Wenn Sie als ausländischer Investor schon länger in China tätig sind, dann kennen Sie das Gefühl: Kaum hat man sich an die eine Verordnung gewöhnt, kommt die nächste. Das neue „Gesetz zum Schutz personenbezogener Informationen" (PIPL) und das „Datensicherheitsgesetz" (DSL) haben seit 2021 die Rahmenbedingungen massiv verändert. Ich sage das nicht, um Sie zu verunsichern, sondern weil ich in meinen 14 Jahren bei der Jiaxi Steuer- und Finanzberatungsgesellschaft gesehen habe, wie viele Unternehmen – gerade auch deutsche Mittelständler – anfangs dachten, das sei „nur Bürokratie". Weit gefehlt.
Wer heute in China Daten verarbeitet, muss nicht nur juristisch, sondern auch technisch nachweisen können, dass er die Vorschriften einhält. Die Technologien dahinter sind kein Hexenwerk, aber sie erfordern ein Umdenken. Dieser Artikel richtet sich an Entscheider, die nicht nur „irgendwie compliant" sein wollen, sondern die verstehen möchten, welche konkreten technischen Werkzeuge es gibt. Wir sprechen hier über eine Mischung aus Verschlüsselung, Lokalisierung und Zugriffskontrollen, die weit über das hinausgeht, was man aus der EU kennt. Die gute Nachricht? Die Lösungen sind reifer, als viele denken.
Bevor wir in die Details einsteigen, möchte ich eine kurze Warnung aussprechen: Wer jetzt denkt, er könne das mit einem „Software-Update" nebenbei erledigen, der irrt. Die Technologien müssen in die Prozesse eingebettet sein. Im Folgenden zeige ich Ihnen fünf bis acht Bereiche, die ich für die entscheidenden halte – mit Beispielen aus meiner Praxis, denn manchmal lernt man eben durch Schmerzen am besten. Keine Sorge, ich nenne keine Klientennamen, aber die Fälle sind real.
Datenlokalisierung und physische Grenzen
Die erste und grundlegendste Technologie ist die der Datenlokalisierung. Klingt simpel, ist aber in der Praxis oft ein Stolperstein. Das PIPL verlangt für „wichtige Daten" und Daten von „Kerninfrastrukturbetreibern", dass sie auf Servern in China gespeichert werden. Ausländische Unternehmen fragen mich dann oft: „Können wir nicht einfach eine Kopie in Frankfurt oder Singapur behalten?" – Die Antwort ist ein klares „Nein", zumindest ohne eine bestandene Sicherheitsprüfung durch die Cyberspace Administration of China (CAC).
Technisch bedeutet das: Sie brauchen eine klare Architektur, die physische Server oder zumindest Cloud-Regionen in China nutzt. Die großen Anbieter wie Alibaba Cloud, Huawei Cloud oder Tencent Cloud bieten lokale Rechenzentren an. Aber Achtung: Es reicht nicht, einfach eine Maschine zu mieten. Sie müssen sicherstellen, dass keine Datenbank-Replikation automatisch ins Ausland läuft. Das habe ich einmal erlebt, wo ein ERP-System nachts um 3 Uhr ein Backup an den Firmenserver in Stuttgart schickte – das war ein klarer Verstoß.
Was also tun? Setzen Sie auf „Data Residency"-Funktionen Ihrer Cloud-Services und konfigurieren Sie die Regionen strikt. Prüfen Sie zudem, ob Ihre Verträge mit Sub-Processors (also Dienstleistern) eine Verarbeitung außerhalb Chinas ausschließen. Ein Tipp aus der Praxis: Lassen Sie sich von Ihrem Cloud-Anbieter die „Compliance-Zertifizierungen" wie die „Information Security Management System" (ISO 27001) speziell für China zeigen und verankern Sie das Recht auf Vor-Ort-Audits im Vertrag. Das klingt nach viel Bürokratie, aber es ist die einzige Basis, auf der Sie später aufbauen können.
