloudflare-Netz, nicht mehr direkt auf Ihren Server. Jede Anfrage eines Kunden landet zuerst in einem Cloudflare-Rechenzentrum, wird dort geprüft, gefiltert und wenn möglich aus dem Zwischenspeicher beantwortet. Nur was übrig bleibt, erreicht Ihren Shop-Server — dessen Adresse nach außen unsichtbar bleibt.

Das Wort „Reverse Proxy“ klingt technischer, als die Sache ist. Cloudflare selbst definiert ihn so: „Ein Reverse-Proxy ist ein Server, der vor Webservern sitzt und Anfragen von Clients (z. B. Webbrowsern) an diese Webserver weiterleitet.“ Und weiter: Er „sorgt dafür, dass kein Client jemals direkt mit diesem Ursprungsserver kommuniziert“ (Quelle: Cloudflare Infocenter, Reverse-Proxy, abgerufen am 5. September 2026, öffnet in neuem Tab). Stellen Sie sich einen Empfangstresen vor Ihrem Lager vor: Wer etwas will, spricht mit dem Tresen. Der Tresen weist Störer ab, beantwortet Standardfragen selbst und reicht nur echte Anliegen nach hinten durch.

Technisch passiert das über das Domain Name System. Sie tragen bei Ihrem Domain-Anbieter die Nameserver von Cloudflare ein; damit wird die Domain bei Cloudflare aktiv. Für jeden DNS-Eintrag entscheiden Sie per Schalter, ob er durch den Proxy läuft. Ist der Schalter an, antwortet Cloudflare auf DNS-Anfragen laut eigener Dokumentation mit einer Anycast-Adresse aus seinem Netz statt mit der IP-Adresse Ihres Servers. Ist er aus, bleibt alles wie vorher — praktisch etwa für den Mailserver, der nichts mit dem Shop zu tun hat.

Ein Missverständnis räumen wir gleich aus: Cloudflare ist kein Hosting. Ihr Shop läuft weiterhin auf Ihrem Server bei Ihrem Hoster; Cloudflare wird lediglich davor geschaltet. Die Dokumentation formuliert es nüchtern: Man konfiguriere Cloudflare „in front of whatever you are trying to protect, such as your application, service, or server“. Ein schwacher Server bleibt also ein schwacher Server — welche Hosting-Art zu welchem Shop passt, ordnet unser Webhosting-Vergleich ein, und wie wir Webserver, PHP und Datenbank hinter einem Proxy abstimmen, steht in unserer Webhosting-Beratung.

Zur Größenordnung: Cloudflare beschreibt sich als „eines der größten Netzwerke, die im Internet betrieben werden“, nennt Rechenzentren in mehr als 335 Städten in über 125 Ländern und im Durchschnitt 115 Millionen HTTP-Anfragen pro Sekunde. In Deutschland stehen laut Netzwerkkarte Standorte in Berlin, Düsseldorf, Frankfurt, Hamburg, München und Stuttgart. Unabhängig davon misst W3Techs, dass 25,1 Prozent aller Websites über Cloudflare laufen — 84,6 Prozent aller Sites mit bekanntem Reverse-Proxy-Dienst (Stand 4. September 2026).

Cloudflare ist dabei nur ein Anbieter, und das Proxy-Modell nur eine von zwei Bauarten eines CDN. Wie sich Proxy und eigene Datei-Subdomain unterscheiden, welche Shop-Seiten in einen gemeinsamen Cache dürfen und welche nie, und warum ein CDN den LCP verbessern kann, INP und CLS aber nicht, erklärt unser herstellerneutraler Beitrag CDN erklärt: Content Delivery Network für Website und Shop.

2. Was bringt Cloudflare einem Onlineshop?

Für einen Shop löst Cloudflare vor allem drei Probleme: Bot-Verkehr, der Server und Kennzahlen belastet, Überlastungsangriffe, gegen die ein einzelner Server chancenlos ist, und Angriffsmuster auf Login, Formulare und Plugins. Dazu kommt schnellere Auslieferung statischer Dateien. Der Free-Plan deckt die Grundabsicherung ab; wer Ausnahmen für Zahlungsdienste braucht, landet meist beim Pro-Plan.

Wie groß der Bot-Anteil inzwischen ist, zeigt Cloudflares eigener Jahresrückblick: Zum 2. Dezember 2025 stammten nur 47 Prozent der HTML-Anfragen im Cloudflare-Netz von Menschen, 44 Prozent von klassischen Bots; KI-Crawler lagen im Jahresdurchschnitt bei 4,2 Prozent, Googlebot allein bei 4,5 Prozent (Quelle: Cloudflare Radar 2025 Year in Review, abgerufen am 5. September 2026, öffnet in neuem Tab). Im JTL-Forum beschreibt ein Händler, wie sich das anfühlt: rund 1.000 Bots im Shop binnen zehn Minuten nach dem Start einer Meta-Kampagne, kein einziger echter Besucher. Der Rat dort lautet, Bots auf Server-Ebene zu blocken, nicht in der Shop-Software — genau das ist die Rolle von Cloudflare.

