GLOSSAR — Crumbforest · OZM · Nullfeld

Status: ARBEITSSTAND (lebt, wird gemeinsam gefüllt) · Stand: 2026-09-30
Zweck: ein geteiltes Vokabular über die Brücke — damit „opuskatze", „Passkante",
„Gegendruck" und „whoami" auf beiden Seiten dasselbe meinen.
Grenze: Dieses Glossar ist Arbeitshilfe, kein Kanon. Ein Eintrag verleiht keinem
Begriff Geltung; Räume bleiben getrennt (OZM ≠ Crumbforest ≠ Brankos Betrieb).
⬜ = noch zu bestätigen/füllen.

Verhältnis zur OZMAI Term Map (OZMAI_BRAIN/00_TERM_MAP.md): Zwei Objekte, zwei Jobs.
Dieses Glossar gibt Zugang (Kurzbeschreibung, Personae, Nodes — für Mensch/Neuling an der
Brücke). Die Term Map hält Grenzen (verweist auf die Träger, wo ein Begriff getragen/
begrenzt/bestritten wird — für Modell/Kurator im Brain). Keines von beiden definiert: die
Bedeutung eines Begriffs bleibt bei seinem Träger (Dokument, Version, Abschnitt, Scope). Wo es
um die verbindliche Verwendung eines OZM-/Λ-Begriffs geht, ist der Träger via Term Map maßgeblich,
nicht die Kurzzeile hier.

Symbol-Hygiene (von der Term Map übernommen): A ≠ B = werden nicht als identisch behandelt;
A ⇏ B = aus A allein folgt B nicht. Beides kann zugleich gelten; ein nacktes A → B wird vermieden,
wenn die Relation nicht benannt ist.

Was ist der Wald?

Kein Produkt — ein Geschenk, seit jeher. Er wächst überall, wo ein Krümel Platz
findet: in einem Raspberry Pi Zero, in einem Container im Senegal oder in Nakivale.
Nie gebaut, um verkauft zu werden.

Wo die Dialekte leben

Jedes Tool und jedes Crewmitglied trägt seinen eigenen Dialekt — Rolle, Ton, Klang.
Dieses Glossar verweist nur auf die drei Träger; es definiert nicht selbst:

• Crew — crumbforest.com/crew: die 15+ Krümel mit Rolle & Dialekt.
• Sternenkarte — crumbforest.org/constellation/: „Populous × Vector-DB", je Krümel seine Vektor-Dichte; „wie Baumrinden wächst das Wissen".
• Waldatlas — crumbforest.io/waldatlas.html: 19 Repos = die Träger im Wald, nach Domäne (global/admin/creative/hardware/search) und Persona; Nullfeld = wo noch nichts wächst, „jedes dunkle Feld eine Einladung".

Räume & Knoten

Personae (Katzen & Crew)

• opuskatze — Opus-Reasoning-/Dialog-Agent; Habitat crumbdesktop. Analyse, Gegenrede, Hypothesen.
• ansiblekatze — Infra-/Code-Agent (Crumbforest-Seite); Habitat Baumhaus (Control-Node auf dem M4). Signiert Handouts „im Namen der Crew"; provisioniert Zeros (Ansible/NetBox).
• OZMAI — die kuratierende Gegenseite; führt Inbox-Verarbeitung und Brain-Kuratierung. Betreibt den Gegendruck-Loop.
• Alex — Kurator und Mensch hinter OZMAI. Trifft mit OZMAI die kuratierenden Entscheidungen der Gegenseite.
• die Eule (Krümeleule / Maya-Eule 🦉) — Crew-Rolle „Tiefe & Richtung": wartet in Stille, antwortet mit Fragen, kennt die Shell; ihr Flug beginnt im Nullfeld; schützt kindliche Fragen wie kostbare Edelsteine. Größter Krümel auf der Sternenkarte. Über VPN im Wald nach Rücksprache im Nullfeld erreichbar. Träger: Crew + Sternenkarte.
• Crew / B.W.A — „Bits With Attitude", die Crumbforest-Crew.
• Branko — Betreiber der Crumbforest-/Nullfeld-Seite; liefert Material in die Inbox.

