diff --git a/.github/workflows/lint.yml b/.github/workflows/lint.yml
index 01ddc84..08b2cba 100644
--- a/.github/workflows/lint.yml
+++ b/.github/workflows/lint.yml
@@ -17,7 +17,7 @@ jobs:
           python-version: "3.12"
 
       - name: Install dependencies
-        run: pip install ruff
+        run: pip install ruff==0.15.22
 
       - name: Run ruff
         run: ruff check src/
diff --git a/README.md b/README.md
index 5740304..0987f84 100644
--- a/README.md
+++ b/README.md
@@ -139,6 +139,9 @@ python3 mailer.py
   nach `ghcr.io/<owner>/icloud-contacts-sync`.
 - Ein separater Cleanup-Job behält jeweils nur die letzten 4 erfolgreich
   gebauten, getaggten Images.
+- Der Lint-Job nutzt `ruff==0.15.22` (gepint) mit der alten Default-Auswahl
+  `E4,E7,E9,F` (siehe `pyproject.toml`), so bleiben die Ergebnisse
+  reproduzierbar und unabhängig von neuen Ruff-Defaults.
 - Details siehe SPEC.md, Abschnitt 9.
 
 ## Bekannte Grenzen und geplante Erweiterungen
diff --git a/SPEC.md b/SPEC.md
index d211fbf..f6efb42 100644
--- a/SPEC.md
+++ b/SPEC.md
@@ -170,7 +170,8 @@ Unverändert gegenüber v1:
 - Nachgelagerter `cleanup`-Job über `dataaxiom/ghcr-cleanup-action`,
   behält die letzten 4 getaggten Images, löscht ungetaggte Artefakte,
   `latest` von der Zählung ausgenommen.
-- `lint.yml`: Ruff-Check auf Pull Requests.
+- `lint.yml`: Ruff-Check (pinned `ruff==0.15.22`, alte Default-Auswahl
+  `E4,E7,E9,F` via `pyproject.toml`) auf Pull Requests.
 
 ## 10. Betrieb auf der Docker-Host
 
diff --git a/pyproject.toml b/pyproject.toml
new file mode 100644
index 0000000..7ff3059
--- /dev/null
+++ b/pyproject.toml
@@ -0,0 +1,2 @@
+[tool.ruff.lint]
+select = ["E4", "E7", "E9", "F"]