Cloudflare Zero Trust Alternative: Souveränes ZTNA ohne Inline-Inspection in der US-Cloud

Cloudflare Zero Trust ist für viele Teams der schnellste Weg zu Zero-Trust-Zugriff: kostenlos bis 50 Nutzer, global verteilt, in wenigen Minuten eingerichtet. Genau deshalb stellen sich wachsende Unternehmen früher oder später zwei Fragen: Was kostet das Modell ab Nutzer 51, und soll der komplette Mitarbeiter-Traffic durch das Netz eines US-Anbieters laufen? Wer nach einer Alternative sucht, findet in den Suchergebnissen überwiegend Aggregator-Listicles, die Äpfel mit Birnen vergleichen. Dieser Beitrag sortiert zuerst die Kategorien: Cloudflare One ist eine SASE-Plattform aus ZTNA, Secure Web Gateway, Browser Isolation und mehr. Eine Mesh-Lösung wie NetBird ersetzt davon gezielt den Zugriffs-Kern, mit direkten WireGuard-Verbindungen statt Proxy-Cloud und auf Wunsch komplett in Deutschland betrieben. Sie erfahren, wann Cloudflare die richtige Wahl bleibt, was die Data Localization Suite wirklich abdeckt und wann ein EU-gehostetes WireGuard-Mesh den Remote-Access-Teil souveräner löst.

Auch interessant: Twingate Alternative 2026: NetBird vs. Twingate für Unternehmen

Was Cloudflare Zero Trust ist (und was davon Sie wirklich brauchen)

Cloudflare Zero Trust ist kein einzelnes Produkt, sondern eine Produktfamilie innerhalb der SASE-Plattform Cloudflare One. Wer eine Alternative bewerten will, muss zuerst wissen, welche Bausteine er tatsächlich nutzt.

Die Bausteine: Access, Gateway, WARP, Tunnel

Die Cloudflare-One-Dokumentation listet als Kernkomponenten Access, Gateway, den Cloudflare One Client (WARP), Tunnel, Browser Isolation, DLP, CASB, Email Security und DEX.[2]

Die entscheidende Architektur-Eigenschaft: Ihr Traffic läuft durch Cloudflares Netz

Alle Bausteine teilen eine Eigenschaft, die im Alltag kaum auffällt, für die Bewertung aber zentral ist: Der One Client leitet den Geräte-Traffic in Cloudflares globales Netz, und Cloudflare Tunnel verbindet die eigene Infrastruktur per Outbound-Verbindung mit genau diesem Netz.[2] Das ist der Kern des SASE-Modells und die technische Grundlage für Funktionen wie Content-Filtering. Es bedeutet aber auch: Zwischen Ihren Geräten und Ihren internen Systemen steht die Cloud eines US-Anbieters als Vermittler.

Warum Unternehmen nach einer Alternative suchen

In Gesprächen mit IT-Verantwortlichen tauchen drei Motive immer wieder auf.

Preis: Free bis 50 Nutzer, danach 7 $ pro Nutzer und Monat

Der Free-Plan ist großzügig: 0 $, bis zu 50 Nutzer.[1] Ab Nutzer 51 greift der Pay-as-you-go-Plan mit 7 $ pro Nutzer/Monat (paid annually), ohne Nutzerlimit.[1] Für größere Anforderungen gibt es den Contract-Plan mit individuellem Preis pro Nutzer.[1] In der Dokumentation heißen die drei Stufen Zero Trust Free, Standard und Enterprise.[3]

Der Sprung von 50 auf 51 Nutzer ist damit auch ein Sprung von 0 $ auf mehrere hundert Dollar pro Monat, und einzelne Kontingente bleiben nach Plan gestaffelt: Gateway-Listen fassen 1.000 Einträge pro Liste im Standard-Plan gegenüber 5.000 im Enterprise-Plan, DEX-Tests sind auf 10/30/50 und Remote Captures auf 100/200/800 pro Tag begrenzt (Free/Standard/Enterprise).[3]

Datenweg: US-Anbieter als Inline-Proxy

Das zweite Motiv ist struktureller: Beim SASE-Modell fließt der Mitarbeiter-Traffic durch die Infrastruktur des Anbieters.[2] Bei einem US-Anbieter stellt sich damit die Frage nach CLOUD Act, Auftragsverarbeitung und Abhängigkeit, unabhängig davon, wie gut der Anbieter arbeitet. Die ausführliche Einordnung dazu finden Sie in DSGVO-konformes VPN 2026: Warum US-Cloud-VPNs ein Compliance-Risiko sind.

