homelab-infra/docs/AUDIT_2026-05-25_TODO.md

Audit-Restliste 2026-05-25

Status: kompakte Restliste. Die erledigten Sprint-Tabellen und langen Audit-Snapshots wurden aus der Arbeitskopie entfernt; Detailhistorie liegt in Git.

Aktuell offene Punkte

Prioritaet	Punkt	Naechster Schritt
P0	Alt-Volumes nach Burn-in freigeben	Ab 2026-06-02 ops/maintenance/release-alt-volumes.sh --dry-run pruefen, danach nur bei sauberem Ergebnis mit --execute freigeben
P2	Family-Onboarding praktisch starten	Familienkonten, Vaultwarden-Organisation und Immich-Mobile-Backup gemeinsam einrichten

Bewusst geparkt

Punkt	Entscheidung
Authelia 2FA fuer Operator-UIs	In diesem Zyklus nicht umgesetzt; erst mit finaler Auth-Policy
Authelia OIDC fuer Apps	Geparkt bis klare Familien-/SSO-Entscheidung
CrowdSec vor Traefik	Erst nach Auth-Policy neu bewerten
Nextcloud 2FA/Brute-Force-Haertung	Gemeinsam mit OIDC/Familienkonten entscheiden
Hermes-Agent	NAS-Stack bleibt deaktiviert; Review-Deadline 2026-07-25
USV	Anschaffung verschoben; Power-Loss-Risiko bewusst akzeptiert
Zweites Off-site-Ziel	Bewusst nicht umgesetzt; neu bewerten bei Hetzner-Problemen, stark wachsendem Datenwert oder geaenderter Betreiber-Praeferenz
Borg append-only auf Hetzner	Operator-Entscheidung 2026-06-01: nicht umgesetzt. Der forced-command-Test auf der Storage Box brach Key-Auth und wurde per Passwort-Recovery zurueckgesetzt; Nutzen steht fuer dieses Homelab nicht im Verhaeltnis zum Betriebsrisiko.

Zuletzt geschlossen

• Externer Betreibercheck vorbereitet: docs/EXTERNAL_OPERATOR_RUNBOOK.md und ops/maintenance/check-external-operator.sh; Live-Baseline am 2026-06-01: FRITZ!OS 154.08.25, keine Public-AAAA-Records fuer *.kaleschke.info, Host ohne globale Provider-IPv6, WAN 443/tcp offen und 80/tcp/222/tcp geschlossen.
• FRITZ!Box-Servicefenster UI-seitig abgeschlossen: FRITZ!Box-Dienste aus dem Internet sind aus (HTTPS auf FRITZ!Box-UI, FTP/FTPS auf Speichermedien), aktive WAN-Freigabe bleibt nur 443/tcp -> 192.168.178.58, keine aktive IPv6-Freigabe sichtbar, UPnP-Selbstfreigaben aus.
• FRITZ!Box-Konfig-Backup exportiert und extern/off-system in Vaultwarden abgelegt: Einstellungen_FRITZ.Box_7590_154.08.25_01.06.26_1318.export; Kennwort und Datei bleiben ausserhalb des Repos.
• Hetzner-Account-Hygiene erledigt: externe Kontakt-/Rechnungs-Mail bestaetigt, Zahlung ok, 2FA mit Google Authenticator aktiv, Recovery Key offline ausgedruckt.
• Hetzner Storage Box geprueft: storage-box-1, u565255.your-storagebox.de, SSH-Port 23, SSH aktiv, SMB/WebDAV aus, 64,94 GB / 1 TB belegt; Borg-UI-Key und separater Maintenance-Key funktionieren wieder nach Passwort-Recovery. Borg append-only ist bewusst nicht umgesetzt.
• Family-View Dashboard ist repo-seitig gebaut: monitoring/grafana/dashboards/family-status.json zeigt Family-App-Uptime, Backup-Alter, TLS-Restlaufzeit, Critical-Container und Image-Drift.
• Alt-Volume-Freigabe ist vorbereitet: ops/maintenance/release-alt-volumes.sh --dry-run validiert aktive Pfade, Container-Health, Restore-Freshness und gemountete Altpfade; Test am 2026-06-01 fand vier Kandidaten und keine Blocker, Ausfuehrung bleibt wegen Cutoff bis 2026-06-02 gesperrt.
• Borg-Nachlauf nach dem 2026-05-31-Sprint ist belegt: Archiv Taegliche-Sicherung-2026-06-01T04:30:26.913, 101669 Dateien, rc=0; Freshness-Check am 2026-06-01: Critical 0, Warnings 0.
• H:/ Nearline-Pull am 2026-06-01 repariert und manuell validiert: kuratierte Borg-Dumps Exit 0, Gitea-Bundles Exit 1 (Robocopy-Erfolg mit Kopien), Report nearline-pull-2026-06-01-082553.md.
• Immich-, Paperless-, Gitea- und Vaultwarden-Restore-Pfade sind belegt.
• H:/ Nearline-Pull laeuft seit 2026-05-28 als Windows Scheduled Task.
• FRITZ!Box-Portfreigaben sind bereinigt: WAN-seitig bleibt 443/tcp.
• InfluxDB 3 Core ist effektiv nur auf 127.0.0.1:8181 gebunden.
• Renovate ist produktiv, Major-Updates werden bewusst manuell entschieden.
• Policy-Check bleibt ohne Criticals; bekannte Root-Ausnahmen sind dokumentiert.