Funktioniert Bitbucket in China? Datenresidenz, Lokalisierung & PIPL-Grenzübertritt
Bitbucket Cloud läuft auf Atlassians AWS-Infrastruktur in den Vereinigten Staaten ohne Festlandchina-Region, und Atlassian hat die Datenresidenz von Bitbucket Cloud auf 2026 verschoben — Repositories, Pipelines-Logs und Secrets ruhen also offshore. Ein Blick zuerst auf die Compliance: Bitbucket-Datenresidenz, Lokalisierung und PIPL-Grenzübertritt.
Funktioniert Bitbucket in China?
Bitbucket erreicht China; die Compliance-Frage ist, wo Ihr Code und Ihre Secrets zur Ruhe kommen — und auf Bitbucket Cloud sind das die Vereinigten Staaten, ohne eine Festlandchina-Region zu wählen.
Atlassian hat die Datenresidenz von Bitbucket Cloud auf 2026 verschoben — die ersten neuen geplanten Standorte sind die Europäische Union (Dezember 2026) und Indien (Juni 2027), und Festlandchina steht nicht auf dieser Roadmap —, Repositories, Bitbucket-Pipelines-Logs, Build-Artefakte und Pipeline-Secrets ruhen also offshore auf Atlassians AWS-Infrastruktur. Quellcode trägt routinemäßig eingebettete Anmeldedaten und personenbezogene Daten in Configs, Fixtures und Commit-Historie, die Repositories eines China-Teams offshore zu halten, ist also ein Grenztransfer nach PIPL obendrauf auf der Geschäftsgeheimnis-Exponierung, und ein Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen schuldet Inland-Speicherung, die ein Offshore-SaaS nicht erfüllen kann. Atlassian selbst empfiehlt Bitbucket Data Center — die selbstverwaltete Edition, die Sie auf Ihrer eigenen Infrastruktur betreiben, auch im Festland — für Kunden mit strikten Residenz-Anforderungen.
Dies ist eine Risikokarte, kein Urteil — Ihre Pflichten hängen von Ihrer Gesellschaft, Ihren Datenmengen und davon ab, wer Ihre Nutzer sind. Unser China-Team kann Ihre Exponierung kartieren →
Compliance-Momentaufnahme
- ✕ Keine Festlandchina-Region für Bitbucket Cloud — Regionsauswahl auf 2026 verschoben
- ! Bitbucket Cloud hält Repos, Pipelines-Logs und Secrets auf AWS in den USA
- ! Quellcode hält Secrets und Personendaten — offshore ist das ein PIPL-Grenztransfer
- ! Betreiber kritischer Informationsinfrastruktur / Verarbeiter großer Mengen schulden In-China-Speicherung, die Bitbucket Cloud nicht erfüllen kann
- ! Atlassian selbst verweist Kunden mit strikter Residenz auf Bitbucket Data Center
- ✓ Bitbucket Data Center im Inland selbst hosten; ICP-gemeldete Auslieferung für China-Nutzer
Was die offizielle Bitbucket-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| Bitbucket Cloud hat heute keine Regionsauswahl — Atlassian verschob die Datenresidenz auf 2026. In Atlassians Roadmap-Update vom August 2024 heißt es: „For customers who have a strict requirement for data residency, we recommend continuing to use Bitbucket Data Center.“ Die ersten geplanten Standorte sind die Europäische Union (Dezember 2026) und Indien (Juni 2027); keine Festlandchina-Region steht auf der Roadmap, Repositories, Pipelines-Logs und Secrets ruhen also auf Atlassians AWS-Infrastruktur in den Vereinigten Staaten. | Atlassian, 'Roadmap update: Support for data residency in Bitbucket Cloud is postponed' (atlassian.com), abgerufen 2026-10-10 |
