diff --git a/CHANGELOG.md b/CHANGELOG.md
new file mode 100644
index 0000000..f197659
--- /dev/null
+++ b/CHANGELOG.md
@@ -0,0 +1,37 @@
+# Changelog
+
+## 2.7
+
+Server und Mod müssen beide 2.7 sein (Server: `git pull && docker compose up -d --build`).
+
+**Neu**
+- Eigene Spielerfigur im MSC-Stil (Karohemd, Jeans, Arbeitsschuhe, Schnurrbart, Kappe oder Haare, je Spieler etwas
+  anders) statt kopierter NPCs – keine liegenden/verbuggten Figuren mehr
+- Ping-Anzeige oben rechts: `ping` in der F8-Konsole (grün/gelb/rot)
+- Admin-Menü: Cheats (+1.000 / +10.000 MK, Bedürfnisse auffüllen, Satsuma zu sich holen), GOTO / BRING (teleportieren)
+- Fahrzeugzustand-Sync: Tank, Öl, Kühlwasser, Bremsflüssigkeit, Batterie, Schäden, Verschleiß, Kilometerstand, Lack
+- `vehicles` in der Konsole zeigt die Position jedes Fahrzeugs
+
+**Behoben**
+- Auto fiel beim Fahren eines anderen Spielers auseinander (angebaute Teile rissen an ihren Gelenken ab)
+- Auto kippte mit dem Kopf des Fahrers mit und zitterte (Fahrzeug wurde als „in der Hand gehalten“ erkannt)
+- Satsuma wurde weggeschleudert und war „verschwunden“ – ungültige/im Boden liegende Positionen werden jetzt
+  verworfen bzw. angehoben, weggeschleuderte Objekte sofort gestoppt
+- Items und Autos zitterten nach dem Loslassen (Ownership-Pingpong)
+- Absturz beim Beitreten durch einen Kreis in der Objekt-Hierarchie (nachgespielte Montage-Aktion)
+- Tippen im Chat/in der Konsole löste Spieltasten aus (Benutzen, Beifahrer-Taste P …)
+- Maus sprang bei offenem Admin-Menü/Chat immer in die Bildmitte
+- Ein Fehler in einem Sync-Teil legt nicht mehr den ganzen Sync lahm
+- Freie Fahrzeuge: nur noch deutliche Wertänderungen werden abgeglichen (kein gegenseitiges Überschreiben)
+
+**Sicherheit (Server)**
+- Admin-Rechte nur noch für von Steam bestätigte SteamIDs – der Server braucht dafür einen `SteamWebApiKey`
+  (sonst könnte sich jeder als Admin ausgeben). Unbestätigte SteamIDs können niemanden mehr vom Server drängen.
+- Ungültige Positionen werden nicht gespeichert, Paketgröße und Weltzustand sind begrenzt
+
+**Server & Keymaster**
+- Master-Adresse fest (`msco.mbm.wtf`), nicht mehr änderbar
+- Docker läuft als dein Linux-Benutzer (kein „Permission denied“ in `data/` mehr), klare Meldungen statt Absturz
+- `docker exec msco-server msco <befehl>` für Server-Befehle
+- Keymaster: Rate-Limits, Security-Header, Healthcheck, Docs-Seite
+- Automatische Tests: Server `dotnet run --project Tests` (30 Checks), Keymaster `npm run smoke` (24 Checks)