diff --git a/README.md b/README.md
index f2389bd..3ff1669 100644
--- a/README.md
+++ b/README.md
@@ -33,6 +33,8 @@ curl -fsSL https://gitea.m-m.bio/mm/netbird-telegraf-installer/raw/branch/main/i
 | `--apache-log <pfad>` | Access-Log (Default `/var/log/apache2/access.log`) |
 | `--uninstall` | alles entfernen |
 
+**Root-Rechte:** Das Script braucht sie (Dienst, `/etc/telegraf`). Auf PVE, in LXC-Containern und überall, wo du schon root bist: **kein `sudo`** — es ist dort oft nicht installiert. Auf normalen Desktops/Servern mit eigenem Benutzer: `| sudo sh -s -- …`.
+
 Ablauf: Paketquelle von InfluxData (apt/dnf/apk) oder statisches Binary (amd64/arm64/armv7) → `/etc/telegraf/telegraf.conf` + `telegraf.d/` aus diesem Repo → `/etc/default/telegraf` mit NODE_NAME, PROM_URL, LOKI_URL, TELEGRAF_TOKEN → systemd-Dienst `telegraf`, enabled, Konfig-Test vor dem Start.
 
 ### Direktweg (Node ist NetBird-Peer)
@@ -51,14 +53,17 @@ pveum user token add telegraf@pve monitoring -privsep 1     # UUID notieren!
 pveum acl modify / -token 'telegraf@pve!monitoring' -role PVEAuditor
 ```
 
-Dann auf **jedem PVE-Knoten** (auf dem Host selbst, nicht in einer VM):
+Dann auf **jedem PVE-Knoten** (auf dem Host selbst, nicht in einer VM).
+**Auf PVE gibt es kein `sudo`** — du bist dort bereits root, also ohne `sudo`:
 
 ```sh
 curl -fsSL https://gitea.m-m.bio/mm/netbird-telegraf-installer/raw/branch/main/install.sh \
-  | sudo sh -s -- --name pve1 --token <BEARER-TOKEN> \
+  | sh -s -- --name pve1 --token <BEARER-TOKEN> \
       --role proxmox --pve-token 'telegraf@pve!monitoring=<UUID>'
 ```
 
+> Auf Debian/Ubuntu/Normalnutzer dagegen `| sudo sh -s -- …` verwenden. Das Script prüft `id -u` selbst und bricht mit klarer Meldung ab, wenn es nicht root ist.
+
 `--pve-node` und `--pve-url` sind optional: Ohne Angabe ermittelt das Script den Knotennamen per `pvesh get /nodes` und nutzt `https://127.0.0.1:8006/api2/json`.
 
 | Option | Bedeutung |