Was Sie konkret bekommen:

• DDoS-Schutz ohne Volumengrenze in jedem Plan: Ein Angriff, der einen Shop-Server allein stundenlang lahmlegt, verteilt sich auf ein Netz aus mehr als 335 Städten.
• Bot-Verkehr wird vor dem Server abgefangen: Filter- und Suchseiten eines Shops lösen teure Datenbankabfragen aus — jede geblockte Bot-Anfrage spart genau diese Rechenzeit.
• Die Web Application Firewall bringt schon im Free-Plan den Free Managed Ruleset plus fünf eigene Regeln mit; ab Pro kommen der Cloudflare Managed Ruleset und die OWASP-Core-Regeln dazu.
• Rate Limiting bremst Login- und Checkout-Angriffe: Wer die Anmeldeseite hundertmal pro Minute aufruft, wird gestoppt — im Free-Plan mit einer Regel, ab Pro mit mehreren.
• Turnstile ersetzt Bilderrätsel-Captchas in Formularen und ist bis 20 Widgets kostenlos; die Prüfung läuft meist unsichtbar im Hintergrund.
• AI Crawl Control ist in allen Plänen enthalten: Sie entscheiden, welche KI-Crawler Ihren Katalog lesen dürfen und welche nicht.
• Die IP-Adresse Ihres Servers verschwindet aus dem öffentlichen DNS. Wer Ihren Shop direkt angreifen will, findet den Server nicht mehr.

Was Cloudflare nicht löst:

• Einen langsamen Shop macht Cloudflare nicht schnell: Datenbankabfragen, PHP-Laufzeit und ein unterdimensionierter Server bleiben, wie sie sind — der Cache hilft nur bei statischen Dateien.
• HTML-Caching bricht Shops: Wer ganze Seiten zwischenspeichert, zeigt Kunden fremde Warenkörbe oder veraltete Preise. Im JTL-Forum ist genau das ein dokumentierter Fehlerfall.
• Automatisierte Zugriffe, die Sie brauchen, sehen für Cloudflare aus wie Bots: der Warenwirtschafts-Abgleich, Zahlungs-Webhooks, Cronjob-Dienste. Ohne Ausnahmeregeln bleiben sie draußen.
• Fällt Cloudflare aus, ist Ihr Shop nicht erreichbar — auch wenn Ihr Server läuft. Diese neue Abhängigkeit gehört in jede Entscheidung.

Der dritte Punkt ist in der Praxis der wichtigste. In unseren Kundenprojekten scheitern Cloudflare-Setups fast nie am Schutz, sondern an dem, was fälschlich als Bot gilt: Die Warenwirtschaft ruft den Shop ohne Browser auf, der Zahlungsanbieter meldet Zahlungen per Webhook, ein Cronjob-Dienst stößt Exporte an. Ohne passende Ausnahmen bleiben Bestellungen hängen. Wie wir das für JTL-Shop lösen — IP-Zugriffsregel für die Wawi, Cache-Ausnahme für den Abgleichspfad, Skip-Regel für Zahlungs-Webhooks —, beschreibt unsere Seite zu Cloudflare als DDoS- und Bot-Schutz für JTL-Shop.

Damit eine solche Ausnahme überhaupt greift, sollten Sie wissen, wie die Gegenseite arbeitet: Zahlungsdienste melden sich per Webhook, wiederholen eine misslungene Zustellung nur begrenzt oft und stellen sie danach dauerhaft ein. Eine Bot-Regel, die zwei Tage lang blockiert, kostet also nicht nur Zeit, sondern echte Zahlungsmeldungen. Was dabei technisch passiert und wie Sie mit einem Abgleichlauf gegensteuern, steht im Beitrag zu API und Webhook.

Damit ist auch die Arbeitsteilung klar: Cloudflare setzt Entscheidungen durch, die robots.txt formuliert sie nur. Eine Regel in der Datei wirkt bei Crawlern, die sich daran halten wollen; wer Preise abgreift oder Anmeldeformulare durchprobiert, liest sie gar nicht erst. Welche Bots sich nach eigener Aussage an die Datei halten, welche das ausdrücklich nicht tun und wie Sie Ihre Regeln aktuell halten, steht in unserem Beitrag zur robots.txt für Onlineshops.

Ein Nutzen fällt in der Diskussion meist unter den Tisch: Cloudflare stellt jeder aktivierten Domain kostenlos ein Universal-Zertifikat mit 90 Tagen Laufzeit aus und erneuert es ab 30 Tagen vor Ablauf automatisch. Das ist mehr wert, als es klingt, denn die Laufzeiten sinken gerade regelbedingt — seit dem 15. März 2026 auf höchstens 200 Tage, ab 2029 auf 47. Der Haken bleibt: Cloudflare löst nur das Zertifikat am Netzrand, während das Zertifikat auf Ihrem Ursprungsserver weiter Ihre Aufgabe ist. Wie der Terminplan im Detail aussieht, steht im Beitrag zu den SSL-Laufzeiten von 200, 100 und 47 Tagen.

3. Was kostet Cloudflare?

Cloudflare rechnet je Domain ab, in US-Dollar. Der Free-Plan kostet 0 USD und enthält den DDoS-Schutz, die Basis-Firewall, Bot Fight Mode und Turnstile. Pro kostet 20 USD im Monat bei Jahreszahlung (25 USD bei monatlicher Zahlung), Business 200 USD im Monat bei Jahreszahlung (250 USD monatlich); Enterprise wird individuell verhandelt. Stand: 5. September 2026, Quelle: Cloudflare-Preisseite.

Für die Entscheidung zwischen Free und Pro zählt weniger der Preis als eine Funktion: Der Bot Fight Mode im Free-Plan lässt sich nicht per Firewall-Regel umgehen, der Super Bot Fight Mode ab Pro erlaubt Skip-Regeln — etwa für den Webhook Ihres Zahlungsanbieters. Welcher Plan zu welchem Shop passt, welche Regel-Limits je Stufe gelten und was unsere Einrichtung umfasst, haben wir auf der Service-Seite mit dem Plan-Vergleich ausführlich aufgeschrieben. Hier nur der Hinweis: Rechnen Sie in Dollar und netto, und rechnen Sie die Zeit für die Pflege der Ausnahmen mit.

4. Wo die Kritik an Cloudflare berechtigt ist

Vier Einwände gegen Cloudflare sind berechtigt und gehören in jede Entscheidung: Ein Ausfall bei Cloudflare legt Ihren Shop lahm, obwohl Ihr Server läuft. Ein US-Anbieter verarbeitet die Daten aller Ihrer Besucher. Echte Kunden stoßen auf Prüfseiten. Und ein Viertel des Webs hängt an einem einzigen Unternehmen. Keiner dieser Punkte spricht pauschal gegen Cloudflare — jeder verlangt eine bewusste Antwort.

Ausfallrisiko: der 18. November 2025

Am 18. November 2025 begann um 11:20 UTC der schwerste Cloudflare-Ausfall seit 2019 — so nennt ihn Cloudflare selbst. Besucher von Kunden-Websites sahen eine Cloudflare-Fehlerseite. Die Ursache war laut Post-Mortem kein Angriff, sondern eine Berechtigungsänderung an einer internen Datenbank: Eine Konfigurationsdatei des Bot-Management-Systems enthielt plötzlich doppelte Einträge, wuchs über ein fest einprogrammiertes Größenlimit hinaus, und die Proxy-Software auf allen Servern des Netzes konnte sie nicht mehr laden. Cloudflare vermutete zunächst einen sehr großen DDoS-Angriff. Um 14:30 UTC floss der Kernverkehr weitgehend wieder, um 17:06 UTC liefen alle Systeme normal (Quelle: Cloudflare Blog, Post-Mortem zum 18. November 2025, abgerufen am 5. September 2026, öffnet in neuem Tab).

Ein Detail, das Shop-Betreiber kennen sollten: Während des Ausfalls fiel auch Turnstile aus, das Prüfmodul auf der Login-Seite des Cloudflare-Dashboards. Laut Post-Mortem konnten die meisten Nutzer ohne aktive Sitzung sich deshalb nicht einloggen. Der Notausgang „Pause Cloudflare“ war also genau dann schwer erreichbar, als er gebraucht wurde. Für Sie heißt das: Zugang zum Domain-Registrar und eine Kopie Ihrer DNS-Einträge gehören außerhalb von Cloudflare aufbewahrt.

Knapp drei Wochen später, am 5. Dezember 2025, folgte ein zweiter Vorfall: von 08:47 bis 09:12 UTC, rund 25 Minuten, betroffen waren laut Cloudflare etwa 28 Prozent des über Cloudflare laufenden HTTP-Verkehrs. Auslöser war eine Änderung an der Web Application Firewall im Zuge der Abwehr einer Schwachstelle in React Server Components; eine zweite Änderung wurde über ein globales Konfigurationssystem ohne stufenweise Verteilung ausgerollt. Cloudflare schreibt dazu selbst, man habe „the Internet down again“ gelassen (Quelle: Cloudflare Blog, Post-Mortem zum 5. Dezember 2025, abgerufen am 5. September 2026, öffnet in neuem Tab). Beide Berichte sind bemerkenswert offen — und beide zeigen, dass Ihr Shop an Cloudflares Änderungsprozessen hängt, nicht nur an Ihren eigenen.

Datenschutz: ein US-Anbieter sieht jeden Besucher

Als Reverse Proxy sieht Cloudflare jede Anfrage an Ihren Shop — IP-Adresse, aufgerufene Seite, Browser-Kennung. Cloudflare, Inc. sitzt in San Francisco; die Verarbeitung unterliegt damit den Regeln für Drittlandtransfers. Der Anbieter stellt dafür einen Auftragsverarbeitungsvertrag mit Standardvertragsklauseln bereit, ist unter dem EU-US Data Privacy Framework zertifiziert und weist unter anderem ISO 27001, ISO 27701 und SOC 2 Type II nach. Eine Verarbeitung ausschließlich in der EU gibt es nur als Enterprise-Zusatz, die Data Localization Suite.

