diff --git a/docs/ARBEITSKARTEN.md b/docs/ARBEITSKARTEN.md
index 00339078..ba4bf12a 100644
--- a/docs/ARBEITSKARTEN.md
+++ b/docs/ARBEITSKARTEN.md
@@ -74,4 +74,5 @@ Offene PRs, die auf Merge warten, stehen unter C-01. Merge-Reihenfolge: erst DB-
 - D-02 Portal auf 131: gebaut, Unit und nginx/nft offen, siehe `docs/BETRIEB-PORTAL.md`.
 - D-03 account-api auf 131: DB-Passwort `nexarch_core` abgleichen (Betreiber), Unit aus Vorlage erneuern.
 - D-04 204: localhost-Adressen in connect/connect-datev/rbac-admin behoben; Port 3113 offen.
-- D-05 Frontends (workflow-tasks, workflow-cases, routing-rules, workflow-approvals, Portal-BFF) von `X-User-Id` auf Bearer umstellen, danach `NEXARCH_WORKFLOW_APP_ALLOW_HEADER_AUTH` entfernen.
+- D-05 Frontends workflow-approvals, workflow-tasks, workflow-cases, routing-rules und Portal-BFF auf Bearer: erledigt (PR #412, #413). Offen: Ende-zu-Ende-Test mit Anmeldung auf 204; connect-*, datev-export, mail-search (case-context), dms2-import senden noch `X-User-Id`; danach `NEXARCH_WORKFLOW_APP_ALLOW_HEADER_AUTH` auf 131 entfernen.
+- D-06 Workflow-Demo auf 204 läuft (siehe `docs/BETRIEB-PORTAL.md`).
diff --git a/docs/BETRIEB-PORTAL.md b/docs/BETRIEB-PORTAL.md
index eb88fee7..8baeffdd 100644
--- a/docs/BETRIEB-PORTAL.md
+++ b/docs/BETRIEB-PORTAL.md
@@ -13,3 +13,9 @@
 - Selbst signiertes Zertifikat: die Ports 8447 und 8448 einmal im Browser bestätigen.
 - Offen: Port 3113 (`kennzahlen_dashboard`) hat keinen Dienst.
 - archivdms-Daten (Dienste `archivdms*`, `/var/archivdms`, `/opt/archivdms`) nicht anfassen.
+
+## 204: Workflow-Demo und Bearer (Stand 2026-10-28)
+- Backend: `workflow-app` (Unit `nexarch-portal-live-workflow-app`, `127.0.0.1:9600`) mit eigenem Postgres-Cluster `/opt/nexarch-portal-live/pg-workflow` (Port 55433, DB `workflow_demo`, Login-Rolle `wf_demo` in Gruppe `nexarch_app`, Verlaufstabelle ohne UPDATE/DELETE). Migrationen: alle `workflow/migrations/tenant/*.up.sql` in Reihenfolge. Konfiguration in `env/workflow.env` (Rechte 600, Geheimnisse zufällig): Mandant `demo`, `NEXARCH_WORKFLOW_APP_JWKS_URL=http://127.0.0.1:8199/auth/module-jwks`, Zielmodul `workflow`, kein `ALLOW_HEADER_AUTH`.
+- Core: `NEXARCH_ACCOUNT_MODULE_AUDIENCES=dms,workflow,portal`. Bei mehr als einer Audience lehnt der Core Token-Anfragen ohne `?module=` ab; alle Frontends mit Sitzung setzen deshalb `NEXT_PUBLIC_TOKEN_MODULE` (Standard `dms`).
+- Frontends: Drop-ins `bearer.conf` für workflow, workflow-cases, routing-rules (`NEXT_PUBLIC_CORE_API_BASE`, `NEXT_PUBLIC_LOGIN_URL`, API-URL auf 9600) und portal (`NEXT_PUBLIC_TOKEN_MODULE=portal`, `PORTAL_CORE_API_URL`, `PORTAL_TOKEN_AUDIENCE=portal`, `PORTAL_WORKFLOW_API_URL`). `NEXT_PUBLIC_*` gilt beim Build: nach Änderung `next build --webpack` und Neustart.
+- Reihenfolge für 131: Audiences im Core setzen, `workflow-app` mit JWKS-URL starten, dann Frontends mit `NEXT_PUBLIC_CORE_API_BASE` bauen; erst danach `NEXARCH_WORKFLOW_APP_ALLOW_HEADER_AUTH` entfernen.