S1: Einrichtungs-Assistent, Twitch-Auth, Datenbank und Chat-Aufnahme

Zugangsdaten kommen jetzt aus der App statt aus einer .env: ein
Einrichtungs-Assistent auf http://localhost:4792/setup nimmt Client-ID,
Secret und OBS-Passwort entgegen, der OAuth-Rueckruf laeuft auf denselben
Server. Gespeichert wird verschlueselt (AES-256-GCM) in einem Volume,
bewusst nicht in der Datenbank - die wird auf die Windows-Seite gesichert.
Siehe ADR-0005.

Technikbasis vereinfacht: Node 24 bringt node:sqlite, WebSocket, fetch und
die Ausfuehrung von TypeScript mit. Das Projekt hat damit null
Laufzeitabhaengigkeiten und keinen Build-Schritt; pnpm-Workspaces und die
Paketmanifeste sind entfallen, Importe laufen ueber die imports-Map der
Wurzel-package.json. erasableSyntaxOnly verhindert Syntax, die das Type
Stripping stillschweigend entfernen wuerde. Siehe Nachtrag 2 in ADR-0001.

Enthalten:
- packages/core: Config, Layout, Logger mit Secret-Maskierung, Retry, YAML
- packages/db: Migrationen, Repositories, alle SQL-Anweisungen an einem Ort
- packages/twitch: Secret-Speicher, OAuth, Helix mit Token-Bucket, IRC
- apps/ingest: Daemon, Einrichtungsseite, Spike-Erkennung
- 20 Tests (IRC-Parser, Spike-Detektor, Datenbankschicht)

Der Chat verbindet sich anonym, solange nichts hinterlegt ist - damit laesst
sich die Datenaufnahme pruefen, bevor die Twitch-Apps existieren.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_013VTGjd92LsDDWF3frd9FTB

docs/02-twitch-integration.md

@@ -11,9 +11,11 @@ Es werden zwei getrennte Twitch-Apps/Tokens gebraucht:
    Trennung, damit Bot-Nachrichten als Bot erkennbar sind und der Broadcaster-
    Token nicht im Chat-Client hängt.
 
-Beide Tokens liegen verschlüsselt in `data/db/tokens.json`, werden über Refresh
-Tokens automatisch erneuert (`packages/twitch/tokenStore.ts`). Client-Secret
-kommt aus `.env`, niemals aus der DB, niemals ins Repo.
+Client-IDs, Client-Secrets und beide Tokens liegen verschlüsselt in
+`/db/secrets.json` im Docker-Volume und werden über Refresh Tokens automatisch
+erneuert (`packages/twitch/secrets.ts`). Eingegeben werden sie im
+Einrichtungs-Assistenten unter `http://localhost:4792/setup`, **nicht** in einer
+`.env` und nie im Repo — siehe [ADR-0005](decisions/ADR-0005-zugangsdaten.md).
 
 ## Scopes
 
@@ -34,8 +36,11 @@ kommt aus `.env`, niemals aus der DB, niemals ins Repo.
 | `analytics:read:games` | Game-Analytics-Report | Broadcaster |
 | `bits:read` | Bits-Events | Broadcaster |
 
-Der Autorisierungs-Flow läuft einmalig über `docker compose run --rm --service-ports toolkit auth` → lokaler Redirect auf
-`http://localhost:4780/callback`.
+Der Autorisierungs-Flow läuft über den Einrichtungs-Assistenten:
+`docker compose up -d`, dann `http://localhost:4792/setup` öffnen und je einmal
+für Broadcaster- und Bot-Konto auf „Mit Twitch verbinden" klicken. Die
+Redirect-URI, die in beiden Twitch-Apps hinterlegt sein muss, lautet
+`http://localhost:4792/callback`.
 
 ## EventSub (WebSocket)