Dazu kommen Cookies: Der Bot-Filter setzt laut Cloudflare-Dokumentation das Cookie __cf_bm, das nach 30 Minuten Inaktivität abläuft, und bei JavaScript-Prüfungen cf_clearance. Beides gehört in Ihre Datenschutzerklärung. Was Sie vor dem Einsatz prüfen und dokumentieren sollten — vom Vertrag über die Sub-Prozessoren bis zum Textbaustein —, nimmt unser Beitrag Cloudflare und DSGVO auseinander. Hier nur so viel: Wer Cloudflare einschaltet, schaltet einen weiteren Auftragsverarbeiter ein und muss ihn behandeln wie jeden anderen.

Prüfseiten: wenn echte Kunden beweisen müssen, dass sie Menschen sind

Die Zwischenseite, auf der Besucher bestätigen sollen, dass sie kein Roboter sind, kennt jeder. Cloudflare nennt sie Challenge und beschreibt sie als Mechanismus, um zu prüfen, ob ein Besucher „a real human and not a bot or automated script“ ist — meist unsichtbar im Hintergrund, im Zweifel mit einem Kästchen oder Button, ausdrücklich ohne Bilderrätsel (Quelle: Cloudflare Docs, Challenges, abgerufen am 5. September 2026, öffnet in neuem Tab). Für einen Shop ist jede dieser Seiten trotzdem eine Hürde vor dem Kauf, besonders für Kunden mit Datenschutz-Browsern, VPN oder Firmennetzen, die Cloudflare als verdächtig einstuft.

Schlimmer ist, wen die Prüfung noch trifft: Maschinen, die Sie brauchen. Im JTL-Forum blockierte der Super Bot Fight Mode die Zahlungsbestätigungen von Mollie, bis der Händler eine Ausnahme für den User-Agent „Mollie HTTP client/1.0“ anlegte; in einem anderen Fall fiel der Wawi-Worker nach der Aktivierung aus, bis die IP der Warenwirtschaft freigegeben war. Ein Bot-Filter ist kein Schalter, den man einmal umlegt. Er ist eine Regelmenge, die jemand pflegen muss — nach jedem neuen Plugin, jedem neuen Zahlungsanbieter, jedem neuen Dienst.

Zentralisierung: ein Viertel des Webs an einem Anbieter

25,1 Prozent aller Websites laufen laut W3Techs über Cloudflare, unter den Sites mit bekanntem Reverse-Proxy-Dienst sind es 84,6 Prozent (Stand 4. September 2026). Der Ausfall vom 5. Dezember 2025 betraf nach Cloudflares eigener Rechnung 28 Prozent des über das Netz laufenden HTTP-Verkehrs — für ein paar Minuten war ein spürbarer Teil des Webs weg. Cloudflare selbst schreibt im November-Bericht, angesichts seiner Bedeutung für das Internet-Ökosystem sei jeder Ausfall „unacceptable“. Das ist ehrlich, ändert aber nichts an der Struktur: Wer Cloudflare nutzt, teilt sein Ausfallrisiko mit einem Viertel des Webs. Der Vorteil dieser Größe — ein Netz, das Angriffe verteilt, die keinen einzelnen Hoster überstehen würden — und der Nachteil sind dieselbe Eigenschaft.

5. Welche Alternativen zu Cloudflare gibt es?

Reverse Proxy, CDN und Web Application Firewall bieten auch andere an, darunter zwei deutsche und ein slowenischer Anbieter. Wir bewerten die Dienste hier nicht — wir haben sie nicht in vergleichbaren Shop-Projekten gemessen, und ohne Messung wäre jede Rangfolge erfunden. Belegt sind Sitz und Selbstbeschreibung, jeweils von der Anbieterseite (Stand 5. September 2026):

Ein Anbieter mit Sitz in Deutschland oder der EU nimmt den Drittlandtransfer aus der Gleichung — nicht aber die Hausaufgaben: Auftragsverarbeitungsvertrag, Datenschutzerklärung und die Pflege der Ausnahmeregeln bleiben dieselben. Und die Grundfrage bleibt auch: Sie stellen einen fremden Dienst vor Ihren Shop und machen sich von seiner Verfügbarkeit abhängig. Prüfen Sie deshalb bei jedem Anbieter dasselbe wie bei Cloudflare — Statusseite, veröffentlichte Störungsberichte, Vertragsunterlagen und den Rückweg.

Die zweite Alternative ist gar kein Dienst, sondern Ihr Hoster. Viele Anbieter bringen einen eigenen DDoS-Grundschutz und eine serverseitige Firewall mit. Für kleine Shops ohne Angriffshistorie reicht das oft; wo es nicht mehr reicht, merken Sie es an genau den Symptomen aus Abschnitt 2. Was ein Hoster leisten sollte und wo die Grenzen liegen, steht im Webhosting-Vergleich.

6. Passt Cloudflare zu meinem Shop?

Technisch passt Cloudflare zu jedem selbst gehosteten Shopsystem, weil es vor dem Server arbeitet und im Shop nichts installiert wird. Entscheidend ist nicht das System, sondern ob Sie drei Dinge sauber ausnehmen: die Schnittstellen Ihrer Warenwirtschaft, die Webhooks Ihrer Zahlungsanbieter und die dynamischen Seiten vom Cache. Bei Plattformen wie Shopify liegt diese Schutzschicht beim Anbieter, nicht bei Ihnen.

