Merge branch 'phase/027-rollen'

Drei Rollen: Administrator, Techniker, Kunde. Jede der 28 Aktionen nennt das
Recht, das sie verlangt; die Rechte stehen an einer Stelle. Kundenkonten
haengen an genau einem Kunden und sehen nur dessen Hosts und Rechnungen -
ohne Einkaufspreise und Marge. Die Einschraenkung sitzt in den Abfragen
selbst, damit keine Seite vergessen kann, sie weiterzugeben; sechs Tests
pruefen das.

Dabei gefunden: Neu ueber OIDC angelegte Konten haetten die Vorgabe des
Datenmodells geerbt - ADMIN. Jetzt gibt es dafuer eine Einstellung mit der
Vorgabe Techniker.

Passkeys (#028) als gleichwertiger, passwortloser Anmeldeweg neben Passwort
und OIDC. Mehrere je Konto, Aufgabe in einem kurzlebigen Cookie, rpID aus der
oeffentlichen Adresse. Ohne HTTPS sagt die Seite es, statt still zu scheitern.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

.dockerignore

@@ -0,0 +1,11 @@
+node_modules
+.next
+dist
+.git
+.env
+.env.*
+!.env.example
+data
+docs/anleitung/bilder
+coverage
+*.log

.env.example

@@ -0,0 +1,49 @@
+# Für docker-compose.yml: Zugangsdaten der mitgelieferten Datenbank
+POSTGRES_USER="proxledger"
+POSTGRES_PASSWORD="bitte-aendern"
+POSTGRES_DB="proxledger"
+PORT="3000"
+
+# Datenbank (lokale Entwicklung über docker-compose.dev.yml, Port 5433)
+DATABASE_URL="postgresql://proxledger:proxledger@localhost:5433/proxledger?schema=public"
+
+# Eigene Datenbank für automatisierte Tests
+TEST_DATABASE_URL="postgresql://proxledger:proxledger@localhost:5433/proxledger_test?schema=public"
+
+# Lokaler Administrator, wird vom Seed angelegt
+ADMIN_EMAIL="admin@example.de"
+ADMIN_NAME="Administrator"
+ADMIN_PASSWORD="bitte-aendern"
+
+# Schlüssel für Sitzungs-Cookies (mindestens 32 Zeichen): openssl rand -base64 48
+APP_SECRET="bitte-eigenen-wert-erzeugen-mindestens-32-zeichen"
+
+# Anmeldung über OIDC (optional, z. B. authentik). Ohne diese Werte gibt es nur den lokalen Zugang.
+OIDC_ISSUER=""
+OIDC_CLIENT_ID=""
+OIDC_CLIENT_SECRET=""
+OIDC_NAME="authentik"
+
+# Öffentlich erreichbare Adresse des Dashboards (für install.sh und E-Mails).
+# Lässt sich später unter Einstellungen → System überschreiben.
+APP_URL="http://localhost:3000"
+
+# Zeitplan des Workers (Standard: stündlich zur vollen Stunde)
+WORKER_CRON="0 * * * *"
+
+# Zeitplan der Zusammenfassung (Standard: täglich 07:00 Uhr)
+ZUSAMMENFASSUNG_CRON="0 7 * * *"
+
+# Zeitplan fürs Aufräumen alter Reports und Protokolleinträge (Fristen: Einstellungen → System)
+AUFRAEUM_CRON="30 3 * * *"
+
+# Ablage für hochgeladene Rechnungs-PDFs
+UPLOAD_DIR="./data/uploads"
+
+# Demo-Daten beim Seed anlegen (1 = ja)
+SEED_DEMO="0"
+
+# Abgleich der Issue-Dateien mit dem Gitea-Tracker (npm run issues:sync)
+GITEA_URL="https://git.example.de"
+GITEA_REPO="benutzer/ProxLedger"
+GITEA_TOKEN=""

.gitea/workflows/ci.yml

@@ -0,0 +1,75 @@
+# Prüft jeden Push und jede Pull-Request-Änderung.
+# Läuft mit Gitea Actions (act_runner); die Syntax entspricht GitHub Actions.
+
+name: Prüfung
+
+on:
+  push:
+    branches: [main, "phase/**"]
+  pull_request:
+    branches: [main]
+
+jobs:
+  pruefung:
+    runs-on: ubuntu-latest
+
+    services:
+      postgres:
+        image: postgres:17-alpine
+        env:
+          POSTGRES_USER: proxledger
+          POSTGRES_PASSWORD: proxledger
+          POSTGRES_DB: proxledger_test
+        options: >-
+          --health-cmd "pg_isready -U proxledger"
+          --health-interval 5s
+          --health-timeout 5s
+          --health-retries 10
+        ports:
+          - 5432:5432
+
+    env:
+      DATABASE_URL: postgresql://proxledger:proxledger@localhost:5432/proxledger_test?schema=public
+      TEST_DATABASE_URL: postgresql://proxledger:proxledger@localhost:5432/proxledger_test?schema=public
+      APP_SECRET: ci-geheimnis-mit-mindestens-32-zeichen-laenge
+      APP_URL: http://localhost:3000
+
+    steps:
+      - name: Quelltext holen
+        uses: actions/checkout@v4
+
+      - name: Node einrichten
+        uses: actions/setup-node@v4
+        with:
+          node-version: 24
+          cache: npm
+
+      - name: Abhängigkeiten installieren
+        run: npm ci
+
+      - name: Prisma-Client erzeugen
+        run: npx prisma generate
+
+      - name: Code-Stil prüfen
+        run: npm run lint
+
+      - name: Typen prüfen
+        run: npm run typecheck
+
+      - name: Tests
+        run: npm test
+
+      - name: Anwendung bauen
+        run: npm run build
+
+      - name: Worker bauen
+        run: npm run build:worker
+
+      - name: Agent-Skripte prüfen
+        run: |
+          sudo apt-get update -qq
+          sudo apt-get install -y -qq shellcheck
+          shellcheck --severity=warning agent/*.sh deploy/*.sh
+
+      - name: Dokumentation und Versionen prüfen
+        run: npm run pruefe:doku

.gitignore

@@ -51,3 +51,6 @@ Thumbs.db
 # Vercel / Sonstiges
 .vercel
 *.pem
+
+/src/generated/prisma
+dist/

.prettierignore

@@ -4,3 +4,5 @@ coverage
 docs
 *.md
 package-lock.json
+src/generated
+prisma/migrations

CHANGELOG.md

@@ -8,8 +8,6 @@ und dieses Projekt folgt [Semantic Versioning](https://semver.org/lang/de/).
 ## [Unveröffentlicht]
 
 ### Hinzugefügt
-- Projektorganisation: Devlog, Changelog, Issue-Übersicht und Issues pro Phase (#001)
-- Architektur- und Umsetzungsplan in `docs/architektur.md` (#001)
 
 ### Geändert
 
@@ -18,3 +16,263 @@ und dieses Projekt folgt [Semantic Versioning](https://semver.org/lang/de/).
 ### Entfernt
 