Datenklassifizierung und dynamische Maskierung
Kommen wir zu einem Thema, das viele unterschätzen: der Datenklassifizierung. Sie können keine Sicherheitstechnologie sinnvoll einsetzen, wenn Sie nicht wissen, wo welche Daten liegen. In China verlangt die Datensicherheitsgesetzgebung eine „abgestufte Klassifizierung" (hierarchische Klassifizierung). Das heißt, Sie müssen zwischen „allgemeinen Daten", „wichtigen Daten" und „Kern- geschäftsdaten" unterscheiden. Viele ausländische Firmen haben aber immer noch ihre Tabellenkalkulationen voller Kundendaten, ohne zu wissen, welche davon unter die strengen Regeln fallen.
Technologisch helfen hier automatisierte Klassifizierungswerkzeuge, die Scans über Ihre Systeme laufen lassen. Diese Tools erkennen Muster wie Ausweise, Telefonnummern oder Gesundheitsdaten und taggen diese automatisch. Das Gute: Moderne Systeme nutzen Machine Learning, um die Genauigkeit zu erhöhen. Der Clou ist aber die sogenannte dynamische Datenmaskierung. Das bedeutet, dass ein Nutzer im Vertrieb nur die letzten vier Ziffern einer Handynummer sieht, während die Compliance-Abteilung die volle Nummer einsehen kann – je nach Rolle und Notwendigkeit.
Ich erinnere mich an einen Fall, da hatte ein ausländischer Automobilzulieferer alle seine Händlerdaten in einem CRM. Nach einer internen Prüfung stellten wir fest, dass 80% dieser Daten gar nicht hätten erfasst werden müssen. Durch die Klassifizierung sparten sie nicht nur Speicherkosten, sondern reduzierten das Risiko eines Bußgeldes enorm. Mein Rat: Investieren Sie in Tools wie „Imperva" oder „Informatica", aber passen Sie die Regeln an die chinesischen Definitionen an. Die sind nicht identisch mit der DSGVO – das ist eine häufige Fehlannahme.
Versandverschlüsselung und Ende-zu-Ende-Sicherheit
Die Verschlüsselung von Daten ist ein alter Hut, aber in China gibt es spezielle Anforderungen an die verwendeten Algorithmen. Der staatlich vorgeschriebene Standard ist der „SM"-Familie, insbesondere SM2, SM3 und SM4. Diese sind nicht kompatibel mit den in der EU üblichen RSA- oder AES-Verfahren. Das ist ein technisches Detail, das viele IT-Leiter übersehen. Ich hatte einmal einen Klienten, der stolz berichtete, er nutze AES-256 für alle Übertragungen – bis die Behörde nachfragte, ob er denn die nationalen Standards unterstütze. Die Antwort war peinlich.
Praktisch bedeutet das: Sie müssen Ihre SSL/TLS-Terminierungen und VPN-Verbindungen überprüfen. Viele lokale Anbieter wie „Sangfor" oder „Hillstone Networks" bieten Firewalls und Gateways an, die SM-Standards eingebaut haben. Für Daten im Ruhezustand gilt ähnliches: Datenbanken sollten mit SM4 verschlüsselt werden, wenn es sich um regulierte Daten handelt. Das erfordert oft eine Anpassung Ihrer Anwendungssoftware, da die kryptografischen Bibliotheken ausgetauscht werden müssen.
Ein Tipp aus der Praxis: Führen Sie eine „Kryptografische Inventur" durch. Listen Sie alle Systeme auf, die Daten übertragen oder speichern, und prüfen Sie, ob die verwendeten Algorithmen den chinesischen Vorgaben entsprechen. Das klingt mühsam, aber es verhindert spätere böse Überraschungen. Und noch etwas: Die Schlüsselverwaltung sollte idealerweise ebenfalls in China stattfinden, sogenannte „KMS" (Key Management Services) in der chinesischen Cloud. Wenn Sie die Schlüssel im Ausland halten, kann das als Verstoß gewertet werden.
Zugriffskontrolle und Identitätsmanagement
Zugriffskontrolle ist das Herzstück jeder Datensicherheit. Aber in China spielt das Thema „Minimum Privilege" eine noch zentralere Rolle, weil die Behörden Dokumentationspflichten haben. Sie müssen nicht nur technisch durchsetzen, wer was sehen darf, sondern auch protokollieren, warum. Das geht über eine simple Active-Directory-Lösung hinaus. Sie benötigen ein „Identity and Access Management" (IAM) System, das mit Ihrem HR-System verknüpft ist, sodass ein ausscheidender Mitarbeiter sofort alle Rechte verliert.
