feat(2.8.0): Pruefen duerfen, ohne beheben zu duerfen

Der Unterschied zwischen "ich habe es behoben" und "der Fix eines anderen
traegt" ist das Rueckgrat des Pruefverfahrens aus 2.6.1. Er stand bisher nur in
der Anleitung - im Datenbestand und in den Rechten kam beides gleich an.

RECHTE

bugtracker:manage war ein einziger Schreib-Scope: Wer eine Nachpruefung
bestaetigen durfte, durfte auch resolve, update, bulk_update und die Roadmap
umschreiben. Fuer einen Pruefstand ist das zu viel - und wer einen Fix schreibt
und ihn selbst abnimmt, prueft gegen die Erwartung, die er beim Schreiben hatte.

bugtracker:verify deckt jetzt ab, was ein Pruefer braucht: next, claim, release,
comment, confirm, report. Nicht mehr. manage schliesst es ein (IMPLIED_SCOPES),
vorhandene Token verlieren nichts.

"status" bleibt bewusst bei manage. Darueber liesse sich sonst jeder Zustand
setzen, auch "resolved" - der Umweg um genau diese Trennung.

DATENBESTAND

Eine bestaetigte Nachpruefung war nicht von "jemand hat das Item zugemacht" zu
unterscheiden: dc-testkit confirm setzte status=closed und schrieb den Rest in
einen Kommentar. Damit war die eine Frage, fuer die das Verfahren gebaut ist,
nicht beantwortbar - wurde dieses Item je gegen ein ausgeliefertes Paket
geprueft? Ein Kommentartext laesst sich nicht zaehlen und nicht filtern.

Migration 017 legt verified_at, verified_in_build und verified_by an. Kein
eigener Status daneben: Ein bestaetigtes Item IST geschlossen, die Bestaetigung
ist eine Eigenschaft dieses Abschlusses. Ein zweiter Wert waere dieselbe Falle,
die 016 beim is_roadmap-Flag vermieden hat.

verified_in_build steht neben resolved_in_build, weil beide verschiedene Fragen
beantworten und auseinandergehen koennen - genau das ist der interessante Fall.
Das eine ist die Behauptung des Behebenden, das andere die Beobachtung des
Pruefenden.

confirm laesst sich nur auf Items anwenden, die jemand als behoben ausgegeben
hat (resolved, awaiting_verification, in_verification, fix_insufficient). Ein
offenes Item zu "bestaetigen" waere ein Schliessen mit schmueckendem Beiwort -
und stuende hinterher als geprueft in einer Statistik, die genau das misst.
Antwort: 409 not_verifiable.

MCP

dc_confirm. Der Adapter hatte dc_next_task und dc_resolve, aber keinen Weg, eine
Nachpruefung abzuschliessen; dc_comment kennt nur action_taken, keinen Status.
Ein Pruefagent ueber MCP konnte einen Auftrag uebernehmen und dann nichts damit
anfangen. 16 Werkzeuge statt 15.

TESTKIT

dc-testkit confirm nutzt die Aktion und schickt die gepruefte Fassung als Feld.
Antwortet der Server mit 404, faellt es auf den alten Weg zurueck und sagt, dass
die Fassung dann nur im Kommentar landet.

Drei neue e2e-Faelle: dass confirm die gepruefte Fassung festhaelt, dass es nur
dort geht, wo es etwas zu bestaetigen gibt, und dass ein verify-Token
kommentieren, aber nicht beheben darf. 147 bestanden, 0 uebersprungen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/AGENT_PROMPT_TEMPLATE.md

@@ -86,7 +86,11 @@ Beschreibungen nicht sagen, ist die Reihenfolge:
 - `dc_search` — gibt es das schon? Vor jeder neuen Meldung
 
 **Am Ende**
-- `dc_resolve` mit `resolved_in_build` — nur im eigenen Projekt
+- `dc_resolve` mit `resolved_in_build` — „ich habe es behoben". Nur im eigenen
+  Projekt
+- `dc_confirm` mit `verified_in_build` — „der Fix eines **anderen** trägt".
+  Schließt das Item. Nicht dasselbe wie `dc_resolve`, und nie für den eigenen
+  Fix
 - `dc_release`, wenn du nicht weiterkommst. Ein gehaltenes Item sperrt es für
   alle anderen bis zum Lease-Ende
 
@@ -104,7 +108,8 @@ Beschreibungen nicht sagen, ist die Reihenfolge:
 **Prüfaufträge erkennen.** Kommt ein Item mit Status `in_verification` oder
 `awaiting_verification` aus `dc_next_task`, lautet die Aufgabe **nicht**
 „behebe das", sondern „trägt der Fix?". In `resolved_in_build` steht, gegen
-welche Fassung zu prüfen ist. Trägt er: `status = closed` mit Notiz. Trägt er
+welche Fassung zu prüfen ist. Trägt er: `dc_confirm` mit `verified_in_build` —
+der Fassung, die du **tatsächlich** geprüft hast, nicht der erwarteten. Trägt er
 nicht: den Fehler ganz normal erneut melden — das Item wandert von selbst auf
 `fix_insufficient`, es entsteht kein neues.
 
@@ -463,10 +468,15 @@ Arbeitsplatz fehlt sie deshalb immer. Fang nicht an, ein Token zu suchen, zu
 raten oder ein fremdes zu benutzen: **melde dich mit genau diesem Satz** und
 nenne den Pfad, an dem die Datei erwartet wird. Ein Mensch bringt sie dorthin.
 
-**Du behebst nichts.** Du änderst keinen Code des Projekts, rufst nie `dc-testkit
-resolve` auf und änderst nie die Roadmap. Was als „behoben in Build X" gilt,
-entscheidet, wer den Fix geschrieben hat. Du entscheidest etwas anderes, und nur
-das: ob er trägt.
+**Du behebst nichts.** Du änderst keinen Code des Projekts, rufst nie `resolve`
+auf und änderst nie die Roadmap. Was als „behoben in Build X" gilt, entscheidet,
+wer den Fix geschrieben hat. Du entscheidest etwas anderes, und nur das: ob er
+trägt.
+
+Trägt dein Token `bugtracker:verify` statt `bugtracker:manage`, weist der Server
+diese Aufrufe ohnehin ab. Verlass dich nicht darauf: Das Recht verhindert den
+Aufruf, nicht den Einfall, den Fehler eben selbst zu suchen. Der Einfall ist das
+Problem — er kostet dich die Unbefangenheit, mit der du prüfst.
 
 ### Jede Sitzung beginnt gleich