Warum: Gesetze, die mitlesen

Die Gesetze

Aeronas Regeln gelten für jedes Land gleich, auch für Deutschland. Du findest sie in der Übersicht der China-Absage. Gemessen haben wir China nicht an Schlagzeilen, sondern an seinen eigenen Gesetzen. Das hat einen Grund: Ein Gesetz gilt für jede Firma im Land, auch für eine, die es gut meint. Entscheidend ist also nicht, was ein Anbieter verspricht, sondern was er nach dem Gesetz tun müsste.

Die Kritik gilt dem Staat – der Volksrepublik China und der Kommunistischen Partei Chinas – und seinen Gesetzen. Sie gilt nie den Menschen, weder in China noch irgendwo sonst auf der Welt. Wer dort lebt, hat sich diese Gesetze nicht ausgesucht.

1. Cybersicherheitsgesetz1. Juni 2017

   Beschlossen im November 2016. Netzbetreiber müssen Behörden technisch helfen, bestimmte Daten im Land speichern und die echten Namen ihrer Nutzer erheben.³

2. Nationales Nachrichtendienstgesetz28. Juni 2017

   Beschlossen am 27. Juni 2017, geändert am 27. April 2018. Pflicht zur Mitwirkung – und zum Schweigen darüber.¹

3. Datensicherheitsgesetz und Vorschriften zu Sicherheitslücken1. September 2021

   Beide gelten ab demselben Tag. Das eine verlangt Mitwirkung, wenn Behörden Daten brauchen; das andere schickt Sicherheitslücken binnen zwei Tagen an ein Ministerium.^5, 10

4. Gesetz zum Schutz persönlicher Informationen1. November 2021

   Beschlossen am 20. August 2021. Es gilt auch für Behörden – mit Ausnahmen, wo Geheimhaltung oder ihre Aufgaben es verlangen.⁶

5. Neufassung des Gegenspionagegesetzes1. Juli 2023

   Beschlossen am 26. April 2023, die erste Änderung seit 2014. Als Spionage können seither auch Daten und Dokumente gelten, nicht mehr nur Staatsgeheimnisse.^8, 9

6. Cybersicherheitsgesetz geändert1. Januar 2026

   Beschlossen am 28. Oktober 2025: höhere Strafen, mehr Reichweite ins Ausland, Vorschriften zu KI. Auf dieser Seite stehen die Artikelnummern der Fassung von 2017.⁴

Der Nachrichtendienst

Das Nationale Nachrichtendienstgesetz gilt seit dem 28. Juni 2017. Nach Artikel 7 müssen Organisationen und Bürger die Arbeit der Nachrichtendienste „nach dem Gesetz unterstützen, dabei helfen und mitwirken“. Und sie müssen darüber Stillschweigen bewahren.¹ Die Pflicht trifft also nicht nur Firmen, sondern auch jeden Einzelnen, und das Schweigen ist keine Ausnahme, sondern steht im selben Satz.

Das Cybersicherheitsgesetz von 2017 legt nach. Nach Artikel 28 müssen Netzbetreiber der Polizei und der Staatssicherheit „technische Unterstützung und Hilfe“ leisten, wenn diese die nationale Sicherheit schützen oder Straftaten ermitteln.³ Seit dem 1. Juli 2023 darf die Staatssicherheit nach dem neugefassten Gegenspionagegesetz außerdem Geräte und Programme von Personen und Organisationen überprüfen, Daten anfordern, Geräte beschlagnahmen und Ausreisesperren verhängen.⁸ Als Spionage können seit der Neufassung auch Dokumente, Daten und Gegenstände gelten, die „die nationale Sicherheit und Interessen“ betreffen – nicht mehr nur Staatsgeheimnisse.^8, 9

Fair gesagt: Nicht jeder Fachmann liest Artikel 7 so streng. Der Rechtsübersetzer Jeremy Daum (China Law Translate) hält seine Reichweite für überschätzt.² Das Gesetz verpflichtet zur Mitwirkung – dass es zur Spionage zwingt, steht so nicht darin. Wir nennen seine Sicht, weil eine Seite, die nur Belege für die eigene Meinung sammelt, nichts wert wäre; seinen Text kennen wir allerdings nur aus dem Suchauszug, die Seite war beim Abruf gesperrt. Wir sehen trotzdem den Kern: Eine Pflicht, über die man schweigen muss, kann von außen niemand überprüfen.

