@aegis-scan/skills 0.5.0 → 0.5.1

package/skills/compliance/aegis-native/brutaler-anwalt/hooks/triggers.json

@@ -0,0 +1,191 @@
+{
+  "_comment": "Regex-Trigger fuer UserPromptSubmit-Hook (brutaler-anwalt v4.3.0). Patterns sind case-insensitive (Hook setzt re.IGNORECASE). Files-Pfade relativ zu references/. Reihenfolge bei Match: erst gemeldete Files werden zuerst geladen, max MAX_FILES_PER_PROMPT.",
+  "_version": "4.3.0",
+  "triggers": [
+    {
+      "name": "dsgvo-core",
+      "pattern": "\\b(dsgvo|gdpr|datenschutz|einwilligung|consent|drittland|schrems|avv|art[\\s.-]?\\d+|patientendaten|gesundheitsdaten|datenpanne|breach|dpia|dsfa|vvt|dpo|dsb|betroffenenrecht)\\b",
+      "files": ["dsgvo.md", "audit-patterns.md", "bgh-urteile.md"]
+    },
+    {
+      "name": "cookie-tdddg",
+      "pattern": "\\b(cookie|tdddg|ttdsg|consent.banner|consent.management|cmp|planet49|fingerprint|tracking.pixel)\\b",
+      "files": ["dsgvo.md", "it-recht.md", "audit-patterns.md", "bgh-urteile.md"]
+    },
+    {
+      "name": "impressum-ddg",
+      "pattern": "\\b(impressum|ddg|tmg|anbieterkennzeichnung|kontaktangabe|telemediengesetz)\\b",
+      "files": ["it-recht.md", "checklisten.md", "bgh-urteile.md"]
+    },
+    {
+      "name": "agb-vertragsrecht",
+      "pattern": "\\b(agb|allgemeine.gesch[a-z]+|widerruf|widerrufsrecht|gew[a-z]+leistung|haftungsbeschr[a-z]+|verbraucherschutz|b2c|b2b.vertrag|saas.vertrag|softwarevertrag)\\b",
+      "files": ["vertragsrecht.md", "checklisten.md", "bgh-urteile.md"]
+    },
+    {
+      "name": "uwg-abmahnung",
+      "pattern": "\\b(uwg|abmahnung|abmahn|wettbewerbsverstoss|wettbewerbsrecht|irrefuehrung|werbung.unzul|streitwert|unterlassungserkl)\\b",
+      "files": ["it-recht.md", "abmahn-templates.md", "bgh-urteile.md"]
+    },
+    {
+      "name": "ai-act-ki",
+      "pattern": "\\b(ai.act|ki.vo|ki-vo|kuenstliche.intelligenz|hochrisiko.ki|verbotene.ki.praktik|gpai|llm.compliance|llm.chatbot.dsgvo)\\b",
+      "files": ["it-recht.md", "dsgvo.md", "audit-patterns.md"]
+    },
+    {
+      "name": "dsa-platform",
+      "pattern": "\\b(dsa|digital.services.act|plattformhaftung|notice.and.action|trusted.flagger|hosting.provider|art.\\s?14.dsa|art.\\s?16.dsa)\\b",
+      "files": ["it-recht.md", "bgh-urteile.md", "branchenrecht.md"]
+    },
+    {
+      "name": "nis2-bsig",
+      "pattern": "\\b(nis2|nis.2|bsig|kritis|kritische.infrastruktur|cyber.resilience.act|cra|cybersecurity.act)\\b",
+      "files": ["it-recht.md", "strafrecht-steuer.md"]
+    },
+    {
+      "name": "strafrecht-it",
+      "pattern": "\\b(202a|202b|202c|303a|303b|stgb|hacking|computerbetrug|datenhehlerei|datenpannenschadensersatz|cyberstrafrecht)\\b",
+      "files": ["strafrecht-steuer.md", "bgh-urteile.md"]
+    },
+    {
+      "name": "gobd-steuerrecht",
+      "pattern": "\\b(gobd|ao|hgb.\\s?257|aufbewahrungsfrist|10.jahre|6.jahre|steuerrelevante.daten|kassensystem|tsst|tse)\\b",
+      "files": ["strafrecht-steuer.md", "checklisten.md"]
+    },
+    {
+      "name": "branchen-heilberuf",
+      "pattern": "\\b(arzt|praxis|heilpraktiker|patientendaten|gesundheitsdaten|art.\\s?9|kbv|kzv|mbo.\\u00c4|berufsordnung|telemedizin)\\b",
+      "files": ["branchenrecht.md", "dsgvo.md", "audit-patterns.md"]
+    },
+    {
+      "name": "branchen-spa-wellness",
+      "pattern": "\\b(spa|wellness|kosmetik|massage|med.spa|aesthetik|hautberatung|behandlungseinwilligung)\\b",
+      "files": ["branchenrecht.md", "dsgvo.md"]
+    },
+    {
+      "name": "branchen-finance",
+      "pattern": "\\b(mica|psd2|dora|bafin|finanzdienstleistung|krypto|wertpapier|zahlungsdienst|vag|versicherung)\\b",
+      "files": ["branchenrecht.md", "it-recht.md"]
+    },
+    {
+      "name": "branchen-edtech",
+      "pattern": "\\b(edtech|fernusg|online.kurs|schul.cloud|lernplattform|berufsbildung|fortbildung.online)\\b",
+      "files": ["branchenrecht.md", "vertragsrecht.md"]
+    },
+    {
+      "name": "branchen-gluecksspiel",
+      "pattern": "\\b(gluecksspiel|gluestv|spielsucht|sportwetten|casino|lotterie|wettbuero|oasis)\\b",
+      "files": ["branchenrecht.md"]
+    },
+    {
+      "name": "branchen-medtech-diga",
+      "pattern": "\\b(medtech|diga|mdr|ivdr|medizinprodukt|gesundheits.app|telematik|gematik)\\b",
+      "files": ["branchenrecht.md", "dsgvo.md"]
+    },
+    {
+      "name": "ugc-marketplace",
+      "pattern": "\\b(ugc|user.generated|marketplace|community.forum|comment.system|lost.found|public.profile|profile.lookup)\\b",
+      "files": ["branchenrecht.md", "audit-patterns.md", "dsgvo.md"]
+    },
+    {
+      "name": "international-transfer",
+      "pattern": "\\b(ccpa|uk.gdpr|schweiz.dsg|brasilien.lgpd|china.pipl|japan.appi|drittlandtransfer|scc|tia|transferimpactassessment)\\b",
+      "files": ["international.md", "dsgvo.md"]
+    },
+    {
+      "name": "az-lookup",
+      "pattern": "\\b(bgh|eugh|bverfg|olg|lg|ag|az|aktenzeichen|c-\\d+/\\d+|i.zr|ii.zr|vi.zr|viii.zr|smartlaw|planet49|schrems.ii|fashion.id|google.fonts|oesterreichische.post)\\b",
+      "files": ["bgh-urteile.md", "audit-patterns.md"]
+    },
+    {
+      "name": "file-upload-compliance",
+      "pattern": "\\b(file.upload|datei.upload|svg.xss|path.traversal|filename.pii|base64.crash|disk.dos|customer.receipt|email.cap)\\b",
+      "files": ["audit-patterns.md", "checklisten.md", "templates/VVT-template-file-upload.md"]
+    },
+    {
+      "name": "aegis-integration",
+      "pattern": "\\b(aegis|scanner|rls.defense|tenant.isolation|ssrf|prompt.injection.checker|aegis.scan|aegis.audit)\\b",
+      "files": ["aegis-integration.md", "audit-patterns.md"]
+    },
+    {
+      "name": "abmahn-simulate",
+      "pattern": "\\b(simulate|abmahn.simulation|streitwert|schadensh[a-z]+|wahrscheinlichkeits|risiko.bewertung)\\b",
+      "files": ["abmahn-templates.md", "bgh-urteile.md", "audit-patterns.md"]
+    },
+    {
+      "name": "newsletter-doi-werbung",
+      "pattern": "\\b(newsletter|single.opt.in|double.opt.in|doi|cold.outreach|kalt.werbung|bestandskunden.werbung|7.\\s?abs.\\s?3)\\b",
+      "files": ["it-recht.md", "bgh-urteile.md", "checklisten.md"]
+    },
+    {
+      "name": "auth-flow-security",
+      "pattern": "\\b(bcrypt|argon|mfa|2fa|totp|webauthn|session.cookie|samesite|httponly|secure.cookie|audit.log|login.attempt)\\b",
+      "files": ["it-recht.md", "audit-patterns.md", "strafrecht-steuer.md"]
+    },
+    {
+      "name": "csp-headers",
+      "pattern": "\\b(csp|content.security.policy|hsts|strict.transport|referrer.policy|permissions.policy|x.frame.options|cors)\\b",
