Record append-only operator decision

docs/EXTERNAL_OPERATOR_RUNBOOK.md

@@ -46,8 +46,11 @@ Im Repo nur das Datum der Bestaetigung dokumentieren, nie Zugangsdaten.
 
 ## 3. Borg Append-Only
 
-Ziel: Der produktive Backup-Client darf neue Archive schreiben, aber nicht
-normal prune/delete/compact als unbeschraenkter Client ausfuehren.
+Status: **bewusst nicht umgesetzt**.
+
+Ziel der Haertung waere gewesen: Der produktive Backup-Client darf neue Archive
+schreiben, aber nicht normal prune/delete/compact als unbeschraenkter Client
+ausfuehren.
 
 Hetzner dokumentiert Borg-Zugriff auf Storage Boxen inklusive `--remote-path`
 fuer Borg-Versionen; fuer Borg 1.4 wird `--remote-path=borg-1.4` empfohlen.
@@ -55,7 +58,7 @@ Hetzner bestaetigt auch, dass append-only moeglich ist. Borg selbst setzt
 append-only pro SSH-Key typischerweise ueber einen forced command in
 `authorized_keys` um.
 
-Zielmodell, aber **nicht ungeprueft auf der produktiven Storage Box anwenden**:
+Getestetes Zielmodell, aber **nicht auf der produktiven Storage Box aktiv**:
 
 ```text
 command="borg-1.4 serve --append-only --restrict-to-repository /home/hetzner_borg_appdata_critical",restrict ssh-ed25519 <backup-public-key> borg-ui-append-only
@@ -67,15 +70,16 @@ Hinweise:
 - Stand 2026-06-01: Ein forced-command-Versuch auf der produktiven
   Storage-Box-`authorized_keys` brach die Key-Authentifizierung. Recovery
   erfolgte per Storage-Box-Passwort und Upload einer bereinigten
-  `authorized_keys` mit Borg-UI-Key und Maintenance-Key. Daher Append-only erst
-  nach Hetzner-Support-Klaerung oder in einem temporaren Sub-Account/Scratch-Repo
-  erneut testen.
+  `authorized_keys` mit Borg-UI-Key und Maintenance-Key.
+- Operator-Entscheidung 2026-06-01: Append-only wird fuer dieses Homelab nicht
+  umgesetzt. Der zusaetzliche Schutz steht hier nicht im Verhaeltnis zum
+  Betriebsrisiko und zur Komplexitaet.
 - Pfad auf der Storage Box vor dem Eintragen pruefen. Bei Hetzner werden Pfade
   im Borg-Repo haeufig relativ als `./repo-name` verwendet; in
   `authorized_keys` muss der serverseitige Pfad zur Storage-Box-Home-Struktur
   passen.
-- Der produktive Borg-UI-Key sollte langfristig append-only sein, ist aktuell
-  aber bewusst wieder uneingeschraenkt, damit die produktiven Backups laufen.
+- Der produktive Borg-UI-Key bleibt bewusst uneingeschraenkt, damit die
+  produktiven Backups laufen.
 - Ein separater Maintenance-Key bleibt fuer bewusste Retention/Prune/Compact
   noetig und liegt in Vaultwarden; lokale temporare Key-Dateien wurden geloescht.
 - Append-only verhindert nicht, dass ein kompromittierter Client Archive als