diff --git a/hosts/cfgmon.md b/hosts/cfgmon.md
index a16a390..d87a9ff 100644
--- a/hosts/cfgmon.md
+++ b/hosts/cfgmon.md
@@ -57,9 +57,9 @@ anderer Hash; Autorschaft erhalten).
 
 **Erledigt (2026-08-01, autonom):**
 - Actions-Toggles deaktiviert: `ThreadNet-Web`, `threadnet-call`, `axion1337.chat-gitops`
-- `ThreadNet-Web`: alle `.github/workflows/`-Dateien entfernt (Commit `574c1bf`)
+- `ThreadNet-Web`: alle `.github/workflows/`-Dateien entfernt (Commit `a876758`)
 - gitops: Verifikations-Job nach GitLab portiert + `.gitea/workflows/` entfernt
-  (Commit `e58b8db`, Pipeline grün, Mirror→Gitea verifiziert; `milestone-release.yml`
+  (Commit `5e46a24`, Pipeline grün, Mirror→Gitea verifiziert; `milestone-release.yml`
   war toter Code, siehe #33). Flux unberührt.
 - `thread-net-git`: Runner-Service/Config/`.env.example` per Commit `d904734` entfernt
   (auf git.lab; Mirror trägt nach Gitea) — **noch nicht deployt**, siehe unten.
diff --git a/hosts/matrix.md b/hosts/matrix.md
index 7c9534e..15d668e 100644
--- a/hosts/matrix.md
+++ b/hosts/matrix.md
@@ -46,7 +46,7 @@ auf den gesunden systemd-Exporter zeigte; seit der Endpoint dauerhaft NotReady w
 setzte kube-proxy `no endpoints → REJECT`. ufw-Regeln seit April unverändert — kein
 Firewall-Drift; extern war 9100 nie freigegeben (und soll es nicht sein).
 
-**Fix (gitops `93ee6a3`, Weg A aus gitops#45):** HelmRelease + Alloy-Scrape entfernt,
+**Fix (gitops `228807f`, Weg A aus gitops#45):** HelmRelease + Alloy-Scrape entfernt,
 Flux hat gepruned — DaemonSet/Service/Pod sind weg, Host-Metriken kommen unverändert
 vom systemd-Exporter. Volle Diagnose:
 [gitops#45](https://rohana.axion1337.de/sorb/axion1337.chat-gitops/issues/45).
diff --git a/roadmap.md b/roadmap.md
index 34c583c..a3dcff8 100644
--- a/roadmap.md
+++ b/roadmap.md
@@ -51,7 +51,7 @@
 
 1. **Rebrand fortsetzen** — Desktop-Client heißt seit 2026-08-02 **ThreadNet** und
    trägt die eigene Marke ([ThreadNet-Web#10](https://git.lab/axion1337.chat/ThreadNet-Web/-/issues/10),
-   Commit `c8d4587`). Offen: Web-Client-Icons/`brand`, About-Attribution.
+   Commit `6b0261d`). Offen: Web-Client-Icons/`brand`, About-Attribution.
 2. Signing/Notarisierung (ThreadNet-Web#6) — ohne Signatur muss jeder Nutzer auf
    macOS die Quarantäne von Hand lösen und Windows zeigt SmartScreen.
 3. **macOS reproduzierbar bauen** — [BUILD-01 (#22)](https://git.lab/axion1337.chat/management/-/issues/22):
diff --git a/shared/branding.md b/shared/branding.md
index 0bbfc8b..e9e68f6 100644
--- a/shared/branding.md
+++ b/shared/branding.md
@@ -84,7 +84,7 @@ also berechtigt und ließ sich an der Originalquelle belegen.
 
 Quelle ist Anthropics [theme-factory-Skill](https://github.com/anthropics/skills/tree/main/skills/theme-factory):
 je Theme vier Farben plus ein Schriftpaar. Sie sind seit 2026-08-02 **wörtlich
-übernommen** (gitops `8a9d778`), nachdem eine erste Fassung die Namen frei
+übernommen** (gitops `b10b607`), nachdem eine erste Fassung die Namen frei
 interpretiert hatte.
 
 | Theme | Hintergrund | hell/dunkel | Akzent · Sekundär · Highlight |
diff --git a/verfahren/aar/2026-08-02-wiki-und-desktop-clients.md b/verfahren/aar/2026-08-02-wiki-und-desktop-clients.md
index 97e14fd..dc191a9 100644
--- a/verfahren/aar/2026-08-02-wiki-und-desktop-clients.md
+++ b/verfahren/aar/2026-08-02-wiki-und-desktop-clients.md
@@ -24,7 +24,7 @@
 | 3 | **`/favicon.ico` lieferte HTTP 200 mit `text/html`** — die nginx-`try_files`-Kette gab die 404-Seite mit Erfolgsstatus aus. Safari hielt das Icon für vorhanden und zeigte den Buchstaben-Fallback | MEDIUM | gelöst: Datei im Wurzelverzeichnis + `try_files $uri =404` für Assets |
 | 4 | **CI-Job-Container kennt die Lab-CA nicht** (`unable to get local issuer certificate`); der erste Fix als globale CI-Variable brach den Checkout des eigenen Repos | MEDIUM | gelöst: CA im Repo, `GIT_SSL_CAINFO` **im Sync-Skript** |
 | 5 | **Icons wurden nie vergrößert**: `PIL.thumbnail()` skaliert ausschließlich nach unten, das 277-px-Motiv blieb in 1024er-Icons eine Briefmarke (54 % × 38 % Füllung) | MEDIUM | gelöst mit `resize()` aus dem Original: 81 % |
-| 6 | **Nur macOS bekam neue Icons** — Windows (`.ico`) und Web (`res/vector-icons/`, `manifest.json`) blieben auf Element | MEDIUM | gelöst, `cc3f860` |
+| 6 | **Nur macOS bekam neue Icons** — Windows (`.ico`) und Web (`res/vector-icons/`, `manifest.json`) blieben auf Element | MEDIUM | gelöst, `c51b681` |
 | 7 | **BookStack-Stack hatte fünf Fehler**: nicht existierende Image-Tags, `healthcheck.sh` gibt es im LinuxServer-Image nicht, `APP_KEY` < 32 Byte → stilles HTTP 500, Theme-Mount auf ein Verzeichnis das nicht existiert, Healthcheck auf ungeprüftem Pfad | MEDIUM | alle gelöst; drei davon erst durch sorbs Deploy sichtbar |
 | 8 | **Windows-Build-VM war weg** (`No such container`) — der CI-Job kann sie nur starten, nicht anlegen | MEDIUM | umgangen (manueller Neustart), Optionen in #21 |
 | 9 | **macOS-Build braucht Xcode** für das DMG (`actool`) und Rust für die nativen Module | MEDIUM | umgangen (electron-builder 25 fürs ZIP, `hdiutil` fürs DMG), dauerhaft offen in #22 |
@@ -144,7 +144,7 @@ Vorlagen ist die **Quelle** zu prüfen, bevor etwas daraus abgeleitet wird.
 Sunset-Boulevard-Palette sind bis auf zwei Ziffern identisch (`#e76e51`/`#e76f51`,
 `#f3a261`/`#f4a261`) — unabhängig voneinander auf demselben Coolors-Satz gelandet.
 
-**Korrigiert:** gitops `8a9d778` (Web, live verifiziert) · ThreadNet-Web `55e1a09`
+**Korrigiert:** gitops `b10b607` (Web, live verifiziert) · ThreadNet-Web `80fcf6c`
 (Desktop-Config). Das BookStack-CSS lag bereits richtig.
 ⚠️ **Die released Desktop-Binaries tragen weiter die alten Farben** — die Themes
 stecken in `resources/webapp.asar`. Abgestimmt so belassen; der nächste reguläre
diff --git a/vision/threadnet.md b/vision/threadnet.md
index c9f584d..9a4b2a0 100644
--- a/vision/threadnet.md
+++ b/vision/threadnet.md
@@ -30,7 +30,7 @@ zahlt sich nur öffentlich aus. Bliebe alles privat, würde dauerhaft für einen
 gebaut, den es nicht gibt — dann hätte das Prinzip gestrichen gehört.
 
 ⚠️ **Der Audit ist Bedingung, nicht Formsache.** In der Historie des gitops-Repos
-steht Commit `0242238` — *„remove plaintext TURN shared secret, rotate leaked
+steht Commit `51ea513` — *„remove plaintext TURN shared secret, rotate leaked
 value"*. Der Wert ist rotiert und damit wertlos, aber er steht weiterhin in der
 Historie, und er ist vermutlich nicht der einzige Fund. Vor dem Umschalten auf
 public: Historie aller zu veröffentlichenden Repos auf Klartext-Geheimnisse prüfen
@@ -41,6 +41,6 @@ und entscheiden, ob bereinigt (History-Rewrite) oder bewusst akzeptiert wird.
 **Wird in M4 zu Ende gebracht** (entschieden 2026-08-06), ohne eigenen Termin.
 
 Begründung: Halbfertig ist der schlechteste Zustand — der Desktop-Client heißt
-seit `c8d4587` ThreadNet und trägt die eigene Marke, der Web-Client zeigt weiter
+seit `6b0261d` ThreadNet und trägt die eigene Marke, der Web-Client zeigt weiter
 Element. Der Rest gehört zusammen mit Signing und Installer-Branding in
 „Produktreife ThreadNet" (ThreadNet-Web#6, #7, #10).