Funktioniert Terraform in China? Datenresidenz, Lokalisierung & PIPL-Grenztransfer
Die Terraform-CLI läuft überall, aber HCP Terraform (vormals Terraform Cloud) speichert Ihren State, Ihre Variablen und Secrets in den Vereinigten Staaten ohne Festland-China-Region — und dieser State kartiert Ihre ganze Infrastruktur, oft mit Zugangsdaten im Klartext. Ein Blick zuerst auf die Compliance: wo Terraform-State und -Secrets nach PIPL und Chinas Datenlokalisierungs-Regeln rechtmäßig ruhen dürfen, und der inländische Weg.
Funktioniert Terraform in China?
Die Terraform-CLI läuft überall — aber HCP Terraform, der verwaltete Dienst, speichert Ihren State, Ihre Variablen und Secrets in den Vereinigten Staaten ohne Festland-China-Region, und dieser State kartiert Ihre gesamte Infrastruktur, oft mit Zugangsdaten im Klartext.
Ob Terraform erreichbar ist, war nie die Frage; wo sein State ruhen darf, ist es. HashiCorps Trust Center sagt, HCP Terraform „is a multi-tenant service. Customer data is stored in the United States. Customers cannot choose a different hosting location.“ Wo dieser State, seine Variablen oder die Ressourcen, die er beschreibt, im Festland gesammelte personenbezogene Information tragen, ist es ein grenzüberschreitender Transfer nach PIPL, ihn offshore zu halten (Mitteilung, eine gesonderte Einwilligung, ein Transfermechanismus); und für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen Daten, die das Cybersicherheitsgesetz im Festland bleiben sagt (Art. 39, vormals Art. 37; PIPL Art. 40). Der rechtmäßige Hebel ist Terraforms eigener: Die CLI läuft im Land und das Backend, das Sie wählen, entscheidet, wo State lebt, ein selbstverwaltetes, inländisches State-Backend hält State und Secrets also auf Festland-Boden.
Dies ist eine Risikokarte, kein Urteil — ob Sie inländische Speicherung, einen Transfermechanismus oder beides schulden, dreht sich um Ihre Gesellschaft, Ihre Datenmengen und wessen personenbezogene Information Ihre Infrastruktur berührt. Unser China-Team kann Ihre Exponierung kartieren →
Compliance-Momentaufnahme
- ✕ HCP Terraform speichert State, Variablen & Secrets in den USA — keine China-Region
- ! Der Terraform-State kartiert Ihre ganze Infra-Topologie und kann Secrets im Klartext halten
- ! China-PII in State, Variablen oder Protokollen offshore = ein PIPL-Grenztransfer
- ! CIIO oder Verarbeiter großer Mengen schulden inländische Speicherung, die HCP nicht erfüllen kann
- ! Aus dem Festland erreichbar — das ist Residenz von State & Secrets, keine Sperre
- ✓ Die CLI mit einem inländischen State-Backend betreiben — 21YunBox kartiert & liefert es
Was die offizielle Terraform-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| HCP Terraform speichert Ihren State, Ihre Variablen und Secrets in den Vereinigten Staaten — ohne Festland-China-Region. HashiCorps Trust Center gibt an, HCP Terraform (vormals Terraform Cloud) „is a multi-tenant service. Customer data is stored in the United States. Customers cannot choose a different hosting location.“ Eine gesonderte EU-Datenresidenz-Option speichert diese Daten in Europa, aber es gibt so oder so keine Festland-China-Region, der State und die Secrets, die Sie zu HCP schieben, kommen also offshore zur Ruhe. | HashiCorp Trust Center — HCP data location overview (hashicorp.com), retrieved 2026-10-10 |
| Der Terraform-State kartiert Ihre ganze Infrastruktur und kann Secrets im Klartext speichern. HashiCorps eigene Dokumentation sagt, State- und Plan-Dateien „contain detailed information about your infrastructure, including resource attributes and metadata that can contain sensitive values, such as initial database passwords or API tokens,“ und dass lokal ausgeführt „Terraform stores your state in a plaintext file, which includes any secret values you defined in your configuration.“ Wo immer dieser State ruht, ruht Ihre Infrastruktur-Topologie und ihre Zugangsdaten mit ihm. | Terraform docs — Manage sensitive data in your configuration (developer.hashicorp.com), retrieved 2026-10-10 |
| Die CLI läuft überall, und das Backend, das Sie wählen, entscheidet, wo State ruht. HashiCorps Dokumentation sagt „the backend defines where Terraform stores its state data files,“ und dass Sie „define a backend block to store state in a remote object“ können statt HCP Terraform. Das macht ein selbstverwaltetes, inländisches State-Backend zum rechtmäßigen Hebel: Behalten Sie Terraform und Ihren Workflow, und halten Sie State und Secrets auf Festland-Infrastruktur statt in einem Offshore-Dienst. | Terraform docs — Backend block configuration overview (developer.hashicorp.com), retrieved 2026-10-10 |
| Offshore-State, der personenbezogene China-Information trägt, ist ein grenzüberschreitender Transfer — und manche Verarbeiter schulden inländische Speicherung. Wo State, Variablen, Protokolle oder die Ressourcen, die sie beschreiben, im Festland gesammelte personenbezogene Information tragen, ist es ein grenzüberschreitender Transfer nach PIPL (Art. 38–40), sie in einem US-Dienst zu halten — Mitteilung, gesonderte Einwilligung und ein Transfermechanismus. Wenn Sie ein Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen sind, müssen diese Daten im Festland gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)), was ein Offshore-HCP-Dienst nicht erfüllen kann. | PIPL Articles 38–40 and 40; Cybersecurity Law Article 39 (formerly Article 37) (cac.gov.cn) |
Quellen vom 21YunBox Compliance-Team am 10. Oktober 2026 geprüft.
Ob Terraform in China läuft, ist die falsche Frage. Die Terraform-CLI ist ein Binary, das überall ausführt, wo Sie es hinsetzen — ein Laptop in Shenzhen, ein Build-Agent in Shanghai — Erreichbarkeit ist also nicht das Problem. Was ein China-gerichtetes Team tatsächlich entscheiden muss, ist, wo Terraforms State zur Ruhe kommen darf. Eine State-Datei ist kein Protokoll; sie ist eine Karte Ihrer gesamten Infrastruktur — jede Ressource, ihre Attribute und Metadaten — und, in HashiCorps eigenen Worten, sie „can contain sensitive values, such as initial database passwords or API tokens,“ häufig im Klartext gespeichert. HCP Terraform, der verwaltete Dienst, vormals Terraform Cloud genannt, speichert diesen State, Ihre Variablen und Ihre Provider-Zugangsdaten in den Vereinigten Staaten, und Kunden können keinen anderen Hosting-Standort wählen. Das ist die Residenz-Lücke — und es geht darum, wo Ihre Infrastruktur-Karte und ihre Secrets leben, nicht um Geschwindigkeit.
