diff --git a/docs/issues/0099-threadnet-web-12-upstream-sicherheitsfixes-lassen-sich-nicht-m.md b/docs/issues/0099-threadnet-web-12-upstream-sicherheitsfixes-lassen-sich-nicht-m.md
index 0b1f101..62874d9 100644
--- a/docs/issues/0099-threadnet-web-12-upstream-sicherheitsfixes-lassen-sich-nicht-m.md
+++ b/docs/issues/0099-threadnet-web-12-upstream-sicherheitsfixes-lassen-sich-nicht-m.md
@@ -35,3 +35,49 @@ Das ergibt eine unangenehme Kette mit gitops#22 (Advisory-Monitoring): Wir würd
 Zusammenhang: gitops#22 (Advisory-Monitoring) ist die Erkennung, dieses Issue die Reaktionsfähigkeit. Das eine nützt wenig ohne das andere.
 
 *Gefunden am 2026-08-06 beim Vermessen der Merge-Reibung (Arbeitspaket 3 aus #7).*
+
+## Schritt 1 beantwortet 2026-08-19 — es ist keine Vorsorge mehr
+
+Das Issue verlangt ausdrücklich „zuerst messen, nicht bauen". Gemessen:
+
+**Wir sind neun Veröffentlichungen zurück.** Import war Element Web **1.12.17**
+(2026-05-10); Upstream steht bei **v1.12.26** (2026-08-18).
+
+**Und es gibt eine offene Sicherheitsmeldung, die uns betrifft:**
+
+| | |
+|---|---|
+| Advisory | `GHSA-wrcp-5v3v-3j6v` |
+| veröffentlicht | **2026-07-20** (vier Wochen offen) |
+| Einstufung | medium |
+| Inhalt | Ein bösartiger Homeserver kann über die Startseite HTML in Element Web einschleusen |
+| betroffen | **< v1.12.22** — wir laufen 1.12.17 |
+
+Die übrigen fünf Advisories im Projekt betreffen ältere Stände (≤ 1.11.x) und damit
+nicht uns.
+
+### Einordnung — real, aber schmal
+
+Der Angriff setzt voraus, dass der Client auf einen **bösartigen Homeserver** zeigt.
+Unsere Nutzer verwenden ihn gegen den eigenen Server, und Föderation ist seit
+[ADR-0021](../adr/0021-foederation-geschlossen.md) geschlossen.
+
+**Aber die Voraussetzung ist erreichbar:** `disable_custom_urls` ist in
+`element-values.yaml` **nicht gesetzt**, Element erlaubt damit standardmäßig die
+Eingabe eines beliebigen Homeservers — und die Desktop-Builds werden verteilt. Wer
+sich mit unserem Client woanders anmeldet, ist ungeschützt.
+
+### Was daraus folgt
+
+Die Antwort auf „dringend oder Vorsorge" lautet: **weder Panik noch Vorsorge, sondern
+überfällig.** Ein Fork ohne Merge-Weg hat vier Wochen gebraucht, um eine bekannte
+Lücke *nicht* zu schließen — genau die Zeitspanne, die dieses Issue als das
+eigentliche Problem benennt.
+
+**Sofort möglich, unabhängig vom Merge-Problem:** `disable_custom_urls: true` setzen.
+Das nimmt dem Advisory für unsere Nutzer die Voraussetzung, kostet eine Zeile und
+berührt die Fork-Frage nicht. Ob fremde Homeserver überhaupt erlaubt sein sollen, ist
+ohnehin eine eigene Entscheidung — bei geschlossener Föderation liegt „nein" nahe.
+
+Schritte 2–4 (Upstream als Remote, Graft-Versuch, Patch-Auftragsverfahren) bleiben
+offen; sie sind der eigentliche Umfang dieses Issues.