docs: single status list - dissolve audit restliste, slim AI context

- MASTER_TODO.md is now the only status list: parked decisions point to
  DECISIONS.md, done log capped at 5 condensed entries
- delete AUDIT_2026-05-25_TODO.md (open items and parked decisions fully
  covered by MASTER_TODO/DECISIONS)
- AI_CONTEXT.md: drop duplicated status block, keep rules and pointers
- EXTERNAL_DEPENDENCIES.md: condense review log to recent entries
- fix references in DR_WORKSTATION_SETUP, EXTERNAL_OPERATOR_RUNBOOK,
  STORAGE_LAYOUT, REPO_MAP, docs/README

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

docs/AI_CONTEXT.md

@@ -1,8 +1,10 @@
 # AI Context
 
-Stand: 2026-06-06
+Typ: Einstieg/Index · Stand: 2026-06-11 · Status: aktiv
 
 Kurzer Kontext fuer KI-Agenten. Nicht als Ersatz fuer die echten Runbooks lesen.
+Diese Datei enthaelt bewusst **keinen** Arbeitsstand mehr — Status nur in
+`docs/MASTER_TODO.md`, Entscheidungen nur in `docs/DECISIONS.md`.
 
 ## Systembild
 
@@ -20,6 +22,7 @@ Kurzer Kontext fuer KI-Agenten. Nicht als Ersatz fuer die echten Runbooks lesen.
 3. betroffene Compose-Datei
 4. bei Service-Fragen `docs/SERVICE_CATALOG.md`
 5. bei Restore/DR `docs/DISASTER_RECOVERY.md` und `docs/RESTORE_MATRIX.md`
+6. bei "warum ist das so?"-Fragen `docs/DECISIONS.md`
 
 ## Harte Regeln
 
@@ -30,54 +33,21 @@ Kurzer Kontext fuer KI-Agenten. Nicht als Ersatz fuer die echten Runbooks lesen.
 - Traefik dynamic config und Authelia Host-Config sind manuelle Sync-Ausnahmen.
 - Bei Drift zuerst Git, Gitea, Komodo Workspace, Docker Runtime und Host getrennt pruefen.
 - Nach zwei fehlgeschlagenen Reparaturversuchen stoppen und `docs/GITOPS_DRIFT_RUNBOOK.md` nutzen.
+- Doku-Regel: ein Fakt hat genau ein Zuhause; verlinken statt kopieren (`docs/REPO_MAP.md`).
 
 ## Bekannte Ausnahmen
 
+Autoritativ: `HOMELAB_ARCHITECTURE_MASTER_V2.md` §10. Kurzliste:
+
 - Traefik: Host-Ports 80/443, WAN-Freigabe nur 443
 - Gitea: SSH auf Host-Port 222, keine WAN-Freigabe
 - AdGuard: DNS 53 direkt; Admin nur auf Tailscale-IP `100.80.98.33:8082`
-- Tailscale und Plex: Host-Netz
-- Scrutiny: privileged
-- Komodo/Periphery: Docker-Socket-Zugriff
+- Tailscale: natives Unraid-Plugin (nicht repo-verwaltet); Plex: Host-Netz
+- Scrutiny: privileged; Komodo/Periphery: Docker-Socket
 - InfluxDB 3 Core: `127.0.0.1:8181`, Root-User-Ausnahme dokumentiert
 
