diff --git a/docker-compose.yml b/docker-compose.yml
index 405ad42f..da6d0770 100644
--- a/docker-compose.yml
+++ b/docker-compose.yml
@@ -67,6 +67,12 @@ services:
       LISTEN_ADDR: 0.0.0.0
       CORS_ORIGINS: ${CORS_ORIGINS:-}
       HTTPS_ENABLED: ${HTTPS_ENABLED:-false}
+      # SSRF-Schutz: bei Cloud-Deploys auf `true` setzen, sonst kann ein
+      # eingeloggter Admin via Provider-Test-Connection interne Services
+      # anpingen (127/10/172.16/192.168, ::1, localhost). On-Prem-Default
+      # ist `false`, weil Plesk/Dovecot häufig lokal laufen. Cloud-
+      # Metadata-Endpoints sind UNABHÄNGIG vom Flag immer geblockt.
+      SSRF_BLOCK_PRIVATE_IPS: ${SSRF_BLOCK_PRIVATE_IPS:-false}
       RUN_SEED: ${RUN_SEED:-false}
     ports:
       - "${OPENCRM_PORT:-3010}:3001"