Funktioniert Composer (Packagist) in China? Datenresidenz, ICP & Grenztransfer-Regeln

Was die offizielle Composer (Packagist)-Dokumentation über China sagt

Fakt	Primärquelle
Packagist.org ist die öffentliche, Offshore-PHP-Paket-Registry — es gibt keine Festlandchina-Instanz. Packagists eigene About-Seite erklärt: „Packagist is the default Composer package repository. It lets you find packages and lets Composer know where to get the code from,“ und dass es „aggregates public packages that anyone can install with Composer“.	Packagist.org, „About“ (packagist.org), abgerufen 2026-10-13
Composer unterstützt eine selbst gehostete, inländische private Registry. Composers eigene „Handling private packages“-Dokumentation erklärt, dass Satis „is open source but only a static composer repository generator“ ist, das „can be used to host the metadata of your company's private packages, or your own“, und dass Private Packagist „available as a hosted SaaS solution or as an on-premise self-hosted package“ ist.	Composer documentation, „Handling private packages“ (getcomposer.org), abgerufen 2026-10-13
Chinesische personenbezogene Daten offshore zu schiffen ist ein regulierter Grenztransfer. Wenn ein privates Paket, Build-Artefakt oder Test-Fixture personenbezogene Daten von Menschen in Festlandchina trägt, engagiert sein Senden an eine Offshore-Registry PIPL Artikel 38–40: Mitteilung, eine gesonderte Einwilligung und einen Transfermechanismus — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung.	PIPL Kapitel III, Artikel 38–40 (Gesetz zum Schutz personenbezogener Daten der VR China); 21YunBox Erklärung zum grenzüberschreitenden Datentransfer, abgerufen 2026-10-13
Ein Betreiber kritischer Informationsinfrastruktur steht vor einer inländischen Speicherpflicht. Chinas Cybersicherheitsgesetz Art. 39 (vormals Art. 37) verlangt, dass in Festlandchina erzeugte personenbezogene Daten und wichtige Daten im Inland gespeichert werden — eine Residenzpflicht, die eine nur-Offshore-Registry nicht erfüllen kann.	Cybersicherheitsgesetz der VR China, Art. 39 (vormals Art. 37) (geändertes CSL, wirksam 2026-01-01); 21YunBox Erklärung zur Datenlokalisierung, abgerufen 2026-10-13

Quellen vom 21YunBox Compliance-Team am 13. Oktober 2026 geprüft.

Fragen Sie, ob Composer in Festlandchina „funktioniert“, und die ehrliche Antwort beginnt nicht damit, ob Ihr Build Pakete schnell aus Shanghai ziehen kann. Composer ist PHPs Abhängigkeits-Manager, und Packagist.org ist die öffentliche Registry, gegen die es auflöst — aber die Compliance-Frage lebt auf der anderen Seite einer Registry. Die privaten, gescopten Composer-Pakete Ihrer Organisation sind Ihr proprietärer Quellcode — Geschäftsgeheimnisse — und sie tragen routinemäßig API-Tokens, Deploy-Keys und Config-Secrets, und manchmal personenbezogene Daten, die in einem Test-Fixture sitzen. Auf Packagist.org oder auf einer gehosteten privaten Registry gehostet, leben dieser konzentrierte Code und diese Secrets offshore, außerhalb des Festlands, und die Abhängigkeits-Lieferkette Ihres China-Builds — welcher Code mit welcher Herkunft und Integrität in Ihr China-Deployment gelangt — läuft bei jedem Auflösen über die Grenze. Ob die Registry erreichbar ist, ist real, aber es ist das Geringste von dem, worüber Sie entscheiden.

Composer in China auf einen Blick

Wo Ihre privaten Pakete leben — und das entscheidet die erste Frage

Eine Paket-Registry hat zwei Seiten. Die eine ist die öffentliche, Open-Source-Seite: Community-Abhängigkeiten ziehen, was ein Erreichbarkeits- und Spiegelungs-Thema ist. Die andere ist die, die die China-Frage entscheidet — Ihre eigenen privaten Pakete. Packagist.org ist, nach seiner eigenen About-Seite, „the default Composer package repository“, das „aggregates public packages that anyone can install with Composer“; es ist ein einzelner gehosteter Dienst, offshore betrieben, mit keiner Festlandchina-Instanz. Ihre privaten Pakete gehen nicht dorthin — sie sitzen auf einer gehosteten privaten Registry (wie Private Packagists SaaS), sofern Sie nicht Ihre eigene hosten. So oder so ruhen die privaten Pakete, die Ihren proprietären Code und Ihre Secrets halten, im Ausland, sobald sie veröffentlicht sind. Diese eine Tatsache entscheidet die Compliance-Frage, bevor Erreichbarkeit je gemessen wird: Es geht nicht darum, ob composer install schnell fertig wird, sondern darum, wo Ihr Geschäftsgeheimnis-Code und Ihre eingebetteten Zugangsdaten gespeichert sind.

