feat: Golden Image auf Debian trixie umstellen, WLAN-Abdeckung erweitern

trixie statt bookworm: bookworm ist inzwischen oldstable, trixie liefert
ausserdem von Haus aus einen neueren Kernel - direkt relevant fuers Ziel
'moeglichst breite Hardwareunterstuetzung'. Secure-Boot-Kette
(shim-signed/grub-efi-amd64-signed) funktioniert in beiden Suiten
identisch, kein Unterschied dort.

WLAN-Paketliste erweitert: firmware-brcm80211 (Broadcom, vorher nicht
abgedeckt), wireless-regdb (Regulatory-Datenbank - ohne sie
Kanal-/Sendeleistungs-Einschraenkungen, leicht zu uebersehen),
wpasupplicant explizit (kam vorher nur transitiv mit), iw + rfkill
(Diagnose/Kontrolle).

Noch nicht neu gebaut/getestet - naechster Schritt.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

scripts/build_golden_image.sh

@@ -24,14 +24,20 @@ set -Eeuo pipefail
 
 usage() {
     echo "Usage: $0 <output.tar.zst> [suite] [arch]" >&2
-    echo "  suite: Debian-Suite fuer debootstrap (Standard: bookworm)" >&2
+    echo "  suite: Debian-Suite fuer debootstrap (Standard: trixie)" >&2
     echo "  arch:  Zielarchitektur (Standard: amd64)" >&2
 }
 
 OUTPUT_FILE="${1:-}"
-# bookworm = Debian 12, dieselbe Basis wie der Build-Host selbst (LMDE 6
-# "faye"), dadurch keine Cross-Suite-Ueberraschungen bei apt/debootstrap.
-SUITE="${2:-bookworm}"
+# trixie (Debian 13) statt bookworm (30.08.2026 umgestellt): bookworm ist
+# inzwischen oldstable, trixie liefert ausserdem von Haus aus einen
+# neueren Kernel - direkt relevant fuers Ziel "moeglichst breite
+# Hardwareunterstuetzung", staerker als der Secure-Boot-Aspekt (die
+# shim-signed/grub-efi-amd64-signed-Kette funktioniert in beiden Suiten
+# identisch, kein Unterschied). debootstrap braucht dafuer keine
+# Uebereinstimmung mit der Suite des Build-Hosts (hier: LMDE 6/bookworm-
+# basiert) - das Bootstrapping laeuft komplett isoliert im chroot.
+SUITE="${2:-trixie}"
 ARCH="${3:-amd64}"
 MIRROR="http://deb.debian.org/debian"
 
@@ -122,6 +128,22 @@ echo "==> Pakete im chroot installieren (Kernel, Firmware, Netzwerk, SSH)"
 # Paketliste ist ein erster, plausibler Startpunkt - wird nach dem ersten
 # echten Boot-Test (Phase 1 des Plans) voraussichtlich noch angepasst,
 # je nachdem was auf der Testhardware/-VM tatsaechlich fehlt.
+#
+# WLAN-Abdeckung bewusst breit (30.08.2026 ergaenzt) - die gaengigen
+# Chip-Hersteller bei Consumer-PCs/Notebooks sind ueberschaubar (Intel,
+# Realtek, MediaTek, Broadcom, Qualcomm Atheros):
+# - firmware-iwlwifi/firmware-realtek/firmware-atheros: je Hersteller
+# - firmware-brcm80211: Broadcom (BCM43xx) - haeufig in aelteren/gewissen
+#   OEM-Notebooks, wurde vorher NICHT explizit abgedeckt
+# - firmware-misc-nonfree: Sammelpaket, deckt u.a. MediaTek-Restfaelle ab
+# - wireless-regdb: die Regulatory-Datenbank fuers Funkband - ohne sie
+#   schraenkt der Kernel Kanaele/Sendeleistung ein bzw. verweigert
+#   bestimmte Betriebsmodi, leicht zu uebersehen, da WLAN grundsaetzlich
+#   noch "geht" (nur eingeschraenkter/non-compliant)
+# - wpasupplicant: WPA/WPA2/WPA3-Handshake - kam bisher nur transitiv als
+#   NetworkManager-Abhaengigkeit mit, jetzt explizit fuer Klarheit
+# - iw, rfkill: Diagnose/Kontrollwerkzeuge (Funk-Kill-Switch, manuelle
+#   Fehlersuche) - kein Laufzeit-Erfordernis, aber Standardausstattung
 chroot "${WORK_DIR}" /bin/bash -c '
     set -e
     export DEBIAN_FRONTEND=noninteractive
@@ -132,7 +154,12 @@ chroot "${WORK_DIR}" /bin/bash -c '
         firmware-realtek \
         firmware-iwlwifi \
         firmware-atheros \
+        firmware-brcm80211 \
         firmware-misc-nonfree \
+        wireless-regdb \
+        wpasupplicant \
+        iw \
+        rfkill \
         network-manager \
         openssh-server \
         sudo \