5
Edges in 4 unabhängigen Netzen
Verteilen
Angriffe treffen nicht einen Server, sondern fünf Edges in vier unabhängigen Netzen. Fällt ein Edge aus, leitet das DNS Besucher in Sekunden zu den anderen.
DDoS-Schutz
Angriffe enden bei uns. Nicht bei dir.
Was das CDN abweist, erreicht deinen Server nie. Der DDoS-Schutz greift in vier Ebenen – vom Verteilen auf fünf Edges bis zur Auslieferung aus dem Cache – und du siehst jederzeit, was abgewehrt wurde.
- Dauerhaft kostenloser Tarif
- keine Kreditkarte nötig
- in wenigen Minuten eingerichtet
- DDoS-Schutz
- 4 Ebenen
- in 4 unabhängigen Netzen
- 5 Edges
- SQL-Injection, XSS, Scanner
- WAF
- Server verborgen
- Origin
DDoS-Schutz
DDoS-Schutz in vier Ebenen. Bevor etwas bei dir ankommt.
Ein Angriff muss an allen vier Ebenen vorbei – die meisten enden schon an der ersten.
0
offene Ports mit Expose Host
Verbergen
Wer deine Adresse nicht kennt, kann sie nicht angreifen: Origin-Schutz für Websites, Plugin für Minecraft, Expose Host ganz ohne offenen Port.
200
Anfragen/s je IP – Standard-Limit
Filtern
An jedem Edge: Verbindungs- und Rate-Limits je IP, ungültige Pakete verworfen, Bot-Prüfung, WAF, Länder-Sperren – und im Notfall der „Unter Angriff“-Modus.
24 h
Auslieferung aus dem Cache bei Ausfall
Abfedern
Was im Cache liegt, liefert das CDN selbst aus – auch wenn dein Server unter Last steht, bis zu einem Tag. Die Minecraft-Serverliste kommt komplett vom Edge.
Für jeden Dienst
Websites, Minecraft, Ports. Alles geschützt.
Was das CDN je Dienst abfängt
| Dienst | Typische Angriffe | Schutz am Edge |
|---|---|---|
| Websites | HTTP-Fluten, Login-Brute-Force, Scanner | Rate-Limits, Bot-Erkennung, WAF, „Unter Angriff“-Modus, Cache |
| Minecraft | Bot-Fluten, Ping-Fluten, VPN-Spam | Verbindungslimits, Bot-Schutz, Serverliste aus dem Cache, VPN-Filter |
| TCP/UDP-Load-Balancer | Verbindungsfluten auf Datenbanken und Dienste | Server verborgen, höchstens 256 TCP-Verbindungen je Client-Adresse |
| Expose Host | Angriffe auf den Heimanschluss | Adresse zu Hause verborgen, kein offener Port am Router |
Origin-Schutz
Erst verbergen. Dann schützen.
Das CDN schützt nur, wenn niemand an ihm vorbei zu deinem Server kommt. Zwei Schritte, einmal eingerichtet.
- 1
Firewall nur für das CDN
Das Portal listet alle Adressen, von denen das CDN deinen Server abruft – mit Beispielen für nginx, Apache und ufw. Ändert sich die Liste, bekommst du Bescheid.
- 2
Kennung prüfen
Das CDN schickt bei jeder Anfrage ein Geheimnis im Header X-KH-Origin-Auth. Dein Server lehnt alles ohne ab – das geht sogar auf Webspace per .htaccess.
- 3
Prüfen, was öffentlich ist
„Was ist öffentlich?“ testet, ob dein Server direkt erreichbar ist und ob alte DNS-Einträge wie mail oder ftp seine Adresse verraten.
.htaccess (Apache)
# nur Anfragen mit der Kennung des CDN
RewriteEngine On
RewriteCond %{HTTP:X-KH-Origin-Auth} !^DEIN-GEHEIMNIS$
RewriteRule ^ - [F]
Schutzfunktionen
Sechs Schichten. Direkt am Edge.
Jede Anfrage durchläuft die Prüfungen, bevor sie Cache oder Server erreicht.
IP-Adressen und Netze
Sperren oder immer erlauben – etwa dein Büro, dein Monitoring oder deinen Zahlungsanbieter.
Länder
Bestimmte Länder sperren oder nur ausgewählte zulassen, z. B. DE, AT und CH für einen regionalen Shop.
Rate-Limits
Ein allgemeines Limit je Besucher-IP und eigene Limits für Pfade wie /wp-login.php oder /api/.
