diff --git a/README.md b/README.md
index 69d4095..e650b48 100644
--- a/README.md
+++ b/README.md
@@ -110,7 +110,7 @@ PostgreSQL müssen nicht installiert sein):
 ```bash
 docker compose --env-file .env.local up -d --build
 # App: Port 3000 (hinter Reverse-Proxy mit HTTPS betreiben)
-# PostgreSQL: Port 5433
+# PostgreSQL: kein Host-Port, nur intern im Compose-Netzwerk erreichbar
 ```
 
 Vor dem ersten Start: eine leere `ZUGANGSDATEN.md` im Projektverzeichnis
diff --git a/docker-compose.yml b/docker-compose.yml
index b82d7d4..17196c4 100644
--- a/docker-compose.yml
+++ b/docker-compose.yml
@@ -50,10 +50,10 @@ services:
     environment:
       POSTGRES_DB: canteen_menu
       POSTGRES_PASSWORD: ${LOCAL_PG_PASSWORD:-canteen_menu}
-    ports:
-      # Host-Port 5433, da 5432 meist schon von einer nativen
-      # PostgreSQL-Installation belegt ist.
-      - "5433:5432"
+    # Bewusst kein "ports:"-Mapping: die Datenbank ist nur innerhalb des
+    # Compose-Netzwerks unter "db:5432" erreichbar (für app/dev), nicht
+    # vom Host oder von außen. Zugriff für Debugging/Backups über
+    # "docker compose exec db psql -U postgres canteen_menu".
     volumes:
       - pgdata:/var/lib/postgresql/data
     restart: unless-stopped