diff --git a/docs/decisions/ADR-0003-verschluesselung-und-loeschung.md b/docs/decisions/ADR-0003-verschluesselung-und-loeschung.md
new file mode 100644
index 0000000..f84b6f2
--- /dev/null
+++ b/docs/decisions/ADR-0003-verschluesselung-und-loeschung.md
@@ -0,0 +1,113 @@
+# ADR-0003 — Der Bestandsbereich ist verschlüsselt, gelöscht wird über den Schlüssel
+
+**Stand:** Angenommen, 20.08.2026 · **Entscheidet:** CIO Thomas Reitz
+**Bezug:** `ADR-0002` (Startverfahren), Bedienkonzept §4 · **Betrifft:** Ersteinrichtung,
+Konsolenmenü, Fassungswechsel, Außerbetriebnahme
+
+---
+
+## Worum es geht
+
+Ein Gerät steht beim Kunden im Serverraum. Wer bis dorthin kommt, ist freigegeben — der Raum ist
+die Zugangskontrolle, und so arbeitet jedes Netzwerkgerät. Die Annahme trägt aber genau so lange,
+wie das Gerät im Haus des Kunden bleibt.
+
+**Sie trägt nicht mehr, wenn ein Laufwerk das Haus verlässt:** bei Reparatur, bei Austausch, bei
+Rückgabe am Vertragsende, bei Entsorgung. Dann entscheidet nicht mehr das Türschloss, sondern
+allein das, was auf dem Datenträger steht.
+
+Die Frage lautet deshalb: **Was gibt ein Laufwerk her, das aus dem Gerät ausgebaut wird?**
+
+## Die Entscheidung
+
+**Der Bestandsbereich wird bei der Einrichtung verschlüsselt. Ohne Ausnahme und ohne Schalter.**
+
+Er trägt alles, was dem Kunden gehört — Zustandsdatenbank, Wissensspeicher, Vektorindex, Tresor,
+Protokolle. Genau deshalb ist er auch der richtige und einzige Ort dafür: Die Regel „alles
+Dauerhafte gehört in den Bestand" macht die Verschlüsselung **eines** Bereichs ausreichend.
+
+**Die Wurzeln werden nicht verschlüsselt, sondern auf Unversehrtheit geprüft.**
+
+Das ist kein Sparen, sondern eine andere Frage. In den Wurzeln steht unsere ausgelieferte Software
+— sie ist auf jedem Gerät dieselbe und damit kein Geheimnis. **Vertraulichkeit ist dort kein Thema,
+Unversehrtheit sehr wohl:** Wer den Datenträger in der Hand hat, könnte die Wurzel verändern und
+das Gerät startete sie. Dagegen hilft keine Verschlüsselung, sondern eine Prüfung beim Start.
+
+Das passt zudem zum A/B-Verfahren: Eine nur lesbare, geprüfte Wurzel ist ohnehin das, was der
+Fassungswechsel voraussetzt.
+
+## Sichere Löschung heißt Schlüsselvernichtung
+
+**Auf Flash-Speichern ist Überschreiben nicht verlässlich.** Die Verschleißverteilung des Laufwerks
+schreibt an eine andere Stelle, als der Befehl meint; überschriebene Blöcke können physisch
+erhalten bleiben. Ein Löschlauf, der stundenlang Nullen schreibt, erzeugt vor allem ein gutes
+Gefühl.
+
+**Ist der Bereich verschlüsselt, ist die Löschung die Vernichtung des Schlüssels.** Das dauert
+Sekunden, ist vollständig und lässt sich belegen. Der Rest ist Rauschen.
+
+> Deshalb hängen die beiden Festlegungen zusammen: **Ohne Verschlüsselung gibt es keine verlässliche
+> Löschung.** Wer B will, muss A haben.
