ops: update.sh — Update im LXC in einem Befehl

Kapselt git pull + Deploy-Config + Neustart, damit die Migrationsschritte
nicht mehr per Hand nötig sind:
- kong.yml vor dem Pull auf die Vorlage zurücksetzen (kein Konflikt), danach
  CORS-Origin aus SITE_URL rendern
- chown -R 1000:1000 (non-root-Container darf schreiben)
- git safe.directory für root auf dem uid-1000-Repo
- docker compose up -d --build + kong reload + Healthcheck

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

cms/README.md

@@ -66,6 +66,19 @@ bash <(curl -fsSL https://git.kgva.ch/karim/OPENBUREAU/raw/branch/main/cms/proxm
 Fragt interaktiv nur Storage/Bridge/IP ab (Enter = Default). Kein Token nötig.
 `GIT_TOKEN` nur setzen, wenn das CMS per `GIT_PUBLISH` nach Gitea zurückschreiben soll.
 
+### Updaten (bestehender LXC)
+
+Nicht `git pull` von Hand — das vergisst CORS-Origin (kong.yml), Dateirechte
+(non-root) und den Neustart. Stattdessen im Container:
+
+```bash
+bash /opt/openbureau/cms/update.sh
+```
+
+Das macht: `git pull` → CORS-Origin aus `SITE_URL` in `kong.yml` rendern →
+`chown -R 1000:1000` → `docker compose up -d --build` + kong neu laden →
+Healthcheck. (Beim allerersten Mal das Skript per einmaligem `git pull` holen.)
+
 ### Manuell (oder im Container)
 
 1. `cp .env.example .env`