diff --git a/README.md b/README.md
index 3ff1669..71f07ab 100644
--- a/README.md
+++ b/README.md
@@ -51,6 +51,25 @@ Zuerst auf dem PVE-Host den Token anlegen:
 pveum user add telegraf@pve
 pveum user token add telegraf@pve monitoring -privsep 1     # UUID notieren!
 pveum acl modify / -token 'telegraf@pve!monitoring' -role PVEAuditor
+# WICHTIG: PVEAuditor auf / reicht NICHT. Das Plugin fragt zuerst
+# /nodes/<node>/dns ab und braucht dort Sys.Audit, sonst liefert es
+# komplett nichts (kein Fehler im Log, nur leere Metriken):
+pveum acl modify /nodes -token 'telegraf@pve!monitoring' -role PVEAuditor
+pveum acl modify /nodes/<PVE-KNOTENNAME> -token 'telegraf@pve!monitoring' -role PVEAuditor
+```
+
+Falls das nicht greift, eigene Rolle mit Sys.Audit:
+
+```sh
+pveum role add TelegrafAudit -privs "Sys.Audit VM.Audit Datastore.Audit Pool.Audit SDN.Audit"
+pveum acl modify / -token 'telegraf@pve!monitoring' -role TelegrafAudit
+```
+
+**Prüfen** (muss Daten liefern, nicht `null`):
+
+```sh
+curl -sk -H 'Authorization=***' \
+  https://127.0.0.1:8006/api2/json/nodes/<PVE-KNOTEN>/dns
 ```
 
 Dann auf **jedem PVE-Knoten** (auf dem Host selbst, nicht in einer VM).