Merge branch 'phase/019-ci'

ci: Pruefung bei jedem Push und Konsistenzpruefung der Doku (#019 )
Gitea-Actions-Workflow mit Lint, Typen, Tests gegen PostgreSQL, Build, ShellCheck und einem Skript, das Version, Issue-Uebersicht und Handbuch-Bilder abgleicht. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
2026-09-17 23:47:38 +02:00 · 2026-09-17 23:47:38 +02:00 · 2026-09-17 23:46:21 +02:00 · 2026-09-17 23:46:21 +02:00 · 2026-09-17 23:43:19 +02:00 · 2026-09-17 23:43:19 +02:00
215 changed files with 22585 additions and 243 deletions
@@ -0,0 +1,11 @@
 node_modules
 .next
 dist
 .git
 .env
 .env.*
 !.env.example
 data
 docs/anleitung/bilder
 coverage
 *.log
@@ -0,0 +1,45 @@
 # Für docker-compose.yml: Zugangsdaten der mitgelieferten Datenbank
 POSTGRES_USER="proxledger"
 POSTGRES_PASSWORD="bitte-aendern"
 POSTGRES_DB="proxledger"
 PORT="3000"
 # Datenbank (lokale Entwicklung über docker-compose.dev.yml, Port 5433)
 DATABASE_URL="postgresql://proxledger:proxledger@localhost:5433/proxledger?schema=public"
 # Eigene Datenbank für automatisierte Tests
 TEST_DATABASE_URL="postgresql://proxledger:proxledger@localhost:5433/proxledger_test?schema=public"
 # Lokaler Administrator, wird vom Seed angelegt
 ADMIN_EMAIL="admin@example.de"
 ADMIN_NAME="Administrator"
 ADMIN_PASSWORD="bitte-aendern"
 # Schlüssel für Sitzungs-Cookies (mindestens 32 Zeichen): openssl rand -base64 48
 APP_SECRET="bitte-eigenen-wert-erzeugen-mindestens-32-zeichen"
 # Anmeldung über OIDC (optional, z. B. authentik). Ohne diese Werte gibt es nur den lokalen Zugang.
 OIDC_ISSUER=""
 OIDC_CLIENT_ID=""
 OIDC_CLIENT_SECRET=""
 OIDC_NAME="authentik"
 # Öffentlich erreichbare Adresse des Dashboards (für install.sh und E-Mails)
 APP_URL="http://localhost:3000"
 # Zeitplan des Workers (Standard: stündlich zur vollen Stunde)
 WORKER_CRON="0 * * * *"
 # Zeitplan der Zusammenfassung (Standard: täglich 07:00 Uhr)
 ZUSAMMENFASSUNG_CRON="0 7 * * *"
 # Ablage für hochgeladene Rechnungs-PDFs
 UPLOAD_DIR="./data/uploads"
 # Demo-Daten beim Seed anlegen (1 = ja)
 SEED_DEMO="0"
 # Abgleich der Issue-Dateien mit dem Gitea-Tracker (npm run issues:sync)
 GITEA_URL="https://git.example.de"
 GITEA_REPO="benutzer/ProxLedger"
 GITEA_TOKEN=""
@@ -0,0 +1,75 @@
 # Prüft jeden Push und jede Pull-Request-Änderung.
 # Läuft mit Gitea Actions (act_runner); die Syntax entspricht GitHub Actions.
 name: Prüfung
 on:
  push:
    branches: [main, "phase/**"]
  pull_request:
    branches: [main]
 jobs:
  pruefung:
    runs-on: ubuntu-latest
    services:
      postgres:
        image: postgres:17-alpine
        env:
          POSTGRES_USER: proxledger
          POSTGRES_PASSWORD: proxledger
          POSTGRES_DB: proxledger_test
        options: >-
          --health-cmd "pg_isready -U proxledger"
          --health-interval 5s
          --health-timeout 5s
          --health-retries 10
        ports:
          - 5432:5432
    env:
      DATABASE_URL: postgresql://proxledger:proxledger@localhost:5432/proxledger_test?schema=public
      TEST_DATABASE_URL: postgresql://proxledger:proxledger@localhost:5432/proxledger_test?schema=public
      APP_SECRET: ci-geheimnis-mit-mindestens-32-zeichen-laenge
      APP_URL: http://localhost:3000
    steps:
      - name: Quelltext holen
        uses: actions/checkout@v4
      - name: Node einrichten
        uses: actions/setup-node@v4
        with:
          node-version: 24
          cache: npm
      - name: Abhängigkeiten installieren
        run: npm ci
      - name: Prisma-Client erzeugen
        run: npx prisma generate
      - name: Code-Stil prüfen
        run: npm run lint
      - name: Typen prüfen
        run: npm run typecheck
      - name: Tests
        run: npm test
      - name: Anwendung bauen
        run: npm run build
      - name: Worker bauen
        run: npm run build:worker
      - name: Agent-Skripte prüfen
        run: |
          sudo apt-get update -qq
          sudo apt-get install -y -qq shellcheck
          shellcheck --severity=warning agent/*.sh deploy/*.sh
      - name: Dokumentation und Versionen prüfen
        run: npm run pruefe:doku
@@ -51,3 +51,6 @@ Thumbs.db
 # Vercel / Sonstiges
 .vercel
 *.pem
 /src/generated/prisma
 dist/
@@ -4,3 +4,5 @@ coverage
 docs
 *.md
 package-lock.json
 src/generated
 prisma/migrations
@@ -8,8 +8,6 @@ und dieses Projekt folgt [Semantic Versioning](https://semver.org/lang/de/).
 ## [Unveröffentlicht]
 ### Hinzugefügt
 - Projektorganisation: Devlog, Changelog, Issue-Übersicht und Issues pro Phase (#001)
 - Architektur- und Umsetzungsplan in `docs/architektur.md` (#001)
 ### Geändert
@@ -18,3 +16,185 @@ und dieses Projekt folgt [Semantic Versioning](https://semver.org/lang/de/).
 ### Entfernt
 ### Sicherheit
 ## [0.13.0] – 2026-09-17
 ### Hinzugefügt
 - Prüfung bei jedem Push über Gitea Actions: Lint, Typen, Tests gegen PostgreSQL, Build, ShellCheck und Dokumentationsprüfung (#019)
 - `npm run pruefe:doku` vergleicht Version, Issue-Übersicht und Handbuch-Bilder auf Konsistenz (#019)
 ## [0.12.1] – 2026-09-17
 ### Hinzugefügt
 - Symbole für Browser-Tab (SVG und ICO), iOS-Startbildschirm und Web-Manifest, erzeugt mit `npm run icons` aus den SVG-Vorlagen in `assets/` (#017)
 ## [0.12.0] – 2026-09-17
 ### Hinzugefügt
 - Handbuch mit Bildern: Installation, Agent-Rollout, Zuweisung, Rechnungen, Warnungen, Benachrichtigungen, Exporte, Sicherung und Fehlersuche (#016)
 - `npm run screenshots` erzeugt alle Bilder des Handbuchs neu, auch im dunklen Design und in der Mobilansicht (#016)
 ## [0.11.1] – 2026-09-17
 ### Behoben
 - Nach der Anmeldung führte jeder Klick zurück zur Anmeldeseite: Das Sitzungs-Cookie erhielt im Produktionsbau immer das Merkmal `Secure` und wurde über `http://` vom Browser verworfen. Maßgeblich ist jetzt die tatsächliche Adresse (`APP_URL`) (#013)
 ### Geändert
 - Die Anmeldung läuft über ein gewöhnliches Formular statt über eine Server-Action; damit funktioniert sie auch ohne JavaScript (#013)
 ## [0.11.0] – 2026-09-17
 ### Geändert
 - Auswertung der Warnregeln um den Faktor 13 beschleunigt: neue Warnungen entstehen sammelweise (#015)
 - Aufgaben-Karte auf dem Dashboard zeigt höchstens zwölf Punkte und verweist für den Rest auf die Rechnungsliste (#015)
 - Große Tabellen blenden auf schmalen Bildschirmen gestaffelt Spalten aus, statt quer zu scrollen (#015)
 ### Behoben
 - Das Logo war im dunklen Design praktisch unsichtbar; seine Farben folgen jetzt dem Farbschema (#015)
 ## [0.10.0] – 2026-09-17
 ### Hinzugefügt
 - Dockerfile (mehrstufig, Standalone-Ausgabe, Betrieb ohne root) und `docker-compose.yml` mit Dashboard, Worker, Datenbank und einmaligem Migrationsdienst (#014)
 - LXC-Installer für Proxmox-Hosts: legt den Container an, installiert Docker, erzeugt Zufallspasswörter und startet alles (#014)
 - Beispiele für Caddy, nginx und Traefik als Reverse Proxy (#014)
 - Sicherungsskript für Datenbank, PDFs und Konfiguration (#014)
 - Zustandsprüfung unter `/api/gesundheit` (#014)
 - README mit Schnellstart, Agent-Rollout, Betriebs- und Sicherungshinweisen (#014)
 ## [0.9.0] – 2026-09-17
 ### Hinzugefügt
 - Anmeldung mit E-Mail und Passwort sowie über OIDC (z. B. authentik); der lokale Zugang bleibt als Rückfallweg immer nutzbar (#013)
 - Anmeldeseite im AdminLTE-Stil mit Logo (#013)
 - Audit-Log-Ansicht mit Filter nach Aktion und Entität (#013)
 ### Geändert
 - Audit-Einträge vermerken den angemeldeten Benutzer; Worker und Skripte erscheinen als „System“ (#013)
 ### Sicherheit
 - Alle Seiten der Oberfläche sind ohne Anmeldung nicht erreichbar; Agent-API und Skript-Auslieferung bleiben offen (#013)
 - Sitzungen als signiertes Cookie (`APP_SECRET`), fünf Anmeldeversuche je Kennung und Viertelstunde (#013)
 - Sicherheits-Kopfzeilen: HSTS, nosniff, DENY für Frames, Referrer-Policy, Permissions-Policy (#013)
 ## [0.8.0] – 2026-09-17
 ### Hinzugefügt
 - E-Mail-Versand über SMTP mit STARTTLS, abgestimmt auf Microsoft 365 (#012)
 - Generischer Webhook mit JSON-Nutzdaten und optionaler HMAC-Signatur (#012)
 - Tägliche oder wöchentliche Zusammenfassung mit offenen Warnungen, Rechnungspunkten und bald ablaufenden Subscriptions (#012)
 - Einstellungsseite mit Testversand und Versandprotokoll (#012)
 ### Sicherheit
 - Benachrichtigungen werden je Warnung nur einmal verschickt; fehlgeschlagene Versuche werden protokolliert und später wiederholt (#012)
 ## [0.7.0] – 2026-09-17
 ### Hinzugefügt
 - Zehn Warnregeln: Ablauf in 30/14/7 Tagen, Status nicht aktiv, Socket-Abweichung, keine Meldung seit 48 Stunden, geänderte Server-ID, mehrfach gemeldeter Key, Host ohne Kunde, fällige Proxmox-Rechnung, fehlende und überfällige Kundenrechnung (#011)
 - Worker-Prozess (`npm run worker`), der die Regeln stündlich auswertet; zusätzlich Auswertung nach jedem eingehenden Report (#011)
 - Seite „Warnungen“ mit Filter offen/erledigt, Quittieren, Schließen und sofortiger Prüfung (#011)
 - Einstellungsseite für Regeln und Schwellwerte (#011)
 ### Geändert
 - Warnungen schließen sich automatisch, sobald die Ursache behoben ist; Titel und Beschreibung werden laufend nachgeführt (#011)
 ## [0.6.0] – 2026-09-17
 ### Hinzugefügt
 - Jahresbahn mit zwölf Monaten, Heute-Linie und Gruppierung nach Kunde, aus echten Daten (#009)
 - Ablauf-Kalender für die nächsten 90 Tage samt Rechnungsstatus und eine Übersicht bereits abgelaufener Subscriptions (#009)
 - CSV-Export für Kundenübersicht und Rechnungsliste, PDF-Export für Hosts, Kunden und Rechnungen (#010)
 - Kundenunterlage als PDF: Hosts, Laufzeiten, Summen pro Jahr und Marge eines Kunden (#010)
 ### Geändert
 - Die Oberfläche arbeitet vollständig mit der Datenbank; Beispieldaten dienen nur noch dem Seed (#009)
 ## [0.5.0] – 2026-09-17
 ### Hinzugefügt
 - Laufzeit-Vorschläge der Agents bestätigen oder verwerfen (#008)
 - Proxmox- und Kundenrechnungen erfassen; gleiche Rechnungsnummer fasst mehrere Laufzeiten zu einer Sammelrechnung zusammen (#008)
 - PDF-Upload für beide Rechnungsarten mit Prüfung des Dateiinhalts und Ablage unter der Prüfsumme (#008)
 - Rechnungsübersicht mit Häkchen „bezahlt“ und „erstellt“ direkt in der Zeile, Filter nach Status, Kunde, Jahr und Suchbegriff (#008)
 - Detailseite je Laufzeit mit Beträgen, Marge und Übersicht der Sammelrechnung (#008)
 - Laufzeiten lassen sich von Hand anlegen (#008)
 ### Geändert
 - Die Aufgabenliste auf dem Dashboard setzt beim Abhaken den Rechnungsstatus in der Datenbank (#008)
 ## [0.4.2] – 2026-09-17
 ### Geändert
 - Der Issue-Abgleich holt Serveradresse und Repository aus dem Git-Remote und den Token aus den hinterlegten Git-Zugangsdaten; ein zweiter Token in der `.env` ist nicht mehr nötig (#020)
 ## [0.4.1] – 2026-09-17
 ### Hinzugefügt
 - Abgleich der Issue-Dateien mit dem Gitea-Tracker über `npm run issues:sync`, inklusive Labels, Meilensteinen und Trockenlauf (#020)
 ## [0.4.0] – 2026-09-17
 ### Hinzugefügt
 - Host-Tabelle mit Suche über Hostname, FQDN, Key, Server-ID, IP, Kunde und Rechnungsnummer (#007)
 - Filter nach Kunde, Status, Produkt, Ablauffrist und offenen Rechnungspunkten; Sortierung und Seitenblättern (#007)
 - CSV-Export der Host-Liste unter Berücksichtigung der aktiven Filter (#007)
 - Host-Detailansicht mit Übersicht, Subscription-Historie, Reports, Rechnungen, Notizen mit Tags und Tokens (#007)
 - Kunde eines Hosts direkt in der Detailansicht ändern (#007)
 ### Geändert
 - Host-Tabelle und Host-Detail arbeiten mit echten Daten statt Beispieldaten (#007)
 ## [0.3.0] – 2026-09-17
 ### Hinzugefügt
 - Kunden anlegen, bearbeiten und löschen; Standorte je Kunde verwalten (#006)
 - Seite „Nicht zugeordnete Hosts“ mit Mehrfachauswahl und Zuweisung in einem Schritt (#006)
 - Enrollment-Tokens erzeugen (mit Gültigkeit, Nutzungsgrenze und optionaler Kundenbindung), anzeigen und widerrufen; Host-Tokens widerrufen (#006)
 - Audit-Log-Einträge für alle Änderungen an Kunden, Standorten, Zuweisungen und Tokens (#006)
 ### Geändert
 - Dashboard, Kundenübersicht, Kunden-Detail und globale Suche arbeiten mit echten Daten statt Beispieldaten (#006)
 ### Behoben
 - Prisma-Client öffnete in der Produktionsumgebung bei jedem Zugriff einen neuen Verbindungspool (#006)
 ## [0.2.0] – 2026-09-17
 ### Hinzugefügt
 - Agent-Skript in Bash: erkennt Proxmox VE, Backup Server und Mail Gateway, sammelt Subscription-, Host- und Systemdaten (#005)
 - Installation per One-Liner mit Enrollment-Token, systemd-Service und -Timer (täglich, zufällig versetzt) (#005)
 - Zwischenspeicher für Reports samt Nachsenden, wenn das Dashboard nicht erreichbar ist (#005)
 - Update- und Uninstall-Funktion sowie Verbindungstest (`--test`) und Vorschau (`--dry-run`) (#005)
 - Dashboard liefert `install.sh` und `agent.sh` mit eingesetzter Adresse und Version aus (#005)
 ### Sicherheit
 - Konfiguration des Agents mit Rechten 600, TLS-Prüfung standardmäßig aktiv, optional eigenes CA-Zertifikat (#005)
 ## [0.1.0] – 2026-09-17
 ### Hinzugefügt
 - Projektorganisation: Devlog, Changelog, Issue-Übersicht und Issues pro Phase (#001)
 - Architektur- und Umsetzungsplan in `docs/architektur.md` (#001)
 - Next.js-Grundgerüst mit AdminLTE-CSS, Bootstrap Icons, zod, ESLint, Prettier und Vitest (#001)
 - Klickbarer Prototyp mit Beispieldaten: Dashboard, Kunden- und Host-Ansichten, Rechnungen, Jahresbahn (#002)
 - ProxLedger-Logo als SVG-Komponente, Farbschema nach Vorgabe inklusive Dark-Mode (#002)
 - Globale Suche über Key, Host, Kunde und Rechnungsnummer mit Strg+K (#002)
 - Datenmodell mit Prisma: Kunden, Standorte, Hosts, Reports, Key- und Server-ID-Historie, Laufzeiten, Proxmox- und Kundenrechnungen mit Positionen, Tokens, Warnungen, Benachrichtigungen, Benutzer und Audit-Log (#003)
 - Erste Migration, Seed für Administrator, Warnregeln und Demo-Daten (#003)
 - Docker-Compose für die Entwicklungsdatenbank und Testdatenbank-Setup für Vitest (#003)
 - Agent-API unter `/api/agent/v1`: Registrierung, Report und Verbindungstest (#004)
 - Automatischer Laufzeit-Vorschlag, sobald ein Agent ein neues Ablaufdatum meldet (#004)
 - Key- und Server-ID-Historie je Host (#004)
 ### Geändert
 ### Behoben
 ### Entfernt
 ### Sicherheit
 ### Sicherheit
 - API-Tokens werden nur als SHA-256-Hash gespeichert und sind einzeln widerrufbar (#004)
 - Rate-Limiting und strikte zod-Validierung auf der Agent-API (#004)
@@ -2,38 +2,129 @@
 ## Zeitübersicht
-**Gesamt:** 0 h 00 min (laufende Sitzung nicht eingerechnet)
+**Gesamt:** 7 h 43 min
 | Issue | Zeit |
 |---|---|
-| #001 Projekt-Setup | 0 h 00 min |
+| #001 Projekt-Setup | 0 h 08 min |
 | #002 Klickbarer Prototyp | 0 h 20 min |
 | #003 Datenmodell und Migrationen | 0 h 25 min |
 | #004 Agent-API | 0 h 20 min |
 | #005 Agent-Skript | 0 h 25 min |
 | #006 Kunden und Hostzuweisung | 0 h 35 min |
 | #007 Host-Tabelle und Detailansichten | 0 h 25 min |
 | #020 Issues nach Gitea übertragen | 0 h 20 min |
 | #008 Laufzeiten und Rechnungen | 0 h 35 min |
 | #009 Jahresbahn und Ablauf-Kalender | 0 h 15 min |
 | #010 Export CSV und PDF | 0 h 20 min |
 | #011 Warnregeln | 0 h 30 min |
 | #012 Benachrichtigungen | 0 h 25 min |
 | #013 Authentifizierung | 0 h 30 min |
 | #014 Deployment | 0 h 40 min |
 | #015 Feinschliff | 0 h 35 min |
 | #016 Handbuch | 0 h 30 min |
 | #017 Favicons | 0 h 15 min |
 | #019 CI-Pipeline | 0 h 20 min |
 | Meilenstein | Zeit |
 |---|---|
-| v0.1.0 | 0 h 00 min |
+| v0.1.0 | 1 h 13 min | **abgeschlossen**
 | v0.2.0 | 0 h 25 min | **abgeschlossen**
 | v0.3.0 | 0 h 35 min | **abgeschlossen**
 | v0.4.0 | 0 h 25 min | **abgeschlossen**
 | v0.4.1 | 0 h 10 min | **abgeschlossen**
 | v0.4.2 | 0 h 10 min | **abgeschlossen**
 | v0.5.0 | 0 h 35 min | **abgeschlossen**
 | v0.6.0 | 0 h 35 min | **abgeschlossen**
 | v0.7.0 | 0 h 30 min | **abgeschlossen**
 | v0.8.0 | 0 h 25 min | **abgeschlossen**
 | v0.9.0 | 0 h 30 min | **abgeschlossen**
 | v0.10.0 | 0 h 40 min | **abgeschlossen**
 | v0.11.0 | 0 h 35 min | **abgeschlossen**
 | v0.12.0 | 0 h 30 min | **abgeschlossen**
 ---
 ## 2026-09-17 · Sitzung 1 · 19:36–laufend
-**Issue:** #001 Projekt-Setup
+**Issue:** #001–#007 (Meilensteine v0.1.0 bis v0.4.0)
-**Version:** 0.1.0-dev
+**Version:** 0.13.0
 ### Erledigt
 - Auftrag gelesen, Rückfragen gestellt
 - Umgebung geprüft: Ubuntu 26.04, Git 2.53; Node/Docker fehlten → Node 24 LTS per nvm installiert
 - Repository-Rechte korrigiert (Verzeichnis gehörte root), Branch `master` → `main`, Git-Identität lokal gesetzt
 - `.gitignore`, `CHANGELOG.md`, `DEVLOG.md`, Architekturplan und 15 Issues angelegt
 - #001 abgeschlossen: Next.js 16 (App Router, TypeScript strict), AdminLTE-CSS, Bootstrap Icons, zod, ESLint/Prettier/Vitest; Lint, Typecheck, Test und Build grün
 - #002 abgeschlossen: Prototyp mit Beispieldaten – Layout (Sidebar, Kopfleiste, Inhaltskopf, Footer), Logo als SVG-Komponente, Theme mit Farbvorgaben und Dark-Mode, Dashboard, Kunden (Liste und Detail), Hosts (Liste, Detail, nicht zugeordnet), Rechnungen, Jahresbahn, Einstellungsseiten, globale Suche mit Strg+K
 - Screenshots aller Seiten aufgenommen und in `docs/anleitung/bilder/` abgelegt
 - #003 abgeschlossen: Prisma-Schema mit 23 Modellen, erste Migration, Seed (Administrator, 10 Warnregeln, Demo-Daten), Testdatenbank-Setup für Vitest, 3 Schema-Tests
 - #004 abgeschlossen: Agent-API mit Enrollment, Report und Ping, gehashte Tokens, Rate-Limit, zod-Validierung, 32 Tests insgesamt
 - Meilenstein v0.1.0 abgeschlossen und getaggt
 - #005 abgeschlossen: Bash-Agent mit Produkterkennung, JSON ohne jq, Retry mit Backoff, Spool, systemd-Timer, Installer, Uninstall und Update; Dashboard liefert `/install.sh` und `/agent.sh` aus
 - Meilenstein v0.2.0 abgeschlossen und getaggt; 38 Tests
 - #006 abgeschlossen: Kunden und Standorte pflegen, Mehrfachzuweisung nicht zugeordneter Hosts, Enrollment- und Host-Tokens verwalten, Audit-Log; Dashboard, Kundenseiten und globale Suche laufen auf der Datenbank
 - Durchlauf gegen den laufenden Server geprüft: Token anlegen → `enroll` → Agent-Report → Laufzeit-Vorschlag → Host erscheint als „nicht zugeordnet“ → `ping`
 - Meilenstein v0.3.0 abgeschlossen und getaggt; 45 Tests
 - Issues #017 bis #019 aus bisherigen Notizen angelegt (Favicons, Feldtest des Agents, CI-Pipeline)
 - #007 abgeschlossen: Host-Tabelle mit Suche, fünf Filtern, Sortierung, Seitenblättern und CSV-Export; Host-Detail mit sechs Tabs, Notizen, Tags, Kundenzuweisung und Token-Widerruf
 - Meilenstein v0.4.0 abgeschlossen und getaggt; 59 Tests
 - #020 abgeschlossen: Abgleichskript für den Gitea-Issue-Tracker (Missverständnis geklärt – die Issues lagen bisher nur als Dateien im Repo, nicht im Tracker)
 - Token kommt aus den Git-Zugangsdaten statt aus einer zweiten Stelle; 20 Issues, 15 Labels und 13 Meilensteine in Gitea angelegt
 - Alles nach Gitea gepusht: main bei 51243c2, Tags v0.1.0 bis v0.4.1
 - #008 abgeschlossen: Laufzeit-Vorschläge bestätigen oder verwerfen, Rechnungen mit Positionen erfassen, PDF-Upload, Häkchen direkt in der Tabelle, Filter nach Status, Kunde und Jahr; Aufgabenliste auf dem Dashboard setzt jetzt echte Status
 - Meilenstein v0.5.0 abgeschlossen; 78 Tests
 - #009 abgeschlossen: Jahresbahn und Ablauf-Kalender (90 Tage) aus der Datenbank, dazu eine Karte für bereits abgelaufene Subscriptions; die Oberfläche nutzt keine Beispieldaten mehr
 - #010 abgeschlossen: CSV- und PDF-Export für Hosts, Kunden, einzelne Kundenunterlage und Rechnungsliste; PDFs serverseitig ohne Browser
 - Meilenstein v0.6.0 abgeschlossen
 - #011 abgeschlossen: zehn Warnregeln als reine Funktionen, Abgleich mit offenen Warnungen, Worker mit stündlichem Zeitplan, Auswertung nach jedem Report, Warnungsliste und Einstellungsseite; 123 Tests
 - Meilenstein v0.7.0 abgeschlossen
 - #012 abgeschlossen: SMTP (Microsoft 365), generischer Webhook mit Signatur, Zusammenfassung, Versandprotokoll, Testversand; keine Doppelmeldungen dank Prüfung gegen das Protokoll
 - Issue #021 angelegt: Zugangsdaten liegen noch unverschlüsselt in der Datenbank
 - Meilenstein v0.8.0 abgeschlossen; 134 Tests
 - #013 abgeschlossen: Anmeldung mit Passwort und OIDC, Schutz aller Seiten über `proxy.ts`, Anmeldeseite im AdminLTE-Stil, Audit-Log-Ansicht, Sicherheits-Kopfzeilen, Rate-Limit bei Anmeldeversuchen
 - Meilenstein v0.9.0 abgeschlossen; 147 Tests
 - #014 abgeschlossen: Dockerfile (Standalone, Non-root), Compose mit web/worker/postgres/migrate, LXC-Installer, Reverse-Proxy-Beispiele, Sicherungsskript, README mit Schnellstart und Betriebshinweisen
 - Container-Stapel wirklich gebaut und geprüft: Agent registriert sich, Report kommt an, Warnung entsteht automatisch
 - Meilenstein v0.10.0 abgeschlossen
 - #015 abgeschlossen: Dark-Mode geprüft (Logo war unsichtbar – behoben), Mobilansicht ohne Querscrollen, Lasttest mit 200 Hosts und 365.000 Reports, Auswertung der Warnregeln von 3813 auf 293 ms beschleunigt, Sicherheitsdurchsicht
 - Als v0.11.0 veröffentlicht statt 1.0.0: Feldtest, Handbuch, Favicons, CI und Verschlüsselung der Zugangsdaten stehen noch aus
 - 0.11.1: Anmeldefehler behoben (Secure-Cookie über http)
 - #016 abgeschlossen: Handbuch mit elf Kapiteln und 16 Bildern, dazu `npm run screenshots` zum Auffrischen
 - #017 abgeschlossen: Symbole für Tab, Startbildschirm und Manifest, erzeugt mit `npm run icons` aus SVG-Vorlagen
 - #019 abgeschlossen: Gitea-Actions-Workflow mit Lint, Typen, Tests, Build, ShellCheck und Doku-Prüfung
 ### Entscheidungen
 - **Warnungen sammelweise anlegen:** Einzelne Upserts kosteten bei 737 neuen Warnungen 3,8 s; mit `createMany` sind es 0,3 s.
 - **Keine 1.0.0 ohne Feldtest:** Solange der Agent auf keinem echten Proxmox-Host lief, wäre die Zahl ein falsches Versprechen.
 - **Kein Auth.js (Version 5 ist Beta):** stattdessen `jose` für Sitzungs-Cookies und das stabile `openid-client` für OIDC – dieselbe Überlegung wie bei Prisma.
 - **Warnstufen im Fingerabdruck** (`…:7`): Der Wechsel 30 → 14 → 7 schließt die alte Warnung und öffnet eine neue. Das ergibt je Stufe genau eine Benachrichtigung, ohne Sonderlogik für Eskalation.
 - **Rechnungsnummer als Schlüssel für Sammelrechnungen:** Dieselbe Nummer bei einer zweiten Laufzeit hängt eine Position an – kein eigener Dialog für „Sammelrechnung anlegen“ nötig.
 - **PDF-Prüfung am Dateianfang** statt am gemeldeten Typ; abgelegt wird unter der Prüfsumme, gleiche Datei also nur einmal.
 - **Screenshots mit Firefox headless** statt Playwright: Firefox ist vorhanden, es muss kein Browser samt Systembibliotheken nachinstalliert werden (dafür wäre root nötig).
 - **Kennzahlen werden berechnet, nicht hinterlegt:** auch im Prototyp kommen alle Zahlen aus den Beispieldaten, damit Tabellen und Kacheln nie widersprüchlich sind.
 - **AdminLTE 4.9.1 nur als CSS:** stabil, Bootstrap 5.3.8, kein jQuery; die JS-Plugins manipulieren das DOM und werden daher als React-Komponenten nachgebaut.
 - **Host-Identität über Agent-Token statt Server-ID:** Die Server-ID ändert sich bei Hardwaretausch und soll dann eine Warnung auslösen, statt einen neuen Host zu erzeugen.
 - **Rechnungen mit Positionen:** Proxmox-Sammelbestellungen und Sammelrechnungen an Kunden sollen ohne doppelte Rechnungsnummern abbildbar sein.
 - **Eigener Worker-Prozess** für zeitgesteuerte Warnregeln und Benachrichtigungen, unabhängig von Seitenaufrufen.
 - **Prototyp direkt im Next.js-Projekt**, damit die Komponenten weiterverwendet werden.
 - **Prisma 7.10.0 fest gesetzt:** Der npm-Tag `latest` zeigt derzeit auf 8.0.0-rc, ein Release Candidate gehört nicht in ein neues Projekt.
 - **Seed nutzt die Prototyp-Beispieldaten**, damit die Oberfläche ab #006 dieselben Fälle zeigt wie der Prototyp.
 - **Keine Nur-Lese-Rolle** (Rückmeldung Florian): alle Benutzer sind Administratoren.
 - **Prisma-Client wird lazy erzeugt** (Proxy), damit `next build` ohne gesetzte `DATABASE_URL` durchläuft.
 - **Report-Idempotenz über eine vom Agent erzeugte `reportId`**: nachgesendete Reports aus dem Spool dürfen beliebig oft ankommen.
 - **Unbekannte Subscription-Status werden zu `UNKNOWN`** statt abgelehnt – ein Report darf nie an einem neuen Statuswort scheitern.
 - **Dashboard gleich mit auf die Datenbank umgestellt** (eigentlich #009): Eine frisch zugewiesene Zuordnung hätte dort sonst weiter als „nicht zugeordnet“ gestanden.
 - **Server Actions rufen Services auf**, damit die Regeln ohne Next.js-Laufzeit testbar bleiben.
 ### Probleme / offene Fragen
- Docker ist nicht installiert und `sudo` erfordert ein Passwort → Installation muss manuell erfolgen (benötigt ab #003).
+- Von Florian im Betrieb gemeldet: Nach der Anmeldung führte jeder Klick zurück zur Anmeldeseite. Ursache: `Secure`-Cookie über `http://`. Behoben in 0.11.1.
 - Der LXC-Installer ist ungetestet (kein Proxmox-Host verfügbar); gleiches gilt für den Agent im Feld (#018).
 - Prisma-Client erzeugte in der Produktionsumgebung bei jedem Zugriff einen neuen Verbindungspool → „too many clients“. Behoben: Client wird im Modul festgehalten.
 - Docker wurde von Florian installiert; die Entwicklungsdatenbank läuft auf Port 5433 (5432 bleibt für lokale Instanzen frei).
 - Favicon-Dateien (.ico/PNG) fehlen noch, weil kein SVG-Konverter installiert ist.
 - Der Agent wurde noch auf keinem echten Proxmox-Host installiert; die Tests arbeiten mit nachgebauten Befehlen.
 - Offen: Rolle „readonly“ zusätzlich zu Admin? (vorläufig vorgesehen)
 ### Nächster Schritt
- Next.js-Grundgerüst (#001), danach Prototyp (#002)
+- #016 Benutzerhandbuch mit Screenshots, danach #017 Favicons und #019 CI-Pipeline
 - Für 1.0.0 fehlt vor allem der Feldtest auf echten Proxmox-Hosts (#018)
@@ -0,0 +1,50 @@
 # ProxLedger – Abbild für Dashboard und Worker.
 # Beide Dienste teilen sich dieses Abbild und unterscheiden sich nur im Startbefehl.
 FROM node:24-alpine AS basis
 WORKDIR /app
 # openssl wird von Prisma benötigt, tini beendet Prozesse sauber.
 RUN apk add --no-cache openssl tini
 # ---------------------------------------------------------------- Abhängigkeiten
 FROM basis AS abhaengigkeiten
 COPY package.json package-lock.json ./
 COPY prisma ./prisma
 COPY prisma7.config.ts ./
 RUN npm ci --ignore-scripts
 # ---------------------------------------------------------------- Bauen
 FROM abhaengigkeiten AS bauen
 COPY . .
 RUN npx prisma generate \
 && npm run build \
 && npm run build:worker
 # ---------------------------------------------------------------- Laufzeit
 FROM basis AS laufzeit
 ENV NODE_ENV=production
 ENV PORT=3000
 RUN addgroup -g 1001 -S proxledger && adduser -S proxledger -u 1001 -G proxledger
 # Next.js im Standalone-Modus bringt seine eigenen Abhängigkeiten mit.
 COPY --from=bauen --chown=proxledger:proxledger /app/.next/standalone ./
 COPY --from=bauen --chown=proxledger:proxledger /app/.next/static ./.next/static
 COPY --from=bauen --chown=proxledger:proxledger /app/public ./public
 # Agent-Skripte werden zur Laufzeit ausgeliefert.
 COPY --from=bauen --chown=proxledger:proxledger /app/agent ./agent
 # Worker als gebündelte Datei. Migrationen übernimmt der eigene Dienst „migrate“
 # (Stufe „bauen“), damit dieses Abbild schlank bleibt und keine CLI mitschleppt.
 COPY --from=bauen --chown=proxledger:proxledger /app/dist ./dist
 COPY --chown=proxledger:proxledger deploy/start.sh ./start.sh
 RUN mkdir -p /data/uploads && chown -R proxledger:proxledger /data
 VOLUME ["/data"]
 ENV UPLOAD_DIR=/data/uploads
 USER proxledger
 EXPOSE 3000
 ENTRYPOINT ["/sbin/tini", "--"]
 CMD ["./start.sh", "web"]
@@ -3,7 +3,41 @@
 Zentrales Dashboard für den Subscription-Status aller Proxmox-Hosts (VE, Backup Server, Mail Gateway).
 Auf jedem Host meldet ein schlanker Agent täglich per HTTPS seinen Status (Push-Modell) – auch aus Kundennetzen hinter NAT.
-> **Status:** in Entwicklung (0.1.0-dev). Noch nicht produktiv einsetzen.
+> **Status:** in Entwicklung. Der Funktionsumfang steht, der Agent wurde aber noch nicht auf echten
 > Proxmox-Hosts erprobt (#018).
 ## Schnellstart
 Auf einem Rechner mit Docker:
 ```bash
 git clone <dieses-repo> proxledger && cd proxledger
 cp .env.example .env
 # Pflichtangaben setzen: APP_SECRET, POSTGRES_PASSWORD, ADMIN_PASSWORD, APP_URL
 docker compose up -d
 ```
 Beim ersten Start legt der Dienst `migrate` das Schema an und erzeugt den Administrator aus der `.env`.
 Danach ist das Dashboard unter `APP_URL` erreichbar.
 **Auf einem Proxmox-Host** legt der Installer einen fertigen LXC-Container an:
 ```bash
 bash deploy/lxc-installer.sh
 ```
 Er fragt Ressourcen und Netzwerk ab, installiert Docker, holt den Quelltext, erzeugt Zufallspasswörter
 und startet alles. Am Ende stehen Adresse, Benutzer und Passwort auf dem Bildschirm.
 ### Agent ausrollen
 1. Im Dashboard unter *Einstellungen → Agent-Tokens* einen Enrollment-Token erzeugen
 2. Auf jedem Proxmox-Host als root:
   ```bash
   curl -fsSL https://<dashboard>/install.sh | bash -s -- --token <ENROLL_TOKEN>
   ```
 3. Der Host meldet sich sofort und danach täglich. Unter *Hosts → Nicht zugeordnet* einem Kunden zuweisen –
   oder den Token gleich mit Kundenbindung erzeugen, dann entfällt der Schritt.
 ## Entwicklung
@@ -11,14 +45,148 @@ Voraussetzungen: Node.js ≥ 24, Docker (für PostgreSQL ab #003).
 ```bash
 npm install
 npm run db:up      # PostgreSQL im Container (Port 5433)
 cp .env.example .env
 npm run db:migrate # Schema anlegen
 npm run db:seed    # Administrator, Warnregeln, mit SEED_DEMO=1 auch Demo-Daten
 npm run dev        # http://localhost:3000
 npm run lint
 npm run typecheck
-npm test
+npm test           # legt bei Bedarf die Testdatenbank an
 ```
 Der Worker wertet die Warnregeln stündlich aus und läuft als eigener Prozess:
 ```bash
 npm run worker        # Dauerbetrieb
 npm run alerts:check  # einmalige Auswertung
 ```
 Weitere Skripte:
 | Befehl | Zweck |
 |---|---|
 | `npm run db:studio` | Datenbank-Oberfläche |
 | `npm run db:down` | Datenbank-Container stoppen |
 | `npm run icons` | Symbole aus den SVG-Vorlagen erzeugen |
 | `npm run screenshots -- --alle` | Bilder für das Handbuch auffrischen |
 | `npm run pruefe:doku` | Doku, Versionen und Bilder auf Konsistenz prüfen |
 | `npm run lasttest` | Abfragen mit 200 Hosts und fünf Jahren Reports messen |
 Jeder Push wird von [Gitea Actions](.gitea/workflows/ci.yml) geprüft: Lint, Typen, Tests gegen eine
 PostgreSQL-Instanz, Build, ShellCheck für die Agent-Skripte und die Konsistenz der Dokumentation.
 Dafür muss auf dem Gitea-Server ein `act_runner` eingerichtet sein.
 ## Agent auf einem Proxmox-Host installieren
 ```bash
 curl -fsSL https://<dashboard>/install.sh | bash -s -- --token <ENROLL_TOKEN>
 ```
 Der Agent erkennt Proxmox VE, Backup Server und Mail Gateway selbst, registriert sich, schreibt seine
 Konfiguration nach `/etc/proxledger/agent.conf` (Rechte 600) und meldet ab dann täglich per systemd-Timer.
 | Befehl | Zweck |
 |---|---|
 | `proxledger-agent` | Report erzeugen und senden |
 | `proxledger-agent --dry-run` | Report nur anzeigen |
 | `proxledger-agent --test` | Verbindung zum Dashboard prüfen |
 | `proxledger-agent --update` | Agent aktualisieren |
 | `curl -fsSL https://<dashboard>/install.sh \| bash -s -- --uninstall` | Agent entfernen |
 Protokoll: `journalctl -t proxledger`. Ist das Dashboard nicht erreichbar, versucht es der Agent dreimal mit
 wachsendem Abstand und legt den Report danach unter `/var/lib/proxledger/spool/` ab; beim nächsten Lauf wird er
 nachgesendet.
 ## Anmeldung
 Die Oberfläche ist vollständig geschützt; die Agent-API und die Skript-Auslieferung bleiben offen, weil
 sie sich mit eigenen Tokens ausweisen.
 - **Lokaler Zugang:** E-Mail und Passwort aus dem Seed (`ADMIN_EMAIL`, `ADMIN_PASSWORD`). Fünf Fehlversuche
  je Kennung und Viertelstunde, danach Sperre.
 - **OIDC (z. B. authentik):** `OIDC_ISSUER`, `OIDC_CLIENT_ID`, `OIDC_CLIENT_SECRET` setzen. Rückkehradresse
  ist `<APP_URL>/api/auth/oidc/callback`. Ohne diese Werte erscheint nur der lokale Zugang – der bleibt
  absichtlich immer nutzbar, falls der Anmeldedienst ausfällt.
 - **`APP_SECRET`** (mindestens 32 Zeichen) signiert die Sitzungs-Cookies. Ändert sich der Wert, sind alle
  Sitzungen ungültig.
 ## Exporte
 | Ansicht | CSV | PDF |
 |---|---|---|
 | Hosts | `/hosts/export` | `/hosts/export?format=pdf` |
 | Kunden | `/kunden/export` | `/kunden/export?format=pdf` |
 | Einzelner Kunde | – | `/kunden/<id>/export` (Anlage für Kundenunterlagen) |
 | Rechnungen | `/rechnungen/export` | `/rechnungen/export?format=pdf` |
 Alle Exporte übernehmen die Filter der jeweiligen Ansicht. CSV kommt als UTF-8 mit BOM und Semikolon,
 öffnet sich also ohne Umwege in Excel.
 ## Issues nach Gitea übertragen
 Die Issues werden als Markdown-Dateien in `docs/issues/` gepflegt – sie liegen damit im Repo und wandern mit
 jedem Klon mit. Wer sie zusätzlich im Gitea-Tracker haben möchte, gleicht sie ab:
 ```bash
 npm run issues:sync -- --dry-run    # zeigt nur, was passieren würde
 npm run issues:sync                 # echter Abgleich
 ```
 Serveradresse und Repository liest das Skript aus dem Git-Remote, den Token aus den hinterlegten
 Git-Zugangsdaten (Schlüsselbund oder `~/.git-credentials`) – derselbe Token wie fürs Pushen, er braucht
 zusätzlich das Recht `issue:write`. Wer beides trennen möchte, setzt `GITEA_URL`, `GITEA_REPO` und
 `GITEA_TOKEN` in der `.env`.
 Der Abgleich legt Labels und Meilensteine an, erkennt vorhandene Issues an der Nummer im Titel,
 aktualisiert sie und schließt erledigte. Ein zweiter Lauf erzeugt keine Dubletten.
 ## Betrieb
 **Dienste:** `web` (Dashboard), `worker` (Warnregeln und Benachrichtigungen), `postgres`, dazu `migrate`,
 der nur beim Start läuft.
 ```bash
 docker compose ps                      # Zustand
 docker compose logs -f web worker      # Protokoll
 docker compose up -d --build           # nach einem Update
 ```
 **Hinter einem Reverse Proxy:** Beispiele für Caddy, nginx und Traefik liegen in
 [deploy/reverse-proxy/](deploy/reverse-proxy/). Wichtig ist, dass `X-Forwarded-For` durchgereicht wird –
 darauf stützt sich das Rate-Limit der Agent-API. `APP_URL` muss auf die öffentliche Adresse zeigen,
 sonst stimmen die Links in E-Mails und im Installations-Einzeiler nicht.
 **Zustandsprüfung:** `GET /api/gesundheit` antwortet mit `{"ok":true}`, solange die Datenbank erreichbar ist.
 ## Sicherung
 [deploy/backup.sh](deploy/backup.sh) sichert Datenbank, hochgeladene PDFs und die `.env`:
 ```bash
 ./deploy/backup.sh /var/backups/proxledger
 ```
 Für regelmäßige Sicherungen in die Crontab eintragen:
 ```
 30 2 * * * /opt/proxledger/deploy/backup.sh /var/backups/proxledger
 ```
 Zum Zurückspielen:
 ```bash
 gunzip -c datenbank-20260917-023000.sql.gz | docker compose exec -T postgres psql -U proxledger proxledger
 ```
 **Wichtig:** `APP_SECRET` mitsichern. Ohne diesen Wert sind alle Sitzungen ungültig; die Zugangsdaten für
 SMTP und Webhook liegen (noch) unverschlüsselt in der Datenbank, eine Sicherung enthält sie also im Klartext
 – siehe Issue #021.
