Funktioniert Docker Hub in China? Datenresidenz, ICP & Grenzregeln

Was die offizielle Docker Hub-Dokumentation über China sagt

Fakt	Primärquelle
In Dockers eigener Dokumentation: Docker Hub ist „the world's largest container registry for storing, managing, and sharing Docker images“, und es listet „Private repositories“ unter seinen Kernfunktionen — eine einzige, offshore-gehostete Registry, ohne Festlandchina-Region für Ihre privaten Repos (aktuell mit Docker bestätigen).	Docker Docs — Overview (Docker Hub), abgerufen 2026-10-13
Eine selbst gehostete private Registry ist ein echter inländischer Weg: Harbor ist eine quelloffene Registry, die Sie auf Ihrem eigenen Kubernetes- oder Docker-Host installieren, und Nexus oder Artifactory laufen in Ihrer eigenen Infrastruktur — und halten private Images, Build-Artefakte und eingebettete Secrets ansässig, wo Sie sie betreiben.	Harbor project (goharbor.io), abgerufen 2026-10-13
Chinas Cybersicherheitsgesetz verlangt, dass im Festland erhobene oder erzeugte personenbezogene Information und wichtige Daten im Inland gespeichert werden — Art. 39 (vormals Art. 37), wie durch die Änderung von 2025, in Kraft am 2026-01-01, umnummeriert. Eine Offshore-Registry, die Ihre privaten Images und Build-Metadaten hält, hat kein Festland-Standbein, um das für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen zu erfüllen.	Cybersecurity Law of the PRC, Article 39 (formerly Article 37); abgerufen 2026-10-13
Publisher-Identitäten, Zugriffslogs und jede personenbezogene Information innerhalb privater Images oder Build-Metadaten, offshore gehalten, sind ein Grenztransfer unter dem Gesetz zum Schutz personenbezogener Daten (Artikel 38–40): Mitteilung, eine gesonderte Einwilligung und ein Transfermechanismus — eine CAC-Sicherheitsbewertung, der Standardvertrag oder eine Zertifizierung.	Personal Information Protection Law of the PRC, Articles 38–40; abgerufen 2026-10-13

Quellen vom 21YunBox Compliance-Team am 13. Oktober 2026 geprüft.

Für ein Festlandchina-Deployment ist die entscheidende Frage zu Docker Hub nicht, ob ein Knoten in Shanghai ein öffentliches Base-Image ziehen kann — sie ist, wo Ihre privaten Images leben, was sie tragen und auf welcher rechtlichen Grundlage sie dorthin gelangt sind. Community-Base-Images zu ziehen ist ein Erreichbarkeits-Thema, und ein Registry-Spiegel oder -Cache kann es beschleunigen; es ist nicht der Teil, der entscheidet, ob Ihr Setup verteidigbar ist. Ihre privaten Repositories sind anders. Ein Container-Image ist ein Artefakt, das Ihren proprietären Code, Abhängigkeiten und Build-Output in seine Layer backt, und private Images betten routinemäßig Build-Zugangsdaten, API-Tokens, Konfiguration und bisweilen Daten ein. Auf Docker Hubs gehosteter Registry gehalten, sitzen dieses konzentrierte geistige Eigentum und diese Secrets offshore, und die Image-Lieferkette Ihres China-Deployments — was im Festland läuft, gebaut aus was, mit welcher Provenienz und Integrität — überquert die Grenze. Residenz und Grenztransfer, nicht Pull-Latenz, sind, was dies entscheidet.

Funktioniert Docker Hub in China? Auf einen Blick

Tür eins — Ihre privaten Images sind proprietärer Code, und Residenz folgt dort, wo sie gehostet werden

Beginnen Sie mit dem, was die Registry hält, denn das ist, worauf Chinas Recht reagiert. Die öffentliche Seite von Docker Hub bedient Community-Base-Images, aber das ist nicht der Teil, der dies entscheidet. Ihre privaten Repositories sind der maßgebliche Speicher der Images, die Sie nicht mit der Welt teilen — und ein Container-Image ist nicht bloß ein Download-Ziel: Es ist ein Artefakt, das Ihren proprietären Code, Abhängigkeiten und Build-Output in seine Layer backt, ein konzentriertes Stück Ihres geistigen Eigentums. Dockers eigene Dokumentation beschreibt Docker Hub als „the world’s largest container registry for storing, managing, and sharing Docker images“, mit „Private repositories“ unter seinen Kernfunktionen — eine einzige, gehostete Registry, die auf Offshore-Infrastruktur läuft, ohne Festlandchina-Region für Ihre privaten Repos (es lohnt sich, das mit Docker zu bestätigen, statt es anzunehmen). Wenn Sie ein Betreiber kritischer Informationsinfrastruktur sind oder personenbezogene Information in Mengen handhaben, muss in China erhobene und erzeugte personenbezogene Information und wichtige Daten im Festland gespeichert werden, mit einer Sicherheitsbewertung vor jedem Export — die Datenlokalisierungs-Regel des Cybersicherheitsgesetzes, Art. 39 (vormals Art. 37), wie durch die Änderung von 2025, in Kraft am 2026-01-01, umnummeriert. Eine Offshore-Registry, die Ihre privaten Images und die darin gebackenen Secrets hält, hat kein Festland-Standbein, um das zu erfüllen.

Tür zwei — eingebettete Secrets, Image-Provenienz und die Lieferkette Ihres Deployments

Die zweite Tür ist PIPL und die Integrität dessen, was tatsächlich im Festland läuft. Private Images und die Pipeline um sie herum tragen mehr als Anwendungscode: Build-Zugangsdaten, API-Tokens, Registry-Auth und Konfiguration, die in Layer gebacken sind, plus die Benutzernamen und E-Mail-Adressen dessen, wer einen Tag gepusht, gebaut und promoviert hat, und Zugriffslogs — mit dem gelegentlichen personenbezogenen Datensatz, der in einem Layer oder einer Fixture mitreist. Unter dem Gesetz zum Schutz personenbezogener Daten ist es ein Grenztransfer (Artikel 38–40), diese Daten auf Infrastruktur außerhalb des Festlands zu halten: Der Verarbeiter muss Mitteilung geben, eine gesonderte Einwilligung für den Transfer einholen und einen Mechanismus erfüllen — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung. Die Secrets und personenbezogenen Daten zu trimmen, die überhaupt erst in Images gebacken werden, ist Teil der Lösung, aber es bewegt den Speicher nicht von sich aus. Und weil Ihr China-Deployment seine Images von dort zieht, wo auch immer die Registry läuft, werden die Provenienz und Integrität dessen, was im Festland ausgeführt wird — welches Image, gebaut aus was, signiert von wem — auch über die Grenze geregelt: eine Software-Lieferketten-Exponierung, die eine Konnektivitäts-Prüfung nie aufdeckt.

Warum eine Erreichbarkeits-Prüfung dies verfehlt

Ein „kann mein Knoten ein Image aus Shanghai ziehen“-Test beantwortet die falsche Frage. Ein Registry-Spiegel oder -Cache oder Konnektivitäts-Tuning ändert, wie schnell und wie zuverlässig ein öffentliches Image auflöst — es ändert nicht, wo Ihre privaten Images, die in ihre Layer gebackenen Secrets und die Provenienz dessen, was Sie ausliefern, tatsächlich leben. Ein Cluster kann also von innerhalb Chinas vollkommen gesund aussehen, während jedes private Image, jeder darin eingebettete Token und jeder Publisher-Datensatz weiterhin offshore sitzt. Die obigen Residenz- und Grenzübertritts-Fragen sind für eine Erreichbarkeits-Sonde unsichtbar, genau weil die Images weiterhin ziehen — weshalb der Zug, der zählt, ist, die private Registry ins Inland zu bewegen, nicht die Offshore-Registry bloß erreichbar oder gespiegelt zu machen. Wir veröffentlichen keine erstmalige Messung der Docker-Hub-Konnektivität von innerhalb Chinas, wir setzen hier also keine Zahlen; es ist etwas, das wir gegen Ihr tatsächliches Setup messen würden, statt es zu behaupten.

Dies ist eine Risikokarte, kein Urteil: Ob Sie inländische Speicherung, einen Transfermechanismus, einen überarbeiteten Einwilligungs-Ablauf, eine ICP-Beian für ein öffentlich zugängliches Entwickler- oder Image-Portal oder eine Kombination brauchen, hängt davon ab, was Ihre privaten Images tragen, wie viel und wer Ihre Publisher sind — es ist es wert, mit Rechtsbeistand geklärt zu werden, bevor Sie bauen.

Der Hebel — kartieren, lokalisieren, ausliefern

Weil für Docker-Images eine echte selbst gehostete private Registry existiert, gibt es einen echten inländischen Weg, und 21YunBox nutzt oder empfiehlt niemals irgendeine Form von Umgehung.

• Kartieren — inventarisieren, welche Images privat sind (Ihr proprietärer Code), ob sie Zugangsdaten, Tokens oder Konfiguration einbetten, wo die Registry und jede Cluster-Control-Plane heute leben, die Residenz-Grundlage und wie die Image-Lieferkette Ihres China-Deployments die Grenze überquert.
• Lokalisieren / steuern — die private Registry im Inland betreiben (selbst gehostet — Harbor oder Nexus / Artifactory in Ihrer eigenen Infrastruktur), sodass die proprietären Images und eingebetteten Secrets ansässig bleiben; die Image-Lieferkette Ihres China-Deployments im Inland halten; und minimieren, was die Grenze überquert.
• Ausliefern — eine rechtskonforme, inländische private Registry und Image-Auslieferung vor (oder an die Stelle) des Offshore-Dienstes setzen; 21YunBox stellt die inländische Schicht ohne Neuaufbau auf.

Die öffentliche Registry bloß erreichbar oder gespiegelt zu machen ist nicht die Antwort — Ihre privaten Images und Secrets sind weiterhin offshore, und öffentliche Base-Images schneller zu ziehen ändert das nicht. Die private Registry und Ihre Images im Inland zu halten ist es.

Wo 21YunBox hineinpasst — ein rechtskonformer Overlay, keine Migration

Sie nutzen weiterhin Docker und Ihren bestehenden Workflow. Wir fügen das Stück hinzu, das eine Offshore-Registry von sich aus nicht bereitstellen kann: ein rechtmäßiges, inländisches Zuhause für eine selbst gehostete private Registry, sodass Ihre proprietären Images, Build-Artefakte und eingebetteten Secrets ansässig bleiben, wo das Recht es verlangt, mit rechtskonformer ICP-gemeldeter Auslieferung für den Entwickler-Zugriff und jedes öffentlich zugängliche Image-Portal davor — um Ihr bestehendes Setup herum platziert, ohne Neuaufbau, ohne zweite Codebasis und ohne Migration weg von Docker Hub. Als Partner der Toolchain, die Sie bereits betreiben, kartiert unser China-Team Ihre PIPL-Grenzübertritts-, Einwilligungs- und Datenresidenz-Pflichten gegen Ihren Rechtsträger und Ihre Pipeline und stellt dann die inländische Registry und Auslieferung auf, die eine verteidigbare China-Präsenz braucht. Wir nutzen oder empfehlen niemals irgendeine Form von Umgehung.

Compliance-Einschätzung anfordern →

---

Weiterführende Lektüre:

• Grenzüberschreitende Datentransfers unter PIPL
• Chinas Cybersicherheitsgesetz und Datenlokalisierung
• Wie man eine ICP-Beian für China erhält

Häufige Fragen

Geht es darum, ob ich Images aus Docker Hub in China ziehen kann?

Nein. Öffentliche Base-Images zu ziehen ist ein Erreichbarkeits-Thema, und ein Registry-Spiegel oder -Cache kann es beschleunigen. Was Compliance entscheidet, ist, wo Ihre privaten Images und die in ihre Layer gebackenen Secrets leben und ob die Image-Lieferkette Ihres China-Deployments die Grenze überquert — nichts davon kann eine Erreichbarkeits-Prüfung sehen.

Hat Docker Hub eine Festlandchina-Region für private Repositories?

Wir finden keine Festlandchina-Region für Docker Hub; es ist eine einzige, offshore-gehostete Registry (aktuell mit Docker bestätigen). Öffentliche-Image-Spiegel existieren in China, aber ein Spiegel öffentlicher Images bewegt Ihre privaten Images oder eingebetteten Secrets nicht ins Inland.

Was hält meine privaten Images und Secrets in China ansässig?

Eine selbst gehostete private Registry, innerhalb des Festlands betrieben — Harbor oder Nexus / Artifactory in Ihrer eigenen Infrastruktur — hält private Images, Build-Artefakte und eingebettete Secrets ansässig. 21YunBox stellt diese inländische Registry und rechtskonforme ICP-gemeldete Auslieferung um Ihr bestehendes Setup herum auf, ohne Neuaufbau und ohne Migration weg von Docker Hub.