Funktioniert Amazon S3 in China? ICP, Datenresidenz und die zwei Türen
Globales S3 hält die Objekte, die Sie für China-Nutzer speichern, in Offshore-AWS-Regionen — ein PIPL-Grenztransfer und eine Datenresidenz-Exponierung —, während S3 im Inland nur in den separaten, Sinnet-/NWCD-betriebenen AWS-China-Regionen läuft, mit einem China-Konto, einer chinesischen Entität und einer ICP-Beian. Ein Blick zuerst auf die Compliance: die zwei Türen.
Funktioniert Amazon S3 in China?
Ob Sie Amazon S3 in China nutzen können, ist eine Datenresidenz-Frage, bevor es eine der Performance ist. S3 hält Ihre Objekte — Dateien, Uploads, Dokumente, Bilder, oft personenbezogene Daten über Ihre Nutzer —, und Chinas Recht antwortet darauf, wo diese Objekte physisch sitzen, nicht darauf, wie schnell sie herunterladen.
S3 läuft durchaus innerhalb des Festlands, aber nur in einer abgemauerten Partition: nach AWS' eigener China-Seite „Beijing Sinnet Technology Co., Ltd. (Sinnet) operates and provides cloud services in Amazon Web Services China (Beijing) Region“ und „Ningxia Western Cloud Data Technology Co., Ltd. (NWCD) operates and provides cloud services in Amazon Web Services China (Ningxia) Region“ — eine separate Partition, erreicht mit einem eigenen China-AWS-Konto, einer chinesischen Geschäftslizenz und, für öffentliche Workloads, einer ICP-Beian. Ihre bestehenden Buckets leben nicht dort: Globales S3 speichert jeden Bucket in einer Offshore-AWS-Region, und die globale Partition hat keine Festlandchina-Region. Die Objekte, die Sie für China-Nutzer halten, sind also ein grenzüberschreitender Transfer, den PIPL regelt. Die Tabelle unten ist AWS' eigener Wortlaut und die Regeln, die er auslöst.
Dies ist ein Risikobild, kein Urteil — Ihre Pflichten hängen von Ihren Datenmengen und Ihrer Rolle ab. Unser China-Team kann Ihre S3-Exponierung mit Ihnen kartieren →
Compliance-Momentaufnahme
- ! Globale S3-Buckets sitzen in Offshore-AWS-Regionen (US, EMEA, Asien-Pazifik) — die globale Partition hat keine Festlandchina-Region
- ! Objekte, die Sie dort für China-Nutzer speichern (oft personenbezogene Daten), sind ein PIPL-Grenztransfer und eine Datenresidenz-Exponierung
- ✓ S3 läuft durchaus im Inland — die von Sinnet betriebene Peking- und die von NWCD betriebene Ningxia-AWS-China-Region
- ! Aber diese Partition ist separat: ein neues China-AWS-Konto, eine chinesische Entität und ICP für öffentliche Workloads; globale Credentials erreichen sie nicht
- ✓ Ein rechtskonformer inländischer Auslieferungsweg existiert — ohne Neuaufbau, ohne Migration
Was die offizielle AWS S3-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| In AWS' eigenen Worten sind seine China-Regionen eine separate Partition, betrieben von chinesischen Unternehmen. AWS' China-Seite gibt an, dass „Beijing Sinnet Technology Co., Ltd. (Sinnet) operates and provides cloud services in Amazon Web Services China (Beijing) Region“, und dass „Ningxia Western Cloud Data Technology Co., Ltd. (NWCD) operates and provides cloud services in Amazon Web Services China (Ningxia) Region“. Amazon S3 ist einer der grundlegenden Dienste, die in beiden Regionen angeboten werden — aber sie zu erreichen, bedeutet, Sie „create an Amazon Web Services (China) Account, a set of credentials that are distinct and separate from other Amazon Web Services global Accounts“, und „Only customers with an Amazon Web Services (China) Account will be able to use resources in China regions“. | Amazon Web Services in China (amazonaws.cn), abgerufen 2026-10-08 |
Globales S3 kann die China-Partition nicht erreichen. Weil die China-Regionen eine separate Partition auf einem separaten Konto sind (oben), lebt ein Bucket auf Ihrem globalen S3 in welcher globalen AWS-Region auch immer Sie wählten — die globale S3-Regionsliste läuft von den Vereinigten Staaten über EMEA und Asien-Pazifik, einschließlich Hongkong, Tokio und Singapur, mit keiner Festlandchina-Region; cn-north-1 (Peking) und cn-northwest-1 (Ningxia) sitzen in der isolierten China-Partition. S3 Cross-Region Replication kopiert Objekte nur zwischen globalen Regionen, die Sie wählen, es einzuschalten, verteilt Ihre Daten also auf mehr Offshore-Regionen — es legt sie nicht auf chinesischen Boden. | Amazon Web Services in China (amazonaws.cn); AWS Regions and endpoints for Amazon S3, abgerufen 2026-10-08 |
| Einen öffentlich zugänglichen Workload in AWS China zu hosten, erfordert eine ICP-Beian. Auf derselben Seite gibt AWS die Regel nach chinesischem Recht an: „No one may engage in the provision of internet information services without having carried out record-filing procedures or obtained permission“. Eine nicht-kommerzielle Site braucht ein „ICP Recordal“ und eine kommerzielle eine „ICP License“, gemeldet über den Betreiber der Region — Sinnet für Peking, NWCD für Ningxia — das ICP-Regime nach Staatsratserlass Nr. 292 und MIIT-Erlass Nr. 33. Wie die ICP-Beian funktioniert → | Amazon Web Services in China (amazonaws.cn), abgerufen 2026-10-08; Staatsratserlass Nr. 292; MIIT-Erlass Nr. 33 |
| Objekte, die die personenbezogenen Daten von China-Nutzern halten und in einer Offshore-S3-Region sitzen, verlassen das Land. PIPL regelt diesen grenzüberschreitenden Transfer: Der Verarbeiter personenbezogener Daten (Sie, AWS' Kunde — nicht AWS) muss Mitteilung machen, eine gesonderte Einwilligung einholen und einen Transfermechanismus erfüllen — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung. Die Exponierung skaliert mit Menge und Rolle: Nach den Grenztransfer-Regeln der CAC vom März 2024 ist ein Nicht-Betreiber-kritischer-Informationsinfrastruktur, der weniger als 100.000 Personen nicht sensible personenbezogene Daten in einem Kalenderjahr transferiert, von allen dreien befreit. | PIPL Kapitel III, Art. 38–43; CAC — Regelungen zur Förderung und Regulierung grenzüberschreitender Datenflüsse, März 2024 |
| Für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen müssen in China erhobene personenbezogene Daten im Festland bleiben (Cybersicherheitsgesetz Art. 39 (vormals Art. 37); PIPL Art. 40). Eine Offshore-S3-Region kann das nicht erfüllen, die Objekte Ihrer China-Nutzer auf chinesischem Boden zu halten, bedeutet also, S3 in der Sinnet-/NWCD-China-Partition zu betreiben — und alles Öffentlich-Zugängliche von dort zu bedienen, bringt eine ICP-Beian ins Bild. | PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37) |
Quellen vom 21YunBox Compliance-Team am 8. Oktober 2026 geprüft.
Für ein Festland-China-Publikum ist die entscheidende Frage zu Amazon S3 nicht, wie schnell ein Objekt herunterlädt — sie ist, wo dieses Objekt sitzen darf. S3 läuft durchaus innerhalb des Festlands, aber nur in einer separaten AWS-Partition, die über eine chinesische Entität, ein eigenes China-Konto und, für öffentliche Workloads, eine ICP-Beian erreicht wird; halten Sie Ihre Buckets stattdessen auf globalem S3, dann bleiben die Objekte, die Sie für China-Nutzer halten, offshore. Das sind die zwei Türen, und AWS dokumentiert beide in seinen eigenen Worten.
