diff --git a/docs/decisions/ADR-0003-verschluesselung-und-loeschung.md b/docs/decisions/ADR-0003-verschluesselung-und-loeschung.md
index a0c2f67..2791840 100644
--- a/docs/decisions/ADR-0003-verschluesselung-und-loeschung.md
+++ b/docs/decisions/ADR-0003-verschluesselung-und-loeschung.md
@@ -171,3 +171,62 @@ Flash-Speichern ist er langsam und gibt eine Sicherheit vor, die er nicht hat.
 verlegt die Entsperrung in den Startvorgang **vor** den Selbstprüflauf — womit ein Fehler dort das
 Gerät unrettbar macht, statt einen Rücksprung auszulösen. Der Rückweg ist mehr wert als die
 Verschlüsselung von Dateien, die auf jedem Gerät gleich sind.
+
+---
+
+## Nachtrag 02.09.2026 — kein Auslagerungsspeicher, und das ist eine Anforderung
+
+Beim Bau des Tresors als Pod ist eine Bedingung sichtbar geworden, die diese Entscheidung bisher
+nicht kannte und die genau ihr Schutzziel betrifft.
+
+**Der Tresor läuft mit abgeschaltetem Speicherfestnageln** (`disable_mlock`). In einem Behälter ist
+das praktisch unvermeidlich — das Festnageln verlangt ein Recht, das ein Pod im Regelfall nicht
+bekommt — und mit dem eingebauten Speicher auch vertretbar. **Es hat aber eine Bedingung:**
+
+> Ohne Festnageln darf der Arbeitsspeicher des Tresors **auf die Platte ausgelagert** werden. Das
+> ist genau der Speicher, in dem die **entschlüsselten** Zugangsdaten aller Zielsysteme des Kunden
+> stehen.
+
+**Damit entstünde eine zweite, unbewachte Kopie der Geheimnisse** — außerhalb des Tresors, außerhalb
+seiner Richtlinien, außerhalb der Prüfspur. Sie überlebt das Herunterfahren, und ihre Vernichtung
+wäre von keiner der Regeln oben erfasst.
+
+### Die Festlegung
+
+> **Ein Xinion-Gerät hat keinen Auslagerungsspeicher. Das Abbild legt keinen an, und die
+> Installation bietet ihn nicht an.**
+
+Das ist keine Empfehlung und kein Feinschliff, sondern die Bedingung, unter der der abgeschaltete
+Speicherfestnagel überhaupt vertretbar ist.
+
+### Warum es hierher gehört und nicht in die Nutzlast
+
+**Die Nutzlast kann es nicht durchsetzen.** Ein Pod bestimmt nicht, ob sein Wirt auslagert — das
+entscheidet die Geräteschicht, und zwar beim Bau des Abbilds. **Eine Anforderung, die nur die
+Nutzlast kennt, aber nur der Wirt erfüllen kann, ist genau die Art Lücke, die niemandem auffällt.**
+
+### Was es kostet, und warum der Preis gering ist
+
+**Ohne Auslagerung ist ein Speicherüberlauf ein harter Abbruch** statt einer Verlangsamung. Das
+klingt schlechter, als es ist: Ein Gerät, das wegen Auslagerung zäh wird, sieht wie ein
+Leistungsproblem aus und wird tagelang gesucht. **Ein abgebrochener Pod startet neu und steht im
+Protokoll.**
+
+Die Auslegung nach Baugrößen macht die Rechnung ohnehin nicht auf Auslagerung auf — die
+Speicherbudgets der Pods kommen aus der Konfiguration und sind zuzuteilen, nicht zu verdrängen.
+
+### Zwei Punkte, die daran hängen
+
+**Der Ruhezustand des Systems** (Suspend-to-Disk) schreibt denselben Speicher auf dieselbe Platte
+und ist damit aus demselben Grund ausgeschlossen. Er ist auf einem Rack-Gerät ohnehin sinnlos.
+
+**Ein Absturzabbild des Kerns** enthält ebenfalls Arbeitsspeicher. Ob und wohin eines geschrieben
+wird, ist **offen** und gehört mit derselben Überlegung entschieden — es berührt zugleich den Inhalt
+des Diagnosepakets aus `ADR-0007`.
+
+---
+
+*Nachgetragen 02.09.2026 · Anlass: `disable_mlock` im Tresor-Pod, aufgefallen bei der Durchsicht der
+Aufbauten in `XinionONE/infra` · **Die Wirkung ist nicht gemessen** — dass ein Gerät ohne
+Auslagerungsspeicher unter Last sauber abbricht statt zu verklemmen, gehört auf dem Prüfgerät
+gezeigt.*