NET Cloudflare, Inc. Class A Common Stock

Cloudflare, Inc. ist ein US-amerikanisches Unternehmen, das ein Content Delivery Network, verteilte DNS-Dienste (Domain Name System) und Internetsicherheitsdienste bereitstellt, die sich zwischen dem Besucher und dem Hosting-Anbieter des Cloudflare-Benutzers befinden.

Cloudflare fungiert als Reverse-Proxy, der den Datenverkehr zwischen Nutzern und Webservern einschränkt und filtert. Durch die Filterung potenziell schädlicher Anfragen schützt Cloudflare Websites vor Cyberbedrohungen wie z. B. DDoS-Angriffen und schränkt unerwünschte Bot-Zugriffe ein. Gleichzeitig werden Inhalte durch globales Caching und Routing beschleunigt, was die Ladezeiten verkürzt und die Verfügbarkeit der Website maximiert.

Der Hauptsitz von Cloudflare befindet sich in San Francisco, Kalifornien, und es gibt weitere Niederlassungen in London, Singapur, Champaign, Austin, Boston und Washington, D.C.

Geschichte

Cloudflare wurde 2009 von Michelle Zatlyn, Lee Holloway und dem aktuellen CEO Matthew Prince entwickelt. Der offizielle Start wurde im September 2010 auf der TechCrunch Disrupt Conference verkündet. Im Jahr 2010 wurden rund 150 Millionen Interaktionen einzelner Benutzer bei 5 Milliarden Seitenabrufen pro Monat gezählt. Der Dienst sicherte Anfang 2012 etwa 250.000 Websites beispielsweise gegen Nachfragespitzen ab. Im März 2013 wurde mehr als das Dreifache, rund 780.000 Seiten, als aktueller Stand genannt.

Die 2011 aktive Hackergruppe LulzSec nutzte Cloudflare für den Betrieb ihrer Website, da frühere Provider zu wenig Kapazität bereitstellten. Nach öffentlichkeitswirksamen Aktionen, dem Hack der Website Sonys und dem Diebstahl einer Million Zugangsdaten oder dem Distributed-Denial-of-Service der CIA-Homepage führten Leitmedien eine kontroverse Debatte, ob Cloudflare ohne richterlichen Beschluss den Auftritt LulzSecs allein auf Bitten der CIA offline nehmen sollte. Cloudflare berief sich in einem Blogpost auf Informationsfreiheit und lehnte mit dem Hinweis auf Zensur ab.

Im Juni 2012 ging Cloudflare Partnerschaften mit verschiedenen Webhosts ein, um seine Railgun-Technologie zu implementieren. Railgun zielt darauf ab, sich oft verändernde Seiten wie Nachrichten zu beschleunigen, indem nur die oft geringen Änderungen vom Herausgeber heruntergeladen werden, während der Rest von Cloudflares Zwischenspeichern kommt.

Ebenfalls im Juni 2012 gelang es der Hackergruppe UGNazi, durch Lücken in Googles Nutzerauthentifizierung die Website 4chan zu verunstalten, die durch den Dienst eigentlich geschützt sein sollte.

Neben dem Auftritt der Band Metallica und staatlichen Institutionen gehört auch Wikileaks zu den Kunden Cloudflares, was nach anhaltenden Attacken auf Wikileaks breite mediale Aufmerksamkeit fand.

Im Februar 2013 veröffentlichte das Zero Science Lab einen vergleichenden Report, wie angreifbar die Web Application Firewall von Cloudflare via Penetrationtesting wäre. Gegenüber den beiden Wettbewerbern erwies sich Cloudflare als am wenigsten resistent.

Cloudflare schloss sich 2013 dem von Mozilla initiierten Aufruf für mehr Transparenz beim Abfragen von Nutzerdaten durch die US-Regierung („The Internet Sector calls for Greater Transparency in Requests for User Data“) an, der in StopWatching.Us, einem offenen Brief an den Kongress der Vereinigten Staaten, aufging.

Im August 2013 kam Cloudflare in die Kritik, weil sie auch die Webseite des Kavkaz Center absichert, die über Tschetschenien berichtet und auf der einige Inhalte von Sicherheitsexperten als extremistisch eingeordnet wurden. Die Unternehmensleitung wies die Vorwürfe mit Verweis auf die Tradition der Meinungsfreiheit in den Vereinigten Staaten zurück: „A website is speech. It is not a bomb.“

Im Februar 2014 schwächte Cloudflare den bis dahin größten je aufgezeichneten DDoS-Angriff von 400 GBit/s ab. Im November 2014 meldete Cloudflare einen weiteren massiven DDoS-Angriff mit 500 GBit/s, dessen Ziel unabhängige Medienwebsites waren.