JTL-Shop

JTL-Shop läuft gut hinter Cloudflare, wenn drei Stolpersteine aus dem JTL-Forum vorab geräumt sind: Die Warenwirtschaft ruft den Shop für den Abgleich über den Pfad /dbeS/ ohne Browser auf und braucht eine IP-Zugriffsregel sowie eine Cache-Ausnahme; die Webhooks des Zahlungsanbieters brauchen eine Skip-Regel im Bot-Filter; und HTML darf nicht zwischengespeichert werden, sonst bricht der Warenkorb. Ein Händler im Forum berichtete außerdem von anderthalb Wochen DDoS-Angriffen — der Fall, in dem der Free-Plan bereits seinen Zweck erfüllt. Die Einrichtung und die typischen Fehler beschreibt unsere Seite zu Cloudflare für JTL-Shop; für alles rund um das Shopsystem selbst finden Sie uns unter JTL-Shop Beratung.

Für die Prüfung danach ein Hinweis: Der oft empfohlene Aufruf von /dbeS/mytest.php führt ins Leere — die Datei enthält seit JTL-Shop 5.0.0 nur noch den Vermerk, dass sie entfernt wurde. Testen Sie die Verbindung stattdessen in JTL-Wawi über die Schaltfläche Verbindung testen in der Registerkarte Webserver. Woher der Verzeichnisname stammt, klärt unser Beitrag zu dbeS und dem Onlineshop-Abgleich.

Shopware

Für Shopware gilt dieselbe Mechanik: Administration, API-Endpunkte und Zahlungs-Webhooks brauchen Ausnahmen, Warenkorb und Checkout bleiben aus dem Cache. Shopware bringt eine eigene HTTP-Cache-Schicht mit; Cloudflares Cache sollte sich deshalb auf statische Dateien beschränken, statt eine zweite Cache-Ebene für HTML aufzubauen. Wer beides übereinanderlegt, sucht Fehler später an zwei Stellen.

WooCommerce

WooCommerce läuft auf WordPress, und für WordPress bewirbt Cloudflare eine eigene Optimierung: die Automatic Platform Optimization, laut Preisseite „ab 5 $/Monat mit dem Free-Tarif“ und in Pro, Business und Enterprise enthalten. Sie speichert WordPress-Seiten im Cloudflare-Netz zwischen — für einen Shop mit Warenkorb und Kundenkonto ist das nur mit sauberen Ausnahmen sinnvoll. Der Schutz vor Login-Angriffen auf wp-login.php per Rate Limiting ist dagegen für fast jede WooCommerce-Installation ein Gewinn.

Shopify

Shopify-Händler müssen nichts einrichten: Shopify setzt Cloudflare selbst ein und nennt in der Kundenreferenz auf cloudflare.com die Web Application Firewall, Bot Management, DDoS Protection und Workers, mit denen es nach eigenen Worten Millionen Storefronts schützt (Quelle: Cloudflare, Customer Story Shopify, abgerufen am 5. September 2026, öffnet in neuem Tab). Die Schutzschicht liegt damit bei der Plattform — Sie profitieren, ohne Regeln zu pflegen, können aber auch keine eigenen setzen. Ob Plattform oder eigener Server der bessere Weg ist, vergleichen wir in JTL-Shop gegen Shopify.

Cloudflare ist nicht die richtige Antwort, wenn:

• Ihr Shop ist langsam, weil Datenbank oder PHP am Limit laufen. Das ist ein Hosting-Thema — Cloudflare davor kaschiert es nur.
• Sie brauchen eine Verarbeitung ausschließlich in der EU. Dafür verlangt Cloudflare die Data Localization Suite im Enterprise-Vertrag; sonst bleibt der US-Anbieter mit Drittlandbezug.
• Niemand pflegt die Ausnahmen. Ein Bot-Filter ohne Betreuung blockiert früher oder später Ihren Zahlungsanbieter oder Ihre Warenwirtschaft.
• Ihre Domain trägt gewachsene DNS-Einträge für Mail, Newsletter und Dienste, die keiner mehr überblickt. Der Nameserver-Umzug wird dann zum Risiko für die E-Mail-Zustellung.

Der letzte Punkt wird unterschätzt. Mit den Nameservern ziehen alle DNS-Einträge Ihrer Domain zu Cloudflare um — auch die für den Mailversand. Fehlt danach ein SPF-, DKIM- oder DMARC-Eintrag, landen Bestellbestätigungen im Spam. Wie diese drei Einträge zusammenspielen und wie Sie sie vor dem Umzug sichern, erklärt unser Beitrag zu DMARC, SPF und DKIM für Shop-Mails.

7. Wie werde ich Cloudflare wieder los?

Rückstandsfrei und in zwei Stufen. Zuerst pausieren Sie Cloudflare im Dashboard; der Verkehr läuft dann laut Dokumentation innerhalb von fünf Minuten wieder direkt zu Ihrem Server, ohne dass Sie Nameserver anfassen. Läuft der Shop stabil, wechseln Sie die Nameserver beim Registrar zurück und entfernen die Domain aus dem Konto. Im Shop selbst ändern Sie nichts, weil dort nie etwas installiert war.

1. Pausieren statt löschen. Unter „Overview“ → „Advanced Actions“ → „Pause Cloudflare on Site“ leitet Cloudflare den Verkehr direkt an Ihren Ursprungsserver. Die Dokumentation nennt „fünf Minuten oder weniger“ und empfiehlt diesen Weg ausdrücklich gegenüber einem Nameserver-Wechsel, der mehrere Stunden Verzögerung mit sich bringen kann. Alternativ schalten Sie den Proxy nur für einzelne DNS-Einträge ab.
2. Zertifikat prüfen, bevor Sie pausieren. Läuft auf Ihrem Server ein Cloudflare-Origin-Zertifikat, warnt die Dokumentation: Besucher können Zertifikatsfehler sehen, sobald Cloudflare pausiert ist. Installieren Sie vorher ein öffentlich vertrauenswürdiges Zertifikat, etwa das Ihres Hosters.
3. Server-IP absichern. Ohne den Proxy steht die IP-Adresse Ihres Servers wieder öffentlich im DNS. Firewall, Fail2ban-Regeln und der DDoS-Grundschutz Ihres Hosters übernehmen ab jetzt allein — prüfen Sie, dass sie aktiv sind.
4. DNS-Einträge exportieren und Nameserver zurückstellen. Sichern Sie alle Einträge (Cloudflare bietet den Export an), stellen Sie die Nameserver beim Registrar auf Nameserver um, die nicht Cloudflare gehören, und deaktivieren Sie vorher DNSSEC beziehungsweise entfernen den DS-Eintrag — sonst lassen sich die Einträge laut Dokumentation nicht ändern.
5. Domain entfernen. „Remove from Cloudflare“ kündigt alle Abonnements dieser Domain ohne Erstattung; die Domain-Registrierung selbst bleibt unberührt. Vorher Zusatzabos kündigen und Logpush-Jobs löschen.

Unser Rat aus Projekten: Dokumentieren Sie beim Einrichten jede Regel und jeden geänderten DNS-Eintrag. Der Rückbau ist dann eine Checkliste, kein Rätsel — und Sie behalten die Freiheit, den Dienst zu wechseln, statt aus Bequemlichkeit zu bleiben.

8. Fazit: ein Türsteher, den Sie kennen sollten, bevor Sie ihn einstellen

Cloudflare ist für einen Onlineshop das, was ein guter Türsteher für ein Ladengeschäft ist: Er hält Störer draußen, entlastet das Team hinter der Theke und macht das Geschäft nicht schneller, wenn die Kasse klemmt. Der Free-Plan bringt DDoS-Schutz, Basis-Firewall und Bot-Filter für 0 USD — für die meisten kleinen und mittleren Shops ist das der richtige Einstieg. Der Pro-Plan wird nötig, sobald Zahlungs-Webhooks und Warenwirtschaft saubere Ausnahmen brauchen.

Die Kritik ist an vier Stellen berechtigt, und an allen vieren gibt es eine Antwort: Registrar-Zugang und DNS-Kopie außerhalb von Cloudflare aufbewahren, den Auftragsverarbeitungsvertrag abschließen und die Datenschutzerklärung ergänzen, Ausnahmen für Maschinen pflegen, die Abhängigkeit bewusst eingehen und den Rückweg kennen. Wer diese vier Punkte erledigt, bekommt für wenig Geld eine Schutzschicht, die ein einzelner Server nicht bieten kann.

Alle Angaben zu Funktionen, Preisen, Ausfällen und Standorten stammen von Cloudflare-Seiten, den beiden Post-Mortems im Cloudflare-Blog, W3Techs und den Anbieterseiten der genannten Alternativen, jeweils abgerufen am 5. September 2026. Preise gelten je Domain in US-Dollar und können sich ändern. Die vollständige Quellenliste steht am Ende des Beitrags.

Hinweis: Dieser Beitrag gibt den Stand vom 5. September 2026 wieder und ersetzt keine Rechtsberatung. Die Hinweise zum Datenschutz ordnen das Thema allgemein ein; welche Verträge und Texte Ihr Shop konkret braucht, klären Sie bitte mit einer auf E-Commerce spezialisierten Kanzlei oder Ihrem Datenschutzbeauftragten.

9. Häufige Fragen zu Cloudflare

Ist Cloudflare vertrauenswürdig?

Cloudflare ist ein US-Unternehmen mit Hauptsitz in San Francisco, das nach eigenen Angaben durchschnittlich 115 Millionen HTTP-Anfragen pro Sekunde verarbeitet und laut W3Techs vor 25,1 Prozent aller Websites steht. Für den Datenschutz stehen ein Auftragsverarbeitungsvertrag, die Zertifizierung unter dem EU-US Data Privacy Framework sowie ISO 27001 und SOC 2. Vertrauen heißt hier vor allem: Abhängigkeit bewusst eingehen.

Ist Cloudflare gratis?

