diff --git a/CHANGELOG.md b/CHANGELOG.md
index 7e05798..77c4b5c 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -11,7 +11,18 @@ getaggte Releases (Kanal `stable`, optional `beta`) — niemals Entwicklungs-Bui
 
 ## [Unreleased]
 
-_Keine offenen Änderungen — der nächste Stand wird hier gesammelt und als `vX.Y.Z` getaggt._
+### Geändert
+- **System-Seite neu komponiert** statt nur schmaler: 2-Spalten-Layout (links Konfiguration —
+  Domain + TLS-Modus, rechts Status & Wiederherstellung), kritische Hinweise (Neustart, Bare-IP) als
+  Banner über dem Raster.
+- **Firewall/fail2ban-Bereich:** eine einzeln installierte Box füllt jetzt die volle Breite mit
+  interner 2-Spalten-Aufteilung (kein leerer Raum mehr); zwei Boxen weiterhin nebeneinander.
+
+### Behoben
+- **fail2ban „Gesperrte IPs"-Modal öffnet sofort** — Skeleton + Lazy-Load statt blockierendem
+  SSH-Read beim Öffnen.
+- **Security-Keys-Untertitel** korrigiert: ein Schlüssel kann alleiniger Faktor sein, mit TOTP oder
+  beides — nicht mehr „nur als zweiter Faktor".
 
 ## [0.9.0] - 2026-06-14