# Cloudflare

Cloudflare, Inc. ist ein US-amerikanisches Unternehmen, das ein Content Delivery Network, Internetsicherheitsdienste und verteilte DNS-Dienste (Domain Name System) bereitstellt, die sich zwischen dem Besucher und dem Hosting-Anbieter des Cloudflare-Benutzers befinden und als Reverse Proxy für Websites fungieren. Der Hauptsitz von Cloudflare befindet sich in San Francisco, Kalifornien, und es gibt weitere Niederlassungen in London, Singapur, Champaign, Austin, Boston und Washington, D.C.

## Geschichte

Cloudflare wurde 2009 von Michelle Zatlyn, Lee Holloway und dem aktuellen CEO Matthew Prince entwickelt. Der offizielle Start wurde im September 2010 auf der TechCrunch Disrupt Conference verkündet. Im Jahr 2010 wurden rund 150 Millionen Interaktionen einzelner Benutzer bei 5 Milliarden Seitenabrufen pro Monat gezählt. Der Dienst sicherte Anfang 2012 etwa 250.000 Websites beispielsweise gegen Nachfragespitzen ab. Im März 2013 wurde mehr als das Dreifache, rund 780.000 Seiten, als aktueller Stand genannt.
Die 2011 aktive Hackergruppe LulzSec nutzte Cloudflare für den Betrieb ihrer Website, da frühere Provider zu wenig Kapazität bereitstellten. Nach öffentlichkeitswirksamen Aktionen, dem Hack der Website Sonys und dem Diebstahl einer Million Zugangsdaten oder dem Distributed-Denial-of-Service der CIA-Homepage, führten Leitmedien eine kontroverse Debatte, ob Cloudflare ohne richterlichen Beschluss den Auftritt LulzSecs allein auf Bitten der CIA offline nehmen sollte. Cloudflare berief sich in einem Blogpost auf Informationsfreiheit und lehnte mit dem Hinweis auf Zensur ab.
Im Juni 2012 ging Cloudflare Partnerschaften mit verschiedenen Webhosts ein, um seine Railgun-Technologie zu implementieren. Railgun zielt darauf ab, sich oft verändernde Seiten wie Nachrichten zu beschleunigen, indem nur die oft geringen Änderungen vom Herausgeber heruntergeladen werden, während der Rest von Cloudflares Zwischenspeichern kommt.
Ebenfalls im Juni 2012 gelang es der Hackergruppe UGNazi, durch Lücken in Googles Nutzerauthentifizierung die Website 4chan zu verunstalten, die durch den Dienst eigentlich geschützt sein sollte.
Neben dem Auftritt der Band Metallica und staatlichen Institutionen gehört auch Wikileaks zu den Kunden Cloudflares, was nach anhaltenden Attacken auf Wikileaks breite mediale Aufmerksamkeit fand.
Im Februar 2013 veröffentlichte das Zero Science Lab einen vergleichenden Report, wie angreifbar die Web Application Firewall von Cloudflare via Penetrationtesting wäre. Gegenüber den beiden Wettbewerbern erwies sich Cloudflare als am wenigsten resistent.
Cloudflare schloss sich 2013 dem von Mozilla initiierten Aufruf für mehr Transparenz beim Abfragen von Nutzerdaten durch die US-Regierung („The Internet Sector calls for Greater Transparency in Requests for User Data“) an, der in StopWatching.Us, einem offenen Brief an den Kongress der Vereinigten Staaten, aufging.
Im August 2013 kam Cloudflare in die Kritik, weil sie auch die Webseite des Kavkaz Center absichert, die über Tschetschenien berichtet und auf der einige Inhalte von Sicherheitsexperten als extremistisch eingeordnet wurden. Die Unternehmensleitung wies die Vorwürfe mit Verweis auf die Tradition der Meinungsfreiheit in den Vereinigten Staaten zurück: „A website is speech. It is not a bomb.“
Im Februar 2014 schwächte Cloudflare den bis dahin größten je aufgezeichneten DDoS-Angriff von 400 GBit/s ab. Im November 2014 meldete Cloudflare einen weiteren massiven DDoS-Angriff mit 500 GBit/s, dessen Ziel unabhängige Medienwebsites waren.
Seit dem 29. September 2014 bietet Cloudflare Universal SSL als kostenfreie SSL-Verschlüsselung an, welche mittels Server Name Indication realisiert wird.
Nach einem Artikel vom 22. Juli 2015 von netzpolitik.org werden alle DNS-Anfragen für die Domain des Deutschen Bundestages „bundestag.de“ und deren Subdomains von Cloudflare beantwortet. Das Pressereferat des Deutschen Bundestags bestätigte dies teilweise in einer zurückhaltenden Stellungnahme gegenüber dem Blog.
Am 24. Februar 2017 wurde bekannt, dass es durch eine Sicherheitslücke über Monate möglich war, an übertragene Daten – auch aus verschlüsselten Verbindungen – zu gelangen, u. a. Positionsdaten der Benutzer des Dienstes Uber, private Chatnachrichten der Dating-Seite OkCupid und Video-Frames aus Erotik-Portalen.
In Diskussionen um die rechtsradikale amerikanische Seite The Daily Stormer kündigte Cloudflare deren Vertrag im August 2017. Die Seite war danach aufgrund von DDoS-Attacken nicht erreichbar. Cloudflare-CEO Matthew Prince stufte sein Verhalten als kritisch ein. Seiner eigenen Aussage nach verfügte er über zu viel Macht, da nicht eine Einzelperson über den Bestand einer Internetseite entscheiden sollte.
Seit Mitte 2018 hostet Cloudflare die Server für Mozilla zur Bereitstellung des Services DNS over HTTPS (DoH). Hierbei wurden strikte Datenschutz-Vereinbarungen getroffen.
Nach dem Anschlag in El Paso am 3. August 2019 kündigte Cloudflare wenige Tage darauf den Vertrag mit dem Imageboard 8chan. Der Täter hatte seine Tat zuvor auf der Website angekündigt.

