diff --git a/docs/teilprojekte.md b/docs/teilprojekte.md
index 4951941..50ad227 100644
--- a/docs/teilprojekte.md
+++ b/docs/teilprojekte.md
@@ -2667,5 +2667,18 @@ Details in Memory `feedback_no_guessing`.
 ⚠️ `420.teilzeitladen.xyz` gehört zum Projekt **blaueblüten** — Änderung erfolgte mit
 Christophs ausdrücklicher Freigabe, das Nachbar-Repo wurde **nicht** angefasst.
 
-**→ Abgeschlossen 2026-10-06: Fix gesetzt und zurückgelesen. Offen bleibt nur der
-Bestätigungstest, dass ein fremder GitHub-Account jetzt abgewiesen wird.**
+#### Abnahme (2026-10-06, durch echten Login — nicht nur API-Read)
+
+Christoph hat nach dem Fix **alle Auth-Pfade neu getestet**:
+
+- ✅ **Fremder GitHub-Account (2. Konto) → wird abgewiesen.** Der Fix greift real, nicht nur in der API.
+- ✅ **Eigener Zugang (GitHub, primäre Adresse `christoph@emsenhuber.com`) → funktioniert.**
+- ✅ **Geli → funktioniert** (unverändert über Einmalcode/IP; ihr `require` blieb leer).
+- ✅ **Alle übrigen Auth-Wege verhalten sich wie erwartet.**
+
+Damit ist `email AND github` **verhaltensbestätigt**: es trennt das eigene Konto vom fremden,
+ohne jemanden auszusperren. Kein Regress an den Nachbar-Policies (`geli`, `terpene-svc`) und
+kein Kollateral am internen Wildcard.
+
+**→ Abgeschlossen 2026-10-06: Fix gesetzt, zurückgelesen und per Login verifiziert.
+Gitea #76 `closed` / `status:done`.**
diff --git a/docs/tp49-cf-access-startauftrag.md b/docs/tp49-cf-access-startauftrag.md
index 2e61e4a..cbd9f70 100644
--- a/docs/tp49-cf-access-startauftrag.md
+++ b/docs/tp49-cf-access-startauftrag.md
@@ -72,4 +72,7 @@ Ursprungsfund bestätigt und der Fix nötig.
 - [x] Policy über beide Endpunkte zurückgelesen — `require` trägt github, `include` nicht mehr
 - [x] Sweep: keine weiteren `login_method` in `include` außer den bekannten
 - [x] Scope: reusable Policy nur an diese eine App gebunden (kein Kollateral)
-- [ ] **Offen:** Bestätigungstest, dass ein fremder GitHub-Account jetzt **abgewiesen** wird
+- [x] **Verhaltensabnahme (2026-10-06, echter Login):** fremder GitHub-Account → **abgewiesen**;
+      eigener Zugang + Geli → funktionieren; alle übrigen Auth-Pfade wie erwartet
+
+**Status: abgeschlossen.** Gitea #76 `closed` / `status:done`. Kein offener Punkt.