diff --git a/README.md b/README.md
index 89839e5..c91c441 100644
--- a/README.md
+++ b/README.md
@@ -7,4 +7,9 @@ Folgende Geräte und Server werden duch dieses Ansible Repository verwaltet:
 
 Die Konfigurationsdateien liegen unter `playbooks/files/configs` bzw. `playbooks/templates/configs` und werden für Hosts jeweils in einer `host_vars`-Datei im Inventory geladen.
 
-Es befinden sich durch Ansible Vault verschlüsselte Secrets in diesem Repository. Das Passwort zum Entschlüsseln der Secrets befindet sich im [password-store](https://gitlab.hamburg.ccc.de/ccchh/password-store).
+## Secrets
+
+Grundsätzlich sollten Secrets vermieden werden. (Also z.B.: Nutze SSH Keys statt Passwort.)
+
+Da Secrets aber durchaus doch gebraucht werden, werden diese dann in diesem Repo direkt aus dem [password-store](https://gitlab.hamburg.ccc.de/ccchh/password-store) (meist aus einem Sub-Eintrag des `noc/` Ordners) geladen.
+Dies geschieht mit Hilfe des `community.general.passwordstore` lookup Plugins.