Rebase stale Renovate branches

docs/RENOVATE.md

@@ -114,6 +114,7 @@ Script:      bash /mnt/user/services/homelab-infra/ops/renovate/run-renovate.sh
 | Lock-File-Maintenance | `lockFileMaintenance.enabled: false` | Renovate macht keine reinen Lock-File-Refreshs |
 | Schedule | `extends ["schedule:weekly"]` | Renovate-Engine prueft, aber PRs/Updates folgen Wochen-Profilen wo sinnvoll |
 | Dependency Dashboard | aktiv | Gitea-Issue, die alle ausstehenden Updates auflistet |
+| Rebase veralteter PRs | `rebaseWhen: "behind-base-branch"` | Offene Renovate-PRs werden neu aus `master` aufgebaut, sobald sie hinterherhaengen; verhindert Rueckwaerts-Diffs auf alte Doku-/Security-Staende |
 | Onboarding-PR | `onboarding: false` | Keine `Configure Renovate`-Onboarding-PR; wir nutzen die Repo-`renovate.json` direkt |
 | Ignore-Pfade | `_archive`, `ops/grafana-influxdb`, `ops/loki`, `ops/komodo` | Renovate scant alte/abgeloeste Stacks nicht; `ops/komodo` ist bewusst raus (siehe unten) |
 

renovate.json

@@ -8,6 +8,7 @@
   "dependencyDashboardTitle": "Renovate Dependency Dashboard",
   "labels": ["dependencies"],
   "rangeStrategy": "pin",
+  "rebaseWhen": "behind-base-branch",
   "lockFileMaintenance": {
     "enabled": false
   },