Funktioniert Kong Gateway in China? Self-Hosted vs. Konnect, ICP & PIPL
Kong Gateway ist Software, die Sie deployen — Compliance hängt also davon ab, wo Sie sie betreiben: Hosten Sie die Data Plane selbst auf lizenzierter, inländischer Infrastruktur, kann sie rechtmäßig im Festland sitzen — aber Kong Konnects Control Plane wird offshore gehostet, ohne Festlandchina-Geo, und den API-Verkehr von Festland-Nutzern über die Grenze zu leiten wirft PIPL auf. Ein Compliance-zuerst-Blick auf beide Modelle.
Funktioniert Kong Gateway in China?
Es hängt davon ab, wo Sie es betreiben. Kong Gateway ist Software, die Sie deployen, kein gehosteter Dienst — hosten Sie die Data Plane selbst auf lizenzierter, inländischer Infrastruktur, kann sie rechtmäßig im Festland sitzen, aber stützen Sie sich auf Kong Konnects Cloud-Control-Plane oder betreiben Sie das Gateway offshore, erben Sie eine PIPL-Grenztransfer- und Data-Residency-Frage.
Kong beschreibt Konnect als Verbindung von „a control plane, managed by Kong and hosted in the cloud, with the versatility of managing the data plane on your terms“, und seine Control-Plane-Geos sind Australien, Europa, der Nahe Osten, die Vereinigten Staaten, Indien und Singapur — keine davon innerhalb Festlandchinas. Die Data Plane des Gateways ist der Knoten, der im Request-Pfad Ihrer Nutzer sitzt; platzieren Sie sie offshore, oder leiten Sie Festland-Verkehr über die Grenze, um sie zu erreichen, ist das ein grenzüberschreitender Transfer personenbezogener Information, den PIPL regelt (Artikel 38–43; Lokalisierung nach Artikel 40 und Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37)). Kong selbst trägt keine ICP — das fällt auf die öffentliche API, die es fronted, die eine Einreichung auf einem inländischen Host braucht. Die Tabelle unten ist Kongs eigene Formulierung und die Regel, die jede Wahl auslöst.
Dies ist eine Risikokarte, kein Urteil — welches Setup rechtmäßig ist, hängt davon ab, welches Kong-Modell Sie betreiben, wo Ihre Data Plane sitzt und wer Ihre Nutzer sind. Unser China-Team kann Ihre Exponierung mit Ihnen kartieren →
Compliance-Momentaufnahme
- ✓ Selbst gehostetes Kong Gateway kann auf inländischer, ICP-eingereichter Infrastruktur laufen
- ! Kong Konnects Control Plane wird von Kong gehostet — keine Festlandchina-Geo
- ! Leiten Sie den API-Verkehr von Festland-Nutzern offshore, gelten PIPLs Grenztransfer-Regeln
- ! Konnect hält Ihre Konfiguration und Analytics in der Geo, die Sie wählen — alle offshore
- ✕ Kong hält keine ICP; eine aus offshore bediente API hat keinen inländischen Host, um eine einzureichen
Was die offizielle Kong Gateway-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| Kong Gateway ist Software, die Sie deployen; Kong Konnect ist eine Control Plane, die Kong für Sie betreibt. Kong beschreibt Konnect als Verbindung von „a control plane, managed by Kong and hosted in the cloud, with the versatility of managing the data plane on your terms“, angeboten als serverless Gateway, Dedicated Cloud Gateways „fully managed by Kong“ oder selbst gehostete Data-Plane-Knoten, die Sie selbst betreiben. Hosten Sie das Gateway selbst auf inländischer, ICP-eingereichter Infrastruktur, kann es im Festland sitzen; stützen Sie sich auf die managed Control Plane, ist ein Teil Ihres Stacks per Design offshore. | Kong — Konnect overview (developer.konghq.com/konnect), abgerufen 2026-10-07 |
