docs: Richtigstellung -- "drei Orte" sind zwei Platten, und keiner ist auswaerts

Nachgemessen, nachdem die Frage aufkam, wie Sicherungen aus dem Haus kommen.
Das Ergebnis widerspricht dem, was ich heute frueh selbst hier eingetragen habe.

ALLE Docker-Volumes liegen in einer einzigen Datei:

    C:\Users\Darkster\AppData\Local\Docker\wsl\disk\docker_data.vhdx   51,5 GB

Das ist Platte 0. Darin: die Daten von d4rk_media, die Datenbank des Bots UND
DIE NEXTCLOUD. cdn.d4rkst3r.de und media.d4rkst3r.de loesen beide auf
88.218.224.10 auf, und die vierzehn nextcloud-aio-Container laufen auf genau
dieser Maschine.

    C:\backup\d4rk_media   Platte 0   dieselbe wie die Daten
    D:\backup\d4rk_media   Platte 1   echt getrennt
    Nextcloud              Platte 0   dieselbe wie die Daten

Die Nextcloud-Kopie stand hier als "die einzige Trennung". Sie ist in Wahrheit
die am WENIGSTEN getrennte von allen dreien -- und der Grund fuer den Irrtum ist
der uebliche: eine Adresse mit eigenem Namen und eigenem Zertifikat SIEHT wie
ein anderer Ort aus. Nachgesehen hatte das niemand.

Was die drei Ziele wirklich abdecken: eine Platte stirbt -> D: faengt es auf,
das war den Aufwand wert. Rechner tot, Feuer, Diebstahl, Verschluesselung ->
alle drei Kopien sind gleichzeitig weg.

"sicherung ok an 3 Orten" auf der Statusseite bleibt woertlich richtig -- sie
zaehlt Ablageorte, nicht Platten und nicht Gebaeude. Wer daraus "also sicher"
liest, liest mehr hinein als dasteht.

In docs/ideen.md steht das Thema wieder offen, mit den Kandidaten und der
Eigenschaft, auf die es dabei ankommt: HOLEN statt SCHICKEN. Ein Ziel, in das
der Server selbst schreiben darf, ist auch eines, das ein uebernommener Server
loeschen kann.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

ROADMAP.md

@@ -1186,6 +1186,48 @@ Ein Test, der das Falsche misst, ist schlimmer als keiner: er wird geglaubt.
 
 Stand heute: **24 in Ordnung, 0 nicht.**
 
+### ⚠️ Richtigstellung: „drei Orte" sind zwei Platten, und keiner davon ist auswärts
+
+Am 12.08.2026 nachgemessen, nachdem die Frage aufkam, wie man Sicherungen aus
+dem Haus bekommt. Das Ergebnis widerspricht dem, was zwei Abschnitte weiter
+oben steht.
+
+**Alle Docker-Volumes liegen in einer einzigen Datei:**
+
+```
+C:\Users\Darkster\AppData\Local\Docker\wsl\disk\docker_data.vhdx   51,5 GB
+```
+
+Das ist Platte 0. Darin liegen die Daten von d4rk_media, die Datenbank des Bots
+— **und die Nextcloud**. `cdn.d4rkst3r.de` und `media.d4rkst3r.de` lösen beide
+auf `88.218.224.10` auf, und die vierzehn `nextcloud-aio-*` Container laufen auf
+genau dieser Maschine.
+
+| Ziel | Platte | wirklich getrennt? |
+|---|---|---|
+| `C:\backup\d4rk_media` | 0 | nein, dieselbe wie die Daten |
+| `D:\backup\d4rk_media` | 1 | **ja** |
+| Nextcloud `cdn.d4rkst3r.de` | 0 | **nein — dieselbe Platte wie die Daten** |
+
+**Die Nextcloud-Kopie ist die am wenigsten getrennte von allen dreien.** Sie
+stand hier bisher als „die einzige Trennung" — das war falsch, und zwar aus dem
+üblichen Grund: eine Adresse mit eigenem Namen und eigenem Zertifikat *sieht*
+wie ein anderer Ort aus. Nachgesehen hatte das niemand.
+
+Was die drei Ziele wirklich abdecken:
+
+- **Eine Platte stirbt** → `D:` fängt es auf. Das ist echt und war den Aufwand
+  wert.
+- **Der Rechner stirbt, brennt, wird gestohlen oder verschlüsselt** → alle drei
+  Kopien sind gleichzeitig weg.
+
+Die Statusseite sagt weiterhin `sicherung ok an 3 Orten`. Das ist wörtlich
+richtig — sie zählt Ablageorte, nicht Platten und nicht Gebäude. Wer daraus
+liest „also ist es sicher", liest mehr hinein, als dasteht.
+
+**Offen und bewusst offen:** ein Ziel außerhalb dieser Maschine. Die Kandidaten
+stehen in `docs/ideen.md`.
+
 ### ⬜ Als Nächstes
 
 **Der Vergleichsmaßstab ist weg.** Am 11.08.2026 sind die Lite-Container

docs/ideen.md

@@ -138,6 +138,31 @@ die Oberfläche sie nicht ein zweites Mal hinschreibt.
 Bei 910 GB frei ist das heute keine Grenze, sondern eine Zusicherung: der
 Papierkorb kann nicht mehr unbemerkt zur zweiten Ablage werden.
 
+### Ein Ziel AUSSERHALB dieser Maschine — offen
+
+Nachgemessen am 12.08.2026: **es verlässt heute nichts diesen Rechner.** Auch
+die Nextcloud nicht — sie läuft hier, in denselben Docker-Volumes, auf
+derselben Platte 0 wie die Daten. Details in der ROADMAP.
+
+Gegen einen Plattenausfall ist gesorgt (`D:` ist eine eigene NVMe). Gegen
+Feuer, Diebstahl oder eine verschlüsselte Maschine ist es nicht.
+
+Kandidaten, mit dem, was sie wirklich können:
+
+| Weg | deckt ab | Haken |
+|---|---|---|
+| **Private PC holt ab** (`robocopy`/`rsync` vom PC aus) | Rechner tot, Server kompromittiert | PC muss laufen, wenn geholt wird |
+| **5-TB-Platte am Router** | Rechner tot | gleiches Haus; der Server darf schreiben, also erreicht Ransomware sie auch |
+| **5-TB-Platte am Server** | Plattenausfall | dritte Platte im selben Gehäuse, kein Gewinn gegen Feuer |
+| **Discord-Kanal** (nur der Bot, 993 KB/Tag) | Haus tot | 9 MB je Datei — für d4rk_media mit 336 MB unbrauchbar |
+
+**Die Eigenschaft, auf die es ankommt, ist HOLEN statt SCHICKEN.** Ein Ziel, in
+das der Server selbst schreiben darf, ist auch ein Ziel, das ein übernommener
+Server löschen kann. Wer die Sicherung vom anderen Ende abholt, hält keine
+Zugangsdaten auf der Maschine, die geschützt werden soll.
+
+---
+
 ### ~~Mehrere Sicherungsziele~~ — gebaut am 12.08.2026
 
 Ein **zweites Laufwerk**, einstellbar im Panel unter Einstellungen → Sicherung.