Strang eins — Ihre privaten Pakete sind proprietärer Code und eingebettete Secrets, offshore gehalten

Composers Aufgabe auf dieser Achse ist, Ihre privaten Pakete zu speichern und zu verteilen, und diese Pakete sind Ihr konzentriertestes geistiges Eigentum: proprietärer PHP-Quellcode, den Sie bewusst nicht Open-Source gemacht haben. In ihnen reiten in der Praxis die API-Tokens, Deploy-Keys, Datenbank-Zugangsdaten und Config-Secrets mit, die Ihre Dienste nutzen — einschließlich der Schlüssel, die Systeme innerhalb Chinas erreichen — und, hin und wieder, personenbezogene Daten, die in einem Test-Fixture zurückgelassen wurden. Auf einer offshore betriebenen Registry gehostet, ruht dieser Korpus aus Code und Secrets außerhalb des Festlands, an einem Ort im Ausland konzentriert. Wenn ein Teil davon die personenbezogenen Daten von Menschen in China ist, engagiert sein Verschieben offshore das Gesetz zum Schutz personenbezogener Daten: Mitteilung, eine gesonderte Einwilligung und ein freigegebener Transfermechanismus — eine CAC-Sicherheitsbewertung, der CAC-Standardvertrag oder eine Zertifizierung, nach PIPL Artikel 13/23 und 38–40. Für einen Betreiber kritischer Informationsinfrastruktur oder einen Verarbeiter großer Mengen müssen in China erzeugte personenbezogene Daten im Festland gespeichert werden (Cybersicherheitsgesetz Art. 39 (vormals Art. 37); PIPL Art. 40) — eine Residenzpflicht, die eine nur-Offshore-Registry nicht erfüllen kann. Eine Prüfung, die nur bestätigt, dass der Build auflöst, sieht nie, dass Ihr proprietärer Code und Ihre Secrets im Ausland leben.

Strang zwei — die Abhängigkeits-Lieferkette Ihres China-Builds überquert die Grenze

Composer speichert nicht nur Code; es setzt ihn zusammen. Jedes composer install oder composer update löst Ihren Abhängigkeits-Graphen gegen eine Registry auf und zieht die Pakete, die Ihr laufendes China-Deployment werden. Wenn die private Registry, die diese Pakete bedient, offshore ist, läuft die Lieferkette Ihres China-Builds — welcher Code in das Deployment gelangt, von wo, mit welcher Herkunft und Integrität — bei jedem Build über die Grenze, außerhalb Ihrer inländischen Governance. Das ist die unterscheidende zweite Hälfte, die eine Erreichbarkeits-Sonde nie sieht: Sie kann bestätigen, dass die Registry antwortete, aber sie kann nicht sehen, dass die vertrauenswürdigen privaten Pakete, die Ihr China-Release speisen, im Ausland gesteuert werden, noch dass Ihre Secrets mit ihnen reisen. Ein legitimer inländischer Registry-Spiegel oder -Cache kann beschleunigen und härten, wie öffentliche Abhängigkeiten geholt werden, aber die öffentliche Seite zu spiegeln verschiebt Ihre privaten Pakete oder Ihre Lieferkette nicht ins Inland — Ihr proprietärer Code und Ihre Secrets sind weiterhin offshore.

Warum eine Erreichbarkeits-Prüfung all dies verfehlt

Eine Prüfung, die nur fragt „kann der Build Pakete aus Shanghai ziehen?“, misst das Falsche. Sie kann nicht sehen, dass Ihre privaten Pakete — Ihr proprietärer Code — auf einer Registry außerhalb des Festlands gehalten werden, sie kann nicht die darin eingebetteten API-Tokens und Zugangsdaten sehen, und sie kann nicht die Mitteilungs-, Einwilligungs- und Mechanismus-Pflichten sehen, die sich an alle China-personenbezogenen Daten in einem Paket oder Fixture heften. Die öffentliche Registry bloß erreichbar oder gespiegelt zu machen verschiebt den regulierten Code, die Secrets oder die Lieferkette nicht ins Inland, und es schafft nicht die Transfergrundlage, die PIPL verlangt. Ein chinesisches Publikum zu erreichen und freigegeben zu sein, Ihren privaten Code und Ihre Secrets zu halten und zu tragen, sind zwei verschiedene Prüfungen — und nur eine davon erscheint auf einem Latenz-Diagramm.