Daten

Nach Artikel 37 des Cybersicherheitsgesetzes müssen Betreiber „kritischer Informationsinfrastruktur“ personenbezogene und „wichtige“ Daten, die sie in Festlandchina erheben, auch dort speichern. Ins Ausland dürfen sie nur nach einer staatlichen Sicherheitsbewertung.³ Das Gesetz zum Schutz persönlicher Informationen verlangt dasselbe in Artikel 40 auch von Verarbeitern großer Datenmengen. An ausländische Behörden gehen solche Daten nur mit Genehmigung der chinesischen Behörden (Artikel 41).⁶

Die Speicherpflicht trifft bestimmte Anbieter. Die nächste Pflicht trifft alle: Braucht die Polizei oder die Staatssicherheit Daten für die nationale Sicherheit oder für Ermittlungen, „müssen die betreffenden Organisationen und Personen mitwirken“. So steht es seit dem 1. September 2021 in Artikel 35 des Datensicherheitsgesetzes.⁵ Wer sich weigert, bekommt nach Artikel 48 eine Verwarnung und eine Geldbuße von 50.000 bis 500.000 Yuan. Die verantwortlichen Personen zahlen 10.000 bis 100.000 Yuan.⁵

Das Datenschutzgesetz nimmt die Behörden nicht aus – es lässt ihnen aber Ausnahmen, wo Geheimhaltung oder ihre Aufgaben es verlangen. Staatsorgane müssen Betroffene nicht informieren, wenn ein Gesetz Geheimhaltung vorsieht oder wenn die Information „die Erfüllung ihrer gesetzlichen Aufgaben behindern würde“ (Artikel 35 mit Artikel 18). Ohne Einwilligung darf verarbeitet werden, was „zur Erfüllung gesetzlicher Pflichten oder Aufgaben notwendig“ ist (Artikel 13).⁶

Wer kontrolliert das? Die Rechtswissenschaftlerin Jamie P. Horsley (Yale) schrieb am 26. Januar 2021 zum damaligen Entwurf: Verstöße von Staatsorganen korrigieren übergeordnete Stellen, keine unabhängige Aufsicht. Die Anwendung auf den Staat nannte sie „largely aspirational“ – weitgehend ein Wunsch.⁷ Ihr Text bezieht sich auf den Entwurf, nicht auf das beschlossene Gesetz. Wir führen ihn deshalb als Einschätzung einer Fachfrau an, nicht als Inhalt des Gesetzes.

Schwachstellen

Am 12. Juli 2021 erließen das Industrieministerium (MIIT), die Cyberspace-Verwaltung (CAC) und das Ministerium für öffentliche Sicherheit Vorschriften zu Sicherheitslücken in Netzprodukten. Sie gelten seit dem 1. September 2021, demselben Tag wie das Datensicherheitsgesetz.¹⁰ Drei Punkte daraus berühren Aeronas Regeln unmittelbar:

• Anbieter müssen eine Sicherheitslücke innerhalb von zwei Tagen an eine Plattform des Industrieministeriums melden.
• Unveröffentlichte Informationen über Lücken dürfen nicht an ausländische Organisationen oder Personen gehen – außer an den Hersteller des Produkts.
• Während „großer nationaler Ereignisse“ darf eine Lücke nur mit Genehmigung des Ministeriums für öffentliche Sicherheit veröffentlicht werden.

Eine Sicherheitslücke ist ein offenes Fenster. Das Wissen darum gehört zuerst zu denen, die es schließen. Wir sehen in diesen Vorschriften das Gegenteil: Das Wissen geht per Gesetz an eine Stelle des Staates, und wann es öffentlich wird, bestimmt in bestimmten Lagen der Staat. Aeronas eigenes Regelwerk sagt es andersherum: Wird eine Sicherheitslücke gefunden, wird sie dokumentiert und gemeldet, auch wenn sie nicht sofort behoben wird – „Stillschweigen ist keine Option“ (Regelwerk, Regel 07 „Sicherheit und Qualität“).

