Funktioniert Cloudflare Turnstile in China? Grenz-Datenrisiko
Turnstile liest Besucher-Signale und bewertet sie auf Cloudflares Netzwerk, das Cloudflare zufolge Turnstile nicht in Festlandchina betreibt. Ein Compliance-zuerst-Blick auf die PIPL-Grenzübertritts-Frage.
Funktioniert Cloudflare Turnstile in China?
Cloudflare Turnstile wird als die datenschutzfreundliche CAPTCHA-Alternative vermarktet, aber es für Festlandchina-Besucher zu nutzen, ist zuerst eine Grenz-Personendaten-Frage — und zweitens eine Auslieferungsfrage. Die Signale, die es liest, um Menschen von Bots zu unterscheiden, werden auf Cloudflares Netzwerk bewertet, das Cloudflare selbst sagt, Turnstile nicht innerhalb Festlandchinas zu betreiben.
Nach Cloudflares eigener Dokumentation führt Turnstile „client-side security challenges … proof-of-work … probing for web APIs, and various other challenges for detecting browser-quirks and human behavior“ aus und „processes only the data strictly necessary“ für diese Prüfung. Diese Geräte- und Browser-Signale werden auf Cloudflares Netzwerk bewertet — und Cloudflares China-Network-Docs geben klar an, dass „Turnstile is not supported in Mainland China“. Die Signale verlassen also das Festland, um im Ausland bewertet zu werden: ein Grenztransfer personenbezogener Daten, den PIPL regelt, der Mitteilung, gesonderte Einwilligung und einen Transfermechanismus braucht, mit inländischer Speicherung, sobald Sie ein Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen sind. Die Tabelle unten ist Cloudflares eigener Wortlaut und die Regeln, die es auslöst.
Dies ist ein Risikobild, kein Urteil — Ihre Pflichten hängen von Ihren Datenmengen und Ihrer Rolle ab, und von einem CAPTCHA zu einem „privacy-first“ zu wechseln, klärt nicht, wo die Signale verarbeitet werden. Unser China-Team kann Ihre Exponierung mit Ihnen kartieren →
Compliance-Momentaufnahme
- ! Privacy-first per Design — aber es liest weiterhin Geräte- und Browser-Signale
- ! Diese Signale werden auf Cloudflares Netzwerk im Ausland bewertet — Grenz-PI nach PIPL
- ✕ Cloudflares eigene Docs: Turnstile „is not supported in Mainland China“
- ! Auslieferung ist auch wacklig — Produktseite lud auf einer In-China-Leitung nicht fertig (gemessen)
- ✓ Ein gangbarer Weg existiert — den Transfer bewerten, Menschen im Inland verifizieren
Was die offizielle Cloudflare Turnstile-Dokumentation sagt — und was wir aus Festlandchina gemessen haben
| Fakt | Primärquelle |
|---|---|
| In Cloudflares eigener Turnstile-Dokumentation: Turnstile „performs client-side security challenges … to distinguish human visitors from automated traffic“, mit „proof-of-work (computational puzzles), proof-of-space, probing for web APIs, and various other challenges for detecting browser-quirks and human behavior“. Cloudflare sagt, es „processes only the data strictly necessary to provide this security function“ und „does not access, store, or transmit user communications, form entries, or other page inputs“. Selbst minimiert, sind das Geräte- und Browser-Signale, von jedem Besucher gelesen und von Cloudflare bewertet — die datenschutzwahrende Rahmung verengt, was erhoben wird, nicht wo es verarbeitet wird (21YunBox-Hinweis). | Cloudflare — Turnstile Frequently Asked Questions (developers.cloudflare.com/turnstile), abgerufen 2026-10-07 |
