diff --git a/.gitea/workflows/build.yml b/.gitea/workflows/build.yml
index 0409338..8979dc9 100644
--- a/.gitea/workflows/build.yml
+++ b/.gitea/workflows/build.yml
@@ -110,7 +110,10 @@ jobs:
       - name: Sign container image
         if: github.event_name != 'pull_request' && env.IS_TEST_BUILD == 'false'
         run: |
-          DIGEST=$(docker inspect --format='{{index .RepoDigests 0}}' humocs-man.duckdns.org/humocs-man/fluffy-pancake:stable)
+          # 1. Wir lösen das Tag in der Registry zu einem Digest auf (kein Docker-Daemon nötig)
+          DIGEST=$(cosign resolve humocs-man.duckdns.org/humocs-man/fluffy-pancake:stable)
+
+          # 2. Wir signieren EXAKT diesen Digest (als OCI-Referenz, nicht als Tag-Signature)
           cosign sign -y \
             --key env://COSIGN_PRIVATE_KEY \
             "$DIGEST"