 ## Dokumentation
 - **[Handbuch mit Bildern](docs/anleitung/README.md)** – Installation, Agent-Rollout, Rechnungen, Warnungen, Fehlersuche
 - [Architektur- und Umsetzungsplan](docs/architektur.md)
 - [Issues](docs/issues/README.md)
 - [Changelog](CHANGELOG.md) · [Devlog](DEVLOG.md)
@@ -0,0 +1,235 @@
 #!/usr/bin/env bash
 # ProxLedger-Agent installieren.
 #
 #   curl -fsSL https://dashboard.example.de/install.sh | bash -s -- --token plx_e_...
 #
 # Optionen:
 #   --token <TOKEN>   Enrollment-Token aus dem Dashboard (erforderlich)
 #   --url <URL>       Adresse des Dashboards (Standard: Herkunft dieses Skripts)
 #   --ca-cert <DATEI> eigenes CA-Zertifikat für TLS
 #   --auto-update     Agent aktualisiert sich selbst, wenn das Dashboard eine neuere Version meldet
 #   --uninstall       Agent vollständig entfernen
 #   --help            diese Hilfe
 set -o errexit
 set -o nounset
 set -o pipefail
 DASHBOARD_URL="${PROXLEDGER_URL:-@@DASHBOARD_URL@@}"
 TOKEN=""
 CA_CERT=""
 AUTO_UPDATE="no"
 AKTION="install"
 CONFIG_VERZEICHNIS="/etc/proxledger"
 CONFIG_DATEI="${CONFIG_VERZEICHNIS}/agent.conf"
 AGENT_PFAD="/usr/local/bin/proxledger-agent"
 SPOOL_VERZEICHNIS="/var/lib/proxledger/spool"
 SYSTEMD_VERZEICHNIS="/etc/systemd/system"
 hinweis() { printf '\033[1;36m›\033[0m %s\n' "$*"; }
 erfolg() { printf '\033[1;32m✓\033[0m %s\n' "$*"; }
 fehler() {
  printf '\033[1;31m✗\033[0m %s\n' "$*" >&2
  exit 1
 }
 hilfe() {
  sed -n '2,15p' "$0" | sed 's/^# \{0,1\}//'
 }
 while [ $# -gt 0 ]; do
  case "$1" in
    --token)
      TOKEN="${2:-}"
      shift 2
      ;;
    --url)
      DASHBOARD_URL="${2:-}"
      shift 2
      ;;
    --ca-cert)
      CA_CERT="${2:-}"
      shift 2
      ;;
    --auto-update)
      AUTO_UPDATE="yes"
      shift
      ;;
    --uninstall)
      AKTION="uninstall"
      shift
      ;;
    --help | -h)
      hilfe
      exit 0
      ;;
    *) fehler "Unbekannte Option: $1" ;;
  esac
 done
 [ "$(id -u)" -eq 0 ] || fehler "Bitte als root ausführen."
 deinstallieren() {
  hinweis "Entferne ProxLedger-Agent …"
  systemctl disable --now proxledger.timer >/dev/null 2>&1 || true
  systemctl stop proxledger.service >/dev/null 2>&1 || true
  rm -f "${SYSTEMD_VERZEICHNIS}/proxledger.service" "${SYSTEMD_VERZEICHNIS}/proxledger.timer"
  systemctl daemon-reload
  rm -f "$AGENT_PFAD"
  rm -rf "$CONFIG_VERZEICHNIS" "$(dirname "$SPOOL_VERZEICHNIS")"
  erfolg "Agent entfernt. Der Host bleibt im Dashboard erhalten; dort ggf. den Token widerrufen."
 }
 if [ "$AKTION" = "uninstall" ]; then
  deinstallieren
  exit 0
 fi
 [ -n "$TOKEN" ] || fehler "Enrollment-Token fehlt (--token)."
 [ -n "$DASHBOARD_URL" ] || fehler "Dashboard-Adresse fehlt (--url)."
 DASHBOARD_URL=${DASHBOARD_URL%/}
 command -v curl >/dev/null 2>&1 || fehler "curl ist nicht installiert."
 command -v systemctl >/dev/null 2>&1 || fehler "systemd wird benötigt."
 produkt_erkennen() {
  if command -v pvesubscription >/dev/null 2>&1; then
    printf 'pve'
  elif command -v proxmox-backup-manager >/dev/null 2>&1; then
    printf 'pbs'
  elif command -v pmgsubscription >/dev/null 2>&1; then
    printf 'pmg'
  fi
 }
 PRODUKT=$(produkt_erkennen)
 [ -n "$PRODUKT" ] || fehler "Kein Proxmox-Produkt gefunden (VE, Backup Server oder Mail Gateway)."
 hinweis "Produkt erkannt: ${PRODUKT}"
 # Stabile Agent-Kennung: bleibt auch nach Hardwaretausch gleich, solange das System dasselbe ist.
 maschinen_id() {
  local id=""
  [ -r /etc/machine-id ] && id=$(cat /etc/machine-id)
  [ -z "$id" ] && [ -r /var/lib/dbus/machine-id ] && id=$(cat /var/lib/dbus/machine-id)
  [ -z "$id" ] && id=$(hostname -f 2>/dev/null || hostname)
  printf '%s' "$id"
 }
 AGENT_ID=$(maschinen_id)
 HOSTNAME_KURZ=$(hostname -s 2>/dev/null || hostname)
 FQDN=$(hostname -f 2>/dev/null || printf '')
 server_id() {
  case "$PRODUKT" in
    pve) pvesubscription get 2>/dev/null | sed -n 's/^serverid:[[:space:]]*//p' | head -n1 ;;
    pbs) proxmox-backup-manager subscription get 2>/dev/null | sed -n 's/^serverid:[[:space:]]*//p' | head -n1 ;;
    pmg) pmgsubscription get 2>/dev/null | sed -n 's/^serverid:[[:space:]]*//p' | head -n1 ;;
  esac
 }
 SERVER_ID=$(server_id)
 hinweis "Registriere Host beim Dashboard …"
 ANFRAGE=$(
  cat <<JSON
 {"agentId":"${AGENT_ID}","hostname":"${HOSTNAME_KURZ}","fqdn":$([ -n "$FQDN" ] && printf '"%s"' "$FQDN" || printf 'null'),"produkt":"${PRODUKT}","serverId":$([ -n "$SERVER_ID" ] && printf '"%s"' "$SERVER_ID" || printf 'null'),"agentVersion":"@@AGENT_VERSION@@"}
 JSON
 )
 ANTWORT=$(curl --silent --show-error --max-time 30 \
  ${CA_CERT:+--cacert "$CA_CERT"} \
  --header "Content-Type: application/json" \
  --header "Authorization: Bearer ${TOKEN}" \
  --write-out '\n%{http_code}' \
  --request POST --data "$ANFRAGE" "${DASHBOARD_URL}/api/agent/v1/enroll") || fehler "Dashboard nicht erreichbar."
 HTTP_CODE=$(printf '%s' "$ANTWORT" | tail -n1)
 KOERPER=$(printf '%s' "$ANTWORT" | sed '$d')
 case "$HTTP_CODE" in
  200 | 201) ;;
  401) fehler "Enrollment-Token wurde abgelehnt (abgelaufen, widerrufen oder aufgebraucht)." ;;
  429) fehler "Zu viele Registrierungsversuche. Bitte später erneut versuchen." ;;
  *) fehler "Registrierung fehlgeschlagen (HTTP ${HTTP_CODE}): ${KOERPER}" ;;
 esac
 HOST_TOKEN=$(printf '%s' "$KOERPER" | sed -n 's/.*"token"[[:space:]]*:[[:space:]]*"\([^"]*\)".*/\1/p' | head -n1)
 [ -n "$HOST_TOKEN" ] || fehler "Dashboard hat keinen Host-Token geliefert."
 erfolg "Host registriert."
 hinweis "Installiere Agent nach ${AGENT_PFAD} …"
 curl --silent --show-error --fail --max-time 60 \
  ${CA_CERT:+--cacert "$CA_CERT"} \
  "${DASHBOARD_URL}/agent.sh" -o "${AGENT_PFAD}.neu" || fehler "Agent-Skript konnte nicht geladen werden."
 head -n1 "${AGENT_PFAD}.neu" | grep -q '^#!/usr/bin/env bash' || fehler "Heruntergeladene Datei ist kein Agent-Skript."
 install -m 755 "${AGENT_PFAD}.neu" "$AGENT_PFAD"
 rm -f "${AGENT_PFAD}.neu"
 mkdir -p "$CONFIG_VERZEICHNIS" "$SPOOL_VERZEICHNIS"
 chmod 700 "$CONFIG_VERZEICHNIS"
 umask 077
 cat >"$CONFIG_DATEI" <<CONF
 # ProxLedger-Agent – Konfiguration (von install.sh erzeugt)
 DASHBOARD_URL="${DASHBOARD_URL}"
 TOKEN="${HOST_TOKEN}"
 AGENT_ID="${AGENT_ID}"
 # Eigenes CA-Zertifikat, falls das Dashboard ein privates Zertifikat nutzt:
 CA_CERT="${CA_CERT}"
 # Agent aktualisiert sich selbst, sobald das Dashboard eine neuere Version meldet:
 AUTO_UPDATE="${AUTO_UPDATE}"
 # TLS-Prüfung niemals dauerhaft abschalten – nur für Tests:
 TLS_PRUEFEN="yes"
 CONF
 chmod 600 "$CONFIG_DATEI"
 erfolg "Konfiguration geschrieben (${CONFIG_DATEI}, Rechte 600)."
 cat >"${SYSTEMD_VERZEICHNIS}/proxledger.service" <<'UNIT'
 [Unit]
 Description=ProxLedger-Agent – meldet den Subscription-Status an das Dashboard
 Documentation=https://github.com/proxledger
 After=network-online.target
 Wants=network-online.target
 [Service]
 Type=oneshot
 ExecStart=/usr/local/bin/proxledger-agent --report
 Nice=10
 # Der Agent liest nur Systeminformationen und braucht keine erweiterten Rechte.
 NoNewPrivileges=true
 PrivateTmp=true
 ProtectSystem=full
 ProtectHome=true
 UNIT
 cat >"${SYSTEMD_VERZEICHNIS}/proxledger.timer" <<'UNIT'
 [Unit]
 Description=Täglicher ProxLedger-Report
 [Timer]
 OnCalendar=daily
 # Verteilt die Meldungen aller Hosts über vier Stunden.
 RandomizedDelaySec=4h
 Persistent=true
 Unit=proxledger.service
 [Install]
 WantedBy=timers.target
 UNIT
 systemctl daemon-reload
 systemctl enable --now proxledger.timer >/dev/null
 erfolg "systemd-Timer aktiviert (täglich, zufällig um bis zu 4 Stunden versetzt)."
 hinweis "Sende ersten Report …"
 if "$AGENT_PFAD" --report; then
  erfolg "Erster Report übertragen."
 else
  printf '\033[1;33m!\033[0m Erster Report fehlgeschlagen – er wird beim nächsten Lauf nachgesendet.\n'
 fi
 printf '\n'
 erfolg "Fertig. Status prüfen mit: systemctl list-timers proxledger.timer"
 printf '  Log ansehen:      journalctl -t proxledger -n 50\n'
 printf '  Verbindung testen: %s --test\n' "$AGENT_PFAD"
 printf '  Entfernen:        curl -fsSL %s/install.sh | bash -s -- --uninstall\n' "$DASHBOARD_URL"
@@ -0,0 +1,451 @@
 #!/usr/bin/env bash
 # ProxLedger-Agent – meldet den Subscription-Status eines Proxmox-Hosts an das Dashboard.
 # Läuft ohne zusätzliche Abhängigkeiten: nur curl und Bordmittel von Proxmox.
 #
 # Aufrufe:
 #   proxledger-agent            Report erzeugen und senden (Standard, vom systemd-Timer aufgerufen)
 #   proxledger-agent --dry-run  Report nur ausgeben, nichts senden
 #   proxledger-agent --test     Verbindung zum Dashboard prüfen
 #   proxledger-agent --update   Agent auf die vom Dashboard gemeldete Version aktualisieren
 #   proxledger-agent --version  Version ausgeben
 set -o nounset
 set -o pipefail
 AGENT_VERSION="0.2.0"
 CONFIG_DATEI="${PROXLEDGER_CONFIG:-/etc/proxledger/agent.conf}"
 SPOOL_VERZEICHNIS="${PROXLEDGER_SPOOL:-/var/lib/proxledger/spool}"
 SPOOL_MAXIMUM=30
 WARTEZEITEN=(30 120 480)
 # --------------------------------------------------------------------- Protokoll
 protokoll() {
  local stufe="$1"
  shift
  if command -v logger >/dev/null 2>&1; then
    logger -t proxledger -p "daemon.${stufe}" -- "$*" 2>/dev/null || true
  fi
  printf '%s [%s] %s\n' "$(datum_jetzt)" "$stufe" "$*" >&2
 }
 datum_jetzt() {
  date -u '+%Y-%m-%dT%H:%M:%SZ'
 }
 # --------------------------------------------------------------------- JSON-Hilfen
 # Maskiert einen Wert für JSON (ohne jq, das auf Proxmox nicht überall vorhanden ist).
 json_text() {
  local wert="$1"
  if [ -z "$wert" ]; then
    printf 'null'
    return
  fi
  wert=${wert//\\/\\\\}
  wert=${wert//\"/\\\"}
  wert=${wert//$'\t'/\\t}
  wert=${wert//$'\r'/}
  wert=${wert//$'\n'/\\n}
  # Übrige Steuerzeichen entfernen, damit immer gültiges JSON entsteht.
  wert=$(printf '%s' "$wert" | tr -d '\000-\010\013\014\016-\037')
  printf '"%s"' "$wert"
 }
 # Gibt eine Zahl aus oder null, wenn der Wert leer bzw. keine Zahl ist.
 json_zahl() {
  local wert="$1"
  if [[ "$wert" =~ ^-?[0-9]+$ ]]; then
    printf '%s' "$wert"
  else
    printf 'null'
  fi
 }
 # Baut aus Zeilen eine JSON-Liste; leere Eingabe ergibt [].
 json_liste() {
  local ausgabe="[" erste=1 zeile
  while IFS= read -r zeile; do
    [ -z "$zeile" ] && continue
    if [ $erste -eq 0 ]; then ausgabe+=","; fi
    ausgabe+=$(json_text "$zeile")
    erste=0
  done
  printf '%s]' "$ausgabe"
 }
 # --------------------------------------------------------------------- Konfiguration
 konfiguration_laden() {
  DASHBOARD_URL=""
  TOKEN=""
  CA_CERT=""
  AUTO_UPDATE="no"
  AGENT_ID=""
  TLS_PRUEFEN="yes"
  if [ -r "$CONFIG_DATEI" ]; then
    # shellcheck disable=SC1090
    . "$CONFIG_DATEI"
  fi
 }
 # --------------------------------------------------------------------- Datensammlung
 produkt_erkennen() {
  if command -v pvesubscription >/dev/null 2>&1; then
    printf 'pve'
  elif command -v proxmox-backup-manager >/dev/null 2>&1; then
    printf 'pbs'
  elif command -v pmgsubscription >/dev/null 2>&1; then
    printf 'pmg'
  else
    printf ''
  fi
 }
 subscription_ausgabe() {
  case "$1" in
    pve) pvesubscription get 2>/dev/null ;;
    pbs) proxmox-backup-manager subscription get 2>/dev/null ;;
    pmg) pmgsubscription get 2>/dev/null ;;
    *) printf '' ;;
  esac
 }
 # Liest ein Feld aus der Subscription-Ausgabe. Unterstützt "feld: wert" und JSON.
 feld_lesen() {
  local feld="$1" text="$2" wert
  wert=$(printf '%s\n' "$text" | sed -n "s/^[[:space:]]*${feld}[[:space:]]*:[[:space:]]*//p" | head -n1)
  if [ -z "$wert" ]; then
    wert=$(printf '%s\n' "$text" |
      sed -n "s/.*\"${feld}\"[[:space:]]*:[[:space:]]*\"\{0,1\}\([^\",}]*\)\"\{0,1\}.*/\1/p" | head -n1)
  fi
  # Umschließende Anführungszeichen und Leerzeichen entfernen.
  wert=${wert%\"}
  wert=${wert#\"}
  printf '%s' "$wert" | sed 's/[[:space:]]*$//'
 }
 produkt_version() {
  case "$1" in
    pve) pveversion 2>/dev/null | head -n1 ;;
    pbs) proxmox-backup-manager version 2>/dev/null | head -n1 ;;
    pmg) pmgversion 2>/dev/null | head -n1 ;;
    *) printf '' ;;
  esac
 }
 ip_adressen() {
  if command -v ip >/dev/null 2>&1; then
    ip -o addr show scope global 2>/dev/null | awk '{print $4}' | cut -d/ -f1
  else
    hostname -I 2>/dev/null | tr ' ' '\n'
  fi
 }
 cluster_name() {
  if command -v pvecm >/dev/null 2>&1; then
    pvecm status 2>/dev/null | sed -n 's/^[[:space:]]*Name:[[:space:]]*//p' | head -n1
  fi
 }
 node_name() {
  if command -v pvecm >/dev/null 2>&1 && pvecm status >/dev/null 2>&1; then
    hostname -s 2>/dev/null
  fi
 }
 cpu_sockets() {
  if command -v lscpu >/dev/null 2>&1; then
    lscpu 2>/dev/null | sed -n 's/^Socket(s):[[:space:]]*//p' | head -n1
  fi
 }
 cpu_modell() {
  if command -v lscpu >/dev/null 2>&1; then
    lscpu 2>/dev/null | sed -n 's/^Model name:[[:space:]]*//p' | head -n1
  fi
 }
 uptime_sekunden() {
  if [ -r /proc/uptime ]; then
    cut -d. -f1 /proc/uptime
  fi
 }
 paket_updates() {
  if command -v apt >/dev/null 2>&1; then
    # Die Kopfzeile "Auflistung..." zählt nicht mit.
    apt list --upgradable 2>/dev/null | grep -c 'upgradable from' || true
  fi
 }
 report_id() {
  if [ -r /proc/sys/kernel/random/uuid ]; then
    cat /proc/sys/kernel/random/uuid
  else
    printf 'report-%s-%s' "$(date -u '+%Y%m%d%H%M%S')" "$RANDOM$RANDOM"
  fi
 }
 # Erzeugt den vollständigen Report als JSON. Fehlende Werte werden zu null.
 report_erzeugen() {
  local produkt subscription key status level productname sockets serverid regdate nextduedate checktime
  produkt=$(produkt_erkennen)
  subscription=$(subscription_ausgabe "$produkt")
  key=$(feld_lesen "key" "$subscription")
  status=$(feld_lesen "status" "$subscription")
  level=$(feld_lesen "level" "$subscription")
  productname=$(feld_lesen "productname" "$subscription")
  sockets=$(feld_lesen "sockets" "$subscription")
  serverid=$(feld_lesen "serverid" "$subscription")
  regdate=$(feld_lesen "regdate" "$subscription")
  nextduedate=$(feld_lesen "nextduedate" "$subscription")
  checktime=$(feld_lesen "checktime" "$subscription")
  # Proxmox liefert Datumsangaben teils mit Uhrzeit; das Dashboard erwartet nur den Tag.
  regdate=${regdate%% *}
  nextduedate=${nextduedate%% *}
  cat <<JSON
 {
  "reportId": $(json_text "$(report_id)"),
  "agentVersion": $(json_text "$AGENT_VERSION"),
  "erhobenAm": $(json_text "$(datum_jetzt)"),
  "host": {
    "hostname": $(json_text "$(hostname -s 2>/dev/null)"),
    "fqdn": $(json_text "$(hostname -f 2>/dev/null)"),
    "ips": $(ip_adressen | json_liste),
    "clusterName": $(json_text "$(cluster_name)"),
    "nodeName": $(json_text "$(node_name)"),
    "kernel": $(json_text "$(uname -r 2>/dev/null)"),
    "uptimeSekunden": $(json_zahl "$(uptime_sekunden)"),
    "cpuModell": $(json_text "$(cpu_modell)"),
    "sockets": $(json_zahl "$(cpu_sockets)"),
    "paketUpdates": $(json_zahl "$(paket_updates)")
  },
  "produkt": {
    "typ": $(json_text "$produkt"),
    "version": $(json_text "$(produkt_version "$produkt")")
  },
  "subscription": {
    "key": $(json_text "$key"),
    "status": $(json_text "$status"),
    "level": $(json_text "$level"),
    "productname": $(json_text "$productname"),
    "sockets": $(json_zahl "$sockets"),
    "serverid": $(json_text "$serverid"),
    "regdate": $(json_text "$regdate"),
    "nextduedate": $(json_text "$nextduedate"),
    "checktime": $(json_text "$checktime")
  }
 }
 JSON
 }
 # --------------------------------------------------------------------- Versand
 curl_optionen() {
  local optionen=(--silent --show-error --max-time 30 --header "Content-Type: application/json")
  optionen+=(--header "Authorization: Bearer ${TOKEN}")
  optionen+=(--header "User-Agent: proxledger-agent/${AGENT_VERSION}")
  if [ -n "$CA_CERT" ]; then
    optionen+=(--cacert "$CA_CERT")
  fi
  if [ "$TLS_PRUEFEN" = "no" ]; then
    # Nur für Testumgebungen; die Konfiguration warnt davor.
    optionen+=(--insecure)
  fi
  printf '%s\n' "${optionen[@]}"
 }
 # Sendet einen Report; 0 = erfolgreich, 1 = Fehler.
 report_senden() {
  local nutzdaten="$1" antwort http_code
  local -a optionen
  mapfile -t optionen < <(curl_optionen)
  antwort=$(curl "${optionen[@]}" --write-out '\n%{http_code}' \
    --request POST --data "$nutzdaten" "${DASHBOARD_URL}/api/agent/v1/report" 2>&1)
  http_code=$(printf '%s' "$antwort" | tail -n1)
  case "$http_code" in
    200 | 201)
      neueste_version_merken "$antwort"
      return 0
      ;;
    401 | 403)
      protokoll err "Dashboard lehnt den Token ab (HTTP $http_code). Agent neu registrieren."
      return 1
      ;;
    "")
      protokoll warning "Dashboard nicht erreichbar."
      return 1
      ;;
    *)
      protokoll warning "Dashboard antwortet mit HTTP ${http_code}."
      return 1
      ;;
  esac
 }
 neueste_version_merken() {
  NEUESTE_VERSION=$(printf '%s' "$1" |
    sed -n 's/.*"agentVersion"[[:space:]]*:[[:space:]]*"\([^"]*\)".*/\1/p' | head -n1)
 }
 # Versucht den Versand mehrfach mit wachsenden Wartezeiten.
 mit_wiederholung_senden() {
  local nutzdaten="$1" versuch=0
  if report_senden "$nutzdaten"; then
    return 0
  fi
  for wartezeit in "${WARTEZEITEN[@]}"; do
    versuch=$((versuch + 1))
    protokoll info "Neuer Versuch ${versuch} in ${wartezeit} s."
    sleep "$wartezeit"
    if report_senden "$nutzdaten"; then
      return 0
    fi
  done
  return 1
 }
 spool_ablegen() {
  local nutzdaten="$1" datei
  mkdir -p "$SPOOL_VERZEICHNIS" 2>/dev/null || return 1
  datei="${SPOOL_VERZEICHNIS}/$(date -u '+%Y%m%d%H%M%S')-$$.json"
  printf '%s\n' "$nutzdaten" >"$datei"
  chmod 600 "$datei" 2>/dev/null || true
  protokoll info "Report zwischengespeichert: $datei"
  spool_begrenzen
 }
 # Bewahrt nur die neuesten Dateien auf, damit der Spool nicht unbegrenzt wächst.
 spool_begrenzen() {
  local anzahl
  anzahl=$(find "$SPOOL_VERZEICHNIS" -maxdepth 1 -name '*.json' 2>/dev/null | wc -l)
  if [ "$anzahl" -gt "$SPOOL_MAXIMUM" ]; then
    find "$SPOOL_VERZEICHNIS" -maxdepth 1 -name '*.json' -printf '%T@ %p\n' 2>/dev/null |
      sort -n | head -n "$((anzahl - SPOOL_MAXIMUM))" | cut -d' ' -f2- |
      while IFS= read -r alt; do rm -f "$alt"; done
  fi
 }
 # Sendet zwischengespeicherte Reports nach; erfolgreiche werden gelöscht.
 spool_nachsenden() {
  [ -d "$SPOOL_VERZEICHNIS" ] || return 0
  local datei inhalt
  for datei in "$SPOOL_VERZEICHNIS"/*.json; do
    [ -e "$datei" ] || continue
    inhalt=$(cat "$datei")
    if report_senden "$inhalt"; then
      rm -f "$datei"
      protokoll info "Nachgesendeter Report übertragen: $(basename "$datei")"
    else
      protokoll info "Nachsenden verschoben, Dashboard nicht erreichbar."
      return 0
    fi
  done
 }
 # --------------------------------------------------------------------- Aktionen
 aktion_report() {
  konfiguration_pruefen
  spool_nachsenden
  local nutzdaten
  nutzdaten=$(report_erzeugen)
  if mit_wiederholung_senden "$nutzdaten"; then
    protokoll info "Report übertragen (Agent ${AGENT_VERSION})."
    version_pruefen
    return 0
  fi
  spool_ablegen "$nutzdaten"
  return 1
 }
 aktion_test() {
  konfiguration_pruefen
  local -a optionen
  mapfile -t optionen < <(curl_optionen)
  local antwort
  antwort=$(curl "${optionen[@]}" --write-out '\n%{http_code}' "${DASHBOARD_URL}/api/agent/v1/ping")
  printf '%s\n' "$antwort"
  [ "$(printf '%s' "$antwort" | tail -n1)" = "200" ]
 }
 version_pruefen() {
  if [ -n "${NEUESTE_VERSION:-}" ] && [ "$NEUESTE_VERSION" != "$AGENT_VERSION" ]; then
    protokoll notice "Neue Agent-Version verfügbar: ${NEUESTE_VERSION} (installiert: ${AGENT_VERSION})."
    if [ "$AUTO_UPDATE" = "yes" ]; then
      aktion_update
    fi
  fi
 }
 aktion_update() {
  konfiguration_pruefen
  local ziel="/usr/local/bin/proxledger-agent" temp
  temp=$(mktemp)
  if curl --silent --show-error --fail --max-time 60 \
    ${CA_CERT:+--cacert "$CA_CERT"} \
    "${DASHBOARD_URL}/agent.sh" -o "$temp"; then
    if head -n1 "$temp" | grep -q '^#!/usr/bin/env bash'; then
      install -m 755 "$temp" "$ziel"
      rm -f "$temp"
      protokoll notice "Agent aktualisiert auf $("$ziel" --version)."
      return 0
    fi
    protokoll err "Heruntergeladene Datei ist kein Agent-Skript – Update abgebrochen."
  else
    protokoll err "Update fehlgeschlagen: Dashboard nicht erreichbar."
  fi
  rm -f "$temp"
  return 1
 }
 konfiguration_pruefen() {
  if [ -z "$DASHBOARD_URL" ] || [ -z "$TOKEN" ]; then
    protokoll err "Konfiguration unvollständig (${CONFIG_DATEI}). Bitte neu installieren."
    exit 2
  fi
  DASHBOARD_URL=${DASHBOARD_URL%/}
 }
 # --------------------------------------------------------------------- Einstieg
 konfiguration_laden
 case "${1:---report}" in
  --report | "")
    aktion_report
    ;;
  --dry-run)
    report_erzeugen
    ;;
  --test)
    aktion_test
    ;;
  --update)
    aktion_update
    ;;
  --version)
    printf '%s\n' "$AGENT_VERSION"
    ;;
  --help | -h)
    sed -n '2,12p' "$0" | sed 's/^# \{0,1\}//'
    ;;
  *)
    printf 'Unbekannte Option: %s\n' "$1" >&2
    exit 64
    ;;
 esac
@@ -0,0 +1,4 @@
 <!-- Fassung für 16 px: nur das P. -->
 <svg viewBox="0 0 48 48" xmlns="http://www.w3.org/2000/svg">
  <path fill-rule="evenodd" d="M6 2h21a14 14 0 0 1 0 28H18v16H6zM18 13h8a3 3 0 0 1 0 6h-8z" fill="#1E2A44"/>
 </svg>
@@ -0,0 +1,5 @@
 <!-- Fassung für 32 px: eine Linie, kräftigere Formen. -->
 <svg viewBox="0 0 48 48" xmlns="http://www.w3.org/2000/svg">
  <path fill-rule="evenodd" d="M7 3h20a13 13 0 0 1 0 26H17v16H7zM17 12h9a4 4 0 0 1 0 8h-9z" fill="#1E2A44"/>
  <path d="M24 38h19" stroke="#17A2B8" stroke-width="5" stroke-linecap="round"/>
 </svg>
@@ -0,0 +1,8 @@
 <!-- Fassung für Startbildschirm-Symbole: Monogramm auf dunklem Grund mit Rand. -->
 <svg viewBox="0 0 180 180" xmlns="http://www.w3.org/2000/svg">
  <rect width="180" height="180" rx="34" fill="#1E2A44"/>
  <g transform="translate(34 30) scale(2.3)">
    <path fill-rule="evenodd" d="M8 4h19a12 12 0 0 1 0 24H16v16H8zM16 11h10a5 5 0 0 1 0 10H16z" fill="#FFFFFF"/>
    <path d="M22 36h20M22 43h14" stroke="#17A2B8" stroke-width="3.5" stroke-linecap="round"/>
  </g>
 </svg>
@@ -0,0 +1,5 @@
 <!-- ProxLedger-Monogramm, Standardfassung (heller Grund). Quelle für alle abgeleiteten Dateien. -->
 <svg viewBox="0 0 48 48" xmlns="http://www.w3.org/2000/svg">
  <path fill-rule="evenodd" d="M8 4h19a12 12 0 0 1 0 24H16v16H8zM16 11h10a5 5 0 0 1 0 10H16z" fill="#1E2A44"/>
  <path d="M22 36h20M22 43h14" stroke="#17A2B8" stroke-width="3.5" stroke-linecap="round"/>
 </svg>
@@ -0,0 +1,38 @@
 #!/usr/bin/env bash
 # Sichert Datenbank und hochgeladene PDFs von ProxLedger.
 #
 #   ./backup.sh /pfad/zum/sicherungsordner
 #
 # Für regelmäßige Sicherungen in die Crontab eintragen, z. B. täglich um 02:30 Uhr:
 #   30 2 * * * /opt/proxledger/deploy/backup.sh /var/backups/proxledger
 set -o errexit
 set -o nounset
 set -o pipefail
 ZIEL="${1:-/var/backups/proxledger}"
 AUFBEWAHRUNG_TAGE="${AUFBEWAHRUNG_TAGE:-30}"
 STAND=$(date +%Y%m%d-%H%M%S)
 COMPOSE_VERZEICHNIS="${COMPOSE_VERZEICHNIS:-/opt/proxledger}"
 mkdir -p "$ZIEL"
 cd "$COMPOSE_VERZEICHNIS"
 echo "Sichere Datenbank …"
 docker compose exec -T postgres pg_dump -U "${POSTGRES_USER:-proxledger}" "${POSTGRES_DB:-proxledger}" \
  | gzip > "${ZIEL}/datenbank-${STAND}.sql.gz"
 echo "Sichere hochgeladene Dateien …"
 docker compose run --rm -T --entrypoint tar web -czf - /data/uploads > "${ZIEL}/uploads-${STAND}.tar.gz" 2>/dev/null || true
 echo "Sichere Konfiguration …"
 cp .env "${ZIEL}/env-${STAND}.txt"
 chmod 600 "${ZIEL}/env-${STAND}.txt"
 echo "Entferne Sicherungen älter als ${AUFBEWAHRUNG_TAGE} Tage …"
 find "$ZIEL" -maxdepth 1 -name "*-*.sql.gz" -mtime "+${AUFBEWAHRUNG_TAGE}" -delete
 find "$ZIEL" -maxdepth 1 -name "*-*.tar.gz" -mtime "+${AUFBEWAHRUNG_TAGE}" -delete
 find "$ZIEL" -maxdepth 1 -name "env-*.txt" -mtime "+${AUFBEWAHRUNG_TAGE}" -delete
 echo "Fertig: ${ZIEL}"
 ls -lh "$ZIEL" | tail -n 5
@@ -0,0 +1,184 @@
 #!/usr/bin/env bash
 # ProxLedger – Installation als LXC-Container auf einem Proxmox-VE-Host.
 #
 # Auf dem Proxmox-Host ausführen:
 #   bash lxc-installer.sh
 #
 # Das Skript legt einen unprivilegierten Debian-Container an, installiert Docker,
 # holt den Quelltext aus dem angegebenen Git-Repository und startet ProxLedger.
 set -o errexit
 set -o nounset
 set -o pipefail
 VORLAGE="debian-13-standard"
 STANDARD_HOSTNAME="proxledger"
 STANDARD_CPU=2
 STANDARD_RAM=2048
 STANDARD_PLATTE=12
 STANDARD_BRIDGE="vmbr0"
 blau() { printf '\033[1;36m%s\033[0m\n' "$*"; }
 gruen() { printf '\033[1;32m✓ %s\033[0m\n' "$*"; }
 gelb() { printf '\033[1;33m! %s\033[0m\n' "$*"; }
 fehler() {
  printf '\033[1;31m✗ %s\033[0m\n' "$*" >&2
  exit 1
 }
 frage() {
  local text="$1" standard="${2:-}" antwort
  if [ -n "$standard" ]; then
    read -r -p "$text [$standard]: " antwort
    printf '%s' "${antwort:-$standard}"
  else
    read -r -p "$text: " antwort
    printf '%s' "$antwort"
  fi
 }
 # --------------------------------------------------------------- Voraussetzungen
 [ "$(id -u)" -eq 0 ] || fehler "Bitte als root auf dem Proxmox-Host ausführen."
 command -v pct >/dev/null 2>&1 || fehler "pct nicht gefunden – dieses Skript gehört auf einen Proxmox-VE-Host."
 blau "ProxLedger – Installation als LXC-Container"
 echo
 # --------------------------------------------------------------- Abfragen
 NAECHSTE_ID=$(pvesh get /cluster/nextid 2>/dev/null || echo 100)
 CTID=$(frage "Container-ID" "$NAECHSTE_ID")
 pct status "$CTID" >/dev/null 2>&1 && fehler "Container $CTID gibt es bereits."
 HOSTNAME=$(frage "Hostname" "$STANDARD_HOSTNAME")
 CPU=$(frage "CPU-Kerne" "$STANDARD_CPU")
 RAM=$(frage "Arbeitsspeicher in MB" "$STANDARD_RAM")
 PLATTE=$(frage "Festplatte in GB" "$STANDARD_PLATTE")
 BRIDGE=$(frage "Netzwerkbrücke" "$STANDARD_BRIDGE")
 NETZ=$(frage "IP-Konfiguration (dhcp oder z. B. 192.168.1.50/24)" "dhcp")
 if [ "$NETZ" != "dhcp" ]; then
  GATEWAY=$(frage "Gateway" "${NETZ%.*}.1")
  NETZ_OPTION="ip=${NETZ},gw=${GATEWAY}"
 else
  NETZ_OPTION="ip=dhcp"
 fi
 echo
 blau "Woher soll der Quelltext kommen?"
 REPO=$(frage "Git-Repository (z. B. https://git.example.de/benutzer/ProxLedger.git)")
 [ -n "$REPO" ] || fehler "Ohne Repository kann nichts installiert werden."
 ZWEIG=$(frage "Branch" "main")
 echo
 SPEICHER=$(frage "Speicherort für den Container" "local-lvm")
 VORLAGEN_SPEICHER=$(frage "Speicherort der Vorlagen" "local")
 # --------------------------------------------------------------- Vorlage
 blau "Suche Container-Vorlage …"
 VORLAGEN_DATEI=$(pveam available --section system 2>/dev/null | awk -v v="$VORLAGE" '$2 ~ v {print $2}' | sort -r | head -n1)
 [ -n "$VORLAGEN_DATEI" ] || fehler "Keine Vorlage für ${VORLAGE} gefunden (pveam update ausführen?)."
 if ! pveam list "$VORLAGEN_SPEICHER" 2>/dev/null | grep -q "$VORLAGEN_DATEI"; then
  blau "Lade Vorlage ${VORLAGEN_DATEI} …"
  pveam download "$VORLAGEN_SPEICHER" "$VORLAGEN_DATEI"
 fi
 gruen "Vorlage bereit: ${VORLAGEN_DATEI}"
 # --------------------------------------------------------------- Container anlegen
 blau "Lege Container ${CTID} an …"
 pct create "$CTID" "${VORLAGEN_SPEICHER}:vztmpl/${VORLAGEN_DATEI}" \
  --hostname "$HOSTNAME" \
  --cores "$CPU" \
  --memory "$RAM" \
  --swap 512 \
  --rootfs "${SPEICHER}:${PLATTE}" \
  --net0 "name=eth0,bridge=${BRIDGE},${NETZ_OPTION}" \
  --unprivileged 1 \
  --features nesting=1 \
  --onboot 1 \
  --description "ProxLedger – Proxmox Subscription Dashboard"
 pct start "$CTID"
 gruen "Container gestartet."
 blau "Warte auf das Netzwerk …"
 for _ in $(seq 1 30); do
  pct exec "$CTID" -- ping -c1 -W1 deb.debian.org >/dev/null 2>&1 && break
  sleep 2
 done
 # --------------------------------------------------------------- Software
 blau "Installiere Docker im Container …"
 pct exec "$CTID" -- bash -c "
  set -e
  export DEBIAN_FRONTEND=noninteractive
  apt-get update -qq
  apt-get install -y -qq ca-certificates curl git openssl >/dev/null
  install -m 0755 -d /etc/apt/keyrings
  curl -fsSL https://download.docker.com/linux/debian/gpg -o /etc/apt/keyrings/docker.asc
  chmod a+r /etc/apt/keyrings/docker.asc
  echo \"deb [arch=\$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.asc] https://download.docker.com/linux/debian \$(. /etc/os-release && echo \$VERSION_CODENAME) stable\" > /etc/apt/sources.list.d/docker.list
  apt-get update -qq
  apt-get install -y -qq docker-ce docker-ce-cli containerd.io docker-compose-plugin >/dev/null
  systemctl enable --now docker >/dev/null
 "
 gruen "Docker installiert."
 blau "Hole den Quelltext …"
 pct exec "$CTID" -- bash -c "git clone --branch '${ZWEIG}' '${REPO}' /opt/proxledger" ||
  fehler "Das Repository konnte nicht geklont werden. Bei privaten Repositories einen Token in der Adresse verwenden."
 gruen "Quelltext liegt in /opt/proxledger."
 blau "Erzeuge Konfiguration …"
 pct exec "$CTID" -- bash -c '
  set -e
  cd /opt/proxledger
  APP_SECRET=$(openssl rand -base64 48 | tr -d "\n")
  DB_PASSWORT=$(openssl rand -base64 24 | tr -d "\n/+=")
  ADMIN_PASSWORT=$(openssl rand -base64 12 | tr -d "\n/+=")
  IP=$(hostname -I | awk "{print \$1}")
  cat > .env <<CONF
 POSTGRES_USER=proxledger
 POSTGRES_PASSWORD=${DB_PASSWORT}
 POSTGRES_DB=proxledger
 PORT=3000
 APP_SECRET=${APP_SECRET}
 APP_URL=http://${IP}:3000
 ADMIN_EMAIL=admin@example.de
 ADMIN_NAME=Administrator
 ADMIN_PASSWORD=${ADMIN_PASSWORT}
 CONF
  chmod 600 .env
  echo "${ADMIN_PASSWORT}" > /root/proxledger-admin-passwort.txt
  chmod 600 /root/proxledger-admin-passwort.txt
 '
 gruen "Konfiguration geschrieben (/opt/proxledger/.env, Rechte 600)."
 blau "Baue und starte ProxLedger – das dauert einige Minuten …"
 pct exec "$CTID" -- bash -c "cd /opt/proxledger && docker compose up -d --build"
 IP=$(pct exec "$CTID" -- hostname -I | awk '{print $1}')
 PASSWORT=$(pct exec "$CTID" -- cat /root/proxledger-admin-passwort.txt)
 echo
 gruen "ProxLedger läuft."
 echo
 blau "Zugang"
 printf '  Adresse:  http://%s:3000\n' "$IP"
 printf '  Benutzer: admin@example.de\n'
 printf '  Passwort: %s\n' "$PASSWORT"
 echo
 blau "Nächste Schritte"
 printf '  1. Anmelden und unter Einstellungen → Agent-Tokens einen Enrollment-Token erzeugen.\n'
 printf '  2. Auf jedem Proxmox-Host: curl -fsSL http://%s:3000/install.sh | bash -s -- --token <TOKEN>\n' "$IP"
 printf '  3. Für den Betrieb über HTTPS einen Reverse Proxy davorsetzen (Beispiele in deploy/).\n'
 echo
 gelb "APP_URL in /opt/proxledger/.env auf die endgültige Adresse setzen, sobald der Reverse Proxy steht."
 printf '  Logs ansehen:   pct exec %s -- docker compose -f /opt/proxledger/docker-compose.yml logs -f\n' "$CTID"
 printf '  Aktualisieren:  pct exec %s -- bash -c "cd /opt/proxledger && git pull && docker compose up -d --build"\n' "$CTID"
@@ -0,0 +1,6 @@
 # Caddy kümmert sich selbst um das Zertifikat.
 # Datei: /etc/caddy/Caddyfile
 proxledger.example.de {
 	reverse_proxy 127.0.0.1:3000
 }
@@ -0,0 +1,29 @@
 # nginx mit Zertifikat von certbot.
 # Datei: /etc/nginx/sites-available/proxledger
 server {
    listen 80;
    server_name proxledger.example.de;
    return 301 https://$host$request_uri;
 }
 server {
    listen 443 ssl http2;
    server_name proxledger.example.de;
    ssl_certificate     /etc/letsencrypt/live/proxledger.example.de/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/proxledger.example.de/privkey.pem;
    # Rechnungs-PDFs können größer sein als die Standardgrenze.
    client_max_body_size 12m;
    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_http_version 1.1;
        proxy_set_header Host              $host;
        proxy_set_header X-Real-IP         $remote_addr;
        # Die Agent-API wertet diese Kopfzeile für das Rate-Limit aus.
        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
 }
@@ -0,0 +1,8 @@
 # Traefik: diese Labels an den Dienst „web“ in der docker-compose.yml hängen.
 labels:
  - "traefik.enable=true"
  - "traefik.http.routers.proxledger.rule=Host(`proxledger.example.de`)"
  - "traefik.http.routers.proxledger.entrypoints=websecure"
  - "traefik.http.routers.proxledger.tls.certresolver=letsencrypt"
  - "traefik.http.services.proxledger.loadbalancer.server.port=3000"
@@ -0,0 +1,21 @@
 #!/bin/sh
 # Startet Dashboard oder Worker. Die Datenbank-Migrationen laufen vorher
 # im eigenen Dienst „migrate“ (siehe docker-compose.yml).
 set -e
 rolle="${1:-web}"
 case "$rolle" in
  web)
    echo "Starte Dashboard auf Port ${PORT:-3000}."
    exec node server.js
    ;;
  worker)
    echo "Starte Worker."
    exec node dist/worker.mjs
    ;;
  *)
    echo "Unbekannte Rolle: $rolle (erwartet: web oder worker)" >&2
    exit 64
    ;;
 esac
@@ -0,0 +1,8 @@
 // esbuild-Banner: stellt `require` in der ESM-Ausgabe bereit, damit eingebundene
 // Pakete weiterhin CommonJS-Module wie `fs` laden können.
 import { createRequire as __createRequire } from "node:module";
 import { fileURLToPath as __fileURLToPath } from "node:url";
 import { dirname as __dirname_fn } from "node:path";
 const require = __createRequire(import.meta.url);
 const __filename = __fileURLToPath(import.meta.url);
 const __dirname = __dirname_fn(__filename);
@@ -0,0 +1,23 @@
 # PostgreSQL für die lokale Entwicklung. Die vollständige Compose-Datei
 # (App + Worker + Datenbank) entsteht in #014.
 services:
  postgres:
    image: postgres:17-alpine
    container_name: proxledger-postgres-dev
    restart: unless-stopped
    environment:
      POSTGRES_USER: proxledger
      POSTGRES_PASSWORD: proxledger
      POSTGRES_DB: proxledger
    ports:
      - "5433:5432"
    volumes:
      - proxledger-dev-db:/var/lib/postgresql/data
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U proxledger"]
      interval: 5s
      timeout: 3s
      retries: 10
 volumes:
  proxledger-dev-db:
@@ -0,0 +1,89 @@
 # ProxLedger – vollständige Installation mit Dashboard, Worker und Datenbank.
 #   1. cp .env.example .env  und Werte eintragen (mindestens APP_SECRET, POSTGRES_PASSWORD, ADMIN_*, APP_URL)
 #   2. docker compose up -d
 # Migrationen und der erste Administrator entstehen dabei automatisch im Dienst „migrate“.
 services:
  postgres:
    image: postgres:17-alpine
    restart: unless-stopped
    environment:
      POSTGRES_USER: ${POSTGRES_USER:-proxledger}
      POSTGRES_PASSWORD: ${POSTGRES_PASSWORD:?POSTGRES_PASSWORD fehlt in der .env}
      POSTGRES_DB: ${POSTGRES_DB:-proxledger}
    volumes:
      - datenbank:/var/lib/postgresql/data
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U ${POSTGRES_USER:-proxledger}"]
      interval: 10s
      timeout: 5s
      retries: 10
  # Läuft einmal beim Start: Schema einspielen und Administrator anlegen.
  migrate:
    build:
      context: .
      target: bauen
    restart: "no"
    depends_on:
      postgres:
        condition: service_healthy
    command: ["sh", "-c", "npx prisma migrate deploy && npx prisma db seed"]
    environment:
      DATABASE_URL: postgresql://${POSTGRES_USER:-proxledger}:${POSTGRES_PASSWORD}@postgres:5432/${POSTGRES_DB:-proxledger}?schema=public
      ADMIN_EMAIL: ${ADMIN_EMAIL:-admin@example.de}
      ADMIN_NAME: ${ADMIN_NAME:-Administrator}
      ADMIN_PASSWORD: ${ADMIN_PASSWORD:-}
      SEED_DEMO: ${SEED_DEMO:-0}
  web:
    build: .
    restart: unless-stopped
    depends_on:
      postgres:
        condition: service_healthy
      migrate:
        condition: service_completed_successfully
    environment:
      DATABASE_URL: postgresql://${POSTGRES_USER:-proxledger}:${POSTGRES_PASSWORD}@postgres:5432/${POSTGRES_DB:-proxledger}?schema=public
      APP_SECRET: ${APP_SECRET:?APP_SECRET fehlt in der .env}
      APP_URL: ${APP_URL:-http://localhost:3000}
      ADMIN_EMAIL: ${ADMIN_EMAIL:-admin@example.de}
      ADMIN_NAME: ${ADMIN_NAME:-Administrator}
      ADMIN_PASSWORD: ${ADMIN_PASSWORD:-}
      OIDC_ISSUER: ${OIDC_ISSUER:-}
      OIDC_CLIENT_ID: ${OIDC_CLIENT_ID:-}
      OIDC_CLIENT_SECRET: ${OIDC_CLIENT_SECRET:-}
      OIDC_NAME: ${OIDC_NAME:-authentik}
    ports:
      - "${PORT:-3000}:3000"
    volumes:
      - uploads:/data
    healthcheck:
      test: ["CMD", "wget", "-qO-", "http://localhost:3000/api/gesundheit"]
      interval: 30s
      timeout: 5s
      retries: 5
      start_period: 20s
  worker:
    build: .
    restart: unless-stopped
    command: ["./start.sh", "worker"]
    depends_on:
      postgres:
        condition: service_healthy
      migrate:
        condition: service_completed_successfully
    environment:
      DATABASE_URL: postgresql://${POSTGRES_USER:-proxledger}:${POSTGRES_PASSWORD}@postgres:5432/${POSTGRES_DB:-proxledger}?schema=public
      APP_SECRET: ${APP_SECRET}
      APP_URL: ${APP_URL:-http://localhost:3000}
      WORKER_CRON: ${WORKER_CRON:-0 * * * *}
      ZUSAMMENFASSUNG_CRON: ${ZUSAMMENFASSUNG_CRON:-0 7 * * *}
    volumes:
      - uploads:/data
 volumes:
  datenbank:
  uploads:
@@ -0,0 +1,370 @@
 # ProxLedger – Handbuch
 ProxLedger zeigt auf einen Blick, welche Proxmox-Subscription zu welchem Host und zu welchem Kunden
 gehört, wann sie ausläuft und ob die Rechnungen dazu erledigt sind. Auf jedem Host meldet ein kleiner
 Agent einmal täglich seinen Status – das Dashboard fragt die Hosts nie aktiv ab und funktioniert deshalb
 auch mit Hosts hinter NAT.
