docs(security): PAT requirement fuer CodeQL default-setup guardrail

Author: github-actions[bot]

docs/security/010_CODEQL_DEFAULT_SETUP_GUARDRAIL.MD

@@ -16,3 +16,15 @@ Erwartung:
 - Merge-Gate (fail-closed): `tools/ci/check-codeql-default-setup.sh` ist Teil von `preflight`.
 - Drift Detection: `.github/workflows/codeql-default-setup-guardrail.yml` laeuft taeglich und erstellt bei Drift ein Issue.
 
+## Token / Permissions (wichtig)
+Der GitHub API Endpoint `GET /repos/{owner}/{repo}/code-scanning/default-setup` ist in GitHub Actions mit dem standardmaessigen `GITHUB_TOKEN` in diesem Repo nicht erreichbar (typisch: `HTTP 403 Resource not accessible by integration`).
+
+Damit der Guardrail in PR-CI und im scheduled Workflow deterministisch funktioniert, ist ein Fine-Grained PAT als Repo-Secret erforderlich:
+- Secret-Name: `CODEQL_DEFAULT_SETUP_GUARDRAIL_TOKEN`
+- Minimalrechte (Repository permissions):
+  - Administration: Read-only
+  - Security events: Read-only
+
+Wiring:
+- PR-CI: `.github/workflows/ci.yml` setzt `CODEQL_DEFAULT_SETUP_GUARDRAIL_TOKEN` als env fuer `preflight`.
+- Scheduled: `.github/workflows/codeql-default-setup-guardrail.yml` nutzt `CODEQL_DEFAULT_SETUP_GUARDRAIL_TOKEN`, falls vorhanden.