Funktioniert Quay in China? Datenresidenz, ICP und grenzüberschreitende Regeln
Ihre privaten Container-Images auf Quay.io backen proprietären Code in ihre Schichten — oft mit eingebetteten Secrets — und auf Red Hats gehosteter Registry sitzen sie im Ausland in AWS us-east-1: eine Datenresidenz- und PIPL-Grenzfrage, keine Erreichbarkeitsfrage. Hosten Sie Red Hat Quay im Inland selbst, um sie resident zu halten.
Funktioniert Quay in China?
Ob Quay in China „funktioniert“, ist die falsche Frage — Ihre privaten Container-Images auf Quay.io backen Ihren proprietären Code in ihre Schichten, und auf Red Hats gehosteter Registry leben sie im Ausland. Das, nicht ob ein Knoten in Shanghai ein Image ziehen kann, entscheidet, ob das Setup verteidigbar ist.
In Red Hats eigenen Worten ist Quay.io „a hosted registry service for storing, building, and distributing container images“, wo „developers can create private repositories, ensuring sensitive or proprietary code remains secure within their organization“ — ein Dienst, primär in AWS us-east-1 in den Vereinigten Staaten gehostet. Ihre privaten Images und die Zugangsdaten, Token und Build-Konfiguration, die ihre Schichten regelmäßig einbetten, sitzen also außerhalb des Festlands, und die Image-Lieferkette Ihres China-Clusters überquert bei jedem Pull die Grenze. Im Ausland gehalten, sind alle personenbezogenen Daten oder Secrets in diesen Schichten ein grenzüberschreitender Transfer, den PIPL regelt, und für einen CIIO oder Verarbeiter großer Mengen weist die Datenlokalisierungs-Pflicht (Art. 39 (vormals Art. 37)) in die andere Richtung. Red Hat Quay — die eigene selbst hostbare Edition des Anbieters — oder eine selbstgehostete Registry wie Harbor, innerhalb des Festlands betrieben, hält diese privaten Images und eingebetteten Secrets resident.
Dies ist ein Risikobild, kein Urteil — Ihre Pflichten hängen davon ab, was Ihre privaten Images tragen und wer sie pusht. Unser China-Team kann Ihre Quay-Residenz- und Image-Lieferketten-Exponierung mit Ihnen kartieren →
Compliance-Momentaufnahme
- ! Ihre privaten Images auf Quay.io backen proprietären Code in ihre Schichten
- ! Diese Schichten betten regelmäßig Zugangsdaten, Token und Build-Konfig ein, die im Ausland sitzen
- ! Quay.io ist Red Hats gehostete Registry, primär in AWS us-east-1 — im Ausland
- ! Die Image-Lieferkette Ihres China-Clusters überquert dann die Grenze, um sie zu ziehen
- ! Eine Erreichbarkeitsprüfung sieht nie, wo Ihre privaten Images und Secrets leben
- ✓ Hebel: Red Hat Quay oder eine private Registry im Inland selbst hosten, um sie resident zu halten
Was die offizielle Quay-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| In Red Hats eigenen Worten: Quay.io ist „a hosted registry service for storing, building, and distributing container images and other artifacts“, und „developers can create private repositories, ensuring sensitive or proprietary code remains secure within their organization“. Diese privaten Images backen Ihren proprietären Code in ihre Schichten und betten regelmäßig Build-Zugangsdaten, API-Token und Konfiguration ein. Quay.io ist primär in AWS us-east-1 in den Vereinigten Staaten gehostet — im Ausland; Red Hat veröffentlicht keine Festland-China-Region dafür (aktuell mit Red Hat bestätigen). Ein Knoten, der ein Image zieht, ist nicht dasselbe wie dieser Code, der resident ist. | Red Hat — About Quay.io overview, abgerufen 2026-10-13 |
