diff --git a/CHANGELOG.md b/CHANGELOG.md
index f9a0064..90da814 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -30,6 +30,12 @@ getaggte Releases (Kanal `stable`, optional `beta`) — niemals Entwicklungs-Bui
     bei verbleibendem Faktor behalten.
   - **Passwort-vergessen ist key-only-sicher:** ein reiner Key-Nutzer setzt per Backup-Code zurück;
     ohne 2FA per E-Mail-Link (falls SMTP) oder `clusev:reset-admin`.
+- **SSH-Key automatisch erstellen & Passwort-Login sicher deaktivieren.** Statt der bisherigen
+  Sackgasse („Key zuerst hinterlegen") erzeugt das Panel auf Knopfdruck einen ed25519-Key,
+  installiert ihn, **prüft den Key-Login**, stellt die eigene gespeicherte Verbindung darauf um —
+  und schaltet Passwort-Login **erst danach** ab. Scheitert die Prüfung, bleibt Passwort-Login aktiv
+  (kein Aussperren, auch nicht der Control-Plane). Der Private-Key wird einmalig angezeigt
+  (Download) und verschlüsselt im Vault gehalten.
 - **Schnellsuche (Strg/⌘ K) findet Server:** Tippen von Name oder IP springt direkt zur
   Server-Detailseite.
 - **Journal ist live:** `journalctl` wird per Cursor inkrementell nachgeladen (alle 5 s, lückenlos,