 ### Sicherheit
+
+## [0.18.0] – 2026-09-19
+
+### Hinzugefügt
+- Drei Rollen: Administrator, Techniker und Kunde. Kundenkonten sehen nur die eigenen Hosts und Rechnungen – ohne Einkaufspreise und Marge – und dürfen Notizen schreiben sowie Warnungen quittieren (#027)
+- Benutzerverwaltung unter *Einstellungen → Benutzer*: anlegen, Rolle ändern, sperren, Passwort setzen, löschen (#027)
+- Anmeldung mit Passkeys (WebAuthn), gleichwertig neben Passwort und OIDC; eigene Seite *Meine Passkeys* (#028)
+- Einstellung, welche Rolle automatisch angelegte OIDC-Konten bekommen (#027)
+
+### Behoben
+- Neu über OIDC angelegte Konten hätten die Vorgabe des Datenmodells geerbt und wären Administratoren geworden; Vorgabe ist jetzt *Techniker* (#027)
+- Das Screenshot-Skript meldete sich mit einem erfundenen Konto an – seit der Sitzungsprüfung gegen die Datenbank landete es auf der Anmeldeseite (#027)
+
+## [0.17.0] – 2026-09-19
+
+### Hinzugefügt
+- `deploy/update.sh`: sichert, baut neu, migriert und prüft, ob das Dashboard wieder antwortet (#026)
+- Installationsskripte nach Art der Proxmox VE Helper-Scripts unter `deploy/community-scripts/` – Container mit Node und PostgreSQL, ohne Docker (#026)
+- `docs/roadmap.md`: was bis 1.0.0 fehlt und was danach lohnt (#026)
+- Zustandsprüfung für den Worker im Docker-Stack (#026)
+
+### Behoben
+- Nach der Anmeldung führte die Weiterleitung im Container auf den internen Containernamen (`http://<container-id>:3000`) statt auf die erreichbare Adresse – hinter einem Reverse Proxy landete man damit im Nichts. Beim Prüfen des Docker-Stapels aufgefallen (#026)
+
+### Geändert
+- README auf den tatsächlichen Stand gebracht: Der Feldtest ist erledigt, der Hinweis „noch nicht erprobt“ war überholt (#026)
+
+## [0.16.0] – 2026-09-18
+
+### Hinzugefügt
+- *Einstellungen → System*: Dashboard-Adresse, Melderhythmus und Selbstaktualisierung der Agents, kaufmännische Vorgaben, Sicherheitsgrenzen, Firmenangaben und Zeitzone (#025)
+- Die Dashboard-Adresse und der Melderhythmus landen im ausgelieferten Installations-Einzeiler und im systemd-Timer (#025)
+- OIDC lässt sich auf bestimmte E-Mail-Domänen begrenzen; das automatische Anlegen unbekannter Konten ist abschaltbar (#025)
+- Nächtliches Aufräumen nach einstellbaren Aufbewahrungsfristen für Reports und Protokoll – der jüngste Report jedes Hosts bleibt erhalten (#025)
+- Firmenangaben erscheinen im Kopf der PDF-Ausgaben (#025)
+
+### Geändert
+- Steuersatz, Zahlungsziel und Aufschlag kommen aus den Einstellungen statt aus fest eingetragenen 19 % (#025)
+
+## [0.15.0] – 2026-09-18
+
+### Hinzugefügt
+- `docs/sicherheit.md`: Zuordnung aller Maßnahmen zu den OWASP Top 10, samt der Punkte, die bewusst offen bleiben (#024)
+- Content-Security-Policy mit frischem Nonce je Anfrage (#024)
+- Sitzungen lassen sich widerrufen: gesperrtes Konto oder neues Passwort beendet laufende Sitzungen sofort (#024)
+- Benutzerverwaltung auf der Kommandozeile: `npm run benutzer -- liste|sperren|entsperren|passwort` (#024)
+
+### Behoben
+- Server Actions verließen sich allein auf den Schutz in `proxy.ts`; jede der 27 Aktionen prüft die Sitzung jetzt selbst (#024)
+- Die Anmeldung prüfte die Herkunft des Formulars nicht – damit war Login-CSRF möglich (#024)
+- `npm audit` meldete vier hohe Schwachstellen in Beiwerk von Prisma (`mysql2`, `deepmerge-ts`); über `overrides` angehoben, jetzt ohne Befund (#024)
+
+## [0.14.1] – 2026-09-18
+
+### Behoben
+- Auf Proxmox Backup Server las der Agent **keine einzige Angabe** aus: `proxmox-backup-manager subscription get` gibt eine Rahmentabelle aus, keine `feld: wert`-Zeilen. Jetzt wird für PBS `--output-format json` genutzt, und die Tabelle wird als Rückfall ausgewertet (#023)
+- Die PBS-Version enthielt die laufende Fassung ein zweites Mal (#023)
+- Der Agent meldete eine „neue Version“, auch wenn die installierte neuer war als die des Dashboards (#023)
+
+### Geändert
+- Agent-Version 0.2.1; die Tests prüfen die Versionsangabe jetzt gegen die Konstante des Dashboards statt gegen eine abgeschriebene Zahl (#023)
+
+## [0.14.0] – 2026-09-18
+
+### Hinzugefügt
+- Der Agent meldet die Mitglieder seines Proxmox-Clusters; das Dashboard warnt bei Knoten ohne eigenen Agent (#022)
+- Host-Detail zeigt alle Cluster-Knoten mit Zustand „meldet sich“ oder „kein Agent“ (#022)
+- Wartezeiten zwischen Sendeversuchen über `PROXLEDGER_WARTEZEITEN` einstellbar, damit sich der Zwischenspeicher testen lässt (#018)
+
+### Behoben
+- Die Produktversion enthielt bei Proxmox VE den Kernel ein zweites Mal (#018)
+- Die Bilder des Handbuchs zeigten allesamt die Anmeldeseite: Firefox verwirft fremd erzeugte Cookie-Dateien stillschweigend. Das Skript nutzt jetzt einen lokalen Vermittler, der die Sitzung mitschickt, und bricht ab, wenn alle Aufnahmen gleich groß sind (#016)
+
+## [0.13.1] – 2026-09-17
+
+### Sicherheit
+- SMTP-Passwort und Webhook-Geheimnis werden verschlüsselt in der Datenbank abgelegt (AES-256-GCM, Schlüssel aus `APP_SECRET`); eine Sicherung gibt sie damit nicht mehr im Klartext preis (#021)
+- Werte aus der Zeit davor werden weiterhin gelesen und beim nächsten Speichern umgeschlüsselt (#021)
+
+## [0.13.0] – 2026-09-17
+
+### Hinzugefügt
+- Prüfung bei jedem Push über Gitea Actions: Lint, Typen, Tests gegen PostgreSQL, Build, ShellCheck und Dokumentationsprüfung (#019)
+- `npm run pruefe:doku` vergleicht Version, Issue-Übersicht und Handbuch-Bilder auf Konsistenz (#019)
+
+## [0.12.1] – 2026-09-17
+
+### Hinzugefügt
+- Symbole für Browser-Tab (SVG und ICO), iOS-Startbildschirm und Web-Manifest, erzeugt mit `npm run icons` aus den SVG-Vorlagen in `assets/` (#017)
+
+## [0.12.0] – 2026-09-17
+
+### Hinzugefügt
+- Handbuch mit Bildern: Installation, Agent-Rollout, Zuweisung, Rechnungen, Warnungen, Benachrichtigungen, Exporte, Sicherung und Fehlersuche (#016)
+- `npm run screenshots` erzeugt alle Bilder des Handbuchs neu, auch im dunklen Design und in der Mobilansicht (#016)
+
+## [0.11.1] – 2026-09-17
+
+### Behoben
+- Nach der Anmeldung führte jeder Klick zurück zur Anmeldeseite: Das Sitzungs-Cookie erhielt im Produktionsbau immer das Merkmal `Secure` und wurde über `http://` vom Browser verworfen. Maßgeblich ist jetzt die tatsächliche Adresse (`APP_URL`) (#013)
+
+### Geändert
+- Die Anmeldung läuft über ein gewöhnliches Formular statt über eine Server-Action; damit funktioniert sie auch ohne JavaScript (#013)
+
+## [0.11.0] – 2026-09-17
+
+### Geändert
+- Auswertung der Warnregeln um den Faktor 13 beschleunigt: neue Warnungen entstehen sammelweise (#015)
+- Aufgaben-Karte auf dem Dashboard zeigt höchstens zwölf Punkte und verweist für den Rest auf die Rechnungsliste (#015)
+- Große Tabellen blenden auf schmalen Bildschirmen gestaffelt Spalten aus, statt quer zu scrollen (#015)
+
+### Behoben
+- Das Logo war im dunklen Design praktisch unsichtbar; seine Farben folgen jetzt dem Farbschema (#015)
+
+## [0.10.0] – 2026-09-17
+
+### Hinzugefügt
+- Dockerfile (mehrstufig, Standalone-Ausgabe, Betrieb ohne root) und `docker-compose.yml` mit Dashboard, Worker, Datenbank und einmaligem Migrationsdienst (#014)
+- LXC-Installer für Proxmox-Hosts: legt den Container an, installiert Docker, erzeugt Zufallspasswörter und startet alles (#014)
+- Beispiele für Caddy, nginx und Traefik als Reverse Proxy (#014)
+- Sicherungsskript für Datenbank, PDFs und Konfiguration (#014)
