Automate reference host data restore

docs/MIGRATION.md

@@ -37,5 +37,27 @@
 12. Standardbenchmark und Sicherheitsprüfung ausführen.
 13. Erst danach Clients umstellen.
 
+## Referenz-Backup automatisiert einspielen
+
+Nach einem erfolgreichen Lauf von `install.sh` kann eine Sicherung des alten
+Referenzhosts gezielt importiert werden:
+
+```bash
+sudo ./platform/migration/restore-reference-backup.sh \
+  /data/ki-migration-backup-YYYYMMDD
+```
+
+Das Skript prüft zuerst die Archiv-Hashes und übernimmt ausschließlich:
+
+- die persistente OpenWebUI-Datenbank samt Einstellungen und Uploads,
+- den dazugehörigen WebUI- und Router-Schlüssel,
+- die freigegebenen HA-, ARR- und Unraid-Secrets,
+- `runraid`, dessen privaten Schlüssel, Zertifikat und Known-Hosts-Datei.
+
+Es übernimmt bewusst **keine** alten Compose-Dateien, Routerprofile,
+Experimentdienste oder `.before-*`-Altstände. Vor dem Ersetzen des frischen
+OpenWebUI-Volumes wird unter `/data/open-webui-before-restore-*.tar.gz` eine
+Rückfallsicherung erstellt. Secret-Werte werden nicht ausgegeben.
+
 Der alte Host bleibt bis zum bestandenen Abnahmetest unverändert und dient nur
 als Referenz. Es werden keine Caches oder unbekannten Altverzeichnisse kopiert.

docs/RECOVERY_REQUIREMENTS.md

@@ -178,9 +178,12 @@ run-acceptance-tests
 ```
 
 `platform/mcp/install-tools.sh` installiert den Webbereich automatisch und
-aktiviert HA, ARR und Unraid nur bei vorhandenen Secret-/Programmdateien. Offen
-bleiben ein kompletter Leerhost-Probelauf und der automatisierte Import einer
-bereits bestehenden Open-WebUI-Datenbank.
+aktiviert HA, ARR und Unraid nur bei vorhandenen Secret-/Programmdateien.
+`platform/migration/restore-reference-backup.sh` importiert eine bestehende
+OpenWebUI-Datenbank und ausschließlich die freigegebenen Tool-Secrets, ohne
+experimentelle Altcontainer zurückzubringen. Der Leerhost-Probelauf wird auf
+Athena praktisch protokolliert und seine Korrekturen fließen direkt in den
+Installer zurück.
 
 Jeder Schritt muss wiederholbar, einzeln prüfbar und bei Fehlern abbrechbar
 sein. Ein fehlgeschlagener Schritt darf keinen halb aktivierten Dienst