diff --git a/README.md b/README.md
index ee461e3..58d7e7a 100644
--- a/README.md
+++ b/README.md
@@ -487,10 +487,26 @@ In der `.env`:
 AUTH_ENABLED=true
 ```
 
-Danach `docker compose up -d`. Beim nächsten Aufruf erscheint die
-**Ersteinrichtung** und du legst den ersten Administrator an. Diese Seite
-schließt sich, sobald es einen Benutzer gibt — danach führt sie zur normalen
-Anmeldung.
+Danach:
+
+```bash
+docker compose up -d
+```
+
+Beim nächsten Aufruf erscheint die **Ersteinrichtung** und du legst den
+ersten Administrator an. Diese Seite schließt sich, sobald es einen Benutzer
+gibt — danach führt sie zur normalen Anmeldung.
+
+> **Fehlt die Zeile in deiner `.env`?** Die `.env` wird von `git pull` nicht
+> angefasst — sie gehört bewusst nicht ins Repository. Wurde sie vor
+> Einführung der Anmeldung angelegt, fehlt `AUTH_ENABLED` darin. Einfach
+> ergänzen; ohne die Zeile gilt `false`.
+
+Ob es angekommen ist, zeigt:
+
+```bash
+docker compose exec app env | grep AUTH_ENABLED
+```
 
 > **Aussperren ist nicht möglich.** Der Schalter steht bewusst in der `.env`
 > und nicht in der Oberfläche. Wer den Zugang verliert, setzt
diff --git a/docker-compose.yml b/docker-compose.yml
index f9383ee..a480278 100644
--- a/docker-compose.yml
+++ b/docker-compose.yml
@@ -28,9 +28,16 @@ services:
       db:
         condition: service_healthy
     environment:
+      # Achtung beim Ergänzen: Compose liest die .env nur, um Platzhalter wie
+      # ${BASE_URL} zu ersetzen. In den Container gelangt ausschließlich, was
+      # hier aufgeführt ist — eine neue Variable in der .env allein bleibt
+      # wirkungslos.
+      #
       # Öffentliche Adresse der App — landet in jedem dynamischen QR-Code.
       BASE_URL: ${BASE_URL:-http://localhost:3000}
       DATABASE_URL: ${DATABASE_URL}
+      # Anmeldung mit Benutzern, Gruppen und Rollen.
+      AUTH_ENABLED: ${AUTH_ENABLED:-false}
     ports:
       # Direktes Port-Mapping, bewusst ohne Reverse Proxy.
       - "${APP_PORT:-3000}:3000"