Funktioniert Podman in China? Datenresidenz, ICP und grenzüberschreitende Regeln

Was die offizielle Podman-Dokumentation über China sagt

Fakt	Primärquelle
Podman ist eine selbstgehostete, daemonlose Engine, die Sie selbst betreiben. Podmans Dokumentation gibt an: „Podman is a daemonless, open source, Linux native tool designed to make it easy to find, run, build, share and deploy applications using Open Containers Initiative (OCI) Containers and Container Images“ (Podman ist ein daemonloses, quelloffenes, Linux-natives Tool, …), und dass „Containers under the control of Podman can either be run by root or by a non-privileged user“ (Container unter der Kontrolle von Podman entweder von root oder von einem nicht-privilegierten Nutzer betrieben werden können) — es läuft also auf von Ihnen kontrollierter Infrastruktur, das Inland eingeschlossen.	Podman Documentation, “What is Podman?” (docs.podman.io), abgerufen 2026-10-13
Sie wählen, zu welcher Registry Podman Ihre privaten Images pusht. Die podman push-Referenz gibt an, es „Pushes an image, manifest list or image index from local storage to a specified destination“ (pusht ein Image, eine Manifest-Liste oder einen Image-Index aus dem lokalen Speicher zu einem bestimmten Ziel), und dass „DESTINATION is the location the container image is pushed to“ (DESTINATION der Ort ist, zu dem das Container-Image gepusht wird) — die Registry, die Ihre privaten Images hält, ist also eine, auf die Sie es richten, im Inland oder im Ausland.	Podman Documentation, “podman-push” (docs.podman.io), abgerufen 2026-10-13
China verlangt die inländische Speicherung personenbezogener Daten für Betreiber kritischer Informationsinfrastruktur. Nach der Datenlokalisierungsregel des Cybersicherheitsgesetzes — Art. 39 (vormals Art. 37), wie durch die Novelle 2025, in Kraft seit 2026-01-01, umnummeriert — müssen personenbezogene Daten und wichtige Daten, die ein CIIO in China erhebt oder erzeugt, im Festland gespeichert werden, mit einer Sicherheitsbewertung vor jedem Export. Eine Offshore-Registry, die solche Daten hält, hat dafür keine Festland-Grundlage.	Cybersecurity Law of the PRC, Article 39 (formerly Article 37)
Personenbezogene China-Daten im Ausland zu halten, ist ein PIPL-Grenztransfer. Alle personenbezogenen Daten in Ihren privaten Images, Secrets oder Build-Metadaten — Mitwirkenden-Identitäten, Zugriffsprotokolle, eingebettete personenbezogene Daten —, auf einer Offshore-Registry gehalten, sind ein grenzüberschreitender Transfer nach dem Gesetz zum Schutz personenbezogener Daten (Art. 38–40): Der Verarbeiter muss Mitteilung erteilen, eine gesonderte Einwilligung einholen und einen Transfermechanismus erfüllen (eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung).	Personal Information Protection Law of the PRC, Articles 38–40

Quellen vom 21YunBox Compliance-Team am 13. Oktober 2026 geprüft.

Für einen Festlandchina-Betrieb ist die entscheidende Frage zu Podman nicht, ob ein Knoten eine öffentliche Registry erreichen oder ein Community-Base-Image aus Shanghai ziehen kann — Podman ist eine daemonlose Engine, die Sie auf Ihren eigenen Hosts betreiben, also von Natur aus inländisch betreibbar, und Erreichbarkeit ist der leichte Teil. Die Frage, die tatsächlich entscheidet, ob Ihr Setup verteidigbar ist, lautet: Wo leben Ihre privaten Images, was tragen sie, und auf welcher rechtlichen Grundlage sind sie dorthin gelangt? Ein Container-Image ist ein Artefakt, das Ihren proprietären Code in seine Schichten backt, und es bettet regelmäßig Build-Zugangsdaten, API-Token, Registry-Auth und Konfiguration ein — manchmal auch Fixture-Daten. Richten Sie Podman auf eine Offshore-private-Registry, und dieses konzentrierte geistige Eigentum samt seiner eingebetteten Secrets sitzt im Ausland, während die Image-Lieferkette Ihres China-Deployments — was im Festland läuft, mit welcher Herkunft und Integrität — die Grenze überquert. Residenz und grenzüberschreitender Transfer, nicht die Ladezeit, entscheiden dies.

