Initial commit

docs/SECURITY.md

@@ -0,0 +1,12 @@
+# Sicherheit
+
+- Keine ausgefüllten `.env`-Dateien, Signal-Daten oder Modellzugangsdaten committen.
+- Lokale Konfigurationen werden mit Modus `0600` angelegt.
+- Signal- und Telegram-Ziele werden ausschließlich aus `~/.hermes/.env` gelesen.
+- Signal-Zugriff per `SIGNAL_ALLOWED_USERS` oder Hermes-DM-Pairing beschränken.
+- `GATEWAY_ALLOW_ALL_USERS` nicht für einen Agenten mit Terminalzugriff verwenden.
+- Das Update löscht beim Rollback nur einen geprüften Pfad innerhalb von `$HOME`,
+  dessen letzter Bestandteil `hermes-agent` ist.
+- Backups enthalten Secrets und müssen wie Zugangsdaten geschützt werden.
+- Gitea-Repository privat halten, auch wenn keine Secrets eingecheckt werden.
+- Vor produktivem Einsatz `git diff --cached` und Secret-Scanning ausführen.