Add controlled Athena platform operator

docs/DISASTER_RECOVERY.md

@@ -57,7 +57,7 @@ laufen, sondern alle fachlichen Funktionen geprüft wurden.
 - [ ] Filter und Quick Actions sind allen fünf Presets zugeordnet
 - [ ] Auto Tool Selector wählt bei harmlosen Testfragen Web, GitHub, Home
       Assistant, ARR, Navidrome, Unraid read-only, Athena-Plattformwissen und
-      das begrenzte Athena-Terminal korrekt
+      den Athena Operator korrekt
 - [ ] normale Unterhaltung erhält kein MCP; MUA wird niemals automatisch gewählt
 
 - [ ] SearXNG und TinySearch gesund
@@ -79,8 +79,9 @@ laufen, sondern alle fachlichen Funktionen geprüft wurden.
       System-Prompt entsprechen dem wiederhergestellten Stand
 - [ ] Platform-Context-Snapshot aktuell; offene Vorschläge und angewandte
       Dokumentationsänderungen mit `athena_get_maintenance_status` geprüft
-- [ ] Athena-Terminal gesund; erlaubter Leseaufruf erfolgreich; SSH, Docker,
-      Reboot, Shutdown und Pfadausbruch in Negativtests verweigert
+- [ ] Athena Operator und rootseitiger Executor gesund; Lesen und Preview
+      erfolgreich; falsches/abgelaufenes Ticket, Pfadausbruch, WireGuard-Stopp,
+      freie Befehle, SSH, Reboot und Shutdown in Negativtests verweigert
 - [ ] lokales Dokumentations-Overlay ist auch im privaten Git enthalten und
       der Recovery-Koffer wurde danach neu erzeugt
 
@@ -110,8 +111,8 @@ laufen, sondern alle fachlichen Funktionen geprüft wurden.
 - [ ] Router nur aus erlaubtem Netz erreichbar
 - [ ] Dienste laufen mit minimalen Rechten
 - [ ] Environment-Dateien Modus 0600
-- [ ] kein allgemeiner Shell-MCP im Standardprofil; Athena-Terminal besitzt nur
-      die dokumentierte Positivliste und zwei read-only Mounts
+- [ ] kein allgemeiner Shell-MCP im Standardprofil; Athena Operator besitzt nur
+      strukturierte, ticketgebundene Plattformoperationen
 - [ ] Schreibaktionen verlangen Vorschau und Approval Ticket
 - [ ] Secret-Restore wurde ohne Klartextausgabe durchgeführt
 - [ ] verschlüsseltes Recovery-Bundle liegt außerhalb von Athena