diff --git a/.gitea/workflows/security-scan.yaml b/.gitea/workflows/security-scan.yaml
index 058bd9d..0cdde52 100644
--- a/.gitea/workflows/security-scan.yaml
+++ b/.gitea/workflows/security-scan.yaml
@@ -29,6 +29,12 @@ jobs:
           format: json
           output: trivy-results.json
           exit-code: "0"
+          # github.token ist unter Gitea Actions der Gitea-Runner-Token, nicht gültig für
+          # github.com. Leer lassen, damit der interne setup-trivy-Fallback (Klon von
+          # aquasecurity/trivy zwecks Install-Skript, falls der Binary-Cache-Restore
+          # fehlschlägt) anonym gegen das öffentliche GitHub-Repo läuft statt mit einem
+          # ungültigen Token einen 401 zu provozieren.
+          token-setup-trivy: ""
 
       - name: Install OSV-Scanner
         run: |