Security: admin rights only for Steam-verified SteamIDs; protocol test suite (Tests/)

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

README.md

@@ -111,9 +111,9 @@ und neu starten.
 | `RequireSteam` | `true` = nur Spieler mit Steam; `false` = Non-Steam-Server (Spieler werden über den Namen erkannt) |
 | `PublicAddress` | öffentliche IP/Domain für die Liste (nur hinter NAT/Proxy nötig) |
 | `AutosaveSeconds` | wie oft der Weltzustand gespeichert wird |
-| `SteamWebApiKey` | optional: Steam-Anmeldetickets der Spieler bei Steam prüfen |
+| `SteamWebApiKey` | Steam-Anmeldetickets der Spieler bei Steam prüfen – **nötig für Admins** (kostenlos: https://steamcommunity.com/dev/apikey) |
 | `BannedSteamIds` | gesperrte Spieler |
-| `Admins` | SteamID64s, die im Spiel mit `/admin` kicken/bannen dürfen |
+| `Admins` | SteamID64s, die im Spiel mit `/admin` kicken/bannen dürfen (nur mit `SteamWebApiKey`, siehe Sicherheit) |
 
 Fehlende Einstellungen ergänzt der Server beim Start automatisch. Umgebungsvariablen (`MSCO_LICENSE_KEY`,
 `MSCO_NAME`, `MSCO_PORT`, `MSCO_MAX_PLAYERS`, `MSCO_PUBLIC`, `MSCO_REQUIRE_STEAM`, `MSCO_PUBLIC_ADDRESS`,
@@ -187,6 +187,9 @@ einen aktuellen Spielstand nach `data/save/` legen und `msco reset-world` ausfü
 - `data/` enthält Lizenzschlüssel und API-Keys – nicht veröffentlichen (steht in `.gitignore`).
 - Der Container läuft nicht als root. Spielerdaten (Nachrichten, Objektzustände) werden in der Größe begrenzt,
   unbekannte oder zu große Nachrichten verworfen.
+- **Admins nur mit `SteamWebApiKey`:** Ohne Key prüft der Server die Steam-Tickets nicht – jeder könnte dann eine
+  fremde SteamID (z.B. die eines Admins) angeben. Deshalb gibt es ohne Key keine Admin-Rechte (das Log warnt beim
+  Start), und eine unbestätigte SteamID kann keinen verbundenen Spieler verdrängen.
 - Gebannte Spieler werden über ihre (bei Steam geprüfte) SteamID erkannt. Auf Non-Steam-Servern gibt es keine
   verlässliche Identität – dort sind Bans nur über den Namen möglich.