diff --git a/compose.yml b/compose.yml
index 28e072a..580759b 100644
--- a/compose.yml
+++ b/compose.yml
@@ -16,6 +16,10 @@ services:
       DTRACK_API_KEY: ${DTRACK_API_KEY:?bitte in .env setzen}
       # Persistente Config; UI-Aenderungen ueberleben Neustarts.
       DTRACK_CONFIG: /data/config.toml
+      # RBAC-Policy (optional). Leer = flache DTRACK_HTTP_TOKENS-Liste.
+      # Zum Aktivieren: permissions.toml.example -> ./data/permissions.toml,
+      # dann DTRACK_PERMISSIONS=/data/permissions.toml in der .env.
+      DTRACK_PERMISSIONS: ${DTRACK_PERMISSIONS:-}
       # Kommagetrennte erlaubte Bearer-Tokens; leer = ungeschuetzt (nur lokal).
       DTRACK_HTTP_TOKENS: ${DTRACK_HTTP_TOKENS:-}
       # "1" = TLS-Pruefung aus (Notbehelf bei internem CA-Cert).