Security F5/F6 + Konzept-Status: DB-TLS-Startwarnung, Log-Redaction geprueft

- F5: Startwarnung, wenn der DB-Connection-String kein SslMode erzwingt (String selbst wird
  nie geloggt). Eure Connection enthaelt bereits SslMode -> Warnung bleibt aus.
- F6: geprueft - keine Secret-Werte in Logs (nur Vorhandensein-Flags/Fehlermeldungen).
- Sicherheitskonzept: Status F1-F7 dokumentiert.

Build 0 Fehler, --smoke-ui ok.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docs/sicherheit/SICHERHEITSKONZEPT.md

@@ -67,6 +67,19 @@ Predictalytics-Projekt, **nicht** in PolyTrader.
 > Die 🔴-Befunde (F1, F2) betreffen direkt die Kontrolle über die Gelder und sollten **vor** dem
 > Live-Betrieb mit nennenswerten Beträgen behoben werden.
 
+### Status (2026-07-14)
+- ✅ **F1 behoben** – AES-256-GCM at-rest (`SecretProtection` + EF-Converter), portabler Master-Key
+  außerhalb der DB, selbstheilende Migration. **Aktivierung im Zielland:** `POLYTRADER_MASTER_KEY`
+  setzen (zufälliger 32-Byte-Base64-Key, **separat sichern** – Verlust = kein Key-Zugriff mehr) +
+  Migration `EncryptAccountSecretsWidenColumns` anwenden.
+- ✅ **F2 behoben** – toter Private-Key-als-argv-Code entfernt; Sicherheitshinweis fürs künftige Auto-Redeem.
+- ✅ **F3 behoben (Code)** – Secrets aus dem Quellcode. **Offen (deinerseits): Alchemy-Key + Mullvad-Account
+  ROTIEREN** (lagen in der Git-History).
+- ✅ **F4 behoben** – Newtonsoft.Json 11.0.2 → 13.0.4 (Vuln weg). Follow-up: übriger Threema-Lib-Stack (Sodium/EF-Sqlite) modernisieren.
+- 🟡 **F5** – TLS-Startwarnung ergänzt; eure Connection enthält bereits `SslMode` (Warnung blieb aus) → ok.
+- 🟢 **F6 geprüft – sauber**: keine Secret-Werte in Logs (nur Vorhandensein-Flags/Fehlermeldungen). Beibehalten.
+- 🟡 **F7** – öffentliche RPC-Fallbacks: bewusst akzeptiert oder später auf authentifizierte RPCs beschränken.
+
 ---
 
 ## 5. Kontrollen & Richtlinien (Soll-Zustand)