Fortschrittliche Technologien zur Multi-Faktor-Authentifizierung (MFA) sind mittlerweile Standard, aber ich sehe oft, dass nur Passwort+ SMS genutzt wird. Das ist schwach. Nutzen Sie besser Hardware-Tokens oder biometrische Verfahren (Fingerabdruck, Gesichtserkennung), da die in China weit verbreitet sind. Ich habe bei einem Produktionsunternehmen erlebt, dass ein Ingenieur noch 14 Tage nach seiner Kündigung Zugriff auf die Produktionssteuerung hatte – der Betriebsrat in Deutschland hätte das nicht geduldet, aber hier hat keiner aufgepasst. Durch ein modernes IAM mit regelmäßigen Zugriffs-Reviews (monatlich!) konnten wir das abstellen.
Ein weiterer Punkt ist die „Dynamische Risikobewertung". Systeme wie „Beiying" von Baidu oder kommerzielle Lösungen können das Nutzerverhalten analysieren. Wenn jemand plötzlich um 2 Uhr nachts 10.000 Datensätze exportiert, wird die Session unterbrochen. Diese Technologie ist nicht billig, aber sie sendet ein starkes Signal an die Regulierungsbehörden, dass Sie proaktiv handeln. Und glauben Sie mir, das zahlt sich bei einer Prüfung aus.
Anonymisierung und Pseudonymisierungstechnologien
Das PIPL sieht vor, dass Daten, die für die Verarbeitung nicht mehr benötigt werden, entweder gelöscht oder anonymisiert werden müssen. Anonymisierung ist besonders knifflig, weil die Technologie sicherstellen muss, dass eine Re-Identifikation praktisch unmöglich ist. In der Praxis nutzt man Verfahren wie „k-Anonymität" oder „differenzielle Privatsphäre". Diese mathematischen Modelle sind komplex, aber es gibt mittlerweile gute Software-Bibliotheken, die Sie in Ihre Datenschutzprozesse einbinden können.
Für ausländische Unternehmen ist das oft ein Schock: Sie wollen Daten für Marktanalysen in die Zentrale schicken, aber die Daten sind einfach zu „frisch". Die Lösung ist die Pseudonymisierung – das Ersetzen von Namen durch Tokens. Diese Technologie erlaubt es Ihnen, Daten zu verarbeiten, ohne die Identität zu enthüllen. Aber Vorsicht: Die Zuordnungsschlüssel (Mapping-Tabellen) müssen in China bleiben! Das habe ich einmal bei einem Handelsunternehmen gesehen, das die Schlüssel in der Schweiz speicherte und damit illegal handelte.
Ich rate Ihnen, ein Projekt zur „Datenminimierung" zu starten. Fragen Sie sich bei jedem Feld: Warum brauchen wir das? Wenn Sie keine triftige Antwort haben, gehört es weg. Technologien wie „Data Tokenization" finden Sie bei Anbietern wie „Privitar" oder „AdNovum", aber Sie müssen die Lösungen lokal aufsetzen. Es ist übrigens ein weit verbreiteter Irrtum, dass Anonymisierung nur etwas für große Konzerne ist – auch ein 50-Mann-Unternehmen kann das mit den richtigen Tools schaffen.
Sicherheitsaudits und kontinuierliche Überwachung
Jetzt wird es praktisch: Die Technologie allein nützt nichts, wenn Sie sie nicht überwachen. In China gibt es eine Pflicht zur Durchführung von „Datensicherheitsprüfungen" und zur Zusammenarbeit mit Behörden. Technisch bedeutet das, dass Sie ein „SIEM" (Security Information and Event Management) System aufbauen müssen. Das sammelt Log-Daten aus allen Systemen und erkennt Anomalien. Lokale Anbieter wie „DBAPPSecurity" oder „NSFOCUS" sind hier führend, weil sie auch die spezifischen chinesischen Bedrohungsindikatoren erkennen.
Was mich persönlich immer wieder ärgert, ist die Einstellung, dass eine Jahresprüfung durch einen externen Dienstleister ausreicht. Nein! Die Vorschriften verlangen eine kontinuierliche Überwachung. Das heißt, Sie müssen 24/7 wissen, was in Ihren Netzwerken passiert. Ich erinnere mich an einen Logistikklienten, der nur vierteljährlich Reports erstellte. Als dann ein Datenleck auftrat, konnten wir nicht nachvollziehen, ob es einen Monat oder zwei Monate davor gab. Das war nicht nur peinlich, sondern hätte fast zu einer Lizenzentziehung geführt.
Ein guter Anfang ist die Implementierung von „Endpoint Detection and Response" (EDR) auf allen Geräten. Diese Tools stoppen Bedrohungen nicht nur, sondern liefern Ihnen auch die Beweiskette für Auditoren. Wenn Sie ein Auditor kommen und Sie können zeigen, dass Sie proaktiv einen Angriff abgewehrt haben, dann ist das eine völlig andere Gesprächsbasis, als wenn Sie nur ein Papier mit einem „Alles OK" vorlegen. Investieren Sie also in ein „Security Operations Center" (SOC) – entweder eigenes oder als Managed Service von einem lokalen Anbieter.
Cross-Border-Transfers und technische Schutzmechanismen
Der heikelste Punkt für ausländische Unternehmen ist der Transfer von Daten über die Grenze. Das PIPL verlangt dafür eine Sicherheitsprüfung, sobald bestimmte Mengengrenzen erreicht sind. Technisch gesehen müssen Sie diesen Transfer nicht verhindern, aber Sie müssen die Risiken minimieren. Standardmethoden sind das oben erwähnte Pseudonymisieren, aber auch das Vertragswerk mit den „Standard Contractual Clauses" (SCCs) nach chinesischem Vorbild. Diese sind ähnlich wie in der EU, aber nicht identisch – seien Sie da vorsichtig.
Aus technischer Sicht empfehle ich die Nutzung von API-Gateways, die den Datenabfluss kontrollieren. Sie können Regeln definieren: „Ein Export ist nur erlaubt, wenn die Daten in der Datenbank als 'verarbeitungsbereit' markiert sind." Diese Gateways protokollieren jede einzelne Anfrage und schlagen Alarm, wenn jemand versucht, große Datenmengen in kurzer Zeit zu übertragen. Das habe ich kürzlich bei einem Chemieunternehmen in Shanghai implementiert – die haben vorher per FTP verschickt, weil sie dachten, das sei „nicht Teil der Verarbeitung". Falsch gedacht.
Ein weiteres Instrument ist die „Data Loss Prevention" (DLP) Software. Die erkennt vertrauliche Muster in E-Mails oder USB-Sticks. Aber seien wir ehrlich: In China gibt es soziale Netzwerke wie WeChat, die technisch schwer zu kontrollieren sind. Hier hilft nur Schulung und eine Unternehmenskultur, die mit gutem Beispiel vorangeht. Technologie ist kein Allheilmittel, aber ohne sie sind Sie blind.
Vorausschauende Compliance-Automatisierung
Schließlich sehen wir einen Trend zur Automatisierung der Compliance selbst. Das klingt futuristisch, ist aber schon Realität. Tools auf Basis von Künstlicher Intelligenz können Verordnungsänderungen überwachen und Ihre Richtlinien automatisch anpassen. Das ist besonders wertvoll, weil die Regulierung in China sich gefühlt alle sechs Monate ändert. Ein statiches Handbuch ist wertlos, wenn Sie ständig neue Anforderungen erfüllen müssen.
Diese Systeme erstellen auch „Nachweise" für Behörden. Sie können per Knopfdruck einen Report generieren, der zeigt, dass Ihre Systeme am Dienstag um 14:30 Uhr eine bestimmte Anforderung erfüllt haben. Das ist wie ein digitales Tagebuch. Ich habe einen Kunden, der dafür ein Produkt namens „RiskWeaver" von einer lokalen Firma einsetzt. Der Vorteil ist, dass Sie nicht jedes Mal einen externen Berater beauftragen müssen, wenn der CAC eine neue Maßnahme ankündigt.
