Update README: OAuth security notes and nextcloud_id binding

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

README.md

@@ -29,6 +29,14 @@ Rollen werden bei jeder Anmeldung automatisch aus den Nextcloud-Gruppen übernom
 
 Benutzer ohne eine dieser Gruppen erhalten einen 403-Fehler.
 
+### Sicherheitshinweise
+
+- **Account-Binding per Nextcloud-ID**: Accounts werden primär über die eindeutige Nextcloud-User-ID (`nextcloud_id`) verknüpft, nicht über die E-Mail. Das verhindert Account-Takeover, falls sich Fremde in Nextcloud registrieren können.
+- **Freie Registrierung deaktivieren**: Auf der Nextcloud-Instanz sollte die Selbstregistrierung neuer Nutzer deaktiviert sein.
+- **2FA empfohlen**: Für alle Nextcloud-Konten mit Panel-Zugriff sollte Zwei-Faktor-Authentifizierung erzwungen werden — Nextcloud ist der einzige Schlüssel zum Panel.
+- **CSRF/State**: Laravel Socialite schickt und validiert den `state`-Parameter automatisch. Nie `->stateless()` verwenden.
+- **Token wird verworfen**: Das Nextcloud-Access-Token wird nach dem Callback nicht gespeichert. Es wird nur verwendet, um Nutzerdaten abzufragen, danach startet eine normale Laravel-Session (HttpOnly-Cookie).
+
 ---
 
 ## Lokale Entwicklung