Nur ein Startskript per adb, Rest über git; Berechtigungen beim Installieren

Bisher schob provision.sh das ganze Repo nach /sdcard. Auf dem Telefon lag damit
eine Kopie, und jede Änderung hätte wieder den PC gebraucht. Jetzt kommt per adb
nur init-phone.sh: es installiert git und klont die Quellen nach ~/hpos. Danach
ist das eine echte Arbeitskopie und Aktualisieren heißt

    cd ~/hpos && git pull

Die Repo-Adresse liest provision.sh aus dem origin-Remote und schreibt sie fest
ins übertragene Skript, damit auf einer Bildschirmtastatur nichts abgetippt
werden muss. Bei privaten Repos bietet init-phone.sh an, das Passwort zu
speichern — mit dem ausdrücklichen Hinweis, dass das im Klartext geschieht.

Die Berechtigungen wandern von provision.sh nach install-termux.sh, direkt hinter
die Installation. Eine frisch installierte App ohne Berechtigungen ist eine Falle,
die erst Stunden später zuschnappt: im ersten Gerätelauf als stumme Tonaufnahme
in Beweis S2. RECORD_AUDIO für com.termux wird danach ausdrücklich nachgeprüft,
weil genau daran der Beweis hängt.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

spike/README.md

@@ -73,10 +73,14 @@ Bildschirmtastatur eingetippt werden müssen.
 ## Ablauf
 
 ```bash
-# Einmalig, vom PC. Fragt selbst nach USB oder WLAN.
+# Einmalig, vom PC. Fragt selbst nach USB oder WLAN, installiert Termux
+# und legt ein Startskript nach /sdcard/hpos-init.sh.
 ./provision/provision.sh
 
-# Auf dem Telefon in Termux
+# Auf dem Telefon in Termux: git installieren und das Repo holen
+bash /sdcard/hpos-init.sh
+cd ~/hpos
+
 bash spike/00-bootstrap-termux.sh
 
 # Beweise in dieser Reihenfolge — S1 zuerst, weil er der wackligste ist
@@ -86,6 +90,15 @@ bash spike/03-s3-pipewire-kamera.sh
 bash spike/04-s4-intent-handoff.sh
 ```
 
+**Aktualisieren später** — kein PC nötig, kein erneutes Übertragen:
+
+```bash
+cd ~/hpos && git pull
+```
+
+Per adb kommt bewusst nur das Startskript aufs Telefon, nicht das Repo selbst.
+Dadurch liegt dort eine echte Arbeitskopie statt einer Kopie.
+
 Jedes Skript fragt am Ende nach deiner Beurteilung und schreibt sie nach
 `spike/out/ergebnisse.tsv`. Rohprotokolle liegen daneben in `spike/out/*.log`.