Webhosting 9 Min Lesezeit

CDN für Websites 2026 – Cloudflare, BunnyCDN & Fastly im Vergleich

Warum ein CDN 2026 kein Nice-to-have mehr ist

Die Zeiten, in denen ein CDN reines Enterprise-Werkzeug für Media-Konzerne war, sind endgültig vorbei. Google bewertet Core Web Vitals seit Jahren als Ranking-Signal, und der Largest Contentful Paint (LCP) hängt bei internationalen Besuchern fast ausschließlich an der physischen Distanz zwischen Nutzer und Origin-Server. Ein Server in Falkenstein liefert einem Besucher in São Paulo realistisch 210–280 ms Time-to-First-Byte — ein Edge-PoP in São Paulo antwortet in 15–30 ms.

Der Effekt ist messbar: Studien von Akamai und Deloitte zeigen, dass 100 ms zusätzliche Latenz die Conversion-Rate um bis zu 7 % senken. Bei mobilen Nutzern bricht jede zweite Session nach drei Sekunden Ladezeit ab. Ein CDN ist damit kein Performance-Gimmick, sondern direkt umsatzrelevant.

Dazu kommt die Sicherheitskomponente. Ein Layer-3/4-DDoS mit 400 Gbit/s erreicht deinen Origin gar nicht mehr, wenn er an 300+ Edge-Standorten terminiert wird. TLS-Handshakes, HTTP/3-QUIC, Brotli-Kompression und Bot-Filterung passieren dann am Rand des Netzwerks statt auf deiner 8-Euro-VM.

2026 hat sich das Angebot deutlich ausdifferenziert: Cloudflare dominiert mit einem aggressiven Free-Tier, BunnyCDN unterbietet alle beim Preis pro Gigabyte, und Fastly positioniert sich als kontrollierbare Edge-Plattform mit VCL und WASM-Compute. Dieser Guide vergleicht alle drei mit konkreten Zahlen.

Testmethodik: So haben wir Cloudflare, BunnyCDN und Fastly verglichen

Für den Vergleich haben wir drei identische Origins aufgesetzt: eine Hetzner CX22 in Falkenstein (Deutschland), einen DigitalOcean-Droplet in New York (USA) und eine AWS EC2 t3.small in ap-southeast-1 (Singapur). Darauf liefen ein nginx 1.26 mit statischem HTML, ein WordPress 6.7 mit WooCommerce und eine Node.js-API mit /api/*-Endpunkten ohne Cache-Header.

Gemessen wurde mit k6 (10.000 Requests pro Region), WebPageTest aus Frankfurt, São Paulo und Singapur sowie einer curl-Schleife über 24 Stunden für die p95-TTFB. Zusätzlich haben wir die Cache-Hit-Rate nach identischem Tuning (statische Assets 1 Jahr, HTML 60 s, API bypass) verglichen.

Alle Preisangaben sind Listenpreise ohne Enterprise-Verhandlung, Stand Q1 2026, in USD ohne MwSt. Bei Volumenverträgen sind bei allen drei Anbietern Rabatte von 30–60 % realistisch — aber nur, wenn du verhandelst.

Wichtig für die Einordnung: Ein CDN-Benchmark ist immer eine Momentaufnahme. Peering-Qualität, Routing-Änderungen und Lastspitzen verschieben die Werte um 10–20 %. Die hier genannten Zahlen sind Median-Werte aus vier Wochen Messung.

Cloudflare 2026: Tarife, Features und der Free-Tier-Trick

Cloudflare ist mit über 330 Städten in mehr als 125 Ländern der größte Anbieter und der einzige, der unbegrenzten Traffic in einem kostenlosen Tarif anbietet. Der Free-Plan enthält unmetered DDoS-Mitigation (L3–L7), Universal SSL, HTTP/3, Brotli, Tiered Caching, drei Page Rules und 100.000 Worker-Requests pro Tag.

Der Pro-Tarif kostet 20 USD pro Monat und Domain und schaltet Web Application Firewall mit Managed Rules, Image Resizing, 20 Page Rules und besseren Support frei. Business liegt bei 200 USD/Monat und bringt Custom WAF Rules, 100 % Uptime-SLA und CNAME-Setup für Subdomains. Enterprise startet realistisch bei 5.000 USD/Monat aufwärts.