Zensur

Freedom House bewertet China im Bericht „Freedom on the Net 2025“ mit 9 von 100 Punkten: „nicht frei“. Kein anderes der 72 untersuchten Länder schneidet schlechter ab. Seit über zehn Jahren hat China nach dem Bericht die schlechtesten Bedingungen für Internetfreiheit weltweit. Die „Great Firewall“ blockiert tausende Domains; große Dienste wie Facebook, YouTube, X und WhatsApp sind gesperrt.¹¹

Die Sperren stehen im Gesetz. Nach Artikel 50 des Cybersicherheitsgesetzes weisen die Behörden an, verbotene Informationen „von außerhalb des Festlands“ technisch zu blockieren. Artikel 58 erlaubt, in besonderen Lagen das Netz einer ganzen Region einzuschränken. Und Artikel 24 verpflichtet Netzbetreiber, von ihren Nutzern „echte Identitätsangaben“ zu verlangen – beim Netzzugang ebenso wie bei Nachrichtendiensten.³

Auch Apps trifft das. Ende Juli 2017 entfernte Apple die großen VPN-Apps aus dem chinesischen App Store; seit Januar 2017 brauchen VPN-Anbieter dort eine staatliche Genehmigung.¹² Am 19. April 2024 folgten WhatsApp und Threads. Die Cyberspace-Verwaltung habe die Entfernung wegen Bedenken der nationalen Sicherheit angeordnet, schrieb Apple. Laut Reuters verschwanden am selben Tag auch Signal und Telegram.^13, 14 Beim Fahrdienst Didi leitete die Cyberspace-Verwaltung am 2. Juli 2021 eine Sicherheitsprüfung ein, danach wurden seine Apps aus den chinesischen App-Läden entfernt. Die Behörde nannte dabei auch echte Datenschutzverstöße. Uns geht es um etwas anderes: Der Staat kann eine App über Nacht vom Markt nehmen.¹⁶

Seit einer Mitteilung des Industrieministeriums vom 21. Juli 2023 muss jede App in China beim Staat gemeldet werden – neue Apps ab September 2023, bestehende bis zum 31. März 2024. In der Praxis setzt das unter anderem eine chinesische Gesellschaft und Server in China voraus.¹⁵ Genau genommen ist das eine Meldepflicht, keine Lizenz im engen Sinn; kommerzielle Dienste brauchen dort zusätzlich eine eigene Lizenz.¹⁵ Für Aerona macht das keinen Unterschied: Schon die Meldung setzt in der Praxis eine Gesellschaft und Server im Land voraus.

Aeronas Versprechen

Aerona sagt dir zu: Deine Daten bleiben auf deinem Gerät und gehen niemanden etwas an. Ein solches Versprechen könnte ein Anbieter in der Volksrepublik China nicht rechtssicher geben. Mehrere Gesetze verpflichten ihn zur Speicherung im Land, zur Mitwirkung mit Behörden und zum Schweigen darüber. Er müsste:

• Daten im Land speichern, wenn er als kritische Infrastruktur gilt oder große Datenmengen verarbeitet, und sie nur nach staatlicher Prüfung ausführen – Daten.
• Polizei und Staatssicherheit technisch helfen – Der Nachrichtendienst.
• Daten herausgeben, wenn Behörden sie verlangen, sonst drohen bis zu 500.000 Yuan – Daten.
• den Nachrichtendiensten helfen und darüber schweigen. Du würdest davon nichts erfahren – Der Nachrichtendienst.
• hinnehmen, dass Behörden dich nicht benachrichtigen müssen, wenn das ihre Aufgaben behindern würde – Daten.
• Geräte und Daten von der Staatssicherheit prüfen lassen – Der Nachrichtendienst.
• Sicherheitslücken binnen zwei Tagen an ein Ministerium melden – Schwachstellen.
• echte Namen erheben und seine App beim Staat melden – Zensur.

Das sagen nicht nur wir. Die irische Datenschutzkommission verhängte am 2. Mai 2025 eine Strafe von 530 Millionen Euro gegen TikTok, 485 Millionen davon wegen unzulässiger Übermittlung von Daten nach China. TikTok habe nicht nachgewiesen, dass die Daten europäischer Nutzer dort vor Zugriffen nach dem Anti-Terror-, Gegenspionage-, Cybersicherheits- und Nachrichtendienstgesetz gleichwertig geschützt sind.¹⁷ Die übrigen 45 Millionen kamen wegen mangelnder Transparenz dazu; Personal in China hatte Fernzugriff auf Daten europäischer Nutzer.¹⁷ Eine Behörde der EU kam damit, unabhängig von uns, an denselben Gesetzen zum selben Schluss.

