diff --git a/monitoring/docker-compose.yml b/monitoring/docker-compose.yml
index 59fc8bd..af920c1 100644
--- a/monitoring/docker-compose.yml
+++ b/monitoring/docker-compose.yml
@@ -156,7 +156,8 @@ services:
       - traefik
 
   loki:
-    image: grafana/loki:3.7.1
+    # 3.7.1 -> 3.7.6, gemessen: 41 HIGH -> 8, keine CRITICAL in beiden.
+    image: grafana/loki:3.7.6
     container_name: loki
     restart: unless-stopped
     volumes:
@@ -173,7 +174,9 @@ services:
       - traefik
 
   alloy:
-    image: grafana/alloy:v1.16.0
+    # v1.16.0 -> v1.18.1, gemessen: 44 HIGH -> 14. v1.19.0 gibt es nur als
+    # Vorabfassung; im Cluster laeuft alloy aus dem Chart, nicht von hier.
+    image: grafana/alloy:v1.18.1
     container_name: alloy
     restart: unless-stopped
     volumes:
@@ -196,7 +199,16 @@ services:
       - loki
 
   grafana:
-    image: grafana/grafana:12.4.9
+    # ⚠️ NICHT auf die 12er-Reihe zurueckdrehen, weil Trivy hier mehr HIGH
+    # meldet als dort. Ab 13.x liegen 13 Datenquellen-Plugins IM Image (12.4.9
+    # hatte keine): 5 Scan-Ziele werden 16, und alle 162 HIGH sitzen in diesen
+    # Plugin-Binaries - opentsdb, jaeger, stackdriver, tempo, cloudmonitoring,
+    # also Datenquellen, die wir nicht benutzen. 135 davon sind ein und
+    # dieselbe Go-stdlib, wiederholt ueber Binaries mit alter Toolchain.
+    # Der KERN von 13.2.0 traegt 0 CRITICAL und 0 HIGH; 12.4.9 trug dort 1
+    # und 3. Die groessere Zahl gehoert zum groesseren Image, nicht zur
+    # schlechteren Fassung.
+    image: grafana/grafana:13.2.0
     container_name: grafana
     restart: unless-stopped
     environment: