Produkte

AI Adoption & Privacy

AI Workspace
Preise

Network Security Preise

Network DDoS Protection
Partner
Über Myra
Login
WAAP (Myra App) AI Workspace EU CAPTCHA Partnerportal
Deutsch English Français
Notfall Demo
Produkte
Application Security DDoS Protection Web Application Firewall CDN Bot Management CAPTCHA Network Security Network DDoS Protection (cloud) Network DDoS Protection (on-prem) Network DDoS Protection (hybrid)

AI Adoption & Privacy

AI Workspace
Preise

Application Security Preise

DDoS Protection, WAF, CDN, Bot Management EU CAPTCHA

Network Security Preise

Network DDoS Protection
Partner
Über Myra

Unternehmen

Über uns Karriere News & Insights Eventplan 2026 Presse

Warum Myra?

Referenzen & Case Studies Zertifizierungen Migration Integrationen DSGVO-Konformität Digitale Souveränität

Myra im Vergleich

Myra vs. Wettbewerber Cloudflare Alternative Akamai Alternative F5 Alternative
Login WAAP Login AI Workspace Login EU CAPTCHA Partnerportal English Français
Notfall Demo

Aktualisiert am 12.10.2026

Cloudflare AI Gateway oder Myra? Was Entwicklerteams vergleichen sollten

Stand: 12.10.2026

Die Suche nach einer Alternative beginnt oft an einer einzigen Stelle in der Cloudflare-Doku. Die DLP-Prüfung erkennt eine IBAN im Prompt, dokumentiert sind danach aber nur zwei Aktionen, Sperren oder Durchlassen mit Vermerk im Log. Das Gateway in Myra AI Workspace ersetzt Name und IBAN vor dem Modell durch Platzhalter und setzt die echten Werte in der Antwort wieder ein. Läuft Ihr Code ohnehin als Workers, spricht trotzdem viel für Cloudflare, das Gateway dort deckt über 20 Modellanbieter ab, mit Logs, Cache, Limits und Fallbacks.

Zwei weitere Unterschiede betreffen Plattformteams, nämlich wie weit ein Token reicht und ob man Routen außerhalb der EU sperren kann. Unsere Angaben zu Cloudflare stammen aus der Entwicklerdokumentation, gelesen am 12.10.2026.

Was Cloudflare gut macht

Cloudflare schreibt auf der Übersichtsseite, für den Start brauche es eine Zeile Code. Das stimmt ziemlich genau: Der OpenAI-kompatible Endpunkt legt beim ersten Aufruf selbst ein Gateway namens default an. In Workers ruft das Binding env.AI.run() Workers-AI-Modelle und Modelle anderer Anbieter wie OpenAI über dasselbe Gateway auf (Letztere über Unified Billing), und die Anfragen gelten innerhalb des Kontos schon als authentifiziert.

Die Seite zu Ausgabenlimits beschreibt Regeln, die nach Modell, Anbieter oder einem eigenen Metadaten-Schlüssel wie agent_id aufteilen. Jeder Agent bekommt so ein eigenes Budget und ab dem Limit ein 429. Cloudflare schreibt dazu selbst, dass die Kosten geschätzt sind und parallele Anfragen das Limit kurz überschreiten können. Fallbacks baut man im Editor für „Dynamic Routing“. Logpush exportiert die Logs in einen eigenen Bucket, verschlüsselt mit einem RSA-Schlüssel, den Sie selbst erzeugen. Über „Unified Billing“ laufen mehrere Modellanbieter auf eine Cloudflare-Rechnung. Steht Cloudflare Access vor dem Gateway, schreibt AI Gateway bei angemeldeten Nutzern deren Access-ID als cf.user_id in die Metadaten der Anfrage.

Liegt Ihr Stack schon bei Cloudflare, ist das ein starkes Paket, und wir würden dann nicht zum Wechsel raten.

Was passiert mit einer IBAN im Prompt?

Ein Support-Werkzeug schickt zum Beispiel diesen Prompt an GPT oder Claude: „Entwirf eine Antwort an Anna Becker zur fehlgeschlagenen Überweisung von DE89 3704 0044 0532 0130 00.“

Bei Cloudflare kommt hier DLP ins Spiel, vorausgesetzt, Sie haben es für das Gateway eingeschaltet und eine Richtlinie mit dem Profil für Finanzdaten angelegt. Steht die Richtlinie auf „Flag“, geht der Satz unverändert an den Anbieter, und im Log steht hinterher, dass eine IBAN drin war. Steht sie auf „Block“, bekommt die Anwendung Fehler 2029 zurück und die Kollegin im Support keinen Entwurf. Andere Aktionen nennt die Einrichtungsseite nicht. Für Namen braucht es das PII-Profil. Ohne Zero-Trust-Abo mit DLP stehen laut Preisseite aber nur die Profile „Financial Information“ und „Social / Insurance / National Identifier Numbers“ zur Verfügung. Lassen Sie auch die Antwort prüfen, wartet Cloudflare den kompletten Stream ab, bevor das erste Wort beim Nutzer ankommt.

