"Wenn es kostenlos ist, bist du das Produkt." Okay, was verkauft Cloudflare dann eigentlich?

Jedes Mal, wenn ich über Cloudflare schreibe, taucht jemand mit demselben Satz auf.

"Wenn es kostenlos ist, bist du das Produkt."

Ich habe es auf Reddit gehört. Ich habe es von anderen Entwicklern gehört. Ich habe es von Kunden gehört, die 2018 einen Artikel über Facebook gelesen haben und diese Logik jetzt auf alles anwenden, was einen Preis von 0 Euro hat. Ich schrieb darüber, wie ich meinen Next.js-Build kostenlos repariert habe, und da war er wieder. Derselbe Satz, dieselbe selbstgefällige Energie.

Hier ist die Sache: Früher habe ich das einfach abgetan. Aber nach dem fünfzehnten Mal habe ich beschlossen, es wirklich zu recherchieren. Nicht die Bauchgefühl-Version. Die Zahlen-Version. Cloudflares SEC-Berichte, ihre Datenschutzrichtlinie, ihre tatsächliche Umsatzaufschlüsselung. Und dann habe ich es mit den Unternehmen verglichen, bei denen "du bist das Produkt" tatsächlich und nachweisbar stimmt.

Die Antwort ist nicht so einfach, wie beide Seiten es gerne hätten.

Was "Du bist das Produkt" tatsächlich bedeutet

Bevor wir diesen Satz um uns werfen, definieren wir mal, was er eigentlich beschreibt.

Der Satz stammt aus der Werbewelt. Er beschreibt ein bestimmtes Geschäftsmodell: Ein Unternehmen gibt dir einen kostenlosen Service, sammelt Daten über dein Verhalten und verkauft den Zugang zu deiner Aufmerksamkeit an Werbetreibende. Deine Daten und deine Aufmerksamkeit sind das Produkt, das an jemand anderen verkauft wird.

Meta ist das Paradebeispiel. 2024 kamen 97,8 % von Metas Umsatz aus Werbung. Nicht ein Teil davon. Fast alles. Jedes Mal, wenn du durch Instagram scrollst, jeder Klick, jede Pause bei einem Video, jede DM, die du sendest, füttert ein Profil, das Werbetreibende bezahlen, um dich gezielt anzusprechen.

Google ist dieselbe Geschichte mit anderem Branding. Alphabet erzielte 2024 einen Werbeumsatz von 265 Milliarden Dollar. Gmail ist kostenlos. Google Maps ist kostenlos. YouTube ist kostenlos. Du zahlst mit deiner Suchhistorie, deinen Standortdaten, deinem Surfverhalten.

Das bedeutet "du bist das Produkt". Deine persönlichen Daten werden geerntet, verpackt und an Dritte verkauft, die dir Werbung zeigen wollen. Es ist ein spezifisches, gut dokumentiertes Geschäftsmodell.

Und jetzt: Macht Cloudflare das?

Wie Cloudflare tatsächlich Geld verdient

Cloudflares Jahresumsatz 2025 betrug 2,168 Milliarden Dollar. Das ist ein Anstieg von 30 % im Jahresvergleich. Und hier ist der entscheidende Teil: 0 Dollar davon kamen aus Werbung. Null. Kein Cent. Nicht jetzt, nicht jemals in ihrer Geschichte.

Woher kommt also das Geld? Abonnements und Enterprise-Verträge. Die Preisgestaltung ist unkompliziert:

• Free: 0 € (CDN, DNS, DDoS-Schutz, SSL, grundlegende Workers)
• Pro: 20 $/Monat (bessere Analytics, Bildoptimierung, WAF-Regeln)
• Business: 200 $/Monat (erweiterte Sicherheit, SLA, Prioritäts-Support)
• Enterprise: Individuelle Preise (dedizierter Support, erweiterte Features, Compliance)

Ende 2025 hatte Cloudflare 332.000 zahlende Kunden. Davon zahlten 4.298 über 100.000 Dollar pro Jahr. Und 269 Unternehmen zahlten über 1 Million Dollar pro Jahr, ein Anstieg von 55 % gegenüber dem Vorjahr.

Der Clou: Diese großen Enterprise-Kunden machen 73 % von Cloudflares Quartalsumsatz aus. Das Geschäftsmodell ist nicht kompliziert. Verschenke die Grundlagen, baue Vertrauen auf, und wenn Unternehmen groß genug werden, um Enterprise-Features zu brauchen, sind sie bereits auf der Plattform.

Ich habe Cloudflares EmDash CMS getestet und mit ihren Workers, Pages, R2 und D1 gespielt. Das Muster ist immer dasselbe: großzügiger Free Tier, kostenpflichtige Upgrades, wenn du mehr brauchst.

