diff --git a/infrastructure/2026-07-23-dhcp-postmortem-opnsense.md b/infrastructure/2026-07-23-dhcp-postmortem-opnsense.md
new file mode 100644
index 0000000..669e5c8
--- /dev/null
+++ b/infrastructure/2026-07-23-dhcp-postmortem-opnsense.md
@@ -0,0 +1,25 @@
+# OPNsense DHCP-Konsolidierung + Post-Mortem (2026-07-23)
+
+**Kurzfassung — Volltext-Post-Mortem ggf. bei Task #67/#73, hier nur die konsolidierte Kurzversion für den Doku-Dreiklang.**
+
+## Was passiert war
+- hyperv4-Host-Crash → nach Reboot kam nichts automatisch wieder hoch.
+- Kea-DHCPv4 war tot: HA war aktiviert, aber `ha_peers`/`this_server_name` waren leer → Kea crasht beim Start.
+- Ergebnis: ganzer VM-Pool 2 Tage ohne DHCP, unbemerkt weil der Alert-Token tot war.
+
+## Fix
+- Konsolidiert auf ISC-dhcpd (9 aktive Leases) statt Kea (0 aktive Leases).
+- XML-Patch + Config-Restore über die OPNsense-API, Reboot-Checkbox bewusst weggelassen (kein Firewall-Reboot).
+- Jetzt nur EIN DHCP-Server mit mehreren Ranges: 10.x-Netze + VM-Pool 192.172.0.50–79 (alle 30 Reservierungen erhalten).
+
+## Prävention
+- Nur ein DHCP-Backend pro OPNsense.
+- Kea-HA nie halb-konfiguriert.
+- Watchdog: DHCP-Leases + Service-Status + data.ki1.it-Erreichbarkeit.
+- AIO-Autostart geprüft.
+
+## Risiko
+- ISC-dhcpd ist in OPNsense 25.x das ältere Backend — bei künftigem Upgrade prüfen/ggf. auf repariertes Kea zurück.
+
+## Bezug
+- Zentrale Anleitung: `docs.consoro.it/anleitung.md` → REZEPT AI8.