China: Neues Cybersecurity-Gesetz trifft europäische Unternehmen

Am 1. Juni 2017 tritt das von der chinesischen Regierung erlassene neue Gesetz zur Cybersecurity in Kraft. Viele deutschen und europäischen Unternehmen herrscht große Unsicherheit darüber, ob sie von der Gesetzesänderung betroffen sind und welche Schritte sie unternehmen müssen, um ihren Geschäftsbetrieb nicht zu gefährden. Bekannt ist bestenfalls, dass bei Verstößen der Entzug der sogenannten Bei'an-Lizenz droht und die chinesische Website oder Datenübertragungen in China gesperrt werden.

Die Gesetzestexte sind weder auf Deutsch noch auf Englisch verfügbar, lediglich inoffizielle Übersetzungen existieren (zum Beispiel hier   ), die jedoch keinerlei Rechtssicherheit bieten und eine korrekte Auslegung erschweren. Das auf Content Delivery und Cloud-Security-Lösungen spezialisierte Unternehmen CDNetworks hat gemeinsam mit einem ein Experte für den chinesischen Markt trotzdem versucht, die am häufigst gestellten Fragen von Unternehmen zu beantworten.

Was besagt das neue Gesetz?

Das Gesetz umfasst eine Vielzahl von Pflichten im elektronischen Geschäftsverkehr. Für ausländische Unternehmen am wichtigsten: Die Regulierungen der "Datenauslieferung". Demnach sollen alle personenbezogen beziehungsweise als sensibel definierte Daten ausschließlich in China gehostet werden und das Land nicht mehr verlassen dürfen (außer mit spezieller Erlaubnis der Regierung).

Welche Unternehmen sind betroffen?

Betroffen sind alle Unternehmen, die im elektronischen Geschäftsverkehr in China tätig sind. Dazu gehören natürlich Betreiber von Netzwerk- oder sogenannten Critical Information-Infrastrukturen, aber auch jedes andere Unternehmen und jede Organisation, die Web-Inhalte (Websites, Apps, etc.) in China "ausliefert" beziehungsweise dazu einen Betreiber von Netzwerk- oder sogenannten Critical Information-Infrastrukturen für das Hosting oder die Auslieferung nutzt.

Nicht betroffen sind Unternehmen, die ihre Inhalte von außerhalb Chinas anbieten, wozu auch Hongkong zählt.

Was, wenn die Datenverarbeitung teilweise im Ausland erfolgt?

Aufgrund der langsamen Ladezeiten (verursacht durch die große Entfernung nach China sowie die automatische Überprüfung von Inhalten durch die sogenannte "Great Firewall") stellen viele Unternehmen ihre Inhalte über einen Server oder Knotenpunkt in China zur Verfügung. Das geschieht häufig unter zuhilfenahme eines Hoster, Cloud-Dienstleisters oder eines Content Delivery Network-Anbieter (CDN).

Hatte ein ECommerce-Anbieter beispielsweise seine datenverarbeitende Systeme, wie Bestell-, Rechnungs- oder Warenbestandsysteme bisher außerhalb von China angesiedelt, zugleich aber seine Webseiten über einen lokalen Dienstleister (etwa ein CDN) ausgeliefert, das innerhalb Chinas angesiedelt war, müssen dieses System nun gespiegelt werden. Nur dann werden die Daten wie gefordert innerhalb von China verarbeitet.

Es sind also Unternehmen aller Branchen betroffen, von Handel, über IT-Service-Anbieter bis hin zu Unternehmen aus den Bereichen Industrie, Tourismus, Medien, Online-Werbung oder Gaming.

Was sind die Konsequenzen?

Tausende Zertifizierungsbeamte prüfen zurzeit mit Softwareunterstützung, ob ausländische Organisationen, die entsprechende Inhalte von China aus für den chinesischen Markt anbieten, alle Bedingungen der neuen Gesetzgebung erfüllen. Wenn sie bereits mit einem Hosting-Dienstleister oder CDN-Anbieter zusammenarbeiten, wird außerdem geprüft, ob dieser die dafür benötigten Lizenzen besitzt. Ist dies nicht der Fall, kann die in China notwendige Bei'an-Lizenz entzogen und die Website oder Web-Inhalte gesperrt werden.

Bereits jetzt erhalten Unternehmen Anrufe der Regierungsbeauftragten und werden aufgefordert in kürzester Zeit die benötigten Änderungen einzuleiten. Hosting, Cloud- und CDN-Anbieter dürfen die Websites ihrer Kunden nur noch dann beschleunigen, wenn der Ursprungsserver auch in China angesiedelt ist. Ansonsten wird die Bei'an-Lizenz entzogen und der Service muss abgestellt werden.

Was sind die wichtigsten Schritte für Unternehmen, die in China tätig sind?

• Unternehmen müssen prüfen, wo ihre Daten vorgehalten und verarbeitet werden.
  
• Es empfiehlt sich unbedingt, die Domain für China, in China registrieren zu lassen.
  
• Wird eine eigenen Infrastruktur verwendet, muss diese auf Konformität hin geprüft werden oder sie sollten einen Anbieter finden, der konform mit der neuen Regulierung ist und sie dabei unterstützen kann, alle notwendigen Schritte umzusetzen.
  
• Arbeiten Unternehmen bereits mit einem Hosting-, Cloud- oder CDN-Anbieter für den chinesischen Markt zusammen, sollten sie prüfen, ob er die Bedingungen erfüllt und ob notwendige Änderungen gemeinsam vorgenommen werden können. Dazu gehören neben Hosting und der Datenauslieferung in China gegebenenfalls auch Unterstützung bei der Spiegelung von Systemen sowie der sichere Datentransport.

Welche Voraussetzungen sollte ein Partner für die Datenauslieferung in China erfüllen?

• Die Möglichkeit Hosting in China anzubieten. Viele Anbieter haben bisher ihre Dienstleistungen für China von anderen Standorten aus erbracht. Mit der neuen Gesetzgebung ist dies nicht mehr erlaubt.
  
• Kenntnisse über den chinesischen Markt - besonders über die benötigten Lizenzen, im Idealfall mit einer Akkreditierung für die Ausstellung der Bei'an-Lizenz
  
• Eine Lösung, die Unternehmen bei der für viele notwendigen Spiegelung der Systeme in China unterstützt - inklusive der sicheren verschlüsselten Übertragung von Datenpaketen. Denn wenn Systeme gespiegelt werden müssen, sollten sensible Daten natürlich nur gesichert übertragen werden.