diff --git a/roles/firewall/tasks/main.yml b/roles/firewall/tasks/main.yml
index 3b96da5..14e1584 100644
--- a/roles/firewall/tasks/main.yml
+++ b/roles/firewall/tasks/main.yml
@@ -53,10 +53,23 @@
     mode: "0644"
   when: tuxflotte_state == "present"
 
+# Live gefunden (19.09.2026, erster QEMU-E2E-Testlauf mit dem schlanken
+# "debian-13-base"-Backend): auf einem frischen Geraet, auf dem "firewall"
+# nie ausgewaehlt war, ist ufw nie installiert worden - das
+# community.general.ufw-Modul scheitert dann fatal ("Failed to find
+# required executable 'ufw'"), obwohl "deaktivieren, das ohnehin nie aktiv
+# war" ein reiner No-op sein sollte. Genau wie bei roles/guest-session/:
+# vorher pruefen statt blind aufrufen.
+- name: Check whether ufw is installed
+  ansible.builtin.stat:
+    path: /usr/sbin/ufw
+  register: tuxflotte_ufw_binary
+  when: tuxflotte_state == "absent"
+
 - name: ufw deaktivieren (Auftrag abgewählt)
   community.general.ufw:
     state: disabled
-  when: tuxflotte_state == "absent"
+  when: tuxflotte_state == "absent" and tuxflotte_ufw_binary.stat.exists
 
 # Live beim Testen gefunden (10.09.2026): "deaktivieren" allein liess das
 # Paket installiert stehen - inkonsistent zum Rest des Katalogs, wo