Inhalt9
„Wir haben Cloudflare davorgeschaltet, wir sind geschützt.“ Der Satz ist zur Hälfte wahr. Ein Reverse Proxy vor einer Website oder einer Anwendung ändert vieles: Überlastungsangriffe enden vor dem Server, verdächtige Anfragen werden gefiltert, Dateien werden aus einem Cache nahe beim Besucher ausgeliefert. Aber er sieht nur, was durch ihn läuft, und er handelt manchmal in Ihrem Namen, ohne dass Sie darum gebeten haben. Dieser Artikel ordnet das ein, im Rahmen unseres Leitfadens zum Cloud-Infrastrukturfundament.
Wir nehmen Cloudflare als Beispiel, weil wir es nutzen und seine Einstellungen öffentlich dokumentiert sind. Dieselbe Konstruktion gibt es anderswo: bei den großen Clouds (Amazon CloudFront mit AWS WAF, Azure Front Door, Google Cloud Armor), bei Content-Delivery-Netzwerken wie Fastly, Akamai oder dem europäischen Bunny, oder mit einem Reverse Proxy auf Ihrem eigenen Server. Die Fragen dieses Artikels gelten für alle.
Kurz gesagt
- Ein Reverse Proxy empfängt alle Anfragen an Stelle Ihres Servers und leitet nur die weiter, die seine Regeln passieren.
- Bei Cloudflare ist der Schutz vor Überlastungsangriffen in allen Tarifen enthalten, vom Netzwerk bis zur Anwendung.
- Er schützt keine verwundbare Anwendung, keinen direkt erreichbaren Server und keine gestohlenen Zugangsdaten.
- Er kann verändern, was Ihre Website ausliefert, robots.txt eingeschlossen: Prüfen Sie die Produktionsadresse, nicht Ihren Code.
- Alles läuft durch ihn: Ein Ausfall des Proxys ist ein Ausfall Ihrer Dienste, und der Wiederherstellungsplan muss das vorsehen.
Was ein Reverse Proxy tut
Definition
Der Reverse Proxy
Ein Server vor Ihren Diensten, der die Anfragen der Besucher an ihrer Stelle empfängt, entscheidet, was damit geschieht (ablehnen, aus seinem Cache antworten, weiterleiten), und die Antwort zurückschickt. Der Besucher spricht nur mit dem Proxy; Ihr Server spricht nur mit dem Proxy.
Der Weg einer Anfrage hinter einem Proxy
- Der Besucher
Er fragt eine Seite unter Ihrer gewohnten Adresse an.
- Der Proxy
Er filtert, verschlüsselt und antwortet aus seinem Cache, wenn er kann.
- Ihr Server
Er erhält nur, was der Proxy durchgelassen hat.
- Die Antwort
Sie geht über den Proxy zurück, der sie im Cache behalten kann.
Diese Position erklärt alles Weitere: Der Proxy schützt, was durch ihn läuft, und nur das.
Was er schützt
Überlastungsangriffe. Ein Angriff, der einen Server mit Anfragen überflutet, legt ihn lahm, unabhängig von der Qualität seines Codes. Ein weltweites Netzwerk fängt dieses Volumen ab, bevor es bei Ihnen ankommt. Die Dokumentation von Cloudflare zum DDoS-Schutz gibt an, dass ein Standardschutz ohne Volumenbegrenzung, von den Netzwerkschichten bis zur Anwendungsschicht, in allen Tarifen enthalten ist.
Verdächtige Anfragen. Die Web Application Firewall prüft eingehende Web- und API-Anfragen und filtert unerwünschten Traffic nach Regelsätzen: vom Anbieter verwaltete Regeln, Regeln, die Sie selbst schreiben, Ratenbegrenzungen. Der Umfang hängt vom Tarif ab: Im Einstiegstarif gibt es einen einzigen verwalteten Regelsatz und eine einzige Ratenbegrenzungsregel.