Allerdings müssen Sie aufpassen: Automatisierung ist kein Ersatz für menschliche Urteilskraft. Die KI kann Ihnen helfen, Risiken zu identifizieren, aber die Entscheidung, wie Sie mit einer Unschärfe in der Gesetzgebung umgehen, bleibt eine unternehmerische. Vergessen Sie nicht das „Warum": Sie wollen nachhaltig in China wachsen, nicht nur eine Prüfung bestehen. Eine gute Compliance-Infrastruktur schafft Vertrauen bei Geschäftspartnern und Mitarbeitern.
Fazit & Ausblick: Technik ist nur die halbe Miete
Zusammenfassend müssen Sie sich mit fünf bis sieben Technologiefeldern auseinandersetzen: Datenlokalisierung, Klassifizierung, Verschlüsselung, Zugriffskontrolle, Anonymisierung, Überwachung und Automatisierung. Sie haben alle Charakter „Must-have" und nicht „Nice-to-have". Die größte Hürde ist nicht die Anschaffung, sondern die Integration in Ihre bestehende IT-Landschaft. Ich rate Ihnen, zuerst eine Lückenanalyse zu machen – wir bei Jiaxi bieten das natürlich an, aber Sie können es auch initial selbst tun. Stellen Sie sich die Frage: Wo liegen meine Daten heute, und was passiert mit ihnen?
Die nächsten Jahre werden zeigen, dass die technische Compliance noch enger mit der operativen Effizienz verbunden wird. Unternehmen, die jetzt in eine saubere Datenarchitektur investieren, werden später weniger Reibungsverluste haben. Und seien wir ehrlich: Das Thema Datensicherheit wird nicht von der politischen Tagesordnung verschwinden, eher im Gegenteil. China treibt die Digitalisierung voran, und mit der wachsenden Datenmenge wächst auch die Regulierung. Wer jetzt denkt, er könne das „aussitzen", der wird aufwachen wie ein Kater nach einer langen Nacht – Schmerzen sind vorprogrammiert.
Langfristig, wenn Sie das lokale Geschäft ausbauen wollen, sollten Sie auch über die Einführung eines „Data Governance Council" nachdenken, der monatlich tagt und technische und rechtliche Themen zusammenbringt. Das ist ein Trend, den ich aus den USA kenne, aber er passt perfekt zu Chinas Kontrollkultur. Die Technologie ist nur das Werkzeug – der Wille zur Transparenz entscheidet.
Die Perspektive von Jiaxi Steuer- und Finanzberatung
Aus unserer täglichen Beratungspraxis bei der Jiaxi Steuer- und Finanzberatung sehen wir, dass Technologie allein nicht reicht – aber ohne sie kann kein ausländisches Unternehmen in China bestehen. Wir empfehlen unseren Mandanten immer, die Datensicherheit als Teil der „Going Global"-Strategie zu behandeln. Viele Konzerne unterschätzen, dass die technische Umsetzung monatelange Vorlaufzeit braucht, insbesondere wenn Sie auf die SM-Standards umstellen müssen. Unsere Erfahrung zeigt, dass eine enge Zusammenarbeit zwischen IT-Abteilung (in China) und Datenschutzbeauftragten (oft in Europa) absolute Pflicht ist. Ein weiterer Punkt, den wir oft ansprechen: die Kosten. Eine solide Lösung kostet schnell einen sechsstelligen Betrag in Euro, aber das ist im Vergleich zu einem Bußgeld von bis zu 50 Millionen Yuan oder 5% des Vorjahresumsatzes immer noch günstig. Lassen Sie sich nicht von Billig-Lösungen locken, die nur ein „Compliance-Schaufenster" sind. Und scheuen Sie sich nicht, uns frühzeitig zu involvieren – je früher wir über die technischen Pläne sprechen, desto besser können wir Schnittstellen zu Steuer- und Meldevorschriften aufzeigen. Ein Patentrezept gibt es nicht, aber mit der richtigen Technologie-Ausrichtung sind Sie gut gewappnet.
