Cloudflare OS

Was es ist

Cloudflare OS ist ein Open-Source-Agent-Workspace, den ein Unternehmen in seinen eigenen Cloudflare-Account deployt. Jeder Mitarbeitende bekommt einen Browser-Chat, in dem ein Agent, vorgeladen mit Unternehmenskontext und geteilten Skills, recherchiert, Dokumente und Folien schreibt, wiederkehrende Aufgaben automatisiert und kleine interne Apps baut. Cloudflare gab die erste Version im Mai 2026 allen eigenen Mitarbeitenden, veröffentlichte am 2026-08-05 eine vollständige Neufassung (v2) unter Apache 2.0 als Open Source und öffnete am 2026-10-01 eine Warteliste für eine verwaltete Version, die aus dem Cloudflare-Dashboard gestartet wird. Der Launch-Post erreichte die Startseite von Hacker News mit 668 Punkten; das GitHub-Repository überschritt im Oktober 2026 die Marke von 10.200 Sternen.

Das „OS“ im Namen ist eine Metapher. Drei Teile erledigen die Arbeit:

• Agent-Workspace. Ein Code-Mode-Agent, der Aufgaben erledigt, indem er Code-Schnipsel schreibt und ausführt, mit jedem Modell, das Sie über Cloudflare AI Gateway routen (Anthropic, OpenAI, Google, Workers AI oder selbst gehostete Modelle).
• Gadgets. Jedes Dokument und jede App, die der Agent baut, ist eine private Instanz in einer eigenen Sandbox: ein Dynamic Worker mit deaktiviertem ausgehendem Internetzugang plus ein isoliertes Iframe. Sie teilen ein Gadget wie ein Google Doc, mit Echtzeit-Multiplayer, oder teilen seinen Code als Blueprint, damit Kolleginnen und Kollegen eine eigene Kopie erhalten.
• Gatekeepers. Ein Worker pro externem Dienst (GitHub, Google, Slack, Notion, Confluence, ZoomInfo, Supabase, E-Mail und einige weitere liegen im Repo). Ein Gatekeeper hält die OAuth-Credentials, sodass der Agent sie nie sieht, gibt nur die konkrete Ressource frei, die ein Nutzer vorgestellt hat, protokolliert jeden Lesezugriff und stellt Aktionen mit Nebenwirkungen zur menschlichen Freigabe in eine Warteschlange.

Der Teil, für den es sich lohnt: Governance als Standard

Die meisten Agent-Workspaces verbinden MCP-Server vorab, sodass jeder Chat ambienten Zugriff auf alles Verbundene hat. Cloudflare OS startet jeden Agent und jedes Gadget ohne jeden Zugriff. Ein Nutzer stellt ein bestimmtes Repo, Dokument oder einen Channel vor; der Agent kann mehr anfordern, und der Nutzer genehmigt oder lehnt ab. Jede Ressource, die der Agent liest, wird in einem Observation-Log festgehalten, das an seinem Ergebnis hängt, und dieses Log entscheidet später, ob der Agent in ein externes Ziel schreiben oder das Ergebnis mit jemandem teilen darf, der keinen Zugriff auf die Quelldaten hat.

Freigaben laufen asynchron. Will der Agent eine Slack-Nachricht senden oder ein Dokument bearbeiten, simuliert der Gatekeeper das Ergebnis, der Agent arbeitet weiter, und der Nutzer genehmigt oder verwirft die gesammelten Aktionen gebündelt, wenn er zurückkommt. Damit fällt der Hauptgrund weg, aus dem Teams ihre Agents auf Auto-Approve stellen.

Die Preisrealität

Die Software kostet $0. Sie zahlen Cloudflare für die Infrastruktur und einen Modellanbieter für Tokens. Zahlen am 2026-10-01 auf Cloudflares veröffentlichten Preisseiten geprüft:

• Workers Paid — $5 pro Account und Monat. Pflicht für Dynamic Workers. Enthält 10 Millionen Requests und 30 Millionen CPU-Millisekunden; darüber $0,30 pro Million Requests und $0,02 pro Million CPU-Millisekunden.
• Dynamic Workers — $0,002 pro eindeutig geladenem Worker und Tag, 1.000 pro Monat inklusive; Cloudflare erlässt diese Gebühr, solange die Funktion in der Beta ist.
• Cloudflare Access (Zero Trust) — der Standard-Login des Starter-Repos. Kostenlos bis 50 Nutzer, danach $7 pro Nutzer und Monat im Pay-as-you-go-Tarif. Der Kern unterstützt auch Benutzername/Passwort oder OAuth-Login mit Google, GitHub und Cloudflare, wenn Sie auf Access verzichten.
• Modell-Tokens — abgerechnet von Ihrem Anbieter über AI Gateway, mit Budgets und Rate Limits pro Person, Team oder Workspace.
• Verwaltete Version — nur Warteliste; kein Preis veröffentlicht, Stand 2026-10-01.

