Funktioniert StepZen in China? ICP, PIPL & die Backend-API-Schicht
StepZen — jetzt IBM API Connect for GraphQL — ist eine deklarative GraphQL-API-Schicht, kein Web-Host, es trägt also keine eigene ICP-Beian; diese Pflicht bleibt auf Ihrer öffentlichen App. Aber weil es personenbezogene Daten über Ihre Back Ends föderiert, macht das Betreiben von IBMs Offshore-Managed-Service China-Nutzer-Daten zu einer PIPL-Grenzfrage. Ein Blick zuerst auf die Compliance: die richtige Schicht, die man fragen muss.
Funktioniert StepZen in China?
StepZen — jetzt IBM API Connect for GraphQL — ist Backend-API-Installation, kein Web-Host: Es trägt keine eigene ICP-Beian, es zu betreiben, gibt Ihre Site also weder zum Betrieb in Festlandchina frei noch klärt es für sich allein Ihre Datenexponierung. Was zählt, ist, wer die ICP meldet und ob die personenbezogenen Daten von China-Nutzern durch eine im Ausland laufende Engine föderiert werden.
IBM beschreibt es als eine Art, „Build GraphQL APIs declaratively“, die „can also combine (or federate) data from multiple sources, such as SQL, NoSQL, REST, SOAP and other GraphQL APIs“ — und diese Föderation ist der Punkt: eine Schicht, durch die personenbezogene Daten auf ihrem Weg zwischen Ihren Nutzern und Ihren Speichern fließen. Betreiben Sie IBMs Managed-Service (in seiner Dokumentation eine „Managed service instance on AWS“), und diese Engine sitzt im Ausland, personenbezogene Information Ihrer China-Nutzer, die durch sie geht, ist also ein grenzüberschreitender Transfer, den PIPL regiert, während die ICP-Beian auf der öffentlichen Anwendung davor bleibt — nicht auf StepZen. Die Tabelle unten ist IBMs eigener Wortlaut und die Regel, die jede Schicht auslöst.
Dies ist eine Risikokarte, kein Urteil — welches Tor Sie bindet, dreht sich darum, wo die Engine läuft, welche personenbezogenen Daten sie überqueren und wer Ihre Nutzer sind. Unser China-Team kann Ihre Exponierung mit Ihnen kartieren →
Compliance-Momentaufnahme
- ! StepZen ist eine Backend-GraphQL-Schicht, kein Web-Host — keine eigene ICP
- ✕ Die ICP-Beian muss sich an Ihre festlandgehostete öffentliche App binden, nicht an StepZen
- ! IBM betreibt es als Offshore-Managed-Cloud-Service (auf AWS)
- ! Personenbezogene China-Nutzer-Daten, im Ausland durch es föderiert, sind ein PIPL-Transfer
- ! Für einen CIIO oder großen Verarbeiter müssen diese Daten im Festland gespeichert werden
Was die offizielle Stepzen-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| StepZen gehört jetzt IBM — und es ist ein GraphQL-Server, kein Web-Host. IBM kündigte „the acquisition of StepZen Inc, which developed a GraphQL server“ an, der „helps developers build GraphQL APIs quickly and with less code“, und fügte hinzu, „StepZen takes a declarative programming approach“. Es wird heute als IBM API Connect for GraphQL geliefert. Ein GraphQL-Server komponiert eine API über Back Ends, die Sie bereits betreiben; er ist nicht der Host, von dem Ihre öffentliche Site bedient wird, und nicht das primäre Buch des Datensatzes für die Datensätze Ihrer Kunden. | IBM Newsroom — IBM Acquires StepZen (newsroom.ibm.com), retrieved 2026-10-07 |
| Es föderiert Daten über Ihre Back Ends — personenbezogene Daten fließen also durch es. Auf IBMs Produktseite „Build GraphQL APIs declaratively by composing GraphQL building blocks“ Sie und „can also combine (or federate) data from multiple sources, such as SQL, NoSQL, REST, SOAP and other GraphQL APIs“. Eine Schicht, die Daten zwischen Ihrem Front End und Ihren Speichern weiterleitet, ist genau dort, wo personenbezogene Information durchreist — wenn also die Daten von China-Nutzern durch eine Offshore-Engine gehen, wird es ein grenzüberschreitender Transfer nach PIPL (Art. 38–43). | IBM — API Development with IBM API Connect / StepZen (ibm.com/products/stepzen), retrieved 2026-10-07; PIPL Articles 38–43 |
