Gitea-Weg der Worker: intern statt DDNS + gitea-pr-Helfer + Waechter-Scope-Fix

- werkstatt-SOUL Regel 3: Klonen IMMER ueber http://192.168.178.153:3000
  (DDNS-Domain nachts wegen Zwangstrennung tot -> Worker hielt Gitea am
  24.07. faelschlich fuer kaputt und blockte). Nie SSH-Remotes, nie nach
  Passwoertern fragen.
- deploy/gitea-pr (neu): PR per Gitea-REST-API mit Token aus
  ~/.git-credentials (Vorfall 23.07.: Worker bat um Web-Passwort).
- ampel-waechter: /repos/search statt /user/repos - Token hat nur
  write:repository, /user/repos gab 403 und der stille exit 0 versteckte
  das seit Inbetriebnahme (Merkliste blieb leer, kein Alarm ging je raus).
  API jetzt intern, Telegram-Links bleiben auf der Domain.
- tabu-pfade-guard: Klon-Empfehlung in der Blockmeldung auf interne URL.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

deploy/agent-hooks/tabu-pfade-guard.py

@@ -95,7 +95,7 @@ if tool == "terminal":
             "TABU (R5): `git init` ist im Worker-Workspace gesperrt — Orphan-Branches ohne "
             "gemeinsamen Ursprung mit main sind bei der Annahme technisch tot (Vorfaelle "
             "12.–14.07.). Richtiger Weg: VOLL klonen, z. B. git clone "
-            "https://git.tobisniceshomelab.ddnsfree.com/Hitonabi/mission-control-v2 "
+            "http://192.168.178.153:3000/Hitonabi/mission-control-v2 "
             "(Credentials liegen in ~/.git-credentials), dann Branch von origin/main abzweigen.")})
     # Schreib-Subkommandos von git (V16: + clone — `git clone URL ~/mission-control-v2`
     # rutschte vorher an (a) UND (d) vorbei).