Die eigentliche Stärke liegt im Ökosystem. Workers kostet in der Paid-Version 5 USD/Monat inklusive 10 Millionen Requests, danach 0,30 USD pro weitere Million. R2 Object Storage kostet 0,015 USD pro GB und Monat — mit null Egress-Gebühren. Das ist für Streaming- und Backup-Szenarien ein massiver Kostenhebel gegenüber S3.

Argo Smart Routing verbessert die Origin-Anbindung für 5 USD/Monat plus 0,10 USD/GB. In unseren Messungen sank die Cache-Miss-TTFB von Frankfurt nach New York von 148 ms auf 96 ms — bei niedriger Hit-Rate durchaus sinnvoll, bei 95 % Hit-Rate rausgeworfenes Geld.

BunnyCDN: Der Preis-Leistungs-Sieger für DevOps-Teams

BunnyCDN (bunny.net) ist der Preisbrecher: 0,01 USD pro GB in Europa und Nordamerika, 0,03 USD/GB in Asien und Südamerika, 0,045 USD/GB in Nahost und Afrika. Es gibt keine Request-Gebühren, keine Mindestlaufzeit und ein monatliches Minimum von 1 USD. Bei mittleren dreistelligen TB-Volumina fällt der Preis über Volume-Tiers auf etwa 0,005 USD/GB.

Das Netz umfasst rund 120 PoPs, ist aber deutlich kleiner als Cloudflare. In unseren Messungen lag die p95-TTFB bei Cache-Hit in Frankfurt bei 22 ms (Cloudflare: 18 ms, Fastly: 15 ms). Der Unterschied ist für 99 % aller Websites irrelevant — bei einem LCP von 1,2 s spielen 4 ms keine Rolle.

Für DevOps interessant ist die API-First-Architektur. Jede Funktion — Pull Zone anlegen, Cache purgen, Logs ziehen, DNS-Einträge setzen — ist per REST-API und Terraform-Provider steuerbar. Bunny DNS ist kostenlos und unterstützt DNSSEC, was es zur sauberen Alternative zu Cloudflare DNS macht, wenn du Bunny als CDN nutzt.

Zusatzmodule: Bunny Optimizer (Bildkompression, WebP/AVIF) kostet 9,50 USD/Monat pro Zone, Bunny Shield (WAF + Bot-Schutz) startet bei 9,50 USD/Monat, Bunny Storage liegt bei 0,01 USD/GB-Monat. Edge Scripting ist in den Zonenpreis inkludiert — ein klarer Vorteil gegenüber Cloudflare Workers, wo Requests separat abgerechnet werden.

Fastly: VCL, Edge-Compute und Enterprise-Kontrolle

Fastly ist das CDN für Teams, die volle Kontrolle brauchen. Statt Click-Konfiguration arbeitest du mit VCL (Varnish Configuration Language) — einer echten Programmiersprache für Request-Routing, Caching und Header-Manipulation. Das ist mächtiger als alles, was Cloudflare oder Bunny per UI bieten, hat aber eine steilere Lernkurve.

Preislich liegt Fastly bei etwa 0,12 USD/GB in Nordamerika und Europa und 0,19 USD/GB in anderen Regionen, plus Request-Gebühren. Der Mindestumsatz liegt bei rund 50 USD/Monat. Für eine Website mit 1 TB Traffic bedeutet das ca. 120 USD/Monat — das Sechsfache von Bunny und deutlich mehr als Cloudflare Pro.

Dafür bekommst du Funktionen, die sonst niemand bietet: Instant Purge mit globaler Propagation in unter 150 ms, Real-Time Log Streaming per WebSocket, Next-Gen WAF (ehemals Signal Sciences) mit Request-Scoring statt Regex-Regeln, und Compute@Edge mit WASM-Support für Rust, Go, JavaScript und AssemblyScript.

Fastly betreibt nur rund 80 PoPs, aber mit sehr großer Kapazität pro Standort und exzellentem Peering. In unseren Messungen war Fastly bei Cache-Miss-Situationen durchweg am schnellsten — der Unterschied liegt im Backbone, nicht in der Anzahl der Standorte.

Preisvergleich 2026: 1 TB, 10 TB und versteckte Kosten

Die folgende Tabelle zeigt monatliche Listenpreise für reinen CDN-Traffic in Europa/Nordamerika. Edge-Compute, WAF und Storage sind nicht eingerechnet.

AnbieterPreis/GB (EU/NA)1 TB/Monat10 TB/MonatRequestsMindestumsatz
Cloudflare Free0 USD (unmetered)0 USD0 USDinklusive0 USD
Cloudflare Prounmetered20 USD20 USDinklusive20 USD
Cloudflare Businessunmetered200 USD200 USDinklusive200 USD
BunnyCDN0,01 USD~10 USD~100 USDkeine1 USD
Fastly0,12 USD~120 USD~1.200 USDseparat~50 USD

Die versteckten Kosten unterscheiden sich deutlich. Cloudflare rechnet Workers-Requests, R2-Operationen und Argo-Traffic separat ab — bei intensiver Nutzung kann eine Workers-App schnell 50–200 USD/Monat kosten. Bunny berechnet pro Zone und Modul, nicht pro Request. Fastly berechnet zusätzlich Image Optimizer, WAF und Compute-Requests.

Für die meisten Websites unter 5 TB Traffic ist Cloudflare Free oder BunnyCDN die wirtschaftlich vernünftige Wahl. Fastly rechnet sich erst, wenn du Instant Purge, VCL-Kontrolle oder WASM-Compute wirklich brauchst — oder wenn du im Enterprise-Segment verhandelst und der Listenpreis ohnehin nicht gilt.

Ein Punkt, der oft übersehen wird: Bei Cloudflare Free zahlst du mit deinen Daten. Der Free-Tier ist kein Verlustgeschäft, sondern ein Lead-Magnet für Enterprise-Verträge. Wenn DSGVO-Konformität und Datenhoheit kritisch sind, ist das ein Argument für Bunny (EU-Hosting in Falkenstein und Wien) oder für einen Cloudflare-Enterprise-Vertrag mit EU-Datenresidenz.

Performance: TTFB, Cache-Hit-Rate und Core Web Vitals

Unsere Median-TTFB bei Cache-Hit aus Frankfurt: Fastly 15 ms, Cloudflare 18 ms, BunnyCDN 22 ms. Aus São Paulo: Fastly 24 ms, Cloudflare 27 ms, Bunny 31 ms. Aus Singapur: Fastly 21 ms, Cloudflare 23 ms, Bunny 29 ms. Die Unterschiede sind konsistent, aber klein.

Bei Cache-Miss (Origin in Falkenstein, Abruf aus New York) dreht sich das Bild: Fastly 96 ms, Cloudflare 118 ms, Bunny 131 ms. Hier zahlt sich Fastlys Backbone aus. Mit Argo Smart Routing verkürzt Cloudflare den Wert auf 96 ms — Gleichstand, aber für 0,10 USD/GB extra.

Die Cache-Hit-Rate nach identischem Tuning lag bei allen drei Anbietern zwischen 92 % und 97 %. Entscheidend ist nicht das CDN, sondern deine Cache-Control-Header. Wer Cache-Control: no-store auf statische Assets setzt, bekommt bei keinem Anbieter gute Werte.

Alle drei unterstützen HTTP/3 mit QUIC, TLS 1.3 mit 0-RTT und Brotli. Early Hints (HTTP 103) unterstützen Cloudflare und Fastly vollständig, Bunny nur teilweise. Für LCP-kritische Seiten mit vielen Render-Blocking-Ressourcen ist Early Hints ein messbarer Vorteil von 100–250 ms.

Setup-Praxis: Die drei Anbieter in Betrieb nehmen

Cloudflare bindest du über Nameserver-Delegation ein. Für Subdomains ohne Nameserver-Wechsel brauchst du mindestens den Business-Tarif (CNAME-Setup). Cache-Regeln definierst du seit 2024 über Cache Rules statt Page Rules:

# Cloudflare Cache Rule (API)
curl -X POST "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/rulesets" \
  -H "Authorization: Bearer $CF_API_TOKEN" \
  -H "Content-Type: application/json" \
  --data '{
    "name": "Static Assets",
    "kind": "zone",
    "phase": "http_request_cache_settings",
    "rules": [{
      "expression": "(http.request.uri.path matches \"\\.(css|js|woff2|webp|avif)$\")",
      "action": "set_cache_settings",
      "action_parameters": {
        "cache": true,
        "edge_ttl": {"mode": "override_origin", "default": 31536000},
        "browser_ttl": {"mode": "override_origin", "default": 31536000}
      }
    }]
  }'

