Cloudflare als CDN: Funktionen, Tarife und Datenschutz

Cloudflare, Inc. sitzt in San Francisco ^[5] und betreibt eines der bekanntesten Netze für die Auslieferung von Websites. Auf seiner Netzwerkseite nennt das Unternehmen Rechenzentren in 348 Städten und mehr als 100 Ländern ^[2]. Neben dem CDN bietet Cloudflare DNS, Schutz vor Angriffen, eine Web Application Firewall, Zertifikate und Dienste zum Programmieren am Netzrand an. Diese Seite beschreibt, wie der Dienst arbeitet, was die Tarife enthalten und welche Fragen beim Datenschutz offen sind. Andere Anbieter findest du im Vergleich der CDN-Anbieter.

So arbeitet Cloudflare

Cloudflare ist ein Reverse Proxy. Im üblichen Aufbau wird Cloudflare der maßgebliche DNS-Anbieter deiner Domain ^[3]. Dafür trägst du bei deinem Registrar die Nameserver von Cloudflare ein. Diese sogenannte primäre Einrichtung ist laut Dokumentation die häufigste und für die Tarife Free und Pro die einzige verfügbare ^[11].

Für jeden DNS-Eintrag legst du fest, ob er über das Netz von Cloudflare laufen soll. Ist das der Fall, bekommen Besucher vom DNS eine Anycast-Adresse aus dem Netz von Cloudflare, und die Adresse deines Servers bleibt verborgen ^[3]. Der Browser der Besucher verbindet sich mit einem nahen Rechenzentrum. Dort wird die Anfrage aus dem Cache beantwortet oder an deinen Server weitergereicht, und die Antwort geht auf demselben Weg zurück ^[3]. Cloudflare nennt als Folgen dieses Aufbaus: Lastverteilung, Schutz vor Angriffen, weil Angreifer nur den Proxy sehen, Caching in Besuchernähe und das Entschlüsseln von HTTPS am Rand des Netzes, was deinen Server entlastet ^[3].

Was Cloudflare im Cache speichert

Ohne eigene Regeln speichert Cloudflare nur Dateien mit bestimmten Endungen, etwa Bilder, Videos, Schriften, PDF, CSS und JavaScript. HTML und JSON speichert es nicht ^[4]. Auch Antworten mit Set-Cookie und solche mit Cache-Control: private, no-store, no-cache oder max-age=0 bleiben außen vor. Gespeichert werden nur GET-Anfragen ^[4]. Antworten ohne Cache-Kopfzeile hält Cloudflare je nach Statuscode unterschiedlich lange: 200, 206 und 301 für 120 Minuten, 404 und 410 für 3 Minuten ^[4].

Willst du auch HTML ausliefern lassen, brauchst du eigene Cache-Regeln. Für WordPress gibt es dafür den Zusatzdienst Automatic Platform Optimization, der mit dem offiziellen Plugin zusammenarbeitet. Er ist im kostenlosen Tarif zubuchbar und in Pro und Business enthalten ^[9]. Einzelheiten stehen auf der Seite CDN für WordPress.

Umstellung in groben Zügen

Die primäre Einrichtung betrifft neben Cloudflare auch deinen Registrar und deinen bisherigen DNS-Anbieter ^[11]. Im Ablauf sieht das so aus:

1. Domain im Cloudflare-Konto hinzufügen und einen Tarif wählen.
2. Alle DNS-Einträge mit denen beim bisherigen Anbieter vergleichen, besonders MX-, TXT- und Subdomain-Einträge. Fehlt einer, kommen nach der Umstellung zum Beispiel keine E-Mails mehr an.
3. Festlegen, welche Einträge über das Netz laufen. Das betrifft nur Webverkehr über HTTP und HTTPS ^[3]. Hostnamen für Mailserver bleiben deshalb direkt erreichbar.
4. Beim Registrar die Nameserver auf die Server ändern, die Cloudflare dir im Konto anzeigt.
5. Warten, bis Cloudflare die Domain als aktiv meldet, und dann Website, Zertifikat und E-Mail prüfen.

