Funktioniert Harness in China? Data Residency, ICP & Grenztransfer-Regeln
Harness hält Ihre Pipeline-Definitionen, Deploy-Metadaten, Logs, Geheimnisse und Connectors — plus Mitwirkenden-PII — in einer Control Plane, die auf SaaS offshore läuft (keine Festlandchina-Region). Ein selbstgehosteter Delegate führt nur Jobs aus; die Lösung ist seine Self-Managed Enterprise Edition, im Inland betrieben — eine PIPL-Residency-Frage, keine Geschwindigkeitsfrage.
Funktioniert Harness in China?
Ja — aber ob Harness in China „funktioniert“, ist eine Data-Residency-Frage, keine Geschwindigkeitsfrage, und die Antwort hängt davon ab, wie Sie es betreiben. Harness SaaS hält Ihre Pipeline-Definitionen, Deployment-Metadaten, Build- und Deploy-Logs, Pipeline-Geheimnisse und Connectors — plus Mitwirkenden-Identitäten — in seiner eigenen offshore gelegenen Control Plane; ein selbstgehosteter Delegate führt nur Jobs in Ihrem Netzwerk aus und bewegt nichts davon ins Inland.
Harness' eigene Dokumentation sagt, seine Self-Managed Enterprise Edition sei „an on-premises solution that allows you to install and run Harness on your own infrastructure“, laufe „within your environment“ und halte „data within your own network perimeter“. Das ist der Hebel: Betreiben Sie die selbstverwaltete Edition auf inländischer Infrastruktur, und der Speicher an Pipelines, Geheimnissen, Logs und Metadaten kann ansässig bleiben. Auf Offshore-SaaS belassen — Harness dokumentiert Cluster in us-west1 und us-west2 (den USA), ohne Festlandchina-Region — ruht dieser konzentrierte Speicher an Geheimnissen und Mitwirkenden-PII im Ausland und überschreitet die Grenze, ein grenzüberschreitender Transfer nach PIPL, mit inländischen Speicherpflichten für einen CIIO oder Handler mit hohem Volumen nach Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37).
Dies ist eine Risikokarte, kein Urteil — welche Pflichten greifen, hängt von Ihrer Rechtsperson, Ihrer Rolle und Ihren Datenmengen ab. Unser China-Team kann Ihre Residency und den Selbsthosting-Pfad mit Ihnen kartieren →
Compliance-Momentaufnahme
- ! Harness SaaS hält Ihre Pipelines, Geheimnisse, Deploy-Logs und Build-Metadaten offshore
- ! Ein selbstgehosteter Delegate führt Jobs lokal aus; Control Plane + Geheimnisse bleiben offshore
- ! Pipeline-Geheimnisse, Connectors + Mitwirkenden-PII offshore = ein PIPL-Grenztransfer
- ! CIIO/hohes Volumen: China-PII muss im Inland bleiben — CSL Art. 39 (vormals 37)
- ✓ Die Self-Managed Enterprise Edition läuft auf inländischer Infra — Pipelines + Geheimnisse ansässig
Was die offizielle Harness-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| Harness liefert eine selbsthostbare, On-Premises-Edition. Harness' eigene Doku gibt an, dass „Harness Self-Managed Enterprise Edition is an on-premises solution that allows you to install and run Harness on your own infrastructure“, dass es „runs within your environment alongside existing services“ und dass es „Offline & Air-Gapped Capabilities“ bietet — „keeping data within your own network perimeter“. Auf inländischer Infrastruktur betrieben, hält es Ihre Pipelines, Geheimnisse, Logs und Build-Metadaten ansässig. | Harness Developer Hub — Self-Managed Enterprise Edition overview (developer.harness.io), abgerufen 2026-10-12 |
| Harness SaaS ist offshore, und ein selbstgehosteter Delegate ändert das nicht. Harness dokumentiert seine SaaS-Infrastruktur als laufend „across two regions, us-west1 and us-west2“ — beide in den USA — ohne Festlandchina-Region. Der Harness-Delegate ist „a service you run in your local network or VPC“, der nur Jobs ausführt; er „connects to Harness Manager over an outbound HTTPS/WSS connection“, die Control Plane, die Ihre Pipelines, Geheimnisse und Audit-Daten hält, bleibt also, wo immer der Server läuft — offshore, es sei denn, Sie hosten ihn im Inland selbst. | Harness Developer Hub — SaaS architecture & Delegate overview (developer.harness.io), abgerufen 2026-10-12 |
| Die Pipelines, Geheimnisse und Mitwirkenden-PII eines China-Teams offshore zu halten ist ein grenzüberschreitender Transfer. Jede personenbezogene Information in Commits, Issues, Deploy-Logs und Mitwirkenden-Konten, die auf einer offshore gelegenen Control Plane ruht, verlässt das Festland — ein grenzüberschreitender Transfer nach PIPL Artikel 38–40, zusätzlich zur Mitteilung und gesonderten Einwilligung nach Artikel 13/23 für den Auslandstransfer. Die Pflicht landet bei Ihnen, dem Handler, nicht bei Harness. | Gesetz zum Schutz personenbezogener Daten der VR China, Artikel 13, 23 und 38–40 (abgerufen 2026-10-12) |
| Für einen CIIO oder Handler mit hohem Volumen müssen diese Daten im Festland bleiben. Chinas Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37) — die Novelle von 2025, in Kraft seit 1. Januar 2026, nummerierte den Artikel zur Datenlokalisierung von 37 auf 39 um, seine Substanz unverändert — verlangt, dass in China erzeugte personenbezogene Information für Betreiber kritischer Informationsinfrastruktur und Handler mit hohem Volumen im Inland gespeichert wird. Offshore-SaaS kann das nicht erfüllen; die Self-Managed Enterprise Edition auf inländischer Infrastruktur zu betreiben, kann es. | Cybersicherheitsgesetz der VR China, Artikel 39 (vormals Artikel 37); Novelle 2025 in Kraft 2026-01-01 (abgerufen 2026-10-12) |
Quellen vom 21YunBox Compliance-Team am 12. Oktober 2026 geprüft.
Für ein Unternehmen, das Harness für ein Festlandchina-Engineering-Team betreibt, ist die Frage, die zählt, nicht, ob die Harness-UI schnell aus Schanghai paint. Harness ist die Control Plane dafür, wie Sie Software ausliefern: Es hält Ihre Pipeline-Definitionen, Ihre Deployment-Metadaten und Release-Historie, die Build- und Deploy-Logs jedes Laufs und die Pipeline-Geheimnisse und Connectors, die in Ihre Cluster, Clouds und Registries hineinreichen — zusammen mit den Identitäten jedes Mitwirkenden und allen personenbezogenen Daten, die in Commits, Issues und Freigaben mitreiten. Das ist ein konzentrierter Speicher an Geheimnissen und eine Karte genau dessen, wie Ihre Organisation baut und bereitstellt. Wo es lebt, entscheidet die Compliance-Frage, und Harness gibt Ihnen zwei sehr verschiedene Antworten. Seine Self-Managed Enterprise Edition ist, in Harness’ eigenen Worten, eine „on-premises solution that allows you to install and run Harness on your own infrastructure“ (On-Premises-Lösung, die es Ihnen erlaubt, Harness auf Ihrer eigenen Infrastruktur zu installieren und zu betreiben) — betreiben Sie es auf inländischer Infrastruktur, und dieser ganze Speicher kann ansässig bleiben. Sein verwaltetes SaaS läuft dagegen offshore: Harness dokumentiert Cluster in us-west1 und us-west2, beide in den USA, ohne Festlandchina-Region. Und eine Nuance entscheidet mehr, als sie scheint: Ein selbstgehosteter Harness-Delegate führt Jobs innerhalb Ihres Netzwerks aus, aber er ist nur ein Worker — die Control Plane, die die Pipelines, Geheimnisse und Audit-Daten hält, sitzt dort, wo der Server läuft, den Delegate lokal zu machen bewegt also nichts davon ins Inland. Die Achse hier ist Data Residency und Grenztransfer, nicht Latenz.
