docs(security): Design-Entscheidung D1 (Projekte teamweit geteilt) eintragen

Julian hat am 17.10.2026 bestaetigt: die Software laeuft nur im eigenen
Team, alle Nutzer sehen alle Projekte. Bevor Externe Konten bekommen, wird
Besitz/Freigabe pro Projekt eingefuehrt. R3 (ASVS-light B1/B2) damit nicht
anwendbar; idorGap-Kommentar und AGENTS.md verweisen auf D1.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

tests/security/security.config.ts

@@ -94,12 +94,11 @@ const config = {
     return (await res.json()) as Record<string, unknown>;
   },
 
-  // OFFENE LÜCKE: Projekte haben keinen Besitzer, jeder angemeldete Nutzer sieht und
-  // bearbeitet alle Projekte. Gedacht als teamweit geteilt, die Entscheidung (wer, warum,
-  // welche Instanz/welches Team) ist aber noch nicht festgehalten: docs/THREATMODEL.md R3
-  // und offene Entscheidung E1. Bis dahin gilt B1/B2 im pre-release-gate als offen.
-  // Die IDOR-Tests laufen trotzdem und zeigen den Ist-Zustand, zählen aber als TODO statt
-  // als Fehler. Wird Besitz bzw. Freigabe pro Projekt eingeführt, diese Zeile entfernen,
+  // BEWUSSTE LÜCKE (Design-Entscheidung D1 in docs/THREATMODEL.md, Julian, 17.10.2026):
+  // Projekte haben keinen Besitzer, jeder angemeldete Nutzer sieht und bearbeitet alle
+  // Projekte, weil die Software nur im eigenen Team läuft. Die IDOR-Tests laufen trotzdem
+  // und zeigen den Ist-Zustand, zählen aber als TODO statt als Fehler. Bevor Externe ein
+  // Konto bekommen: Besitz bzw. Freigabe pro Projekt einführen, diese Zeile entfernen,
   // dann müssen sie grün werden.
   idorGap: "Projekte sind für alle angemeldeten Nutzer freigegeben (kein Besitz pro Projekt)",
   idorCases: [