Funktioniert NS1 in China? ICP, DNS-Erreichbarkeit & die Backend-Schicht
NS1 (jetzt IBM NS1 Connect) ist verwaltetes autoritatives DNS — eine Backend-Schicht, die keine eigene ICP-Beian trägt und nicht der Ort ist, an dem die Daten Ihrer Nutzer leben. IBM selbst verkauft ein separates 'DNS for China'-Add-on, die Auflösung auf dem Festland ist also eine Auslieferungsfrage, während die ICP-Pflicht auf Ihrer Website bleibt. Ein Compliance-zuerst-Blick auf die richtige Schicht, die zu fragen ist.
Funktioniert NS1 in China?
Ja als Verrohrung, nein als Compliance-Antwort. NS1 — jetzt IBM NS1 Connect — ist verwaltetes autoritatives DNS: eine Backend-Schicht, die Ihre Domain auflöst, nicht der Ort, an dem die Daten Ihrer Nutzer leben, und nichts, das eine ICP-Beian halten kann. Ob Ihre Website auf dem Festland China betrieben werden darf, wird also eine Schicht höher entschieden, und Ihre Domain auf NS1 zu richten — selbst auf IBMs separates "DNS for China"-Add-on — klärt es nicht.
IBM behandelt das Festland als sein eigenes Problem: unter einem globalen Anycast-Netzwerk von „26 Points of Presence (PoPs) strategically distributed across six continents" verkauft es ein separates „DNS for China"-Add-on, das es als „A managed DNS network designed to improve DNS performance and reliability for users in mainland China" beschreibt. Dieses Add-on ist eine Auslieferungslösung, keine rechtliche: eine ICP-Beian (ICP 备案) knüpft an die inländische Hosting-Ressource Ihrer Website an, nicht an einen DNS-Anbieter, NS1 hält also keine und kann keine verleihen. Und weil DNS Namen auflöst statt die Datensätze Ihrer Kunden zu speichern, ist NS1 nicht selbst Ihre PIPL-Grenz- oder Data-Residency-Exponierung — die lebt in Ihrer Hosting- und Anwendungsschicht. Die Tabelle unten ist IBMs eigene Formulierung und die Regel, die jede Zeile auslöst.
Dies ist eine Risikokarte, kein Urteil — welche Schicht Sie tatsächlich abriegelt, hängt von Ihrer Website, Ihrem Hosting und davon ab, wer Ihre Nutzer sind. Unser China-Team kann Ihre Exponierung mit Ihnen kartieren →
Compliance-Momentaufnahme
- ✓ NS1 ist Backend-DNS — es löst Ihre Domain auf, es speichert nicht die personenbezogenen Daten Ihrer Nutzer
- ✕ Eine ICP-Beian knüpft an den inländischen Host Ihrer Website an, nicht an einen DNS-Anbieter — NS1 hält keine
- ! Von Anycast außerhalb Chinas beantwortetes autoritatives DNS löst innerhalb des Festlands inkonsistent auf
- ! IBM verkauft ein separates "DNS for China"-Netzwerk — die Auflösung auf dem Festland ist ihr eigenes Problem
- ! Ihre öffentliche China-Website braucht weiterhin ICP-eingereichte inländische Auslieferung, die NS1 nicht bietet
Was die offizielle NS1-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| NS1 ist verwaltetes autoritatives DNS — ein Backend-Resolver, kein Host und kein Datenspeicher. In IBMs eigenen Worten liefert NS1 Connect einen „fully managed cloud DNS service" und „can act as both a primary (authoritative) and secondary DNS provider" — „As a primary DNS, it hosts and manages your DNS zones." DNS übersetzt Ihre Domain in eine Adresse; es ist nicht der Ort, an dem die personenbezogenen Daten Ihrer Nutzer leben, NS1 selbst ist also nicht Ihre PIPL-Grenz- oder Data-Residency-Exponierung. | IBM NS1 Connect — Anycast DNS (ibm.com), abgerufen 2026-10-07 |
| Eine ICP-Beian knüpft an das inländische Hosting Ihrer Website an, nicht an Ihren DNS-Anbieter. Eine öffentliche Website, die Besuchern auf dem Festland bedient wird, braucht eine ICP-Beian (ICP 备案), die an eine Hosting-Ressource gebunden ist, die physisch innerhalb des Festlands liegt, nach Erlass Nr. 292 des Staatsrats und MIIT-Erlass Nr. 33. Ein DNS-Anbieter ist nicht diese Hosting-Ressource, NS1 trägt also keine eigene ICP — und das autoritative DNS zu wechseln oder IBMs „DNS for China"-Dienst hinzuzufügen erzeugt nicht die Festland-Grundlage, die eine Beian erfordert. | IBM NS1 Connect — Managed DNS (ibm.com), abgerufen 2026-10-07; State Council Order No. 292; MIIT Order No. 33 |
| IBM selbst behandelt das Festland China als separates Auslieferungsproblem. Zusätzlich zu dem, was es „a robust anycast DNS network with 26 Points of Presence (PoPs) strategically distributed across six continents" nennt, verkauft IBM ein separates „DNS for China"-Add-on — „A managed DNS network designed to improve DNS performance and reliability for users in mainland China." Ein Anbieter, der ein dediziertes Festland-Netzwerk baut, signalisiert damit, dass von Anycast außerhalb Chinas beantwortetes autoritatives DNS das Festland nicht von selbst zuverlässig auflöst — eine Erreichbarkeitsfrage, kein rechtliches Urteil. | IBM NS1 Connect — Managed DNS (ibm.com), abgerufen 2026-10-07 |
| NS1 ist jetzt „IBM NS1 Connect." IBM übernahm NS1 und brachte den Dienst unter seinem eigenen Namen neu heraus: „We're excited to call this innovative solution IBM NS1 Connect," und „When launched on October 17, 2023, IBM NS1 Connect will leverage the power of DNS." Die Eigentümerschaft und das Branding änderten sich; die Compliance-Fakten nicht — unter welchem Namen auch immer trägt ein DNS-Anbieter weiterhin nicht die ICP-Beian Ihrer Website und sitzt weiterhin außerhalb des Festlands, es sei denn, Sie fügen seinen separaten China-Dienst hinzu. | IBM — "IBM NS1 Connect: How IBM is delivering network connectivity with premium DNS offerings" (ibm.com case-studies blog), abgerufen 2026-10-07 |
Quellen vom 21YunBox Compliance-Team am 7. Oktober 2026 geprüft.
Für ein Publikum auf dem Festland China ist die nützliche Frage zu NS1 nicht, wie schnell es auflöst — sie ist, auf welche Schicht Ihres Stacks Chinas Regeln tatsächlich landen und ob NS1 diese Schicht ist. Das ist es nicht. NS1 — jetzt IBM NS1 Connect, nach IBMs Übernahme 2023 — ist verwaltetes autoritatives DNS: ein Backend-Dienst, der Ihre Domain in eine Adresse übersetzt. Es ist nicht der Host Ihrer Website, es ist nicht der Ort, an dem die Daten Ihrer Nutzer leben, und es kann keine ICP-Beian halten. „Wir betreiben NS1” gibt Ihre Website also weder zum Betrieb in China frei noch erzeugt es von sich aus ein Data-Residency-Problem. Was es Ihnen lässt, ist ein engeres, ehrliches Paar Fragen: wer die ICP einreicht und ob von offshore beantwortetes DNS innerhalb des Festlands zuverlässig auflöst.