| Konnects Control Plane läuft nur in den Geos, die Kong anbietet — keine innerhalb Festlandchinas. Kong: „Konnect allows you to host and operate your cloud instance in a geographic region that you specify“, und die unterstützten Control-Plane-Geos sind Australien, Europa, der Nahe Osten, die Vereinigten Staaten, Indien und Singapur. Es gibt keine Festlandchina-Region, eine Konnect-verwaltete Control Plane — und die Konfiguration und Analytics, die sie hält — residiert also außerhalb des Festlands; die nächste, Singapur, ist für Grenztransfer-Zwecke nach PIPL weiterhin offshore. | Kong — Geographic Regions (developer.konghq.com/konnect-platform/geos), abgerufen 2026-10-07; PIPL Articles 38–43 |
| Die Data Plane sitzt im Request-Pfad Ihrer Nutzer; die Control Plane nimmt nur Verkehrs-Metadaten auf. In Kongs Worten „Data plane nodes send usage information to the Control Plane for Analytics and for account billing“, und „Analytics tracks aggregate traffic by Gateway Service, Route, and the consuming application“ — Kong fügt hinzu, dass „Telemetry data does not include any customer information or any data processed by the Data Plane“. Die personenbezogenen Daten selbst fließen durch den Data-Plane-Knoten, den Sie platzieren, wo dieser Knoten also läuft — im Inland oder offshore — ist es, was die Grenztransfer-Frage entscheidet (PIPL Artikel 38–43 und 40; Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37)). | Kong — Control Plane and Data Plane communication (developer.konghq.com/gateway/cp-dp-communication), abgerufen 2026-10-07; PIPL Articles 38–43 & 40; Cybersecurity Law Article 39 (formerly Article 37) |
| Konnect isoliert Ihre Consumer- und Service-Objekte auf die Geo, die Sie wählen — und keines davon liegt im Festland. Kong merkt an, dass Objekte „like Consumers and Gateway Services“ innerhalb einer Konnect-Instanz „geo-specific“ sind und dass „only authentication, billing, and usage is shared between Konnect geos“. Da jede verfügbare Geo offshore ist, bleiben diese Daten per Design außerhalb Festlandchinas. Kong selbst trägt keine ICP — die öffentliche API, die es fronted, braucht eine ICP-Beian, an einen inländischen Host gebunden (Staatsrat-Erlass Nr. 292; MIIT-Erlass Nr. 33), und eine aus offshore bediente API hat im Festland nichts, wogegen einzureichen wäre. | Kong — Geographic Regions (developer.konghq.com/konnect-platform/geos), abgerufen 2026-10-07; State Council Order No. 292; MIIT Order No. 33 |
Quellen vom 21YunBox Compliance-Team am 7. Oktober 2026 geprüft.
Ob Kong Gateway in Festlandchina „funktioniert“, ist eine Frage danach, wo Sie es betreiben, nicht wie schnell es lädt. Kong Gateway ist Software, die Sie deployen — die ehrliche Antwort ist also kein glattes Ja oder Nein: Hosten Sie das Gateway selbst auf lizenzierter, inländischer Infrastruktur, kann es rechtmäßig im Festland sitzen; greifen Sie zu Kong Konnects Cloud-Control-Plane oder betreiben Sie das Gateway offshore und leiten Festland-Verkehr über die Grenze zu ihm, übernehmen Sie eine grenzüberschreitende personenbezogene-Daten-Frage, die Chinas Recht regelt. Das Gateway sitzt im Request-Pfad Ihrer Nutzer — wo es sitzt, ist also die Compliance-Entscheidung, und Kong dokumentiert die Bausteine in seinen eigenen Worten.
Kong Gateway in China auf einen Blick
| Was darüber entscheidet | In Kongs eigenen Worten |
|---|---|
| Welches Modell Sie betreiben | Kong Gateway ist Software, die Sie deployen; Kong Konnect fügt „a control plane, managed by Kong and hosted in the cloud“ hinzu, während Sie „the data plane on your terms“ verwalten — self-hosted, serverless oder Kongs Dedicated Cloud Gateways. |
| Konnects Regionen | Konnects Control-Plane-Geos sind Australien, Europa, der Nahe Osten, die Vereinigten Staaten, Indien und Singapur. Keine davon liegt in Festlandchina; die nächste, Singapur, ist weiterhin offshore. |
| Was im Request-Pfad sitzt | Der Data-Plane-Knoten bedient den API-Verkehr Ihrer Nutzer. Wo Sie ihn platzieren — im Inland oder offshore — entscheidet, ob die personenbezogenen Daten von Festland-Nutzern die Grenze überschreiten. |
| Was die Control Plane hält | „Data plane nodes send usage information to the Control Plane for Analytics and for account billing“, erfasst Verkehr „by Gateway Service, Route, and the consuming application“. Kong gibt an, Telemetrie „does not include any customer information or any data processed by the Data Plane“. |
| ICP & Residency | Kong hält keine eigene ICP; die öffentliche API, die es fronted, braucht eine — auf einem inländischen Host. Offshore verarbeitete personenbezogene Daten von Festland-Nutzern sind ein grenzüberschreitender Transfer, den PIPL regelt. |
Zwei Deployment-Modelle, zwei sehr verschiedene Antworten
Kong Gateway und Kong Konnect sind nicht dieselbe Entscheidung. Kong Gateway ist offene, selbstverwaltete Software: Sie betreiben die Data Plane, wo immer Sie wählen — auch auf lizenzierter, inländischer Infrastruktur im Festland. Kong Konnect ist Kongs SaaS: in Kongs Worten verbindet es „a control plane, managed by Kong and hosted in the cloud, with the versatility of managing the data plane on your terms“, angeboten als serverless Gateway, Dedicated Cloud Gateways „fully managed by Kong“ oder selbst gehostete Data-Plane-Knoten, die Sie selbst betreiben. Das Erste, was darüber entscheidet, ob Kong in China „funktioniert“, ist also, welches dieser Modelle Sie tatsächlich betreiben — und die Antwort fällt für jedes wirklich anders aus.
Die Control Plane wird von Kong gehostet — und nie im Festland
Wählen Sie Konnect, lebt die Control Plane in einem Kong-betriebenen Geo. Kong: „Konnect allows you to host and operate your cloud instance in a geographic region that you specify“ — und die angebotenen Geos sind Australien, Europa, der Nahe Osten, die Vereinigten Staaten, Indien und Singapur. Es gibt keine Festlandchina-Region, die Control Plane also, die Ihre Konfiguration, Ihre Consumer- und Service-Objekte und Ihre Analytics hält, sitzt per Design außerhalb des Festlands. Kong merkt sogar an, dass Objekte „like Consumers and Gateway Services“ „geo-specific“ sind, isoliert auf das Geo, das Sie wählen — was für ein China-Publikum genau der Punkt ist: dieses Geo ist stets offshore, und das nächstgelegene, Singapur, liegt weiterhin jenseits der Grenze.
Wo die personenbezogenen Daten tatsächlich fließen
Das Stück, das die personenbezogenen Daten Ihrer Nutzer trägt, ist die Data Plane — der Kong-Knoten, der Verkehr im Request-Pfad bedient. Kong ist sorgfältig darin, was sie verlässt: „Data plane nodes send usage information to the Control Plane for Analytics and for account billing“, und Analytics „tracks aggregate traffic by Gateway Service, Route, and the consuming application“, während „Telemetry data does not include any customer information or any data processed by the Data Plane“. Die Offshore-Residency der Control Plane betrifft also Konfiguration und Verkehrs-Metadaten, nicht rohe Nutzerdatensätze. Die Grenztransfer-Frage landet voll auf der Data Plane: Läuft sie offshore, oder reisen die Anfragen von Festland-Nutzern über die Grenze, um sie zu erreichen, macht ihre personenbezogene Information einen grenzüberschreitenden Transfer nach Chinas Gesetz zum Schutz personenbezogener Daten — Mitteilung, gesonderte Einwilligung und ein Transfermechanismus (Artikel 38–43) — und für einen Betreiber kritischer Informationsinfrastruktur oder Handler mit hohem Volumen müssen diese Daten im Festland gespeichert werden (PIPL Artikel 40; Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37)).
