diff --git a/scripts/build_customer_iso.sh b/scripts/build_customer_iso.sh
index 4a05de5..0262305 100755
--- a/scripts/build_customer_iso.sh
+++ b/scripts/build_customer_iso.sh
@@ -81,7 +81,18 @@ xorriso -indev "${SOURCE_ISO}" -osirrox on -extract /live/filesystem.squashfs \
     "${WORK_DIR}/orig.squashfs" >/dev/null
 
 echo "Entpacke Squashfs..."
-unsquashfs -d "${WORK_DIR}/root" "${WORK_DIR}/orig.squashfs" >/dev/null
+# "-excludes ... dev" schliesst /dev von der Extraktion aus - live auf anode
+# gefunden (01.09.2026): anode laeuft in einem LXC-Container, der CAP_MKNOD
+# grundsaetzlich blockiert (auch fuer root) - unsquashfs scheiterte beim
+# Wiederherstellen der paar Geraetedateien im Boot-Medium-Squashfs
+# (/dev/null, /dev/console, ...) mit "Operation not permitted". Anders als
+# beim Golden Image (siehe package_golden_image.sh) ist das hier unkritisch:
+# das Boot-Medium ist nur der Installations-Vermittler, nicht das
+# ausgelieferte System - devtmpfs erzeugt /dev beim tatsaechlichen Boot
+# ohnehin automatisch neu, die gebackenen Geraetedateien sind nie
+# load-bearing.
+unsquashfs -excludes -d "${WORK_DIR}/root" "${WORK_DIR}/orig.squashfs" dev ||
+    { echo "Error: Squashfs konnte nicht entpackt werden." >&2; exit 1; }
 
 echo "Schreibe personalisierte installer.conf..."
 mkdir -p "${WORK_DIR}/root/opt/tuxflotte/config"