Funktioniert Okta in China? Data Residency, PIPL & Identity-Zellen außerhalb Chinas
Okta ist vom Festland China aus erreichbar, aber die entscheidende Frage ist Data Residency, nicht Geschwindigkeit. Okta speichert Identitäts- und Nutzerdaten in Zellen in den USA, EMEA, Japan, Australien, Kanada und Indien — keine auf dem Festland China — die Konten und Login-Datensätze Ihrer chinesischen Nutzer sitzen also offshore: ein grenzüberschreitender Transfer, den PIPL regelt. Ein Compliance-zuerst-Blick auf die Datentür.
Funktioniert Okta in China?
Okta ist vom Festland China aus erreichbar, aber es hält dort keine Identitätsdaten: es betreibt keine Zelle innerhalb des Festlands, jedes Konto, Profil und jeder Anmeldedatensatz, den es für Ihre China-Nutzer hält, wird also offshore gespeichert. Das macht Okta in China zu einer Data-Residency- und PIPL-Frage statt einer Geschwindigkeitsfrage — ein Identity Provider hält die Konten, auf denen Ihre Organisation läuft, und wo er sie hält, ist das, worauf Chinas Recht reagiert.
Nach Oktas eigener Data-Residency-Dokumentation ist „data residency refers to the actual geographic location where your organization's content is stored," und seine Identity-Zellen sind „located throughout the US, EMEA, Japan, Australia, Canada and India" — keine davon auf dem Festland China. Die Identitäten und Login-Datensätze Ihrer China-Nutzer dort zu halten ist ein grenzüberschreitender Transfer personenbezogener Daten, den PIPL regelt, der Benachrichtigung, gesonderte Einwilligung, einen Transfermechanismus und, für einen CIIO oder Verarbeiter großer Mengen, inländische Speicherung braucht. Weil die Anmeldung aus derselben Zelle außerhalb Chinas beantwortet wird, überquert der Authentifizierungs-Roundtrip ebenfalls die Grenze. Die Tabelle unten ist Oktas eigene Formulierung und die Regeln, die es auslöst.
Dies ist ein Risikobild, kein Urteil — Ihre Pflichten hängen von Ihren Datenmengen und Ihrer Rolle ab. Unser China-Team kann Ihre Okta-Exponierung mit Ihnen kartieren →
Compliance-Momentaufnahme
- ! Erreichbar, aber von Zellen außerhalb Chinas bedient — Anmeldung und Assets überqueren die Grenze
- ! Speichert Identitäts- & Nutzerdaten in Zellen außerhalb Chinas (USA, EMEA, Japan, Australien, Kanada, Indien)
- ! Offshore gehaltene Identitätsdaten sind ein grenzüberschreitender Transfer — PIPL gilt
- ✕ Keine Festlandchina-Zelle oder Data-Residency-Option
- ✓ Ein rechtskonformer inländischer Auslieferungspfad existiert — kein Neuaufbau, keine Migration
Was die offizielle Okta-Dokumentation sagt — und was wir aus Festlandchina gemessen haben
| Fakt | Primärquelle |
|---|---|
| In Oktas eigenen Worten: „data residency refers to the actual geographic location where your organization's content is stored," und um es zu erfüllen „Okta has created cell architecture that allows customers to purchase local cells in which to store customer data." Diese Zellen sind „located throughout the US, EMEA, Japan, Australia, Canada and India (for both primary and failover capabilities)" — keine ist auf dem Festland China, die nächste ist Japan. | Okta — Okta + Data Residency, abgerufen 2026-10-07 |
| Okta hält personenbezogene Daten — Identitäten, Profile, Gruppenmitgliedschaften und Authentifizierungsprotokolle — und bewahrt sie in welcher Zelle außerhalb Chinas auch immer Ihre Org zugewiesen ist. Von Nutzern in China erhobene Daten verlassen also das Land. PIPL regelt diesen grenzüberschreitenden Transfer: der Verarbeiter personenbezogener Daten (Sie, Oktas Kunde — nicht Okta) muss informieren, eine gesonderte Einwilligung einholen und einen Transfermechanismus erfüllen — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung. | PIPL Chapter III, Articles 38–43 |
| Die Exponierung skaliert mit Menge und Rolle, nicht bloß mit der Nutzung des Tools: nach den grenzüberschreitenden Regeln der CAC vom März 2024 ist ein Nicht-CIIO, der in einem Kalenderjahr die nicht sensiblen personenbezogenen Daten von weniger als 100.000 Personen überträgt, von der Sicherheitsbewertung, dem Standardvertrag und der Zertifizierung befreit. | CAC — Regulations on Promoting and Regulating Cross-border Data Flows, March 2024 |
