Funktioniert Helm in China? Data Residency, ICP & Grenztransfer-Regeln

Was die offizielle Helm-Dokumentation über China sagt

Fakt	Primärquelle
Ein Helm-Chart ist Ihre Deployment-Verpackung, und es trägt Konfigurationswerte. Helms Dokumentation gibt an: „A chart is a collection of files that describe a related set of Kubernetes resources“, und dass „Chart developers may supply a file called values.yaml inside of a chart. This file can contain default values“. Diese Verpackung beschreibt Ihre proprietäre Anwendungs-Topologie und referenziert die Config und Secrets, die Ihr Deployment nutzt.	Helm Docs, „Charts“ (helm.sh/docs/topics/charts), abgerufen 2026-10-13
Ein Chart-Repository ist ein gewöhnlicher HTTP-Server, und Helm lässt Sie Ihr eigenes betreiben. Helms Chart Repository Guide gibt an: „A chart repository is an HTTP server that houses an index.yaml file and optionally some packaged charts“, und dass „Helm also makes it possible to create and run your own chart repository“. Wo dieses Repository läuft, ist, wo Ihre privaten Charts und ihre Secret-Referenzen residieren.	Helm Docs, „The Chart Repository Guide“ (helm.sh/docs/topics/chart_repository), abgerufen 2026-10-13
Charts, Values und Publishing-Metadaten, die offshore gehalten werden, sind ein PIPL-Grenztransfer. Jede personenbezogene Information in den Charts, Values oder Release-Metadaten Ihres China-Deployments — Mitwirkenden-Identitäten, Zugriffs-Logs —, die auf einem offshore gelegenen Repository gehalten wird, löst PIPL Artikel 38–40 aus: Mitteilung, eine gesonderte Einwilligung, getrennt von der Produktvereinbarung, und ein Transfermechanismus (eine CAC-Sicherheitsbewertung, der CAC-Standardvertrag oder Zertifizierung).	Gesetz zum Schutz personenbezogener Daten der VR China, Artikel 38–40, abgerufen 2026-10-13
Ein Betreiber kritischer Informationsinfrastruktur muss in China erhobene Daten im Festland halten. Artikel 39 (vormals Artikel 37) des Cybersicherheitsgesetzes, umnummeriert durch die Novelle von 2025, in Kraft seit 2026-01-01, verlangt, dass im Festland erhobene und erzeugte personenbezogene Information und wichtige Daten dort gespeichert werden — eine Pflicht, die ein offshore gelegenes Chart-Repository nicht erfüllen kann.	Cybersicherheitsgesetz der VR China, Artikel 39 (vormals Artikel 37), geändert 2025, in Kraft 2026-01-01, abgerufen 2026-10-13

Quellen vom 21YunBox Compliance-Team am 13. Oktober 2026 geprüft.

Für eine Festlandchina-Operation ist die entscheidende Frage zu Helm nicht, ob ein Cluster in Schanghai einen öffentlichen Community-Chart installieren kann — es ist, wo Ihre privaten Charts leben, was sie tragen und auf welcher Rechtsgrundlage sie dorthin gekommen sind. Open-Source-Charts zu ziehen ist ein Erreichbarkeitsthema und nicht das, das entscheidet, ob Ihr Setup vertretbar ist. Ihre privaten Helm-Charts sind anders: Ein Chart ist Ihre Deployment-Verpackung — es beschreibt Ihre proprietäre Anwendungs-Topologie (welche Kubernetes-Ressourcen laufen und wie sie verdrahtet sind) und trägt die Konfigurationswerte und die Referenzen auf die Secrets, die Ihr Deployment nutzt. Helm selbst ist Open-Source-Tooling, das Sie betreiben; was Residency entscheidet, ist das Chart-Repository dahinter. Auf einem offshore gelegenen Chart-Repository gehostet, sitzen diese Verpackung und diese Secret-Referenzen im Ausland, und die Chart-Lieferkette Ihres China-Deployments — was es installiert, mit welcher Provenienz und Integrität — löst über die Grenze auf. Residency und Grenztransfer, nicht Installationszeit, entscheiden dies.

Funktioniert Helm in China? Auf einen Blick

Tür eins — Ihre privaten Charts sind proprietäre Verpackung, und Residency folgt dem, wo sie gehostet sind

Beginnen Sie mit dem, was das Repository hält, denn darauf antwortet Chinas Recht. Öffentliche Community-Charts zu ziehen ist ein Erreichbarkeitsthema und nicht der Teil, der dies entscheidet. Ihre privaten Charts sind der maßgebliche Speicher dessen, wie Ihre Anwendung gebaut und bereitgestellt wird: in Helms eigenen Worten „A chart is a collection of files that describe a related set of Kubernetes resources“. Diese Verpackung ist eine konzentrierte Scheibe Ihres geistigen Eigentums — Ihre Anwendungs-Topologie, Ihre Release-Verdrahtung — und sie trägt Konfigurationswerte und Referenzen auf die Secrets, die Ihr Deployment nutzt. Helm dokumentiert, dass „Chart developers may supply a file called values.yaml inside of a chart. This file can contain default values“, und in der Praxis halten diese Values-Dateien routinemäßig die Zugangsdaten, Tokens und die Config, die ein Deployment braucht.

