diff --git a/gitops/stack.yml b/gitops/stack.yml
index 2f6ac8a..5571f7c 100644
--- a/gitops/stack.yml
+++ b/gitops/stack.yml
@@ -6,6 +6,11 @@
 networks:
   dockernetwork:
     external: true
+  # Stack-internes Netz für web<->db. db darf NICHT ins geteilte dockernetwork:
+  # Compose registriert dort den Service-Namen "db" als DNS-Alias, was in fremden
+  # Stacks (z.B. healthjournal, Host=db) die Namensauflösung kapert — und der
+  # Postgres wäre für jeden Container im Proxy-Netz erreichbar.
+  internal:
 
 services:
   web:
@@ -14,6 +19,7 @@ services:
     restart: unless-stopped
     networks:
       - dockernetwork
+      - internal
     expose:
       - "80"
     environment:
@@ -33,7 +39,7 @@ services:
     container_name: tools_bergvolt_at-db
     restart: unless-stopped
     networks:
-      - dockernetwork
+      - internal
     environment:
       POSTGRES_USER: materialschein
       POSTGRES_PASSWORD: ${POSTGRES_PASSWORD}