| Für einen CIIO oder Verarbeiter großer Mengen müssen in China erhobene personenbezogene Daten innerhalb des Festlands China gespeichert werden (CSL Artikel 39 (vormals Artikel 37); PIPL Artikel 40). Okta veröffentlicht keine Festlandchina-Zelle, der einzige Weg, die Identitätsdaten Ihrer China-Nutzer auf chinesischem Boden zu halten, ist also, diese Identität und ihre Speicherung auf Infrastruktur innerhalb des Festlands zu betreiben — und das rechtmäßig aufzustellen bringt eine ICP-Beian ins Bild. | PIPL Article 40; CSL Article 39 (formerly Article 37); Okta — Okta + Data Residency (cell regions), abgerufen 2026-10-07 |
Erreichbarkeit ist eine Auslieferungssache, nicht die Compliance-Frage. Von einer Privatkunden-Breitbandleitung in Peking am 2026-08-30 angefragt, antwortete und malte okta.com bei allen 3 Versuchen (medianes Time-to-First-Byte 1.049 ms, Largest-Contentful-Paint 3.052 ms), aber die Navigation wurde bei keinem der 3 innerhalb des 60-Sekunden-Fensters abgeschlossen — drei Drittanbieter-Abhängigkeiten außerhalb Chinas (Google Fonts, Google Tag Manager und ein OneTrust-Geolokalisierungsaufruf) hingen, während Oktas eigene Hosts jede Anfrage zurückgaben. Es ist erreichbar; was entscheidet, ob Sie es nutzen dürfen, ist, wo die Identitätsdaten leben. | 21YunBox — China delivery measurement, measured from inside mainland China |
Quellen vom 21YunBox Compliance-Team am 19. Oktober 2026 geprüft.
Für ein Publikum auf dem Festland China ist die entscheidende Frage zu Okta nicht, wie schnell es Personen anmeldet — sie ist, wo die Identitäten leben dürfen, die es hält. Okta ist ein Identity Provider: es speichert die Konten, Profile, Gruppenmitgliedschaften und Authentifizierungsdatensätze, auf denen Ihre Organisation läuft. Nach seiner eigenen Dokumentation sitzen diese Daten in einer geografischen Zelle, und nicht eine von Oktas Zellen ist auf dem Festland China. Ein China-gerichtetes Deployment auf Okta ist also erreichbar, doch jede Identität, die es für Ihre chinesischen Nutzer hält, wird offshore gehalten — ein grenzüberschreitender Transfer, den Chinas Datengesetz regelt, kein Performance-Problem. Und weil die Anmeldung selbst aus dieser Zelle außerhalb Chinas beantwortet wird, überquert der Authentifizierungs-Roundtrip bei jedem Login die Grenze. Okta zu erreichen ist nicht das Problem; wo es die Identitäten Ihrer Nutzer hält, ist es.
Okta in China auf einen Blick
| Was es entscheidet | In Oktas eigenen Worten |
|---|---|
| Wo Ihre Identitätsdaten leben | Jede Okta-Org wird einer Zelle zugewiesen, und Kundendaten werden in dieser Zelle gespeichert. Oktas Zellen sind „located throughout the US, EMEA, Japan, Australia, Canada and India (for both primary and failover capabilities)." Keine ist auf dem Festland China; die nächste, Japan, liegt weiterhin außerhalb. |
| Der grenzüberschreitende Transfer | Die Identitäten, Profile und Anmeldedatensätze, die Sie für Nutzer in China authentifizieren, landen in dieser Zelle außerhalb Chinas. Das ist ein grenzüberschreitender Transfer personenbezogener Daten, den PIPL regelt — und der Verarbeiter sind Sie, der Okta-Kunde, nicht Okta. |
| Wann die Regeln härter greifen | Die Exponierung skaliert mit Menge und Rolle. Nach den grenzüberschreitenden Regeln der CAC vom März 2024 ist ein Nicht-CIIO, der in einem Kalenderjahr die nicht sensiblen personenbezogenen Daten von weniger als 100.000 Personen bewegt, von der Sicherheitsbewertung, dem Standardvertrag und der Zertifizierung befreit. |
| Data Residency | Für einen CIIO oder Verarbeiter großer Mengen müssen in China erhobene personenbezogene Daten innerhalb des Festlands gespeichert werden (CSL Artikel 39 (vormals Artikel 37); PIPL Artikel 40) — eine Pflicht, die keine Okta-Zelle erfüllen kann. |
| Ist es erreichbar? | Ja — okta.com antwortete und malte bei jedem Versuch von einer Privatkundenleitung in Peking (2026-08-30), aber die Navigation wurde nicht innerhalb von 60 Sekunden abgeschlossen, da Drittanbieter-Abhängigkeiten außerhalb Chinas hingen. Erreichbar, nicht sofort — und Erreichbarkeit ist nicht die Compliance-Frage. |
Wo Ihre Okta-Identitätsdaten tatsächlich leben
Okta betreibt eine zellenbasierte Architektur: jede Kunden-Org wird einer Zelle zugewiesen, und diese Zelle ist, wo ihre Daten physisch leben. In Oktas eigenem Data-Residency-Material ist „data residency refers to the actual geographic location where your organization’s content is stored,” und „to support customers with data residency needs, Okta has created cell architecture that allows customers to purchase local cells in which to store customer data.” Die Zellen selbst sind „located throughout the US, EMEA, Japan, Australia, Canada and India (for both primary and failover capabilities).”