| IBM betreibt die Engine als Offshore-Managed-Cloud-Service. Anfragen laufen in „an in-memory, Golang-based GraphQL engine“, geliefert als „API Connect for GraphQL as a Service“ — in IBMs eigener Dokumentation eine „Managed service instance on AWS“. IBM veröffentlicht keine Festland-China-Region für den Dienst (Schlussfolgerung aus IBMs Verfügbarkeitsseiten), die personenbezogenen Daten, die die Engine für China-Nutzer handhabt, sitzen also außerhalb des Festlands; für einen CIIO oder Verarbeiter großer Mengen müssen diese Daten stattdessen in China gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)). | IBM — ibm.com/products/stepzen and API Connect for GraphQL as a Service docs (ibm.com/docs/en/api-connect-graphql/saas), retrieved 2026-10-07; PIPL Article 40; Cybersecurity Law Article 39 (formerly Article 37) |
| Die ICP-Beian bindet sich nie an StepZen. Eine öffentliche Site, die Festland-Besuchern bedient wird, braucht eine ICP-Beian, gebunden an eine Hosting-Ressource physisch im Festland (Erlass Nr. 292 des Staatsrats; MIIT-Erlass Nr. 33). Eine GraphQL-Middleware-Ebene ist nicht diese Hosting-Ressource, Ihre API-Schicht auf StepZen zu verlagern — managed oder selbstbetrieben — tut also nichts für die Beian. Dieses Tor bleibt auf der öffentlichen Anwendung, die die API speist. | China ICP regime — State Council Order No. 292; MIIT Order No. 33, retrieved 2026-10-07 |
Quellen vom 21YunBox Compliance-Team am 7. Oktober 2026 geprüft.
Für ein Festlandchina-Publikum ist die nützliche Frage zu StepZen nicht, wie schnell es eine Abfrage bedient — sie ist, auf welcher Schicht Ihres Stacks Chinas Regeln tatsächlich landen, und ob StepZen diese Schicht ist. Es ist es nicht. StepZen — jetzt IBM API Connect for GraphQL, nach IBMs Übernahme 2023 — ist eine deklarative GraphQL-Schicht: Es komponiert eine einzige API über die Datenbanken und Dienste, die Sie bereits betreiben. Es ist nicht der Host Ihrer Website, und es ist nicht das primäre Buch des Datensatzes für die Datensätze Ihrer Kunden, es trägt also keine ICP-Beian und kann für sich allein Ihre Site nicht zum Betrieb in China freigeben. Was es tut, ist, Daten zwischen Ihrem Front End und Ihren Back Ends zu bewegen — und dort sitzt die eine echte Compliance-Frage: Wenn personenbezogene Information über Ihre chinesischen Nutzer durch eine im Ausland laufende Engine geht, gelten Chinas Grenzregeln für diesen Fluss, während die Lizenzierungspflicht auf der öffentlichen Anwendung bleibt, die die API speist.
StepZen in China auf einen Blick
| Worüber es entscheidet | In StepZens eigenen Worten |
|---|---|
| Was es ist | Ein GraphQL-Server, der Sie „Build GraphQL APIs declaratively“ und „combine (or federate) data from multiple sources, such as SQL, NoSQL, REST, SOAP and other GraphQL APIs“ lässt. Backend-Middleware — kein Web-Host, kein Datenspeicher. |
| Wessen Produkt | Jetzt IBMs: IBM kündigte „the acquisition of StepZen Inc, which developed a GraphQL server“ an und verkauft es heute als IBM API Connect for GraphQL. |
| Wo es läuft | IBM liefert es „as a Service“ — in seiner Dokumentation eine „Managed service instance on AWS“, eine Offshore-Cloud. Es ist keine Festland-China-Region dafür veröffentlicht. |
| Wer die ICP meldet | Sie, gegen eine Festland-Hosting-Ressource (Erlass Nr. 292 des Staatsrats; MIIT-Erlass Nr. 33). Eine GraphQL-Schicht ist nicht diese Ressource, StepZen trägt also keine eigene ICP. |
| Die Daten Ihrer Nutzer | Wird die personenbezogene Information von China-Nutzern durch eine Offshore-Engine föderiert, ist das ein PIPL-Grenztransfer; für einen CIIO oder Verarbeiter großer Mengen muss sie stattdessen im Festland gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)). |
StepZen beantwortet Abfragen; es hostet nicht Ihre Site
In IBMs Beschreibung ist StepZen ein GraphQL-Server: Sie „Build GraphQL APIs declaratively by composing GraphQL building blocks“, und es „can also combine (or federate) data from multiple sources, such as SQL, NoSQL, REST, SOAP and other GraphQL APIs“. Das ist eine Ebene, die eine API über Back Ends zusammensetzt und bedient, die Sie bereits betreiben — sie beantwortet „what data does this query return, and from where?“. Sie bedient nicht Ihre Marketing-Site oder Ihre Web-App an einen Browser, und sie ist nicht das System des Datensatzes für die Konten Ihrer Kunden. Chinas Betriebsregeln binden die öffentliche Site und den Host, auf dem sie läuft; eine Abfrage-Kompositions-Schicht, die hinter dieser Site sitzt, ist selten das, was eine Regulierungsbehörde als Tor behandelt. Das Erste, was an „does StepZen work in China“ zu korrigieren ist, ist also die Schicht, auf die die Frage zielt.
Die ICP-Beian landet auf Ihrer Anwendung, nicht Ihrer API-Ebene
Eine öffentlich gerichtete Site, die Festland-Besuchern gezeigt wird, hängt von einer ICP-Beian (ICP 备案) nach Erlass Nr. 292 des Staatsrats und MIIT-Erlass Nr. 33 ab, und diese Beian muss sich an eine Hosting-Ressource binden, die physisch im Festland liegt. Eine GraphQL-Middleware-Ebene ist keine Hosting-Ressource, gegen die Sie melden können — sie komponiert Antworten, sie gibt Ihnen keinen Festland-Server mit angehängter Erfassungsnummer. StepZen (oder IBM API Connect for GraphQL) in Ihre Architektur zu setzen, managed oder selbstbetrieben, lässt die Lizenzierungsfrage also genau dort, wo sie war: auf der Anwendung, die die API speist. „We already run StepZen“ ist kein Schritt zur Beian; die Beian gehört zur Site davor.
Die eigentliche Frage — wo die Engine läuft und was durch sie fließt
Dies ist die Hälfte, die tatsächlich von StepZen abhängt. IBM liefert es als Managed-Cloud-Service — sein Dokumentationssatz ist „API Connect for GraphQL as a Service“, und die gehostete Option ist, in IBMs eigenen Worten, eine „Managed service instance on AWS“. Das ist Offshore-Infrastruktur, und IBM veröffentlicht keine Festland-China-Region für den Dienst. Weil die Engine Daten aus Ihren Back Ends föderiert, kann personenbezogene Information über Ihre chinesischen Nutzer auf dem Weg zum Front End durch sie gehen. Durch eine Engine geleitet, die außerhalb des Festlands sitzt, ist diese Bewegung ein grenzüberschreitender Transfer nach PIPL: Als Verarbeiter schulden Sie Mitteilung, gesonderte Einwilligung und einen Transfermechanismus — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung (Art. 38–43). Sind Sie ein Betreiber kritischer Informationsinfrastruktur oder ein Verarbeiter großer Mengen, muss in China gesammelte personenbezogene Information im Festland gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)), was eine Offshore-Engine nicht erfüllen kann. Die Exponierung folgt den Daten und dem Standort — nicht dem Markennamen in Ihrem Stack.
Legen Sie StepZen nicht übermäßig unter ‚Grenzdaten‘ ab
Es ist ebenso leicht, dies zu überzeichnen. Eine GraphQL-Schicht ist nicht automatisch ein Datenresidenz-Problem: Wenn die Engine nur je nicht-personenbezogene Daten vermittelt, oder Sie sie so architektieren, dass die personenbezogene Information keines chinesischen Nutzers das Festland verlässt, verengt sich die Grenzfrage oder fällt weg. Die Pflicht knüpft an Flüsse personenbezogener Information durch Infrastruktur, die im Ausland sitzt — nicht an die Tatsache, dass „GraphQL“ oder „federation“ in Ihrem Diagramm erscheint. Eine ehrliche Risikokarte hält diese Linie scharf: Benennen Sie, wohin personenbezogene Daten tatsächlich reisen, und lassen Sie ein Middleware-Etikett weder eine Exponierung herstellen, die nicht da ist, noch eine verbergen, die da ist.
Dies ist eine Risikokarte, kein Urteil: Ob das bindende Tor die ICP-Beian auf Ihrer Site, ein grenzüberschreitender Transfer durch Ihre API-Schicht oder eine inländische Speicherpflicht anderswo in Ihrem Stack ist, hängt davon ab, was Sie bedienen, wo jede Ebene läuft und wer Ihre Nutzer sind — es lohnt, das mit Rechtsbeistand zu klären, bevor Sie bauen.
Wo 21YunBox passt — ein Compliance-Overlay, keine Migration
Sie behalten StepZen — IBM API Connect for GraphQL —, das Ihre API genau so komponiert wie jetzt. Was wir hinzufügen, ist das Stück, das eine Abfrage-Schicht nie liefern sollte: rechtskonforme, ICP-gemeldete Auslieferung vom Festland aus, vor Ihren bestehenden Origin gesetzt — kein Neuaufbau, keine zweite Codebasis und keine Änderung daran, wo Ihre API-Ebene oder Ihre Datenquellen laufen. Unser China-Team kartiert, wo Ihre Exponierung wirklich sitzt — die ICP-Pflicht auf Ihrer öffentlichen Anwendung und jede PIPL-Grenz- oder Datenresidenz-Pflicht, die durch personenbezogene Daten entsteht, die durch Ihre GraphQL-Schicht ziehen — dann stellt es die inländische, ICP-gemeldete Auslieferung auf, die eine rechtmäßige China-Präsenz verlangt, während der Rest Ihres Stacks bleibt, wo er ist.
Compliance-Einschätzung anfordern →
Weiterführend:
Häufige Fragen
Gibt das Betreiben von StepZen unsere Site zum Betrieb in Festlandchina frei?
Nein. StepZen — jetzt IBM API Connect for GraphQL — ist eine Backend-GraphQL-Schicht, kein Web-Host, es trägt also keine eigene ICP-Beian. Eine öffentlich gerichtete Site, die Festland-Besuchern bedient wird, braucht eine ICP-Beian, gebunden an eine Hosting-Ressource im Festland (Erlass Nr. 292 des Staatsrats; MIIT-Erlass Nr. 33), und diese Pflicht bindet sich an die Anwendung, die StepZen speist, nicht an die API-Ebene. StepZen hinzuzufügen oder Ihre API-Schicht darauf umzustellen, ändert nicht, was gemeldet werden muss.
Ist unser StepZen-Setup ein PIPL-Grenzproblem?
Es kann es sein — es hängt davon ab, wo die Engine läuft und was durch sie fließt. IBM liefert StepZen als Managed-Cloud-Service (in seiner Dokumentation eine „Managed service instance on AWS“), der im Ausland ist. Weil die Schicht Daten aus Ihren Back Ends föderiert, kann personenbezogene Information Ihrer China-Nutzer durch sie reisen; durch eine Offshore-Engine geleitet, ist das ein grenzüberschreitender Transfer nach PIPL — Mitteilung, gesonderte Einwilligung und ein Transfermechanismus (Art. 38–43) — und für einen CIIO oder Verarbeiter großer Mengen müssen die Daten im Festland gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)). Wenn die Engine nur je nicht-personenbezogene oder nicht-China-Daten vermittelt, ist die Exponierung enger. Behandeln Sie es als ein mit Rechtsbeistand zu bestätigendes Risiko.
Kann 21YunBox helfen, unser StepZen-Setup in China zum Laufen zu bringen?
Ja. Unser China-Team kann die zwei Fragen trennen, die StepZen verwischt — die ICP-Pflicht, die auf Ihrer öffentlichen Anwendung bleibt, und ob irgendwelche personenbezogenen China-Nutzer-Daten, die durch Ihre GraphQL-Schicht föderiert werden, PIPL-Grenz- oder Datenresidenz-Regeln auslösen — dann die ICP-gemeldete, inländische Auslieferung aufstellen, die eine rechtmäßige China-Präsenz braucht, vor Ihrem bestehenden Origin, mit StepZen genau dort belassen, wo es läuft. Nehmen Sie Kontakt auf, um Ihren konkreten Fall durchzuarbeiten.
