Cloudflare-Fehler 521/522: Website down – was tun?

Ihre Website zeigt statt der Startseite eine graue Fehlerseite mit dem Cloudflare-Logo, einer Nummer und einer langen Ray-ID. Besucher kommen nicht mehr hinein, Anfragen bleiben aus. Der erste Gedanke ist oft: Cloudflare hat eine Störung. Das kommt vor, ist aber bei diesen beiden Codes die Ausnahme.

Cloudflare sitzt als Vermittler zwischen Ihren Besuchern und Ihrem Server. Der Browser spricht mit Cloudflare, Cloudflare holt die Seite von Ihrem Server – dem sogenannten Ursprungsserver. Scheitert dieser zweite Teil, zeigt Cloudflare eine eigene Fehlerseite. Genau das sind 521 und 522.

Schritt 1: Den Fehlercode richtig lesen

Auf der Fehlerseite sehen Sie drei Symbole: Browser, Cloudflare und Host. Darunter steht jeweils „Working“ oder „Error“. Ist nur der Host rot markiert, wissen Sie schon, wo Sie suchen müssen: bei Ihrem Server oder Ihrem Hoster.

Die Codes im Überblick:

• 521 – Web server is down: Cloudflare erreicht Ihren Server, dieser lehnt die Verbindung aber ab. Meist läuft der Webserver nicht oder eine Firewall weist Cloudflare zurück.
• 522 – Connection timed out: Cloudflare bekommt überhaupt keine Antwort, die Verbindung kommt nicht zustande. Das deutet auf Überlast, verworfene Anfragen oder eine falsche Ziel-IP hin.

Zur Abgrenzung gibt es verwandte Codes, die andere Ursachen haben:

• 502 – Bad Gateway: Es kam eine Antwort, aber eine ungültige. Häufig hängt dahinter ein Fehler in der Anwendung selbst, etwa in PHP.
• 523 – Origin is unreachable: Cloudflare findet keinen Weg zum Server, zum Beispiel weil die IP-Adresse im DNS nicht stimmt oder nicht erreichbar ist.
• 524 – A timeout occurred: Die Verbindung steht, aber der Server braucht für die Antwort zu lange – typisch bei sehr langsamen Skripten.
• 525 – SSL handshake failed: Die verschlüsselte Verbindung zwischen Cloudflare und Ihrem Server scheitert.
• 526 – Invalid SSL certificate: Das Zertifikat auf Ihrem Server ist abgelaufen, selbst ausgestellt oder passt nicht zur Domain, während Cloudflare eine strenge Prüfung verlangt.

Notieren Sie außerdem, was sich zuletzt geändert hat: Umzug, neuer Tarif, neue Sicherheitseinstellungen, ein Update. Das grenzt die Suche oft sofort ein.

Schritt 2: Cloudflare und Hoster als Ursache ausschließen

Bevor Sie Einstellungen ändern, schauen Sie, ob jemand anderes schon ein Problem gemeldet hat.

1. Rufen Sie die Statusseite von Cloudflare auf (cloudflarestatus.com). Steht dort eine Störung, die Ihre Region betrifft, bleibt Ihnen nur abwarten.
2. Prüfen Sie die Statusseite oder das Kundenmenü Ihres Hosters. Wartungsarbeiten, Störungen oder ein gesperrtes Paket – etwa wegen einer offenen Rechnung oder überschrittener Ressourcen – führen genau zu diesem Fehlerbild.
3. Sehen Sie nach, ob andere Dienste auf demselben Server laufen, etwa E-Mail oder eine zweite Website. Sind auch diese gestört, ist der Server selbst betroffen.

Schritt 3: Den Server direkt testen, ohne Cloudflare

Der wichtigste Test: Antwortet Ihr Server, wenn Cloudflare nicht dazwischen sitzt? Dafür brauchen Sie die IP-Adresse des Servers. Sie steht im DNS-Bereich von Cloudflare beim A-Eintrag Ihrer Domain und im Kundenmenü des Hosters.

Variante für Technikaffine: Mit dem Befehl curl lässt sich die Domain gezielt auf die Server-IP lenken, ohne etwas umzustellen:

curl -I --resolve www.ihre-domain.de:443:203.0.113.10 https://www.ihre-domain.de

Ersetzen Sie die Beispiel-IP durch Ihre. Kommt eine Antwort wie HTTP/2 200 oder eine Weiterleitung, läuft der Server. Bricht der Befehl ab oder wird die Verbindung verweigert, liegt das Problem dort.

Variante ohne Kommandozeile: Tragen Sie die Server-IP und Ihre Domain vorübergehend in die hosts-Datei Ihres Rechners ein. Ihr Browser fragt dann direkt beim Server an. Entfernen Sie den Eintrag nach dem Test wieder.

Antwortet der Server direkt nicht, kümmern Sie sich um ihn (Schritt 4). Antwortet er direkt, aber nicht über Cloudflare, liegt es meist an Firewall, DNS oder SSL (Schritte 5 und 6).

Schritt 4: Wenn der Server selbst nicht läuft

Typische Ursachen auf dem Server:

• Der Webserver ist gestoppt oder abgestürzt – Apache, Nginx oder LiteSpeed laufen nicht. Auf einem eigenen Server starten Sie den Dienst neu, bei Shared Hosting ist das Sache des Hosters.
• Überlast: Zu viele gleichzeitige Anfragen, ein Angriff, ein hängender Prozess oder volle Festplatte. Der Server nimmt dann keine neuen Verbindungen mehr an oder antwortet zu spät – klassisch für 522.
• Ressourcen-Grenze des Tarifs erreicht: Manche Hoster drosseln oder pausieren Pakete, die dauerhaft zu viel Rechenleistung verbrauchen.

Schauen Sie in die Fehlerprotokolle im Kundenmenü und schildern Sie dem Hoster-Support den Fehlercode samt Uhrzeit und Ray-ID. Mit diesen Angaben kann er gezielt nachsehen.

Schritt 5: Firewall und Cloudflare-IP-Bereiche prüfen

Alle Anfragen kommen bei Ihrem Server von Cloudflare – also immer von denselben IP-Bereichen. Für eine Firewall oder ein Sicherheitsmodul sieht das schnell nach einem Angriff aus. Folge: Cloudflare wird gesperrt, und es erscheint ein 521 oder 522.

1. Die aktuellen IP-Bereiche veröffentlicht Cloudflare unter cloudflare.com/ips.
2. Prüfen Sie Server-Firewall, Sicherheitsmodule des Hosters und Plugins wie Wordfence auf Sperren dieser Adressen.
3. Setzen Sie die Cloudflare-Bereiche auf die Ausnahmeliste. Bei Shared Hosting bitten Sie den Hoster darum.

Auch Regeln, die nur bestimmte Länder zulassen, oder eine Rate-Begrenzung können Cloudflare aussperren.

Schritt 6: DNS-Eintrag und SSL-Modus kontrollieren

Falsche Ziel-IP. Nach einem Server- oder Hosterwechsel bleibt im DNS bei Cloudflare oft die alte IP stehen. Öffnen Sie bei Cloudflare den Bereich DNS und vergleichen Sie die IP beim A-Eintrag (und gegebenenfalls beim AAAA-Eintrag für IPv6) mit der Adresse aus dem Kundenmenü des Hosters. Prüfen Sie auch den Eintrag für www.

SSL-Modus. Unter SSL/TLS legen Sie fest, wie Cloudflare mit Ihrem Server spricht:

• Flexible: Cloudflare verbindet sich unverschlüsselt über Port 80. Leitet der Server dann auf https um, entsteht leicht eine Schleife – siehe ERR_TOO_MANY_REDIRECTS.
• Full / Full (strict): Cloudflare verbindet sich über https auf Port 443. Hat Ihr Server dort kein Zertifikat oder ist der Port geschlossen, scheitert die Verbindung. Bei „Full (strict)“ muss das Zertifikat zudem gültig sein, sonst folgt 526.

Empfehlenswert ist ein gültiges Zertifikat auf dem Server und der Modus „Full (strict)“. Viele Hoster stellen dafür kostenlos Let’s-Encrypt-Zertifikate bereit.

Schritt 7: Notlösung – den Proxy vorübergehend abschalten

Läuft die Seite direkt, aber nicht über Cloudflare, und Sie finden die Ursache nicht sofort, können Sie Cloudflare überbrücken. Klicken Sie im DNS-Bereich beim betreffenden Eintrag auf die orange Wolke, bis sie grau ist („Nur DNS“). Besucher landen dann direkt auf Ihrem Server.

Das ist bewusst eine Übergangslösung: Ihre Server-IP wird öffentlich sichtbar, Schutz und Zwischenspeicher von Cloudflare fallen weg. Beheben Sie die Ursache und schalten Sie die Wolke danach wieder auf Orange.

