diff --git a/docs/handoff-20260901-tp41.md b/docs/handoff-20260901-tp41.md
index 385d337..ef2da03 100644
--- a/docs/handoff-20260901-tp41.md
+++ b/docs/handoff-20260901-tp41.md
@@ -38,11 +38,11 @@ Zero-Trust-Konsolidierungs-Runde.
   emsenhuber.net **und** teilzeitladen.xyz). **Altes Token `…2174` (id `9984078812bc18d4ebb6a64b570144f2`)
   ist am 2026-09-01 vom User revoked ✅.**
 
-> ⚠️ **API-Token-Altlast (nur vermerkt, NICHT anfassen — User-Direktive „LASSEN"):** der User fand ein
+> ⚠️ **API-Token-Altlast → ARBEITSPAKET für die Folgesession (User 2026-09-01):** der User fand ein
 > weiteres API-Token **`b00722522c685920f73cfcc62e9555d9`** mit **exakt denselben Permissions wie
-> `d47435d5c86b764bbf7c5b19ae827033`** — vermutlich eine **blaueblüten/Terpene-Altlast**. **Diese Runde
-> nicht löschen.** Vor einem etwaigen Abbau muss das/die abhängige(n) Projekt(e) nachgezogen werden
-> (welcher Consumer nutzt welches der beiden?). Token-/Credentials-Hygiene (TP30-nah), eigener Vorgang.
+> `d47435d5c86b764bbf7c5b19ae827033`** — vermutlich eine **blaueblüten/Terpene-Altlast**.
+> **Auftrag: Projekte nachziehen** — feststellen, welcher Consumer welches der beiden Tokens nutzt,
+> auf **eines** konsolidieren, das verwaiste dann abbauen. Token-/Credentials-Hygiene (TP30-nah).
 
 ## 🔜 OFFEN (Token reicht jetzt für alles außer T5)
 - **T4 — kumulatives Service-Token `zt-svc`** (Basis: `t4a.py`, war nur an fehlender Perm gescheitert):