diff --git a/runner/DEPLOY.md b/runner/DEPLOY.md
index a5708cd..bc882c1 100644
--- a/runner/DEPLOY.md
+++ b/runner/DEPLOY.md
@@ -1,5 +1,14 @@
 # Preview-Runner: Livegang-Anleitung (R18)
 
+> **Umgesetzt am 2026-10-01 (L1), abweichend von diesem Vorschlag:** Der Runner laeuft wie das Portal
+> als `node:20-alpine` mit schreibgeschuetzt eingehaengtem `build/runner` (`/runner:ro`,
+> `command: apk add docker-cli git && node src/index.js`) statt eines gebauten Images; `deploy.sh`
+> macht bei Aenderungen in `runner/` und leerer Warteschlange nur `docker restart webklar-preview-runner`
+> (Status-Abfrage ueber die Nicht-Sandbox-Adresse, nicht 127.0.0.1). Git-Zugang: `GITEA_DEPLOY_TOKEN`
+> (nur lesen). Firewall: `/usr/local/sbin/preview-sandbox-firewall.sh` + systemd-Dienst
+> `preview-sandbox-firewall.service` (Bridge-Name fest `br-preview`), Einzelregeln statt der
+> fehlerhaften kombinierten Zeile unten. Massgeblich ist die echte Konfiguration auf dem Server.
+
 Stand: Vorschlag aus der Abschluss-Prüfung. Nichts davon ist im Repo umgesetzt, `deploy.sh`
 (`/home/webklar/apps/kundenbereich.webklar.com/deploy.sh`) liegt außerhalb des Repos und wird hier
 nur als Vorschlag beschrieben. Reihenfolge laut Spezifikation: L1 (Netz, Geheimnisse, Compose,