verfahren: AAR LABNET-02 -- Nachtrag 3: Reboot-Beweis erbracht

Host-Neustart 2026-08-01 ~21:57 CEST. Tunnel, Bootfix (After=docker.service),
Firewall-Regeln und Split-DNS kamen ohne manuellen Eingriff hoch; Handshake
2 s nach Messbeginn. Bootfix und Persistenz damit im Ernstfall verifiziert.

verfahren/aar/2026-08-01-labnet02-cfgmon.md

@@ -172,3 +172,14 @@ Schlüsselrotation (Client-Private-Key lief beim Bootstrap über `sorb/buffer` a
 rohana; Repo wird laut sorb vernichtet, Rotation danach trotzdem empfohlen),
 Repo-Zuhause für `lab.conf` + systemd-Drop-in (zurückgestellt bis nach der
 Testreihe).
+
+## 8. Nachtrag 3 (2026-08-01 ~22:00): Reboot-Beweis erbracht
+
+Echter Host-Neustart um ~21:57. Ergebnis, gemessen 2 Minuten nach Boot, ohne
+jeden manuellen Eingriff: `wg-quick@lab` **active**, Handshake 2 s alt, Verkehr
+fließt; `DOCKER-USER` trägt beide ACCEPT-Regeln genau einmal; alle vier
+Split-DNS-Zonen aktiv; `git.lab` auflösbar und pingbar. Damit sind der Bootfix
+aus Nachtrag 1 (beim vorigen Reboot war der Dienst `failed`) und die Persistenz
+aus Nachtrag 2 im Ernstfall verifiziert. Aus der Offen-Liste von Nachtrag 2
+gestrichen: der Reboot-Beweis. Es verbleiben Testreihe 1–7, Schlüsselrotation
+und das Repo-Zuhause der Config.