diff --git a/README.md b/README.md
index 2cdb9364..5f598cf4 100644
--- a/README.md
+++ b/README.md
@@ -411,10 +411,10 @@ geschrieben werden. Alles, was vorher im Protokoll steht, bleibt ungeschützt 
 Das ist ein **einmaliger** Schritt: Er zieht ein Siegel über den vorhandenen
 Bestand, sodass spätere Änderungen daran auffallen. Der Ablauf – wer es darf
 (Haken **„Audit-Betrieb"** in der Benutzerverwaltung), was vorher zu prüfen ist
-und wie man das Ergebnis gegenprüft – steht ausführlich in
-**[tools/audit-notary/README.md](tools/audit-notary/README.md)**, Abschnitt
-*„Wenn der erste Lauf `exit=2` meldet: den Altbestand versiegeln"*. Die
-Anleitung gilt auch ohne Gegenbuch.
+und wie man das Ergebnis gegenprüft – steht Schritt für Schritt unter
+**[Den Altbestand versiegeln](tools/audit-notary/README.md#den-altbestand-versiegeln-einmalig-im-crm)**.
+Die Anleitung liegt beim Gegenbuch, gilt aber **auch ohne** – es ist ein
+Vorgang im CRM.
 
 Den Zustand siehst du jederzeit unter **Einstellungen → Audit-Protokoll**, ganz
 oben.
diff --git a/tools/audit-notary/README.md b/tools/audit-notary/README.md
index bd8cfea5..43759e57 100644
--- a/tools/audit-notary/README.md
+++ b/tools/audit-notary/README.md
@@ -11,6 +11,37 @@ kurzen Kontrollwert vom CRM, prüft ihn gegen seine eigene Historie und schreibt
 ihn signiert fort. Wird später im CRM etwas nachträglich verändert,
 widerspricht das dem Gegenbuch.
 
+## Was du hier suchst
+
+**Einrichten**
+[Betriebsart wählen](#zwei-betriebsarten--erst-hier-entscheiden) ·
+[mit Docker](#einrichten-mit-docker-empfohlen) ·
+[erster Start](#erster-start--drei-schritte) ·
+[Zugangskonto im CRM](#zugang-einrichten-das-brauchst-du-vorher) ·
+[ohne Docker](#einrichten-ohne-docker)
+
+**Im Betrieb**
+[**Altbestand versiegeln**](#den-altbestand-versiegeln-einmalig-im-crm) ·
+[Rückgabecodes](#rückgabecodes) ·
+[Überwachung](#überwachung) ·
+[wo die Daten liegen](#wo-die-daten-liegen)
+
+**Wenn Alarm kommt**
+[Siegelwurzel hat gewechselt](#wenn-sich-die-siegelwurzel-ändert-alarm-und-warum) ·
+[Kette wurde neu berechnet](#wenn-die-kette-neu-berechnet-wurde-ebenfalls-alarm) ·
+[Zurückspulen erkannt](#der-rewind-wächter) ·
+[Gedächtnis fehlt](#wenn-das-gedächtnis-trotzdem-fehlt)
+
+**Zum Nachlesen**
+[was erkannt wird](#was-das-skript-erkennt) ·
+[was nicht – ehrlich](#was-es-nicht-leistet--ehrlich) ·
+[Prüfmodus für Auditoren](#prüfmodus-für-auditoren)
+
+> **Nur schnell versiegeln?** Der Abschnitt
+> [Altbestand versiegeln](#den-altbestand-versiegeln-einmalig-im-crm) ist
+> eigenständig und gilt **auch ohne Gegenbuch** – es ist ein Vorgang im CRM,
+> nicht hier.
+
 ## Zwei Betriebsarten – erst hier entscheiden
 
 | | **Lokal** (Normalfall) | **Mit externem Repository** |
@@ -86,7 +117,7 @@ soll nicht versehentlich passieren.
 getrennte Dienste mit getrennten Verzeichnissen und getrennten Schlüsseln.
 Welche laufen, steuert `COMPOSE_PROFILES` in der `.env`.
 
-### Wenn der erste Lauf `exit=2` meldet: den Altbestand versiegeln
+### Den Altbestand versiegeln (einmalig, im CRM)
 
 Ein CRM, das schon länger läuft, hat fast immer einen **Altbestand** – Einträge
 aus der Zeit, bevor das Protokoll signiert wurde. Solange der nicht versiegelt