Fix SELinux backup execution context and probe source metadata before downtime

README.md

@@ -37,6 +37,13 @@ abfragbar. Diagnose und Details stehen in der Update-Anleitung.
 
 Die folgende manuelle Anleitung bleibt als Alternative für individuelle Updates.
 
+Auf Rocky/RHEL starten Backup-Dienst und Update-Auftrag über Bash mit
+`SELinuxContext=system_u:system_r:unconfined_service_t:s0`. SELinux bleibt systemweit
+aktiv; **diese privilegierten Backup-Prozesse sind bewusst nicht durch SELinux
+eingeschränkt**. Dadurch können sie Web-/Mail-/Home-Daten samt Sicherheitsattributen
+sichern. Der Installer ändert keine globalen rsync-Booleans und keine Quell-Labels.
+Details und geprüfte Grenzen stehen in der Update-Anleitung.
+
 ## Wesentliche Änderungen
 
 - Funktionierender Restore mit Prüflauf, Entpackmodus, Komponentenauswahl und ausdrücklichem `--apply --yes`.
@@ -96,8 +103,11 @@ sudo cat /var/backups/app-backup/last-backup.json
 `--check` prüft Werkzeuge, Quellpfade, Dateirechte, DB-Verbindungen, das globale
 DB-Recht `RELOAD` für die Dump-Sperre, bei MariaDB den Zugriff auf Routinen-Metadaten,
 Speicherreserve und Crypt-Zugriff.
-Die Rechteprüfung liest nur Metadaten; sie stoppt keine Anwendungen, sperrt keine
-Datenbank und führt weder Backup noch Upload aus. Sie ersetzt keinen vollständigen
+Die Prüfung liest Quellverzeichnisse über rsync und überträgt nur deren
+Verzeichnisattribute in einen privaten temporären Prüfbereich im Staging.
+Dabei werden keine Datei-Inhalte kopiert. Die DB-Rechteprüfung liest Metadaten;
+es werden keine Anwendungen gestoppt, keine globale DB-Sperre genommen und kein
+Backup oder Upload ausgeführt. Die Vorprüfung ersetzt keinen vollständigen
 Probelauf. Fehlt `RELOAD`, die tatsächlich verwendeten Backup-Konten ermitteln und
 gezielt berechtigen; siehe [DB-Rechte korrigieren](UPDATE_ANLEITUNG.md#fehlendes-db-recht-reload).