Bei Myra kümmert sich der PII Protector darum. Er macht aus Anna Becker und der IBAN Platzhalter der Form [MYRA-REDACT-{TYPE}:…], das Modell schreibt seinen Entwurf um diese Platzhalter herum, und das Gateway setzt die echten Werte wieder ein, im Stream Stück für Stück. Die Erkennung läuft bei Myra. IBANs werden mit Prüfsumme validiert, damit nicht jede zufällige Ziffernfolge als Kontonummer durchgeht; für Steuer-ID, USt-IdNr. und KV-Nr. schalten Sie dazu die deutschen Erkenner (de_recognizers) ein, die ab Werk aus sind. Die Maskierung ist in allen Tarifen verfügbar.

Rechtlich bleibt es eine Pseudonymisierung, weil das Gateway die Zuordnung kennt. In der Konfiguration gibt es zwei Voreinstellungen, die Sie vor dem ersten echten Datensatz kennen sollten. Ohne "target": "both" bleiben die Platzhalter in der Antwort stehen, und fail_open steht ab Werk auf true, sodass eine Anfrage unmaskiert durchgeht, wenn der Erkennungsdienst einmal nicht antwortet. Setzen Sie es auf false oder erzwingen Sie die Maskierung gleich für den ganzen Mandanten.

Wie weit reicht ein Token?

Leicht zu übersehen und in Mandanten-Setups wichtig. Cloudflare schreibt auf der Seite zur Authentifizierung, dass sich die Berechtigung AI Gateway Run nicht auf ein einzelnes Gateway beschränken lässt. Ein Token damit erreicht jedes Gateway des Kontos, auch solche mit hinterlegten Provider-Schlüsseln. Für Trennung empfiehlt Cloudflare getrennte Konten oder ein Worker-Binding.

Bei Myra gilt ein Gateway-Token für genau ein Gateway. Ein Mandant legt zum Beispiel production und staging an, und ein Token aus Staging wird in Production abgelehnt. Persönliche Tokens sind zusätzlich an einen Nutzer gebunden und haben ein eigenes Budget und Rate-Limit.

Wo wird verarbeitet und gespeichert?

Cloudflare macht daraus kein Geheimnis. In der Kompatibilitätstabelle der Data Localization Suite steht AI Gateway in der Spalte „Regional Services“ auf nicht kompatibel, also bei der Funktion, mit der man festlegt, in welchen Rechenzentren HTTPS-Verkehr entschlüsselt und verarbeitet wird. Die „Customer Metadata Boundary“ für Logs und Analysen funktioniert, laut Fußnote aber ohne Vorgaben zum Speicherort der Logs. Wem es vor allem um die Logs geht, der schaltet das Logging ab oder exportiert per Logpush in einen eigenen Bucket in einer EU-Region, und für viele Projekte ist das Thema damit erledigt.

Das Myra-Gateway läuft auf BSI-C5-Typ-2-testierter Myra-Infrastruktur, wobei die Anwendung selbst nicht unter das Testat fällt. Die Myra-Modelle rechnen auf Myras eigener EU-Infrastruktur; in bezahlten Self-Serve-Tarifen braucht man für sie das Zusatzpaket „EU-Gov“. Für externe Anbieter gibt es eine EU-Untergrenze, die ein Admin pro Gateway oder für die ganze Organisation einschalten kann. Danach lehnt das Gateway jede Route, die die EU verlassen würde, mit 403 data_residency_blocked ab, bevor überhaupt ein Anbieter angefragt wird, und das gilt auch dann, wenn ein Failover greifen würde. Ab Werk ist die Untergrenze allerdings aus. Myra verwendet Kundendaten nicht zum Training von KI-Modellen, für externe Modelle gelten die Bedingungen des jeweiligen Anbieters, und wer das Gateway im eigenen Rechenzentrum braucht, bekommt es on-premises auf Anfrage.

Was steht im Log?

Wer von Myra erwartet, dass hier alles anders ist, wird enttäuscht, denn beim Request-Log verhalten sich die beiden Gateways ziemlich gleich. Cloudflare schreibt für jedes neue Gateway standardmäßig Logs mit Prompt und Antwort, Tokens, Kosten und Dauer, und mit dem Header cf-aig-collect-log-payload: false fallen nur die Inhalte weg. Myra speichert Prompt und Antwort ebenfalls von Haus aus (log_payloads: true). Wer das nicht möchte, schickt x-aig-collect-log-payload: false mit der Anfrage oder stellt log_payloads: false am Gateway ein, dann bleiben Routing, Status, Tokenzahlen und Laufzeit übrig.