| Atlassians Datenresidenz-Feature deckt Bitbucket nicht ab, und keiner seiner Standorte ist China. Atlassians Datenresidenz-Dokumentation listet die abgedeckten Produkte als „Jira, Jira Service Management, Jira Product Discovery, Confluence, and Loom“ — Bitbucket fehlt. Die angebotenen Standorte sind Global, Australien, Kanada, EU, Deutschland, Indien, Japan, Singapur, Südkorea, Schweiz, Vereinigtes Königreich und USA; es gibt keinen Festlandchina-Standort auszuwählen. | Atlassian Support, 'Understand data residency' (support.atlassian.com), abgerufen 2026-10-10 |
| Der Code eines China-Teams offshore gehalten ist ein Grenztransfer personenbezogener Daten nach PIPL. Wo Repositories, Pipelines-Logs oder Issue-Tickets personenbezogene Daten enthalten — Namen und E-Mails in der Commit-Historie, echte Daten in Test-Fixtures —, ist es sie auf Bitbucket Clouds US-Infrastruktur zu speichern ein Grenztransfer, den PIPL Art. 38–40 regeln: Mitteilung, gesonderte Einwilligung und ein rechtmäßiger Mechanismus (eine CAC-Sicherheitsbewertung, der Standardvertrag oder eine Zertifizierung), obendrauf auf der Geschäftsgeheimnis-Exponierung, Quellcode offshore zu platzieren. | Personal Information Protection Law (PIPL), Art. 38–40, abgerufen 2026-10-10 |
| Betreiber kritischer Informationsinfrastruktur und Verarbeiter großer Mengen schulden eine Inland-Speicherpflicht, die ein Offshore-SaaS nicht erfüllen kann. Ein Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen muss China-Personendaten im Festland halten — PIPL Art. 40 und Cybersicherheitsgesetz Art. 39 (vormals Art. 37) (die 2025er Novelle, in Kraft seit 1. Januar 2026, nummerierte den Datenlokalisierungsartikel von 37 auf 39 um, inhaltlich unverändert). Eine Bitbucket-Cloud-Instanz, die in den USA ruht, kann sie nicht erfüllen; ein selbstverwaltetes Bitbucket Data Center auf Festland-Infrastruktur kann. | PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37), abgerufen 2026-10-10 |
Quellen vom 21YunBox Compliance-Team am 10. Oktober 2026 geprüft.
Für ein Festland-China-Engineering-Team ist die entscheidende Frage zu Bitbucket nicht, ob ein Repository klont oder ein git push den Server erreicht. Sie ist, wo der Code und die Secrets, die Bitbucket hält, zur Ruhe kommen dürfen. Bitbucket ist Atlassians Quellcode- und CI-Plattform — Git-Repositories plus Bitbucket Pipelines —, und Quellcode-Verwaltung hält die sensibelsten Assets eines Unternehmens: proprietären Quellcode, die Anmeldedaten und Schlüssel, eingebettet in Configs, Fixtures und Pipeline-Einstellungen, Build-Logs und Artefakte, und die personenbezogenen Daten, die in der Commit-Historie, in Issues und Testdaten landen. Auf Bitbucket Cloud, der verwalteten Edition, ruhen diese Daten auf Atlassians AWS-Infrastruktur in den Vereinigten Staaten — es gibt keine Festlandchina-Region auszuwählen, und Atlassian hat die Datenresidenz von Bitbucket Cloud auf 2026 verschoben. Die selbstverwaltete Edition, Bitbucket Data Center, ist residenz-flexibel: Sie können sie auf Festland-Infrastruktur betreiben und diesen Code im Inland halten.
Bitbucket in China auf einen Blick
| Worüber es entscheidet | In Bitbuckets eigenen Worten — und nach chinesischem Recht |
|---|---|
| Wo die Daten physisch ruhen (die Regions-Realität) | Bitbucket Cloud läuft auf Atlassians AWS-Infrastruktur in den Vereinigten Staaten und bietet heute keine Regionsauswahl — Atlassian verschob die Datenresidenz von Bitbucket Cloud auf 2026 (die Europäische Union zuerst im Dezember 2026, dann Indien im Juni 2027; keine Festlandchina-Region geplant). Festland-Kapazität existiert nur, wo Sie Bitbucket Data Center auf Ihrer eigenen inländischen Infrastruktur selbst hosten. |
| Was Bitbucket hält, und warum es personenbezogene Daten sind | Ein Quellcode- und CI-System hält proprietären Quellcode (ein Geschäftsgeheimnis), die in Configs, Fixtures und Pipelines-Einstellungen eingebetteten Anmeldedaten, Tokens und API-Schlüssel, Build-Logs und Artefakte, und personenbezogene Daten, die in der Commit-Historie, in Issue-Tickets und Test-Fixtures landen — Namen, E-Mails und manchmal echte Kundendaten. Wo es ruht, ist also eine rechtliche Frage, keine Performance-Frage. |
| Die Datensätze Ihrer China-Nutzer, wenn die Repositories offshore sind | Die Repositories, Pipelines-Logs oder Tickets eines China-Teams — mit personenbezogenen Daten darin — auf Bitbucket Clouds US-Infrastruktur zu halten, bedeutet, einen Grenztransfer nach PIPL (Art. 38–40) zu machen: Mitteilung, gesonderte Einwilligung und ein Transfermechanismus — eine CAC-Sicherheitsbewertung, der Standardvertrag oder eine Zertifizierung — obendrauf auf der Geschäftsgeheimnis-Exponierung. |
| Die Inland-Speicherpflicht (Betreiber kritischer Informationsinfrastruktur / Verarbeiter großer Mengen) | Ein Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen muss die China-Personendaten im Festland halten (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37) — die 2025er Cybersicherheitsgesetz-Novelle, in Kraft seit 1. Januar 2026, nummerierte den Datenlokalisierungsartikel von 37 auf 39 um, inhaltlich unverändert). Eine Offshore-Bitbucket-Cloud-Instanz kann das strukturell nicht. |
| Erreichbarkeit ist nicht die Achse (und die auf China ausgerichtete Oberfläche) | Ob Bitbucket aus China erreichbar ist, ist eine Auslieferungssache, nicht der rechtliche Test; die Residenz des Codes, der Secrets und der Logs ist es. Die rechtmäßigen Hebel sind, Bitbucket Data Center im Inland zu betreiben und jede auf China ausgerichtete Oberfläche — Ihr selbst gehostetes Bitbucket, Entwickler- und CI-Portale — auf ICP-gemeldete Auslieferung zu setzen. |
Wo der Code und die Secrets tatsächlich ruhen
Wenn Sie Bitbucket Cloud nutzen, wählen Sie keine Region — Atlassian betreibt den Dienst auf seiner AWS-Infrastruktur, und für Bitbucket ist diese Infrastruktur in den Vereinigten Staaten. Anders als Jira und Confluence, die von Atlassians Datenresidenz-Feature abgedeckt sind (Fixierung auf Global, Australien, Kanada, EU, Deutschland, Indien, Japan, Singapur, Südkorea, Schweiz, das Vereinigte Königreich oder die USA), ist Bitbucket nicht davon abgedeckt — und keiner dieser Standorte ist ohnehin China. In seinem Roadmap-Update vom August 2024 sagte Atlassian klar, es habe „postponed our plans to build support for data residency in Bitbucket Cloud until 2026“, mit den ersten neuen Standorten der Europäischen Union (Dezember 2026) und Indien (Juni 2027). Festlandchina steht nicht auf dieser Roadmap.
Jedes Repository, jeder Pipelines-Lauf, jedes Build-Log, jedes Artefakt und jedes gespeicherte Secret auf Bitbucket Cloud ruht also offshore. Atlassian selbst zieht den Schluss für strikte Fälle: „For customers who have a strict requirement for data residency, we recommend continuing to use Bitbucket Data Center.“ Das ist die selbstverwaltete Edition — die Software, die Sie auf Ihrer eigenen Infrastruktur installieren und betreiben, auch auf Servern innerhalb Festlandchinas. Sie ist von Natur aus residenz-flexibel: Der Code ruht, wo immer Sie ihn bereitstellen.
Ein Wort zur Dauerhaftigkeit, denn ein Self-Host-Hebel ist nur dann bauwürdig, wenn er hält. Bitbucket Server, das ältere selbstverwaltete Produkt, erreichte am 15. Februar 2024 das Support-Ende. Bitbucket Data Center ist anders: Atlassian hat erklärt, dass, anders als andere Atlassian-Data-Center-Produkte, die am 28. März 2029 das End of Life erreichen, „Bitbucket and Bamboo Data Center will not end of life and will continue beyond the Data Center end of life in 2029“. Bestehende Bitbucket-Data-Center-Lizenzen bleiben bis zum 28. März 2029 verfügbar, danach verkauft Atlassian es über die Bitbucket Hybrid License. Der selbst gehostete, inländische Hebel ist daher dauerhaft — bestätigen Sie Ihren Lizenzweg mit Atlassian, aber das Deployment-Modell, das Sie brauchen, verschwindet nicht.
