Add WireGuard-only SSH recovery path

docs/INSTALLATION.md

@@ -63,6 +63,7 @@ werden nicht ausgegeben. Sie liegen root-only unter `/etc/mike-ai`.
 
 - Open WebUI: `http://<WIREGUARD-IP>:8080`
 - Router: `http://<WIREGUARD-IP>:8081`
+- SSH fallback: `ssh root@<WIREGUARD-IP>` (key-only, forwarded to host sshd)
 - llama.cpp-WebUI: absichtlich deaktiviert und nicht veröffentlicht
 
 ```bash
@@ -71,8 +72,16 @@ sudo docker inspect -f '{{.State.Health.Status}}' mike-ai-wireguard-gateway
 sudo docker compose --env-file /etc/mike-ai/stack.env \
   -f /opt/mike-ai/stack/compose.yaml ps
 curl http://<WIREGUARD-IP>:8081/health
+ssh -o BatchMode=yes root@<WIREGUARD-IP> true
 ```
 
+Der SSH-Fallback lauscht ausschließlich auf der IPv4-Adresse von `wg0` im
+WireGuard-Gateway-Container. Er wird nicht als Docker-Port auf dem
+Standort-Interface veröffentlicht. Das Gateway leitet die Verbindung an den
+hostseitigen Gateway-Endpunkt des festen `frontend`-Netzes weiter; Anmeldung,
+Schlüsselprüfung und Protokollierung erfolgen weiterhin durch den normalen
+OpenSSH-Dienst des Hosts.
+
 Die TTS-Verbindung wird für eine frische Open-WebUI-Datenbank automatisch als
 OpenAI-kompatibler Audio-Endpunkt des Routers vorbelegt. Der Router reicht sie
 intern an Piper weiter; Port 8085 wird nicht am Host veröffentlicht. Ein