Harness in China auf einen Blick
| Worüber es entscheidet | In Harness' eigenen Worten — und Chinas Recht |
|---|---|
| Was es hält | Ihren Software-Delivery-Kern: Pipeline-Definitionen, Deployment-Metadaten und Release-Historie, Build- und Deploy-Logs und die Pipeline-Geheimnisse und Connectors, die in Ihre Cluster, Clouds und Registries hineinreichen — plus die Identitäten jedes Mitwirkenden (Namen, E-Mails, Konten) und alle personenbezogenen Daten in Commits, Issues und Freigaben. Konzentrierte Geheimnisse und eine Karte dessen, wie Sie ausliefern, in einer Control Plane. |
| Inländische Option vs. Offshore-SaaS (die Prämisse) | Harness liefert eine Self-Managed Enterprise Edition — in Harness' Worten eine „on-premises solution that allows you to install and run Harness on your own infrastructure“, Air-Gapped-fähig, „keeping data within your own network perimeter“. Betreiben Sie sie auf inländischer Infrastruktur, und die Pipelines, Geheimnisse, Logs und Metadaten bleiben ansässig. Harness SaaS läuft dagegen in us-west1 und us-west2 (den USA) mit keiner Festlandchina-Region. |
| Ein Delegate ist nicht die Control Plane — die kennzeichnende zweite Hälfte | Die Hälfte, die eine Erreichbarkeitsprüfung nie sieht. Ein selbstgehosteter Delegate ist laut Harness „a service you run in your local network or VPC“, der nur Jobs ausführt — er verbindet sich ausgehend zum Harness Manager, und die Control Plane hält weiterhin Ihre Pipelines, Geheimnisse, Connectors und Audit-Daten, wo immer der Server läuft. Den Delegate lokal zu machen bewegt nichts davon ins Inland; nur die selbstverwaltete Edition im Inland zu betreiben, tut es. |
| Residency & Grenztransfer | Die Pipelines, Geheimnisse und Mitwirkenden-PII eines China-Teams auf einer offshore gelegenen Control Plane zu halten, ist ein grenzüberschreitender Transfer (数据出境) nach PIPL Artikel 38–40, zusätzlich zur Mitteilung und gesonderten Einwilligung nach Artikel 13/23 für den Auslandstransfer. Die Pflicht landet bei Ihnen, dem Handler, nicht bei Harness. |
| Datenlokalisierung & die ICP-Tür | Für einen Betreiber kritischer Informationsinfrastruktur oder Handler mit hohem Volumen verlangt Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37), dass in China erhobene personenbezogene Information im Festland gespeichert wird — was Offshore-SaaS nicht erfüllen kann und eine selbstgehostete, inländische Bereitstellung kann. Und jede öffentliche, China-gerichtete Oberfläche, die an die Plattform gebunden ist — ein Developer-Portal oder eine Status-Seite, die Festland-Nutzern bedient wird —, ist ein Internet-Informationsdienst, der eine ICP-Beian-Pflicht (备案) trägt, an Festland-Hosting gebunden. |
| Erreichbarkeit ist nicht die Achse | Ob die Harness-UI aus dem Festland lädt, ist betrieblich, nicht die Compliance-Frage. Was es entscheidet, ist, wo die Pipelines, Geheimnisse, Logs und PII leben und unter welcher Einwilligung. 21YunBox hilft Ihnen, die selbstverwaltete Edition im Inland zu betreiben, den regulierten Speicher ansässig zu halten, die ICP für jede China-gerichtete Oberfläche einzureichen und rechtskonform auszuliefern — der 21YunBox Optimizer — vor dem, was Sie bereits betreiben. Niemals Umgehung jeglicher Art. |
Was es tatsächlich hält — Ihre Pipelines, Geheimnisse und die Leute, die ausliefern
Harness ist keine Marketing-Site; es ist die Control Plane für Ihre Software-Delivery, und es hält ein bemerkenswert vollständiges Bild davon. Jede Pipeline-Definition beschreibt, wie Ihr Code zu einem Release wird. Jeder Lauf hinterlässt Deployment-Metadaten, Freigabe-Datensätze und Build- und Deploy-Logs. Die Pipeline-Geheimnisse und Connectors, die es speichert, sind Live-Zugangsdaten in Ihre Cluster, Clouds, Registries und Drittsysteme — eine konzentrierte Menge an Schlüsseln zu Ihrem Bestand. Und die Plattform trägt die Identitäten aller, die ausliefern: Mitwirkenden-Namen, -E-Mails und -Konten, plus alle personenbezogenen Daten, die in Commit-Nachrichten, Issue-Threads, Freigaben und Deploy-Notizen erscheinen. Wo immer diese Datensätze eine Person nennen oder beschreiben, sind sie personenbezogene Information nach Chinas Gesetz zum Schutz personenbezogener Daten. Zusammengenommen sind die Pipelines, Geheimnisse und Logs sowohl ein sicherheitssensibles Asset als auch eine Karte genau dessen, wie Ihre Organisation baut und bereitstellt — und ob dieser Speicher im Festland oder offshore lebt, wird ganz dadurch entschieden, wo die Harness-Control-Plane läuft.
Die Türen: Residency, Grenztransfer, Lokalisierung und ICP
Belassen Sie die Arbeit eines China-Teams auf Harness’ offshore gelegenem SaaS, und die erste Tür öffnet sich. Die Pipelines, Geheimnisse, Logs und Mitwirkenden-Identitäten in dieser Control Plane ruhen im Ausland, was es zu einem grenzüberschreitenden Transfer (数据出境) macht. Die Pflicht landet bei Ihnen, dem Handler, nicht bei Harness: PIPL Artikel 13 und 23 verlangen Mitteilung und eine Grundlage, die Daten zu erheben, und Artikel 38–40 verlangen einen Transfermechanismus, um sie offshore zu senden — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder Zertifizierung — mit gesonderter Einwilligung für den Auslandstransfer.
Für einen Betreiber kritischer Informationsinfrastruktur oder einen Handler mit hohem Volumen verlangt Artikel 39 des Cybersicherheitsgesetzes (vormals Artikel 37 — die Novelle des Cybersicherheitsgesetzes von 2025, in Kraft seit 1. Januar 2026, nummerierte den Artikel zur Datenlokalisierung von 37 auf 39 um, seine Substanz unverändert), dass in China erzeugte personenbezogene Information im Festland gespeichert wird. Offshore-Harness-SaaS kann diese Pflicht nicht erfüllen — aber hier wendet sich die Prämisse zu Ihren Gunsten, weil Harness eine selbstverwaltete Edition liefert. Die Self-Managed Enterprise Edition auf inländischer Infrastruktur zu betreiben, hält die Pipelines, Geheimnisse, Logs und Mitwirkenden-PII ansässig, was der rechtmäßige Weg ist, eine Lokalisierungspflicht zu erfüllen, statt Daten ins Ausland zu leiten.
Ein verbreitetes Missverständnis verdient seine eigene Tür. Teams nehmen an, dass die Installation eines selbstgehosteten Delegate (Runner) ihre Daten in China hält. Das tut sie nicht. Der Delegate ist, in Harness’ Worten, „a service you run in your local network or VPC“, der nur Jobs ausführt; er verbindet sich ausgehend zum Harness Manager über eine HTTPS/WSS-Verbindung, und die Control Plane am anderen Ende hält weiterhin die Pipeline-Definitionen, die Geheimnisse, die Connectors und den Audit-Datensatz. Den Delegate lokal zu machen ändert, wo Jobs laufen, nicht, wo der regulierte Speicher lebt. Nur die Control Plane selbst ins Inland zu bewegen — die selbstverwaltete Edition — bewegt die Daten.