Funktioniert Podman in China? Auf einen Blick

Tür eins — Podman ist selbstgehostet, die Residenz folgt also der genutzten Registry und dem Host

Beginnen Sie damit, was Podman ist, denn es rahmt die ganze Frage neu. Podman ist eine daemonlose Engine, die Sie auf Ihren eigenen Maschinen installieren und betreiben; in seiner eigenen Dokumentation ist „Podman is a daemonless, open source, Linux native tool designed to make it easy to find, run, build, share and deploy applications using Open Containers Initiative (OCI) Containers and Container Images“ (Podman ein daemonloses, quelloffenes, Linux-natives Tool, …), und „Containers under the control of Podman can either be run by root or by a non-privileged user“ (Container unter der Kontrolle von Podman können entweder von root oder von einem nicht-privilegierten Nutzer betrieben werden). Nichts an der Engine zwingt Ihre Daten ins Ausland — sie läuft, wo Sie sie hinsetzen, das Festland eingeschlossen. Die Residenzfrage ist also nicht Podman, sondern die zwei Dinge, auf die Podman zeigt: die Registry, die Ihre privaten Images speichert, und der Host, der sie betreibt.

Dort setzt Chinas Recht an. Ihre privaten Images sind der maßgebliche Speicher für Code, den Sie nicht an die Welt veröffentlichen — proprietäre Dienste, internes Tooling und Build-Artefakte —, und sie tragen eingebackene Zugangsdaten, API-Token, Registry-Auth und Konfiguration. Pushen Sie sie zu einer Offshore-gehosteten Registry, und dieser konzentrierte Code und seine Secrets ruhen im Ausland. Sind Sie ein Betreiber kritischer Informationsinfrastruktur oder verarbeiten Sie personenbezogene Daten in großer Menge, müssen in China erhobene und erzeugte personenbezogene Daten und wichtige Daten im Festland gespeichert werden, mit einer Sicherheitsbewertung vor jedem Export — die Datenlokalisierungsregel des Cybersicherheitsgesetzes, Art. 39 (vormals Art. 37) wie durch die Novelle 2025, in Kraft seit 1. Januar 2026, umnummeriert. Eine Offshore-Registry, die Ihre proprietären Images und eingebetteten Secrets hält, hat dafür keine Festland-Grundlage.

Tür zwei — eingebettete Secrets, Mitwirkenden-Identitäten und Lieferketten-Herkunft

Die zweite Tür ist PIPL und die Integrität dessen, was in Ihrem China-Deployment läuft. Private Images und die Pipeline um sie herum tragen mehr als Anwendungscode: Benutzernamen und E-Mail-Adressen derer, die ein Release gebaut, signiert und promotet haben, Zugriffs- und Audit-Protokolle und alle personenbezogenen Daten, die in Image-Schichten oder Build-Metadaten geraten. Nach dem Gesetz zum Schutz personenbezogener Daten ist das Halten dieser Daten auf Infrastruktur außerhalb des Festlands ein grenzüberschreitender Transfer (Art. 38–40): Der Verarbeiter muss Mitteilung erteilen, eine gesonderte Einwilligung für den Transfer einholen und einen Mechanismus erfüllen — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung. Die Secrets und personenbezogenen Daten, die überhaupt erst in Image-Schichten eingebacken werden, zu minimieren, ist Teil der Lösung, bewegt aber den Speicher nicht für sich allein. Und weil Podman die Images, die Ihr China-Deployment tatsächlich betreibt, von der Registry zieht, die Sie konfigurieren, werden Herkunft und Integrität dessen, was im Festland ausgeführt wird, ebenfalls über die Grenze hinweg geregelt — eine Software-Lieferketten-Exponierung, die eine Erreichbarkeitsprüfung nie zeigt.