Komplexität: SASE-Plattform, wo nur Remote Access gesucht war

Viele Teams brauchen im Kern eines: sicheren Zugriff der Mitarbeitenden auf interne Anwendungen, SSH- und RDP-Ziele, Datenbanken und Standorte. Eine SASE-Plattform liefert dafür ein ganzes Bündel an Modulen mit, die konfiguriert, verstanden und im Zweifel auditiert werden müssen. Wer nur den Zugriffs-Teil braucht, bezahlt die Plattform-Komplexität mit, ohne sie zu nutzen.

Was Cloudflare für die Datenlokalisierung anbietet (fair betrachtet)

Cloudflare hat auf die europäische Souveränitätsdebatte reagiert: Die Data Localization Suite (DLS) bündelt Regional Services (Auswahl, welche Rechenzentren Traffic verarbeiten), Customer Metadata Boundary (Logs und Analytics bleiben in der Region) und Geo Key Manager (Kontrolle über den Speicherort privater Schlüssel).[4] Das ist ein ernstzunehmendes Angebot und sollte in jeder fairen Bewertung vorkommen.

Drei Einschränkungen sind dokumentiert:

• Die DLS ist ein kostenpflichtiges Add-on, das nur im Enterprise-Plan verfügbar ist.[4]
• Die DNS-Filterung von Gateway lässt sich nicht per Regional Services regionalisieren, weil DNS-Traffic überwiegend unverschlüsselt ist.[5]
• Eigene Zertifikate lassen sich in Gateway bislang nicht auf eine Region beschränken, und TLS-Entschlüsselung führt Gateway nur mit dem One Client im voreingestellten Modus durch.[5]

Dazu kommt die rechtliche Ebene: Der CLOUD Act (18 U.S.C. § 2713) verpflichtet US-Provider, Daten in ihrem Besitz, Gewahrsam oder ihrer Kontrolle herauszugeben, und zwar ausdrücklich „regardless of whether such communication, record, or other information is stored, or otherwise located within or outside of the United States".[10] EU-Rechenzentren eines US-Anbieters ändern an dieser Anbieter-Pflicht nichts Grundsätzliches. Gleichzeitig gilt: Seit dem Angemessenheitsbeschluss zum EU-US Data Privacy Framework vom 10. Juli 2023 sind Datentransfers an zertifizierte US-Unternehmen rechtlich zulässig.[11] Die Nutzung von Cloudflare ist also keine Frage der Legalität, sondern eine Frage der Risikobewertung, der Kontrolle und der Zukunftssicherheit. Welche Anforderungen NIS2 zusätzlich an Zugriffskontrolle und Netzwerksicherheit stellt, haben wir in NIS2 und Netzwerksicherheit zusammengefasst.

Dieser Beitrag ist kein Rechtsrat; beziehen Sie bei konkreten Fragen Ihre Datenschutz- oder Rechtsberatung ein.

Die Alternative für den ZTNA-Kern: WireGuard-Mesh statt Proxy-Cloud

Wenn der eigentliche Bedarf Remote Access ist, lässt sich genau dieser Teil mit einer anderen Architektur lösen: einem Overlay-Netzwerk, in dem die Nutzdaten gar nicht erst durch eine Anbieter-Cloud fließen.

Wie NetBird funktioniert

NetBird ist Open Source (BSD-3-Clause; die Komponenten Management, Signal und Relay stehen unter AGPLv3) und kommt auf rund 28.000 GitHub-Stars (Stand: August 2026).[9] Die Geräte bilden ein Mesh-Netzwerk und verbinden sich direkt miteinander über verschlüsselte Punkt-zu-Punkt-WireGuard-Tunnel.[6] Der Signal-Server vermittelt nur den Verbindungsaufbau: Er speichert keine Daten, und es fließt kein Traffic durch ihn.[6] Nur wenn restriktive NATs oder Firewalls keine direkte Verbindung zulassen, springt ein Relay ein; der Traffic durch das Relay kann wegen der WireGuard-Punkt-zu-Punkt-Verschlüsselung nicht entschlüsselt werden, und der private Schlüssel verlässt das Gerät nie.[6]

Der Kontrast zum Proxy-Modell ist damit klar: Bei Cloudflare ist der Datenweg durch das Anbieter-Netz das Fundament der Plattform, bei NetBird ist der direkte Peer-to-Peer-Weg das Fundament. Wie sich diese Architektur gegen eine koordinierte SaaS-Control-Plane schlägt, zeigt im Detail NetBird vs. Tailscale 2026.

Zugriffskontrolle ohne Inline-Inspection: Policies, Posture Checks, SSO

Zero Trust braucht keine Traffic-Inspektion in einer Anbieter-Cloud, um Zugriffe zu kontrollieren. NetBird setzt Richtlinien auf Netzwerk-Ebene durch und prüft den Gerätezustand über Posture Checks mit fünf Check-Typen: NetBird-Client-Version, Betriebssystem-Version, Land/Region, Netzwerk-Range und laufende Prozesse.[7] Die Anmeldung läuft über den vorhandenen Identity Provider per OIDC/SAML.

Was NetBird bewusst nicht ist

Ehrlichkeit gehört in jeden Vergleich: NetBird ist kein Secure Web Gateway. Weder die Dokumentation noch die Preisliste führen URL- oder Content-Filtering, Browser Isolation, CASB oder DLP als Funktionen.[6][8] Auch DDoS-Schutz für öffentliche Websites ist nicht das Einsatzfeld. Wer diese Funktionen braucht, braucht weiterhin ein Produkt dieser Kategorie, ob von Cloudflare oder einem anderen Anbieter. NetBird ersetzt den ZTNA- und Remote-Access-Kern, nicht die SASE-Plattform.

Cloudflare Zero Trust vs. NetBird: die Entscheidungsmatrix

Wann Cloudflare Zero Trust die richtige Wahl bleibt

Eine Alternative zu empfehlen heißt nicht, die Kategorie schlechtzureden. Cloudflare Zero Trust bleibt die richtige Wahl, wenn:

• Sie ein Secure Web Gateway brauchen: URL- und Content-Filtering, TLS-Inspection, DLP, CASB oder Browser Isolation
• Sie öffentliche Web-Apps schützen wollen (WAF, DDoS-Schutz, globale Edge-Performance)
• viele externe Dritte clientless per Browser auf Web-Apps zugreifen sollen
• Ihr Team unter 50 Nutzern liegt und keine Souveränitätsanforderungen hat: Der Free-Plan ist dann schwer zu schlagen
• Sie bereits tief im Cloudflare-Ökosystem stehen (DNS, CDN, Workers) und bewusst einen Anbieter wollen

Auch Koexistenz ist ein legitimes Szenario, kein Kompromiss: Cloudflare schützt die öffentlichen Web-Assets mit WAF und DDoS-Schutz, während das interne Netz als WireGuard-Mesh läuft und die Nutzdaten den eigenen Perimeter nicht über eine Anbieter-Cloud verlassen.

Wann ein EU-gehostetes Mesh den Zugriffs-Teil souveräner löst

Das WireGuard-Mesh ist die passende Wahl, wenn der Kernbedarf Remote Access auf interne Ressourcen ist: Anwendungen, SSH- und RDP-Ziele, Datenbanken, Standorte und VPCs. Wie sich damit auch Standorte ohne MPLS vernetzen lassen, haben wir separat beschrieben. Dazu kommen drei Argumente:

Planbare Kosten statt Per-User-Modell. Ein Rechenbeispiel mit 80 Nutzern (Stand: 01.08.2026): Im Pay-as-you-go-Plan sind das 80 × 7 $ = 560 $ pro Monat, wegen der Kondition „paid annually" faktisch ein Jahres-Commitment von 6.720 $.[1] Bei birdhost kostet der Business-Plan 199,90 €/Monat als Flatrate (Region Deutschland, zzgl. MwSt.), mit unbegrenzten Nutzern und Geräten und monatlicher Kündbarkeit.

