diff --git a/docs/decisions/ADR-0003-verschluesselung-und-loeschung.md b/docs/decisions/ADR-0003-verschluesselung-und-loeschung.md
index f84b6f2..a0c2f67 100644
--- a/docs/decisions/ADR-0003-verschluesselung-und-loeschung.md
+++ b/docs/decisions/ADR-0003-verschluesselung-und-loeschung.md
@@ -96,6 +96,66 @@ ist genauso wichtig:
 Er lässt sich nur auf echter Hardware mit echtem Sicherheitsbaustein erbringen, nicht in einer
 virtuellen Maschine.
 
+## Die Sicherung wird mit einem anderen Schlüssel verschlüsselt
+
+*Ergänzt am 20.08.2026 auf Entscheidung des CIO.*
+
+Eine Sicherung, die unverschlüsselt auf einem Netzlaufwerk des Kunden liegt, hebt die
+Verschlüsselung des Geräts vollständig auf. Sie wird deshalb ebenfalls verschlüsselt.
+
+**Dabei ist die Wahl des Schlüssels wichtiger als die Entscheidung selbst.**
+
+Eine Sicherung existiert für den Fall, dass das Gerät nicht mehr da ist. Würde sie mit dem
+Geräteschlüssel verschlüsselt — dem, der am Sicherheitsbaustein hängt —, wäre sie **genau dann
+unlesbar, wenn man sie braucht**: Gerät zerstört, Baustein weg, Schlüssel weg, Sicherung wertlos.
+Das wäre keine Sicherung, sondern eine aufwendige Art, Speicherplatz zu belegen.
+
+> **Die Sicherung trägt einen eigenen Schlüssel, der nicht am Gerät hängt und den der Kunde
+> verwahrt.** Er wird bei der Einrichtung erzeugt und einmalig ausgegeben.
+
+Daraus folgt eine Pflicht, die ins Handbuch und in die Einrichtung gehört: **Wer den
+Sicherungsschlüssel verliert, hat keine Sicherung.** Das muss bei der Ausgabe unmissverständlich
+dastehen — und die Ausgabe gehört in die Prüfspur, damit später nachweisbar ist, dass sie
+stattgefunden hat.
+
+## Zum Sicherheitstoken als Schlüsselträger
+
+*Geprüft am 20.08.2026 auf Anregung des CIO.*
+
+Ein Hardware-Token kann an drei verschiedenen Stellen eingesetzt werden, und sie lösen **nicht
+dasselbe Problem**. Sie werden leicht verwechselt.
+
+| Einsatz | Was es leistet | Bewertung |
+|---|---|---|
+| **Als Wiederherstellung** — Token im Tresor des Kunden, entsperrt bei Ausfall des Sicherheitsbausteins | Löst den Totalverlust bei Defekt der Hauptplatine | **tragfähig** — aber eine ausgedruckte Wiederherstellungslosung leistet dasselbe ohne Lieferkette |
+| **Als Startbedingung** — Token steckt dauerhaft im Gerät | Das Laufwerk allein ist wertlos | **kein Gewinn gegenüber dem Sicherheitsbaustein**, siehe unten |
+| **Als zweiter Faktor** für die Verwaltung | Anmeldung an Konsole und Oberfläche | **eigenständig sinnvoll**, unabhängig von der Verschlüsselung |
+
+**Warum ein dauerhaft steckender Token nichts hinzufügt:** Er schützt gegen ein entwendetes
+Laufwerk — aber das tut der Sicherheitsbaustein auch, denn der ist auf der Hauptplatine verlötet.
+Gegen ein entwendetes **Gerät** schützt keiner von beiden, weil beide mitgehen. Der Token bringt
+also dieselbe Wirkung und zusätzlich ein Teil, das verloren gehen, herausgezogen oder vergessen
+werden kann.
+
+**Ein Fall ist trotzdem echt und verkaufbar:** Wenn der Token **bewusst entfernt** wird — beim
+Verlassen des Geländes, über Nacht, bei Außerbetriebnahme —, ist das Gerät ohne ihn nicht
+startfähig. Das ist eine Eigenschaft, die in Hochsicherheitsumgebungen verlangt wird, und sie hebt
+den Schutz über das hinaus, was ein verlöteter Baustein leisten kann.
+
+> **Festlegung: Der Sicherheitsbaustein bleibt der Regelweg. Ein Token ist eine Zusatzausstattung
+> für Kunden, die „startet nicht ohne Token" ausdrücklich verlangen — und dann mit der
+> ausgesprochenen Folge, dass das Gerät nach einem Stromausfall nicht von allein hochkommt.**
+
+Dieser letzte Halbsatz ist der Preis und gehört ins Datenblatt: Ein Gerät, das ohne Token nicht
+startet, kann nach einem nächtlichen Stromausfall nicht selbsttätig wiederkommen — es sei denn, der
+Token steckt, und dann ist man wieder beim Regelfall.
+
+**Was gegen Token in der Fläche spricht,** unabhängig von der Sicherheit: Je Gerät ein Stück
+Bestandsführung, Ersatzteile, ein weiterer Einzellieferant — und die Firmware eines Tokens lässt
+sich nicht aktualisieren, eine Schwachstelle wäre also ein Austausch über den ganzen Bestand
+hinweg. Bei einem Erzeugnis mit fünf Jahren Versorgungspflicht ist das ein Posten, der bedacht sein
+will.
+
 ## Die verworfenen Alternativen
 
 **Verschlüsselung als Option anbieten.** Verlockend, weil es die Entsperrung beim Start zunächst