# Nicht ausgeführter Deployment-Plan

Nach gesonderter Freigabe könnte die Anwendung unter einem noch zu bestätigenden Pfad wie `/opt/hermes/worker-watcher` mit eigener Service-User-ID, SQLite-Datei auf einem dedizierten Datenpfad und localhost-Bindung betrieben werden. Ein möglicher Systemd-Service würde nur `watcher serve` ausführen und keine privilegierten Schreibrechte erhalten.

Externe Ausführungsorte würden einen Agenten mit eigener Outbox benötigen. Der Agent baut ausschließlich ausgehend eine Verbindung zur VPS-API auf; für nicht-lokale Netze sind TLS und ein Reverse Proxy mit Authentifizierung vorzusehen.

Vorher zu klären: tatsächlicher VPS-Pfad, Python-Version, Leserechte für definierte Log-/Statusquellen, systemd- und `/proc`-Zugriff, erlaubte externe Agenten, TLS-Domain, Token-Injection, Backupziel der SQLite-Datei, Rollbackversion und Health-Prüfung. Aktivierung sollte schrittweise mit Fixture-/Dry-Run-Report erfolgen. Dieser Plan wurde nicht installiert und verändert keine produktiven Dienste.
