diff --git a/server/.env.example b/server/.env.example
index 991fd97..8025041 100644
--- a/server/.env.example
+++ b/server/.env.example
@@ -14,7 +14,7 @@ DB_NAME=perinco_pulse
 # Signiert die Sitzungen. Langer Zufallswert:
 #   node -e "console.log(require('crypto').randomBytes(48).toString('hex'))"
 JWT_SECRET=changeme-langer-zufallswert
-JWT_EXPIRES_IN=12h
+JWT_EXPIRES_IN=7d
 
 # Verschluesselt das SSO Client Secret in der Datenbank. Nie aendern, sonst ist
 # das gespeicherte Secret nicht mehr lesbar (dann in den Einstellungen neu setzen).
diff --git a/server/src/middleware/auth.js b/server/src/middleware/auth.js
index 59fd3cf..ee0438d 100644
--- a/server/src/middleware/auth.js
+++ b/server/src/middleware/auth.js
@@ -18,8 +18,11 @@ function secret() {
 }
 
 export function signToken(user) {
+  // Eine Woche ab Anmeldung, ohne Verlaengerung bei Aktivitaet. Deaktivierte
+  // Konten und geaenderte Rollen greifen trotzdem sofort - requireAuth laedt
+  // den Benutzer bei jeder Anfrage frisch.
   return jwt.sign({ sub: user.id, role: user.role }, secret(), {
-    expiresIn: process.env.JWT_EXPIRES_IN || '12h',
+    expiresIn: process.env.JWT_EXPIRES_IN || '7d',
   });
 }