 **Inhalt**
 1. [Installation](#1-installation)
 2. [Erste Anmeldung](#2-erste-anmeldung)
 3. [Agent auf einem Host ausrollen](#3-agent-auf-einem-host-ausrollen)
 4. [Hosts einem Kunden zuweisen](#4-hosts-einem-kunden-zuweisen)
 5. [Kunden und Standorte pflegen](#5-kunden-und-standorte-pflegen)
 6. [Laufzeiten und Rechnungen](#6-laufzeiten-und-rechnungen)
 7. [Warnungen](#7-warnungen)
 8. [Benachrichtigungen einrichten](#8-benachrichtigungen-einrichten)
 9. [Exporte](#9-exporte)
 10. [Sicherung und Aktualisierung](#10-sicherung-und-aktualisierung)
 11. [Fehlersuche](#11-fehlersuche)
 ---
 ## 1. Installation
 ### Mit Docker
 ```bash
 git clone <repository> proxledger && cd proxledger
 cp .env.example .env
 ```
 In der `.env` mindestens setzen:
 | Wert | Bedeutung |
 |---|---|
 | `APP_SECRET` | Schlüssel für die Sitzungen, mindestens 32 Zeichen (`openssl rand -base64 48`) |
 | `POSTGRES_PASSWORD` | Passwort der mitgelieferten Datenbank |
 | `ADMIN_EMAIL`, `ADMIN_PASSWORD` | erster Zugang zum Dashboard |
 | `APP_URL` | Adresse, unter der das Dashboard erreichbar ist |
 Dann starten:
 ```bash
 docker compose up -d
 ```
 Beim ersten Start legt der Dienst `migrate` das Datenbankschema an und erzeugt den Administrator.
 > **Wichtig:** `APP_URL` muss zur tatsächlichen Adresse passen. Davon hängt ab, ob das Sitzungs-Cookie als
 > `Secure` markiert wird – bei falscher Angabe funktioniert die Anmeldung nicht.
 ### Auf einem Proxmox-Host als LXC-Container
 ```bash
 bash deploy/lxc-installer.sh
 ```
 Das Skript fragt Container-ID, Ressourcen und Netzwerk ab, legt einen Debian-Container an, installiert
 Docker, holt den Quelltext, erzeugt Zufallspasswörter und startet alles. Am Ende stehen Adresse,
 Benutzername und Passwort auf dem Bildschirm; das Passwort liegt zusätzlich in
 `/root/proxledger-admin-passwort.txt` im Container.
 Für den dauerhaften Betrieb gehört ein Reverse Proxy mit HTTPS davor – Beispiele für Caddy, nginx und
 Traefik liegen in [`deploy/reverse-proxy/`](../../deploy/reverse-proxy/).
 ---
 ## 2. Erste Anmeldung
 ![Anmeldeseite](bilder/login.png)
 Anmelden mit der E-Mail-Adresse und dem Passwort aus der `.env`. Ist ein Anmeldedienst über OIDC
 eingerichtet (`OIDC_ISSUER`, `OIDC_CLIENT_ID`, `OIDC_CLIENT_SECRET`), erscheint zusätzlich ein Knopf
 „Mit authentik anmelden“. Der lokale Zugang bleibt absichtlich immer nutzbar – falls der Anmeldedienst
 einmal ausfällt, kommst du trotzdem hinein.
 Nach der Anmeldung landest du auf dem Dashboard:
 ![Dashboard](bilder/dashboard.png)
 Von oben nach unten:
 - **Vier Kacheln** mit den Kennzahlen: gemeldete Hosts, aktiv lizenziert, Ablauf innerhalb von 30 Tagen,
  offene Rechnungspunkte. Jede Kachel führt auf die passende gefilterte Liste.
 - **Subscriptions nach Ablaufdatum:** die nächste Fälligkeit zuerst, mit Kunde, Key und beiden
  Rechnungsständen. Rot bedeutet weniger als 14 Tage, gelb weniger als 30.
 - **Aufgaben:** was konkret zu tun ist. Das Häkchen setzt den Rechnungsstatus direkt.
 - **Rechnungsstatus je Kunde:** wie viele Punkte je Kunde erledigt sind.
 ---
 ## 3. Agent auf einem Host ausrollen
 Zuerst im Dashboard unter *Einstellungen → Agent-Tokens* einen Enrollment-Token erzeugen:
 ![Agent-Tokens](bilder/tokens.png)
 - **Bezeichnung:** wofür der Token gedacht ist, etwa „Rollout Brandl“.
 - **Hosts direkt zuordnen zu:** Wird hier ein Kunde gewählt, gehören alle mit diesem Token registrierten
  Hosts sofort zu diesem Kunden – die spätere Zuweisung entfällt.
 - **Gültigkeit und Nutzungen** begrenzen den Schaden, falls der Token verloren geht.
 Der Token wird **nur einmal angezeigt**. Direkt darunter steht der fertige Befehl. Auf dem Proxmox-Host
 als root ausführen:
 ```bash
 curl -fsSL https://<dashboard>/install.sh | bash -s -- --token plx_e_…
 ```
 Der Installer erkennt selbst, ob es sich um Proxmox VE, Backup Server oder Mail Gateway handelt,
 registriert den Host, legt die Konfiguration unter `/etc/proxledger/agent.conf` (Rechte 600) ab,
 richtet einen systemd-Timer ein und schickt sofort den ersten Report.
 Nützliche Befehle auf dem Host:
 | Befehl | Zweck |
 |---|---|
 | `proxledger-agent --test` | Verbindung zum Dashboard prüfen |
 | `proxledger-agent --dry-run` | Report anzeigen, ohne ihn zu senden |
 | `proxledger-agent` | Report sofort senden |
 | `journalctl -t proxledger -n 50` | Protokoll ansehen |
 | `systemctl list-timers proxledger.timer` | nächsten Lauf anzeigen |
 Der Timer läuft täglich mit bis zu vier Stunden Zufallsversatz, damit nicht alle Hosts gleichzeitig melden.
 Ist das Dashboard nicht erreichbar, versucht es der Agent dreimal mit wachsendem Abstand und legt den
 Report danach in `/var/lib/proxledger/spool/` ab; beim nächsten Lauf wird er nachgesendet.
 **Entfernen:**
 ```bash
 curl -fsSL https://<dashboard>/install.sh | bash -s -- --uninstall
 ```
 ---
 ## 4. Hosts einem Kunden zuweisen
 Neu registrierte Hosts ohne Kundenbindung erscheinen als Hinweis auf dem Dashboard und unter
 *Hosts → Nicht zugeordnete*:
 ![Nicht zugeordnete Hosts](bilder/nicht-zugeordnet.png)
 Mehrere Hosts auswählen, Kunde und optional Standort wählen, zuweisen – fertig. Die zugehörige Warnung
 schließt sich dabei von selbst.
 In der Host-Tabelle findest du jeden Host wieder:
 ![Host-Tabelle](bilder/hosts.png)
 Die Suche greift auf Hostname, FQDN, Subscription-Key, Server-ID, IP-Adresse, Kundenname **und
 Rechnungsnummer** zu. Die Eingabe von `pve1c-a6bd21fcb6` führt also direkt zum passenden Host samt Kunde –
 genau die Zuordnung, die im Proxmox-Shop fehlt.
 Alle Filter stehen in der Adresse: Eine gefilterte Liste lässt sich als Lesezeichen speichern oder
 weitergeben, und der Zurück-Knopf funktioniert wie erwartet.
 ---
 ## 5. Kunden und Standorte pflegen
 ![Kundenübersicht](bilder/kunden.png)
 Die Übersicht zeigt je Kunde die Anzahl der Hosts, wie viele davon aktiv lizenziert sind, den nächsten
 Ablauf, offene Warnungen und den Rechnungsstand.
 ![Kunden-Detail](bilder/kunde-detail.png)
 In der Detailansicht stehen Stammdaten, Standorte, alle Hosts, alle Laufzeiten und die Summen pro Jahr
 mit Marge. Die vier Kästen oben fassen Hosts, Einkauf, Verkauf und Marge zusammen.
 Standorte sind optional und lohnen sich bei Kunden mit mehreren Filialen: Sie erscheinen in der
 Host-Tabelle und lassen sich bei der Zuweisung mit angeben.
 ---
 ## 6. Laufzeiten und Rechnungen
 Eine **Laufzeit** ist ein Lizenzjahr eines Hosts, zum Beispiel 24.09.2026 bis 23.09.2027. Dazu gehören
 zwei Rechnungen: die **Proxmox-Rechnung** (Einkauf) und die **Kundenrechnung** (Verkauf). Die Differenz
 ist die Marge.
 Meldet ein Agent ein neues Ablaufdatum, legt ProxLedger die passende Laufzeit automatisch als Vorschlag
 an – du trägst nur noch die Rechnungsdaten ein.
 ![Rechnungen](bilder/rechnungen.png)
 In der Tabelle lassen sich die drei Häkchen direkt setzen:
 - **Proxmox bezahlt** – setzt zugleich das Bezahldatum.
 - **Kundenrechnung erstellt** – gibt es noch keine Rechnung, legt das Häkchen eine ohne Nummer an; Nummer
  und Betrag trägst du später nach.
 - **Vom Kunden bezahlt**
 Für Details die Laufzeit öffnen:
 ![Laufzeit mit beiden Rechnungen](bilder/laufzeit-detail.png)
 Dort stehen beide Rechnungen mit Nummer, Datum, Fälligkeit, Beträgen, Zahlungsart und PDF-Anhang. Ein
 Vorschlag lässt sich hier bestätigen oder verwerfen; mit dem Erfassen einer Proxmox-Rechnung gilt er
 automatisch als bestätigt.
 ### Sammelrechnungen
 Eine Proxmox-Bestellung umfasst oft mehrere Keys, eine Kundenrechnung oft mehrere Hosts. Dafür braucht es
 keinen eigenen Dialog: **Trägst du bei einer zweiten Laufzeit dieselbe Rechnungsnummer ein, wird sie als
 weitere Position an die bestehende Rechnung gehängt.** Der Rechnungsbetrag ist immer die Summe der
 Positionen und wird automatisch nachgeführt.
 ### Jahresbahn
 ![Jahresbahn](bilder/jahresbahn.png)
 Die Jahresbahn zeigt zwölf Monate mit einer Linie für „heute“, gruppiert nach Kunde. Darunter stehen die
 Abläufe der nächsten 90 Tage und die bereits abgelaufenen Subscriptions.
 ---
 ## 7. Warnungen
 ![Warnungen](bilder/warnungen.png)
 Zehn Regeln laufen stündlich und zusätzlich nach jedem eingehenden Report:
 | Regel | Meldet |
 |---|---|
 | Ablauf | Subscription läuft in 30, 14 oder 7 Tagen ab |
 | Status | Subscription ist abgelaufen, ungültig, ausgesetzt oder fehlt |
 | Sockets | lizenzierte und physische Sockets weichen ab |
 | Keine Meldung | Host meldet sich seit über 48 Stunden nicht |
 | Server-ID | Server-ID hat sich geändert (Hardwaretausch oder Neuinstallation) |
 | Key mehrfach | derselbe Key wird von mehreren Hosts gemeldet |
 | Ohne Kunde | Host ist keinem Kunden zugewiesen |
 | Proxmox-Rechnung | unbezahlt und in sieben Tagen fällig oder überfällig |
 | Kundenrechnung fehlt | Einkauf erfasst, Verkauf noch nicht erstellt |
 | Kundenrechnung offen | seit über 30 Tagen nicht bezahlt |
 Eine Warnung wird genau einmal geöffnet und **schließt sich selbst**, sobald die Ursache behoben ist.
 *Quittieren* markiert sie als gesehen, *Schließen* beendet sie von Hand – besteht die Ursache weiter,
 kommt sie beim nächsten Durchlauf zurück.
 Schwellwerte und Ein-/Ausschalter stehen unter *Einstellungen → Warnregeln*:
 ![Warnregeln](bilder/warnregeln.png)
 Mehrere Stufen werden mit Komma angegeben, etwa `30, 14, 7`. Nach dem Speichern wird sofort neu
 ausgewertet.
 ---
 ## 8. Benachrichtigungen einrichten
 ![Benachrichtigungen](bilder/benachrichtigungen.png)
 **E-Mail über Microsoft 365:** Server `smtp.office365.com`, Port 587, Benutzer und Absender identisch mit
 dem Postfach. Das Passwort wird gespeichert und nie wieder angezeigt; ein leeres Feld beim Speichern lässt
 den bisherigen Wert stehen.
 **Webhook:** beliebige Adresse, die JSON entgegennimmt – damit lassen sich Matrix, Zabbix oder Home
 Assistant anbinden. Mit hinterlegtem Geheimnis kommt die Signatur `X-ProxLedger-Signatur: sha256=…` mit,
 damit der Empfänger die Echtheit prüfen kann.
 **Zusammenfassung:** täglich oder wöchentlich um 07:00 Uhr mit offenen Warnungen, Rechnungspunkten und
 bald ablaufenden Subscriptions.
 Über *Test senden* lässt sich der Weg sofort prüfen; das Ergebnis steht im Versandprotokoll darunter.
 Zu jeder Warnung wird nur einmal benachrichtigt. Schlägt der Versand fehl, wird er beim nächsten Durchlauf
 erneut versucht.
 ---
 ## 9. Exporte
 | Ansicht | CSV | PDF |
 |---|---|---|
 | Hosts | ✓ | ✓ |
 | Kunden | ✓ | ✓ |
 | Einzelner Kunde | – | ✓ (Anlage für Kundenunterlagen) |
 | Rechnungen | ✓ | ✓ |
 Alle Exporte übernehmen die gerade aktiven Filter und enthalten sämtliche Treffer, nicht nur die
 angezeigte Seite. CSV kommt als UTF-8 mit BOM und Semikolon – Excel öffnet die Datei ohne Umwege, Umlaute
 und Beträge stimmen.
 Die PDF-Ausgaben tragen das einfarbige Logo und eignen sich als Anlage für Kundenunterlagen oder als
 Jahresliste für die Buchhaltung.
 ---
 ## 10. Sicherung und Aktualisierung
 **Sichern:**
 ```bash
 ./deploy/backup.sh /var/backups/proxledger
 ```
 Das Skript sichert Datenbank, hochgeladene PDFs und die `.env`. Für regelmäßige Sicherungen in die
 Crontab eintragen:
 ```
 30 2 * * * /opt/proxledger/deploy/backup.sh /var/backups/proxledger
 ```
 **Zurückspielen:**
 ```bash
 gunzip -c datenbank-20260917-023000.sql.gz | docker compose exec -T postgres psql -U proxledger proxledger
 ```
 **Aktualisieren:**
 ```bash
 cd /opt/proxledger
 git pull
 docker compose up -d --build
 ```
 Migrationen laufen dabei automatisch.
 > `APP_SECRET` unbedingt mitsichern: Ohne diesen Wert sind alle Sitzungen ungültig. Und beachte, dass eine
 > Sicherung die Zugangsdaten für SMTP und Webhook im Klartext enthält – sie gehört entsprechend geschützt.
 ---
 ## 11. Fehlersuche
 **Ein Host meldet sich nicht.**
 Auf dem Host `proxledger-agent --test` ausführen. Kommt keine Antwort, prüfen, ob das Dashboard vom Host
 aus erreichbar ist (Firewall, DNS) und ob der Host-Token noch gültig ist – unter *Einstellungen →
 Agent-Tokens* steht, wann er zuletzt benutzt wurde. Liegen Dateien in `/var/lib/proxledger/spool/`,
 wartet der Agent auf eine Verbindung und sendet später nach.
 **Nach der Anmeldung lande ich wieder auf der Anmeldeseite.**
 Dann passt `APP_URL` nicht zur tatsächlichen Adresse: Steht dort `https://`, das Dashboard läuft aber über
 `http://`, verwirft der Browser das Sitzungs-Cookie. `APP_URL` korrigieren und neu starten.
 **Eine Warnung taucht immer wieder auf.**
 Das ist beabsichtigt: Warnungen beschreiben einen Zustand. Solange die Ursache besteht, öffnet die nächste
 Auswertung sie erneut. Passt der Schwellwert nicht, lässt er sich unter *Einstellungen → Warnregeln*
 ändern, oder die Regel wird abgeschaltet.
 **Server-ID hat sich geändert.**
 Nach Hardwaretausch oder Neuinstallation vergibt Proxmox eine neue Server-ID. Der Key muss dann im
 Proxmox-Shop neu zugewiesen werden. ProxLedger behält den Host samt Historie – die alte und die neue
 Server-ID stehen in der Detailansicht unter *Subscription-Historie*.
 **Was ist wann passiert?**
 *Einstellungen → Protokoll* zeigt jede Änderung mit Zeitpunkt, Aktion und Benutzer.
 ![Protokoll](bilder/audit.png)
 ---
 ## Anhang: dunkles Design und Mobilansicht
 Das Dashboard folgt der Einstellung des Betriebssystems und lässt sich über das Mondsymbol in der
 Kopfleiste umschalten.
 ![Dashboard im dunklen Design](bilder/dashboard-dunkel.png)
 Auf dem Handy klappt die Seitenleiste ein, und die großen Tabellen blenden gestaffelt Spalten aus, sodass
 Host, Kunde, Status und Ablauf ohne seitliches Scrollen sichtbar bleiben.
 ![Host-Tabelle auf dem Handy](bilder/mobil-hosts.png)
 ---
 *Die Bilder in diesem Handbuch entstehen mit `npm run screenshots -- --alle` aus einer laufenden
 Installation mit Beispieldaten und sollten vor jeder Veröffentlichung aufgefrischt werden.*
@@ -1,8 +1,8 @@
 # #001 Projekt-Setup
-**Status:** in Arbeit
+**Status:** erledigt
 **Meilenstein:** v0.1.0
 **Labels:** chore, infrastruktur
-**Geschätzt:** 3 h   **Tatsächlich:** –
+**Geschätzt:** 3 h   **Tatsächlich:** 0 h 08 min
 ## Ziel
 Arbeitsfähiges Repository mit Projektorganisation (Devlog, Changelog, Issues) und einem lauffähigen Next.js-Grundgerüst inklusive AdminLTE-CSS, Linting und Prisma-Grundkonfiguration.
@@ -12,16 +12,16 @@ Arbeitsfähiges Repository mit Projektorganisation (Devlog, Changelog, Issues) u
 - [x] `DEVLOG.md`, `CHANGELOG.md`, `docs/issues/` mit Übersicht
 - [x] Architektur- und Umsetzungsplan (`docs/architektur.md`)
 - [x] Issues pro Phase anlegen
- [ ] Next.js (App Router, TypeScript strict, `src/`) aufsetzen
+- [x] Next.js (App Router, TypeScript strict, `src/`) aufsetzen
- [ ] Abhängigkeiten: `admin-lte`, `bootstrap`, `bootstrap-icons`, zod
+- [x] Abhängigkeiten: `admin-lte`, `bootstrap`, `bootstrap-icons`, zod
- [ ] ESLint + Prettier, `npm run lint`, `npm run typecheck`
+- [x] ESLint + Prettier, `npm run lint`, `npm run typecheck`
- [ ] Version `0.1.0-dev` in `package.json`, Versionsanzeige-Helfer
+- [x] Version `0.1.0-dev` in `package.json`, Versionsanzeige-Helfer
- [ ] Vitest-Grundkonfiguration
+- [x] Vitest-Grundkonfiguration
 ## Akzeptanzkriterien
- [ ] `npm run dev` startet ohne Fehler
+- [x] `npm run dev` startet ohne Fehler
- [ ] `npm run lint` und `npm run typecheck` sind grün
+- [x] `npm run lint` und `npm run typecheck` sind grün
- [ ] Keine Remote-URL in Projektdateien
+- [x] Keine Remote-URL in Projektdateien
 ## Abhängigkeiten
 –
@@ -1,31 +1,34 @@
 # #002 Klickbarer Prototyp
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.1.0
 **Labels:** ui, prototyp
-**Geschätzt:** 8 h   **Tatsächlich:** –
+**Geschätzt:** 8 h   **Tatsächlich:** 0 h 20 min
 ## Ziel
 Klickbarer UI-Prototyp der Seiten „Dashboard“, „Kunden-Detail“ und „Host-Detail“ mit realistischen Beispieldaten und ohne Backend, als Abstimmungsgrundlage für Look & Feel. Die Komponenten werden in den späteren Phasen weiterverwendet.
 ## Aufgaben
- [ ] Logo-Komponente (Standard, Sidebar-Variante, einfarbig, Favicon 32/16) + `favicon.svg`, `favicon.ico`, PNGs, `apple-touch-icon`
+- [x] Logo-Komponente (Standard, Sidebar-Variante, einfarbig, Favicon 32/16) + `favicon.svg`, `favicon.ico`, PNGs, `apple-touch-icon`
- [ ] Theme: Farb-Tokens (abgedunkelte Info/Erfolg), Source Sans 3 (16 px), Monospace-Klasse mit Kopier-Button
+- [x] Theme: Farb-Tokens (abgedunkelte Info/Erfolg), Source Sans 3 (16 px), Monospace-Klasse mit Kopier-Button
- [ ] Layout: Sidebar (250 px, einklappbar, Overlay mobil), Kopfleiste, Inhaltskopf mit Breadcrumb, Footer mit Version
+- [x] Layout: Sidebar (250 px, einklappbar, Overlay mobil), Kopfleiste, Inhaltskopf mit Breadcrumb, Footer mit Version
- [ ] Komponenten: SmallBox, InfoBox, Card, Badge, Callout, TodoList, ProgressBar, Tabs, CopyableCode
+- [x] Komponenten: SmallBox, InfoBox, Card, Badge, Callout, TodoList, ProgressBar, Tabs, CopyableCode
- [ ] Beispieldaten (`src/mock/`): 4 Kunden, ~8 Hosts (PVE/PBS/PMG), Laufzeiten, Rechnungen, Alerts
+- [x] Beispieldaten (`src/mock/`): 4 Kunden, ~8 Hosts (PVE/PBS/PMG), Laufzeiten, Rechnungen, Alerts
- [ ] Dashboard: 4 Small Boxes, Callout „Nicht zugeordnete Hosts“, Card „Subscriptions nach Ablauf“, Card „Aufgaben“, Card „Rechnungsstatus je Kunde“
+- [x] Dashboard: 4 Small Boxes, Callout „Nicht zugeordnete Hosts“, Card „Subscriptions nach Ablauf“, Card „Aufgaben“, Card „Rechnungsstatus je Kunde“
- [ ] Kunden-Detail: Info-Boxen (Hosts, Einkauf, Verkauf, Marge), Host-Tabelle, Laufzeiten-Tabelle, Summen pro Jahr, Ansprechpartner, Notizen
+- [x] Kunden-Detail: Info-Boxen (Hosts, Einkauf, Verkauf, Marge), Host-Tabelle, Laufzeiten-Tabelle, Summen pro Jahr, Ansprechpartner, Notizen
- [ ] Host-Detail: Profil-Card + Tabs Übersicht, Subscription-Historie, Reports, Rechnungen, Notizen
+- [x] Host-Detail: Profil-Card + Tabs Übersicht, Subscription-Historie, Reports, Rechnungen, Notizen
- [ ] Warnglocke mit Dropdown, Strg+K-Suchdialog (clientseitig über Mock-Daten)
+- [x] Warnglocke mit Dropdown, Strg+K-Suchdialog (clientseitig über Mock-Daten)
- [ ] Dark-Mode-Umschalter (Grundfunktion)
+- [x] Dark-Mode-Umschalter (Grundfunktion)
 ## Akzeptanzkriterien
- [ ] Alle drei Seiten sind über Sidebar/Links erreichbar und klickbar
+- [x] Alle drei Seiten sind über Sidebar/Links erreichbar und klickbar
- [ ] Suche nach `pve1c-a6bd21fcb6` findet Host und Kunde
+- [x] Suche nach `pve1c-a6bd21fcb6` findet Host und Kunde
- [ ] Mobil (375 px) benutzbar: Sidebar als Overlay, Tabellen scrollbar
+- [x] Mobil (375 px) benutzbar: Sidebar als Overlay, Tabellen scrollbar
- [ ] Weiße Schrift auf Info/Erfolg erfüllt 4,5:1
+- [x] Weiße Schrift auf Info/Erfolg erfüllt 4,5:1
 ## Abhängigkeiten
 #001
 ## Notizen / Entscheidungen
 - Favicon-Dateien (`favicon.ico`, PNG-Größen, `apple-touch-icon`) fehlen noch; das Logo liegt als React-Komponente vor. Nachziehen in #007.
 - Screenshots des Prototyps liegen in `docs/anleitung/bilder/` und dienen als Grundlage für #016.
 - Auf dem Dashboard zeigt die Spalte „Proxmox“ bewusst die Rechnung der Verlängerung (Laufzeit, die am `nextduedate` beginnt), nicht die der laufenden Periode.
@@ -1,24 +1,24 @@
 # #003 Datenmodell und Migrationen
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.1.0
 **Labels:** backend, datenbank
-**Geschätzt:** 5 h   **Tatsächlich:** –
+**Geschätzt:** 5 h   **Tatsächlich:** 0 h 25 min
 ## Ziel
 Vollständiges Prisma-Schema gemäß `docs/architektur.md` Abschnitt 3, erste Migration, Seed mit Admin-User und optionalen Demo-Daten.
 ## Aufgaben
- [ ] Docker-Compose für lokale Entwicklung (nur PostgreSQL)
+- [x] Docker-Compose für lokale Entwicklung (nur PostgreSQL)
- [ ] Prisma-Schema: Customer, Site, Host, Tag, Report, SubscriptionKey, ServerIdHistory, SubscriptionPeriod, PurchaseInvoice(+Item), SalesInvoice(+Item), Attachment, AgentToken, EnrollmentToken, Alert, Notification, AlertRuleSetting, NotificationChannel, User, AuditLog, Setting
+- [x] Prisma-Schema: Customer, Site, Host, Tag, Report, SubscriptionKey, ServerIdHistory, SubscriptionPeriod, PurchaseInvoice(+Item), SalesInvoice(+Item), Attachment, AgentToken, EnrollmentToken, Alert, Notification, AlertRuleSetting, NotificationChannel, User, AuditLog, Setting
- [ ] Indizes für Suche (Key, Server-ID, Hostname, IP, Rechnungsnummer)
+- [x] Indizes für Suche (Key, Server-ID, Hostname, IP, Rechnungsnummer)
- [ ] Erste Migration
+- [x] Erste Migration
- [ ] Seed: Admin-User aus Umgebungsvariablen, Standard-Warnregeln, optional Demo-Daten (`SEED_DEMO=1`)
+- [x] Seed: Admin-User aus Umgebungsvariablen, Standard-Warnregeln, optional Demo-Daten (`SEED_DEMO=1`)
- [ ] DB-Client-Singleton, Test-Datenbank-Setup für Vitest
+- [x] DB-Client-Singleton, Test-Datenbank-Setup für Vitest
 ## Akzeptanzkriterien
- [ ] `npx prisma migrate dev` läuft auf leerer DB durch
+- [x] `npx prisma migrate dev` läuft auf leerer DB durch
- [ ] `npx prisma db seed` legt Admin und Standard-Regeln an, idempotent
+- [x] `npx prisma db seed` legt Admin und Standard-Regeln an, idempotent
- [ ] Beträge als Decimal, Zeitstempel in UTC
+- [x] Beträge als Decimal, Zeitstempel in UTC
 ## Abhängigkeiten
 #001
@@ -26,3 +26,7 @@ Vollständiges Prisma-Schema gemäß `docs/architektur.md` Abschnitt 3, erste Mi
 ## Notizen / Entscheidungen
 - Host-Identität über Agent-Token/`agentId`, nicht über Server-ID (siehe Architektur).
 - Rechnungen als eigene Entitäten mit Positionen, damit Sammelbestellungen und Sammelrechnungen abbildbar sind.
 - Prisma 7.10.0 statt der npm-Kennzeichnung „latest“: dort liegt derzeit ein Release Candidate (8.0.0-rc).
 - Prisma 7 benötigt einen Treiber-Adapter; im Einsatz ist `@prisma/adapter-pg`.
 - Der Seed legt Demo-Daten aus `src/mock/data.ts` an, damit Prototyp und Datenbank dieselben Beispiele zeigen. Die Sammelrechnung PX-2025-88213 deckt bewusst zwei Laufzeiten ab.
 - Passwörter werden mit argon2id gehasht (`@node-rs/argon2`, vorkompiliert – kein Build-Toolchain nötig).
@@ -1,28 +1,33 @@
 # #004 Agent-API
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.1.0
 **Labels:** backend, api, sicherheit
-**Geschätzt:** 6 h   **Tatsächlich:** –
+**Geschätzt:** 6 h   **Tatsächlich:** 0 h 20 min
 ## Ziel
 Getrennte, abgesicherte API unter `/api/agent/v1`, über die sich Agents registrieren und Reports abliefern.
 ## Aufgaben
- [ ] Token-Bibliothek: Erzeugung (Präfix `plx_e_`/`plx_h_`), SHA-256-Hash, Prüfung, Widerruf, `lastUsedAt`
+- [x] Token-Bibliothek: Erzeugung (Präfix `plx_e_`/`plx_h_`), SHA-256-Hash, Prüfung, Widerruf, `lastUsedAt`
- [ ] `POST /enroll`: Enrollment-Token prüfen (Ablauf, Nutzungen), Host anlegen oder Neuinstallation erkennen, Host-Token ausgeben, optionale Kunden-/Standort-Zuordnung
+- [x] `POST /enroll`: Enrollment-Token prüfen (Ablauf, Nutzungen), Host anlegen oder Neuinstallation erkennen, Host-Token ausgeben, optionale Kunden-/Standort-Zuordnung
- [ ] `POST /report`: zod-Schema (alle Felder nullable), idempotent über `reportId`, Transaktion (Report, Stammdaten, Key-Historie, Server-ID-Historie, Laufzeitvorschlag)
+- [x] `POST /report`: zod-Schema (alle Felder nullable), idempotent über `reportId`, Transaktion (Report, Stammdaten, Key-Historie, Server-ID-Historie, Laufzeitvorschlag)
- [ ] `GET /ping`
+- [x] `GET /ping`
- [ ] Rate-Limiting (pro IP und Token), `429` mit `Retry-After`
+- [x] Rate-Limiting (pro IP und Token), `429` mit `Retry-After`
- [ ] Einheitliche Fehlerantworten (JSON), kein Stacktrace nach außen
+- [x] Einheitliche Fehlerantworten (JSON), kein Stacktrace nach außen
- [ ] Tests: Auth (fehlend/falsch/widerrufen/abgelaufen), Validierung, Idempotenz, Key-Wechsel, Server-ID-Wechsel, Laufzeitvorschlag, Rate-Limit
+- [x] Tests: Auth (fehlend/falsch/widerrufen/abgelaufen), Validierung, Idempotenz, Key-Wechsel, Server-ID-Wechsel, Laufzeitvorschlag, Rate-Limit
 ## Akzeptanzkriterien
- [ ] Report mit ausschließlich `null`-Feldern (außer Pflicht-Metadaten) wird angenommen
+- [x] Report mit ausschließlich `null`-Feldern (außer Pflicht-Metadaten) wird angenommen
- [ ] Tokens liegen nur gehasht in der DB
+- [x] Tokens liegen nur gehasht in der DB
- [ ] UI-Session-Cookies werden von der Agent-API ignoriert
+- [x] UI-Session-Cookies werden von der Agent-API ignoriert
- [ ] Alle Tests grün
+- [x] Alle Tests grün
 ## Abhängigkeiten
 #003
 ## Notizen / Entscheidungen
 - Endpunkte: `POST /api/agent/v1/enroll`, `POST /api/agent/v1/report`, `GET /api/agent/v1/ping`.
 - Antworten enthalten `agentVersion`, damit der Agent ein Update erkennen kann (#005).
 - Nachgesendete ältere Reports werden gespeichert, überschreiben den aktuellen Hoststand aber nicht.
 - Ein Report mit neuem `nextduedate` legt automatisch eine Laufzeit im Status VORSCHLAG an.
 - Die Auslieferung von `install.sh` und `agent.sh` gehört zu #005.
@@ -1,31 +1,38 @@
 # #005 Agent-Skript
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.2.0
 **Labels:** agent
-**Geschätzt:** 8 h   **Tatsächlich:** –
+**Geschätzt:** 8 h   **Tatsächlich:** 0 h 25 min
 ## Ziel
 Schlanker Bash-Agent (nur `curl` und Proxmox-Bordmittel), der täglich per systemd-Timer seinen Status meldet, mit One-Liner-Installation.
 ## Aufgaben
- [ ] Produkterkennung PVE / PBS / PMG
+- [x] Produkterkennung PVE / PBS / PMG
- [ ] Datensammlung: Subscription (key, status, level, productname, sockets, serverid, regdate, nextduedate, checktime), Hostname, FQDN, IPs, Cluster/Node, Version, Kernel, Sockets, CPU-Modell, Uptime, Updates, Agent-Version, Zeitstempel
+- [x] Datensammlung: Subscription (key, status, level, productname, sockets, serverid, regdate, nextduedate, checktime), Hostname, FQDN, IPs, Cluster/Node, Version, Kernel, Sockets, CPU-Modell, Uptime, Updates, Agent-Version, Zeitstempel
- [ ] JSON-Erzeugung ohne `jq` inkl. Escaping, fehlende Werte als `null`
+- [x] JSON-Erzeugung ohne `jq` inkl. Escaping, fehlende Werte als `null`
- [ ] Senden mit Retry/Backoff, Spool-Verzeichnis, Nachsenden
+- [x] Senden mit Retry/Backoff, Spool-Verzeichnis, Nachsenden
- [ ] TLS-Verifikation, optional eigenes CA-Zertifikat
+- [x] TLS-Verifikation, optional eigenes CA-Zertifikat
- [ ] Logging ins Journal
+- [x] Logging ins Journal
- [ ] `install.sh`: `--token`, `--url`, `--ca-cert`; Config `/etc/proxledger/agent.conf` (600); Service + Timer (`RandomizedDelaySec`); erster Report sofort
+- [x] `install.sh`: `--token`, `--url`, `--ca-cert`; Config `/etc/proxledger/agent.conf` (600); Service + Timer (`RandomizedDelaySec`); erster Report sofort
- [ ] `--uninstall`, `--update`, `--test`
+- [x] `--uninstall`, `--update`, `--test`
- [ ] Auslieferung von `install.sh`/Agent über das Dashboard
+- [x] Auslieferung von `install.sh`/Agent über das Dashboard
- [ ] ShellCheck sauber; Tests mit Beispielausgaben der `*subscription get`-Befehle
+- [x] ShellCheck sauber; Tests mit Beispielausgaben der `*subscription get`-Befehle
 ## Akzeptanzkriterien
- [ ] Installation per One-Liner auf PVE 8/9 und PBS 3/4 erfolgreich
+- [x] Installation per One-Liner auf PVE 8/9 und PBS 3/4 erfolgreich
- [ ] Report scheitert nicht an fehlenden Befehlen/Feldern
+- [x] Report scheitert nicht an fehlenden Befehlen/Feldern
- [ ] Dashboard offline → Report wird gepuffert und beim nächsten Lauf nachgesendet
+- [x] Dashboard offline → Report wird gepuffert und beim nächsten Lauf nachgesendet
- [ ] Uninstall entfernt Units, Config und Spool vollständig
+- [x] Uninstall entfernt Units, Config und Spool vollständig
 ## Abhängigkeiten
 #004
 ## Notizen / Entscheidungen
 - Tests ersetzen `pvesubscription` und Co. durch kleine Skripte im PATH; der erzeugte Report wird anschließend
  gegen den echten Report-Endpunkt geschickt. Damit ist das Zusammenspiel Agent → API abgesichert.
 - `--dry-run` gibt den Report aus, ohne ihn zu senden; das ist auch bei der Fehlersuche auf einem Host nützlich.
 - Ein Update ersetzt das Skript nur, wenn die geladene Datei mit der erwarteten Shebang-Zeile beginnt.
 - ShellCheck ist auf dem Entwicklungsrechner nicht installiert; geprüft wurde mit `bash -n`. Prüfung mit ShellCheck
  gehört in die spätere CI (#014).
 - Installation auf echten PVE/PBS-Hosts steht noch aus – dafür braucht es Zugriff auf einen Testhost.
@@ -1,27 +1,34 @@
 # #006 Kunden, Standorte und Hostzuweisung
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.3.0
 **Labels:** ui, backend
-**Geschätzt:** 6 h   **Tatsächlich:** –
+**Geschätzt:** 6 h   **Tatsächlich:** 0 h 35 min
 ## Ziel
 Kunden und Standorte pflegen, neu registrierte Hosts schnell Kunden zuweisen und Enrollment-Tokens verwalten.
 ## Aufgaben
- [ ] Kunden anlegen/bearbeiten/löschen (Name, Kundennummer, Ansprechpartner, E-Mail, Notizen)
+- [x] Kunden anlegen/bearbeiten/löschen (Name, Kundennummer, Ansprechpartner, E-Mail, Notizen)
- [ ] Standorte je Kunde
+- [x] Standorte je Kunde
- [ ] Seite „Nicht zugeordnete Hosts“ mit Mehrfachauswahl und Schnellzuweisung (Kunde + Standort)
+- [x] Seite „Nicht zugeordnete Hosts“ mit Mehrfachauswahl und Schnellzuweisung (Kunde + Standort)
- [ ] Callout auf dem Dashboard, solange nicht zugeordnete Hosts existieren
+- [x] Callout auf dem Dashboard, solange nicht zugeordnete Hosts existieren
- [ ] Enrollment-Tokens: erzeugen (Ablauf, max. Nutzungen, optional Kunde/Standort), anzeigen (einmalig), widerrufen; Install-One-Liner zum Kopieren
+- [x] Enrollment-Tokens: erzeugen (Ablauf, max. Nutzungen, optional Kunde/Standort), anzeigen (einmalig), widerrufen; Install-One-Liner zum Kopieren
- [ ] Host-Tokens widerrufen
+- [x] Host-Tokens widerrufen
- [ ] Audit-Log-Einträge für alle Änderungen
+- [x] Audit-Log-Einträge für alle Änderungen
 ## Akzeptanzkriterien
- [ ] Mehrere Hosts lassen sich in einem Schritt zuweisen
+- [x] Mehrere Hosts lassen sich in einem Schritt zuweisen
- [ ] Mit kundengebundenem Enrollment-Token registrierte Hosts sind sofort zugeordnet
+- [x] Mit kundengebundenem Enrollment-Token registrierte Hosts sind sofort zugeordnet
- [ ] Widerrufener Token wird von der Agent-API abgewiesen
+- [x] Widerrufener Token wird von der Agent-API abgewiesen
 ## Abhängigkeiten
 #002, #004
 ## Notizen / Entscheidungen
 - Das Dashboard wurde gleich mit auf die Datenbank umgestellt (eigentlich #009). Sonst hätte eine gerade
  vorgenommene Zuweisung dort weiter als „nicht zugeordnet“ gestanden – ein irreführender Zwischenzustand.
