Cloudflare WAF einrichten lassen, ohne Kunden oder Google auszusperren
Angriffe und Passwort-Raten bleiben bei Cloudflare hängen, bevor sie deinen Server erreichen. Neue Regeln zeigen zuerst nur eine kurze Prüfung, und Suchmaschinen und KI-Crawler stehen auf einer Ausnahmeliste.
Passt zu deiner Website auf
Woran du merkst, dass deine Website eine Firewall braucht
Die meisten Angriffe laufen automatisch. Sie treffen jede Website, egal wie klein.
In deinen Server-Logs tauchen Aufrufe wie /wp-login.php oder /.env auf, obwohl es diese Seiten nicht gibt.
Jemand probiert nachts Hunderte Passwörter für deinen Admin-Zugang aus.
Dein Hoster hat dein Paket wegen „ungewöhnlicher Last“ gedrosselt.
Ein Plugin-Update kam zu spät, und du weißt nicht, ob jemand die Lücke genutzt hat.
Angriffe erreichen den Server nicht mehr
Aus einem Kundenprojekt. Den Namen nenne ich hier nicht, das Ergebnis schon.
Der Server arbeitet nur noch für Kunden
Bei einem Mittelständler war zuletzt etwa jeder dritte Aufruf ein Angriff. Die Firewall fängt sie ab, bevor sie seinen Server erreichen.
Du siehst, was abgefangen wurde
Im Protokoll von Cloudflare steht jede gesperrte Anfrage mit Regel, Herkunft und Ziel. Ich schaue nach einer Woche mit dir hinein.
Werte aus Cloudflare, Kalenderwochen 32 bis 44 im Jahr 2026
Angriffe bleiben bei Cloudflare hängen, nicht auf deinem Server
Die Firewall prüft jede Anfrage, bevor sie deine Website erreicht. Diese vier Regeln richte ich bei jeder Website ein.
Wer deine Anmeldeseite zu oft in kurzer Zeit aufruft, wird für eine Weile ausgesperrt. Dein Team merkt davon nichts.
- Dein Team meldet sich andurch
- Unbekannte Adresse, 3. Versuchmitgezählt
- Dieselbe Adresse, 6. Versuchgesperrt
Mehr, was Cloudflare für deine Website erledigt
Alles läuft im selben Cloudflare-Konto. Was du heute einrichtest, lässt sich später ergänzen.
- AnsehenCloudflare ZarazTracking über deine eigene Domain, erst nach Zustimmung.
- AnsehenDDoS-SchutzDeine Website bleibt bei Überlastungsangriffen erreichbar.
- AnsehenCloudflare TurnstileEchte Anfragen statt Spam, ohne Bilderrätsel.
- AnsehenCloudflare und DSGVOAlle Unterlagen für deinen Datenschutzbeauftragten.
- AnsehenCloudflare WorkersKleine Aufgaben laufen bei Cloudflare, ohne Server.
Was eine Firewall nicht ersetzt
Updates deiner Software
Eine Firewall hält viele Angriffe auf eine Lücke auf, schließt sie aber nicht. Updates von CMS und Plugins bleiben Pflicht.
Die großen Regelsätze gibt es ab Pro
Im kostenlosen Tarif läuft ein Basis-Regelsatz. Den vollen Regelsatz von Cloudflare und den OWASP-Regelsatz gibt es ab dem Pro-Tarif. Ich sage dir vorher, ob sich das lohnt.
Welcher Tarif für deine Website reicht, sage ich dir im kostenlosen Erstgespräch.
So läuft die Einrichtung
Keine Regel blockiert, bevor ich gesehen habe, wen sie treffen würde.
- 01ErstgesprächWir sehen uns in 30 Minuten an, welche Angriffe heute ankommen und welche Seiten am meisten gefährdet sind.
- 02Regeln mit ProbelaufNeue Regeln zeigen echten Besuchern zuerst nur eine kurze Prüfung statt einer Sperre. So sehe ich, ob sie die Falschen treffen würden.
- 03Scharf schalten und prüfenIch schalte die Regeln scharf und gehe nach einer Woche mit dir das Protokoll durch.
Festpreis nach dem Erstgespräch
Für viele Firmenwebsites reicht der kostenlose Cloudflare-Tarif. Umfang, Tarif und Preis bekommst du schriftlich.
Fragen zur Cloudflare WAF
Christian Schmitt antwortetEine WAF prüft jede Anfrage an deine Website, bevor sie deinen Server erreicht. Erkennt sie einen Angriff, etwa Schadcode in einem Formularfeld oder massenhaftes Passwort-Raten, blockiert sie die Anfrage. Normale Besucher merken davon nichts.
Christian Schmitt antwortetEin Teil davon. Im kostenlosen Tarif sind ein Basis-Regelsatz, fünf eigene Firewall-Regeln, eine Regel zur Begrenzung von Anfragen und der Bot-Schutz enthalten. Den vollen Regelsatz von Cloudflare und den OWASP-Regelsatz gibt es ab dem Pro-Tarif.
Christian Schmitt antwortetRate Limiting begrenzt, wie oft eine Adresse in kurzer Zeit eine Seite aufrufen darf. Das bremst zum Beispiel Passwort-Raten auf deiner Anmeldeseite oder Bots, die dein Kontaktformular hundertfach abschicken.
Christian Schmitt antwortetEin Plugin läuft auf deinem Server. Jeder Angriff muss also erst bis dorthin kommen und verbraucht Rechenzeit. Die Cloudflare WAF hält ihn vorher auf. Beides zusammen schadet nicht, aber die WAF entlastet deinen Server.
Christian Schmitt antwortetJa, wenn die Regeln zu streng sind. Deshalb zeigen neue Regeln bei mir zuerst nur eine kurze Prüfung, und Suchmaschinen und KI-Crawler stehen auf einer Ausnahmeliste.
Christian Schmitt antwortetJa. Cloudflare sitzt vor deiner Website, auch vor WordPress, Webflow oder einem eigenen Server. Für WordPress richte ich zusätzlich Regeln für typische Ziele wie /wp-login.php und xmlrpc.php ein.