Ja, der Free-Plan kostet 0 US-Dollar je Domain und enthält DDoS-Schutz ohne Volumengrenze, den Free Managed Ruleset der Web Application Firewall, fünf eigene Firewall-Regeln, eine Rate-Limit-Regel, Bot Fight Mode und Turnstile. Kostenpflichtig werden Pro ab 20 US-Dollar und Business ab 200 US-Dollar pro Monat bei Jahreszahlung. Stand: 5. September 2026.

Wie sicher ist Cloudflare?

Technisch verbirgt Cloudflare die IP-Adresse Ihres Servers, filtert Angriffsmuster in der Web Application Firewall und verteilt DDoS-Verkehr über sein Netz. Organisatorisch weist der Anbieter ISO 27001, ISO 27701, SOC 2 Type II und PCI DSS Level 1 nach. Das Restrisiko liegt woanders: Fällt Cloudflare aus, ist Ihr Shop nicht erreichbar, obwohl Ihr Server läuft.

Was ist aktuell mit Cloudflare los?

Ob gerade eine Störung läuft, zeigt die offizielle Statusseite cloudflarestatus.com mit aktiven und kürzlich gelösten Vorfällen. Die beiden großen Ausfälle des Jahres 2025 hat Cloudflare in Post-Mortems dokumentiert: Am 18. November stockte der Kernverkehr ab 11:20 UTC für gut drei Stunden, am 5. Dezember fielen rund 25 Minuten lang etwa 28 Prozent des HTTP-Verkehrs aus.

Wie funktioniert Cloudflare?

Ihre Nameserver zeigen auf Cloudflare. Für jeden Eintrag mit aktivem Proxy antwortet Cloudflare dann nicht mit der IP-Adresse Ihres Servers, sondern mit einer eigenen Anycast-Adresse. Jede Anfrage landet so zuerst in einem Cloudflare-Rechenzentrum, wird geprüft, gefiltert und wenn möglich aus dem Zwischenspeicher beantwortet. Erst der Rest erreicht Ihren Shop-Server.

Wie werde ich Cloudflare wieder los?

In zwei Stufen. Zuerst „Pause Cloudflare on Site“ im Dashboard: Der Verkehr geht laut Cloudflare innerhalb von fünf Minuten direkt an Ihren Server, ohne Nameserver-Wechsel. Läuft alles, ändern Sie die Nameserver beim Registrar und entfernen die Domain aus dem Konto. Vorher prüfen: Ein Cloudflare-Origin-Zertifikat auf dem Server erzeugt sonst Zertifikatswarnungen.

Wo sitzt Cloudflare?

Der Hauptsitz von Cloudflare, Inc. liegt in San Francisco, 101 Townsend Street. Büros gibt es laut Unternehmensseite unter anderem in München, London und Lissabon. Die Rechenzentren stehen in mehr als 335 Städten in über 125 Ländern; in Deutschland nennt Cloudflare Berlin, Düsseldorf, Frankfurt, Hamburg, München und Stuttgart. Rechtlich bleibt es ein US-Anbieter.

10. Quellen & weiterführende Informationen

Alle Angaben in diesem Beitrag stützen sich auf die folgenden Quellen. Alle wurden am 5. September 2026 abgerufen und im Text gegengelesen. Externe Quellen öffnen in einem neuen Tab.

