Add encrypted bare-metal recovery workflow

docs/RECOVERY_REQUIREMENTS.md

@@ -90,10 +90,16 @@ Benötigt wird ein festes Verfahren für:
 - Home-Assistant-Token
 - Sonarr-/Radarr-API-Schlüssel
 - Unraid-Zugang
+- Navidrome-Benutzer und Last.fm API-Key
 - optionale GitHub-, Hugging-Face- und Brave-Schlüssel
 - SSH-Hostschlüssel und bekannte Hosts
 
-Noch festzulegen:
+Umgesetzt ist ein age-verschlüsseltes Bundle über
+`platform/recovery/create-recovery-bundle.sh` und der zugehörige
+Bare-Metal-Restore. Noch standortspezifisch festzulegen ist ausschließlich das
+externe Zielverzeichnis auf Unraid.
+
+Verbindlich bleiben:
 
 - verschlüsseltes Backupformat, beispielsweise age oder ein Passwortmanager
 - Besitzer und Rechte je Environment-Datei
@@ -186,7 +192,8 @@ run-acceptance-tests
 ```
 
 `platform/mcp/install-tools.sh` installiert den Webbereich automatisch und
-aktiviert HA, ARR und Unraid nur bei vorhandenen Secret-/Programmdateien.
+aktiviert HA, ARR, Navidrome und Unraid nur bei vorhandenen
+Secret-/Programmdateien.
 `platform/migration/restore-reference-backup.sh` importiert eine bestehende
 OpenWebUI-Datenbank und ausschließlich die freigegebenen Tool-Secrets, ohne
 experimentelle Altcontainer zurückzubringen. Der Leerhost-Probelauf wird auf