Funktioniert CyberArk in China? Privileged-Access-Datenresidenz, PIPL & inländisches PAM
CyberArks Identity Security Platform SaaS — Privilege Cloud, Secrets Manager und CyberArk Identity — ist über AWS-Regionen in Amerika, EMEA und APAC gehostet, und seine eigene Dokumentation zeigt keine in Festlandchina, die privilegierten Zugangsdaten, Secrets, Vault-Inhalte und Session-Aufzeichnungen, die es für Ihre China-Systeme hält, ruhen also offshore. Für Festlandchina macht das ihre Erhebung zu einem Grenztransfer unter PIPL, mit einer erhöhten Kante, wo Privileged-Access-Daten kritische Systeme steuern und als wichtige Daten gelten können. Ein Compliance-zuerst-Blick auf die Residenz-, Grenzübertritts- und inländische-Speicher-Fragen und den rechtmäßigen Weg — CyberArks eigener selbst gehosteter PAM-Vault auf China-ansässiger Infrastruktur.
Funktioniert CyberArk in China?
CyberArk ist aus Festlandchina erreichbar — die ehrliche Antwort ist also, dass Erreichbarkeit nicht das Problem ist. Was die China-Frage entscheidet, ist Datenresidenz und Grenztransfer, und die betroffenen Daten sind die sensibelsten, die Sie halten.
CyberArks Identity Security Platform SaaS — Privilege Cloud, Secrets Manager und CyberArk Identity, nun unter der Marke Idira ausgeliefert nach CyberArks Übernahme durch Palo Alto Networks — wird in einem festen Satz von AWS-Regionen gehostet, und seine eigene Dokumentation zeigt keine in Festlandchina; die nächsten sind Singapur, Tokio, Mumbai, Sydney und Jakarta. Die privilegierten Zugangsdaten, Secrets, Vault-Inhalte und privilegierten Sitzungs-Aufzeichnungen, die es für Ihre China-Systeme hält, ruhen also offshore, was ihre Erhebung zu einem Grenztransfer (数据出境) unter PIPL (Artikel 38–40) macht. Weil diese Daten Ihre Steuerungsebene sind, kann es, wo es kritische Systeme sichert, „wichtige Daten“ sein — was Chinas Datenexport-Sicherheitsbewertung aufwirft — und für einen Betreiber kritischer Informationsinfrastruktur verlangt Art. 39 des Cybersicherheitsgesetzes (vormals Art. 37) eine inländische Speicherung, die keine Offshore-Region erfüllen kann.
21YunBox kartiert Ihre Exponierung, lokalisiert den China-Bestand auf CyberArks eigenem selbst gehostetem Vault auf China-ansässiger Infrastruktur und liefert Ihre auf China ausgerichteten Oberflächen im Inland auf ICP-gemeldeter Infrastruktur aus — ohne Neuaufbau und niemals irgendeine Form von Umgehung. Behandeln Sie die Einzelheiten als ein mit Rechtsbeistand zu klärendes Risiko. Compliance-Einschätzung anfordern →
Compliance-Momentaufnahme
- ! CyberArks Identity Security Platform SaaS (Privilege Cloud, Secrets Manager, CyberArk Identity) wird in AWS-Regionen in Amerika, EMEA und APAC gehostet — ohne Region in Festlandchina, laut CyberArks eigener Regional-Verfügbarkeits-Dokumentation.
- ! Die privilegierten Zugangsdaten, Secrets, Vault-Inhalte und privilegierten Sitzungs-Aufzeichnungen, die es für Ihre China-Systeme hält, ruhen also offshore — ein Grenztransfer (数据出境) personenbezogener Daten unter PIPL (Artikel 38–40): Mitteilung, eine gesonderte Einwilligung und ein Transfermechanismus.
- ! Erhöhtes Risiko: Privilegierte-Zugriffs- und Sitzungsdaten sind Ihre Steuerungsebene, wo CyberArk also kritische Informationsinfrastruktur sichert, kann es zu „wichtigen Daten“ aufsteigen und Chinas Datenexport-Sicherheitsbewertung ins Spiel bringen.
