firewall: ufw-Deaktivierung ueberspringen statt fatal zu scheitern wenn nie installiert

Live gefunden (19.09.2026, gleicher Testlauf wie die guest-session/git/
flatpak-Funde): "Failed to find required executable 'ufw'" auf einem
Geraet, auf dem das firewall-Merkmal nie ausgewaehlt war - ufw wurde
dementsprechend nie installiert, und "deaktivieren" (das ohnehin nie aktiv
war) sollte ein reiner No-op sein statt fatal zu scheitern. Gleiches
Stat-Guard-Muster wie roles/guest-session/.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01DWKevK2QUK5tsGmqfSD6Yy

roles/firewall/tasks/main.yml

@@ -53,10 +53,23 @@
     mode: "0644"
   when: tuxflotte_state == "present"
 
+# Live gefunden (19.09.2026, erster QEMU-E2E-Testlauf mit dem schlanken
+# "debian-13-base"-Backend): auf einem frischen Geraet, auf dem "firewall"
+# nie ausgewaehlt war, ist ufw nie installiert worden - das
+# community.general.ufw-Modul scheitert dann fatal ("Failed to find
+# required executable 'ufw'"), obwohl "deaktivieren, das ohnehin nie aktiv
+# war" ein reiner No-op sein sollte. Genau wie bei roles/guest-session/:
+# vorher pruefen statt blind aufrufen.
+- name: Check whether ufw is installed
+  ansible.builtin.stat:
+    path: /usr/sbin/ufw
+  register: tuxflotte_ufw_binary
+  when: tuxflotte_state == "absent"
+
 - name: ufw deaktivieren (Auftrag abgewählt)
   community.general.ufw:
     state: disabled
-  when: tuxflotte_state == "absent"
+  when: tuxflotte_state == "absent" and tuxflotte_ufw_binary.stat.exists
 
 # Live beim Testen gefunden (10.09.2026): "deaktivieren" allein liess das
 # Paket installiert stehen - inkonsistent zum Rest des Katalogs, wo