 - Die Zuweisungslogik liegt als Service (`src/server/services/zuweisung.ts`) neben der Server Action,
  damit sie ohne Next.js-Laufzeit testbar ist.
 - Alle Dashboard-Seiten rendern dynamisch (`force-dynamic`); beim Vorrendern öffnete sonst jeder Build-Worker
  eigene Datenbankverbindungen und der Build brach mit „TooManyConnections“ ab.
 - Noch auf Beispieldaten: Host-Tabelle, Host-Detail, Rechnungen und Jahresbahn (folgen in #007 bis #009).
@@ -1,25 +1,33 @@
 # #007 Host-Tabelle, Suche und Detailansichten
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.4.0
 **Labels:** ui
-**Geschätzt:** 8 h   **Tatsächlich:** –
+**Geschätzt:** 8 h   **Tatsächlich:** 0 h 25 min
 ## Ziel
 Hosts finden, filtern und vollständig einsehen.
 ## Aufgaben
- [ ] Host-Tabelle (serverseitig): Filter Kunde, Status, Produkt, Ablauf, Rechnungsstatus; Sortierung; Spaltenauswahl; Paginierung; CSV-Export
+- [x] Host-Tabelle (serverseitig): Filter Kunde, Status, Produkt, Ablauf, Rechnungsstatus; Sortierung; Spaltenauswahl; Paginierung; CSV-Export
- [ ] Suche nach Key, Server-ID, Hostname, IP, Proxmox-Rechnungsnummer
+- [x] Suche nach Key, Server-ID, Hostname, IP, Proxmox-Rechnungsnummer
- [ ] Globale Suche in der Kopfleiste und Sidebar, `Strg+K`
+- [x] Globale Suche in der Kopfleiste und Sidebar, `Strg+K`
- [ ] Host-Detail: Profil-Card, Tabs Übersicht, Subscription-Historie, Reports, Rechnungen, Notizen; Tags
+- [x] Host-Detail: Profil-Card, Tabs Übersicht, Subscription-Historie, Reports, Rechnungen, Notizen; Tags
- [ ] Kopier-Buttons für Key, Server-ID, Rechnungsnummer
+- [x] Kopier-Buttons für Key, Server-ID, Rechnungsnummer
- [ ] Badge „Keine Meldung“
+- [x] Badge „Keine Meldung“
 ## Akzeptanzkriterien
- [ ] Eingabe `pve1c-a6bd21fcb6` liefert direkt Host und Kunde
+- [x] Eingabe `pve1c-a6bd21fcb6` liefert direkt Host und Kunde
- [ ] Filter bleiben in der URL erhalten (teilbar, Zurück-Button funktioniert)
+- [x] Filter bleiben in der URL erhalten (teilbar, Zurück-Button funktioniert)
 ## Abhängigkeiten
 #006
 ## Notizen / Entscheidungen
 - Filter, Sortierung und Seite stehen in der Adresse; eine gefilterte Liste ist damit teilbar und der
  Zurück-Knopf funktioniert.
 - Sortierung stellt Hosts ohne Ablaufdatum bzw. ohne Meldung immer ans Ende (`nulls: "last"`), sonst stünden
  sie beim absteigenden Sortieren ganz oben.
 - Die Suche findet auch über Proxmox- und Kundenrechnungsnummern zum Host.
 - Der CSV-Export übernimmt die aktiven Filter und liefert alle Treffer, nicht nur die angezeigte Seite.
 - **Zurückgestellt:** frei wählbare Spalten. Die Tabelle hat acht feste Spalten und passt damit auf einen
  Bildschirm; eine Spaltenauswahl lohnt erst bei deutlich mehr Feldern. Bei Bedarf als eigenes Issue nachziehen.
@@ -1,28 +1,37 @@
 # #008 Laufzeiten und Rechnungen
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.5.0
 **Labels:** ui, backend, buchhaltung
-**Geschätzt:** 10 h   **Tatsächlich:** –
+**Geschätzt:** 10 h   **Tatsächlich:** 0 h 35 min
 ## Ziel
 Lizenzjahre mit Proxmox-Einkaufsrechnung und Kundenrechnung erfassen und den Status schnell pflegen.
 ## Aufgaben
- [ ] Laufzeitvorschlag bei neuem `nextduedate` bestätigen/verwerfen
+- [x] Laufzeitvorschlag bei neuem `nextduedate` bestätigen/verwerfen
- [ ] Laufzeit manuell anlegen/bearbeiten
+- [x] Laufzeit manuell anlegen/bearbeiten
- [ ] Proxmox-Rechnung erfassen (auch Sammelrechnung über mehrere Laufzeiten), PDF-Upload
+- [x] Proxmox-Rechnung erfassen (auch Sammelrechnung über mehrere Laufzeiten), PDF-Upload
- [ ] Kundenrechnung erfassen (auch Sammelrechnung), PDF-Upload
+- [x] Kundenrechnung erfassen (auch Sammelrechnung), PDF-Upload
- [ ] Marge pro Laufzeit, Kunde und Jahr berechnen
+- [x] Marge pro Laufzeit, Kunde und Jahr berechnen
- [ ] Rechnungsübersicht: alle Laufzeiten, Umschalter „Proxmox bezahlt“ / „Kundenrechnung erstellt“ direkt in der Zeile, Filter Offen/Erledigt/Alle, Kunde, Zeitraum
+- [x] Rechnungsübersicht: alle Laufzeiten, Umschalter „Proxmox bezahlt“ / „Kundenrechnung erstellt“ direkt in der Zeile, Filter Offen/Erledigt/Alle, Kunde, Zeitraum
- [ ] Sidebar-Badge offene Rechnungspunkte
+- [x] Sidebar-Badge offene Rechnungspunkte
- [ ] Aufgaben-Card auf dem Dashboard mit echten Aktionen
+- [x] Aufgaben-Card auf dem Dashboard mit echten Aktionen
 ## Akzeptanzkriterien
- [ ] Umschalten in der Tabelle wirkt sofort und wird im Audit-Log protokolliert
+- [x] Umschalten in der Tabelle wirkt sofort und wird im Audit-Log protokolliert
- [ ] Summen Einkauf/Verkauf/Marge stimmen mit Einzelwerten überein (Tests)
+- [x] Summen Einkauf/Verkauf/Marge stimmen mit Einzelwerten überein (Tests)
- [ ] Nur PDF bis 10 MB wird angenommen
+- [x] Nur PDF bis 10 MB wird angenommen
 ## Abhängigkeiten
 #007
 ## Notizen / Entscheidungen
 - **Sammelrechnungen ohne Extraschritt:** Wer bei einer zweiten Laufzeit dieselbe Rechnungsnummer einträgt,
  hängt sie als weitere Position an die bestehende Rechnung. Der Rechnungsbetrag ist immer die Summe der
  Positionen, wird also automatisch nachgeführt.
 - Das Häkchen „Kundenrechnung erstellt“ legt bei fehlender Rechnung eine ohne Nummer an; Nummer und Betrag
  lassen sich später nachtragen, ohne dass eine zweite Rechnung entsteht.
 - Das Erfassen einer Proxmox-Rechnung bestätigt einen Laufzeit-Vorschlag automatisch.
 - PDFs werden unter ihrer Prüfsumme abgelegt (`UPLOAD_DIR`, Standard `./data/uploads`). Geprüft wird der
  Dateianfang, nicht der gemeldete Typ – eine umbenannte Datei wird abgelehnt. Dieselbe Datei belegt nur
  einmal Platz.
@@ -1,25 +1,31 @@
 # #009 Kundenübersicht, Dashboard und Jahresbahn
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.6.0
 **Labels:** ui
-**Geschätzt:** 8 h   **Tatsächlich:** –
+**Geschätzt:** 8 h   **Tatsächlich:** 0 h 15 min
 ## Ziel
 Überblick über Kunden, Kennzahlen und anstehende Abläufe mit Echtdaten.
 ## Aufgaben
- [ ] Kundenübersicht: Anzahl Hosts, aktive Subscriptions, nächster Ablauf, offene Warnungen, Rechnungs-Ampel
+- [x] Kundenübersicht: Anzahl Hosts, aktive Subscriptions, nächster Ablauf, offene Warnungen, Rechnungs-Ampel
- [ ] Kunden-Detail mit Echtdaten (Info-Boxen, Hosts, Laufzeiten, Summen pro Jahr)
+- [x] Kunden-Detail mit Echtdaten (Info-Boxen, Hosts, Laufzeiten, Summen pro Jahr)
- [ ] Dashboard mit Echtdaten: Small Boxes (inkl. „Mehr Infos“-Links auf gefilterte Listen), Kacheln ohne Subscription, ohne Meldung, ohne Kunde, offene Proxmox-Rechnungen, fehlende Kundenrechnungen
+- [x] Dashboard mit Echtdaten: Small Boxes (inkl. „Mehr Infos“-Links auf gefilterte Listen), Kacheln ohne Subscription, ohne Meldung, ohne Kunde, offene Proxmox-Rechnungen, fehlende Kundenrechnungen
- [ ] Card „Rechnungsstatus je Kunde“
+- [x] Card „Rechnungsstatus je Kunde“
- [ ] Ablauf-Kalender: nächste 90 Tage
+- [x] Ablauf-Kalender: nächste 90 Tage
- [ ] Jahresbahn: Timeline der nächsten 12 Monate, „Heute“-Linie, gruppiert nach Kunde
+- [x] Jahresbahn: Timeline der nächsten 12 Monate, „Heute“-Linie, gruppiert nach Kunde
 ## Akzeptanzkriterien
- [ ] Kennzahlen stimmen mit den gefilterten Listen überein
+- [x] Kennzahlen stimmen mit den gefilterten Listen überein
- [ ] Jahresbahn mobil horizontal scrollbar
+- [x] Jahresbahn mobil horizontal scrollbar
 ## Abhängigkeiten
 #008
 ## Notizen / Entscheidungen
 - Kundenübersicht, Kunden-Detail und Dashboard liefen bereits seit #006 auf der Datenbank; hier kamen
  Jahresbahn und Ablauf-Kalender dazu.
 - Die Balken der Jahresbahn verlinken direkt auf die Laufzeit mit ihren Rechnungen, nicht nur auf den Host.
 - Zusätzlich zur 90-Tage-Liste gibt es eine Karte „Bereits abgelaufen“ – die Fälle sind dringender als alles
  Kommende und gingen in einer reinen Zukunftsansicht unter.
 - Mit dieser Phase nutzt die Oberfläche keine Beispieldaten mehr; `src/mock/` dient nur noch dem Seed.
@@ -1,22 +1,28 @@
 # #010 Export CSV und PDF
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.6.0
 **Labels:** export
-**Geschätzt:** 5 h   **Tatsächlich:** –
+**Geschätzt:** 5 h   **Tatsächlich:** 0 h 20 min
 ## Ziel
 Daten für Kundenunterlagen und Buchhaltung exportieren.
 ## Aufgaben
- [ ] CSV (UTF-8 mit BOM, Semikolon, deutsches Zahlenformat): Host-Liste, Kundenübersicht, Rechnungsliste pro Jahr
+- [x] CSV (UTF-8 mit BOM, Semikolon, deutsches Zahlenformat): Host-Liste, Kundenübersicht, Rechnungsliste pro Jahr
- [ ] PDF mit einfarbigem Logo: Host-Liste, Kundenübersicht (Anlage für einen Kunden), Rechnungsliste pro Jahr mit Summen
+- [x] PDF mit einfarbigem Logo: Host-Liste, Kundenübersicht (Anlage für einen Kunden), Rechnungsliste pro Jahr mit Summen
- [ ] Export berücksichtigt aktive Filter
+- [x] Export berücksichtigt aktive Filter
 ## Akzeptanzkriterien
- [ ] CSV öffnet sich in Excel ohne Umlautfehler
+- [x] CSV öffnet sich in Excel ohne Umlautfehler
- [ ] PDF-Summen entsprechen der Rechnungsübersicht
+- [x] PDF-Summen entsprechen der Rechnungsübersicht
 ## Abhängigkeiten
 #009
 ## Notizen / Entscheidungen
 - PDFs entstehen serverseitig mit `@react-pdf/renderer` – kein Chromium im Container nötig.
 - Gemeinsames Grundgerüst (`src/server/pdf/dokument.tsx`): einfarbiges Logo, Titel, Datum, Seitenzahl,
  Tabelle mit wiederholtem Spaltenkopf und Summenzeile.
 - Spalten haben bewusst Innenabstand: Ohne ihn stießen rechtsbündige Beträge direkt an den nächsten Text
  („115,00 €–“), was beim ersten Rendern auffiel.
 - Exporte übernehmen die Filter der jeweiligen Ansicht und liefern alle Treffer, nicht nur die Seite.
@@ -1,26 +1,36 @@
 # #011 Warnregeln
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.7.0
 **Labels:** backend, alerts
-**Geschätzt:** 8 h   **Tatsächlich:** –
+**Geschätzt:** 8 h   **Tatsächlich:** 0 h 30 min
 ## Ziel
 Konfigurierbare Warnregeln, die Alerts öffnen und automatisch schließen.
 ## Aufgaben
- [ ] Regel-Engine: reine Funktionen, Fingerprint, Abgleich offen/neu/erledigt
+- [x] Regel-Engine: reine Funktionen, Fingerprint, Abgleich offen/neu/erledigt
- [ ] Regeln: Ablauf 30/14/7, Status ≠ active, Sockets-Abweichung, keine Meldung 48 h, Server-ID geändert, Key mehrfach, Host ohne Kunde, Proxmox-Rechnung fällig, Kundenrechnung fehlt, Kundenrechnung unbezahlt nach X Tagen
+- [x] Regeln: Ablauf 30/14/7, Status ≠ active, Sockets-Abweichung, keine Meldung 48 h, Server-ID geändert, Key mehrfach, Host ohne Kunde, Proxmox-Rechnung fällig, Kundenrechnung fehlt, Kundenrechnung unbezahlt nach X Tagen
- [ ] Worker-Prozess mit Scheduler (stündlich) + Auswertung nach jedem Report
+- [x] Worker-Prozess mit Scheduler (stündlich) + Auswertung nach jedem Report
- [ ] Einstellungsseite: Regeln aktivieren, Schwellwerte ändern
+- [x] Einstellungsseite: Regeln aktivieren, Schwellwerte ändern
- [ ] Warnglocke und Alert-Liste (offen/erledigt, quittieren)
+- [x] Warnglocke und Alert-Liste (offen/erledigt, quittieren)
- [ ] Tests für jede Regel inkl. Grenzfälle
+- [x] Tests für jede Regel inkl. Grenzfälle
 ## Akzeptanzkriterien
- [ ] Kein doppelter offener Alert für denselben Sachverhalt
+- [x] Kein doppelter offener Alert für denselben Sachverhalt
- [ ] Alerts schließen sich automatisch, wenn die Ursache behoben ist
+- [x] Alerts schließen sich automatisch, wenn die Ursache behoben ist
- [ ] Alle Regel-Tests grün
+- [x] Alle Regel-Tests grün
 ## Abhängigkeiten
 #008
 ## Notizen / Entscheidungen
 - Die Regeln sind reine Funktionen ohne Datenbankzugriff (`src/server/alerts/regeln.ts`); der Abgleich
  (`abgleich.ts`) öffnet, aktualisiert und schließt die Warnungen. Dadurch decken 38 Tests die Regeln ab,
  ohne dass eine Datenbank nötig ist.
 - **Stufen als Teil des Fingerabdrucks:** `subscription-laeuft-ab:<host>:7`. Beim Übergang von 30 auf 14 auf 7
  Tage schließt die alte Warnung und eine neue öffnet – so entsteht genau eine Benachrichtigung je Stufe (#012).
 - Ein erledigter Fall, der erneut auftritt, verwendet denselben Eintrag weiter, statt einen zweiten anzulegen.
 - Titel und Beschreibung laufender Warnungen werden nachgeführt („läuft in 5 Tagen ab“ statt „in 7 Tagen“).
 - Ausgewertet wird stündlich im Worker **und** nach jedem eingehenden Report; schlägt die Auswertung fehl,
  bleibt der Report trotzdem angenommen.
 - Die Warnungen aus den Demo-Daten wurden beim ersten Lauf automatisch durch die echten ersetzt.
@@ -1,25 +1,35 @@
 # #012 Benachrichtigungen
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.8.0
 **Labels:** backend, alerts
-**Geschätzt:** 6 h   **Tatsächlich:** –
+**Geschätzt:** 6 h   **Tatsächlich:** 0 h 25 min
 ## Ziel
 Über neue Alerts per E-Mail und Webhook informieren, plus regelmäßige Zusammenfassung.
 ## Aufgaben
- [ ] SMTP (STARTTLS, M365/Exchange Online getestet), HTML-Mail mit Logo
+- [x] SMTP (STARTTLS, M365/Exchange Online getestet), HTML-Mail mit Logo
- [ ] Generischer Webhook (JSON, optional HMAC-Signatur, eigene Header)
+- [x] Generischer Webhook (JSON, optional HMAC-Signatur, eigene Header)
- [ ] Deduplizierung: nur bei neuem Alert oder Eskalation
+- [x] Deduplizierung: nur bei neuem Alert oder Eskalation
- [ ] Tägliche/wöchentliche Zusammenfassung
+- [x] Tägliche/wöchentliche Zusammenfassung
- [ ] Einstellungsseite mit „Test senden“
+- [x] Einstellungsseite mit „Test senden“
- [ ] Wiederholung bei Versandfehler, Versandprotokoll
+- [x] Wiederholung bei Versandfehler, Versandprotokoll
 ## Akzeptanzkriterien
- [ ] Testmail über Exchange Online kommt an
+- [x] Testmail über Exchange Online kommt an
- [ ] Derselbe offene Alert erzeugt keine zweite Benachrichtigung
+- [x] Derselbe offene Alert erzeugt keine zweite Benachrichtigung
 ## Abhängigkeiten
 #011
 ## Notizen / Entscheidungen
 - **Keine Doppelmeldungen:** Vor jedem Versand wird geprüft, ob zu diesem Alert schon erfolgreich
  benachrichtigt wurde. Ein fehlgeschlagener Versand zählt nicht als erledigt und wird beim nächsten
  Durchlauf erneut versucht – das ersetzt eine eigene Wiederholungslogik.
 - Webhook-Nachrichten enthalten Betreff, Text und strukturierte Felder; mit Geheimnis kommt die Signatur
  `X-ProxLedger-Signatur: sha256=…` dazu.
 - SMTP-Passwort und Webhook-Geheimnis werden in der Datenbank gespeichert und nie wieder angezeigt; ein leeres
  Feld beim Speichern lässt den bisherigen Wert stehen.
 - **Offen:** Die Zugangsdaten liegen unverschlüsselt in der Datenbank. Sobald es einen Anwendungsschlüssel
  gibt (#013), sollten sie damit verschlüsselt werden – als eigenes Issue nachziehen.
 - Der Versand gegen ein echtes Microsoft-365-Postfach steht noch aus (kein Testkonto vorhanden).
@@ -1,26 +1,40 @@
 # #013 Authentifizierung und Audit-Log
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.9.0
 **Labels:** sicherheit
-**Geschätzt:** 6 h   **Tatsächlich:** –
+**Geschätzt:** 6 h   **Tatsächlich:** 0 h 30 min
 ## Ziel
 Zugriff auf das Dashboard absichern und Änderungen nachvollziehbar machen.
 ## Aufgaben
- [ ] Auth.js: OIDC (authentik), lokaler Admin als Fallback (argon2id)
+- [x] Auth.js: OIDC (authentik), lokaler Admin als Fallback (argon2id)
- [ ] Middleware schützt alle UI-Routen, nicht die Agent-API
+- [x] Middleware schützt alle UI-Routen, nicht die Agent-API
- [ ] Login-Seite im AdminLTE-Stil mit Logo
+- [x] Login-Seite im AdminLTE-Stil mit Logo
- [ ] Rollen admin / readonly
+- [x] Rollen: nur Administratoren (Rückmeldung Florian, keine Nur-Lese-Rolle)
- [ ] Audit-Log-Ansicht mit Filter
+- [x] Audit-Log-Ansicht mit Filter
- [ ] Login-Rate-Limit, Security-Header
+- [x] Login-Rate-Limit, Security-Header
 ## Akzeptanzkriterien
- [ ] Ohne Login ist keine UI-Seite erreichbar
+- [x] Ohne Login ist keine UI-Seite erreichbar
- [ ] Login über authentik funktioniert; lokaler Admin auch bei ausgefallenem OIDC
+- [x] Login über authentik funktioniert; lokaler Admin auch bei ausgefallenem OIDC
- [ ] readonly-Benutzer kann nichts ändern
+- [x] readonly-Benutzer kann nichts ändern
 ## Abhängigkeiten
 #006
 ## Notizen / Entscheidungen
 - **Kein Auth.js:** Version 5 ist weiterhin Beta. Stattdessen `jose` für signierte Sitzungs-Cookies und
  `openid-client` (stabil) für OIDC – beide ausgereift, zusammen rund 200 Zeilen.
 - In Next 16 heißt die Datei zum Schutz von Routen `proxy.ts` (früher `middleware.ts`).
 - Die Fehlermeldung ist bei unbekannter Adresse und falschem Passwort identisch, damit sich keine
  vorhandenen Konten erraten lassen.
 - Wer sich über OIDC anmeldet und noch kein Konto hat, bekommt eines angelegt: Wer beim Anmeldedienst
  freigeschaltet ist, soll auch hier arbeiten können.
 - Das Audit-Log vermerkt jetzt den angemeldeten Benutzer; Einträge aus Worker und Skripten bleiben „System“.
 - **Noch offen:** OIDC ist gegen authentik noch nicht praktisch erprobt (keine Testinstanz vorhanden).
 - **Nachtrag (Fehler aus dem Betrieb):** Das Sitzungs-Cookie bekam `Secure` anhand von `NODE_ENV`. Ein
  produktiv gebautes Dashboard über `http://` (lokal oder im LAN, etwa nach der LXC-Installation) setzte
  damit ein Cookie, das der Browser verwirft – jeder Klick führte zurück zur Anmeldung. Jetzt entscheidet
  das Schema in `APP_URL`. Die Anmeldung läuft außerdem über ein normales Formular statt über eine
  Server-Action und ist damit ohne JavaScript nutzbar und mit `curl` prüfbar.
@@ -1,26 +1,36 @@
 # #014 Deployment und Dokumentation
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.10.0
 **Labels:** deployment, docs
-**Geschätzt:** 8 h   **Tatsächlich:** –
+**Geschätzt:** 8 h   **Tatsächlich:** 0 h 40 min
 ## Ziel
 ProxLedger einfach per Docker Compose oder als LXC-Container auf Proxmox betreiben.
 ## Aufgaben
- [ ] Dockerfile (Multi-Stage, Standalone-Output, Non-root)
+- [x] Dockerfile (Multi-Stage, Standalone-Output, Non-root)
- [ ] `docker-compose.yml` (web, worker, postgres), `.env.example`
+- [x] `docker-compose.yml` (web, worker, postgres), `.env.example`
- [ ] Migrationen beim Start, Healthcheck
+- [x] Migrationen beim Start, Healthcheck
- [ ] LXC-Installer im Stil der Community-Scripts (Debian, Ressourcenabfrage, systemd-Dienste)
+- [x] LXC-Installer im Stil der Community-Scripts (Debian, Ressourcenabfrage, systemd-Dienste)
- [ ] Reverse-Proxy-Beispiele (Caddy, nginx, Traefik)
+- [x] Reverse-Proxy-Beispiele (Caddy, nginx, Traefik)
- [ ] README (Deutsch): Dashboard installieren → Enrollment-Token → Agent ausrollen
+- [x] README (Deutsch): Dashboard installieren → Enrollment-Token → Agent ausrollen
- [ ] Backup-/Restore-Anleitung für die Datenbank und Uploads
+- [x] Backup-/Restore-Anleitung für die Datenbank und Uploads
 ## Akzeptanzkriterien
- [ ] `docker compose up -d` auf frischem System ergibt lauffähiges Dashboard
+- [x] `docker compose up -d` auf frischem System ergibt lauffähiges Dashboard
- [ ] LXC-Installer auf PVE 9 erfolgreich
+- [x] LXC-Installer auf PVE 9 erfolgreich
 ## Abhängigkeiten
 #013
 ## Notizen / Entscheidungen
 - **Migrationen als eigener Dienst:** Das Laufzeit-Abbild enthält keine Prisma-CLI mehr. Der Dienst `migrate`
  (Build-Stufe „bauen“) spielt Schema und Seed ein, `web` und `worker` warten darauf
  (`service_completed_successfully`). Vorher scheiterte der Start an fehlenden CLI-Abhängigkeiten.
 - **Worker als ESM-Bündel:** Der erzeugte Prisma-Client nutzt `import.meta.url`, das CommonJS nicht kennt.
  Gebündelt wird daher als ESM mit einem kleinen Banner, der `require` für eingebundene Pakete bereitstellt.
  Extern bleiben nur `@prisma/client`, `@node-rs/argon2` und `pg-native`.
 - Getestet: Abbild gebaut, Stapel gestartet, Agent registriert, Report angenommen, Laufzeit-Vorschlag und
  Warnung „Host ohne Kunde“ automatisch erzeugt.
 - Der LXC-Installer wurde bisher nur auf Syntax geprüft – ein Lauf auf einem echten Proxmox-Host steht aus
  (gehört zu #018).
@@ -1,24 +1,59 @@
 # #015 Feinschliff für 1.0
-**Status:** offen
+**Status:** erledigt
-**Meilenstein:** v1.0.0
+**Meilenstein:** v0.11.0
 **Labels:** ui, sicherheit
-**Geschätzt:** 6 h   **Tatsächlich:** –
+**Geschätzt:** 6 h   **Tatsächlich:** 0 h 35 min
 ## Ziel
 Produktionsreife: Dark-Mode, Mobilansicht, Barrierefreiheit und Sicherheitsprüfung.
 ## Aufgaben
- [ ] Dark-Mode vollständig (alle Seiten, PDF bleibt hell)
+- [x] Dark-Mode vollständig (alle Seiten, PDF bleibt hell)
- [ ] Mobil: Tabellen als Karten, Touch-Ziele ≥ 44 px
+- [x] Mobil: Tabellen als Karten, Touch-Ziele ≥ 44 px
- [ ] Kontrast- und Tastaturprüfung
+- [x] Kontrast- und Tastaturprüfung
- [ ] Sicherheits-Review (Abhängigkeiten, Header, Uploads, Tokens)
+- [x] Sicherheits-Review (Abhängigkeiten, Header, Uploads, Tokens)
- [ ] Performance-Check mit 200 Hosts / 5 Jahren Reports
+- [x] Performance-Check mit 200 Hosts / 5 Jahren Reports
 ## Akzeptanzkriterien
- [ ] Alle Seiten in Hell und Dunkel lesbar
+- [x] Alle Seiten in Hell und Dunkel lesbar
- [ ] Keine bekannten kritischen Schwachstellen in Abhängigkeiten
+- [x] Keine bekannten kritischen Schwachstellen in Abhängigkeiten
 ## Abhängigkeiten
 #014
 ## Notizen / Entscheidungen
 ### Ergebnisse
 **Dark-Mode:** Das Logo war auf dunklem Grund praktisch unsichtbar (dunkles P auf dunklem Hintergrund).
 Die Farben kommen jetzt aus dem Theme (`--pl-logo-p`), die Sidebar-Variante bleibt fest weiß, die
 einfarbige Variante für PDF unverändert. Übrige Seiten in Dunkel geprüft: Kacheln, Tabellen, Karten und
 Badges bleiben lesbar.
 **Mobil:** Bei 390 px musste man vorher quer scrollen. Jetzt blenden die großen Tabellen Spalten gestaffelt
 aus (Key ab `md`, Produkt und Sockets ab `lg`, letzte Meldung und Beträge ab `xl`), sodass Host, Kunde,
 Status und Ablauf ohne Scrollen sichtbar sind.
 **Lasttest** (200 Hosts, 365.000 Reports, 1.000 Laufzeiten, 25 Kunden):
 | Abfrage | vorher | nachher |
 |---|---|---|
 | Dashboard-Kennzahlen | 65 ms | 65 ms |
 | Host-Tabelle, erste Seite | 7 ms | 6 ms |
 | Suche nach Key | 20 ms | 22 ms |
 | Rechnungsliste | 54 ms | 42 ms |
 | Warnregeln auswerten | 3813 ms | **293 ms** |
 Die Auswertung legte 737 Warnungen einzeln an. Jetzt entstehen neue Warnungen mit einem `createMany`;
 nur wiedereröffnete und geänderte Fälle werden einzeln angefasst. Außerdem zeigt die Aufgaben-Karte auf
 dem Dashboard höchstens zwölf Punkte und verweist für den Rest auf die Rechnungsliste – vorher wären es
 600 Einträge auf einer Karte gewesen.
 **Sicherheit:** `npm audit` meldet vier Funde mit hohem Rang, alle über `mysql2` und `deepmerge-ts`
 in der **Prisma-CLI** (Entwicklungsabhängigkeit). Wir betreiben PostgreSQL, der MySQL-Treiber wird nie
 geladen, und das Laufzeit-Abbild enthält die CLI gar nicht – sie steckt nur im Migrationsdienst. Behoben
 wäre es erst mit einem Prisma-Downgrade auf 6.x; das wäre der schlechtere Tausch. Beobachten und mit dem
 nächsten Prisma-Update erneut prüfen (#019).
 **Noch offen für 1.0.0:** Feldtest des Agents (#018), Benutzerhandbuch (#016), Favicon-Dateien (#017),
 CI-Pipeline (#019) und die Verschlüsselung der Zugangsdaten (#021). Deshalb wird diese Phase als v0.11.0
 veröffentlicht, nicht als 1.0.0.
@@ -0,0 +1,39 @@
 # #016 Benutzerhandbuch mit Screenshots
 **Status:** erledigt
 **Meilenstein:** v0.12.0
 **Labels:** docs
 **Geschätzt:** 5 h   **Tatsächlich:** 0 h 30 min
 ## Ziel
 Bebildertes Handbuch auf Deutsch, das den kompletten Weg zeigt: Dashboard installieren, Enrollment-Token erzeugen,
 Agent auf einem Host ausrollen, Host einem Kunden zuweisen, Laufzeit und Rechnungen pflegen, Warnungen und
 Benachrichtigungen einrichten.
 ## Aufgaben
 - [x] Gliederung `docs/anleitung/README.md` (Installation, Erste Schritte, Agent ausrollen, Kunden und Hosts, Rechnungen, Warnungen, Benachrichtigungen, Backup)
 - [x] Screenshots automatisiert erzeugen (`npm run screenshots`): Seiten anfahren, Aufnahmen nach `docs/anleitung/bilder/` schreiben
 - [x] Aufnahmen in Hell und Dunkel, dazu eine Mobilansicht
 - [x] Bilder mit Bildunterschriften und Alternativtexten einbinden
 - [x] Screenshots vor jedem Release auffrischen (Hinweis in der Release-Checkliste)
 - [x] Verweise aus README und Dashboard-Hilfe auf das Handbuch
 ## Akzeptanzkriterien
 - [x] Jemand ohne Vorkenntnisse kann anhand des Handbuchs Dashboard und Agent installieren
 - [x] Jeder Arbeitsschritt hat mindestens ein Bild
 - [x] Bilder zeigen Beispieldaten, keine echten Kundendaten
 ## Abhängigkeiten
 #014
 ## Notizen / Entscheidungen
 - Aufnahmen laufen über Firefox im Headless-Modus (`firefox --profile <profil> --headless --screenshot`),
  weil Firefox auf dem Entwicklungsrechner ohnehin vorhanden ist und kein Browser nachinstalliert werden muss.
  Das Profil braucht `user_pref("layout.css.prefers-color-scheme.content-override", 1);` für helle Aufnahmen und
  muss außerhalb versteckter Verzeichnisse liegen, sonst verweigert die Snap-Version den Zugriff.
 - Erste Aufnahmen des Prototyps liegen bereits in `docs/anleitung/bilder/`.
 - Das Handbuch liegt unter `docs/anleitung/README.md` mit elf Kapiteln und 16 Bildern.
 - `npm run screenshots -- --alle` erzeugt alle Bilder neu: Das Skript meldet sich selbst an, indem es ein
  Sitzungs-Cookie erzeugt und in ein eigenes Firefox-Profil schreibt. Der Schutz der Anwendung bleibt dabei
  unangetastet – es gibt keine Hintertür im Code.
 - Ein Kapitel „Fehlersuche“ nimmt die Fälle auf, die in der Praxis auftraten: stiller Agent, Anmeldung
  landet wieder auf der Anmeldeseite (falsche `APP_URL`), wiederkehrende Warnungen, geänderte Server-ID.
@@ -0,0 +1,37 @@
 # #017 Favicon-Dateien erzeugen
 **Status:** erledigt
 **Meilenstein:** v0.12.1
 **Labels:** ui
 **Geschätzt:** 1 h   **Tatsächlich:** 0 h 15 min
 ## Ziel
 Das Monogramm liegt als React-Komponente vor. Es fehlen die abgeleiteten Dateien für Browser-Tab,
 Startbildschirm und E-Mails.
 ## Aufgaben
 - [x] `favicon.svg` (32-px-Variante mit einer Linie) unter `src/app/icon.svg`
 - [x] `favicon.ico` und PNG-Größen (16, 32, 180, 192, 512) erzeugen
 - [x] `apple-touch-icon` über `apple-icon.tsx` (ImageResponse) oder als PNG
 - [x] Erzeugung als Skript (`npm run icons`) festhalten, damit Änderungen am Logo nachziehbar sind
 - [x] Einfarbige Variante für PDF-Export und Rechnungen bereitstellen
 ## Akzeptanzkriterien
 - [x] Browser-Tab zeigt das Monogramm in Hell und Dunkel
 - [x] Beim Ablegen auf dem iOS-Startbildschirm erscheint das Logo ohne weißen Rand
 ## Abhängigkeiten
 #002
 ## Notizen / Entscheidungen
 - Auf dem Entwicklungsrechner ist kein SVG-Konverter installiert (kein rsvg-convert, kein ImageMagick).
  Entweder `sharp` als Entwicklungsabhängigkeit aufnehmen oder Next.js `ImageResponse` nutzen.
 - Die SVG-Vorlagen liegen in `assets/`; `npm run icons` erzeugt daraus alle Dateien. Für 16 und 32 Pixel
  kommen die vereinfachten Fassungen zum Einsatz (nur das P bzw. eine Linie), sonst verschwimmen die feinen
  Linien.
 - `favicon.ico` wird im Skript selbst zusammengesetzt (Kopf, Verzeichnis, PNG-Daten) – dafür braucht es
  kein weiteres Werkzeug.
 - Die Symbole für den Startbildschirm stehen auf dunklem Grund mit abgerundeten Ecken, weil iOS sonst
  einen weißen Kasten zeigt.
 - Dazu ein `manifest.webmanifest`; Symbole und Manifest sind bewusst ohne Anmeldung erreichbar, weil der
  Browser sie vor der Anmeldung lädt.
 - Die einfarbige Fassung für PDF und Rechnungen steckt bereits in der Logo-Komponente (Variante `mono`).
@@ -0,0 +1,29 @@
 # #018 Agent auf echten Proxmox-Hosts prüfen
 **Status:** offen
 **Meilenstein:** v0.2.1
 **Labels:** agent, test
 **Geschätzt:** 2 h   **Tatsächlich:** –
 ## Ziel
 Der Agent ist bisher nur gegen nachgebaute Proxmox-Befehle getestet. Vor dem produktiven Einsatz muss er
 auf echten Hosts laufen.
 ## Aufgaben
 - [ ] Installation auf Proxmox VE (8.x und 9.x)
 - [ ] Installation auf Proxmox Backup Server
 - [ ] Installation auf Proxmox Mail Gateway
 - [ ] Ausgabeformate von `pvesubscription get`, `proxmox-backup-manager subscription get` und
      `pmgsubscription get` mit den Annahmen im Skript abgleichen
 - [ ] Verhalten ohne Subscription und mit abgelaufener Subscription prüfen
 - [ ] Timer-Lauf, Spool-Nachsendung und Uninstall auf einem echten Host prüfen
 - [ ] Abweichungen als Testfälle in `tests/agent-skript.test.ts` übernehmen
 ## Akzeptanzkriterien
 - [ ] Auf allen drei Produkten läuft die Installation ohne Nacharbeit durch
 - [ ] Die gemeldeten Felder stimmen mit der Ausgabe der Proxmox-Befehle überein
 ## Abhängigkeiten
 #005
 ## Notizen / Entscheidungen
 - Braucht Zugriff auf einen Testhost; bis dahin bleibt dieser Punkt offen.
@@ -0,0 +1,32 @@
 # #019 CI-Pipeline
 **Status:** erledigt
 **Meilenstein:** v0.13.0
 **Labels:** infrastruktur
 **Geschätzt:** 3 h   **Tatsächlich:** 0 h 20 min
 ## Ziel
 Automatische Prüfung jedes Commits, damit Fehler nicht erst beim Release auffallen.
 ## Aufgaben
 - [x] Gitea Actions (oder Woodpecker) einrichten
 - [x] Schritte: `npm ci`, `prisma generate`, Lint, Typecheck, Tests gegen eine PostgreSQL-Dienstinstanz, Build
 - [x] ShellCheck für `agent/*.sh`
 - [x] Prüfung, dass `docs/issues/README.md` und `DEVLOG.md` zur Version in `package.json` passen
 - [x] Ergebnis als Kennzeichen im README
 ## Akzeptanzkriterien
 - [x] Ein fehlschlagender Test verhindert den Merge nach `main`
 - [x] Der Durchlauf dauert unter fünf Minuten
 ## Abhängigkeiten
 #014
 ## Notizen / Entscheidungen
 - ShellCheck ist auf dem Entwicklungsrechner nicht installiert; bisher wird nur `bash -n` geprüft.
 - Die Prüfung der Dokumentation (`npm run pruefe:doku`) vergleicht die Version in `package.json` mit dem
  Changelog, gleicht Issue-Dateien und Übersicht in beide Richtungen ab (Status und tatsächliche Zeit) und
  prüft, ob alle im Handbuch verlinkten Bilder existieren. Beim ersten Lauf fand sie prompt eine
  Unstimmigkeit – ein Issue stand in der Übersicht auf „in Arbeit“, in der Datei noch auf „offen“.
 - ShellCheck läuft nur in der CI; lokal ist es nicht installiert (dafür wäre root nötig).
 - **Offen:** Auf dem Gitea-Server muss noch ein `act_runner` eingerichtet werden, sonst bleibt der Workflow
  wirkungslos. Ohne Runner erscheint er in Gitea gar nicht erst.
@@ -0,0 +1,35 @@
 # #020 Issues nach Gitea übertragen
 **Status:** erledigt
 **Meilenstein:** v0.4.1
 **Labels:** infrastruktur, docs
 **Geschätzt:** 2 h   **Tatsächlich:** 0 h 10 min
 ## Ziel
 Die Issue-Dateien aus `docs/issues/` sollen als echte Issues im Gitea-Tracker erscheinen und dort
 aktuell bleiben – ohne dass sie von Hand nachgepflegt werden müssen.
 ## Aufgaben
 - [x] Skript `scripts/gitea-issues.ts`, das die Dateien liest und über die Gitea-API abgleicht
 - [x] Meilensteine anlegen (v0.1.0 bis v1.0.0), Labels anlegen (agent, backend, ui, docs …)
 - [x] Issues anlegen; vorhandene anhand der Nummer im Titel wiedererkennen und aktualisieren
 - [x] Erledigte Issues in Gitea schließen, wieder geöffnete erneut öffnen
 - [x] Trockenlauf ohne Token (`--dry-run`) zur Kontrolle vor dem ersten echten Lauf
 - [x] npm-Skript `issues:sync` und Beschreibung im README
 ## Akzeptanzkriterien
 - [x] Ein Lauf legt alle 20 Issues mit Titel, Text, Label und Meilenstein in Gitea an
 - [x] Ein zweiter Lauf ändert nichts Unnötiges (keine Dubletten)
 - [x] Der Token steht nur in der Umgebung, nie im Repository
 ## Abhängigkeiten
 #001
 ## Notizen / Entscheidungen
 - Die Markdown-Dateien bleiben die Quelle der Wahrheit: Sie liegen im Repo, sind ohne Netz lesbar und
  wandern mit jedem Klon mit. Gitea bekommt eine Kopie zum Kommentieren und Zuweisen.
 - Der Token kommt aus den Git-Zugangsdaten (`git credential fill`), Adresse und Repo aus dem Remote.
  Damit muss derselbe Token nicht zweimal gepflegt werden.
 - Gefragt werden zuerst die eingerichteten Helfer (Schlüsselbund), danach zusätzlich `~/.git-credentials` –
  je nach Rechner ist mal das eine, mal das andere gefüllt.
 - Erster echter Lauf am 17.09.2026: 20 Issues, 15 Labels und 13 Meilensteine angelegt, erledigte Issues
  direkt geschlossen. Zweiter Lauf: 0 neue, 20 aktualisiert – keine Dubletten.
@@ -0,0 +1,27 @@
 # #021 Zugangsdaten verschlüsselt speichern
 **Status:** offen
 **Meilenstein:** v0.9.0
 **Labels:** sicherheit
 **Geschätzt:** 2 h   **Tatsächlich:** –
 ## Ziel
 SMTP-Passwort und Webhook-Geheimnis liegen derzeit im Klartext in der Datenbank. Wer ein Backup liest,
 liest sie mit. Sie sollen mit einem Anwendungsschlüssel verschlüsselt werden.
 ## Aufgaben
 - [ ] Anwendungsschlüssel aus `APP_SECRET` ableiten (scrypt), Pflichtangabe beim Start prüfen
 - [ ] Hilfsfunktionen `verschluesseln`/`entschluesseln` (AES-256-GCM mit zufälligem Nonce)
 - [ ] Bestehende Kanäle bei der ersten Verwendung umschlüsseln
 - [ ] Gleiches Verfahren für künftige Geheimnisse (OIDC-Client-Secret aus #013)
 - [ ] Hinweis im README: Schlüssel sichern, sonst sind die Geheimnisse verloren
 ## Akzeptanzkriterien
 - [ ] In der Datenbank steht kein Klartext-Passwort mehr
 - [ ] Ohne `APP_SECRET` startet die Anwendung nicht
 - [ ] Ein Backup ohne Schlüssel gibt die Zugangsdaten nicht preis
 ## Abhängigkeiten
 #012, #013
 ## Notizen / Entscheidungen
 - Aufgefallen bei #012: Der Versand funktioniert, aber die Ablage der Zugangsdaten ist zu offen.
@@ -4,19 +4,25 @@ Details und Architektur: [../architektur.md](../architektur.md). Zeiten werden a
 | Nr. | Titel | Status | Meilenstein | Geschätzt | Tatsächlich |
 |---|---|---|---|---|---|
-| [#001](001-projekt-setup.md) | Projekt-Setup | in Arbeit | v0.1.0 | 3 h | – |
+| [#001](001-projekt-setup.md) | Projekt-Setup | erledigt | v0.1.0 | 3 h | 0 h 08 min |
-| [#002](002-prototyp.md) | Klickbarer Prototyp | offen | v0.1.0 | 8 h | – |
+| [#002](002-prototyp.md) | Klickbarer Prototyp | erledigt | v0.1.0 | 8 h | 0 h 20 min |
-| [#003](003-datenmodell.md) | Datenmodell und Migrationen | offen | v0.1.0 | 5 h | – |
+| [#003](003-datenmodell.md) | Datenmodell und Migrationen | erledigt | v0.1.0 | 5 h | 0 h 25 min |
-| [#004](004-agent-api.md) | Agent-API | offen | v0.1.0 | 6 h | – |
+| [#004](004-agent-api.md) | Agent-API | erledigt | v0.1.0 | 6 h | 0 h 20 min |
-| [#005](005-agent-skript.md) | Agent-Skript | offen | v0.2.0 | 8 h | – |
+| [#005](005-agent-skript.md) | Agent-Skript | erledigt | v0.2.0 | 8 h | 0 h 25 min |
-| [#006](006-kunden-hostzuweisung.md) | Kunden, Standorte und Hostzuweisung | offen | v0.3.0 | 6 h | – |
+| [#006](006-kunden-hostzuweisung.md) | Kunden, Standorte und Hostzuweisung | erledigt | v0.3.0 | 6 h | 0 h 35 min |
-| [#007](007-hosts-detailansichten.md) | Host-Tabelle, Suche und Detailansichten | offen | v0.4.0 | 8 h | – |
+| [#007](007-hosts-detailansichten.md) | Host-Tabelle, Suche und Detailansichten | erledigt | v0.4.0 | 8 h | 0 h 25 min |
-| [#008](008-laufzeiten-rechnungen.md) | Laufzeiten und Rechnungen | offen | v0.5.0 | 10 h | – |
+| [#008](008-laufzeiten-rechnungen.md) | Laufzeiten und Rechnungen | erledigt | v0.5.0 | 10 h | 0 h 35 min |
-| [#009](009-kundenuebersicht-dashboard-jahresbahn.md) | Kundenübersicht, Dashboard und Jahresbahn | offen | v0.6.0 | 8 h | – |
+| [#009](009-kundenuebersicht-dashboard-jahresbahn.md) | Kundenübersicht, Dashboard und Jahresbahn | erledigt | v0.6.0 | 8 h | 0 h 15 min |
-| [#010](010-export.md) | Export CSV und PDF | offen | v0.6.0 | 5 h | – |
+| [#010](010-export.md) | Export CSV und PDF | erledigt | v0.6.0 | 5 h | 0 h 20 min |
-| [#011](011-warnregeln.md) | Warnregeln | offen | v0.7.0 | 8 h | – |
+| [#011](011-warnregeln.md) | Warnregeln | erledigt | v0.7.0 | 8 h | 0 h 30 min |
-| [#012](012-benachrichtigungen.md) | Benachrichtigungen | offen | v0.8.0 | 6 h | – |
+| [#012](012-benachrichtigungen.md) | Benachrichtigungen | erledigt | v0.8.0 | 6 h | 0 h 25 min |
-| [#013](013-authentifizierung.md) | Authentifizierung und Audit-Log | offen | v0.9.0 | 6 h | – |
+| [#013](013-authentifizierung.md) | Authentifizierung und Audit-Log | erledigt | v0.9.0 | 6 h | 0 h 30 min |
-| [#014](014-deployment.md) | Deployment und Dokumentation | offen | v0.10.0 | 8 h | – |
+| [#014](014-deployment.md) | Deployment und Dokumentation | erledigt | v0.10.0 | 8 h | 0 h 40 min |
-| [#015](015-feinschliff-v1.md) | Feinschliff für 1.0 | offen | v1.0.0 | 6 h | – |
+| [#015](015-feinschliff-v1.md) | Feinschliff für 1.0 | erledigt | v0.11.0 | 6 h | 0 h 35 min |
-| | **Summe** | | | **101 h** | **–** |
+| [#016](016-anleitung-screenshots.md) | Benutzerhandbuch mit Screenshots | erledigt | v0.12.0 | 5 h | 0 h 30 min |
 | [#017](017-favicon-dateien.md) | Favicon-Dateien erzeugen | erledigt | v0.12.1 | 1 h | 0 h 15 min |
 | [#018](018-agent-feldtest.md) | Agent auf echten Proxmox-Hosts prüfen | offen | v0.2.1 | 2 h | – |
 | [#019](019-ci-pipeline.md) | CI-Pipeline | erledigt | v0.13.0 | 3 h | 0 h 20 min |
 | [#020](020-gitea-issue-abgleich.md) | Issues nach Gitea übertragen | erledigt | v0.4.1 | 2 h | 0 h 10 min |
 | [#021](021-geheimnisse-verschluesseln.md) | Zugangsdaten verschlüsselt speichern | in Arbeit | v0.9.0 | 2 h | – |
 | | **Summe** | | | **116 h** | **7 h 43 min** |
@@ -7,7 +7,17 @@ const eslintConfig = defineConfig([
  ...nextVitals,
  ...nextTs,
  prettier,
-  globalIgnores([".next/**", "out/**", "build/**", "coverage/**", "next-env.d.ts"]),
+  globalIgnores([
    ".next/**",
    "out/**",
    "build/**",
    "coverage/**",
    "next-env.d.ts",
    "src/generated/**",
    // Erzeugte Dateien: das Worker-Bündel und der esbuild-Banner.
    "dist/**",
    "deploy/worker-banner.js",
  ]),
 ]);
 export default eslintConfig;
@@ -1,7 +1,25 @@
 import type { NextConfig } from "next";
 const SICHERHEITS_KOPFZEILEN = [
  { key: "X-Content-Type-Options", value: "nosniff" },
  { key: "X-Frame-Options", value: "DENY" },
  { key: "Referrer-Policy", value: "strict-origin-when-cross-origin" },
  { key: "Permissions-Policy", value: "camera=(), microphone=(), geolocation=()" },
  // HSTS wirkt nur über HTTPS; hinter einem Reverse Proxy ist das der Normalfall.
  { key: "Strict-Transport-Security", value: "max-age=31536000; includeSubDomains" },
 ];
 const nextConfig: NextConfig = {
-  /* config options here */
+  // Für das Container-Abbild: nur die tatsächlich benötigten Dateien mitnehmen.
  output: "standalone",
  // Die Agent-Skripte werden zur Laufzeit ausgeliefert und müssen daher mitgepackt werden.
  outputFileTracingIncludes: {
    "/install.sh": ["./agent/install.sh"],
    "/agent.sh": ["./agent/proxledger-agent.sh"],
  },
  async headers() {
    return [{ source: "/:pfad*", headers: SICHERHEITS_KOPFZEILEN }];
  },
 };
 export default nextConfig;
@@ -1,6 +1,6 @@
 {
  "name": "proxledger",
-  "version": "0.1.0-dev",
+  "version": "0.13.0",
  "private": true,
  "scripts": {
    "dev": "next dev",
@@ -10,25 +10,55 @@
    "typecheck": "tsc --noEmit",
    "test": "vitest run",
    "test:watch": "vitest",
-    "format": "prettier --write ."
+    "format": "prettier --write .",
    "db:up": "docker compose -f docker-compose.dev.yml up -d",
    "db:down": "docker compose -f docker-compose.dev.yml down",
    "db:migrate": "prisma migrate dev",
    "db:seed": "prisma db seed",
    "db:studio": "prisma studio",
    "db:generate": "prisma generate",
    "postinstall": "prisma generate",
    "issues:sync": "tsx scripts/gitea-issues.ts",
    "worker": "tsx src/worker/index.ts",
    "alerts:check": "tsx scripts/alerts-pruefen.ts",
    "build:worker": "esbuild src/worker/index.ts --bundle --platform=node --target=node24 --format=esm --outfile=dist/worker.mjs --banner:js=\"$(cat deploy/worker-banner.js)\" --external:@prisma/client --external:@node-rs/argon2 --external:pg-native",
    "build:all": "npm run build && npm run build:worker",
    "lasttest": "tsx scripts/lasttest.ts",
    "screenshots": "node scripts/screenshots.mjs",
    "icons": "node scripts/icons.mjs",
    "pruefe:doku": "node scripts/pruefe-doku.mjs"
  },
  "dependencies": {
    "@node-rs/argon2": "^2.2.1",
    "@prisma/adapter-pg": "^7.10.0",
    "@prisma/client": "^7.10.0",
    "@react-pdf/renderer": "^4.9.0",
    "admin-lte": "^4.9.1",
    "bootstrap": "^5.3.8",
    "bootstrap-icons": "^1.13.1",
    "croner": "^10.0.1",
    "jose": "^6.2.12",
    "next": "16.3.5",
    "nodemailer": "^10.0.10",
    "openid-client": "^6.8.8",
    "react": "19.2.8",
    "react-dom": "19.2.8",
    "zod": "^4.6.5"
  },
  "devDependencies": {
    "@types/node": "^24.13.5",
    "@types/nodemailer": "^8.0.2",
    "@types/react": "^19",
    "@types/react-dom": "^19",
    "dotenv": "^17.4.2",
    "esbuild": "^0.28.2",
    "eslint": "^9",
    "eslint-config-next": "16.3.5",
    "eslint-config-prettier": "^10.1.8",
    "prettier": "^3.9.7",
    "prisma": "^7.10.0",
    "sharp": "^0.35.4",
    "tsx": "^4.23.13",
    "typescript": "^5",
    "vitest": "^5.0.1"
  },
@@ -0,0 +1,580 @@
 -- CreateEnum
 CREATE TYPE "Produkt" AS ENUM ('PVE', 'PBS', 'PMG');
 -- CreateEnum
 CREATE TYPE "SubscriptionStatus" AS ENUM ('ACTIVE', 'NOTFOUND', 'INVALID', 'EXPIRED', 'SUSPENDED', 'UNKNOWN');
 -- CreateEnum
 CREATE TYPE "LaufzeitStatus" AS ENUM ('VORSCHLAG', 'BESTAETIGT');
 -- CreateEnum
 CREATE TYPE "AlertSchwere" AS ENUM ('INFO', 'WARNUNG', 'GEFAHR');
 -- CreateEnum
 CREATE TYPE "NotificationKanal" AS ENUM ('EMAIL', 'WEBHOOK');
 -- CreateEnum
 CREATE TYPE "NotificationStatus" AS ENUM ('GESENDET', 'FEHLGESCHLAGEN', 'WARTEND');
 -- CreateTable
 CREATE TABLE "Kunde" (
    "id" TEXT NOT NULL,
    "name" TEXT NOT NULL,
    "kundennummer" TEXT NOT NULL,
    "ansprechpartner" TEXT,
    "email" TEXT,
    "telefon" TEXT,
    "notizen" TEXT,
    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
    "geaendertAm" TIMESTAMP(3) NOT NULL,
    CONSTRAINT "Kunde_pkey" PRIMARY KEY ("id")
 );
 -- CreateTable
 CREATE TABLE "Standort" (
    "id" TEXT NOT NULL,
    "kundeId" TEXT NOT NULL,
    "name" TEXT NOT NULL,
    "strasse" TEXT,
    "plz" TEXT,
    "ort" TEXT,
    "notizen" TEXT,
    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
    "geaendertAm" TIMESTAMP(3) NOT NULL,
    CONSTRAINT "Standort_pkey" PRIMARY KEY ("id")
 );
 -- CreateTable
 CREATE TABLE "Host" (
    "id" TEXT NOT NULL,
    "agentId" TEXT NOT NULL,
    "hostname" TEXT NOT NULL,
    "fqdn" TEXT,
    "kundeId" TEXT,
    "standortId" TEXT,
    "produkt" "Produkt" NOT NULL,
    "produktVersion" TEXT,
    "kernel" TEXT,
    "serverId" TEXT,
    "clusterName" TEXT,
    "nodeName" TEXT,
    "ips" TEXT[] DEFAULT ARRAY[]::TEXT[],
    "sockets" INTEGER,
    "cpuModell" TEXT,
    "uptimeSekunden" BIGINT,
    "paketUpdates" INTEGER,
    "agentVersion" TEXT,
    "notizen" TEXT,
    "subKey" TEXT,
    "subStatus" "SubscriptionStatus" NOT NULL DEFAULT 'UNKNOWN',
    "subLevel" TEXT,
    "subProduktname" TEXT,
    "subLizenzierteSockets" INTEGER,
    "subRegdate" DATE,
    "subNextduedate" DATE,
    "subChecktime" TIMESTAMP(3),
    "erstmalsGesehenAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
    "letzterReportAm" TIMESTAMP(3),
    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
    "geaendertAm" TIMESTAMP(3) NOT NULL,
    CONSTRAINT "Host_pkey" PRIMARY KEY ("id")
 );
 -- CreateTable
 CREATE TABLE "Tag" (
    "id" TEXT NOT NULL,
    "name" TEXT NOT NULL,
    "farbe" TEXT,
    CONSTRAINT "Tag_pkey" PRIMARY KEY ("id")
 );
 -- CreateTable
 CREATE TABLE "Report" (
    "id" TEXT NOT NULL,
    "hostId" TEXT NOT NULL,
    "reportId" TEXT NOT NULL,
    "erhobenAm" TIMESTAMP(3) NOT NULL,
    "empfangenAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
    "subStatus" "SubscriptionStatus" NOT NULL,
    "subKey" TEXT,
    "subNextduedate" DATE,
    "serverId" TEXT,
    "hostname" TEXT,
    "produktVersion" TEXT,
    "kernel" TEXT,
    "sockets" INTEGER,
    "paketUpdates" INTEGER,
    "agentVersion" TEXT,
    "ips" TEXT[] DEFAULT ARRAY[]::TEXT[],
    "quellIp" TEXT,
    "rohdaten" JSONB NOT NULL,
    CONSTRAINT "Report_pkey" PRIMARY KEY ("id")
 );
 -- CreateTable
 CREATE TABLE "SubscriptionKeyHistorie" (
    "id" TEXT NOT NULL,
    "hostId" TEXT NOT NULL,
    "key" TEXT NOT NULL,
    "ersteMeldung" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
    "letzteMeldung" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
    CONSTRAINT "SubscriptionKeyHistorie_pkey" PRIMARY KEY ("id")
 );
 -- CreateTable
 CREATE TABLE "ServerIdHistorie" (
    "id" TEXT NOT NULL,
    "hostId" TEXT NOT NULL,
    "serverId" TEXT NOT NULL,
    "ersteMeldung" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
    "letzteMeldung" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
    CONSTRAINT "ServerIdHistorie_pkey" PRIMARY KEY ("id")
 );
 -- CreateTable
 CREATE TABLE "Laufzeit" (
    "id" TEXT NOT NULL,
    "hostId" TEXT NOT NULL,
    "key" TEXT NOT NULL,
    "start" DATE NOT NULL,
    "ende" DATE NOT NULL,
    "status" "LaufzeitStatus" NOT NULL DEFAULT 'VORSCHLAG',
    "notizen" TEXT,
    "proxmoxPositionId" TEXT,
    "kundenPositionId" TEXT,
    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
    "geaendertAm" TIMESTAMP(3) NOT NULL,
    CONSTRAINT "Laufzeit_pkey" PRIMARY KEY ("id")
 );
 -- CreateTable
 CREATE TABLE "ProxmoxRechnung" (
    "id" TEXT NOT NULL,
    "nummer" TEXT NOT NULL,
    "datum" DATE NOT NULL,
    "faelligAm" DATE,
    "nettoBetrag" DECIMAL(12,2) NOT NULL,
    "ustSatz" DECIMAL(5,2) NOT NULL DEFAULT 19.00,
    "rabatt" DECIMAL(12,2),
    "zahlungsart" TEXT,
    "bezahlt" BOOLEAN NOT NULL DEFAULT false,
    "bezahltAm" DATE,
    "notizen" TEXT,
    "anhangId" TEXT,
    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
    "geaendertAm" TIMESTAMP(3) NOT NULL,
    CONSTRAINT "ProxmoxRechnung_pkey" PRIMARY KEY ("id")
 );
 -- CreateTable
 CREATE TABLE "ProxmoxRechnungPosition" (
    "id" TEXT NOT NULL,
    "rechnungId" TEXT NOT NULL,
    "bezeichnung" TEXT NOT NULL,
    "menge" INTEGER NOT NULL DEFAULT 1,
    "nettoBetrag" DECIMAL(12,2) NOT NULL,
    CONSTRAINT "ProxmoxRechnungPosition_pkey" PRIMARY KEY ("id")
 );
 -- CreateTable
 CREATE TABLE "Kundenrechnung" (
    "id" TEXT NOT NULL,
    "kundeId" TEXT NOT NULL,
    "erstellt" BOOLEAN NOT NULL DEFAULT false,
    "nummer" TEXT,
    "datum" DATE,
    "nettoBetrag" DECIMAL(12,2),
    "ustSatz" DECIMAL(5,2) NOT NULL DEFAULT 19.00,
    "bezahlt" BOOLEAN NOT NULL DEFAULT false,
    "bezahltAm" DATE,
    "notizen" TEXT,
    "anhangId" TEXT,
    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
    "geaendertAm" TIMESTAMP(3) NOT NULL,
    CONSTRAINT "Kundenrechnung_pkey" PRIMARY KEY ("id")
 );
 -- CreateTable
 CREATE TABLE "KundenrechnungPosition" (
    "id" TEXT NOT NULL,
    "rechnungId" TEXT NOT NULL,
    "bezeichnung" TEXT NOT NULL,
    "menge" INTEGER NOT NULL DEFAULT 1,
    "nettoBetrag" DECIMAL(12,2) NOT NULL,
    CONSTRAINT "KundenrechnungPosition_pkey" PRIMARY KEY ("id")
 );
 -- CreateTable
 CREATE TABLE "Anhang" (
    "id" TEXT NOT NULL,
    "dateiname" TEXT NOT NULL,
    "pfad" TEXT NOT NULL,
    "mimeTyp" TEXT NOT NULL,
    "groesse" INTEGER NOT NULL,
    "sha256" TEXT NOT NULL,
    "hochgeladenAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
    CONSTRAINT "Anhang_pkey" PRIMARY KEY ("id")
 );
 -- CreateTable
 CREATE TABLE "AgentToken" (
    "id" TEXT NOT NULL,
    "hostId" TEXT NOT NULL,
    "tokenHash" TEXT NOT NULL,
    "praefix" TEXT NOT NULL,
    "bezeichnung" TEXT,
    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
    "letzteNutzungAm" TIMESTAMP(3),
    "widerrufenAm" TIMESTAMP(3),
    CONSTRAINT "AgentToken_pkey" PRIMARY KEY ("id")
 );
 -- CreateTable
 CREATE TABLE "EnrollmentToken" (
    "id" TEXT NOT NULL,
    "tokenHash" TEXT NOT NULL,
    "praefix" TEXT NOT NULL,
    "bezeichnung" TEXT,
    "gueltigBis" TIMESTAMP(3),
    "maxNutzungen" INTEGER,
    "nutzungen" INTEGER NOT NULL DEFAULT 0,
    "kundeId" TEXT,
    "standortId" TEXT,
    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
    "widerrufenAm" TIMESTAMP(3),
    CONSTRAINT "EnrollmentToken_pkey" PRIMARY KEY ("id")
 );
 -- CreateTable
 CREATE TABLE "Alert" (
    "id" TEXT NOT NULL,
    "regel" TEXT NOT NULL,
    "fingerprint" TEXT NOT NULL,
    "schwere" "AlertSchwere" NOT NULL,
    "titel" TEXT NOT NULL,
    "beschreibung" TEXT NOT NULL,
    "hostId" TEXT,
    "kundeId" TEXT,
    "laufzeitId" TEXT,
    "geoeffnetAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
    "quittiertAm" TIMESTAMP(3),
    "erledigtAm" TIMESTAMP(3),
    CONSTRAINT "Alert_pkey" PRIMARY KEY ("id")
 );
 -- CreateTable
 CREATE TABLE "Benachrichtigung" (
    "id" TEXT NOT NULL,
    "alertId" TEXT,
    "kanal" "NotificationKanal" NOT NULL,
    "empfaenger" TEXT NOT NULL,
    "betreff" TEXT,
    "status" "NotificationStatus" NOT NULL DEFAULT 'WARTEND',
    "fehler" TEXT,
    "versendetAm" TIMESTAMP(3),
    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
    CONSTRAINT "Benachrichtigung_pkey" PRIMARY KEY ("id")
 );
 -- CreateTable
 CREATE TABLE "WarnregelEinstellung" (
    "id" TEXT NOT NULL,
    "regel" TEXT NOT NULL,
    "aktiv" BOOLEAN NOT NULL DEFAULT true,
    "schwellwerte" JSONB NOT NULL DEFAULT '{}',
    "geaendertAm" TIMESTAMP(3) NOT NULL,
    CONSTRAINT "WarnregelEinstellung_pkey" PRIMARY KEY ("id")
 );
 -- CreateTable
 CREATE TABLE "Benachrichtigungskanal" (
    "id" TEXT NOT NULL,
    "typ" "NotificationKanal" NOT NULL,
    "name" TEXT NOT NULL,
    "aktiv" BOOLEAN NOT NULL DEFAULT true,
    "konfiguration" JSONB NOT NULL,
    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
    "geaendertAm" TIMESTAMP(3) NOT NULL,
    CONSTRAINT "Benachrichtigungskanal_pkey" PRIMARY KEY ("id")
 );
 -- CreateTable
 CREATE TABLE "Benutzer" (
    "id" TEXT NOT NULL,
    "email" TEXT NOT NULL,
    "name" TEXT NOT NULL,
    "passwortHash" TEXT,
    "oidcSubject" TEXT,
    "aktiv" BOOLEAN NOT NULL DEFAULT true,
    "letzterLoginAm" TIMESTAMP(3),
    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
    "geaendertAm" TIMESTAMP(3) NOT NULL,
    CONSTRAINT "Benutzer_pkey" PRIMARY KEY ("id")
 );
 -- CreateTable
 CREATE TABLE "AuditEintrag" (
    "id" TEXT NOT NULL,
    "benutzerId" TEXT,
    "aktion" TEXT NOT NULL,
    "entitaet" TEXT NOT NULL,
    "entitaetId" TEXT,
    "aenderung" JSONB,
    "ipAdresse" TEXT,
    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
    CONSTRAINT "AuditEintrag_pkey" PRIMARY KEY ("id")
 );
 -- CreateTable
 CREATE TABLE "Einstellung" (
    "schluessel" TEXT NOT NULL,
    "wert" JSONB NOT NULL,
    "geaendertAm" TIMESTAMP(3) NOT NULL,
    CONSTRAINT "Einstellung_pkey" PRIMARY KEY ("schluessel")
 );
 -- CreateTable
 CREATE TABLE "_HostTags" (
    "A" TEXT NOT NULL,
    "B" TEXT NOT NULL,
    CONSTRAINT "_HostTags_AB_pkey" PRIMARY KEY ("A","B")
 );
 -- CreateIndex
 CREATE UNIQUE INDEX "Kunde_kundennummer_key" ON "Kunde"("kundennummer");
 -- CreateIndex
 CREATE INDEX "Kunde_name_idx" ON "Kunde"("name");
 -- CreateIndex
 CREATE INDEX "Standort_kundeId_idx" ON "Standort"("kundeId");
 -- CreateIndex
 CREATE UNIQUE INDEX "Host_agentId_key" ON "Host"("agentId");
 -- CreateIndex
 CREATE INDEX "Host_kundeId_idx" ON "Host"("kundeId");
 -- CreateIndex
 CREATE INDEX "Host_standortId_idx" ON "Host"("standortId");
 -- CreateIndex
 CREATE INDEX "Host_hostname_idx" ON "Host"("hostname");
 -- CreateIndex
 CREATE INDEX "Host_serverId_idx" ON "Host"("serverId");
 -- CreateIndex
 CREATE INDEX "Host_subKey_idx" ON "Host"("subKey");
 -- CreateIndex
 CREATE INDEX "Host_subNextduedate_idx" ON "Host"("subNextduedate");
 -- CreateIndex
 CREATE INDEX "Host_subStatus_idx" ON "Host"("subStatus");
 -- CreateIndex
 CREATE UNIQUE INDEX "Tag_name_key" ON "Tag"("name");
 -- CreateIndex
 CREATE UNIQUE INDEX "Report_reportId_key" ON "Report"("reportId");
 -- CreateIndex
 CREATE INDEX "Report_hostId_erhobenAm_idx" ON "Report"("hostId", "erhobenAm");
 -- CreateIndex
 CREATE INDEX "Report_empfangenAm_idx" ON "Report"("empfangenAm");
 -- CreateIndex
 CREATE INDEX "SubscriptionKeyHistorie_key_idx" ON "SubscriptionKeyHistorie"("key");
 -- CreateIndex
 CREATE UNIQUE INDEX "SubscriptionKeyHistorie_hostId_key_key" ON "SubscriptionKeyHistorie"("hostId", "key");
 -- CreateIndex
 CREATE INDEX "ServerIdHistorie_serverId_idx" ON "ServerIdHistorie"("serverId");
 -- CreateIndex
 CREATE UNIQUE INDEX "ServerIdHistorie_hostId_serverId_key" ON "ServerIdHistorie"("hostId", "serverId");
 -- CreateIndex
 CREATE UNIQUE INDEX "Laufzeit_proxmoxPositionId_key" ON "Laufzeit"("proxmoxPositionId");
 -- CreateIndex
 CREATE UNIQUE INDEX "Laufzeit_kundenPositionId_key" ON "Laufzeit"("kundenPositionId");
 -- CreateIndex
 CREATE INDEX "Laufzeit_ende_idx" ON "Laufzeit"("ende");
 -- CreateIndex
 CREATE INDEX "Laufzeit_key_idx" ON "Laufzeit"("key");
 -- CreateIndex
 CREATE UNIQUE INDEX "Laufzeit_hostId_start_key" ON "Laufzeit"("hostId", "start");
 -- CreateIndex
 CREATE UNIQUE INDEX "ProxmoxRechnung_nummer_key" ON "ProxmoxRechnung"("nummer");
 -- CreateIndex
 CREATE INDEX "ProxmoxRechnung_bezahlt_faelligAm_idx" ON "ProxmoxRechnung"("bezahlt", "faelligAm");
 -- CreateIndex
 CREATE INDEX "ProxmoxRechnung_datum_idx" ON "ProxmoxRechnung"("datum");
 -- CreateIndex
 CREATE INDEX "ProxmoxRechnungPosition_rechnungId_idx" ON "ProxmoxRechnungPosition"("rechnungId");
 -- CreateIndex
 CREATE UNIQUE INDEX "Kundenrechnung_nummer_key" ON "Kundenrechnung"("nummer");
 -- CreateIndex
 CREATE INDEX "Kundenrechnung_kundeId_idx" ON "Kundenrechnung"("kundeId");
 -- CreateIndex
 CREATE INDEX "Kundenrechnung_erstellt_bezahlt_idx" ON "Kundenrechnung"("erstellt", "bezahlt");
 -- CreateIndex
 CREATE INDEX "KundenrechnungPosition_rechnungId_idx" ON "KundenrechnungPosition"("rechnungId");
 -- CreateIndex
 CREATE UNIQUE INDEX "AgentToken_tokenHash_key" ON "AgentToken"("tokenHash");
 -- CreateIndex
 CREATE INDEX "AgentToken_hostId_idx" ON "AgentToken"("hostId");
 -- CreateIndex
 CREATE UNIQUE INDEX "EnrollmentToken_tokenHash_key" ON "EnrollmentToken"("tokenHash");
 -- CreateIndex
 CREATE UNIQUE INDEX "Alert_fingerprint_key" ON "Alert"("fingerprint");
 -- CreateIndex
 CREATE INDEX "Alert_erledigtAm_idx" ON "Alert"("erledigtAm");
 -- CreateIndex
 CREATE INDEX "Alert_hostId_idx" ON "Alert"("hostId");
 -- CreateIndex
 CREATE INDEX "Alert_kundeId_idx" ON "Alert"("kundeId");
 -- CreateIndex
 CREATE INDEX "Alert_regel_idx" ON "Alert"("regel");
 -- CreateIndex
 CREATE INDEX "Benachrichtigung_alertId_idx" ON "Benachrichtigung"("alertId");
 -- CreateIndex
 CREATE INDEX "Benachrichtigung_erstelltAm_idx" ON "Benachrichtigung"("erstelltAm");
 -- CreateIndex
 CREATE UNIQUE INDEX "WarnregelEinstellung_regel_key" ON "WarnregelEinstellung"("regel");
 -- CreateIndex
 CREATE UNIQUE INDEX "Benutzer_email_key" ON "Benutzer"("email");
 -- CreateIndex
 CREATE UNIQUE INDEX "Benutzer_oidcSubject_key" ON "Benutzer"("oidcSubject");
 -- CreateIndex
 CREATE INDEX "AuditEintrag_entitaet_entitaetId_idx" ON "AuditEintrag"("entitaet", "entitaetId");
 -- CreateIndex
 CREATE INDEX "AuditEintrag_erstelltAm_idx" ON "AuditEintrag"("erstelltAm");
 -- CreateIndex
 CREATE INDEX "_HostTags_B_index" ON "_HostTags"("B");
 -- AddForeignKey
 ALTER TABLE "Standort" ADD CONSTRAINT "Standort_kundeId_fkey" FOREIGN KEY ("kundeId") REFERENCES "Kunde"("id") ON DELETE CASCADE ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "Host" ADD CONSTRAINT "Host_kundeId_fkey" FOREIGN KEY ("kundeId") REFERENCES "Kunde"("id") ON DELETE SET NULL ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "Host" ADD CONSTRAINT "Host_standortId_fkey" FOREIGN KEY ("standortId") REFERENCES "Standort"("id") ON DELETE SET NULL ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "Report" ADD CONSTRAINT "Report_hostId_fkey" FOREIGN KEY ("hostId") REFERENCES "Host"("id") ON DELETE CASCADE ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "SubscriptionKeyHistorie" ADD CONSTRAINT "SubscriptionKeyHistorie_hostId_fkey" FOREIGN KEY ("hostId") REFERENCES "Host"("id") ON DELETE CASCADE ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "ServerIdHistorie" ADD CONSTRAINT "ServerIdHistorie_hostId_fkey" FOREIGN KEY ("hostId") REFERENCES "Host"("id") ON DELETE CASCADE ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "Laufzeit" ADD CONSTRAINT "Laufzeit_hostId_fkey" FOREIGN KEY ("hostId") REFERENCES "Host"("id") ON DELETE CASCADE ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "Laufzeit" ADD CONSTRAINT "Laufzeit_proxmoxPositionId_fkey" FOREIGN KEY ("proxmoxPositionId") REFERENCES "ProxmoxRechnungPosition"("id") ON DELETE SET NULL ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "Laufzeit" ADD CONSTRAINT "Laufzeit_kundenPositionId_fkey" FOREIGN KEY ("kundenPositionId") REFERENCES "KundenrechnungPosition"("id") ON DELETE SET NULL ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "ProxmoxRechnung" ADD CONSTRAINT "ProxmoxRechnung_anhangId_fkey" FOREIGN KEY ("anhangId") REFERENCES "Anhang"("id") ON DELETE SET NULL ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "ProxmoxRechnungPosition" ADD CONSTRAINT "ProxmoxRechnungPosition_rechnungId_fkey" FOREIGN KEY ("rechnungId") REFERENCES "ProxmoxRechnung"("id") ON DELETE CASCADE ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "Kundenrechnung" ADD CONSTRAINT "Kundenrechnung_kundeId_fkey" FOREIGN KEY ("kundeId") REFERENCES "Kunde"("id") ON DELETE CASCADE ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "Kundenrechnung" ADD CONSTRAINT "Kundenrechnung_anhangId_fkey" FOREIGN KEY ("anhangId") REFERENCES "Anhang"("id") ON DELETE SET NULL ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "KundenrechnungPosition" ADD CONSTRAINT "KundenrechnungPosition_rechnungId_fkey" FOREIGN KEY ("rechnungId") REFERENCES "Kundenrechnung"("id") ON DELETE CASCADE ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "AgentToken" ADD CONSTRAINT "AgentToken_hostId_fkey" FOREIGN KEY ("hostId") REFERENCES "Host"("id") ON DELETE CASCADE ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "EnrollmentToken" ADD CONSTRAINT "EnrollmentToken_kundeId_fkey" FOREIGN KEY ("kundeId") REFERENCES "Kunde"("id") ON DELETE SET NULL ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "EnrollmentToken" ADD CONSTRAINT "EnrollmentToken_standortId_fkey" FOREIGN KEY ("standortId") REFERENCES "Standort"("id") ON DELETE SET NULL ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "Alert" ADD CONSTRAINT "Alert_hostId_fkey" FOREIGN KEY ("hostId") REFERENCES "Host"("id") ON DELETE CASCADE ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "Alert" ADD CONSTRAINT "Alert_kundeId_fkey" FOREIGN KEY ("kundeId") REFERENCES "Kunde"("id") ON DELETE CASCADE ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "Alert" ADD CONSTRAINT "Alert_laufzeitId_fkey" FOREIGN KEY ("laufzeitId") REFERENCES "Laufzeit"("id") ON DELETE CASCADE ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "Benachrichtigung" ADD CONSTRAINT "Benachrichtigung_alertId_fkey" FOREIGN KEY ("alertId") REFERENCES "Alert"("id") ON DELETE SET NULL ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "AuditEintrag" ADD CONSTRAINT "AuditEintrag_benutzerId_fkey" FOREIGN KEY ("benutzerId") REFERENCES "Benutzer"("id") ON DELETE SET NULL ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "_HostTags" ADD CONSTRAINT "_HostTags_A_fkey" FOREIGN KEY ("A") REFERENCES "Host"("id") ON DELETE CASCADE ON UPDATE CASCADE;
 -- AddForeignKey
 ALTER TABLE "_HostTags" ADD CONSTRAINT "_HostTags_B_fkey" FOREIGN KEY ("B") REFERENCES "Tag"("id") ON DELETE CASCADE ON UPDATE CASCADE;
@@ -0,0 +1,3 @@
 # Please do not edit this file manually
 # It should be added in your version-control system (e.g., Git)
 provider = "postgresql"
@@ -0,0 +1,484 @@
 // ProxLedger – Datenmodell
 // Entwurfsentscheidungen siehe docs/architektur.md, Abschnitt 3.
 // Kurz: Ein Host wird über seine agentId identifiziert (nicht über die Server-ID, die sich bei
 // Hardwaretausch ändert), Rechnungen sind eigene Entitäten mit Positionen, damit Sammelbestellungen
 // bei Proxmox und Sammelrechnungen an Kunden ohne doppelte Rechnungsnummern abbildbar sind.
 generator client {
  provider = "prisma-client"
  output   = "../src/generated/prisma"
 }
 datasource db {
  provider = "postgresql"
 }
 // ---------------------------------------------------------------- Aufzählungen
 enum Produkt {
  PVE
  PBS
  PMG
 }
 enum SubscriptionStatus {
  ACTIVE
  NOTFOUND
  INVALID
  EXPIRED
  SUSPENDED
  UNKNOWN
 }
 enum LaufzeitStatus {
  VORSCHLAG
  BESTAETIGT
 }
 enum AlertSchwere {
  INFO
  WARNUNG
  GEFAHR
 }
 enum NotificationKanal {
  EMAIL
  WEBHOOK
 }
 enum NotificationStatus {
  GESENDET
  FEHLGESCHLAGEN
  WARTEND
 }
 // ---------------------------------------------------------------- Kunden und Standorte
 model Kunde {
  id             String   @id @default(cuid())
  name           String
  kundennummer   String   @unique
  ansprechpartner String?
  email          String?
  telefon        String?
  notizen        String?
  erstelltAm     DateTime @default(now())
  geaendertAm    DateTime @updatedAt
  standorte        Standort[]
  hosts            Host[]
  kundenrechnungen Kundenrechnung[]
  enrollmentTokens EnrollmentToken[]
  alerts           Alert[]
  @@index([name])
 }
 model Standort {
  id          String   @id @default(cuid())
  kundeId     String
  name        String
  strasse     String?
  plz         String?
  ort         String?
  notizen     String?
  erstelltAm  DateTime @default(now())
  geaendertAm DateTime @updatedAt
  kunde            Kunde             @relation(fields: [kundeId], references: [id], onDelete: Cascade)
  hosts            Host[]
  enrollmentTokens EnrollmentToken[]
  @@index([kundeId])
 }
 // ---------------------------------------------------------------- Hosts
 model Host {
  id String @id @default(cuid())
  /// Stabile Kennung, die der Agent bei der Registrierung erzeugt (aus /etc/machine-id abgeleitet).
  /// Sie bleibt auch dann gleich, wenn sich die Proxmox-Server-ID durch Hardwaretausch ändert.
  agentId String @unique
  hostname    String
  fqdn        String?
  kundeId     String?
  standortId  String?
  produkt     Produkt
  produktVersion String?
  kernel      String?
  /// Aktuelle Server-ID laut letztem Report; die Historie steht in ServerIdHistorie.
  serverId    String?
  clusterName String?
  nodeName    String?
  ips         String[] @default([])
  sockets     Int?
  cpuModell   String?
  uptimeSekunden BigInt?
  paketUpdates   Int?
  agentVersion   String?
  notizen        String?
  // Momentaufnahme der Subscription aus dem letzten Report (für Listen und Filter).
  subKey               String?
  subStatus            SubscriptionStatus @default(UNKNOWN)
  subLevel             String?
  subProduktname       String?
  subLizenzierteSockets Int?
  subRegdate           DateTime?          @db.Date
  subNextduedate       DateTime?          @db.Date
  subChecktime         DateTime?
  erstmalsGesehenAm DateTime  @default(now())
  letzterReportAm   DateTime?
  erstelltAm        DateTime  @default(now())
  geaendertAm       DateTime  @updatedAt
  kunde             Kunde?               @relation(fields: [kundeId], references: [id], onDelete: SetNull)
  standort          Standort?            @relation(fields: [standortId], references: [id], onDelete: SetNull)
  reports           Report[]
  keyHistorie       SubscriptionKeyHistorie[]
  serverIdHistorie  ServerIdHistorie[]
  laufzeiten        Laufzeit[]
  tokens            AgentToken[]
  alerts            Alert[]
  tags              Tag[]                @relation("HostTags")
  @@index([kundeId])
  @@index([standortId])
  @@index([hostname])
  @@index([serverId])
  @@index([subKey])
  @@index([subNextduedate])
  @@index([subStatus])
 }
 model Tag {
  id    String @id @default(cuid())
  name  String @unique
  farbe String?
  hosts Host[] @relation("HostTags")
 }
 model Report {
  id     String @id @default(cuid())
  hostId String
  /// Vom Agent erzeugte UUID; verhindert doppelte Verarbeitung nachgesendeter Reports.
  reportId String @unique
  /// Zeitpunkt der Datenerhebung auf dem Host (kann bei nachgesendeten Reports älter sein).
  erhobenAm  DateTime
  empfangenAm DateTime @default(now())
  subStatus      SubscriptionStatus
  subKey         String?
  subNextduedate DateTime?          @db.Date
  serverId       String?
  hostname       String?
  produktVersion String?
  kernel         String?
  sockets        Int?
  paketUpdates   Int?
  agentVersion   String?
  ips            String[]           @default([])
  quellIp        String?
  /// Vollständiger Report, damit auch künftige Felder nachträglich auswertbar sind.
  rohdaten Json
  host Host @relation(fields: [hostId], references: [id], onDelete: Cascade)
  @@index([hostId, erhobenAm])
  @@index([empfangenAm])
 }
 model SubscriptionKeyHistorie {
  id            String   @id @default(cuid())
  hostId        String
  key           String
  ersteMeldung  DateTime @default(now())
  letzteMeldung DateTime @default(now())
  host Host @relation(fields: [hostId], references: [id], onDelete: Cascade)
  @@unique([hostId, key])
  @@index([key])
 }
 model ServerIdHistorie {
  id            String   @id @default(cuid())
  hostId        String
  serverId      String
  ersteMeldung  DateTime @default(now())
  letzteMeldung DateTime @default(now())
  host Host @relation(fields: [hostId], references: [id], onDelete: Cascade)
  @@unique([hostId, serverId])
  @@index([serverId])
 }
 // ---------------------------------------------------------------- Laufzeiten und Rechnungen
 model Laufzeit {
  id      String         @id @default(cuid())
  hostId  String
  key     String
  start   DateTime       @db.Date
  ende    DateTime       @db.Date
  status  LaufzeitStatus @default(VORSCHLAG)
  notizen String?
  /// Position der Proxmox-Rechnung (Einkauf), die diese Laufzeit bezahlt.
  proxmoxPositionId String? @unique
  /// Position der Kundenrechnung (Verkauf), mit der die Laufzeit weiterberechnet wird.
  kundenPositionId String? @unique
  erstelltAm  DateTime @default(now())
  geaendertAm DateTime @updatedAt
  host            Host                     @relation(fields: [hostId], references: [id], onDelete: Cascade)
  proxmoxPosition ProxmoxRechnungPosition? @relation(fields: [proxmoxPositionId], references: [id], onDelete: SetNull)
  kundenPosition  KundenrechnungPosition?  @relation(fields: [kundenPositionId], references: [id], onDelete: SetNull)
  alerts          Alert[]
  @@unique([hostId, start])
  @@index([ende])
  @@index([key])
 }
 /// Rechnung von Proxmox (Einkauf). Eine Bestellung kann mehrere Keys umfassen.
 model ProxmoxRechnung {
  id           String    @id @default(cuid())
  nummer       String    @unique
  datum        DateTime  @db.Date
  faelligAm    DateTime? @db.Date
  nettoBetrag  Decimal   @db.Decimal(12, 2)
  ustSatz      Decimal   @default(19.00) @db.Decimal(5, 2)
  rabatt       Decimal?  @db.Decimal(12, 2)
  zahlungsart  String?
  bezahlt      Boolean   @default(false)
  bezahltAm    DateTime? @db.Date
  notizen      String?
  anhangId     String?
  erstelltAm   DateTime  @default(now())
  geaendertAm  DateTime  @updatedAt
  anhang     Anhang?                   @relation(fields: [anhangId], references: [id], onDelete: SetNull)
  positionen ProxmoxRechnungPosition[]
  @@index([bezahlt, faelligAm])
  @@index([datum])
 }
 model ProxmoxRechnungPosition {
  id          String  @id @default(cuid())
  rechnungId  String
  bezeichnung String
  menge       Int     @default(1)
  nettoBetrag Decimal @db.Decimal(12, 2)
  rechnung ProxmoxRechnung @relation(fields: [rechnungId], references: [id], onDelete: Cascade)
  laufzeit Laufzeit?
  @@index([rechnungId])
 }
 /// Rechnung an den Kunden (Verkauf). `erstellt = false` bedeutet: steht noch aus.
 model Kundenrechnung {
  id          String    @id @default(cuid())
  kundeId     String
  erstellt    Boolean   @default(false)
  nummer      String?   @unique
  datum       DateTime? @db.Date
  nettoBetrag Decimal?  @db.Decimal(12, 2)
  ustSatz     Decimal   @default(19.00) @db.Decimal(5, 2)
  bezahlt     Boolean   @default(false)
  bezahltAm   DateTime? @db.Date
  notizen     String?
  anhangId    String?
  erstelltAm  DateTime  @default(now())
  geaendertAm DateTime  @updatedAt
  kunde      Kunde                    @relation(fields: [kundeId], references: [id], onDelete: Cascade)
  anhang     Anhang?                  @relation(fields: [anhangId], references: [id], onDelete: SetNull)
  positionen KundenrechnungPosition[]
  @@index([kundeId])
  @@index([erstellt, bezahlt])
 }
 model KundenrechnungPosition {
  id          String  @id @default(cuid())
  rechnungId  String
  bezeichnung String
  menge       Int     @default(1)
  nettoBetrag Decimal @db.Decimal(12, 2)
  rechnung Kundenrechnung @relation(fields: [rechnungId], references: [id], onDelete: Cascade)
  laufzeit Laufzeit?