- ! Für einen Betreiber kritischer Informationsinfrastruktur verlangt Art. 39 des Cybersicherheitsgesetzes (vormals Art. 37), dass in China erzeugte personenbezogene Daten in China gespeichert werden — eine Pflicht, die keine Offshore-CyberArk-Region erfüllt. Eine nähere Region zu wählen (Singapur, Tokio, Mumbai, Sydney, Jakarta) verlagert den Transfer; es beendet ihn nicht.
- ✓ Der rechtmäßige Weg: die Privilegierte-Zugriffs-Daten des China-Bestands im Inland auf CyberArks eigenem selbst gehostetem Privileged Access Manager (dem Vault) auf China-ansässiger Infrastruktur halten, CyberArk SaaS für Ihre anderen Regionen behalten und jede auf China ausgerichtete Konsole im Inland auf ICP-gemeldeter Infrastruktur ausliefern — niemals Umgehung.
Was die offizielle CyberArk-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| CyberArks eigene Dokumentation listet die AWS-Regionen, in denen seine Identity Security Platform läuft — und keine liegt in Festlandchina. CyberArks Plattform-Dokumentation (nun als „Idira Docs“ gebrandet) erklärt: „This topic lists the supported AWS regions for each Idira service in ISPSS“ und dass jeder Dienst „deployed in the closest supported region“ wird. Die aufgezählten Regionen erstrecken sich über Amerika, EMEA und APAC — die dem Festland nächsten sind Singapur, Tokio, Mumbai, Sydney und Jakarta — ohne Festlandchina-Region, Privilege Cloud, Secrets Manager und die Vault-Inhalte, die sie für Ihre China-Systeme halten, ruhen also offshore. | CyberArk (Idira) Docs — „Validate supported AWS regions for ISPSS“ (docs.cyberark.com), abgerufen 2026-10-09 |
| CyberArk betreibt inländische Regionen für Datensouveränitäts-Märkte — aber keine in Festlandchina. Seine Regional-Verfügbarkeits-Liste umfasst dedizierte Regionen in den VAE (me-central-1) und Indien (Mumbai, ap-south-1), hinzugefügt, damit regulierte Kunden Identitätsdaten im Land halten können. Inländische Residenz ist daher eine echte Option für das Produkt in einigen Jurisdiktionen — es gibt schlicht keine Festlandchina-Region zur Auswahl, ein China-Mandant löst also weiterhin auf ein Rechenzentrum außerhalb des Landes auf. | CyberArk (Idira) Docs — „Validate supported AWS regions for ISPSS“ (docs.cyberark.com), abgerufen 2026-10-09 |
| Die privilegierten Zugriffsdaten Chinas in eine Offshore-CyberArk-Region zu bewegen ist ein PIPL-Grenztransfer. Zugangsdaten, Secrets, Vault-Inhalte und privilegierte Sitzungs-Aufzeichnungen, die von identifizierbaren Personen und Systemen in Festlandchina erhoben werden, in einer AWS-Region außerhalb des Landes zu halten löst PIPL Artikel 38–40 aus: Mitteilung, eine gesonderte Einwilligung und ein Transfermechanismus — eine CAC-Sicherheitsbewertung, der CAC-Standardvertrag oder eine Zertifizierung. Die Pflicht liegt beim Verarbeiter (Ihnen), nicht bei CyberArk als Auftragsverarbeiter. | Gesetz zum Schutz personenbezogener Daten der VR China, Artikel 38–40 (cac.gov.cn), abgerufen 2026-10-09 |
| Privilegierte-Zugriffs-Daten können schwerere Pflichten tragen als gewöhnliche SaaS-Daten. Weil privilegierte Zugangsdaten und Sitzungs-Aufzeichnungen die Steuerungsebene für die Systeme sind, die sie sichern, können, wo Ihr CyberArk-Deployment kritische Informationsinfrastruktur schützt, diese Daten als „wichtige Daten“ qualifizieren, und ihr Transfer kann Chinas Datenexport-Sicherheitsbewertung (数据出境安全评估) erfordern, bevor irgendetwas geht. Für einen Betreiber kritischer Informationsinfrastruktur verlangt Art. 39 des Cybersicherheitsgesetzes (vormals Art. 37), dass in China erzeugte personenbezogene Daten in China gespeichert werden — eine Pflicht, die eine Offshore-Region nicht erfüllen kann. | Cybersicherheitsgesetz der VR China, Art. 39 (vormals Art. 37); Maßnahmen zur Sicherheitsbewertung von Datenausfuhren (数据出境安全评估办法), CAC (cac.gov.cn), abgerufen 2026-10-09 |
Quellen vom 21YunBox Compliance-Team am 9. Oktober 2026 geprüft.
