Make dump output 0644 by default, exclude flash config from H pull

pre-backup-dumps.sh: atomic_write nimmt jetzt einen optionalen
mode-Parameter (Default 0644). Damit sind alle DB-/SQLite-/BoltDB-
/Mongo-Dumps konsistent 0644 und vom Nearline-Pull lesbar. Die
sensible unraid-flash-config-Familie (.tar.gz, .sha256, .manifest)
ruft explizit mit mode 600 auf und bleibt damit Operator-only.
Loest das Permission-Problem fuer filebrowser.bolt.dump (Source
ist 0640) im naechsten regulaeren Dump-Lauf.

pull-critical-backups.ps1: Jobs koennen ExcludeFiles ueber /XF
mitliefern. borg-dumps-latest schliesst die unraid-flash-config-
Artefakte aus, weil sie bewusst 0600 bleiben sollen und sonst den
Lauf abbrechen lassen. Restore-Quelle fuer Flash-Config bleibt
das Hetzner-Borg-Repo.

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

ops/h-drive-nearline/pull-critical-backups.ps1

@@ -11,13 +11,19 @@ $Jobs = @(
     Name = "borg-dumps-latest"
     Source = Join-Path $SourceRoot "borg\dumps\latest"
     Destination = Join-Path $DestinationRoot "borg-dumps\latest"
-    Purpose = "Latest database/application dumps, including unraid-flash-config.tar.gz"
+    Purpose = "Latest database/application dumps (Unraid-Flash-Artefakte bewusst ausgeschlossen, weil 0600 root:root - dafuer bleibt die Hetzner-Borg-Kette die Restore-Quelle)"
+    # /XF schliesst bewusst die unraid-flash-config-Artefakte aus,
+    # weil sie hostseitig 0600 root:root sind und der SMB-Share das
+    # nicht ueberbruecken kann. Restore-Quelle dafuer bleibt das
+    # Hetzner-Borg-Repo (siehe docs/RESTORE_MATRIX.md Tier 1 Unraid OS Flash).
+    ExcludeFiles = @("unraid-flash-config.tar.gz", "unraid-flash-config.tar.gz.sha256", "unraid-flash-config.manifest.txt")
   },
   @{
     Name = "gitea-bundles"
     Source = Join-Path $SourceRoot "git-bundles\gitea"
     Destination = Join-Path $DestinationRoot "git-bundles\gitea"
     Purpose = "Verified bare-repository bundles for Gitea bootstrap"
+    ExcludeFiles = @()
   }
 )
 
@@ -58,6 +64,11 @@ function Invoke-RobocopyJob {
     "/LOG:$logPath"
   )
 
+  if ($Job.ContainsKey("ExcludeFiles") -and $Job.ExcludeFiles.Count -gt 0) {
+    $args += "/XF"
+    $args += $Job.ExcludeFiles
+  }
+
   Write-Host "Running robocopy job: $($Job.Name)"
   Write-Host "  Source:      $($Job.Source)"
   Write-Host "  Destination: $($Job.Destination)"
@@ -128,9 +139,12 @@ $lines += "Expected critical artifacts after run:"
 $lines += ""
 $lines += "- ``borg-dumps/latest/immich.dump``"
 $lines += "- ``borg-dumps/latest/komodo-mongo.archive.gz``"
-$lines += "- ``borg-dumps/latest/unraid-flash-config.tar.gz``"
 $lines += "- ``git-bundles/gitea/latest-report.md``"
 $lines += "- ``git-bundles/gitea/micha/*.bundle``"
+$lines += ""
+$lines += "Bewusst NICHT in Nearline-Scope:"
+$lines += ""
+$lines += "- ``unraid-flash-config.tar.gz`` (hostseitig 0600 root:root; Restore aus Hetzner-Borg)"
 
 $lines | Set-Content -LiteralPath $reportPath -Encoding UTF8