docs: consolidate restore documentation into ops/restore-tests

- merge RESTORE_HANDBOOK.md into ops/restore-tests/README.md (single
  operations doc; restore status lives only in RESTORE_MATRIX maturity
  table)
- RESTORE_MATRIX.md: extract embedded runbook drafts (261 -> 141 lines);
  unraid-flash and tailscale stubs become ops/restore-tests runbooks,
  adguard/redis checklists superseded by validated scripts
- delete six historical pre-first-run *-plan.md files (runbook + script
  are the source of truth since the validated first runs)
- SERVICES_RECOVERY: drop completed task table; DISASTER_RECOVERY:
  point related docs and section 11 to MASTER_TODO/schedule

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

ops/restore-tests/tailscale-runbook.md

@@ -0,0 +1,34 @@
+# Tailscale - Restore-Runbook
+
+Typ: Runbook · Stand: 2026-06-11 · Status: aktiv (noch kein Erstlauf)
+
+Restore-Pfad fuer den Tailscale-State. Wichtig: Tailscale laeuft als
+**natives Unraid-Plugin**; der funktionale State liegt unter
+`/boot/config/plugins/tailscale/state` und ist Teil des Flash-Backups
+(`docs/RESTORE_MATRIX.md` Tier 1).
+
+## Voraussetzungen
+
+- Zugriff auf das Flash-Backup-Artefakt bzw. ein Borg-Archiv mit dem State-Pfad
+- Testpfad unter `/mnt/user/backups/restore-lab/tailscale` vorbereitet
+- **Achtung:** Der Tailscale-State ist maschinenspezifisch. Ein Restore auf den produktiven Host wuerde die laufende Verbindung verdraengen. Nur auf einem Wegwerf- oder Offline-Host testen.
+
+## Artefakt-Validierung (ohne produktiven Host)
+
+1. State-Verzeichnis in den Testpfad extrahieren
+2. Erwartete Dateien pruefen: `tailscaled.state` vorhanden
+3. Dateisystem-Rechte pruefen: `tailscaled.state` muss fuer `root` zugaenglich sein
+
+## Reconnect-Test (auf Wegwerf-Host oder VM)
+
+1. Tailscale mit dem gemounteten State-Pfad starten
+2. `tailscale status` zeigt `Connected` oder den erwarteten Hostnamen
+3. Tailscale-Admin-Konsole zeigt das Geraet als `Online`
+4. SSH ueber Tailscale-IP auf den Testhost moeglich
+5. Testinstanz stoppen; Wegwerf-Geraet in der Tailscale-Admin-Konsole entfernen
+
+**Smoke-Test-Kriterium:** Instanz verbindet sich mit bestehendem Tailscale-Account (kein neues Re-Auth noetig), Tailscale-IP ist erreichbar.
+
+**Hinweis:** Falls der State veraltet ist (Key expired), fordert Tailscale ein
+Re-Auth an. Das ist ein valides Testergebnis und belegt, wie lang der
+Reconnect-Pfad bei abgelaufenem Key ist.