NS1 in China auf einen Blick
| Was es entscheidet | In NS1s eigenen Worten |
|---|---|
| Was es ist | Ein „fully managed cloud DNS service", der „can act as both a primary (authoritative) and secondary DNS provider" — autoritatives DNS, das Ihre Domain auflöst. Kein Web-Host, kein Datenspeicher. |
| Wo es läuft | „A robust anycast DNS network with 26 Points of Presence (PoPs) strategically distributed across six continents." Das Festland China wird separat vermarktet, nicht als Teil dieses Netzwerks. |
| Das Festland bedienen | Ein separates Add-on, „DNS for China" — „A managed DNS network designed to improve DNS performance and reliability for users in mainland China." Seine Existenz sagt, dass DNS außerhalb Chinas das Festland nicht standardmäßig abdeckt. |
| Wer die ICP einreicht | Sie tun es, gegen eine Hosting-Ressource auf dem Festland (Erlass Nr. 292 des Staatsrats; MIIT-Erlass Nr. 33). Ein DNS-Anbieter ist nicht diese Ressource, NS1 trägt also keine ICP — und ein China-DNS-Add-on ändert das nicht. |
| Die Daten Ihrer Nutzer | DNS löst Namen auf; es speichert nicht die Datensätze Ihrer Kunden. NS1 ist nicht selbst Ihre PIPL-Grenz- oder Data-Residency-Exponierung — die lebt in Ihrer Hosting- und Anwendungsschicht. |
NS1 ist die Verrohrung, nicht die Compliance-Schicht
NS1 Connect ist, in IBMs eigener Beschreibung, ein „fully managed cloud DNS service”, der „can act as both a primary (authoritative) and secondary DNS provider” — und „as a primary DNS, it hosts and manages your DNS zones.” Das ist autoritatives DNS: es beantwortet die Frage „what address does this domain point to?” und nichts weiter. Es bedient nicht Ihre Seiten, es hält nicht Ihre Kundendatensätze, und es ist keine Hosting-Ressource auf dem Festland. Chinas Betriebsregeln landen auf den Schichten, auf die NS1 zeigt — Ihre öffentliche Website und der Host, auf dem sie läuft — nicht auf dem Resolver selbst. Die erste Korrektur zu „funktioniert NS1 in China” ist also, dass NS1 selten das Ding ist, das abgeriegelt wird.
Die ICP-Pflicht bleibt auf Ihrer Website, nicht auf Ihrem DNS-Anbieter
Eine öffentlich ausgerichtete Website, die Besuchern auf dem Festland bedient wird, hängt an einer ICP-Beian (ICP 备案) nach Erlass Nr. 292 des Staatsrats und MIIT-Erlass Nr. 33, und diese Beian muss an eine Hosting-Ressource anknüpfen, die physisch innerhalb des Festlands liegt. Ein DNS-Anbieter ist nicht diese Ressource. NS1 beantwortet Anfragen von seinem eigenen globalen Netzwerk; es gibt Ihnen keinen Host auf dem Festland, gegen den Sie einreichen könnten, es trägt also keine eigene ICP — und weder Ihr autoritatives DNS auf NS1 umzustellen noch IBMs „DNS for China”-Dienst hinzuzufügen ändert das. Hier läuft „wir betreiben bereits NS1” aus: eine Domain aufzulösen ist nicht dasselbe wie zum Betrieb der Website freigegeben zu sein, auf die sie auflöst, und keine DNS-Funktion erzeugt die Festland-Grundlage, die eine Beian braucht.
Die Auflösung auf dem Festland ist eine Auslieferungsfrage — und IBM baut dafür separat
IBMs Standard-Netzwerk ist, in seinen eigenen Worten, „a robust anycast DNS network with 26 Points of Presence (PoPs) strategically distributed across six continents.” Für das Festland China stützt es sich nicht einfach auf dieses Netzwerk: IBM verkauft ein separates „DNS for China”-Add-on, „A managed DNS network designed to improve DNS performance and reliability for users in mainland China.” Ein Anbieter, der ein dediziertes Festland-DNS-Netzwerk baut und verkauft, bestätigt damit faktisch den Punkt — von Anycast außerhalb Chinas beantwortetes autoritatives DNS löst innerhalb des Festlands nicht von selbst zuverlässig auf. Das ist eine Erreichbarkeits- und Resilienz-Sache, die Auslieferungshälfte von „funktioniert es in China”, und sie wird in Qualitäten gelesen statt als Urteil: sie sagt nichts darüber, ob Sie zum Betrieb berechtigt sind.
Was NS1 nicht ist — die Data-Residency-Falle
Es ist verlockend, NS1 unter „grenzüberschreitende Daten” abzulegen und weiterzugehen, aber das würde es überzeichnen. DNS löst Namen auf; es speichert nicht die personenbezogenen Informationen, die Ihre Anwendung von chinesischen Nutzern sammelt. Die PIPL-Grenz- und Lokalisierungsfragen — Benachrichtigung und gesonderte Einwilligung, ein Transfermechanismus und, für einen CIIO oder Verarbeiter großer Mengen, inländische Speicherung (PIPL Artikel 40; Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37)) — sind echt, aber sie hängen an Ihrer Hosting- und Anwendungsschicht, nicht an Ihrem autoritativen DNS. Diese Unterscheidung klar zu halten ist Teil einer ehrlichen Risikokarte: NS1 ist nicht Ihre Residency-Exponierung, und es als eine zu behandeln verbirgt, wo die Exponierung tatsächlich sitzt.
