security: geleakte Secrets aus Repo entfernen (Review-Befund k)

Secret-Scan im Fable-5-Review fand vier aktive Zugangsdaten im
oeffentlich erreichbaren Gitea-Repo. Gefahrlos entfernbare Stellen:
- scripts/release.ps1: Gitea-Token -> Umgebungsvariable PYRAMID_GITEA_TOKEN
- docs/matrix-sdk/13-server-admin: 19x Admin-Token -> <ADMIN_TOKEN>

Client-eingebettete Secrets (LiveKit apiSecret, Admin-Token im
E2EE-Diagnose-Upload, Giphy-Key) brauchen Rotation + Server-Umbau
und stehen als neue M0-ROADMAP-Punkte (nicht blind auf dem Pi fixbar).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

scripts/release.ps1

@@ -11,7 +11,17 @@ Set-Location (Split-Path $PSScriptRoot -Parent)
 # ── Config ────────────────────────────────────────────────────────────────────
 $GiteaBase  = "http://192.168.178.71:3000"
 $GiteaRepo  = "steggi/pyramid"
-$GiteaToken = "bb522f9646c6856c9ab58bef0151ac36a9ce1d57"
+# Token NIE hier eintragen (CLAUDE.md: keine Secrets ins Repo). Er kommt aus der
+# Umgebungsvariable PYRAMID_GITEA_TOKEN – einmalig pro PC setzen mit:
+#   [Environment]::SetEnvironmentVariable("PYRAMID_GITEA_TOKEN", "<token>", "User")
+# (neues Terminal öffnen, damit die Variable sichtbar ist)
+$GiteaToken = $env:PYRAMID_GITEA_TOKEN
+if ([string]::IsNullOrWhiteSpace($GiteaToken)) {
+    Write-Error ("PYRAMID_GITEA_TOKEN ist nicht gesetzt. Einmalig setzen mit:`n" +
+        '  [Environment]::SetEnvironmentVariable("PYRAMID_GITEA_TOKEN", "<token>", "User")' +
+        "`nDen Token in Gitea unter Einstellungen > Anwendungen erzeugen (Scope: repository).")
+    exit 1
+}
 $Headers    = @{ Authorization = "token $GiteaToken"; "Content-Type" = "application/json" }
 
 # ── Read and Update version from pubspec.yaml ─────────────────────────────────