diff --git a/actionable-security/README.md b/actionable-security/README.md
deleted file mode 100644
index e0077a2..0000000
--- a/actionable-security/README.md
+++ /dev/null
@@ -1,69 +0,0 @@
-# Gezielte Sicherheitsmeldungen aus Wazuh
-
-`notify.py` läuft auf einem nativen Wazuh-All-in-one-Server mit Python 3.9+.
-Es liest den lokalen Indexer mit TLS-Prüfung und dem vorhandenen lokalen
-Admin-Zertifikat; private Schlüssel werden nicht kopiert oder ausgegeben.
-Die Software verändert keine Indexer-Daten und führt keine Inhalte aus Logs aus.
-`kev.py` ist die gemeinsame Kataloglogik aus `../docker-security/scan.py`.
-
-## Meldungsauswahl
-
-- Aktuelle High-/Critical-OS-Schwachstellen in CISA KEV, nur bei aktiven Agents.
-- Andere High-/Critical-OS-Funde erst nach einer konkreten, versionierten und
-  befristeten Prüfung in `approved_findings` der privaten Konfiguration.
-- Neue/geänderte Image-Befunde mit positiver KEV-Zuordnung. Das ist ein Hinweis
-  auf bekannte Ausnutzung andernorts, kein Nachweis eines Angriffs auf den Host.
-- Positive ClamAV- und VirusTotal-Regeln sowie hoch eingestufte Meldungen mit
-  den Gruppen `malware`, `yara` oder `compromised`. Normale Logins, Paketupdates,
-  SCA-Ergebnisse und generische Rootcheck-Muster werden nicht weitergeleitet.
-- Anhaltende unvollständige Image-Scans und Ausfälle der zentralen Prüfung.
-
-Schwachstellen müssen standardmäßig eine Stunde lang im aktuellen Inventar
-bestehen bleiben, damit automatische Updates und Inventarsynchronisation eine
-Chance haben. Positive Malware-Erkennungen werden bei der nächsten Prüfung
-verarbeitet. Der Timer prüft alle fünf Minuten. Gleiche Befunde bleiben nach
-Zustellung still; Versionsänderungen werden erneut beobachtet. Behebungen und
-Erholungen sind still. Ein erneuter tatsächlicher Befund kann neu melden.
-Vorübergehend getrennte Agents werden nicht als behoben behandelt.
-
-Bekannte Fehlzuordnungen werden ausgeschlossen: die Telnet-Server-Lücke im
-reinen Client, Linux-Kernel-Lücken in Headerpaketen oder inaktiven Kerneln und
-die Windows-spezifische Next.js-Lücke auf diesen Linux-Hosts.
-
-## Private Konfiguration auf dem Manager
-
-- `/opt/wazuh-actionable/notify.py` und `kev.py`: Code, root, Modus 700.
-- `/etc/wazuh-actionable/config.json`: Dashboard-URL, Schonfrist und geprüfte
-  zusätzliche Befunde; root, Modus 600.
-- `/etc/wazuh-actionable/discord-webhook`: Webhook als einzelne Zeile; root, 600.
-- `/var/lib/wazuh-actionable/`: privater Katalog, Zustand, Deduplizierung und
-  Zustellungsstatus. Keine Rohlogs oder privaten Schlüssel in Discord.
-- `wazuh-actionable.service` / `.timer`: zentrale Prüfung; ein fehlgeschlagener
-  Versand wird nicht als zugestellt markiert und später erneut versucht.
-
-Prüfen ohne Versand und ohne Aktualisierung des Benachrichtigungszustands:
-
-```bash
-python3 /opt/wazuh-actionable/notify.py --dry-run
-systemctl status wazuh-actionable.timer
-journalctl -u wazuh-actionable.service -n 20 --no-pager
-```
-
-`--dry-run` darf den öffentlichen KEV-Cache aktualisieren und stellt nur
-lesende Indexer-Abfragen. Der Webhook kommt nie ins Repository. Discord-Mentions
-sind deaktiviert. Keine regelmäßigen Erfolgsmeldungen oder täglichen Zusammenfassungen.
-
-## Grenzen
-
-KEV ist keine vollständige Liste ausnutzbarer Lücken. Auch ein KEV-Treffer kann
-weitere Bedingungen haben, die geprüft werden müssen. Neue High-/Critical-Lücken
-außerhalb KEV werden nicht automatisch als konkrete Gefahr eingestuft; das
-Wazuh-Inventar bleibt ihre vollständige Prüfliste. Die Auswahl ersetzt keine
-Anwendungsanalyse. ClamAV, YARA oder zusätzliche Anwendungslogs werden hier nicht
-installiert; ihre Meldungen können nur verarbeitet werden, wenn die entsprechenden
-Erkennungen bereits eingerichtet sind. Ein fehlender Angriffstreffer beweist keine
-Abwesenheit eines Angriffs.
-
-Für Image-Erholungen und aktuelle Scan-Gesundheit werden die aktuellen
-Docker-Security-Regeln 110800–110806 und der entsprechende Scanner benötigt.
-Ein Blick in die historische Alert-Liste allein beweist keine aktuelle Betroffenheit.