Hinweis

Dieses Helpcenter befindet sich noch im Aufbau. Einige Themen fehlen noch oder werden aktuell überarbeitet.

Wenn dir etwas fehlt oder eine Formulierung unklar ist, sag uns bitte kurz Bescheid. Am hilfreichsten ist der Link zur Seite und ein Beispiel, was du erreichen möchtest.

Weiterführend: Wo finde ich was? · Ich habe keinen Zugang · Zugänge absichern

Cloudflare vor die eigene Website schalten

Cloudflare schiebt sich zwischen deine Besucher und deinen Webspace: Anfragen laufen zuerst über Cloudflare und erst dann zu uns. Das kann Angriffe abfangen und Seiten beschleunigen — es bringt aber ein paar Fallstricke mit, die regelmäßig ganze Websites oder den kompletten E-Mail-Empfang lahmlegen.

Diese Seite zeigt, wie es sauber läuft.

Vorteile und Nachteile auf einen Blick

✅ Das spricht dafür	❌ Das spricht dagegen
Schutz vor Überlastungsangriffen — Cloudflare fängt große Angriffswellen ab, bevor sie deinen Webspace erreichen	Eine zusätzliche Stelle, an der etwas kaputtgehen kann — Fehler bei Cloudflare sehen für dich aus wie Fehler an deiner Website
Schneller für internationale Besucher — Inhalte werden weltweit zwischengespeichert	Wir sehen die echten Besucher nicht mehr — bei Angriffen und Fehlersuche fehlt uns die eigentliche Quelle
Die Adresse deines Servers ist für Besucher nicht mehr sichtbar — allerdings nur teilweise, siehe unten	DNS wird woanders gepflegt — du musst dir merken, dass Änderungen im cPanel wirkungslos sind
Kostenlos in der Grundfunktion	Fehlkonfiguration legt E-Mail oder Website ganz lahm. Siehe Stolpersteine unten
Zusätzliche Werkzeuge (Seitenregeln, Sperrlisten, Statistiken)	Zwischenspeicher verwirrt bei Änderungen — die Seite zeigt Altes, obwohl du gerade gespeichert hast

Faustregel: Wenn du nicht sagen kannst, welches Problem Cloudflare bei dir lösen soll, brauchst du es vermutlich nicht.

Wie es grundsätzlich funktioniert

1. Du legst deine Domain bei Cloudflare an.
2. Cloudflare gibt dir zwei eigene Nameserver.
3. Diese trägst du bei uns im Kundenportal bei der Domain ein.
4. Ab dann verwaltest du alle DNS-Einträge bei Cloudflare — nicht mehr im cPanel.

Ab jetzt gilt: DNS-Änderungen nur noch bei Cloudflare

Sobald die Nameserver auf Cloudflare zeigen, wird unsere DNS-Verwaltung nicht mehr abgefragt. Einträge, die du im cPanel änderst, haben keine Wirkung mehr — ein Fehler, der viel Sucherei kostet. Mehr dazu: Nameserver oder DNS-Einträge?

Die Stolpersteine — in der Reihenfolge, in der sie passieren

Stolperstein 1: E-Mail geht nicht mehr (MX!)

Cloudflare bietet an, Einträge über sich laufen zu lassen — erkennbar an der orangen Wolke. Für die Website ist das gewollt, für alles rund um E-Mail ist es fatal: Cloudflare leitet nur Web-Anfragen weiter, keine Mail.

Deshalb müssen diese Einträge auf „DNS only“ (graue Wolke) stehen:

Eintrag	warum
MX	sagt, wohin die E-Mails gehen — läuft nie über Cloudflare
mail	darüber holen dein Handy und dein Mailprogramm die Post ab
webmail	sonst kein Zugriff auf das Webmail
SPF, DKIM, DMARC (TXT)	Nachweise für deinen Mailversand

Der Klassiker: Cloudflare liest beim Einrichten die bestehenden Einträge ein und stellt dabei vieles auf orange. Geh nach dem Import jeden Eintrag einzeln durch. Wenn die Website läuft, aber plötzlich keine E-Mails mehr ankommen, ist es fast immer genau das.

So setzt du den MX-Eintrag bei Cloudflare:

Feld	Wert
Typ	MX
Name	@ (die Domain selbst)
Ziel / Mailserver	der Servername deines Tarifs, z. B. cpXXX.sp-server.net
Priorität	10
Proxy-Status	DNS only (graue Wolke)

Den Servernamen findest du im Kundenportal unter Verträge → Meine Verträge bei deinem Tarif — oder im cPanel rechts in der Übersicht. Dieser Wert funktioniert immer, auch wenn du mail.deine-domain.de bei Cloudflare gar nicht angelegt hast.