Für uns heißt das: Aerona macht zu null Prozent etwas mit China. Unsere Regeln gelten für jedes Land gleich, und China erfüllt sie nicht. Das richtet sich gegen einen Staat und seine Gesetze – nie gegen die Menschen, die dort leben. Was null Prozent genau bedeutet, steht auf Null Prozent.

Quellen

Alle Quellen abgerufen am 25. September 2026. Die Gesetzestexte liegen nur als Übersetzungen vor; verbindlich ist der chinesische Wortlaut. China Law Translate war beim Abruf gesperrt, die Artikel haben wir deshalb über andere Übersetzungen geprüft. Zitate aus englischen Quellen sind unsere Übersetzung. Was sich nicht sicher belegen ließ, haben wir weggelassen – etwa einen weiteren Artikel des Nachrichtendienstgesetzes, dessen Wortlaut wir nicht selbst prüfen konnten. Die ganze Sammlung mit Wortlaut und Einordnung liegt im Projekt unter artikel/china-absage/Quellen_und_Fakten.md.

1. National Intelligence Law of the People’s Republic of China – englische Übersetzung von lawinfochina.com, Kopie der Brown University; Gesetz vom 27. Juni 2017. Zur Quelle
2. What China’s National Intelligence Law Says, And Why it Doesn’t Matter – Jeremy Daum, China Law Translate. Beim Abruf gesperrt; Inhalt nur aus dem Suchauszug. Zur Quelle
3. Translation: Cybersecurity Law of the People’s Republic of China (Effective June 1, 2017) – DigiChina, New America. Zur Quelle
4. China Cybersecurity Law Amendment in Effect January 1, 2026 – China Briefing (Dezan Shira & Associates); ergänzend EU-Kommission, IP Helpdesk, 28. November 2025. Zur Quelle · IP Helpdesk
5. A Close Reading of China’s Data Security Law – China Briefing (Dezan Shira & Associates). Den Wortlaut der Artikel 35 und 48 haben wir zusätzlich an der englischen Übersetzung der Obersten Volksstaatsanwaltschaft geprüft. Sie steht auf einer Seite des chinesischen Staates und ist deshalb nicht verlinkt. Zur Quelle
6. Translation: Personal Information Protection Law of the People’s Republic of China – Effective Nov. 1, 2021 – DigiChina, Stanford University. Zur Quelle
7. How will China’s privacy law apply to the Chinese state? – Jamie P. Horsley, DigiChina, New America, 26. Januar 2021 (zum damaligen Entwurf). Zur Quelle
8. China Amends the Counter-Espionage Law – Pillsbury Winthrop Shaw Pittman. Zur Quelle
9. Meldung zur Neufassung des Gegenspionagegesetzes – Library of Congress, Global Legal Monitor, 21. September 2023. Zur Quelle
10. Brief Review of Provisions on Administration of Security Vulnerabilities in Network Products – Han Kun Law Offices. Zur Quelle
11. China: Freedom on the Net 2025 Country Report – Freedom House; Berichtszeitraum 1. Juni 2024 bis 31. Mai 2025. Dazu der Gesamtbericht „An Uncertain Future for the Global Internet“. Zur Quelle · Gesamtbericht
12. Apple removes VPN apps from the App Store in China – TechCrunch, 29. Juli 2017; dazu CNBC, 31. Juli 2017. Zur Quelle · CNBC
13. Apple pulls WhatsApp, Threads from China App Store following state order – TechCrunch, 19. April 2024. Zur Quelle
14. Meldung zur Entfernung von WhatsApp und Threads – Hong Kong Free Press, 19. April 2024. Zur Quelle
15. All Mini Programs and Apps in China to be Registered by End-March 2024 – China Briefing; dazu Norton Rose Fulbright, „New Record Filing Requirements for Internet Application Programs (APPs) in China“. Zur Quelle · Norton Rose Fulbright
16. China fines Didi more than $1 billion for breaking data security laws – CNBC, 21. Juli 2022; dazu die Übersetzung der Behördenmitteilung bei DigiChina. Zur Quelle · DigiChina
17. Irish Data Protection Commission fines TikTok €530 million … – Data Protection Commission (Irland), 2. Mai 2025; dazu die Meldung des Europäischen Datenschutzausschusses. Zur Quelle · EDSA