diff --git a/VERSION b/VERSION
index 14d56a2..4da23fd 100644
--- a/VERSION
+++ b/VERSION
@@ -1 +1 @@
-1.3.20
\ No newline at end of file
+1.3.21
\ No newline at end of file
diff --git a/packaging/debian/edgeguard-api/DEBIAN/postinst b/packaging/debian/edgeguard-api/DEBIAN/postinst
index b6093a1..3f013ca 100755
--- a/packaging/debian/edgeguard-api/DEBIAN/postinst
+++ b/packaging/debian/edgeguard-api/DEBIAN/postinst
@@ -879,6 +879,23 @@ WL
             install -o "$EG_USER" -g "$EG_USER" -m 0644 /dev/null \
                 /etc/crowdsec/parsers/s02-enrich/edgeguard-admin-hosts-whitelist.yaml
             sudo -n -u "$EG_USER" /usr/bin/edgeguard-ctl render-config --only=crowdsec-whitelist 2>/dev/null || true
+
+            # CrowdSec-Simulations-Default: http-crawl-non_statics ist bei modernen
+            # SPAs/Apps strukturell FP-anfaellig — ein Seiten-Load/Sync feuert 40+
+            # distinkte /api/-URLs, der Leaky-Bucket (capacity=40, leak ~2/s) laeuft
+            # in Sekunden ueber → False-Positive-Ban legitimer Nutzer/Kunden. Daher
+            # per Default in SIMULATION: alarmiert weiter, bannt aber nicht. Echte
+            # Angriffe (ssh-bf, http-cve-*, backdoors, CVE-2021-41773 …) bleiben
+            # scharf. Nur bei ERST-Install setzen (Marker) → ein spaeteres manuelles
+            # 'cscli simulation disable …' des Operators wird bei Updates NICHT
+            # wieder ueberschrieben.
+            EG_CROWDSEC_SIM_MARKER=/var/lib/edgeguard/.crowdsec-crawl-sim-applied
+            if [ ! -f "$EG_CROWDSEC_SIM_MARKER" ]; then
+                cscli simulation enable crowdsecurity/http-crawl-non_statics 2>/dev/null || true
+                install -d -m 0755 /var/lib/edgeguard
+                : > "$EG_CROWDSEC_SIM_MARKER"
+                systemctl reload crowdsec 2>/dev/null || systemctl restart crowdsec 2>/dev/null || true
+            fi
         fi
 
         # ── Render initial service configs ───────────────────────────