diff --git a/.gitlab-ci.yml b/.gitlab-ci.yml
index eafe0d0..e096d7f 100644
--- a/.gitlab-ci.yml
+++ b/.gitlab-ci.yml
@@ -58,11 +58,6 @@ canonize_rotation:
         [ -f "$c" ] && export GIT_SSL_CAINFO="$c" && break
       done
       echo "CA: ${GIT_SSL_CAINFO:-Systemspeicher}"
-    - |
-      if [ -z "$CANONIZE_TOKEN" ]; then
-        echo "CANONIZE_TOKEN fehlt - siehe Kopf dieser Datei, Schritt 1."
-        exit 1
-      fi
     - git config --global user.email "ci@axion1337.chat"
     - git config --global user.name "TURN-Rotation (automatische Kanonisierung)"
     - git remote add gitea https://rohana.axion1337.de/sorb/axion1337.chat-gitops.git
@@ -94,6 +89,14 @@ canonize_rotation:
         echo "Keine offene Rotation - nichts zu tun."
         exit 0
       fi
+      # Token erst hier pruefen, nicht am Jobanfang: solange nichts zu pushen ist,
+      # soll der taegliche Lauf gruen durchgehen und die Gitea-Strecke verifizieren.
+      # Fehlt er, wenn es wirklich etwas zu tun gibt, ist Abbruch richtig.
+      if [ -z "$CANONIZE_TOKEN" ]; then
+        echo "ABBRUCH: Es gibt eine offene Rotation, aber CANONIZE_TOKEN ist nicht gesetzt."
+        echo "Siehe Kopf dieser Datei, Einrichtungsschritt 1."
+        exit 1
+      fi
       # Sicherheitsnetz: die Rotation fasst genau diese Secrets an. Kaeme hier
       # etwas Unverschluesseltes durch, waere das Shared Secret im Klartext in Git.
       for f in apps/production/coturn-secret.yaml apps/production/synapse-turn-secret.yaml; do