Keep NVIDIA DKMS headers aligned with Debian kernel updates

ATHENA.md

@@ -63,6 +63,27 @@ sudo ./smoke-test.sh
 `deploy core` aktualisiert den vollständigen Athena-Kern. Das aktuell aktive
 Qwen-Profil wird vom Profile Controller verwaltet.
 
+## Debian-Updates und NVIDIA
+
+`linux-image-amd64` und `linux-headers-amd64` müssen **beide** installiert
+bleiben. Das Header-Metapaket zieht bei Kernel-Updates die passenden Header
+mit; erst damit kann DKMS das NVIDIA-Modul für den neuen Kernel bauen.
+Der Installer installiert es bereits mit den Basispaketen. Vor einem vom
+Betreiber geplanten Neustart nach `apt upgrade` prüfen:
+
+```bash
+uname -r
+dpkg -l linux-image-amd64 linux-headers-amd64 nvidia-kernel-open-dkms
+dkms status
+```
+
+Nach dem Neustart müssen `nvidia-smi` beide GPUs anzeigen. Docker-Container,
+die beim Boot wegen eines fehlenden Treibers nicht starten konnten, starten
+trotz `restart: unless-stopped` nicht zwingend von selbst nach; ihren Status
+gesondert prüfen. Das Dashboard läuft im `control`-Netz und wird vom
+WireGuard-Gateway auf Port 8099 bereitgestellt; es teilt dessen Namespace
+nicht direkt. Kein automatischer Host-Neustart ist vorgesehen.
+
 ## Modelle
 
 - Fast: kurze, interaktive Aufgaben

install.sh

@@ -73,7 +73,8 @@ install_base_packages() {
   apt-get update
   DEBIAN_FRONTEND=noninteractive apt-get install -y --no-install-recommends \
     ca-certificates curl git gnupg jq openssl wireguard-tools iptables \
-    iproute2 pciutils rsync unattended-upgrades ethtool age restic zstd
+    iproute2 pciutils rsync unattended-upgrades ethtool age restic zstd \
+    linux-headers-amd64
 }
 
 setup_stable_network_name() {