Seit dem 29. September 2014 bietet Cloudflare Universal SSL als kostenfreie SSL-Verschlüsselung an, welche mittels Server Name Indication realisiert wird.

Nach einem Artikel vom 22. Juli 2015 von netzpolitik.org werden alle DNS-Anfragen für die Domain des Deutschen Bundestages „bundestag.de“ und deren Subdomains von Cloudflare beantwortet. Das Pressereferat des Deutschen Bundestags bestätigte dies teilweise in einer zurückhaltenden Stellungnahme gegenüber dem Blog.

Am 24. Februar 2017 wurde bekannt, dass es durch eine Sicherheitslücke über Monate möglich war, an übertragene Daten – auch aus verschlüsselten Verbindungen – zu gelangen, u. a. Positionsdaten der Benutzer des Dienstes Uber, private Chatnachrichten der Dating-Seite OkCupid und Video-Frames aus Erotik-Portalen.

In Diskussionen um die rechtsradikale amerikanische Seite The Daily Stormer kündigte Cloudflare deren Vertrag im August 2017. Die Seite war danach aufgrund von DDoS-Attacken nicht erreichbar. Cloudflare-CEO Matthew Prince stufte sein Verhalten als kritisch ein. Seiner eigenen Aussage nach verfügte er über zu viel Macht, da nicht eine Einzelperson über den Bestand einer Internetseite entscheiden sollte.

Nach dem Anschlag in El Paso am 3. August 2019 kündigte Cloudflare wenige Tage darauf den Vertrag mit dem Imageboard 8chan. Der Täter hatte seine Tat zuvor auf der Website angekündigt.

Finanzierungsrunden

November 2009: 2,1 Millionen Dollar in einer Serie-A-Runde von Pelion Venture Partners und Venrock.

Juli 2011: 20 Millionen Dollar in einer Serie-B-Runde von New Enterprise Associates, Pelion Venture Partners und Venrock.

Dezember 2012: 50 Millionen Dollar in einer Serie-C-Runde von New Enterprise Associates, Pelion Venture Partners, Venrock, Union Square Ventures und Greenspring Associates.

Dezember 2014: 110 Millionen Dollar in einer Serie-D-Runde unter der Leitung von Fidelity Investments und mit Teilnahme von Google Capital, Microsoft, Qualcomm und Baidu.

Seit dem 13. September 2019 wird Cloudflare unter dem Kürzel NET an der Börse NYSE gehandelt und erzielte beim Verkauf der Anteile 525 Millionen Dollar.

Übernahmen

Februar 2014: StopTheHacker zwecks Malware-Erkennung, automatischer Malware-Entfernung, Schutz der IT-Reputation, Überwachung von Negativlisten.

Juni 2014: CryptoSeal, von Ryan Lackey gegründet.

Dezember 2016: Eager, um Installationen von Drittanbieter-Apps auf Cloudflare-fähigen Websites per Drag-and-Drop zu ermöglichen.

November 2017: Neumob

Januar 2020: S2 Systems

Dezember 2020: Linc

Dezember 2021: Zaraz

Dienste

DDoS-Schutz

Cloudflare beinhaltet einen DDoS-Schutz. Allen Kunden wird eine Einstellung namens „I’m Under Attack Mode“ (Ich-werde-angegriffen-Modus) angeboten. Laut Cloudflare kann dies erweiterte Angriffe der Ebene 7 abschwächen, indem ein JavaScript-basiertes Captcha durch den Benutzer gelöst werden muss, bevor der Zugriff auf die Website möglich ist.

Web Application Firewall

Cloudflare ermöglicht Kunden mit kostenpflichtigen Tarifen standardmäßig die Nutzung eines Web-Application-Firewall-Dienstes. Die Firewall verfügt zusätzlich zum eigenen Regelsatz von Cloudflare und den Regelsätzen für beliebte Webanwendungen über den OWASP ModSecurity-Kernregelsatz.