Diese Liste ist der ganze Punkt für China: sie hat keinen Festland-Eintrag. Die dem Festland nächste Zelle ist in Japan, und sie liegt weiterhin außerhalb. In dem Moment, in dem Ihre Organisation Nutzer in China authentifiziert, werden die Identitäten, Profile und Login-Datensätze, die Okta für sie schreibt, also im Ausland gehalten — und das, nicht Latenz, ist das, worauf Chinas Datengesetz reagiert.
Bedienen Sie China-Nutzer aus Okta, und ihre Identitätsdaten überqueren die Grenze
Personenbezogene Informationen, die Ihre Organisation über Okta authentifiziert — Namen, E-Mail-Adressen, Login-Identitäten, Gruppenmitgliedschaften, Authentifizierungsprotokolle — werden in diese eine Zelle außerhalb Chinas geschrieben. Nach Chinas Gesetz zum Schutz personenbezogener Daten ist ihre Speicherung außerhalb des Festlands ein grenzüberschreitender Transfer, und die Pflicht landet auf dem Verarbeiter personenbezogener Daten, was Sie als Okta-Kunde sind und nicht Okta als Plattform. PIPL verlangt von diesem Verarbeiter, betroffene Nutzer zu benachrichtigen, ihre gesonderte Einwilligung für den Transfer einzuholen und einen Transfermechanismus zu erfüllen: eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung. „Wir laufen bereits auf Okta” klärt nichts davon; China zu erreichen und zur Bewegung der Identitätsdaten chinesischer Nutzer aus China heraus freigegeben zu sein sind verschiedene Fragen.
Wie viel auf dem Spiel steht, hängt von Ihrer Menge und Ihrer Rolle ab
Das Gewicht dieser Pflichten ist nicht einheitlich. Nach den März-2024-Regulations on Promoting and Regulating Cross-border Data Flows der CAC ist ein Verarbeiter, der kein Betreiber kritischer Informationsinfrastruktur ist und in einem Kalenderjahr die nicht sensiblen personenbezogenen Daten von weniger als 100.000 Personen bewegt, von der Sicherheitsbewertung, dem Standardvertrag und der Zertifizierung befreit — ein wirklich leichterer Pfad für ein kleineres Deployment.
Am anderen Ende trägt ein CIIO oder Verarbeiter großer Mengen eine Data-Residency-Pflicht: in China erhobene personenbezogene Daten müssen innerhalb des Festlands gespeichert werden (Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37); PIPL Artikel 40). Keine Okta-Zelle kann das erfüllen, weil keine in China sitzt. Der einzige Weg, die Identitätsdaten Ihrer chinesischen Nutzer auf chinesischem Boden zu halten, ist, diese Identität und ihre Speicherung auf Infrastruktur innerhalb des Festlands zu betreiben, und das rechtmäßig aufzustellen bringt eine ICP-Beian ins Bild.