+      "files": ["audit-patterns.md", "it-recht.md"]
+    },
+    {
+      "name": "verarbeitungsverzeichnis",
+      "pattern": "\\b(vvt|verarbeitungsverzeichnis|art.\\s?30|prozess.dokumentation|recordsofprocessing)\\b",
+      "files": ["templates/VVT-template.md", "templates/VVT-template-file-upload.md", "dsgvo.md"]
+    },
+    {
+      "name": "dsfa-pia",
+      "pattern": "\\b(dsfa|dpia|datenschutz.folgenabsch|hochrisikoverarbeitung|art.\\s?35|threshold.test)\\b",
+      "files": ["templates/DSFA-template.md", "dsgvo.md"]
+    },
+    {
+      "name": "bfsg-barrierefreiheit",
+      "pattern": "\\b(bfsg|barrierefreiheit|accessibility|wcag|en.301.549|barrierefreie.informationstechnik)\\b",
+      "files": ["it-recht.md", "branchenrecht.md", "audit-patterns.md"]
+    },
+    {
+      "name": "eudr-deforestation",
+      "pattern": "\\b(eudr|entwaldung|deforestation|due.diligence.statement|geolocation.plot|kaffee.lieferkette|coffee.supply|cocoa|kakao|soja|soy|palmoel|palm.oil|kautschuk|rubber|tropenholz|rohstoff.due.diligence|chain.of.custody|traces.system)\\b",
+      "files": ["branchenrecht.md", "vertragsrecht.md", "audit-patterns.md"]
+    },
+    {
+      "name": "lksg-lieferkette",
+      "pattern": "\\b(lksg|lieferkettensorgfaltspflichten|lieferkette|csddd|csrd|bafa|sorgfaltspflichten.lieferkette)\\b",
+      "files": ["branchenrecht.md", "vertragsrecht.md"]
+    },
+    {
+      "name": "data-act-iot",
+      "pattern": "\\b(data.act|verordnung.2023/2854|iot.daten|datennutzung|datenportabilitaet|cloud.switching|cloud.wechsel|datenzugriffsrecht)\\b",
+      "files": ["it-recht.md", "vertragsrecht.md"]
+    },
+    {
+      "name": "cra-cyber-resilience",
+      "pattern": "\\b(cra|cyber.resilience.act|verordnung.2024/2847|sbom|software.bill.of.materials|vulnerability.disclosure|cve.disclosure|product.with.digital.elements|pde)\\b",
+      "files": ["it-recht.md", "strafrecht-steuer.md"]
+    },
+    {
+      "name": "ehds-health-data",
+      "pattern": "\\b(ehds|european.health.data.space|verordnung.2025/327|myhealth.eu|elektronische.patientenakte|epa.compliance|sekundaerverarbeitung.gesundheit)\\b",
+      "files": ["branchenrecht.md", "dsgvo.md"]
+    },
+    {
+      "name": "ai-act-verboten",
+      "pattern": "\\b(ai.act.art.5|verbotene.ki.praktik|social.scoring|biometric.real.time|emotion.detection.work|kognitives.manipulieren|prohibited.ai.practice)\\b",
+      "files": ["it-recht.md", "dsgvo.md", "audit-patterns.md"]
+    },
+    {
+      "name": "ai-act-hochrisiko",
+      "pattern": "\\b(ai.act.annex.iii|hochrisiko.ki|high.risk.ai|bewerberauswahl.ki|recruiting.ai|kredit.scoring.ki|bildungsbewertung.ki|migrations.ki|justiz.ki)\\b",
+      "files": ["it-recht.md", "audit-patterns.md"]
+    },
+    {
+      "name": "ai-act-gpai",
+      "pattern": "\\b(gpai|general.purpose.ai|foundation.model|ai.act.art.51|systemisches.risiko|computational.threshold)\\b",
+      "files": ["it-recht.md", "audit-patterns.md"]
+    },
+    {
+      "name": "ai-act-transparenz",
+      "pattern": "\\b(ai.act.art.50|chatbot.kennzeichnung|deepfake.kennzeichnung|ai.content.label|kuenstlich.generiert)\\b",
+      "files": ["it-recht.md", "dsgvo.md", "audit-patterns.md"]
+    }
+  ]
+}

