diff --git a/docs/deployment-guides/09-wiki-forward-auth.md b/docs/deployment-guides/09-wiki-forward-auth.md
index 4467933..d176ffe 100644
--- a/docs/deployment-guides/09-wiki-forward-auth.md
+++ b/docs/deployment-guides/09-wiki-forward-auth.md
@@ -248,6 +248,17 @@ networks:
 5. Resilienz-Gegenprobe: `auth.axion1337.chat` kurz nicht erreichbar → bestehende
    Sitzung liest weiter (lokaler Outpost), nur neuer Login blockiert.
 
+## Fehlerbild
+
+- **„Anfrage wurde verweigert — Regelwerk Bindung … resultiert in False"** nach
+  dem Login: Du bist **nicht in `wiki-zugang`** (Schritt 2.4 übersprungen). Das
+  `policy=None` in der Meldung ist normal — es ist eine *Gruppen*-Bindung. Fix:
+  *Directory → Groups → wiki-zugang* → Nutzer hinzufügen, neu einloggen.
+- **Redirect-Schleife**: der `/outpost.goauthentik.io/`-Router hat versehentlich
+  die Auth-Middleware (Teil 3) — entfernen.
+- **Outpost bleibt in Authentik „offline"/rot**: Version des `proxy`-Containers
+  passt nicht zur Server-Version (2.1) oder Token/`AUTHENTIK_HOST` falsch.
+
 ## Was hier bewusst offen bleibt
 
 - **Nichts ist live geschaltet** — der Blueprint liegt als Vorlage hier, nicht in