GNAI-006: wg-easy-UI-Passwort rotiert

docs/GNAI-006-SEC_VPN.md

@@ -149,6 +149,7 @@ Installiert: `podman` 5.4.2.
 **Wichtige Umsetzungsentscheidungen (Abweichungen vom ursprünglichen Draft):**
 
 1. **bcrypt statt Argon2:** wg-easy verifiziert das UI-Passwort mit **bcryptjs (Salt-Rounds 12)** über `PASSWORD_HASH`. Argon2-Hashes werden nicht akzeptiert.
+2. **Passwort-Rotation 2026-09-09:** Das initial generierte UI-Passwort wurde nach der Session nicht übergeben → **rotiert** (neuer bcrypt-Hash im Environment-File, Login-API HTTP 200 verifiziert). **Klartext liegt ausschließlich in 1Password** (Eintrag `ghostnet/wg-easy-ui`); auf dem LXC und im Repo existiert nur der Einweg-Hash.
 2. **EnvironmentFile statt Environment=:** Der bcrypt-Hash enthält `$`-Zeichen (`$2a$12$…`), die im Quadlet-`Environment=`-Format fehleranfällig escaped werden müssen. Sauberer Weg: `EnvironmentFile=`.
 3. **Unit-Name:** Quadlet generiert `wg-easy.service` (nicht `wg-easy.container.service`).
 

docs/GNAI-006-SEC_VPN_Implementation-Log.md

@@ -144,3 +144,4 @@ Client-UUIDs (LXC): `Laptop-FullAdmin` = `2e9ed910-36dc-4fbd-8694-8d904670ea19`,
 | Lokal: `~/.ssh/config` | Alias `lxc` (User admin, dedizierter Key) | gesetzt |
 
 > Secrets (wg-easy-UI-Passwort/Hash, PreSharedKeys, PrivateKeys) sind **nicht** in diesem Repo dokumentiert und liegen ausschließlich auf dem LXC bzw. in den clientseitigen Profilen.
+| PW | wg-easy-UI-Passwort initial generiert, Klartext nach Session nicht verfügbar (bcrypt=Einweg-Hash) | ✅ rotiert 2026-09-09 18:40: neuer bcrypt-Hash im Env-File, API-Login 200; Klartext nur in 1Password (ghostnet/wg-easy-ui) |