Cloudflare Turnstile
Cloudflare Turnstile ist ein kostenloses, CAPTCHA-freies Bot-Erkennungsservice von Cloudflare, das Nutzer durch unsichtbare Proof-of-Work-Challenges, Browser-Signale und Verhaltensanalyse verifiziert, ohne sichtbare CAPTCHA-Rätsel zu präsentieren. Es ist datenschutzfreundlich konzipiert: keine persistenten Tracking-Cookies, keine Werbedaten-Weitergabe und minimale Verarbeitung personenbezogener Daten. Berechtigtes Interesse unterstützt seine Nutzung für Sicherheitszwecke ohne Einwilligung, was es zu einer der DSGVO-freundlichsten CAPTCHA-Alternativen macht.
Was macht Cloudflare Turnstile?
Was Cloudflare Turnstile tatsächlich macht
Cloudflare Turnstile ist der kostenlose CAPTCHA Ersatz, den Cloudflare 2022 eingeführt hat. Statt Nutzer Verkehrsschilder anklicken zu lassen, führt Turnstile eine Reihe nicht interaktiver JavaScript Challenges (Private Access Tokens, Browser Integritätsprüfungen, Verhaltenssignale) aus und liefert ein Token, das das Backend des Publishers über challenges.cloudflare.com/turnstile/v0/siteverify verifiziert. Das Produkt positioniert sich als privacy first Alternative zu Google reCAPTCHA: keine Google oder Cloudflare Werbe Cookies, schlankes JavaScript Widget und möglichst lokale Verifikation im Browser.
Cookies und Speicherzugriffe durch Turnstile
Im unsichtbaren Standardmodus schreibt Turnstile keinen Cookie auf der Publisher Domain. Das Widget Skript (challenges.cloudflare.com/turnstile/v0/api.js) legt nur einen transienten Nonce im sessionStorage ab, um Replays innerhalb derselben Seite zu erkennen. Wenn der Besucher eine verwaltete oder interaktive Challenge bestehen muss, kann Cloudflare cf_chl_persist auf .cloudflare.com (Drittanbieter, 1 Stunde) und cf_chl_rc_n auf der Publisher Domain (First Party, 1 Stunde) setzen, um die erfolgreiche Lösung zu speichern. Diese Cookies sind unbedingt erforderlich für den Sicherheitsdienst.
Rechtsgrundlage und Sicherheitsausnahme
Turnstile stützt sich auf das berechtigte Interesse des Publishers am Schutz von Formularen, Logins und APIs vor Bots, Scraping und Credential Stuffing (Art. 6(1)(f) DSGVO). Die CNIL Empfehlung zu Cookies und die EDSA Leitlinien 2/2023 zu Art. 5(3) ePrivacy erkennen eine Einwilligungsausnahme für Cookies und Speicherzugriffe an, die für einen vom Nutzer ausdrücklich angeforderten Sicherheitsdienst unbedingt erforderlich sind. Turnstile fällt unter diese Ausnahme, solange der Publisher die Signale nicht für Marketing oder Analyse weiterverwendet. Der Grundsatz der Datenminimierung (Art. 5(1)(c) DSGVO) ist gewahrt, da kein persistenter Besucher Identifikator entsteht.
Internationale Datenübermittlungen
Cloudflare Inc. ist in den USA ansässig und seit dem 1. August 2023 unter dem EU US Data Privacy Framework zertifiziert. Challenge Signale werden über das globale Anycast Netzwerk verarbeitet, das die USA einschließt, auch wenn der Besucher sich mit einem europäischen Edge Standort verbindet. Cloudflare Enterprise oder Business Kunden können mit Regional Services die Datenebene auf die europäische Region beschränken und Rohsignale innerhalb der EU halten. Der Cloudflare AVV enthält die EU Standardvertragsklauseln (Modul 2) und wird mit der Annahme der Cloudflare AGB automatisch abgeschlossen.
Praktische Compliance Checkliste
Beschränken Sie Turnstile auf echte Anti Bot Zwecke; geben Sie den Score nicht in Marketing Analyse Tools weiter. Dokumentieren Sie Cloudflare als Auftragsverarbeiter im Verarbeitungsverzeichnis (Art. 30 DSGVO) und in der Datenschutzerklärung. Aktivieren Sie Regional Services EU nur, wenn strikte Datenresidenz erforderlich ist. Prüfen Sie den konfigurierten Action Mode (managed, nicht interaktiv, unsichtbar), damit die Nutzerfriktion verhältnismäßig bleibt. Kombinieren Sie Turnstile mit Rate Limiting und WAF Regeln, um die Anzahl ausgelöster Challenges zu reduzieren. Aktualisieren Sie den AVV jährlich und prüfen Sie die aktive DPF Zertifizierung auf dataprivacyframework.gov.
Alternativen
Privacy first Alternativen sind Friendly Captcha (deutsch, DSGVO konform entwickelt), hCaptcha (mit Privacy Pass), Altcha (Open Source Proof of Work) und MTCaptcha. Google reCAPTCHA bleibt am verbreitetsten, setzt aber Verhaltens Cookies auf doubleclick.net und ist in den meisten Fällen mit der Sicherheitsausnahme nicht vereinbar.
Cloudflare Turnstile und die DSGVO
- Rechtsgrundlage
- Legitimate interest of the publisher in protecting the site against bots and abuse (GDPR art. 6(1)(f)). Under the CNIL exemption for security cookies and the EDPB guidelines 2/2023 on the scope of ePrivacy art. 5(3), a CAPTCHA strictly necessary to deliver the service requested by the user can run without consent, provided no advertising reuse occurs. Consent must be sought if the publisher activates the Turnstile cf_chl_persist cookie for non security purposes.
- Risikostufe
- low
- Anwendbare Vorschriften
- GDPR, ePrivacy Directive 2002/58/EC, EU US Data Privacy Framework, EDPB guidelines 2/2023 on art. 5(3) ePrivacy, CNIL recommendation on security cookies, TTDSG (Germany), LOPDGDD (Spain), LIL (France)
Datenschutz-Folgenabschätzung (DSFA)
Eine DSFA ist für Turnstile in der Regel nicht erforderlich: es handelt sich um eine Sicherheitsmaßnahme, die nur Browser Signale verarbeitet. Dokumentieren Sie Rechtsgrundlage und Datenfluss zu Cloudflare.
Beispieltext für Ihr Banner
Wir setzen Cloudflare Turnstile ein, einen privacy first CAPTCHA Ersatz, um Bots zu erkennen und unsere Formulare zu schützen. Turnstile führt im Hintergrund eine nicht interaktive JavaScript Challenge in Ihrem Browser aus; es werden keine Werbe Cookies gesetzt und kein Verhaltensprofil erstellt. Signale wie Ihre IP Adresse, Ihr User Agent und die Challenge Timings werden über das globale Cloudflare Netzwerk einschließlich der USA auf Grundlage des EU US Data Privacy Framework und der EU Standardvertragsklauseln verarbeitet. Da Turnstile zum Schutz dieser Website gegen Betrug unbedingt erforderlich ist, läuft er unter der Sicherheitsausnahme nach §25 Abs. 2 Nr. 2 TTDSG ohne Einwilligung.
Was Cloudflare Turnstile setzt und kontaktiert
- Tracking-Methode
- invisible_browser_challenge_javascript
- Serverstandort
- Cloudflare operates an anycast network of more than 320 points of presence. Turnstile challenges are issued and verified at the closest edge to the visitor; for EU visitors traffic stays in the European Region (Frankfurt, Paris, Amsterdam, Madrid) under the Cloudflare Regional Services configuration when activated by the customer.
- Cookieloser Modus verfügbar
- Ja
- Datenübermittlung außerhalb der EU
- Cloudflare Inc. is established in San Francisco, California. Challenge signals (browser fingerprints, IP, timing, behaviour signals) are processed across the global Cloudflare network including the United States, even when the EU edge is preferred. Cloudflare adheres to the EU US Data Privacy Framework since 1 August 2023 and signs the EU Standard Contractual Clauses through its Data Processing Addendum. Activate Regional Services EU only for stricter data residency.
Gesetzte Cookies (3)
| Name | Typ | Laufzeit | Zweck |
|---|---|---|---|
| cf_clearance | First party (Cloudflare, optional) | 30 minutes | Set only when the protected resource also uses Cloudflare Bot Management. Confirms the visitor has passed the bot challenge for the current session. |
| cf_clearance | persistent | 30 minutes | Cloudflare Turnstile clearance cookie confirming successful human verification, no advertising or tracking purpose |
| __cf_chl_* | First party (Cloudflare) | Few seconds | Short lived challenge cookie used to coordinate the Turnstile challenge in the browser. Removed immediately after the challenge completes. |
Kontaktierte Drittanbieter-Domains (5)
challenges.cloudflare.comchallenges.cloudflare.comcloudflare.comcloudflare.comstatic.cloudflareinsights.com
Häufige Fragen zu Cloudflare Turnstile
Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell.
Benötigt Cloudflare Turnstile eine Einwilligung?
Im Allgemeinen nicht. Turnstile verarbeitet minimale technische Daten zu Sicherheitszwecken ohne persistente Tracking-Cookies oder Werbedaten-Weitergabe. Das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) ist eine geeignete Rechtsgrundlage für den Einsatz von Bot-Schutzlösungen.
Ist Cloudflare Turnstile wirklich CAPTCHA-frei?
Ja. Turnstile präsentiert keine sichtbaren Rätsel wie Bildauswahlen oder Textdekodierungen. Es analysiert Browser-Signale, JavaScript-Ausführung und Geräteattestation im Hintergrund. Die meisten Nutzer werden verifiziert, ohne überhaupt von Turnstile zu wissen.
Welche Daten erhebt Cloudflare Turnstile?
Turnstile erhebt minimale technische Daten: Browser-Typ und -Einstellungen, HTTP-Header, IP-Adresse (kurzzeitig zur Risikoberechnung), Gerätezeitzone und grundlegende Interaktionssignale. Es werden keine persistenten Identifikatoren oder Tracking-Cookies gesetzt.
