diff --git a/caddy/Caddyfile b/caddy/Caddyfile
new file mode 100644
index 0000000..10af5b1
--- /dev/null
+++ b/caddy/Caddyfile
@@ -0,0 +1,7 @@
+{
+  acme_ca https://acme.lan/acme/acme/directory
+}
+
+llm.lan {
+  reverse_proxy localhost:4010
+}
diff --git a/caddy/compose.yml b/caddy/compose.yml
new file mode 100644
index 0000000..2eda409
--- /dev/null
+++ b/caddy/compose.yml
@@ -0,0 +1,22 @@
+# Caddy als eigener oci-Dienst auf dem Gateway-LXC 185020 (llm.lan).
+#
+# Warum getrennt: Caddy hing bis 2026-09-07 im LiteLLM-Stack (llmlite/compose.yml).
+# Damit haette `podman-compose down` fuer LiteLLM auch die TLS-Terminierung von
+# llm.lan mitgenommen -- und der llmrouter (systemd-Unit auf :4010, der eigentliche
+# Gateway) waere von aussen unerreichbar gewesen, obwohl er laeuft. Caddy ueberlebt
+# die LiteLLM-Abschaltung jetzt unabhaengig (42i/intern#1252, Vorarbeit).
+#
+# Quelle: 42i/agents llmrouter/caddy/ -- /srv/caddy/* nie von Hand editieren,
+# agents-pull ueberschreibt (Policy source-before-live).
+services:
+  caddy:
+    image: git.42i.org/42i/caddy
+    container_name: caddy
+    restart: unless-stopped
+    network_mode: host
+    volumes:
+      - /srv/caddy/Caddyfile:/etc/caddy/Caddyfile:ro,Z
+      - /srv/caddy/caddy-data:/data:Z
+      - /srv/caddy/caddy-config:/config:Z
+    labels:
+      io.containers.autoupdate: registry