diff --git a/tools/waechter.ps1 b/tools/waechter.ps1
index e6bbc39..e444e0f 100644
--- a/tools/waechter.ps1
+++ b/tools/waechter.ps1
@@ -57,6 +57,23 @@ $HEIKEL = @{
     6379  = 'Redis'
     27017 = 'MongoDB'
     47001 = 'WinRM-Listener'
+    # VERWALTUNGSZUGAENGE VON SPIELESERVERN. Sie sehen harmloser aus als sie
+    # sind, weil ein Spieleserver ja erreichbar sein SOLL -- aber über diese
+    # Ports verwaltet man ihn komplett, nicht spielt man auf ihm.
+    #
+    # Am 14.08.2026 gemessen: auf dieser Maschine lauschte 10011 auf allen
+    # Adressen (ts3server.exe aus C:\Server\TS3, läuft seit dem 09.07.2026),
+    # und eine handangelegte Regel "TS3_10011 (TCP)" ließ beliebige
+    # Gegenstellen in allen Profilen herein. Der Wächter schwieg, weil der Port
+    # beim Übernehmen des Standes schon dastand -- genau der Fall, für den es
+    # diese Liste gibt ("Port 3000 war auch schon immer so").
+    #
+    # Im Panel (d4rk_gameserver) ist derselbe Port deshalb ausdrücklich an
+    # 127.0.0.1 gebunden und bekommt KEINE Firewallregel.
+    10011 = 'TeamSpeak ServerQuery (Vollzugriff auf den Server)'
+    25575 = 'Minecraft RCON (Fernsteuerung der Konsole)'
+    28016 = 'Rust RCON (Fernsteuerung der Konsole)'
+    8212  = 'Palworld REST-API (Verwaltung, inkl. Kick und Bann)'
 }
 
 # Was nachgerechnet wird. Änderungen daran sind entweder deine -- dann