diff --git a/.gitlab-ci.yml b/.gitlab-ci.yml
index 17b3918f..5e19c83d 100644
--- a/.gitlab-ci.yml
+++ b/.gitlab-ci.yml
@@ -67,6 +67,18 @@ publish_npm:
       @sorb:registry=https://rohana.axion1337.de/api/packages/sorb/npm/
       //rohana.axion1337.de/api/packages/sorb/npm/:_authToken=${GITEA_NPM_TOKEN}
       EOF
+    # Schutz gegen ein leeres Paket: am 2026-08-06 landete 0.19.2-threadnet.6 mit
+    # 12,5 KB statt 12,8 MB in der Registry - package.json und Lizenzen, kein dist/.
+    # Eine npm-Version laesst sich nicht ueberschreiben, die kaputte Nummer ist
+    # dauerhaft verbrannt. Lieber hier hart abbrechen als das nochmal zu erleben.
+    - |
+      N=$(find embedded/web/dist -type f 2>/dev/null | wc -l)
+      if [ "$N" -lt 50 ]; then
+        echo "embedded/web/dist enthaelt nur $N Dateien (erwartet: ~150)."
+        echo "build_embedded hat kein brauchbares Artefakt geliefert - Publish abgebrochen,"
+        echo "sonst verbrennt diese Versionsnummer mit einem leeren Paket."
+        exit 1
+      fi
     - cd embedded/web
     # --tag ist Pflicht, nicht Geschmack: unsere Versionen tragen den Suffix
     # -threadnet.N und gelten npm damit als Prerelease. Ohne expliziten dist-tag
diff --git a/embedded/web/package.json b/embedded/web/package.json
index 4ced571b..a89951a2 100644
--- a/embedded/web/package.json
+++ b/embedded/web/package.json
@@ -1,6 +1,6 @@
 {
   "name": "@sorb/threadnet-call-embedded",
-  "version": "0.19.2-threadnet.6",
+  "version": "0.19.2-threadnet.7",
   "files": [
     "README.md",
     "LICENSE-AGPL-3.0",