Funktioniert Veracode in China? Datenresidenz, ICP & Grenztransfer-Regeln
Veracode ist reine Cloud-App-Sicherheit (SAST/DAST/SCA): Um eine App zu scannen, laden Sie ihren Code und ihre Binärdateien auf die Veracode-Plattform hoch, die nur in US-, europäischen und US-föderalen Regionen gehostet wird — keine im Festland Chinas. Ein Blick zuerst auf die Compliance: wo Ihr hochgeladener Code unter PIPL und Chinas Datenlokalisierungs-Recht rechtmäßig ruhen darf.
Funktioniert Veracode in China?
Ob Sie Veracode in China nutzen können, ist eine Datenresidenz-Frage über Ihren eigenen Quellcode, keine Geschwindigkeitsfrage. Veracode scannt problemlos aus dem Festland — das Risiko ist rechtlich, und es ist für ein Sicherheits-Werkzeug ungewöhnlich direkt: Um Ihre Software zu testen, lässt Veracode Sie sie hochladen.
Nach Veracodes eigener Dokumentation: „You upload a packaged artifact of your application to the Veracode Platform, we prescan or scan your code“ — und seine Plattform läuft nur in US-, europäischen und US-föderalen Regionen, ohne Festland-China-Region und ohne selbst gehostete Option. Der Code und die Binärdateien, die Sie aus China senden, werden also analysiert und kommen offshore zur Ruhe: Ihr proprietäres IP (das kompilierte Artefakte routinemäßig als eingebettete Geheimnisse tragen) und jede personenbezogene Information in Testdaten oder Logs überqueren die Grenze. PIPL regiert diesen Transfer, und für einen CIIO oder Verarbeiter großer Mengen wird inländische Speicherung (Art. 39, vormals Art. 37) geschuldet. Die Ironie ist exakt: Das Werkzeug, das gekauft wurde, um Ihre Anwendung zu schützen, ist selbst der Kanal, der sie aus China hinausträgt.
Dies ist ein Risikobild, kein Urteil — Ihre Pflichten drehen sich um Ihre Gesellschaft, Ihre Datenmengen und wessen personenbezogene Information Ihr Code trägt. Unser China-Team kann Ihre Veracode-Exponierung mit Ihnen kartieren →
Compliance-Momentaufnahme
- ! Sie laden den Code und die Binärdateien Ihrer App in Veracodes Cloud hoch, um sie zu scannen
- ! Ihr Code ist proprietäres IP, kann Geheimnisse einbetten — und er verlässt China
- ! Diesen Code aus China hochzuladen, ist ein grenzüberschreitender Transfer unter PIPL
- ✕ Reine Cloud-SaaS — US-/EU-/US-Föderal-Regionen, keine China-Region, kein Selbst-Hosting
- ✓ 21YunBox stellt ein rechtmäßiges inländisches Fundament und ICP-gemeldete Auslieferung auf
Was die offizielle Veracode-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| In Veracodes eigenen Worten: „You upload a packaged artifact of your application to the Veracode Platform, we prescan or scan your code, and generate scan results.“ Statische, dynamische und Software-Composition-Analyse laufen alle, nachdem Ihr Code und Ihre Binärdateien auf Veracodes gehostete Plattform hochgeladen sind — das Artefakt ist Ihr proprietärer Quellcode, und kompilierte Binärdateien betten routinemäßig Geheimnisse wie Schlüssel und Verbindungszeichenfolgen ein. | Veracode Docs — Veracode Upload and Scan, retrieved 2026-10-14 |
| Veracodes eigene API-Dokumentation zählt seine Plattform-Regionen als die Commercial Region (analysiscenter.veracode.com), die European Region (.eu) und die United States Federal Region (.us) auf. Keine ist im Festland Chinas, und Veracode bietet keinen selbst gehosteten Scanner, der den hochgeladenen Code inländisch halten würde — Code, der aus China gesendet wird, wird also offshore analysiert und gespeichert. | Veracode Docs — Region Domains for Veracode APIs, retrieved 2026-10-14 |
| Code und Binärdateien aus China auf Veracodes Offshore-Plattform hochzuladen, ist ein grenzüberschreitender Transfer, den PIPL regiert, wann immer dieser Code personenbezogene Information trägt — und das tut er oft, durch Testdaten, Logs, Konfiguration und eingebettete Identifikatoren. Der Verarbeiter personenbezogener Information, der in der Pflicht ist, sind Sie, der Veracode-Kunde, nicht Veracode: PIPL verlangt Mitteilung, gesonderte Einwilligung und einen Transfermechanismus (Art. 38–40), wobei Art. 28 eine höhere Hürde setzt, wo die Daten sensibel sind. | PIPL (Personal Information Protection Law), Articles 28 and 38–40 |
| Für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen muss im Festland gesammelte personenbezogene Information im Festland gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37) — die Novelle 2025, in Kraft 1. Januar 2026, nummerierte den Datenlokalisierungs-Artikel um, Inhalt unverändert). Ein reiner Cloud-Scanner ohne China-Region und ohne Selbst-Hosting kann diese Pflicht nicht erfüllen: Der hochgeladene Code ist per Definition im falschen Land. | PIPL Article 40; Cybersecurity Law Article 39 (formerly Article 37) |
Quellen vom 21YunBox Compliance-Team am 14. Oktober 2026 geprüft.
