Cloudflare für Kanzleien — CDN, WAF, DDoS, Turnstile

Würdigung — Cloudflare als Schicht vor der Website#

Wer „Cloudflare" hört, denkt oft an eine einzelne Funktion. Tatsächlich ist es ein ganzes Netz, das sich zwischen den Besucher und Ihren Web-Server schiebt. Der Datenverkehr läuft nicht mehr direkt zum Server, sondern erst durch Cloudflares weltweit verteilte Rechenzentren. Dort passieren zwei Dinge gleichzeitig: Die Antwort wird beschleunigt (aus einem nahen Cache geliefert), und sie wird gefiltert (verdächtige Anfragen werden abgefangen).

Für eine Steuerkanzlei ist das aus zwei Gründen relevant. Erstens: Geschwindigkeit ist ein Ranking-Faktor und ein Vertrauens-Signal — eine Seite, die in Forchheim, Hamburg und München gleich schnell lädt, wirkt professionell. Zweitens: Eine Kanzlei-Website ist zwar selten ein lohnendes Hacking-Ziel, aber Spam-Bots, automatisierte Schwachstellen-Scanner und gelegentliche Überlast-Wellen treffen jede Seite im Netz. Eine vorgelagerte Schicht nimmt diese Last ab, bevor sie den eigenen Server erreicht.

Wichtig von Anfang an: Cloudflare ist ein US-Mutterkonzern. Das heißt nicht „verboten", aber es heißt „mit Auftragsverarbeitungs-Vertrag und Blick auf die Daten-Residenz". Dazu unten mehr — die Datenschutz-Frage gehört in diesen Artikel, nicht in eine Fußnote.

CDN & Cache — warum die Seite überall schnell lädt#

Das Content Delivery Network (CDN) ist Cloudflares Basis. Statische Inhalte — Bilder, Schriften, das fertige HTML einer statisch gebauten Seite — werden in Rechenzentren nahe am Besucher zwischengespeichert. Eine Anfrage aus München wird aus Frankfurt beantwortet, nicht aus einem entfernten Ursprungs-Server. Das senkt die Antwortzeit (Time to First Byte) spürbar und entlastet zugleich den eigenen Server.

Für eine statisch gebaute Kanzlei-Website — wie wir sie bauen — ist das der natürliche Partner: Die Seite besteht ohnehin aus vorgerenderten Dateien, die sich ideal cachen lassen. Das ist auch der Grund, warum wir bei der Content-Security-Policy bewusst den Weg gewählt haben, der CDN-Caching erhält, statt jede Seite pro Anfrage dynamisch zu rendern.

WAF — die Firewall vor der Anwendung#

Die Web Application Firewall (WAF) prüft eingehende Anfragen gegen Regelsätze und filtert unerwünschten Verkehr, bevor er die Anwendung erreicht. Typische Muster, die eine WAF abfängt: SQL-Injection-Versuche, bekannte CMS-Schwachstellen-Scans, auffällige Anfrage-Raten. Cloudflare liefert dafür gepflegte Regelsätze (Managed Rules) mit, ergänzbar um eigene Regeln und Rate-Limiting.

Der Wert hängt vom Unterbau ab. Eine WordPress-Kanzlei-Seite mit Dutzenden Plugins hat eine große Angriffsfläche — hier fängt die WAF reale Scan-Wellen ab. Eine statisch gebaute Seite ohne Datenbank und ohne serverseitige Anwendungslogik bietet von vornherein kaum Angriffsfläche; die WAF ist dann eher Gürtel zum Hosenträger. Beides ist legitim — entscheidend ist, die eigene Lage zu kennen, statt blind eine Schicht zu kaufen.

DDoS-Schutz — Überlast-Angriffe abfangen#

Ein DDoS-Angriff (Distributed Denial of Service) überflutet eine Seite mit so vielen Anfragen, dass der Server zusammenbricht und die Seite für echte Besucher nicht mehr erreichbar ist. Cloudflare erkennt und entschärft solche Wellen automatisch über das verteilte Netz, das die Last verteilt und auffällige Muster ausfiltert, bevor sie den Ursprungs-Server erreichen.

Für eine Kanzlei ist ein gezielter DDoS-Angriff selten — aber Erreichbarkeit ist ein Berufs-Thema: Wenn die Website zur Frist-Zeit nicht lädt, weil ein ungezielter Bot-Sturm den kleinen Hosting-Server überlastet, ist das ein konkreter Reputations- und Service-Schaden. Der automatische Schutz greift hier, ohne dass jemand nachts eingreifen muss.

DNS-Proxy & Turnstile — versteckte IP und cookielose Bot-Abwehr#

Cloudflare arbeitet als DNS-Proxy: Die öffentliche DNS-Abfrage zeigt auf Cloudflare, nicht direkt auf den Ursprungs-Server. Die echte Server-IP bleibt verborgen — ein Angreifer kann den Server nicht direkt ansprechen und an Cloudflare vorbei attackieren. Für kleine Hosting-Setups ist das ein realer Schutz: Was man nicht sieht, kann man schwerer angreifen.

