diff --git a/k8s/05-app-deployment.yaml b/k8s/05-app-deployment.yaml
index c9ab40f..14b5975 100644
--- a/k8s/05-app-deployment.yaml
+++ b/k8s/05-app-deployment.yaml
@@ -82,9 +82,11 @@ spec:
           # Fest auf einen Build gepinnt (Tag sha-<kurzer Commit> aus der
           # Gitea-Pipeline), nie :latest: ein "rollout restart" holt damit
           # kein ungeprueftes neues Image. Neuer Build:
-          #   kubectl -n wabenhain set image deploy/wabenhain-app app=git.encry.de/nick.rosenloecher/wabenhain:sha-<commit>
-          # und den Tag hier nachziehen.
-          image: git.encry.de/nick.rosenloecher/wabenhain:sha-4827c8f
+          #   kubectl -n wabenhain set image deploy/wabenhain-app app=git.encry.de/nick.rosenloecher/wabenhain:sha-<commit>@sha256:<digest>
+          # und hier nachziehen. Tag plus Digest: der Tag ist lesbar, der
+          # Digest macht das Image unveraenderlich (Tags lassen sich in der
+          # Registry ueberschreiben).
+          image: git.encry.de/nick.rosenloecher/wabenhain:sha-4827c8f@sha256:f2433b83f308a80c011844d30539cd798a60574b6065781145bd7638f35d8b12
           imagePullPolicy: IfNotPresent
           securityContext:
             allowPrivilegeEscalation: false