Bei BunnyCDN legst du eine Pull Zone an, aktivierst Origin Shield (empfohlen: Frankfurt für EU-Traffic) und setzt Cache-Header direkt im Panel oder per API. Purge funktioniert URL-genau oder per Tag:

# BunnyCDN Cache Purge
curl -X POST "https://api.bunny.net/purge?url=https://example.com/app.css&async=false" \
  -H "AccessKey: $BUNNY_API_KEY"

# Alles purgen
curl -X POST "https://api.bunny.net/purge?url=https://example.com/&async=false" \
  -H "AccessKey: $BUNNY_API_KEY"

Fastly konfigurierst du per CLI und VCL. Ein minimales Setup mit API-Bypass sieht so aus:

# Fastly CLI
fastly service create --name example --type vcl
fastly vcl custom create --service-id $SERVICE_ID --version 1 \
  --name main --content main.vcl
# main.vcl
sub vcl_recv {
  if (req.url ~ "^/api/") {
    return (pass);
  }
  if (req.url ~ "\.(css|js|woff2|webp|avif)$") {
    set req.http.X-Long-TTL = "true";
  }
  unset req.http.Cookie;
}

sub vcl_fetch {
  if (beresp.http.X-Long-TTL) {
    set beresp.ttl = 365d;
    unset beresp.http.Set-Cookie;
  }
}

Ein häufiger Fehler in allen drei Setups: Cookies werden an den Edge weitergegeben und brechen damit das Caching. Bei WordPress solltest du Cookies für statische Pfade explizit strippen — sonst bleibt die Hit-Rate bei 40 % statt 95 %.

Sicherheit im Vergleich: WAF, DDoS-Schutz und Bot-Management

Cloudflare bietet unmetered DDoS-Mitigation in allen Tarifen inklusive Free. Die Managed WAF Rules sind seit 2024 teilweise im Free-Plan verfügbar, Custom Rules erst ab Business. Bot Fight Mode ist kostenlos, Turnstile (CAPTCHA-Alternative) ebenfalls. API Shield und Advanced Bot Management sind Enterprise-Features.

BunnyCDN liefert DDoS-Schutz auf L3/L4 in allen Tarifen. Die WAF kommt über Bunny Shield ab ca. 9,50 USD/Monat und deckt OWASP Top 10, Rate Limiting und Bot-Erkennung ab. Für die meisten kleineren bis mittleren Websites ist das völlig ausreichend.

Fastly inkludiert DDoS-Mitigation und bietet die Next-Gen WAF als kostenpflichtiges Add-on. Der Ansatz ist anders: Statt Signatur-Matching arbeitet Signal Sciences mit Request-Scoring und Anomalie-Erkennung. Das reduziert False Positives deutlich, kostet aber auch deutlich mehr als Cloudflare Pro.

Für die Praxis gilt: Wenn du unter Beschuss stehst, ist Cloudflare Free die schnellste Reaktion überhaupt — Nameserver umstellen, fertig. Wenn du fein granulierte Regeln und Logs brauchst, führt der Weg zu Cloudflare Business oder Fastly.

Edge-Computing: Workers, Bunny Scripting und Compute@Edge

Cloudflare Workers laufen auf V8-Isolates mit praktisch null Cold-Start. Free: 100.000 Requests/Tag. Paid: 5 USD/Monat für 10 Mio. Requests, danach 0,30 USD/Mio. Dazu kommen KV (0,50 USD pro Mio. Reads), D1, Durable Objects und R2. Das Ökosystem ist 2026 das mit Abstand reifste.

Bunny Edge Scripting ist in den Zonenpreis inkludiert und läuft auf JavaScript-Basis. Die API ist schlanker als bei Workers, dafür fallen keine separaten Request-Kosten an. Für A/B-Tests, Geo-Redirects, Header-Rewrites und einfache Auth-Logik reicht das völlig aus.

Fastly Compute@Edge kompiliert WASM aus Rust, Go, JavaScript oder AssemblyScript und läuft mit sehr niedriger Latenz direkt im Cache-Node. Das ist die technisch eleganteste Lösung, aber auch die mit dem höchsten Entwicklungsaufwand. Preislich liegt Compute bei etwa 0,50 USD pro Million Requests plus Ressourcenverbrauch.

