Funktioniert Varonis in China? Datenresidenz, Lokalisierung & PIPL-Grenztransfer
Varonis SaaS speichert nur Metadaten — aber diese Metadaten sind eine klassifizierte Karte dessen, wo Ihre sensiblen Dateien und personenbezogenen Informationen leben, plus Nutzeridentitäten und Zugriffsereignisse. Seine Regionen umspannen die USA, Europa, das UK, Kanada, Australien und Indien — keine im Festland Chinas — diese Karte ruht also offshore, ein PIPL-Grenztransfer. Ein Blick zuerst auf die Compliance: wo Ihre Sicherheits-Metadaten ruhen dürfen.
Funktioniert Varonis in China?
Varonis läuft in China — die Compliance-Frage ist Residenz: Seine SaaS speichert nur Metadaten, und diese Metadaten sind eine klassifizierte Karte dessen, wo Ihre sensiblen Daten und personenbezogenen Informationen leben, offshore gehalten ohne Festland-China-Region.
Varonis behält Dateiinhalte auf einem In-Umgebungs-Collector und lädt Metadaten, Klassifizierungen und Zugriffsereignisse — Nutzeridentitäten, Dateipfade, E-Mail-Absender und -Empfänger, Zugriffsaufzeichnungen — an seine SaaS Data Security Platform hoch, die nur in den USA, Europa, dem UK, Kanada, Australien und Indien operiert. Diese China-stammende Karte und ihre Identifikatoren offshore zu halten, ist ein PIPL-Grenztransfer, und weil die Klassifizierungen genau markieren, wo Art.-28-sensible Daten sitzen, steigen die Einsätze eher, als dass sie fallen; ein Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen schuldet zudem eine inländische Speicherpflicht, die eine Offshore-SaaS nicht erfüllen kann. Die naheliegende inländische Option — die Legacy-selbst-gehostete Plattform — erreicht ihr End-of-Life am 31. Dezember 2026.
Dies ist eine Risikokarte, kein Urteil — klären Sie die Einzelheiten mit Rechtsbeistand. Unser China-Team kann Ihre Exponierung kartieren →
Compliance-Momentaufnahme
- ✕ Keine Festland-China-SaaS-Region zu wählen — die Metadaten ruhen offshore
- ! Die gespeicherten Metadaten kartieren, wo Ihre PII und sensiblen Daten physisch leben
- ! Identitäten, E-Mail-Absender/-Empfänger und Zugriffsereignisse sind personenbezogene Information
- ! China-Metadaten offshore = PIPL-Grenztransfer; CIIO schuldet inländische Speicherung
- ! Legacy-selbst-gehostete Plattform ist End-of-Life 31. Dezember 2026 — On-Prem-Hebel schließt
- ✓ 21YunBox kartiert die Exponierung, lokalisiert die Datenschicht im Land, liefert über ICP-Edge aus
Was die offizielle Varonis-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| Varonis speichert nur Metadaten auf seiner SaaS — aber diese Metadaten sind eine klassifizierte Karte dessen, wo Ihre sensiblen Daten leben, gehalten in einer Geografie ohne Festland-China-Region. Seine Datenschutzseite gibt an, die Plattform „can be set to operate from the geography of the customer's choice“ und dass „Only metadata, and not the data itself, is stored on Varonis DSP.“ Diese Metadaten umfassen Nutzeridentitäten, Dateipfade, E-Mail-Absender und -Empfänger, Zugriffsereignisse und Klassifizierungsergebnisse; die Betriebs-Geografien sind die USA, Europa, das UK, Kanada, Australien und Indien. | Varonis — Privacy Standards and Practices (retrieved 2026-10-10) |
| Varonis' Legacy-selbst-gehostete Plattform erreicht ihr End-of-Life am 31. Dezember 2026 — der Anbieter geht aufs Ganze mit SaaS. Varonis gibt an, es habe „the end-of-life (EOL) of our legacy self-hosted product by December 31, 2026“ angekündigt, mit SaaS nun „76% of our business,“ die Option, es auf Ihren eigenen Festland-Servern zu betreiben, schließt also, und der inländische Hebel verschiebt sich zu einem lizenzierten inländischen oder souveränen Cloud-Äquivalent. | Varonis blog — Why We’re Going All In on SaaS, rev. 2025-11-12 (retrieved 2026-10-10) |
| China-stammende Metadaten und Identifikatoren auf einer Offshore-SaaS zu halten, ist ein grenzüberschreitender Transfer personenbezogener Information unter PIPL. PIPL Art. 38–40 legen die Pflicht auf den Verarbeiter — Sie, den Betreiber, nicht Varonis, den Auftragsverarbeiter — Mitteilung zu geben, eine gesonderte Einwilligung einzuholen und einen Transfermechanismus aufzustellen (eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder Zertifizierung). | Personal Information Protection Law, Articles 38–40 (retrieved 2026-10-10) |
| Ein Betreiber kritischer Informationsinfrastruktur muss in China erzeugte personenbezogene Information in China speichern — eine Offshore-SaaS kann das nicht erfüllen. Cybersicherheitsgesetz Art. 39 (vormals Art. 37) — die Novelle 2025, in Kraft 1. Januar 2026, nummerierte den Datenlokalisierungs-Artikel von 37 auf 39 um, Inhalt unverändert — und PIPL Art. 40 setzen die inländische Speicherpflicht; oberhalb von Mengen- oder Sensibilitätsschwellen kann eine CAC-Datenexport-Sicherheitsbewertung gelten, bevor irgendetwas geht. | Cybersecurity Law Art. 39 (formerly Art. 37); PIPL Art. 40 (retrieved 2026-10-10) |
Quellen vom 21YunBox Compliance-Team am 10. Oktober 2026 geprüft.
Für ein Sicherheitsteam, das Festlandchina bedient, war die Frage nach Varonis nie, ob seine Collectors sich installieren oder ob sie die Cloud erreichen können. Das tun sie. Varonis ist eine Datensicherheits-Plattform: Es entdeckt, klassifiziert und beobachtet fortlaufend, wo Ihre sensiblen Dateien und personenbezogenen Informationen über Dateifreigaben, Microsoft 365, SaaS-Apps und Cloud-Speicher hinweg leben. Konzeptbedingt behält es Dateiinhalte auf einem Collector innerhalb Ihrer Umgebung und sendet nur Metadaten an seine SaaS — und diese Metadaten sind der Kern, denn sie sind eine klassifizierte Karte genau dessen, wo Ihre sensibelsten Daten sitzen, zusammen mit Nutzeridentitäten, E-Mail-Absendern und -Empfängern, Zugriffsereignissen und den Labels, die markieren, was sensibel ist. Die Ironie ist scharf: Das Werkzeug, das Sie kauften, um Ihre sensiblen Daten zu kartieren und zu schützen, hält diese Karte offshore. Varonis betreibt diese SaaS in den USA, Europa, dem UK, Kanada, Australien und Indien — keine im Festland Chinas — und seine Legacy-selbst-gehostete Plattform erreicht ihr End-of-Life am 31. Dezember 2026. Die eigentliche Frage ist also eine Residenzfrage: Wo darf die Karte Ihrer China-Daten ruhen?
Varonis in China auf einen Blick
| Was es entscheidet | In Varonis' eigenen Worten — und Chinas Recht |
|---|---|
| Wo die Sicherheitsdaten physisch ruhen | Varonis behält Dateiinhalte auf einem Collector innerhalb Ihrer Umgebung und speichert nur Metadaten auf seiner SaaS Data Security Platform (DSP). Seine Datenschutzseite sagt, die Plattform „can be set to operate from the geography of the customer's choice“ — aber die Geografien, die es betreibt, sind die USA, Europa, das UK, Kanada, Australien und Indien. Es gibt keine Festland-China-Region zu wählen, die Metadaten kommen also offshore zur Ruhe. Die Legacy-selbst-gehostete Plattform, die auf Ihren eigenen Festland-Servern laufen konnte, erreicht ihr End-of-Life am 31. Dezember 2026. |
| Was es aufnimmt, und warum es personenbezogene Information ist | Varonis' eigene Definition: Metadaten sind „information that describes or contextualizes that content (such as user identities, file/folder/path names, email addresses/subjects/senders/recipients, domains, and IP addresses, timestamps, or communication attributes).“ Fügen Sie Zugriffsereignisse hinzu — wer welche Datei öffnete, verschob oder löschte — und Klassifizierungsergebnisse. Diese sind personenbezogene Information unter PIPL, sobald sie eine Person identifizieren, und die Klassifizierungen markieren genau, wo Art.-28-sensible Daten — finanziell, Gesundheit, Behörden-ID, biometrisch — sitzen. Der Speicher ist eine Karte Ihrer sensibelsten Daten. |
