diff --git a/docs/07-anleitung-benutzer.md b/docs/07-anleitung-benutzer.md
index b6e81c3..cff1417 100644
--- a/docs/07-anleitung-benutzer.md
+++ b/docs/07-anleitung-benutzer.md
@@ -929,16 +929,17 @@ Zeigt für jede Börse, ob die Verbindung steht. Zwei Arten:
 * **Geschützte Portale** (Freelance.de, Freelancermap.de) brauchen eine
   angemeldete Sitzung. Dafür exportiert man die Cookies mit der
   Browser-Erweiterung *Cookie-Editor* als JSON und fügt sie unter
-  **Cookie-Import** ein.
+  **Cookie-Import** ein. Das **?** neben der Überschrift zeigt beim Überfahren
+  mit der Maus, wo in Cookie-Editor der Export als JSON sitzt.
 
 ![Börsen-Konten mit Verbindungsstatus je Portal](bilder/scanner-boersen.png)
 
 *Jetzt prüfen* testet eine Verbindung sofort. Steht dort **Abgelaufen /
 CAPTCHA**, hilft nur ein neuer Cookie-Import.
 
-Die Zugangsdaten (Benutzername, Passwort) sind optional - der Scraper versucht
-damit im Notfall eine eigene Anmeldung. Passwörter liegen verschlüsselt in der
-Datenbank.
+Die Zugangsdaten (Benutzername, Passwort) sind optional und werden verschlüsselt
+gespeichert. Eine automatische Anmeldung damit ist **noch nicht eingebaut** - die
+Sitzung kommt derzeit nur über den Cookie-Import.
 
 ## Einstellungen
 
diff --git a/public/help/cookie-editor-export.png b/public/help/cookie-editor-export.png
new file mode 100644
index 0000000..5df04a7
Binary files /dev/null and b/public/help/cookie-editor-export.png differ
diff --git a/src/components/scanner/ScannerPortals.tsx b/src/components/scanner/ScannerPortals.tsx
index 90972c9..66dd2be 100644
--- a/src/components/scanner/ScannerPortals.tsx
+++ b/src/components/scanner/ScannerPortals.tsx
@@ -259,8 +259,38 @@ export const ScannerPortals: React.FC = () => {
           </div>
         </form>
 
-        <form onSubmit={importSession} className={cardClass}>
-          <h3 className="text-base text-ink-900">Cookie-Import</h3>
+        <form onSubmit={importSession} className={`${cardClass} relative`}>
+          {/*
+            Hilfe zum Export per Mouseover. Das Bild zeigt den Export-Dialog von
+            Cookie-Editor; ueber focus-within oeffnet es sich auch per Tastatur.
+            Ausgerichtet an der Karte (relative am form), nicht am Fragezeichen -
+            sonst ragt es rechts ueber die Karte hinaus.
+          */}
+          <div className="group inline-flex items-center gap-2">
+            <h3 className="text-base text-ink-900">Cookie-Import</h3>
+            <button
+              type="button"
+              aria-label="Hilfe zum Cookie-Export"
+              aria-describedby="cookie-import-help"
+              className="flex h-5 w-5 items-center justify-center rounded-full border border-ink-300 text-[11px] font-bold text-ink-500 transition hover:border-brand-300 hover:text-brand-700"
+            >
+              ?
+            </button>
+            <div
+              id="cookie-import-help"
+              role="tooltip"
+              className="pointer-events-none invisible absolute inset-x-3 top-14 z-20 rounded-xl border border-ink-200 bg-surface p-3 opacity-0 shadow-card transition group-focus-within:visible group-focus-within:opacity-100 group-hover:visible group-hover:opacity-100"
+            >
+              <p className="mb-2 text-sm text-ink-700">
+                Auf die Website gehen, einloggen und dann als JSON exportieren. Dies hier einfügen.
+              </p>
+              <img
+                src="/help/cookie-editor-export.png"
+                alt="Cookie-Editor: Export-Knopf unten rechts, dann „JSON“ wählen"
+                className="w-full rounded-lg border border-ink-200"
+              />
+            </div>
+          </div>
           <p className="mt-1 text-xs text-ink-400">
             Cookies aus der Browser-Erweiterung Cookie-Editor als JSON exportieren und hier
             einfügen. Ein roher Cookie-Header wird ebenfalls erkannt.