| Cloudflares eigene China-Network-Dokumentation gibt an: „Turnstile is not supported in Mainland China.“ Turnstile erscheint nicht in Cloudflares Liste der Produkte, die auf dem China Network verfügbar sind — den JD-Cloud-betriebenen Rechenzentren innerhalb des Festlands. Weil Cloudflare keine inländische Option für Turnstile bietet, wird die Challenge von Cloudflares Netzwerk außerhalb Festlandchinas bedient und die Besucher-Signale werden darauf bewertet; es gibt keine Cloudflare-Konfiguration, die diese Verarbeitung innerhalb des Festlands hält (21YunBox-Schlussfolgerung). | Cloudflare — China Network FAQ and Available Products, abgerufen 2026-10-07 |
| Weil diese Signale außerhalb Festlandchinas bewertet werden, behandelt PIPL es als eine grenzüberschreitende Bereitstellung personenbezogener Daten. Der Verarbeiter — der Website-Betreiber, der Turnstile einsetzt, nicht Cloudflare — muss Mitteilung geben, gesonderte Einwilligung einholen und einen von PIPLs Mechanismen erfüllen: eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag, eine Zertifizierung oder eine andere zulässige Grundlage. | PIPL Chapter III, Articles 38–40 (cross-border provision of personal information) |
| Die Exponierung skaliert mit Volumen und Rolle, nicht bloß mit der Nutzung des Werkzeugs: Seit den Grenzübertritts-Regeln der CAC vom März 2024 ist ein Nicht-Betreiber-kritischer-Informationsinfrastruktur, der in einem Kalenderjahr die nicht sensiblen personenbezogenen Daten von weniger als 100.000 Personen überträgt, von der Sicherheitsbewertung, dem Standardvertrag und der Zertifizierung befreit. Für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen müssen in China erhobene personenbezogene Daten im Festland gespeichert werden (CSL Art. 39 (vormals Art. 37); PIPL Art. 40) — und weil Cloudflare sagt, Turnstile werde in Festlandchina nicht unterstützt, bedeutet das zu erfüllen, den Menschen-Verifizierungs-Schritt und seine Datensätze selbst innerhalb des Festlands aufzustellen, was der Akt ist, der eine ICP-Beian erfordert. | CAC — Provisions on Promoting and Regulating Cross-border Data Flows, March 2024; CSL Article 39 (formerly Article 37); PIPL Article 40 |
Auslieferung ist auch unzuverlässig, was das sekundäre Problem ist. Cloudflares Turnstile-Produktseite (cloudflare.com/products/turnstile) wurde von einer Sonde innerhalb Festlandchinas (Alibaba Cloud cn-zhangjiakou) am 2026-08-28 abgefragt: Die ersten Bytes kamen schnell an (ungefähr 0,7–1,3 s), aber keiner von drei Läufen lud innerhalb von 60 Sekunden fertig, mit jeweils 7–10 übrig gebliebenen hängenden Subressourcen. Dies ist eine Rechenzentrums-Leitung — eine untere Grenze, kein Worst Case — und es misst die Auslieferung der Produktseite, nicht den Widget-Endpunkt selbst. Ein Verifizierungs-Schritt, der nie fertig lädt, ist ein Schritt, dessen Button nie aktiviert. | 21YunBox — China delivery measurement, measured from inside mainland China (probe: Alibaba Cloud cn-zhangjiakou), 2026-08-28 |
Quellen vom 21YunBox Compliance-Team am 7. Oktober 2026 geprüft.
Ob Cloudflare Turnstile für Festlandchina-Besucher „funktioniert“, ist eine Grenz-Datenfrage, bevor es eine Performance-Frage ist. Turnstile wird als das datenschutzfreundliche CAPTCHA vermarktet — es liest weniger Signale als eine traditionelle Challenge —, aber es liest weiterhin Geräte- und Browser-Signale von jedem Besucher, und es bewertet sie auf Cloudflares Netzwerk. Nach Cloudflares eigener Dokumentation betreibt dieses Netzwerk Turnstile nicht innerhalb des Festlands. Die Signale verlassen China also, um im Ausland bewertet zu werden, und die Datenschutz-Rahmung klärt, was erhoben wird, nicht wo es verarbeitet wird.
