diff --git a/docs/design/2026-08-21-egress-vollstaendig.md b/docs/design/2026-08-21-egress-vollstaendig.md
index e9b527e..cb6cb75 100644
--- a/docs/design/2026-08-21-egress-vollstaendig.md
+++ b/docs/design/2026-08-21-egress-vollstaendig.md
@@ -408,4 +408,48 @@ für kaputt, während er nur langsam ist.
 
 **Status:** `DONE`
 
+> **STOP — Slice-Review.** Freigegeben durch sorb, 2026-08-21.
+
+### Slice 2 — DNS-Zeiger und Welle 2: Klasse B
+
+- [x] **Zeiger setzen** — files: `apps/base/infra/coredns-custom.yaml` —
+  verify: Auflösung und TLS aus einem Pod — done.
+- [x] **Welle 2 ausrollen** — files: `apps/production/networkpolicy.yaml` —
+  verify: Sperre und Erlaubnis je gegengeprüft — done.
+
+**Evidence.**
+
+Der Zeiger wirkt: `rohana.axion1337.de -> 10.0.0.3`, und die TLS-Prüfung
+geht über diesen Weg durch — beides aus einem Pod gemessen, nicht am
+Manifest gelesen.
+
+Aus `wikijs`, nach der Welle:
+
+```
+CoreDNS (Positivkontrolle):   ERREICHBAR
+rohana privat (erlaubt):      ERREICHBAR
+Storage Box (nicht erlaubt):  blockiert
+1.1.1.1 (nicht erlaubt):      blockiert
+rohana oeffentlich:           blockiert
+```
+
+Für die Job-artigen greift die Auswahl erst beim nächsten Lauf, also wurde
+einer ausgelöst: `synapse-backup` lief **erfolgreich** durch und schrieb
+sein Archiv — die Storage-Box-Erlaubnis trägt.
+
+Bestand: von neun auf **fünf**. Offen bleiben nur noch die echt breiten:
+`synapse-main`, `matrix-authentication-service`, `matrix-rtc-sfu`,
+`coturn`, `clamav`.
+
+⚠️ **Der DNS-Zeiger brauchte einen Handgriff, den der Entwurf nicht kannte.**
+Die ConfigMap ist als *optional* eingehängt; war sie beim Start des Pods
+nicht da, zieht Kubelet sie nicht nach — CoreDNS meldete zweieinhalb Minuten
+lang weiter `No files matching import glob pattern`. Ein Neustart war nötig.
+Weil das Deployment `maxUnavailable: 1` bei **einer** Replik führt, hätte
+`rollout restart` eine clusterweite DNS-Lücke bedeutet; stattdessen auf zwei
+Repliken hoch, den neuen Pod die Zone laden lassen, den alten entfernen,
+zurück auf eine. Zu keinem Zeitpunkt war DNS ohne Bedienung.
+
+**Status:** `DONE`
+
 > **STOP — Slice-Review.**