+- Zustandsprüfung unter `/api/gesundheit` (#014)
+- README mit Schnellstart, Agent-Rollout, Betriebs- und Sicherungshinweisen (#014)
+
+## [0.9.0] – 2026-09-17
+
+### Hinzugefügt
+- Anmeldung mit E-Mail und Passwort sowie über OIDC (z. B. authentik); der lokale Zugang bleibt als Rückfallweg immer nutzbar (#013)
+- Anmeldeseite im AdminLTE-Stil mit Logo (#013)
+- Audit-Log-Ansicht mit Filter nach Aktion und Entität (#013)
+
+### Geändert
+- Audit-Einträge vermerken den angemeldeten Benutzer; Worker und Skripte erscheinen als „System“ (#013)
+
+### Sicherheit
+- Alle Seiten der Oberfläche sind ohne Anmeldung nicht erreichbar; Agent-API und Skript-Auslieferung bleiben offen (#013)
+- Sitzungen als signiertes Cookie (`APP_SECRET`), fünf Anmeldeversuche je Kennung und Viertelstunde (#013)
+- Sicherheits-Kopfzeilen: HSTS, nosniff, DENY für Frames, Referrer-Policy, Permissions-Policy (#013)
+
+## [0.8.0] – 2026-09-17
+
+### Hinzugefügt
+- E-Mail-Versand über SMTP mit STARTTLS, abgestimmt auf Microsoft 365 (#012)
+- Generischer Webhook mit JSON-Nutzdaten und optionaler HMAC-Signatur (#012)
+- Tägliche oder wöchentliche Zusammenfassung mit offenen Warnungen, Rechnungspunkten und bald ablaufenden Subscriptions (#012)
+- Einstellungsseite mit Testversand und Versandprotokoll (#012)
+
+### Sicherheit
+- Benachrichtigungen werden je Warnung nur einmal verschickt; fehlgeschlagene Versuche werden protokolliert und später wiederholt (#012)
+
+## [0.7.0] – 2026-09-17
+
+### Hinzugefügt
+- Zehn Warnregeln: Ablauf in 30/14/7 Tagen, Status nicht aktiv, Socket-Abweichung, keine Meldung seit 48 Stunden, geänderte Server-ID, mehrfach gemeldeter Key, Host ohne Kunde, fällige Proxmox-Rechnung, fehlende und überfällige Kundenrechnung (#011)
+- Worker-Prozess (`npm run worker`), der die Regeln stündlich auswertet; zusätzlich Auswertung nach jedem eingehenden Report (#011)
+- Seite „Warnungen“ mit Filter offen/erledigt, Quittieren, Schließen und sofortiger Prüfung (#011)
+- Einstellungsseite für Regeln und Schwellwerte (#011)
+
+### Geändert
+- Warnungen schließen sich automatisch, sobald die Ursache behoben ist; Titel und Beschreibung werden laufend nachgeführt (#011)
+
+## [0.6.0] – 2026-09-17
+
+### Hinzugefügt
+- Jahresbahn mit zwölf Monaten, Heute-Linie und Gruppierung nach Kunde, aus echten Daten (#009)
+- Ablauf-Kalender für die nächsten 90 Tage samt Rechnungsstatus und eine Übersicht bereits abgelaufener Subscriptions (#009)
+- CSV-Export für Kundenübersicht und Rechnungsliste, PDF-Export für Hosts, Kunden und Rechnungen (#010)
+- Kundenunterlage als PDF: Hosts, Laufzeiten, Summen pro Jahr und Marge eines Kunden (#010)
+
+### Geändert
+- Die Oberfläche arbeitet vollständig mit der Datenbank; Beispieldaten dienen nur noch dem Seed (#009)
+
+## [0.5.0] – 2026-09-17
+
+### Hinzugefügt
+- Laufzeit-Vorschläge der Agents bestätigen oder verwerfen (#008)
+- Proxmox- und Kundenrechnungen erfassen; gleiche Rechnungsnummer fasst mehrere Laufzeiten zu einer Sammelrechnung zusammen (#008)
+- PDF-Upload für beide Rechnungsarten mit Prüfung des Dateiinhalts und Ablage unter der Prüfsumme (#008)
+- Rechnungsübersicht mit Häkchen „bezahlt“ und „erstellt“ direkt in der Zeile, Filter nach Status, Kunde, Jahr und Suchbegriff (#008)
+- Detailseite je Laufzeit mit Beträgen, Marge und Übersicht der Sammelrechnung (#008)
+- Laufzeiten lassen sich von Hand anlegen (#008)
+
+### Geändert
+- Die Aufgabenliste auf dem Dashboard setzt beim Abhaken den Rechnungsstatus in der Datenbank (#008)
+
+## [0.4.2] – 2026-09-17
+
+### Geändert
+- Der Issue-Abgleich holt Serveradresse und Repository aus dem Git-Remote und den Token aus den hinterlegten Git-Zugangsdaten; ein zweiter Token in der `.env` ist nicht mehr nötig (#020)
+
+## [0.4.1] – 2026-09-17
+
+### Hinzugefügt
+- Abgleich der Issue-Dateien mit dem Gitea-Tracker über `npm run issues:sync`, inklusive Labels, Meilensteinen und Trockenlauf (#020)
+
+## [0.4.0] – 2026-09-17
+
+### Hinzugefügt
+- Host-Tabelle mit Suche über Hostname, FQDN, Key, Server-ID, IP, Kunde und Rechnungsnummer (#007)
+- Filter nach Kunde, Status, Produkt, Ablauffrist und offenen Rechnungspunkten; Sortierung und Seitenblättern (#007)
+- CSV-Export der Host-Liste unter Berücksichtigung der aktiven Filter (#007)
+- Host-Detailansicht mit Übersicht, Subscription-Historie, Reports, Rechnungen, Notizen mit Tags und Tokens (#007)
+- Kunde eines Hosts direkt in der Detailansicht ändern (#007)
+
+### Geändert
+- Host-Tabelle und Host-Detail arbeiten mit echten Daten statt Beispieldaten (#007)
+
+## [0.3.0] – 2026-09-17
+
+### Hinzugefügt
+- Kunden anlegen, bearbeiten und löschen; Standorte je Kunde verwalten (#006)
+- Seite „Nicht zugeordnete Hosts“ mit Mehrfachauswahl und Zuweisung in einem Schritt (#006)
+- Enrollment-Tokens erzeugen (mit Gültigkeit, Nutzungsgrenze und optionaler Kundenbindung), anzeigen und widerrufen; Host-Tokens widerrufen (#006)
+- Audit-Log-Einträge für alle Änderungen an Kunden, Standorten, Zuweisungen und Tokens (#006)
+
+### Geändert
+- Dashboard, Kundenübersicht, Kunden-Detail und globale Suche arbeiten mit echten Daten statt Beispieldaten (#006)
+
+### Behoben
+- Prisma-Client öffnete in der Produktionsumgebung bei jedem Zugriff einen neuen Verbindungspool (#006)
+
+## [0.2.0] – 2026-09-17
+
+### Hinzugefügt
+- Agent-Skript in Bash: erkennt Proxmox VE, Backup Server und Mail Gateway, sammelt Subscription-, Host- und Systemdaten (#005)
+- Installation per One-Liner mit Enrollment-Token, systemd-Service und -Timer (täglich, zufällig versetzt) (#005)
+- Zwischenspeicher für Reports samt Nachsenden, wenn das Dashboard nicht erreichbar ist (#005)
+- Update- und Uninstall-Funktion sowie Verbindungstest (`--test`) und Vorschau (`--dry-run`) (#005)
+- Dashboard liefert `install.sh` und `agent.sh` mit eingesetzter Adresse und Version aus (#005)
+
+### Sicherheit
+- Konfiguration des Agents mit Rechten 600, TLS-Prüfung standardmäßig aktiv, optional eigenes CA-Zertifikat (#005)
+
+## [0.1.0] – 2026-09-17
+
+### Hinzugefügt
+- Projektorganisation: Devlog, Changelog, Issue-Übersicht und Issues pro Phase (#001)
+- Architektur- und Umsetzungsplan in `docs/architektur.md` (#001)
+- Next.js-Grundgerüst mit AdminLTE-CSS, Bootstrap Icons, zod, ESLint, Prettier und Vitest (#001)
+- Klickbarer Prototyp mit Beispieldaten: Dashboard, Kunden- und Host-Ansichten, Rechnungen, Jahresbahn (#002)
+- ProxLedger-Logo als SVG-Komponente, Farbschema nach Vorgabe inklusive Dark-Mode (#002)
+- Globale Suche über Key, Host, Kunde und Rechnungsnummer mit Strg+K (#002)
+- Datenmodell mit Prisma: Kunden, Standorte, Hosts, Reports, Key- und Server-ID-Historie, Laufzeiten, Proxmox- und Kundenrechnungen mit Positionen, Tokens, Warnungen, Benachrichtigungen, Benutzer und Audit-Log (#003)
+- Erste Migration, Seed für Administrator, Warnregeln und Demo-Daten (#003)
+- Docker-Compose für die Entwicklungsdatenbank und Testdatenbank-Setup für Vitest (#003)
+- Agent-API unter `/api/agent/v1`: Registrierung, Report und Verbindungstest (#004)
+- Automatischer Laufzeit-Vorschlag, sobald ein Agent ein neues Ablaufdatum meldet (#004)
+- Key- und Server-ID-Historie je Host (#004)
+
+### Geändert
+
+### Behoben
+
+### Entfernt
+
+### Sicherheit
+
+### Sicherheit
+- API-Tokens werden nur als SHA-256-Hash gespeichert und sind einzeln widerrufbar (#004)
+- Rate-Limiting und strikte zod-Validierung auf der Agent-API (#004)