package/skills/compliance/aegis-native/brutaler-anwalt/references/INDEX.md

@@ -0,0 +1,102 @@
+---
+purpose: Master-Index aller Reference-Files. Wird vom SessionStart-Hook geladen (schlank ~5 KB statt 5056-Zeilen-Vollload). UserPromptSubmit-Hook nutzt die `keywords:`-Felder fuer Regex-Routing.
+maintainer-note: Jeder neue Reference-File MUSS hier eingetragen werden. Keywords low-case, comma-getrennt. Updates: scripts/health-check.sh prueft Vollstaendigkeit.
+loaded-by: hooks/session_start.py
+routed-by: hooks/prompt_submit.py
+---
+
+# brutaler-anwalt — Reference-INDEX
+
+> Schlanker Routing-Index. Volltext-Inhalt jeder Reference wird **on-demand**
+> geladen, wenn der User-Prompt passende Keywords enthaelt. Manuelles Laden:
+> `Read tool` auf den jeweiligen Pfad.
+
+## Top-Level Reference-Files
+
+### `references/dsgvo.md` (~600 Zeilen)
+**Lade bei**: Datenpannen, Einwilligung, Betroffenenrechte, Auftragsverarbeitung, Drittlandtransfer, Cookie-Consent, Datenschutzerklaerung, Bussgelder, AVV.
+**Keywords**: dsgvo, datenschutz, einwilligung, consent, drittland, schrems, avv, art-13, art-15, art-83, datenpanne, betroffenenrecht, dpia, dsfa, vvt, dpo, dsb
+
+### `references/it-recht.md` (~700 Zeilen)
+**Lade bei**: Softwarevertraegen, SaaS-Vertraegen, Lizenzrecht, Abmahnungen, IT-Sicherheit, Cloud-Recht, Urheberrecht an Software, Domain-Streitigkeiten, App-Stores, Open Source, KI-Recht (4 Sub-Tiers), Impressum/DDG, DSA-Plattformhaftung, ePrivacy, Data Act (IoT/Cloud-Switching), CRA (Cyber Resilience).
+**Keywords**: it-recht, saas, software, lizenz, abmahnung, cloud, urheberrecht, domain, app-store, oss, open-source, ki-recht, ai-act, verbotene-ki-praktik, hochrisiko-ki, gpai, chatbot-kennzeichnung, impressum, ddg, tmg, dsa, eprivacy, data-act, iot, cloud-switching, cra, cyber-resilience-act, sbom, vulnerability-disclosure
+
+### `references/vertragsrecht.md` (~243 Zeilen)
+**Lade bei**: AGB-Pruefung, Softwarevertraegen, SaaS-Vertraegen, Kuendigung, Gewaehrleistung, Haftungsbegrenzung, Verbraucherrecht, B2B-Vertraegen, Maengeln, Schadensersatz.
+**Keywords**: agb, vertrag, kuendigung, gewaehrleistung, haftung, verbraucher, b2b, b2c, mangel, schadensersatz, widerruf, ruecktritt, ruegepflicht
+
+### `references/strafrecht-steuer.md` (~193 Zeilen)
+**Lade bei**: Datenpannen, Hacking-Vorwurf, Kryptografie-Pflichten, Strafanzeige, GoBD, Steuerrecht, Aufbewahrungsfristen, AO, HGB.
+**Keywords**: stgb, strafrecht, hacking, 202a, 202b, 202c, 303a, 303b, gobd, ao, hgb, aufbewahrung, datenpannenschadensersatz
+
+### `references/branchenrecht.md` (~900 Zeilen)
+**Lade bei**: regulierten Branchen (Heilberufe, Spa/Wellness, Finance, Versicherung, EdTech, Gluecksspiel, Telekom, Energie, MedTech, Pet-Care, UGC, Agritech/Rohstoffe-EUDR, Health-EHDS).
+**Keywords**: branche, heilberuf, arzt, heilpraktiker, spa, wellness, kosmetik, finance, mica, dora, psd2, versicherung, vag, edtech, fernusg, gluecksspiel, gluestv, telekom, energie, medtech, mdr, ivdr, diga, ehds, pet-care, ugc, marketplace, eudr, kaffee, kakao, soja, palmoel, kautschuk, lksg, csddd
+
+### `references/audit-patterns.md` (~900 Zeilen)
+**Lade bei**: Audit-Start (immer), Pattern-Lookup (Hunter-Methodik, Schadensdiagnose-Formel, Risiko-Klassifikation LOW/MED/HIGH), V4-Sub-Patterns (File-Upload, Art-9-Beweis-Workflow, Drift-Styles).
+**Keywords**: audit, pattern, hunter, challenger, synthesizer, devil, live-probe, severity, schaden, file-upload, art-9, beweis, drift
+
+### `references/bgh-urteile.md` (~800 Zeilen)
