feat(auth): Anmeldung mit Passwort und OIDC, Schutz aller Seiten (#013)

Signierte Sitzungs-Cookies mit jose, OIDC ueber openid-client (authentik),
Schutz in proxy.ts, Anmeldeseite, Audit-Log-Ansicht, Sicherheits-Kopfzeilen und
Rate-Limit. Kein Auth.js, weil Version 5 Beta ist. 147 Tests.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

src/components/layout/Sidebar.tsx

@@ -58,6 +58,7 @@ export function Sidebar({
     { href: "/einstellungen/tokens", titel: "Agent-Tokens", icon: "bi-key" },
     { href: "/einstellungen/warnregeln", titel: "Warnregeln", icon: "bi-shield-exclamation" },
     { href: "/einstellungen/benachrichtigungen", titel: "Benachrichtigungen", icon: "bi-bell" },
+    { href: "/einstellungen/audit", titel: "Protokoll", icon: "bi-list-check" },
     { href: "/einstellungen/system", titel: "System", icon: "bi-sliders" },
   ];