feat: PowerShell 7 preflight and launcher - preflight.ps1, wikitool.ps1, doctor policy and Mark of the Web checks, pwsh CI job (#151, B)

Files changed:
- .gitea/workflows/ci.yml
- CHANGES.md
- INSTALL.md
- README.md
- VERSION
- docs/why-gates-are-code.md
- instructions/bootstrap.md
- instructions/bug-report.md
- instructions/preflight.md
- instructions/setup-instance.md
- instructions/upgrade-instance.md
- tools/CONTRACT.md
- tools/README.md
- tools/bugreport.py
- tools/chemenu/cli.py
- tools/chemenu/commands/dist_cmd.py
- tools/chemenu/commands/doctor.py
- tools/chemenu/prerequisites.py
- tools/chemenu/tests/conftest.py
- tools/chemenu/tests/test_bugreport.py
- tools/chemenu/tests/test_doctor.py
- tools/chemenu/tests/test_preflight.py
- tools/chemenu/tests/test_preflight_pwsh.py
- tools/chemenu/toolpaths.py
- tools/preflight.ps1
- tools/wikitool
- tools/wikitool.ps1

INSTALL.md

@@ -17,8 +17,11 @@ Terminal auf dieser Maschine ist.
 - git
 - [ripgrep](https://github.com/BurntSushi/ripgrep) (`rg`) - wird von `search` und
   `sources coverage` gebraucht
+- Nur unter Windows zusätzlich: PowerShell 7 (`pwsh`). Windows PowerShell 5.1 reicht nicht, und
+  WSL ist nicht vorgesehen.
 
-Ob das alles da ist, prüft der Preflight (`tools/preflight.sh`), bevor irgendein
+Ob das alles da ist, prüft der Preflight (`tools/preflight.sh`, unter Windows in PowerShell 7
+`tools/preflight.ps1`), bevor irgendein
 `wikitool`-Befehl läuft - der erste Schritt jeder Einrichtung, siehe
 [instructions/preflight.md](instructions/preflight.md). Die maßgebliche Liste steht in
 `tools/prerequisites.txt`. Fehlt etwas, hält der Agent an und zeigt eine Anleitung mit dem
@@ -331,7 +334,8 @@ gefunden hat; `wikitool` startet git und rg von dort statt über `PATH`. Pro Che
 gitignored - ein Pfad auf einem Rechner sagt über den nächsten nichts. Fehlt die Datei oder ist
 sie unvollständig, startet `tools/wikitool` nicht (Exit 42) und nennt den Preflight. Liegt ein
 Tool woanders, als der Preflight sucht, nennt man den Pfad mit
-`tools/preflight.sh --set rg=<pfad>`; von Hand bearbeitet wird die Datei nicht. `doctor` meldet
+`tools/preflight.sh --set rg=<pfad>` (PowerShell: `pwsh -NoProfile -ExecutionPolicy Bypass -File tools/preflight.ps1 --set rg=<pfad>`); von Hand
+bearbeitet wird die Datei nicht. `doctor` meldet
 unter `tool-paths`, ob alle Pfade noch stimmen.
 
 **Aufgaben-Tracker anbinden - optional.** Der Wochenrückblick (`tools/wikitool review`, Skill
@@ -464,7 +468,19 @@ tools/wikitool instructions verify
 - **`tools/wikitool` endet mit `STOP - this checkout is not set up yet` (Exit 42)** - der
   Preflight ist in diesem Checkout noch nicht durchgelaufen, oder seit dem letzten Update nicht
   mehr: `tools/preflight.sh` ausführen, siehe
-  [instructions/preflight.md](instructions/preflight.md).
+  [instructions/preflight.md](instructions/preflight.md). In PowerShell 7 unter Windows heißt der
+  Aufruf `pwsh -NoProfile -ExecutionPolicy Bypass -File tools/preflight.ps1`; das `-ExecutionPolicy Bypass` gilt nur für diesen
+  einen Prozess und ändert keine Einstellung.
+- **Unter Windows meldet der Preflight die PowerShell-Ausführungsrichtlinie** (`Restricted` oder
+  `AllSigned`) - die Ausgabe nennt die eine Zeile, die man in einem PowerShell-7-Fenster ausführt
+  (`Set-ExecutionPolicy -Scope CurrentUser -ExecutionPolicy RemoteSigned`). Setzt eine
+  Gruppenrichtlinie sie, hilft nur die IT, oder man arbeitet aus Git Bash mit `tools/wikitool`.
+  `doctor` zeigt den Stand unter `execution-policy`.
+- **Unter Windows meldet der Preflight „Mark of the Web“** - das Repo wurde mit dem Browser
+  geladen und im Explorer entpackt; Windows hält dann jede Datei für „aus dem Internet“ und
+  PowerShell verweigert die Skripte. Einmal im entpackten Ordner, in PowerShell 7:
+  `Get-ChildItem -Recurse -File | Unblock-File`. Wer mit `git clone` oder `Invoke-WebRequest`
+  lädt, hat die Markierung nicht. `doctor` zeigt den Stand unter `script-marks`.
 - **Der Agent bietet keine Skills an (`wiki-ingest`, `wiki-query`, ...)** - `.agents/skills/`
   und `.claude/skills/` sind generiert und nicht committet. `tools/wikitool instructions sync`
   ausführen, dann die Agent-Session neu starten (Harnesses lesen Skills nur beim Start).