feat(deployment): update Semaphore stack and Traefik configuration

- Add QUICKSTART.md and SETUP_REPOSITORY.md for Semaphore stack
- Add playbooks directory for Semaphore deployment
- Update Semaphore docker-compose.yml, env.example, and README
- Add Traefik local configuration files
- Disable semaphore.yml in Traefik dynamic config
- Update docker-compose.local.yml and build-image workflow

deployment/stacks/semaphore/README.md

@@ -6,9 +6,9 @@ Selbst-gehostete Semaphore CI/CD-Plattform für lokale Entwicklung, die es ermö
 
 **Features**:
 - **Selbst-gehostet**: Läuft vollständig lokal auf dem Entwicklungsrechner
-- **Isoliert**: Keine externen Zugriffe, nur localhost (127.0.0.1)
+- **Lokal isoliert**: NUR über localhost (127.0.0.1) erreichbar - KEIN externer Zugriff aus Sicherheitsgründen!
 - **MySQL-Backend**: Persistente Datenbank für Projekte, Tasks und Templates
-- **Web-UI**: Intuitive Benutzeroberfläche für Pipeline-Management
+- **Web-UI**: Intuitive Benutzeroberfläche für Pipeline-Management (nur lokal)
 - **Ansible-Integration**: Native Unterstützung für Ansible-Playbooks
 - **Docker-basiert**: Einfaches Setup und Wartung
 
@@ -26,7 +26,7 @@ Selbst-gehostete Semaphore CI/CD-Plattform für lokale Entwicklung, die es ermö
 ## Voraussetzungen
 
 - Docker und Docker Compose installiert
-- Port 3001 auf localhost frei verfügbar (3000 wird von Gitea verwendet)
+- Port 9300 auf localhost frei verfügbar (3000 wird von Gitea verwendet)
 - Ausreichend Speicherplatz für Docker Volumes (~500MB initial)
 
 ## Verzeichnisstruktur
@@ -75,7 +75,9 @@ docker compose up -d
 
 ### 4. Semaphore Web-UI öffnen
 
-Öffne im Browser: http://localhost:3001
+Öffne im Browser: **http://localhost:9300**
+
+⚠️ **WICHTIG**: Semaphore ist NUR lokal zugänglich (127.0.0.1). Es gibt KEINEN externen Zugriff aus Sicherheitsgründen.
 
 **Standard-Login**:
 - **Username**: `admin` (oder Wert aus `SEMAPHORE_ADMIN`)
@@ -104,8 +106,8 @@ MYSQL_PASSWORD=semaphore
 #### Semaphore-Konfiguration
 
 ```env
-# Port-Binding (Standard: 3001)
-SEMAPHORE_PORT=3001
+# Port-Binding (Standard: 9300)
+SEMAPHORE_PORT=9300
 
 # Admin-Benutzer
 SEMAPHORE_ADMIN=admin
@@ -203,7 +205,7 @@ docker compose up -d
 
 ### 1. Projekt erstellen
 
-1. Öffne http://localhost:3001 im Browser
+1. Öffne http://localhost:9300 im Browser
 2. Melde dich mit Admin-Credentials an
 3. Klicke auf "New Project"
 4. Gib einen Projektnamen ein (z.B. "My Project")
@@ -289,9 +291,9 @@ Semaphore kann Docker-Images aus der lokalen Registry verwenden:
 
 ## Troubleshooting
 
-### Port-Konflikt (Port 3000 vs 3001)
+### Port-Konflikt (Port 3000 vs 9300)
 
-**Problem**: Port 3000 ist standardmäßig von Gitea belegt, daher verwendet Semaphore Port 3001.
+**Problem**: Port 3000 ist standardmäßig von Gitea belegt, daher verwendet Semaphore Port 9300.
 
 **Lösung**: Wenn du einen anderen Port verwenden möchtest, setze `SEMAPHORE_PORT` in der `.env` Datei:
 ```env
@@ -309,7 +311,7 @@ docker compose logs semaphore
 
 **Häufige Ursachen**:
 - MySQL ist noch nicht bereit (warte auf Health-Check)
-- Port 3001 ist bereits belegt: `netstat -tuln | grep 3001` (oder auf Windows: `netstat -ano | findstr :3001`)
+- Port 9300 ist bereits belegt: `netstat -tuln | grep 9300` (oder auf Windows: `netstat -ano | findstr :9300`)
 - Falsche Datenbank-Credentials
 