| Ein echter inländischer Weg existiert, geliefert vom Anbieter selbst: Red Hat Quay, die selbst deploybare Edition derselben Registry. Red Hat dokumentiert, dass sie „is available as a standalone component or running on top of Red Hat OpenShift“ — d. h. Sie betreiben sie auf Ihrer eigenen Infrastruktur. Deployen Sie sie (oder eine selbstgehostete Registry wie Harbor) innerhalb des Festlands, und Ihre privaten Images, Build-Artefakte und die in ihre Schichten gebackenen Secrets bleiben resident, mit der Image-Lieferkette Ihres China-Clusters im Inland gehalten. | Red Hat — Red Hat Quay product page, abgerufen 2026-10-13 |
| Für einen Betreiber kritischer Informationsinfrastruktur oder einen Verarbeiter großer Mengen müssen in China erhobene und erzeugte personenbezogene Daten und wichtige Daten innerhalb des Festlands gespeichert werden, mit einer Sicherheitsbewertung vor jedem Export — die Datenlokalisierungsregel des Cybersicherheitsgesetzes, Art. 39 (vormals Art. 37) wie durch die Novelle 2025, in Kraft seit 2026-01-01, umnummeriert. Private Images und Build-Artefakte, auf einer Offshore-Registry gehalten, haben dafür keine Festland-Grundlage. | PRC Cybersecurity Law, Article 39 (formerly Article 37); 2025 amendment in force 2026-01-01 |
| Robot-Account- und Nutzer-Identitäten, Zugriffsprotokolle, die in Image-Schichten gebackenen Secrets und alle personenbezogenen Daten in einem privaten Image, auf einer Offshore-Registry gehalten, sind ein PIPL-Grenztransfer (Art. 38–40): Der Verarbeiter muss Mitteilung erteilen, gesonderte Einwilligung einholen und einen Mechanismus erfüllen — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung. | PRC Personal Information Protection Law, Articles 38–40; CAC cross-border rules (March 2024) |
Quellen vom 21YunBox Compliance-Team am 13. Oktober 2026 geprüft.
Für einen Festlandchina-Betrieb ist die entscheidende Frage zu Quay nicht, ob ein Knoten in Shanghai ein öffentliches Base-Image ziehen kann — es ist, wo Ihre privaten Container-Images leben, was sie tragen und auf welcher rechtlichen Grundlage sie dorthin gelangt sind. Community-Images zu ziehen, ist ein Erreichbarkeitsthema, und nicht das, das entscheidet, ob Ihr Setup verteidigbar ist. Ihre privaten Images auf Quay.io sind anders: Ein Container-Image ist ein Artefakt, das Ihren proprietären Code in seine Schichten backt, und diese Schichten tragen regelmäßig Build-Zugangsdaten, API-Token, Registry-Auth und Konfiguration — manchmal mit mitreisenden Daten. Zu Quay.io, Red Hats gehosteter Registry, gepusht, sitzt dieses konzentrierte geistige Eigentum im Ausland, und die Image-Lieferkette Ihres China-Clusters — welche Images, mit welcher Herkunft und Integrität, im Festland laufen — überquert bei jedem Pull die Grenze. Residenz und grenzüberschreitender Transfer, nicht die Pull-Latenz, entscheiden dies.