WAF
Erkennt SQL-Injection, Cross-Site-Scripting, Verzeichnis-Ausbrüche, heikle Dateien wie /.env, eingeschleuste Befehle (Log4Shell) und Scanner. Erst zählen, dann sperren.
Bots und KI-Crawler
Echte Suchmaschinen von Google, Bing und Apple werden geprüft und durchgelassen, gefälschte „Googlebots“ gesperrt. KI-Crawler wie GPTBot oder ClaudeBot hältst du auf Wunsch draußen.
„Unter Angriff“-Modus
Im Notfall löst jeder Besucher einmal kurz eine Rechenaufgabe im Browser – ohne Klicken, ohne Bilderrätsel. Danach ist er 12 Stunden freigeschaltet.
Zugriffsschutz
Nur für dein Team. Oder bestimmte Adressen.
Für Admin-Bereiche, NAS-Oberflächen oder Home Assistant: Die Prüfung läuft auf den Edges – Anfragen ohne Freischaltung erreichen deinen Server gar nicht.
Anmeldung über das Portal
Wer die Website öffnet, meldet sich im Portal an. Nur Mitglieder deines Teams kommen durch – für 1 bis 168 Stunden je Browser.
Erlaubte Adressen
Apps, Skripte und dein Büro kommen ohne Anmeldung durch – praktisch für Dienste ohne Browser.
Protokolliert
Jede Freischaltung steht im Protokoll. Dein Portal-Passwort bekommt die Website nie zu sehen.
Transparenz
Zeig, was abgewehrt wurde. Mit einem Link.
Nach einem Angriff wollen Kunden und Spieler wissen, was los war. Ein Angriffsbericht beantwortet das – ideal für deine Community auf Discord.
Öffentliche Seite
Ohne Zeitraum findet das CDN den stärksten Angriff selbst. Die Seite bleibt, bis du sie zurückziehst.
Die Zahlen
Abgewehrte Anfragen, Spitze pro Minute, angreifende Netze, Gründe, Herkunftsländer und Verlauf.
Ohne IP-Adressen
Keine Adressen auf der Seite – und auf Wunsch anonym, ohne Domain oder Serveradresse.
Schützt das CDN auch Minecraft- und TCP-Dienste vor DDoS?
Ja. Spielserver und TCP/UDP-Load-Balancer laufen über dieselben Edges: Deine Server-Adresse bleibt verborgen, und die Edges begrenzen Verbindungen je Adresse. Bei Minecraft kommt die Serverliste aus dem Cache, Bot-Fluten fängt der Bot-Schutz ab.
Was passiert, wenn ein Edge angegriffen wird?
Die anderen übernehmen: Die Edges stehen in fünf Städten und vier unabhängigen Netzen. Besucher bekommen nur die Adressen gesunder Edges – fällt einer aus, leitet das DNS sie innerhalb von Sekunden um.
Muss ich die WAF sofort scharf schalten?
Nein. Mit „Nur zählen“ erkennt die WAF Angriffe und zählt sie in der Statistik, sperrt aber nichts. Nach ein paar Tagen siehst du, ob echte Besucher betroffen wären – dann auf „Sperren“ stellen.
Bleibt meine Website bei Google, wenn ich Länder sperre?
Ja, mit „Echte Suchmaschinen durchlassen“: Das CDN prüft Crawler von Google, Bing und Apple und lässt sie an Länder-Sperre und „Unter Angriff“ vorbei.
Was passiert mit Apps und Webhooks im „Unter Angriff“-Modus?
Programme ohne Browser lösen die Aufgabe nicht. Trag ihre Adressen unter „Immer erlauben“ ein – dann kommen sie durch.
Setzt das CDN Cookies?
Nein – außer im „Unter Angriff“-Modus ein technisch notwendiges, das die bestandene Prüfung für 12 Stunden merkt. Der Zugriffsschutz nutzt ein signiertes Cookie nur für diese Domain.
Reicht das CDN als Schutz für meinen Server?
Nur, wenn niemand direkt an deinen Server kommt – richte deshalb den Origin-Schutz ein. Die WAF ist eine zusätzliche Schicht und ersetzt keine Updates deiner Software.
Jetzt starten
In wenigen Minuten geschützt. Kostenlos starten.
Dauerhaft kostenloser Tarif · keine Kreditkarte nötig · in wenigen Minuten eingerichtet