diff --git a/app.py b/app.py
index 31ba0e2..42fbf81 100644
--- a/app.py
+++ b/app.py
@@ -2462,8 +2462,15 @@ def run_iso_build(build_id, organization_id: str, activation_code: str, wifi_ssi
     volid = compute_iso_volid(organization["name"] if organization else "TUXFLOTTE")
 
     try:
+        # De-Root-Umzug (07.09.2026): der Dienst selbst laeuft nicht mehr als
+        # root, aber build_customer_iso.sh braucht es weiterhin zwingend
+        # (unsquashfs/mksquashfs, CAP_MKNOD - siehe Kommentar dort). Statt den
+        # ganzen Prozess wieder privilegiert laufen zu lassen, nur dieser eine
+        # Aufruf per eng gefasster NOPASSWD-sudo-Regel (siehe
+        # /etc/sudoers.d/provisioning-server-iso-build).
         result = subprocess.run(
             [
+                "sudo",
                 "bash",
                 f"{TUXFLOTTE_INSTALLER_DIR}/scripts/build_customer_iso.sh",
                 MINT_ISO_PATH,