diff --git a/COMPANION_APP_ARCHITECTURE.md b/COMPANION_APP_ARCHITECTURE.md
index b1a0929..b210833 100644
--- a/COMPANION_APP_ARCHITECTURE.md
+++ b/COMPANION_APP_ARCHITECTURE.md
@@ -334,9 +334,15 @@ else in this document:
    not yet written to a file or finalized in detail. **Kann erst nach der ersten echten
    MQTT-Nachricht fertig werden** (§2b): die Feldnamen im Codec-JSON sind noch unbekannt und werden
    mitgeschnitten, nicht geraten.
-2a. **Erreichbarkeit des MQTT-Brokers für das Fahrzeug** — Portfreigabe 8883 gegen VPS-Broker mit
-   Mosquitto-Bridge, siehe §2b. Betrifft nur den Weg Fahrzeug→Zuhause und ist unabhängig von der
-   Anbindung der App (§4, dort bleibt es bei Cloudflare Tunnel).
+2a. ✅ **ERLEDIGT (Entscheidung, 2026-08-11): Portfreigabe 8883**, nicht VPS-Bridge. Begründung: ein
+   Broker mit TLS-Zwang und Pflicht-Client-Zertifikat lässt vor dem eigentlichen Login niemanden
+   auch nur ansetzen — der Mehraufwand einer dauerhaften VPS-Miete plus zweitem Mosquitto plus
+   Bridge-Verbindung stand in keinem Verhältnis zum zusätzlichen Schutz für ein einzelnes
+   Privatfahrzeug. Betrifft nur den Weg Fahrzeug→Zuhause und ist unabhängig von der Anbindung der
+   App (§4, dort bleibt es bei Cloudflare Tunnel — kein Widerspruch, siehe dort die Begründung, warum
+   ein eng begrenzter, zertifikatsgesicherter Port etwas anderes ist als HA selbst offenzulegen).
+   **Noch zu erledigen:** stabile öffentliche Adresse fürs Zuhause (feste IP oder DynDNS-Hostname)
+   und die Portfreigabe am Router selbst — beides erst bei der Inbetriebnahme.
 2b. **TLS-Zertifikate für Mosquitto und das Gerät** — bei der Inbetriebnahme zu erzeugen; ohne sie
    verweigert der FMM003 die MQTT-Verbindung.
 3. **Reverse-proxy add-on: Nginx Proxy Manager vs. Traefik** — both viable (§4), pick deferred to the