diff --git a/docs/handoff-20260901-tp41.md b/docs/handoff-20260901-tp41.md
index d348654..385d337 100644
--- a/docs/handoff-20260901-tp41.md
+++ b/docs/handoff-20260901-tp41.md
@@ -36,7 +36,13 @@ Zero-Trust-Konsolidierungs-Runde.
   Backup `mcp/cloudflare/.env.bak-tp41-20260901`. Der User hat `…4148` anschließend **vollständig**
   gemacht (u.a. **Access: Service Tokens Write** + **Zero Trust Write** + WAF + Groups + DNS für
   emsenhuber.net **und** teilzeitladen.xyz). **Altes Token `…2174` (id `9984078812bc18d4ebb6a64b570144f2`)
-  kann in CF revoked werden.**
+  ist am 2026-09-01 vom User revoked ✅.**
+
+> ⚠️ **API-Token-Altlast (nur vermerkt, NICHT anfassen — User-Direktive „LASSEN"):** der User fand ein
+> weiteres API-Token **`b00722522c685920f73cfcc62e9555d9`** mit **exakt denselben Permissions wie
+> `d47435d5c86b764bbf7c5b19ae827033`** — vermutlich eine **blaueblüten/Terpene-Altlast**. **Diese Runde
+> nicht löschen.** Vor einem etwaigen Abbau muss das/die abhängige(n) Projekt(e) nachgezogen werden
+> (welcher Consumer nutzt welches der beiden?). Token-/Credentials-Hygiene (TP30-nah), eigener Vorgang.
 
 ## 🔜 OFFEN (Token reicht jetzt für alles außer T5)
 - **T4 — kumulatives Service-Token `zt-svc`** (Basis: `t4a.py`, war nur an fehlender Perm gescheitert):