Alle Cloudflare-Preise: Stand 01.08.2026, Preise und Tarife können sich jederzeit ändern, bitte direkt beim Anbieter prüfen.[1] Zum Vergleich: In der NetBird Cloud kostet der Team-Tarif 6 € und der Business-Tarif 12 € pro aktivem Nutzer/Monat (Free bis 5 Nutzer und 100 Maschinen), Posture Checks gibt es dort erst ab Business.[8] Bei birdhost sind Zugriffsrichtlinien und Posture Checks bereits im Startup-Plan (99,90 €/Monat, Region DE) enthalten; Relay-Traffic ist mit 2 TB (Startup) bzw. 4 TB (Business) inklusive, danach 1 €/TB, Peer-to-Peer-Verbindungen laufen direkt zwischen den Geräten und belasten das Relay-Kontingent nicht.[6]

Souveränität durch Architektur plus Standort. Die dedizierte NetBird-Instanz läuft komplett in der gewählten Region, zum Beispiel Deutschland in einem ISO-27001- und BSI-C5-zertifizierten Rechenzentrum (Zertifizierung des Rechenzentrumsbetreibers), mit AVV auf Anfrage. Die Nutzdaten fließen Peer-to-Peer und damit gar nicht erst durch eine Anbieter-Cloud, weder eine amerikanische noch unsere.

Exit-Strategie inklusive. NetBird ist Open Source und jederzeit selbst hostbar. Wer birdhost verlässt, verliert kein Protokoll und keine Architektur, sondern wechselt nur den Betreiber. Diese Unabhängigkeit ist bei einer proprietären SASE-Plattform konstruktionsbedingt nicht zu haben.

Der Einstieg: Region wählen, Plan wählen, Instanz deployen, Clients per SSO verbinden. Sie testen 7 Tage kostenlos (Kreditkarte erforderlich) und kündigen monatlich.

Fazit: Kategorie klären, dann entscheiden

Die Frage „Was ist die beste Cloudflare Zero Trust Alternative?" ist erst beantwortbar, wenn geklärt ist, welchen Teil der Plattform Sie tatsächlich nutzen. Brauchen Sie Secure Web Gateway, Browser Isolation, DLP oder DDoS-Schutz für öffentliche Apps, dann bleibt Cloudflare (oder ein anderer SASE-Anbieter) gesetzt, und die Data Localization Suite ist der richtige Hebel für EU-Anforderungen, mit den beschriebenen Grenzen und der Enterprise-Hürde.

Ist der eigentliche Bedarf aber Remote Access auf interne Ressourcen, dann löst ein WireGuard-Mesh wie NetBird genau diesen Kern mit einer grundlegend anderen Architektur: Nutzdaten direkt zwischen den Peers statt durch eine US-Proxy-Cloud, Open Source statt proprietär, Flatrate statt Per-User-Preis. Mit birdhost kommt der Betrieb als Managed Service in Deutschland dazu, mit dedizierter Instanz, AVV und planbaren Kosten. Es geht nicht um „besser als Cloudflare", sondern um die passende Kategorie für Ihren Bedarf und um die Frage, durch wessen Netz Ihre Daten laufen.

Transparenz: birdhost ist kein offizielles NetBird-Produkt und steht in keiner Verbindung zur NetBird GmbH. Cloudflare, Cloudflare One, WARP, NetBird und WireGuard sind Marken ihrer jeweiligen Inhaber.

Quellen

• [[1]] Cloudflare Zero Trust: Access-Produktseite mit Preisen (Free bis 50 Nutzer, 7 $/Nutzer/Monat paid annually, Contract; Stand 01.08.2026)
• [[2]] Cloudflare One Dokumentation: Produktfamilie und Traffic-Fluss durch Cloudflares globales Netz
• [[3]] Cloudflare One Account Limits: Plan-Namen Free/Standard/Enterprise und Kontingente (Gateway-Listen, DEX-Tests, Remote Captures)
• [[4]] Cloudflare Data Localization Suite: Regional Services, Customer Metadata Boundary, Geo Key Manager („Enterprise-only paid add-on")
• [[5]] Cloudflare Data Localization und Zero Trust: dokumentierte Grenzen (DNS-Filterung, Custom Certificates, TLS-Entschlüsselung)
• [[6]] NetBird Docs: How NetBird works (P2P-Mesh, Signal ohne Traffic, Relay verschlüsselt, privater Schlüssel bleibt auf dem Gerät)
• [[7]] NetBird Docs: Posture Checks (5 Check-Typen)
• [[8]] NetBird Pricing (Free bis 5 Nutzer/100 Maschinen, Team 6 €, Business 12 €, Posture Checks ab Business, Self-Hosting)
• [[9]] NetBird GitHub Repository (BSD-3-Clause / AGPLv3, rund 28.000 Stars, Stand August 2026)
• [[10]] Cornell LII: 18 U.S.C. § 2713 (CLOUD Act, Originaltext)
• [[11]] Europäische Kommission: EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10. Juli 2023)