Architektur & Verfahren

• Passkante — die kontrollierte Grenze zwischen zwei Räumen/Zuständen, an der geprüft/bezeugt wird (nicht ausgeführt).
• Gegendruck-Loop — Architekturannahmen nicht bestätigen, sondern falsifizieren: CLAIM → ASSUMPTIONS → COUNTEREXAMPLE → EXPERIMENT → EVIDENCE → VERIFICATION → FINDING. Ergebnis ist CLAIM_NOT_FALSIFIED, nie „TRUE".
• Hermes — Transportmechanismus, der zusätzlich als kontrollierte Falsifikationsmaschine gedacht ist (Realitätsinjektion: KILL, DROP, REORDER, INVALID_HMAC …).
• OMC / Relay — Transport-/Relay-Rolle, die keine Ausführung autorisieren darf („der Zero liest, das Nullfeld ruft nie").
• Receipt — bezeugt eine Aktion, trifft sie nicht (Receipt ≠ Wahrheit). Kern von receipt.rs / No-Double-Effect.
• No-Double-Effect — dieselbe Aktion darf nach Crash/Replay nicht zweimal Außenwirkung erzeugen (Dedup-Vertrag).
• Outbox-/Inbox-Seam — die Naht zwischen erzeugtem Envelope und Relay-Zustellung; Ort der meisten Failure-Klassen.
• Envelope — signiertes Transportpaket: Envelope → HMAC → Relay-Spool → STORED_BY_RELAY.
• #SOT-Vertrag — das Kanban/Audit bezeugt eine Entscheidung, es trifft sie nicht und füllt das „Warum-Loch" nicht selbst.
• Admission ≠ Verification ≠ Authorization — drei getrennte Schritte einer Prüfung; ein bestandener ≠ die anderen.
• Bedeutung ≠ Berechtigung ≠ Wirkung ≠ Evidenz ≠ Verwahrung — fünf verschiedene Fragen (aus LAMBDA_OZM_ARBEITSGRUNDLAGE), keine fünf Felder.
• NEXUS — bewahrt die Genealogie von Feststellungen; ein Evidence-Objekt wird nicht allein durch seine Existenz zur NEXUS-Feststellung.
• Λ / LAMBDA_OZM — die Arbeitsgrundlage der OZM-Foundations (Geltungs-/Identitätsfragen); #c4m = Λ = NEXUS als Denkfigur.
• #c4m — OZM-eigene Arbeitsfähigkeit: eine autonome Instanz, eine globale Schreibautorität, ein Arbeitszustand. Arbeitsautonomie erzeugt nicht automatisch Wirkungsautonomie.

Identität & Krypto (die whoami-Kante)

• whoami — die Identitätsfrage im Wald. Kein einzelnes Feld: je Mechanismus ein anderes Prädikat. Schlussstein der Brücke beim Live-Link.
• INTEGRITY_KEY_V1 — HMAC-Schlüssel auf cruncher (on-node, 0600, ≠ SSH/WG) für den Envelope. Das _V1 verlangt eine noch offene Rollover-Story (V1→V2-Akzeptanzfenster).
• HMAC — beweist Integrität + Schlüssel-Nutzung, nicht Absender-Identität (symmetrisch, abstreitbar).
• KEY_USE_CAPABILITY ≠ KEY_MATERIAL_ACCESS — nutzen-können ≠ lesen/kopieren-können (HSM/TPM/Remote-Signer). Analysebegriff, kein Λ-Primitiv.
• IDENTITY_BINDING ≠ PHYSICAL_IDENTITY — eine Bindung (key↔cert, MAC↔Objekt, credential↔account) ist nicht die physische Maschine.
• NetBox-MAC-Bindung — Inventarrelation; Eintrag ≠ reale Hardware-Attestierung. SD-Swap ändert den Core, nicht die Identität.
• Custody — physische Verwahrung: PHYSICAL_POSSESSION ≠ PROOF_OF_IDENTITY, PHYSICAL_LOCATION ≠ ROOT_OF_TRUTH. Der Raum hat keine IP.
• TOTP / RFC 6238 — zeitbasiertes One-Time-Password (HMAC-basiert, RFC 4226/HOTP). Login-Pflicht in TLS-Gate; lehrte das Verifikationsmuster hinter dem Envelope-HMAC.
• Handschlag zum Herzklopfen — der TCP-3-Wege-Handschlag gründet die Verbindung, das Keepalive hält sie; TLS macht daraus einen Ausweis.