Überträgt Cloudflare Turnstile Daten außerhalb der EU?
Cloudflare ist ein US-amerikanisches Unternehmen, betreibt aber EU-basierte Points of Presence. Für viele EU-Nutzer wird die Verifizierung in EU-Rechenzentren verarbeitet. Cloudflare hat sich nach dem EU-US Data Privacy Framework zertifiziert und stellt SCCs im Rahmen seines DPA bereit.
Ist Cloudflare Turnstile kostenlos?
Ja. Cloudflare Turnstile bietet einen kostenlosen Tarif für bis zu einer Million Anfragen pro Monat. Für höhere Volumina sind kostenpflichtige Pläne verfügbar. Es gibt keine versteckten Kosten für die Grundfunktionalität.
Wie implementiere ich Cloudflare Turnstile?
Erstellen Sie ein kostenloses Cloudflare-Konto und registrieren Sie Ihre Domain für Turnstile. Fügen Sie das Turnstile-Skript in Ihren HTML-Header ein. Platzieren Sie das Widget in Ihrem Formular. Validieren Sie serverseitig das Turnstile-Token über die Cloudflare-API. Akzeptieren Sie Cloudflares DPA in Ihren Kontoeinstellungen.
Was ist der Unterschied zwischen Cloudflare Turnstile und hCaptcha?
Beide sind GDPR-freundlichere Alternativen zu Google reCAPTCHA. Turnstile ist vollständig unsichtbar und kostenlos, ohne Werbedaten-Weitergabe. hCaptcha kann sichtbare Rätsel anzeigen, bietet jedoch Monetarisierungsoptionen für Websitebetreiber. Für maximale Datenschutzkonformität ohne Nutzerreibung ist Turnstile in der Regel die bessere Wahl.
Wie offenbare ich Cloudflare Turnstile in meiner Datenschutzerklärung?
Erwähnen Sie Turnstile im Abschnitt über Sicherheitsmaßnahmen Ihrer Datenschutzerklärung: Beschreiben Sie den Zweck (Schutz vor Bot-Anfragen), die verarbeiteten Daten (minimale technische Daten), die Rechtsgrundlage (berechtigtes Interesse) und den Dienstanbieter (Cloudflare Inc., USA, zertifiziert unter dem EU-US Data Privacy Framework).
Welche Cookies setzt Cloudflare Turnstile?
Standardmäßig keine. Turnstile arbeitet cookielos und nutzt nur kurzlebige Browser Signale. Ein cf_clearance Cookie kann erscheinen, wenn die geschützte Ressource auch Cloudflare Bot Management einsetzt; Turnstile selbst benötigt es nicht.
Brauche ich für Turnstile eine Einwilligung?
Nein. Turnstile ist eine Sicherheitstechnologie, die für die Erbringung des gewünschten Dienstes erforderlich ist (Erwägungsgrund 30 ePrivacy, Erwägungsgrund 49 DSGVO). Es darf wie jedes Anti Bot CAPTCHA vor der Einwilligung geladen werden. CNIL und AEPD teilen diese Einschätzung.
Was ist die Rechtsgrundlage?
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) zum Schutz eines Dienstes vor automatisiertem Missbrauch, Betrug, Credential Stuffing, Scraping und Spam. Konkret und verhältnismäßig.
Überträgt Turnstile Daten in die USA?
Cloudflare, Inc. ist in den USA ansässig. Die meisten Challenges werden im nächstgelegenen Edge Knoten ausgewertet, oft in Europa. Übermittlungen in die USA sind durch das EU US Data Privacy Framework und EU SCCs im Cloudflare DPA abgedeckt.
Brauche ich eine DSFA?
In der Regel nicht. Turnstile ist eine Sicherheitsmaßnahme, die nur kurzlebige Browser Signale verarbeitet. Dokumentieren Sie die Rechtsgrundlage im Verzeichnis nach Art. 30 DSGVO.
Wie setze ich Turnstile rechtskonform um?
Auf Formularen/Aktionen mit realem Bot Risiko einsetzen. Als Sicherheitsmaßnahme dokumentieren. Cloudflare DPA unterzeichnen. Serverseitig validieren. Explicit oder Managed Render Mode bevorzugen, um Transparenz für die Nutzer zu wahren.
Welche Alternativen gibt es?
Privacy First Alternativen: Friendly Captcha (Deutschland), Anubis (Open Source), MTCaptcha (Spanien), Hcaptcha (Schweiz), Procaptcha (UK), Capy Puzzle Captcha (Japan), Geetest (China). Für vollständiges Bot Management: Datadome (Frankreich), Reblaze.
Wie aktualisiere ich die Cookie Richtlinie für Turnstile?
Kein Pflichteintrag, da cookielos. Erwähnen Sie Cloudflare Turnstile im Sicherheitsteil der Datenschutzerklärung: Zweck (Bot Abwehr), Rechtsgrundlage (berechtigtes Interesse Sicherheit), Auftragsverarbeiter (Cloudflare), Transfer (EU US Data Privacy Framework + SCCs).
Machen Sie Ihre Website noch heute konform.
Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung.