Automatischer Push der Anweisungsschicht

Der Vault-Root pusht ab jetzt nach jeder Änderung an CLAUDE.md,
AI/Regelwerk/, .claude/agents/, .claude/skills/, .claude/settings.json
oder .vault-tools/ selbsttätig nach Gitea.

- .vault-tools/auto-push/auto_push.py: PostToolUse-Hook, committet und
  pusht. Fehlendes Token, fehlendes Remote und gescheiterter Push sind
  Befunde und gehen in den Kontext, nicht ins Schweigen.
- .vault-tools/auto-push/askpass.py: reicht GITEA_TOKEN an git weiter,
  damit es weder in .git/config noch in einer Kommandozeile steht.
- .vault-tools/auto-push/faelle_auto_push.py: 28 Fälle gegen ein echtes
  Wegwerf-Repo mit echtem Remote, alle bestanden. Der Lauf hat zwei
  Fehler gefunden, die jetzt behoben sind: die Pfadauflösung scheiterte
  an Windows-Kurznamen, und die Laufzeitsperre landete im Repo.
- AI/Regelwerk/veroeffentlichung.md und ein Abschnitt im Stamm halten
  die Regel fest.

Co-Authored-By: Claude Opus 5 <[email protected]>

CLAUDE.md

@@ -80,6 +80,7 @@ Jede Datei triggert nur den betreffenden Teil — nicht bei jeder Aufgabe alles
 - Projekt in Code Projekte / Security-Compliance anlegen oder bearbeiten → [[AI/Regelwerk/projekte|projekte.md]]
 - Mechanische Prüfung, Prüfskript, Hook oder Gate-Erweiterung bauen → [[AI/Regelwerk/pruefwerkzeuge|pruefwerkzeuge.md]] — **vor der ersten Zeile Code laden.**
 - Skript oder Shellbefehl unter Windows (PowerShell, Python, Git-Bash, WSL, ssh) → [[AI/Regelwerk/windows-shell|windows-shell.md]]
+- Veröffentlichten Umfang ändern, `.gitignore` im Vault-Root anfassen oder eine Auto-Push-Meldung auflösen → [[AI/Regelwerk/veroeffentlichung|veroeffentlichung.md]]
 - Dokumentenset ab etwa 20 Dateien über Subagenten, oder voneinander abhängige Dokumente → [[AI/Regelwerk/dokumentations-grossprojekte|dokumentations-grossprojekte.md]]
 - Suchen, Links prüfen, `.vault-tools/`, Obsidian-CLI und -Skills → [[AI/Regelwerk/navigation|navigation.md]]
 - Frontmatter schreiben → [[AI/Regelwerk/frontmatter|frontmatter.md]]
@@ -91,6 +92,14 @@ Jede Datei triggert nur den betreffenden Teil — nicht bei jeder Aufgabe alles
 - Auftrag an `planer` oder `pruefer` (Opus 5) schreiben → [[AI/Regelwerk/opus-5|opus-5.md]]; an `executer` oder Recherche (Sonnet 5) → [[AI/Regelwerk/sonnet-5|sonnet-5.md]]; Subagenten-Auftrag, Agent- oder Skill-Datei, System-Prompt allgemein → [[AI/Regelwerk/prompting|prompting.md]]. Verbindlich für Fable 5.1 als Auftraggeber, andere Modelle entscheiden selbst.
 - Code gegen die Claude Messages API (eigener Agent, Harness, Werkzeug) → [[AI/Regelwerk/api-mechanik|api-mechanik.md]] — nicht für die Claude-Code-Sitzung selbst.
 
+## Veröffentlichung
+
+Der Vault-Root ist ein Git-Repo und pusht nach **jeder** Änderung automatisch nach `https://git.nexhorizons.de/Nexhorizons/claude-regelwerk.git`. Veröffentlicht wird nur die Anweisungsschicht: `CLAUDE.md`, `README.md`, `AI/Regelwerk/`, `.claude/agents/`, `.claude/skills/`, `.claude/settings.json` und `.vault-tools/`.
+
+Die `.gitignore` im Root ist eine **Positivliste** — sie schließt erst alles aus und nimmt dann einzeln wieder auf. Notizen, Projekte, Finanzen, Sitzungen und `settings.local.json` bleiben damit draußen, auch wenn morgen ein neuer Ordner dazukommt.
+
+**Es gibt keine Freigabe vor dem Push.** Was in einer eingeschlossenen Datei steht, ist nach dem Speichern draußen — auch ein Zwischenstand. Wer eine Datei neu in die Positivliste aufnimmt, prüft sie vorher auf Kundennamen, Domains und Zugangsdaten. Alles Weitere, auch die Fehlerfälle des Hooks: [[AI/Regelwerk/veroeffentlichung|veroeffentlichung.md]].
+
 ## Selbstpflege des Regelwerks
 
 Du darfst Dateien unter `AI/Regelwerk/` eigenständig anpassen, wenn du wiederkehrende Fehler, Lücken oder Verbesserungen erkennst — z. B. aus der Lessons-Learned-Schleife im Codeworkflow. Vorgehen: