Wartung (B10): Restart-Allowlist vereinheitlichen

Der ServicesCard-"Anzeige- statt Unit-Name"-Bug ist behoben (Frontend nutzt
durchgehend x.unit). Der echte Rest-Fehler lag in der ZWEITEN Restart-Wahrheit:
/api/system/restart (system.py) + das MCP-Tool restart_service hatten eine
veraltete Allowlist ohne llama-swap (Engine) und hermes-terminal, dafuer mit
Geist-Eintrag hermes-webui. Ein Engine-Neustart per Sprache/MCP schlug daher mit
"nicht erlaubt" fehl.

Fix: /api/system/restart delegiert jetzt an services.maintenance.restart_service
(EINE Allowlist-Wahrheit, kennt System- via sudo -n UND User-Dienste, wird auch
von der UI genutzt). MCP-Tool-Docstring auf die echten Dienste korrigiert.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

mcp/mcp_mc.py

@@ -226,8 +226,9 @@ def list_services() -> str:
 
 @mcp.tool()
 def restart_service(service: str) -> str:
-    """Startet einen erlaubten Dienst neu
-    (mission-control-2 | hermes-gateway | hermes-webui | mem0-service | voice-service)."""
+    """Startet einen erlaubten Dienst neu. Erlaubt: llama-swap (Engine) | mission-control-2 |
+    hermes-gateway | hermes-terminal | mem0-service | voice-service. Der Engine-Neustart
+    (llama-swap = System-Dienst) kann das Box-Passwort verlangen, wenn kein NOPASSWD gesetzt ist."""
     res = _post("/api/system/restart", {"service": service})
     return f"Restart {service}: {'ok' if res.get('ok') else 'Fehler — ' + res.get('err', '')}"