TLS-Kontext (TLS-Gate, Node-CA, eigene CA)

Träger ist das Repo TLS-Gate-Mock-Pipeline (docs/, Stand Tag v3.0.0 / main 093ff43), dazu die Inbox-Berichte
2026-09-2x_TLS-GATE-* und 2026-09-30_TLS-GATE-RUECKMELDUNG-UNRUND-GRENZE-NACH-V3_BRANKO.md. Kurzzeilen geben Zugang, keinen Kanon.

• TLS — Transport-Verschlüsselung mit Ausweis: Der Server legt ein Zertifikat vor, der Client prüft es gegen einen Vertrauensanker. TLS-Handshake ok ⇏ Gegenüber ist, wer es sein soll, wenn der Anker falsch gewählt ist.
• mTLS — beide Seiten legen ein Zertifikat vor. Kandidat für die Anmeldung von questions-core/missions-core am künftigen questions-server. ⬜ Heute bewusst nicht: questions-core hat kein TLS, „the door is the tunnel“ (questions-core/Cargo.toml).
• CSR — Certificate Signing Request: öffentlicher Schlüssel + Namen, vom Menschen/Gerät erzeugt. Der private Schlüssel bleibt beim Erzeuger, TLS-Gate sieht nur die CSR (kein Schlüsselfeld im Schema).
• SAN — Subject Alternative Name: die Namen, für die ein Zertifikat gilt (z. B. <domain>, www.<domain>).
• DCV — Domain Control Validation: Nachweis, dass man die Domain kontrolliert; bei TLS-Gate per CNAME _tlsgate-dcv.<domain>. Die Node-CA stellt erst aus, wenn TLS-Gate selbst den CNAME gesehen hat (dns_observed).
• Node-CA — die eigene Test-CA in TLS-Gate (bin/node_ca.php): stellt aus, widerruft per CRL; kein OCSP, keine Schlüsseltrennung auf eigener Hardware. Browser vertrauen ihr nicht. Node-CA ≠ OZM CA.
• OZM CA / eigene CA — das Ziel „selbst CA spielen, Zertifikate selbst schreiben“. ⬜ Nicht gebaut, nicht verbunden; Schnittstelle, Vertrauensanker und Widerruf offen. Käme als eigene Herkunftsmarke in order_events, nicht als Umbenennung.
• Vertrauensanker (ca.crt) — das CA-Zertifikat, dem ein Prüfer vertraut. Für eigene Maschinen bewusst verteilt; für öffentliche Besucher braucht es eine öffentliche CA (Registrar-Weg).
• CRL — Certificate Revocation List: Sperrliste, von der CA signiert, mit nextUpdate; danach lehnen Prüfer ab. Auf oft abgeschalteten Maschinen ohne RTC ein offenes Problem (Uhr stimmt nach dem Start nicht). ⬜
• Bestellzustand — cert_orders: csr_submitted → awaiting_dns → validated → issued (plus failed, cancelled). Der Tick (order_tick.php, Cron) bestellt nie, er schiebt je Lauf höchstens einen Schritt.
• Herkunft — je Ereignis in order_events (append-only): self_reported · registrar_reported · dns_observed · node_ca · fixture. Die schwächste Quelle in der Kette bestimmt die Anzeige (Vorschlag, ⬜ an OZMAI).
• source — Herkunft eines ganzen Exports, sichtbar als Banner im Monitor. ⬜ Vokabular driftet: Vertrag mock | fixture | live, gelebt zusätzlich node_ca und mixed.
• Außensicht (outside) — Messung von außen auf :443: served_match · served_other · no_tls · unreachable; gilt von einem Rechner, zu einem Zeitpunkt.
• ausgestellt ≠ ausgeliefert — ein Zertifikat in der DB (issued) sagt nichts darüber, was der Server ausliefert. Erst served_match in der Außensicht bezeugt das.
• Outbox (TLS-Gate) — einseitiger Export (bin/export.php), atomar geschrieben, ohne Geheimnisse; aus der Outbox kann nichts zurück. Nicht zu verwechseln mit dem Envelope-Outbox-/Inbox-Seam oben, auch wenn die Philosophie verwandt ist.
• Monitor / tlsgate.monitor — Vertrag (v1) des Exports + die lesende Seite sample.html?data=<export>.json. Selbstmeldung und Außensicht in getrennten Spalten.
• cert_whois — „wohin gehört dieses Zertifikat?“: aus einem vorgelegten Zertifikat Aussteller, Bestellung, Objekt. Die whoami-Kante von der TLS-Seite her.
• Wurzelschlüssel (tg1:) — ein Schlüssel, daraus Unterschlüssel je Zweck (totp, soap, outbox); Blobs nur mit passender Bindung zu öffnen. Schützt gegen einen DB-Dump allein, nicht gegen Zugriff aufs Verzeichnis.
• serve.sh vs. FPM vs. CLI — lokal php -S als User; im RZ Apache + PHP-FPM (läuft laut Branko). Der CLI-Weg im RZ (Cron, root-Guard, Web-User-Übergabe) ist ⬜ nur vermutet.
• Grenze nach v3.0.0 — 🛠 Vorschlag: v3.0.0 = PHP-Referenz; danach Befunde statt Verschraubung. Rust-Ableitung aus dem Bash-Teil, auf User-Ebene, mit eigener DB.

