diff --git a/docs/design/2026-08-21-egress-vollstaendig.md b/docs/design/2026-08-21-egress-vollstaendig.md
index cb1d0f7..a6d8f45 100644
--- a/docs/design/2026-08-21-egress-vollstaendig.md
+++ b/docs/design/2026-08-21-egress-vollstaendig.md
@@ -558,8 +558,43 @@ Messung kleiner geworden, aber nicht gegenstandslos: Die Abnahme dafür ist
 ein echter Login, und den kann diese Sitzung nicht durchführen. Das Manifest
 sagt jetzt genau das — offen ist die **Abnahme**, nicht die Analyse.
 
-**Status:** `DONE_WITH_CONCERNS` — der geplante Umfang ist fertig; eine
-Arbeitslast ist nachweislich einschränkbar und bleibt es aus einem Grund,
-den nur sorb ausräumen kann.
+**Status:** `DONE`
+
+> **STOP — Slice-Review.** Freigegeben, und die Abnahme für MAS erteilt:
+> *„mach mas, ich teste die anmeldung."*
+
+### Slice 5 — Welle 4: der Anmeldedienst
+
+- [x] **MAS einschränken** — files: `apps/production/networkpolicy.yaml` —
+  verify: OIDC-Kette funktional aus dem eingeschränkten Pod — done.
+
+**Evidence — nicht nur Ports, sondern die Kette selbst.**
+
+```
+CoreDNS (Positivkontrolle):                ERREICHBAR
+Knoten-IP = auth.axion1337.chat:           ERREICHBAR
+1.1.1.1 / Storage Box:                     blockiert
+
+Homeserver intern /health:                 HTTP/1.1 200 OK  (Synapse/1.151.0+ess.1)
+Authentik OIDC-Discovery:                  HTTP 200 in 0.59 s
+  "issuer": "https://auth.axion1337.chat/application/o/matrix/"
+```
+
+MAS läuft ohne Neustart weiter (`Neustarts=0`).
+
+⚠️ **Ein Zwischenschritt meldete fälschlich einen Fehler.** Die erste
+Discovery-Prüfung lief mit busyboxs `wget` und endete mit
+`TLS error from peer (alert code 47)`. Das sah nach Blockade aus, war aber
+das Gegenteil: Die TCP-Verbindung **stand** — sonst gäbe es keinen
+TLS-Alarm vom Gegenüber —, busyboxs minimales TLS genügte Traefik nur nicht.
+Mit einem Image, das TLS beherrscht, kam HTTP 200. **Vierte Fehlmessung des
+Tages durch das Werkzeug, nicht durch die Sache**, und die vierte, die nur
+auffiel, weil das Ergebnis gegen eine zweite Messung gehalten wurde.
+
+**Bestand am Ende:** `matrix` **4**, `authentik` **0**, `monitoring` **0**.
+Die vier sind `synapse-main`, `coturn`, `matrix-rtc-sfu`, `clamav` — drei
+davon Dienstmerkmale, eines eine begründete CDN-Ausnahme.
+
+**Status:** `DONE` — die Abnahme durch einen echten Login steht bei sorb.
 
 > **STOP — Slice-Review.**
\ No newline at end of file