tomtastisch · tomtastisch · Feb 16, 2026 · Feb 16, 2026 · Feb 16, 2026
@@ -4,9 +4,9 @@
 
 # Audit-Index
 
-## Zweck und Scope
-Zentraler Index fuer Evidence-/Hardening-Dokumente, die Claims aus `SECURITY.md` nachweisbar machen, ohne `SECURITY.md` selbst zu aendern.
-Root-Landing-Page fuer Dritte: `SECURITY_ASSURANCE_INDEX.md`.
+## Zweck und Geltungsbereich
+Zentraler Index fuer Nachweis-/Hardeningsdokumente, die Aussagen aus `SECURITY.md` belegbar machen, ohne `SECURITY.md` selbst zu aendern.
+Zentrale Einstiegsseite fuer Dritte: `SECURITY_ASSURANCE_INDEX.md`.
 
 ## Dokumente
 - `docs/audit/000_HASHING_BASELINE.MD`
@@ -25,7 +25,7 @@ Root-Landing-Page fuer Dritte: `SECURITY_ASSURANCE_INDEX.md`.
 - `docs/audit/013_SCORECARD_GOVERNANCE_ALERT_MAPPING.MD`
 - `docs/audit/014_EVIDENCE_REPORT_ISSUE_67.MD`
 
-## Maschinelle Evidence
+## Maschinelle Nachweise
 - `artifacts/ci/security-claims-evidence/`
 - `artifacts/ci/code-analysis-evidence/`
 - `artifacts/audit/code_inventory.json`
@@ -44,7 +44,7 @@ python3 tools/check-docs.py
 bash tools/versioning/verify-version-convergence.sh
 ```
 
-## Externe Assurance
+## Externe Nachweise
 - OpenSSF Scorecard Workflow: `.github/workflows/scorecard.yml`
 - Artifact Attestations im Release-Workflow: `.github/workflows/release.yml`
 - Deep Analysis Evidence Workflow: `.github/workflows/code-analysis-evidence.yml`

@@ -2,12 +2,12 @@
 [DE](003_SECURITY_ASSERTION_TRACEABILITY.MD) | [EN](103_SECURITY_ASSERTION_TRACEABILITY.MD)
 <!-- LANG_SWITCH:END -->
 
-# Traceability: Security-Claims (SECURITY.md)
+# Rueckverfolgbarkeit: Sicherheitsaussagen (SECURITY.md)
 
-## Zweck und Scope
-Mapping von Claims in `SECURITY.md` auf Evidence-Quellen und Verifikationskommandos.
+## Zweck und Geltungsbereich
+Abbildung von Aussagen in `SECURITY.md` auf Nachweisquellen und Verifikationskommandos.
 
-| Claim ID | SECURITY-Anker | Claim-Zusammenfassung | Evidence-Quelle | Verifikationskommando | Pass-Kriterium | Blocker |
+| Claim ID | SECURITY-Anker | Claim-Zusammenfassung | Nachweisquelle | Verifikationskommando | Pass-Kriterium | Blocker |
 |---|---|---|---|---|---|---|
 | SEC-CLAIM-001 | 2. Unterstuetzte Versionen | Security-Support ist an Major 5 gebunden | `src/FileTypeDetection/FileTypeDetectionLib.vbproj` | `sed -n 's:.*<Version>\([^<]*\)</Version>.*:\1:p' src/FileTypeDetection/FileTypeDetectionLib.vbproj` | Version-Major ist `5` | yes |
 | SEC-CLAIM-002 | 3. Meldung | Private Vulnerability Reporting ist aktiv | GitHub API `private-vulnerability-reporting` | `gh api "repos/$REPO/private-vulnerability-reporting"` | `.enabled == true` | yes |
@@ -26,10 +26,10 @@ Mapping von Claims in `SECURITY.md` auf Evidence-Quellen und Verifikationskomman
 | SEC-CLAIM-015 | 1. Zweck/Geltungsbereich | ISO/IEC 29147 und 30111 Orientierung ist dokumentiert | Policy + Roadmap-Dokus | `rg -n "29147|30111" SECURITY.md docs/audit/004_CERTIFICATION_AND_ATTESTATION_ROADMAP.MD` | Referenzen vorhanden (ohne Zertifizierungsclaim) | report-only |
 | SEC-CLAIM-016 | 9. Zertifizierungsgrenze | Es wird keine formale Produkt-Zertifizierung behauptet | `SECURITY.md` Section 9 | `rg -n "keine.*Zertifizierung|kein.*Rechtsgutachten" SECURITY.md` | expliziter Non-Claim vorhanden | yes |
 
-## Full-Coverage-Hinweis
-Claims, die normative Prozess-Statements sind (Policy-Intent), werden als `report-only` klassifiziert, solange sie nicht in deterministische Machine-Checks ueberfuehrt werden koennen.
+## Vollstaendigkeits-Hinweis
+Claims, die normative Prozessaussagen sind (Policy-Intent), werden als `report-only` klassifiziert, solange sie nicht in deterministische maschinelle Checks ueberfuehrt werden koennen.
 
-## CI-Claim-Mapping
+## CI-Claim-Abbildung
 Das Verifikationsscript verwendet `CI-SEC-CLAIM-*` Rule-IDs. Mapping auf normative Claims:
 - `CI-SEC-CLAIM-001` -> `SEC-CLAIM-002` (Repository/Reporting-Context ist aufloesbar)
 - `CI-SEC-CLAIM-002` -> `SEC-CLAIM-001` (Supported-Major-Version-Claim)

@@ -2,12 +2,12 @@
 [DE](009_SUPPLY_CHAIN_BASELINE.MD) | [EN](109_SUPPLY_CHAIN_BASELINE.MD)
 <!-- LANG_SWITCH:END -->
 
-# Supply-Chain-Baseline
+# Supply-Chain-Basislinie
 
 ## 1. Ziel
 Minimum an reproduzierbaren Kontrollen fuer Source-to-Package-Integritaet in diesem Repository definieren.
 
-## 2. Control-Baseline
+## 2. Kontroll-Basislinie
 - S1 Source-Integritaet:
   - Branch-Protections und Required Status Checks auf dem Default-Branch
   - deterministische CI-Gates (`preflight`, `build`, `security-nuget`, `summary`)
@@ -21,17 +21,17 @@ Minimum an reproduzierbaren Kontrollen fuer Source-to-Package-Integritaet in die
   - NuGet Vulnerability Gate (`security-nuget`)
   - Security-Claims-Verifikation (`security-claims-evidence`)
 
-## 3. Evidence-Mapping
-- E1 CI-Workflow Evidence:
+## 3. Nachweis-Abbildung
+- E1 CI-Workflow-Nachweise:
   - `.github/workflows/ci.yml`
   - `artifacts/ci/*`
-- E2 Security-Claim Evidence:
+- E2 Security-Claim-Nachweise:
   - `.github/workflows/security-claims-evidence.yml`
   - `artifacts/ci/security-claims-evidence/result.json`
-- E3 Code-Analysis Evidence:
+- E3 Code-Analysis-Nachweise:
   - `.github/workflows/code-analysis-evidence.yml`
   - `artifacts/ci/code-analysis-evidence/result.json`
-- E4 Release/Provenance Evidence:
+- E4 Release/Provenance-Nachweise:
   - `.github/workflows/release.yml`
   - `artifacts/nuget/attestation-verify.txt` (wenn der Release-Workflow laeuft)
 
@@ -53,5 +53,5 @@ gh attestation verify "$NUPKG" --repo tomtastisch/FileClassifier
 - Regelmaessiger Review: Baseline-Dokus aktualisieren, wenn sich Controls oder Workflows aendern
 
 ## 6. Grenzen und Limits
-- Diese Baseline liefert Assurance-Evidence, keine formale Third-Party-Zertifizierung.
+- Diese Basislinie liefert Assurance-Nachweise, keine formale Third-Party-Zertifizierung.
 - Downstream Runtime-Hardening bleibt Verantwortung von Deployern/Operatoren.
@@ -2,11 +2,11 @@
 [DE](011_SECURITY_BENCHMARK.MD) | [EN](111_SECURITY_BENCHMARK.MD)
 <!-- LANG_SWITCH:END -->
 
-# Security-Policy Benchmark (Stand: 2026-02-13)
+# Security-Policy-Benchmark (Stand: 2026-02-13)
 
-## 1. Ziel und Scope
+## 1. Ziel und Geltungsbereich
 Vergleich der Security-Policy-Reife von `tomtastisch/FileClassifier` (PR-Branch `tomtastisch-patch-1`) mit verbreiteten .NET-Open-Source-Repositories anhand nachweisbarer GitHub- und Repository-Fakten.
-Dieser Benchmark ist ein Snapshot vor Merge in `main` (Stand 2026-02-13).
+Dieser Benchmark ist ein Snapshot vor dem Merge in `main` (Stand 2026-02-13).
 
 Verglichene Repositories:
 - `tomtastisch/FileClassifier`
@@ -22,15 +22,15 @@ Verglichene Repositories:
 - `NLog/NLog`
 
 ## 2. Methodik (nur faktenbasiert)
-Erhoben via GitHub API und lokale Dateiinspektion:
+Erhoben ueber GitHub API und lokale Dateiinspektion:
 - Vorhandensein `SECURITY.md` (FileClassifier: repo-root `SECURITY.md`; andere Repos ggf. alternativ `.github/SECURITY.md`)
 - Status `private-vulnerability-reporting`
 - Sichtbare `security_and_analysis`-Felder (`dependabot_security_updates`, `secret_scanning`)
 - Vorhandensein `.github/dependabot.yml`
 - Vorhandensein von Workflow-Dateien mit `codeql` im Dateinamen
 - Inhaltsmerkmale der `SECURITY.md`: Support-Tabelle, Reporting, SLA-Zeitangaben, Safe Harbor, ISO/IEC 29147/30111, koordinierte Offenlegung
 
-## 3. Ergebnis A - Plattform-/Repo-Merkmale
+## 3. Ergebnis A - Plattform-/Repository-Merkmale
 | Repository | SECURITY.md | Private Vulnerability Reporting | Dependabot Security Updates | Secret Scanning | CodeQL Workflow-Datei | dependabot.yml |
 |---|---|---|---|---|---|---|
 | tomtastisch/FileClassifier | nein (Snapshot vor Merge in `main`) | true | enabled | enabled | nein | nein |
@@ -78,7 +78,7 @@ Diese Punkte sind ausserhalb einer einzelnen `SECURITY.md`, aber notwendig fuer
 
 ## 7. Reproduzierbarkeit
 Verwendete Kommandos (Auszug):
-All commands are intended to run from the repository root.
+Alle Kommandos sind fuer die Ausfuehrung im Repository-Root gedacht.
 ```bash
 REPO="<owner>/<repo>"
 gh api "repos/$REPO"