Cloudflare-Fehler 1020 / 1015: Zugriff verweigert und Rate-Limit erreicht

Was dieser Fehler bedeutet und wie du ihn erkennst

• Anstelle der angeforderten Website oder Ressource wird eine von Cloudflare bereitgestellte Fehlerseite angezeigt.
• Auf der Seite steht ausdrücklich Error 1020: Access denied oder Error 1015: You are being rate limited.
• Die Antwort enthält meist eine Cloudflare Ray ID, eine ungefähre Uhrzeit und den betroffenen Hostnamen.
• Fehler 1020 kann eine bestimmte IP-Adresse, einen Pfad, ein Anfrage-Muster oder eine Bedingung einer Sicherheitsregel betreffen, während andere Besucher weiterhin eine Verbindung herstellen können.
• Fehler 1015 kann verschwinden, sobald die Anfragetätigkeit abnimmt, bei Lastspitzen erneut auftreten oder Nutzer betreffen, die sich über NAT, einen Proxy oder ein Unternehmens-Gateway eine öffentliche IP-Adresse teilen.
• Die Anfrage kann am Cloudflare-Edge gestoppt worden sein, bevor die Origin-Anwendung sie verarbeitet hat. Vergleichen Sie den Fehler mit den Origin-Logs, statt anzunehmen, dass jeder ähnliche Fehler dieselbe Ursache hat.

Hauptursachen nach Wahrscheinlichkeit

Wahrscheinlichste Ursachen

1. Eine Cloudflare-Firewall, WAF- oder Sicherheitsregel hat auf die Anfrage zugetroffen (1020). Die Regel kann Quell-IP, Land, URI-Pfad, HTTP-Methode, Header, User-Agent oder ein anderes Anfrageattribut auswerten.
2. Ein konfigurierter Schwellenwert für die Anfragerate wurde überschritten (1015). Wiederholte Seitenaufrufe, API-Abfragen, Crawler, parallele Downloads, Anmeldeversuche oder viele Nutzer hinter einer gemeinsamen Adresse können die Richtlinie auslösen.
3. Eine Sicherheitsrichtlinie ist weiter gefasst als beabsichtigt. Eine Regel, die für einen Administrationspfad oder missbräuchlichen Datenverkehr vorgesehen ist, kann auch einen legitimen Besucher, Monitoring-Dienst, ein Büronetzwerk oder einen API-Client erfassen.
4. Ein gemeinsames oder ungewöhnliches Quell-IP-Muster hat eine Übereinstimmung verursacht. VPNs, Proxies, Carrier-NAT und Unternehmens-Gateways können dazu führen, dass unabhängige Nutzer scheinbar von derselben Adresse kommen.
5. Eine kürzlich vorgenommene Cloudflare-Konfigurationsänderung hat die Sperre eingeführt. Das ist besonders wahrscheinlich, wenn der Fehler unmittelbar nach einer Änderung an Firewall, WAF, Bot-Schutz oder Rate Limit begonnen hat.

Diese Fehler sind für sich allein kein Beleg dafür, dass der Origin-Server ausgefallen ist. Eine blockierte Anfrage erreicht den Origin möglicherweise nie, während ein separates Problem am Origin eine andere Antwort erzeugen kann.

So behebst du den Fehler

Wenn Sie Besucher sind

1. Nehmen Sie die vollständige Fehlerseite auf. Notieren Sie, ob 1020 oder 1015 angezeigt wird, außerdem Ray ID, Zeitstempel, Zeitzone, Hostname und die fehlgeschlagene URL oder Aktion. Geben Sie keine Passwörter, Tokens oder anderen sensiblen Anfrage­daten weiter.
2. Stoppen Sie schnelle Wiederholungen. Bei Fehler 1015 sollten Sie vor einem erneuten Versuch warten. Wiederholte Aktualisierungen, parallele Tabs und automatische Wiederholungen können das Rate Limit verlängern oder erneut auslösen.
3. Pausieren Sie vermeidbare Anfragequellen. Beenden Sie Download-Manager, aggressive Browser-Erweiterungen, Skripte, API-Abfragen, Crawler oder andere Tools, die wiederholt dieselbe Website anfordern. Falls angemessen, versuchen Sie eine normale Browser-Anfrage ohne VPN oder Proxy. Umgehen Sie jedoch keine Zugriffskontrolle, zu deren Umgehung Sie nicht berechtigt sind.
4. Prüfen Sie, ob das Problem begrenzt oder websiteweit auftritt. Ein einzelner Pfad, eine Kontoaktion oder ein Netzwerk kann blockiert sein, während andere Seiten funktionieren. Eine erfolgreiche Anfrage aus einem anderen Netzwerk beweist nicht, dass die Website für alle erreichbar ist.
5. Kontaktieren Sie den Website-Betreiber. Geben Sie Fehlernummer, Ray ID, Zeitstempel, betroffene URL, eine Beschreibung Ihrer Aktion und Ihre öffentliche IP-Adresse an – Letztere nur, wenn der Betreiber darum bittet und die Weitergabe angemessen ist.

