Uebergabe S1: Auto-Update-Entscheid 10.07. nachgezogen (Timer bleibt AN)

User-Antwort in der Uebergabe-Session: Router/Engine/Hermes duerfen automatisch
(So 04:30, Fangnetz Rollback+Pin) - ersetzt "nur bestaetigt" vom 04.07.
STACK/RUNBOOK/OFFENE-FAEDEN/deploy.sh-Kommentar entsprechend korrigiert;
deploy.sh schaltet den Timer weiterhin NICHT selbst.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

docs/wissen/STACK.md

@@ -90,10 +90,13 @@ per Mini-Request anwärmen (direkt curlen ist zuverlässiger als warmup.sh).
 | 07:15 | self-smoke (Gateway/Tools/Voice/:9119; Alarm nur bei Rot) |
 | 08:00 | Daily-Briefing |
 | 09:00, 1. d. M. | Monats-Review (radar-selbstkritik-wrapper.sh = Evolution-Radar + Selbstkritik) |
+| So 04:30 | **Auto-Update** Router→Engine→Hermes (Fangnetz: Backup→Postcheck→Auto-Rollback+Pin) |
 
-**`mc2-autoupdate.timer` ist BEWUSST AUS** (User-Entscheid 04.07.: Updates nur bestätigt;
-deploy.sh enablet ihn seit 10.07. nicht mehr). Update-Lauf manuell: `bash deploy/autoupdate.sh`
-oder MC2-Wartungs-Drawer.
+**`mc2-autoupdate.timer` ist AN (User-Entscheid 10.07.,** ersetzt „nur bestätigt" vom 04.07.):
+Fremd-Software-Updates (Router/Engine/Hermes) dürfen automatisch laufen; der User klickt sie
+zusätzlich oft manuell im Wartungs-Drawer. deploy.sh enablet den Timer bewusst NICHT selbst —
+der Schaltzustand wird nur von Hand geändert. Manueller Lauf: `bash deploy/autoupdate.sh`.
+OS-Sicherheitsupdates laufen separat via unattended-upgrades.
 
 ## Security (Stufe 0, live)