todo: offene Operator-Entscheidungen abschliessen; Authelia alle UIs auf 2FA

- BitLocker baerchen: bewusst deaktiviert
- Veeam Storage Encryption: bewusst unverschluesselt
- Stromverbrauch: bewusst ohne Messung (geschlossen)
- Nextcloud 2FA: geparkt bis OIDC die App-Login-Ebene erreicht
- Authelia: Catch-all *.kaleschke.info one_factor -> two_factor (Repo-Baseline; Host-Merge + restart + authelia-diff.sh als aktiver Schritt offen)
- Authelia OIDC und Gast-/IoT-Netz als aktive Bloecke aufgenommen
- MASTER_TODO: Operator-Entscheidung-Sektion ohne offene Punkte

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

security/authelia/configuration.yml

@@ -49,10 +49,13 @@ access_control:
         - code.kaleschke.info
       policy: two_factor
 
-    # Alles andere mit Authelia-Middleware - 1FA.
+    # Alles andere mit Authelia-Middleware - 2FA (Haertung 2026-06-06).
+    # Vorher one_factor; alle restlichen Admin-UIs (monitoring, glances, glance,
+    # speedtest, pdf, mail, paperless-gpt, hermes, sp ...) sind damit two_factor.
+    # Voraussetzung: Operator-Account hat Authelia-TOTP enrolled (Tier-1-UIs nutzen es bereits).
     # Komodo hat bewusst keine ForwardAuth-Middleware und wird hier nicht ausgewertet.
     - domain: "*.kaleschke.info"
-      policy: one_factor
+      policy: two_factor
 
 session:
   name: authelia_session