Funktioniert NuGet in China? Data Residency, ICP & Grenzregeln

Was die offizielle NuGet-Dokumentation über China sagt

Fakt	Primärquelle
In Microsofts eigener .NET-Dokumentation ist nuget.org die öffentliche Galerie. Das Overview of NuGet.org erklärt: „NuGet.org is a public host of NuGet packages," und „In its role as a public host, NuGet.org itself maintains the central repository of over 100,000 unique packages at nuget.org." Es wird von Microsoft außerhalb Chinas betrieben, ohne benannten Host auf dem Festland China (aktuelles Hosting mit dem Anbieter bestätigen).	Microsoft Learn — Overview of NuGet.org (learn.microsoft.com/nuget), abgerufen 2026-10-13
Microsofts Docs dokumentieren auch den privaten, selbst gehosteten Pfad. Dasselbe Overview erklärt, dass die NuGet-Technologie „also enables you to host packages privately in the cloud (such as on Azure DevOps), on a private network, or even on just your local file system," und der Hosting-Guide sagt „NuGet supports setting up private package sources," einschließlich eines „local HTTP server" und selbst hostbarer Server, die Sie selbst betreiben (ein NuGet-Server, Sonatype Nexus oder JFrog Artifactory). Jeder kann auf inländischer Infrastruktur laufen.	Microsoft Learn — Overview of NuGet.org and Overview of Hosting Your Own NuGet Feeds (learn.microsoft.com/nuget), abgerufen 2026-10-13
Personenbezogene Daten, die mit Ihren Paketen mitreiten — Identifikatoren in Test-Fixtures, Mitwirkenden-Identitäten in Paket- und Veröffentlichungs-Metadaten — auf einem Feed außerhalb Chinas gehalten, zusammen mit einem China-Build, der Abhängigkeiten über die Grenze zieht, sind ein grenzüberschreitender Transfer nach dem Gesetz zum Schutz personenbezogener Daten (Artikel 38–40): der Verarbeiter muss informieren, eine gesonderte Einwilligung einholen und einen Transfermechanismus erfüllen — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung.	Personal Information Protection Law of the PRC, Articles 38–40 — see 21YunBox: cross-border data transfers under PIPL, abgerufen 2026-10-13
Für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen müssen in China erhobene personenbezogene Daten und wichtige Daten auf dem Festland gespeichert werden — die Datenlokalisierungsregel des Cybersicherheitsgesetzes, Artikel 39 (vormals Artikel 37), wie umnummeriert durch die Novelle von 2025, in Kraft seit 2026-01-01 — eine Pflicht, die ein privater Feed außerhalb Chinas nicht erfüllen kann.	Cybersecurity Law of the PRC, Article 39 (formerly Article 37) — see 21YunBox: China's Cybersecurity Law and data localization, abgerufen 2026-10-13

Quellen vom 21YunBox Compliance-Team am 13. Oktober 2026 geprüft.

Für einen Betrieb auf dem Festland China ist die entscheidende Frage zu NuGet nicht, ob dotnet restore ein öffentliches Paket aus Shanghai ziehen kann — die Open-Source-Galerie, die schnell auflöst, ist die einfache, uninteressante Hälfte. Was klärt, ob Ihr Setup verteidigbar ist, sind Ihre privaten Pakete. Die privaten, gescopeten NuGet-Pakete Ihrer Organisation sind proprietärer .NET-Quellcode — Geschäftsgeheimnisse — und sie betten routinemäßig API-Schlüssel, Zugriffstokens und Verbindungszeichenfolgen ein, mit gelegentlich einem personenbezogenen Datensatz, der in einer Test-Fixture eingebacken ist. Pushen Sie diese auf nuget.org, Microsofts gehostete öffentliche Galerie, oder auf irgendeinen privaten Feed außerhalb Chinas, und dieses konzentrierte geistige Eigentum und diese lebenden Geheimnisse sitzen außerhalb des Festlands — und die Abhängigkeits-Lieferkette, die Ihren China-Build speist, läuft über die Grenze. Residency und grenzüberschreitender Transfer, nicht die Restore-Latenz, entscheiden dies.

Funktioniert NuGet in China? Auf einen Blick

Tür eins — Ihre privaten NuGet-Pakete sind proprietärer Code, und Residency folgt dort, wo der Feed läuft

Beginnen Sie mit dem, was der private Feed hält, denn das ist das, worauf Chinas Recht antwortet. Ein öffentlicher Spiegel von Community-Abhängigkeiten ist nicht der Punkt; Ihre privaten, gescopeten Pakete sind es. Sie sind der maßgebliche Speicher Ihres proprietären .NET-Codes — die Bibliotheken, Build-Ausgaben und Release-Pakete, die Sie nicht veröffentlichen — und sie tragen routinemäßig eingebackene API-Schlüssel, Zugriffstokens und Verbindungszeichenfolgen, plus welche personenbezogenen Daten auch immer ihren Weg in eine Test-Fixture oder einen Beispiel-Payload finden. Das ist ein konzentrierter Ausschnitt Ihres geistigen Eigentums, der an einem Ort sitzt.

Pushen Sie das auf nuget.org, Microsofts gehostete öffentliche Galerie, oder auf einen privaten Feed außerhalb Chinas, und das konzentrierte IP und die lebenden Geheimnisse leben außerhalb des Festlands; nach Microsofts veröffentlichten Materialien gibt es keinen Host auf dem Festland China (etwas, das direkt mit Microsoft zu bestätigen ist, statt es anzunehmen). Wenn Sie ein Betreiber kritischer Informationsinfrastruktur sind oder personenbezogene Daten in Mengen verarbeiten, müssen in China erhobene und erzeugte personenbezogene Daten und wichtige Daten auf dem Festland gespeichert werden — die Datenlokalisierungsregel des Cybersicherheitsgesetzes, Artikel 39 (vormals Artikel 37), wie umnummeriert durch die Novelle von 2025, in Kraft seit 2026-01-01. Eine Infrastruktur außerhalb Chinas hat keine Festland-Grundlage, um das zu erfüllen.

Tür zwei — Ihre Abhängigkeits-Lieferkette, und die mitreitenden personenbezogenen Daten, laufen grenzüberschreitend

Die zweite Tür ist die Lieferkette und die personenbezogenen Daten darin. Bei jedem Build löst Ihr China-Deployment Abhängigkeiten von einem Feed auf — welcher Code in das Deployment eintritt, und mit welcher Provenienz und Integrität, wird dort entschieden, wo immer dieser Feed lebt. Betreiben Sie den privaten Feed außerhalb Chinas, und diese Lieferkette ist standardmäßig grenzüberschreitend. Neben den Binärdateien tragen der Feed und seine Metadaten personenbezogene Informationen: Identifikatoren in Test-Fixtures und Mitwirkenden-Identitäten in Paket- und Veröffentlichungs-Metadaten. Nach dem Gesetz zum Schutz personenbezogener Daten ist das Halten dieser Daten auf einer Infrastruktur außerhalb des Festlands ein grenzüberschreitender Transfer (Artikel 38–40): der Verarbeiter muss informieren, eine gesonderte Einwilligung für den Transfer einholen und einen Mechanismus erfüllen — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung. Die personenbezogenen Daten zu minimieren, die in Fixtures und Metadaten eintreten, ist Teil der Lösung, aber es bewegt den Feed nicht von selbst.

Warum eine Erreichbarkeitsprüfung dies verfehlt

Ein „kann mein Build Pakete aus Shanghai restoren”-Test beantwortet die falsche Frage. Einen Spiegel oder Cache für öffentliche Pakete aufzustellen, damit Community-Abhängigkeiten schnell auflösen, ist eine legitime Lieferketten-Annehmlichkeit — aber es verändert nicht, wo Ihr privater Feed, Ihre Artefakte und Ihre Geheimnisse tatsächlich leben, und es bewegt die Abhängigkeits-Lieferkette Ihres Builds nicht ins Inland. Eine Erreichbarkeitssonde sieht nie, dass Ihre proprietären Pakete und eingebackenen Zugangsdaten auf einer Registry außerhalb Chinas sitzen, noch die Benachrichtigungs-, Einwilligungs- und Mechanismus-Pflichten, die an die China-Personendaten darin anknüpfen. Ein Setup kann also von innerhalb Chinas vollkommen gesund aussehen, während jedes private Paket, jedes eingebackene Geheimnis und jeder Mitwirkenden-Datensatz weiterhin offshore sitzt. Wir veröffentlichen keine erstanbieterliche Messung der NuGet-Restore-Leistung aus dem Inneren Chinas, wir setzen hier also keine Zahlen; es ist etwas, das wir gegen Ihre tatsächlichen Feeds messen würden, statt es zu behaupten.

Dies ist eine Risikokarte, kein Urteil: ob Sie inländische Speicherung, einen Transfermechanismus, einen überarbeiteten Einwilligungsfluss, eine ICP-Beian für ein öffentlich ausgerichtetes Entwicklerportal oder eine Kombination davon brauchen, hängt davon ab, was Ihre privaten Pakete und Ihre Pipeline tragen, wie viel und wer Ihre Mitwirkenden sind — wert, mit Rechtsbeistand geklärt zu werden, bevor Sie bauen.

Der Hebel — kartieren, lokalisieren, ausliefern

Weil NuGet private, selbst gehostete Feeds unterstützt, gibt es einen echten inländischen Pfad, und 21YunBox nutzt oder empfiehlt niemals irgendeine Form der Umgehung.

• Kartieren — inventarisieren, welche Ihrer Pakete und Artefakte privat sind (Ihr proprietärer Code), ob sie Geheimnisse einbetten, wo dieser private Feed heute gehostet wird, die Residency-Grundlage und die Abhängigkeits-Lieferkette Ihres China-Builds.
• Lokalisieren / regeln — den privaten Feed und Artefaktspeicher im Inland betreiben (selbst gehostet — ein selbst gehosteter NuGet-Server, Nexus oder Artifactory), sodass proprietärer Code und eingebettete Geheimnisse resident bleiben; die Lieferkette Ihres China-Builds im Inland halten; die personenbezogenen Daten minimieren, die in Fixtures und Metadaten eintreten; und den Feed regeln, statt ihn bloß zu exponieren.
• Ausliefern — eine rechtskonforme, inländische private Feed- und Artefaktauslieferung vor (oder an die Stelle von) der Cloud außerhalb Chinas setzen, sodass Ihre Teams und CI von einem residenten Feed auflösen, ohne den Speicher zurück über die Grenze zu bewegen.

Die öffentliche Galerie bloß erreichbar oder gespiegelt zu machen ist nicht die Antwort — Ihre privaten Pakete, Geheimnisse, Artefakte und Mitwirkenden-Datensätze sind weiterhin offshore. Den privaten Feed und die Artefakte im Inland zu halten ist es.

Wo 21YunBox hineinpasst — ein rechtskonformes Overlay, keine Migration

Sie betreiben NuGet und Ihre bestehende .NET-Toolchain weiter. Wir fügen das Stück hinzu, das eine Registry außerhalb Chinas nicht selbst bieten kann: eine rechtmäßige, inländische Heimat für einen selbst gehosteten privaten Feed, sodass Ihre Pakete, Build-Artefakte und eingebetteten Geheimnisse resident bleiben, wo das Recht es verlangt, mit rechtskonformer ICP-eingereichter Auslieferung für den Entwicklerzugang und jedes öffentlich ausgerichtete Portal davor — um Ihr bestehendes Setup herum gesetzt, ohne Neuaufbau, ohne zweite Codebasis und ohne Migration weg von NuGet. Als Partner des Ökosystems, das Sie bereits betreiben, kartiert unser China-Team Ihre PIPL-Grenz-, Einwilligungs- und Data-Residency-Pflichten gegen Ihre Rechtsperson und Ihre Pipeline und stellt dann den inländischen privaten Feed und die Auslieferung auf, die eine verteidigbare China-Präsenz braucht. Wir nutzen oder empfehlen niemals irgendeine Form der Umgehung.

Compliance-Einschätzung anfordern →

---

Weiterführend:

• Grenzüberschreitende Datentransfers nach PIPL
• Chinas Gesetz zum Schutz personenbezogener Daten
• Chinas Cybersicherheitsgesetz und Datenlokalisierung
• Wie man eine ICP-Beian für China erhält

Häufige Fragen

Funktioniert NuGet auf dem Festland China?

Öffentliche NuGet-Pakete lösen im Allgemeinen vom Festland auf, Erreichbarkeit ist also selten das Hindernis. Die eigentliche Frage sind Residency und Lieferkette: Ihre privaten, gescopeten Pakete sind proprietärer .NET-Code, der oft API-Schlüssel, Tokens und Verbindungszeichenfolgen einbettet, und auf nuget.org oder einem privaten Feed außerhalb Chinas sitzen dieser Code und diese Geheimnisse im Ausland, während Ihr China-Build Abhängigkeiten über die Grenze zieht. Behandeln Sie es als ein mit Rechtsbeistand zu bestätigendes Risiko, kein Ja/Nein.

Sind unsere privaten NuGet-Pakete ein Data-Residency-Problem?

Sie können es sein. Private Pakete konzentrieren proprietären Quellcode — ein Geschäftsgeheimnis — und tragen routinemäßig eingebettete Zugangsdaten, mit gelegentlich personenbezogenen Daten in Test-Fixtures und Mitwirkenden-Metadaten. Auf der Private-Registry-Cloud eines Anbieters außerhalb Chinas gehalten, ist das ein grenzüberschreitender Transfer nach PIPL, und für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen fügt das Cybersicherheitsgesetz nach Artikel 39 (vormals Artikel 37) eine inländische Speicherpflicht hinzu, die ein Feed außerhalb Chinas nicht erfüllen kann. Eine Erreichbarkeitsprüfung sieht nie, wo diese privaten Pakete und Geheimnisse leben.

Können wir NuGet behalten und private Pakete trotzdem im Inland halten?

Ja. NuGet unterstützt private, selbst gehostete Feeds, Sie können also einen selbst gehosteten inländischen privaten Feed betreiben (ein selbst gehosteter NuGet-Server, Sonatype Nexus oder JFrog Artifactory) und Ihren proprietären Code, Build-Artefakte und eingebetteten Geheimnisse resident halten. 21YunBox kartiert, welche Ihrer Pakete privat sind und ob sie Geheimnisse einbetten, stellt den rechtskonformen inländischen privaten Feed und die ICP-eingereichte Auslieferung vor Ihrer bestehenden .NET-Toolchain ohne Neuaufbau auf und nutzt oder empfiehlt niemals irgendeine Form der Umgehung. Fordern Sie eine Compliance-Einschätzung an, um Ihren Fall durchzugehen.