Umstellung in Team-Ordner und „Schlüssel erneuern“ (F10)

Zwei Abläufe, beide nur mit Krywerk-Clients (krywerk-hub, krywerk-mount, Krywerk-App), gegen Krywerk Server und Cryptomator Hub (nur Hub-Standard-Endpunkte: Tresor anlegen, Mitglieder, Freigaben, Archiv).

1. Boxcryptor-Ordner → Team-Ordner

Wie die Umstellung klassisch → modern (HANDOFF 7.5 C/D), nur ist das Ziel ein Team-Ordner statt eines Passwort-Tresors:

1. Ziel anlegen: HubSession::create_vault(ziel, name) (leerer/neuer Ordner, Wiederherstellungsschlüssel wird einmal angezeigt, F9) – oder einen vorhandenen Team-Ordner wählen (Entsperren über den Server).
2. Umstellungslaufwerk Overlay<Vault, CmVault>: unten Boxcryptor (Schlüsseldatei + Passwort), oben der Team-Ordner (Masterkey vom Server, CmVault::open_with_masterkey). Neues/Geändertes landet im Team-Ordner, „Alles umstellen“ überträgt den Rest, „Abschließen“ macht daraus einen reinen Team-Ordner.
3. Mitglieder aufnehmen/freigeben wie bei jedem Team-Ordner (vorher oder nachher).

CLI: krywerk-mount <boxcryptor-ordner> --keyfile K --upgrade-to <team-ordner> erkennt am hub-Kopf von vault.cryptomator, dass das Ziel ein Team-Ordner ist, und entsperrt ihn über den Server (Browser-Anmeldung) statt mit Passwort. Fehlt das Ziel: --upgrade-to-team <server-url> --name <Name> legt es an. --migrate-all wie gehabt. Konfiguration der App: VaultConfig.upgradeTo + upgradeToHubId (Team-Ordner-ID des Ziels).

2. „Schlüssel erneuern“ (neuer Masterkey, gleiche Mitglieder)

Zweck: Nach dem Austritt einer Person mit Risiko (sie kennt den alten Masterkey) bekommt der Team-Ordner einen neuen Masterkey. Format 8 kennt keine Rotation, also: neuer Tresor, Inhalt umkopieren, austauschen. Nur Verwaltende (OWNER). Ehrlich kommunizieren: alte Kopien (Papierkorb/Versionen des Cloud-Speichers, lokale Kopien der ausgetretenen Person) bleiben mit dem alten Schlüssel lesbar.

Ablauf (ordner = Team-Ordner, z. B. in OneDrive geteilt; Arbeitsordner liegen neben ihm, damit die Freigabe des Cloud-Ordners erhalten bleibt):

1. Prüfen: OWNER, Ordner ist ein Team-Ordner, nicht archiviert; alten Masterkey holen (eigener Zugang).
2. Journal ordner/../.<name>.krywerk-rekey.json schreiben (Zustand, alte/neue Tresor-ID, Pfade) – ermöglicht Fortsetzen nach Abbruch (--fortsetzen) bzw. sauberes Zurückrollen.
3. Neuen Team-Ordner anlegen in ordner/../.<name>.krywerk-neu (create_vault, gleicher Name, gleiche Beschreibung; neuer Wiederherstellungsschlüssel → am Ende anzeigen).
4. Mitglieder übernehmen: alle direkten Mitglieder (Personen und Gruppen) mit ihren Rollen (set_member), außer den beim Aufruf ausgeschlossenen (--ohne <wer>, typisch die ausgetretene Person); dann grant_pending für alle mit Konto. Notfallzugriff (F9) neu einrichten, falls er beim alten Ordner eingerichtet war (gleiche Schwelle, gleiches Gremium ohne Ausgeschlossene; zu wenige → Hinweis, nicht einrichten).
5. Inhalt kopieren: kw_vault::copy::copy_tree(alt, neu), dann compare_listing (Namen, Arten, Größen). Fehler → Abbruch, neuer Tresor wird verworfen (Server: löschen; lokal: Arbeitsordner löschen), alter bleibt unverändert.
6. Austauschen (lokal, nur Umbenennungen im selben Dateisystem): a) ordner/vault.cryptomator und ordner/d → ordner/../.<name>.krywerk-alt/ verschieben, b) neu/vault.cryptomator und neu/d → ordner/ verschieben, leeren Arbeitsordner neu entfernen. Das Journal hält den Zwischenstand; ein Abbruch zwischen a) und b) wird beim Fortsetzen vollendet.
7. Alten Tresor auf dem Server archivieren (Entsperren → 410 für alle, die noch die alte vault.cryptomator haben); Zugriff der Ausgeschlossenen ist im neuen Tresor nie entstanden.
8. Alte Daten …krywerk-alt löschen (Standard) bzw. mit --alte-behalten liegen lassen; Journal löschen.

Während des Laufs darf der Team-Ordner nirgends eingehängt sein (CLI prüft eigene Einhängungen der App über die Konfiguration nicht – Hinweis an den Nutzer; die App hängt ihn vorher selbst aus). Andere Mitglieder, die den Ordner während des Kopierens offen haben und schreiben, verlieren diese Änderungen – deshalb vorher ankündigen (App/CLI fragen nach Bestätigung). Der Cloud-Speicher synchronisiert danach den kompletten neuen Inhalt.

CLI: krywerk-hub schluessel-erneuern <ordner> [--ohne <wer>…] [--alte-behalten] [--fortsetzen]. App: „Verwalten → Schlüssel erneuern …“ mit Rückfrage, Fortschritt, Anzeige des neuen Wiederherstellungsschlüssels.