docs: M1-Bestandsaufnahme – 3 Punkte bereits vorhanden, SQLCipher-Lücke offen

Key-Backup-Flows und Geräteverwaltung waren schon implementiert (nur nicht
abgehakt). Neue Sicherheitslücke dokumentiert: sqlcipher_flutter_libs ist
eine ungenutzte Abhängigkeit, die Krypto-DB liegt unverschlüsselt vor.
Bewusst nicht blind gefixt (Migrationsrisiko für Bestandsinstallationen),
Frage an Bernd zur Priorität ergänzt.

ROADMAP.md

@@ -33,12 +33,25 @@ Punkte abhaken (`[x]`), wenn erledigt UND in `PROGRESS.md` protokolliert.
       (z. B. fehlende Megolm-Schlüssel/Key-Sharing) – dann `docs/NOTIFICATIONS.md`
       + Memory „Pyramid Push" erneut konsultieren und die dort gelisteten 3
       Fallstricke der Hintergrund-Entschlüsselung gegenprüfen.
-- [ ] Sichere Speicherung von Access-Token & Krypto-DB prüfen (secure storage / sqlcipher korrekt?)
-- [ ] Key-Backup einrichten-Flow: Recovery-Key erzeugen, verständlich erklären, zum Sichern zwingen
-- [ ] Key-Backup wiederherstellen-Flow: nach Login auf neuem Gerät alte Nachrichten entschlüsseln
-- [ ] Logout-Schutz: Warnung mit Klartext-Folgen, wenn Key-Backup fehlt
-- [ ] Geräte-/Sessionverwaltung in den Einstellungen (Liste, Verifizieren, Abmelden)
+- [ ] **Sichere Speicherung von Access-Token & Krypto-DB: LÜCKE GEFUNDEN.**
+      `sqlcipher_flutter_libs` steht zwar in `pubspec.yaml`, wird aber nirgends
+      benutzt – `matrix_client.dart` und `background_push.dart` öffnen die
+      `pyramid.sqlite` (Access-Token, gepickelter Olm-Account, Nachrichten) über
+      den normalen `sqflite`/`sqflite_common_ffi`-Factory, also **unverschlüsselt**
+      auf der Platte. Bewusst NICHT blind auf dem Pi gefixt: eine Umstellung auf
+      SQLCipher braucht eine Migration für bereits bestehende Klartext-DBs
+      (Utas Gerät!) – ohne Testgerät hier zu riskant für „Kein Datenverlust".
+      Siehe PROGRESS.md 2026-07-03 + Frage an Bernd.
+- [x] Key-Backup einrichten-Flow: bereits vorhanden (`bootstrap_dialog.dart`,
+      wird automatisch getriggert wenn Cross-Signing fehlt, `app_shell.dart`)
+- [x] Key-Backup wiederherstellen-Flow: bereits vorhanden (`bootstrap_dialog.dart`,
+      `BootstrapState.askUnlockSsss` fragt nach Recovery-Key auf neuem Gerät)
+- [x] Logout-Schutz: Warnung mit Klartext-Folgen, wenn Key-Backup fehlt (b5762ea)
+- [x] Geräte-/Sessionverwaltung in den Einstellungen: bereits vorhanden
+      (`_SessionsSection` in `settings_modal.dart` – Liste, Umbenennen, Verifizieren
+      per SAS/QR, Abmelden, Massen-Abmeldung mit Passwort-Reauth)
 - [ ] Härtetest dokumentieren: Login → Nachrichten → Logout → Login neu → alles noch lesbar
+      (gehört zum ausstehenden PC-Praxistest der beiden Bugfixes oben)
 
 ## M2 – Das große Refactoring (erst nach M0/M1!)