Turnstile ist Cloudflares CAPTCHA-Alternative. Statt Verkehrsschilder anzuklicken, läuft im Hintergrund eine unauffällige Prüfung (Verhaltens- und Proof-of-Work-Signale), die Menschen von Bots unterscheidet. Zwei Punkte machen es für Kanzleien interessant: Erstens ist Turnstile nach Cloudflare-Angabe WCAG-2.2-AA-konform, also barrierearm. Zweitens — und das ist der entscheidende Unterschied zu Google reCAPTCHA — bindet es keinen Google-Tracking-Mechanismus ein. Wer reCAPTCHA einsetzt, übermittelt Besucher-Signale an Google; das ist auf einer Kanzlei-Seite, die Datenschutz ernst nimmt, ein Bruch. Turnstile ist hier die sauberere Wahl. Die konkrete Bot-Abwehr für Kontaktformulare — HoneypotHoneypot · zum GlossarVersteckte Formular-Falle für Bots — leer = Mensch, ausgefüllt = Bot., Turnstile, Rate-Limiting — behandeln wir gesondert.

Wie wir Cloudflare selbst nutzen — bewusst schlank#

Auf fahoch2.de setzen wir Cloudflare gezielt nur als DNS-Schicht ein: Namensauflösung mit DNSSEC und Auswertung der DMARC-Reports unseres eigenen Mailversands. Die Auslieferung der Seiten übernimmt unser Hosting (Vercel-Edge), nicht Cloudflare; ein Tracking- oder Web-Analytics-Skript laden wir gar nicht. Das passt zu unserer cookielosen Architektur: keine Einwilligung nötig, kein Banner, kein Datenverlust durch Consent-Ablehnung. Welche weiteren Cloudflare-Bausteine (CDN, WAF, Turnstile) sinnvoll sind, hängt vom Setup der jeweiligen Kanzlei ab.

Damit zur Datenschutz-Linie, die man nicht überspringen darf: Cloudflare ist ein US-Konzern. Wer Cloudflare einsetzt, braucht einen Auftragsverarbeitungs-Vertrag nach Art. 28 DSGVODSGVO · zum GlossarEU-Datenschutz-Grundverordnung — regelt seit 2018 jede Verarbeitung personenbezogener Daten in der EU. und sollte die Daten-Residenz im Blick haben (Cloudflare bietet EU-Optionen für die Verarbeitung). Das ist beherrschbar, aber es ist eine bewusste Entscheidung, keine Nebensache — gerade für eine Kanzlei unter § 203 StGB.

Für eine vollständige Bestandsaufnahme — Infrastruktur, Header, Performance, Datenschutz-Konformität in einem Durchgang — empfehlen wir den Hebel-Audit (890 €, bei Mandanten-Boost-Beauftragung innerhalb von 60 Tagen voll anrechenbar).

Zusammenfassung#

Cloudflare ist eine Schicht vor der Website, die Performance und Schutz verbindet: Das CDN liefert Inhalte schnell aus einem nahen Cache, die WAF filtert bösartige Anfragen, der DDoS-Schutz fängt Überlast-Wellen ab, der DNS-Proxy verbirgt die Server-IP, und Turnstile wehrt Bots cookielos ab — DSGVO-freundlicher als Google reCAPTCHA. Der Nutzen hängt vom Unterbau ab: Eine Plugin-schwere WordPress-Seite profitiert stark, eine statisch gebaute Seite eher punktuell. Unverhandelbar ist die Datenschutz-Seite: AVVAVV · zum GlossarAuftragsverarbeitungsvertrag nach Art. 28 DSGVO — Pflicht zwischen Verantwortlichem und Dienstleister. nach Art. 28 DSGVO und ein Blick auf die Daten-Residenz, weil Cloudflare ein US-Konzern ist. Wer die eigene Seite einordnen will, prüft zuerst, ob sie überhaupt schon hinter Cloudflare liegt — und entscheidet dann, welche Bausteine ihren Aufwand wert sind.

Quellen#

• Cloudflare — Web Application Firewall (WAF) — abgerufen 2026-05-29
• Cloudflare — DDoS Protection — abgerufen 2026-05-29
• Cloudflare — Turnstile (CAPTCHA-Alternative) — abgerufen 2026-05-29
• Cloudflare — Web Analytics (cookielos) — abgerufen 2026-05-29
• DSGVO Art. 28 — Auftragsverarbeitung (VO EU 2016/679) — abgerufen 2026-05-29

Disclaimer: Allgemeine fachliche Information zum Zeitpunkt der Veröffentlichung — keine Rechtsberatung im Einzelfall. Der Einsatz eines US-Dienstleisters ist im Einzelfall datenschutzrechtlich zu prüfen (AVV, Daten-Residenz, Drittland-Transfer); das gehört in die anwaltlich geprüfte Datenschutzerklärung.