Für ein Unternehmen, das Privileged Access Management über seine China-Systeme betreibt, ist die erste Frage zu CyberArk gewöhnlich, ob die Konsolen aus dem Festland laden. Sie sind auf der Leitung erreichbar — aber das ist nicht, wo die China-Entscheidung geklärt wird. CyberArk konzentriert die sensibelsten Daten in Ihrem Bestand an einem Ort: die privilegierten Zugangsdaten und Secrets in seinem Vault und die Aufzeichnungen und den Audit-Trail jeder privilegierten Session. Was entscheidet, ob Sie es in China nutzen können, ist, wo diese Daten zur Ruhe kommen und ob es rechtmäßig war, sie dorthin zu bewegen — eine Datenresidenz- und Grenzübertritts-Frage, keine Leistungsfrage.
Und CyberArk beantwortet die erste Hälfte in seiner eigenen Dokumentation. Seine Identity Security Platform Shared Services — die SaaS-Schicht hinter Privilege Cloud, Secrets Manager und CyberArk Identity, nun unter der Idira-Marke ausgeliefert nach CyberArks Übernahme durch Palo Alto Networks, wenngleich die Dokumentation weiterhin auf docs.cyberark.com lebt — ist in einem festen Satz von AWS-Regionen gehostet, und keine davon ist in Festlandchina. Die Schlüssel zu Ihren China-Systemen sitzen also offshore, und ein anderer Rechtskörper entscheidet, ob das erlaubt war.
CyberArk in China auf einen Blick
| Worüber es entscheidet | In CyberArks eigenen Worten — und Chinas Recht |
|---|---|
| Was es ist | CyberArks Identity Security Platform ist eine Privileged-Access-Management-(PAM-)und-Identity-Security-Suite. Über Privilege Cloud, Secrets Manager und CyberArk Identity hält es die sensibelsten operativen Daten, die Sie haben: privilegierte Zugangsdaten und Secrets, die Inhalte des Vaults und die Aufzeichnungen und den Audit-Trail privilegierter Sessions auf Ihren China-Systemen. |
| Ist es vom Festland aus erreichbar? | Erreichbarkeit ist nicht, wo die China-Entscheidung sitzt. Selbst wo die Konsolen aus dem Festland laden, zählt, wo die Privileged-Access-Daten, die sie verwalten, zur Ruhe kommen, und ob es rechtmäßig war, sie dorthin zu bewegen. Diese Seite veröffentlicht keine China-Latenzzahl — Geschwindigkeit ist nicht die Achse. |
| Wo leben die Daten? | Offshore. CyberArks eigene Dokumentation zählt die AWS-Regionen auf, in denen seine SaaS läuft — über Amerika, EMEA und APAC — mit der nächsten als Singapur, Tokio, Mumbai, Sydney und Jakarta. Es gibt keine Festlandchina-Region; ein Dienst wird „deployed in the closest supported region,“ und die nächste unterstützte Region ist weiterhin außerhalb des Landes. |
| China-Privileged-Access-Daten hineinzubewegen | Zugangsdaten, Secrets, Vault-Inhalte und Session-Aufzeichnungen, die an identifizierbare Menschen und Systeme gebunden sind, sind personenbezogene Daten. Sie in einer Offshore-Region zu halten ist ein Grenztransfer (数据出境) unter PIPL (Artikel 38–40): Mitteilung, eine gesonderte Einwilligung und ein Transfermechanismus. Wo diese Daten kritische Systeme steuern, können sie auch „wichtige Daten“ sein, was eine Datenexport-Sicherheitsbewertung aufwirft, und für einen Betreiber kritischer Informationsinfrastruktur setzt Art. 39 des Cybersicherheitsgesetzes (vormals Art. 37) eine inländische Speicherpflicht, die eine Offshore-Region nicht erfüllen kann. |
| Der rechtmäßige Weg | Halten Sie die Privileged-Access-Daten des China-Bestands im Inland: Deployen Sie CyberArks eigenen selbst gehosteten Privileged Access Manager — den Vault, den Sie auf Infrastruktur betreiben, die Sie kontrollieren — auf China-ansässiger Infrastruktur, mit eingewilligter inländischer Verarbeitung und Speicherung, und behalten Sie CyberArks SaaS für Ihre anderen Regionen. 21YunBox kartiert, lokalisiert und liefert aus; es verwendet oder empfiehlt niemals eine Umgehung welcher Art auch immer. |
