Bound and retry complete remote readback checks

Dokumentation.md

@@ -59,6 +59,10 @@ Sie gehen nach stderr; Marker und Dateilisten auf stdout bleiben maschinell
 auswertbar. Alte Konfigurationen erhalten den Intervallstandard automatisch.
 Eine Anpassung wirkt erst beim nächsten rclone-Prozess. Die bestehende
 I/O-Leerlauffrist `RCLONE_TIMEOUT="1h"` ist keine Gesamtlaufzeitbegrenzung.
+Für vollständige Rücklesevergleiche gelten seit 15.09.2026 eigene kürzere
+Leerlauffristen, eine Prozessfrist je Versuch und mehrere vollständige Versuche.
+Dort zeigen mehrzeilige Statistiken aktive Prüfungen und ein Ergebnis pro Datei
+den tatsächlichen Fortschritt. Details: [Rückleseprüfung](REMOTE_READBACK.md).
 
 Beim Betreiberlauf am 10.09.2026 ab 15:30 Uhr wurden die geschützte Kopierphase,
 Dienstwiederaufnahme und ein vollständiger lokaler Satz bestätigt. Danach meldete
@@ -199,7 +203,7 @@ Quelle: [rclone 1.74.3 Inhaltsprüfung](https://github.com/rclone/rclone/blob/v1
 | --- | --- |
 | Vorübergehender Upload-Fehler | rclone wiederholt den Kopierauftrag bis zu `RCLONE_RETRIES=6` Versuche, soweit der Fehler wiederholbar ist; Wartezeit standardmäßig `RCLONE_RETRIES_SLEEP=30s`, zusätzlich gegebenenfalls Provider-Backoff. Kein erneuter DB-Dump oder Writer-Stopp innerhalb dieser Versuche. |
 | Upload endgültig fehlgeschlagen | Fehlerexit; lokaler vollständiger Satz bleibt erhalten; Staging wird nach erfolgreichem Dienstwiederanlauf bereinigt. Kein neuer Remote-Abschlussmarker und keine nachgelagerte Altersretention. |
-| Rückleseprüfung findet andere oder fehlende Inhalte | Fehlerexit; keine Veröffentlichung des Abschlussmarkers. Auch gleich große Dateien werden inhaltlich verglichen. |
+| Rückleseprüfung scheitert oder hängt | Bis zu drei vollständige Prüfanläufe, jeweils maximal 3600 Sekunden plus bis zu 10 Sekunden Abbruchfrist, 30 Sekunden Pause dazwischen. Jeder Versuch vergleicht alle ausgewählten Inhalte erneut. Bleibt ein Fehler, Fehlerexit und kein Abschlussmarker. Auch gleich große Dateien werden inhaltlich verglichen. |
 | Abschlussmarker kann nicht geschrieben oder bestätigt werden | Fehlerexit; kein lokales `UPLOADED`, kein neuer Erfolgsstatus, keine Retention. Der Vergleich prüft die exakten Bytes einschließlich abschließender Zeilenumbrüche, passend zum strikten Restore-Parser. Ist der Marker schon geschrieben und nur seine Bestätigung fehlgeschlagen, kann der Remote-Satz vollständig vorliegen; der Lauf meldet konservativ trotzdem einen Fehler. |
 | Wiederholungen erfolgreich und Rücklesen bestanden | Remote-Marker wird zuletzt geschrieben und zurückgelesen; erst danach gilt der Upload als erfolgreich. Ein früheres `ERROR` im Log allein ist kein Endergebnis. |
 | Prozess hängt oder wird abgebrochen | systemd begrenzt den regulären Backup-Dienst auf 12 Stunden, den Update-Auftrag auf 24 Stunden, mit 5 Minuten Stop-Frist. Direkte CLI-/Foreground-Aufrufe besitzen diese systemd-Gesamtfrist nicht. |
@@ -215,8 +219,12 @@ serverseitiger WORM-/Ransomware-Schutz gegen andere berechtigte Zugriffe.
 
 Die sechs Gesamtversuche gelten nicht pauschal für jeden rclone-Befehl:
 `check --download` verwendet in rclone 1.74.3 keine Wiederholung des ganzen Befehls,
-jedoch Wiederholungen fehlgeschlagener Datei-Leseoperationen. Ein verbleibender
-Prüffehler beendet das Backup sichtbar. Quellen:
+jedoch Wiederholungen fehlgeschlagener Datei-Leseoperationen. Deshalb verwendet
+app-backup jetzt einen eigenen begrenzten Wrapper nur für vollständige
+Rücklesevergleiche (Backup und Platzbereinigung). Er greift auch mit alten
+Konfigurationen. Die einzelnen Restore-Downloads und Uploads behalten ihre
+bisherigen Einstellungen. Ein verbleibender Prüffehler beendet das Backup
+sichtbar. Quellen:
 [Kopierversuche](https://github.com/rclone/rclone/blob/v1.74.3/cmd/cmd.go),
 [Check-Aufruf](https://github.com/rclone/rclone/blob/v1.74.3/cmd/check/check.go),
 [Immutable](https://rclone.org/docs/#immutable).