DEVLOG.md

@@ -2,38 +2,162 @@
 
 ## Zeitübersicht
 
-**Gesamt:** 0 h 00 min (laufende Sitzung nicht eingerechnet)
+**Gesamt:** 14 h 23 min
 
 | Issue | Zeit |
 |---|---|
-| #001 Projekt-Setup | 0 h 00 min |
+| #001 Projekt-Setup | 0 h 08 min |
+| #002 Klickbarer Prototyp | 0 h 20 min |
+| #003 Datenmodell und Migrationen | 0 h 25 min |
+| #004 Agent-API | 0 h 20 min |
+| #005 Agent-Skript | 0 h 25 min |
+| #006 Kunden und Hostzuweisung | 0 h 35 min |
+| #007 Host-Tabelle und Detailansichten | 0 h 25 min |
+| #020 Issues nach Gitea übertragen | 0 h 20 min |
+| #008 Laufzeiten und Rechnungen | 0 h 35 min |
+| #009 Jahresbahn und Ablauf-Kalender | 0 h 15 min |
+| #010 Export CSV und PDF | 0 h 20 min |
+| #011 Warnregeln | 0 h 30 min |
+| #012 Benachrichtigungen | 0 h 25 min |
+| #013 Authentifizierung | 0 h 30 min |
+| #014 Deployment | 0 h 40 min |
+| #015 Feinschliff | 0 h 35 min |
+| #016 Handbuch | 0 h 30 min |
+| #017 Favicons | 0 h 15 min |
+| #019 CI-Pipeline | 0 h 20 min |
+| #021 Geheimnisse verschlüsseln | 0 h 20 min |
+| #018 Feldtest auf echten Hosts | 0 h 40 min |
+| #022 Cluster-Abgleich | 0 h 25 min |
+| #023 Feldtest PBS | 0 h 35 min |
+| #024 OWASP-Härtung | 0 h 45 min |
+| #025 Einstellungen | 1 h 10 min |
+| #026 Auslieferung | 0 h 40 min |
+| #027 Rollen und Benutzerverwaltung | 1 h 20 min |
+| #028 Passkeys | 0 h 45 min |
 
 | Meilenstein | Zeit |
 |---|---|
-| v0.1.0 | 0 h 00 min |
+| v0.1.0 | 1 h 13 min | **abgeschlossen**
+| v0.2.0 | 0 h 25 min | **abgeschlossen**
+| v0.3.0 | 0 h 35 min | **abgeschlossen**
+| v0.4.0 | 0 h 25 min | **abgeschlossen**
+| v0.4.1 | 0 h 10 min | **abgeschlossen**
+| v0.4.2 | 0 h 10 min | **abgeschlossen**
+| v0.5.0 | 0 h 35 min | **abgeschlossen**
+| v0.6.0 | 0 h 35 min | **abgeschlossen**
+| v0.7.0 | 0 h 30 min | **abgeschlossen**
+| v0.8.0 | 0 h 25 min | **abgeschlossen**
+| v0.9.0 | 0 h 30 min | **abgeschlossen**
+| v0.10.0 | 0 h 40 min | **abgeschlossen**
+| v0.11.0 | 0 h 35 min | **abgeschlossen**
+| v0.12.0 | 0 h 30 min | **abgeschlossen**
 
 ---
 
 ## 2026-09-17 · Sitzung 1 · 19:36–laufend
-**Issue:** #001 Projekt-Setup
-**Version:** 0.1.0-dev
+**Issue:** #001–#007 (Meilensteine v0.1.0 bis v0.4.0)
+**Version:** 0.18.0
 
 ### Erledigt
 - Auftrag gelesen, Rückfragen gestellt
 - Umgebung geprüft: Ubuntu 26.04, Git 2.53; Node/Docker fehlten → Node 24 LTS per nvm installiert
 - Repository-Rechte korrigiert (Verzeichnis gehörte root), Branch `master` → `main`, Git-Identität lokal gesetzt
 - `.gitignore`, `CHANGELOG.md`, `DEVLOG.md`, Architekturplan und 15 Issues angelegt
+- #001 abgeschlossen: Next.js 16 (App Router, TypeScript strict), AdminLTE-CSS, Bootstrap Icons, zod, ESLint/Prettier/Vitest; Lint, Typecheck, Test und Build grün
+- #002 abgeschlossen: Prototyp mit Beispieldaten – Layout (Sidebar, Kopfleiste, Inhaltskopf, Footer), Logo als SVG-Komponente, Theme mit Farbvorgaben und Dark-Mode, Dashboard, Kunden (Liste und Detail), Hosts (Liste, Detail, nicht zugeordnet), Rechnungen, Jahresbahn, Einstellungsseiten, globale Suche mit Strg+K
+- Screenshots aller Seiten aufgenommen und in `docs/anleitung/bilder/` abgelegt
+- #003 abgeschlossen: Prisma-Schema mit 23 Modellen, erste Migration, Seed (Administrator, 10 Warnregeln, Demo-Daten), Testdatenbank-Setup für Vitest, 3 Schema-Tests
+- #004 abgeschlossen: Agent-API mit Enrollment, Report und Ping, gehashte Tokens, Rate-Limit, zod-Validierung, 32 Tests insgesamt
+- Meilenstein v0.1.0 abgeschlossen und getaggt
+- #005 abgeschlossen: Bash-Agent mit Produkterkennung, JSON ohne jq, Retry mit Backoff, Spool, systemd-Timer, Installer, Uninstall und Update; Dashboard liefert `/install.sh` und `/agent.sh` aus
+- Meilenstein v0.2.0 abgeschlossen und getaggt; 38 Tests
+- #006 abgeschlossen: Kunden und Standorte pflegen, Mehrfachzuweisung nicht zugeordneter Hosts, Enrollment- und Host-Tokens verwalten, Audit-Log; Dashboard, Kundenseiten und globale Suche laufen auf der Datenbank
+- Durchlauf gegen den laufenden Server geprüft: Token anlegen → `enroll` → Agent-Report → Laufzeit-Vorschlag → Host erscheint als „nicht zugeordnet“ → `ping`
+- Meilenstein v0.3.0 abgeschlossen und getaggt; 45 Tests
+- Issues #017 bis #019 aus bisherigen Notizen angelegt (Favicons, Feldtest des Agents, CI-Pipeline)
+- #007 abgeschlossen: Host-Tabelle mit Suche, fünf Filtern, Sortierung, Seitenblättern und CSV-Export; Host-Detail mit sechs Tabs, Notizen, Tags, Kundenzuweisung und Token-Widerruf
+- Meilenstein v0.4.0 abgeschlossen und getaggt; 59 Tests
+- #020 abgeschlossen: Abgleichskript für den Gitea-Issue-Tracker (Missverständnis geklärt – die Issues lagen bisher nur als Dateien im Repo, nicht im Tracker)
+- Token kommt aus den Git-Zugangsdaten statt aus einer zweiten Stelle; 20 Issues, 15 Labels und 13 Meilensteine in Gitea angelegt
+- Alles nach Gitea gepusht: main bei 51243c2, Tags v0.1.0 bis v0.4.1
+- #008 abgeschlossen: Laufzeit-Vorschläge bestätigen oder verwerfen, Rechnungen mit Positionen erfassen, PDF-Upload, Häkchen direkt in der Tabelle, Filter nach Status, Kunde und Jahr; Aufgabenliste auf dem Dashboard setzt jetzt echte Status
+- Meilenstein v0.5.0 abgeschlossen; 78 Tests
+- #009 abgeschlossen: Jahresbahn und Ablauf-Kalender (90 Tage) aus der Datenbank, dazu eine Karte für bereits abgelaufene Subscriptions; die Oberfläche nutzt keine Beispieldaten mehr
+- #010 abgeschlossen: CSV- und PDF-Export für Hosts, Kunden, einzelne Kundenunterlage und Rechnungsliste; PDFs serverseitig ohne Browser
+- Meilenstein v0.6.0 abgeschlossen
+- #011 abgeschlossen: zehn Warnregeln als reine Funktionen, Abgleich mit offenen Warnungen, Worker mit stündlichem Zeitplan, Auswertung nach jedem Report, Warnungsliste und Einstellungsseite; 123 Tests
+- Meilenstein v0.7.0 abgeschlossen
+- #012 abgeschlossen: SMTP (Microsoft 365), generischer Webhook mit Signatur, Zusammenfassung, Versandprotokoll, Testversand; keine Doppelmeldungen dank Prüfung gegen das Protokoll
+- Issue #021 angelegt: Zugangsdaten liegen noch unverschlüsselt in der Datenbank
+- Meilenstein v0.8.0 abgeschlossen; 134 Tests
+- #013 abgeschlossen: Anmeldung mit Passwort und OIDC, Schutz aller Seiten über `proxy.ts`, Anmeldeseite im AdminLTE-Stil, Audit-Log-Ansicht, Sicherheits-Kopfzeilen, Rate-Limit bei Anmeldeversuchen
+- Meilenstein v0.9.0 abgeschlossen; 147 Tests
+- #014 abgeschlossen: Dockerfile (Standalone, Non-root), Compose mit web/worker/postgres/migrate, LXC-Installer, Reverse-Proxy-Beispiele, Sicherungsskript, README mit Schnellstart und Betriebshinweisen
+- Container-Stapel wirklich gebaut und geprüft: Agent registriert sich, Report kommt an, Warnung entsteht automatisch
+- Meilenstein v0.10.0 abgeschlossen
+- #015 abgeschlossen: Dark-Mode geprüft (Logo war unsichtbar – behoben), Mobilansicht ohne Querscrollen, Lasttest mit 200 Hosts und 365.000 Reports, Auswertung der Warnregeln von 3813 auf 293 ms beschleunigt, Sicherheitsdurchsicht
+- Als v0.11.0 veröffentlicht statt 1.0.0: Feldtest, Handbuch, Favicons, CI und Verschlüsselung der Zugangsdaten stehen noch aus
+- 0.11.1: Anmeldefehler behoben (Secure-Cookie über http)
+- #016 abgeschlossen: Handbuch mit elf Kapiteln und 16 Bildern, dazu `npm run screenshots` zum Auffrischen
+- #017 abgeschlossen: Symbole für Tab, Startbildschirm und Manifest, erzeugt mit `npm run icons` aus SVG-Vorlagen
+- #019 abgeschlossen: Gitea-Actions-Workflow mit Lint, Typen, Tests, Build, ShellCheck und Doku-Prüfung
+- #021 abgeschlossen: SMTP-Passwort und Webhook-Geheimnis liegen verschlüsselt in der Datenbank (AES-256-GCM, Schlüssel aus APP_SECRET)
 
 ### Entscheidungen
+- **Warnungen sammelweise anlegen:** Einzelne Upserts kosteten bei 737 neuen Warnungen 3,8 s; mit `createMany` sind es 0,3 s.
+- **Keine 1.0.0 ohne Feldtest:** Solange der Agent auf keinem echten Proxmox-Host lief, wäre die Zahl ein falsches Versprechen.
+- **Kein Auth.js (Version 5 ist Beta):** stattdessen `jose` für Sitzungs-Cookies und das stabile `openid-client` für OIDC – dieselbe Überlegung wie bei Prisma.
+- **Warnstufen im Fingerabdruck** (`…:7`): Der Wechsel 30 → 14 → 7 schließt die alte Warnung und öffnet eine neue. Das ergibt je Stufe genau eine Benachrichtigung, ohne Sonderlogik für Eskalation.
+- **Rechnungsnummer als Schlüssel für Sammelrechnungen:** Dieselbe Nummer bei einer zweiten Laufzeit hängt eine Position an – kein eigener Dialog für „Sammelrechnung anlegen“ nötig.
+- **PDF-Prüfung am Dateianfang** statt am gemeldeten Typ; abgelegt wird unter der Prüfsumme, gleiche Datei also nur einmal.
+- **Screenshots mit Firefox headless** statt Playwright: Firefox ist vorhanden, es muss kein Browser samt Systembibliotheken nachinstalliert werden (dafür wäre root nötig).
+- **Kennzahlen werden berechnet, nicht hinterlegt:** auch im Prototyp kommen alle Zahlen aus den Beispieldaten, damit Tabellen und Kacheln nie widersprüchlich sind.
 - **AdminLTE 4.9.1 nur als CSS:** stabil, Bootstrap 5.3.8, kein jQuery; die JS-Plugins manipulieren das DOM und werden daher als React-Komponenten nachgebaut.
 - **Host-Identität über Agent-Token statt Server-ID:** Die Server-ID ändert sich bei Hardwaretausch und soll dann eine Warnung auslösen, statt einen neuen Host zu erzeugen.
 - **Rechnungen mit Positionen:** Proxmox-Sammelbestellungen und Sammelrechnungen an Kunden sollen ohne doppelte Rechnungsnummern abbildbar sein.
 - **Eigener Worker-Prozess** für zeitgesteuerte Warnregeln und Benachrichtigungen, unabhängig von Seitenaufrufen.
 - **Prototyp direkt im Next.js-Projekt**, damit die Komponenten weiterverwendet werden.
+- **Prisma 7.10.0 fest gesetzt:** Der npm-Tag `latest` zeigt derzeit auf 8.0.0-rc, ein Release Candidate gehört nicht in ein neues Projekt.
+- **Seed nutzt die Prototyp-Beispieldaten**, damit die Oberfläche ab #006 dieselben Fälle zeigt wie der Prototyp.
+- **Keine Nur-Lese-Rolle** (Rückmeldung Florian): alle Benutzer sind Administratoren.
+- **Prisma-Client wird lazy erzeugt** (Proxy), damit `next build` ohne gesetzte `DATABASE_URL` durchläuft.
+- **Report-Idempotenz über eine vom Agent erzeugte `reportId`**: nachgesendete Reports aus dem Spool dürfen beliebig oft ankommen.
+- **Unbekannte Subscription-Status werden zu `UNKNOWN`** statt abgelehnt – ein Report darf nie an einem neuen Statuswort scheitern.
+- **Dashboard gleich mit auf die Datenbank umgestellt** (eigentlich #009): Eine frisch zugewiesene Zuordnung hätte dort sonst weiter als „nicht zugeordnet“ gestanden.
+- **Server Actions rufen Services auf**, damit die Regeln ohne Next.js-Laufzeit testbar bleiben.
 
 ### Probleme / offene Fragen
-- Docker ist nicht installiert und `sudo` erfordert ein Passwort → Installation muss manuell erfolgen (benötigt ab #003).
+- Von Florian im Betrieb gemeldet: Nach der Anmeldung führte jeder Klick zurück zur Anmeldeseite. Ursache: `Secure`-Cookie über `http://`. Behoben in 0.11.1.
+- Der LXC-Installer ist ungetestet (kein Proxmox-Host verfügbar); gleiches gilt für den Agent im Feld (#018).
+- Prisma-Client erzeugte in der Produktionsumgebung bei jedem Zugriff einen neuen Verbindungspool → „too many clients“. Behoben: Client wird im Modul festgehalten.
+- Docker wurde von Florian installiert; die Entwicklungsdatenbank läuft auf Port 5433 (5432 bleibt für lokale Instanzen frei).
+- Favicon-Dateien (.ico/PNG) fehlen noch, weil kein SVG-Konverter installiert ist.
+- Der Agent wurde noch auf keinem echten Proxmox-Host installiert; die Tests arbeiten mit nachgebauten Befehlen.
 - Offen: Rolle „readonly“ zusätzlich zu Admin? (vorläufig vorgesehen)
 
+- #018 abgeschlossen: Feldtest auf zwei echten PVE-9.2-Hosts (einer mit, einer ohne Subscription, einer im Cluster); Installation, Timer, Zwischenspeicher und Nachsenden geprüft
+- #022 abgeschlossen: Cluster-Abgleich – jeder Agent meldet die Mitglieder, das Dashboard warnt bei Knoten ohne Agent
+- **Fehler im eigenen Werkzeug gefunden:** Alle Handbuch-Bilder waren in Wahrheit die Anmeldeseite. Firefox verwirft eine selbst angelegte Cookie-Datei stillschweigend. Jetzt läuft ein lokaler Vermittler mit, und das Skript bricht ab, wenn alle Aufnahmen gleich groß sind.
+
+- Feldtest auf einem echten Proxmox Backup Server (#023): der Agent hätte dort **nichts** gelesen – PBS gibt eine Rahmentabelle aus, kein `feld: wert`. Behoben, mit den echten Ausgaben als Testfälle
+- Der erfundene PBS-Testfall hatte den Fehler verdeckt. Lehre: ausgedachte Testdaten bestätigen nur die eigene Annahme
+- Uninstall zum ersten Mal auf einem echten Host geprüft – restlos sauber, damit ist #018 vollständig
+
+- Durchsicht nach OWASP (#024): drei echte Lücken gefunden – Server Actions ohne eigene Zugriffsprüfung, Login-CSRF und fehlende CSP. Alle behoben und mit Tests abgesichert
+- Erkenntnis: Der Schutz lag vollständig in einer einzigen Schicht (`proxy.ts`). Das fällt erst auf, wenn man die Endpunkte einzeln betrachtet statt die Oberfläche
+
+- Einstellungen im Dashboard (#025): vier Bereiche, alle Werte wirken auch wirklich – der Melderhythmus zum Beispiel bis in den erzeugten systemd-Timer hinein, live geprüft
+- Dabei die OIDC-Lücke aus #024 geschlossen: Domänenliste und Schalter gegen automatisch angelegte Konten
+- Bewusst nicht gebaut: „stumm nach X Tagen“ (steht schon bei den Warnregeln) und die Währung in der Browseransicht
+
+- Auslieferung finalisiert (#026): Docker-Weg mit Update-Skript, dazu Skripte nach Art der Helper-Scripts für einen LXC ohne Docker
+- Recherche dazu: Das Gerüst der community-scripts liegt inzwischen in einem eigenen Repository, und neue Skripte gehören zuerst nach ProxmoxVED. Eine Einreichung setzt öffentlichen Quelltext voraus – deshalb vorerst intern
+- Roadmap geschrieben: Bis 1.0.0 fehlt kein Code mehr, sondern Erprobung (PMG, PBS mit Lizenz, ein Monat Dauerbetrieb, einmal eine Sicherung zurückspielen)
+
+- Rollen und Benutzerverwaltung (#027): Die Einschränkung sitzt in den Abfragen selbst, damit keine Seite vergessen kann, sie weiterzugeben. Sechs Tests prüfen, dass ein Kundenkonto weder fremde Hosts noch Einkaufspreise sieht
+- Dabei aufgefallen: Neu angelegte OIDC-Konten hätten die Modellvorgabe ADMIN geerbt – behoben, mit eigener Einstellung und Test
+- Passkeys (#028): passwortlos, mehrere je Konto, Aufgabe in einem kurzlebigen Cookie. Nur über HTTPS nutzbar – die Seite sagt es, statt still zu scheitern
+
 ### Nächster Schritt
-- Next.js-Grundgerüst (#001), danach Prototyp (#002)
+- #016 Benutzerhandbuch mit Screenshots, danach #017 Favicons und #019 CI-Pipeline
+- Für 1.0.0 fehlt noch: PMG (kein Host verfügbar) und der Fall „aktive Subscription auf PBS“ (#023)

