Uebergabe S1: Auto-Update-Entscheid 10.07. nachgezogen (Timer bleibt AN)

User-Antwort in der Uebergabe-Session: Router/Engine/Hermes duerfen automatisch
(So 04:30, Fangnetz Rollback+Pin) - ersetzt "nur bestaetigt" vom 04.07.
STACK/RUNBOOK/OFFENE-FAEDEN/deploy.sh-Kommentar entsprechend korrigiert;
deploy.sh schaltet den Timer weiterhin NICHT selbst.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

docs/wissen/OFFENE-FAEDEN.md

@@ -40,9 +40,6 @@ keine zweite Liste anlegen. Verdikte werden NICHT als „offen" geführt → [VE
 
 ## Box / MC2 (Kleinkram + Politur)
 
-- **mc2-autoupdate.timer war am 10.07. wieder enabled+active** (Altlast der
-  deploy.sh-enable-Falle; die Zeile selbst ist seit heute raus). Disable braucht ein
-  User-Ja bzw. einen Klick — bis dahin läuft So 04:30 wieder ein Auto-Update-Lauf.
 - D16-Reste: c) System-Logs ausbauen (alle Dienste, Fehler-Filter) · e) Mem0-Dubletten
   automatisch (an Curator/Selbstkritik hängen) · f) Politur (Cockpit Zone C entflechten,
   Faden 6 Voice-Sidecar-Diät: Lucy-Reste aus dem Web-UI).

docs/wissen/STACK.md

@@ -90,10 +90,13 @@ per Mini-Request anwärmen (direkt curlen ist zuverlässiger als warmup.sh).
 | 07:15 | self-smoke (Gateway/Tools/Voice/:9119; Alarm nur bei Rot) |
 | 08:00 | Daily-Briefing |
 | 09:00, 1. d. M. | Monats-Review (radar-selbstkritik-wrapper.sh = Evolution-Radar + Selbstkritik) |
+| So 04:30 | **Auto-Update** Router→Engine→Hermes (Fangnetz: Backup→Postcheck→Auto-Rollback+Pin) |
 
-**`mc2-autoupdate.timer` ist BEWUSST AUS** (User-Entscheid 04.07.: Updates nur bestätigt;
-deploy.sh enablet ihn seit 10.07. nicht mehr). Update-Lauf manuell: `bash deploy/autoupdate.sh`
-oder MC2-Wartungs-Drawer.
+**`mc2-autoupdate.timer` ist AN (User-Entscheid 10.07.,** ersetzt „nur bestätigt" vom 04.07.):
+Fremd-Software-Updates (Router/Engine/Hermes) dürfen automatisch laufen; der User klickt sie
+zusätzlich oft manuell im Wartungs-Drawer. deploy.sh enablet den Timer bewusst NICHT selbst —
+der Schaltzustand wird nur von Hand geändert. Manueller Lauf: `bash deploy/autoupdate.sh`.
+OS-Sicherheitsupdates laufen separat via unattended-upgrades.
 
 ## Security (Stufe 0, live)