## Finanzierungsrunden

* November 2009: 2,1 Millionen Dollar in einer Serie-A-Runde von Pelion Venture Partners und Venrock.
* Juli 2011: 20 Millionen Dollar in einer Serie-B-Runde von New Enterprise Associates, Pelion Venture Partners und Venrock.
* Dezember 2012: 50 Millionen Dollar in einer Serie-C-Runde von New Enterprise Associates, Pelion Venture Partners, Venrock, Union Square Ventures und Greenspring Associates.
* Dezember 2014: 110 Millionen Dollar in einer Serie-D-Runde unter der Leitung von Fidelity Investments und mit Teilnahme von Google Capital, Microsoft, Qualcomm und Baidu.
* Seit dem 13. September 2019 wird Cloudflare unter dem Kürzel NET an der Börse NYSE gehandelt und erzielte beim Verkauf der Anteile 525 Millionen Dollar.

## Übernahmen

* Februar 2014: StopTheHacker zwecks Malware-Erkennung, automatischer Malware-Entfernung, Schutz der IT-Reputation, Überwachung von Negativlisten.
* Juni 2014: CryptoSeal, von Ryan Lackey gegründet.
* Dezember 2016: Eager, um Installationen von Drittanbieter-Apps auf Cloudflare-fähigen Websites per Drag-and-Drop zu ermöglichen.
* November 2017: Neumob
* Januar 2020: S2 Systems
* Dezember 2020: Linc
* Dezember 2021: Zaraz

## Dienste
### DDoS-Schutz

Cloudflare bietet allen Kunden die Einstellung „I’m Under Attack Mode“ (Ich-werde-angegriffen-Modus). Laut Cloudflare kann dies erweiterte Angriffe der Ebene 7 abschwächen, indem eine JavaScript-Rechenaufgabe angezeigt wird, die gelöst werden muss, bevor ein Benutzer auf eine Website zugreifen kann.

### Web Application Firewall

Cloudflare ermöglicht Kunden mit kostenpflichtigen Tarifen standardmäßig die Nutzung eines Web-Application-Firewall-Dienstes. Die Firewall verfügt zusätzlich zum eigenen Regelsatz von Cloudflare und den Regelsätzen für beliebte Webanwendungen über den OWASP ModSecurity-Kernregelsatz.

### Domain Name Server

Cloudflare bietet einen kostenlosen Domain Name Server (DNS) für alle Clients, die von einem Anycast-Netzwerk unterstützt werden. Laut W3Cook betreibt der DNS-Dienst von Cloudflare derzeit über 35 % der gehosteten DNS-Domänen. SolveDNS teilte mit, dass Cloudflare mit einer im April 2016 gemeldeten Suchgeschwindigkeit von 8,66 ms durchgängig eine der schnellsten DNS-Suchgeschwindigkeiten weltweit hat.

### Reverse Proxy

Eine Schlüsselfunktion von Cloudflare ist der Reverse Proxy für Webdatenverkehr. Cloudflare unterstützt mehrere Webprotokolle, darunter SPDY und HTTP/2 sowie HTTP/2 Server Push. Cloudflare unterstützt zudem Proxy-Vorgänge für Websockets.