+**Lade bei**: Az.-Lookup, BGH-/EuGH-/LG-Urteil-Suche, Az.-Verifikation, Schadens-Anker-Lookup. 60 verifizierte Az. mit Source-URL.
+**Keywords**: bgh, eugh, lg, olg, az, aktenzeichen, urteil, rechtsprechung, schadensersatz, planet49, schrems, smartlaw, fashion-id, google-fonts, oesterreichische-post
+
+### `references/checklisten.md` (~500 Zeilen)
+**Lade bei**: Dokumentenpruefung (Impressum, AGB, Datenschutzerklaerung, AVV, NDA), Compliance-Audits, Erstellung neuer rechtlicher Dokumente, Einstieg in ein neues Projekt.
+**Keywords**: checkliste, impressum, agb, datenschutzerklaerung, avv, nda, pre-launch, compliance-check, dokument-audit, file-upload-checkliste
+
+### `references/abmahn-templates.md` (~250 Zeilen)
+**Lade bei**: Modus SIMULATE, verifizierten Findings > 60% Wahrscheinlichkeit, Abmahn-Risiko-Bewertung, Anwalts-Vorlagen, Streitwert-Schaetzung.
+**Keywords**: abmahnung, simulate, streitwert, anwalt, kostennote, modifizierte-unterlassungserklaerung, mue
+
+### `references/aegis-integration.md` (~150 Zeilen)
+**Lade bei**: Projekt enthaelt AEGIS-Scanner (`src/scanner/`, `aegis.config.json`), Integration mit Scanner-Findings, RLS/Tenant-Isolation/SSRF-Cross-Referenz.
+**Keywords**: aegis, scanner, rls, tenant-isolation, ssrf, security-scan, vulnerability
+
+### `references/international.md` (~250 Zeilen)
+**Lade bei**: Internationalen Nutzern, Datentransfer ausserhalb EU/EWR, CCPA, UK-GDPR, Schweiz-DSG, Brasilien-LGPD, China-PIPL, Japan-APPI.
+**Keywords**: international, ccpa, uk-gdpr, schweiz, dsg, brasilien, lgpd, china, pipl, japan, appi, drittlandtransfer
+
+---
+
+## Sub-Folders
+
+### `references/gesetze/` (skeleton → Tier-1 partial)
+Strukturierte §-/Art.-Auszuege pro Gesetz. Tenor-Kurzfassungen, KEIN Volltext.
+Befuell-Plan in `references/gesetze/INDEX.md`. Status der einzelnen Files in
+`references/gesetze/VERIFICATION-STATUS.md`.
+**Lade bei**: Konkretem §-/Art.-Lookup, Volltext-Auszug-Bedarf.
+**Keywords**: gesetz, paragraph, artikel, volltext
+
+### `references/stack-patterns/` (17 Patterns ab v4.2)
+Pro Tech-Stack ein Pattern-File mit Code-Snippet, AVV-Quelle, DSE-Wording, Verify-Commands.
+Befuell-Plan in `references/stack-patterns/INDEX.md`.
+**Lade bei**: Stack-Detection (`package.json`-Match), Tech-spezifischer DSE-Wording-Bedarf.
+**Keywords**: nextjs, react, vue, svelte, astro, laravel, rails, supabase, vercel, stripe, sentry, posthog, umami, plausible, openai, anthropic
+
+### `references/templates/` (8 Examples ab v4.2)
+Vorlagen-Dateien: VVT, DSFA, COMPLIANCE-AUDIT-TRAIL, AffiliateDisclaimer, UmamiScript, security.txt, proxy-strict-dynamic.
+**Lade bei**: Output-Generierung (User fragt nach Vorlage / Boilerplate / Template).
+**Keywords**: template, vorlage, vvt, dsfa, audit-trail, boilerplate
+
+---
+
+## Spezial-Files (NICHT auto-routed)
+
+- `SKILL.md` — Skill-Definition, immer im Context.
+- `README.md` — User-facing Doc.
+- `CHANGELOG.md` — Versionshistorie.
+- `LICENSE` — MIT.
+- `HANDOVER-*.md` — Cross-Session-Handovers fuer Skill-Weiterentwicklung.
+- `AUDIT-*.md`, `BATTLE-TEST-*.md` — historische Self-Audit-Ergebnisse.
+
+---
+
+## Hook-Routing-Logik (Quick-Ref)
+
+1. **SessionStart-Hook** laedt diese INDEX.md als `additionalContext`.
+2. **UserPromptSubmit-Hook** matcht Regex aus `hooks/triggers.json` gegen Prompt.
+3. Pro Match: file-pfade aus `triggers.json[*].files` -> Read -> additionalContext-Block.
+4. Pro Audit: `audit-patterns.md` IMMER laden (manueller Read im SKILL.md Schritt 0).
+
+Bei Reference-Luecke (Pattern nicht in INDEX): siehe SKILL.md §1 HARD-CONSTRAINT.

