Replace WireGuard prototype with native host service and scoped access

README.md

@@ -257,3 +257,5 @@ VAE-Konfiguration entsprechen 25 semantische Tokens einer Sekunde; die erweitert
 Token- und Sekundenfelder werden synchronisiert. Das Modell kann vor dem Limit enden.
 Der Ergebnisplayer bleibt beim Status-Polling bestehen, damit die Wiedergabe nicht
 alle 1,5 Sekunden zurückgesetzt wird.
+
+Native WireGuard-Anbindung: [Systemdienst, Zugriffsmodi und Migration](network/NATIVE.md). Der Tunnel läuft außerhalb von Docker; die isolierte Deck-App kann vorerst im Container bleiben.