Jupp, das ist in
XML ein "Steuerzeichen" und es muß immer maskiert werden.
Selbst in
HTML müsste es prinzipiell maskiert werden, aber die
HTML-Parser sind fehlertollerant, weil viele Webentwickler doof sind, aber die Browserhersteller lieber was Falsches anstatt garnichts anzeigen wollen.
In XHTML muß es auch "zwingend" maskiert werden, damit der Code valide ist.
Nur in DATA/CDATA-Blöcken hat man mehr Freiheiten.