Ich hab die Ursache gefunden.
Das .docker/config.json file wurde erst erzeugt, als wir auf EPL gewechselt sind.
Der Mount für das file für watchtower war aber schon zuvor sichtlich da.
Da es weder ein Update für Watchtower selbst gab seither, noch sich die config im docker-compose.yml geändert hat, haben sämtliche Aktionen wie docker-compose up -d oder auch Server Reboots keinen rebuild vom watchtower-container ausgelöst. Also er hat schlichtweg keine aktuelle config.json im container bekommen und somit keine credentials.
Ein bewusster rebuild vom watchtower (mit einem veränderten command --run-once) hat sofort das neue Update von gestern gezogen.
Take-away: Vielleicht sollte das use-epl.sh script auch den Watchtower neu hochfahren, nachdem die credentials eingetragen wurden.
Case closed.
Danke, Markus