 **Lösung**:
@@ -382,26 +384,44 @@ docker compose exec semaphore wget --no-verbose --spider http://localhost:3000/a
 
 ## Sicherheit
 
-### Lokale Entwicklung (Aktuell)
+### 🔒 Lokaler Zugriff (Nur localhost)
 
-- ✅ Nur localhost-Zugriff (127.0.0.1:3000)
-- ✅ Isoliertes Netzwerk (kein externer Zugriff)
-- ✅ Keine Traefik-Integration
-- ⚠️ Standard-Passwörter (nur für lokale Entwicklung)
+Semaphore ist absichtlich NUR lokal zugänglich aus Sicherheitsgründen:
 
-### Für Produktion
+- ✅ **Nur localhost-Zugriff**: Port 9300 gebunden an 127.0.0.1 (nicht 0.0.0.0)
+- ✅ **Keine externen Netzwerke**: Kein externer Zugriff möglich
+- ✅ **Keine Traefik-Integration**: Keine öffentliche Route konfiguriert
+- ✅ **Isoliertes Netzwerk**: Nur internes Docker-Netzwerk
+- ⚠️ **Standard-Passwörter**: Nur für lokale Entwicklung - ändern bei Bedarf
 
-Wenn du Semaphore später für Produktion nutzen willst:
+### ⚠️ KEINE Produktions-Nutzung über Internet!
 
-1. **Starke Passwörter**: Ändere alle Passwörter in `.env`
+**Semaphore sollte NICHT öffentlich zugänglich gemacht werden!**
+
+Gründe:
+1. **Sicherheitsrisiko**: Semaphore hat Zugriff auf SSH-Keys und Deployment-Credentials
+2. **Privilegierter Zugriff**: Kann auf Produktions-Server zugreifen
+3. **Keine Multi-Factor-Authentication**: Standardmäßig keine 2FA
+4. **Exploits**: Selbst-gehostete Software kann Sicherheitslücken haben
+
+### Für lokale Entwicklung (Empfohlen)
+
+Wenn du Semaphore lokal nutzen willst:
+
+1. **Starke Passwörter**: Ändere alle Passwörter in `.env`:
+   ```env
+   SEMAPHORE_ADMIN_PASSWORD=<starkes-passwort>
+   MYSQL_PASSWORD=<starkes-passwort>
+   MYSQL_ROOT_PASSWORD=<starkes-passwort>
+   ```
 2. **Encryption Key**: Generiere einen sicheren Key:
    ```bash
    head -c32 /dev/urandom | base64
    ```
-3. **Traefik-Integration**: Füge Traefik-Labels für HTTPS hinzu
-4. **LDAP/SSO**: Konfiguriere externe Authentifizierung
-5. **Backup-Strategie**: Regelmäßige MySQL-Backups einrichten
-6. **Resource Limits**: Füge Memory/CPU-Limits hinzu
+   Setze in `.env`: `SEMAPHORE_ACCESS_KEY_ENCRYPTION=<generierter-key>`
+3. **SSH-Keys**: Stelle sicher, dass SSH-Keys sicher gespeichert sind
+4. **Backup-Strategie**: Regelmäßige MySQL-Backups einrichten
+5. **Resource Limits**: Füge Memory/CPU-Limits hinzu (optional)
 
 ## Wartung
 
@@ -537,7 +557,7 @@ docker compose logs --tail=100
 docker compose ps
 
 # Semaphore-Health
-curl http://localhost:3001/api/health
+curl http://localhost:9300/api/health
 
 # MySQL-Health
 docker compose exec mysql mysqladmin ping -h localhost -u root -psemaphore_root
@@ -550,7 +570,7 @@ docker compose exec mysql mysqladmin ping -h localhost -u root -psemaphore_root
 **Nächste Schritte**:
 1. `cp env.example .env` ausführen
 2. `docker compose up -d` starten
-3. http://localhost:3001 öffnen
+3. http://localhost:9300 öffnen
 4. Mit Admin-Credentials anmelden
 5. Erstes Projekt und Template erstellen