Wo diese Verpackung gehostet ist, ist der Punkt. Helm selbst ist Open-Source-Tooling, das Sie betreiben; Ihre privaten Charts leben in einem Chart-Repository — Helm definiert eines als „an HTTP server that houses an index.yaml file and optionally some packaged charts“ — oder in einer OCI-Registry, die Helm ebenfalls zum Speichern und Teilen von Chart-Paketen unterstützt. Wenn dieses Repository oder diese Registry offshore läuft, sitzen Ihre proprietäre Verpackung und ihre Secret-Referenzen außerhalb des Festlands. Wenn Sie ein Betreiber kritischer Informationsinfrastruktur sind oder personenbezogene Information in Mengen verarbeiten, müssen in China erhobene und erzeugte personenbezogene Information und wichtige Daten im Festland gespeichert werden, mit einer Sicherheitsbewertung vor jeder Ausfuhr — die Datenlokalisierungsregel des Cybersicherheitsgesetzes, Artikel 39 (vormals Artikel 37), umnummeriert durch die Novelle von 2025, in Kraft seit 2026-01-01. Ein offshore gelegenes Repository, das Ihre privaten Charts und eingebetteten Secret-Referenzen hält, hat kein Festland-Fundament, um das zu erfüllen.

Tür zwei — Secret-Referenzen, Publisher-Identitäten und Lieferketten-Provenienz

Die zweite Tür ist PIPL und die Integrität dessen, was Ihr China-Cluster installiert. Ein Chart und die Pipeline darum tragen mehr als Topologie: die Konfigurationswerte und Secret-Referenzen, von denen das Deployment abhängt, die Benutzernamen und E-Mail-Adressen derer, die ein Release verpackt und promoviert haben, Zugriffs-Logs und alle personenbezogenen Daten, die ihren Weg in Chart-Inhalte oder Values finden. Nach dem Gesetz zum Schutz personenbezogener Daten ist es ein grenzüberschreitender Transfer (Artikel 38–40), diese Daten auf Infrastruktur außerhalb des Festlands zu halten: Der Handler muss Mitteilung geben, eine gesonderte Einwilligung für den Transfer einholen und einen Mechanismus absolvieren — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder Zertifizierung. Die Secrets und personenbezogenen Daten, die überhaupt in Chart-Inhalte und Values gelangen, zu minimieren, ist Teil der Lösung, aber es bewegt den Speicher nicht von allein. Und weil Ihr China-Cluster seine Charts von dort installiert, wo das Repository läuft, werden auch die Provenienz und Integrität dessen, was in Ihr China-Deployment gelangt, über die Grenze geregelt — eine Software-Lieferketten-Exponierung, die eine Konnektivitätsprüfung nie aufdeckt.

Warum eine Erreichbarkeitsprüfung das verfehlt

Ein „kann mein Cluster einen Chart aus Schanghai installieren“-Test beantwortet die falsche Frage. Ein Registry-Mirror oder -Cache oder Konnektivitäts-Tuning ändert, wie schnell und wie zuverlässig ein Chart auflöst — es ändert nicht, wo Ihre privaten Charts, ihre Konfigurationswerte, ihre Secret-Referenzen und die Installations-Provenienz tatsächlich leben. Ein Setup kann also aus China heraus vollkommen gesund aussehen, während jeder private Chart, jede in seinen Values eingebackene Secret-Referenz und jeder Publisher-Datensatz weiterhin offshore sitzt. Die Residency- und Grenztransfer-Fragen oben sind für eine Erreichbarkeitssonde unsichtbar, gerade weil die Charts weiter installieren — darum ist der Schritt, der zählt, das private Chart-Repository ins Inland zu bewegen, nicht das offshore gelegene bloß erreichbar oder gemirrort zu machen. Wir veröffentlichen keine eigene Messung der Helm-Chart-Repository-Konnektivität aus China, wir setzen hier also keine Zahlen; es ist etwas, das wir gegen Ihr tatsächliches Setup messen würden, statt es zu behaupten.

Dies ist eine Risikokarte, kein Urteil: Ob Sie inländische Speicherung, einen Transfermechanismus, einen überarbeiteten Einwilligungsfluss, eine ICP-Beian für ein öffentlich zugängliches Developer-Portal oder eine Kombination davon brauchen, hängt davon ab, was Ihre privaten Charts und Values tragen, wie viel und wer Ihre Mitwirkenden sind — es lohnt sich, das mit Rechtsbeistand zu klären, bevor Sie bauen.

Der Hebel — kartieren, lokalisieren, ausliefern

Weil Helm ein Chart-Repository als Server dokumentiert, den Sie selbst betreiben können, gibt es einen echten inländischen Pfad, und 21YunBox nutzt oder empfiehlt niemals Umgehung jeglicher Art.