Nutzt du unseren Spamfilter, gehören stattdessen dessen MX-Werte hier hinein — siehe Spamfilter einrichten.

Stolperstein 2: „Zu viele Weiterleitungen“ — die Seite dreht sich im Kreis

Der mit Abstand häufigste Cloudflare-Fehler. Ursache ist die SSL-Einstellung:

Cloudflare-Einstellung	Ergebnis
Flexible	❌ Cloudflare ruft deine Seite unverschlüsselt ab, deine Seite leitet auf https um, Cloudflare ruft wieder unverschlüsselt ab … Endlosschleife
Full (strict)	✅ richtig — verschlüsselt bis zu uns, mit Prüfung des Zertifikats

Stell in Cloudflare unter SSL/TLS auf Full (strict) und sorge dafür, dass bei uns ein gültiges Zertifikat liegt: Let’s Encrypt aktivieren.

Mehr zum Fehlerbild: Zu viele Weiterleitungen

Stolperstein 3: Das SSL-Zertifikat lässt sich nicht mehr erneuern

Unser Zertifikat wird über eine Prüfdatei auf deiner Website bestätigt. Fängt Cloudflare diese Anfrage ab oder leitet alles um, schlägt die Erneuerung fehl — und irgendwann steht der Besucher vor einer Warnung.

Lösung: In Cloudflare sicherstellen, dass Aufrufe von /.well-known/acme-challenge/ nicht umgeleitet oder blockiert werden. Zur Not die orange Wolke für den Moment abschalten, Zertifikat erneuern lassen, danach wieder einschalten.

Stolperstein 4: Der Server bleibt trotzdem auffindbar

Ein Hauptargument für Cloudflare lautet: „Niemand sieht mehr, wo mein Server steht.“ Das stimmt nur zur Hälfte — und die andere Hälfte verraten ausgerechnet die Einträge, die auf DNS only stehen müssen:

Eintrag	was er verrät
MX	den Mailserver — und der läuft bei einem Webhosting-Tarif auf demselben Server wie die Website
SPF (TXT)	oft die IP-Adresse oder den Hostnamen des sendenden Servers, im Klartext
DKIM/DMARC und andere TXT-Einträge	je nach Inhalt ebenfalls Hinweise auf den Anbieter
mail, webmail, cpanel	zeigen direkt auf den Server

Wer die echte Adresse sucht, schaut genau dort zuerst nach — das ist kein Geheimwissen, sondern der erste Handgriff. Dazu kommt: Alte DNS-Stände sind archiviert. Wer die Domain vorher ohne Cloudflare betrieben hat, dessen frühere Serveradresse ist weiterhin nachschlagbar.

Was das praktisch heißt: Cloudflare hilft gegen breit gestreute Angriffe und automatisierte Massenanfragen. Gegen jemanden, der es gezielt auf dich abgesehen hat und die Serveradresse heraussucht, um Cloudflare zu umgehen, ist es allein kein Schutz. Wer das braucht, muss den Server zusätzlich so absichern, dass er Anfragen nur noch von Cloudflare annimmt — sprich uns an, wenn das für dich ein Thema ist.

Stolperstein 5: Die Website erreicht sich selbst nicht mehr

Ein Fall, der schwer zu erkennen ist, weil die Website für Besucher völlig normal aussieht.

Viele Anwendungen rufen ihre eigene Adresse auf, um im Hintergrund zu arbeiten: WordPress für geplante Aufgaben, Shops für Zahlungsbestätigungen, Plugins zum Erzeugen von Vorschaubildern oder Sitemaps. Für den Server ist das ein ganz normaler Aufruf der eigenen Domain.

Zeigt die Domain nun auf Cloudflare, geht dieser Aufruf erst nach draußen zu Cloudflare und soll von dort wieder zurück. Und genau dabei bleibt er oft hängen: Cloudflare hält die Anfrage für einen Bot, blockt sie, oder der Aufruf läuft in eine Zeitüberschreitung.