Dockerfile

@@ -0,0 +1,50 @@
+# ProxLedger – Abbild für Dashboard und Worker.
+# Beide Dienste teilen sich dieses Abbild und unterscheiden sich nur im Startbefehl.
+
+FROM node:24-alpine AS basis
+WORKDIR /app
+# openssl wird von Prisma benötigt, tini beendet Prozesse sauber.
+RUN apk add --no-cache openssl tini
+
+# ---------------------------------------------------------------- Abhängigkeiten
+FROM basis AS abhaengigkeiten
+COPY package.json package-lock.json ./
+COPY prisma ./prisma
+COPY prisma7.config.ts ./
+RUN npm ci --ignore-scripts
+
+# ---------------------------------------------------------------- Bauen
+FROM abhaengigkeiten AS bauen
+COPY . .
+RUN npx prisma generate \
+ && npm run build \
+ && npm run build:worker
+
+# ---------------------------------------------------------------- Laufzeit
+FROM basis AS laufzeit
+ENV NODE_ENV=production
+ENV PORT=3000
+
+RUN addgroup -g 1001 -S proxledger && adduser -S proxledger -u 1001 -G proxledger
+
+# Next.js im Standalone-Modus bringt seine eigenen Abhängigkeiten mit.
+COPY --from=bauen --chown=proxledger:proxledger /app/.next/standalone ./
+COPY --from=bauen --chown=proxledger:proxledger /app/.next/static ./.next/static
+COPY --from=bauen --chown=proxledger:proxledger /app/public ./public
+
+# Agent-Skripte werden zur Laufzeit ausgeliefert.
+COPY --from=bauen --chown=proxledger:proxledger /app/agent ./agent
+
+# Worker als gebündelte Datei. Migrationen übernimmt der eigene Dienst „migrate“
+# (Stufe „bauen“), damit dieses Abbild schlank bleibt und keine CLI mitschleppt.
+COPY --from=bauen --chown=proxledger:proxledger /app/dist ./dist
+COPY --chown=proxledger:proxledger deploy/start.sh ./start.sh
+
+RUN mkdir -p /data/uploads && chown -R proxledger:proxledger /data
+VOLUME ["/data"]
+ENV UPLOAD_DIR=/data/uploads
+
+USER proxledger
+EXPOSE 3000
+ENTRYPOINT ["/sbin/tini", "--"]
+CMD ["./start.sh", "web"]

README.md

@@ -3,7 +3,56 @@
 Zentrales Dashboard für den Subscription-Status aller Proxmox-Hosts (VE, Backup Server, Mail Gateway).
 Auf jedem Host meldet ein schlanker Agent täglich per HTTPS seinen Status (Push-Modell) – auch aus Kundennetzen hinter NAT.
 
-> **Status:** in Entwicklung (0.1.0-dev). Noch nicht produktiv einsetzen.
+> **Status:** einsatzbereit. Der Agent ist auf echten Hosts erprobt – Proxmox VE 9.2 mit und ohne
+> Subscription, im Cluster und einzeln, sowie Proxmox Backup Server 4.2 (#018, #023).
+> Ungeprüft: Mail Gateway und eine aktive Subscription auf PBS. Was bis 1.0 fehlt, steht in
+> [docs/roadmap.md](docs/roadmap.md).
+
+## Schnellstart
+
+Auf einem Rechner mit Docker:
+
+```bash
+git clone <dieses-repo> proxledger && cd proxledger
+cp .env.example .env
+# Pflichtangaben setzen: APP_SECRET, POSTGRES_PASSWORD, ADMIN_PASSWORD, APP_URL
+docker compose up -d
+```
+
+Beim ersten Start legt der Dienst `migrate` das Schema an und erzeugt den Administrator aus der `.env`.
+Danach ist das Dashboard unter `APP_URL` erreichbar.
+
+Aktualisieren geht mit einem Befehl – er sichert vorher, baut neu, migriert und prüft zum Schluss,
+ob das Dashboard wieder antwortet:
+
+```bash
+bash deploy/update.sh
+```
+
+**Auf einem Proxmox-Host** gibt es zwei Wege zu einem fertigen LXC-Container:
+
+```bash
+bash deploy/lxc-installer.sh          # eigener Installer: Container mit Docker darin
+```
+
+```bash
+# Nach Art der Proxmox VE Helper-Scripts: Container mit Node und PostgreSQL direkt darin
+bash -c "$(curl -fsSL https://<git>/ProxLedger/raw/branch/main/deploy/community-scripts/ct/proxledger.sh)"
+```
+
+Der zweite Weg folgt den Konventionen von [community-scripts.org](https://community-scripts.org) und
+braucht kein Docker; Einzelheiten und die Voraussetzungen für eine Einreichung stehen in
+[deploy/community-scripts/README.md](deploy/community-scripts/README.md).
+
+### Agent ausrollen
+
+1. Im Dashboard unter *Einstellungen → Agent-Tokens* einen Enrollment-Token erzeugen
+2. Auf jedem Proxmox-Host als root:
+   ```bash
+   curl -fsSL https://<dashboard>/install.sh | bash -s -- --token <ENROLL_TOKEN>
+   ```
+3. Der Host meldet sich sofort und danach täglich. Unter *Hosts → Nicht zugeordnet* einem Kunden zuweisen –
+   oder den Token gleich mit Kundenbindung erzeugen, dann entfällt der Schritt.
 
 ## Entwicklung
 
@@ -11,14 +60,163 @@ Voraussetzungen: Node.js ≥ 24, Docker (für PostgreSQL ab #003).
 
 ```bash
 npm install
+npm run db:up      # PostgreSQL im Container (Port 5433)
+cp .env.example .env
+npm run db:migrate # Schema anlegen
+npm run db:seed    # Administrator, Warnregeln, mit SEED_DEMO=1 auch Demo-Daten
 npm run dev        # http://localhost:3000
+
 npm run lint
 npm run typecheck
-npm test
+npm test           # legt bei Bedarf die Testdatenbank an
 ```
 
