diff --git a/docs/vorfall-2026-08-12-gitea.md b/docs/vorfall-2026-08-12-gitea.md
index 930c86d..24d82b7 100644
--- a/docs/vorfall-2026-08-12-gitea.md
+++ b/docs/vorfall-2026-08-12-gitea.md
@@ -111,7 +111,7 @@ Repos gegen die lokalen Klone: identisch
   Nicht weil ein Diebstahl belegt ist, sondern weil er nicht ausgeschlossen
   werden kann.
 - **Admin-Passwort ändern.**
-- **RDP eingrenzen** — siehe unten.
+- ~~RDP eingrenzen~~ — erledigt, siehe unten.
 - **Beweise** liegen unter `C:\backup\vorfall-2026-08-12\`: die vergiftete
   `.gitconfig`, die ursprüngliche `app.ini`, das vollständige Gitea-Log
   (24 MB) und die alte Compose-Datei.
@@ -126,3 +126,45 @@ Und: aufgefallen ist es nicht, weil etwas überwacht wurde, sondern weil der
 Angreifer geschludert hat. **Hätte er sein `\n` richtig gesetzt, liefe der
 Miner noch** — und die einzige Spur wäre eine erhöhte CPU-Last gewesen, die
 niemandem auffällt.
+
+---
+
+## Nachtrag 13.08.2026: RDP ist zu, der Zugang laeuft ueber einen Tunnel
+
+`sshd` nimmt seit 00:2x **nur noch Schluessel** an — `PasswordAuthentication no`
+*und* `KbdInteractiveAuthentication no`, denn unter Windows laeuft die
+Passwortabfrage sonst ueber den zweiten Weg weiter. Die Zeilen stehen **vor**
+dem ersten `Match`-Block; weiter unten waeren sie stillschweigend wirkungslos
+gewesen.
+
+```
+Darkster@127.0.0.1: Permission denied (publickey).
+```
+
+RDP ist per Firewall gesperrt (TCP und UDP, alle Profile). Der Zugang geht
+durch einen SSH-Tunnel; `tools/tunnel-einrichten.ps1` richtet ihn auf dem
+Heimrechner als Hintergrundaufgabe ein — ohne Fenster, mit Neuaufbau bei
+Abbruch. **Was niemand durchhaelt, wird umgangen, und am Ende steht wieder ein
+offener Port.**
+
+Beides gemessen, und zwar von der richtigen Seite:
+
+```
+auf dem Server    127.0.0.1:3389  erreichbar     (der Tunnel traegt)
+                  ::1  Typ 7, Darkster           (RDP kam durch)
+
+vom Heimrechner   Test-NetConnection 88.218.224.10 -Port 3389
+                  TcpTestSucceeded : False       (von aussen zu)
+```
+
+Die Messung vom Server aus taugte dafuer **nicht** — Verkehr an die eigene
+oeffentliche Adresse durchlaeuft die Eingangsregeln nicht und meldete
+faelschlich "erreichbar". Zweimal in dieser Nacht in dieselbe Falle getappt,
+einmal bei Port 3000 und einmal bei 3389.
+
+Seitdem laufen die Angriffe ins Leere:
+
+```
+00:53:12  Connection closed by invalid user root 31.77.227.120 [preauth]
+alle 12 erfolgreichen Anmeldungen: eine IP, die des Betreibers
+```