Eigener Code im Moment der Sicherheitsentscheidung
Cloudflare hat am 15. Oktober 2026 sein Secure Web Gateway und die Data Loss Prevention (DLP) mit der Entwicklerplattform Workers verknüpft. Unternehmen können damit eigenen Code direkt in die Auswertung ihrer Sicherheitsregeln einbauen. Bisher hieß Programmierbarkeit bei den meisten Anbietern: API, Terraform oder Webhooks. Cloudflare Gateway DLP führt den Code jetzt im Pfad der Anfrage aus, genau dann, wenn über Erlauben oder Blockieren entschieden wird.
Die drei neuen Bausteine:
- Forward-Aktion (Public Beta ab sofort): leitet bereits erlaubten HTTP-Verkehr an einen Worker, der Header und Inhalt lesen und ändern kann
- Custom Functions (vor Jahresende erwartet): ein Worker liefert während der Regelauswertung einen Wert, etwa einen Risikowert, der als Kriterium in Regeln dient
- DLP Custom Validation (ab sofort): ein Worker prüft einen DLP-Treffer, bevor die Regel greift
Was die Bausteine in der Praxis leisten
Cloudflare nennt im Blogbeitrag mehrere Beispiele, die typische Lücken klassischer Gateways adressieren:
- Begründungsseite: Vor dem Zugriff auf sensible Ziele muss der Nutzer angeben, warum. Die Begründung wird mit Identität protokolliert.
- Header setzen: Eine Funktion liest Rollen aus einem JWT aus, eine Regel ergänzt daraufhin einen Header für die Zielanwendung. Laut Cloudflare ersetzt das einen eigenen Proxy-Pool.
- Echtzeit-Alarme: Bei DLP-Treffern schickt ein Worker eine Meldung an Slack oder PagerDuty, ohne den Verkehr zu verändern.
- Treffer prüfen: Erkennt DLP ein GitHub-Token, fragt ein Worker bei GitHub nach, ob es gültig ist. Nur gültige Tokens lösen die volle Reaktion aus.
Das letzte Beispiel zeigt den eigentlichen Nutzen: weniger Fehlalarme. DLP-Muster für Schlüssel und Tokens schlagen oft auf Testwerte oder abgelaufene Zugangsdaten an. Eine Prüfung gegen die Quelle trennt echte Lecks von Rauschen.
Bezug zu KI-Agenten
Cloudflare ordnet die Neuerung ausdrücklich in den Schutz von Verkehr ein, der von Agenten ausgeht. DLP ist bereits im AI Gateway integriert. Wenn Coding-Agenten und andere KI-Werkzeuge Anfragen ins Internet schicken, greifen dieselben Regeln, und eigene Prüflogik lässt sich ergänzen, etwa für interne Kennungen, die kein Standardmuster erkennt.
Technik, Kosten und Verfügbarkeit
- Leistung: Gateway und Workers laufen auf denselben Servern, ein zusätzlicher Netzwerk-Hop entfällt. Die Verzögerung entspricht der Laufzeit des eigenen Codes.
- Kosten: Aufrufe zählen als normale Worker-Anfragen. Workers Free funktioniert, hat aber Laufzeit- und Tageslimits.
- Pläne: Die Forward-Aktion steht laut Cloudflare allen Zero-Trust-Plänen offen. Die Beta der Custom Functions vergibt Cloudflare über den Account Manager.
- Ausfallsicherheit: Jede Custom Function braucht einen Standardwert, falls der Worker fehlschlägt oder nicht rechtzeitig antwortet.
Was IT-Sicherheitsteams beachten sollten
Mehr Freiheit bedeutet mehr Verantwortung. Ein Worker in der Forward-Aktion greift in jede passende Anfrage ein. Ein Fehler im Code trifft damit alle Nutzer, nicht nur einen Dienst.
- Code wie Regeln behandeln: Sicherheits-Worker gehören in die Versionsverwaltung, mit Review und Tests, nicht in einen schnellen Dashboard-Edit.
- Standardwerte bewusst wählen: Ob eine Funktion im Fehlerfall öffnet oder sperrt, ist eine Sicherheitsentscheidung.
- Datenfluss dokumentieren: Wer Inhalte an Slack, R2 oder einen externen Dienst weitergibt, schafft neue Speicherorte für sensible Daten. Das gehört ins Verzeichnis der Verarbeitungstätigkeiten.
Fazit
Für Unternehmen, die Cloudflare One bereits als Zero-Trust-Plattform nutzen, ist die Neuerung ein echter Hebel: Sonderfälle, für die bisher ein eigener Proxy nötig war, lassen sich in Workers abbilden. Der beste Einstieg ist die DLP-Prüfung von Tokens, weil sie Fehlalarme senkt, ohne in den Verkehr einzugreifen. Die Forward-Aktion lohnt sich erst mit sauberem Entwicklungsprozess für den Sicherheitscode.