Für ein Team, das Software nach Festlandchina ausliefert, war die Frage nach Veracode nie, ob der Scanner den Dienst erreicht oder ob ein Build aus Shanghai hochladen kann — das kann er, und Erreichbarkeit ist die Auslieferungs-Hälfte, nicht die Frage. Die eigentliche Frage ist eine Residenzfrage, und sie ist für ein Anwendungssicherheits-Werkzeug ungewöhnlich zugespitzt: Um Ihre Software zu testen, lässt Veracode Sie die Software übergeben. Statische Analyse, dynamische Analyse und Software-Composition-Analyse laufen alle, nachdem Sie ein verpacktes Artefakt Ihrer Anwendung auf die Veracode-Plattform hochgeladen haben, Veracodes gehosteten Dienst, wo es gescannt wird. Dieses Artefakt ist Ihr proprietärer Code — ein Geschäftsgeheimnis — und kompilierte Binärdateien und Bytecode tragen routinemäßig eingebettete Geheimnisse wie hartcodierte Schlüssel, Tokens und Verbindungszeichenfolgen. Da die Veracode-Plattform nur in US-, europäischen und US-föderalen Regionen angeboten wird, ohne Festland-China-Region und ohne selbst gehosteten Scanner, der inländisch laufen könnte, kommt der Code, den Sie aus China senden, offshore zur Ruhe und wird dort analysiert. Das Werkzeug, das Sie kauften, um Ihre Anwendung zu sichern, ist also selbst der grenzüberschreitende Kanal, den Ihr Quellcode aus dem Land nimmt.
Veracode in China auf einen Blick
| Was es entscheidet | In Veracodes eigenen Worten — und Chinas Recht |
|---|---|
| Wo Ihr Code gescannt wird und ruht | Veracode ist reine Cloud: Sie laden ein verpacktes Artefakt Ihrer Anwendung auf die Veracode-Plattform hoch, und es wird dort gescannt. Seine eigene API-Dokumentation zählt die Regionen der Plattform auf — die Commercial Region (US), die European Region und die United States Federal Region — und keine sitzt im Festland Chinas. Es gibt keinen selbst gehosteten Veracode-Scanner, den Sie inländisch aufstellen könnten, der hochgeladene Code wird also auf einer dieser Offshore-Regionen analysiert und gehalten. |
| Was es aufnimmt, und warum Residenz beißt | Eine Anwendungssicherheits-Plattform sieht das Ganze dessen, was sie testet: Ihren Quellcode, Ihre kompilierten Binärdateien und Ihre Drittanbieter-Abhängigkeiten. Das ist proprietäres IP und ein Geschäftsgeheimnis, und Binärdateien betten routinemäßig Geheimnisse ein — Schlüssel, Tokens, Verbindungszeichenfolgen. Es trägt zudem häufig die personenbezogene Information von Menschen in China durch Testdaten, Logs, Konfiguration und eingebettete Identifikatoren, einschließlich Art.-28-sensibler Felder. Der Upload ist daher sowohl ein IP-Export als auch oft ein Personeninformations-Transfer unter PIPL. |
| Ihr Festland-Code und -Daten | Code und Binärdateien, die aus China hochgeladen und offshore gescannt werden, sind ein grenzüberschreitender Transfer, den PIPL regiert: Mitteilung, eine gesonderte Einwilligung und ein Transfermechanismus (PIPL Art. 38–40), wobei Art. 28 die Hürde erhöht, wo die personenbezogene Information sensibel ist. Der Verarbeiter, der in der Pflicht ist, sind Sie, der Betreiber — nicht Veracode. |
| Inländische Speicherpflicht | Ein Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen schuldet eine inländische Speicherpflicht, die ein Offshore-, reiner Cloud-Scanner nicht erfüllen kann — Festland-Personeninformation und wichtige Daten müssen im Festland bleiben (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)) — die Cybersicherheitsgesetz-Novelle 2025, in Kraft 1. Januar 2026, nummerierte den Datenlokalisierungs-Artikel von 37 auf 39 um, Inhalt unverändert. |
| Ist es erreichbar? | Behandeln Sie Erreichbarkeit als die Auslieferungs-Hälfte, nicht die Frage — Builds laden problemlos auf die Plattform hoch. Weil Veracode reine Cloud ohne selbst gehosteten Scanner ist, ist der rechtmäßige Hebel, die Code-Scanning-Datenschicht inländisch auf einem lizenzierten inländischen oder souveränen Äquivalent zu betreiben, und jede China-gerichtete Oberfläche davor — die Admin-Konsole, das Reporting-Portal, das Ihre Nutzer ansteuern — braucht eine ICP-Beian, die an eine Festland-Hosting-Ressource gebunden ist (State Council Order No. 292; MIIT Order No. 33). |