Terraform in China auf einen Blick
| Was es entscheidet | In Terraforms eigenen Worten — und Chinas Recht |
|---|---|
| Wo Ihr State tatsächlich ruht | HCP Terraform (vormals Terraform Cloud) ist der verwaltete Dienst, der Ihren Terraform-State, Ihre Variablen und Provider-Zugangsdaten speichert. HashiCorps Trust Center: HCP Terraform „is a multi-tenant service. Customer data is stored in the United States. Customers cannot choose a different hosting location.“ Eine gesonderte EU-Datenresidenz-Option speichert diese Daten in Europa — aber es gibt so oder so keine Festland-China-Region. |
| Was der Terraform-State hält | State ist eine Karte Ihrer ganzen Infrastruktur. HashiCorps Dokumentation sagt, State- und Plan-Dateien „contain detailed information about your infrastructure, including resource attributes and metadata that can contain sensitive values, such as initial database passwords or API tokens,“ und dass lokal „Terraform stores your state in a plaintext file.“ Wo die Ressourcen, die es verwaltet, Kundendatensätze oder Nutzerkonten halten, sitzt diese personenbezogene Information in oder hinter dem State. |
| Ihre China-Daten überqueren die Grenze | Wenn State, Variablen, Protokolle oder die Ressourcen, die sie beschreiben, im Festland gesammelte personenbezogene Information tragen, bewegt es diese Daten offshore, sie in HCP Terraforms US-Dienst zu halten — ein grenzüberschreitender Transfer nach PIPL (Art. 38–40): Mitteilung, eine gesonderte Einwilligung und ein Transfermechanismus (eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung). |
| Die inländische Speicherpflicht | Wenn Sie kritische Informationsinfrastruktur betreiben oder personenbezogene Information oberhalb der regulierten Mengen verarbeiten, müssen im Festland gesammelte Daten im Festland gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37) — die Cybersicherheitsgesetz-Novelle 2025, in Kraft 1. Januar 2026, nummerierte den Datenlokalisierungs-Artikel von 37 auf 39 um, Inhalt unverändert). Ein Nur-US-HCP-Dienst hat keine Festland-Region, in der er sie halten kann. |
| Erreichbarkeit ist nicht die Achse | Terraform ist nicht „gesperrt“ — die CLI läuft, wo immer Sie sie bereitstellen, und HCP ist aus dem Festland erreichbar. Die Entscheidung ist Residenz von State und Secrets. Der rechtmäßige Hebel: die CLI mit einem selbstverwalteten, inländischen State-Backend betreiben, sodass State das Festland nie verlässt, und jede China-gerichtete Oberfläche vor Ihrem Stack auf ICP-gemeldete, inländische Auslieferung setzen. |
Wo die Daten tatsächlich ruhen
Die Terraform-CLI selbst ist residenz-neutral: Sie läuft auf welcher Maschine auch immer Sie sie betreiben, und das Backend, das Sie konfigurieren, entscheidet, wo State gehalten wird. HashiCorps Dokumentation ist explizit — „the backend defines where Terraform stores its state data files,“ und Sie können entweder mit HCP Terraform integrieren oder „define a backend block to store state in a remote object.“ Wählen Sie HCP Terraform, und dieses Remote-Objekt ist HashiCorps mandantenfähiger Dienst. Sein Trust Center ist eindeutig darüber, wo das landet: HCP Terraform „is a multi-tenant service. Customer data is stored in the United States. Customers cannot choose a different hosting location.“ HashiCorps Datensicherheits-Dokumentation zeigt genau, was der Dienst hält — Ihre Terraform-State-Datei und Plan-Ergebnisse im Blob-Speicher, Ihre Variablen und Provider-Zugangsdaten in seiner Datenbank, und Cloud-Backups in Amazon S3. HashiCorp hat seither eine EU-Datenresidenz-Option eingeführt, die diese Daten in Europa hält, aber es gibt in keinem Fall eine Festland-China-Region. State, Variablen und Secrets, die zu HCP Terraform geschoben werden, ruhen also offshore, und die personenbezogene Information Ihrer chinesischen Nutzer — wo immer sie in oder hinter dieser Infrastruktur sitzt — ruht offshore mit ihr. Das ist eine Datenresidenz-Tatsache, bevor es irgendetwas anderes ist.
Was es hält, ist personenbezogene Information
Terraform-State als „just config“ abzutun, ist der Fehler. HashiCorps eigene Anleitung sagt, State- und Plan-Dateien „contain detailed information about your infrastructure, including resource attributes and metadata that can contain sensitive values, such as initial database passwords or API tokens,“ und dass, wenn Sie lokal arbeiten, „Terraform stores your state in a plaintext file, which includes any secret values you defined in your configuration.“ Selbst mit den empfohlenen Leitplanken warnt es, dass Terraform „stores values with the sensitive argument in both state and plan files, and anyone who can access those files can access your sensitive values.“ Der State ist also zwei sensible Dinge zugleich: eine vollständige Topologie Ihrer Infrastruktur — eine Geschäftsgeheimnis-Exponierung für sich — und ein Behälter für Zugangsdaten und Tokens. Legen Sie die Daten obendrauf, die die Infrastruktur beschreibt — Datenbanken mit Kundendatensätzen, Nutzerkonten, Anwendungs-Secrets — und personenbezogene Information ist klar im Umfang.
Wenn im Festland gesammelte personenbezogene Information in einem Offshore-Dienst gespeichert oder von ihm erreichbar ist, regiert PIPL die Bewegung als grenzüberschreitenden Transfer: Art. 38–40 verlangen Mitteilung, eine gesonderte Einwilligung und einen Transfermechanismus — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung. Und wenn Sie kritische Informationsinfrastruktur betreiben oder personenbezogene Information oberhalb der regulierten Mengen verarbeiten, gilt eine Datenlokalisierungspflicht: Im Land gesammelte personenbezogene Information und wichtige Daten müssen im Land gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)). Ein Offshore-, US-gehosteter HCP-Dienst kann diese Pflicht strukturell nicht erfüllen — es gibt keine Festland-Region, in der die Daten gehalten werden.
Es auf einem verwalteten Dienst ohne China-Region zu betreiben, erfüllt die Residenzpflicht nicht — und was sie erfüllt
Fügen Sie die zwei Tatsachen zusammen, und der Schluss ist eng und praktisch. HCP Terraform hat keine Festland-China-Region, es kann also Festland-Daten nicht im Land halten; und der Terraform-State trägt sowohl Ihre Infrastruktur-Topologie als auch ihre Secrets. Für einen Verarbeiter, der Datenlokalisierung schuldet, ist ein Offshore-HCP-Workspace daher strukturell außerstande, die Pflicht zu erfüllen — nicht weil Terraform mangelhaft ist, sondern weil der verwaltete Dienst die Daten in den Vereinigten Staaten hält.
Der rechtmäßige Hebel ist Terraforms eigenes Design. Die CLI läuft, wo immer Sie sie bereitstellen, einschließlich auf Festland-Infrastruktur, und weil „the backend defines where Terraform stores its state data files,“ können Sie sie auf ein selbstverwaltetes, inländisches State-Backend richten — einen inländischen Objektspeicher oder ein selbstgehostetes Backend — statt auf HCP Terraform. State und Secrets bleiben dann auf Festland-Boden, und Sie behalten Terraform, Ihre Module und Ihren Workflow genau wie sie sind. Das ist keine Migration weg von Terraform; es ist eine Entscheidung darüber, wo State ruht. (Zwei Tatsachen, die festzuhalten und beiseitezulegen sind: Terraforms Lizenz wechselte im August 2023 von MPL 2.0 zur Business Source License, was den OpenTofu-Fork hervorbrachte, der jetzt von der Linux Foundation betreut wird; und HashiCorp wurde von IBM übernommen, angekündigt 2024 und abgeschlossen im Februar 2025. Keines ändert die Residenz-Analyse — die CLI läuft weiterhin, wo Sie sie bereitstellen, und das Backend entscheidet weiterhin, wo State lebt.)
Nichts davon ist ein Richtspruch. Ob Sie inländische Speicherung, einen Grenztransfer-Mechanismus oder beides schulden, dreht sich um Ihre Gesellschaft, Ihre Datenmengen und wessen personenbezogene Information Ihre Infrastruktur tatsächlich berührt — klären Sie die Einzelheiten mit Ihrem Rechtsbeistand gegen Ihre echten Datenflüsse, und behandeln Sie diese Seite als eine Karte der Exponierung, kein Urteil.
Der rechtmäßige Weg — kartieren, lokalisieren, liefern
21YunBox ist eine Compliance-Overlay, keine Migration — und ein Partner zu HashiCorps Tooling, kein Wettbewerber dazu. Unsere Aufgabe ist, das Terraform, das Sie bereits betreiben, für Festlandchina rechtmäßig und dauerhaft zu machen, in drei Zügen.
Kartieren. Wir lesen die PIPL-Grenz-, Datenresidenz- und Datenlokalisierungs-(CII-)Pflichten gegen Ihr tatsächliches Setup — Ihre Gesellschaft, Ihre Datenmengen, was Ihr Terraform-State und Ihre Variablen enthalten, und wessen personenbezogene Information Ihre Infrastruktur berührt — sodass Sie und Ihr Rechtsbeistand die Exponierung präzise sehen können.
Lokalisieren. Wir helfen Ihnen, State und Secrets im Land zu halten: die Terraform-CLI mit einem selbstverwalteten, inländischen State-Backend auf Festland-Infrastruktur betreiben, oder einer lizenzierten inländischen / Sovereign-Cloud-Option, wo das passt. Lokalisieren heißt, eine rechtmäßige inländische Heimat für Ihren State aufzustellen — keine Umleitung zurück zum Offshore-HCP-Endpunkt.
Liefern. Jede China-gerichtete Oberfläche vor dem Stack, den Ihr Terraform bereitstellt — die App, die API-Edge, das Admin- oder Reporting-Portal, das Ihre Festland-Nutzer ansteuern — läuft über ICP-gemeldete, inländische Auslieferung (der 21YunBox Optimizer), vor dem Stack, den Sie bereits betreiben, ohne Neuaufbau und ohne zweite Codebasis. Diese China-gerichtete Property trägt weiterhin eine ICP-Beian-Pflicht (备案), und diesen Teil besitzen wir vollständig.
Das Ergebnis läuft rechtmäßig und rechtskonform für Ihre Nutzer in China, auf Infrastruktur, die an jedem Knoten rechtmäßig bleibt. 21YunBox nutzt oder empfiehlt niemals irgendeine Form der Umgehung.
Compliance-Einschätzung anfordern →
Weiterführende Lektüre:
- Grenzüberschreitende Datentransfers nach PIPL
- Chinas Cybersicherheitsgesetz (Datenlokalisierung, Art. 39, vormals Art. 37)
- Chinas Datenexport-Sicherheitsbewertungs-Maßnahmen
- Wie man eine ICP-Beian für China erhält
Häufige Fragen
Hat HCP Terraform eine Festland-China-Region?
Nein. HashiCorps Trust Center gibt an, HCP Terraform „is a multi-tenant service. Customer data is stored in the United States. Customers cannot choose a different hosting location.“ HashiCorp hat seither eine EU-Datenresidenz-Option hinzugefügt, die Daten in Europa speichert, aber es gibt in keinem Fall eine Festland-China-Region — der State, die Variablen und Secrets, die Sie zu HCP Terraform schieben, kommen also offshore zur Ruhe.
Ist Terraform in China gesperrt?
Nein — und das ist die falsche Achse. Die Terraform-CLI ist ein Binary, das läuft, wo immer Sie es bereitstellen, einschließlich auf Festland-Infrastruktur, und HCP Terraform ist aus dem Festland erreichbar. Die Compliance-Frage ist nicht Erreichbarkeit; es ist Residenz: wo Ihr State und Ihre Secrets ruhen dürfen. State offshore in einem US-Dienst ist eine Datenresidenz- und PIPL-Grenz-Frage, keine Konnektivitäts-Frage.
Wie halten wir Terraform-State und -Secrets in China?
Betreiben Sie die Terraform-CLI mit einem selbstverwalteten, inländischen State-Backend — einem inländischen Objektspeicher oder einem selbstgehosteten Backend — statt HCP Terraform, sodass State und Secrets auf Festland-Boden bleiben. 21YunBox kann Ihre PIPL-Grenz- und Datenlokalisierungs-Exponierung für Ihre Gesellschaft und Daten kartieren, Ihnen helfen, ein inländisches Backend aufzustellen, und jede China-gerichtete Oberfläche vor Ihrem Stack auf ICP-gemeldeter, inländischer Infrastruktur ausliefern — kein Neuaufbau, keine Migration weg von Terraform. Klären Sie die Einzelheiten mit Ihrem Rechtsbeistand.