Anders sieht es beim Audit-Trail aus. Cloudflares Konto-Audit-Log hält für AI Gateway fest, wer ein Gateway angelegt, geändert oder gelöscht hat. Ins Audit-Log von Myra kommen Admin-Änderungen und Sicherheitsereignisse, etwa wenn jemand einen PII-Masker abschaltet oder eine Unterhaltung aus einem Projekt mit „Nur lokal“ herausnimmt; bei Bedarf manipulationserkennbar per Hash-Kette. Eine Ansicht in der Oberfläche haben Ihre Admins dafür nicht. Wer Auszüge braucht, fragt bei Myra, die liefern sie per API.

Wo sich beide kaum unterscheiden

Laut Cloudflares Seite zum Caching gibt es nur Treffer bei identischen Anfragen, der Cache ist anfangs aus, und semantische Suche ist „geplant“. Bei Myra sieht es gleich aus. Beim Llama-Guard-3-Check auch: Cloudflare nennt rund 500 Millisekunden Aufschlag pro Anfrage auf Workers AI und keine Unterstützung für Streaming. Myra hostet Llama Guard 3 selbst, dazu kommen ein Prompt-Injection-Klassifikator und der Egress-Guard, der Aufrufe des Modells nach außen prüft. Messen Sie die Latenz am besten mit Ihren eigenen Prompts.

Cloudflare AI Gateway Myra AI Workspace
Sensible Daten im Prompt DLP mit „Flag“ oder „Block“ Platzhalter vor externen Modellen, Wiederherstellung in der Antwort
Token gilt für alle Gateways des Kontos gilt für genau ein Gateway
Regionale Verarbeitung nicht kompatibel mit „Regional Services“ EU-Untergrenze einstellbar, Standard aus
Eigene Modelle Workers-AI-Katalog Myra-Modelle auf Myras EU-Infrastruktur (mit „EU-Gov“)
Prompt im Log standardmäßig ja, per Header abschaltbar standardmäßig ja, per Header oder Gateway-Einstellung abschaltbar

Am Ende entscheidet meist der Stack. Workers-Code, kein Bedarf an Klartext in der Antwort, ein Block als gewünschtes Verhalten: Dann Cloudflare. Muss die Antwort Namen und Kontonummern enthalten, die das Modell nicht sehen soll, oder verlangt das Lastenheft eine EU-Sperre oder getrennte Tokens pro Gateway, dann Myra. Bei Myra hängt am selben Gateway auch ein Chat für Mitarbeitende, in dem Projekte auf „Nur lokal“ stehen können.

Englisch: Cloudflare AI Gateway alternative. Produkt: Myra AI Workspace. Einstellungen im Detail: Myra-Dokumentation.

Alle Angaben zu Cloudflare AI Gateway stammen aus Cloudflares Entwicklerdokumentation (siehe Quellen), Stand 12.10.2026. Cloudflare ist eine Marke der Cloudflare, Inc. Myra Security steht in keiner Verbindung zu Cloudflare.

Häufige Fragen

Kann Cloudflare AI Gateway personenbezogene Daten maskieren?

Nach unserer Lektüre der Doku nicht im Sinne von Ersetzen und Zurückholen. Cloudflare prüft Prompts und Antworten mit den Erkennungs-Engines von Cloudflare DLP und kennt als Aktionen „Flag“, bei dem der Treffer im Log vermerkt wird und die Anfrage weiterläuft, und „Block“ mit Fehler 2029 für die Anfrage oder 2030 für die Antwort. Eine Option mit Platzhaltern haben wir am 12.10.2026 in der AI-Gateway-Dokumentation nicht gefunden.

Lässt sich Cloudflare AI Gateway auf EU-Rechenzentren beschränken?

Für die Verarbeitung nicht, jedenfalls nicht über die Data Localization Suite: In deren Tabelle ist AI Gateway bei „Regional Services“ als nicht kompatibel markiert. Für Logs und Analysen gibt es die „Customer Metadata Boundary“, laut Fußnote aber ohne Vorgaben zum Speicherort der Logs. Logging abschalten oder per Logpush in einen eigenen Bucket exportieren geht in jedem Fall.

Speichert das Myra-Gateway Prompts?

Ja, wenn Sie nichts ändern. Das Request-Log enthält Prompt und Antwort, bis Sie log_payloads am Gateway auf false setzen oder der Anfrage den Header x-aig-collect-log-payload: false mitgeben. Cloudflare verhält sich übrigens ähnlich, dort lässt der Header cf-aig-collect-log-payload die Inhalte weg und behält die Metadaten.

Wie aufwendig ist der Wechsel von Cloudflare zu Myra?

Bei Code mit OpenAI-kompatiblem Client sind es Base-URL und Token, dazu ein Blick auf die Modellnamen, weil Cloudflare sie im Format provider/model erwartet. Mehr Arbeit macht Code, der über Worker-Bindings wie env.AI.run() geht, denn die gibt es außerhalb von Cloudflare nicht.

Quellen

Dieser Beitrag gibt einen Überblick (Stand: Oktober 2026) und ersetzt keine Rechtsberatung im Einzelfall.