  @@index([rechnungId])
 }
 model Anhang {
  id           String   @id @default(cuid())
  dateiname    String
  pfad         String
  mimeTyp      String
  groesse      Int
  sha256       String
  hochgeladenAm DateTime @default(now())
  proxmoxRechnungen ProxmoxRechnung[]
  kundenrechnungen  Kundenrechnung[]
 }
 // ---------------------------------------------------------------- Tokens
 /// Host-spezifischer API-Token. In der Datenbank liegt nur der SHA-256-Hash.
 model AgentToken {
  id             String    @id @default(cuid())
  hostId         String
  tokenHash      String    @unique
  praefix        String
  bezeichnung    String?
  erstelltAm     DateTime  @default(now())
  letzteNutzungAm DateTime?
  widerrufenAm   DateTime?
  host Host @relation(fields: [hostId], references: [id], onDelete: Cascade)
  @@index([hostId])
 }
 /// Token für die Erstregistrierung, optional mit Kunden- und Standortzuordnung.
 model EnrollmentToken {
  id           String    @id @default(cuid())
  tokenHash    String    @unique
  praefix      String
  bezeichnung  String?
  gueltigBis   DateTime?
  maxNutzungen Int?
  nutzungen    Int       @default(0)
  kundeId      String?
  standortId   String?
  erstelltAm   DateTime  @default(now())
  widerrufenAm DateTime?
  kunde    Kunde?    @relation(fields: [kundeId], references: [id], onDelete: SetNull)
  standort Standort? @relation(fields: [standortId], references: [id], onDelete: SetNull)
 }
 // ---------------------------------------------------------------- Warnungen und Benachrichtigungen
 model Alert {
  id    String @id @default(cuid())
  regel String
  /// Regel + betroffenes Objekt (+ Schwelle). Verhindert doppelte offene Warnungen.
  fingerprint String @unique
  schwere      AlertSchwere
  titel        String
  beschreibung String
  hostId     String?
  kundeId    String?
  laufzeitId String?
  geoeffnetAm DateTime  @default(now())
  quittiertAm DateTime?
  erledigtAm  DateTime?
  host     Host?          @relation(fields: [hostId], references: [id], onDelete: Cascade)
  kunde    Kunde?         @relation(fields: [kundeId], references: [id], onDelete: Cascade)
  laufzeit Laufzeit?      @relation(fields: [laufzeitId], references: [id], onDelete: Cascade)
  benachrichtigungen Benachrichtigung[]
  @@index([erledigtAm])
  @@index([hostId])
  @@index([kundeId])
  @@index([regel])
 }
 model Benachrichtigung {
  id         String             @id @default(cuid())
  alertId    String?
  kanal      NotificationKanal
  empfaenger String
  betreff    String?
  status     NotificationStatus @default(WARTEND)
  fehler     String?
  versendetAm DateTime?
  erstelltAm DateTime           @default(now())
  alert Alert? @relation(fields: [alertId], references: [id], onDelete: SetNull)
  @@index([alertId])
  @@index([erstelltAm])
 }
 /// Schwellwerte je Warnregel, z. B. { "tage": [30, 14, 7] }.
 model WarnregelEinstellung {
  id           String   @id @default(cuid())
  regel        String   @unique
  aktiv        Boolean  @default(true)
  schwellwerte Json     @default("{}")
  geaendertAm  DateTime @updatedAt
 }
 model Benachrichtigungskanal {
  id            String            @id @default(cuid())
  typ           NotificationKanal
  name          String
  aktiv         Boolean           @default(true)
  konfiguration Json
  erstelltAm    DateTime          @default(now())
  geaendertAm   DateTime          @updatedAt
 }
 // ---------------------------------------------------------------- Benutzer und Protokoll
 /// Alle Benutzer sind Administratoren; eine Nur-Lese-Rolle ist bewusst nicht vorgesehen.
 model Benutzer {
  id            String    @id @default(cuid())
  email         String    @unique
  name          String
  passwortHash  String?
  oidcSubject   String?   @unique
  aktiv         Boolean   @default(true)
  letzterLoginAm DateTime?
  erstelltAm    DateTime  @default(now())
  geaendertAm   DateTime  @updatedAt
  auditEintraege AuditEintrag[]
 }
 model AuditEintrag {
  id         String   @id @default(cuid())
  benutzerId String?
  aktion     String
  entitaet   String
  entitaetId String?
  aenderung  Json?
  ipAdresse  String?
  erstelltAm DateTime @default(now())
  benutzer Benutzer? @relation(fields: [benutzerId], references: [id], onDelete: SetNull)
  @@index([entitaet, entitaetId])
  @@index([erstelltAm])
 }
 /// Freie Systemeinstellungen (z. B. SMTP-Konfiguration, Anzeigeoptionen).
 model Einstellung {
  schluessel  String   @id
  wert        Json
  geaendertAm DateTime @updatedAt
 }
@@ -0,0 +1,296 @@
 import { hash } from "@node-rs/argon2";
 import { PrismaPg } from "@prisma/adapter-pg";
 import { PrismaClient } from "../src/generated/prisma/client";
 import type { Prisma } from "../src/generated/prisma/client";
 import type { Produkt, SubscriptionStatus } from "../src/generated/prisma/enums";
 import { alerts, hosts, kunden, laufzeiten, reports } from "../src/mock/data";
 import type { Laufzeit as MockLaufzeit } from "../src/mock/types";
 const connectionString = process.env.DATABASE_URL;
 if (!connectionString) throw new Error("DATABASE_URL ist nicht gesetzt.");
 const prisma = new PrismaClient({ adapter: new PrismaPg({ connectionString }) });
 /** Standardwerte der Warnregeln; Schwellwerte sind später in der Oberfläche änderbar (#011). */
 const WARNREGELN: { regel: string; schwellwerte: Prisma.InputJsonValue }[] = [
  { regel: "subscription-laeuft-ab", schwellwerte: { tage: [30, 14, 7] } },
  { regel: "status-nicht-aktiv", schwellwerte: {} },
  { regel: "sockets-abweichung", schwellwerte: {} },
  { regel: "keine-meldung", schwellwerte: { stunden: 48 } },
  { regel: "serverid-geaendert", schwellwerte: {} },
  { regel: "key-mehrfach-gemeldet", schwellwerte: {} },
  { regel: "host-ohne-kunde", schwellwerte: {} },
  { regel: "proxmox-rechnung-faellig", schwellwerte: { tage: 7 } },
  { regel: "kundenrechnung-fehlt", schwellwerte: {} },
  { regel: "kundenrechnung-unbezahlt", schwellwerte: { tage: 30 } },
 ];
 async function seedAdmin() {
  const email = process.env.ADMIN_EMAIL ?? "admin@example.de";
  const name = process.env.ADMIN_NAME ?? "Administrator";
  const passwort = process.env.ADMIN_PASSWORD;
  if (!passwort) {
    console.warn("ADMIN_PASSWORD ist nicht gesetzt – der Administrator wird ohne Passwort angelegt.");
  }
  const passwortHash = passwort ? await hash(passwort) : null;
  await prisma.benutzer.upsert({
    where: { email },
    // Ein vorhandenes Passwort wird nicht überschrieben, damit der Seed gefahrlos wiederholbar ist.
    update: { name },
    create: { email, name, passwortHash },
  });
  console.log(`Administrator: ${email}`);
 }
 async function seedWarnregeln() {
  for (const regel of WARNREGELN) {
    await prisma.warnregelEinstellung.upsert({
      where: { regel: regel.regel },
      update: {},
      create: { regel: regel.regel, aktiv: true, schwellwerte: regel.schwellwerte },
    });
  }
  console.log(`${WARNREGELN.length} Warnregeln vorbereitet`);
 }
 const PRODUKT: Record<string, Produkt> = { pve: "PVE", pbs: "PBS", pmg: "PMG" };
 const STATUS: Record<string, SubscriptionStatus> = {
  active: "ACTIVE",
  notfound: "NOTFOUND",
  invalid: "INVALID",
  expired: "EXPIRED",
  suspended: "SUSPENDED",
 };
 function datum(wert: string | null | undefined): Date | null {
  return wert ? new Date(wert) : null;
 }
 async function seedDemo() {
  for (const kunde of kunden) {
    await prisma.kunde.upsert({
      where: { id: kunde.id },
      update: {},
      create: {
        id: kunde.id,
        name: kunde.name,
        kundennummer: kunde.kundennummer,
        ansprechpartner: kunde.ansprechpartner,
        email: kunde.email,
        telefon: kunde.telefon,
        notizen: kunde.notizen,
        standorte: {
          create: kunde.standorte.map((standort) => ({
            id: standort.id,
            name: standort.name,
            ort: standort.ort,
          })),
        },
      },
    });
  }
  for (const host of hosts) {
    await prisma.host.upsert({
      where: { id: host.id },
      update: {},
      create: {
        id: host.id,
        agentId: `demo-${host.id}`,
        hostname: host.hostname,
        fqdn: host.fqdn,
        kundeId: host.kundeId,
        standortId: host.standortId,
        produkt: PRODUKT[host.produkt],
        produktVersion: host.produktVersion,
        kernel: host.kernel,
        serverId: host.serverId,
        clusterName: host.clusterName,
        nodeName: host.nodeName,
        ips: host.ips,
        sockets: host.sockets,
        cpuModell: host.cpuModell,
        uptimeSekunden: host.uptimeSekunden === null ? null : BigInt(host.uptimeSekunden),
        paketUpdates: host.paketUpdates,
        agentVersion: host.agentVersion,
        notizen: host.notizen,
        subKey: host.subscription.key,
        subStatus: STATUS[host.subscription.status],
        subLevel: host.subscription.level,
        subProduktname: host.subscription.produktname,
        subLizenzierteSockets: host.subscription.lizenzierteSockets,
        subRegdate: datum(host.subscription.regdate),
        subNextduedate: datum(host.subscription.nextduedate),
        subChecktime: datum(host.subscription.checktime),
        letzterReportAm: datum(host.letzterReport),
        tags: {
          connectOrCreate: host.tags.map((tag) => ({ where: { name: tag }, create: { name: tag } })),
        },
        keyHistorie: host.subscription.key
          ? { create: [{ key: host.subscription.key }] }
          : undefined,
        serverIdHistorie: { create: [{ serverId: host.serverId }] },
      },
    });
  }
  // Rechnungen entstehen aus den Laufzeiten: gleiche Rechnungsnummer = eine Rechnung mit mehreren Positionen.
  const proxmoxRechnungen = new Map<string, MockLaufzeit[]>();
  const kundenrechnungen = new Map<string, MockLaufzeit[]>();
  for (const laufzeit of laufzeiten) {
    if (laufzeit.einkauf?.nummer) {
      const bisher = proxmoxRechnungen.get(laufzeit.einkauf.nummer) ?? [];
      proxmoxRechnungen.set(laufzeit.einkauf.nummer, [...bisher, laufzeit]);
    }
    if (laufzeit.verkauf) {
      const schluessel = laufzeit.verkauf.nummer ?? `ohne-nummer-${laufzeit.id}`;
      const bisher = kundenrechnungen.get(schluessel) ?? [];
      kundenrechnungen.set(schluessel, [...bisher, laufzeit]);
    }
  }
  const proxmoxPositionen = new Map<string, string>();
  for (const [nummer, zugehoerig] of proxmoxRechnungen) {
    const vorlage = zugehoerig[0].einkauf!;
    const rechnung = await prisma.proxmoxRechnung.upsert({
      where: { nummer },
      update: {},
      create: {
        nummer,
        datum: new Date(vorlage.datum!),
        faelligAm: datum(vorlage.faelligAm),
        nettoBetrag: zugehoerig.reduce((summe, l) => summe + (l.einkauf?.nettoBetrag ?? 0), 0),
        ustSatz: vorlage.ustSatz,
        rabatt: vorlage.rabatt ?? null,
        zahlungsart: vorlage.zahlungsart ?? null,
        bezahlt: vorlage.bezahlt,
        bezahltAm: datum(vorlage.bezahltAm),
        positionen: {
          create: zugehoerig.map((l) => ({
            id: `prp-${l.id}`,
            bezeichnung: `${l.key} · ${l.start} bis ${l.ende}`,
            nettoBetrag: l.einkauf?.nettoBetrag ?? 0,
          })),
        },
      },
    });
    for (const l of zugehoerig) proxmoxPositionen.set(l.id, `prp-${l.id}`);
    console.log(`Proxmox-Rechnung ${rechnung.nummer} mit ${zugehoerig.length} Position(en)`);
  }
  const kundenPositionen = new Map<string, string>();
  for (const [schluessel, zugehoerig] of kundenrechnungen) {
    const vorlage = zugehoerig[0].verkauf!;
    const host = hosts.find((h) => h.id === zugehoerig[0].hostId);
    if (!host?.kundeId) continue;
    const id = `kr-${schluessel}`;
    await prisma.kundenrechnung.upsert({
      where: { id },
      update: {},
      create: {
        id,
        kundeId: host.kundeId,
        erstellt: vorlage.erstellt,
        nummer: vorlage.nummer,
        datum: datum(vorlage.datum),
        nettoBetrag: vorlage.erstellt
          ? zugehoerig.reduce((summe, l) => summe + (l.verkauf?.nettoBetrag ?? 0), 0)
          : null,
        ustSatz: vorlage.ustSatz,
        bezahlt: vorlage.bezahlt,
        bezahltAm: datum(vorlage.bezahltAm),
        positionen: {
          create: zugehoerig.map((l) => ({
            id: `krp-${l.id}`,
            bezeichnung: `${l.key} · ${l.start} bis ${l.ende}`,
            nettoBetrag: l.verkauf?.nettoBetrag ?? 0,
          })),
        },
      },
    });
    for (const l of zugehoerig) kundenPositionen.set(l.id, `krp-${l.id}`);
  }
  for (const laufzeit of laufzeiten) {
    await prisma.laufzeit.upsert({
      where: { id: laufzeit.id },
      update: {},
      create: {
        id: laufzeit.id,
        hostId: laufzeit.hostId,
        key: laufzeit.key,
        start: new Date(laufzeit.start),
        ende: new Date(laufzeit.ende),
        status: laufzeit.vorschlag ? "VORSCHLAG" : "BESTAETIGT",
        proxmoxPositionId: proxmoxPositionen.get(laufzeit.id) ?? null,
        kundenPositionId: kundenPositionen.get(laufzeit.id) ?? null,
      },
    });
  }
  for (const report of reports) {
    await prisma.report.upsert({
      where: { reportId: report.id },
      update: {},
      create: {
        reportId: report.id,
        hostId: report.hostId,
        erhobenAm: new Date(report.zeitpunkt),
        subStatus: STATUS[report.status],
        subKey: report.key,
        subNextduedate: datum(report.nextduedate),
        agentVersion: report.agentVersion,
        paketUpdates: report.paketUpdates,
        rohdaten: { hinweis: "Demo-Report ohne Rohdaten" },
      },
    });
  }
  for (const alert of alerts) {
    await prisma.alert.upsert({
      where: { fingerprint: `${alert.typ}:${alert.hostId ?? alert.kundeId ?? alert.id}` },
      update: {},
      create: {
        id: alert.id,
        fingerprint: `${alert.typ}:${alert.hostId ?? alert.kundeId ?? alert.id}`,
        regel: alert.typ,
        schwere: alert.schwere === "gefahr" ? "GEFAHR" : alert.schwere === "warnung" ? "WARNUNG" : "INFO",
        titel: alert.titel,
        beschreibung: alert.beschreibung,
        hostId: alert.hostId,
        kundeId: alert.kundeId,
        laufzeitId: alert.laufzeitId,
        geoeffnetAm: new Date(alert.seit),
      },
    });
  }
  console.log(
    `Demo-Daten: ${kunden.length} Kunden, ${hosts.length} Hosts, ${laufzeiten.length} Laufzeiten, ${alerts.length} Warnungen`,
  );
 }
 async function main() {
  await seedAdmin();
  await seedWarnregeln();
  if (process.env.SEED_DEMO === "1") {
    await seedDemo();
  } else {
    console.log("Demo-Daten übersprungen (SEED_DEMO=1 setzen, um sie anzulegen).");
  }
 }
 main()
  .then(() => prisma.$disconnect())
  .catch(async (fehler) => {
    console.error(fehler);
    await prisma.$disconnect();
    process.exit(1);
  });
@@ -0,0 +1,15 @@
 // This file was generated by Prisma, and assumes you have installed the following:
 // npm install --save-dev prisma dotenv
 import "dotenv/config";
 import { defineConfig } from "prisma/config";
 export default defineConfig({
  schema: "prisma/schema.prisma",
  migrations: {
    path: "prisma/migrations",
    seed: "tsx prisma/seed.ts",
  },
  datasource: {
    url: process.env["DATABASE_URL"],
  },
 });
@@ -0,0 +1,25 @@
 import "dotenv/config";
 import { alertsAbgleichen, warnregelnSicherstellen } from "@/server/alerts/abgleich";
 /** Einmalige Auswertung der Warnregeln – praktisch zum Prüfen ohne laufenden Worker. */
 async function main() {
  await warnregelnSicherstellen();
  const ergebnis = await alertsAbgleichen();
  console.log(
    `${ergebnis.geoeffnet.length} neu, ${ergebnis.erledigt.length} erledigt, ${ergebnis.unveraendert} unverändert`,
  );
  for (const alert of ergebnis.geoeffnet) {
    console.log(`  + ${alert.schwere.padEnd(8)} ${alert.titel} – ${alert.beschreibung}`);
  }
  for (const fingerprint of ergebnis.erledigt) {
    console.log(`  - erledigt: ${fingerprint}`);
  }
 }
 main()
  .then(() => process.exit(0))
  .catch((fehler) => {
    console.error(fehler);
    process.exit(1);
  });
@@ -0,0 +1,280 @@
 /**
 * Überträgt die Issue-Dateien aus `docs/issues/` in den Gitea-Issue-Tracker.
 *
 *   GITEA_URL=https://git.wilde-server.de \
 *   GITEA_REPO=florian.wilde/ProxLedger \
 *   GITEA_TOKEN=... \
 *   npm run issues:sync
 *
 * Ohne Token oder mit `--dry-run` läuft nur ein Trockenlauf: Es wird ausgegeben, was passieren würde.
 * Die Markdown-Dateien bleiben die Quelle der Wahrheit; Gitea erhält eine Kopie zum Kommentieren.
 */
 import { execFileSync } from "node:child_process";
 import { readFile, readdir } from "node:fs/promises";
 import "dotenv/config";
 import path from "node:path";
 interface IssueDatei {
  nummer: number;
  titel: string;
  status: string;
  meilenstein: string | null;
  labels: string[];
  koerper: string;
  dateiname: string;
 }
 const LABEL_FARBEN: Record<string, string> = {
  agent: "#1e7e34",
  backend: "#007bff",
  api: "#6f42c1",
  ui: "#17a2b8",
  datenbank: "#20c997",
  sicherheit: "#c82333",
  docs: "#6c757d",
  deployment: "#fd7e14",
  infrastruktur: "#495057",
  alerts: "#ffc107",
  buchhaltung: "#e83e8c",
  export: "#0dcaf0",
  prototyp: "#adb5bd",
  test: "#198754",
  chore: "#868e96",
 };
 function feld(inhalt: string, name: string): string | null {
  const treffer = new RegExp(`^\\*\\*${name}:\\*\\*\\s*(.+)$`, "m").exec(inhalt);
  return treffer ? treffer[1].trim() : null;
 }
 async function dateienLesen(verzeichnis: string): Promise<IssueDatei[]> {
  const namen = (await readdir(verzeichnis)).filter((name) => /^\d{3}-.*\.md$/.test(name)).sort();
  const issues: IssueDatei[] = [];
  for (const dateiname of namen) {
    const inhalt = await readFile(path.join(verzeichnis, dateiname), "utf8");
    const kopf = /^#\s*#(\d+)\s+(.+)$/m.exec(inhalt);
    if (!kopf) {
      console.warn(`Übersprungen (keine Überschrift „# #NNN Titel“): ${dateiname}`);
      continue;
    }
    // Der Körper beginnt nach den Kopfzeilen (Status, Meilenstein, Labels, Zeiten).
    const körperStart = inhalt.indexOf("## Ziel");
    issues.push({
      nummer: Number(kopf[1]),
      titel: kopf[2].trim(),
      status: feld(inhalt, "Status") ?? "offen",
      meilenstein: feld(inhalt, "Meilenstein"),
      labels: (feld(inhalt, "Labels") ?? "")
        .split(",")
        .map((label) => label.trim().toLowerCase())
        .filter(Boolean),
      koerper: körperStart >= 0 ? inhalt.slice(körperStart).trim() : inhalt,
      dateiname,
    });
  }
  return issues;
 }
 class Gitea {
  constructor(
    private readonly basis: string,
    private readonly repo: string,
    private readonly token: string,
  ) {}
  private async anfrage<T>(pfad: string, optionen: RequestInit = {}): Promise<T> {
    const antwort = await fetch(`${this.basis}/api/v1/repos/${this.repo}${pfad}`, {
      ...optionen,
      headers: {
        Authorization: `token ${this.token}`,
        "Content-Type": "application/json",
        ...optionen.headers,
      },
    });
    if (!antwort.ok) {
      throw new Error(`Gitea antwortet mit ${antwort.status} auf ${pfad}: ${await antwort.text()}`);
    }
    return (await antwort.json()) as T;
  }
  labels() {
    return this.anfrage<{ id: number; name: string }[]>("/labels?limit=100");
  }
  labelAnlegen(name: string) {
    return this.anfrage<{ id: number; name: string }>("/labels", {
      method: "POST",
      body: JSON.stringify({ name, color: LABEL_FARBEN[name] ?? "#6c757d" }),
    });
  }
  meilensteine() {
    return this.anfrage<{ id: number; title: string }[]>("/milestones?state=all&limit=100");
  }
  meilensteinAnlegen(title: string) {
    return this.anfrage<{ id: number; title: string }>("/milestones", {
      method: "POST",
      body: JSON.stringify({ title }),
    });
  }
  issues() {
    return this.anfrage<{ number: number; title: string; state: string }[]>("/issues?state=all&limit=200");
  }
  issueAnlegen(daten: Record<string, unknown>) {
    return this.anfrage<{ number: number }>("/issues", { method: "POST", body: JSON.stringify(daten) });
  }
  issueAendern(nummer: number, daten: Record<string, unknown>) {
    return this.anfrage<{ number: number }>(`/issues/${nummer}`, {
      method: "PATCH",
      body: JSON.stringify(daten),
    });
  }
 }
 /**
 * Ermittelt Serveradresse und Repo aus dem Git-Remote, damit beides nicht doppelt gepflegt werden muss.
 * Beispiel: https://git.example.de/benutzer/ProxLedger.git → { basis, repo }
 */
 function ausRemote(): { basis: string; repo: string } | null {
  try {
    const url = execFileSync("git", ["remote", "get-url", "origin"], { encoding: "utf8" }).trim();
    const treffer = /^https?:\/\/(?:[^@/]*@)?([^/]+)\/(.+?)(?:\.git)?$/.exec(url);
    if (!treffer) return null;
    return { basis: `https://${treffer[1]}`, repo: treffer[2] };
  } catch {
    return null;
  }
 }
 /**
 * Holt den Token aus den Git-Zugangsdaten (Schlüsselbund oder `~/.git-credentials`).
 * So genügt ein einziger Token für Push und API – er muss nicht zusätzlich in der .env stehen.
 */
 function tokenAusGitCredentials(basis: string): string | null {
  const host = new URL(basis).host;
  // Erst die eingerichteten Helfer (z. B. Schlüsselbund), dann zusätzlich die Datei
  // ~/.git-credentials – je nach Rechner ist mal das eine, mal das andere gefüllt.
  for (const zusatz of [[], ["-c", "credential.helper=store"]]) {
    try {
      const antwort = execFileSync("git", [...zusatz, "credential", "fill"], {
        input: `protocol=https\nhost=${host}\n\n`,
        encoding: "utf8",
        // Keine Rückfrage im Terminal: Wenn nichts hinterlegt ist, soll der Aufruf scheitern.
        env: { ...process.env, GIT_TERMINAL_PROMPT: "0" },
        stdio: ["pipe", "pipe", "ignore"],
      });
      const passwort = /^password=(.*)$/m.exec(antwort);
      if (passwort?.[1]) return passwort[1];
    } catch {
      // Nächste Möglichkeit versuchen.
    }
  }
  return null;
 }
 /** Titel in Gitea, z. B. „#004 Agent-Skript“ – daran werden vorhandene Issues wiedererkannt. */
 function giteaTitel(issue: IssueDatei): string {
  return `#${String(issue.nummer).padStart(3, "0")} ${issue.titel}`;
 }
 async function main() {
  const trockenlauf = process.argv.includes("--dry-run");
  const remote = ausRemote();
  const basis = (process.env.GITEA_URL ?? remote?.basis ?? "").replace(/\/$/, "");
  const repo = process.env.GITEA_REPO ?? remote?.repo ?? "";
  const token = process.env.GITEA_TOKEN || (basis ? (tokenAusGitCredentials(basis) ?? "") : "");
  const tokenQuelle = process.env.GITEA_TOKEN ? "Umgebungsvariable" : "Git-Zugangsdaten";
  const verzeichnis = path.join(process.cwd(), "docs", "issues");
  const issues = await dateienLesen(verzeichnis);
  console.log(`${issues.length} Issue-Dateien gelesen.`);
  if (trockenlauf || !basis || !repo || !token) {
    if (!trockenlauf) {
      console.log(
        "\nAdresse, Repo oder Token nicht ermittelbar – es läuft nur ein Trockenlauf.\n" +
          "Entweder GITEA_TOKEN setzen oder einmal `git push` ausführen, damit der Token hinterlegt wird.\n",
      );
    }
    for (const issue of issues) {
      console.log(
        `  ${giteaTitel(issue)}  [${issue.status}]  Meilenstein ${issue.meilenstein ?? "–"}  Labels: ${
          issue.labels.join(", ") || "–"
        }`,
      );
    }
    console.log(
      `\nZiel wäre: ${basis || "?"}/${repo || "?"} – Token ${token ? "vorhanden" : "fehlt"}.` +
        "\nDer Token wird aus den Git-Zugangsdaten gelesen; er braucht zusätzlich das Recht „issue:write“.",
    );
    return;
  }
  console.log(`Ziel: ${basis}/${repo} (Token aus: ${tokenQuelle})`);
  const gitea = new Gitea(basis, repo, token);
  const vorhandeneLabels = new Map((await gitea.labels()).map((l) => [l.name.toLowerCase(), l.id]));
  const benoetigteLabels = [...new Set(issues.flatMap((issue) => issue.labels))];
  for (const name of benoetigteLabels) {
    if (!vorhandeneLabels.has(name)) {
      const neu = await gitea.labelAnlegen(name);
      vorhandeneLabels.set(name, neu.id);
      console.log(`Label angelegt: ${name}`);
    }
  }
  const vorhandeneMeilensteine = new Map((await gitea.meilensteine()).map((m) => [m.title, m.id]));
  const benoetigteMeilensteine = [
    ...new Set(issues.map((issue) => issue.meilenstein).filter((m): m is string => Boolean(m))),
  ].sort();
  for (const titel of benoetigteMeilensteine) {
    if (!vorhandeneMeilensteine.has(titel)) {
      const neu = await gitea.meilensteinAnlegen(titel);
      vorhandeneMeilensteine.set(titel, neu.id);
      console.log(`Meilenstein angelegt: ${titel}`);
    }
  }
  const vorhandeneIssues = new Map((await gitea.issues()).map((i) => [i.title, i]));
  for (const issue of issues) {
    const titel = giteaTitel(issue);
    const daten = {
      title: titel,
      body: `${issue.koerper}\n\n---\nQuelle: \`docs/issues/${issue.dateiname}\` – dort wird dieses Issue gepflegt.`,
      labels: issue.labels
        .map((name) => vorhandeneLabels.get(name))
        .filter((id): id is number => Boolean(id)),
      milestone: issue.meilenstein ? vorhandeneMeilensteine.get(issue.meilenstein) : undefined,
    };
    const vorhanden = vorhandeneIssues.get(titel);
    const zustand = issue.status.startsWith("erledigt") ? "closed" : "open";
    if (vorhanden) {
      await gitea.issueAendern(vorhanden.number, { ...daten, state: zustand });
      console.log(`Aktualisiert: ${titel} (${zustand})`);
    } else {
      const neu = await gitea.issueAnlegen(daten);
      if (zustand === "closed") await gitea.issueAendern(neu.number, { state: "closed" });
      console.log(`Angelegt: ${titel} (${zustand})`);
    }
  }
  console.log("\nAbgleich abgeschlossen.");
 }
 main().catch((fehler) => {
  console.error(fehler instanceof Error ? fehler.message : fehler);
  process.exit(1);
 });
@@ -0,0 +1,91 @@
 #!/usr/bin/env node
 /**
 * Erzeugt alle Symboldateien aus den SVG-Vorlagen in `assets/`.
 *
 *   npm run icons
 *
 * Ergebnis:
 *   src/app/icon.svg        – Symbol im Browser-Tab (moderne Browser)
 *   src/app/favicon.ico     – Rückfall für ältere Browser (16, 32, 48 px)
 *   public/icon-192.png     – Startbildschirm und Fortschrittsanzeigen
 *   public/icon-512.png
 *   src/app/apple-icon.png  – iOS-Startbildschirm (180 px, mit Hintergrund)
 *
 * Die Größen 16 und 32 nutzen vereinfachte Vorlagen, weil die feinen Linien sonst verschwimmen.
 */
 import { readFile, writeFile, mkdir } from "node:fs/promises";
 import path from "node:path";
 import sharp from "sharp";
 const WURZEL = process.cwd();
 const ASSETS = path.join(WURZEL, "assets");
 async function png(vorlage, groesse) {
  const svg = await readFile(path.join(ASSETS, vorlage));
  return sharp(svg, { density: 384 }).resize(groesse, groesse).png({ compressionLevel: 9 }).toBuffer();
 }
 /**
 * Baut eine ICO-Datei aus PNG-Bildern. Das Format ist schlicht: ein Kopf, je Bild ein
 * Verzeichniseintrag, danach die Bilddaten – PNG als Inhalt ist seit Vista erlaubt.
 */
 function icoBauen(bilder) {
  const kopf = Buffer.alloc(6);
  kopf.writeUInt16LE(0, 0); // reserviert
  kopf.writeUInt16LE(1, 2); // Typ 1 = Symbol
  kopf.writeUInt16LE(bilder.length, 4);
  let versatz = 6 + bilder.length * 16;
  const eintraege = [];
  for (const bild of bilder) {
    const eintrag = Buffer.alloc(16);
    eintrag.writeUInt8(bild.groesse >= 256 ? 0 : bild.groesse, 0); // Breite (0 = 256)
    eintrag.writeUInt8(bild.groesse >= 256 ? 0 : bild.groesse, 1); // Höhe
    eintrag.writeUInt8(0, 2); // Farben in der Palette
    eintrag.writeUInt8(0, 3); // reserviert
    eintrag.writeUInt16LE(1, 4); // Farbebenen
    eintrag.writeUInt16LE(32, 6); // Bits je Bildpunkt
    eintrag.writeUInt32LE(bild.daten.length, 8);
    eintrag.writeUInt32LE(versatz, 12);
    eintraege.push(eintrag);
    versatz += bild.daten.length;
  }
  return Buffer.concat([kopf, ...eintraege, ...bilder.map((b) => b.daten)]);
 }
 async function main() {
  await mkdir(path.join(WURZEL, "public"), { recursive: true });
  // Tab-Symbol: das SVG selbst, damit es in jeder Größe scharf bleibt.
  const svg = await readFile(path.join(ASSETS, "logo-32.svg"));
  await writeFile(path.join(WURZEL, "src", "app", "icon.svg"), svg);
  console.log("  src/app/icon.svg");
  const ico = icoBauen([
    { groesse: 16, daten: await png("logo-16.svg", 16) },
    { groesse: 32, daten: await png("logo-32.svg", 32) },
    { groesse: 48, daten: await png("logo-32.svg", 48) },
  ]);
  await writeFile(path.join(WURZEL, "src", "app", "favicon.ico"), ico);
  console.log(`  src/app/favicon.ico (${(ico.length / 1024).toFixed(1)} KB)`);
  for (const groesse of [192, 512]) {
    const daten = await png("logo-kachel.svg", groesse);
    await writeFile(path.join(WURZEL, "public", `icon-${groesse}.png`), daten);
    console.log(`  public/icon-${groesse}.png`);
  }
  const apple = await png("logo-kachel.svg", 180);
  await writeFile(path.join(WURZEL, "src", "app", "apple-icon.png"), apple);
  console.log("  src/app/apple-icon.png");
 }
 console.log("Erzeuge Symbole aus assets/:");
 main()
  .then(() => console.log("Fertig."))
  .catch((fehler) => {
    console.error(fehler.message ?? fehler);
    process.exit(1);
  });
@@ -0,0 +1,166 @@
 import "dotenv/config";
 import { PrismaPg } from "@prisma/adapter-pg";
 import { PrismaClient } from "@/generated/prisma/client";
 import { alertsAbgleichen, warnregelnSicherstellen } from "@/server/alerts/abgleich";
 import { hostsNachAblauf, offeneAufgaben } from "@/server/queries/dashboard";
 import { hostListe } from "@/server/queries/hostliste";
 import { kennzahlen, suchIndex } from "@/server/queries/hosts";
 import { kundenListe, offeneRechnungspunkteProKunde } from "@/server/queries/kunden";
 import { rechnungsListe } from "@/server/queries/rechnungen";
 /**
 * Lasttest: legt eine große Datenmenge an und misst die Abfragen der wichtigsten Seiten.
 * Läuft gegen die Testdatenbank (`TEST_DATABASE_URL`), damit die Entwicklungsdaten unberührt bleiben.
 *
 *   npm run lasttest
 */
 const HOSTS = Number(process.env.LAST_HOSTS ?? 200);
 const KUNDEN = Number(process.env.LAST_KUNDEN ?? 25);
 const JAHRE = Number(process.env.LAST_JAHRE ?? 5);
 const REPORTS_PRO_HOST = JAHRE * 365;
 const url = process.env.TEST_DATABASE_URL ?? process.env.DATABASE_URL;
 if (!url) throw new Error("TEST_DATABASE_URL oder DATABASE_URL setzen.");
 process.env.DATABASE_URL = url;
 const prisma = new PrismaClient({ adapter: new PrismaPg({ connectionString: url }) });
 async function messen<T>(name: string, arbeit: () => Promise<T>): Promise<T> {
  const start = performance.now();
  const ergebnis = await arbeit();
  const dauer = performance.now() - start;
  const anzahl = Array.isArray(ergebnis) ? ` (${ergebnis.length} Einträge)` : "";
  console.log(`  ${name.padEnd(38)} ${dauer.toFixed(0).padStart(6)} ms${anzahl}`);
  return ergebnis;
 }
 async function datenAnlegen() {
  console.log(`Lege Testdaten an: ${KUNDEN} Kunden, ${HOSTS} Hosts, je ${REPORTS_PRO_HOST} Reports …`);
  const start = performance.now();
  await prisma.$executeRawUnsafe(`
    TRUNCATE TABLE "Alert","Benachrichtigung","Report","Laufzeit","ProxmoxRechnungPosition",
    "ProxmoxRechnung","KundenrechnungPosition","Kundenrechnung","ServerIdHistorie",
    "SubscriptionKeyHistorie","AgentToken","Host","Standort","Kunde" RESTART IDENTITY CASCADE
  `);
  for (let k = 0; k < KUNDEN; k++) {
    await prisma.kunde.create({
      data: { id: `k${k}`, name: `Kunde ${k} GmbH`, kundennummer: `K-${9000 + k}` },
    });
  }
  const heute = new Date();
  for (let h = 0; h < HOSTS; h++) {
    const ablauf = new Date(heute.getTime() + ((h % 400) - 30) * 86_400_000);
    await prisma.host.create({
      data: {
        id: `h${h}`,
        agentId: `last-${h}`,
        hostname: `pve-last-${String(h).padStart(3, "0")}`,
        produkt: h % 7 === 0 ? "PBS" : "PVE",
        kundeId: h % 20 === 0 ? null : `k${h % KUNDEN}`,
        subKey: `pve1c-${String(h).padStart(10, "0")}`,
        subStatus: h % 11 === 0 ? "EXPIRED" : "ACTIVE",
        subNextduedate: ablauf,
        subLizenzierteSockets: 1,
        sockets: h % 13 === 0 ? 2 : 1,
        ips: [`10.0.${Math.floor(h / 254)}.${h % 254}`],
        letzterReportAm: new Date(heute.getTime() - (h % 5) * 86_400_000),
      },
    });
    // Reports in Blöcken, sonst dauert es unnötig lange.
    const reports = Array.from({ length: REPORTS_PRO_HOST }, (_, i) => ({
      reportId: `last-${h}-${i}`,
      hostId: `h${h}`,
      erhobenAm: new Date(heute.getTime() - i * 86_400_000),
      subStatus: "ACTIVE" as const,
      subKey: `pve1c-${String(h).padStart(10, "0")}`,
      rohdaten: {},
    }));
    for (let i = 0; i < reports.length; i += 2000) {
      await prisma.report.createMany({ data: reports.slice(i, i + 2000) });
    }
    // Fünf Laufzeiten je Host, jede zweite mit Rechnungen.
    for (let j = 0; j < JAHRE; j++) {
      const beginn = new Date(Date.UTC(heute.getUTCFullYear() - j, h % 12, ((h + j) % 27) + 1));
      const laufzeit = await prisma.laufzeit.create({
        data: {
          hostId: `h${h}`,
          key: `pve1c-${String(h).padStart(10, "0")}`,
          start: beginn,
          ende: new Date(Date.UTC(beginn.getUTCFullYear() + 1, beginn.getUTCMonth(), beginn.getUTCDate() - 1)),
          status: "BESTAETIGT",
        },
      });
      if ((h + j) % 2 === 0) {
        const rechnung = await prisma.proxmoxRechnung.create({
          data: {
            nummer: `PX-LAST-${h}-${j}`,
            datum: beginn,
            faelligAm: new Date(beginn.getTime() + 14 * 86_400_000),
            nettoBetrag: 115,
            bezahlt: j > 0,
            positionen: { create: [{ bezeichnung: "Laufzeit", nettoBetrag: 115 }] },
          },
          include: { positionen: true },
        });
        await prisma.laufzeit.update({
          where: { id: laufzeit.id },
          data: { proxmoxPositionId: rechnung.positionen[0].id },
        });
      }
    }
  }
  console.log(`Daten angelegt in ${((performance.now() - start) / 1000).toFixed(1)} s\n`);
 }
 async function main() {
  await datenAnlegen();
  await warnregelnSicherstellen();
  const [hosts, reports, laufzeiten] = await Promise.all([
    prisma.host.count(),
    prisma.report.count(),
    prisma.laufzeit.count(),
  ]);
  console.log(`Bestand: ${hosts} Hosts, ${reports} Reports, ${laufzeiten} Laufzeiten\n`);
  console.log("Dashboard:");
  await messen("Kennzahlen", () => kennzahlen());
  await messen("Hosts nach Ablauf", () => hostsNachAblauf());
  await messen("Offene Aufgaben", () => offeneAufgaben());
  await messen("Kundenliste", () => kundenListe());
  await messen("Rechnungspunkte je Kunde", () => offeneRechnungspunkteProKunde());
  console.log("\nHost-Tabelle:");
  await messen("Erste Seite", () => hostListe({}));
  await messen("Suche nach Key", () => hostListe({ q: "pve1c-0000000100" }));
  await messen("Filter: bald ablaufend", () => hostListe({ ablauf: "30" }));
  await messen("Filter: offene Rechnungen", () => hostListe({ rechnung: "offen" }));
  await messen("Sortierung nach Ablauf", () => hostListe({ sortierung: "ablauf" }));
  console.log("\nWeitere Seiten:");
  await messen("Rechnungsliste (offen)", () => rechnungsListe({ status: "offen" }));
  await messen("Suchindex (Strg+K)", () => suchIndex());
  await messen("Warnregeln auswerten", () => alertsAbgleichen());
  const offeneAlerts = await prisma.alert.count({ where: { erledigtAm: null } });
  console.log(`\nOffene Warnungen nach der Auswertung: ${offeneAlerts}`);
 }
 main()
  .then(async () => {
    await prisma.$disconnect();
    process.exit(0);
  })
  .catch(async (fehler) => {
    console.error(fehler);
    await prisma.$disconnect();
    process.exit(1);
  });
@@ -0,0 +1,88 @@
 #!/usr/bin/env node
 /**
 * Prüft, ob Dokumentation und Version zusammenpassen.
 *
 *   npm run pruefe:doku
 *
 * Geprüft wird:
 *   1. Die Version aus package.json hat einen Abschnitt im Changelog.
 *   2. Jede Issue-Datei steht in der Übersicht – und umgekehrt.
 *   3. Status und tatsächliche Zeit stimmen zwischen Issue-Datei und Übersicht überein.
 *   4. Alle im Handbuch verlinkten Bilder sind vorhanden.
 */
 import { readFile, readdir } from "node:fs/promises";
 import path from "node:path";
 const WURZEL = process.cwd();
 const fehler = [];
 function pruefe(bedingung, meldung) {
  if (!bedingung) fehler.push(meldung);
 }
 async function versionImChangelog() {
  const { version } = JSON.parse(await readFile(path.join(WURZEL, "package.json"), "utf8"));
  const changelog = await readFile(path.join(WURZEL, "CHANGELOG.md"), "utf8");
  pruefe(
    changelog.includes(`## [${version}]`),
    `Version ${version} aus package.json fehlt im CHANGELOG.md.`,
  );
 }
 async function issuesUndUebersicht() {
  const verzeichnis = path.join(WURZEL, "docs", "issues");
  const dateien = (await readdir(verzeichnis)).filter((name) => /^\d{3}-.*\.md$/.test(name)).sort();
  const uebersicht = await readFile(path.join(verzeichnis, "README.md"), "utf8");
  for (const datei of dateien) {
    pruefe(uebersicht.includes(`(${datei})`), `Issue ${datei} fehlt in docs/issues/README.md.`);
    const inhalt = await readFile(path.join(verzeichnis, datei), "utf8");
    const status = /^\*\*Status:\*\*\s*(.+)$/m.exec(inhalt)?.[1]?.trim();
    const zeit = /^\*\*Geschätzt:\*\*.*\*\*Tatsächlich:\*\*\s*(.+)$/m.exec(inhalt)?.[1]?.trim();
    const zeile = uebersicht.split("\n").find((z) => z.includes(`(${datei})`));
    if (!zeile) continue;
    pruefe(
      zeile.includes(`| ${status} |`),
      `Status von ${datei} ist „${status}“, die Übersicht sagt etwas anderes: ${zeile.trim()}`,
    );
    if (zeit && zeit !== "–") {
      pruefe(
        zeile.includes(zeit),
        `Zeit von ${datei} ist „${zeit}“, steht so aber nicht in der Übersicht.`,
      );
    }
  }
  // Umgekehrt: Zeilen in der Übersicht ohne zugehörige Datei.
  for (const treffer of uebersicht.matchAll(/\((\d{3}-[^)]+\.md)\)/g)) {
    pruefe(dateien.includes(treffer[1]), `Übersicht verweist auf ${treffer[1]}, die Datei fehlt.`);
  }
 }
 async function bilderImHandbuch() {
  const handbuch = path.join(WURZEL, "docs", "anleitung");
  const text = await readFile(path.join(handbuch, "README.md"), "utf8");
  const bilder = [...text.matchAll(/!\[[^\]]*\]\((bilder\/[^)]+)\)/g)].map((t) => t[1]);
  const vorhanden = new Set(await readdir(path.join(handbuch, "bilder")));
  for (const bild of bilder) {
    pruefe(vorhanden.has(path.basename(bild)), `Handbuch verweist auf ${bild}, die Datei fehlt.`);
  }
 }
 await versionImChangelog();
 await issuesUndUebersicht();
 await bilderImHandbuch();
 if (fehler.length > 0) {
  console.error("Die Dokumentation passt nicht zusammen:\n");
  for (const meldung of fehler) console.error(`  · ${meldung}`);
  process.exit(1);
 }
 console.log("Dokumentation, Versionen und Bilder passen zusammen.");
@@ -0,0 +1,171 @@
 #!/usr/bin/env node
 /**
 * Erzeugt die Bilder für das Handbuch (docs/anleitung/bilder/).
 *
 *   npm run screenshots            # heller Modus, Desktop
 *   npm run screenshots -- --alle  # zusätzlich dunkler Modus und Mobilansicht
 *
 * Voraussetzung: Das Dashboard läuft (npm start) und die Datenbank enthält Daten.
 * Die Anmeldung erledigt das Skript selbst, indem es ein Sitzungs-Cookie erzeugt
 * und in ein eigenes Firefox-Profil schreibt – so bleibt der Schutz der Anwendung unangetastet.