Wie lange es dauert, bis neue Nameserver überall gelten, erklärt die Seite DNS-Änderung: wie lange dauert es, bis sie überall gilt?.

Tarife und Preise

Für Websites bietet Cloudflare vier Stufen an. Die Preise stammen von der offiziellen Tarifseite, Stand 29.10.2026, in US-Dollar ohne Steuer ^[1].

Die Tarifseite nennt für keinen der vier Tarife eine Grenze beim Datenvolumen des CDN ^[1]. Zusatzdienste kosten extra, etwa ein erweitertes Zertifikatsmanagement für 10 USD im Monat ^[1]. Rechen- und Speicherdienste wie Workers, R2 oder Container rechnet Cloudflare getrennt nach Verbrauch ab, jeweils mit kostenlosen Grundkontingenten ^[10].

Weitere Funktionen

Neben dem CDN liefert Cloudflare für jeden Tarif kostenlose Zertifikate (Universal SSL), damit deine Domain über HTTPS erreichbar ist ^[1]. Die Verschlüsselung endet dabei am Rand des Cloudflare-Netzes. Zwischen Cloudflare und deinem Server solltest du ebenfalls ein gültiges Zertifikat einsetzen, sonst läuft dieser Teil des Weges unverschlüsselt oder ungeprüft. Wie das geht, erklärt Let's Encrypt: kostenlose Zertifikate einrichten.

Die Web Application Firewall prüft Anfragen auf bekannte Angriffsmuster, der kostenlose Tarif enthält einen verwalteten Grundregelsatz ^[1]. Der DDoS-Schutz ist in allen Tarifen ohne Volumengrenze enthalten ^[1]. Mit Workers lässt sich eigener Code in den Rechenzentren ausführen, etwa für Weiterleitungen oder angepasste Kopfzeilen. R2 ist ein Objektspeicher, für den Cloudflare keine Gebühren für ausgehenden Datenverkehr berechnet ^[10].

Ausfälle und Abhängigkeit

Wer seine Domain über Cloudflare laufen lässt, hängt von dessen Netz ab. Am 18.11.2025 lieferten Kernfunktionen von CDN und Sicherheitsdiensten weltweit Fehler mit Statuscodes ab 500. Laut dem Bericht von Cloudflare begann die Störung um 11:20 Uhr UTC, um 17:06 Uhr UTC liefen alle Dienste wieder ^[12]. Auslöser war eine geänderte Berechtigung in einer Datenbank. Dadurch wurde eine Konfigurationsdatei für die Bot-Erkennung etwa doppelt so groß und überschritt eine Grenze in der Proxy-Software ^[12].

Solche Ausfälle treffen viele Websites gleichzeitig. Für kleinere Projekte ist das oft hinnehmbar. Wer mehr Ausfallsicherheit braucht, kann im Notfall die Weiterleitung über das Netz für einzelne DNS-Einträge abschalten, dann zeigt das DNS wieder direkt auf den eigenen Server. Das setzt voraus, dass dieser Server dann selbst ein gültiges Zertifikat hat und die Last tragen kann. Einige Anbieter sind ganz von Cloudflare unabhängig. Welche das sind, zeigt der Vergleich der CDN-Anbieter.

Datenschutz

Cloudflare verarbeitet bei jedem Aufruf die IP-Adressen und weitere Daten deiner Besucher. Nach der eigenen Datenschutzerklärung handelt Cloudflare für die Inhalte, die Kunden und deren Besucher über das Netz schicken, als Auftragsverarbeiter. Zu den Besuchern habe Cloudflare keine direkte Beziehung ^[5]. Du bist also verantwortlich und brauchst einen Vertrag zur Auftragsverarbeitung.