| Ihre Festland-Metadaten im Speicher | Metadaten, Klassifizierungen und Zugriffsereignisse, die von Menschen und Systemen in China gezogen und auf einer Offshore-DSP gehalten werden, sind ein grenzüberschreitender Transfer, den PIPL regiert: Mitteilung, eine gesonderte Einwilligung und ein Transfermechanismus (PIPL Art. 38–40). Der Verarbeiter, der in der Pflicht ist, sind Sie, der Betreiber — nicht Varonis, der Auftragsverarbeiter. |
| Inländische Speicherpflicht | Ein Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen schuldet eine inländische Speicherpflicht, die eine Offshore-SaaS nicht erfüllen kann — Festland-Personeninformation und wichtige Daten müssen im Festland bleiben (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)) — die Cybersicherheitsgesetz-Novelle 2025, in Kraft 1. Januar 2026, nummerierte den Datenlokalisierungs-Artikel von 37 auf 39 um, Inhalt unverändert. |
| Ist es erreichbar? | Behandeln Sie Erreichbarkeit als die Auslieferungs-Hälfte, nicht die Frage — Collectors und Konsolen verbinden sich. Mit dem Schließen der Legacy-selbst-gehosteten Option ist der rechtmäßige Hebel ein lizenziertes inländisches oder souveränes Cloud-Äquivalent, das die Metadaten-Schicht auf Festland-Boden hält, und jede China-gerichtete Oberfläche davor — die Admin-Konsole, das Reporting-Portal — braucht eine ICP-Beian, die an eine Festland-Hosting-Ressource gebunden ist (State Council Order No. 292; MIIT Order No. 33). |
Wo die Daten tatsächlich ruhen
Varonis platziert keine Region im Festland Chinas. Das Unternehmen baute seine SaaS cloud-nativ und skaliert sie auf globaler Public-Cloud-Infrastruktur — Microsoft Azure, in seinem eigenen Architektur-Schriftstück — mit kundenseitigen Rechenzentren in den Vereinigten Staaten, Europa, dem Vereinigten Königreich (London), Kanada (Toronto), Australien (Sydney) und Indien (Mumbai und Pune). Seine Datenschutzseite sagt, die Plattform „can be set to operate from the geography of the customer’s choice,“ aber diese Wahl wird aus genau diesen Geografien gezogen; es gibt keine Festland-China-Option zu wählen. Richten Sie Ihren Mandanten auf irgendeine davon, und die Metadaten, die Varonis von Ihren China-Systemen sammelt, kommen außerhalb Chinas zur Ruhe.
Die eine Bereitstellung, die alles auf Festland-Boden hätte halten können — die Legacy-selbst-gehostete Data Security Platform, die Sie auf Ihren eigenen Servern betrieben — schließt. Varonis hat das End-of-Life dieses selbst gehosteten Produkts bis zum 31. Dezember 2026 angekündigt und sagt, SaaS „now makes up 76% of our business“ und dass es aufs Ganze geht. Was im SaaS-Modell lokal bleibt, ist Dateiinhalt: Ein Collector innerhalb Ihrer Umgebung scannt die Dateien und lädt nur Metadaten und Klassifizierungsergebnisse hoch. Das ist ein echtes und willkommenes Konzept — aber es sind die Metadaten, nicht die Dateikörper, die das Residenzproblem tragen, wegen dem, was die Metadaten sind.
Was es aufnimmt, ist personenbezogene Information
Varonis verdient diese Prüfung wegen dem, was seine Metadaten enthalten. In Varonis’ eigenen Worten sind Metadaten „information that describes or contextualizes that content (such as user identities, file/folder/path names, email addresses/subjects/senders/recipients, domains, and IP addresses, timestamps, or communication attributes).“ Fügen Sie die Zugriffsereignisse hinzu, die es aufzeichnet — wer welche Datei öffnete, verschob oder löschte — und die Klassifizierungsergebnisse, die markieren, wo regulierte Daten leben. Jedes davon ist personenbezogene Information unter Chinas Gesetz zum Schutz personenbezogener Informationen, sobald es eine Person identifiziert, und die Klassifizierungen weisen direkt auf Art.-28-sensible personenbezogene Information — finanzielle, Gesundheits-, Behörden-ID- und biometrische Felder — die eine höhere Hürde aus spezifischem Zweck, strikter Notwendigkeit und gesonderter Einwilligung trägt.