Amazon S3 in China auf einen Blick
| Worüber es entscheidet | In AWS' eigenen Worten |
|---|---|
| Wo Ihre Objekte leben | Globales S3 speichert jeden Bucket in der AWS-Region, die Sie wählen. AWS' S3-Regionsliste läuft von den Vereinigten Staaten über EMEA und Asien-Pazifik — einschließlich Hongkong, Tokio und Singapur — trägt aber keine Festlandchina-Region; die gehören zu einer separaten China-Partition. |
| Replikation bleibt in der globalen Partition | S3 Cross-Region Replication kopiert Objekte zwischen den AWS-Regionen, die Sie wählen — alle offshore. Es repliziert nicht in die isolierte China-Partition, es einzuschalten, bewegt Objekte also nicht auf chinesischen Boden. |
| S3 im Inland existiert durchaus | S3 läuft in der Peking-Region „operated by Sinnet“ und der Ningxia-Region „operated by NWCD“ — eine eigene AWS-China-Partition, keine Region Ihres globalen Kontos. |
| Separates Konto & Entität | Diese Partition zu erreichen, braucht ein AWS-(China-)Konto „distinct and separate from other Amazon Web Services global Accounts“ und eine chinesische Geschäftslizenz; globale Credentials kreuzen nicht hinein, und ein öffentlich zugänglicher Workload braucht eine ICP-Beian. |
| Ihre Objekte auf globalem S3 | Personenbezogene Daten in Objekten, die Sie für China-Nutzer speichern, bleiben außerhalb des Festlands — ein grenzüberschreitender Transfer, den PIPL regelt, auf Infrastruktur, die nicht per ICP gemeldet werden kann. |
Tür eins — S3 in China ist eine separate, Sinnet-/NWCD-betriebene Partition
S3 läuft durchaus innerhalb Festlandchinas — aber nicht als Region des Kontos, das Sie bereits halten. Auf seiner China-Seite gibt AWS an, dass „Beijing Sinnet Technology Co., Ltd. (Sinnet) operates and provides cloud services in Amazon Web Services China (Beijing) Region“, und dass „Ningxia Western Cloud Data Technology Co., Ltd. (NWCD) operates and provides cloud services in Amazon Web Services China (Ningxia) Region“. Diese Regionen sind eine von globalem AWS abgemauerte Partition: Um irgendetwas in ihnen zu nutzen — S3 darunter —, müssen Sie „create an Amazon Web Services (China) Account, a set of credentials that are distinct and separate from other Amazon Web Services global Accounts“, und „Only customers with an Amazon Web Services (China) Account will be able to use resources in China regions“. Eins zu registrieren, ist an eine chinesische Geschäftslizenz gebunden; Ihre globalen Credentials und Ihre bestehenden Buckets kreuzen nicht hinein.
Einen öffentlich zugänglichen Workload aus dem Festland heraus zu bedienen, hängt dann von einer ICP-Beian ab. AWS legt die Regel auf derselben Seite unverblümt dar: „No one may engage in the provision of internet information services without having carried out record-filing procedures or obtained permission“, mit Sinnet und NWCD als den lizenzierten Anbietern, die ICP Recordal (für eine nicht-kommerzielle Site) und ICP License (für eine kommerzielle) in ihren Regionen unterstützen. „Wir halten bereits alles in S3“ trägt also nicht nach China: Die inländische Tür ist eine chinesische Entität, ein separates China-Konto und — für alles Öffentlich-Zugängliche — eine ICP-Beian nach Staatsratserlass Nr. 292 und MIIT-Erlass Nr. 33. Es ist eine echte Tür, aber ein eigener Build, kein Schalter am Konto, das Sie haben.
Tür zwei — globales S3 hält Ihre China-Objekte offshore
Halten Sie Ihre Buckets auf globalem S3, dann leben sie in welcher AWS-Region auch immer Sie wählten. S3s Regionsliste erstreckt sich von den Vereinigten Staaten über EMEA und Asien-Pazifik — Hongkong, Tokio, Singapur — trägt aber kein cn-north-1 oder cn-northwest-1, weil die in der separaten China-Partition sitzen. S3 Cross-Region Replication kopiert Objekte zwischen den Regionen, die Sie wählen, aber nur Regionen in der globalen Partition; es einzuschalten, verteilt Ihre Objekte auf mehr Offshore-Regionen — es legt sie nicht auf chinesischen Boden.
