diff --git a/docs/design/2026-08-21-cve-remediation.md b/docs/design/2026-08-21-cve-remediation.md
index 1cb9bf4..4e60eca 100644
--- a/docs/design/2026-08-21-cve-remediation.md
+++ b/docs/design/2026-08-21-cve-remediation.md
@@ -664,3 +664,47 @@ wie die echte Datei, mit **anderem** Inhalt und nur 8,8 KB statt 30,7 KB. Sie
 steht **nicht** im Kustomize-Bauplan und ist damit heute wirkungslos — aber wer
 sie je aufnimmt oder umbenennt, ersetzt die Element-Konfiguration stillschweigend
 durch einen älteren, kleineren Stand. Nicht angefasst; gehört sorb.
+
+#### Der Plan für den ESS-Schritt
+
+**Vorbedingungen, beide erfüllt:**
+
+- **Anwendungssicherung frisch von Hand**: `synapse-backup-vor-ess-268-…T19:22:43`,
+  2,36 GB — deckt die Synapse- **und** die MAS-Datenbank sowie die Medien ab. Die
+  nächtliche war von 01:00; seitdem sind Nachrichten und Sitzungen entstanden.
+- **Host-Snapshot durch sorb** (zusätzlich zur Anwendungssicherung).
+
+**Keine Entschärfung nötig.** `matrix-stack` hat **gar keine** `remediation`
+gesetzt, Flux' Vorgabe ist `retries: 0` ohne selbsttätiges Zurückrollen — anders
+als bei Authentik, wo `retries: 3` erst zu entwaffnen war.
+
+**Der Schritt:** eine Zeile, `apps/production/element-server-suite.yaml` Z. 15,
+`26.4.0` → `26.8.0`. **Nicht 26.8.1** — die ist vom selben Tag.
+
+**Abnahmeliste. Die letzten beiden Zeilen entscheiden, alles davor ist Vorlauf:**
+
+| # | Prüfung | Erwartet |
+|---|---|---|
+| 1 | Synapse-Schema-Migrationen im Protokoll | durchgelaufen, kein Abbruch |
+| 2 | Pods bereit, Fassungen | `synapse:v1.158.0`, `mas:1.22.0`, `element-admin:0.1.12`, `lk-jwt:0.4.4`, SFU `v1.12.0` |
+| 3 | `threadnet-web` unverändert | weiterhin `v0.6.0` — die Überschreibung darf nicht verloren gehen |
+| 4 | Föderation weiter geschlossen | `federation_domain_whitelist` im Secret vorhanden |
+| 5 | Anmeldung durch die Kette | Element → MAS → Authentik, serverseitig belegt |
+| 6 | Eine Nachricht senden und empfangen | im Ereignisprotokoll belegt |
+| 7 | ⚠️ **Ein echter Call mit aktiver Rauschunterdrückung** | unser Call-Fork gegen **LiveKit v1.12.0** statt v1.10.0 |
+| 8 | ⚠️ **Ein Upload, den ClamAV abweist** | das Synapse-Modul unter **v1.158** in Funktion, nicht nur API-verträglich |
+
+⚠️ **Zeile 7 und 8 sind die einzigen, die etwas Neues beweisen.** Die
+API-Verträglichkeit des ClamAV-Moduls ist gemessen, seine Funktion nicht; die
+Verträglichkeit unseres Call-Forks mit dem neuen SFU ist **weder** gemessen noch
+dokumentiert.
+
+⚠️ **Ein Zwischenstand ist auch hier kein Ergebnis** — zum dritten Mal heute.
+Synapse fährt nach einem Sieben-Minor-Sprung **Hintergrund-Aktualisierungen**,
+die Stunden laufen können. Ein Pod, der bereit ist, während im Protokoll noch
+`background updates` stehen, ist normal und kein Fehlschlag.
+
+**Rückweg:** `git revert` der Fassungszeile **plus** Anstoßen der Quelle. Sind
+die Schema-Migrationen gelaufen, zusätzlich die Datenbank aus der Sicherung von
+19:22 — dann gehen Nachrichten und Sitzungen seit diesem Zeitpunkt verloren, die
+Konten nicht.