package/skills/compliance/aegis-native/brutaler-anwalt/references/abmahn-templates.md

@@ -170,7 +170,7 @@ Datenschutz-Grundverordnung erhoben:
             Betroffenen / Routinekontrolle
 
 2. Verstoss-Vorwurf
-   Art. [X] DSGVO i.V.m. [§ XYZ TTDSG / DDG / BDSG]
+   Art. [X] DSGVO i.V.m. [§ XYZ TDDDG / DDG / BDSG]
    [Konkreter Vorwurf]
 
 3. Bussgeldrahmen

package/skills/compliance/aegis-native/brutaler-anwalt/references/aegis-integration.md

@@ -44,11 +44,11 @@ Wenn keiner davon vorhanden → AEGIS-Integration ueberspringen, normalen SCAN-M
 
 | AEGIS-Modul | Pruefung | Rechts-Bezug | Wenn AEGIS critical/high |
 |------------|----------|--------------|--------------------------|
-| `cookie-audit.ts` | Cookie-Inventar vor Consent | § 25 TTDSG, Art. 6 DSGVO | KRITISCH — direkt abmahnbar (LG Muenchen, OLG Koeln) |
+| `cookie-audit.ts` | Cookie-Inventar vor Consent | § 25 TDDDG, Art. 6 DSGVO | KRITISCH — direkt abmahnbar (LG Muenchen, OLG Koeln) |
 | `embeds-consent.ts` | Iframe/Embed vor Consent | Art. 26 DSGVO Mit-Verantwortlichkeit (Fashion-ID) | KRITISCH — Vimeo/YouTube/Spotify ohne Consent → Verstoss |
 | `font-provider.ts` | Externe Fonts | LG Muenchen 3 O 17493/20 | KRITISCH — Google Fonts extern = Massen-Abmahn-Risiko |
 | `links-footer.ts` | Footer-Pflicht-Links | § 5 DDG, § 13 DSGVO | KRITISCH wenn Impressum/DSE-Link fehlt |
-| `tracking-scan.ts` | Tracker vor Consent | § 25 TTDSG | KRITISCH — Google Analytics/Pixel ohne Consent |
+| `tracking-scan.ts` | Tracker vor Consent | § 25 TDDDG | KRITISCH — Google Analytics/Pixel ohne Consent |
 
