diff --git a/deploy/compose.yml b/deploy/compose.yml
index 4a27eb9..4f46d95 100644
--- a/deploy/compose.yml
+++ b/deploy/compose.yml
@@ -45,8 +45,14 @@ services:
       KM_EMBED: ${KM_EMBED:-0}
       KM_OLLAMA_URL: ${KM_OLLAMA_URL:-http://10.18.5.30:11434}
       KM_PORT: "8390"
+      # requests bringt ein eigenes CA-Bündel mit (certifi) und kennt die
+      # interne CA (acme.lan) nicht -- ohne diese Zeile scheitert jeder
+      # Aufruf an git.home mit CERTIFICATE_VERIFY_FAILED (hive.home, 04.09.).
+      REQUESTS_CA_BUNDLE: /etc/ssl/certs/ca-certificates.crt
     volumes:
       - /srv/km/data:/data
+      # CA-Bündel des Wirts, inklusive interner Root-CA -- wie bei caddy
+      - /etc/ssl/certs/ca-certificates.crt:/etc/ssl/certs/ca-certificates.crt:ro
 
   silverbullet:
     image: ghcr.io/silverbulletmd/silverbullet:v2