diff --git a/README.md b/README.md
index 1d12931..63e63fb 100644
--- a/README.md
+++ b/README.md
@@ -10,6 +10,7 @@ Scheduled Task (normales dediziertes Servicekonto)
   | jede Minute: BizTalkCheckmkPulse.exe --collect
   v
 lokales BizTalk-WMI + BizTalk-SQL + Application Event Log
+  + parallele TCP-/UDP-Netzwerkprobes zu aktiven BizTalk-Endpunkten
   |
   | atomarer, versionierter, SHA-256-geschuetzter Snapshot
   v
@@ -28,6 +29,38 @@ dedizierte Provider-Konto wird in die konfigurierte BizTalk Server Read Only
 Users-Gruppe aufgenommen. Der Checkmk-Consumer liest keine BizTalk-Datenbank,
 verwendet kein WMI und nimmt keine Identitaetswechsel vor.
 
+## Endpoint-Erreichbarkeitspruefung
+
+Der Provider prueft die netzwerktechnische Erreichbarkeit der externen Ziele
+aktiver BizTalk Send Ports und Receive Locations. Die Funktion ist im eigenen
+Checkmk-Service `BizTalk Endpoint Reachability` zusammengefasst:
+
+- Beruecksichtigt werden nur Send Ports mit `Status=Started` und Receive
+  Locations mit `IsDisabled=false`. Dynamische Send Ports werden nicht als
+  statisches Ziel interpretiert.
+- Fehlt der lokale Endpoint-Katalog, wird er aus den bereits gelesenen
+  `MSBTS_SendPort`- und `MSBTS_ReceiveLocation`-Daten aufgebaut. Alle
+  168 Stunden erfolgt ein vollstaendiger Abgleich mit der BizTalk-Umgebung.
+- HTTP(S), SFTP, FTP, WCF/`net.tcp` und UNC/SMB werden durch einen reinen
+  TCP-Verbindungsaufbau zu Host und Port geprueft. Explizite
+  `udp://host:port`-Ziele verwenden ein UDP-Datagramm.
+- Es werden weder HTTP-Aufrufe noch Anmeldungen, fachliche Requests oder
+  BizTalk-Nachrichten gesendet. Der Check validiert DNS, Netzwerkpfad,
+  Firewall und bei TCP einen annehmenden Zielport, nicht die fachliche
+  Funktion des entfernten Dienstes.
+- Im OK-Fall meldet Checkmk nur, dass alle aktiven Endpunkte erreichbar sind.
+  Bei einem Fehler werden ausschliesslich die nicht erreichbaren Endpunkte
+  ausgegeben; lange Listen sind begrenzt, die Metriken bleiben vollstaendig.
+- Doppelte Protokoll-/Host-/Port-Ziele werden nur einmal verbunden. Mit den Defaults
+  benoetigen 70 vollstaendig timeoutende eindeutige Ziele theoretisch etwa
+  15 Sekunden; die harte Standardgrenze von 100 Zielen liegt bei etwa
+  21 Sekunden.
+
+Der Checkmk-Agent fuehrt diese Netzwerkprobes nicht selbst aus. Er liest als
+`LocalSystem` weiterhin ausschliesslich den validierten lokalen Snapshot.
+Details zum Katalog und zu manuellen Overrides stehen in
+[docs/EndpointCatalog.md](docs/EndpointCatalog.md).
+
 ## Warum die Architektur geaendert wurde
 
 Der ACC-Test vom 29.07.2026 zeigte: