diff --git a/roles/guest-session/tasks/main.yml b/roles/guest-session/tasks/main.yml
index 5ec8982..8d44935 100644
--- a/roles/guest-session/tasks/main.yml
+++ b/roles/guest-session/tasks/main.yml
@@ -29,11 +29,14 @@
     password_lock: true
   when: tuxflotte_state == "present"
 
-# Debian/LightDM bringt diese Zeile bereits standardmäßig mit (idempotent,
-# lineinfile dupliziert nicht) - auf Fedora/GDM muss sie ergänzt werden.
+# Debian/LightDM bringt eine Zeile mit identischer Wirkung bereits
+# standardmäßig mit, allerdings mit anderer Formatierung - regexp erkennt
+# sie als bereits erfüllt (kein Duplikat). Auf Fedora/GDM existiert noch
+# nichts Passendes, die Zeile wird frisch eingefügt.
 - name: Allow passwordless login for nopasswdlogin group
   ansible.builtin.lineinfile:
     path: "{{ tuxflotte_guest_pam_auth_file }}"
+    regexp: '^auth\s+sufficient\s+pam_succeed_if\.so\s+user\s+ingroup\s+nopasswdlogin\s*$'
     line: "auth        sufficient                                  pam_succeed_if.so user ingroup nopasswdlogin"
     insertbefore: BOF
     state: present