Wo 21YunBox hineinpasst — kartieren, lokalisieren, ausliefern

Wir bitten Sie nicht, Composer oder Packagist aufzugeben. Wir fügen die Schicht hinzu, die eine gehostete, Offshore-Registry nicht kann. Kartieren: Wir inventarisieren, welche Ihrer Pakete und Build-Artefakte privat sind — Ihr proprietärer Code —, ob sie Secrets einbetten, wo diese private Registry gehostet ist und was die Abhängigkeits-Lieferkette Ihres China-Builds hereinzieht. Lokalisieren und steuern: Wir helfen Ihnen, die private Registry und den Artefakt-Speicher im Inland zu betreiben, sodass proprietärer Code und eingebettete Secrets ansässig bleiben — Composer unterstützt dies direkt über ein selbst gehostetes Satis-Repository (einen Generator für statische Composer-Repositories für Ihre privaten Paket-Metadaten) oder eine on-premise private Registry —, halten die Lieferkette Ihres China-Builds im Inland und minimieren, was die Grenze überquert. Ausliefern: Wir stellen die rechtskonforme inländische private Registry und Artefakt-Auslieferung vor (oder an die Stelle) der Offshore-Cloud, und ICP-melden jede auf China ausgerichtete Oberfläche — ohne Neuaufbau, ohne zweite Codebasis. 21YunBox verwendet oder empfiehlt niemals eine Umgehung welcher Art auch immer.

Dies ist eine Risikokarte, kein Urteil: Ob Sie Mitteilung und Einwilligung, einen Transfermechanismus, inländische Speicherung, eine ICP-Beian oder eine Kombination schulden, hängt von Ihrer Gesellschaft, Ihren Datenmengen und davon ab, was Ihre Pakete und Fixtures tragen — es lohnt, es mit Rechtsbeistand zu klären, bevor Sie Composer-gebaute Releases an auf China ausgerichtete Arbeit ausliefern.

Compliance-Einschätzung anfordern →

---

Weiterführend:

• Grenzüberschreitende Datentransfers nach PIPL
• Chinas Gesetz zum Schutz personenbezogener Daten
• Chinas Cybersicherheitsgesetz und Datenlokalisierung
• So erhalten Sie eine ICP-Beian für China

Häufige Fragen

Ist Composer oder Packagist in Festlandchina blockiert?

Erreichbarkeit ist nicht die China-Frage für Composer. Ob Ihr Build Pakete vom Festland aus auflösen kann, ist eine Auslieferungs-Sache; die Entscheidung ist, wo Ihre privaten Pakete und Build-Artefakte leben. Ihre privaten, gescopten Pakete sind proprietärer Code und betten oft API-Tokens und Deploy-Keys ein, und die öffentliche Registry (Packagist.org) und gehostete private Registries laufen offshore ohne Festlandchina-Instanz — der eigentliche Maßstab ist also die Residenz dieses Codes und dieser Secrets und die Herkunft der Abhängigkeits-Lieferkette Ihres China-Builds. Die Antwort ist niemals eine Netz-Behelfslösung. Klären Sie die Einzelheiten mit Rechtsbeistand.

Wo leben meine privaten Composer-Pakete und Secrets tatsächlich?

Sofern Sie nicht selbst hosten, sitzen Ihre privaten Pakete auf einer offshore betriebenen gehosteten Registry — Packagist.org für öffentliche Pakete und eine gehostete private Registry (wie Private Packagists SaaS) für Ihre privaten. Das konzentriert Ihren proprietären PHP-Quellcode — Geschäftsgeheimnisse — und die Zugangsdaten, API-Tokens und Config-Secrets, die Pakete routinemäßig einbetten, außerhalb Festlandchinas. Wenn ein Paket oder Fixture personenbezogene Daten von Menschen in China trägt, ist es offshore zu halten ein Grenztransfer nach PIPL. Eine Prüfung, die nur bestätigt, dass der Build Pakete auflösen kann, sieht nie, wo dieser Code und diese Secrets ansässig sind.

Wie halte ich meine privaten Composer-Pakete und Secrets im Inland?

Composer unterstützt ein selbst gehostetes privates Repository, das Sie innerhalb Festlandchinas betreiben können: Satis, einen Open-Source-Generator für statische Composer-Repositories, der die Metadaten der privaten Pakete Ihres Unternehmens hostet, oder eine on-premise private Registry — der Ihren proprietären Code und Ihre eingebetteten Secrets ansässig hält, mit der Abhängigkeits-Lieferkette Ihres China-Builds im Inland. Ein Registry-Spiegel oder -Cache für öffentliche Abhängigkeiten ist eine legitime Lieferketten-Maßnahme, aber es ist nicht für sich allein die Residenz-Antwort. 21YunBox kartiert, was Ihre Pakete und Artefakte halten, stellt die rechtskonforme inländische private Registry und den Artefakt-Speicher ohne einen Neuaufbau auf und verwendet oder empfiehlt niemals eine Umgehung welcher Art auch immer.