Verschlüsselung und Cache. Der Proxy präsentiert den Besuchern ein Zertifikat und liefert Dateien, die sich nicht ändern, aus seinem Cache aus. Eine statische Website profitiert am meisten: Ihre ganzen Seiten sind Dateien.
Die Adresse Ihres Servers. Wenn die DNS-Einträge über den Proxy laufen, sieht der Besucher nur die Adressen des Proxys. Unter einer Bedingung, weiter unten erläutert: dass nichts anderes die echte Adresse verrät.
Was er nicht schützt
Was durch den Proxy läuft
Überlastungsangriffe auf Ihre Domain
Anfragen, die einer bekannten Regel entsprechen
Die Verschlüsselung zwischen Besucher und Proxy
Die Last der aus dem Cache ausgelieferten Dateien
Was ihm entgeht
Ein Server, der direkt über seine Adresse erreichbar ist
Eine Lücke in der Anwendung, die die Regeln nicht erkennen
Ein gestohlenes Passwort oder ein gestohlener API-Schlüssel, normal verwendet
Daten, die ohne Sicherung verloren gehen
Der direkt erreichbare Server. Cloudflare beschreibt in seiner Seite zum Schutz des Ursprungsservers, was die echte Adresse verraten kann: nicht weitergeleitete DNS-Einträge (SPF, TXT), ein Mailserver auf derselben Maschine, die DNS-Historie aus der Zeit vor der Einrichtung des Proxys. Seine Gegenmaßnahmen: auf dem Server nur Traffic von den Adressen von Cloudflare annehmen, die Anfragen des Proxys authentifizieren oder ein ausgehender Tunnel, der jede öffentliche Adresse vermeidet. Und die Adresse des Servers nach der Einrichtung ändern.
Die Anwendung selbst. Eine Web Application Firewall erkennt bekannte Angriffe; sie behebt keine verwundbare Erweiterung und keine fehlerhafte Logik. Die Updates bleiben Ihre Sache, wie unser Artikel über gehackte WordPress-Websites zeigt.
Die Zugangsdaten. Eine Anmeldung mit einem gestohlenen Passwort oder API-Schlüssel sieht aus wie eine normale Anmeldung. Dieses Risiko wird anderswo behandelt: ein Passwortmanager für das Team und der Schutz der API-Schlüssel von KI-Projekten.
Ein Proxy handelt auch in Ihrem Namen
Ein Proxy kann verändern, was Ihre Website ausliefert: Header hinzufügen, eine Adresse umschreiben, eine Datei einfügen. Diese Optionen sind nützlich, wenn man sie wählt, tückisch, wenn sie standardmäßig aktiviert sind.
Achtung
Ein Kunde hat es beim Audit entdeckt
Bei Palmora Property, einer Vermittlungsplattform für Immobilien in Phuket, die wir begleiten, erlaubte die robots.txt im Repository allen Robotern den Zugriff. Die in Produktion ausgelieferte Datei begann mit einem von Cloudflare hinzugefügten Block, der „verwalteten robots.txt“, die im Code fehlte und unter anderem GPTBot, ClaudeBot und Google-Extended ausschloss. Das Audit vom 22. Juli 2026 hat es festgestellt, und die Option wurde noch am selben Tag deaktiviert.
Die Regel, die daraus folgt, ist einfach: Man prüft, was die Produktionsadresse ausliefert, nicht, was das Repository enthält. Die Folgen dieser Sperre für die Sichtbarkeit in KI-Assistenten beschreibt unser Artikel darüber, was eine Website für KI zitierfähig macht.
Ein einziger Durchgangspunkt
Alles läuft durch den Proxy: Fällt er aus, fallen Ihre Dienste mit ihm aus, auch wenn Ihr Server einwandfrei läuft. Cloudflare hat einen ausführlichen Bericht über seinen Ausfall vom 18. November 2025 veröffentlicht:
- 11:20 UTC
Das Netzwerk von Cloudflare beginnt, den Traffic nicht mehr weiterzuleiten. Eine Konfigurationsdatei der Bot-Verwaltung, die nach einer Rechteänderung in einer Datenbank zu groß geworden war, bringt die Proxy-Software zum Absturz.
