diff --git a/backend/server/api/magic/register.post.ts b/backend/server/api/magic/register.post.ts
index a52cdee..7ea6e0b 100644
--- a/backend/server/api/magic/register.post.ts
+++ b/backend/server/api/magic/register.post.ts
@@ -78,8 +78,10 @@ export default defineEventHandler(async (event) => {
     }
   }
 
-  // 3. Generiere DNS-Token (48 char base64url-safe)
-  const dnsToken = randomBytes(36).toString("base64url");
+  // 3. Generiere DNS-Token (64 char hex)
+  // WICHTIG: hex statt base64url — AdGuard's clientid muss DNS-Label-konform sein,
+  // verbietet `_` (das base64url als Ersatz für `/` generiert) → 400 "bad hostname label rune".
+  const dnsToken = randomBytes(32).toString("hex");
 
   // 4. Provisioniere AdGuard Client
   const adguardClientName = `magic_${deviceId}`;