diff --git a/frontend/src/pages/users/UserList.tsx b/frontend/src/pages/users/UserList.tsx
index 10e6f945..0d7fb07b 100644
--- a/frontend/src/pages/users/UserList.tsx
+++ b/frontend/src/pages/users/UserList.tsx
@@ -337,8 +337,13 @@ function UserModal({
         }
         updateMutation.mutate(updateData, {
           onSuccess: () => {
+            // Der axios-Response-Interceptor wirft `.response` weg und
+            // legt die Backend-Meldung nach `err.message` – deshalb hier
+            // nicht `err.response.data.error` lesen, sonst sieht der
+            // Admin nur den Fallback und weiß nicht, dass Staff-
+            // Passwörter min. 25 Zeichen + Sonderzeichen brauchen.
             userApi.setPassword(user.id, formData.password, formData.currentPassword).catch((err) => {
-              alert(err?.response?.data?.error || 'Passwort konnte nicht gesetzt werden');
+              alert(err?.message || 'Passwort konnte nicht gesetzt werden');
             });
           },
         });