Die Lücke, die Sie nicht patchen können. The gap you cannot patch.

Security an der EdgeSecurity at the edge

Klassische Sicherheit steht als eine Box vor einem Rechenzentrum. Cloudflare dreht das um: jeder einzelne Standort ist die volle Schutzschicht — WAF, Bot, DDoS, TLS, Rate Limiting in einem Durchlauf. Der Angriff trifft den nächstgelegenen Knoten und stirbt dort, nicht erst nach 4.000 km Umweg zu einer zentralen Appliance. Classic security is one box in front of one data centre. Cloudflare inverts that: every single location is the full protective layer — WAF, Bot, DDoS, TLS, rate limiting in a single pass. An attack hits the nearest node and dies there, not after a 4,000 km detour to a central appliance.

Regionalisierung:Regionalisation: WeltWorld EU DACH

330+ Städte als Schutzschild. Jeder Punkt fährt dieselbe Pipeline. Wählen Sie eine Region — bei Regional Services wird HTTPS nur noch dort entschlüsselt und inspiziert (mehr dazu in §4). Der Rest des Netzes nimmt Traffic weiter an und leitet ihn verschlüsselt in die Region. 330+ cities as a shield. Every dot runs the same pipeline. Pick a region — with Regional Services, HTTPS is decrypted and inspected only there (more in §4). The rest of the network still accepts traffic and forwards it encrypted into the region.

Die 5-Sekunden-WahrheitThe 5-second truth

Eine einzige Zahl trägt den Rest der Geschichte. Sie beantwortet die Frage, die jede Sicherheitsverantwortliche in einer Behörde wirklich umtreibt: Wie schnell bin ich geschützt, wenn morgen die nächste kritische Schwachstelle bekannt wird — und ich die Anwendung selbst noch nicht patchen kann? A single number carries the rest of the story. It answers the question that actually keeps a public-sector security lead awake: how fast am I protected when the next critical vulnerability drops tomorrow — and I can't patch the application yet?

Merken Sie sich die ~5 Sekunden — das Thema trägt die ganze Section 4 zur Souveränität. Keep the ~5 seconds in mind — it carries straight into the sovereignty story in Section 4.

Mensch oder Maschine?Human or machine?

Ein erheblicher Teil des Web-Traffics ist automatisiert — nicht alles davon böse (Suchmaschinen, Monitoring). Aber Credential-Stuffing auf Login-Portale, Scraping öffentlicher Register, Formular- und Kommentar-Spam und das Abgreifen knapper Ressourcen treffen gerade Behörden. Bot Management bewertet jeden Request mit einem Score von 1–99 — per ML-Modell, trainiert auf der Traffic-Menge des gesamten Cloudflare-Netzes. A substantial share of web traffic is automated — not all of it malicious (search engines, monitoring). But credential stuffing against login portals, scraping of public registries, form and comment spam, and the grabbing of scarce resources hit public agencies in particular. Bot Management scores every request 1–99 — via an ML model trained on the traffic of the entire Cloudflare network.

Woran das Modell erkennt, was Sie sindHow the model knows what you are

Im selben Modell: Turnstile als datensparsamer CAPTCHA-Ersatz — ohne Klick-Puzzles, DSGVO-freundlich. Der Bot-Score fließt als Stufe in die Request-Journey (§ Inside one request) ein. In the same model: Turnstile as a privacy-friendly CAPTCHA replacement — no click puzzles, GDPR-friendly. The bot score feeds the request journey as a stage (§ Inside one request).

Volumen, das kein Mensch mehr stopptVolume no human can stop

Bürgerportale, Antragsstrecken und Wahlabend-Seiten sind beliebte DDoS-Ziele — oft politisch motiviert. Die Angriffsvolumina übersteigen längst, was eine lokale Appliance oder ein Uplink verkraftet. Schutz muss autonom, always-on und am Edge passieren, nicht über Umleitung in ein zentrales Scrubbing-Center. Citizen portals, application flows and election-night sites are popular DDoS targets — often politically motivated. Attack volumes long exceed what a local appliance or uplink can absorb. Protection must be autonomous, always-on and at the edge — not via redirect to a central scrubbing centre.

Wo Ihre Daten bleibenWhere your data stays

Der Block eben passierte am Edge — am nächstgelegenen Cloudflare-Standort. Für den öffentlichen Sektor ist damit sofort die entscheidende Frage im Raum: Wo wird mein Traffic inspiziert, und wo bleiben meine Metadaten und Logs? Die Antwort ist nicht „irgendwo im Netz" — sie ist steuerbar. The block just now happened at the edge — at the nearest Cloudflare location. For the public sector that immediately raises the decisive question: where is my traffic inspected, and where do my metadata and logs reside? The answer is not “somewhere in the network” — it is configurable.

Datensouveränität: konfigurierbar, nicht versprochenData sovereignty: configured, not promised

Nachweise, die ein Vergabeverfahren überstehtEvidence that survives a tender

Inside One Request

Ihr Payload aus §3 wurde nicht von „der Firewall" gestoppt. Er lief durch eine geordnete Pipeline von Phasen — und fiel in genau einer davon. Das ist der wichtigste mentale Shift: Cloudflare Application Security ist kein Produkt und keine Box, sondern eine Sequenz, die jeder Server in einem Durchlauf (one pass) abarbeitet. Your payload from §3 wasn't stopped by “the firewall”. It ran through an ordered pipeline of phases — and fell in exactly one of them. That's the key mental shift: Cloudflare Application Security is not a product and not a box, but a sequence every server executes in a single pass.

DNS Start: DNS löst Ihren Hostnamen per Anycast zum nächstgelegenen Cloudflare-Edge auf. Erst dann beginnt die Journey — der gesamte Transport ist durchgängig TLS-verschlüsselt 🔒. Start: DNS resolves your hostname via Anycast to the nearest Cloudflare edge. Only then does the journey begin — the whole transport is TLS-encrypted end to end 🔒.

Die anderen TürenThe other doors

Die WAF schützt die offensichtliche Tür: eingehende HTTP-Requests. Aber moderne Verwaltungs-Anwendungen haben mehr Türen. Zwei gehören in jedes PS-Gespräch — besonders dort, wo Bürger-Bezahlfunktionen oder offene Schnittstellen im Spiel sind. The WAF protects the obvious door: inbound HTTP requests. But modern government applications have more doors. Two belong in every PS conversation — especially where citizen payment functions or open interfaces are involved.

Verwandt, aber mit eigenem Kapitel oben: Bot Management und Turnstile (CAPTCHA-Ersatz). Alles dieselbe Pipeline, dieselbe Edge, dieselben Souveränitäts-Schalter aus dem Kapitel „Wo Ihre Daten bleiben". Related, with their own chapter above: Bot Management and Turnstile (CAPTCHA replacement). All the same pipeline, same edge, same sovereignty switches from the “Where your data stays” chapter.

So geht der Schutz liveHow protection goes live

Im Kern ist alles in diesem Kapitel eine Schutzkonfiguration vor Ihrer bestehenden Anwendung — aktiviert über DNS, nicht über einen Agenten auf dem Server und ohne Re-Architektur. Der Traffic fließt künftig durch Cloudflare, bevor er Ihr Origin erreicht. Drei Fragen klärt jede Behörde dabei. At its core, everything in this chapter is a protection configuration in front of your existing application — activated via DNS, not an agent on the server and with no re-architecture. Traffic now flows through Cloudflare before reaching your origin. Every agency clarifies three questions in the process.

Wie Sie es bekommenHow you procure it

Die beste Technik nützt nichts, wenn der Beschaffungsweg unklar ist. Für den öffentlichen Sektor zählen drei Dinge: ein gangbarer Vergabeweg, Referenzen aus der eigenen Welt und nachprüfbare Nachweise. The best technology is useless if the procurement path is unclear. For the public sector, three things matter: a viable procurement route, references from your own world, and verifiable evidence.

• 1 Beschaffungsweg. Cloudflare Enterprise ist über etablierte DACH-Reseller und Rahmenverträge beziehbar — eine Bestellung, ein Vertragspartner, eine Rechnung. Kein Stitching aus Einzelprodukten.Procurement route. Cloudflare Enterprise is available via established DACH resellers and framework agreements — one order, one contracting party, one invoice. No stitching of point products.
• 2 Referenz-Signale. Cloudflare schützt kritische Infrastruktur und öffentliche Stellen in mehreren Ländern (DE u. a.). Der BSIG/KRITIS-Audit und die Registrierung als „Operator of Essential Services" sind öffentlich belegbar — das Vertrauenssignal, das im PS mehr zählt als jeder Benchmark.Reference signals. Cloudflare protects critical infrastructure and public bodies across several countries (DE among them). The BSIG/KRITIS audit and registration as an “Operator of Essential Services” are publicly verifiable — the trust signal that counts more in PS than any benchmark.
• 3 Nachweise auf Abruf. Zertifikate und Audit-Berichte (C5, ISO 27001/27701, SOC 2, PCI DSS) lassen sich direkt über Dashboard und Trust Hub beziehen — kein Mailwechsel, keine Wartezeit für den Datenschutzbeauftragten.Evidence on demand. Certificates and audit reports (C5, ISO 27001/27701, SOC 2, PCI DSS) are available directly via the dashboard and Trust Hub — no email exchange, no waiting for the DPO.