diff --git a/docs/test-bugs.md b/docs/test-bugs.md
index 5e35ef5..a2ddca2 100644
--- a/docs/test-bugs.md
+++ b/docs/test-bugs.md
@@ -185,3 +185,60 @@ Jeder Bug wird wie folgt dokumentiert:
 - **Schweregrad:** High
 - **Ursache:** Search Query ist zu langsam — mögliche Ursachen: fehlende Indexes, ineffiziente Query, zu viele Provider die sequentiell suchen
 - **Status:** ⏳ Nicht gefixt
+
+### BUG-017: 10 Core-to-Plugin Imports
+- **Kategorie:** Architektur
+- **Modul:** Core
+- **Erwartet:** 0 core-to-plugin imports (Core soll nicht von Plugins abhängen)
+- **Tatsächlich:** 10 Imports von app.core in app.plugins
+- **Schweregrad:** Medium
+- **Status:** ⏳ Nicht gefixt
+
+### BUG-018: 36 Python-Dateien > 500 Zeilen (God Objects)
+- **Kategorie:** Architektur / Code Quality
+- **Erwartet:** < 10 Dateien > 500 Zeilen
+- **Tatsächlich:** 36 Dateien > 500 Zeilen
+- **Größte Dateien:**
+  - mail/services.py: 3086 Zeilen
+  - mail/routes.py: 1863 Zeilen
+  - dms/routes.py: 1492 Zeilen
+  - kommunikation/services.py: 1340 Zeilen
+- **Schweregrad:** Medium
+- **Status:** ⏳ Nicht gefixt — Refactoring empfohlen
+
+### BUG-019: 453 Potential Hardcoded Secrets
+- **Kategorie:** Security
+- **Erwartet:** < 10 potential secrets
+- **Tatsächlich:** 453 Treffer für password/secret/api_key/token in app/
+- **Schweregrad:** Medium
+- **Hinweis:** Die meisten sind legitime Verwendungen (password hashing, token generation, etc.) — manuelle Überprüfung nötig
+- **Status:** ⏳ Nicht gefixt — manuelle Überprüfung nötig
+
+### BUG-020: 288 Potential SQL Injection Risiken
+- **Kategorie:** Security
+- **Erwartet:** < 10 potential SQL injections
+- **Tatsächlich:** 288 Treffer für execute(f"..."), execute(+...), text(...)
+- **Schweregrad:** Medium
+- **Hinweis:** Die meisten sind wahrscheinlich parameterized queries — manuelle Überprüfung nötig
+- **Status:** ⏳ Nicht gefixt — manuelle Überprüfung nötig
+
+### BUG-021: 165 Hardcoded Strings (i18n)
+- **Kategorie:** Frontend / i18n
+- **Erwartet:** < 100 hardcoded strings
+- **Tatsächlich:** 165 potential hardcoded strings in frontend/src/*.tsx
+- **Schweregrad:** Low
+- **Status:** ⏳ Nicht gefixt — Strings sollten mit t() übersetzt werden
+
+### BUG-022: 3 npm Vulnerabilities
+- **Kategorie:** Security / Dependencies
+- **Erwartet:** 0 vulnerabilities
+- **Tatsächlich:** 3 npm vulnerabilities
+- **Schweregrad:** Medium
+- **Status:** ⏳ Nicht gefixt — npm audit fix empfohlen
+
+### BUG-023: 1 Sync I/O in Async Context
+- **Kategorie:** Performance / Async
+- **Erwartet:** 0 sync I/O in async functions
+- **Tatsächlich:** 1 potential sync I/O (time.sleep, open(), requests.get/post)
+- **Schweregrad:** Low
+- **Status:** ⏳ Nicht gefixt