feat(auth): Anmeldung mit Passwort und OIDC, Schutz aller Seiten (#013)

Signierte Sitzungs-Cookies mit jose, OIDC ueber openid-client (authentik),
Schutz in proxy.ts, Anmeldeseite, Audit-Log-Ansicht, Sicherheits-Kopfzeilen und
Rate-Limit. Kein Auth.js, weil Version 5 Beta ist. 147 Tests.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

src/components/layout/Header.tsx

@@ -214,7 +214,9 @@ export function Header({
               <Link href="/einstellungen/system" className="dropdown-item">
                 Einstellungen
               </Link>
-              <span className="dropdown-item text-body-secondary">Abmelden (ab #013)</span>
+              <a className="dropdown-item" href="/api/auth/abmelden">
+                Abmelden
+              </a>
             </div>
           </li>
         </ul>

src/components/layout/Sidebar.tsx

@@ -58,6 +58,7 @@ export function Sidebar({
     { href: "/einstellungen/tokens", titel: "Agent-Tokens", icon: "bi-key" },
     { href: "/einstellungen/warnregeln", titel: "Warnregeln", icon: "bi-shield-exclamation" },
     { href: "/einstellungen/benachrichtigungen", titel: "Benachrichtigungen", icon: "bi-bell" },
+    { href: "/einstellungen/audit", titel: "Protokoll", icon: "bi-list-check" },
     { href: "/einstellungen/system", titel: "System", icon: "bi-sliders" },
   ];