Cloudflare-Alternative aus der EU: der DSGVO-Blickwinkel
Der eigentliche Grund für die Suche
Die Suche nach einer Cloudflare-Alternative hat im DACH-Raum meist einen konkreten Auslöser: Daten und Metadaten sollen in der EU bleiben, außerhalb US-amerikanischer Jurisdiktion (CLOUD Act, FISA 702). Es geht seltener darum, einen Hyperscaler in der Funktionsbreite zu schlagen, als darum, den WAF-Teil sauber und regional zu lösen. Genau dafür ist Smart WAF gebaut.
Wo Smart WAF passt
Wir sind eine gemanagte Web Application Firewall mit Edge-Nodes in der EU (Hetzner, OVH, Scaleway). Sie zeigen mit dem DNS Ihrer Domain auf unsere Nodes; der Traffic wird gefiltert und an Ihr Origin weitergereicht. Die Filterung ist benennbare Technik:
- Zwei Coraza-Engines (proxy-wasm 0.5.0 und libcoraza FFI) auf OWASP CRS 4.26.
- Eine Challenge-Leiter — Proof-of-Work, dann CAPTCHA, dann Web Bot Auth (RFC 9421 / Ed25519) — statt einer Alles-oder-nichts-Sperre.
- ML-Entity-Scoring mit dem Ablauf detection → verify → enforce: ein neues Signal beobachtet und beweist sich erst, bevor es blocken darf.
- Pro-Tenant Let’s Encrypt und EU-Datenhaltung als architektonischer Standard.
Wo wir bewusst nicht konkurrieren
- Kein globales CDN. Wir verkaufen keine hunderten Points of Presence und keinen Content-Cache. Wer weltweite statische Auslieferung braucht, braucht ein CDN — das sind wir nicht.
- Kein kostenloser Self-Service. Unser Modell ist gemanagtes Onboarding von Hand.
- Keine erfundenen Trust-Signale. Keine Badges ohne Grundlage, keine unbelegten Kundenzahlen.
Warum Ehrlichkeit hier das Argument ist
Die Platzhirsche beschreiben Latenz als „praktisch null“ — ohne Zahl. Wir halten an einem Design-Budget von ≤5 ms fest und kennzeichnen jede gemessene Angabe als staging-gemessen, solange sie nicht auf Produktionshardware belegt ist. Diese Zurückhaltung ist der Unterschied: eine EU-WAF, die genau sagt, was sie ist — und was nicht.
Passt dieser Kompromiss? Nennen Sie uns Ihre Domain.