Warum eine Erreichbarkeitsprüfung dies verfehlt

Ein „kann mein Knoten ein Image aus Shanghai ziehen“-Test beantwortet die falsche Frage. Ein Registry-Mirror oder -Cache, oder Konnektivitäts-Tuning, ändert, wie schnell und zuverlässig ein Pull abschließt — er ändert nicht, wo Ihre privaten Images, die in ihre Schichten eingebackenen Secrets und die Herkunft dessen, was läuft, tatsächlich leben. Ein Setup kann also von innerhalb Chinas vollkommen gesund aussehen, während jedes private Image, jedes darin eingebettete Token und jeder Build-Datensatz noch im Ausland sitzt. Die obigen Residenz- und Grenzfragen sind für eine Erreichbarkeitssonde gerade deshalb unsichtbar, weil die Pulls weiterhin gelingen — weshalb der Zug, auf den es ankommt, ist, den privaten Speicher ins Inland zu bringen, nicht den Offshore-Speicher bloß erreichbar oder gespiegelt zu machen. Wir veröffentlichen keine eigene Messung der Registry-Konnektivität aus China, also stellen wir hier keine Zahlen hin; es ist etwas, das wir gegen Ihr tatsächliches Setup messen würden, statt es zu behaupten.

Dies ist eine Risikokarte, kein Urteil: Ob Sie inländische Speicherung, einen Transfermechanismus, einen überarbeiteten Einwilligungsfluss, eine ICP-Meldung für ein öffentlich zugängliches Entwicklerportal oder eine Kombination brauchen, hängt davon ab, was Ihre privaten Images tragen, wie viel und wer Ihre Mitwirkenden sind — am besten mit Rechtsbeistand zu klären, bevor Sie bauen.

Der Hebel — kartieren, lokalisieren, ausliefern

Weil Podman selbstgehostet ist und jedes private Image in einer inländischen Registry gespeichert werden kann, gibt es einen echten inländischen Weg, und 21YunBox verwendet oder empfiehlt niemals eine Umgehung welcher Art auch immer.

• Kartieren — inventarisieren, welche Images privat sind (Ihr proprietärer Code), ob sie Zugangsdaten, Token oder Konfiguration einbetten, wo die Registry, zu der Podman pusht und von der es zieht, heute gehostet ist, wo Ihre Podman-Hosts laufen, die Residenzgrundlage und wie die Image-Lieferkette Ihres China-Deployments die Grenze überquert.
• Lokalisieren / regeln — betreiben Sie die private Registry im Inland (selbstgehostet — Harbor, oder Nexus / Artifactory in Ihrer eigenen Infrastruktur) und halten Sie Ihre Podman-Hosts im Festland, sodass die proprietären Images und eingebetteten Secrets resident bleiben; halten Sie die Lieferkette Ihres China-Deployments im Inland; und minimieren Sie, was die Grenze überquert.
• Ausliefern — setzen Sie eine rechtskonforme, inländische private Registry und Image-Auslieferung vor (oder anstelle) den Offshore-Dienst; 21YunBox stellt die inländische Schicht ohne Neuaufbau bereit.

Die öffentliche Registry bloß erreichbar oder gespiegelt zu machen, ist nicht die Antwort — Ihre privaten Images und Secrets sind weiterhin im Ausland, und sie schneller zu ziehen, ändert das nicht. Die private Registry und Ihre Podman-Hosts im Inland zu halten, schon.