Wo Ihr Code tatsächlich analysiert wird
Veracode läuft nicht auf Infrastruktur, die Sie kontrollieren; es läuft als eine gehostete Plattform, an die Sie Ihre Anwendung senden. Seine eigene Upload-and-Scan-Dokumentation ist deutlich über den Ablauf: „You upload a packaged artifact of your application to the Veracode Platform, we prescan or scan your code, and generate scan results.“ Die begleitende Regions-Dokumentation fixiert dann, wo diese Plattform lebt — sie zählt die Domains der Commercial Region, der European Region und der United States Federal Region auf, und es gibt keine Festland-China-Region zu wählen und keinen selbst gehosteten Scanner, den man inländisch bereitstellen könnte. Richten Sie eine China-Build-Pipeline auf Veracode, und das Artefakt landet auf einer dieser Offshore-Regionen, wo es gescannt und seine Ergebnisse gespeichert werden.
Was also die Grenze überquert, ist keine Telemetrie über Ihren Code — es ist der Code. Unter dem Gesetz zum Schutz personenbezogener Informationen ist, jede China-Personeninformation, die in diesem Artefakt getragen wird — Test-Fixtures, Logs, Konfiguration, eingebettete Identifikatoren — aus dem Land zu bewegen, ein grenzüberschreitender Transfer, und der verantwortliche Verarbeiter sind Sie. Und wo ein Export überhaupt erlaubt ist, kann das Überschreiten einer Mengen- oder Sensibilitätsschwelle eine CAC-geführte Sicherheitsbewertung auslösen, bevor irgendetwas davon rechtmäßig geht.
Was es aufnimmt, ist Ihr IP — und die Ironie ist exakt
Veracode verdient diese Prüfung wegen dem, was eine Anwendungssicherheits-Plattform konzentriert. Die meisten Werkzeuge berühren eine Scheibe Ihrer Daten; dieses nimmt die Sache selbst auf — Ihren Quellcode, Ihre kompilierten Binärdateien, Ihren Abhängigkeitsbaum — und die Geheimnisse, die diese Binärdateien tragen. Das ist der sensibelste technische Vermögenswert, den eine Entwicklungsorganisation besitzt, und routinemäßig ist er um die personenbezogene Information von Menschen in China gewickelt: echte Datensätze in Testdaten, Identifikatoren in Logs, Art.-28-sensible Felder, wo Gesundheits-, Finanz- oder Behörden-ID-Daten auftauchen. In dem Moment, in dem dieses Artefakt auf einer Offshore-Region hochgeladen und gescannt wird, haben sowohl Ihr IP als auch diese personenbezogene Information das Festland verlassen.
Die Ironie ist der ganze Punkt für einen Sicherheits-Käufer: Die Plattform, die Sie bereitstellten, um Ihre Anwendung zu schützen, ist selbst der Offshore-Weg, den Ihre Anwendung nimmt. Für einen Betreiber kritischer Informationsinfrastruktur und für einen Verarbeiter, dessen Volumina die Schwellen der Regulierer überschreiten, müssen im Festland gesammelte personenbezogene Information und wichtige Daten im Festland gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)). Ein reiner Cloud-Scanner ohne China-Region kann diese Pflicht strukturell nicht erfüllen — der Code ist per Definition im falschen Land.
Warum eine Erreichbarkeitsprüfung das verfehlt
Zu fragen „can a Shanghai runner reach api.veracode.com and upload?“ beantwortet die falsche Frage. Dass der Upload gelingt, ist genau das Problem, nicht die Beruhigung: Ein sauberer, schneller Upload ist Ihr Quellcode und jede eingebettete personenbezogene Information, die China verlässt, auf einer Rechtmäßigkeits-Transfer-Analyse, die Sie möglicherweise nicht durchgeführt haben. Erreichbarkeit sagt Ihnen, dass der Auslieferungsweg funktioniert; sie sagt Ihnen nichts darüber, wo das Artefakt zur Ruhe kommen darf, auf welcher rechtlichen Grundlage, oder ob eine gesonderte Einwilligung und ein Transfermechanismus vorhanden sind. Die Compliance-Frage lebt gänzlich auf der Residenz-Achse, und ein Latenz-Diagramm kann sie nicht sehen.
