diff --git a/.env.example b/.env.example
index c4fe942..4107b30 100644
--- a/.env.example
+++ b/.env.example
@@ -15,6 +15,10 @@ DATABASE_URL=postgresql://afis:hier-ein-langes-zufaelliges-passwort@pgbouncer:64
 DIRECT_DATABASE_URL=postgresql://afis:hier-ein-langes-zufaelliges-passwort@db:5432/afis
 
 # --- Anwendung ----------------------------------------------------------------
+# Auf welchem Port die Anwendung auf dem Host erreichbar ist. Im Container
+# hoert sie immer auf 3000; hier steht nur, worauf das abgebildet wird. Ein
+# Reverse Proxy davor leitet auf genau diesen Port.
+WEB_PORT=3000
 # Die öffentliche Adresse der Anwendung. Auth.js baut daraus die redirect_uri
 # für Discord; sie muss zeichengenau im Developer Portal hinterlegt sein als
 #   <APP_URL>/api/auth/callback/discord
diff --git a/compose.yaml b/compose.yaml
index 9d51b04..61ea944 100644
--- a/compose.yaml
+++ b/compose.yaml
@@ -12,8 +12,8 @@
 # also den Quelltext enthalten.
 #
 # HINWEIS ZU DEN PORTS: `PORT` und die Healthchecks bleiben bei 3000 - das ist
-# der Port *im* Container. Wer die Anwendung auf dem Host anders erreichen will,
-# aendert nur die linke Zahl bei `ports`, etwa "3010:3000".
+# der Port *im* Container. Auf welchem Port die Anwendung auf dem Host
+# erreichbar ist, steuert WEB_PORT in der .env.
 
 x-logging: &logging
   logging:
@@ -42,8 +42,11 @@ services:
     volumes:
       - files:/data/files
       - clamav_socket:/var/run/clamav
+    # Links der Port auf dem Host, rechts der im Container. Nur der linke ist
+    # frei waehlbar - ueber WEB_PORT in der .env, damit fuer eine andere
+    # Portwahl keine verfolgte Datei angefasst werden muss.
     ports:
-      - '3000:3000' # nur im LAN, von außen kommt der Tunnel
+      - '${WEB_PORT:-3000}:3000'
     depends_on:
       pgbouncer: { condition: service_healthy }
       clamav: { condition: service_healthy }