### Content Delivery Network

Das Netzwerk von Cloudflare weist die höchste Anzahl von Verbindungen mit Internetknoten aller Netzwerke weltweit auf. Cloudflare speichert Inhalt an Randorten, um so als Content Delivery Network (CDN) zu fungieren. Alle Anforderungen werden dann über Cloudflare als Reverse Proxy gesendet und der zwischengespeicherte Inhalt wird direkt von Cloudflare bereitgestellt.

## Werte

Cloudflare-CEO Matthew Prince betont seine Unterstützung für Redefreiheit:
   “One of the greatest strengths of the United States is a belief that speech, particularly political speech, is sacred. A website, of course, is nothing but speech. […] A website is speech. It is not a bomb. There is no imminent danger it creates and no provider has an affirmative obligation to monitor and make determinations about the theoretically harmful nature of speech a site may contain.”
   „Eine der größten Stärken der USA liegt im Glauben daran, dass Reden, und insbesondere politische Reden, heilig sind. Eine Website ist natürlich nichts anderes als eine Rede […] Eine Website ist eine Rede. Es ist keine Bombe. Von ihr geht keine unmittelbare Gefahr aus und kein Anbieter ist ausdrücklich zur Überwachung verpflichtet und muss die theoretisch gefährliche Natur der Sprache bestimmen, die eine Website enthalten kann.“
Cloudflare veröffentlicht halbjährlich einen Transparenzbericht, um zu zeigen, wie oft Vollzugsbehörden Daten zu seinen Kunden anfordern.

## Kunden

Cloudflare bietet DNS-Dienste für 6 Millionen Websites, zu denen einige bekannte wie Uber, OkCupid und Fitbit gehören. Laut W3Techs wird Cloudflare von 11,6 % der Top 10 Millionen Websites verwendet und ist damit der populärste Reverse-Proxy-Dienst.

## Auszeichnungen und Anerkennungen

* Im Februar 2015 von TechCrunch bei den 8th Annual Crunchies Awards als „Best Enterprise Startup“ ausgezeichnet.
* Vom Wall Street Journal zwei Jahre in Folge als „Most Innovative Network & Internet Technology Company“ (Innovativstes Unternehmen für Netzwerk- und Internettechnologie) bezeichnet.
* Im Jahr 2012 wurde Cloudflare vom Weltwirtschaftsforum als technologischer Vorreiter anerkannt.
* Zählte 2012, laut Fast Company, zu den 10 innovativsten Internet-Unternehmen der Welt.
* Im Jahr 2016 befand sich Cloudflare auf Rang 11 der „Forbes Cloud 100“-Liste.

## Kritik

In einem Bericht der Europäischen Kommission wird dem Unternehmen vorgeworfen, nicht genug gegen Urheberrechtsverletzungen auf dessen Plattform zu unternehmen. Demnach schätzt der Bericht, dass Cloudflare von ca. 40 % aller Websites genutzt wird, die illegal urheberrechtlich geschütztes Material anbieten. Von den 500 urheberrechtsverletzenden Domains mit den meisten Besuchern, nach Alexa Rank, sind es 62 %. Die Reaktion seitens Cloudflare auf Anfragen bezüglich der Urheberrechtsverletzungen wird weiter als unzureichend eingestuft.
Das Landgericht Köln urteilte (6 U 32/20) in einer einstweiligen Verfügung von Universal Music gegen Musikpiraterie in Deutschland, dass Cloudflare als Störer im Sinne der Störerhaftung angesehen wird, was erstmals einen Präzedenzfall für die Branche schuf. Cloudflare kam der Aufforderung nicht nach und wurde im Berufungsverfahren vor dem Oberlandesgericht Köln aufgrund von Unterlassung verurteilt.
Im August 2022 kam es auf sozialen Medien zu einer Kampagne, in der Cloudflare aufgefordert wurde, die Geschäftsbeziehungen mit dem Internetforum Kiwi Farms einzustellen. Die Streamerin Clara Sorrenti, online bekannt unter dem Namen Keffals, war zuvor Opfer von Doxing und Swatting durch Mitglieder des Forums geworden. Die US-amerikanische Organisation Anti-Defamation League bezeichnete das Forum als „ein extremistenfreundliches Forum, das den Nährboden für unzählige Hetzkampagnen bildet“. In einem am 31. August 2022 veröffentlichten Statement deutete Cloudflare an, nicht auf die Forderungen eingehen zu wollen und berief sich dabei auf die Meinungsfreiheit. Am 4. September 2022 sperrte Cloudflare den Zugang zu Kiwi Farms. Als Begründung gab das Unternehmen an, dass es innerhalb von 48 Stunden zu derartigen Drohungen innerhalb des Forums gekommen sei, dass nun eine akute Gefahr für Menschenleben bestehe. Trotz proaktiver Zusammenarbeit mit Strafverfolgungsbehörden habe man nicht mehr auf deren Handeln warten können.