feat(selbstauskunft): Mitarbeiter sehen ihre eigenen Geraete (#55)

„Was ist eigentlich mit meinem Notebook passiert?“ musste bisher ein
Techniker nachsehen. Ein Mitarbeiter kann die Arbeiten an **seinen**
Geraeten jetzt selbst ansehen — mit der fuenften Rolle MITARBEITER,
zugeordnet beim Anmelden ueber den UPN.

Was er sieht, sind Titel, Zeitraum und Status. Keine Schritte, keine
Notizen, keine Kommentare, keine Anhaenge: in einem Lauf stehen
Arbeitsnotizen ueber Menschen und Befehle mit Platzhaltern fuer
Zugangsdaten. Eine Selbstauskunft ist keine Akteneinsicht, und das haelt
nicht die Seite fest, sondern das Lesemodell — eine Seite, die filtert,
ist eine Seite, die es vergessen kann.

`selbstauskunft` ist ein **Ersatz** fuer `lesen` und kein Zusatz; auch
ein ADMIN hat es nicht. Ein zweiter Weg zu denselben Daten waere eine
zweite Stelle, an der jemand die Einschraenkung auf die eigene Person
vergisst. Die Datenbank verlangt das sogar: ein CHECK haelt fest, dass
Rolle und Zuordnung zusammengehoeren, in beide Richtungen.

Ein mehrdeutiger UPN wird abgewiesen und protokolliert. Zwei Kunden
koennen dieselbe Person fuehren; ein findFirst entschiede nach
Sortierung darueber, wessen Geraete jemand sieht.

**Verhaltensaenderung:** wer sich anmeldet und in keiner Rollengruppe
steht, bekommt nicht mehr automatisch LESER — also nicht mehr
Lesezugriff auf alle Laeufe des Hauses. Das greift nur mit
konfigurierten OIDC_GROUP_*; ohne sie bleibt alles wie vorher, denn ohne
abgebildete Gruppen laesst sich Techniker nicht von Mitarbeiter
unterscheiden.

Nebenbei behoben: `staerksteRolle` benutzte LESER als Startwert und
damit als Untergrenze — mit einer Rolle darunter lieferte sie mehr
Rechte als uebergeben. Gefunden von einem Test, der seit #007
unveraendert dasteht.

Closes #55

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

docs/betrieb/authentik.md

@@ -58,9 +58,16 @@ Lege in authentik vier Gruppen an und trage die Mitglieder ein:
 | `lz-redakteur` | `REDAKTEUR` | Vorlagen anlegen, bearbeiten, veröffentlichen |
 | `lz-techniker` | `TECHNIKER` | Läufe starten, abarbeiten, abschließen, archivieren; Geräte pflegen |
 | `lz-leser` | `LESER` | nur lesen |
+| *(keine davon)* | `MITARBEITER` | **nur die eigenen Geräte**, siehe unten |
 
 Ist jemand in mehreren Gruppen, gewinnt die stärkere Rolle.
 
+> **Die fünfte Zeile hat keine Gruppe, und das ist Absicht.** Wer sich anmeldet und in keiner der
+> vier Gruppen steht, ist für Laufzettel ein Mitarbeiter des Hauses und bekommt die
+> Selbstauskunft — vorausgesetzt, er lässt sich einer Person im Verzeichnis zuordnen. Eine eigene
+> Gruppe dafür anzulegen hieße, jeden Mitarbeiter einzeln einzutragen; „alle übrigen“ ist genau die
+> Menge, die gemeint ist.
+
 ## 5. Laufzettel konfigurieren
 
 In der `.env`:
@@ -93,11 +100,47 @@ docker compose up -d
 - Ein unbekannter Benutzer wird beim ersten Login **angelegt** (JIT-Provisioning)
 - Die Rolle wird bei **jedem** Login aus `groups` neu gesetzt — eine Änderung in authentik greift
   ab der nächsten Anmeldung
-- Ist der Benutzer in keiner der vier Gruppen, bekommt er `LESER`
+- Ist der Benutzer in keiner der vier Gruppen, versucht Laufzettel, ihn über seinen **UPN** einer
+  Person im Verzeichnis zuzuordnen. Klappt das, bekommt er `MITARBEITER` und sieht nur seine
+  eigenen Geräte; klappt es nicht, wird die Anmeldung **abgewiesen** — mit einer Begründung auf der
+  Anmeldeseite
+- **Bis Version 0.2.0 bekam er stattdessen `LESER`**, also Lesezugriff auf alle Läufe des Hauses.
+  Wer das Verhalten von damals braucht, trägt die betreffenden Leute in `lz-leser` ein
 - Wer vor dem Login eine bestimmte Seite aufgerufen hat (z. B. `/t/LZ-7K3F9Q` nach dem Scannen
   eines QR-Codes), landet danach genau dort
 
-## 7. Notfallzugang
+## 7. Selbstauskunft für Mitarbeiter
+
+Ein Mitarbeiter, der in keiner Rollengruppe steht, sieht unter **Meine Geräte** die Arbeiten an
+seinen eigenen Geräten — Titel, Zeitraum, Status. **Keine Schritte, keine Notizen, keine Kommentare,
+keine Anhänge**; warum, steht in `docs/architektur.md` unter „Warum ein Mitarbeiter keine Akteneinsicht bekommt“.
+
+Zugeordnet wird über den **UPN**. Laufzettel liest ihn in dieser Reihenfolge:
+
+1. der Anspruch `upn` (so heißt er bei Entra ID)
+2. `preferred_username` (authentik und Keycloak schicken dort den Anmeldenamen)
+3. die Mailadresse
+
+Verglichen wird mit `Mitarbeiter.upn`, unabhängig von Groß- und Kleinschreibung. Damit das greift,
+muss der UPN in authentik derselbe sein wie der im Active Directory — bei einem AD als Quelle von
+authentik ist er das meist von selbst.
+
+**Zwei Fälle, die bewusst nicht durchgehen:**
+
+| Fall | Was passiert |
+|---|---|
+| Zu dem UPN gibt es **keine aktive** Person | Anmeldung abgewiesen, mit Begründung auf der Anmeldeseite |
+| Zu dem UPN gibt es **mehr als eine** Person | Anmeldung abgewiesen und im Protokoll festgehalten |
+
+Der zweite Fall kommt im Modus **Dienstleistung** vor, wenn zwei Kunden dieselbe Person führen. Ein
+Zufallstreffer wäre dort schlimmer als kein Zugang: er entschiede nach Sortierung darüber, wessen
+Geräte jemand sieht.
+
+**Abschalten lässt sich das Ganze**, indem du keine Rollengruppen konfigurierst — dann greift die
+Weiche nicht, und alles bleibt wie vor 0.2.0. Oder indem du jeden, der hinein soll, in `lz-leser`
+einträgst.
+
+## 8. Notfallzugang
 
 Fällt authentik aus, kommt niemand mehr in Laufzettel. Für diesen Fall gibt es den lokalen Login:
 
@@ -112,7 +155,7 @@ Passwörter liegen als argon2-Hash in der Datenbank.
 Empfehlung: ein einziges lokales Admin-Konto, Passwort im Passwortmanager, `AUTH_LOCAL_ENABLED`
 im Normalbetrieb auf `false` und nur im Notfall umgestellt.
 
-## 8. Fehlersuche
+## 9. Fehlersuche
 
 | Symptom | Ursache |
 |---|---|