homelab-infra/docs/EXTERNAL_DEPENDENCIES.md

External Dependencies - KalliLab CORE

Status: Initiale Betreiber-Baseline 2026-05-26; konkrete Account-Recovery-Codes und Besitznachweise muessen ausserhalb des Repos bestaetigt werden.

Zweck

Dieses Dokument beschreibt externe Anbieter und Konten, von denen Betrieb, Recovery oder Zugriff abhaengen. Ziel ist, im Ausfallfall nicht erst suchen zu muessen, welcher Provider welches Teilproblem verursacht.

Abhaengigkeiten

Anbieter / System	Zweck	Kritikalitaet	Recovery-Auswirkung	Zugang / Besitz	Notfallplan
Domain-Registrar	Besitz kaleschke.info	hoch	Ohne Domain brechen Public URLs/TLS-Erneuerung	Operator-Konto ausserhalb Repo, konkreten Registrar im Account pruefen	Registrar-Zugang, 2FA-Recovery und Zahlungsweg analog/off-system sichern
Cloudflare DNS	Authoritative DNS, ACME DNS-Challenge, DDNS	hoch	Neue Zertifikate/DNS-Aenderungen blockiert	Cloudflare-Konto; API-Token liegt als Host-Secret	API-Token rotierbar halten, Account-Recovery und Zone-Besitz pruefen
Hetzner Storage Box	Off-site Borg Backup	kritisch	Restore aus Off-site ggf. nicht moeglich	Hetzner-Konto / Storage-Box-Zugang ausserhalb Repo	Zweites Off-site-Ziel oder Cold-Platte etablieren; Borg-Passphrase extern sichern
GitHub Mirror	Externer Repo-Mirror michaelkaleschke-spec/homelab-infra	mittel/hoch	Gitea-Verlust abfederbar, Repo-Bootstrap bleibt moeglich	GitHub-Konto; PAT liegt in Gitea-Mirror-Settings, nicht im Repo	Mirror-Status regelmaessig pruefen; lokalen Clone als zweite Kopie behalten
Tailscale	Remote-/Operator-Zugang	hoch	Remote-Zugriff erschwert, lokale Bedienung bleibt	Tailnet-Konto; Node Kallilabcore, IPv4 100.80.98.33	Break-glass per LAN und physischem Zugriff; Tailnet-Recovery-Codes sichern
GMX SMTP	Authelia Notifier	mittel	Mail-Notifier faellt aus, Login selbst nicht zwingend	GMX-Konto; SMTP-Secret liegt hostseitig	ntfy/zweiter SMTP als Fallback pruefen
Let's Encrypt	TLS-Zertifikate	hoch	Cert-Erneuerung faellt aus	automatisch via Traefik und Cloudflare DNS-Challenge	Cert-Expiry Alert einrichten; Cloudflare-Token und Traefik-Storage pruefen
Container Registries	Image Pulls von Docker Hub, GHCR, LSCR, Gitea Registry u. a.	mittel	Redeploy/Update blockiert	ueberwiegend oeffentlich; keine produktiven Registry-Tokens im Repo	Gepinnte Digests und lokale Runtime helfen kurzfristig; Updates geplant und einzeln deployen
Plex Konto/Remote Access	Plex native Auth, ggf. Remote Access und Claim	mittel	Plex-Clients/Remote-Funktionen koennen ausfallen	Plex-Konto ausserhalb Repo; PLEX_CLAIM nur fuer Setup	LAN-Medienpfade bleiben lokal; Konto-Recovery separat sichern
Mobile Push	ntfy und ggf. mobile Plattform-Pushes	niedrig/mittel	Alerts erreichen Mobilgeraete ggf. nicht	App-/Device-seitig	Kritische Alerts zusaetzlich in Grafana/Glance sichtbar halten

Kritische Secrets ausserhalb des Repos

Authoritativ ist docs/SECRETS_MAP.md. Diese Liste markiert nur externe Abhaengigkeiten.

Secret	Zweck	Recovery-Hinweis
Borg Passphrase	Entschluesselung Borg-Repos	Muss analog/off-system vorhanden sein
Cloudflare DNS API Token	ACME DNS-Challenge	Token-Rotation und Scope pruefen
GitHub Mirror Token	Push-Mirror	In Gitea/GitHub verwaltet, nicht im Repo
Tailscale Account Recovery	Tailnet-Zugang	Account-2FA/Recovery Codes sichern
SMTP Passwort	Authelia Mail	In Host-Secret, Fallback pruefen
Domain-Registrar Recovery	Domain-Besitz und Zahlung	Account, 2FA und Zahlungsweg ausserhalb des Homelabs sichern
Hetzner Storage Box Zugang	Off-site Backup-Ziel	SSH-/Web-Zugang und Zahlungsweg extern sichern

Ausfall-Szenarien

Hetzner Storage Box nicht erreichbar

• Lokales Borg-Repo und aktuelle Dumps pruefen.
• Keine destruktiven Host-Aenderungen starten, solange Off-site unklar ist.
• Zweites Off-site-Ziel oder Cold-Platte als Folgeaufgabe umsetzen.

Cloudflare Account/DNS gestoert

• Bestehende Zertifikate laufen bis Ablauf weiter.
• Keine Domain-/ACME-Aenderungen moeglich.
• Tailscale/LAN-Zugang als Break-glass nutzen.

Tailscale gestoert

• Lokalen LAN-Zugang nutzen.
• Direkte Admin-Ports nur gemaess dokumentierten Ausnahmen verwenden.
• AdGuard-Admin-Bind muss so geplant werden, dass ein lokaler Break-glass-Weg bekannt ist.
• Seit 2026-05-26 ist AdGuard Admin nur ueber 100.80.98.33:8082 gebunden; bei Tailnet-Ausfall ist lokaler Host-/Compose-Zugriff der Break-glass-Weg.

Domain verloren oder Registrar-Zugriff verloren

• Gitea/GitHub Mirror und lokale IP/Tailscale-Pfade fuer Recovery nutzen.
• Neue Domain waere separater Migrationsfall fuer Traefik, Authelia, App-URLs und Clients.

Review

Datum	Ergebnis	Naechste Aktion
2026-05-26	Bekannte externe Abhaengigkeiten aus Repo-/Betriebsdoku dokumentiert; keine Secret-Werte aufgenommen	Account-Besitz, 2FA-Recovery-Codes, Zahlungswege und Borg-Passphrase extern bestaetigen