Das, was Varonis also offshore konzentriert, ist kein beiläufiges Protokoll; es ist ein präziser, durchsuchbarer Index dessen, wo Ihre sensibelsten China-Daten sitzen, wer sie erreichen kann und wer sie berührt hat. „Only metadata, and not the data itself“ ist ein schwacher Trost, wenn die Metadaten die Karte sind. Für einen Betreiber kritischer Informationsinfrastruktur und für einen Verarbeiter, dessen Volumina die Schwellen der Regulierer überschreiten, müssen im Festland gesammelte personenbezogene Information und wichtige Daten im Festland gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)). Eine Offshore-SaaS kann diese Pflicht strukturell nicht erfüllen — der Index ist per Definition im falschen Land — und wo ein Export überhaupt erlaubt ist, kann das Überschreiten einer Mengen- oder Sensibilitätsschwelle eine CAC-geführte Datenexport-Sicherheitsbewertung auslösen, bevor irgendetwas davon rechtmäßig geht.
Es auf einer SaaS ohne China-Region zu betreiben, erfüllt die Residenzpflicht nicht — und was es tut
Die ehrliche Zusammenfassung ist eng und wichtig: Nichts an Varonis ist in China „gesperrt“, und die Exponierung ist nicht die Software. Die Exponierung ist eine SaaS-Bereitstellung, die den Index der sensibelsten Daten Ihres Festlands — und die Identitäten und Zugriffsereignisse darum herum — außerhalb des Festlands parkt, ohne inländische Region zu wählen und mit der selbst gehosteten Alternative in Abwicklung.
Weil die Legacy-selbst-gehostete Plattform ihr End-of-Life am 31. Dezember 2026 erreicht, ist der rechtmäßige Hebel kein Versprechen, dass Sie Varonis für immer auf Ihren eigenen Shanghai-Servern betreiben können. Es ist, die Sensible-Daten-Metadaten-Schicht auf andere Weise im Land zu halten — ein lizenziertes inländisches oder souveränes Cloud-Äquivalent, das die Klassifizierungen, Identitäten und Zugriffsereignisse auf Festland-Boden hält, mit eingewilligter inländischer Speicherung für das, was bleiben muss. Einen Festland-Collector zurück auf die Offshore-Varonis-SaaS zu richten, ist keine Lokalisierung und erfüllt die Speicherpflicht nicht; ein rechtmäßiges inländisches Äquivalent aufzustellen, schon. Wo eine minimierte Teilmenge von Metadaten rechtmäßig die Grenze überqueren darf, halten Sie diesen Transfer eingewilligt und durch einen Transfermechanismus gestützt, während jede China-gerichtete Oberfläche vor der Plattform — die Admin-Konsole, das Reporting-Portal, das Ihre Festland-Betreiber ansteuern — ihre eigene ICP-Beian verdient.
Dies ist eine Risikokarte, kein Urteil. Ob Sie inländische Speicherung, einen Transfermechanismus, eine gesonderte Einwilligung, eine Datenexport-Sicherheitsbewertung, eine ICP-Beian oder eine Kombination davon schulden, dreht sich um Ihre Gesellschaft, Ihre Datenmengen, wie viel von dem, was Ihre Metadaten beschreiben, personenbezogen oder sensibel ist, und wessen Daten es sind — und es lohnt sich, es mit Rechtsbeistand zu klären, bevor Sie entscheiden, wo ein einziger Klassifizierungs-Datensatz lebt.
Der rechtmäßige Weg — kartieren, lokalisieren, ausliefern
Sie müssen Varonis nicht aufgeben, um es rechtmäßig für Festlandchina zu betreiben. 21YunBox ist eine rechtskonforme Overlay, keine Migration — und, für eine Plattform, die Sie bereits betreiben, ein Partner, der neben Ihrem Stack sitzt, kein Wettbewerber zu ihm. Es gibt drei Schritte, und sie fügen sich zusammen.
Kartieren. Unser China-Compliance-Team liest Ihre PIPL-Grenz-, Datenresidenz- und Datenlokalisierungs-(CII)-Pflichten gegen Ihre tatsächliche Gesellschaft, Ihre Datenmengen und wessen personenbezogene Information Ihre Varonis-Metadaten beschreiben — die Identitäten, die E-Mail-Absender und -Empfänger, die Zugriffsereignisse, die Klassifizierungen, die markieren, wo sensible Daten sitzen — sodass die Exponierung aufgeschrieben ist, bevor irgendetwas sich bewegt.
Lokalisieren. Weil das Risiko ist, wo diese Metadaten ruhen, halten wir die Sensible-Daten-Schicht im Land — auf einem lizenzierten inländischen oder souveränen Cloud-Äquivalent — sodass die Klassifizierungen, Identitäten und Zugriffsereignisse, die China auf Festland-Boden zu halten verlangt, es tun. Lokalisieren heißt eine rechtmäßige inländische Bereitstellung der Datenschicht, nie eine verdeckte Umleitung zurück zum Offshore-Endpunkt; nur die minimierte, rechtmäßig transferierbare Teilmenge überquert je.
Ausliefern. Für jede China-gerichtete Oberfläche vor der Plattform — die Admin-Konsole, das Reporting-Portal, die Self-Service-Seite, die Ihre Festland-Nutzer und -Betreiber ansteuern — stellt der 21YunBox Optimizer ICP-gemeldete, inländische Auslieferung bereit, vor dem Stack, den Sie bereits betreiben. Kein Neuaufbau, keine zweite Codebasis. 21YunBox nutzt oder empfiehlt niemals irgendeine Form der Umgehung; der ganze Sinn ist ein rechtmäßiger, gemeldeter, inländischer Weg.
Das Ziel ist einfach: Ihre Varonis-Bereitstellung läuft für Ihre Nutzer in China legal und rechtskonform.
Compliance-Einschätzung anfordern →
Weiterführende Lektüre:
- Grenzüberschreitende Datentransfers unter PIPL
- Chinas Cybersicherheitsgesetz und Datenlokalisierung (Art. 39)
- Chinas Maßnahmen zur Datenexport-Sicherheitsbewertung
- Wie Sie eine ICP-Beian für China erhalten
Häufige Fragen
Hat Varonis ein Rechenzentrum oder eine SaaS-Region im Festland Chinas?
Nein. Varonis' SaaS Data Security Platform operiert in den USA, Europa, dem UK, Kanada, Australien und Indien; es gibt keine Festland-China-Region beim Onboarding zu wählen. Die Metadaten, Klassifizierungen und Zugriffsereignisse, die Varonis von Ihren China-Dateifreigaben, Microsoft 365 und Cloud-Speichern sammelt, kommen also offshore zur Ruhe. Unter PIPL ist das ein grenzüberschreitender Transfer, und für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen kann es die inländische Speicherpflicht nicht erfüllen.
Varonis sagt, es speichere „nur Metadaten, nicht die Daten selbst“ — ist Residenz also immer noch ein Problem?
Ja — die Metadaten sind das Problem. Sie sind eine klassifizierte Karte dessen, wo Ihre sensibelsten Dateien und personenbezogenen Informationen leben, und sie umfassen Nutzeridentitäten, E-Mail-Absender und -Empfänger, Zugriffsereignisse und die Klassifizierungen, die markieren, was sensibel ist — alles personenbezogene Information unter PIPL, sobald es eine Person identifiziert. Diese Karte offshore zu halten, ist ein grenzüberschreitender Transfer, und weil die Klassifizierungen genau markieren, wo Art.-28-sensible Daten sitzen, steigen die Einsätze eher, als dass sie fallen.
Können wir Varonis einfach auf Festland-China-Servern selbst hosten, um die Daten im Land zu halten?
Dieser Hebel schließt. Varonis hat angekündigt, dass seine Legacy-selbst-gehostete Plattform ihr End-of-Life am 31. Dezember 2026 erreicht und es aufs Ganze mit SaaS geht. Der rechtmäßige inländische Weg ist daher ein lizenziertes inländisches oder souveränes Cloud-Äquivalent, das die Sensible-Daten-Metadaten-Schicht auf Festland-Boden hält, mit jeder China-gerichteten Konsole über ICP-gemeldete Infrastruktur ausgeliefert — nie eine verdeckte Umleitung zurück zur Offshore-SaaS. 21YunBox kartiert die Exponierung und stellt diesen inländischen Weg auf; klären Sie die Einzelheiten mit Rechtsbeistand.