Wo 21YunBox hineinpasst — eine rechtskonforme Overlay, keine Migration

Sie betreiben Podman weiter. Wir fügen das Stück hinzu, das eine Offshore-Registry nicht allein bieten kann: ein rechtmäßiges, inländisches Zuhause für eine selbstgehostete private Registry, sodass Ihre proprietären Images, Build-Artefakte und eingebetteten Secrets resident bleiben, wo das Gesetz es verlangt, mit rechtskonformer ICP-gemeldeter Auslieferung für den Entwicklerzugang und jedes öffentlich zugängliche Portal davor — angeordnet um Ihr bestehendes Setup, ohne Neuaufbau, ohne zweite Codebasis und ohne Wechsel weg von Podman. Als Partnerin der Toolchain, die Sie bereits betreiben, kartiert unser China-Team Ihre Pflichten bei PIPL-Grenztransfer, Einwilligung und Datenresidenz gegen Ihre Gesellschaft und Ihre Pipeline und stellt dann die inländische Registry und Auslieferung bereit, die eine verteidigbare China-Präsenz braucht. Wir verwenden oder empfehlen niemals eine Umgehung welcher Art auch immer.

Compliance-Einschätzung anfordern →

---

Weiterführend:

• Grenzüberschreitende Datentransfers nach PIPL
• Chinas Cybersicherheitsgesetz und Datenlokalisierung
• So erhalten Sie eine ICP-Beian für China

Häufige Fragen

Ist Podman in China gesperrt?

Nein — und das ist die falsche Linse. Podman ist eine quelloffene, daemonlose Engine, die Sie auf Ihren eigenen Hosts betreiben, es ist also kein gehosteter Dienst, der ausfallen könnte; es läuft, wo immer Sie es installieren, das Festland eingeschlossen. Erreichbarkeit ist daher der leichte Teil. Was entscheidet, ob Ihr Setup verteidigbar ist, ist die Residenz: zu welcher Registry Podman Ihre privaten Images zieht und pusht und wo diese Images, die in ihre Schichten eingebackenen Secrets und die Hosts, die sie betreiben, tatsächlich leben. Öffentliche Base-Images zu ziehen, ist ein Erreichbarkeitsthema; Ihre privaten Images und Secrets sind ein Datenresidenz- und Lieferkettenthema. Bestätigen Sie die Einzelheiten mit Rechtsbeistand.

Wo leben meine privaten Images und Secrets, wenn ich Podman nutze?

Wo immer die Registry lebt, auf die Sie Podman richten. Podman speichert und betreibt Images auf Ihren eigenen Hosts und pusht sie zu „einem bestimmten Ziel“, das Sie wählen; ist dieses Ziel eine Offshore-private-Registry, sitzen Ihre proprietären Image-Schichten und die darin eingebetteten Zugangsdaten und Token im Ausland, und Ihr China-Deployment zieht seine Images über die Grenze. Hosten Sie die private Registry im Festland selbst und halten Sie Ihre Podman-Hosts im Inland, bleiben diese Images und Secrets resident. Die Engine selbst ist neutral — die Exponierung ist die Registry und der Host, die Sie wählen.

Was ist der rechtskonforme Weg, Podman für ein China-Deployment zu betreiben?

Halten Sie den privaten Speicher und die Hosts im Inland. Inventarisieren Sie, welche Images privat sind (Ihr proprietärer Code), ob sie Zugangsdaten oder Token einbetten und wo Ihre Registry und Podman-Hosts heute laufen; hosten Sie dann die private Registry im Festland selbst (Harbor, Nexus oder Artifactory) und betreiben Sie Podman auf inländischen Hosts, sodass Ihre privaten Images und eingebetteten Secrets resident bleiben und Ihre China-Image-Lieferkette im Inland bleibt. Für jedes öffentlich zugängliche Entwicklerportal fügen Sie rechtskonforme ICP-gemeldete Auslieferung davor hinzu. 21YunBox stellt diese inländische Schicht ohne Neuaufbau bereit und verwendet oder empfiehlt niemals eine Umgehung welcher Art auch immer. Klären Sie Ihre genauen Pflichten — inländische Speicherung, ein Transfermechanismus, Einwilligung — mit Rechtsbeistand.