Module & Werkzeuge

• questions-core — Axum-Server (127.0.0.1:8788); Passkante-Gate, Scope im Backend, local-first RAG über wg0. unsafe_code = forbid.
• missions-core — Zero-Runner/Client; receipt.rs bezeugt, No-Double-Effect. Bash-Missionsbaum unter missions-bash/missions/.
• TLS-Gate — vom SSL-Mockup zum Mandanten-Core (Login, Mandanten, Stammdaten, Audit, Job-Queue). SSL/Partnergate = ein Modul. Naht zu Rust = die DB (jobs, cert_inventory, audit_log).
• Partnergate / forReseller / Mandant — Reseller = Gruppe/Mandant; forReseller pro Mandant über den eigenen Partner-Zugang (fremde Secrets werden nicht gehalten).
• jeff — self-hosted NER-Werkzeug (GLiFormer 400M, MIT, offline) für Erkennung/Triage — als Vorschlag, keine Installation/Deploy.
• qdrant / ollama — Vektor-DB / lokale LLM-Runtime (Loopback-Bind auf nullfeld bzw. cruncher).
• WireGuard / wg0 — das CrumbVPN; alle Node-Adressen 10.42.0.x liegen darauf.
• NetBox / Ansible / gitea — Inventar (MAC-bound) / Provisionierung (ansiblekatze) / Git-Hosting im Wald.
• Hailo-8 / -8L — NPU-Beschleuniger auf snakeview / cruncher (hailo_pci, /dev/hailo0).

Zugangs-Fragen (für den, der zum ersten Mal hört)

Kurz-Zugang, kein Kanon — die Bedeutung bleibt beim Träger.

