docs(issues): #0008 - the port profile now has something holding it

The 2026-08-15 recheck found the ports closed but nobody had decided that and
nothing recorded it, so the next firewall change could have reopened them unseen.
notfallhandbuch:pruefe-ports.sh plus ports-soll.md close that half, measured rather
than derived, and check both directions - a reachability-only check would never
notice telemetry standing open.

Still needs sorb: the shared look at the Hetzner console. The script says what is
reachable from outside; which rules produce that, and whether they stand there on
purpose, only the console says.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/issues/0008-cfgmon-03-prometheus-remote-write-und-loki.md

@@ -45,3 +45,37 @@ sondern darum, dass der Ist-Zustand nicht bewusst hergestellt und nicht dokument
 was heute zufällig zu ist, kann bei der nächsten Änderung unbemerkt aufgehen. Zu klären
 bleibt: welche Regeln greifen tatsächlich, und trägt das den GAME-Push (#0002) nach dessen
 vSwitch-Umzug noch?
+
+## Wächter gebaut 2026-08-19 — der Ist-Zustand hat jetzt eine Instanz, die ihn hält
+
+Aus dem Befund vom 15.08. („zu, aber nicht bewusst hergestellt und nicht
+dokumentiert") folgt genau ein wirksamer Schritt, und er ist getan:
+`notfallhandbuch:pruefe-ports.sh` plus `ports-soll.md`, nach dem Muster von
+`pruefe-dns.sh`.
+
+**Gemessen, nicht abgeleitet** (2026-08-19, von sorbs Mac):
+
+| Host | offen | zu |
+|---|---|---|
+| Matrix `49.13.132.245` | 80, 443, 3478, 5349, 30001, 2248 | 22 |
+| CFGMON `188.245.193.243` | 80, 443 | **9090, 3100**, 22 |
+
+Das Skript prüft **beide Richtungen** — eine reine Erreichbarkeitsprüfung würde eine
+öffentlich stehende Telemetrie nie bemerken. Vor und nach jeder Firewall-Änderung
+laufen lassen; damit ist auch die Frage aus dem Issue beantwortbar, ob der GAME-Push
+(#0002) nach dem vSwitch-Umzug noch trägt: einmal vorher, einmal nachher.
+
+**Die Gegenprobe ist der Kern, nicht die Zierde.** In einem Netz, das ausgehende
+Verbindungen filtert, meldet jede Portprüfung „alles zu" — was wie ein perfektes
+Ergebnis aussieht. Beim Bau real passiert: Die erste Fassung nutzte `/dev/tcp`, das
+die zsh nicht kennt, und meldete **jeden** Port als geschlossen, 443 eingeschlossen.
+Das Skript bricht deshalb mit Exit 2 ab, wenn ein bekannt offener Port nicht antwortet.
+
+**UDP bleibt bewusst außen vor** (TURN 3478, SFU 30002): Ohne Antwort sind
+„gefiltert" und „offen, aber still" nicht zu trennen. Diese Strecken belegt nur ein
+echter Gruppen-Call.
+
+**Weiterhin offen — der Teil, der sorb braucht:** der gemeinsame Blick in die
+Hetzner-Console. Das Skript sagt, *was* von außen erreichbar ist; welche Regeln das
+bewirken und ob sie bewusst so stehen, sagt nur die Console. Erst danach ist das
+Issue erledigt.