[Security] Secret- und Datenschutzprüfung vor Veröffentlichungen automatisieren

[Fenron-dev]

Ausgangslage

Der manuelle Audit vom 14. Juni 2026 fand keine veröffentlichten Zugangsdaten oder privaten Daten. GitHub Secret Scanning und Push Protection sind aktiviert, prüfen derzeit aber keine Non-Provider-Patterns. Binäre Office-Dateien können außerdem unbemerkt Autoren- oder Bearbeitungsmetadaten aufnehmen.

Akzeptanzkriterien

• CI scannt neue Commits und Pull Requests auf bekannte Secret-Muster
• Vollständiger Historien-Scan ist lokal oder manuell reproduzierbar dokumentiert
• GitHub Non-Provider-Patterns und Validity Checks werden aktiviert oder begründet
• Commits mit privaten E-Mail-Adressen oder lokalen Benutzerpfaden werden erkannt
• Binäre Dokumente werden vermieden oder vor Veröffentlichung auf Metadaten geprüft
• Issue- und PR-Vorlagen warnen vor Logs, Screenshots und Beispieldateien mit privaten Daten
• Falschpositive Treffer können nachvollziehbar freigegeben werden
• Scanner-Versionen und Actions werden sicher gepinnt und regelmäßig aktualisiert

Sicherheitsregel

Ein gefundener echter Schlüssel wird sofort widerrufen und ersetzt; das reine Entfernen aus dem letzten Commit reicht nicht aus.