Dies ist eine Risikokarte, kein Urteil: ob die Tür auf Ihnen die ICP-Beian, die DNS-Erreichbarkeit auf dem Festland oder eine Data-Residency-Pflicht anderswo in Ihrem Stack ist, hängt davon ab, was Sie bedienen, wo es gehostet wird und wer Ihre Nutzer sind — wert, mit Rechtsbeistand geklärt zu werden, bevor Sie bauen.
Wo 21YunBox hineinpasst — ein rechtskonformes Overlay, keine Migration
Sie behalten NS1 — IBM NS1 Connect — als Ihr autoritatives DNS. Wir fügen das eine Ding hinzu, das ein Resolver nie sein sollte: rechtskonforme, ICP-eingereichte Auslieferung aus dem Inneren des Festlands, vor Ihren bestehenden Origin gesetzt — kein Neuaufbau, keine zweite Codebasis und keine Änderung daran, wo Ihr DNS oder Ihre Anwendung bereits laufen. Unser China-Team kartiert, wo Ihre Exponierung tatsächlich sitzt — die ICP-Pflicht auf Ihrer öffentlichen Website, die Erreichbarkeit auf dem Festland und jede PIPL- oder Data-Residency-Pflicht in Ihrer Hosting-Schicht — und stellt dann die inländische, ICP-eingereichte Auslieferung auf, die eine rechtmäßige China-Präsenz braucht, während der Rest Ihres Stacks genau dort bleibt, wo er ist.
Compliance-Einschätzung anfordern →
Weiterführend:
Häufige Fragen
Gibt die Nutzung von NS1 unserer Website eine ICP-Beian in China?
Nein — und das ist kein Vorwurf an NS1. Eine ICP-Beian (ICP 备案) knüpft an den Website-Betreiber und eine Hosting-Ressource an, die physisch innerhalb des Festlands China liegt, nach Erlass Nr. 292 des Staatsrats und MIIT-Erlass Nr. 33. NS1 ist Ihr autoritativer DNS-Anbieter, nicht Ihr inländischer Host, es trägt also keine eigene ICP und kann keine verleihen. Selbst IBMs „DNS for China"-Add-on ist ein Auslieferungsdienst, keine Beian — die ICP-Pflicht bleibt bei Ihnen und Ihrem Hosting auf dem Festland.
Ist NS1 in China blockiert, oder ist das ein Data-Residency-Problem?
Keine der beiden Rahmungen ist ganz richtig. NS1 löst global auf und IBM verkauft ein Festland-„DNS for China"-Netzwerk, Erreichbarkeit ist also eine Auslieferungs- und Resilienz-Frage statt einer Blockade — von Anycast außerhalb Chinas beantwortetes autoritatives DNS kann innerhalb des Festlands langsam oder inkonsistent auflösen, weshalb IBM überhaupt ein separates Festland-Netzwerk anbietet. Und weil DNS Namen auflöst statt die Datensätze Ihrer Kunden zu speichern, ist NS1 nicht selbst Ihre PIPL-Grenz- oder Data-Residency-Exponierung; die lebt in Ihrer Hosting- und Anwendungsschicht. Behandeln Sie NS1 als die Verrohrung und schauen Sie eine Schicht höher für das Compliance-Urteil.
Kann 21YunBox helfen, unsere NS1-gestützte Website in China funktionieren zu lassen?
Ja. Sie behalten NS1 — IBM NS1 Connect — als Ihr autoritatives DNS. Unser China-Team schätzt ein, wo Ihre echte Exponierung sitzt: die ICP-Pflicht auf Ihrer öffentlichen Website, die Erreichbarkeit auf dem Festland und jede PIPL- oder Data-Residency-Pflicht in Ihrer Hosting- und Anwendungsschicht. Dann stellen wir die ICP-eingereichte, inländische Auslieferung auf, die eine rechtskonforme China-Präsenz erfordert, vor dem Origin, den Sie bereits betreiben. Nehmen Sie Kontakt auf, um Ihr spezifisches Setup durchzugehen.
