Document validated Vaultwarden restore pattern

ops/restore-tests/vaultwarden-runbook.md

@@ -4,14 +4,36 @@
 
 - Borg-Quelle ist verfuegbar
 - Secret-Datei vorhanden: `/mnt/user/appdata/secrets/vaultwarden_admin_token.txt`
+- Borg-Passphrase-Datei vorhanden: `/mnt/user/appdata/secrets/borg_repo_passphrase.txt`
 - Testpfade unter `/mnt/user/backups/restore-lab/` und `/mnt/user/backups/restore-reports/` sind freigegeben
 
+## Bestaetigter Host-Stand
+
+- `borg` ist im Container `borg-ui` verfuegbar
+- `BORG_BACKUP_PATH` ist im `borg-ui`-Container auf `/backups` gesetzt
+- produktive Vaultwarden-Daten liegen unter `/mnt/user/appdata/vaultwarden`
+- produktives Admin-Token liegt unter `/mnt/user/appdata/secrets/vaultwarden_admin_token.txt`
+- `restore-lab` und `restore-reports` sind auf dem Host vorhanden
+
+## Beobachtete Borg-Hinweise
+
+- beobachtetes produktives Repo: `ssh://u565255@u565255.your-storagebox.de:23/./hetzner_borg_appdata_critical`
+- beobachtete Archivnamen:
+  - `Taegliche-Sicherung-2026-04-16T04:30:02.798`
+  - `Taegliche-Sicherung-2026-04-17T04:30:31.660`
+  - aeltere manuelle Beispiele:
+    - `manual-backup-2026-04-12T17:17:30`
+    - `manual-backup-2026-04-12T17:35:17`
+
+Hinweis:
+Vor dem ersten echten Restore-Lauf immer das aktuelle Archiv mit `borg list` erneut pruefen.
+
 ## Platzhalter
 
 - `ARCHIVE_NAME`: Borg-Archiv fuer den Restore-Test
 - `REPORT_DATE`: z. B. `2026-05-06`
 - `BORG_REPO`: Host-Borg-Repo, z. B. das produktive `critical_infra`
-- `BORG_PASSPHRASE`: wie im bestehenden Host-Setup
+- `BORG_PASSPHRASE_FILE`: `/mnt/user/appdata/secrets/borg_repo_passphrase.txt`
 
 ## Ablauf
 
@@ -29,7 +51,7 @@ Archiv zuerst pruefen:
 
 ```bash
 export BORG_REPO='...'
-export BORG_PASSPHRASE='...'
+export BORG_PASSPHRASE="$(cat /mnt/user/appdata/secrets/borg_repo_passphrase.txt)"
 borg list "$BORG_REPO"
 ```
 
@@ -95,3 +117,4 @@ rm -rf /mnt/user/backups/restore-lab/vaultwarden/data
 - Testdaten werden nach erfolgreichem Lauf geloescht.
 - `ntfy` wird nicht im ersten echten Lauf eingebunden.
 - `ntfy` folgt spaeter, wenn der manuelle Basisablauf stabil verifiziert ist.
+- Die Borg-Passphrase wird fuer Restore-Tests aus einer Host-Secret-Datei gelesen, nicht aus Borg-UI-Interna.