diff --git a/vision/axion1337-chat.md b/vision/axion1337-chat.md
index b2ba952..4e23672 100644
--- a/vision/axion1337-chat.md
+++ b/vision/axion1337-chat.md
@@ -1,7 +1,7 @@
 # Vision: aXion1337.chat — die Community
 
-> **Entwurf** (2026-08-01, aus bisherigen Entscheidungen destilliert) — wird im
-> ersten gemeinsamen Refinement geschärft. Leitplanke von sorb:
+> **Getragene Fassung** — geschärft im Struktur-Workshop am 2026-08-06 (#17).
+> Leitplanke von sorb:
 > **„axion1337.chat ist die Community, ThreadNet ist das Tool."**
 
 ## Kern
@@ -18,7 +18,21 @@ eigenen Regeln — unabhängig von Discord & Co.
 - Community-Funktionen über Chat hinaus: Raidplaner mit Fotoalbum (HumHub-Kandidat)
 - Sicherheit als Feature: ClamAV beidseitig, CVE-Transparenz im Security-Raum
 
-## Offene Vision-Fragen
+## Zielgruppe und Größe
 
-- Zielgruppe/Größe: geschlossener Kreis oder wachsende Community?
-- Verhältnis zu ThreadNet-Branding (→ vertagte Rebranding-Runde)
+**Kontrolliert wachsend** (entschieden 2026-08-06). Offen für Neue, aber **jeder
+Eintritt wird freigegeben** — genau das, was der Invite-Workflow mit `@concierge`
+und befristeten Gast-Accounts baut. Wachstum ist erwünscht, aber gedeckelt durch
+das, was eine Person moderieren kann; der Ein-Node-Stack setzt denselben Rahmen.
+
+Verworfen: **geschlossener Kreis** (dann wäre der Invite-Workflow überdimensioniert)
+und **offene Registrierung** (verlangt Moderationsteam und Kapazität, die es nicht
+gibt).
+
+Was daraus folgt: Der Invite-Workflow ist kein Nice-to-have, sondern das Mittel,
+mit dem diese Entscheidung durchgesetzt wird. Freie Registrierung bleibt aus.
+
+## Verhältnis zum ThreadNet-Branding
+
+Nicht mehr offen: Das Rebranding wird in **M4 zu Ende gebracht**, nicht separat
+terminiert — siehe [`threadnet.md`](threadnet.md).
diff --git a/vision/homelab.md b/vision/homelab.md
index fdb04da..16ce464 100644
--- a/vision/homelab.md
+++ b/vision/homelab.md
@@ -1,6 +1,6 @@
 # Vision: Homelab — die Plattform
 
-> **Entwurf** (2026-08-01) — wird im ersten Refinement geschärft.
+> **Getragene Fassung** — geschärft im Struktur-Workshop am 2026-08-06 (#17).
 
 ## Kern
 
@@ -18,6 +18,18 @@ Verwaltung — alles, was nicht öffentlich erreichbar sein muss, lebt hier
 - Bestand wird dokumentiert, wo er lebt: [homelab/docs](https://git.lab/homelab/docs)
   für Netz/Geräte, Betriebs-Repos je Host.
 
-## Offene Vision-Fragen
+## Ausbaustufen
 
-- Ausbaustufen (weitere Hosts/Dienste im Lab?) — bisher nicht diskutiert.
+**Konsolidieren vor Ausbauen** (entschieden 2026-08-06). Kein neuer Dienst und
+kein weiterer Host, solange die Absicherung des Bestehenden nicht steht.
+
+Der Maßstab ist nicht „läuft es", sondern „überlebt es den Verlust der Maschine,
+auf der es läuft". Ein Lab, das Quelle der Wahrheit ist, hat diese Frage zuerst zu
+beantworten — jeder zusätzliche Dienst vergrößert sonst die Angriffsfläche
+schneller als die Kontrolle.
+
+**Nachtrag sorb (2026-08-06):** Die Git-Daten werden bereits in einen S3-Bucket
+auf sein NAS gesichert. Das entschärft den ursprünglichen Befund aus
+[#10](https://git.lab/axion1337.chat/management/-/issues/10) — offen bleibt
+jedoch, was diese Sicherung **nicht** umfasst (Registry-Blobs, npm-Pakete,
+Gitea-Datenbank). Siehe dort.
diff --git a/vision/threadnet.md b/vision/threadnet.md
index 21165eb..c9f584d 100644
--- a/vision/threadnet.md
+++ b/vision/threadnet.md
@@ -1,6 +1,6 @@
 # Vision: ThreadNet — das Tool
 
-> **Entwurf** (2026-08-01) — wird im ersten Refinement geschärft.
+> **Getragene Fassung** — geschärft im Struktur-Workshop am 2026-08-06 (#17).
 > Leitplanke: ThreadNet ist die Produkt-/Tool-Linie, axion1337.chat der Betrieb.
 
 ## Kern
@@ -19,8 +19,28 @@ threadnet-operating.
   chirurgische Patches statt Umbauten.
 - CI beweist Releases: Tag → Pipeline → Artefakt, keine Handbuilds.
 
-## Offene Vision-Fragen
+## Veröffentlichungsgrad
 
-- Rebranding (Element-Namen in Installer/Client vs. ThreadNet-Identität) —
-  bewusst vertagt, Issue ThreadNet-Web#6 hält den Installer-Teil.
-- Veröffentlichungsgrad: bleiben die Forks privat oder irgendwann public?
+**Die Forks werden öffentlich** (entschieden 2026-08-06) — aber erst nach einem
+**History-Audit**, und in dieser Reihenfolge: zuerst gitops und Doku, die Clients
+später.
+
+Der Grund für die Entscheidung steckt im Prinzip oben: „reproduzierbar für Dritte"
+zahlt sich nur öffentlich aus. Bliebe alles privat, würde dauerhaft für einen Zweck
+gebaut, den es nicht gibt — dann hätte das Prinzip gestrichen gehört.
+
+⚠️ **Der Audit ist Bedingung, nicht Formsache.** In der Historie des gitops-Repos
+steht Commit `0242238` — *„remove plaintext TURN shared secret, rotate leaked
+value"*. Der Wert ist rotiert und damit wertlos, aber er steht weiterhin in der
+Historie, und er ist vermutlich nicht der einzige Fund. Vor dem Umschalten auf
+public: Historie aller zu veröffentlichenden Repos auf Klartext-Geheimnisse prüfen
+und entscheiden, ob bereinigt (History-Rewrite) oder bewusst akzeptiert wird.
+
+## Rebranding
+
+**Wird in M4 zu Ende gebracht** (entschieden 2026-08-06), ohne eigenen Termin.
+
+Begründung: Halbfertig ist der schlechteste Zustand — der Desktop-Client heißt
+seit `c8d4587` ThreadNet und trägt die eigene Marke, der Web-Client zeigt weiter
+Element. Der Rest gehört zusammen mit Signing und Installer-Branding in
+„Produktreife ThreadNet" (ThreadNet-Web#6, #7, #10).