diff --git a/CHANGELOG.md b/CHANGELOG.md
index 77c4b5c..da2990c 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -18,11 +18,19 @@ getaggte Releases (Kanal `stable`, optional `beta`) — niemals Entwicklungs-Bui
 - **Firewall/fail2ban-Bereich:** eine einzeln installierte Box füllt jetzt die volle Breite mit
   interner 2-Spalten-Aufteilung (kein leerer Raum mehr); zwei Boxen weiterhin nebeneinander.
 
+### Sicherheit
+- **Backup-Codes nur einmal sichtbar.** Codes werden ausschließlich direkt nach der Erzeugung
+  (erster Faktor oder „Neu erzeugen") angezeigt — „Backup-Codes verwalten" zeigt sie NICHT mehr an,
+  sondern bietet nur noch „Neu erzeugen". Serverseitig gated (`#[Locked]` + Einmal-Flags), und der
+  Download-Endpunkt verlangt jetzt eine frische Berechtigung statt jederzeitigen Zugriffs.
+
 ### Behoben
 - **fail2ban „Gesperrte IPs"-Modal öffnet sofort** — Skeleton + Lazy-Load statt blockierendem
   SSH-Read beim Öffnen.
 - **Security-Keys-Untertitel** korrigiert: ein Schlüssel kann alleiniger Faktor sein, mit TOTP oder
   beides — nicht mehr „nur als zweiter Faktor".
+- **System-Seite:** TLS-Modus-Schalter bricht nicht mehr um (kürzeres Label, Details in der
+  Beschreibung); Domain-Feld zeigt nur noch einen Platzhalter (kein vorausgefüllter Beispielwert).
 
 ## [0.9.0] - 2026-06-14