diff --git a/docs/issues/0008-cfgmon-03-prometheus-remote-write-und-loki.md b/docs/issues/0008-cfgmon-03-prometheus-remote-write-und-loki.md
index 28c9593..04e118e 100644
--- a/docs/issues/0008-cfgmon-03-prometheus-remote-write-und-loki.md
+++ b/docs/issues/0008-cfgmon-03-prometheus-remote-write-und-loki.md
@@ -45,3 +45,37 @@ sondern darum, dass der Ist-Zustand nicht bewusst hergestellt und nicht dokument
 was heute zufällig zu ist, kann bei der nächsten Änderung unbemerkt aufgehen. Zu klären
 bleibt: welche Regeln greifen tatsächlich, und trägt das den GAME-Push (#0002) nach dessen
 vSwitch-Umzug noch?
+
+## Wächter gebaut 2026-08-19 — der Ist-Zustand hat jetzt eine Instanz, die ihn hält
+
+Aus dem Befund vom 15.08. („zu, aber nicht bewusst hergestellt und nicht
+dokumentiert") folgt genau ein wirksamer Schritt, und er ist getan:
+`notfallhandbuch:pruefe-ports.sh` plus `ports-soll.md`, nach dem Muster von
+`pruefe-dns.sh`.
+
+**Gemessen, nicht abgeleitet** (2026-08-19, von sorbs Mac):
+
+| Host | offen | zu |
+|---|---|---|
+| Matrix `49.13.132.245` | 80, 443, 3478, 5349, 30001, 2248 | 22 |
+| CFGMON `188.245.193.243` | 80, 443 | **9090, 3100**, 22 |
+
+Das Skript prüft **beide Richtungen** — eine reine Erreichbarkeitsprüfung würde eine
+öffentlich stehende Telemetrie nie bemerken. Vor und nach jeder Firewall-Änderung
+laufen lassen; damit ist auch die Frage aus dem Issue beantwortbar, ob der GAME-Push
+(#0002) nach dem vSwitch-Umzug noch trägt: einmal vorher, einmal nachher.
+
+**Die Gegenprobe ist der Kern, nicht die Zierde.** In einem Netz, das ausgehende
+Verbindungen filtert, meldet jede Portprüfung „alles zu" — was wie ein perfektes
+Ergebnis aussieht. Beim Bau real passiert: Die erste Fassung nutzte `/dev/tcp`, das
+die zsh nicht kennt, und meldete **jeden** Port als geschlossen, 443 eingeschlossen.
+Das Skript bricht deshalb mit Exit 2 ab, wenn ein bekannt offener Port nicht antwortet.
+
+**UDP bleibt bewusst außen vor** (TURN 3478, SFU 30002): Ohne Antwort sind
+„gefiltert" und „offen, aber still" nicht zu trennen. Diese Strecken belegt nur ein
+echter Gruppen-Call.
+
+**Weiterhin offen — der Teil, der sorb braucht:** der gemeinsame Blick in die
+Hetzner-Console. Das Skript sagt, *was* von außen erreichbar ist; welche Regeln das
+bewirken und ob sie bewusst so stehen, sagt nur die Console. Erst danach ist das
+Issue erledigt.