feat: vollst. Installations-Doku, Ansible-Rollen ausimplementiert, claude_workspace-Rolle

- docs/installation.md: Netinstall + Dualboot Schritt-für-Schritt (LUKS nur am Notebook)
- docs/postinstall-ansible.md: Ablauf + restmanuelle Schritte
- roles/base: APT-Sources mit non-free-firmware + Backports, Locale, Tastatur, Zeitzone, Grundpakete
- roles/desktop_kde: Plasma 6 + SDDM (ohne Recommends, kompakt)
- roles/hardening: SSH key-only, UFW, unattended-upgrades
- roles/dev_tools: Node.js via NodeSource, Python, Perl, Git-Defaults
- roles/workstation_apps: Firefox, Thunderbird, LibreOffice, Codecs, KeePassXC
- roles/claude_workspace (NEU): Claude Code + ccusage, SSH-Key für Gitea, Workspace-Clone (recurse-submodules), ~/.claude/settings.json
- site.yml: alle Rollen mit Tags

docs/installation.md

@@ -0,0 +1,105 @@
+# Installation Debian 13 (Trixie) — Dualboot
+
+Diese Anleitung gilt für alle drei Workstations (notebook, pc, werkstatt). Unterschiede sind unten markiert.
+
+## 1. Vorbereitung in Windows
+
+1. **Updates fertigstellen**, dann `Datenträgerverwaltung` (`diskmgmt.msc`) öffnen
+2. **BitLocker** deaktivieren auf der Partition, die verkleinert wird, sonst startet Windows nach dem GRUB-Eintrag nicht mehr sauber
+3. Windows-Partition verkleinern → freien Bereich erzeugen:
+   - **Notebook:** mindestens 80 GB frei
+   - **PC:** mindestens 150 GB frei
+   - **Werkstatt:** mindestens 60 GB frei
+4. **Schnellstart** in Windows deaktivieren (`Energieoptionen → Auswählen, was beim Drücken …`), sonst bleibt das NTFS in einem halben Zustand und Grub kann es nicht sicher zeigen
+5. **BIOS/UEFI**:
+   - Boot-Mode: UEFI (nicht Legacy)
+   - **Secure Boot:** anlassen, Debian 13 unterstützt es out-of-the-box
+   - Fast Boot: aus (sonst kein USB-Boot)
+
+## 2. Boot-Stick erstellen
+
+ISO: `firmware-13.x.x-amd64-netinst.iso` von <https://cdimage.debian.org/cdimage/firmware/>  
+> Die **firmware**-Variante ist Pflicht — sonst fehlen WLAN-/Grafik-Treiber.
+
+Stick (mind. 2 GB) schreiben:
+- Windows: [Rufus](https://rufus.ie) → "DD-Image" Modus
+- Linux: `sudo dd if=firmware-13.x.x-amd64-netinst.iso of=/dev/sdX bs=4M status=progress oflag=sync`
+
+## 3. Debian-Installation
+
+Vom Stick booten (BIOS-Boot-Menu, meist F12/F10/Esc).
+
+### Wichtige Antworten im Installer
+
+| Schritt | Antwort |
+|---|---|
+| Sprache | Deutsch |
+| Tastatur | Deutsch |
+| Hostname | `notebook` / `pc` / `werkstatt` |
+| Domain | `egonlebt.lan` |
+| Root-Passwort | **leer lassen** → Tom bekommt automatisch `sudo` |
+| Benutzer | Tom Egon (`tom`) |
+| Zeitzone | Europe/Berlin |
+
+### Partitionierung
+
+**Notebook (mit LUKS):**
+- Methode: **Geführt — gesamten Laufwerk verwenden, mit verschlüsseltem LVM**
+- Wenn der Installer die Methode wegen Windows nicht anbietet → **Manuell**:
+  - ESP existiert bereits (Windows) — wiederverwenden, mountpoint `/boot/efi`
+  - 1 GB unverschlüsselte `/boot` (ext4)
+  - Rest: LUKS-Container → LVM:
+    - `lv-root` 30 GB ext4 → `/`
+    - `lv-home` Rest ext4 → `/home`
+    - `lv-swap` 8 GB Swap (= RAM-Größe für Hibernate)
+
+**PC + Werkstatt (ohne LUKS):**
+- Methode: **Manuell**
+  - ESP wiederverwenden, mountpoint `/boot/efi`
+  - 30 GB ext4 → `/`
+  - Rest ext4 → `/home`
+  - Swap-File statt -Partition (per `systemd` nachgereicht, einfacher)
+
+### Paketauswahl (Software-Auswahl)
+
+**Nur ankreuzen:**
+- ✅ SSH-Server
+- ✅ Standard-Systemwerkzeuge
+
+**Abwählen:**
+- ❌ Debian-Desktop, GNOME, KDE — kommt alles über Ansible
+
+So bleibt die Basis schlank (~1.2 GB).
+
+### GRUB
+
+- "GRUB auf primärem Laufwerk installieren" → **Ja**
+- Nach Reboot: GRUB zeigt Debian + "Windows Boot Manager"
+
+## 4. Erstboot (vor Ansible)
+
+Auf der Zielmaschine einloggen (Konsole), dann:
+
+```bash
+# IP merken
+ip -4 addr show | grep inet
+# SSH läuft schon (Paketauswahl). Test vom Admin-Rechner:
+# ssh tom@<host>.egonlebt.lan
+```
+
+Auf dem **Admin-Rechner** (Windows mit OpenSSH, oder schon installierter Linux):
+
+```bash
+# Public Key kopieren — danach kein Passwort mehr nötig
+ssh-copy-id tom@notebook.egonlebt.lan
+```
+
+Damit ist die Basis bereit für den Ansible-Run → `docs/postinstall-ansible.md`.
+
+## 5. Sanity Checks
+
+```bash
+ssh tom@notebook.egonlebt.lan 'cat /etc/debian_version'   # → 13.x
+ssh tom@notebook.egonlebt.lan 'sudo -n true && echo sudo-ok'
+ssh tom@notebook.egonlebt.lan 'efibootmgr -v | grep -E "debian|Windows"'
+```