Die Kronjuwelen-Daten sitzen in einer Offshore-Region
CyberArks ganzer Zweck ist, die gefährlichsten Daten an einem gehärteten Ort zu konzentrieren: die privilegierten Zugangsdaten und Secrets, die Ihre Systeme aufschließen, den Vault, der sie speichert, und die Aufzeichnungen und den Audit-Trail dessen, was Administratoren in jeder privilegierten Session taten. Für Ihre China-Systeme ist das die Steuerebene selbst — der einzelne Speicher, der einem Angreifer oder einem Regulator am meisten am Herzen läge.
Seine eigene Dokumentation legt dar, wo dieser Speicher lebt. Die Identity Security Platform Shared Services (ISPSS) — die SaaS hinter Privilege Cloud, Secrets Manager und CyberArk Identity — läuft in einer festen Liste von AWS-Regionen über Amerika, EMEA und APAC, und CyberArk erklärt, dass jeder Dienst „deployed in the closest supported region“ wird. Die nächsten Regionen zum Festland sind Singapur, Tokio, Mumbai, Sydney und Jakarta — jede davon offshore. Es gibt keine Festlandchina-Region auf der Liste, ein Mandant, der für Ihren China-Bestand bereitgestellt wird, löst also weiterhin zu einem Rechenzentrum außerhalb des Landes auf. Vault-Inhalte und Session-Aufzeichnungen folgen der Region, in die Sie platziert werden; sie näher zu platzieren platziert sie nicht innerhalb Chinas.
Offshore-Privileged-Access-Daten sind ein Grenztransfer — und der Einsatz ist hier höher
Das Tor ist dasselbe, das jeder Offshore-Dienst trifft, aber die Daten machen es schärfer. Die privilegierten Zugangsdaten, Secrets, Vault-Inhalte und Privileged-Session-Aufzeichnungen, die CyberArk für identifizierbare Administratoren und Systeme in China hält, sind personenbezogene Daten, und sie in einer AWS-Region außerhalb des Festlands zu halten ist ein Grenztransfer (数据出境) personenbezogener Daten nach Chinas Gesetz zum Schutz personenbezogener Daten. PIPL legt die Pflicht auf den Verarbeiter — Sie, nicht CyberArk, den Auftragsverarbeiter: Artikel 38–40 verlangen Mitteilung, eine gesonderte Einwilligung, die sich von jeder allgemeinen Nutzungs-Vereinbarung unterscheidet, und einen Transfermechanismus — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung.
Zwei Dinge erhöhen den Einsatz über einen gewöhnlichen SaaS-Transfer. Erstens, was diese Daten sind: Privilegierte Zugangsdaten und Session-Aufzeichnungen sind die Steuerebene für die Systeme, die sie sichern, wo Ihr CyberArk-Deployment also kritische Informationsinfrastruktur schützt, können die Daten, die es hält, selbst zu „wichtigen Daten“ aufsteigen, und ein Transfer wichtiger Daten kann Chinas Datenexport-Sicherheitsbewertung (数据出境安全评估) erfordern, bevor irgendetwas geht. Zweitens, Residenz: Für einen Betreiber kritischer Informationsinfrastruktur verlangt Art. 39 des Cybersicherheitsgesetzes (vormals Art. 37 — die Datenlokalisierungs-Bestimmung wurde durch die Änderung von 2025 umnummeriert, die am 1. Januar 2026 in Kraft trat, mit unveränderter Substanz), dass in China erzeugte personenbezogene Daten in China gespeichert werden — eine inländische Speicherpflicht, die eine Offshore-CyberArk-Region nicht erfüllen kann. Welche davon Ihr konkretes Deployment treffen, ist ein mit Rechtsbeistand gegen das, was Sie tatsächlich vaulten, aufzeichnen und sichern, zu klärendes Risiko.
