docs(issues): review all waiting issues, close #0041 and #0025

Went through the seven imported waiting issues and replaced the generic
'reason is in the GitLab history' placeholder with the real blocker, which
completes #0041. Three of the seven were not merely imprecise but wrong:

- #0025: the deploy had long landed; screenshots confirm 24 aggregated messages
  in the security room (limit 29), summing to the known 126 CRITICALs.
- #0014: the A/B/C decision exists as ADR-0008 (option A). Half its open question
  is now answered — MATRIX has no docker group at all, so the root-equivalence
  does not apply there.
- #0027: the blocking Struktur-Workshop happened on 2026-08-06 and produced three
  ADRs, but W1 and W3 were spot-checked and are still unresolved.

The remaining four wait on a named action by sorb. Measured from here: the GAME
exporters are still filtered (and their silences expired on 2026-08-04, so
TargetDown has been firing every 4h since), while CFGMON's 9090/3100 are already
closed from the internet — so #0008 is about making that state deliberate rather
than an acute exposure.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docs/issues/0008-cfgmon-03-prometheus-remote-write-und-loki.md

@@ -7,7 +7,7 @@ milestone: M1
 priority: medium
 host: cfgmon
 area: security
-wartegrund: Grund im GitLab-Verlauf benannt (Import 2026-08-11); im nächsten Refinement präzisieren
+wartegrund: "Wartet auf den gemeinsamen Blick in die Hetzner-Cloud-Console mit sorb: welche Firewall-Regeln existieren real (das Backlog-Bild wich davon ab). Von außen sind 9090/3100 bereits dicht — es geht um die bewusste, dokumentierte Regel, nicht mehr um akute Exposition."
 gitlab_iid: "8"
 related: []
 ---
@@ -32,3 +32,16 @@ Quelle: [hosts/cfgmon.md](https://git.lab/axion1337.chat/management/-/blob/main/
 
 ---
 *Übernommen aus dem Backlogs-Markdown beim Framework-Umbau 2026-08-01 (voller Wortlaut: Git-Historie der Datei).*
+
+## Nachgeprüft 2026-08-15 — akute Exposition besteht nicht
+
+Messung vom Mac gegen die öffentliche CFGMON-IP: **9090 (Prometheus remote-write) und 3100
+(Loki) antworten nicht**, während `:443` sofort antwortet (Gegenprobe, Messmethode also
+gültig). Das bestätigt die im Issue vermerkte Beobachtung: die Ports sind zu, **ohne** dass
+der Console-Klick je gemacht wurde.
+
+Damit verschiebt sich der Charakter des Issues: Es geht **nicht mehr um akutes Risiko**,
+sondern darum, dass der Ist-Zustand nicht bewusst hergestellt und nicht dokumentiert ist —
+was heute zufällig zu ist, kann bei der nächsten Änderung unbemerkt aufgehen. Zu klären
+bleibt: welche Regeln greifen tatsächlich, und trägt das den GAME-Push (#0002) nach dessen
+vSwitch-Umzug noch?