diff --git a/docs/design/done/2026-08-21-cve-ziele-ableiten.md b/docs/design/done/2026-08-21-cve-ziele-ableiten.md
index a29f7d3..3ea1f2d 100644
--- a/docs/design/done/2026-08-21-cve-ziele-ableiten.md
+++ b/docs/design/done/2026-08-21-cve-ziele-ableiten.md
@@ -718,3 +718,18 @@ nachgebaute Tests, als eigener Stolperstein.
 > `docs/aar/2026-08-21-clark-calls-reset-vier-fehldiagnosen.md`. Beide fehlten
 > zunaechst; ich hatte sie mit dem Kommentar der Vorlage wegargumentiert statt
 > mit `AGENTS.md` Z. 202.
+
+### Nachtrag 2026-08-21 — Kriterium 5 nachgewiesen
+
+Beim Authentik-Sprung (#0051) wechselte `ghcr.io/goauthentik/server` von
+`2026.2.3` auf `2026.8.0`, die im selben Chart hängende Datenbank von
+`postgres:17.9-bookworm` auf `17.11`. Bei der nächsten stündlichen Herleitung
+standen **beide neuen Fassungen in der Soll-Menge, beide alten waren heraus** —
+ohne menschliches Zutun.
+
+Der Übergangszustand war der erwartete und belegt die Mechanik gleich mit:
+`missing=2` (neu, aber noch ungescannt — die Runde läuft alle 24 h) und
+`orphaned=2` (die Berichte der alten Fassungen liegen noch bis zur nächsten
+Runde). Beide Zahlen gehen mit dem nächsten Scan auf 0.
+
+**Damit sind alle sechs Abnahmekriterien von #0106 erfüllt.**
diff --git a/docs/issues/0106-cve-scan-deckt-nur-die-haelfte-zielliste-ist-handgepflegt.md b/docs/issues/0106-cve-scan-deckt-nur-die-haelfte-zielliste-ist-handgepflegt.md
index e9a46bb..0db815f 100644
--- a/docs/issues/0106-cve-scan-deckt-nur-die-haelfte-zielliste-ist-handgepflegt.md
+++ b/docs/issues/0106-cve-scan-deckt-nur-die-haelfte-zielliste-ist-handgepflegt.md
@@ -135,8 +135,16 @@ Die Runde lief in **~2 Minuten**, es kamen **39** Meldungen (geschätzt waren
 Bestand.** Die 127 zusätzlichen CRITICAL gehören zu **#0051**, das um das neue
 Mengengerüst ergänzt wurde.
 
-**Offen und ausdrücklich benannt:** Kriterium 5 (eine neue Fassung erscheint
-ohne Zutun) ist bis zum nächsten Release unbewiesen; ein gerade gestoppter
+**Kriterium 5 ist am selben Tag nachgewiesen worden.** Beim Authentik-Sprung
+(#0051) wanderte `ghcr.io/goauthentik/server` von `2026.2.3` auf `2026.8.0`
+und die mitgezogene Datenbank von `postgres:17.9-bookworm` auf `17.11`. Bei
+der nächsten stündlichen Herleitung standen **beide neuen Fassungen in der
+Soll-Menge und beide alten waren heraus** — ohne einen Handgriff. Der
+Übergangszustand war dabei genau der erwartete: `missing=2` (die neuen sind
+noch ungescannt, die Runde läuft alle 24 h) und `orphaned=2` (die alten
+Berichte liegen noch). Damit sind **alle sechs Abnahmekriterien erfüllt**.
+
+**Offen bleibt:** ein gerade gestoppter
 Dienst fehlt weiterhin still in der Soll-Menge (heute mit 0 beziffert).
 
 Entwurf mit allen fünf Gates: `docs/design/done/2026-08-21-cve-ziele-ableiten.md`.