+
+Drei Stufen, weil drei verschiedene Absichten dahinterstehen:
+
+| Stufe | Was geschieht | Wofür |
+|---|---|---|
+| **Einstellungen zurücksetzen** | Netz, Kennwörter, Zertifikate, Einrichtungszustand. Der Bestand bleibt | Ausgesperrt, falsch eingerichtet |
+| **Sichere Datenlöschung** | Der Schlüssel wird vernichtet. Der Bestand ist damit unwiederbringlich | Weitergabe, Rückgabe, Vertragsende |
+| **Datenträger bereinigen** | Zusätzlich der Löschbefehl des Laufwerks selbst | Entsorgung, Reparatur außer Haus |
+
+Die zweite und dritte Stufe erzeugen einen **Löschnachweis** auf USB: Gerätekennung, Seriennummer
+des Laufwerks, angewandtes Verfahren, Zeitpunkt, Ergebnis. Das ist kein Beiwerk — bei einem
+Produkt, dessen Verkaufsargument der Nachweis ist, wäre eine Löschung ohne Beleg ein Widerspruch in
+sich. Und es ist genau das, was ein Kunde am Vertragsende verlangt.
+
+## Der Schlüssel muss ohne Menschen verfügbar sein — und das ist die harte Stelle
+
+Ein Gerät im Serverraum muss nach einem Stromausfall von allein hochkommen. Niemand tippt um drei
+Uhr nachts eine Passphrase. Der Schlüssel bindet deshalb an den **Sicherheitsbaustein der
+Hardware**, der ihn nur herausgibt, wenn die Messung des Startzustands stimmt.
+
+**Damit wird aus einer Tresorfrage eine Gerätefrage.** Die offene Frage O-8 betraf bisher die
+Zugangsdaten; sie betrifft jetzt den gesamten Datenbestand.
+
+> **Und sie kollidiert mit dem Fassungswechsel.** Die Messung des Startzustands ändert sich mit
+> Kern und Startlader — also bei **jedem** Update. Wird der Schlüssel nicht vorher auch für die neue
+> Fassung hinterlegt, steht nach dem Umschalten ein Gerät da, das oben ist und an seine eigenen
+> Daten nicht herankommt.
+>
+> Das ist der schlimmste denkbare Ausgang: **nicht ein misslungenes Update, sondern ein
+> unerreichbarer Bestand.** Und der Rücksprung rettet es nur, solange die alte Messung noch gültig
+> ist.
+
+Daraus folgt eine Reihenfolge, die nicht verhandelbar ist:
+
+**Der Fassungswechsel hinterlegt den Schlüssel für die neue Fassung, solange die alte noch läuft
+und der Bereich offen ist — und erst danach schaltet er um.** Wird das vergessen, ist das kein
+Schönheitsfehler, sondern ein Datenverlust.
+
+## Was daraus für den Nachweis folgt
+
+Zum ersten Nachweis des Erzeugnisses — der Rücksprung greift von selbst — kommt ein zweiter, und er
+ist genauso wichtig:
+
+> **Nach einem Fassungswechsel und nach einem Rücksprung ist der Bestandsbereich erreichbar.**
+
+Er lässt sich nur auf echter Hardware mit echtem Sicherheitsbaustein erbringen, nicht in einer
+virtuellen Maschine.
+
+## Die verworfenen Alternativen
+
+**Verschlüsselung als Option anbieten.** Verlockend, weil es die Entsperrung beim Start zunächst
+umgeht und die Ersteinrichtung vereinfacht. Dagegen steht, dass eine Sicherheitseigenschaft, die
+abschaltbar ist, im Zweifel abgeschaltet ist — und dass ein Gerät ohne sie keine verlässliche
+Löschung kennt. Ein Produkt, das in Banken und Verteidigungsbereiche verkauft werden soll, kann das
+nicht als Wahlmöglichkeit führen.
+
+**Löschen durch Überschreiben.** Der vertraute Weg, und auf drehenden Platten war er richtig. Auf
+Flash-Speichern ist er langsam und gibt eine Sicherheit vor, die er nicht hat.
+
+**Auch die Wurzeln verschlüsseln.** Kostet Vertraulichkeit, die es dort nicht zu schützen gibt, und
+verlegt die Entsperrung in den Startvorgang **vor** den Selbstprüflauf — womit ein Fehler dort das
+Gerät unrettbar macht, statt einen Rücksprung auszulösen. Der Rückweg ist mehr wert als die
+Verschlüsselung von Dateien, die auf jedem Gerät gleich sind.