Funktioniert Quay in China? Auf einen Blick
| Worüber es entscheidet | Was es für Festlandchina bedeutet |
|---|---|
| Was Ihre privaten Images halten | Ein privates Container-Image backt Ihren proprietären Code — Geschäftsgeheimnisse — in seine Schichten und bettet regelmäßig Build-Zugangsdaten, API-Token, Registry-Auth und Konfiguration ein, plus alle Daten, die während des Builds in eine Schicht gebacken wurden. |
| Wo die Registry läuft | Zu Quay.io gepusht, leben private Images auf Red Hats gehosteter Registry, die Red Hat als primär in AWS us-east-1 in den Vereinigten Staaten gehostet dokumentiert — im Ausland. Red Hat veröffentlicht keine Festland-China-Region für Quay.io (aktuell mit Red Hat bestätigen). |
| Datenresidenz | Für einen CIIO oder Verarbeiter großer Mengen müssen in China erhobene personenbezogene Daten und wichtige Daten im Festland gespeichert werden (Cybersicherheitsgesetz Art. 39 (vormals Art. 37)) — eine Pflicht, die eine Offshore-Registry nicht erfüllen kann. |
| Grenzüberschreitender Transfer | Robot-Account- und Nutzer-Identitäten, Zugriffsprotokolle, die in Image-Schichten gebackenen Secrets und alle personenbezogenen Daten in einem privaten Image, im Ausland gehalten, sind ein PIPL-Grenztransfer (Art. 38–40): Mitteilung, eine gesonderte Einwilligung und ein Transfermechanismus. |
| Die Lieferkette Ihres Deployments | Ein China-Cluster, der von einer Offshore-Registry zieht, betreibt seine Image-Lieferkette über die Grenze hinweg. Ein Registry-Mirror oder Pull-Through-Cache beschleunigt Pulls — er bewegt Ihre privaten Images oder Secrets nicht ins Inland. |
| Der Residenz-Hebel | Red Hat Quay — die eigene selbst hostbare Edition des Anbieters — oder eine selbstgehostete Registry wie Harbor, innerhalb des Festlands betrieben, hält die privaten Images, Build-Artefakte und eingebetteten Secrets resident. |
Tür eins — Ihre privaten Images sind proprietärer Code, und die Residenz folgt, wo sie gehostet sind
Beginnen Sie damit, was die Registry hält, denn darauf antwortet Chinas Recht. Die öffentliche Seite von Quay.io verteilt Community-Images, aber das ist nicht der Teil, der dies entscheidet. Ihre privaten Repositories sind anders: Ein Container-Image ist ein Artefakt, das Ihren proprietären Code in seine Schichten backt — interne Dienste, Build-Tooling, einen konzentrierten Ausschnitt Ihres geistigen Eigentums —, und diese Schichten tragen regelmäßig eingebackene Zugangsdaten, API-Token, Registry-Auth und Konfiguration, mit der gelegentlichen Fixture mitreisender Daten. In Red Hats eigenen Worten ist Quay.io „a hosted registry service for storing, building, and distributing container images and other artifacts“, wo „developers can create private repositories, ensuring sensitive or proprietary code remains secure within their organization“.
Dieses Hosting ist der Punkt. Quay.io ist Red Hats gehosteter Dienst, und Red Hat dokumentiert ihn als primär in AWS us-east-1 in den Vereinigten Staaten gehostet — ohne Festland-China-Region (etwas, das direkt mit Red Hat zu bestätigen statt anzunehmen ist). Sind Sie ein Betreiber kritischer Informationsinfrastruktur oder verarbeiten Sie personenbezogene Daten in großer Menge, müssen in China erhobene und erzeugte personenbezogene Daten und wichtige Daten im Festland gespeichert werden, mit einer Sicherheitsbewertung vor jedem Export — die Datenlokalisierungsregel des Cybersicherheitsgesetzes, Art. 39 (vormals Art. 37) wie durch die Novelle 2025, in Kraft seit 2026-01-01, umnummeriert. Eine Offshore-Registry, die Ihre proprietären Images und die darin gebackenen Secrets hält, hat dafür keine Festland-Grundlage.
