# CRA-orientierte Release-Checkliste

Für jede Version ist die Liste vollständig abzuhaken und zusammen mit den erzeugten Reports aufzubewahren.

## Produkt und Änderung

- [ ] Version in `application/gradle.properties` erhöht.
- [ ] `CHANGELOG.md` enthält die ausgelieferten Änderungen und Sicherheitsauswirkungen.
- [ ] Unterstützte Plattformen, Eingabeformate und bekannte Einschränkungen sind dokumentiert.

## Build und Herkunft

- [ ] Tests sind erfolgreich.
- [ ] Windows-x64-, Linux-x64- und Quellpaket sind aus demselben Versionsstand erzeugt.
- [ ] SHA-256-Prüfsummen und `release-manifest.json` sind vorhanden.
- [ ] Verwendete JDK-, Gradle-, Kotlin-, Compose-, IDE- und Scanner-Versionen sind in `toolchain.json` erfasst.

## Komponenten und Schwachstellen

- [ ] CycloneDX-JSON-SBOM für Windows und Linux liegt bei.
- [ ] Direkte, transitive und lokal gebündelte Komponenten wurden auf Vollständigkeit geprüft.
- [ ] Der Abhängigkeitsbericht wurde bewertet; zurückgestellte Updates sind begründet.
- [ ] OSV-Scan beider SBOMs meldet keine ungeklärten Schwachstellen.
- [ ] Etwaige Ausnahmen enthalten Risiko, Gegenmaßnahme, Verantwortlichen und Ablaufdatum.

## Veröffentlichung und Betrieb

- [ ] Support-/Meldeweg für Schwachstellen ist festgelegt.
- [ ] Sicherheitsrelevante Korrekturen können einer betroffenen Version zugeordnet werden.
- [ ] Nachweise enthalten keine Geheimnisse, personenbezogenen Daten oder unnötigen lokalen Pfade.
- [ ] Aufbewahrung und spätere Aktualisierung der SBOM sind geklärt.