Wenn Sie die Cloudflare-Zone verwalten

1. Bestätigen Sie die Antwortschicht. Prüfen Sie Cloudflare-Branding, Fehlernummer, Ray ID und Zeitstempel. Vergleichen Sie das Ereignis mit den Origin-Zugriffs-Logs. Gibt es keine entsprechende Origin-Anfrage, wurde die Sperre wahrscheinlich am Cloudflare-Edge ausgelöst.
2. Prüfen Sie bei Fehler 1020 Sicherheitsereignisse und passende Regeln. Verwenden Sie Ray ID, Uhrzeit, Quell-IP und Anfragepfad, um die Firewall-Regel, WAF- oder Custom Rule, Zugriffsrichtlinie oder andere Kontrolle zu identifizieren, die die Anfrage abgewiesen hat. Prüfen Sie den Regelausdruck, statt alle Sicherheitskontrollen zu deaktivieren.
3. Prüfen Sie bei Fehler 1015 Rate-Limit-Analysen und die Konfiguration. Ermitteln Sie passenden Hostnamen, Pfad, Methode, Client-Identität und Schwellenwert. Prüfen Sie, ob sich viele legitime Nutzer über NAT, einen Proxy oder ein Unternehmens-Gateway eine Adresse teilen.
4. Vergleichen Sie blockierte und zugelassene Anfragen. Prüfen Sie Pfad, Query-String, Methode, Header, Quellnetzwerk und Anfragehäufigkeit. So lässt sich ein False Positive von tatsächlich übermäßigem oder schädlichem Datenverkehr unterscheiden.
5. Nehmen Sie die kleinste autorisierte Änderung vor. Schränken Sie den Regelausdruck ein, korrigieren Sie eine unbeabsichtigte Bedingung, erstellen Sie eine gezielt begrenzte Ausnahme oder passen Sie die Rate-Limit-Richtlinie für den betroffenen Endpunkt an. Behalten Sie stärkere Kontrollen für Authentifizierungs- und Administrationspfade bei, sofern der zuständige Sicherheitsverantwortliche nichts anderes genehmigt.
6. Testen Sie sicher und überwachen Sie die Auswirkungen. Verwenden Sie eine autorisierte Testanfrage, die den betroffenen Datenverkehr repräsentiert. Stellen Sie sicher, dass legitimer Zugriff funktioniert und der vorgesehene Schutz weiterhin bei dem Datenverkehr greift, den er kontrollieren soll. Prüfen Sie Cloudflare-Ereignisse und Origin-Logs nach der Änderung.
7. Eskalieren Sie mit Belegen, wenn die Übereinstimmung unklar ist. Bewahren Sie Ray ID, Zeitstempel und Zeitzone, Regelkennung oder Richtlinienname, Hostname, Pfad, Kontext des Quellnetzwerks und relevante Ereignisdetails auf. Ändern Sie Regeln nicht wiederholt, ohne jedes Ergebnis zu dokumentieren.

Vorbeugung und Überprüfung der Lösung

• Halten Sie Firewall- und WAF-Ausdrücke so eng wie praktisch möglich, insbesondere für öffentliche Seiten, APIs und gemeinsam genutzte Netzwerke.
• Begrenzen Sie Rate Limits mit der passenden Kombination aus Pfad, Methode, Client-Identität und Datenverkehrsmuster, statt sich auf einen breiten globalen Schwellenwert zu verlassen.
• Berücksichtigen Sie NAT-, VPN-, Proxy- und Unternehmens-Egress-Adressen bei der Bewertung legitimen Datenverkehrs als gemeinsam genutzte Identitäten.
• Prüfen Sie Sicherheitsereignisse nach dem Einführen oder Ändern von Regeln, einschließlich des Datenverkehrs normaler Nutzer, Monitoring-Systeme und API-Clients.
• Geben Sie Support-Teams einen standardisierten Prozess zum Erfassen von Ray ID, Zeitstempel, Hostname und betroffenem Pfad, statt wiederholt neue Versuche zu starten.
• Dokumentieren Sie den Unterschied zwischen Cloudflare-Edge-Sperren und Origin-Fehlern, damit die zuständigen Personen zuerst die richtigen Logs prüfen.
• Dokumentieren Sie gezielt genehmigte Ausnahmen und überprüfen Sie sie regelmäßig. Vermeiden Sie dauerhafte, breit gefasste Allowlisten, die den Schutz schwächen.