Personalisierung: verschlüsselter Home-Ordner und Wiederherstellungsschlüssel

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

kunden-admin/personalisierung.md

@@ -99,6 +99,16 @@ Bis zum Neustart (oder zum nächsten Abgleich) gilt das alte Passwort. Die
 Geräteseite zeigt „wartet auf das Gerät“, danach „Passwort zuletzt
 zurückgesetzt am …“.
 
+### Verschlüsselter Home-Ordner und Zurücksetzen
+
+Ist der Home-Ordner der Person verschlüsselt (auf der Geräteseite 🔒), hängt
+er an ihrem Passwort. Nach jedem Zurücksetzen, ob durch dich oder per Link,
+braucht sie bei der ersten Anmeldung einmal ihren
+**Wiederherstellungsschlüssel**. Den hat nur sie, weder du noch Tuxflotte.
+Ohne ihn sind ihre Dateien auf dem Gerät verloren; bleibt dann nur, das Gerät
+neu zu personalisieren. Wie die Person vorgeht, steht in der
+[Anleitung für Nutzer](../nutzer/geraet-personalisieren.md#verschlüsselter-home-ordner).
+
 ### WLANs und gespeicherte Passwörter
 
 WLANs, die die Person selbst verbindet (etwa zu Hause), speichert das Gerät
@@ -113,6 +123,11 @@ ist. Nach einem Zurücksetzen können sie fehlen.
 
 ## Hinweise
 
+- **Home-Verschlüsselung:** Ob die Home-Ordner persönlicher Konten
+  verschlüsselt werden (aus, die Person wählt, Pflicht), stellt Tuxflotte je
+  Organisation ein. Sprich uns an. Die Einstellung gilt für Konten, deren
+  Einladung danach eingelöst wird. Verschlüsselte Konten brauchen bei einem
+  Passwort-Reset den Wiederherstellungsschlüssel der Person (siehe oben).
 - **Erlaubte E-Mail-Adressen:** Unter **Organisation** kannst du E-Mail-Domänen
   eintragen (etwa die deiner Schule). Dann nimmt das Adressfeld nur Adressen
   dieser Domänen an. Ohne Eintrag ist jede Adresse erlaubt.

nutzer/geraet-personalisieren.md

@@ -1,6 +1,6 @@
 # Ein Gerät für dich einrichten (Personalisierung)
 
-*Stand: 25.10.2026*
+*Stand: 28.10.2026*
 
 Die Verwaltung deiner Einrichtung kann dir auf einem Gerät ein eigenes Konto
 mit Passwort einrichten. Deine Dateien und Einstellungen bleiben dann auf dem
@@ -18,13 +18,52 @@ Beispiel am Handy.
    Du kannst ihn übernehmen oder ändern: Kleinbuchstaben, Ziffern, Punkt,
    Binde- und Unterstrich; beginnt mit einem Buchstaben, z. B. `m.muster`.
 3. **Passwort:** mindestens 8 Zeichen, zweimal eingeben →
-   **„Konto einrichten“**.
+   **„Konto einrichten“**. Steht darunter **„Verschlüsselter Home-Ordner“**,
+   lies den Abschnitt [Verschlüsselter Home-Ordner](#verschlüsselter-home-ordner).
 4. **Gerät neu starten** und **bis zu 2 Minuten warten**. Die Seite am Handy
    zeigt „Fertig“, sobald das Gerät dein Konto eingerichtet hat.
 5. Am Anmeldebildschirm deinen Anmeldenamen wählen und mit deinem Passwort
    anmelden. Dein Konto erkennst du am **grünen Hintergrund**; den kannst du
    danach ändern, wie du möchtest.
 
+## Verschlüsselter Home-Ordner
+
+Wenn deine Einrichtung das eingestellt hat, verschlüsselt das Gerät deine
+Dateien. Ohne dein Passwort kommt dann niemand an sie heran, auch nicht die
+Verwaltung oder wer die Festplatte ausbaut. Darf man wählen, steht beim
+Einrichten der Haken **„Home-Ordner nicht verschlüsseln“**; ohne Haken wird
+verschlüsselt. Ändern lässt sich das später nur mit einem neuen Konto.
+
+**Bei der ersten Anmeldung** zeigt das Gerät deinen
+**Wiederherstellungsschlüssel**, sechs Gruppen zu vier Zeichen, etwa
+`K7QM-…`. Er wird nur dieses eine Mal angezeigt.
+
+- **„Drucken oder als PDF speichern“** öffnet eine Seite zum Ausdrucken.
+  Ein PDF gehört nicht auf dieses Gerät, sondern zum Beispiel auf einen
+  USB-Stick oder ins Postfach. Abschreiben geht genauso.
+- Bewahre ihn sicher und **getrennt vom Gerät** auf, wie eine PIN-Mitteilung
+  der Bank. Wer Gerät und Schlüssel hat, kommt an deine Dateien.
+- **„Ich habe ihn aufbewahrt“**: Zur Kontrolle tippst du eine der Gruppen
+  ab. Danach ist der Schlüssel nur noch bei dir.
+- **„Später“** zeigt ihn bei der nächsten Anmeldung wieder.
+
+Der Schlüssel gilt nur für dieses Gerät. Sichere wichtige Dateien trotzdem
+regelmäßig, zum Beispiel in der Cloud deiner Einrichtung: Ist der Schlüssel
+weg und das Passwort vergessen, sind die Dateien verloren.
+
+**Nach einem neuen Passwort** (siehe [Passwort vergessen](#passwort-vergessen)):
+
+1. Mit dem **neuen Passwort** anmelden. Das Gerät lehnt einmal ab und bittet
+   um den Wiederherstellungsschlüssel.
+2. Den **Schlüssel in das Passwortfeld** eingeben, mit oder ohne
+   Bindestriche, Groß- und Kleinschreibung egal. Das Gerät meldet „Dein
+   Home-Ordner ist wiederhergestellt“.
+3. Jetzt wieder mit dem **neuen Passwort** anmelden.
+
+Zwischen Schritt 1 und 2 hast du 15 Minuten, sonst beginnt es wieder bei
+Schritt 1. Im Browser gespeicherte Passwörter können danach fehlen (siehe
+unten).
+
 ## Wenn etwas nicht klappt
 
 - **Keine Mail bekommen:** im Spam-Ordner nachsehen. Sonst die Verwaltung