• Cloudflare Infocenter — Was ist Cloudflare? — Selbstbeschreibung als eines der größten Netzwerke im Internet, durchschnittlich 115 Millionen HTTP-Anfragen pro Sekunde, Rechenzentren in mehr als 335 Städten, Schutz vor DDoS-Angriffen und böswilligen Bots.
• Cloudflare Infocenter — Was ist ein Reverse-Proxy? — Definition des Reverse-Proxys, kein Client kommuniziert direkt mit dem Ursprungsserver, Vorteile Lastverteilung, Schutz vor Angriffen, Caching und Verschlüsselung.
• Cloudflare Docs — How Cloudflare DNS works (Stand 20. April 2026) — Domain wird aktiv, sobald die Nameserver auf Cloudflare zeigen; bei aktivem Proxy antwortet Cloudflare mit einer Anycast-Adresse statt der Server-IP.
• Cloudflare Docs — Traffic flow through Cloudflare (Stand 20. April 2026) — Cloudflare wird vor die zu schützende Anwendung, den Dienst oder Server geschaltet; Verkehr läuft über das Anycast-Netz ein und aus.
• Cloudflare Infocenter — Was ist eine Web Application Firewall? — Definition der WAF als Filter des HTTP-Verkehrs auf Ebene 7, Schutz vor SQL-Injection, Cross-Site-Scripting, File Inclusion und Cross-Site Forgery.
• Cloudflare Infocenter — Was ist ein Content Delivery Network? — Definition des CDN als geografisch verteilte Servergruppe, die Inhalte nahe bei den Endnutzern zwischenspeichert; Wirkung auf Ladezeit und Bandbreite.
• Cloudflare Docs — Challenges (Stand 15. April 2026) — Zweck der Prüfseiten, minimale Aktion wie ein Kästchen oder ein Button, ausdrücklich keine Bilderrätsel oder verzerrten Zeichen.
• Cloudflare Docs — Cloudflare-Cookies — Cookie __cf_bm für Bot Management und Bot Fight Mode mit Ablauf nach 30 Minuten Inaktivität, cf_clearance für JavaScript-Prüfungen, _cfuvid bei Rate-Limiting-Regeln.
• Cloudflare — Tarife und Preise — Free, Pro, Business und Enterprise; Preise in US-Dollar mit Rabatt bei Jahreszahlung; Automatic Platform Optimization für WordPress ab 5 US-Dollar im Free-Tarif, in Pro, Business und Enterprise enthalten.
• Cloudflare Trust Hub — DSGVO — Auftragsverarbeitungsvertrag mit Standardvertragsklauseln, Zertifizierung unter dem EU-US Data Privacy Framework, ISO 27001, ISO 27701, SOC 2 Type II, PCI DSS Level 1, Data Localization Suite.
• Cloudflare Blog — Cloudflare outage on November 18, 2025 — Beginn 11:20 UTC, kein Cyberangriff, Ursache in der Konfigurationsdatei des Bot-Management-Systems, Kernverkehr ab 14:30 UTC weitgehend normal, alle Systeme 17:06 UTC, schwerster Ausfall seit 2019, Turnstile und Dashboard-Login betroffen.
• Cloudflare Blog — Cloudflare outage on December 5, 2025 — Ausfall von 08:47 bis 09:12 UTC, etwa 28 Prozent des HTTP-Verkehrs betroffen, Auslöser Änderungen an der Body-Parsing-Logik der WAF, Abschaltung eines internen Testwerkzeugs über das globale Konfigurationssystem.
• Cloudflare System Status — Offizielle Statusseite mit aktiven und kürzlich gelösten Vorfällen sowie geplanten Wartungen.
• Cloudflare Radar — 2025 Year in Review — Zum 2. Dezember 2025 stammten 47 Prozent der HTML-Anfragen von Menschen und 44 Prozent von Nicht-KI-Bots; KI-Bots im Jahresdurchschnitt 4,2 Prozent, Googlebot allein 4,5 Prozent.
• Cloudflare — About und Standorte — Hauptsitz 101 Townsend Street, San Francisco; Büros unter anderem in London, Lissabon und München; Rechenzentren in 335 Städten in über 125 Ländern.
• Cloudflare — Das globale Netzwerk, Standorte der Rechenzentren — Deutsche Standorte Berlin, Düsseldorf, Frankfurt, Hamburg, München und Stuttgart.
• Cloudflare Docs — Pause Cloudflare (Stand 20. April 2026) — Pausieren leitet den Verkehr direkt zum Ursprungsserver, dauert fünf Minuten oder weniger und ist dem Nameserver-Wechsel vorzuziehen; Alternativen Proxy-Status je Eintrag und Development Mode.
• Cloudflare Docs — Remove a domain (Stand 20. April 2026) — Entfernen kündigt alle Abonnements der Domain ohne Erstattung, ändert die Registrierung nicht; Nameserver beim Registrar umstellen, DS-Eintrag und DNSSEC vorher deaktivieren.
• Cloudflare Docs — Origin CA certificates — Hinweis, dass Besucher Zertifikatswarnungen sehen können, wenn Cloudflare pausiert wird und der Server ein Origin-CA-Zertifikat nutzt.
• Cloudflare — Customer Story Shopify — Shopify setzt Cloudflare WAF, Bot Management, Gateway, DDoS Protection und Workers ein und spricht von Millionen geschützter Storefronts.
• W3Techs — Usage statistics of Cloudflare (Stand 4. September 2026) — Cloudflare wird von 25,1 Prozent aller Websites genutzt und hält 84,6 Prozent unter den bekannten Reverse-Proxy-Diensten.
• JTL-Forum — Cloudflare und JTL Shop: Problem oder zu empfehlen? — Ausfall des Wawi-Workers nach Aktivierung, Ausnahme für den Mollie-Webhook, HTML-Cache gegen Warenkorb und Checkout, Bericht über 1,5 Wochen DDoS-Angriffe.
• JTL-Forum — AdFraud Traffic durch Bots — Bericht über rund 1.000 Bots im Shop binnen zehn Minuten nach dem Start einer Meta-Kampagne und der Rat, Bots auf Server-Ebene statt in der Shop-Software zu blocken.
• Myra Security GmbH — Impressum — Sitz der Gesellschaft München; Selbstbeschreibung auf der Startseite mit DDoS-Schutz, WAF und Bot-Manager.
• Link11 GmbH — Impressum — Anschrift Lindleystraße 12, 60314 Frankfurt am Main.
• bunny.net — Terms of Service — BunnyWay d.o.o., Dunajska cesta 165, 1000 Ljubljana, Slowenien; Produktübersicht mit CDN, Shield und DNS auf der About-Seite.
• Fastly — Contact us — Headquarters 475 Brannan Street, San Francisco; Produktseite mit Content Delivery, Security und Load Balancer.
• Akamai — Company — Akamai Corporate Headquarters, 145 Broadway, Cambridge, Massachusetts; Selbstbeschreibung mit Sicherheits- und Cloud-Computing-Lösungen.