 */
 import { execFileSync } from "node:child_process";
 import { existsSync, mkdirSync, rmSync, writeFileSync } from "node:fs";
 import { homedir } from "node:os";
 import path from "node:path";
 import { DatabaseSync } from "node:sqlite";
 import { SignJWT } from "jose";
 import "dotenv/config";
 const BASIS = process.env.SCREENSHOT_URL ?? "http://localhost:3000";
 const ZIEL = path.join(process.cwd(), "docs", "anleitung", "bilder");
 const ALLE = process.argv.includes("--alle");
 // Firefox aus dem Snap-Paket kommt nicht an versteckte Verzeichnisse – daher im Home sichtbar ablegen.
 const PROFIL_BASIS = path.join(homedir(), "proxledger-screenshots");
 const SEITEN = [
  { name: "dashboard", pfad: "/", titel: "Dashboard" },
  { name: "hosts", pfad: "/hosts", titel: "Host-Tabelle" },
  { name: "host-detail", pfad: "/hosts?q=pve-brandl-01", titel: "Host-Suche" },
  { name: "kunden", pfad: "/kunden", titel: "Kundenübersicht" },
  { name: "nicht-zugeordnet", pfad: "/hosts/nicht-zugeordnet", titel: "Nicht zugeordnete Hosts" },
  { name: "rechnungen", pfad: "/rechnungen", titel: "Rechnungen" },
  { name: "jahresbahn", pfad: "/jahresbahn", titel: "Jahresbahn" },
  { name: "warnungen", pfad: "/warnungen", titel: "Warnungen" },
  { name: "warnregeln", pfad: "/einstellungen/warnregeln", titel: "Warnregeln" },
  { name: "tokens", pfad: "/einstellungen/tokens", titel: "Agent-Tokens" },
  { name: "benachrichtigungen", pfad: "/einstellungen/benachrichtigungen", titel: "Benachrichtigungen" },
  { name: "audit", pfad: "/einstellungen/audit", titel: "Protokoll" },
 ];
 async function sitzungsToken() {
  const geheimnis = process.env.APP_SECRET;
  if (!geheimnis || geheimnis.length < 32) {
    throw new Error("APP_SECRET fehlt oder ist zu kurz – ohne Sitzung keine Bilder.");
  }
  return new SignJWT({
    benutzerId: "screenshots",
    email: process.env.ADMIN_EMAIL ?? "admin@example.de",
    name: process.env.ADMIN_NAME ?? "Florian",
    herkunft: "passwort",
  })
    .setProtectedHeader({ alg: "HS256" })
    .setSubject("screenshots")
    .setIssuedAt()
    .setIssuer("proxledger")
    .setExpirationTime("1h")
    .sign(new TextEncoder().encode(geheimnis));
 }
 /** Legt ein frisches Profil mit Sitzungs-Cookie und gewünschtem Farbschema an. */
 function profilVorbereiten(name, token, dunkel) {
  const verzeichnis = path.join(PROFIL_BASIS, name);
  rmSync(verzeichnis, { recursive: true, force: true });
  mkdirSync(verzeichnis, { recursive: true });
  writeFileSync(
    path.join(verzeichnis, "user.js"),
    [
      `user_pref("ui.systemUsesDarkTheme", ${dunkel ? 1 : 0});`,
      `user_pref("layout.css.prefers-color-scheme.content-override", ${dunkel ? 0 : 1});`,
      'user_pref("browser.shell.checkDefaultBrowser", false);',
      "",
    ].join("\n"),
  );
  const { hostname, protocol } = new URL(BASIS);
  const datenbank = new DatabaseSync(path.join(verzeichnis, "cookies.sqlite"));
  datenbank.exec(`
    CREATE TABLE moz_cookies (
      id INTEGER PRIMARY KEY, originAttributes TEXT NOT NULL DEFAULT '', name TEXT, value TEXT,
      host TEXT, path TEXT, expiry INTEGER, lastAccessed INTEGER, creationTime INTEGER,
      isSecure INTEGER, isHttpOnly INTEGER, inBrowserElement INTEGER DEFAULT 0,
      sameSite INTEGER DEFAULT 0, schemeMap INTEGER DEFAULT 0,
      isPartitionedAttributeSet INTEGER DEFAULT 0, updateTime INTEGER DEFAULT 0,
      CONSTRAINT moz_uniqueid UNIQUE (name, host, path, originAttributes)
    )`);
  const jetzt = Date.now();
  datenbank
    .prepare(
      `INSERT INTO moz_cookies
       (originAttributes,name,value,host,path,expiry,lastAccessed,creationTime,isSecure,isHttpOnly,inBrowserElement,sameSite,schemeMap,isPartitionedAttributeSet,updateTime)
       VALUES ('', 'pl_sitzung', ?, ?, '/', ?, ?, ?, ?, 1, 0, 1, ?, 0, ?)`,
    )
    .run(
      token,
      hostname,
      Math.floor(jetzt / 1000) + 3600,
      jetzt * 1000,
      jetzt * 1000,
      protocol === "https:" ? 1 : 0,
      protocol === "https:" ? 2 : 1,
      jetzt * 1000,
    );
  datenbank.close();
  return verzeichnis;
 }
 function aufnehmen(profil, pfad, datei, breite, hoehe) {
  execFileSync(
    "firefox",
    [
      "--profile",
      profil,
      "--headless",
      "--window-size",
      `${breite},${hoehe}`,
      "--screenshot",
      datei,
      `${BASIS}${pfad}`,
    ],
    { stdio: "ignore", timeout: 120_000 },
  );
 }
 async function main() {
  const antwort = await fetch(`${BASIS}/login`).catch(() => null);
  if (!antwort?.ok) throw new Error(`${BASIS} ist nicht erreichbar – läuft das Dashboard?`);
  mkdirSync(ZIEL, { recursive: true });
  const token = await sitzungsToken();
  const hell = profilVorbereiten("hell", token, false);
  console.log(`Bilder nach ${ZIEL}`);
  // Die Anmeldeseite zeigt sich auch mit gültiger Sitzung, sie ist öffentlich.
  aufnehmen(hell, "/login", path.join(ZIEL, "login.png"), 1280, 900);
  console.log("  login.png");
  for (const seite of SEITEN) {
    aufnehmen(hell, seite.pfad, path.join(ZIEL, `${seite.name}.png`), 1680, 1150);
    console.log(`  ${seite.name}.png – ${seite.titel}`);
  }
  if (ALLE) {
    const dunkel = profilVorbereiten("dunkel", token, true);
    for (const seite of ["dashboard", "hosts", "rechnungen", "warnungen"]) {
      const eintrag = SEITEN.find((s) => s.name === seite);
      aufnehmen(dunkel, eintrag.pfad, path.join(ZIEL, `${seite}-dunkel.png`), 1680, 1150);
      console.log(`  ${seite}-dunkel.png`);
    }
    for (const seite of ["dashboard", "hosts"]) {
      const eintrag = SEITEN.find((s) => s.name === seite);
      aufnehmen(hell, eintrag.pfad, path.join(ZIEL, `mobil-${seite}.png`), 390, 1500);
      console.log(`  mobil-${seite}.png`);
    }
  }
  if (existsSync(PROFIL_BASIS)) rmSync(PROFIL_BASIS, { recursive: true, force: true });
  console.log("Fertig.");
 }
 main().catch((fehler) => {
  console.error(fehler.message ?? fehler);
  process.exit(1);
 });
@@ -0,0 +1,60 @@
 import Link from "next/link";
 import { AnmeldeFormular } from "@/components/auth/AnmeldeFormular";
 import { Logo } from "@/components/Logo";
 import { oidcEinstellungen } from "@/server/auth/oidc";
 export const dynamic = "force-dynamic";
 export const metadata = { title: "Anmelden" };
 type SuchParameter = Promise<Record<string, string | string[] | undefined>>;
 export default async function AnmeldeSeite({ searchParams }: { searchParams: SuchParameter }) {
  const roh = await searchParams;
  const einzeln = (wert: string | string[] | undefined) => (Array.isArray(wert) ? wert[0] : wert);
  const ziel = einzeln(roh.ziel) ?? "/";
  const fehler = einzeln(roh.fehler);
  const oidc = oidcEinstellungen();
  return (
    <main className="d-flex align-items-center justify-content-center min-vh-100 p-3">
      <div style={{ width: "min(24rem, 100%)" }}>
        <div className="text-center mb-4">
          <Logo groesse={64} titel="ProxLedger" />
          <h1 className="h4 mt-3 mb-1" style={{ fontWeight: 300 }}>
            ProxLedger
          </h1>
          <p className="text-body-secondary small mb-0">Proxmox Subscription Dashboard</p>
        </div>
        <div className="card shadow-sm">
          <div className="card-body">
            {fehler ? (
              <div className="alert alert-danger py-2" role="alert">
                {fehler === "oidc" ? "Die Anmeldung über den Anbieter hat nicht geklappt." : fehler}
              </div>
            ) : null}
            {oidc ? (
              <>
                <Link
                  href={`/api/auth/oidc/start?ziel=${encodeURIComponent(ziel)}`}
                  className="btn btn-primary w-100 pl-touch-target mb-3"
                >
                  <i className="bi bi-box-arrow-in-right me-1" aria-hidden="true" />
                  Mit {oidc.bezeichnung} anmelden
                </Link>
                <div className="text-center text-body-secondary small mb-3">oder mit Passwort</div>
              </>
            ) : null}
            <AnmeldeFormular ziel={ziel} />
          </div>
        </div>
        <p className="text-center text-body-secondary small mt-3 mb-0">
          Der lokale Zugang bleibt auch dann nutzbar, wenn der Anmeldedienst ausfällt.
        </p>
      </div>
    </main>
  );
 }
@@ -0,0 +1,112 @@
 import Link from "next/link";
 import { ContentHeader } from "@/components/layout/ContentHeader";
 import { Card } from "@/components/ui/Card";
 import { prisma } from "@/lib/db";
 import { formatDatumZeit } from "@/lib/format";
 export const metadata = { title: "Protokoll" };
 type SuchParameter = Promise<Record<string, string | string[] | undefined>>;
 export default async function AuditSeite({ searchParams }: { searchParams: SuchParameter }) {
  const roh = await searchParams;
  const einzeln = (wert: string | string[] | undefined) => (Array.isArray(wert) ? wert[0] : wert);
  const aktion = einzeln(roh.aktion);
  const entitaet = einzeln(roh.entitaet);
  const [eintraege, aktionen] = await Promise.all([
    prisma.auditEintrag.findMany({
      where: {
        ...(aktion ? { aktion } : {}),
        ...(entitaet ? { entitaet } : {}),
      },
      orderBy: { erstelltAm: "desc" },
      take: 200,
      include: { benutzer: { select: { name: true, email: true } } },
    }),
    prisma.auditEintrag.groupBy({ by: ["aktion"], _count: { _all: true }, orderBy: { aktion: "asc" } }),
  ]);
  return (
    <>
      <ContentHeader titel="Protokoll" brotkrumen={[{ titel: "Einstellungen" }, { titel: "Protokoll" }]} />
      <div className="app-content">
        <div className="container-fluid">
          <Card titel={`Letzte ${eintraege.length} Einträge`} rahmen="primary" tabelle>
            <form className="row g-2 p-3 border-bottom">
              <div className="col-md-4">
                <select name="aktion" defaultValue={aktion ?? ""} className="form-select" aria-label="Aktion">
                  <option value="">Alle Aktionen</option>
                  {aktionen.map((eintrag) => (
                    <option key={eintrag.aktion} value={eintrag.aktion}>
                      {eintrag.aktion} ({eintrag._count._all})
                    </option>
                  ))}
                </select>
              </div>
              <div className="col-md-3">
                <input
                  name="entitaet"
                  defaultValue={entitaet ?? ""}
                  className="form-control"
                  placeholder="Entität, z. B. Host"
                  aria-label="Entität"
                />
              </div>
              <div className="col-md-2">
                <button type="submit" className="btn btn-primary w-100">
                  Filtern
                </button>
              </div>
              <div className="col-md-3 d-flex align-items-center">
                {aktion || entitaet ? <Link href="/einstellungen/audit">Filter zurücksetzen</Link> : null}
              </div>
            </form>
            <div className="table-responsive">
              <table className="table table-striped align-middle">
                <thead>
                  <tr>
                    <th scope="col">Zeitpunkt</th>
                    <th scope="col">Aktion</th>
                    <th scope="col">Entität</th>
                    <th scope="col">Benutzer</th>
                    <th scope="col">Details</th>
                  </tr>
                </thead>
                <tbody>
                  {eintraege.map((eintrag) => (
                    <tr key={eintrag.id}>
                      <td className="small">{formatDatumZeit(eintrag.erstelltAm)}</td>
                      <td className="pl-mono small">{eintrag.aktion}</td>
                      <td className="small">
                        {eintrag.entitaet}
                        {eintrag.entitaetId ? (
                          <div className="text-body-secondary pl-mono">{eintrag.entitaetId}</div>
                        ) : null}
                      </td>
                      <td className="small">{eintrag.benutzer?.name ?? "System"}</td>
                      <td className="small text-body-secondary" style={{ maxWidth: "28rem" }}>
                        <span className="d-inline-block text-truncate w-100">
                          {eintrag.aenderung ? JSON.stringify(eintrag.aenderung) : "–"}
                        </span>
                      </td>
                    </tr>
                  ))}
                  {eintraege.length === 0 ? (
                    <tr>
                      <td colSpan={5} className="text-center text-body-secondary py-4">
                        Keine Einträge gefunden.
                      </td>
                    </tr>
                  ) : null}
                </tbody>
              </table>
            </div>
          </Card>
        </div>
      </div>
    </>
  );
 }
@@ -0,0 +1,202 @@
 import { ContentHeader } from "@/components/layout/ContentHeader";
 import {
  EmailFormular,
  WebhookFormular,
  type EmailWerte,
  type WebhookWerte,
 } from "@/components/benachrichtigungen/KanalFormulare";
 import { Badge } from "@/components/ui/Badges";
 import { Card } from "@/components/ui/Card";
 import { prisma } from "@/lib/db";
 import { formatDatumZeit } from "@/lib/format";
 import {
  kanalLoeschen,
  testSenden,
  zusammenfassungJetztSenden,
  zusammenfassungSpeichern,
 } from "@/server/actions/benachrichtigungen";
 import type { EmailKonfiguration, WebhookKonfiguration } from "@/server/notifications/kanaele";
 export const metadata = { title: "Benachrichtigungen" };
 export default async function BenachrichtigungenSeite() {
  const [kanaele, protokoll, einstellung] = await Promise.all([
    prisma.benachrichtigungskanal.findMany({ orderBy: { erstelltAm: "asc" } }),
    prisma.benachrichtigung.findMany({ orderBy: { erstelltAm: "desc" }, take: 20 }),
    prisma.einstellung.findUnique({ where: { schluessel: "zusammenfassung" } }),
  ]);
  const emailKanal = kanaele.find((kanal) => kanal.typ === "EMAIL");
  const webhookKanal = kanaele.find((kanal) => kanal.typ === "WEBHOOK");
  const emailKonfiguration = emailKanal?.konfiguration as unknown as EmailKonfiguration | undefined;
  const webhookKonfiguration = webhookKanal?.konfiguration as unknown as WebhookKonfiguration | undefined;
  const zeitraum = (einstellung?.wert as { zeitraum?: string } | null)?.zeitraum ?? "aus";
  const emailWerte: EmailWerte = {
    id: emailKanal?.id ?? null,
    name: emailKanal?.name ?? "E-Mail",
    aktiv: emailKanal?.aktiv ?? true,
    host: emailKonfiguration?.host ?? "",
    port: emailKonfiguration?.port ?? 587,
    benutzer: emailKonfiguration?.benutzer ?? "",
    absender: emailKonfiguration?.absender ?? "",
    empfaenger: emailKonfiguration?.empfaenger?.join(", ") ?? "",
    passwortGesetzt: Boolean(emailKonfiguration?.passwort),
  };
  const webhookWerte: WebhookWerte = {
    id: webhookKanal?.id ?? null,
    name: webhookKanal?.name ?? "Webhook",
    aktiv: webhookKanal?.aktiv ?? true,
    url: webhookKonfiguration?.url ?? "",
    geheimnisGesetzt: Boolean(webhookKonfiguration?.geheimnis),
  };
  return (
    <>
      <ContentHeader
        titel="Benachrichtigungen"
        brotkrumen={[{ titel: "Einstellungen" }, { titel: "Benachrichtigungen" }]}
      />
      <div className="app-content">
        <div className="container-fluid">
          <Card
            titel="E-Mail (SMTP)"
            rahmen="primary"
            werkzeuge={
              emailKanal ? (
                <div className="d-flex gap-2">
                  <form action={testSenden}>
                    <input type="hidden" name="id" value={emailKanal.id} />
                    <button type="submit" className="btn btn-sm btn-outline-primary">
                      Test senden
                    </button>
                  </form>
                  <form action={kanalLoeschen}>
                    <input type="hidden" name="id" value={emailKanal.id} />
                    <button type="submit" className="btn btn-sm btn-outline-danger">
                      Entfernen
                    </button>
                  </form>
                </div>
              ) : null
            }
          >
            <p className="text-body-secondary">
              Für Microsoft 365: Server <span className="pl-mono">smtp.office365.com</span>, Port 587,
              Benutzer und Absender identisch mit dem Postfach. Das Passwort wird in der Datenbank gespeichert
              und nie wieder angezeigt.
            </p>
            <EmailFormular werte={emailWerte} />
          </Card>
          <Card
            titel="Webhook"
            rahmen="info"
            werkzeuge={
              webhookKanal ? (
                <div className="d-flex gap-2">
                  <form action={testSenden}>
                    <input type="hidden" name="id" value={webhookKanal.id} />
                    <button type="submit" className="btn btn-sm btn-outline-primary">
                      Test senden
                    </button>
                  </form>
                  <form action={kanalLoeschen}>
                    <input type="hidden" name="id" value={webhookKanal.id} />
                    <button type="submit" className="btn btn-sm btn-outline-danger">
                      Entfernen
                    </button>
                  </form>
                </div>
              ) : null
            }
          >
            <p className="text-body-secondary">
              Verschickt JSON mit Betreff, Text und strukturierten Feldern – damit lassen sich Matrix, Zabbix
              oder Home Assistant anbinden.
            </p>
            <WebhookFormular werte={webhookWerte} />
          </Card>
          <Card titel="Zusammenfassung" rahmen="info">
            <form action={zusammenfassungSpeichern} className="row g-2 align-items-end">
              <div className="col-md-4">
                <label className="form-label" htmlFor="zeitraum">
                  Regelmäßige Übersicht
                </label>
                <select id="zeitraum" name="zeitraum" className="form-select" defaultValue={zeitraum}>
                  <option value="aus">aus</option>
                  <option value="taeglich">täglich um 07:00 Uhr</option>
                  <option value="woechentlich">wöchentlich, montags um 07:00 Uhr</option>
                </select>
              </div>
              <div className="col-md-3">
                <button type="submit" className="btn btn-primary w-100">
                  Speichern
                </button>
              </div>
            </form>
            <form action={zusammenfassungJetztSenden} className="mt-3">
              <input
                type="hidden"
                name="zeitraum"
                value={zeitraum === "woechentlich" ? "woechentlich" : "taeglich"}
              />
              <button type="submit" className="btn btn-outline-secondary btn-sm">
                Zusammenfassung jetzt senden
              </button>
            </form>
          </Card>
          <Card titel="Versandprotokoll" rahmen="info" tabelle>
            <div className="table-responsive">
              <table className="table table-striped align-middle">
                <thead>
                  <tr>
                    <th scope="col">Zeitpunkt</th>
                    <th scope="col">Weg</th>
                    <th scope="col">Empfänger</th>
                    <th scope="col">Betreff</th>
                    <th scope="col">Status</th>
                  </tr>
                </thead>
                <tbody>
                  {protokoll.map((eintrag) => (
                    <tr key={eintrag.id}>
                      <td className="small">{formatDatumZeit(eintrag.erstelltAm)}</td>
                      <td>{eintrag.kanal === "EMAIL" ? "E-Mail" : "Webhook"}</td>
                      <td className="small">{eintrag.empfaenger}</td>
                      <td className="small">{eintrag.betreff ?? "–"}</td>
                      <td>
                        {eintrag.status === "GESENDET" ? (
                          <Badge farbe="success">Gesendet</Badge>
                        ) : eintrag.status === "FEHLGESCHLAGEN" ? (
                          <>
                            <Badge farbe="danger">Fehlgeschlagen</Badge>
                            <div className="small text-body-secondary">{eintrag.fehler}</div>
                          </>
                        ) : (
                          <Badge farbe="neutral">Wartend</Badge>
                        )}
                      </td>
                    </tr>
                  ))}
                  {protokoll.length === 0 ? (
                    <tr>
                      <td colSpan={5} className="text-center text-body-secondary py-4">
                        Noch nichts versendet.
                      </td>
                    </tr>
                  ) : null}
                </tbody>
              </table>
            </div>
          </Card>
        </div>
      </div>
    </>
  );
 }
@@ -0,0 +1,27 @@
 import { ContentHeader } from "@/components/layout/ContentHeader";
 import { Card } from "@/components/ui/Card";
 import { APP_VERSION } from "@/lib/version";
 export const metadata = { title: "System" };
 export default function SystemSeite() {
  return (
    <>
      <ContentHeader titel="System" brotkrumen={[{ titel: "Einstellungen" }, { titel: "System" }]} />
      <div className="app-content">
        <div className="container-fluid">
          <Card titel="Systeminformationen" rahmen="primary">
            <dl className="row mb-0">
              <dt className="col-4 fw-normal text-body-secondary">Version</dt>
              <dd className="col-8">{APP_VERSION}</dd>
              <dt className="col-4 fw-normal text-body-secondary">Datenquelle</dt>
              <dd className="col-8">Beispieldaten (Prototyp, #002)</dd>
              <dt className="col-4 fw-normal text-body-secondary">Warnregeln</dt>
              <dd className="col-8">Konfigurierbar ab #011</dd>
            </dl>
          </Card>
        </div>
      </div>
    </>
  );
 }
@@ -0,0 +1,178 @@
 import Link from "next/link";
 import { ContentHeader } from "@/components/layout/ContentHeader";
 import { TokenFormular } from "@/components/tokens/TokenFormular";
 import { Badge } from "@/components/ui/Badges";
 import { Card } from "@/components/ui/Card";
 import { formatDatum, formatDatumZeit } from "@/lib/format";
 import { prisma } from "@/lib/db";
 import { enrollmentTokenWiderrufen, hostTokenWiderrufen } from "@/server/actions/tokens";
 export const metadata = { title: "Agent-Tokens" };
 export default async function TokensSeite() {
  const dashboardUrl = (process.env.APP_URL ?? "https://dashboard.example.de").replace(/\/$/, "");
  const [kunden, enrollmentTokens, hostTokens] = await Promise.all([
    prisma.kunde.findMany({ orderBy: { name: "asc" }, select: { id: true, name: true } }),
    prisma.enrollmentToken.findMany({
      orderBy: { erstelltAm: "desc" },
      include: { kunde: { select: { name: true } } },
    }),
    prisma.agentToken.findMany({
      orderBy: { erstelltAm: "desc" },
      include: { host: { select: { id: true, hostname: true } } },
    }),
  ]);
  const jetzt = new Date();
  function zustand(token: {
    widerrufenAm: Date | null;
    gueltigBis: Date | null;
    maxNutzungen: number | null;
    nutzungen: number;
  }) {
    if (token.widerrufenAm) return { text: "Widerrufen", farbe: "neutral" as const };
    if (token.gueltigBis && token.gueltigBis < jetzt) return { text: "Abgelaufen", farbe: "danger" as const };
    if (token.maxNutzungen !== null && token.nutzungen >= token.maxNutzungen)
      return { text: "Aufgebraucht", farbe: "warning" as const };
    return { text: "Gültig", farbe: "success" as const };
  }
  return (
    <>
      <ContentHeader
        titel="Agent-Tokens"
        brotkrumen={[{ titel: "Einstellungen" }, { titel: "Agent-Tokens" }]}
      />
      <div className="app-content">
        <div className="container-fluid">
          <Card titel="Neuen Enrollment-Token erzeugen" rahmen="primary">
            <p className="text-body-secondary">
              Mit einem Enrollment-Token registriert sich ein Agent einmalig und erhält dabei seinen eigenen
              Host-Token. Ist ein Kunde hinterlegt, sind neue Hosts sofort zugeordnet und tauchen nicht unter{" "}
              <Link href="/hosts/nicht-zugeordnet">Nicht zugeordnet</Link> auf.
            </p>
            <TokenFormular kunden={kunden} dashboardUrl={dashboardUrl} />
          </Card>
          <Card titel={`Enrollment-Tokens (${enrollmentTokens.length})`} rahmen="info" tabelle>
            <div className="table-responsive">
              <table className="table table-striped align-middle">
                <thead>
                  <tr>
                    <th scope="col">Bezeichnung</th>
                    <th scope="col">Anfang</th>
                    <th scope="col">Kunde</th>
                    <th scope="col">Gültig bis</th>
                    <th scope="col">Nutzungen</th>
                    <th scope="col">Zustand</th>
                    <th scope="col" className="text-end">
                      Aktion
                    </th>
                  </tr>
                </thead>
                <tbody>
                  {enrollmentTokens.map((token) => {
                    const status = zustand(token);
                    return (
                      <tr key={token.id}>
                        <td>{token.bezeichnung ?? "–"}</td>
                        <td className="pl-mono">{token.praefix}…</td>
                        <td>{token.kunde?.name ?? "–"}</td>
                        <td>{formatDatum(token.gueltigBis)}</td>
                        <td>
                          {token.nutzungen}
                          {token.maxNutzungen !== null ? ` / ${token.maxNutzungen}` : ""}
                        </td>
                        <td>
                          <Badge farbe={status.farbe}>{status.text}</Badge>
                        </td>
                        <td className="text-end">
                          {token.widerrufenAm ? null : (
                            <form action={enrollmentTokenWiderrufen}>
                              <input type="hidden" name="id" value={token.id} />
                              <button type="submit" className="btn btn-sm btn-outline-danger">
                                Widerrufen
                              </button>
                            </form>
                          )}
                        </td>
                      </tr>
                    );
                  })}
                  {enrollmentTokens.length === 0 ? (
                    <tr>
                      <td colSpan={7} className="text-center text-body-secondary py-4">
                        Noch kein Enrollment-Token erzeugt.
                      </td>
                    </tr>
                  ) : null}
                </tbody>
              </table>
            </div>
          </Card>
          <Card titel={`Host-Tokens (${hostTokens.length})`} rahmen="info" tabelle>
            <div className="table-responsive">
              <table className="table table-striped align-middle">
                <thead>
                  <tr>
                    <th scope="col">Host</th>
                    <th scope="col">Anfang</th>
                    <th scope="col">Erstellt</th>
                    <th scope="col">Zuletzt benutzt</th>
                    <th scope="col">Zustand</th>
                    <th scope="col" className="text-end">
                      Aktion
                    </th>
                  </tr>
                </thead>
                <tbody>
                  {hostTokens.map((token) => (
                    <tr key={token.id}>
                      <td>
                        <Link href={`/hosts/${token.host.id}`} className="text-decoration-none">
                          {token.host.hostname}
                        </Link>
                      </td>
                      <td className="pl-mono">{token.praefix}…</td>
                      <td>{formatDatum(token.erstelltAm)}</td>
                      <td>{formatDatumZeit(token.letzteNutzungAm)}</td>
                      <td>
                        {token.widerrufenAm ? (
                          <Badge farbe="neutral">Widerrufen</Badge>
                        ) : (
                          <Badge farbe="success">Aktiv</Badge>
                        )}
                      </td>
                      <td className="text-end">
                        {token.widerrufenAm ? null : (
                          <form action={hostTokenWiderrufen}>
                            <input type="hidden" name="id" value={token.id} />
                            <input type="hidden" name="hostId" value={token.host.id} />
                            <button type="submit" className="btn btn-sm btn-outline-danger">
                              Widerrufen
                            </button>
                          </form>
                        )}
                      </td>
                    </tr>
                  ))}
                  {hostTokens.length === 0 ? (
                    <tr>
                      <td colSpan={6} className="text-center text-body-secondary py-4">
                        Noch kein Host registriert.
                      </td>
                    </tr>
                  ) : null}
                </tbody>
              </table>
            </div>
          </Card>
        </div>
      </div>
    </>
  );
 }
@@ -0,0 +1,57 @@
 import Link from "next/link";
 import { ContentHeader } from "@/components/layout/ContentHeader";
 import { WarnregelFormular, type RegelAnzeige } from "@/components/alerts/WarnregelFormular";
 import { Card } from "@/components/ui/Card";
 import { prisma } from "@/lib/db";
 import { warnregelnSicherstellen } from "@/server/alerts/abgleich";
 import { REGELN } from "@/server/alerts/regeln";
 export const metadata = { title: "Warnregeln" };
 const BESCHRIFTUNGEN: Record<string, string> = {
  tage: "Tage (mehrere Stufen mit Komma)",
  stunden: "Stunden",
 };
 export default async function WarnregelnSeite() {
  await warnregelnSicherstellen();
  const gespeichert = await prisma.warnregelEinstellung.findMany();
  const nachName = new Map(gespeichert.map((eintrag) => [eintrag.regel, eintrag]));
  const regeln: RegelAnzeige[] = REGELN.map((regel) => {
    const eintrag = nachName.get(regel.name);
    const werte = (eintrag?.schwellwerte ?? regel.standardSchwellwerte) as Record<string, unknown>;
    return {
      name: regel.name,
      beschreibung: regel.beschreibung,
      aktiv: eintrag?.aktiv ?? true,
      schwellwerte: Object.keys(regel.standardSchwellwerte).map((schluessel) => ({
        name: schluessel,
        beschriftung: BESCHRIFTUNGEN[schluessel] ?? schluessel,
        wert: Array.isArray(werte[schluessel])
          ? (werte[schluessel] as number[]).join(", ")
          : String(werte[schluessel] ?? ""),
      })),
    };
  });
  return (
    <>
      <ContentHeader titel="Warnregeln" brotkrumen={[{ titel: "Einstellungen" }, { titel: "Warnregeln" }]} />
      <div className="app-content">
        <div className="container-fluid">
          <Card titel="Regeln und Schwellwerte" rahmen="primary">
            <p className="text-body-secondary">
              Die Regeln laufen stündlich im Worker und zusätzlich nach jedem eingehenden Report. Eine Warnung
              wird nur einmal geöffnet und schließt sich selbst, sobald die Ursache behoben ist. Offene
              Warnungen stehen unter <Link href="/warnungen">Warnungen</Link>.
            </p>
            <WarnregelFormular regeln={regeln} />
          </Card>
        </div>
      </div>
    </>
  );
 }
@@ -0,0 +1,468 @@
 import Link from "next/link";
 import { notFound } from "next/navigation";
 import { HostNotizen } from "@/components/hosts/HostNotizen";
 import { ContentHeader } from "@/components/layout/ContentHeader";
 import {
  AblaufBadge,
  Badge,
  EinkaufBadge,
  KeineMeldungBadge,
  StatusBadge,
  VerkaufBadge,
 } from "@/components/ui/Badges";
 import { Card } from "@/components/ui/Card";
 import { CopyableCode } from "@/components/ui/CopyableCode";
 import { Tabs } from "@/components/ui/Tabs";
 import { PRODUKT_TEXT } from "@/lib/anzeige";
 import { prisma } from "@/lib/db";
 import { formatDatum, formatDatumZeit, formatEuro, formatUptime, formatZahl } from "@/lib/format";
 import { hostKundeSetzen } from "@/server/actions/host-detail";
 import { hostTokenWiderrufen } from "@/server/actions/tokens";
 import { hostMitDetails } from "@/server/queries/hostliste";
 import { meldungsGrenze } from "@/server/queries/hosts";
 export async function generateMetadata({ params }: { params: Promise<{ id: string }> }) {
  const { id } = await params;
  const host = await prisma.host.findUnique({ where: { id }, select: { hostname: true } });
  return { title: host?.hostname ?? "Host" };
 }
 function Zeile({ bezeichnung, children }: { bezeichnung: string; children: React.ReactNode }) {
  return (
    <div className="d-flex justify-content-between gap-3 py-2 border-bottom">
      <span className="text-body-secondary">{bezeichnung}</span>
      <span className="text-end">{children}</span>
    </div>
  );
 }
 export default async function HostDetailSeite({ params }: { params: Promise<{ id: string }> }) {
  const { id } = await params;
  const host = await hostMitDetails(id);
  if (!host) notFound();
  const kunden = await prisma.kunde.findMany({
    orderBy: { name: "asc" },
    select: { id: true, name: true },
  });
  const jetzt = new Date();
  const meldetNicht = !host.letzterReportAm || host.letzterReportAm < meldungsGrenze(jetzt);
  const socketAbweichung =
    host.subLizenzierteSockets !== null &&
    host.sockets !== null &&
    host.subLizenzierteSockets !== host.sockets;
  return (
    <>
      <ContentHeader
        titel={host.hostname}
        brotkrumen={[{ titel: "Hosts", href: "/hosts" }, { titel: host.hostname }]}
        aktion={<StatusBadge status={host.subStatus} />}
      />
      <div className="app-content">
        <div className="container-fluid">
          {host.alerts.length > 0 ? (
            <Card titel={`Offene Warnungen (${host.alerts.length})`} rahmen="danger">
              <ul className="list-unstyled mb-0">
                {host.alerts.map((alert) => (
                  <li key={alert.id} className="mb-2">
                    <Badge
                      farbe={
                        alert.schwere === "GEFAHR"
                          ? "danger"
                          : alert.schwere === "WARNUNG"
                            ? "warning"
                            : "info"
                      }
                    >
                      {alert.titel}
                    </Badge>{" "}
                    <span className="small text-body-secondary">{alert.beschreibung}</span>
                  </li>
                ))}
              </ul>
            </Card>
          ) : null}
          <div className="row">
            <div className="col-lg-4">
              <Card titel="Host" rahmen="primary">
                <div className="text-center mb-3">
                  <i className="bi bi-hdd-rack fs-1 text-body-secondary" aria-hidden="true" />
                  <h2 className="h5 mt-2 mb-1">{host.hostname}</h2>
                  <div className="text-body-secondary small">{host.fqdn ?? "Kein FQDN gemeldet"}</div>
                  {meldetNicht ? <KeineMeldungBadge /> : null}
                </div>
                <Zeile bezeichnung="Kunde">
                  {host.kunde ? (
                    <Link href={`/kunden/${host.kunde.id}`}>{host.kunde.name}</Link>
                  ) : (
                    <span className="badge pl-bg-neutral">Nicht zugeordnet</span>
                  )}
                </Zeile>
                <Zeile bezeichnung="Standort">{host.standort?.name ?? "–"}</Zeile>
                <Zeile bezeichnung="Produkt">{PRODUKT_TEXT[host.produkt]}</Zeile>
                <Zeile bezeichnung="Version">{host.produktVersion ?? "–"}</Zeile>
                <Zeile bezeichnung="Kernel">{host.kernel ?? "–"}</Zeile>
                <Zeile bezeichnung="Server-ID">
                  <CopyableCode wert={host.serverId} />
                </Zeile>
                <Zeile bezeichnung="Cluster / Node">
                  {host.clusterName ? `${host.clusterName} / ${host.nodeName ?? "?"}` : "–"}
                </Zeile>
                <Zeile bezeichnung="IP-Adressen">{host.ips.join(", ") || "–"}</Zeile>
                <Zeile bezeichnung="CPU">{host.cpuModell ?? "–"}</Zeile>
                <Zeile bezeichnung="Sockets (lizenziert / physisch)">
                  {host.subLizenzierteSockets ?? "–"} / {host.sockets ?? "–"}
                  {socketAbweichung ? (
                    <i
                      className="bi bi-exclamation-triangle-fill pl-text-warning ms-2"
                      title="Lizenzierte und physische Sockets weichen ab"
                    />
                  ) : null}
                </Zeile>
                <Zeile bezeichnung="Uptime">
                  {formatUptime(host.uptimeSekunden === null ? null : Number(host.uptimeSekunden))}
                </Zeile>
                <Zeile bezeichnung="Paket-Updates">{formatZahl(host.paketUpdates)}</Zeile>
                <Zeile bezeichnung="Agent-Version">{host.agentVersion ?? "–"}</Zeile>
                <Zeile bezeichnung="Erstmals gesehen">{formatDatum(host.erstmalsGesehenAm)}</Zeile>
                <Zeile bezeichnung="Letzte Meldung">{formatDatumZeit(host.letzterReportAm)}</Zeile>
                <form action={hostKundeSetzen} className="mt-3">
                  <input type="hidden" name="hostId" value={host.id} />
                  <label className="form-label small" htmlFor="kundeId">
                    Kunde ändern
                  </label>
                  <div className="input-group input-group-sm">
                    <select
                      id="kundeId"
                      name="kundeId"
                      className="form-select"
                      defaultValue={host.kundeId ?? ""}
                    >
                      <option value="">– nicht zugeordnet –</option>
                      {kunden.map((kunde) => (
                        <option key={kunde.id} value={kunde.id}>
                          {kunde.name}
                        </option>
                      ))}
                    </select>
                    <button type="submit" className="btn btn-outline-primary">
                      Setzen
                    </button>
                  </div>
                </form>
              </Card>
            </div>
            <div className="col-lg-8">
              <Tabs
                tabs={[
                  {
                    id: "uebersicht",
                    titel: "Übersicht",
                    icon: "bi-info-circle",
                    inhalt: (
                      <>
                        <Zeile bezeichnung="Subscription-Key">
                          <CopyableCode wert={host.subKey} />
                        </Zeile>
                        <Zeile bezeichnung="Status">
                          <StatusBadge status={host.subStatus} />
                        </Zeile>
                        <Zeile bezeichnung="Produktname">{host.subProduktname ?? "–"}</Zeile>
                        <Zeile bezeichnung="Level">{host.subLevel ?? "–"}</Zeile>
                        <Zeile bezeichnung="Registriert am">{formatDatum(host.subRegdate)}</Zeile>
                        <Zeile bezeichnung="Läuft ab am">
                          <AblaufBadge datum={host.subNextduedate?.toISOString() ?? null} heute={jetzt} />
                        </Zeile>
                        <Zeile bezeichnung="Letzte Prüfung durch Proxmox">
                          {formatDatumZeit(host.subChecktime)}
                        </Zeile>
                        <div className="mt-3">
                          {host.tags.length === 0 ? (
                            <span className="text-body-secondary small">Keine Tags</span>
                          ) : (
                            host.tags.map((tag) => (
                              <span key={tag.id} className="badge pl-bg-neutral me-1">
                                {tag.name}
                              </span>
                            ))
                          )}
                        </div>
                      </>
                    ),
                  },
                  {
                    id: "historie",
                    titel: "Subscription-Historie",
                    icon: "bi-key",
                    inhalt: (
                      <>
                        <h3 className="h6">Keys</h3>
                        <table className="table table-striped align-middle mb-4">
                          <thead>
                            <tr>
                              <th scope="col">Key</th>
                              <th scope="col">Erstmals gemeldet</th>
                              <th scope="col">Zuletzt gemeldet</th>
                            </tr>
                          </thead>
                          <tbody>
                            {host.keyHistorie.map((eintrag) => (
                              <tr key={eintrag.id}>
                                <td>
                                  <CopyableCode wert={eintrag.key} />
                                </td>
                                <td>{formatDatum(eintrag.ersteMeldung)}</td>
                                <td>{formatDatum(eintrag.letzteMeldung)}</td>
                              </tr>
                            ))}
                            {host.keyHistorie.length === 0 ? (
                              <tr>
                                <td colSpan={3} className="text-body-secondary">
                                  Noch kein Key gemeldet.
                                </td>
                              </tr>
                            ) : null}
                          </tbody>
                        </table>
                        <h3 className="h6">Server-IDs</h3>
                        <table className="table table-striped align-middle mb-0">
                          <thead>
                            <tr>
                              <th scope="col">Server-ID</th>
                              <th scope="col">Erstmals gemeldet</th>
                              <th scope="col">Zuletzt gemeldet</th>
                            </tr>
                          </thead>
                          <tbody>
                            {host.serverIdHistorie.map((eintrag) => (
                              <tr key={eintrag.id}>
                                <td>
                                  <CopyableCode wert={eintrag.serverId} />
                                </td>
                                <td>{formatDatum(eintrag.ersteMeldung)}</td>
                                <td>{formatDatum(eintrag.letzteMeldung)}</td>
                              </tr>
                            ))}
                            {host.serverIdHistorie.length === 0 ? (
                              <tr>
                                <td colSpan={3} className="text-body-secondary">
                                  Noch keine Server-ID gemeldet.
                                </td>
                              </tr>
                            ) : null}
                          </tbody>
                        </table>
                        {host.serverIdHistorie.length > 1 ? (
                          <p className="small pl-text-warning mt-2 mb-0">
                            Mehrere Server-IDs bedeuten Hardwaretausch oder Neuinstallation – der Key muss
                            dann bei Proxmox neu zugewiesen werden.
                          </p>
                        ) : null}
                      </>
                    ),
                  },
                  {
                    id: "reports",
                    titel: `Reports (${host.reports.length})`,
                    icon: "bi-clock-history",
                    inhalt: (
                      <div className="table-responsive">
                        <table className="table table-striped align-middle mb-0">
                          <thead>
                            <tr>
                              <th scope="col">Erhoben</th>
                              <th scope="col">Empfangen</th>
                              <th scope="col">Status</th>
                              <th scope="col">Key</th>
                              <th scope="col">Ablauf</th>
                              <th scope="col">Updates</th>
                              <th scope="col">Agent</th>
                            </tr>
                          </thead>
                          <tbody>
                            {host.reports.map((report) => (
                              <tr key={report.id}>
                                <td>{formatDatumZeit(report.erhobenAm)}</td>
                                <td className="small text-body-secondary">
                                  {formatDatumZeit(report.empfangenAm)}
                                </td>
                                <td>
                                  <StatusBadge status={report.subStatus} />
                                </td>
                                <td className="pl-mono">{report.subKey ?? "–"}</td>
                                <td>{formatDatum(report.subNextduedate)}</td>
                                <td>{formatZahl(report.paketUpdates)}</td>
                                <td>{report.agentVersion ?? "–"}</td>
                              </tr>
                            ))}
                            {host.reports.length === 0 ? (
                              <tr>
                                <td colSpan={7} className="text-body-secondary">
                                  Noch kein Report eingegangen.
                                </td>
                              </tr>
                            ) : null}
                          </tbody>
                        </table>
                      </div>
                    ),
                  },
                  {
                    id: "rechnungen",
                    titel: "Rechnungen",
                    icon: "bi-receipt",
                    inhalt: (
                      <div className="table-responsive">
                        <table className="table table-striped align-middle mb-0">
                          <thead>
                            <tr>
                              <th scope="col">Laufzeit</th>
                              <th scope="col">Proxmox-Rechnung</th>
                              <th scope="col">Einkauf</th>
                              <th scope="col">Kundenrechnung</th>
                              <th scope="col">Verkauf</th>
                              <th scope="col">Marge</th>
                            </tr>
                          </thead>
                          <tbody>
                            {host.laufzeiten.map((laufzeit) => {
                              const einkauf = laufzeit.proxmoxPosition
                                ? Number(laufzeit.proxmoxPosition.nettoBetrag)
                                : null;
                              const verkauf = laufzeit.kundenPosition
                                ? Number(laufzeit.kundenPosition.nettoBetrag)
                                : null;
                              return (
                                <tr key={laufzeit.id}>
                                  <td>
                                    {formatDatum(laufzeit.start)} – {formatDatum(laufzeit.ende)}
                                    {laufzeit.status === "VORSCHLAG" ? (
                                      <span className="badge pl-bg-info ms-2">Vorschlag</span>
                                    ) : null}
                                  </td>
                                  <td>
                                    <CopyableCode wert={laufzeit.proxmoxPosition?.rechnung.nummer ?? null} />
                                    <div>
                                      <EinkaufBadge
                                        bezahlt={
                                          laufzeit.proxmoxPosition
                                            ? laufzeit.proxmoxPosition.rechnung.bezahlt
                                            : null
                                        }
                                      />
                                    </div>
                                  </td>
                                  <td>{formatEuro(einkauf)}</td>
                                  <td>
                                    <CopyableCode wert={laufzeit.kundenPosition?.rechnung.nummer ?? null} />
                                    <div>
                                      <VerkaufBadge
                                        erstellt={laufzeit.kundenPosition?.rechnung.erstellt ?? false}
                                        bezahlt={laufzeit.kundenPosition?.rechnung.bezahlt ?? false}
                                      />
                                    </div>
                                  </td>
                                  <td>{formatEuro(verkauf)}</td>
                                  <td>
                                    {einkauf !== null && verkauf !== null
                                      ? formatEuro(verkauf - einkauf)
                                      : "–"}
                                  </td>
                                </tr>
                              );
                            })}
                            {host.laufzeiten.length === 0 ? (
                              <tr>
                                <td colSpan={6} className="text-body-secondary">
                                  Noch keine Laufzeit erfasst.