 ### Tier-3 Module (Rechtliche Vollpruefung)
 
@@ -57,7 +57,7 @@ Wenn keiner davon vorhanden → AEGIS-Integration ueberspringen, normalen SCAN-M
 | `a11y.ts` | Barrierefreiheit | BFSG (ab 28.06.2025 verpflichtend!) | HOCH — ab Jun 2025 abmahnbar fuer B2C-Sites |
 | `branche.ts` | Branchen-spezifische Pflichten | BORA, HOAI, HWG, LMIV, MPDG | KRITISCH wenn Branche identifiziert + Pflichten fehlen |
 | `carbon.ts` / `carbon-status.ts` | CO2-Footprint | Nicht direkt rechtlich (noch) | NIEDRIG — kann unter Greenwashing-UWG fallen |
-| `cookie-compliance.ts` | Cookie-Banner-Compliance Detail | § 25 TTDSG + Art. 7 DSGVO | KRITISCH bei Pre-Tick / Cookie-Wall / Dark-Pattern |
+| `cookie-compliance.ts` | Cookie-Banner-Compliance Detail | § 25 TDDDG + Art. 7 DSGVO | KRITISCH bei Pre-Tick / Cookie-Wall / Dark-Pattern |
 | `datenschutz-check.ts` | DSE-Vollpruefung | Art. 13/14 DSGVO | KRITISCH bei fehlenden Pflichtangaben |
 | `impressum-check.ts` | Impressum-Vollpruefung | § 5 DDG | KRITISCH bei fehlenden Pflichtangaben |
 | `lighthouse.ts` | Performance / SEO / A11y | Mittelbar BFSG/Verbraucherschutz | MITTEL |
@@ -120,7 +120,7 @@ Wenn mehrere AEGIS-Findings zusammenkommen, kombiniere sie:
 
 | AEGIS-Findings (zusammen) | Synthesizer-Cross-Risiko |
 |---------------------------|--------------------------|
-| `cookie-audit critical` + `tracking-scan critical` | Verdoppelter § 25 TTDSG-Hebel; Abmahn-Wahrsch. > 80% wenn Site B2C-DACH |
+| `cookie-audit critical` + `tracking-scan critical` | Verdoppelter § 25 TDDDG-Hebel; Abmahn-Wahrsch. > 80% wenn Site B2C-DACH |
 | `font-provider critical` + `embeds-consent critical` | Google-Fonts-Welle 2022 Pattern; mehrere Abmahn-Anwaelte aktiv; € 170-500 pro Fall |
 | `impressum-check critical` + `linked-pages critical` (Footer) | UWG § 3a Marktverhaltensregel; jeder Mitbewerber kann abmahnen |
 | `datenschutz-check critical` + `branche.ts critical` | DSGVO + branchenrechtliche Pflicht (z.B. BORA, HWG); doppeltes Bussgeldrisiko |
@@ -141,7 +141,7 @@ dann generiert HUNTER:
 Finding 1: Tracking-Cookie vor Consent (cookie-audit)
 - Wahrsch.: 87% (B2C-DACH-Site, sichtbar, Konkurrenz aktiv)
 - Kritikalitaet: 🔴 KRITISCH
-- §: 25 TTDSG + Art. 6 DSGVO
+- §: 25 TDDDG + Art. 6 DSGVO
 - €-Range: 5.000–15.000 (UWG-Streitwert) + bis 4 % JU (DSGVO-Bussgeld)
 - Belege: EuGH C-673/17 Planet49, BGH I ZR 7/16
 
@@ -238,3 +238,58 @@ Bei DSGVO-spezifischen a.e.g.i.s-Findings: pruefe Cross-Risiko mit Pages-Content
 
