diff --git a/SCK-IT-Infrastruktur-mermaid.md b/SCK-IT-Infrastruktur-mermaid.md
new file mode 100644
index 0000000..e241570
--- /dev/null
+++ b/SCK-IT-Infrastruktur-mermaid.md
@@ -0,0 +1,78 @@
+# SCK IT-Infrastruktur (Stand 26.01.2026)
+
+> **Funktionstest:** aus `SCK-IT-Infrastruktur.drawio` nach Mermaid rekonstruiert.
+> Die draw.io-Verbindungslinien hängen an Icon-Shapes ohne Text – die Topologie wurde
+> daher aus den **Box-Labels** (Subnetze/IPs/Standorte) plus dem dokumentierten CK-Netz
+> abgeleitet. **Geräte/Subnetz-Zuordnung zuverlässig**, einzelne Links (VPN, Cloud) sind
+> sinngemäß gesetzt – bitte gegen das Original prüfen.
+
+```mermaid
+flowchart TB
+  INT(("Internet")):::net
+
+  subgraph PFB["Standort Pferdebachstr. · 10.128.40.0/24"]
+    FW40["Firewall Sophos XGS<br/>10.128.40.1"]:::fw
+    SW40["Switch 40er"]:::net
+    P40["Drucker OG1/OG2/EG<br/>KM Bizhub .24/.25/.26"]:::dev
+    CL40["3x Lenovo ThinkPad + Docking<br/>1x MacBook"]:::dev
+    NAS40["NAS"]:::dev
+    SALTO["VM Salto-Server<br/>10.128.40.6/.7"]:::dev
+    VOIP["VoIP Grandstream HT802 .153<br/>Tuer Pferdebachstr."]:::dev
+    subgraph WL40["WLAN Pferdebachstr."]
+      AP40["APs .31-.33 AP55C"]:::net
+      W40a["ckoffice-static 10.128.40.0/24"]:::wifi
+      W40g["ckoffice-gast 10.128.50.0/24"]:::wifi
+    end
+    FW40 --> SW40
+    SW40 --> P40 & CL40 & NAS40 & SALTO & VOIP & AP40
+    AP40 --> W40a & W40g
+  end
+
+  subgraph RUHR["Standort Ruhrstr. · 10.128.30.0/24"]
+    FW30["Firewall Sophos XGS126<br/>SFOS 21.5.1 · 10.128.30.1"]:::fw
+    SW30["Switch 30er"]:::net
+    P30["Drucker EG KM C308 .10"]:::dev
+    CL30["2x Lenovo ThinkPad + Docking<br/>1x MacBook"]:::dev
+    NAS30["NAS"]:::dev
+    subgraph WL30["WLAN Ruhrstr."]
+      AP30["APs .31-.33 AP55C"]:::net
+      W30o["evpop-office 10.128.30.0/24"]:::wifi
+      W30g["evpop-gast 10.128.20.0/24"]:::wifi
+      W30c["ckoffice-ruhrstr 10.128.10.0/24"]:::wifi
+    end
+    FW30 --> SW30
+    SW30 --> P30 & CL30 & NAS30 & AP30
+    AP30 --> W30o & W30g & W30c
+  end
+
+  subgraph SW["Client-Software (Standard)"]
+    direction LR
+    S1["Win11 · M365 Office + Teams + 1Password"]:::sw
+    S2["Sophos Endpoint Agent"]:::sw
+    S3["Softphone inopla"]:::sw
+  end
+
+  subgraph CLOUD["Cloud-Anwendungen"]
+    BC["Dynamics Business Central<br/>FiBu / DocBox"]:::cloud
+    CRM["Dynamics Customer Service<br/>CRM"]:::cloud
+    VIV["Vivenu · Events/Ticketing"]:::cloud
+    BRE["Brevo · Newsletter"]:::cloud
+    FRB["FRB Fundraising Box<br/>Spenden"]:::cloud
+    INO["Inopla · Telefonanlage"]:::cloud
+  end
+
+  INT --> FW40 & FW30
+  FW40 <-. Site-to-Site VPN .-> FW30
+  CL40 -.-> SW
+  CL30 -.-> SW
+  SW -.-> CLOUD
+  INO -.-> S3
+  VOIP -.-> INO
+
+  classDef net fill:#e7e7ff,stroke:#779;
+  classDef fw fill:#ffd9d9,stroke:#c55,stroke-width:2px;
+  classDef dev fill:#fff,stroke:#aaa;
+  classDef wifi fill:#e3f3e3,stroke:#5a5;
+  classDef sw fill:#fff3cd,stroke:#cb5;
+  classDef cloud fill:#d9ecff,stroke:#48c;
+```