+Der Worker wertet die Warnregeln stündlich aus und läuft als eigener Prozess:
+
+```bash
+npm run worker        # Dauerbetrieb
+npm run alerts:check  # einmalige Auswertung
+```
+
+Weitere Skripte:
+
+| Befehl | Zweck |
+|---|---|
+| `npm run db:studio` | Datenbank-Oberfläche |
+| `npm run db:down` | Datenbank-Container stoppen |
+| `npm run icons` | Symbole aus den SVG-Vorlagen erzeugen |
+| `npm run screenshots -- --alle` | Bilder für das Handbuch auffrischen |
+| `npm run pruefe:doku` | Doku, Versionen und Bilder auf Konsistenz prüfen |
+| `npm run lasttest` | Abfragen mit 200 Hosts und fünf Jahren Reports messen |
+
+Jeder Push wird von [Gitea Actions](.gitea/workflows/ci.yml) geprüft: Lint, Typen, Tests gegen eine
+PostgreSQL-Instanz, Build, ShellCheck für die Agent-Skripte und die Konsistenz der Dokumentation.
+Dafür muss auf dem Gitea-Server ein `act_runner` eingerichtet sein.
+
+## Agent auf einem Proxmox-Host installieren
+
+```bash
+curl -fsSL https://<dashboard>/install.sh | bash -s -- --token <ENROLL_TOKEN>
+```
+
+Der Agent erkennt Proxmox VE, Backup Server und Mail Gateway selbst, registriert sich, schreibt seine
+Konfiguration nach `/etc/proxledger/agent.conf` (Rechte 600) und meldet ab dann täglich per systemd-Timer.
+
+| Befehl | Zweck |
+|---|---|
+| `proxledger-agent` | Report erzeugen und senden |
+| `proxledger-agent --dry-run` | Report nur anzeigen |
+| `proxledger-agent --test` | Verbindung zum Dashboard prüfen |
+| `proxledger-agent --update` | Agent aktualisieren |
+| `curl -fsSL https://<dashboard>/install.sh \| bash -s -- --uninstall` | Agent entfernen |
+
+Protokoll: `journalctl -t proxledger`. Ist das Dashboard nicht erreichbar, versucht es der Agent dreimal mit
+wachsendem Abstand und legt den Report danach unter `/var/lib/proxledger/spool/` ab; beim nächsten Lauf wird er
+nachgesendet.
+
+## Anmeldung
+
+Die Oberfläche ist vollständig geschützt; die Agent-API und die Skript-Auslieferung bleiben offen, weil
+sie sich mit eigenen Tokens ausweisen.
+
+- **Lokaler Zugang:** E-Mail und Passwort aus dem Seed (`ADMIN_EMAIL`, `ADMIN_PASSWORD`). Fünf Fehlversuche
+  je Kennung und Viertelstunde, danach Sperre (einstellbar unter *Einstellungen → System*).
+  Benutzer sperren oder Passwort setzen: `npm run benutzer -- sperren <email>`.
+- **OIDC (z. B. authentik):** `OIDC_ISSUER`, `OIDC_CLIENT_ID`, `OIDC_CLIENT_SECRET` setzen. Rückkehradresse
+  ist `<APP_URL>/api/auth/oidc/callback`. Ohne diese Werte erscheint nur der lokale Zugang – der bleibt
+  absichtlich immer nutzbar, falls der Anmeldedienst ausfällt. Unter *Einstellungen → System* lässt sich
+  einschränken, welche E-Mail-Domänen zugelassen sind und ob unbekannte Konten angelegt werden dürfen.
+- **`APP_SECRET`** (mindestens 32 Zeichen) signiert die Sitzungs-Cookies. Ändert sich der Wert, sind alle
+  Sitzungen ungültig.
+
+## Einstellungen
+
+Die meisten Betriebswerte stehen unter *Einstellungen → System* und wirken sofort: Dashboard-Adresse,
+Melderhythmus und Selbstaktualisierung der Agents, Steuersatz, Zahlungsziel und Aufschlag,
+Sitzungsdauer und Anmeldeversuche, OIDC-Beschränkungen, Aufbewahrungsfristen sowie Firmenangaben und
+Zeitzone für die PDF-Ausgaben.
+
+In der Umgebung bleiben nur `APP_SECRET` und `DATABASE_URL` – beide werden gebraucht, bevor die
+Anwendung die Datenbank lesen kann.
+
+Wie die Anwendung gegen die OWASP Top 10 dasteht (einschließlich der Punkte, die bewusst offen
+bleiben), steht in [docs/sicherheit.md](docs/sicherheit.md).
+
+## Exporte
+
+| Ansicht | CSV | PDF |
+|---|---|---|
+| Hosts | `/hosts/export` | `/hosts/export?format=pdf` |
+| Kunden | `/kunden/export` | `/kunden/export?format=pdf` |
+| Einzelner Kunde | – | `/kunden/<id>/export` (Anlage für Kundenunterlagen) |
+| Rechnungen | `/rechnungen/export` | `/rechnungen/export?format=pdf` |
+
+Alle Exporte übernehmen die Filter der jeweiligen Ansicht. CSV kommt als UTF-8 mit BOM und Semikolon,
+öffnet sich also ohne Umwege in Excel.
+
+## Issues nach Gitea übertragen
+
+Die Issues werden als Markdown-Dateien in `docs/issues/` gepflegt – sie liegen damit im Repo und wandern mit
+jedem Klon mit. Wer sie zusätzlich im Gitea-Tracker haben möchte, gleicht sie ab:
+
+```bash
+npm run issues:sync -- --dry-run    # zeigt nur, was passieren würde
+npm run issues:sync                 # echter Abgleich
+```
+
+Serveradresse und Repository liest das Skript aus dem Git-Remote, den Token aus den hinterlegten
+Git-Zugangsdaten (Schlüsselbund oder `~/.git-credentials`) – derselbe Token wie fürs Pushen, er braucht
+zusätzlich das Recht `issue:write`. Wer beides trennen möchte, setzt `GITEA_URL`, `GITEA_REPO` und
+`GITEA_TOKEN` in der `.env`.
+
+Der Abgleich legt Labels und Meilensteine an, erkennt vorhandene Issues an der Nummer im Titel,
+aktualisiert sie und schließt erledigte. Ein zweiter Lauf erzeugt keine Dubletten.
+
+## Betrieb
+
+**Dienste:** `web` (Dashboard), `worker` (Warnregeln und Benachrichtigungen), `postgres`, dazu `migrate`,
+der nur beim Start läuft.
+
+```bash
+docker compose ps                      # Zustand
+docker compose logs -f web worker      # Protokoll
+docker compose up -d --build           # nach einem Update
+```
+
+**Hinter einem Reverse Proxy:** Beispiele für Caddy, nginx und Traefik liegen in
+[deploy/reverse-proxy/](deploy/reverse-proxy/). Wichtig ist, dass `X-Forwarded-For` durchgereicht wird –
+darauf stützt sich das Rate-Limit der Agent-API. `APP_URL` muss auf die öffentliche Adresse zeigen,
+sonst stimmen die Links in E-Mails und im Installations-Einzeiler nicht.
+
+**Zustandsprüfung:** `GET /api/gesundheit` antwortet mit `{"ok":true}`, solange die Datenbank erreichbar ist.
+
+## Sicherung
+
+[deploy/backup.sh](deploy/backup.sh) sichert Datenbank, hochgeladene PDFs und die `.env`:
+
+```bash
+./deploy/backup.sh /var/backups/proxledger
+```
+
+Für regelmäßige Sicherungen in die Crontab eintragen:
+
+```
+30 2 * * * /opt/proxledger/deploy/backup.sh /var/backups/proxledger
+```
+
+Zum Zurückspielen:
+
+```bash
+gunzip -c datenbank-20260917-023000.sql.gz | docker compose exec -T postgres psql -U proxledger proxledger
+```
+
+**Wichtig:** `APP_SECRET` mitsichern und sicher aufbewahren. Der Wert signiert die Sitzungen **und**
+verschlüsselt die Zugangsdaten für SMTP und Webhook in der Datenbank. Geht er verloren, müssen diese
+Zugangsdaten neu eingetragen werden; eine Sicherung allein gibt sie nicht preis.
+
 ## Dokumentation
 
+- **[Handbuch mit Bildern](docs/anleitung/README.md)** – Installation, Agent-Rollout, Rechnungen, Warnungen, Fehlersuche
 - [Architektur- und Umsetzungsplan](docs/architektur.md)
 - [Issues](docs/issues/README.md)
 - [Changelog](CHANGELOG.md) · [Devlog](DEVLOG.md)