 Wenn ein Audit a.e.g.i.s-Ergebnisse einbezieht, in der Disclaimer-Note erwaehnen:
 > Tiefenscanning durch a.e.g.i.s (open-source @aegis-scan/cli, MIT-Lizenz, ergaenzend zu Semgrep/CodeQL — nicht Ersatz). Findings sind technisch-indikativ; rechtliche Bewertung durch Anwalts-Anhang dieses Skills, nicht durch a.e.g.i.s selbst.
+
+---
+
+## AEGIS-False-Positives — Häufige Patterns (post-2026-05-05)
+
+Aus realen Audits zusammengetragen. Wenn AEGIS einen dieser Befunde
+meldet, sollte der CHALLENGER ihn als `false-positive` oder `disputed`
+einordnen, **nachdem** der Code-Kontext verifiziert wurde.
+
+### XSS-Checker / Bearer / Semgrep — `dangerouslySetInnerHTML`-FPs
+
+| AEGIS-Pattern | Realität | CHALLENGER-Verify |
+|---------------|----------|-------------------|
+| `dangerouslySetInnerHTML` mit JSON.stringify(staticObject) | Schema.org JSON-LD aus statischer siteConfig — kein User-Input-Pfad | grep nach `JSON.stringify` direkt davor; pruefen ob Object-Keys aus User-Land oder aus `siteConfig` |
+| `dangerouslySetInnerHTML` nach `formatMessageContent(text)` | DOMPurify.sanitize() läuft am Ende der Funktion — AEGIS sieht den Sanitize-Call nicht | grep `DOMPurify.sanitize` in derselben Datei. Wenn vorhanden + `ALLOWED_TAGS`-Whitelist + `ALLOWED_URI_REGEXP`: FP |
+| `dangerouslySetInnerHTML` für Animation-Effekt (Style-Tag mit Tailwind-Variablen) | Statisches Style-String, keine User-Inputs | Code-Kontext lesen, prüfen ob String aus Constants oder Props |
+| Server-side `escapeHtml()` in E-Mail-Template | Nodemailer-Output, KEIN React-Render — kein XSS-Vektor | Wenn `nodemailer.sendMail()` der Empfänger ist: FP |
+
+### Bearer / Open-Redirect-Pattern
+
+| AEGIS-Pattern | Realität | CHALLENGER-Verify |
+|---------------|----------|-------------------|
+| `router.push(url)` / `window.location.href = url` | Wenn `url` aus `new URL(window.location.href)` mit `searchParams.delete/set` konstruiert ist: bereits same-origin by construction | grep nach `URL(window.location.href)` direkt darüber. Wenn keine `?callbackUrl=`-Param-Lesung: FP |
+| `router.push(callbackUrl)` aus URL-Param | Echter Open-Redirect-Vektor | Allowlist-Check fordern (relative Pfade only, kein Schema, kein `//`) |
+
+### Supply-Chain-Scanner — Typosquatting-FPs
+
+| AEGIS-Pattern | Realität | CHALLENGER-Verify |
+|---------------|----------|-------------------|
+| `gsap` ↔ `tsup` (L-Distanz 2) | GreenSock-Animation, etabliert seit 2008 | npm download stats > 1M/wk |
+| `lenis` ↔ `redis`/`less` (L-Distanz 2) | Darkroom Engineering Smooth-Scroll, etabliert | npm download stats |
+| `ogl` ↔ andere | Minimal-WebGL-Lib, etabliert | npm download stats |
+| Native binaries (`unrs-resolver`, fsevents, lightningcss) | Build-Dependencies des Frameworks | bekannt aus Tailwind/Next.js-Stack |
+
+### http-timeout-checker
+
+| AEGIS-Pattern | Realität | CHALLENGER-Verify |
+|---------------|----------|-------------------|
+| `fetch(url, { signal: controller.signal })` mit setTimeout-cleanup | Funktional äquivalent zu `AbortSignal.timeout()` | Code-Lesen: gibt es `setTimeout(..., timeout)` + `clearTimeout`? Dann FP |
+| `fetch(url)` ohne signal | Echter Timeout-Bug | Fix fordern: `AbortSignal.timeout(MS)` |
+
+### entropy-scanner — Marketing-Strings
+
+| AEGIS-Pattern | Realität | CHALLENGER-Verify |
+|---------------|----------|-------------------|
+| Hohe Entropie in `content-map.ts` / FAQ-Strings | Marketing-Text mit Listen, Preisen, Features | Code-Kontext prüfen — wenn Kommentar/JSDoc oder Strings nahe `description:`-Properties: FP |
+
+### Wann KEIN FP angenommen werden darf
+
+CHALLENGER soll NICHT pauschal alle BEARER/Semgrep/Supply-Chain-Findings als FP markieren. Diese Regeln gelten **nur**, wenn:
+1. Der Code-Kontext explizit gelesen wurde (`Read`-Tool, nicht nur Filename)
+2. Mindestens ein objektiver Verify-Schritt aus der jeweiligen Tabelle erfüllt ist
+3. Keine User-Input-Quelle in den letzten 5 Code-Zeilen vor dem AEGIS-Hit liegt
+
+Bei Unsicherheit: `disputed` markieren statt `false-positive`, mit Begründung im Anwalts-Anhang.