diff --git a/docs/ledger/2026-08-21-egress-vollstaendig.md b/docs/ledger/2026-08-21-egress-vollstaendig.md
index fb21bb1..05f2311 100644
--- a/docs/ledger/2026-08-21-egress-vollstaendig.md
+++ b/docs/ledger/2026-08-21-egress-vollstaendig.md
@@ -14,6 +14,8 @@ related:
 
 | gate | commit | approval | status | note |
 |---|---|---|---|---|
+| 5 | 52326f4 | sorb | DONE | Abnahmeliste vollstaendig, Call gemessen; ADR-0025 angenommen, #0088 geschlossen. |
+| 4 | b0837b7 | sorb | DONE | Fuenf Slices in vier Wellen; Rueckweg in Slice 1 geprobt und Gate 2 korrigiert. |
 | 3 | a7d561b | sorb | DONE | Klassen, Regelform, rohana intern statt extern. |
 | 2 | 1dc5439 | sorb | DONE | Drei Klassen, CIDR-only, ClamAV als harter Fall benannt. |
 | 1 | 04b1b84 | sorb | DONE | Umfang und vier zaehlbare Abnahmekriterien; #0088 auf in-progress. |
@@ -29,7 +31,7 @@ related:
 | das git-storage-Ziel von wikijs, statt es zu raten | steht nicht im Manifest, sondern in der Wiki.js-Datenbank: `https://rohana.axion1337.de/sorb/ThreadNetWiki.git` | reused: die laufende Konfiguration als Quelle — Klasse B bestaetigt | |
 | ob die Sperre von gestern ueberhaupt beisst, bevor neue dazukommen | drei echt externe Ziele blockiert, die Knoten-Adresse erreichbar | built: nichts — aber der Fund aendert die Klasseneinteilung und gehoert ins Issue | |
 | einen privaten Weg zu rohana, auf sorbs Einwand hin | `10.0.0.3:443` antwortet als Gitea und traegt ein gueltiges Let's-Encrypt-Zertifikat fuer den oeffentlichen Namen | reused: der vorhandene private Pfad statt einer Erlaubnis nach draussen — kein Dienst muss umkonfiguriert werden | |
-| einen Weg, den Namen intern umzubiegen | die Corefile importiert bereits `/etc/coredns/custom/*.override`; nur die ConfigMap fehlt | reused: der vorgesehene k3s-Mechanismus, keine Aenderung an der Corefile selbst | |
+| einen Weg, den Namen intern umzubiegen | die Corefile importiert bereits beides: `*.override` im Hauptblock (Z. 19) und `*.server` am Ende (Z. 22); nur die ConfigMap fehlt | reused: der vorgesehene k3s-Mechanismus, keine Aenderung an der Corefile selbst — `.server`, weil eine eigene Zone noetig ist und ein zweiter `hosts`-Block im Hauptblock mit `NodeHosts` kollidiert waere | |
 | einen Weg, einen distroless Pod zu pruefen | `kubectl debug` haengt einen ephemeren Container in denselben Netz-Namensraum, die Policy gilt fuer ihn genauso | reused: Bordmittel statt Sidecar oder Image-Aenderung | |
 
 ## Notes