diff --git a/deploy/deploy.sh b/deploy/deploy.sh
index e38eed1..8163003 100644
--- a/deploy/deploy.sh
+++ b/deploy/deploy.sh
@@ -128,10 +128,10 @@ systemctl --user enable mem0-service >/dev/null 2>&1 || true
 systemctl --user enable voice-service >/dev/null 2>&1 || true
 systemctl --user enable hermes-builtin-ui >/dev/null 2>&1 || true
 systemctl --user enable --now mc2-backup.timer >/dev/null 2>&1 || true
-# mc2-autoupdate.timer wird BEWUSST NICHT enabled (User-Entscheid 04.07.2026: Updates nur
-# bestätigt). Die frühere enable-Zeile hier hat den Entscheid bei jedem Deploy still
-# rückgängig gemacht (aufgefallen 09.07. nach der Annahme-Kaskade). Wer Auto-Updates will:
-# einmalig manuell `systemctl --user enable --now mc2-autoupdate.timer`.
+# mc2-autoupdate.timer wird hier BEWUSST NICHT geschaltet — der Zustand wird nur von Hand
+# geändert (Lehre 09.07.: die frühere enable-Zeile hat einen User-Entscheid bei jedem Deploy
+# still rückgängig gemacht). Aktueller User-Entscheid (10.07.2026): Timer ist AN —
+# Router/Engine/Hermes dürfen So 04:30 automatisch (Fangnetz Backup→Postcheck→Rollback+Pin).
 systemctl --user enable --now mc2-selfsmoke.timer >/dev/null 2>&1 || true
 loginctl enable-linger "$USER" >/dev/null 2>&1 || true
 # Mem0-Sidecar VOR dem Backend (re)starten, damit /api/memory sofort bedient wird.
diff --git a/docs/RUNBOOK.md b/docs/RUNBOOK.md
index 33c1edb..5f99cea 100644
--- a/docs/RUNBOOK.md
+++ b/docs/RUNBOOK.md
@@ -32,9 +32,10 @@ höchstens „mach". Dieses Blatt ist NUR für den Fall, dass etwas klemmt.
 
 - **Nachts:** 03:15 Traum (Wissens-Vault) · 03:30 Backup · 03:50 PBS-Backup ·
   04:30 Chef-Gutachter (Morgenlage) · 07:15 Selbsttest · 08:00 Daily-Briefing
+- **So 04:30** Auto-Update (Router→Engine→Hermes) mit Rollback+Pin-Fangnetz (dein Ok 10.07.;
+  manuell geht's jederzeit über den Wartungs-Drawer)
 - **Mo 05:15** Release-Radar (Hermes-Neuerungen) · **Monatlich 1., 09:00** Monats-Review
   (Evolution-Radar + Selbstkritik) auf Telegram
-- Auto-Update ist BEWUSST AUS (dein Entscheid 04.07.) — Updates kommen als Vorschlag/Knopf
 
 ## Pinnwand: eine Ebene ist „GEPINNT" — was heißt das?
 
diff --git a/docs/wissen/OFFENE-FAEDEN.md b/docs/wissen/OFFENE-FAEDEN.md
index 30adb9e..6701ad8 100644
--- a/docs/wissen/OFFENE-FAEDEN.md
+++ b/docs/wissen/OFFENE-FAEDEN.md
@@ -40,9 +40,6 @@ keine zweite Liste anlegen. Verdikte werden NICHT als „offen" geführt → [VE
 
 ## Box / MC2 (Kleinkram + Politur)
 
-- **mc2-autoupdate.timer war am 10.07. wieder enabled+active** (Altlast der
-  deploy.sh-enable-Falle; die Zeile selbst ist seit heute raus). Disable braucht ein
-  User-Ja bzw. einen Klick — bis dahin läuft So 04:30 wieder ein Auto-Update-Lauf.
 - D16-Reste: c) System-Logs ausbauen (alle Dienste, Fehler-Filter) · e) Mem0-Dubletten
   automatisch (an Curator/Selbstkritik hängen) · f) Politur (Cockpit Zone C entflechten,
   Faden 6 Voice-Sidecar-Diät: Lucy-Reste aus dem Web-UI).
diff --git a/docs/wissen/STACK.md b/docs/wissen/STACK.md
index fd6b875..965f5cf 100644
--- a/docs/wissen/STACK.md
+++ b/docs/wissen/STACK.md
@@ -90,10 +90,13 @@ per Mini-Request anwärmen (direkt curlen ist zuverlässiger als warmup.sh).
 | 07:15 | self-smoke (Gateway/Tools/Voice/:9119; Alarm nur bei Rot) |
 | 08:00 | Daily-Briefing |
 | 09:00, 1. d. M. | Monats-Review (radar-selbstkritik-wrapper.sh = Evolution-Radar + Selbstkritik) |
+| So 04:30 | **Auto-Update** Router→Engine→Hermes (Fangnetz: Backup→Postcheck→Auto-Rollback+Pin) |
 
-**`mc2-autoupdate.timer` ist BEWUSST AUS** (User-Entscheid 04.07.: Updates nur bestätigt;
-deploy.sh enablet ihn seit 10.07. nicht mehr). Update-Lauf manuell: `bash deploy/autoupdate.sh`
-oder MC2-Wartungs-Drawer.
+**`mc2-autoupdate.timer` ist AN (User-Entscheid 10.07.,** ersetzt „nur bestätigt" vom 04.07.):
+Fremd-Software-Updates (Router/Engine/Hermes) dürfen automatisch laufen; der User klickt sie
+zusätzlich oft manuell im Wartungs-Drawer. deploy.sh enablet den Timer bewusst NICHT selbst —
+der Schaltzustand wird nur von Hand geändert. Manueller Lauf: `bash deploy/autoupdate.sh`.
+OS-Sicherheitsupdates laufen separat via unattended-upgrades.
 
 ## Security (Stufe 0, live)