Rechenbeispiel für 200 Mitarbeitende mit Access: $16.800 pro Jahr für Access, $60 für Workers Paid, Tokens kommen hinzu. Dieselben 200 Plätze in Claude Team kosten $48.000 pro Jahr zum Jahrestarif von $20, bevor jemand ein Nutzungslimit erreicht, und Microsoft Agent 365 legt auf eine E5-Umgebung $36.000 pro Jahr drauf. Die Infrastrukturzeile ist klein; die echten Kosten sind der Engineer, der es deployt, für jeden Gatekeeper OAuth-Apps anlegt und ein fixiertes Early-Access-Release aktualisiert.

Am besten für

Ops- und IT-Verantwortliche in Unternehmen mit 50 bis 2.000 Mitarbeitenden, die bereits auf Cloudflare laufen, einen Platform Engineer haben, der ein Workers-Deployment verantworten kann, und jeden Mitarbeitenden Agents auf GitHub, Google Workspace und Slack nutzen lassen wollen, ohne einem Anbieter breiten Dauerzugriff zu geben. Es passt zu RevOps-Teams, die Pipeline-Dashboards auf Live-Daten bauen, zu Legal-Ops-Teams, die einen Audit-Trail darüber brauchen, was ein Agent gelesen hat, bevor er einen Entwurf schrieb, und zu Recruiting-Teams, die geteilte Skills statt individueller Prompts wollen.

Setzen Sie es nicht ein, wenn niemand im Team das Deployment übernimmt, Ihre Kernsysteme Salesforce, HubSpot oder ein ATS sind (dafür liegt kein Gatekeeper bei; Sie schreiben ihn selbst) oder der Einkauf heute einen Anbieter-SLA verlangt.

Gegen die Alternativen

• Claude Cowork — wählen Sie es, wenn Sie noch in diesem Quartal einen verwalteten Agent-Workspace ohne Deployment wollen. $20-25 pro Platz, nur Anthropic-Modelle, Konnektoren vorab konfiguriert statt pro Aufgabe vorgestellt.
• Microsoft Agent 365 — wählen Sie es, wenn das Unternehmen auf Microsoft 365 standardisiert ist und die Aufgabe die Governance von Agents in der gesamten Umgebung ist. $15 pro Nutzer und Monat zusätzlich zu einer qualifizierenden Basis.
• Dust — wählen Sie es, wenn Nicht-Engineers sofort Agents auf Salesforce, HubSpot und Snowflake bauen und teilen müssen. Verwaltet, etwa $31 pro Platz, mit Konnektoren, die Cloudflare OS fehlen.
• Onyx — wählen Sie es, wenn das Problem Suche und Chat über Unternehmenswissen ist, nicht App-Bau. MIT, selbst gehostet auf beliebiger Infrastruktur, mehr als 40 Konnektoren.
• OpenClaw — der am schnellsten wachsende Open-Source-Agent 2026. Wählen Sie ihn für einen persönlichen Agent für ein bis drei Operatoren. Er hat kein Mehrbenutzer-Berechtigungsmodell.

Worauf Sie achten sollten

• Early-Access-Software. Cloudflares eigene README nennt v2 ein „early access“-Release mit „many rough edges“, und das Repository hatte am 2026-10-01 128 offene Issues. Absicherung: Deployen Sie über das Repo cloudflare-os-starter, das ein Upstream-Release fixiert, und testen Sie jedes Upgrade auf einer Staging-Route vor der Produktion.
• Dünner Konnektor-Katalog für Geschäftssysteme. Die mitgelieferten Gatekeepers decken GitHub, Google, Slack, Notion, Confluence und ZoomInfo ab; für Salesforce, HubSpot oder ein ATS gibt es keinen. Absicherung: Listen Sie vor dem Pilot Ihre fünf wichtigsten Systeme auf und planen Sie Engineering-Zeit für einen eigenen Gatekeeper je fehlendem System ein, mit packages/custom-gatekeeper aus dem Starter-Repo.
• Cloudflare-Lock-in in der Praxis. Self-Hosting auf der Open-Source-Runtime workerd ist als „coming soon“ dokumentiert; Produktion heißt heute ein Cloudflare-Account mit aktivierten Workers, KV, R2, Browser Rendering, Workers AI und AI Gateway. Absicherung: Behandeln Sie es als Plattformentscheidung für Cloudflare und holen Sie die Freigabe des Security-Teams für diese Abhängigkeit ein, nicht nur für die App.
• Keine externen Beiträge. Cloudflare akzeptiert nur kleine, trivial prüfbare Pull Requests, die Roadmap gehört also Cloudflare. Absicherung: Legen Sie unternehmensspezifische Änderungen in Gatekeepers und den Starter-Wrapper statt in einen Fork des Kerns, damit Upgrades mechanisch bleiben.
• Token-Ausgaben standardmäßig ohne Obergrenze. Das tägliche Kontingent pro Nutzer ist aus, solange Sie es nicht setzen. Absicherung: Konfigurieren Sie Budgets und Rate Limits pro Team in AI Gateway vor dem unternehmensweiten Rollout.