CLAUDE.md: Begruendung der Gitea-Kopie + Rotation ist automatisiert

Spiegelt gitops-Commit. Zwei Ergaenzungen:

Warum zwei Orte: git.lab haelt die Bauplaene, Gitea eine Kopie, die der Cluster
ohne verfuegbares Lab erreicht - die Produktion darf nicht an einem Host haengen,
der nur im Lab antwortet. Mit ausdruecklicher Warnung, die Flux-Quelle nicht auf
git.lab 'geradezuziehen'.

Die TURN-Ausnahme ist keine Handarbeit mehr: der taegliche CI-Job
canonize_rotation erledigt die Kanonisierung. Rote Pipeline statt Kalendereintrag.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01PKhFj1S3UdD6xL2fbWPeYj

CLAUDE.md

@@ -18,6 +18,14 @@ Widerspruch gilt für Arbeitsweise und Prozess **diese** Datei.
   auflösbar). Gitea/rohana wird per **Push-Mirror** beliefert und bleibt
   Flux-Source, Container-/npm-Registry und Release-Download
   ([ADR-0001](decisions/0001-gitlab-kanonisch-push-mirror.md)).
+- **Warum überhaupt zwei Orte — und warum das kein Altbestand ist:** Auf git.lab
+  liegen die *Baupläne*, auf Gitea eine Kopie, die der Cluster **ohne verfügbares
+  Lab** erreicht. Der Hetzner-Cluster muss sich bauen und neu ausrollen lassen,
+  wenn das Homelab aus ist, im Umbau steckt oder niemand zu Hause ist — er darf
+  deshalb nicht von einem Host abhängen, der nur im Lab antwortet.
+  ⚠️ **Die Flux-Quelle nicht „geradeziehen"** auf git.lab: Das sähe aufgeräumter
+  aus und würde die Verfügbarkeit der Produktion an das Lab koppeln — genau das,
+  was die Trennung verhindert.
 - **Nie direkt zu Gitea pushen** (gespiegelte Repos) — der Mirror überschreibt
   per Force.
 - **Gespiegelt wird nur die Gruppe `axion1337.chat`** (die fünf Produkt-Repos und
@@ -41,8 +49,13 @@ Widerspruch gilt für Arbeitsweise und Prozess **diese** Datei.
   dem Gitea-Tracker `sorb/management`, bis [LABNET-03](https://git.lab/axion1337.chat/management/-/issues/13)
   sie umzieht (das VPN dafür steht seit 2026-08-01,
   [ADR-0004](decisions/0004-site-to-site-vpn-hetzner-lab.md)); der
-  TURN-Rotations-CronJob öffnet seine PR weiter auf Gitea (nie dort mergen —
-  Kanonisierung wie oben).
+  TURN-Rotations-CronJob schreibt weiter nach Gitea, weil er im Cluster läuft und
+  git.lab nicht erreicht.
+  **Die Rotation nicht von Hand nachziehen und den PR nie auf Gitea mergen** —
+  das erledigt seit 2026-08-02 der geplante CI-Job `canonize_rotation` im
+  gitops-Repo täglich von git.lab aus. Scheitert er, bleibt die Pipeline rot;
+  diese rote Pipeline **ist** der Alarm, einen zusätzlichen Termin gibt es
+  bewusst nicht.
 - **Dokumentation** ([ADR-0006](decisions/0006-wikis-konsolidieren-docusaurus.md)):
   Das gitops-Wiki liegt seit 2026-08-02 auf git.lab (*Wiki*-Reiter im Projekt);
   ⚠️ der `wiki`-**Branch** im gitops-Repo ist ein überholter Mai-Abzug von `docs/`