Kong trägt keine ICP — die API, die es fronted, schon
Ein API-Gateway ist Infrastruktur, keine öffentliche Website, es gibt also keine „Kong-ICP“. Aber die öffentlich zugewandte API oder App, die Kong Festland-Besuchern bedient, braucht eine ICP-Beian (ICP 备案) nach Staatsrat-Erlass Nr. 292 und MIIT-Erlass Nr. 33, und diese Beian muss an eine Hosting-Ressource physisch im Festland gebunden sein. Betreiben Sie das Gateway und seinen Origin offshore, gibt es im Inland nichts, wogegen einzureichen wäre; platzieren Sie sie im Festland, hat die Beian ein Zuhause. Das ist die Hälfte, die „wir betreiben doch schon Kong“ nicht klärt: erreichbare Software ist nicht dasselbe wie eine lizenzierte, eingereichte Präsenz.
Dies ist eine Risikokarte, kein Urteil: ob Sie inländische Platzierung, eine ICP-Beian, einen Grenztransfer-Mechanismus oder alle drei brauchen, hängt davon ab, welches Kong-Modell Sie betreiben, wie viel personenbezogene Information Sie halten und wer Ihre Nutzer sind — wert, mit Rechtsbeistand zu klären, bevor Sie bauen.
Wo 21YunBox passt — eine rechtskonforme Overlay, keine Migration
Sie betreiben Kong genau weiter wie bisher. Wir fügen das Stück hinzu, das weder das Open-Source-Gateway noch Konnects offshore gelegene Control Plane Ihnen gibt: rechtskonforme, ICP-eingereichte Auslieferung aus dem Festland heraus, vor Ihren bestehenden Kong-Origin gesetzt — kein Neuaufbau, keine zweite Codebasis und kein Wechsel weg von Kong oder Konnect. Unser China-Team kartiert, welches Modell Sie betreiben und wo Ihre Data Plane sitzt, schätzt Ihre PIPL-Grenztransfer- und Data-Residency-Pflichten für Ihre Rechtsperson und Ihre Datenmengen ein und stellt die inländische, eingereichte Auslieferung auf, die eine rechtmäßige China-Präsenz braucht — während Ihre Gateway-Konfiguration genau dort bleibt, wo sie bereits lebt.
Compliance-Einschätzung anfordern →
Weiterführend:
Häufige Fragen
Braucht Kong Gateway in China seine eigene ICP-Beian?
Nein — ein API-Gateway ist Infrastruktur, keine öffentliche Website, Kong selbst hält also keine ICP. Die Pflicht landet auf der öffentlich zugewandten API oder App, die es fronted: bedient diese Festland-Besucher, braucht sie eine ICP-Beian, an eine inländische Hosting-Ressource gebunden (Staatsrat-Erlass Nr. 292; MIIT-Erlass Nr. 33). Betreiben Sie das Gateway und seinen Origin offshore, gibt es keinen Festland-Host, wogegen einzureichen wäre; platzieren Sie sie im Inland, hat die Beian ein Zuhause.
Ist selbst gehostetes Kong Gateway für China rechtskonformer als Kong Konnect?
Es kann es sein, weil Sie steuern, wo die Data Plane läuft. Hosten Sie das Gateway selbst auf lizenzierter, inländischer Infrastruktur, kann der API-Verkehr Ihrer Nutzer im Festland bleiben. Kong Konnect fügt eine Control Plane hinzu, die Kong in der Cloud hostet, und seine Geos sind Australien, Europa, der Nahe Osten, die USA, Indien und Singapur — keine in Festlandchina — die Control Plane, Ihre Konfiguration und Ihre Analytics sitzen also offshore. Keines ist automatisch rechtskonform: es hängt davon ab, wo die Data Plane sitzt, welche Daten die Grenze überschreiten und welche PIPL-Pflichten Sie treffen. Wert, mit Rechtsbeistand zu bestätigen.
Kann 21YunBox helfen, Kong Gateway in China rechtskonform zu betreiben?
Ja. Unser China-Team kann Ihre Exponierung kartieren — ob der API-Verkehr von Festland-Nutzern die Grenze überschreitet, wo Ihre Data Plane und Ihr Origin sitzen und wie PIPL-Grenztransfer- und Data-Residency-Regeln auf Ihre Rechtsperson und Datenmengen zutreffen — und dann ICP-eingereichte, inländische Auslieferung vor Ihr bestehendes Kong-Setup stellen, ohne Neuaufbau und ohne zweite Codebasis. Melden Sie sich, um Ihren konkreten Fall durchzuarbeiten.
