docs: overhaul repository documentation

docs/TROUBLESHOOTING.md

@@ -0,0 +1,37 @@
+ID: DOC_000016 | Version: 0.2.1 | Status: Draft
+By: Codex (GPT-5)
+
+# Troubleshooting
+
+## Service startet nicht
+- Status pruefen: `sudo systemctl status skd.service`
+- Logs: `sudo journalctl -u skd.service -n 200 --no-pager`
+- Port 80 belegt? Test: `sudo ss -ltnp | grep ':80'`
+
+## 401/403 bei API-Aufrufen
+- Bearer-Token fehlt oder abgelaufen.
+- Nutzer nicht in `SKD_AUTH_ALLOWED_USERS` oder `SKD_AUTH_ALLOWED_GROUPS`.
+- `SKD_AUTH_SECRET` geaendert? Tokens muessen neu erzeugt werden.
+
+## OIDC-Login fehlschlaegt
+- `SKD_OIDC_ISSUER`, `SKD_OIDC_CLIENT_ID`, `SKD_OIDC_CLIENT_SECRET` gesetzt?
+- Redirect-URI exakt registriert?
+- Netzwerkzugriff auf Discovery/JWKS moeglich?
+
+## Benachrichtigung/Sound fehlt
+- `notify-send` fehlt: `sudo apt install libnotify-bin`
+- Sound-Player fehlt: `paplay` oder `aplay` installieren.
+- `SKD_NOTIFY_SEND_PATH` oder `SKD_SOUND_PLAYER` falsch gesetzt.
+
+## Update-Check meldet "Client is not enrolled"
+- `SKD_UPDATE_TOKEN` oder `SKD_UPDATE_TOKEN_FILE` fehlt.
+- Enrollment ueber `/update/enroll` oder `scripts/manual_enroll.py` durchfuehren.
+
+## Update-Apply fehlschlaegt
+- Update-Service nicht erreichbar oder Token ungueltig.
+- Prüfe `SKD_UPDATE_STATUS_FILE` und `SKD_UPDATE_LOG_FILE`.
+- Hinweis: `update_client.sh` wird asynchron gestartet und stdout/stderr werden verworfen.
+
+## Rollback meldet "no backup found"
+- Es existiert kein `/opt/sk_backup_*` vom vorherigen Update.
+- Rollback erst nach mindestens einem erfolgreichen Update moeglich.