feat(PROJ-66): Keyfile-Escrow-Hinweis bei Installation ausgeben

install.sh gibt das frisch generierte Keyfile nach der Erzeugung einmalig
aus (beide Installationspfade), mit Aufforderung es sofort in einen
Passwort-Safe (Bitwarden) zu verschieben. Backup ist ohne dieses Keyfile
wertlos — der Hinweis darf nicht vom "mach ich später" verschluckt werden,
da der Wert danach nirgends mehr sichtbar abrufbar ist.

features/PROJ-66-backup-strategie.md

@@ -269,6 +269,17 @@ selbst nicht verfügbar oder kompromittiert ist.
 - Kein Blocker für die restlichen ACs — unabhängig von PBS/App-Backup
   umsetzbar, kleiner Zusatzschritt (Bitwarden-Eintrag anlegen, kein Code).
 
+**Umgesetzt (2026-07-04):** `install.sh` gibt das frisch generierte Keyfile
+direkt nach der Erzeugung einmalig auf der Konsole aus (`print_keyfile_escrow_warning()`,
+beide Installationspfade — Docker- und Native-Modus), mit deutlichem Hinweis,
+den Wert sofort in einen Passwort-Safe zu verschieben. Verhindert, dass der
+Escrow-Schritt vom Bequemlichkeitsgrund "mach ich später" verschluckt wird —
+der Wert steht sonst nirgends mehr sichtbar zur Verfügung, sobald die
+Installations-Shell geschlossen ist (Keyfile-Datei selbst ist `chmod 400`,
+nicht mehr casual auslesbar). Bereits bestehende Installationen (Keyfile
+existiert schon) bekommen die Ausgabe NICHT erneut — dafür manuell
+`cat /etc/archivmail/keyfile` einmalig ausführen und in Bitwarden nachtragen.
+
 ## Aufbewahrungsdauer / Rotation
 
 - Vorschlag: Tägliche Backups, Rotation nach Generationen-Prinzip: