diff --git a/apps/authentik/authentik-blueprints.yaml b/apps/authentik/authentik-blueprints.yaml
index 90badb5..661e578 100644
--- a/apps/authentik/authentik-blueprints.yaml
+++ b/apps/authentik/authentik-blueprints.yaml
@@ -466,3 +466,19 @@ data:
           meta_description: Internes Wiki (Betrieb/Anwender), Zugriff nach Gruppe
           policy_engine_mode: any
           open_in_new_tab: false
+
+      # Rollen/Abschottung (#0049). Namen müssen exakt den Wiki.js-Gruppen
+      # entsprechen — sie kommen über den profile->groups-Claim automatisch mit.
+      # Mitglieder werden in der Authentik-UI zugewiesen (sorb), nicht hier.
+      - model: authentik_core.group
+        state: present
+        identifiers:
+          name: wiki-admin
+      - model: authentik_core.group
+        state: present
+        identifiers:
+          name: wiki-betrieb
+      - model: authentik_core.group
+        state: present
+        identifiers:
+          name: wiki-anwender