Und in dem Moment, in dem Sie eine öffentliche, China-gerichtete Oberfläche freilegen, die an die Plattform gebunden ist — ein Developer-Portal, eine Status-Seite oder die selbstverwaltete UI, die Festland-Nutzern bedient wird —, ist diese Oberfläche ein Internet-Informationsdienst und trägt eine ICP-Beian-Pflicht (备案), an eine Festland-Hosting-Ressource gebunden. Eine rein interne Control Plane löst ICP womöglich nicht von allein aus; eine öffentliche Oberfläche, die Nutzern in China bedient wird, tut es.
Warum eine Erreichbarkeitsprüfung das verfehlt
Eine Sonde aus China kann zusehen, wie der Harness-Login-Bildschirm paint, und schließen „es funktioniert“. Diese Antwort ist nebensächlich. Die Compliance-Exponierung ist nicht auf dem Bildschirm — sie liegt in den ruhenden Daten und wie sie sich bewegen: die Pipeline-Definitionen, die Deployment-Metadaten, die Build- und Deploy-Logs, die Pipeline-Geheimnisse und Connectors und die Mitwirkenden-Identitäten, alle sitzend in einer Control Plane, die Harness auf SaaS als in us-west1 und us-west2 laufend dokumentiert — nie Festlandchina. Ein Seitenlade-Test misst nichts davon. Er kann nicht sehen, in welcher Region die Control Plane lebt, ob eine gesonderte Einwilligung eingeholt wurde, ob ein Transfermechanismus besteht, oder dass ein selbstgehosteter Delegate jeden dieser Datensätze offshore belässt. Das ist die wettbewerbssichere zweite Hälfte der Frage — und genau darum ist es nicht die Antwort, eine offshore gelegene Harness-Control-Plane bloß aus dem Festland erreichbar zu machen oder bloß einen Delegate lokal zu betreiben. Die selbstverwaltete Edition im Inland zu betreiben, sodass die Pipelines und Geheimnisse ansässig bleiben, ist es.
Der rechtmäßige Pfad — kartieren, lokalisieren, ausliefern
Es gibt einen rechtskonformen Weg, Harness für ein Festlandchina-Engineering-Team zu betreiben, und weil Harness eine selbstverwaltete Edition liefert, erfordert er nicht, Harness zu verlassen — keinen Neuaufbau, keine Migration von der Plattform weg und niemals eine Route, die Daten heimlich offshore verschifft.
Zuerst kartieren: Unser China-Compliance-Team inventarisiert, was Ihr Harness-Fußabdruck hält — die Pipeline-Definitionen, Deployment-Metadaten, Build- und Deploy-Logs, Pipeline-Geheimnisse und Connectors, jeden Infrastructure-as-Code-State und die Mitwirkenden-Identitäten und personenbezogenen Daten in Commits und Issues —, stellt fest, wo die Control Plane heute läuft (Offshore-SaaS in us-west1/us-west2 oder eine selbstverwaltete Instanz), den ICP-Status jeder China-gerichteten Oberfläche und die Einwilligungs- und Residency-Grundlage, auf die sich jeder Fluss stützt. Wir bauen das technische Bild; die rechtlichen Schlüsse werden mit Rechtsbeistand geklärt.
Dann lokalisieren: die Self-Managed Enterprise Edition auf inländischer Infrastruktur betreiben, sodass die Pipelines, Geheimnisse, Logs und Metadaten ansässig bleiben, die Mitteilung und gesonderte Einwilligung nach Artikel 13/23 für alle Mitwirkenden-PII einholen und die personenbezogenen Daten minimieren, die überhaupt in Commits, Issues und Deploy-Notizen gelangen. Lokalisieren bedeutet, den regulierten Speicher auf einem inländischen Pfad zu halten — niemals eine Route, jeglicher Art, die ihn offshore verschifft oder über die Grenze zurückgreift, um ihn abzurufen, und niemals irgendeine Form der Umgehung.
