diff --git a/app/services/preflight.py b/app/services/preflight.py
index 99ad281..c44e430 100644
--- a/app/services/preflight.py
+++ b/app/services/preflight.py
@@ -80,8 +80,11 @@ def run(tenant_id: str, *, mw_http=None, oidc_client=None, self_get=None) -> dic
     # Secrets / OIDC / STT
     will_create = oc["mode"] == "managed" and onyva_login.key_present() and not has_oidc_secrets
     real_missing = [m for m in missing if not (will_create and m in ("OIDC_CLIENT_ID", "OIDC_CLIENT_SECRET"))]
+    hint = "Tenant → Secrets (tenantspezifisch) bzw. Einstellungen → Geteilte Secrets (z. B. CORTECS_API_KEY)."
+    if draft:
+        hint += " Geprüft wird der VERÖFFENTLICHTE Stand – Änderungen im Entwurf (z. B. STT-Provider) erst veröffentlichen."
     add("secrets", "ok" if not real_missing else "fail", "Pflicht-Secrets", "vollständig" if not real_missing else "fehlen: " + ", ".join(real_missing),
-        "" if not real_missing else "Tenant → Secrets (tenantspezifisch) bzw. Einstellungen → Geteilte Secrets (z. B. CORTECS_API_KEY).")
+        "" if not real_missing else hint)
     if will_create:
         add("oidcnew", "info", "OIDC-Client", "wird beim Deploy automatisch im Login angelegt (Client-ID/-Secret sofort gespeichert)")
     elif oc["mode"] != "off" and not onyva_login.key_present():
@@ -92,7 +95,7 @@ def run(tenant_id: str, *, mw_http=None, oidc_client=None, self_get=None) -> dic
         add("members", "warn", "Freigaben", "auth_mode „required“, aber keine Nutzer gepflegt – niemand kann sich anmelden",
             "Domain & Login → Freigaben: mindestens dich eintragen (Nutzer muss im Login existieren).")
     if stt_provider != "cortecs":
-        add("stt", "info", "STT-Provider", stt_provider + " – braucht MISTRAL_API_KEY")
+        add("stt", "info", "STT-Provider (veröffentlichter Stand)", stt_provider + " – braucht MISTRAL_API_KEY" + (" · im Entwurf evtl. schon geändert, aber noch nicht veröffentlicht" if draft else ""))
     # Inhalt
     with session() as db:
         t = db.get(Tenant, tenant_id)