diff --git a/.gitea/workflows/momentrum-ci.yml b/.gitea/workflows/momentrum-ci.yml
index 91ccc90..bb5b806 100644
--- a/.gitea/workflows/momentrum-ci.yml
+++ b/.gitea/workflows/momentrum-ci.yml
@@ -27,7 +27,7 @@ permissions:
 env:
   # :3000 = direkt zu Gitea (HTTP). Host-Docker hat diese Registry in insecure-registries.
   REGISTRY: momentrum-k3s-01.tailcc1bcf.ts.net:3000
-  IMAGE: momentrum/ibo-web
+  IMAGE: myapps/ibo-web
   CHART_PATH: infra/k8s/base/ibo
 
 jobs:
diff --git a/infra/RUNBOOK-ibo.md b/infra/RUNBOOK-ibo.md
index c4826ce..9be3cb1 100644
--- a/infra/RUNBOOK-ibo.md
+++ b/infra/RUNBOOK-ibo.md
@@ -31,16 +31,30 @@ git push -u origin main
 
 ---
 
-## 1. Zitadel: Redirect-URIs (KEIN neuer Client)
+## 1. Zitadel-Clients + Sealed-Secret
 
-`ibo-sso` und `dev-sso` nutzen — wie `luxly-sso` — den **bestehenden geteilten**
-Zitadel-Client (K8s-Secret `oauth2-proxy-dev` in ns `iam`). **Kein neuer Client,
-kein neues Secret.** Nur am vorhandenen Client (`https://auth.momentrum.de`) die
-Redirect-URI ergaenzen:
+- **prod (`ibo-sso`)** nutzt einen **eigenen** Zitadel-Web-Client. Dessen
+  ClientId/ClientSecret liegen im (nicht committeten) `.env` des ibo-Repos und
+  werden als SealedSecret **`oauth2-proxy-ibo`** (ns `iam`) in den Cluster gelegt:
 
-- prod: `https://sso.ibo.momentrum.de/oauth2/callback`  ← nur diese ist ibo-spezifisch
-- dev (Previews): `https://sso.dev.momentrum.de/oauth2/callback` ← existiert i. d. R.
-  schon (kanban/luxly-Previews nutzen dasselbe dev-sso). Nichts zu tun, falls vorhanden.
+  ```sh
+  # dort ausfuehren, wo Cluster-Zugriff besteht (Tunnel localhost:16443 / Bastion):
+  cd contabo-infra/platform/manifests/ibo-sso
+  IBO_ENV=../../../../projekte/ibo/.env ./seal-oauth2-proxy-ibo.sh
+  #   -> erzeugt sealed-oauth2-proxy-ibo.yaml  (committen & pushen -> ArgoCD entsiegelt)
+  # offline-Variante (ohne Cluster) mit Public-Cert:
+  #   kubeseal --controller-namespace sealed-secrets --fetch-cert > pub.pem   # einmal, mit Cluster
+  #   SEALED_CERT=pub.pem IBO_ENV=.../.env ./seal-oauth2-proxy-ibo.sh
+  ```
+
+  Am ibo-Client in Zitadel (`https://auth.momentrum.de`) die Redirect-URI
+  registrieren: `https://sso.ibo.momentrum.de/oauth2/callback`
+  (Post-Logout optional: `https://sso.ibo.momentrum.de`).
+
+- **dev (Previews)** laufen weiter hinter dem **geteilten** `dev-sso`
+  (Client-Secret `oauth2-proxy-dev`). Dessen Redirect
+  `https://sso.dev.momentrum.de/oauth2/callback` existiert i. d. R. schon
+  (kanban/luxly nutzen es) — nichts zu tun.
 
 ---
 
diff --git a/infra/k8s/base/ibo/values.yaml b/infra/k8s/base/ibo/values.yaml
index 7654db9..1b24bd9 100644
--- a/infra/k8s/base/ibo/values.yaml
+++ b/infra/k8s/base/ibo/values.yaml
@@ -4,7 +4,7 @@
 # umgebungs-agnostisch.
 
 image:
-  repository: momentrum-k3s-01.tailcc1bcf.ts.net:3000/momentrum/ibo-web
+  repository: momentrum-k3s-01.tailcc1bcf.ts.net:3000/myapps/ibo-web
   tag: latest
   pullPolicy: IfNotPresent