Cloudflare-Fehler 521: Webserver ist down - Ursachen und Lösungen

2026-09-16 Aktualisiert: 2026-09-19

Cloudflare-Fehler 521 bedeutet, Cloudflare hat die IP-Adresse Ihres Ursprungs erreicht, aber der Server hat die Verbindung aktiv abgelehnt, meist weil auf dem Port, den Cloudflare probiert hat, nichts lauscht, eine Firewall die Anfrage blockiert hat, oder der Webserver selbst gestoppt ist. Das unterscheidet sich von einer Zeitüberschreitung: Etwas am Ursprung hat sofort "nein" gesagt.

Was Fehler 521 bedeutet

Wenn Cloudflare eine Anfrage weiterleitet, öffnet es eine TCP-Verbindung zu Ihrem Ursprungsserver auf dem für diesen Eintrag konfigurierten Port. Fehler 521 tritt auf, wenn der Ursprung ein TCP-Reset (RST) oder ein ICMP "connection refused" zurücksendet, statt die Verbindung anzunehmen. Das ist eine klare Ablehnung, kein Schweigen. Vergleichen Sie das mit Fehler 522, wo Cloudflare innerhalb seines Zeitfensters überhaupt keine Antwort bekommt, oder Fehler 520, wo die Verbindung gelingt, aber die folgende HTTP-Antwort kaputt ist.

Wie sich Fehler 521 zeigt

Besucher sehen Cloudflares eigene Seite, "Error 521: web server is down", mit einer Ray-ID. Eine curl-Anfrage gegen die Domain liefert denselben Status:

curl -I https://example.com
HTTP/2 521

Da der Ursprung die Verbindung auf Netzwerkebene abgelehnt hat, erreicht nichts Ihre Anwendung, Ihre App-Logs zeigen für die fehlgeschlagenen Anfragen also meist gar nichts. Die Belege liegen näher am Netzwerk: die eigenen Start- und Zugriffslogs Ihres Webservers, die Verbindungslogs Ihrer Firewall oder Security Group, und die Systemlogs auf dem Ursprungs-Host (journalctl -u nginx, systemctl status nginx, oder das Äquivalent für Ihren Stack).

Was Fehler 521 verursacht

Der Webserver-Prozess ist gestoppt oder abgestürzt. Auf dem Port lauscht überhaupt nichts, jeder Verbindungsversuch wird also sofort abgelehnt.
Cloudflare ist konfiguriert, den falschen Port anzusprechen. Stimmt der am DNS-Eintrag oder in Cloudflares Netzwerkeinstellungen gesetzte Ursprungsport nicht mit dem überein, worauf Ihr Server tatsächlich lauscht, wird jede Verbindung abgelehnt.
Eine Firewall oder eine Cloud-Security-Group blockiert Cloudflares IP-Bereiche. Erlaubt eine Regel nur bestimmte Quell-IPs, und Cloudflares veröffentlichte Bereiche stehen nicht darauf, oder standen darauf und wurden später entfernt, werden Verbindungen von Cloudflares Edge verworfen oder abgelehnt.
Der SSL/TLS-Modus ist auf Full oder Full Strict gesetzt, aber am Ursprung lauscht nichts auf Port 443. Diese Modi verlangen, dass Cloudflare den Ursprung über HTTPS anspricht; bedient der Ursprung nur einfaches HTTP, oder wurde das Zertifikat-Setup nie abgeschlossen, wird der HTTPS-Verbindungsversuch abgelehnt.
Ein fachfremder Dienst ist bereits an den Port gebunden, den der Webserver nutzen soll, sodass der Webserver selbst nie startet.

521 gegenüber 523 gegenüber 522

Diese drei Codes werden leicht verwechselt, weil alle eine Verbindung beschreiben, die nie eine HTTP-Antwort hervorgebracht hat, aber jeder bedeutet, dass Cloudflare an einer anderen Stelle gescheitert ist.

521, Webserver ist down: Cloudflare hat die IP-Adresse des Ursprungs erreicht, und etwas dort hat die Verbindung aktiv abgelehnt (ein TCP-Reset oder ein ICMP-Unreachable). Der Server existiert und hat geantwortet, nur mit einer Ablehnung.
523, Ursprung ist nicht erreichbar: Cloudflare kam nicht einmal so weit. Das deutet auf ein Routing-, DNS- oder IP-Problem hin, häufig ein DNS-Eintrag bei Cloudflare, der nach einer Servermigration noch auf eine alte IP-Adresse zeigt, oder eine private Netzwerkroute (etwa ein Cloudflare Tunnel), die down ist.
522, Zeitüberschreitung der Verbindung: Cloudflare hat den TCP-Handshake versucht, aber rechtzeitig keine Antwort bekommen, weder eine Annahme noch eine Ablehnung. Siehe die separate Anleitung zu Cloudflare-Fehler 522 für diesen Fall.

So finden Sie heraus, wer schuld ist

Ein 521 ist ein starkes Zeichen, dass das Problem auf der Ursprungsseite von Cloudflares Edge sitzt, da die Ablehnung von Ihrem eigenen Server oder dem Netzwerk direkt davor kam. Die operativ wichtige Frage ist, ob es die ganze Website betrifft oder nur einen Teil des Traffics, und der schnellste Weg, das zu prüfen, ist, eine HTTP-Prüfung von mehreren Standorten gleichzeitig auszuführen. HostTrackers HTTP-Prüfung fragt die Domain von Prüfpunkten in mehreren Ländern ab und meldet jedes Ergebnis für sich, sodass Sie sofort sehen, ob jeder Standort denselben 521 bekommt oder nur manche, was auf eine teilweise Firewall-Regel oder einen Load Balancer mit einem ungesunden Backend hindeuten würde, statt darauf, dass der ganze Server down ist.

So beheben Sie Fehler 521

Wenn Sie Besucher sind

Laden Sie nach einer kurzen Wartezeit neu. Startet der Betreiber der Website gerade den Server neu, ist die Lösung womöglich schon unterwegs.
Prüfen Sie die Statusseite der Website, falls es eine gibt, oder deren Social-Media-Kanäle auf einen bekannten Ausfallhinweis.
Es gibt nichts, das Sie auf Ihrer Seite ändern können. Die Ablehnung passiert am eigenen Server der Website, nicht in Ihrem Browser, DNS oder bei Ihrem Internetanbieter.

Wenn Sie die Website betreiben

Bestätigen Sie, dass der Webserver-Prozess tatsächlich läuft: systemctl status nginx (oder Ihr Äquivalent), und prüfen Sie dessen Logs auf einen Absturz oder einen fehlgeschlagenen Neustart.
Bestätigen Sie, dass der Port, den Cloudflare zu verwenden konfiguriert ist, mit dem übereinstimmt, worauf Ihr Server lauscht. Prüfen Sie den Ursprungsport unter dem DNS-Eintrag oder den Netzwerkeinstellungen im Cloudflare-Dashboard gegen die tatsächlichen Lauschports Ihres Servers (ss -tlnp unter Linux).
Prüfen Sie, ob Ihre Firewall oder Cloud-Security-Group eingehenden Traffic von Cloudflares veröffentlichten IP-Bereichen auf diesem Port erlaubt. Cloudflare veröffentlicht seine aktuellen IPv4- und IPv6-Bereiche unter cloudflare.com/ips; eine Regel, die aus einer alten Kopie dieser Liste aufgebaut wurde, fängt an, neu hinzugekommene Bereiche abzulehnen.
Steht Ihr SSL/TLS-Verschlüsselungsmodus auf Full oder Full Strict, bestätigen Sie, dass am Ursprung tatsächlich etwas auf Port 443 lauscht, mit einem Zertifikat, das Cloudflare validieren kann. Vorübergehend auf Flexible umzuschalten ist eine nützliche Diagnose, um das als Ursache zu bestätigen, keine dauerhafte Lösung, da Flexible die Verbindung zwischen Cloudflare und Ihrem Ursprung unverschlüsselt lässt.
Umgehen Sie Cloudflare, um den Ursprung direkt zu testen und die rohe Ablehnung ohne die dazwischenliegende Edge-Schicht zu sehen:
```
curl -v -H "Host: example.com" https://ORIGIN_IP:PORT/
```
Ein "Connection refused" hier bestätigt, dass das Problem der Lauschprozess oder die Firewall des Ursprungs ist, nicht Cloudflare.
Prüfen Sie, ob nicht etwas anderes auf dem Host den Port belegt hat, den Ihr Webserver erwartet, was den Webserver daran hindern würde, beim Start daran zu binden.

So beugen Sie vor

Eine Firewall-Regel, die nur Cloudflares Bereiche freigibt, ist ein häufiger Grund, warum 521 Monate später wieder auftaucht, da Cloudflare mit der Zeit IP-Bereiche hinzufügt und entfernt, und eine einmal kopierte Regel veraltet. Eine HTTP-Prüfung, die von außerhalb Ihres Netzwerks läuft, erkennt den daraus entstehenden Ausfall genau so, wie ihn ein Besucher erleben würde, statt sich darauf zu verlassen, dass jemand bemerkt, dass die Website nicht erreichbar ist, und es meldet.

Häufig gestellte Fragen

Ist Fehler 521 dasselbe wie ein physisch ausgeschalteter Server?

Nicht zwingend. Er bedeutet, dass etwas die TCP-Verbindung abgelehnt hat, was ein gestoppter Webserver-Prozess bei laufender Maschine sein kann, eine Firewall, die die Anfrage zurückweist, oder eine falsch passende TLS-Modus-Einstellung, genauso wie ein tatsächlich abgeschalteter Server.

Was ist der schnellste Weg zu bestätigen, dass eine Firewall die Ursache ist?

Fragen Sie den Ursprung direkt mit seiner IP-Adresse und dem Host-Header der Domain ab, unter Umgehung von Cloudflare. Wird auch das abgelehnt, liegt die Sperre wahrscheinlich an der eigenen Firewall oder Security Group des Ursprungs, nicht an etwas Spezifischem an Cloudflares IP-Bereichen.

Warum würde 521 auftreten, ohne dass sich an meinem Server etwas geändert hat?

Cloudflare aktualisiert regelmäßig seine veröffentlichten IP-Bereiche. Eine Firewall-Regel, die aus einer alten Kopie dieser Liste aufgebaut wurde, passt nicht mehr auf neu hinzugekommene Bereiche, sodass Anfragen aus diesen Bereichen abgelehnt werden, obwohl an Ihrem eigenen Server nichts geändert wurde.

Behebt das Umschalten des SSL/TLS-Modus auf Flexible 521 dauerhaft?

Es kann eine Full- oder Full-Strict-Fehlpassung verdecken, da Flexible am Ursprung kein HTTPS verlangt, bedeutet aber auch, dass die Verbindung zwischen Cloudflare und Ihrem Server unverschlüsselt ist. Behandeln Sie es als Diagnoseschritt, beheben Sie dann den TLS-Listener des Ursprungs und schalten Sie zurück.

Wie unterscheidet sich 521 von 523?

521 bedeutet, Cloudflare hat den Ursprung erreicht und wurde abgelehnt. 523 bedeutet, Cloudflare konnte ihn überhaupt nicht erreichen, was auf DNS, Routing oder einen kaputten Tunnel hindeutet, statt auf etwas, das der Ursprungsserver selbst getan hat.