Woran du es erkennst:

• Geplante Aufgaben laufen nicht mehr: Beiträge erscheinen nicht zum Termin, Backups starten nicht, Newsletter gehen nicht raus
• Bestellbestätigungen oder Zahlungsrückmeldungen bleiben aus, obwohl die Bestellung ankam
• Fehlermeldungen mit „Zeitüberschreitung“, „Timeout“ oder „cURL error 28“
• Funktionen im Verwaltungsbereich brechen ohne erkennbaren Grund ab

Für Besucher funktioniert die Seite dabei einwandfrei — deshalb sucht man den Fehler zuerst überall sonst.

Was hilft: Sag uns Bescheid. Wir können den Server so einstellen, dass er die eigene Domain direkt auflöst, statt den Umweg über Cloudflare zu nehmen. Danach laufen die internen Aufrufe wieder, und für Besucher ändert sich nichts.

Was du sonst noch wissen solltest

Deine Besucher erscheinen bei uns alle als Cloudflare. In den Zugriffsstatistiken siehst du dann nicht mehr die echten Besucher-Adressen. Für dich heißt das: Auswertungen und Sicherheitsfunktionen, die auf der Besucher-Adresse beruhen, arbeiten nur noch eingeschränkt — und wenn wir dir bei einem Angriff helfen sollen, sehen wir die eigentliche Quelle nicht.

Änderungen wirken schneller, Fehler aber auch. Cloudflare hält Inhalte zwischen. Nach einer Änderung an der Website ruhig einmal den Cache leeren („Purge Cache“), bevor du in der Fehlersuche versinkst.

Der Wartungsmodus („Under Attack“) blockiert auch Dienste, die deine Website automatisiert aufrufen — Zahlungsdienste, Schnittstellen, Statusprüfungen. Wenn nach dem Einschalten plötzlich Bestellbestätigungen fehlen, liegt es meist daran.

Brauchst du Cloudflare überhaupt?

Für die meisten Websites: nein. Unsere Server bringen bereits Angriffsschutz mit, und Geschwindigkeit gewinnst du in der Regel deutlich einfacher — siehe Website sicher und schnell betreiben.

Sinnvoll ist Cloudflare, wenn du regelmäßig aus dem Ausland aufgerufen wirst oder gezielt angegriffen wurdest. Als Standardeinstellung „weil man das so macht“ handelst du dir vor allem eine zusätzliche Fehlerquelle ein.

Für Experten

• Proxy-Modus (orange) beendet die TLS-Verbindung bei Cloudflare. Der Modus Full (strict) ist der einzig sinnvolle: Flexible erzeugt Endlosschleifen, Full ohne strict akzeptiert auch abgelaufene Zertifikate.
• Echte Besucher-IP steht im Header CF-Connecting-IP. Ohne ein Modul, das ihn auswertet, protokolliert der Webserver nur Cloudflare-Adressen — mit entsprechenden Folgen für Auswertungen, Sperrlisten und Missbrauchsanalysen.
• .well-known/acme-challenge/ von Page Rules, „Always Use HTTPS“ und Bot-Regeln ausnehmen, sonst scheitert die Zertifikatserneuerung.
• MX und mail immer DNS only. Ein proxied mail-Eintrag bedeutet: kein IMAP, kein SMTP, keine Zustellung.
• DNSSEC nicht gleichzeitig bei uns und bei Cloudflare aktivieren — die Domain wird sonst unauflösbar.
• Origin-Verschleierung ist ohne Sperre wirkungslos: Solange der Webserver Anfragen von beliebigen Adressen annimmt, genügt ein direkter Aufruf der IP mit passendem Host-Header, um Cloudflare zu umgehen. Wirksam wird es erst, wenn eingehendes 80/443 auf die veröffentlichten Cloudflare-Netze beschränkt ist — das richten wir auf Wunsch ein.
• Mail von der Website trennen hilft ebenfalls: Läuft der Mailversand über einen eigenen Weg, verrät der MX-Eintrag nicht mehr den Webserver.
• Selbstaufrufe (Stolperstein 5) lösen wir über einen lokalen Namenseintrag auf dem Server, der die Domain auf die eigene Adresse zeigen lässt. Der Umweg über Cloudflare entfällt damit für alles, was auf dem Server selbst läuft — Besucher sind davon nicht betroffen. Ohne diesen Eintrag hängen wp-cron.php, Webhooks und alle Schleifen-Aufrufe an Cloudflares Bot-Erkennung oder am Verbindungslimit.

Das könnte auch weiterhelfen

• DNS ändern: Nameserver oder DNS-Einträge?
• DNS-Einträge verstehen
• Zu viele Weiterleitungen
• Kostenloses SSL-Zertifikat aktivieren