README: fehlenden Dashboard-Auth-Setup-Schritt ergaenzen + Henne-Ei-Bug fixen

README dokumentierte den seit 19.07.2026 pflichtigen Dashboard-Auth-Block
(HERMES_DASHBOARD_USER/PASSWORD_HASH, dashboard.basic_auth in config.yaml)
noch gar nicht - neuer Setup-Schritt 4, Schritt 7/8 umnummeriert, Architektur-
Diagramm und Sicherheitshinweis auf den 0.0.0.0-Dashboard-Stand gebracht.

Nebenbei echten Bug gefunden: .env.example und config.yaml.example sagten,
den Passwort-Hash per 'docker exec hermes-agent-dashboard' zu erzeugen -
aber genau dieser Container startet ohne bereits gesetztes
HERMES_DASHBOARD_PASSWORD_HASH gar nicht (docker-compose :?-Pflichtvar).
Hash muss gegen 'hermes-agent' erzeugt werden, der teilt sich das Image
ohne die Pflicht-Var.

hermes-agent-config/config.yaml.example

@@ -39,9 +39,13 @@ model:
 # but no auth providers are registered"). Ohne diesen Block bindet's nur
 # noch auf 127.0.0.1 (Tunnel), egal was im docker-compose `command:` steht.
 #
-# Hash EINMALIG erzeugen (im laufenden Dashboard-Container, NICHT das
-# Klartext-Passwort committen oder in .env schreiben — nur den Hash):
-#   docker exec -it hermes-agent-dashboard python -c \
+# Hash EINMALIG erzeugen (NICHT das Klartext-Passwort committen oder in .env
+# schreiben — nur den Hash). Gegen den "hermes-agent"-Container, NICHT
+# "hermes-agent-dashboard" — der braucht HERMES_DASHBOARD_PASSWORD_HASH schon
+# zum Hochfahren (Henne-Ei-Problem: ohne Hash kein Start, ohne laufenden
+# Container kein Hash). "hermes-agent" teilt sich dasselbe Image und laeuft
+# auch ohne den Wert:
+#   docker exec -it hermes-agent python -c \
 #     "from plugins.dashboard_auth.basic import hash_password; print(hash_password('DEIN-PASSWORT'))"
 # Ergebnis nach .env als HERMES_DASHBOARD_PASSWORD_HASH eintragen.
 #