Cloudflare stellt dafür einen Auftragsverarbeitungsvertrag (Customer DPA) bereit, aktuell in Version 6.4, gültig seit 03.04.2026. Er ist nach eigener Aussage Teil des Hauptvertrags und gilt ab dem Tag, an dem der Kunde ihm zugestimmt hat ^[6]. Für Übermittlungen in die USA nennt der Vertrag zwei Grundlagen: das EU-US Data Privacy Framework und, falls diese Zertifizierung entfällt, die Standardvertragsklauseln der EU ^[6]. Laut Datenschutzerklärung hält sich Cloudflare an das Data Privacy Framework ^[5].

Das Data Privacy Framework beruht auf einem Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023. Er erlaubt Übermittlungen an US-Unternehmen, die am Framework teilnehmen ^[8]. Der Vorgänger, der Privacy Shield, war im Juli 2020 durch das Urteil Schrems II gefallen ^[8]. Ob der neue Rahmen dauerhaft hält, ist offen. Für dich bedeutet das: Prüfe die Teilnahme von Cloudflare in der offiziellen Liste des Frameworks und halte die Rechtsgrundlage in deiner Dokumentation fest.

Wer verlangt, dass Daten nur in der EU verarbeitet werden, findet bei Cloudflare die Data Localization Suite. Damit lässt sich festlegen, in welchen Rechenzentren HTTPS-Verkehr entschlüsselt wird, wo Protokolldaten liegen und wo die privaten Schlüssel gespeichert sind. Die Suite gibt es nur im Enterprise-Tarif als kostenpflichtige Erweiterung ^[7]. Wie du ein CDN datenschutzgerecht einsetzt und was in die Datenschutzerklärung gehört, steht ausführlich unter CDN und DSGVO.

Für wen Cloudflare in Frage kommt

Ob Cloudflare zu deinem Projekt passt, hängt von wenigen Fragen ab. Darfst oder willst du die Nameserver deiner Domain an Cloudflare übergeben? In den Tarifen Free und Pro ist das Pflicht ^[11]. Kommst du mit Hilfe aus der Community aus, oder brauchst du festen Support und eine Verfügbarkeitszusage, die es erst ab Business gibt ^[1]? Und genügt dir für den Datenschutz die Übermittlung auf Grundlage von Data Privacy Framework und Standardvertragsklauseln, oder brauchst du eine Verarbeitung nur in der EU?

Wie die Umstellung im Einzelnen abläuft, beschreibt CDN einrichten in sieben Schritten. Was Nameserver sind und wie du sie änderst, steht unter Nameserver ändern.

1. Organisation Network and CDN plans. Cloudflare, Inc.. Stand laufend. abgerufen am 29.10.2026
2. Organisation Cloudflare global network. Cloudflare, Inc.. Stand laufend. abgerufen am 29.10.2026
3. Organisation How Cloudflare works. Cloudflare, Inc.. Stand laufend. abgerufen am 29.10.2026
4. Organisation Default cache behavior. Cloudflare, Inc.. Stand laufend. abgerufen am 29.10.2026
5. Organisation Cloudflare Privacy Policy. Cloudflare, Inc.. Stand 04.11.2025. abgerufen am 29.10.2026
6. Organisation Customer Data Processing Addendum, Version 6.4. Cloudflare, Inc.. Stand 03.04.2026. abgerufen am 29.10.2026
7. Organisation Data Localization Suite. Cloudflare, Inc.. Stand laufend. abgerufen am 29.10.2026
8. Behörde EU-US data transfers. Europäische Kommission. Stand laufend. abgerufen am 29.10.2026
9. Organisation Cloudflare (Plugin-Seite). WordPress.org Plugin-Verzeichnis. Stand Version 4.14.5. abgerufen am 29.10.2026
10. Organisation Compute and storage pricing. Cloudflare, Inc.. Stand laufend. abgerufen am 29.10.2026
11. Organisation Primary setup (full). Cloudflare, Inc.. Stand laufend. abgerufen am 29.10.2026
12. Organisation Cloudflare outage on November 18, 2025. Cloudflare, Inc.. Stand 18.11.2025. abgerufen am 29.10.2026

Zuletzt geprüft am 29.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.