diff --git a/docs/13-anmeldung-sso.md b/docs/13-anmeldung-sso.md
index 3db8dd1..ed1c7cb 100644
--- a/docs/13-anmeldung-sso.md
+++ b/docs/13-anmeldung-sso.md
@@ -146,9 +146,13 @@ vertraulicher Client mit Secret.
 | --- | --- | --- |
 | `MS_SSO_ENABLED` | ja | nur `true` schaltet die Anmeldung ein |
 | `MS_SSO_REDIRECT_URI` | ja | exakt die in Entra eingetragene Adresse |
-| `MS_SSO_ALLOWED_DOMAINS` | nein | Positivliste von E-Mail-Domains, leer = keine zusätzliche Prüfung |
+| `MS_SSO_ALLOWED_DOMAINS` | nein | Positivliste von E-Mail-Domains, leer = keine zusätzliche Prüfung. Im Betrieb: `perinco.de,icon-experts.de` |
 | `MS_TENANT_ID`, `MS_CLIENT_ID`, `MS_CLIENT_SECRET` | ja | dieselben Werte wie beim Postfach |
 
+Nicht jedes CRM-Konto trägt eine `@perinco.de`-Adresse - `icon-experts.de`
+gehört dazu. Wer eine Domain vergisst, sperrt die betroffenen Leute vom
+Microsoft-Weg aus; die Anmeldung mit Passwort funktioniert für sie weiterhin.
+
 > Die Werte werden **beim Start** gelesen. Nach einer Änderung an der `.env`
 > muss `perinco-crm-backend` neu starten. Fehlt etwas, bleibt die Anmeldung aus
 > und der Einstellungsreiter *Anmeldung* nennt die fehlende Variable beim Namen -
diff --git a/server/.env.example b/server/.env.example
index f380eb0..2a93cdd 100644
--- a/server/.env.example
+++ b/server/.env.example
@@ -119,4 +119,5 @@ MS_SSO_REDIRECT_URI=https://crm.perinco.de/api/auth/sso/callback
 
 # Optionale Einschraenkung auf E-Mail-Domains, kommagetrennt. Leer = keine
 # zusaetzliche Pruefung; Tenant und vorhandenes CRM-Konto begrenzen ohnehin.
-MS_SSO_ALLOWED_DOMAINS=perinco.de
+# icon-experts.de gehoert dazu - Konten dieser Domain arbeiten mit im CRM.
+MS_SSO_ALLOWED_DOMAINS=perinco.de,icon-experts.de