TP35 Schicht 2 vorbereitet: exports.zsh komplett, claude.json-Flip ausstehend

exports.zsh um die 3 von opencode bereits referenzierten, aber fehlenden
MCP_MIKROMCP_{ROUTER_AP3,CRS326_CORE,CRS326_BRANCH}_PASS ergänzt (25 Vars,
gui-env-sync 25/25 in launchd-Env). claude.json hält noch 7 Klartext-Secrets;
DRY-RUN bestätigt alle Ziel-Vars MATCH. Flip läuft bei BEENDETER App über
~/dev/.bin/schicht2-claude-json-migrate.py --apply-claude (nicht aus laufender
Session — Claude Code schreibt State in die Datei). Announcement-Eintrag ergänzt.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docs/announcements.md

@@ -13,6 +13,15 @@ zeigt die Einträge, die seit dem letzten `/news`-Lauf dazugekommen sind (Rest a
 
 ---
 
+## 2026-09-12 — claude.json-Secrets laufen künftig über `{env:}` (TP35 Schicht 2)
+**Betrifft:** alle, die `~/.claude.json` oder `~/.secrets/exports.zsh` anfassen.
+**Aktion:** Keine Klartext-Secrets mehr in `~/.claude.json` — MCP-Credentials referenzieren
+`{env:MCP_*}` (dieselben Namen wie `opencode.jsonc`, bidirektional kompatibel). SSoT bleibt
+`~/.secrets/exports.zsh` (jetzt 25 Vars). Nach jeder Änderung dort: `~/dev/.bin/gui-env-sync.sh`
+**und App-Neustart** (laufender Prozess erbt die launchd-Umgebung nicht). ⚠ `~/.claude.json` nie aus
+einer **laufenden** Session editieren — Claude Code schreibt dort State, der Edit würde überschrieben;
+der Flip läuft bei beendeter App über `~/dev/.bin/schicht2-claude-json-migrate.py --apply-claude`.
+
 ## 2026-09-12 — TP36-Live: Gerätedaten stehen als CustomFields in Nautobot
 **Betrifft:** alle, die Geräte-Ist-Werte (RouterOS-Version, Compliance %, DHCP-Server-Zahl,
 DNS-Modus, Mgmt-IP) brauchen.