DNS-Dienst 1.1.1.1

Mit 1.1.1.1 bietet Cloudflare seinen Domain-Name-Server-Dienst (DNS-Dienst) in Partnerschaft mit APNIC kostenlos der Öffentlichkeit an. Er ist für alle Clients, die von einem Anycast-Netzwerk unterstützt werden, nutzbar. Benutzer können auf den Dienst zugreifen, indem sie ihre DNS-Resolver manuell auf die zur Verfügung gestellten IP-Adressen ändern. Somit kann der vom Internetprovider standardmäßig eingestellte DNS-Resolver und potentielle Zensurmaßnahmen wie DNS-Filtering umgangen werden.

Cloudflare betont dabei besonders datenschutzfreundlich zu sein und nur anonymisiert Daten zu loggen, wobei auch anonymisierte Daten in den meisten Fällen nach 25 Stunden gelöscht werden. Entsprechend der Firmenphilosophie weigert sich Cloudflare auch auf Sperrwünsche bei seinem DNS-Resolver einzugehen und betrachtet behördliche oder zivilrechtliche Anfragen zur Sperrung von Inhalten auf DNS-Ebene grundsätzlich als ineffektiv, ineffizient und übertrieben.

Seit Mitte 2018 hostet Cloudflare auch die Server für Mozilla zur Bereitstellung des Services DNS over HTTPS (DoH) im Firefox-Browser. Hierbei wurden strikte Datenschutz-Vereinbarungen getroffen.

Darüber hinaus werden DNS-Server angeboten, die DNS-Anfragen auf bekannte Malware und nicht jugendfreie Inhalte blockieren.

Reverse Proxy

Eine Schlüsselfunktion von Cloudflare ist der Reverse Proxy für Webdatenverkehr. Cloudflare unterstützt mehrere Webprotokolle, darunter SPDY und HTTP/2 sowie HTTP/2 Server Push. Cloudflare unterstützt zudem Proxy-Vorgänge für Websockets.

Content Delivery Network

Das Netzwerk von Cloudflare weist die höchste Anzahl von Verbindungen mit Internetknoten aller Netzwerke weltweit auf. Cloudflare speichert Inhalt an Randorten, um so als Content Delivery Network (CDN) zu fungieren. Alle Anforderungen werden dann über Cloudflare als Reverse Proxy gesendet und der zwischengespeicherte Inhalt wird direkt von Cloudflare bereitgestellt.

Artificial intelligence

Im Jahr 2023 führte Cloudflare „Workers AI“ ein, ein Framework, das die Nutzung von Nvidia-GPUs innerhalb des Cloudflare-Netzwerks ermöglicht.

Im Jahr 2024 brachte Cloudflare ein Tool auf den Markt, das Bots am Scrapen von Websites hindert. Um automatische Bot-Erkennungsmodelle zu entwickeln, analysierte das Unternehmen „KI“-Bots und Crawler-Traffic. Das Unternehmen führte einen „KI“-Assistenten ein, der Diagramme basierend auf Abfragen generiert, indem er „Workers AI“ nutzt. Cloudflare kündigte im September 2024 Pläne an, einen Marktplatz zu starten, auf dem Website-Betreiber „KI“-Modellanbietern den Zugriff zum Scrapen der Inhalte ihrer Website verkaufen können. Cloudflare führte auch „AI Audit“ ein, das Analysen zu „KI“-Modellen bereitstellt, die ihre Websites scrapen (zusammen mit der Möglichkeit, diese vollständig zu blockieren).

Im März 2025 kündigte Cloudflare eine neue Funktion namens „AI Labyrinth“ an, welche unautorisiertes „KI“-Datenscraping bekämpft, indem sie LLM-Bots gefälschte, „KI“-generierte Inhalte serviert.

Werte

Cloudflare-CEO Matthew Prince betont seine Unterstützung für Redefreiheit:

Cloudflare veröffentlicht halbjährlich einen Transparenzbericht, um zu zeigen, wie oft Vollzugsbehörden Daten zu seinen Kunden anfordern. Cloudflare äußert sich auch kritisch gegenüber in der EU geplante Maßnahmen zu Netzwerksperren und zu weiteren Verschärfungen des Digital Service Act, die Sperrmaßnahmen bei DNS-Diensten, VPN-Diensten oder anderen Netzinfrastrukturbetreibern vorsehen. Diese Maßnahmen hätten schwerwiegende negative Konsequenzen für die Netzfreiheit und die Rechte der EU-Bürger.

