Funktioniert Gitea in China? Datenresidenz, ICP und Grenztransfer-Regeln

Was die offizielle Gitea-Dokumentation über China sagt

Fakt	Primärquelle
Giteas Dokumentation beschreibt es als „a painless, self-hosted, all-in-one software development service“ (ein müheloser, selbst gehosteter All-in-one-Softwareentwicklungsdienst) — die Software hat keine eigene Region, sodass davon gesetzt wird, wo Ihr Code ruht, wo Sie die Instanz hosten.	Gitea Documentation, „What is Gitea?“ (abgerufen 2026-10-14)
Dieselbe Dokumentation gibt an, Gitea sei „an open-source project based on the MIT license“ (ein Open-Source-Projekt auf Basis der MIT-Lizenz), sodass die identische Software auf Festland-China-Infrastruktur selbst gehostet werden kann, ohne Anbieter-Tenant oder verwaltete Cloud.	Gitea Documentation, „What is Gitea?“ (abgerufen 2026-10-14)
Quellcode, CI-Secrets und alle personenbezogenen China-Daten in Commits, Issues oder Fixtures, auf einer Offshore-Gitea-Instanz gehalten, sind ein grenzüberschreitender Transfer — der Mitteilung, gesonderte Einwilligung und einen Transfermechanismus erfordert (Art. 38–40).	Gesetz zum Schutz personenbezogener Daten der VR China, Art. 38–40 (abgerufen 2026-10-14)
Ein Betreiber kritischer Informationsinfrastruktur oder ein Verarbeiter großer Mengen muss personenbezogene Festland-Daten und wichtige Daten im Inland speichern — eine Pflicht, die ein Offshore-Code-Host strukturell nicht erfüllen kann (PIPL Art. 40; CSL Art. 39 (vormals Art. 37)).	Cybersicherheitsgesetz der VR China, Art. 39 (vormals Art. 37) (abgerufen 2026-10-14)

Quellen vom 21YunBox Compliance-Team am 14. Oktober 2026 geprüft.

Für ein Team, das Festlandchina bedient, war die nützliche Frage zu Gitea nie, ob es sich installiert oder das Netz erreicht. Das tut es: Gitea ist nach seiner eigenen Dokumentation „a painless, self-hosted, all-in-one software development service“ (ein müheloser, selbst gehosteter All-in-one-Softwareentwicklungsdienst) — ein schlanker Git-Dienst, geschrieben, um auf Ihrem eigenen Server zu laufen, in Shanghai so bereitwillig wie in Frankfurt. Was Gitea zu einer Compliance-Frage macht, ist nicht Erreichbarkeit, sondern was es konzentriert und wo das ruht: Ihr Quellcode — selbst ein Geschäftsgeheimnis und routinemäßig der Ort, an dem Anmeldedaten, Schlüssel und echte Daten in Konfigurationen, Fixtures und Tests eingebettet landen —, die CI-Secrets und -Token, die die Instanz speichert, die Build-Logs und -Artefakte, die jeder Lauf erzeugt, und die Repository-Daten, die die Namen und E-Mails der Mitwirkenden tragen. Gitea selbst ist residenzneutral. Es ist Open-Source-Software, kein Hosting-Standort; wo all das ruht, wird allein davon entschieden, wo Sie die Instanz betreiben — im Inland selbst gehostet, bleibt es auf Festlandboden; auf einem Offshore-Host, auch Giteas eigener verwalteter Cloud, liegt es im Ausland.

Gitea in China auf einen Blick

Wo Code, Secrets und Zustand tatsächlich ruhen

Gitea hat keine Region; Ihre Instanz hat eine. Die Software ist dieselben Bits, ob sie in Frankfurt, Singapur oder Shanghai läuft, sodass die Residenzfrage ganz vom Host abhängt, auf den Sie die Instanz stellen.

Auf einem Offshore-Host — einem Server, den Sie auf einer Offshore-Cloud betreiben, oder Giteas anbieterverwalteter Cloud, die auf Infrastruktur außerhalb des Festlands betrieben wird — liegt dieser Host im Ausland. Richten Sie Ihre Repositories dorthin, und Ihr Quellcode, die Secrets, die die Instanz speichert, Ihre Build-Logs und Ihre Artefakte ruhen allesamt offshore; wo irgendetwas davon personenbezogene China-Daten sind, behandelt das Gesetz zum Schutz personenbezogener Daten das als grenzüberschreitenden Transfer, und der verantwortliche Verarbeiter sind Sie. Eine verwaltete Cloud lässt Sie „choose your provider and region“ (Ihren Provider und Ihre Region wählen), aber eine Region zu wählen ist nicht dasselbe wie ein rechtmäßiges Inland-Deployment, das Sie kontrollieren — sofern die Instanz nicht wirklich auf rechtskonformer Festland-Infrastruktur ruht, gilt die Offshore-Residenz-Exponierung weiterhin.