Dann ausliefern: Ihre Festland-Entwickler brauchen weiterhin schnellen, zuverlässigen Zugang zur inländischen Control Plane, und jede öffentliche, China-gerichtete Oberfläche ist ein Internet-Informationsdienst, der eine ICP-Beian-Pflicht trägt. 21YunBox liefert sie im Inland aus — der 21YunBox Optimizer — vor der selbstverwalteten Instanz und den Oberflächen, die Sie betreiben, sodass sie für Ihre Nutzer in China legal und rechtskonform laufen. 21YunBox nutzt oder empfiehlt niemals Umgehung jeglicher Art — wir halten im Inland, was das Gesetz sagt, dass es bleiben muss, liefern den Rest rechtskonform aus dem Festland heraus und bewegen personenbezogene Information niemals heimlich über die Grenze. 21YunBox ist eine Compliance-Overlay und ein Partner für die Delivery-Plattform, die Sie bereits betreiben, kein Wettbewerber zu ihr.
Nichts davon ist ein Urteil, dass Harness in China „gesperrt“ oder „illegal“ ist; es ist eine Risiko-und-Residency-Karte. Welche Pflichten Ihren Fall treffen, hängt von Ihrer Rechtsperson, Ihrer Rolle nach chinesischem Recht, Ihren Datenmengen und davon ab, was Ihre Pipelines, Geheimnisse und Logs tatsächlich halten — es lohnt sich, die Einzelheiten mit Rechtsbeistand zu klären, bevor die Software-Delivery-Control-Plane Ihrer Organisation davon abhängt.
Compliance-Einschätzung anfordern →
Weiterführend:
- So erhalten Sie eine ICP-Beian für China
- Grenzüberschreitende Datentransfers nach PIPL
- Chinas Gesetz zum Schutz personenbezogener Daten (PIPL)
- Chinas Cybersicherheitsgesetz (Datenlokalisierung, Artikel 39)
Häufige Fragen
Hat Harness eine Festlandchina-SaaS-Region?
Nein. Harness dokumentiert seine SaaS-Infrastruktur als über zwei Regionen laufend, us-west1 und us-west2 — beide in den USA — und veröffentlicht keinen Festlandchina-SaaS-Cluster; Single-Tenant-Hosting wird nur über die Self-Managed Enterprise Edition angeboten. Auf Harness SaaS ruhen Ihre Pipelines, Geheimnisse, Logs und Mitwirkenden-PII offshore. Um sie im Inland zu halten, betreiben Sie die selbstverwaltete Edition auf Festland-Infrastruktur.
Hält ein selbstgehosteter Delegate (Runner) meine Daten nicht in China?
Nein — das ist das verbreitete Missverständnis. Der Harness-Delegate ist „a service you run in your local network or VPC“ und führt nur Jobs aus; er verbindet sich ausgehend zum Harness Manager (der SaaS-Control-Plane), der weiterhin Ihre Pipeline-Definitionen, Geheimnisse, Connectors, Deploy-Logs und Audit-Daten hält. Den Delegate lokal zu machen bewegt die Control Plane nicht. Nur die Self-Managed Enterprise Edition im Inland zu betreiben, hält den Speicher an Pipelines und Geheimnissen ansässig.
Kann 21YunBox uns helfen, Harness rechtskonform für ein China-Team zu betreiben?
Ja. Unser China-Team kann Ihre Grenztransfer- und Data-Residency-Exponierung für Ihre Rechtsperson, Rolle und Datenmengen kartieren, Ihnen helfen, die Self-Managed Enterprise Edition auf inländischer Infrastruktur aufzustellen, sodass die Pipelines, Geheimnisse, Logs und Metadaten ansässig bleiben, die personenbezogenen Daten in Commits und Issues zu minimieren und rechtskonformen inländischen Zugang vor dem auszuliefern, was Sie bereits betreiben — niemals irgendeine Form der Umgehung. Kontaktieren Sie uns, um Ihr Setup durchzugehen.