Was es hält, sind personenbezogene Daten
Eine Quellcode-Plattform ist kein Cache oder ein CDN-Edge — sie ist der kanonische Speicher der Kronjuwelen Ihrer Engineering-Organisation. Ein Bitbucket-Repository hält proprietären Quellcode, und daneben die Dinge, die routinemäßig in der Versionskontrolle landen: Datenbank-Anmeldedaten und API-Schlüssel in Config- und Umgebungsdateien, Tokens in CI-Pipeline-Einstellungen, und personenbezogene Daten in Test-Fixtures, Seed-Daten, Commit-Metadaten und Issue-Tickets — Namen, E-Mails und manchmal echte, beim Testen verwendete Kundendatensätze. Bitbucket Pipelines fügt Build-Logs, Artefakte und Deployment-Secrets zum Stapel hinzu.
Deshalb ist Residenz, nicht Erreichbarkeit, der Test. Wenn irgendeine dieser personenbezogenen Daten Personen in China gehört und in einer Offshore-Bitbucket-Cloud-Instanz ruht, machen Sie einen Grenztransfer, und PIPL Art. 38–40 regeln ihn: Mitteilung, gesonderte Einwilligung und ein rechtmäßiger Transfermechanismus — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung. Die Sicherheitsbewertungs-Maßnahmen setzen fest, wann diese Bewertung verpflichtend statt optional ist. Die Geschäftsgeheimnis-Exponierung, Ihren Quellcode im Ausland zu platzieren, sitzt oben auf all dem.
Oben auf den Transferregeln sitzt eine härtere Pflicht. Ein Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen muss China-Personendaten innerhalb des Festlands speichern — PIPL Art. 40 und die Datenlokalisierungsregel in Cybersicherheitsgesetz Art. 39 (vormals Art. 37). Eine Bitbucket-Cloud-Instanz in den Vereinigten Staaten kann eine Inland-Speicherpflicht nicht erfüllen, weil die Daten per Definition nicht im Land sind.
Es auf einem managed Service ohne China-Region zu betreiben, erfüllt die Residenzpflicht nicht — und was es tut
Die Lösung ist nicht, einen Offshore-Bitbucket-Cloud-Endpunkt aus China erreichbar zu machen. Erreichbarkeit war nie das Problem; Residenz ist es. Wenn Ihre Pflichten verlangen, dass China-Personendaten — und der Quellcode und die Secrets, die sie umschließen — im Festland bleiben, ist der rechtmäßige Hebel, Bitbucket im Inland zu betreiben: Bitbucket Data Center, selbstverwaltet auf Festland-Infrastruktur, sodass Repositories, Pipelines-Secrets, Build-Logs und Artefakte innerhalb des Landes ruhen. Das ist genau der Weg, auf den Atlassian Kunden mit strikter Residenz verweist.
Entscheidend: Dies ist keine Migration weg von Bitbucket. Sie behalten Bitbucket; Sie platzieren die selbstverwaltete Edition dort, wo das Gesetz sagt, dass die Daten leben müssen, und setzen die auf China ausgerichteten Oberflächen, die Ihre Entwickler erreichen — die Bitbucket-Web-UI, Entwickler-Portale, CI-Dashboards und Artefakt-Endpunkte — auf ICP-gemeldete, inländische Auslieferung vor dem Stack, den Sie bereits betreiben. Lokalisieren heißt ein inländisches Deployment, kein Weg zurück zu einem Offshore-Endpunkt.
Diese Seite kartiert Exponierung; sie ist kein Rechtsurteil. Ihre tatsächlichen Pflichten hängen von Ihrer Gesellschaft ab, davon, wie Sie die Daten in Ihren Repositories klassifizieren, von Ihren Transfervolumina und davon, ob Sie ein Betreiber kritischer Informationsinfrastruktur sind — klären Sie diese Details also mit qualifiziertem China-Rechtsbeistand, bevor Sie sich auf irgendeinen einzelnen Weg verlassen.
Der rechtmäßige Weg — kartieren, lokalisieren, ausliefern
21YunBox ist eine rechtskonforme Overlay, keine Migration — und eine Partnerin von Atlassian und Ihrem Plattform-Team, keine Konkurrentin.
