diff --git a/.gitea/workflows/docker-build.yml b/.gitea/workflows/docker-build.yml
index d4623b6..5e29128 100644
--- a/.gitea/workflows/docker-build.yml
+++ b/.gitea/workflows/docker-build.yml
@@ -72,17 +72,18 @@ jobs:
           cache-from: type=gha
           cache-to: type=gha,mode=max
 
-      # Migrations-Image: dieselbe Build-Stage wie oben, aber vor dem
-      # schlanken Runtime-Stage abgeschnitten (--target=builder) — enthaelt
-      # zusaetzlich die Prisma-CLI und tsx, die "pnpm db:push"/"pnpm db:seed"
-      # brauchen (im Laufzeit-Image bewusst NICHT enthalten, um es klein zu
-      # halten). Wird vom Kubernetes-Migrations-Job verwendet, siehe
-      # k8s/migrate-job.yaml.
+      # Migrations-Image: eigene schlanke Stage (nur Prisma-CLI/tsx + ein
+      # paar Laufzeit-Pakete, siehe Dockerfile-Kommentar bei "AS migrator")
+      # statt der vollen builder-Stage — die enthielt zusaetzlich
+      # next/react/sharp/alle devDependencies und wurde beim Push an die
+      # Gitea-Registry (hinter Cloudflare, ~100 MB Limit pro Layer) mit
+      # "413 Payload Too Large" abgewiesen. Wird vom Kubernetes-
+      # Migrations-Job verwendet, siehe k8s/04-migrate-job.yaml.
       - name: Migrations-Image bauen und pushen
         uses: docker/build-push-action@v6
         with:
           context: .
-          target: builder
+          target: migrator
           push: true
           tags: ${{ env.REGISTRY }}/${{ steps.image.outputs.name }}:migrate-${{ gitea.sha }}
           cache-from: type=gha
diff --git a/Dockerfile b/Dockerfile
index 171f599..915af80 100644
--- a/Dockerfile
+++ b/Dockerfile
@@ -27,6 +27,45 @@ ENV DATABASE_URL="postgresql://placeholder:placeholder@localhost:5432/placeholde
 # Datenbanken wechseln kann, siehe lib/prisma.ts.
 RUN pnpm build
 
+# --- Migrator ---------------------------------------------------------------
+# Eigenstaendige, schlanke Stage nur fuer den Kubernetes-Migrations-Job
+# (k8s/04-migrate-job.yaml): "prisma migrate deploy" + "prisma db seed"
+# brauchen nur die Prisma-CLI, tsx und die paar Laufzeit-Pakete, die
+# prisma/seed.ts importiert — NICHT next/react/sharp/stripe/alle
+# devDependencies, die im vollen builder-Stage (oben) noch mit drin sind.
+# Frueher wurde builder direkt als Migrations-Image gebaut; dessen
+# node_modules-Layer wurde beim Push an die (hinter Cloudflare liegende,
+# ~100 MB Limit pro Layer) Gitea-Registry mit "413 Payload Too Large"
+# abgewiesen. Eigene, minimale Paketliste statt "pnpm install" gegen das
+# volle package.json, damit next/react/sharp erst gar nicht installiert
+# werden.
+FROM base AS migrator
+# pnpm-workspace.yaml zuerst kopieren: pnpm v11 blockt Postinstall-Skripte
+# (u.a. @prisma/engines, laedt die Schema-Engine-Binary fuer "migrate
+# deploy") standardmaessig, ausser sie sind per "allowBuilds" in dieser
+# Datei freigegeben. Ohne die Datei an dieser Stelle liefe "pnpm add" gegen
+# ein Verzeichnis ohne jede Allowlist und wuerde die Skripte ignorieren
+# ([ERR_PNPM_IGNORED_BUILDS]) -> Schema Engine fehlt -> "migrate deploy"
+# schlaegt mit E_CANNOT_RESOLVE_VERSION fehl.
+COPY pnpm-workspace.yaml ./
+RUN pnpm add --save-prod \
+  prisma@^7.9.1 tsx@^4 bcryptjs@^3.0.3 \
+  @prisma/client@^7.9.1 @prisma/adapter-pg@^7.9.1 \
+  @prisma/adapter-mariadb@^7.9.1 mariadb@^3.5.3
+COPY prisma.config.ts ./
+COPY prisma ./prisma
+COPY scripts ./scripts
+COPY src/lib/db-adapter.ts ./src/lib/db-adapter.ts
+COPY src/lib/password-breach-check.ts ./src/lib/password-breach-check.ts
+COPY --from=builder /app/src/generated ./src/generated
+# Nur fuer scripts/prisma-provider.mjs (schreibt die provider-Zeile passend
+# zu DATABASE_PROVIDER) und damit prisma.config.ts nicht wegen einer
+# fehlenden URL abbricht, wenn versehentlich ohne echtes DATABASE_URL
+# aufgerufen — die K8s-Job-Umgebung (04-migrate-job.yaml) setzt die echte
+# DATABASE_URL zur Laufzeit ueber das Secret.
+ENV DATABASE_URL="postgresql://placeholder:placeholder@localhost:5432/placeholder"
+CMD ["sh", "-c", "node scripts/prisma-provider.mjs && npx prisma migrate deploy && npx prisma db seed"]
+
 # --- Runtime --------------------------------------------------------------
 FROM base AS runner
 ENV NODE_ENV=production