diff --git a/scripts/build_customer_iso.sh b/scripts/build_customer_iso.sh
index b56d912..820ea9f 100755
--- a/scripts/build_customer_iso.sh
+++ b/scripts/build_customer_iso.sh
@@ -133,4 +133,18 @@ xorriso \
     -update "${WORK_DIR}/new.squashfs" /live/filesystem.squashfs \
     -boot_image any replay
 
+# Laeuft (ueber run_iso_build()s scoped sudo) als root, die Ausgabedatei
+# gehoert deshalb sonst root:root und ist fuer den unprivilegierten
+# provisioning-server-Prozess unlesbar - der haengt dann beim
+# anschliessenden sha256/Groessen-Lesen mit einer unbehandelten
+# PermissionError in seinem Hintergrund-Thread fest (live gefunden,
+# 08.09.2026, siehe Session-Notizen/ADR-0027-Nachtrag: der erste echte
+# ISO-Build nach dem RestrictSUIDSGID-Fix kam bis hierhin durch und deckte
+# diesen zweiten, bis dahin maskierten Bug auf). Best-effort: nur
+# versuchen, wenn der Service-User auf diesem Host existiert (Skript bleibt
+# so auch fuer manuelle/Entwickler-Laeufe ohne diesen User nutzbar).
+if id -u provisioning-server >/dev/null 2>&1; then
+    chown provisioning-server:provisioning-server "${OUTPUT_ISO}"
+fi
+
 echo "Kunden-ISO erstellt: ${OUTPUT_ISO}"