- Kartieren. Wir lesen die PIPL-Grenzübertritts-, Datenresidenz-, Datenlokalisierungs-(CII-) und ICP-Pflichten gegen Ihre Gesellschaft, Ihre Datenmengen und darauf ab, wessen personenbezogene Daten tatsächlich in Ihren Repositories, Tickets und Pipelines sitzen — sodass Sie wissen, welche Pflichten greifen, bevor Sie etwas bewegen.
- Lokalisieren. Wir betreiben Bitbucket im Inland, sodass der Code, die Secrets und die Logs auf Festland-Boden bleiben — Bitbucket Data Center selbstverwaltet auf Festland-Infrastruktur — und halten eingewilligte, inländische Speicherung für das, was bleiben muss. Für einen managed Service ohne China-Region heißt lokalisieren, ein rechtmäßiges inländisches Äquivalent aufzusetzen, keinen verschleierten Weg zum Offshore-Endpunkt.
- Ausliefern. Jede auf China ausgerichtete Oberfläche vor Ihren Repositories — die Bitbucket-Web-UI, Entwickler-Portale, CI-Dashboards und Artefakt-Endpunkte, die Ihre Festland-Entwickler ansteuern — läuft über ICP-gemeldete, inländische Auslieferung (der 21YunBox Optimizer), vor dem Stack, den Sie bereits betreiben. Kein Neuaufbau, keine zweite Codebasis.
Das Ergebnis ist ein Quellcode- und CI-Setup, das für Ihre Nutzer in China rechtmäßig und rechtskonform läuft. 21YunBox verwendet und empfiehlt keine Umgehung welcher Art auch immer.
Compliance-Einschätzung anfordern →
Weiterführend
- Grenzüberschreitende Datentransfers nach PIPL
- Chinas Cybersicherheitsgesetz und Datenlokalisierung
- Chinas Datenexport-Sicherheitsbewertungsmaßnahmen
- So erhalten Sie eine ICP-Beian für eine Website in China
Häufige Fragen
Ist Bitbucket in China gesperrt?
Nein — dies ist eine Residenzfrage, keine Erreichbarkeitsfrage. Bitbucket Cloud ist aus dem Festland im Allgemeinen erreichbar, und Bitbucket Data Center läuft, wo immer Sie es bereitstellen. Die Compliance-Exponierung ist, dass Bitbucket Cloud Ihre Repositories, Pipelines-Logs und Secrets offshore speichert (derzeit die Vereinigten Staaten), wo die Datenresidenz- und PIPL-Grenzübertritts-Fragen entstehen — nicht ob ein git push sich verbindet.
Bietet Bitbucket Cloud eine China-Datenresidenz-Region?
Nein. Atlassian hat die Datenresidenz von Bitbucket Cloud auf 2026 verschoben, und die ersten geplanten Standorte sind die Europäische Union (Dezember 2026) und Indien (Juni 2027) — Festlandchina steht nicht auf der Roadmap. Atlassians bestehendes Datenresidenz-Feature deckt Jira, Jira Service Management, Jira Product Discovery, Confluence und Loom ab, nicht Bitbucket, und bietet keinen China-Standort. Für strikte Residenz-Anforderungen empfiehlt Atlassian selbst Bitbucket Data Center.
Was ist der rechtmäßige Weg, den Code eines China-Teams im Inland zu halten?
Betreiben Sie Bitbucket Data Center — die selbstverwaltete Edition — auf Festlandchina-Infrastruktur, sodass Repositories, Pipelines-Secrets und Build-Artefakte im Inland ruhen, und setzen Sie jede auf China ausgerichtete Oberfläche (Ihr selbst gehostetes Bitbucket, Entwickler-Portale, CI-Dashboards) auf ICP-gemeldete, inländische Auslieferung. Bitbucket Server wurde im Februar 2024 eingestellt, aber Atlassian hat bestätigt, dass Bitbucket Data Center kein End of Life erreicht und über das breitere 2029-Data-Center-End-of-Life hinaus fortbesteht, mit Umstellung auf das Bitbucket-Hybrid-License-Modell — der Self-Host-Hebel bleibt also dauerhaft. 21YunBox kartiert die Exponierung und setzt diesen inländischen Weg auf, ohne Sie von Bitbucket wegzumigrieren.