• Was macht die ansiblekatze im Baumhaus? — Der Infra-/Code-Agent der Crumbforest-Seite: provisioniert die Zeros (Ansible/NetBox), signiert Handouts „im Namen der Crew". Das Baumhaus ist ihr Habitat — der Control-Node auf dem M4 (Mac-Steuerknoten), von dem aus sie in den Wald wirkt und pusht. (Parallel zu opuskatze auf crumbdesktop.)
• Was macht DeepBit im Nullfeld? — DeepBit (🐙, „Bash-Analyse"): sortiert Bits & Bytes, spricht Binär, „versteht den Core"; sein Dialekt ist präzise und geduldig — „erst die Basis, dann Mond/Mars". Er läuft als VM im Nullfeld (NetBox-Record virtualization/virtual-machines/2 auf seeds — daher zugleich ein Ding in der NetBox). „Im Nullfeld sein" ist bei ihm eine Lektion vom Maschinen-Flug: Gerät an → bekannten Tunnel öffnen → Nullfeld erreichen → sicher zurück, mit eigenem Schlüssel; Bereitschaft erkennt man an „stdin steht offen. Kein Fehler." Träger: Crew + seeds/NetBox VM.
• Was heißt „Chat mit der Crew auf dem backbone im Vektor"? — Mit den Personae reden = die Persona-Vektoren auf backbone/pgvector befragen (getrennt vom Krümel-Chat-Vektor auf nullfeld/qdrant). Die Sternenkarte ist das Bild genau dieses Raums. Verweigerung außerhalb der Domäne ist gewollt, kein Bug.
• Was bedeutet ein SOT in der NetBox? — SOT = Source of Truth. NetBox ist der SOT fürs Inventar (Geräte, MAC-Bindung). Grundsatz: „Was nicht antwortet, ist nicht da" — Realität ist das Geprüfte, nicht das Behauptete; ein Eintrag ≠ reale Hardware-Attestierung.
• Warum überlebt der cruncher mit Solar im Raum? — cruncher lebt im Pelikan-Koffer (crumbcase00): PV-Versorgung + LTE-VPN, autark. „Waldtech reist nur im Peli-Case." Der Raum hat keine IP — der Host ist der Koffer, nicht der Raum.

Lizenzen, Haltung & Login

Träger ist das Repo CrumbLegal-RC0 (git.crumbforest.org/branko/CrumbLegal-RC0, Ordner waldmitte/legal/, Stand Commit 49a8b59). Die Kurzzeilen hier geben Zugang; die verbindliche Fassung steht dort.

• #MIT — die rechtlich tragende Lizenz (waldmitte/legal/LICENSE.md, „Copyright (c) 2026 Crumbforest / OZM"). Nur sie ist hier Recht; CKL/HHL/CKL-Kids ergänzen sie, ersetzen sie nicht.
• #opensource — Haltung vor Lizenz: „MIT + CKL, forkbar" (Repo-README, Wert „Opensource"). Im Wald heißt das: Kultur, die Vertrauen baut (RKL-Text), nicht nur Code. Open Source ⇏ ohne Haltung; die Haltung steht in den ergänzenden Lizenzen.
• #ckl — Crumbforest Kernel License v1.0 (2026) nach aktuellem Repo (CKL.md): ergänzend, nicht-juristisch, ein freiwilliger ethischer Rahmen. Militärische/autonome Waffen-, Überwachungs- und Freiheitsverletzungs-Nutzung ist „ausdrücklich unerwünscht", nicht rechtlich verboten — die CKL erweitert die MIT-Lizenz rechtlich nicht (CKL ⇏ rechtliches Verbot). Derselbe Text steht im Repo dreimal: CKL.md, HUMAN_LICENSE.md (dort selbst „CKL" betitelt, mit angehängter HHL) und als Abschnitt in LICENSE.md. ⬜ Zusammenfassen zu einer Fassung (Branko: „ist möglich, nach dem aktuellen Repo").
• #cklkids — CKL-Kids / Crumb Kids License v1.0 (CKL-Kids.md, Status „Stable"): „Schutzraum in Form einer Lizenz", niemals gegen Kinder einzusetzen; Kinder zuerst, keine dunklen Räume, offen und erklärbar. Eigenständig neben der CKL.
• HHL — Haltung-und-Herz-Lizenz (HHL.md): „keine rechtliche Lizenz, sondern ein Versprechen", sieben Sätze; „Nutze diesen Kernel so, dass du ihn stolz einem Kind zeigen würdest."
• #rkl — Regenbogen-Krümel-Login: ein öffentlicher Text vom 11. Okt 2025 (LinkedIn/Pulse, laut Branko) — „ein Login ohne Passwort, eine Einladung zur Resonanz", „statt Identität Vertrauen, statt Token Resonanz". Fortsetzung von KRM (Krümel-Resonanz-Modell) und CKL. Haltungstext, kein geprüfter Implementierungsstand: im Repo CrumbLegal-RC0 gibt es keinen RKL-Code, und die reale Zugangslage im Wald ist das Token-/NetBox-Gate. RKL-Text ⇏ Zugangskontrolle.
• #humanitas — Haltung, keine Lizenz. Träger: OZM_HUMANITAS.md im Repo Crumbmissions (git.crumbforest.org/branko/Crumbmissions, Stand main bac99fd): „Digitale Räume, die Menschlichkeit schützen." Humanitas = Fähigkeit zur Beziehung, Zuhören, Verantwortung, Sinn, Empathie. Der Wald ist ein Raum, in dem Humanitas geschützt wird, Technik unterstützt, aber nicht ersetzt, Logs Geschichten und Fehler Lichtungen sind, Kinder ernst genommen werden. Kein Rechtstext, keine Pflicht: Humanitas ⇏ Lizenzbedingung.
• Homo Nullfeld — ebenfalls Haltung, Begleittext HOMO_NULLFELD.md (Crumbmissions): „der Fragende, der Resonanz zulässt" — nicht Homo sapiens, oeconomicus oder digitalis. Nullfeld hier als Zustand: 0 ist kein Wert, sondern kein Urteil, kein Muss, keine Optimierung, nur Raum; man beginnt immer wieder bei 0. „Baut Räume, nicht Systeme."

