diff --git a/.gitignore b/.gitignore
index f6b5992..e368869 100644
--- a/.gitignore
+++ b/.gitignore
@@ -3,7 +3,8 @@
 !/data/.gitkeep
 # Schutzdatei muss mit ausgeliefert werden
 !/data/.htaccess
-/data/setup-token.txt
+# Das Einrichtungs-Token gehoert nirgendwo ins Repository.
+setup-token.txt
 /public/uploads/*
 !/public/uploads/.gitkeep
 /vendor/
diff --git a/.htaccess b/.htaccess
index b657c57..82284ab 100644
--- a/.htaccess
+++ b/.htaccess
@@ -21,15 +21,20 @@ AddDefaultCharset UTF-8
     RewriteRule ^(src|templates|migrations|tests|docker|data|vendor|\.git)(/|$) - [F,L]
 
     # 2) Konfigurations- und Projektdateien sperren.
-    RewriteRule ^(\.env|composer\.(json|lock)|phpunit\.xml|Dockerfile|docker-compose\.ya?ml|.*\.md)$ - [F,L]
+    RewriteRule ^(\.env|composer\.(json|lock)|phpunit\.xml|Dockerfile|docker-compose\.ya?ml|.*\.md|build-release\.sh)$ - [F,L]
 
-    # 3) Bereits nach public/ aufgeloeste Anfragen nicht erneut umschreiben.
+    # 3) Das Einrichtungs-Token gehoert nach data/ und ist damit ohnehin
+    #    gesperrt. Falls es doch einmal woanders liegt, hier ebenfalls
+    #    verweigern - es waere sonst der Schluessel zur Installation.
+    RewriteRule (^|/)setup-token\.txt$ - [F,L]
+
+    # 4) Bereits nach public/ aufgeloeste Anfragen nicht erneut umschreiben.
     RewriteCond %{REQUEST_URI} !^/?public/
     RewriteRule ^(.*)$ public/$1 [L]
 </IfModule>
 
 # Zusaetzlicher Schutz, falls mod_rewrite fehlt.
-<FilesMatch "^(\.env.*|composer\.(json|lock)|phpunit\.xml|.*\.md|Dockerfile)$">
+<FilesMatch "^(\.env.*|composer\.(json|lock)|phpunit\.xml|.*\.md|Dockerfile|setup-token\.txt|build-release\.sh)$">
     <IfModule mod_authz_core.c>
         Require all denied
     </IfModule>
diff --git a/public/.htaccess b/public/.htaccess
index d8b5f4b..f4295ba 100644
--- a/public/.htaccess
+++ b/public/.htaccess
@@ -54,6 +54,6 @@ AddDefaultCharset UTF-8
 </IfModule>
 
 # Kein Zugriff auf Konfigurations- und Versionsdateien
-<FilesMatch "^(\.env.*|composer\.(json|lock)|.*\.md|.*\.ya?ml|Dockerfile)$">
+<FilesMatch "^(\.env.*|composer\.(json|lock)|.*\.md|.*\.ya?ml|Dockerfile|setup-token\.txt)$">
     Require all denied
 </FilesMatch>