docs: --diagnose dokumentiert

README.md

@@ -5,6 +5,35 @@ Der Ausgang läuft über den **NetBird-Reverse-Proxy** (`imac-prometheus.x05.idx
 mit **Bearer-Token** — dadurch funktioniert der Installer auch auf Maschinen, die **kein NetBird-Peer** sind
 (Büro-LAN, Kundenlaptop, CGNAT, VM ohne Client).
 
+## Diagnose: „Logs kommen nicht an"
+
+Ein Befehl zeigt, warum:
+
+```sh
+curl -fsSL https://gitea.m-m.bio/mm/netbird-telegraf-installer/raw/branch/main/install.sh \
+  | sh -s -- --diagnose
+```
+
+Er prüft genau die Stellen, die schon **still** versagt haben (kein `E!` in keinem Log):
+
+| Prüfung | Warum |
+|---|---|
+| Dienst-Benutzer + Gruppen | Telegraf läuft als `telegraf`, nicht als root |
+| Jede Datei aus der `files`-Liste | Existenz, Größe, **Lesbarkeit aus Sicht des Dienst-Benutzers** |
+| Parser-Lauf ohne Filter | echte `E!`-Zeilen sichtbar machen |
+| Offset-Zustand | erklärt, warum eine bestehende Datei „leer" wirkt |
+
+Beispielausgabe:
+
+```
+-- Logpfade aus der aktiven Conf --
+  OK           /var/log/apache2/keyhelp/access.log (75 Bytes)
+  NICHT LESBAR /home/users/u1/logs/d1/access.log (Benutzer telegraf) ← URSACHE
+  -> 3 Pfade, 2 lesbar, 0 leer, 1 nicht lesbar
+```
+
+**Wichtig:** `initial_read_offset = "saved-or-end"` heißt, dass beim **ersten** Lauf nur **Neues** gelesen wird. Bestehende Zeilen kommen erst mit neuen Zugriffen — für einen sofortigen Test eine Seite aufrufen und ein Intervall abwarten.
+
 ## Der Konfig-Test prüft ALLE Dateien
 
 Ein Detail, das schon eine Node lahmgelegt hat: **Nie mit `--input-filter` prüfen.**