Cloudflare Turnstile in China auf einen Blick
| Worüber es entscheidet | In Cloudflares eigenen Worten |
|---|---|
| Was es liest | Turnstile führt „proof-of-work (computational puzzles), proof-of-space, probing for web APIs, and various other challenges for detecting browser-quirks and human behavior“ aus — Geräte- und Browser-Signale, von jedem Besucher gelesen. |
| Wie viel es liest | Cloudflare sagt, es „processes only the data strictly necessary“ und „does not access, store, or transmit user communications, form entries, or other page inputs“. Die Datenschutz-Rahmung verengt, was erhoben wird. |
| Wo es läuft | Auf Cloudflares Netzwerk. Seine China-Network-Docs geben an „Turnstile is not supported in Mainland China“, es gibt also keine inländische Option (siehe die Seite oben). |
| Was das auslöst | Signale, die im Ausland bewertet werden, sind eine grenzüberschreitende Bereitstellung personenbezogener Daten, die PIPL regelt — Mitteilung, gesonderte Einwilligung und ein Transfermechanismus, mit inländischer Speicherung, sobald Sie ein Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen sind. |
| Es aus China zu erreichen | Unzuverlässig: In einer Messung von innerhalb des Festlands lud Cloudflares Turnstile-Produktseite bei keinem von drei Läufen innerhalb von 60 Sekunden fertig (Methode unten). |
Die Privacy-first-Rahmung dreht sich darum, was es erhebt, nicht wo es läuft
Turnstile fragt tatsächlich weniger ab als ein traditionelles CAPTCHA. In Cloudflares eigenen Worten führt es „client-side security challenges … to distinguish human visitors from automated traffic“ durch, mit „proof-of-work (computational puzzles), proof-of-space, probing for web APIs, and various other challenges for detecting browser-quirks and human behavior“, und es „processes only the data strictly necessary to provide this security function“ und „does not access, store, or transmit user communications, form entries, or other page inputs“.
Das ist ein wirklich kleinerer Datenfußabdruck — aber jede dieser Prüfungen liest weiterhin Geräte- und Browser-Signale vom Besucher, und Cloudflare bewertet sie auf seinem eigenen Netzwerk. Zu minimieren, was erhoben wird, ändert nicht, wo es verarbeitet wird, und für einen Festlandchina-Besucher ist es die zweite Frage, an der Chinas Recht hängt.
Nach Cloudflares eigener Dokumentation läuft Turnstile außerhalb des Festlands
Cloudflare betreibt ein China Network — Rechenzentren innerhalb des Festlands, betrieben von einem lokalen Partner —, aber Turnstile ist keines der Produkte, die es dort anbietet. Cloudflares eigene China-Network-Dokumentation gibt klar an, dass „Turnstile is not supported in Mainland China“ (die Seite oben), und Turnstile erscheint nicht in seiner Liste der China-Network-Produkte.
Weil Cloudflare keine inländische Option für Turnstile bietet, wird die Challenge von — und die Signale jedes Besuchers werden bewertet auf — Cloudflares Netzwerk außerhalb des Festlands bedient. Es gibt keine Cloudflare-Einstellung, die diese Verarbeitung innerhalb Chinas hält (21YunBox-Schlussfolgerung aus Cloudflares Dokumentation). Diese einzelne Tatsache ist, was ein Bot-Erkennungs-Widget in eine Grenz-Datenfrage verwandelt.
Das macht es zu einem Grenztransfer, den PIPL regelt
Sobald die Signale außerhalb des Festlands bewertet werden, behandelt Chinas Gesetz zum Schutz personenbezogener Daten das Einsetzen von Turnstile für China-Besucher als eine grenzüberschreitende Bereitstellung personenbezogener Daten. Der Verarbeiter — der Website-Betreiber, der Turnstile anschaltet, nicht Cloudflare — muss Mitteilung geben, gesonderte Einwilligung einholen und einen von PIPLs Mechanismen erfüllen: eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung.
Die Exponierung skaliert mit Volumen und Rolle, nicht bloß mit dem Wechsel von CAPTCHAs. Seit den Grenzübertritts-Regeln der CAC vom März 2024 ist ein Nicht-Betreiber-kritischer-Informationsinfrastruktur, der in einem Kalenderjahr die nicht sensiblen personenbezogenen Daten von weniger als 100.000 Personen überträgt, von der Bewertung, dem Standardvertrag und der Zertifizierung befreit. Aber für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen müssen in China erhobene personenbezogene Daten im Festland gespeichert werden (Cybersicherheitsgesetz Art. 39 (vormals Art. 37); PIPL Art. 40) — und weil Cloudflare Turnstile im Festland nicht unterstützt, bedeutet das zu erfüllen, den Menschen-Verifizierungs-Schritt und seine Datensätze selbst innerhalb Chinas aufzustellen, was der Akt ist, der eine ICP-Beian auslöst.
Auslieferung ist auch wacklig — das sekundäre Problem
Erreichbarkeit ist hier die Zweitrangigkeits-Frage, nicht die Schlagzeile. Cloudflares Turnstile-Produktseite (cloudflare.com/products/turnstile) wurde von einer Sonde innerhalb Festlandchinas (Alibaba Cloud cn-zhangjiakou) am 2026-08-28 abgefragt: Die ersten Bytes kamen schnell an — ungefähr 0,7–1,3 Sekunden —, aber keiner von drei Läufen lud innerhalb von 60 Sekunden fertig, mit jeweils 7–10 übrig gebliebenen hängenden Subressourcen. Dies ist eine Rechenzentrums-Leitung, es ist also eher eine untere Grenze als ein Worst Case, und es misst die Auslieferung der Produktseite, nicht den Widget-Endpunkt selbst. Ein Verifizierungs-Schritt, dessen Skript nie fertig lädt, ist ein Schritt, dessen Button nie aktiviert — aber die Grenzübertritts-Frage oben steht, selbst wenn das Widget perfekt lädt.
Dies ist eine Risikokarte, kein Urteil. Ob und wie Sie Turnstile für China betreiben können, hängt von Ihren Datenmengen, Ihrer Rolle und dem Pfad aus gesonderter Einwilligung und Transfermechanismus ab, den Sie wählen — und zu einem „privacy-first“ CAPTCHA zu wechseln, klärt nicht, wo die Signale verarbeitet werden. Es lohnt, es mit Rechtsbeistand zu bestätigen.
Wo 21YunBox hineinpasst — eine rechtskonforme Overlay, keine Migration
Sie behalten Ihren Stack und Ihre Bot-Abwehr-Strategie. Wir fügen das Stück hinzu, das Cloudflare für Turnstile im Festland nicht anbietet: einen Menschen-Verifizierungs- und Auslieferungs-Weg, der aus China heraus erreichbar und ICP-gemeldet ist, vor Ihren bestehenden Origin gesetzt — ohne Neuaufbau, ohne zweite Codebasis. Unser China-Team kartiert die Grenzübertritts- und Datenresidenz-Exponierung eines Turnstile- (oder jedes Bot-Erkennungs-)Deployments für Ihre Gesellschaft und Ihre Datenmengen und setzt die inländische Verifizierung und Speicherung auf, die eine rechtskonforme China-Präsenz erfordert.
Compliance-Einschätzung anfordern →
Weiterführend:
Häufige Fragen
Ist Turnstile nicht das datenschutzfreundliche CAPTCHA — hält das es nicht aus Chinas Datenregeln heraus?
Nicht für sich allein. Turnstile erhebt tatsächlich weniger als ein traditionelles CAPTCHA — Cloudflare sagt, es „processes only the data strictly necessary“ und liest keine Formulareinträge oder Seiten-Inputs. Aber es liest weiterhin Geräte- und Browser-Signale, um Menschen von Bots zu unterscheiden, und es bewertet sie auf Cloudflares Netzwerk. PIPLs Grenzübertritts-Regeln hängen davon ab, ob personenbezogene Daten das Festland verlassen, nicht davon, wie viel erhoben wird, ein kleinerer Datenfußabdruck senkt den Einsatz also, beseitigt aber die Grenzübertritts-Frage nicht. Behandeln Sie es als ein mit Rechtsbeistand für Ihre Datenmengen und Ihre Rolle zu bewertendes Risiko, kein pauschales Verbot.
Lässt Cloudflares China Network Turnstile innerhalb Festlandchinas laufen?
Nein. Cloudflares eigene China-Network-Dokumentation gibt an „Turnstile is not supported in Mainland China“, und Turnstile ist nicht in der Liste der Produkte, die das China Network von seinen inländischen (JD-Cloud-betriebenen) Rechenzentren bietet. Es gibt also keine Cloudflare-Konfiguration, die Turnstiles Verarbeitung innerhalb des Festlands hält — die Challenge wird von Cloudflares Netzwerk im Ausland bedient und die Signale darauf bewertet. Das ist auch, warum die Auslieferung unzuverlässig ist: In unserer Messung von innerhalb des Festlands lud die Produktseite nicht fertig.
Kann 21YunBox mit Cloudflare Turnstile in China helfen?
Ja. Unser China-Team kann Ihnen helfen, die Grenzübertritts- und Datenresidenz-Exponierung eines Turnstile- (oder jedes Bot-Erkennungs-)Deployments für Ihre Datenmengen und Ihre Rolle zu bewerten, und einen Menschen-Verifizierungs- und Auslieferungs-Weg aufsetzen, der innerhalb des Festlands erreichbar und ICP-gemeldet ist — die inländische Option, die Cloudflare für Turnstile nicht anbietet. Nehmen Sie Kontakt auf, um Ihren konkreten Fall durchzugehen.
