diff --git a/.gitea/workflows/docker-build.yml b/.gitea/workflows/docker-build.yml
index 4a5d184..189234b 100644
--- a/.gitea/workflows/docker-build.yml
+++ b/.gitea/workflows/docker-build.yml
@@ -22,18 +22,18 @@ jobs:
       # relevant — der eigentliche Push laeuft ueber REGISTRY_PUSH (s.u.),
       # Kubernetes zieht die Images weiterhin ueber diesen Hostnamen.
       REGISTRY: git.encry.de
-      # Gitea-Registry-Push laeuft ueber die Cluster-interne ClusterIP statt
-      # git.encry.de: Docker-Registry-Blob-Uploads (PUT) vertragen sich nicht
-      # mit dem Cloudflare-Proxy vor git.encry.de — "413 Payload Too Large"
-      # auch bei kleinen Layern, unabhaengig von der eigentlichen Groesse.
-      # Der Runner (docker-builder) laeuft im selben Kubernetes-Cluster wie
-      # Gitea und erreicht den Gitea-Service direkt, ohne ueber Cloudflare zu
-      # hairpinnen. Push und Pull landen im selben Registry-Pfad
-      # (Owner/Repo:Tag) — der Hostname ist nur die Verbindung, nicht Teil
-      # des gespeicherten Images, daher bleibt der Pull in den k8s-Manifesten
-      # unveraendert ueber git.encry.de. Bei einer anderen ClusterIP/einem
-      # anderen Port hier anpassen (kubectl get svc -n <namespace> gitea).
-      REGISTRY_PUSH: 10.43.210.222:80
+      # Gitea-Registry-Push laeuft ueber den Cluster-internen Service-Namen
+      # statt git.encry.de: Docker-Registry-Blob-Uploads (PUT) vertragen sich
+      # nicht mit dem Cloudflare-Proxy vor git.encry.de — "413 Payload Too
+      # Large" auch bei kleinen Layern, unabhaengig von der eigentlichen
+      # Groesse. Der Runner-Pod (gitea-runner, Namespace "gitea") erreicht
+      # den Gitea-Service direkt ueber Kubernetes-DNS ("gitea:80" — siehe
+      # dessen eigene GITEA_INSTANCE_URL-Env, die denselben Hostnamen nutzt),
+      # ohne ueber Cloudflare zu hairpinnen. Push und Pull landen im selben
+      # Registry-Pfad (Owner/Repo:Tag) — der Hostname ist nur die Verbindung,
+      # nicht Teil des gespeicherten Images, daher bleibt der Pull in den
+      # k8s-Manifesten unveraendert ueber git.encry.de.
+      REGISTRY_PUSH: gitea:80
     steps:
       - name: Code auschecken
         uses: actions/checkout@v4
@@ -51,7 +51,7 @@ jobs:
           # REGISTRY_PUSH ist Klartext-HTTP (Gitea-Service intern ohne TLS)
           # statt HTTPS — BuildKit lehnt das ohne diese Freigabe ab.
           config-inline: |
-            [registry."10.43.210.222:80"]
+            [registry."gitea:80"]
               http = true
 
       - name: Bei der Gitea-Container-Registry anmelden