Lädt die Seite auch ohne Cloudflare nicht, hilft der allgemeine Ratgeber Website nicht erreichbar weiter.

Umsetzungsplan

Sofort

1. Fehlercode, Uhrzeit und Ray-ID notieren; auf der Fehlerseite prüfen, ob „Host“ rot markiert ist.
2. Statusseiten von Cloudflare und Hoster prüfen.
3. Server direkt über seine IP testen – per curl --resolve oder hosts-Datei.

Danach

4. Antwortet der Server nicht: Hoster mit Code, Uhrzeit und Ray-ID kontaktieren, Fehlerprotokolle sichten.
5. Antwortet er direkt: Firewall und Sicherheits-Plugins auf gesperrte Cloudflare-IP-Bereiche prüfen und diese freigeben.
6. A- und AAAA-Eintrag im DNS mit der aktuellen Server-IP abgleichen.
7. SSL-Modus prüfen: gültiges Zertifikat auf dem Server, Modus „Full (strict)“.
8. Nur wenn nötig: orange Wolke vorübergehend auf Grau stellen und nach der Reparatur wieder einschalten.

Vorbeugen

9. Cloudflare-IP-Bereiche dauerhaft in der Server-Firewall freigeben.
10. Bei jedem Umzug die DNS-Einträge bei Cloudflare als festen Punkt der Checkliste aufnehmen.
11. Ablaufdatum des Server-Zertifikats überwachen oder automatische Verlängerung einrichten.
12. Eine Erreichbarkeitsüberwachung einrichten, die Sie bei einem Ausfall sofort benachrichtigt.
13. Zugänge zu Cloudflare, Hoster und Server griffbereit halten oder die Website-Pflege abgeben.

Wir bringen Ihre Seite wieder online

Wissen Sie nicht, ob es am Server, an der Firewall oder an der Cloudflare-Einstellung liegt, oder fehlen Ihnen die Zugänge: Wir übernehmen die Diagnose und stellen die Erreichbarkeit wieder her.

Die WordPress-Notfall-Diagnose kostet 99 €. Oder rufen Sie direkt an: 0 33 41 - 35 66 146.

Häufige Fragen

Ist bei Fehler 521 oder 522 Cloudflare selbst kaputt?

In aller Regel nicht. Beide Fehlerseiten stammen zwar von Cloudflare, sie melden aber ein Problem dahinter: Cloudflare erreicht Ihren eigenen Webserver nicht. Auf der Fehlerseite sehen Sie drei Stationen – Browser, Cloudflare und Host. Steht bei Cloudflare „Working“ und beim Host „Error“, liegt die Ursache bei Ihrem Server oder Hoster.

Was ist der Unterschied zwischen 521 und 522?

Bei 521 antwortet Ihr Server und lehnt die Verbindung ab – etwa weil der Webserver gestoppt ist oder eine Firewall Cloudflare blockiert. Bei 522 kommt gar keine Antwort: Cloudflare wartet, bis die Zeit abläuft. Das spricht eher für einen überlasteten Server, verworfene Anfragen oder eine falsche Ziel-IP im DNS.

Darf ich Cloudflare einfach ausschalten, damit die Seite wieder läuft?

Vorübergehend ja, als Test oder Notlösung. Stellen Sie dazu im DNS-Bereich die orange Wolke auf grau („Nur DNS“). Bedenken Sie aber: Dann ist die echte IP-Adresse Ihres Servers öffentlich sichtbar, und Schutz sowie Zwischenspeicher von Cloudflare fallen weg. Schalten Sie den Proxy wieder ein, sobald die Ursache behoben ist.

Warum tritt der Fehler direkt nach einem Server-Umzug auf?

Sehr häufig steht im DNS bei Cloudflare noch die IP-Adresse des alten Servers. Cloudflare fragt dann weiter dort an, wo Ihre Seite nicht mehr liegt oder der Vertrag schon gekündigt ist. Prüfen Sie, ob der A-Eintrag auf die neue Server-IP zeigt.

Kann die SSL-Einstellung in Cloudflare einen 521 auslösen?

Ja. Steht der SSL-Modus auf „Full“ oder „Full (strict)“, verbindet sich Cloudflare per https über Port 443 mit Ihrem Server. Ist dort kein Zertifikat eingerichtet oder Port 443 geschlossen, wird die Verbindung abgelehnt oder läuft ins Leere. Probleme mit dem Zertifikat selbst zeigen sich dagegen eher als Fehler 525 oder 526.