Optionalen HTTP(S)-Proxy ueber .env unterstuetzen

- .env: HTTP_PROXY, HTTPS_PROXY, NO_PROXY (leer = kein Proxy)
- Image-Build: Proxy als Build-Argumente (dnf, apt, pip)
- Laufzeit: Manager und Dashboard bekommen den Proxy (Wazuh-Feeds, Update-Check);
  interne Dienstnamen stehen immer in NO_PROXY
- setup.sh: exportiert den Proxy (Podman-Pulls/-Builds), reicht ihn ans
  Zertifikat-Tool weiter, warnt bei Docker-Daemon ohne Proxy, uebernimmt beim
  ersten Lauf einen Proxy aus der Shell und ergaenzt neue Schluessel in bestehenden .env
- README: Abschnitt Proxy

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

README.md

@@ -80,6 +80,29 @@ unangetastet. Mit `CONTAINER_ENGINE=docker|podman` lässt sich die Erkennung üb
 nano hosts.yml             # Hosts eintragen (siehe hosts.yml.example)
 ```
 
+### Proxy (optional)
+
+Kommt der Server nur über einen Proxy ins Internet, trägst du ihn in `.env` ein:
+
+```bash
+cp .env.example .env       # nur vor dem allerersten ./setup.sh nötig
+nano .env                  # HTTP_PROXY=http://proxy.firma.local:3128, HTTPS_PROXY=..., ggf. NO_PROXY=...
+```
+
+Alternativ übernimmt `./setup.sh` beim ersten Lauf `HTTP_PROXY`/`HTTPS_PROXY` aus der Shell.
+Genutzt wird der Proxy für:
+
+- Image-Build (`dnf`, `apt`, `pip`) und das Zertifikat-Tool
+- Laufzeit: Manager und Dashboard (Schwachstellen-Feeds von cti.wazuh.com, Update-Check)
+- Podman: auch für das Laden der Images
+
+Die internen Dienstnamen (`wazuh.manager`, `wazuh.indexer`, …) sind immer in `NO_PROXY`. SSH
+zu den Hosts läuft nie über den Proxy.
+
+**Docker:** Images lädt der Docker-Daemon, nicht der Container. Ohne Daemon-Proxy gibt
+`setup.sh` eine Warnung mit der fertigen systemd-Konfiguration aus. `setup.sh` ändert die nicht
+selbst, weil ein Neustart von Docker alle Container auf dem Server neu startet.
+
 ### Red Hat / Podman
 
 ```bash