Erreichbar, aber von offshore bedient — weshalb dies eine Datenfrage ist
Okta ist nicht von China abgeschottet. In 21YunBox’ eigener Messung aus dem Inneren des Festlands — einer Privatkunden-Breitbandleitung in Peking am 2026-08-30 — antwortete und malte okta.com bei jedem von drei Versuchen, mit einem medianen Time-to-First-Byte von 1.049 ms und einem Largest-Contentful-Paint von 3.052 ms. Aber die Navigation wurde bei keinem der drei innerhalb des 60-Sekunden-Messfensters abgeschlossen: drei Drittanbieter-Abhängigkeiten außerhalb Chinas — Google Fonts, Google Tag Manager und ein OneTrust-Geolokalisierungsaufruf — hingen und kehrten nie zurück, während Oktas eigene Hosts jede Anfrage beantworteten. Das ist die Textur der Identity-Auslieferung außerhalb Chinas aus dem Inneren Chinas: der Inhalt kommt an, doch das Erlebnis ist einem grenzüberschreitenden Roundtrip und allem anderen, was er hereinzieht, ausgeliefert.
Erreichbarkeit ist jedoch die Auslieferungsfrage, nicht die Compliance-Frage. Selbst wenn jedes Byte sofort ankäme, würden die Identitäten weiterhin offshore gespeichert — und das ist die Tatsache, auf die PIPL reagiert.
Dies ist eine Risikokarte, kein Urteil: ob Sie nur Benachrichtigung und Einwilligung, einen vollständigen Transfermechanismus oder inländische Speicherung der Identitätsdaten selbst schulden, dreht sich darum, wie viele personenbezogene Daten Sie halten und ob Ihre Rolle Sie in die CIIO- oder Große-Mengen-Stufe zieht — eine Frage, die mit Rechtsbeistand durchzuarbeiten ist, bevor Sie bauen.
Wo 21YunBox hineinpasst — ein rechtskonformes Overlay, keine Migration
Sie betreiben Okta weiter; Ihr Identity Provider zieht nicht um. Was wir hinzufügen, ist die Schicht, die eine Identity-Plattform ohne Festland-Zelle Ihnen nicht selbst geben kann: rechtskonforme, ICP-eingereichte Auslieferung aus dem Inneren des Festlands, vor Ihren bestehenden Origin gesetzt — keine Neuarchitektur und keine zweite Codebasis. Unser China-Team kartiert zuerst Ihre Grenz- und Data-Residency-Pflichten gegen Ihre Rechtsperson und Ihre Datenmengen. Dann, für den Fall, den das Recht am striktesten behandelt — wo die Identitätsdaten chinesischer Nutzer auf dem Festland bleiben müssen — helfen wir Ihnen, die inländische Auslieferung und Speicherung aufzustellen, die eine rechtmäßige China-Präsenz braucht, während Okta genau dort bleibt, wo es bereits läuft.
Compliance-Einschätzung anfordern →
Weiterführend:
Häufige Fragen
Speichert Okta die Identitätsdaten chinesischer Nutzer in China?
Nein. Nach Oktas eigener Data-Residency-Dokumentation werden Kundendaten in der Zelle gespeichert, der Ihre Org zugewiesen ist, und seine Zellen sind in den USA, EMEA, Japan, Australien, Kanada und Indien — keine auf dem Festland China. Die Identitäten, Profile und Login-Datensätze Ihrer China-Nutzer werden also offshore gehalten.
Ist es gegen das Gesetz, Okta in China zu nutzen?
Nicht von sich aus. Das Problem ist der grenzüberschreitende Transfer personenbezogener Daten, den PIPL erlaubt, wenn Sie informieren, eine gesonderte Einwilligung einholen und einen seiner Transfermechanismen erfüllen. Ob Sie auch eine Datenlokalisierungspflicht treffen, hängt von Ihrer Rolle (zum Beispiel, ob Sie ein CIIO sind) und der Menge personenbezogener Daten ab, die Sie verarbeiten. Behandeln Sie dies als ein mit Rechtsbeistand einzuschätzendes Risiko, kein pauschales Verbot.
Kann 21YunBox helfen, unser Okta-Setup in China rechtskonform zu machen?
Ja. Unser China-Team kann Ihnen helfen, die Grenz- und Data-Residency-Exponierung für Ihre Datenmengen und Rolle einzuschätzen und die rechtskonforme, ICP-eingereichte inländische Auslieferung aufzustellen — und, wo das Recht verlangt, dass die Identitätsdaten Ihrer China-Nutzer auf dem Festland bleiben, inländische Speicherung. Nehmen Sie Kontakt auf, um Ihren spezifischen Fall durchzugehen.