Das ist ein Freemium-Modell. Es ist dasselbe, was Spotify, Slack und Dropbox machen. Es ist nicht dasselbe, was Facebook macht.

Was geben Free-User Cloudflare also?

Berechtigte Frage. Wenn Cloudflare deine Daten nicht verkauft, was bekommen sie dafür, dass sie dir kostenloses CDN, DNS und DDoS-Schutz geben?

Cloudflare veröffentlichte im September 2024 einen Blogbeitrag mit dem Titel "Reaffirming our commitment to free". Die Kurzversion: Free-User sind kein Wohltätigkeitsfall. Sie sind eine Geschäftsstrategie. Aber nicht so, wie die Kritiker denken.

Threat Intelligence. Cloudflare schützt über 41 Millionen Websites. Das sind ungefähr 20 % aller Websites im Internet. Jeder Angriff auf eine kostenlose Seite lehrt Cloudflares Systeme etwas. Wenn ein Botnetz einen persönlichen Blog angreift, wird diese Angriffssignatur in die Datenbank aufgenommen, die Enterprise-Kunden schützt, die Millionen zahlen. Mehr Seiten bedeutet mehr Datenpunkte bedeutet bessere Sicherheit für alle.

Netzwerk-Skalierung. Cloudflare verarbeitet 1,2 Billionen DNS-Anfragen pro Tag über ein Netzwerk mit 121 Tbps Kapazität. Je mehr Traffic durch ihr Netzwerk fließt, desto niedriger die Kosten pro Einheit. Free-User helfen Cloudflare, Skaleneffekte zu erzielen, die den gesamten Betrieb günstiger machen.

Developer-Ökosystem. Workers, Pages, KV, R2. Entwickler bauen Nebenprojekte auf Cloudflares Free Tier. Sie lernen die Plattform. Dann übernehmen ihre Arbeitgeber sie für die Produktion. Das ist derselbe Ansatz, der AWS dominant gemacht hat: Erst die Entwickler gewinnen, die Enterprise-Deals folgen.

Organisches Marketing. Ich schreibe gerade über Cloudflare. Kostenlos. Jeder Entwickler, der Cloudflare einem Freund empfiehlt, macht Marketingarbeit, die Millionen an Werbeausgaben kosten würde. Und im Gegensatz zu den SaaS-Tools, die dein Budget ausbluten, verdient sich Cloudflare diese Empfehlung, indem sie tatsächlich nützlich sind.

Cloudflare selbst drückt es unverblümt aus: "Unser kostenloser Service hilft uns tatsächlich, unsere Kosten niedriger zu halten." Der Free Tier ist kein Verlustgeschäft. Er ist Infrastruktur, die das bezahlte Produkt besser macht.

Cloudflares Datenschutzrichtlinie vs. Google und Meta

Schauen wir uns an, was die Datenschutzrichtlinien tatsächlich sagen.

Cloudflares Datenschutzrichtlinie besagt: "Wir werden persönliche Informationen weder verkaufen noch vermieten." Sie schalten keine Werbung. Sie erstellen keine Verhaltensprofile deiner Website-Besucher. Sie teilen keine Traffic-Daten mit Dritten für Targeting.

Ihr 1.1.1.1 DNS-Resolver geht noch weiter. Cloudflare hat sich verpflichtet, DNS-Abfragedaten niemals zu verkaufen, und lässt dies jährlich von KPMG prüfen. Du kannst die Prüfberichte selbst lesen. Wann hat Google das letzte Mal einen unabhängigen Prüfer eingeladen, um zu verifizieren, was sie mit deinen Suchdaten machen?

Googles gesamtes Geschäft existiert wegen dem, was sie über dich wissen. Metas gesamtes Geschäft existiert wegen dem, was sie über dich wissen. Cloudflares Geschäft existiert wegen dem, was sie über Bedrohungen wissen. Das ist ein grundlegend anderer Ansatz.

Jetzt ein Hinweis, bei dem ich ehrlich sein möchte. Cloudflares eigene Marketing-Website (cloudflare.com) nutzt Google Analytics und Facebook Pixels. Das ist eine berechtigte Kritik. Es bedeutet, dass Cloudflare als Marketingabteilung Daten an dieselben Werbeplattformen füttert, die ich gerade kritisiert habe. Es beeinflusst nicht, wie sie den Traffic deiner Website über ihr CDN behandeln, aber die Inkonsistenz ist erwähnenswert.

Die berechtigten Bedenken (weil ich kein Fanboy bin)

Ich nutze Cloudflare für fast alles. Aber ich werde nicht so tun, als gäbe es null Bedenken. Es gibt echte, und sie verdienen eine ehrliche Diskussion.

Die Man-in-the-Middle-Position. Wenn du deine Seite über Cloudflare proxyst, terminieren sie deine SSL-Verbindung und verschlüsseln sie neu. Das bedeutet, Cloudflare kann technisch deinen gesamten Traffic sehen. Sie sagen, sie analysieren ihn nicht. Ihre Datenschutzrichtlinie sagt, sie analysieren ihn nicht. Aber du vertraust ihnen dabei. Es gibt keine mathematische Garantie wie bei Ende-zu-Ende-Verschlüsselung.

Zentralisierung. Cloudflare verarbeitet ungefähr 20 % aller Websites und etwa 28 % des globalen HTTP-Traffics. Fast die Hälfte der Top-Million-Sites nutzt sie. Als Cloudflare im November 2025 einen globalen Ausfall hatte, gingen riesige Teile des Internets offline. Das ist ein systemisches Risiko. Und wenn dir ein dezentrales Internet wichtig ist, sollte es dich beunruhigen, dass ein Unternehmen als Nadelöhr für ein Fünftel aller Websites dient.

Vendor Lock-in. Der Free Tier ist wirklich kostenlos. Aber sobald du auf Workers, R2 Object Storage oder D1 Databases baust, wird eine Migration nicht-trivial. Das sind keine Standard-APIs. Sie sind Cloudflare-spezifisch. Wenn du über Diversifizierung deiner Infrastruktur nachdenkst, lohnt sich ein Blick auf Alternativen wie Cloudways für einige Workloads.

Risiko von Richtlinienänderungen. Cloudflare ist ein börsennotiertes Unternehmen. Die Führung kann sich ändern. Eine Übernahme ist möglich. Nichts hindert ein zukünftiges Cloudflare technisch daran, Traffic-Daten zu monetarisieren. Die aktuelle Führung war klar und konsistent in Bezug auf Datenschutz. Aber "vertrau uns" ist keine permanente Garantie.

Das sind echte Bedenken. Sie sind nur nicht dasselbe Bedenken wie "du bist das Produkt".

Also... Bist du das Produkt?

Nein. Nicht in der Art, wie dieser Satz tatsächlich gemeint ist.

Wenn du Google nutzt, wird deine Suchhistorie verpackt und an Werbetreibende verkauft. Wenn du Instagram nutzt, sind deine Engagement-Muster das Produkt, das Meta verkauft. Wenn du Cloudflares Free Tier nutzt, kauft niemand Zugang zu deinen Daten. Niemand zielt auf deine Besucher basierend auf ihrem Verhalten auf deiner Seite.

Die genauere Version des Satzes wäre: "Wenn es kostenlos ist, bist du die Wachstumsstrategie."

Free-User machen Cloudflares Bedrohungserkennung besser. Free-User senken Cloudflares Kosten pro Einheit. Free-User werden die Enterprise-Kunden von morgen. Free-User schreiben Blogbeiträge darüber, wie großartig der Free Tier ist. Das ist keine Ausbeutung. Das ist ein Geschäftsmodell, bei dem beide Seiten wirklich profitieren.

Bedeutet das, dass du jedem Unternehmen blind deine Infrastruktur anvertrauen solltest? Nein. Die Zentralisierungsbedenken sind real. Die MITM-Position ist real. Das Vendor Lock-in ist real. Aber das sind Infrastruktur-Abhängigkeitsrisiken, keine "deine Daten werden verkauft"-Risiken. Es sind dieselben Risiken, die du bei AWS, Azure oder jedem anderen Cloud-Anbieter eingehst.

Ich nutze Cloudflares Free Tier immer noch für meine persönlichen Projekte. Für Kundenprojekte zahle ich für Pro oder Business, weil die Features es wert sind und weil ich daran glaube, für Tools zu bezahlen, von denen ich beruflich abhänge. Ich habe diese Lektion auf die harte Tour gelernt.

Wenn dir also das nächste Mal jemand "wenn es kostenlos ist, bist du das Produkt" an den Kopf wirft, stell eine Gegenfrage: Wo ist die Werbung? Wenn es keine Werbung gibt, keinen Datenhändler, kein Verhaltensprofiling, dann ist das Produkt vielleicht einfach... das Produkt. Und die kostenlose Version ist der Weg, dich dazu zu bringen, irgendwann für die bessere zu bezahlen.

Das ist kein Skandal. Das ist einfach gutes Business.

Brauchst du Hilfe bei der richtigen Hosting- und Infrastruktur-Entscheidung für dein Projekt? Lass uns reden darüber, was für dein Budget und deine Ziele wirklich Sinn macht.