Kunden

Cloudflare bietet DNS-Dienste für 6 Millionen Websites, zu denen einige bekannte wie Uber, OkCupid und Fitbit gehören. Laut W3Techs wird Cloudflare von 11,6 % der Top 10 Millionen Websites verwendet und ist damit der populärste Reverse-Proxy-Dienst.

Auszeichnungen und Anerkennungen

Im Februar 2015 von TechCrunch bei den 8th Annual Crunchies Awards als „Best Enterprise Startup“ ausgezeichnet.

Vom Wall Street Journal zwei Jahre in Folge als „Most Innovative Network & Internet Technology Company“ (Innovativstes Unternehmen für Netzwerk- und Internettechnologie) bezeichnet.

Im Jahr 2012 wurde Cloudflare vom Weltwirtschaftsforum als technologischer Vorreiter anerkannt.

Zählte 2012, laut Fast Company, zu den 10 innovativsten Internet-Unternehmen der Welt.

Im Jahr 2016 befand sich Cloudflare auf Rang 11 der „Forbes Cloud 100“-Liste.

Kritik

In einem Bericht der Europäischen Kommission wird dem Unternehmen vorgeworfen, nicht genug gegen Urheberrechtsverletzungen auf dessen Plattform zu unternehmen. Demnach schätzt der Bericht, dass Cloudflare von ca. 40 % aller Websites genutzt wird, die illegal urheberrechtlich geschütztes Material anbieten. Von den 500 urheberrechtsverletzenden Domains mit den meisten Besuchern, nach Alexa Rank, sind es 62 %. Die Reaktion seitens Cloudflare auf Anfragen bezüglich der Urheberrechtsverletzungen wird weiter als unzureichend eingestuft.

Das Landgericht Köln urteilte (6 U 32/20) in einer einstweiligen Verfügung von Universal Music gegen Musikpiraterie in Deutschland, dass Cloudflare als Störer im Sinne der Störerhaftung angesehen wird, was erstmals einen Präzedenzfall für die Branche schuf. Cloudflare kam der Aufforderung nicht nach und wurde im Berufungsverfahren vor dem Oberlandesgericht Köln aufgrund von Unterlassung verurteilt.

Im August 2022 kam es auf sozialen Medien zu einer Kampagne, in der Cloudflare aufgefordert wurde, die Geschäftsbeziehungen mit dem Internetforum Kiwi Farms einzustellen. Die Streamerin Clara Sorrenti, online bekannt unter dem Namen Keffals, war zuvor Opfer von Doxing und Swatting durch Mitglieder des Forums geworden. Die US-amerikanische Organisation Anti-Defamation League bezeichnete das Forum als „ein extremistenfreundliches Forum, das den Nährboden für unzählige Hetzkampagnen bildet“. In einem am 31. August 2022 veröffentlichten Statement deutete Cloudflare an, nicht auf die Forderungen eingehen zu wollen und berief sich dabei auf die Meinungsfreiheit. Am 4. September 2022 änderte Cloudflare seine Haltung und sperrte den Zugang zu Kiwi Farms. Als Begründung gab das Unternehmen an, dass es innerhalb von 48 Stunden zu derartigen Drohungen innerhalb des Forums gekommen sei, dass nun eine akute Gefahr für Menschenleben bestehe. Trotz proaktiver Zusammenarbeit mit Strafverfolgungsbehörden habe man nicht mehr auf deren Handeln warten können.

Ole Nymoen und Wolfgang M. Schmitt bezeichneten Cloudflare Mitte 2025 als „wichtigste[n] Tech-Konzern, den niemand kennt“. Sie kritisierten insbesondere dessen Zusammenarbeit mit Sicherheitsbehörden, dessen neue Geschäftsmodelle, die zahlenden Kunden das Webcrawling für ‚KI‘-Trainings ermöglichten und entsprechendes Dynamic Pricing, sowie die Rolle Cloudflares als möglicher Flaschenhals bei der Erreichbarkeit von Websites bei etwaigen Störungen.

Am 18. November 2025 brachte ein Programmierfehler bei Cloudflare – eine Änderung der Berechtigungen in einem der Datenbanksysteme – stundenlang das halbe Internet zum Erliegen. Die Unternehmensleitung bezeichnete den Vorfall als Cloudflares schlimmsten Ausfall seit 2019.