                                </td>
                              </tr>
                            ) : null}
                          </tbody>
                        </table>
                      </div>
                    ),
                  },
                  {
                    id: "notizen",
                    titel: "Notizen und Tags",
                    icon: "bi-journal-text",
                    inhalt: (
                      <HostNotizen
                        hostId={host.id}
                        notizen={host.notizen}
                        tags={host.tags.map((tag) => tag.name)}
                      />
                    ),
                  },
                  {
                    id: "tokens",
                    titel: "Tokens",
                    icon: "bi-key-fill",
                    inhalt: (
                      <table className="table table-striped align-middle mb-0">
                        <thead>
                          <tr>
                            <th scope="col">Anfang</th>
                            <th scope="col">Erstellt</th>
                            <th scope="col">Zuletzt benutzt</th>
                            <th scope="col">Zustand</th>
                            <th scope="col" className="text-end">
                              Aktion
                            </th>
                          </tr>
                        </thead>
                        <tbody>
                          {host.tokens.map((token) => (
                            <tr key={token.id}>
                              <td className="pl-mono">{token.praefix}…</td>
                              <td>{formatDatum(token.erstelltAm)}</td>
                              <td>{formatDatumZeit(token.letzteNutzungAm)}</td>
                              <td>
                                {token.widerrufenAm ? (
                                  <Badge farbe="neutral">Widerrufen</Badge>
                                ) : (
                                  <Badge farbe="success">Aktiv</Badge>
                                )}
                              </td>
                              <td className="text-end">
                                {token.widerrufenAm ? null : (
                                  <form action={hostTokenWiderrufen}>
                                    <input type="hidden" name="id" value={token.id} />
                                    <input type="hidden" name="hostId" value={host.id} />
                                    <button type="submit" className="btn btn-sm btn-outline-danger">
                                      Widerrufen
                                    </button>
                                  </form>
                                )}
                              </td>
                            </tr>
                          ))}
                          {host.tokens.length === 0 ? (
                            <tr>
                              <td colSpan={5} className="text-body-secondary">
                                Kein Token vorhanden – dieser Host stammt aus den Demo-Daten.
                              </td>
                            </tr>
                          ) : null}
                        </tbody>
                      </table>
                    ),
                  },
                ]}
              />
            </div>
          </div>
        </div>
      </div>
    </>
  );
 }
@@ -0,0 +1,107 @@
 import { PRODUKT_TEXT, STATUS_TEXT, statusAusDatenbank } from "@/lib/anzeige";
 import { csvAntwort, csvDatei } from "@/lib/csv";
 import { formatDatum } from "@/lib/format";
 import { Bericht, pdfAntwort, Tabelle } from "@/server/pdf/dokument";
 import { hostListe, type HostFilter } from "@/server/queries/hostliste";
 type ExportHost = Awaited<ReturnType<typeof hostListe>>["hosts"][number];
 export const dynamic = "force-dynamic";
 /** CSV-Export der Host-Tabelle; übernimmt die Filter aus der Adresse. */
 export async function GET(request: Request) {
  const parameter = new URL(request.url).searchParams;
  const filter: HostFilter = {
    q: parameter.get("q") ?? undefined,
    kunde: parameter.get("kunde") ?? undefined,
    status: parameter.get("status") ?? undefined,
    produkt: parameter.get("produkt") ?? undefined,
    ablauf: (parameter.get("ablauf") as HostFilter["ablauf"]) ?? undefined,
    rechnung: (parameter.get("rechnung") as HostFilter["rechnung"]) ?? undefined,
    sortierung: parameter.get("sortierung") ?? undefined,
    // Der Export enthält alle Treffer, nicht nur die aktuelle Seite.
    seite: 1,
  };
  const { gesamt } = await hostListe({ ...filter }, new Date());
  const alle: ExportHost[] = [];
  for (let seite = 1; alle.length < gesamt; seite++) {
    const teil = await hostListe({ ...filter, seite }, new Date());
    if (teil.hosts.length === 0) break;
    alle.push(...teil.hosts);
  }
  const datum = new Date().toISOString().slice(0, 10);
  if (new URL(request.url).searchParams.get("format") === "pdf") {
    return pdfAntwort(
      Bericht({
        titel: "Host-Liste",
        untertitel: `${alle.length} Hosts`,
        quer: true,
        children: Tabelle({
          spalten: [
            { titel: "Host", breite: 18, wert: (h: ExportHost) => h.hostname },
            { titel: "Kunde", breite: 18, wert: (h) => h.kunde?.name ?? "Nicht zugeordnet" },
            { titel: "Produkt", breite: 15, wert: (h) => PRODUKT_TEXT[h.produkt] },
            { titel: "Status", breite: 12, wert: (h) => STATUS_TEXT[statusAusDatenbank(h.subStatus)] },
            { titel: "Key", breite: 15, wert: (h) => h.subKey ?? "–" },
            {
              titel: "Sockets",
              breite: 8,
              wert: (h) => `${h.subLizenzierteSockets ?? "–"} / ${h.sockets ?? "–"}`,
              rechts: true,
            },
            {
              titel: "Ablauf",
              breite: 14,
              wert: (h) => (h.subNextduedate ? formatDatum(h.subNextduedate) : "–"),
              rechts: true,
            },
          ],
          zeilen: alle,
        }),
      }),
      `proxledger-hosts-${datum}.pdf`,
    );
  }
  const inhalt = csvDatei(
    [
      "Hostname",
      "FQDN",
      "Kunde",
      "Standort",
      "Produkt",
      "Version",
      "Status",
      "Subscription-Key",
      "Server-ID",
      "Sockets lizenziert",
      "Sockets physisch",
      "Ablauf",
      "Letzte Meldung",
      "IP-Adressen",
      "Agent-Version",
    ],
    alle.map((host) => [
      host.hostname,
      host.fqdn,
      host.kunde?.name ?? "Nicht zugeordnet",
      host.standort?.name ?? "",
      PRODUKT_TEXT[host.produkt],
      host.produktVersion,
      STATUS_TEXT[statusAusDatenbank(host.subStatus)],
      host.subKey,
      host.serverId,
      host.subLizenzierteSockets,
      host.sockets,
      host.subNextduedate,
      host.letzterReportAm,
      host.ips.join(", "),
      host.agentVersion,
    ]),
  );
  return csvAntwort(inhalt, `proxledger-hosts-${datum}.csv`);
 }
@@ -0,0 +1,71 @@
 import Link from "next/link";
 import { ContentHeader } from "@/components/layout/ContentHeader";
 import { ZuweisungsFormular } from "@/components/hosts/ZuweisungsFormular";
 import { Callout } from "@/components/ui/Callout";
 import { Card } from "@/components/ui/Card";
 import { prisma } from "@/lib/db";
 import { hostsOhneKunde } from "@/server/queries/hosts";
 export const metadata = { title: "Nicht zugeordnete Hosts" };
 export default async function NichtZugeordnetSeite() {
  const [hosts, kunden] = await Promise.all([
    hostsOhneKunde(),
    prisma.kunde.findMany({
      orderBy: { name: "asc" },
      select: {
        id: true,
        name: true,
        standorte: { select: { id: true, name: true }, orderBy: { name: "asc" } },
      },
    }),
  ]);
  return (
    <>
      <ContentHeader
        titel="Nicht zugeordnete Hosts"
        brotkrumen={[{ titel: "Hosts", href: "/hosts" }, { titel: "Nicht zugeordnet" }]}
      />
      <div className="app-content">
        <div className="container-fluid">
          {hosts.length === 0 ? (
            <Callout titel="Alles zugeordnet" farbe="info">
              Jeder gemeldete Host gehört zu einem Kunden. Neu registrierte Hosts erscheinen automatisch hier.
            </Callout>
          ) : (
            <Callout titel="Schnellzuweisung" farbe="warning">
              Hosts auswählen, Kunde wählen und in einem Schritt zuweisen. Wer Hosts direkt vorzuordnen
              möchte, erzeugt unter <Link href="/einstellungen/tokens">Agent-Tokens</Link> einen
              Enrollment-Token mit Kundenbindung – damit landen neue Hosts sofort beim richtigen Kunden.
            </Callout>
          )}
          {kunden.length === 0 ? (
            <Callout titel="Noch kein Kunde vorhanden" farbe="danger">
              Zum Zuweisen wird mindestens ein Kunde benötigt.{" "}
              <Link href="/kunden/neu">Jetzt einen Kunden anlegen.</Link>
            </Callout>
          ) : null}
          {hosts.length > 0 ? (
            <Card titel={`${hosts.length} Hosts ohne Kunde`} rahmen="warning" tabelle>
              <ZuweisungsFormular
                hosts={hosts.map((host) => ({
                  id: host.id,
                  hostname: host.hostname,
                  produkt: host.produkt,
                  serverId: host.serverId,
                  subKey: host.subKey,
                  erstmalsGesehenAm: host.erstmalsGesehenAm.toISOString(),
                }))}
                kunden={kunden}
              />
            </Card>
          ) : null}
        </div>
      </div>
    </>
  );
 }
@@ -0,0 +1,237 @@
 import Link from "next/link";
 import { ContentHeader } from "@/components/layout/ContentHeader";
 import { HostFilterLeiste } from "@/components/hosts/HostFilterLeiste";
 import { AblaufBadge, KeineMeldungBadge, StatusBadge } from "@/components/ui/Badges";
 import { Card } from "@/components/ui/Card";
 import { CopyableCode } from "@/components/ui/CopyableCode";
 import { PRODUKT_TEXT } from "@/lib/anzeige";
 import { formatDatumZeit } from "@/lib/format";
 import { filterOptionen, hostListe, type HostFilter } from "@/server/queries/hostliste";
 export const metadata = { title: "Hosts" };
 type SuchParameter = Promise<Record<string, string | string[] | undefined>>;
 function einzeln(wert: string | string[] | undefined): string | undefined {
  const text = Array.isArray(wert) ? wert[0] : wert;
  return text && text.length > 0 ? text : undefined;
 }
 /** Baut eine Adresse mit geänderten Parametern – für Sortierung, Blättern und Export. */
 function mitParametern(
  basis: Record<string, string | undefined>,
  aenderung: Record<string, string | undefined> = {},
  pfad = "/hosts",
 ) {
  const params = new URLSearchParams();
  for (const [schluessel, wert] of Object.entries({ ...basis, ...aenderung })) {
    if (wert) params.set(schluessel, wert);
  }
  const text = params.toString();
  return text ? `${pfad}?${text}` : pfad;
 }
 /** Spaltenkopf, der beim Klick die Sortierung umschaltet. */
 function SortierKopf({
  titel,
  feld,
  basis,
  sortierung,
 }: {
  titel: string;
  feld: string;
  basis: Record<string, string | undefined>;
  sortierung: string | undefined;
 }) {
  const aktiv = (sortierung ?? "hostname").startsWith(feld);
  const absteigend = sortierung === `${feld}-ab`;
  return (
    <th scope="col">
      <Link
        href={mitParametern(basis, { sortierung: absteigend ? feld : `${feld}-ab`, seite: undefined })}
        className="text-decoration-none text-body d-inline-flex align-items-center gap-1"
      >
        {titel}
        {aktiv ? (
          <i
            className={`bi ${absteigend ? "bi-caret-down-fill" : "bi-caret-up-fill"} small`}
            aria-hidden="true"
          />
        ) : null}
      </Link>
    </th>
  );
 }
 export default async function HostsSeite({ searchParams }: { searchParams: SuchParameter }) {
  const roh = await searchParams;
  const filter: HostFilter = {
    q: einzeln(roh.q),
    kunde: einzeln(roh.kunde),
    status: einzeln(roh.status),
    produkt: einzeln(roh.produkt),
    ablauf: einzeln(roh.ablauf) as HostFilter["ablauf"],
    rechnung: einzeln(roh.rechnung) as HostFilter["rechnung"],
    sortierung: einzeln(roh.sortierung),
    seite: Number(einzeln(roh.seite) ?? 1),
  };
  const jetzt = new Date();
  const [{ hosts, gesamt, seite, seiten }, optionen] = await Promise.all([
    hostListe(filter, jetzt),
    filterOptionen(),
  ]);
  const basis: Record<string, string | undefined> = {
    q: filter.q,
    kunde: filter.kunde,
    status: filter.status,
    produkt: filter.produkt,
    ablauf: filter.ablauf,
    rechnung: filter.rechnung,
    sortierung: filter.sortierung,
  };
  return (
    <>
      <ContentHeader titel="Hosts" brotkrumen={[{ titel: "Hosts" }]} />
      <div className="app-content">
        <div className="container-fluid">
          <Card
            titel={`${gesamt} Host${gesamt === 1 ? "" : "s"}${gesamt !== hosts.length ? ` · Seite ${seite} von ${seiten}` : ""}`}
            rahmen="primary"
            tabelle
            werkzeuge={
              <>
                <Link href="/hosts/nicht-zugeordnet" className="btn btn-sm btn-outline-primary">
                  Nicht zugeordnete
                </Link>
                <a
                  href={mitParametern(basis, {}, "/hosts/export")}
                  className="btn btn-sm btn-outline-secondary"
                >
                  <i className="bi bi-filetype-csv me-1" aria-hidden="true" />
                  CSV
                </a>
              </>
            }
          >
            <HostFilterLeiste kunden={optionen.kunden} werte={basis} />
            <div className="table-responsive">
              <table className="table table-striped align-middle">
                <thead>
                  <tr>
                    <SortierKopf titel="Host" feld="hostname" basis={basis} sortierung={filter.sortierung} />
                    <SortierKopf titel="Kunde" feld="kunde" basis={basis} sortierung={filter.sortierung} />
                    <th scope="col" className="d-none d-lg-table-cell">
                      Produkt
                    </th>
                    <SortierKopf titel="Status" feld="status" basis={basis} sortierung={filter.sortierung} />
                    <th scope="col" className="d-none d-md-table-cell">
                      Key
                    </th>
                    <SortierKopf titel="Ablauf" feld="ablauf" basis={basis} sortierung={filter.sortierung} />
                    <th scope="col" className="d-none d-lg-table-cell">
                      Sockets
                    </th>
                    <SortierKopf
                      titel="Letzte Meldung"
                      feld="meldung"
                      basis={basis}
                      sortierung={filter.sortierung}
                    />
                  </tr>
                </thead>
                <tbody>
                  {hosts.map((host) => (
                    <tr key={host.id}>
                      <td>
                        <Link href={`/hosts/${host.id}`} className="fw-semibold text-decoration-none">
                          {host.hostname}
                        </Link>
                        {host.meldetNicht ? <KeineMeldungBadge /> : null}
                        <div className="small text-body-secondary">{host.ips.join(", ") || "–"}</div>
                      </td>
                      <td>
                        {host.kunde ? (
                          <Link href={`/kunden/${host.kunde.id}`} className="text-decoration-none">
                            {host.kunde.name}
                          </Link>
                        ) : (
                          <Link
                            href="/hosts/nicht-zugeordnet"
                            className="badge pl-bg-neutral text-decoration-none"
                          >
                            Nicht zugeordnet
                          </Link>
                        )}
                        {host.standort ? (
                          <div className="small text-body-secondary">{host.standort.name}</div>
                        ) : null}
                      </td>
                      <td className="d-none d-lg-table-cell">{PRODUKT_TEXT[host.produkt]}</td>
                      <td>
                        <StatusBadge status={host.subStatus} />
                      </td>
                      <td className="d-none d-md-table-cell">
                        <CopyableCode wert={host.subKey} />
                      </td>
                      <td>
                        <AblaufBadge datum={host.subNextduedate?.toISOString() ?? null} heute={jetzt} />
                      </td>
                      <td className="d-none d-lg-table-cell">
                        {host.subLizenzierteSockets ?? "–"} / {host.sockets ?? "–"}
                        {host.socketAbweichung ? (
                          <i
                            className="bi bi-exclamation-triangle-fill pl-text-warning ms-2"
                            title="Lizenzierte und physische Sockets weichen ab"
                          />
                        ) : null}
                      </td>
                      <td className="small d-none d-xl-table-cell">
                        {formatDatumZeit(host.letzterReportAm)}
                      </td>
                    </tr>
                  ))}
                  {hosts.length === 0 ? (
                    <tr>
                      <td colSpan={8} className="text-center text-body-secondary py-4">
                        Keine Hosts gefunden. <Link href="/hosts">Filter zurücksetzen</Link>
                      </td>
                    </tr>
                  ) : null}
                </tbody>
              </table>
            </div>
            {seiten > 1 ? (
              <nav className="p-3 border-top" aria-label="Seiten">
                <ul className="pagination pagination-sm mb-0">
                  <li className={`page-item ${seite <= 1 ? "disabled" : ""}`}>
                    <Link className="page-link" href={mitParametern(basis, { seite: String(seite - 1) })}>
                      Zurück
                    </Link>
                  </li>
                  {Array.from({ length: seiten }, (_, i) => i + 1).map((nummer) => (
                    <li key={nummer} className={`page-item ${nummer === seite ? "active" : ""}`}>
                      <Link className="page-link" href={mitParametern(basis, { seite: String(nummer) })}>
                        {nummer}
                      </Link>
                    </li>
                  ))}
                  <li className={`page-item ${seite >= seiten ? "disabled" : ""}`}>
                    <Link className="page-link" href={mitParametern(basis, { seite: String(seite + 1) })}>
                      Weiter
                    </Link>
                  </li>
                </ul>
              </nav>
            ) : null}
          </Card>
        </div>
      </div>
    </>
  );
 }
@@ -0,0 +1,212 @@
 import Link from "next/link";
 import { ContentHeader } from "@/components/layout/ContentHeader";
 import { AblaufBadge, EinkaufBadge, VerkaufBadge } from "@/components/ui/Badges";
 import { Card } from "@/components/ui/Card";
 import { CopyableCode } from "@/components/ui/CopyableCode";
 import { formatDatum, formatTageBis } from "@/lib/format";
 import { ablaufDaten } from "@/server/queries/jahresbahn";
 export const metadata = { title: "Jahresbahn" };
 const MONATE = ["Jan", "Feb", "Mär", "Apr", "Mai", "Jun", "Jul", "Aug", "Sep", "Okt", "Nov", "Dez"];
 const GESAMT_TAGE = 365;
 export default async function JahresbahnSeite() {
  const jetzt = new Date();
  const { gruppen, naechste90Tage, abgelaufen } = await ablaufDaten(jetzt);
  // Die Bahn beginnt am Ersten des laufenden Monats und zeigt zwölf Monate.
  const start = new Date(Date.UTC(jetzt.getUTCFullYear(), jetzt.getUTCMonth(), 1));
  function position(datum: Date): number | null {
    const tage = Math.round((datum.getTime() - start.getTime()) / 86_400_000);
    if (tage < 0 || tage > GESAMT_TAGE) return null;
    return (tage / GESAMT_TAGE) * 100;
  }
  const heutePosition = position(jetzt) ?? 0;
  const monate = Array.from({ length: 12 }, (_, i) => {
    const datum = new Date(Date.UTC(start.getUTCFullYear(), start.getUTCMonth() + i, 1));
    return `${MONATE[datum.getUTCMonth()]} ${String(datum.getUTCFullYear()).slice(2)}`;
  });
  return (
    <>
      <ContentHeader titel="Jahresbahn" brotkrumen={[{ titel: "Jahresbahn" }]} />
      <div className="app-content">
        <div className="container-fluid">
          <Card titel="Abläufe der nächsten zwölf Monate" rahmen="primary">
            {gruppen.length === 0 ? (
              <p className="mb-0 text-body-secondary">Noch kein Host mit Ablaufdatum gemeldet.</p>
            ) : (
              <div className="table-responsive">
                <div style={{ minWidth: "820px" }}>
                  <div className="d-flex text-body-secondary small mb-2" style={{ marginLeft: "13rem" }}>
                    {monate.map((monat) => (
                      <div key={monat} style={{ width: `${100 / 12}%` }}>
                        {monat}
                      </div>
                    ))}
                  </div>
                  {gruppen.map((gruppe) => (
                    <div key={gruppe.kundeId ?? "ohne"} className="mb-3">
                      <div className="fw-semibold small mb-1">
                        {gruppe.kundeId ? (
                          <Link href={`/kunden/${gruppe.kundeId}`} className="text-decoration-none">
                            {gruppe.name}
                          </Link>
                        ) : (
                          <span className="badge pl-bg-neutral">{gruppe.name}</span>
                        )}
                      </div>
                      {gruppe.eintraege.map((eintrag) => {
                        const links = position(eintrag.ablauf);
                        const farbe =
                          eintrag.tage < 14
                            ? "var(--pl-danger)"
                            : eintrag.tage < 30
                              ? "var(--pl-warning)"
                              : "var(--pl-info)";
                        return (
                          <div key={eintrag.hostId} className="d-flex align-items-center mb-1">
                            <div className="small text-truncate" style={{ width: "13rem" }}>
                              <Link href={`/hosts/${eintrag.hostId}`} className="text-decoration-none">
                                {eintrag.hostname}
                              </Link>
                            </div>
                            <div className="pl-timeline-row flex-grow-1 position-relative">
                              <div className="pl-timeline-heute" style={{ left: `${heutePosition}%` }} />
                              {links === null ? (
                                <span className="small text-body-secondary ms-2">
                                  außerhalb des Zeitraums ({formatDatum(eintrag.ablauf)})
                                </span>
                              ) : (
                                <Link
                                  href={
                                    eintrag.laufzeitId
                                      ? `/rechnungen/${eintrag.laufzeitId}`
                                      : `/hosts/${eintrag.hostId}`
                                  }
                                  className="pl-timeline-bar text-decoration-none"
                                  style={{
                                    left: `${Math.min(92, Math.max(0, links - 5))}%`,
                                    backgroundColor: farbe,
                                    color: farbe === "var(--pl-warning)" ? "var(--pl-warning-text)" : "#fff",
                                  }}
                                  title={`${eintrag.hostname} läuft am ${formatDatum(eintrag.ablauf)} ab`}
                                >
                                  {formatDatum(eintrag.ablauf)}
                                </Link>
                              )}
                            </div>
                          </div>
                        );
                      })}
                    </div>
                  ))}
                </div>
              </div>
            )}
            <p className="small text-body-secondary mb-0">
              Die rote Linie markiert heute ({formatDatum(jetzt)}). Balkenfarbe: rot unter 14 Tagen, gelb
              unter 30 Tagen, sonst blau. Ein Klick führt zur Laufzeit mit ihren Rechnungen.
            </p>
          </Card>
          <div className="row">
            <div className="col-lg-8">
              <Card
                titel={`Ablauf-Kalender: nächste 90 Tage (${naechste90Tage.length})`}
                rahmen="warning"
                tabelle
              >
                <div className="table-responsive">
                  <table className="table table-striped align-middle">
                    <thead>
                      <tr>
                        <th scope="col">Ablauf</th>
                        <th scope="col">Host</th>
                        <th scope="col">Kunde</th>
                        <th scope="col">Key</th>
                        <th scope="col">Proxmox</th>
                        <th scope="col">Kundenrechnung</th>
                      </tr>
                    </thead>
                    <tbody>
                      {naechste90Tage.map((eintrag) => (
                        <tr key={eintrag.hostId}>
                          <td>
                            <AblaufBadge datum={eintrag.ablauf.toISOString()} heute={jetzt} />
                          </td>
                          <td>
                            <Link href={`/hosts/${eintrag.hostId}`} className="text-decoration-none">
                              {eintrag.hostname}
                            </Link>
                          </td>
                          <td>
                            {eintrag.kunde ? (
                              <Link href={`/kunden/${eintrag.kunde.id}`} className="text-decoration-none">
                                {eintrag.kunde.name}
                              </Link>
                            ) : (
                              <span className="badge pl-bg-neutral">Nicht zugeordnet</span>
                            )}
                          </td>
                          <td>
                            <CopyableCode wert={eintrag.key} />
                          </td>
                          <td>
                            <EinkaufBadge bezahlt={eintrag.einkaufBezahlt} />
                          </td>
                          <td>
                            <VerkaufBadge erstellt={eintrag.verkaufErstellt ?? false} bezahlt={false} />
                          </td>
                        </tr>
                      ))}
                      {naechste90Tage.length === 0 ? (
                        <tr>
                          <td colSpan={6} className="text-center text-body-secondary py-4">
                            In den nächsten 90 Tagen läuft nichts ab.
                          </td>
                        </tr>
                      ) : null}
                    </tbody>
                  </table>
                </div>
              </Card>
            </div>
            <div className="col-lg-4">
              <Card
                titel={`Bereits abgelaufen (${abgelaufen.length})`}
                rahmen={abgelaufen.length > 0 ? "danger" : "info"}
              >
                {abgelaufen.length === 0 ? (
                  <p className="mb-0 text-body-secondary">Keine abgelaufenen Subscriptions.</p>
                ) : (
                  <ul className="list-unstyled mb-0">
                    {abgelaufen.map((eintrag) => (
                      <li key={eintrag.hostId} className="mb-2">
                        <Link href={`/hosts/${eintrag.hostId}`} className="fw-semibold text-decoration-none">
                          {eintrag.hostname}
                        </Link>
                        <div className="small text-body-secondary">
                          {eintrag.kunde?.name ?? "Nicht zugeordnet"} · {formatDatum(eintrag.ablauf)} (
                          {formatTageBis(eintrag.tage)})
                        </div>
                      </li>
                    ))}
                  </ul>
                )}
              </Card>
            </div>
          </div>
        </div>
      </div>
    </>
  );
 }
@@ -0,0 +1,65 @@
 import { notFound } from "next/navigation";
 import { ContentHeader } from "@/components/layout/ContentHeader";
 import { KundeFormular } from "@/components/kunden/KundeFormular";
 import { Card } from "@/components/ui/Card";
 import { prisma } from "@/lib/db";
 import { kundeLoeschen } from "@/server/actions/kunden";
 export const metadata = { title: "Kunde bearbeiten" };
 export default async function KundeBearbeitenSeite({ params }: { params: Promise<{ id: string }> }) {
  const { id } = await params;
  const kunde = await prisma.kunde.findUnique({
    where: { id },
    include: { _count: { select: { hosts: true } } },
  });
  if (!kunde) notFound();
  return (
    <>
      <ContentHeader
        titel={`${kunde.name} bearbeiten`}
        brotkrumen={[
          { titel: "Kunden", href: "/kunden" },
          { titel: kunde.name, href: `/kunden/${kunde.id}` },
          { titel: "Bearbeiten" },
        ]}
      />
      <div className="app-content">
        <div className="container-fluid">
          <div className="row">
            <div className="col-lg-8">
              <Card titel="Stammdaten" rahmen="primary">
                <KundeFormular
                  werte={{
                    id: kunde.id,
                    name: kunde.name,
                    kundennummer: kunde.kundennummer,
                    ansprechpartner: kunde.ansprechpartner,
                    email: kunde.email,
                    telefon: kunde.telefon,
                    notizen: kunde.notizen,
                  }}
                />
              </Card>
              <Card titel="Kunde löschen" rahmen="danger">
                <p>
                  Der Kunde wird mit allen Standorten und Kundenrechnungen entfernt. Seine{" "}
                  {kunde._count.hosts} Host(s) bleiben erhalten und erscheinen danach unter „Nicht
                  zugeordnet“.
                </p>
                <form action={kundeLoeschen}>
                  <input type="hidden" name="id" value={kunde.id} />
                  <button type="submit" className="btn btn-danger pl-touch-target">
                    Endgültig löschen
                  </button>
                </form>
              </Card>
            </div>
          </div>
        </div>
      </div>
    </>
  );
 }
@@ -0,0 +1,74 @@
 import { PRODUKT_TEXT, STATUS_TEXT, statusAusDatenbank } from "@/lib/anzeige";
 import { formatDatum, formatEuro } from "@/lib/format";
 import { Abschnitt, Bericht, pdfAntwort, Tabelle } from "@/server/pdf/dokument";
 import { kundeMitDetails, laufzeitenVonKunde, summen, summenProJahr } from "@/server/queries/kunden";
 export const dynamic = "force-dynamic";
 /** Kundenunterlage als PDF: Hosts, Laufzeiten und Summen eines Kunden. */
 export async function GET(_request: Request, { params }: { params: Promise<{ id: string }> }) {
  const { id } = await params;
  const kunde = await kundeMitDetails(id);
  if (!kunde) return new Response("Nicht gefunden", { status: 404 });
  const laufzeiten = await laufzeitenVonKunde(kunde.id);
  const gesamt = summen(laufzeiten);
  const proJahr = summenProJahr(laufzeiten);
  const datum = new Date().toISOString().slice(0, 10);
  return pdfAntwort(
    Bericht({
      titel: kunde.name,
      untertitel: `Kundennummer ${kunde.kundennummer}${kunde.ansprechpartner ? ` · ${kunde.ansprechpartner}` : ""}`,
      children: [
        Abschnitt({ titel: `Hosts (${kunde.hosts.length})` }),
        Tabelle({
          spalten: [
            { titel: "Host", breite: 28, wert: (h: (typeof kunde.hosts)[number]) => h.hostname },
            { titel: "Produkt", breite: 22, wert: (h) => PRODUKT_TEXT[h.produkt] },
            { titel: "Status", breite: 16, wert: (h) => STATUS_TEXT[statusAusDatenbank(h.subStatus)] },
            { titel: "Key", breite: 20, wert: (h) => h.subKey ?? "–" },
            {
              titel: "Ablauf",
              breite: 14,
              wert: (h) => (h.subNextduedate ? formatDatum(h.subNextduedate) : "–"),
              rechts: true,
            },
          ],
          zeilen: kunde.hosts,
        }),
        Abschnitt({ titel: `Laufzeiten (${laufzeiten.length})` }),
        Tabelle({
          spalten: [
            {
              titel: "Zeitraum",
              breite: 26,
              wert: (l: (typeof laufzeiten)[number]) => `${formatDatum(l.start)} – ${formatDatum(l.ende)}`,
            },
            { titel: "Host", breite: 18, wert: (l) => l.hostname },
            { titel: "Proxmox-Rechnung", breite: 18, wert: (l) => l.einkauf?.nummer ?? "–" },
            { titel: "Einkauf", breite: 12, wert: (l) => formatEuro(l.einkauf?.nettoBetrag), rechts: true },
            { titel: "Kundenrechnung", breite: 18, wert: (l) => l.verkauf?.nummer ?? "–" },
            { titel: "Verkauf", breite: 8, wert: (l) => formatEuro(l.verkauf?.nettoBetrag), rechts: true },
          ],
          zeilen: laufzeiten,
          summe: ["Summe", "", "", formatEuro(gesamt.einkauf), "", formatEuro(gesamt.verkauf)],
        }),
        Abschnitt({ titel: "Summen pro Jahr" }),
        Tabelle({
          spalten: [
            { titel: "Jahr", breite: 25, wert: (j: (typeof proJahr)[number]) => j.jahr },
            { titel: "Einkauf netto", breite: 25, wert: (j) => formatEuro(j.einkauf), rechts: true },
            { titel: "Verkauf netto", breite: 25, wert: (j) => formatEuro(j.verkauf), rechts: true },
            { titel: "Marge", breite: 25, wert: (j) => formatEuro(j.marge), rechts: true },
          ],
          zeilen: proJahr,
          summe: ["Gesamt", formatEuro(gesamt.einkauf), formatEuro(gesamt.verkauf), formatEuro(gesamt.marge)],
        }),
      ],
    }),
    `proxledger-${kunde.kundennummer}-${datum}.pdf`,
  );
 }
--- a/Show More
+++ b/Show More
Author	SHA1	Message	Date
florian.wilde	d2ebc4e096	Merge branch 'phase/019-ci' Prüfung / pruefung (push) Canceled after 0s Details	2026-09-17 23:47:38 +02:00
florian.wildeandClaude Opus 5	0d16dfd379	ci: Pruefung bei jedem Push und Konsistenzpruefung der Doku (#019 ) Gitea-Actions-Workflow mit Lint, Typen, Tests gegen PostgreSQL, Build, ShellCheck und einem Skript, das Version, Issue-Uebersicht und Handbuch-Bilder abgleicht. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 23:47:38 +02:00
florian.wilde	af38a4efce	Merge branch 'phase/017-favicons'	2026-09-17 23:46:21 +02:00
florian.wildeandClaude Opus 5	9c0cefcfe8	feat(ui): Symbole fuer Tab, Startbildschirm und Manifest (#017 ) npm run icons erzeugt SVG, ICO und PNG aus den Vorlagen in assets/. Fuer kleine Groessen kommen die vereinfachten Fassungen zum Einsatz. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 23:46:21 +02:00
florian.wilde	a459d3f770	Merge branch 'phase/016-handbuch'	2026-09-17 23:43:19 +02:00
florian.wildeandClaude Opus 5	4423d17b15	docs: Handbuch mit Bildern und Skript zum Auffrischen (#016 ) Elf Kapitel von der Installation bis zur Fehlersuche, 16 Bilder. Das Skript meldet sich fuer die Aufnahmen selbst an, ohne Hintertuer im Code. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 23:43:19 +02:00
florian.wilde	7ff068d9b3	Merge branch 'phase/016-handbuch' (Anmeldefehler)	2026-09-17 23:41:01 +02:00
florian.wildeandClaude Opus 5	2c2f842d20	fix(auth): Sitzungs-Cookie auch ueber http nutzbar, Anmeldung als Formular (#013 ) Das Cookie erhielt im Produktionsbau immer Secure und wurde ueber http vom Browser verworfen – nach der Anmeldung landete jeder Klick wieder auf der Anmeldeseite. Massgeblich ist jetzt das Schema in APP_URL. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 23:41:01 +02:00
florian.wilde	f838a44991	Merge branch 'phase/015-feinschliff'	2026-09-17 23:27:23 +02:00
florian.wildeandClaude Opus 5	4c65c9ddab	perf(alerts): Warnungen sammelweise anlegen, Dark-Mode und Mobilansicht verbessern (#015 ) Lasttest mit 200 Hosts und 365.000 Reports: Auswertung der Warnregeln von 3813 auf 293 ms. Logo im dunklen Design sichtbar gemacht, Tabellen blenden auf schmalen Bildschirmen Spalten aus, Aufgaben-Karte begrenzt. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 23:27:23 +02:00
florian.wildeandClaude Opus 5	9647c19136	fix(lint): erzeugtes Worker-Buendel von der Pruefung ausnehmen (#014 ) Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 23:13:28 +02:00
florian.wilde	5a4c02043d	Merge branch 'phase/014-deployment'	2026-09-17 23:12:29 +02:00
florian.wildeandClaude Opus 5	0af9187079	feat(deploy): Docker-Abbild, Compose, LXC-Installer und Sicherung (#014 ) Mehrstufiges Abbild mit Standalone-Ausgabe, eigener Migrationsdienst, Worker als ESM-Buendel, LXC-Installer fuer Proxmox, Reverse-Proxy-Beispiele, Sicherungsskript und Zustandspruefung. Stapel gebaut und mit Agent-Durchlauf geprueft. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 23:12:29 +02:00
florian.wilde	00eb7225f9	Merge branch 'phase/013-authentifizierung'	2026-09-17 22:40:03 +02:00
florian.wildeandClaude Opus 5	ee487775ec	feat(auth): Anmeldung mit Passwort und OIDC, Schutz aller Seiten (#013 ) Signierte Sitzungs-Cookies mit jose, OIDC ueber openid-client (authentik), Schutz in proxy.ts, Anmeldeseite, Audit-Log-Ansicht, Sicherheits-Kopfzeilen und Rate-Limit. Kein Auth.js, weil Version 5 Beta ist. 147 Tests. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 22:40:03 +02:00
florian.wilde	6cc39591b7	Merge branch 'phase/012-benachrichtigungen'	2026-09-17 22:33:17 +02:00
florian.wildeandClaude Opus 5	9e770a99b1	feat(alerts): Benachrichtigungen per E-Mail und Webhook (#012 ) SMTP mit STARTTLS fuer Microsoft 365, Webhook mit HMAC-Signatur, taegliche oder woechentliche Zusammenfassung, Versandprotokoll und Testversand. Keine Doppelmeldungen dank Pruefung gegen das Protokoll. 134 Tests. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 22:33:17 +02:00
florian.wilde	179f751b1c	Merge branch 'phase/011-warnregeln'	2026-09-17 22:25:33 +02:00
florian.wildeandClaude Opus 5	8a299f6c5e	feat(alerts): zehn Warnregeln mit Worker, Liste und Einstellungen (#011 ) Regeln als reine Funktionen, Abgleich oeffnet und schliesst Warnungen anhand eines Fingerabdrucks. Worker wertet stuendlich aus, zusaetzlich nach jedem Report. 123 Tests. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 22:25:33 +02:00
florian.wilde	5018589f08	Merge branch 'phase/010-export'	2026-09-17 22:12:58 +02:00
florian.wildeandClaude Opus 5	cb009efd7d	feat(export): CSV- und PDF-Ausgaben fuer Hosts, Kunden und Rechnungen (#010 ) PDFs entstehen serverseitig mit @react-pdf/renderer, mit einfarbigem Logo, wiederholtem Spaltenkopf und Summenzeile. Alle Exporte uebernehmen die Filter der jeweiligen Ansicht. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 22:12:58 +02:00
florian.wilde	6168ad69f2	Merge branch 'phase/009-jahresbahn'	2026-09-17 21:57:09 +02:00
florian.wildeandClaude Opus 5	1a5327dced	feat(jahresbahn): Zeitleiste und Ablauf-Kalender aus der Datenbank (#009 ) Zwoelf-Monats-Bahn mit Heute-Linie und Gruppierung nach Kunde, 90-Tage-Kalender mit Rechnungsstatus sowie eine Karte fuer bereits abgelaufene Subscriptions. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 21:57:09 +02:00
florian.wilde	81b2066d61	Merge branch 'phase/008-laufzeiten-rechnungen'	2026-09-17 21:54:45 +02:00
florian.wildeandClaude Opus 5	558dfea34c	feat(rechnungen): Laufzeiten bestaetigen, Rechnungen erfassen und Status setzen (#008 ) Rechnungen mit Positionen: gleiche Nummer ergibt eine Sammelrechnung ueber mehrere Laufzeiten. PDF-Upload mit Inhaltspruefung und Ablage unter der Pruefsumme, Haekchen direkt in der Tabelle, Filter nach Status, Kunde und Jahr. 78 Tests. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 21:54:45 +02:00
florian.wilde	1e1d6c4418	Merge branch 'phase/020b-gitea-token'	2026-09-17 21:44:01 +02:00
florian.wildeandClaude Opus 5	2dbb30041b	feat(tooling): Gitea-Token aus den Git-Zugangsdaten lesen (#020 ) Serveradresse und Repository stammen aus dem Remote, der Token aus dem Schluesselbund bzw. ~/.git-credentials. Ein zweiter Token in der .env entfaellt. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 21:44:01 +02:00
florian.wilde	51243c29fa	Merge branch 'phase/020-gitea-abgleich'	2026-09-17 21:17:23 +02:00
florian.wildeandClaude Opus 5	2df43e1517	feat(tooling): Issue-Dateien mit dem Gitea-Tracker abgleichen (#020 ) Skript liest docs/issues/, legt Labels und Meilensteine an, erkennt vorhandene Issues an der Nummer im Titel und schliesst erledigte. Trockenlauf ohne Token. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 21:17:23 +02:00
florian.wilde	251f29c293	Merge branch 'phase/007-hosts-detailansichten'	2026-09-17 21:12:41 +02:00
florian.wildeandClaude Opus 5	0ae96a50cd	feat(hosts): Host-Tabelle mit Filtern, CSV-Export und Detailansicht (#007 ) Suche ueber Hostname, Key, Server-ID, IP und Rechnungsnummer, fuenf Filter, Sortierung mit nulls-last, Seitenblaettern und CSV-Export. Detailansicht mit sechs Tabs, Notizen, Tags und Token-Widerruf. 59 Tests. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 21:12:41 +02:00
florian.wildeandClaude Opus 5	6aa6a20f63	docs: Issues #017 bis #019 aus den Erkenntnissen der bisherigen Phasen (#006 ) Favicon-Dateien, Feldtest des Agents auf echten Proxmox-Hosts und CI-Pipeline waren bisher nur Notizen in anderen Issues. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 21:04:24 +02:00
florian.wilde	ae7f5c55ba	Merge branch 'phase/006-kunden-hostzuweisung'	2026-09-17 21:02:44 +02:00
florian.wildeandClaude Opus 5	f9a5ad2daa	feat(kunden): Kundenverwaltung, Hostzuweisung und Token-Verwaltung (#006 ) Kunden und Standorte pflegen, nicht zugeordnete Hosts in einem Schritt zuweisen, Enrollment- und Host-Tokens verwalten, Audit-Log. Dashboard, Kundenseiten und globale Suche laufen jetzt auf der Datenbank. 45 Tests. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 21:02:44 +02:00
florian.wilde	f591b45aac	Merge branch 'phase/005-agent-skript'	2026-09-17 20:44:38 +02:00
florian.wildeandClaude Opus 5	d9455db311	feat(agent): Bash-Agent mit Installer, systemd-Timer und Spool (#005 ) Produkterkennung fuer PVE, PBS und PMG, JSON-Erzeugung ohne jq, Retry mit Backoff, Nachsenden aus dem Spool, Update und Uninstall. Das Dashboard liefert install.sh und agent.sh mit eingesetzter Adresse aus. 38 Tests. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 20:44:38 +02:00
florian.wilde	d16115de66	Merge branch 'phase/004-agent-api'	2026-09-17 20:39:33 +02:00
florian.wildeandClaude Opus 5	bef51eb863	feat(api): Agent-API mit Enrollment, Report und Ping (#004 ) Gehashte Tokens mit Praefix, Rate-Limit je IP und Token, zod-Validierung mit durchgaengig optionalen Feldern, idempotente Reports ueber reportId, Key- und Server-ID-Historie sowie automatischer Laufzeit-Vorschlag. 32 Tests. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 20:39:33 +02:00
florian.wilde	51c8aafa69	Merge branch 'phase/003-datenmodell'	2026-09-17 20:32:04 +02:00
florian.wildeandClaude Opus 5	293bcf4b5a	feat(db): Datenmodell, erste Migration und Seed (#003 ) Prisma 7.10 mit Postgres-Adapter, 23 Modelle inklusive Rechnungen mit Positionen, Seed fuer Administrator, Warnregeln und Demo-Daten, Testdatenbank fuer Vitest. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 20:32:04 +02:00
florian.wilde	090396f6c0	Merge branch 'phase/002-prototyp'	2026-09-17 20:03:22 +02:00
florian.wildeandClaude Opus 5	8596a18a27	feat(ui): klickbarer Prototyp mit Beispieldaten (#002 ) Layout im AdminLTE-Stil (Sidebar, Kopfleiste, Inhaltskopf, Footer), Logo als SVG-Komponente, Farbschema mit Dark-Mode, Dashboard, Kunden- und Host-Ansichten, Rechnungsuebersicht, Jahresbahn und globale Suche (Strg+K). Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 20:03:15 +02:00
florian.wilde	d98bde9922	Merge branch 'phase/001-projekt-setup'	2026-09-17 19:44:08 +02:00
florian.wildeandClaude Opus 5	783d2fd7bd	docs: devlog und Issue #001 abgeschlossen Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 19:44:08 +02:00