Tutorials

Cloudflare WAF einrichten: Der ultimative Guide 2025 [Einfach erklärt]

Melden

Hier ist ein aktueller Schritt-für-Schritt-Leitfaden für das Jahr 2025, um die Cloudflare Web Application Firewall (WAF) optimal zu konfigurieren.

Die Cloudflare Web Application Firewall (WAF) ist eines der mächtigsten Werkzeuge, um deine Website vor SQL-Injection, Cross-Site Scripting (XSS) und Brute-Force-Angriffen zu schützen. In diesem Guide lernst du, wie du sie in wenigen Minuten optimal einstellst.

1. Voraussetzungen

Bevor wir starten, stelle sicher, dass:

  • Deine Website bereits mit Cloudflare verbunden ist (Nameserver sind auf Cloudflare umgestellt).
  • Der Proxy-Status (die orangefarbene Wolke) in deinen DNS-Einstellungen aktiviert ist.

Schritt 1: Zugriff auf das WAF-Dashboard

  1. Logge dich in dein Cloudflare-Konto ein.
  2. Wähle die Domain aus, die du schützen möchtest.
  3. Klicke in der linken Seitenleiste auf Sicherheit (Security) und dann auf WAF.

Schritt 2: Verwaltete Regeln aktivieren (Managed Rules)

Hinweis: Diese Funktion ist primär für Pro-, Business- und Enterprise-Tarife verfügbar. Kostenlose Nutzer sollten direkt zu Schritt 3 springen.

Die "Cloudflare Managed Ruleset" sind vorgefertigte Regeln, die bekannte Sicherheitslücken automatisch schließen.

  1. Gehe zum Reiter Verwaltete Regeln (Managed Rules).
  2. Aktiviere das Cloudflare Managed Ruleset.
  3. Stelle die Empfindlichkeit auf Default oder High, je nach Sicherheitsbedarf.
  4. Aktiviere zusätzlich das OWASP Core Ruleset, um Schutz gegen die Top-10-Web-Sicherheitsrisiken zu erhalten.

Schritt 3: Benutzerdefinierte Regeln erstellen (Custom Rules)

Dies ist auch im Free-Tarif (bis zu 5 Regeln) möglich und extrem effektiv.

  1. Klicke auf den Reiter Benutzerdefinierte Regeln (Custom Rules).
  2. Klicke auf Regel erstellen (Create rule).

Empfohlene Regel: Admin-Bereich schützen

Schütze dein Backend (z.B. /wp-admin oder /admin), indem du nur deine eigene IP-Adresse zulässt.

  • Regelname: "Schutz Admin-Bereich"
  • Feld: URI Path | Operator: enthält | Wert: /wp-admin
  • Logik hinzufügen (And): Feld: IP Address | Operator: ist nicht gleich | Wert: [Deine IP-Adresse]
  • Aktion wählen: Blockieren (Block).

Schritt 4: Rate Limiting konfigurieren (Brute-Force-Schutz)

Rate Limiting verhindert, dass Bots dein Login-Formular mit Tausenden von Passwörtern bombardieren.

  1. Gehe zum Reiter Rate Limiting-Regeln.
  2. Erstelle eine neue Regel:
    • URI Path: ist gleich /login (oder deine Login-URL).
    • Einstellung: Wenn mehr als 5 Anfragen innerhalb von 1 Minute von derselben IP kommen...
    • Aktion: "Blockieren" oder "Managed Challenge" für 1 Stunde.

Schritt 5: Bot-Schutz aktivieren

Bots verursachen oft unnötigen Traffic oder versuchen, Daten zu stehlen (Scraping).

  1. Gehe im Menü Sicherheit auf Bots.
  2. Aktiviere den Bot-Kampf-Modus (Bot Fight Mode). Cloudflare wird nun automatisch verdächtige automatisierte Zugriffe prüfen (Challenge).

Schritt 6: Überwachung und Analyse

Nachdem du die Regeln erstellt hast, musst du prüfen, ob sie echte Nutzer blockieren.

  1. Klicke unter Sicherheit auf Ereignisse (Events).
  2. Hier siehst du genau, welche IP-Adresse durch welche Regel blockiert wurde.
  3. Sollte ein legitimer Nutzer blockiert worden sein, kannst du die Regel anpassen oder die IP auf eine Whitelist setzen.

Profi-Tipps für 2025:

  • Managed Challenge statt Block: Nutze bei unklaren Fällen die Aktion "Managed Challenge". Dabei muss der Nutzer kein Captcha mehr lösen; Cloudflare prüft im Hintergrund automatisch, ob es ein Browser oder ein Bot ist.
  • Geoblocking: Wenn dein Business nur in Deutschland tätig ist, kannst du alle Zugriffe aus anderen Ländern blockieren oder mit einer Challenge versehen (Security -> WAF -> Custom Rules -> Field: Country).
  • Regelmäßige Updates: Hacker finden ständig neue Wege. Schaue einmal im Monat in deine Security-Events, um deine Regeln zu verfeinern.

Fazit

Mit der Cloudflare WAF hast du 2025 ein extrem mächtiges Tool an der Hand. Selbst mit dem kostenlosen Plan und ein paar geschickt gesetzten Custom Rules erhöhst du die Sicherheit deiner Website um ein Vielfaches.

Du hast Fragen zu einer spezifischen Regel? Schreib es in die Kommentare!

0