diff --git a/ansible/ansible.cfg b/ansible/ansible.cfg
index 9eb66ecf..067c03be 100644
--- a/ansible/ansible.cfg
+++ b/ansible/ansible.cfg
@@ -317,7 +317,12 @@ vault_password_file=~/source/homelab/ansible/vault-password.sh
 ;facts_modules=smart
 
 # (boolean) Set this to "False" if you want to avoid host key checking by the underlying tools Ansible uses to connect to the host
-host_key_checking=False
+# NIEMALS auf False setzen: Am 2026-07-06 hat genau diese Einstellung einen
+# Produktions-Deploy auf die falsche Maschine durchgewunken (DNS-Drift:
+# edge-1.iot zeigte auf den Hetzner-Proxy) — der Hostkey-Wechsel-Alarm war
+# der einzige Schutz und wurde unterdrückt. Bei Hostkey-Fehlern: Ursache
+# klären und known_hosts pflegen, nicht die Prüfung abschalten.
+;host_key_checking=True
 
 # (boolean) Facts are available inside the `ansible_facts` variable, this setting also pushes them as their own vars in the main namespace.
 # Unlike inside the `ansible_facts` dictionary, these will have an `ansible_` prefix.