Add bounded read-only Athena terminal MCP

docs/DISASTER_RECOVERY.md

@@ -56,7 +56,8 @@ laufen, sondern alle fachlichen Funktionen geprüft wurden.
 - [ ] Medium ist die gespeicherte Standardauswahl
 - [ ] Filter und Quick Actions sind allen fünf Presets zugeordnet
 - [ ] Auto Tool Selector wählt bei harmlosen Testfragen Web, GitHub, Home
-      Assistant, ARR, Navidrome, Unraid read-only und Athena korrekt
+      Assistant, ARR, Navidrome, Unraid read-only, Athena-Plattformwissen und
+      das begrenzte Athena-Terminal korrekt
 - [ ] normale Unterhaltung erhält kein MCP; MUA wird niemals automatisch gewählt
 
 - [ ] SearXNG und TinySearch gesund
@@ -78,6 +79,8 @@ laufen, sondern alle fachlichen Funktionen geprüft wurden.
       System-Prompt entsprechen dem wiederhergestellten Stand
 - [ ] Platform-Context-Snapshot aktuell; offene Vorschläge und angewandte
       Dokumentationsänderungen mit `athena_get_maintenance_status` geprüft
+- [ ] Athena-Terminal gesund; erlaubter Leseaufruf erfolgreich; SSH, Docker,
+      Reboot, Shutdown und Pfadausbruch in Negativtests verweigert
 - [ ] lokales Dokumentations-Overlay ist auch im privaten Git enthalten und
       der Recovery-Koffer wurde danach neu erzeugt
 
@@ -107,7 +110,8 @@ laufen, sondern alle fachlichen Funktionen geprüft wurden.
 - [ ] Router nur aus erlaubtem Netz erreichbar
 - [ ] Dienste laufen mit minimalen Rechten
 - [ ] Environment-Dateien Modus 0600
-- [ ] kein allgemeiner Shell-MCP im Standardprofil
+- [ ] kein allgemeiner Shell-MCP im Standardprofil; Athena-Terminal besitzt nur
+      die dokumentierte Positivliste und zwei read-only Mounts
 - [ ] Schreibaktionen verlangen Vorschau und Approval Ticket
 - [ ] Secret-Restore wurde ohne Klartextausgabe durchgeführt
 - [ ] verschlüsseltes Recovery-Bundle liegt außerhalb von Athena