- 17:06 UTC
Alle Systeme von Cloudflare funktionieren wieder normal.
Das ist kein Argument gegen Proxys: Ein einzelner Server fällt auch aus, und häufiger. Es ist ein Argument, es in den Plan zu schreiben. Drei Vorkehrungen genügen: eine externe Sonde, die den Dienst durch den Proxy testet (siehe unseren Leitfaden zur Überwachung), ein schriftliches Verfahren, um die Website ohne den Proxy auszuliefern, wenn der Ausfall andauert, und Zugänge zum Proxy-Konto, die mit den anderen Notfallzugängen im Notfallwiederherstellungsplan abgelegt sind.
Was wir tun
Aus der Praxis
Die Nameserver dieser Website liegen seit dem 2. Oktober 2026 bei Cloudflare, und ihre Seiten werden seit dem 18. Oktober 2026 vom Netzwerk von Cloudflare ausgeliefert. Die Konstruktion funktioniert, weil die Seiten Dateien ohne personenbezogene Daten sind; die Anfragen aus dem Formular werden in einem Speicher abgelegt, der der europäischen Gerichtsbarkeitsbeschränkung unterliegt. Weiterleitungen, Sicherheits-Header und die Konfiguration des Hosters sind im Repository der Website geschrieben und werden wie Code gegengelesen.
Auf einem eigenen Server gilt dasselbe Prinzip im Kleinen: ein einziger Reverse Proxy vor allen Diensten, der Zertifikate und Zugangsregeln zentralisiert, und die Dienste selbst gegenüber dem Internet geschlossen.
Wo anfangen
- Erfassen, was offenliegt.
Jede Domain und Subdomain, was sie ausliefert und ob sie über den Proxy läuft.
- Den direkten Zugang schließen.
Der Server nimmt nur den Proxy an, dann seine Adresse ändern, wenn sie schon kursiert ist.
- Die aktivierten Optionen durchsehen.
Bot-Verwaltung, Umschreibungen, hinzugefügte Dateien: behalten, was man gewählt hat, den Rest entfernen.
- Prüfen, was ausgeliefert wird.
Robots.txt, Header und Weiterleitungen, an der Produktionsadresse.
- Den Ausfall einplanen.
Eine externe Sonde, ein schriftliches Umgehungsverfahren, Notfallzugänge.
Der Rest der Baustelle
Der Proxy ist nur eine Schicht des Fundaments. Der Hosting-Ort wird nach Verwendung gewählt (dedizierter Server, VPS oder Cloud) und seine Rechnung überwacht (die Posten, die eine Cloud-Rechnung aufblähen). Was der Proxy nicht schützt, wird durch die Sicherungen behandelt, durch eine gut betriebene Datenbank (verwaltetes oder eigenes Postgres) und durch eine Infrastruktur, die man wieder aufbauen kann (Infrastructure as Code). Kubernetes ist nicht nötig, um einen Proxy vor einige Dienste zu stellen (wann ein KMU es nicht braucht), und n8n im Produktivbetrieb steht wie die anderen dahinter (selbst gehostetes n8n). Der E-Mail-Dienst, der die Adresse eines Servers verraten kann, hat einen eigenen Artikel (geschäftliche E-Mail: Google, Microsoft oder europäischer Hoster). Zu den Entscheidungen: die Werkzeuge, die man zuerst aus dem SaaS holt, die Kosten eines SaaS-Ausstiegs über drei Jahre, die Cloud-Migration, ohne alles kaputt zu machen, die Abhängigkeit von der amerikanischen Cloud, die Hardware, um ein KI-Modell zu betreiben und NIS2 in Frankreich.
Unser SaaS-Ausstieg installiert Ihre Werkzeuge hinter einem einzigen Reverse Proxy, auf einem Server, der Ihnen gehört, mit getesteten Sicherungen und Betriebsdokumentation: 5 500 € und drei Wochen.
Häufige Fragen
Genügt Cloudflare, um eine Website abzusichern?
Nein. Es schützt, was durch es läuft: Überlastungsangriffe, Anfragen, die seinen Regeln entsprechen, die Verschlüsselung zwischen Besucher und Proxy. Es behebt keine verwundbare Anwendung, schützt keinen direkt erreichbaren Server und erkennt keine Anmeldung mit gestohlenen Zugangsdaten. Updates, Zugänge und Sicherungen bleiben Ihre Aufgabe.
Braucht eine statische Website einen Proxy?
Eine statische Website hat keinen Anwendungsserver zu schützen, profitiert aber von derselben Konstruktion: Verschlüsselung, Cache nahe beim Besucher und Abfangen von Überlastungsangriffen. Die meisten Hoster für statische Websites arbeiten übrigens bereits so. Der Punkt, auf den man achten muss, bleibt derselbe: die Optionen, die verändern, was die Website ausliefert, etwa eine standardmäßig hinzugefügte robots.txt.
Was passiert, wenn Cloudflare ausfällt?
Die Dienste, die durch es laufen, werden unerreichbar, auch wenn Ihr Server funktioniert. Der Ausfall vom 18. November 2025 hat das in großem Maßstab gezeigt. Bereiten Sie eine Überwachungssonde vor, die durch den Proxy testet, ein schriftliches Verfahren, um die Website ohne ihn auszuliefern, wenn der Ausfall andauert, und Notfallzugänge zum Konto, abgelegt im Wiederherstellungsplan.
Gibt es europäische Alternativen zu Cloudflare?
Ja. Europäische Content-Delivery-Netzwerke wie Bunny bieten Cache, Schutz und Filterregeln an, und ein Reverse Proxy kann auch auf Ihrem eigenen Server in Europa laufen. Vergleichen Sie den Schutz vor Überlastungsangriffen, die Web Application Firewall, den Speicherort der Protokolle und die Einfachheit des Ausstiegs. Die Wahl folgt denselben Kriterien wie die eines Hosters.
Quellen
- Cloudflare, DDoS-Schutz (neuer Tab)developers.cloudflare.com
- Cloudflare, Web Application Firewall (WAF) (neuer Tab)developers.cloudflare.com
- Cloudflare, den Ursprungsserver schützen (neuer Tab)developers.cloudflare.com
- Cloudflare, Cloudflare outage on November 18, 2025 (neuer Tab)blog.cloudflare.com
Jim · Gründer von Brain Plus AI
Ebenfalls lesenswert zu infrastruktur und cloud
Praxisleitfaden12 Min. Der Leitfaden zum Thema
Cloud-Infrastruktur: das gemeinsame Fundament all Ihrer Projekte
Vor dem ersten Projekt regelt ein Fundament der Cloud-Infrastruktur ein für alle Mal Konten, Zugänge, Backups und Budget, und jedes folgende Projekt erbt es. Was es enthält, wo man es aufsetzt, was es kostet und warum sein Betrieb mehr zählt als seine Einrichtung.
Verstehen6 Min.
Cloud and AI Development Act: Rechenzentren verdreifachen
Der am 3. Juni 2026 vorgestellte Cloud and AI Development Act will die Kapazität europäischer Rechenzentren verdreifachen und ein vierstufiges Souveränitätsraster für die öffentliche Beschaffung von Cloud-Diensten schaffen. Was der Vorschlag enthält, wo die Verhandlungen stehen und was für die Wahl eines Hosters heute weiterhin gilt.
Verstehen7 Min.
Data Act: keine Cloud-Ausstiegsgebühren mehr ab Januar 2027
Ab dem 12. Januar 2027 darf ein Cloud-Anbieter den Anbieterwechsel nicht mehr in Rechnung stellen, und neue vernetzte Geräte geben ihre Daten bereits an ihre Nutzer heraus. Was Sie dank des Data Act verlangen können, und was er Ihnen nicht abnimmt.