Der rechtmäßige Weg — kartieren, lokalisieren, ausliefern
Sie müssen Veracode nicht aufgeben, um Anwendungssicherheit rechtmäßig für Festlandchina zu betreiben. 21YunBox ist eine rechtskonforme Overlay, keine Migration — und, für eine Plattform, die Sie bereits betreiben, ein Partner, der neben Ihrem Stack sitzt, kein Wettbewerber zu ihm. Es gibt drei Schritte, und sie fügen sich zusammen.
Kartieren. Unser China-Compliance-Team liest Ihre PIPL-Grenz-, Datenresidenz- und Datenlokalisierungs-(CII)-Pflichten gegen Ihre tatsächliche Gesellschaft, Ihre Scan-Volumina und wessen personenbezogene Information Ihr Code und Ihre Testdaten tragen — sodass die Exponierung aufgeschrieben ist, bevor irgendetwas hochgeladen wird.
Lokalisieren. Weil das Risiko ist, wo der Code und die Artefakte ruhen, und weil Veracode reine Cloud ohne selbst gehosteten Scanner ist, ist der inländische Hebel nicht „die Binärdatei des Anbieters lokal betreiben“. Es ist, die Code-Scanning-Datenschicht inländisch auf andere Weise zu betreiben — ein rechtmäßiges inländisches oder lizenziertes souveränes Cloud-Äquivalent, das den sensiblen Quellcode und die Artefakte auf Festland-Boden hält — während nur eine minimierte, eingewilligte, rechtmäßig transferierbare Teilmenge je die Grenze überquert. Lokalisieren heißt eine rechtmäßige inländische Bereitstellung der Sicherheits-Test-Schicht, nie ein Festland-Connector, der zurück auf die Offshore-Plattform gerichtet ist.
Ausliefern. Für jede China-gerichtete Oberfläche vor der Plattform — die Admin-Konsole, das Reporting-Portal, das Findings-Dashboard, das Ihre Festland-Nutzer ansteuern — stellt der 21YunBox Optimizer ICP-gemeldete, inländische Auslieferung bereit, vor dem Stack, den Sie bereits betreiben. Kein Neuaufbau, keine zweite Codebasis. 21YunBox nutzt oder empfiehlt niemals irgendeine Form der Umgehung; der ganze Sinn ist ein rechtmäßiger, gemeldeter, inländischer Weg.
Das Ziel ist einfach: Ihre Anwendungssicherheit läuft für Ihre Nutzer in China legal und rechtskonform.
Compliance-Einschätzung anfordern →
Weiterführende Lektüre:
- Wie Sie eine ICP-Beian für China erhalten
- Grenzüberschreitende Datentransfers unter PIPL
- Chinas Gesetz zum Schutz personenbezogener Informationen
- Chinas Cybersicherheitsgesetz und Datenlokalisierung
Häufige Fragen
Speichert Veracode meinen Code in China?
Nein. Nach Veracodes eigener Dokumentation laden Sie ein verpacktes Artefakt Ihrer Anwendung auf die Veracode-Plattform hoch, die nur in ihren Commercial- (US), European- und United-States-Federal-Regionen läuft — keine im Festland Chinas — und Veracode bietet keinen selbst gehosteten Scanner. Der Code und die Binärdateien, die Sie aus China hochladen, werden also offshore analysiert und gespeichert.
Ist es illegal, Veracode in China zu nutzen?
Nicht von Natur aus. Das Problem ist der grenzüberschreitende Transfer Ihres Codes und jeder personenbezogenen Information, die er trägt, den PIPL erlaubt, wenn Sie Mitteilung geben, gesonderte Einwilligung einholen und einen seiner Transfermechanismen erfüllen. Ob Sie zudem einer Datenlokalisierungspflicht gegenüberstehen, hängt von Ihrer Rolle (zum Beispiel, ob Sie ein CIIO sind) und Ihren Datenmengen ab. Behandeln Sie es als ein mit Rechtsbeistand zu bewertendes Risiko, kein pauschales Verbot — und beachten Sie, dass hochgeladene Binärdateien Geheimnisse einbetten können, was die Einsätze erhöht.
Kann 21YunBox unsere Veracode-Nutzung in China rechtskonform machen?
Ja. Unser China-Team kartiert Ihre Grenz- und Datenresidenz-Exponierung für Ihre Gesellschaft und Datenmengen, stellt ein rechtmäßiges inländisches oder lizenziertes souveränes Äquivalent auf, sodass der sensible Code und die Artefakte auf Festland-Boden bleiben, und liefert jede China-gerichtete Konsole, jeden Bericht oder jedes Portal über ICP-gemeldete, inländische Infrastruktur aus — vor dem Stack, den Sie bereits betreiben. Nehmen Sie Kontakt auf, um Ihren konkreten Fall durchzuarbeiten.