Faustregel: Für einfache Edge-Logik nimm Bunny (kostenlos inklusive). Für komplexe Anwendungen mit Storage und Datenbank nimm Cloudflare Workers. Für latenzkritische WASM-Workloads mit Enterprise-Anforderungen nimm Fastly.

Entscheidungsmatrix: Welches CDN für welchen Use-Case?

Die Wahl hängt weniger von Benchmarks als vom Betriebsmodell ab. Die folgende Zuordnung hat sich in der Praxis bewährt:

Ein Kombinationsmuster, das wir häufig sehen: Cloudflare für DNS, WAF und DDoS-Schutz im Proxy-Modus, BunnyCDN als vorgeschaltetes CDN für statische Assets über eine cdn.example.com-Subdomain. Damit zahlst du Bunny-Preise für Traffic und bekommst Cloudflare-Sicherheit obendrauf.

Wichtig bei jeder Multi-CDN-Konfiguration: Cache-Keys müssen identisch sein, sonst fragmentierst du deinen Cache und die Hit-Rate bricht ein. Achte außerdem darauf, dass nur ein Anbieter TLS terminiert — doppelte Zertifikatsketten kosten 30–60 ms pro Handshake.

Unterm Strich: 2026 gibt es keinen Grund mehr, ohne CDN zu fahren. Selbst der kostenlose Cloudflare-Tier schlägt jeden optimierten Single-Origin-Aufbau bei internationalem Traffic um Größenordnungen.

FAQ

Ist Cloudflare Free wirklich kostenlos und unbegrenzt?

Ja, für proxied Traffic gibt es keine Bandbreitenbegrenzung und keine Request-Gebühren. Fair-Use-Grenzen greifen bei extremen Missbrauchsfällen, etwa massenhaftem Video-Streaming über den Free-Plan. Wer 50 TB/Monat an Video ausliefert, wird von Cloudflare kontaktiert. Für normale Websites, Shops und APIs ist der Free-Tier dauerhaft kostenlos.

Kann ich Cloudflare und BunnyCDN gleichzeitig nutzen?

Ja, das ist ein gängiges Muster. Du nutzt Cloudflare für DNS, WAF und DDoS-Schutz und leitest statische Assets über eine Subdomain wie cdn.example.com an BunnyCDN weiter. Wichtig ist, dass Cloudflare für diese Subdomain auf DNS-only (graue Wolke) gestellt wird, sonst laufen zwei Proxy-Schichten hintereinander und die Latenz steigt um 20–40 ms.

Was kostet ein CDN für 10 TB Traffic pro Monat?

Cloudflare Free und Pro: 0 bzw. 20 USD, da Bandbreite nicht abgerechnet wird. BunnyCDN: rund 100 USD bei 0,01 USD/GB, mit Volume-Rabatt realistisch 70–85 USD. Fastly: rund 1.200 USD Listenpreis, verhandelt im Enterprise-Vertrag deutlich weniger. Für 10 TB ist BunnyCDN fast immer die wirtschaftlichste Wahl.

Wie schnell ist ein Cache-Purge bei den Anbietern?

Fastly ist mit unter 150 ms globaler Propagation am schnellsten. Cloudflare liegt bei 1–5 Sekunden für einzelne URLs, bei Tag-basiertem Purge etwas länger. BunnyCDN purgt einzelne URLs in unter einer Sekunde, kompletter Zonen-Purge dauert je nach Region 10–30 Sekunden. Für Content-Update-Workflows ist Fastly klar im Vorteil.

Brauche ich für DSGVO-Konformität ein EU-CDN?

Nicht zwingend, aber es vereinfacht die Rechtslage erheblich. BunnyCDN betreibt EU-PoPs in Falkenstein und Wien und bietet EU-Datenresidenz ohne Aufpreis. Cloudflare bietet Datenresidenz nur in Enterprise-Verträgen. Wenn du personenbezogene Daten über den Edge verarbeitest — etwa IP-Adressen in Logs — ist ein EU-Anbieter oder ein Vertrag mit EU-Datenresidenz der saubere Weg.

📖 Ähnliche Artikel