feat(satellite): ssh.exec — ARIA fuehrt Kommandos per SSH auf Geraeten aus

Neuer Credential-Typ 'ssh' (Benutzer + Passwort ODER privater Key, Port) und
Aktion ssh.exec (params: ip, cmd). paramiko-Client; grosse Ausgaben werden wie
bei http.get gefenstert (contains/offset/max_chars gemeinsam via _window_text),
Antwort mit exit_code + stdout + stderr. Auth kommt aus dem Credential-Store,
ARIA muss keine Passwoerter mitgeben.

- satellite: _do_ssh + _ssh_load_key (RSA/Ed25519/ECDSA/DSS aus String),
  ssh.exec in _control + Allowlist, 'ssh' in beide Cred-Typ-Listen; paramiko
  in requirements; .env.example ergaenzt.
- diagnostic: SSH-Sektion im Credentials-Modal (User/Port/Passwort/Key) +
  Save-Logik (User + Passwort|Key).
- brain: satellite_command-Tool um ssh.exec erweitert.

Laeuft ueber den bestehenden sat_command/sat_result-Pfad — keine RVS-Aenderung.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

aria-brain/agent.py

@@ -1233,9 +1233,13 @@ META_TOOLS = [
                 "(params={'ip':'...','oid':'...','community':'public'}) fuer beliebige "
                 "SNMP-Werte. 'fritzbox.info' / 'fritzbox.hosts' (params={'ip':'<fritzbox>'}) "
                 "— Internetverbindung/Datenrate/externe IP bzw. verbundene Geraete (braucht "
-                "hinterlegten FritzBox-Login). Fuer Geraete mit hinterlegten Zugangsdaten "
-                "(community/v3/Login) nutzt der Satellit diese automatisch — Du musst keine "
-                "Passwoerter mitgeben. "
+                "hinterlegten FritzBox-Login). 'ssh.exec' (params={'ip':'...','cmd':'...'}) "
+                "— fuehrt EIN Shell-Kommando per SSH auf einem Geraet aus (Server, Pi, NAS) "
+                "und gibt exit_code + stdout (gefenstert: contains/offset/max_chars) + "
+                "stderr zurueck; braucht hinterlegte SSH-Credentials (Benutzer + Passwort "
+                "oder Key). Fuer Geraete mit hinterlegten Zugangsdaten "
+                "(community/v3/Login/SSH) nutzt der Satellit diese automatisch — Du musst "
+                "keine Passwoerter mitgeben. "
                 "'http.get'/'http.post' (params={'url':'...'}) fuer lokale Webhooks UND "
                 "um Geraete-Statusseiten zu lesen (Fallback fuer Tinte, NAS ...). Bei grossen "
                 "Seiten NICHT blind paginieren: setze params['contains'] (String oder "