diff --git a/migrations/0080_home_verschluesselung.sql b/migrations/0080_home_verschluesselung.sql
new file mode 100644
index 0000000..f93decb
--- /dev/null
+++ b/migrations/0080_home_verschluesselung.sql
@@ -0,0 +1,17 @@
+BEGIN;
+
+-- Verschlüsselte Homes persönlicher Konten (28.10.2026, platform-docs
+-- roadmap/secure-boot-verschluesselung.md Schritt 5): je Organisation aus,
+-- Wahl des Benutzers (Standard verschlüsselt, abwählbar) oder Pflicht. Die
+-- Entscheidung gilt je Konto ab dem Einlösen der Einladung; ein Wechsel geht
+-- nur über eine neue Personalisierung (fscrypt verschlüsselt nur leere
+-- Verzeichnisse).
+
+ALTER TABLE organizations
+    ADD COLUMN home_verschluesselung TEXT NOT NULL DEFAULT 'aus'
+        CHECK (home_verschluesselung IN ('aus', 'wahl', 'pflicht'));
+
+ALTER TABLE personalisierungen
+    ADD COLUMN home_verschluesseln BOOLEAN NOT NULL DEFAULT FALSE;
+
+COMMIT;