ADR-0003: Ein Xinion-Geraet hat keinen Auslagerungsspeicher

Bei der Durchsicht der Aufbauten in infra aufgefallen: Der Tresor-Pod laeuft mit
disable_mlock. Im Behaelter ist das unvermeidlich und mit eingebautem Speicher vertretbar —
aber nur unter einer Bedingung, die bisher nirgends stand. Ohne Speicherfestnagel darf der
Arbeitsspeicher des Tresors ausgelagert werden, und das ist genau der Speicher mit den
entschluesselten Zugangsdaten aller Zielsysteme des Kunden. Es entstuende eine zweite,
unbewachte Kopie ausserhalb des Tresors, ausserhalb seiner Richtlinien und ausserhalb der
Pruefspur — die das Herunterfahren ueberlebt und die keine Loeschregel dieser Entscheidung
erfasst.

Die Anforderung gehoert in die Geraeteschicht und nicht in die Nutzlast: Ein Pod bestimmt
nicht, ob sein Wirt auslagert. Eine Anforderung, die nur die Nutzlast kennt aber nur der
Wirt erfuellen kann, ist die Art Luecke, die niemandem auffaellt.

Der Preis ist gering und faellt sogar guenstig aus: Ohne Auslagerung ist ein
Speicherueberlauf ein harter Abbruch statt einer Verlangsamung — ein zaehes Geraet sieht wie
ein Leistungsproblem aus und wird tagelang gesucht, ein abgebrochener Pod startet neu und
steht im Protokoll.

Suspend-to-Disk faellt aus demselben Grund weg. Das Absturzabbild des Kerns bleibt offen und
beruehrt das Diagnosepaket aus ADR-0007.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/decisions/ADR-0003-verschluesselung-und-loeschung.md

@@ -171,3 +171,62 @@ Flash-Speichern ist er langsam und gibt eine Sicherheit vor, die er nicht hat.
 verlegt die Entsperrung in den Startvorgang **vor** den Selbstprüflauf — womit ein Fehler dort das
 Gerät unrettbar macht, statt einen Rücksprung auszulösen. Der Rückweg ist mehr wert als die
 Verschlüsselung von Dateien, die auf jedem Gerät gleich sind.
+
+---
+
+## Nachtrag 02.09.2026 — kein Auslagerungsspeicher, und das ist eine Anforderung
+
+Beim Bau des Tresors als Pod ist eine Bedingung sichtbar geworden, die diese Entscheidung bisher
+nicht kannte und die genau ihr Schutzziel betrifft.
+
+**Der Tresor läuft mit abgeschaltetem Speicherfestnageln** (`disable_mlock`). In einem Behälter ist
+das praktisch unvermeidlich — das Festnageln verlangt ein Recht, das ein Pod im Regelfall nicht
+bekommt — und mit dem eingebauten Speicher auch vertretbar. **Es hat aber eine Bedingung:**
+
+> Ohne Festnageln darf der Arbeitsspeicher des Tresors **auf die Platte ausgelagert** werden. Das
+> ist genau der Speicher, in dem die **entschlüsselten** Zugangsdaten aller Zielsysteme des Kunden
+> stehen.
+
+**Damit entstünde eine zweite, unbewachte Kopie der Geheimnisse** — außerhalb des Tresors, außerhalb
+seiner Richtlinien, außerhalb der Prüfspur. Sie überlebt das Herunterfahren, und ihre Vernichtung
+wäre von keiner der Regeln oben erfasst.
+
+### Die Festlegung
+
+> **Ein Xinion-Gerät hat keinen Auslagerungsspeicher. Das Abbild legt keinen an, und die
+> Installation bietet ihn nicht an.**
+
+Das ist keine Empfehlung und kein Feinschliff, sondern die Bedingung, unter der der abgeschaltete
+Speicherfestnagel überhaupt vertretbar ist.
+
+### Warum es hierher gehört und nicht in die Nutzlast
+
+**Die Nutzlast kann es nicht durchsetzen.** Ein Pod bestimmt nicht, ob sein Wirt auslagert — das
+entscheidet die Geräteschicht, und zwar beim Bau des Abbilds. **Eine Anforderung, die nur die
+Nutzlast kennt, aber nur der Wirt erfüllen kann, ist genau die Art Lücke, die niemandem auffällt.**
+
+### Was es kostet, und warum der Preis gering ist
+
+**Ohne Auslagerung ist ein Speicherüberlauf ein harter Abbruch** statt einer Verlangsamung. Das
+klingt schlechter, als es ist: Ein Gerät, das wegen Auslagerung zäh wird, sieht wie ein
+Leistungsproblem aus und wird tagelang gesucht. **Ein abgebrochener Pod startet neu und steht im
+Protokoll.**
+
+Die Auslegung nach Baugrößen macht die Rechnung ohnehin nicht auf Auslagerung auf — die
+Speicherbudgets der Pods kommen aus der Konfiguration und sind zuzuteilen, nicht zu verdrängen.
+
+### Zwei Punkte, die daran hängen
+
+**Der Ruhezustand des Systems** (Suspend-to-Disk) schreibt denselben Speicher auf dieselbe Platte
+und ist damit aus demselben Grund ausgeschlossen. Er ist auf einem Rack-Gerät ohnehin sinnlos.
+
+**Ein Absturzabbild des Kerns** enthält ebenfalls Arbeitsspeicher. Ob und wohin eines geschrieben
+wird, ist **offen** und gehört mit derselben Überlegung entschieden — es berührt zugleich den Inhalt
+des Diagnosepakets aus `ADR-0007`.
+
+---
+
+*Nachgetragen 02.09.2026 · Anlass: `disable_mlock` im Tresor-Pod, aufgefallen bei der Durchsicht der
+Aufbauten in `XinionONE/infra` · **Die Wirkung ist nicht gemessen** — dass ein Gerät ohne
+Auslagerungsspeicher unter Last sauber abbricht statt zu verklemmen, gehört auf dem Prüfgerät
+gezeigt.*