diff --git a/Manual.md b/Manual.md
index 3b2eb63..422a17d 100644
--- a/Manual.md
+++ b/Manual.md
@@ -52,12 +52,15 @@ bleiben unübersetzt.
 - Router-Adresse, Benutzername und Passwort eingeben, verbinden. Ein
   Augen-Symbol neben dem Passwortfeld deckt die Eingabe zur Kontrolle
   auf.
-- Beim ersten Verbinden wird ein unbekanntes Zertifikat (REST-API,
-  meist der Fall) oder ein unbekannter SSH-Host-Schlüssel (SSH-
-  Fallback) angezeigt und muss einmalig bestätigt werden
-  (Trust-on-First-Use) — schützt vor einem ausgetauschten/gefälschten
-  Router unter derselben IP-Adresse. Welcher der beiden Dialoge
-  erscheint, hängt davon ab, ob die App per REST oder SSH verbindet.
+- Beim ersten Verbinden wird ein unbekanntes Zertifikat (REST-API) oder
+  ein unbekannter SSH-Host-Schlüssel angezeigt und muss einmalig
+  bestätigt werden (Trust-on-First-Use) — schützt vor einem
+  ausgetauschten/gefälschten Router unter derselben IP-Adresse. Bei
+  einer REST-Verbindung können beide Dialoge nacheinander erscheinen:
+  den SSH-Host-Schlüssel prüft die App auch dann einmalig im
+  Hintergrund, weil einige Funktionen (automatisches Backup vor jeder
+  Änderung, Update-Check u.a.) immer SSH brauchen, unabhängig vom
+  Verbindungsweg.
 - Nach dem Verbinden zeigt die Detailseite vollständige Routerboard-Infos
   (Modell, Revision, Seriennummer, Firmware-Typ/-Version).
 - **Software-Update-Check**: zeigt Kanal, installierte und neueste
diff --git a/README.md b/README.md
index a34e3b3..bc42d45 100644
--- a/README.md
+++ b/README.md
@@ -139,7 +139,7 @@ nur die zugehörigen Passwörter liegen weiterhin im macOS-Schlüsselbund.
 | M1–M4 | Projektgerüst, Connect, Backup, WAN/LAN/DHCP, VLAN | ✅ live verifiziert |
 | M5 | WLAN-Schritt | 🔶 nur "kein WLAN"-Zweig getestet |
 | M6 | Firewall-Grundschutz | ✅ live verifiziert |
-| M7 | Härtung (SSH-Hostkey-TOFU) | 🔶 TOFU fertig, Rest offen |
+| M7 | Härtung (SSH-Hostkey-TOFU) | 🔶 TOFU + REST-Schreibpfad live verifiziert, Verbindungsabbruch-mitten-im-Apply noch offen |
 | M8 | Mehrere LAN-Interfaces + Netzwerk-Isolation | ✅ live verifiziert |
 | M9 | Einfach/Experte-Modusschalter im Wizard | 🔶 gebaut, UI-Test offen |
 | M10 | Experte-Tab (generischer RouterOS-Zugriff) | ✅ live verifiziert |