• Kartieren — inventarisieren, welche Ihrer Charts privat sind (Ihre proprietäre Verpackung), ob sie Konfigurationswerte und Secret-Referenzen einbetten, wo dieses Chart-Repository oder diese OCI-Registry heute gehostet ist, die Residency-Grundlage und wie die Chart-Lieferkette Ihres China-Deployments die Grenze überschreitet.
• Lokalisieren/steuern — das private Chart-Repository im Inland betreiben (selbstgehostet — ChartMuseum oder Harbor / eine OCI-Registry, die Sie in Ihrer eigenen Infrastruktur hosten), sodass die proprietäre Verpackung und Secret-Referenzen ansässig bleiben; die Lieferkette Ihres China-Clusters im Inland halten; und minimieren, was die Grenze überschreitet.
• Ausliefern — ein rechtskonformes, inländisches Chart-Repository und Image-Delivery vor (oder anstelle) des offshore gelegenen Repositorys setzen; 21YunBox stellt die inländische Schicht ohne Neuaufbau auf.

Die öffentliche Registry bloß erreichbar oder gemirrort zu machen ist nicht die Antwort — Ihre privaten Charts und Secret-Referenzen sind weiterhin offshore, und sie schneller zu installieren ändert das nicht. Das Chart-Repository im Inland zu halten ist es.

Wo 21YunBox hineinpasst — eine rechtskonforme Overlay, keine Migration

Sie nutzen Helm weiter. Wir fügen das Stück hinzu, das ein offshore gelegenes Chart-Repository nicht von allein bieten kann: ein rechtmäßiges, inländisches Zuhause für ein selbstgehostetes Chart-Repository, sodass Ihre proprietären Charts, ihre Konfigurationswerte und ihre Secret-Referenzen ansässig bleiben, wo das Gesetz es verlangt, mit rechtskonformer ICP-beian-pflichtiger Auslieferung für den Entwicklerzugang und jedes öffentlich zugängliche Portal davor — um Ihr bestehendes Setup herum platziert, ohne Neuaufbau, ohne zweite Codebasis und ohne Migration von Helm weg. Als Partner für die Toolchain, die Sie bereits betreiben, kartiert unser China-Team Ihre PIPL-Grenztransfer-, Einwilligungs- und Data-Residency-Pflichten gegen Ihre Rechtsperson und Ihre Pipeline und stellt dann das inländische Chart-Repository und die Auslieferung auf, die eine vertretbare China-Präsenz braucht. Wir nutzen oder empfehlen niemals Umgehung jeglicher Art.

Compliance-Einschätzung anfordern →

---

Weiterführend:

• Grenzüberschreitende Datentransfers nach PIPL
• Chinas Cybersicherheitsgesetz und Datenlokalisierung
• So erhalten Sie eine ICP-Beian für China

Häufige Fragen

Ist Helm in China gesperrt, und kann mein Cluster weiterhin Charts installieren?

Helm ist Open-Source-Tooling, das Sie innerhalb Ihres eigenen Clusters betreiben, es gibt also keinen Helm-Dienst zum Sperren, und ein Cluster kann Charts installieren, wo immer Sie sie hosten. Aber Erreichbarkeit ist nicht, was Compliance entscheidet. Die Frage ist, wo Ihre privaten Charts — Ihre proprietäre Deployment-Verpackung, mit ihren Konfigurationswerten und Secret-Referenzen — gespeichert sind und ob die Chart-Lieferkette Ihres China-Deployments die Grenze überschreitet. Behandeln Sie die Einzelheiten als ein mit Rechtsbeistand zu bestätigendes Risiko.

Wo leben meine privaten Helm-Charts tatsächlich?

Helm selbst hostet Ihre Charts nicht; ein Chart-Repository tut es. Helms Doku beschreibt dieses Repository als HTTP-Server, der eine index.yaml-Datei und Ihre verpackten Charts beherbergt, und Helm unterstützt zudem OCI-Registries zum Speichern und Teilen von Chart-Paketen. Wenn dieses Repository oder diese Registry offshore läuft, sitzen Ihre privaten Charts und die Secret-Referenzen in ihren Values außerhalb des Festlands — eine Data-Residency- und PIPL-Grenztransfer-Frage, keine Konnektivitätsfrage.

Was ist der rechtskonforme Weg, Helm für ein China-Deployment zu betreiben?

Das Chart-Repository im Inland halten. Weil Helm ein Chart-Repository als Server dokumentiert, den Sie selbst betreiben können, können Sie es innerhalb des Festlands selbsthosten — ChartMuseum, Harbor oder eine OCI-Registry, die Sie hosten —, sodass Ihre privaten Charts, Values und Secret-Referenzen ansässig bleiben und Ihr China-Cluster aus einer inländischen Quelle mit inländischer Provenienz installiert. 21YunBox kartiert Ihre Residency- und Grenztransfer-Exponierung, stellt dieses inländische Repository und die Auslieferung auf ICP-beian-pflichtiger Infrastruktur auf und nutzt oder empfiehlt niemals Umgehung jeglicher Art.