Eine nähere AWS-Region ist weiterhin keine China-Region
Der Instinkt ist, die nächste Region zu wählen und Residenz als erledigt zu betrachten — Singapur oder Tokio für einen asiatischen Fußabdruck. Aber Nähe ist nicht Residenz. Keine von CyberArks APAC-Regionen ist in Festlandchina, einen Mandanten von, sagen wir, Frankfurt nach Singapur zu bewegen verlagert den Grenztransfer; es beendet ihn nicht.
Es lohnt, präzise darüber zu sein, was CyberArk anbietet und nicht anbietet, denn das Muster ist lehrreich. CyberArk hat inländische Regionen speziell für Datensouveränitäts-Märkte aufgestellt — seine Liste enthält die VAE (me-central-1) und Indien (Mumbai, ap-south-1), Regionen, die hinzugefügt wurden, damit regulierte Kunden Identity-Daten onshore halten können. Inländische Residenz ist daher eine echte Option für das Produkt in manchen Jurisdiktionen; CyberArk hat schlicht keine Festlandchina-Region zur Auswahl. Chinas Privileged-Access-Daten im Land zu halten ist folglich ein anderes Deployment-Modell, kein anderer Regions-Schalter: CyberArks eigener selbst gehosteter Privileged Access Manager — der Vault, den Sie auf Infrastruktur betreiben, die Sie kontrollieren — aufgestellt auf China-ansässiger Infrastruktur für den China-Bestand. Das ist eine rechtliche Design-Entscheidung, bevor es eine technische ist.
Nichts davon macht CyberArk in China „blockiert“ oder „illegal“ — es ist erreichbar und weit verbreitet. Es ist eine Risiko-und-Residenz-Karte: Welche Pflichten beißen, hängt von Ihrer Gesellschaft, den Systemen, die Sie sichern, den Daten, die Sie vaulten und aufzeichnen, und davon ab, wer Ihre Administratoren sind — und es lohnt, es mit Rechtsbeistand zu klären, bevor Ihre Privileged-Access-Daten davon abhängen.
Der rechtmäßige Weg — kartieren, lokalisieren, ausliefern
Es gibt eine rechtmäßige Form, Privileged Access Management für einen China-Bestand zu betreiben, und sie beginnt mit den Daten, nicht dem Netz.
Zuerst kartieren. Unser China-Team arbeitet die PIPL-Exponierung durch, die an das geheftet ist, was CyberArk für Ihre China-Systeme hält — welche Zugangsdaten, Secrets, Vault-Einträge und Session-Aufzeichnungen im Festland erhoben oder erzeugt wurden und dort bleiben müssen, was (falls überhaupt) rechtmäßig gehen darf, ob die Systeme, die Sie sichern, diese Daten zu „wichtigen Daten“ machen oder eine Betreiber-kritischer-Informationsinfrastruktur-Pflicht ins Spiel bringen, und was Ihr Mitteilungs- und Gesonderte-Einwilligungs-Ablauf abdecken muss. Die rechtlichen Schlüsse werden mit Ihrem Rechtsbeistand geklärt; wir bauen das technische Bild, das sie speist.
Dann lokalisieren. Für den China-Bestand stellen wir CyberArks eigenen selbst gehosteten Privileged Access Manager — den Vault, den Sie auf Ihrer eigenen Infrastruktur betreiben — auf China-ansässiger Infrastruktur auf und integrieren ihn, mit eingewilligter inländischer Verarbeitung und Speicherung, sodass die Privileged-Access-Daten aufhören, das Land standardmäßig zu verlassen. Sie behalten CyberArks SaaS für die Regionen, wo es Ihnen bereits dient; was sich ändert, ist, dass die Kronjuwelen-Daten des Festlands im Festland bleiben.
Dann ausliefern. Jede auf China ausgerichtete Konsole, jedes Portal oder jede administrative Oberfläche, die aus dem Festland erreichbar sein muss, ist selbst ein in China ausgelieferter Dienst, sie trägt also eine ICP-Beian-Pflicht und braucht rechtskonforme, inländische Auslieferung. 21YunBox liefert sie im Inland aus — der 21YunBox Optimizer — vor dem, was Sie bereits betreiben, ohne Neuaufbau und ohne Re-Plattformierung. Das Ergebnis ist Privileged Access Management, das legal und rechtskonform für Ihre Nutzer in China läuft. Was wir niemals tun — und was niemand rechtmäßig kann — ist, Ihnen einen Weg um Chinas Datenexport-Regeln oder irgendeine Netzbeschränkung herum zu geben; wir lokalisieren, was bleiben muss, und liefern im Inland aus, und wir bewegen personenbezogene Daten niemals heimlich aus China.
Compliance-Einschätzung anfordern →
Weiterführend:
- Grenzüberschreitende Datentransfers nach PIPL
- Chinas Datenexport-Sicherheitsbewertung
- Chinas Cybersicherheitsgesetz (Datenlokalisierung, Artikel 39)
- So erhalten Sie eine ICP-Beian für China
Häufige Fragen
Ist CyberArk in Festlandchina verfügbar?
CyberArks Konsolen und SaaS-Endpunkte sind vom Festland aus erreichbar, Verfügbarkeit ist also nicht das Hindernis — und diese Seite veröffentlicht keine China-Latenzzahl, weil Geschwindigkeit nicht die Achse ist. Die eigentliche Frage ist Datenresidenz: CyberArks Identity Security Platform läuft nur in AWS-Regionen außerhalb Festlandchinas (die nächsten sind Singapur, Tokio, Mumbai, Sydney und Jakarta), die privilegierten Zugangsdaten, Secrets und Sitzungs-Aufzeichnungen, die es für Ihre China-Systeme hält, ruhen also offshore. Behandeln Sie die Einzelheiten als ein mit Rechtsbeistand zu klärendes Risiko.
Ist das Senden unserer privilegierten China-Zugriffsdaten an CyberArks Cloud ein Grenztransfer?
Wenn Ihr Mandant in irgendeiner CyberArk-Region liegt — die alle außerhalb des Festlands sind — dann werden die Zugangsdaten, Secrets, Vault-Inhalte und privilegierten Sitzungs-Aufzeichnungen, die es für Ihre China-Systeme hält, offshore gespeichert, ein Grenztransfer (数据出境) unter PIPL: Mitteilung, eine gesonderte Einwilligung und ein Transfermechanismus. Weil diese Daten die Steuerungsebene für die Systeme sind, die sie sichern, kann es, wo es kritische Informationsinfrastruktur schützt, „wichtige Daten“ sein (was eine Datenexport-Sicherheitsbewertung aufwirft), und für einen Betreiber kritischer Informationsinfrastruktur fügt Art. 39 des Cybersicherheitsgesetzes (vormals Art. 37) eine inländische Speicherpflicht hinzu, die keine Offshore-Region erfüllt. Klären Sie Ihre genauen Pflichten mit Rechtsbeistand.
Können wir einfach CyberArks Singapur- oder Tokio-Region wählen, um Daten in China zu halten?
Nein — keine der CyberArk-Regionen liegt in Festlandchina, eine nähere Region erfüllt also keine China-Residenz-Pflicht; einen Mandanten von Frankfurt nach Singapur zu bewegen verlagert den Grenztransfer, es beendet ihn nicht. Die Privilegierte-Zugriffs-Daten des China-Bestands im Inland zu halten bedeutet ein anderes Deployment-Modell: CyberArks eigener selbst gehosteter Privileged Access Manager — der Vault, den Sie auf von Ihnen kontrollierter Infrastruktur betreiben — aufgestellt auf China-ansässiger Infrastruktur. 21YunBox kartiert, was bleiben muss, lokalisiert es auf diesem inländischen Deployment und liefert Ihre auf China ausgerichteten Oberflächen auf ICP-gemeldeter Infrastruktur aus — es ist kein Weg um Chinas Datenexport-Regeln herum.