Inland-Optionen existieren wirklich, und sie sind der rechtmäßige Hebel. Weil Gitea quelloffen und selbst gehostet konzipiert ist, können Sie die identische Instanz auf Festland-Infrastruktur betreiben, wo sie sich genau wie im Ausland verhält. Und die großen ausländischen Clouds erreichen China nur über separate souveräne Partitionen — AWS China (die von Sinnet betriebene Region Peking und die von NWCD betriebene Region Ningxia) und Azure China (betrieben von 21Vianet) sind eigenständige Clouds mit eigenen Konten, eigener ICP und eigenen Funktions- und Verfügbarkeitslücken —, auf denen Sie die Instanz im Inland aufsetzen können. Ein Inland-Host ist keine automatische Compliance; er ist der Ausgangspunkt dafür.

Was es hält, sind personenbezogene Daten — und Geschäftsgeheimnisse

Ein Quellcode-Host verdient diese Aufmerksamkeit wegen dessen, was er konzentriert. Anders als ein Werkzeug, das einen Ausschnitt Ihrer Daten berührt, ist eine Gitea-Instanz der Ort, an dem mehrere Ihrer sensibelsten Assets zusammensitzen: Ihr Quellcode — selbst ein Geschäftsgeheimnis und routinemäßig der Ort, an dem Anmeldedaten, API-Schlüssel und echte Daten in Konfiguration, Fixtures und Testdaten eingebettet landen — und die CI-Secrets, Token und Deploy-Keys, die die Instanz speichert. Hinzu kommen die Build-Logs und -Artefakte, die ein Lauf erzeugt, und die Repository-Metadaten jedes Mitwirkenden, und die Instanz wird zu einem einzigen Ort, an dem Code, Secrets und Identitäten zusammenlaufen.

Vieles davon sind personenbezogene Daten nach PIPL, sobald es eine Person identifiziert — die Namen und E-Mails in Commit-Metadaten, Issues und Pull Requests, die Kundenzeilen, die in Test-Fixtures und CI-Logs geraten — und ein Teil davon sind sensible personenbezogene Daten nach Art. 28 (Finanzdaten, behördlich ausgestellte IDs, Präzisionsstandort, biometrische oder Gesundheitsdaten), die eine höhere Latte aus bestimmtem Zweck, strenger Erforderlichkeit und gesonderter Einwilligung tragen.

Deshalb ist Residenz hier nicht bloß gute Hygiene. Für einen Betreiber kritischer Informationsinfrastruktur und für einen Verarbeiter, dessen Mengen die Schwellen der Aufsicht überschreiten, müssen im Festland erhobene personenbezogene Daten und wichtige Daten im Festland gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)). Eine Offshore-Instanz kann diese Pflicht strukturell nicht erfüllen — der Code, die Logs und Secrets sind per Definition im falschen Land. Und wo ein Export überhaupt zulässig ist, kann das Überschreiten einer Mengen- oder Sensibilitätsschwelle eine CAC-geführte Datenexport-Sicherheitsbewertung auslösen, bevor irgendetwas davon rechtmäßig ausreist.

Warum eine Erreichbarkeitsprüfung das verfehlt

Ein Konnektivitätstest beantwortet eine andere Frage als die, auf die es ankommt. Richten Sie eine Sonde auf Ihre Gitea-Instanz, und sie sagt Ihnen, dass die Seite lädt und ein Klon abschließt — und sie sagt Ihnen nichts darüber, wo Ihr Quellcode, Ihre CI-Secrets und Ihre Repository-Daten ruhen dürfen, was die einzige Frage ist, die Chinas Datenrecht hier stellt. Eine Prüfung, dass Gitea erreichbar ist, kann nicht sehen, dass die Repositories auf einem Offshore-Host sitzen, dass Commits und Fixtures personenbezogene China-Daten tragen oder dass ein Betreiber kritischer Informationsinfrastruktur eine Inland-Speicherpflicht schuldet. Erreichbarkeit ist die Auslieferungs-Hälfte; Residenz ist die rechtliche. Diese Lücke — zwischen „es lädt“ und „die Daten dürfen rechtmäßig hier leben“ — ist genau das, was eine Geschwindigkeits- oder Uptime-Rahmung verfehlt, und genau dort sitzt die Exponierung.

