diff --git a/deploy/skills/orchestrator/SKILL.md b/deploy/skills/orchestrator/SKILL.md
index 57e90a5..b56ae70 100644
--- a/deploy/skills/orchestrator/SKILL.md
+++ b/deploy/skills/orchestrator/SKILL.md
@@ -96,6 +96,15 @@ Fuer jeden Bau-Teil-Task:
    oder Prosa drumherum gesetzt, entferne ihn. Dann schreibe das saubere Artefakt mit deinen
    Datei-Tools an seinen Platz im Worktree (`/tmp/orch-<slug>/...`). Der Worker hat KEINE
    Datei-Haende — das Schreiben machst DU.
+4. **Schreibziel-Pflicht (Vorfall 09.07.2026):** JEDES write_file/patch-Ziel MUSS mit
+   `/tmp/orch-<slug>/` beginnen — vor dem ersten Schreiben einmal laut pruefen. NIEMALS nach
+   `~/mission-control-v2/...` schreiben (Live-Checkout!), NIEMALS Work-Dirs/Worktrees FREMDER
+   Slugs wiederverwenden (beim Doku-Lauf landete ein Artefakt im Live-Checkout, weil das alte
+   `/tmp/orch-hermes-desktop-work` recycelt wurde). Existiert dein `/tmp/orch-<slug>` noch nicht,
+   ist das der Beweis, dass Schritt 2 fehlt — erst Worktree anlegen.
+5. **Grosse Artefakte NIE im Klartext in deine Antwort** — sie gehoeren in Dateien im Worktree.
+   Wer Dateiinhalte in die Antwort kippt, stirbt am Output-Limit mitten im Lauf (Doku-Lauf
+   09.07.2026: abgewuergt VOR Kritiker-Gate und Vorschlag). In der Antwort: Pfade + 1-Zeilen-Zusammenfassung.
 
 ### 4. Integrieren + Self-Gate (nach jedem Schritt bzw. am Ende)
 Die Worker liefern Bausteine — DU sorgst dafuer, dass sie zusammenpassen (Imports, Verdrahtung,
@@ -103,8 +112,14 @@ Namen). Dann das Selbst-Gate, was zutrifft:
 - Python geaendert → `python3 -m py_compile <dateien>` (und wenn ein Test dabei ist und ohne
   schwere Deps laeuft: den Test im Worktree ausfuehren).
 - Shell geaendert → `bash -n <dateien>`
-- Frontend (`frontend/src/...`) → auf der Box gibt es KEIN Node. Im Vorschlag ausweisen:
-  „Gate eingeschraenkt: tsc/Build laeuft erst beim Merge auf dem PC."
+- Frontend (`frontend/src/...`) → **Node EXISTIERT auf der Box** (bewiesen 09.07.2026, Läufe
+  role-metadata + desktop-gateway): im Worktree `cd frontend && npm install && npm run build`
+  ausfuehren und das neue `frontend/dist` MIT-committen (AGENTS.md-Pflicht — sonst zeigt die Box
+  nach Merge+Deploy den alten Stand). **Danach `git checkout -- frontend/package-lock.json`**,
+  falls npm install es nur als Nebeneffekt angefasst hat (wiederkehrendes Muster: 3 Laeufe in
+  Folge hatten lockfile-Dreck) — es gehoert NUR in den Commit, wenn Dependencies sich wirklich
+  aendern sollten. Schlaegt der Build fehl, ehrlich ausweisen: „Gate eingeschraenkt: Build
+  fehlgeschlagen, tsc laeuft beim Merge auf dem PC."
 - **Live-Checkout unberuehrt (PFLICHT, zwei Beweise):**
   - `git -C ~/mission-control-v2 status --porcelain -uno` **muss LEER sein** (Beweis, dass du
     wirklich nur im Worktree gearbeitet hast — ein gruener Health-curl allein reicht NICHT, weil