fixed sonarqube findings

docs/agents/AGENTS.md

@@ -178,3 +178,22 @@ Rechte fremder Urheber und bestehende Lizenzen bleiben davon unberührt.
 
 Vor Änderungen an Gruppenrechten und Code-Eingabe zusätzlich
 `docs/agents/GRUPPENBEARBEITUNG.md` lesen und bei Übergaben ausdrücklich nennen.
+
+## Deployment-Freigabe nach dem Quality Gate
+
+Am 18. Oktober 2026 ist Lauf 1828 für Commit 0e4cdfb trotz fehlgeschlagenem
+Quality Gate bis zum erfolgreichen Deployment gelaufen. Die vorhandene
+jobweite `if`-Bedingung allein hat das Deployment nicht verhindert.
+
+- Automatische Deployments benötigen ein erst nach erfolgreichem Gate erzeugtes
+  Freigabeartefakt für genau Commit, Workflow-Lauf und Laufversuch.
+- Im Deployment-Schritt muss die Freigabe geprüft werden; im SSH-Skript müssen
+  eine fehlende Freigabe und ein abweichender Commit vor Änderungen abgewiesen
+  werden. Nur den freigegebenen Commit übernehmen und vor dem Neustart prüfen.
+- Der bestehende ausdrückliche manuelle Aufruf `job=deploy` bleibt ein bewusster
+  Override. Ein Push darf diese Ausnahme nicht aktivieren.
+- Verhaltenstests in `test/deployment-workflow.test.js` ausführen. Sie führen die
+  tatsächlichen Shell-Blöcke mit isolierten Dateien und simulierten externen
+  Befehlen aus; keine echten SSH-Verbindungen oder Neustarts im Test.
+- Die neue Freigabekette muss nach dem nächsten Check-in im echten Workflow
+  bestätigt werden. Lokale Shell-Tests ersetzen keine erfolgreiche Pipeline.