Der rechtmäßige Weg — kartieren, lokalisieren, ausliefern

Sie müssen Gitea nicht fallen lassen, um es rechtmäßig für Festlandchina zu betreiben. 21YunBox ist eine Compliance-Overlay, keine Migration — und für einen quelloffenen Git-Dienst, den Sie bereits betreiben, eine Partnerin, die neben Ihrem Stack sitzt, keine Konkurrentin dazu. Es gibt drei Züge, und sie greifen ineinander.

Kartieren. Unser China-Compliance-Team liest Ihre PIPL-Grenztransfer-, Datenresidenz- und Datenlokalisierungs- (CII) Pflichten anhand Ihrer tatsächlichen Rechtsperson, Ihrer Datenmengen und dessen, wessen personenbezogene Daten in Ihren Repositories, Logs und Ihrem Secret-Store sitzen — sodass die Exponierung aufgeschrieben ist, bevor etwas bewegt wird.

Lokalisieren. Weil das Risiko darin liegt, wo Code, Secrets und Zustand ruhen, betreiben wir die Instanz im Inland — auf Festland-Infrastruktur selbst gehostet oder auf einem lizenzierten inländischen oder Sovereign-Cloud-Host —, sodass der Quellcode, die CI-Secrets und der Build-Zustand, die China auf Festlandboden verlangt, dort bleiben. Lokalisieren bedeutet ein rechtmäßiges Inland-Deployment desselben Gitea, nie eine Rückverbindung zu einer Offshore-Instanz; nur die minimierte, rechtmäßig übertragbare Teilmenge überquert jemals die Grenze.

Ausliefern. Für jede auf China ausgerichtete Oberfläche vor dem System — das Entwickler-Dashboard, das Ihre Inland-Teams ansteuern, die Anwendung, die Ihre Pipeline an Festland-Nutzer ausliefert — bietet der 21YunBox Optimizer ICP-gemeldete, inländische Auslieferung, vor dem Stack, den Sie bereits betreiben. Kein Neuaufbau, keine zweite Codebasis. 21YunBox verwendet oder empfiehlt niemals eine Umgehung welcher Art auch immer; der ganze Zweck ist ein rechtmäßiger, gemeldeter Inland-Weg.

Das Ziel ist klar: Ihre Gitea-Repositories und -Pipelines laufen für Ihre Nutzer in China rechtmäßig und rechtskonform.

Compliance-Einschätzung anfordern →

---

Weiterführend:

• So erhalten Sie eine ICP-Beian für China
• Grenzüberschreitende Datentransfers nach PIPL
• Chinas Cybersicherheitsgesetz und Datenlokalisierung
• Chinas Maßnahmen zur Datenexport-Sicherheitsbewertung

Häufige Fragen

Ist Gitea in China gesperrt?

Das ist die falsche Achse. Gitea ist Open-Source-Software, die Sie selbst hosten, und sie läuft auf einem Server in Shanghai genauso wie anderswo. Die eigentliche Frage ist Compliance, nicht Erreichbarkeit: wo die Repositories, CI-Secrets und der Build-Zustand, die es hält, ruhen dürfen. Offshore gehostet, liegen Ihr Quellcode und alle personenbezogenen China-Daten im Ausland — ein PIPL-Grenztransfer und, für einen Betreiber kritischer Informationsinfrastruktur oder einen Verarbeiter großer Mengen, eine Lokalisierungspflicht, die ein Offshore-Host nicht erfüllen kann.

Hält Gitea Cloud meinen Quellcode in China?

Gitea Cloud ist ein anbieterverwalteter Dienst: Ihre Repositories ruhen auf Infrastruktur, die der Anbieter mit Ihrem gewählten Provider und Ihrer Region betreibt, nicht auf einem Deployment, das Sie im Inland kontrollieren. Sofern das kein rechtmäßiges Festland-Deployment ist, gilt dieselbe Offshore-Residenz-Exponierung. Weil Gitea quelloffen und selbst gehostet konzipiert ist, ist der saubere Hebel, die identische Instanz auf Festland-Infrastruktur zu betreiben, sodass Code und Secrets resident bleiben.

Wie betreiben wir Gitea rechtskonform für Festland-China-Nutzer?

Betreiben Sie die Gitea-Instanz im Inland — auf Festland-Infrastruktur selbst gehostet oder auf einem lizenzierten inländischen oder Sovereign-Cloud-Host —, sodass der Quellcode, die CI-Secrets und der Build-Zustand, die China auf Festlandboden verlangt, dort bleiben, ohne Neuschreiben. Jede auf China ausgerichtete Oberfläche davor (ein Entwickler-Dashboard, eine bereitgestellte App) braucht eine ICP-Beian, die an eine Festland-Hosting-Ressource gebunden ist. 21YunBox kartiert die PIPL- und Lokalisierungs-Exponierung und baut diesen rechtmäßigen Inland-Weg auf.