-## Aktuelle Restpunkte
+## Arbeitsstand
 
-Authoritativ: `docs/MASTER_TODO.md`.
-
-Kurzfassung:
-
-- Keine offenen Operator-Entscheidungen laut `docs/MASTER_TODO.md`.
-- Aktiv: Family-Onboarding, physischer Unraid-Flash-Stick-Boot-Test,
-  Tailscale-Restore-Test und Authelia-OIDC-Rollout fuer Paperless/Immich/Nextcloud.
-- Bewusst geparkt: CrowdSec, Hermes, USV, zweites Off-site-Ziel,
-  Borg append-only, Nextcloud-TOTP bis zur OIDC-/Familien-Login-Policy.
-
-Letzte Bestaetigung:
-
-- Windows-Image `baerchen`: Veeam Agent Free Job `baerchen-c-image` auf
-  `\\kallilabcore\backups\windows-images\baerchen`, erster Full-Backup-Lauf
-  2026-06-05 erfolgreich, GUI-Wert 53,8 GB, Dauer 0:11:31. Recovery-USB-/SMB-/
-  Restore-Point-Test ohne echten Restore wurde am 2026-06-06 erfolgreich
-  abgeschlossen.
-- Veeam Storage Encryption bleibt bewusst deaktiviert
-  (`StorageEncryptionEnabled=False`); neu bewerten bei Off-host-Auslagerung des
-  Windows-Images.
-- BitLocker fuer `baerchen` ist bewusst deaktiviert; Recovery laeuft ueber
-  Veeam-Image, kein BitLocker-Key-Management.
-- Tailscale-Inventar 2026-06-05 real gemessen: `Kallilabcore`
-  `100.80.98.33`, IPv6 `fd7a:115c:a1e0::2c01:62b2`, kein Exit Node, aber
-  aktiver Subnet Router fuer `192.168.178.0/24`. Restriktive tag-basierte ACL
-  ist seit 2026-06-06 live; Default-Allow ist entfernt.
-- Unraid-Flash-Backup-Artefaktpruefung: `ops/maintenance/check-unraid-flash-backup.sh`
-  prueft Artefakt, SHA256, Alter und Kern-Configs. Test 2026-06-05 gegen Host
-  erfolgreich laut `docs/MASTER_TODO.md`.
-- Borg-Nachlauf 2026-06-01 erfolgreich: Archiv `Taegliche-Sicherung-2026-06-01T04:30:26.913`, Freshness Critical 0 / Warnings 0.
-- H:/ Nearline-Pull 2026-06-01 repariert: Borg-Dumps werden kuratiert kopiert, Gitea-Bundles aktuell.
-- Family-Status-Dashboard liegt als `monitoring/grafana/dashboards/family-status.json` im Repo.
-- Alt-Volumes nach PG18/VectorChord-Burn-in sind seit 2026-06-02 reversibel archiviert unter `/mnt/user/appdata/_archive/pg18-immich-rollback-volumes-20260602`; die alten Originalpfade sind nicht mehr aktiv gemountet.
-- Family-Onboarding ist auf drei Nutzungsziele fokussiert: Vaultwarden, Immich und Mealie; praktischer Ablauf in `docs/FAMILY_ONBOARDING.md`.
-- Externer Betreibercheck: `ops/maintenance/check-external-operator.sh`; FRITZ!Box 7590 meldet FRITZ!OS `154.08.25`, DNS fuer Public Apps hat keine AAAA-Records, Host hat keine globale Provider-IPv6.
-- FRITZ!Box-UI 2026-06-01: Remote-HTTPS auf FRITZ!Box-UI aus, FTP/FTPS auf Speichermedien aus, WAN-Freigabe nur `443/tcp`, keine aktive IPv6-Freigabe sichtbar, UPnP-Selbstfreigaben aus.
-- FRITZ!Box-Konfig-Backup 2026-06-01 extern/off-system in Vaultwarden abgelegt; Datei und Kennwort bleiben ausserhalb des Repos.
-- Hetzner-Account-Hygiene 2026-06-01 erledigt: 2FA aktiv, Recovery Key offline gedruckt, Zahlung ok; Storage Box SSH-only, Maintenance-Key in Vaultwarden. Append-only forced-command brach Key-Auth und wurde per Passwort-Recovery zurueckgesetzt; Operator-Entscheidung: fuer dieses Homelab bewusst nicht umsetzen.
+- Offene Punkte: `docs/MASTER_TODO.md` (einzige Statusliste)
+- Entscheidungen und Begruendungen: `docs/DECISIONS.md`
+- Belege/Reports: `/mnt/user/backups/restore-reports/` auf dem Host