Cloudflare Bot Management

Was Cloudflare Bot Management ist

Cloudflare Bot Management ist das kostenpflichtige Bot Erkennungsprodukt in der Cloudflare Suite, verfügbar in den Plänen Pro, Business und Enterprise. Es nutzt die Position von Cloudflare als Reverse Proxy und CDN vor der Betreiber Site, um jeden eingehenden HTTP Request am Cloudflare Edge zu inspizieren. Auf dem globalen Request Graph von Cloudflare (öffentlich genannt: über 50 Millionen Sites) trainierte ML Modelle berechnen einen Bot Score von 1 (mit hoher Wahrscheinlichkeit Bot) bis 99 (mit hoher Wahrscheinlichkeit Mensch). Der Betreiber definiert Firewall Regeln, die je nach Score blockieren, challengen oder drosseln. Bot Management wird breit eingesetzt von E Commerce, Banken, öffentlicher Hand und Ticketing zur Abwehr von Credential Stuffing, Scraping, Bestandshorten und DDoS.

Welche Daten erhoben werden

Bot Management setzt das Cookie __cf_bm auf der Betreiberdomain (Standard 30 Minuten Sliding Lifetime) mit einem verschlüsselten Token, das Cloudflare zur Session Wiedererkennung und Modellverfeinerung nutzt. Auf Request Ebene inspiziert Cloudflare: Quell IP, TLS Fingerprint (JA3/JA4), HTTP Header, Request Timing, angeforderte URL und Signale der Cloudflare JavaScript Detection (sofern aktiviert). Aggregierte Metadaten fließen in die Modelle zurück. Der Request Body wird nur inspiziert, wenn der Betreiber Payload Funktionen explizit aktiviert (Page Shield, Payload Bot Detection).

DSGVO und ePrivacy Implikationen

Cloudflare positioniert __cf_bm als sicherheitsbedingt erforderliches Cookie unter der ePrivacy Ausnahme nach Art. 5 Abs. 3 für Cookies, die für einen ausdrücklich angefragten Dienst nötig sind. Die CNIL akzeptiert diese Position für ähnliche Sicherheits Cookies. Die deutsche DSK und andere Aufsichtsbehörden fordern granulare Einwilligung, sobald Sicherheits Cookies mit weiterreichender Verhaltensanalytik kombiniert werden. Unter DSGVO ist die Rechtsgrundlage für die Verarbeitung von Bot Score und Cookie Wert das berechtigte Interesse nach Art. 6 Abs. 1 lit. f, gerechtfertigt durch Sicherheit und Betrugsprävention, mit Interessenabwägung durch den Betreiber. Besucher IP, Request Metadaten und Bot Score sind personenbezogene Daten und im Verarbeitungsverzeichnis zu dokumentieren.

Datentransfers und US Exposition

EU Besucher Traffic wird typischerweise in EU Edge Rechenzentren verarbeitet (Frankfurt, Amsterdam, Paris, London, Madrid, Mailand etc.). Konfigurations Management, ML Trainingspipeline, Kundendashboards und Audit Logs liegen teilweise in den USA. Cloudflare ist nach EU US Data Privacy Framework selbstzertifiziert und setzt SCC als Rückfall ein. Cloudflare ist US Unternehmen und damit dem CLOUD Act ausgesetzt, was EU Aufsichtsbehörden unabhängig vom Zertifizierungsstatus bemaengeln. Die Data Localisation Suite in Enterprise pinnt Inspektion, Schluesselmaterial und Log Delivery in EU Regionen und reduziert das Restrisiko.

Konfigurationsentscheidungen mit Compliance Auswirkung

Cloudflare JavaScript Detection lädt manchmal einen ausfuehrbaren Challenge vor der Einwilligung, was unter der Sicherheitsausnahme zulässig ist, in der Datenschutzerklärung aber transparent gemacht werden sollte. Bot Management interagiert mit Turnstile (Cloudflare CAPTCHA) und Page Shield, beide mit eigener Datenschutzposition. Betreiber können volle Request Metadaten zu forensischen Zwecken oder nur aggregierte Counter loggen: vollständige Logs haben höheres Gewicht und sollten auf das Notwendige begrenzt sein. In Enterprise empfiehlt sich die Data Localisation Suite, um Inspektion und kryptografisches Material in der EU zu halten.

Praktische Umsetzung

Bot Management im Verarbeitungsverzeichnis als Sicherheitsverarbeitung unter berechtigtem Interesse führen. __cf_bm in der Cookie Richtlinie als sicherheitsbedingt erforderliches Cookie mit 30 Minuten Laufzeit und Bot Erkennungs Zweck listen. Cloudflare DPA und SCC unterzeichnen. CLOUD Act Exposition im Transfer Impact Assessment bewerten, Restrisiko und Mitigationen (Data Localisation Suite, gehashte IDs, begrenzte Log Aufbewahrung) dokumentieren. Wo möglich Data Localisation Suite in Enterprise aktivieren. Prüfen, ob Einwilligung für Bot Management Cookies erforderlich ist, abhängig vom Risikoappetit und der Position der nationalen Aufsicht.