Was wir am häufigsten vorfinden
Drei Fehler sehen wir immer wieder. Die Verbindung zwischen Cloudflare und dem eigentlichen Server läuft unverschlüsselt weiter, obwohl der Besucher ein gültiges Zertifikat sieht. Die Adresse des Servers ist weiterhin öffentlich, sodass jeder Angreifer einfach an Cloudflare vorbeigeht — die ganze Firewall ist dann Dekoration. Und der Bot-Schutz ist eingeschaltet, aber nicht eingestellt: Er stoppt Scanner, aber ebenso die Rückmeldung des Zahlungsanbieters, den Abgleich mit der Warenwirtschaft oder das Monitoring. Wer das nicht weiß, sucht tagelang nach dem Grund, warum Zahlungen nicht bestätigt werden.
Dazu kommen Cache-Regeln, die in einem Shop den Warenkorb des einen Kunden an den nächsten ausliefern, Komfortfunktionen, die Storefronts stillschweigend brechen, und ein „Under Attack“-Modus, der nach dem Angriff nie wieder ausgeschaltet wurde. Alle diese Zustände sehen von außen gut aus. Genau deshalb schauen wir zuerst hin, bevor wir etwas anfassen.
Grundlage: Verschlüsselung und ein Server, den nur Cloudflare erreicht
Wir beginnen bei der Zone selbst: welche Einträge über Cloudflare laufen und welche nicht, ob die Verschlüsselung durchgehend bis zum Server reicht, ob DNS gegen Manipulation abgesichert ist und ob die Server-Adresse irgendwo steht, wo sie nicht hingehört. Das klingt nach Grundlagen — es sind die Stellen, an denen ein Setup trotz Cloudflare offen bleibt.
Dann wird der Server abgeschottet: Er nimmt Anfragen nur noch aus den Netzen von Cloudflare an, auf Wunsch weist sich Cloudflare ihm gegenüber zusätzlich per Zertifikat aus. Und wir sorgen dafür, dass Protokolle, Login-Bremsen und Statistiken weiterhin echte Besucher sehen statt Cloudflare-Adressen — ein Detail, das erstaunlich oft fehlt und ohne das jede serverseitige Drosselung ins Leere läuft.
Firewall und Bot Fight Mode: Regeln, die Angriffe treffen und Kunden nicht
Die Web Application Firewall arbeitet bei uns in Schichten: zuerst die verwalteten Regelsätze von Cloudflare gegen bekannte Angriffsmuster, darüber eigene Regeln, die zu Ihrem System passen — Verwaltungszugänge nur für die, die sie brauchen, Anfragen nach Dateien, die es auf Ihrer Seite nicht gibt, direkt verworfen, Pfade für Schnittstellen und Zahlungsanbieter ausdrücklich freigegeben. Rate Limiting begrenzt Login-Versuche, Suchanfragen und Formular-Einsendungen je Absender, ohne dass ein normaler Besucher davon je etwas merkt.
Beim Bot-Schutz entscheidet der Tarif über die Werkzeuge. Der einfache Bot Fight Mode kennt keine Ausnahmen; wo Schnittstellen, Webhooks oder Monitoring im Spiel sind — also bei praktisch jedem Shop —, braucht es den Super Bot Fight Mode mit verifizierten Bots auf der Erlaubt-Liste und eigenen Regeln, die bestimmte Pfade vom Bot-Schutz ausnehmen. Wir stellen das so ein, dass der Scanner die Prüfseite sieht und der Zahlungsanbieter nicht.
Regeln sind nie fertig. Nach dem Scharfschalten lesen wir die Sicherheitsereignisse: Was wurde blockiert, was nur geprüft, und war darunter etwas, das durch hätte sollen? Fehlalarme werden zu Ausnahmen, neue Muster zu Regeln. Für Formulare nutzen wir Turnstile statt klassischer Captchas — ohne Bilderrätsel, serverseitig geprüft, so wie auf dieser Website.
Cache, Betrieb und Ihr Konto
Statische Dateien darf Cloudflare lange vorhalten — hier liegt der größte Gewinn für Ladezeit und Serverlast. Bei Seiteninhalten entscheidet das System: Eine TYPO3- oder WordPress-Seite lässt sich am Rand zwischenspeichern, wenn Veröffentlichungen den Cache gezielt leeren; ein Shop braucht Regeln, die Warenkorb, Kasse und Kundenkonto grundsätzlich umgehen und mit dem eigenen Cache von Shopware zusammenspielen. Wir binden das Leeren an Ihre Abläufe, damit Redaktion und Shop nie alte Stände ausliefern.
Das Cloudflare-Konto gehört Ihnen — wir arbeiten mit Zugriff statt Besitz, genau wie bei Anzeigenkonten. Jede Einstellung ist dokumentiert und begründet, damit auch jemand anderes sie später versteht. Und weil sich Angriffsmuster, Ihre Schnittstellen und Cloudflares Funktionen ändern, gehört die Zone in den regelmäßigen Prüfzyklus unseres Supports.
Ein Hinweis zur Einordnung: Cloudflare ist ein US-Anbieter, über dessen Netz der Verkehr Ihrer Besucher läuft. Der Einsatz gehört in die Datenschutzerklärung und braucht einen Auftragsverarbeitungsvertrag, den Cloudflare bereitstellt. Wir liefern die technischen Angaben dafür — die datenschutzrechtliche Bewertung bleibt bei Ihnen oder Ihrem Datenschutzbeauftragten.