Tür zwei — Image-Herkunft, eingebettete Secrets und grenzüberschreitende Identitäten
Die zweite Tür ist PIPL und die Integrität dessen, was in Ihrem China-Cluster läuft. Eine private Registry trägt mehr als Image-Schichten: die Robot-Account- und Nutzer-Identitäten derer, die ein Image gepusht, signiert und promotet haben, Zugriffs- und Audit-Protokolle, die in Schichten gebackenen Zugangsdaten und Token und alle personenbezogenen Daten, die in Image-Inhalte oder Build-Metadaten geraten. Nach dem Gesetz zum Schutz personenbezogener Daten ist das Halten dieser Daten auf Infrastruktur außerhalb des Festlands ein grenzüberschreitender Transfer (Art. 38–40): Der Verarbeiter muss Mitteilung erteilen, eine gesonderte Einwilligung für den Transfer einholen und einen Mechanismus erfüllen — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung. Die Secrets und personenbezogenen Daten, die überhaupt in Image-Schichten gebacken werden, zu minimieren, ist Teil der Lösung, bewegt aber den Speicher nicht für sich allein. Und weil Ihr China-Cluster seine Images von dort zieht, wo die Registry läuft, werden Herkunft und Integrität dessen, was in Ihrem China-Deployment läuft, ebenfalls über die Grenze hinweg geregelt — eine Software-Lieferketten-Exponierung, die eine Konnektivitätsprüfung nie zeigt.
Warum eine Erreichbarkeitsprüfung dies verfehlt
Ein „kann mein Knoten das Image aus Shanghai ziehen“-Test beantwortet die falsche Frage. Ein Registry-Mirror oder Pull-Through-Cache, oder Konnektivitäts-Tuning, ändert, wie schnell und zuverlässig ein Image-Pull abschließt — er ändert nicht, wo Ihre privaten Images, ihre eingebetteten Secrets und die Image-Herkunft tatsächlich leben. Ein Setup kann also von innerhalb Chinas vollkommen gesund aussehen, während jedes private Image, jedes in eine Schicht gebackene Token und jeder Robot-Account-Datensatz noch im Ausland in us-east-1 sitzt. Die obigen Residenz- und Grenzfragen sind für eine Erreichbarkeitssonde gerade deshalb unsichtbar, weil die Images weiterhin gezogen werden — weshalb der Zug, auf den es ankommt, ist, den privaten Speicher ins Inland zu bringen, nicht den Offshore-Speicher bloß erreichbar oder gespiegelt zu machen. Wir veröffentlichen keine eigene Messung der Quay.io-Konnektivität aus China, also stellen wir hier keine Zahlen hin; es ist etwas, das wir gegen Ihr tatsächliches Setup messen würden, statt es zu behaupten.
Dies ist eine Risikokarte, kein Urteil: Ob Sie inländische Speicherung, einen Transfermechanismus, einen überarbeiteten Einwilligungsfluss, eine ICP-Beian für ein öffentlich zugängliches Entwicklerportal oder eine Kombination brauchen, hängt davon ab, was Ihre privaten Images tragen, wie viel und wer sie pusht — am besten mit Rechtsbeistand zu klären, bevor Sie bauen.
Der Hebel — kartieren, lokalisieren, ausliefern
Weil Quay seine eigene selbst hostbare Edition liefert, gibt es einen echten erstanbieterlichen inländischen Weg, und 21YunBox verwendet oder empfiehlt niemals eine Umgehung welcher Art auch immer.
- Kartieren — inventarisieren, welche Ihrer Images privat sind (Ihr proprietärer Code), ob ihre Schichten Zugangsdaten, Token oder Konfiguration einbetten, wo die Registry und Cluster-Secrets heute leben, die Residenzgrundlage und wie die Image-Lieferkette Ihres China-Clusters die Grenze überquert.
- Lokalisieren / regeln — betreiben Sie die private Registry im Inland (selbstgehostet — Red Hat Quay, seine eigene selbst hostbare Edition, oder eine selbstgehostete Registry wie Harbor in Ihrer eigenen Infrastruktur), sodass die proprietären Images und eingebetteten Secrets resident bleiben; halten Sie die Image-Lieferkette Ihres China-Clusters im Inland; und minimieren Sie, was die Grenze überquert.
- Ausliefern — setzen Sie eine rechtskonforme, inländische private Registry und Image-Auslieferung vor (oder anstelle) den Offshore-Dienst; 21YunBox stellt die inländische Schicht ohne Neuaufbau bereit.
Die öffentliche Registry bloß erreichbar oder gespiegelt zu machen, ist nicht die Antwort — Ihre privaten Images und Secrets sind weiterhin im Ausland, und sie schneller zu ziehen, ändert das nicht. Die private Registry und Image-Artefakte im Inland zu halten, schon.
Wo 21YunBox hineinpasst — eine rechtskonforme Overlay, keine Migration
Sie nutzen Quay weiter. Wir fügen das Stück hinzu, das eine Offshore-Registry nicht allein bieten kann: ein rechtmäßiges, inländisches Zuhause für eine selbstgehostete private Registry — Red Hat Quay, die eigene selbst hostbare Edition des Anbieters, oder eine selbstgehostete Registry wie Harbor —, sodass Ihre proprietären Images, Build-Artefakte und eingebetteten Secrets resident bleiben, wo das Gesetz es verlangt, mit rechtskonformer ICP-gemeldeter Auslieferung für den Entwicklerzugang und jedes öffentlich zugängliche Portal davor — angeordnet um Ihr bestehendes Setup, ohne Neuaufbau, ohne zweite Codebasis und ohne Migration weg von Ihrer Toolchain. Als Partnerin der Toolchain, die Sie bereits betreiben, kartiert unser China-Team Ihre Pflichten bei PIPL-Grenztransfer, Einwilligung und Datenresidenz gegen Ihre Gesellschaft und Ihre Pipeline und stellt dann die inländische Registry und Auslieferung bereit, die eine verteidigbare China-Präsenz braucht. Wir verwenden oder empfehlen niemals eine Umgehung welcher Art auch immer.
Compliance-Einschätzung anfordern →
Weiterführend:
- Grenzüberschreitende Datentransfers nach PIPL
- Chinas Cybersicherheitsgesetz und Datenlokalisierung
- So erhalten Sie eine ICP-Beian für China
Häufige Fragen
Können wir Quay in China nutzen?
Öffentliche Base-Images zu ziehen, ist eine Erreichbarkeitsfrage, und nicht die eigentliche. Das entscheidende Problem sind Ihre privaten Container-Images — Ihr proprietärer Code, in Schichten gebacken, die regelmäßig Zugangsdaten und Token einbetten —, die auf Quay.io im Ausland in AWS us-east-1 sitzen, und die Image-Lieferkette Ihres China-Clusters, die bei jedem Pull die Grenze überquert. Beides kann durch Selbst-Hosting der Registry im Inland gehalten werden; das, nicht die Image-Erreichbarkeit, macht das Setup verteidigbar.
Hostet Quay.io private Images in Festlandchina?
Red Hat dokumentiert Quay.io als gehosteten Registry-Dienst, primär in AWS us-east-1 in den Vereinigten Staaten gehostet, und veröffentlicht keine Festland-China-Region dafür (aktuell mit Red Hat bestätigen), private Images, die zu Quay.io gepusht werden, sitzen also auf Offshore-Infrastruktur. Die inländische Alternative ist Red Hat Quay — die eigene selbst hostbare Edition des Anbieters — oder eine selbstgehostete Registry wie Harbor, auf Ihrer eigenen Infrastruktur innerhalb des Festlands betrieben, die die privaten Images und eingebetteten Secrets resident hält.
Kann 21YunBox helfen, unser Quay-Setup in China rechtskonform zu machen?
Ja. Unser China-Team kartiert, wo Ihre privaten Images leben, welche Secrets und personenbezogenen Daten ihre Schichten tragen und wie die Image-Lieferkette Ihres China-Clusters die Grenze überquert, und stellt dann eine rechtskonforme, inländische private Registry und Image-Auslieferung vor Ihrem bestehenden Setup auf — kein Neuaufbau, keine Migration weg von Ihrer Toolchain. Nehmen Sie Kontakt auf, um Ihren konkreten Stack durchzugehen.