Und die personenbezogenen Daten in diesen Objekten sitzen in dieser Offshore-Region. Nach Chinas Gesetz zum Schutz personenbezogener Daten ist das ein grenzüberschreitender Transfer: Der Verarbeiter — Sie, AWS’ Kunde, nicht AWS — muss Mitteilung machen, eine gesonderte Einwilligung einholen und einen Transfermechanismus erfüllen (eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung). Für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen müssen in China erhobene personenbezogene Daten im Festland gespeichert werden (Cybersicherheitsgesetz Art. 39 (vormals Art. 37); PIPL Art. 40) — was eine Offshore-S3-Region nicht kann, und ein Offshore-Endpunkt kann nicht per ICP gemeldet werden.
Dies ist eine Risikokarte, kein Urteil: Welche Tür passt, hängt von Ihrer Gesellschaft, Ihren Objekten und davon ab, wer Ihre Nutzer sind, und es lohnt, es mit Rechtsbeistand zu bestätigen.
Wo 21YunBox hineinpasst — eine rechtskonforme Overlay, keine Migration
Sie bauen weiter auf S3 — global oder den Sinnet-/NWCD-China-Regionen. Wir fügen das Stück hinzu, das AWS Ihnen selbst zu arrangieren überlässt: rechtskonforme, ICP-gemeldete Auslieferung aus dem Festland heraus, vor Ihren bestehenden Origin gesetzt — ohne Neuaufbau, ohne zweite Codebasis und ohne erzwungenen Wechsel zwischen Partitionen. Unser China-Team kartiert, welche Tür passt, schätzt Ihre PIPL-Grenzübertritts- und Datenresidenz-Exponierung für Ihre Gesellschaft und Objektmengen ein und setzt die inländische Auslieferung und Speicherung auf, die eine rechtskonforme China-Präsenz verlangt.
Compliance-Einschätzung anfordern →
Weiterführend:
Häufige Fragen
Speichert S3 die Daten chinesischer Nutzer in China?
Nicht auf Ihrem globalen Konto. Globales S3 hält jeden Bucket in der AWS-Region, die Sie wählen, und die globale Partition hat keine Festlandchina-Region; Cross-Region Replication kopiert Objekte nur zwischen diesen Offshore-Regionen. S3 läuft durchaus in China, aber in den separaten, Sinnet-/NWCD-betriebenen AWS-China-(Peking- und Ningxia-)Regionen — einer Partition, die Ihre globalen Credentials und globalen Buckets nicht erreichen.
Ist es illegal, S3 für China-Nutzer zu nutzen?
Nicht von sich aus. Das Problem ist der grenzüberschreitende Transfer der personenbezogenen Daten in Ihren Objekten, den PIPL erlaubt, wenn Sie Mitteilung machen, eine gesonderte Einwilligung einholen und einen seiner Transfermechanismen erfüllen. Ob Sie zudem einer Datenlokalisierungspflicht gegenüberstehen, hängt von Ihrer Rolle (zum Beispiel, ob Sie ein Betreiber kritischer Informationsinfrastruktur sind) und der Menge personenbezogener Daten ab, die Sie handhaben. Behandeln Sie dies als ein mit Rechtsbeistand zu bewertendes Risiko, nicht als pauschales Verbot.
Kann 21YunBox helfen, unser S3-Setup in China rechtskonform zu machen?
Ja. Unser China-Team kann Ihre Grenzübertritts- und Datenresidenz-Exponierung für Ihre Objektmengen und Rolle einschätzen und die rechtskonforme, ICP-gemeldete inländische Auslieferung aufsetzen — und, wo das Recht verlangt, dass die Objekte Ihrer China-Nutzer im Festland bleiben, den inländischen Speicherungsweg —, während Ihre Anwendung dort weiterläuft, wo sie es bereits tut. Melden Sie sich, um Ihren konkreten Fall durchzugehen.
