diff --git a/docs/test-bugs.md b/docs/test-bugs.md
index a9824d0..419f335 100644
--- a/docs/test-bugs.md
+++ b/docs/test-bugs.md
@@ -3968,3 +3968,57 @@ Playwright E2E: 10 passed, 24 failed (BUG-011/012/013 — Mock-Daten und data-te
 - **Problem:** `"workbox-build": "^7.4.1"` — Workbox (PWA Service Worker) noch als Dependency obwohl PWA deaktiviert wurde.
 - **Schweregrad:** Low
 - **Status:** ⏳ Nicht gefixt
+
+### ARCH-528: .env.example — ADMIN_PASSWORD hardcoded
+- **Datei:** .env.example:137
+- **Problem:** `ADMIN_PASSWORD=Admin123!` — hardcoded Admin-Password in .env.example.
+- **Schweregrad:** Medium
+- **Status:** ⏳ Nicht gefixt
+
+### ARCH-529: .env.docker.example — ADMIN_PASSWORD hardcoded
+- **Datei:** .env.docker.example:60
+- **Problem:** `ADMIN_PASSWORD=Admin123!` — hardcoded Admin-Password in .env.docker.example.
+- **Schweregrad:** Medium
+- **Status:** ⏳ Nicht gefixt
+
+### ARCH-530: prestart.sh — SQL injection risk in GRANT statements
+- **Datei:** prestart.sh:60-80
+- **Problem:** `GRANT` statements use string interpolation for table names. While currently safe (table names are hardcoded), the pattern is risky if extended.
+- **Schweregrad:** Low
+- **Status:** ⏳ Nicht gefixt
+
+### ARCH-531: prestart.sh — DB_PASSWORD used for ALL roles
+- **Datei:** prestart.sh:40-50
+- **Problem:** Same `DB_PASSWORD` env var is used for crm_api, crm_auth, crm_worker, crm_migration. Each role should have its own password.
+- **Schweregrad:** Medium
+- **Status:** ⏳ Nicht gefixt
+
+### ARCH-532: Dockerfile — No .dockerignore mentioned
+- **Datei:** Dockerfile
+- **Problem:** No `.dockerignore` file found. Build context may include node_modules, .git, .env, test-results, etc.
+- **Schweregrad:** Low
+- **Status:** ⏳ Nicht gefixt
+
+### ARCH-533: docker-compose.yaml — No resource limits on crm_app
+- **Datei:** docker-compose.yaml
+- **Problem:** crm_app service has no mem_limit or cpus limit, unlike redis (256m, 0.5 cpus).
+- **Schweregrad:** Low
+- **Status:** ⏳ Nicht gefixt
+
+### ARCH-534: requirements.txt — No version pinning for some packages
+- **Datei:** requirements.txt
+- **Problem:** Some packages use `>=` without upper bound (e.g. `httpx>=0.27`, `redis>=5.0`, `arq>=0.25`). Can lead to incompatible updates.
+- **Schweregrad:** Low
+- **Status:** ⏳ Nicht gefixt
+
+### ARCH-535: pyproject.toml — disallow_untyped_defs: false
+- **Datei:** pyproject.toml:55
+- **Problem:** `disallow_untyped_defs = false` — mypy erlaubt untypisierte Funktionen. Sollte `true` sein für strikte Type-Checking.
+- **Schweregrad:** Low
+- **Status:** ⏳ Nicht gefixt
+
+### ARCH-536: .pre-commit-cross-plugin.yaml — stages: [commit] deprecated
+- **Datei:** .pre-commit-cross-plugin.yaml:13
+- **Problem:** `stages: [commit]` is deprecated in pre-commit. Should use `pre-commit` or remove stages.
+- **Schweregrad:** Low
+- **Status:** ⏳ Nicht gefixt