docs: commit pending status updates from 2026-06-06 sprint wrap-up

Preserves uncommitted working-copy updates (Veeam recovery test done,
BitLocker decision, ACL rollout, freshness negative test) before the
documentation consolidation restructures these files.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

docs/AI_CONTEXT.md

@@ -1,6 +1,6 @@
 # AI Context
 
-Stand: 2026-06-05
+Stand: 2026-06-06
 
 Kurzer Kontext fuer KI-Agenten. Nicht als Ersatz fuer die echten Runbooks lesen.
 
@@ -47,25 +47,28 @@ Authoritativ: `docs/MASTER_TODO.md`.
 
 Kurzfassung:
 
-- Auth-/OIDC-/CrowdSec-/Hermes-Themen bewusst geparkt
-- Wochenend-Sprint 2026-06-05: `docs/WEEKEND_EXECUTION_PLAN_2026-06-05.md`
-  und `docs/WEEKEND_STATUS_2026-06-05.md`
+- Keine offenen Operator-Entscheidungen laut `docs/MASTER_TODO.md`.
+- Aktiv: Family-Onboarding, physischer Unraid-Flash-Stick-Boot-Test,
+  Tailscale-Restore-Test und Authelia-OIDC-Rollout fuer Paperless/Immich/Nextcloud.
+- Bewusst geparkt: CrowdSec, Hermes, USV, zweites Off-site-Ziel,
+  Borg append-only, Nextcloud-TOTP bis zur OIDC-/Familien-Login-Policy.
 
 Letzte Bestaetigung:
 
 - Windows-Image `baerchen`: Veeam Agent Free Job `baerchen-c-image` auf
   `\\kallilabcore\backups\windows-images\baerchen`, erster Full-Backup-Lauf
-  2026-06-05 erfolgreich, GUI-Wert 53,8 GB, Dauer 0:11:31. Recovery-USB ist
-  erstellt; Boot-/SMB-/Restore-Point-Test ohne Restore ist noch offen.
-- Veeam Storage Encryption ist beim ersten Full-Lauf nicht aktiv
-  (`StorageEncryptionEnabled=False`); nachtraegliche Aktivierung ist eine
-  Operator-Entscheidung, weil sie Passwort- und Restore-Prozess aendert.
-- BitLocker fuer `baerchen` ist bewusst nicht aktiviert und bleibt
-  Operator-Entscheidung.
+  2026-06-05 erfolgreich, GUI-Wert 53,8 GB, Dauer 0:11:31. Recovery-USB-/SMB-/
+  Restore-Point-Test ohne echten Restore wurde am 2026-06-06 erfolgreich
+  abgeschlossen.
+- Veeam Storage Encryption bleibt bewusst deaktiviert
+  (`StorageEncryptionEnabled=False`); neu bewerten bei Off-host-Auslagerung des
+  Windows-Images.
+- BitLocker fuer `baerchen` ist bewusst deaktiviert; Recovery laeuft ueber
+  Veeam-Image, kein BitLocker-Key-Management.
 - Tailscale-Inventar 2026-06-05 real gemessen: `Kallilabcore`
   `100.80.98.33`, IPv6 `fd7a:115c:a1e0::2c01:62b2`, kein Exit Node, aber
-  aktiver Subnet Router fuer `192.168.178.0/24`. Dadurch ist die Tailnet-ACL
-  sicherheitsrelevant; Entscheidung Default-Allow vs tag-basierte ACL offen.
+  aktiver Subnet Router fuer `192.168.178.0/24`. Restriktive tag-basierte ACL
+  ist seit 2026-06-06 live; Default-Allow ist entfernt.
 - Unraid-Flash-Backup-Artefaktpruefung: `ops/maintenance/check-unraid-flash-backup.sh`
   prueft Artefakt, SHA256, Alter und Kern-Configs. Test 2026-06-05 gegen Host
   erfolgreich laut `docs/MASTER_TODO.md`.