Cloudflare hat am 31. August 2026 Adaptive Intelligence gestartet, einen neuen Mechanismus zur Bot-Erkennung, der laufend aus aktuellem Traffic lernen soll, statt auf die nächsten manuellen Regelupdates zu warten. Für Betreiber von Shops und Diensten mit Login ist jedoch nicht das Schlagwort “KI” entscheidend, sondern das Problem, das Cloudflare lösen will: Bots sehen immer häufiger wie normale Nutzer aus und verteilen Angriffe auf Tausende von IP-Adressen.

Was hat sich geändert?

Bisher basierten viele Systeme zum Schutz vor Bots auf Regelsätzen und Modellen, die in bestimmten Zyklen aktualisiert wurden. Angreifer konnten beobachten, wie das System reagiert, ihr Verhalten anpassen und es erneut versuchen. Cloudflare beschreibt heute ein immer häufigeres Szenario, in dem automatisierter Traffic über ein großes Netzwerk von Adressen verteilt wird, von einzelnen Quellen nur wenige Anfragen kommen und sich der Angriff langsam durch Login, Kontowiederherstellung oder Checkout bewegt.

Adaptive Intelligence soll das Erkennungsmodell fortlaufend anhand des aktuellen Traffics im Cloudflare-Netz aktualisieren. Das erste Element wurde am 31. August gestartet: Das Modell für den Bot Score soll kontinuierlich neu trainiert werden, damit neue Techniken zur Umgehung von Schutzmechanismen schneller in das Modell einfließen können.

WebsiteGarage / Leistungen

Entdecke unsere Leistungen.

Warum ist das für Shops oder Dienste mit Benutzerkonten wichtig?

Weil ein moderner Bot-Angriff nicht wie eine Million Zugriffe pro Sekunde aussehen muss. Er kann wie Tausende völlig gewöhnliche Login-Versuche wirken, die über viele Adressen verteilt sind. In einem solchen Modell reichen einfache Limits für die Anzahl von Anfragen nicht mehr aus, weil sich jede einzelne Quelle scheinbar normal verhält.

Das ist besonders relevant bei Credential Stuffing, also dem automatisierten Testen zuvor gestohlener Logins und Passwörter, bei der Übernahme von Kundenkonten, Missbrauch von Formularen, Passwortwiederherstellung und automatisierten Versuchen, den Kaufprozess zu durchlaufen.

Musst du etwas tun?

Wenn du Cloudflare Bot Management im Enterprise-Tarif nutzt, empfiehlt Cloudflare zu prüfen, ob Auto Update Machine Learning aktiviert ist. Nach der Aktivierung funktioniert der neue Mechanismus ohne Migration auf eine separate Version.

Wenn du Cloudflare Free nutzt, erscheint Adaptive Intelligence nicht automatisch in deinem Konto. Das bedeutet aber nicht, dass es keinen Schutz vor Bots gibt. Im Free-Tarif steht Bot Fight Mode zur Verfügung. Das ist ein einfacher Schutz für die gesamte Domain, der einige bekannte Muster von Bot-Traffic erkennt und mit einer rechenintensiven Challenge reagiert. Die Kontrolle ist allerdings eingeschränkt: Du kannst weder für verschiedene Bot-Kategorien unterschiedliches Verhalten festlegen noch Ausnahmen für bestimmte Bereiche der Website definieren.

In den Tarifen Pro und Business ist Super Bot Fight Mode verfügbar. Damit lässt sich unter anderem festlegen, wie auf bestimmte Kategorien automatisierten Traffics reagiert werden soll, verifizierte Bots können erkannt werden und zusätzliche Mechanismen wie JavaScript Detections stehen zur Verfügung. Business bietet außerdem detailliertere Bot-Analysen, während bei Free und Pro grundlegende Informationen zu Sicherheitsereignissen in Security Events geprüft werden können.

Unabhängig vom Tarif lohnt es sich, Bereiche mit besonders hohem geschäftlichem Wert zusätzlich abzusichern. Cloudflare nennt Turnstile zum Schutz von Formularen, Login und Checkout sowie Rate Limiting zur Begrenzung einer übermäßigen Zahl von Anfragen. Der Umfang von Rate Limiting hängt vom Tarif ab: Free und Pro erlauben einfachere Regeln, die hauptsächlich nach IP-Adresse zählen, während Business umfangreichere Bedingungen ermöglicht. Das ist zwar weiterhin nicht Adaptive Intelligence, aber deutlich sinnvoller, als einen Login ausschließlich mit der Regel “fünf Versuche und dann blockieren wir die IP” abzusichern.

Wenn du kein Enterprise Bot Management nutzt, bringt dir die heutige Einführung also nicht automatisch einen neuen Schutzmechanismus. Die praktische Schlussfolgerung bleibt trotzdem wichtig: Der Schutz von Login und Checkout sollte nicht ausschließlich auf einfachem Blockieren von IP-Adressen beruhen. Wenn eine Website Kundenkonten, Zahlungen oder Formulare mit echtem geschäftlichem Wert hat, sollten Mechanismen zur Missbrauchserkennung das Verhalten einer gesamten Sitzung und wiederkehrende Muster analysieren und nicht nur eine einzelne Anfrage.

Kommentar von WebsiteGarage

Das ist keine Meldung nach dem Muster “Cloudflare hat noch eine Funktion ins Dashboard eingebaut”. Interessanter ist, wohin die Entwicklung geht. Ein Bot muss nicht mehr mit dem Hammer auf die Haustür schlagen. Er kann tausendmal kommen, jedes Mal mit einer anderen Mütze, einmal die Klinke drücken und höflich wieder gehen.

Genau deshalb vermittelt das klassische “nach fünf Versuchen blockieren wir die IP” immer häufiger mehr Sicherheitsgefühl als tatsächliche Sicherheit. Ein System muss erkennen, dass scheinbar unabhängige Besuche zusammen ein Muster bilden. Cloudflare versucht jetzt, genau diesen Teil der Abwehr zu automatisieren.

Quellen