diff --git a/.gitlab-ci.yml b/.gitlab-ci.yml
index 82599ec..ff8abb9 100644
--- a/.gitlab-ci.yml
+++ b/.gitlab-ci.yml
@@ -34,10 +34,14 @@ verify:
 # das ALTE Shared Secret wieder ein. Frueher war das ein monatlicher Handgriff;
 # dieser Job erledigt ihn.
 #
-# Einrichtung (einmalig, braucht Rechte - siehe CLAUDE.md):
-#   1. Project Access Token, Rolle Maintainer, Scope write_repository
-#      -> CI/CD-Variable CANONIZE_TOKEN (masked + protected)
-#   2. Pipeline-Schedule anlegen, taeglich, z. B. "17 5 * * *"
+# Einrichtung:
+#   1. OFFEN: Project Access Token, Rolle Maintainer, Scope write_repository
+#      -> CI/CD-Variable CANONIZE_TOKEN (masked + protected). Nur sorb legt das
+#         an; ohne das Token laeuft der Leerlauf gruen durch, aber die erste
+#         echte Rotation bricht ab. Siehe gitops#51.
+#   2. ERLEDIGT: Schedule "TURN-Rotation kanonisieren (taeglich)", 17:05 Europe/
+#      Berlin, angelegt 2026-08-02. Probelaeufe: Pipeline 159 deckte die
+#      fehlende Lab-CA auf, 161 lief gruen durch ("Keine offene Rotation").
 #
 # Warum taeglich statt monatlich zum Rotationstermin: ein monatlicher Schedule
 # hat genau einen Versuch. Faellt der Runner an dem Tag aus, faellt die