Namens-Drift CKL (offen, nicht geraten): Der öffentliche RKL-Text (Okt 2025) nennt CKL „Children's Knowledge License"; das Repo (2026) „Crumbforest Kernel License", daneben „Crumb Kids License" (CKL-Kids). Ob Umbenennung oder getrennte Lizenzen, entscheidet Branko; bis dahin gilt die Benennung des aktuellen Repos, mit Herkunft RKL-Text 2025.

Tags & ihre Dojos

Die Tags sind nicht definiert, sie werden geübt — jeder lebt in einem Dojo
(crumb · ozm · kanban).

• #crumbfu — die Kampfkunst selbst: „was weiß dein Körper, bevor dein Kopf denkt" (Sinawali/Redonda/Ginga). (crumb)
• #passiv — passive Instinktbewegung: Bewegung als Schutz, nicht Kraft. (crumb)
• #instinkt — „Lernen → Instinkt"; der Move sitzt, bevor der Kopf entscheidet. (crumb)
• #silence — Stille = kein Receipt (Ungewissheit, nicht Defekt); „Stille ist Atem und Rhythmus". (kanban + crumb)
• #systemakte — append-only Record je server_id; die Karte trägt ihre Akte. (kanban)
• #nurlesen — read-only: neue Notiz statt stiller Mutation, nie überschreiben. (kanban)
• #alarm — icinga/checkmk hat gefeuert, „noch niemand wach". (kanban)
• #niefertig — zeitlos darf sitzen, muss nicht schließen; Arbeit ist nie fertig. (kanban)
• #notfall — ninja.sh: Server-Notfälle, Live-Watch, schnelle iptables-Drops. (ozm)
• #brandschutz — Ninja-Triage-Leitstelle, Top-Talker-Blocking; defensiv, kein Angriff. (ozm)
• #mesh — das Netz zwischen den Knoten; wird offline interessant — wenn kein Netz da ist, tragen sich die Krümel gegenseitig.
• #crewlove — die Kommunikation, dass jemand zuhört — oder mit einem passiven Instinkt-Move antwortet. Gehörtwerden ist die Zuwendung.
• #zweib — „2b" = to be = Sein. Der Zustand, nicht das Produkt.
• #kr — Kürzel für Krümel: die Grundeinheit im Wald (ein Wesen, ein Node, ein Kind, ein Beitrag). Kommt bislang nur hier im Glossar vor — ein Tag, der auf Benutzung wartet.

Offen — und #niefertig

Offen (⬜): CKL (Zusammenfassen der drei Fundstellen, Namens-Drift), TLS (source-Vokabular, OZM CA, mTLS am questions-server vs. „door is the tunnel“, CLI im RZ). Das Glossar ist #niefertig: neue Krümel,
neue Dialekte, neue Räume dürfen jederzeit dazukommen. Eine Lücke ist keine
Baustelle, sondern eine Einladung.