agent/install.sh

@@ -0,0 +1,243 @@
+#!/usr/bin/env bash
+# ProxLedger-Agent installieren.
+#
+#   curl -fsSL https://dashboard.example.de/install.sh | bash -s -- --token plx_e_...
+#
+# Optionen:
+#   --token <TOKEN>   Enrollment-Token aus dem Dashboard (erforderlich)
+#   --url <URL>       Adresse des Dashboards (Standard: Herkunft dieses Skripts)
+#   --ca-cert <DATEI> eigenes CA-Zertifikat für TLS
+#   --auto-update     Agent aktualisiert sich selbst, wenn das Dashboard eine neuere Version meldet
+#   --uninstall       Agent vollständig entfernen
+#   --help            diese Hilfe
+
+set -o errexit
+set -o nounset
+set -o pipefail
+
+DASHBOARD_URL="${PROXLEDGER_URL:-@@DASHBOARD_URL@@}"
+# Melderhythmus und Streuung setzt das Dashboard beim Ausliefern ein (Einstellungen → System).
+# Wird das Skript unverändert aus dem Quelltext ausgeführt, bleiben die Platzhalter stehen;
+# dann gelten die Vorgaben.
+TIMER_ONCALENDAR="@@TIMER_ONCALENDAR@@"
+TIMER_STREUUNG="@@TIMER_STREUUNG@@"
+case "$TIMER_ONCALENDAR" in *@@*) TIMER_ONCALENDAR="daily" ;; esac
+case "$TIMER_STREUUNG" in *@@*) TIMER_STREUUNG="4h" ;; esac
+TOKEN=""
+CA_CERT=""
+AUTO_UPDATE="@@AUTO_UPDATE@@"
+case "$AUTO_UPDATE" in yes | no) ;; *) AUTO_UPDATE="no" ;; esac
+AKTION="install"
+
+CONFIG_VERZEICHNIS="/etc/proxledger"
+CONFIG_DATEI="${CONFIG_VERZEICHNIS}/agent.conf"
+AGENT_PFAD="/usr/local/bin/proxledger-agent"
+SPOOL_VERZEICHNIS="/var/lib/proxledger/spool"
+SYSTEMD_VERZEICHNIS="/etc/systemd/system"
+
+hinweis() { printf '\033[1;36m›\033[0m %s\n' "$*"; }
+erfolg() { printf '\033[1;32m✓\033[0m %s\n' "$*"; }
+fehler() {
+  printf '\033[1;31m✗\033[0m %s\n' "$*" >&2
+  exit 1
+}
+
+hilfe() {
+  sed -n '2,15p' "$0" | sed 's/^# \{0,1\}//'
+}
+
+while [ $# -gt 0 ]; do
+  case "$1" in
+    --token)
+      TOKEN="${2:-}"
+      shift 2
+      ;;
+    --url)
+      DASHBOARD_URL="${2:-}"
+      shift 2
+      ;;
+    --ca-cert)
+      CA_CERT="${2:-}"
+      shift 2
+      ;;
+    --auto-update)
+      AUTO_UPDATE="yes"
+      shift
+      ;;
+    --uninstall)
+      AKTION="uninstall"
+      shift
+      ;;
+    --help | -h)
+      hilfe
+      exit 0
+      ;;
+    *) fehler "Unbekannte Option: $1" ;;
+  esac
+done
+
+[ "$(id -u)" -eq 0 ] || fehler "Bitte als root ausführen."
+
+deinstallieren() {
+  hinweis "Entferne ProxLedger-Agent …"
+  systemctl disable --now proxledger.timer >/dev/null 2>&1 || true
+  systemctl stop proxledger.service >/dev/null 2>&1 || true
+  rm -f "${SYSTEMD_VERZEICHNIS}/proxledger.service" "${SYSTEMD_VERZEICHNIS}/proxledger.timer"
+  systemctl daemon-reload
+  rm -f "$AGENT_PFAD"
+  rm -rf "$CONFIG_VERZEICHNIS" "$(dirname "$SPOOL_VERZEICHNIS")"
+  erfolg "Agent entfernt. Der Host bleibt im Dashboard erhalten; dort ggf. den Token widerrufen."
+}
+
+if [ "$AKTION" = "uninstall" ]; then
+  deinstallieren
+  exit 0
+fi
+
+[ -n "$TOKEN" ] || fehler "Enrollment-Token fehlt (--token)."
+[ -n "$DASHBOARD_URL" ] || fehler "Dashboard-Adresse fehlt (--url)."
+DASHBOARD_URL=${DASHBOARD_URL%/}
+
+command -v curl >/dev/null 2>&1 || fehler "curl ist nicht installiert."
+command -v systemctl >/dev/null 2>&1 || fehler "systemd wird benötigt."
+
+produkt_erkennen() {
+  if command -v pvesubscription >/dev/null 2>&1; then
+    printf 'pve'
+  elif command -v proxmox-backup-manager >/dev/null 2>&1; then
+    printf 'pbs'
+  elif command -v pmgsubscription >/dev/null 2>&1; then
+    printf 'pmg'
+  fi
+}
+
+PRODUKT=$(produkt_erkennen)
+[ -n "$PRODUKT" ] || fehler "Kein Proxmox-Produkt gefunden (VE, Backup Server oder Mail Gateway)."
+hinweis "Produkt erkannt: ${PRODUKT}"
+
+# Stabile Agent-Kennung: bleibt auch nach Hardwaretausch gleich, solange das System dasselbe ist.
+maschinen_id() {
+  local id=""
+  [ -r /etc/machine-id ] && id=$(cat /etc/machine-id)
+  [ -z "$id" ] && [ -r /var/lib/dbus/machine-id ] && id=$(cat /var/lib/dbus/machine-id)
+  [ -z "$id" ] && id=$(hostname -f 2>/dev/null || hostname)
+  printf '%s' "$id"
+}
+
+AGENT_ID=$(maschinen_id)
+HOSTNAME_KURZ=$(hostname -s 2>/dev/null || hostname)
+FQDN=$(hostname -f 2>/dev/null || printf '')
+
+server_id() {
+  case "$PRODUKT" in
+    pve) pvesubscription get 2>/dev/null | sed -n 's/^serverid:[[:space:]]*//p' | head -n1 ;;
+    pbs) proxmox-backup-manager subscription get 2>/dev/null | sed -n 's/^serverid:[[:space:]]*//p' | head -n1 ;;
+    pmg) pmgsubscription get 2>/dev/null | sed -n 's/^serverid:[[:space:]]*//p' | head -n1 ;;
+  esac
+}
+
+SERVER_ID=$(server_id)
+
+hinweis "Registriere Host beim Dashboard …"
+ANFRAGE=$(
+  cat <<JSON
+{"agentId":"${AGENT_ID}","hostname":"${HOSTNAME_KURZ}","fqdn":$([ -n "$FQDN" ] && printf '"%s"' "$FQDN" || printf 'null'),"produkt":"${PRODUKT}","serverId":$([ -n "$SERVER_ID" ] && printf '"%s"' "$SERVER_ID" || printf 'null'),"agentVersion":"@@AGENT_VERSION@@"}
+JSON
+)
+
+ANTWORT=$(curl --silent --show-error --max-time 30 \
+  ${CA_CERT:+--cacert "$CA_CERT"} \
+  --header "Content-Type: application/json" \
+  --header "Authorization: Bearer ${TOKEN}" \
+  --write-out '\n%{http_code}' \
+  --request POST --data "$ANFRAGE" "${DASHBOARD_URL}/api/agent/v1/enroll") || fehler "Dashboard nicht erreichbar."
+
+HTTP_CODE=$(printf '%s' "$ANTWORT" | tail -n1)
+KOERPER=$(printf '%s' "$ANTWORT" | sed '$d')
+
+case "$HTTP_CODE" in
+  200 | 201) ;;
+  401) fehler "Enrollment-Token wurde abgelehnt (abgelaufen, widerrufen oder aufgebraucht)." ;;
+  429) fehler "Zu viele Registrierungsversuche. Bitte später erneut versuchen." ;;
+  *) fehler "Registrierung fehlgeschlagen (HTTP ${HTTP_CODE}): ${KOERPER}" ;;
+esac
+
+HOST_TOKEN=$(printf '%s' "$KOERPER" | sed -n 's/.*"token"[[:space:]]*:[[:space:]]*"\([^"]*\)".*/\1/p' | head -n1)
+[ -n "$HOST_TOKEN" ] || fehler "Dashboard hat keinen Host-Token geliefert."
+erfolg "Host registriert."
+
+hinweis "Installiere Agent nach ${AGENT_PFAD} …"
+curl --silent --show-error --fail --max-time 60 \
+  ${CA_CERT:+--cacert "$CA_CERT"} \
+  "${DASHBOARD_URL}/agent.sh" -o "${AGENT_PFAD}.neu" || fehler "Agent-Skript konnte nicht geladen werden."
+head -n1 "${AGENT_PFAD}.neu" | grep -q '^#!/usr/bin/env bash' || fehler "Heruntergeladene Datei ist kein Agent-Skript."
+install -m 755 "${AGENT_PFAD}.neu" "$AGENT_PFAD"
+rm -f "${AGENT_PFAD}.neu"
+
+mkdir -p "$CONFIG_VERZEICHNIS" "$SPOOL_VERZEICHNIS"
+chmod 700 "$CONFIG_VERZEICHNIS"
+umask 077
+cat >"$CONFIG_DATEI" <<CONF
+# ProxLedger-Agent – Konfiguration (von install.sh erzeugt)
+DASHBOARD_URL="${DASHBOARD_URL}"
+TOKEN="${HOST_TOKEN}"
+AGENT_ID="${AGENT_ID}"
+# Eigenes CA-Zertifikat, falls das Dashboard ein privates Zertifikat nutzt:
+CA_CERT="${CA_CERT}"
+# Agent aktualisiert sich selbst, sobald das Dashboard eine neuere Version meldet:
+AUTO_UPDATE="${AUTO_UPDATE}"
+# TLS-Prüfung niemals dauerhaft abschalten – nur für Tests:
+TLS_PRUEFEN="yes"
+CONF
+chmod 600 "$CONFIG_DATEI"
+erfolg "Konfiguration geschrieben (${CONFIG_DATEI}, Rechte 600)."
+
+cat >"${SYSTEMD_VERZEICHNIS}/proxledger.service" <<'UNIT'
+[Unit]
+Description=ProxLedger-Agent – meldet den Subscription-Status an das Dashboard
+Documentation=https://github.com/proxledger
+After=network-online.target
+Wants=network-online.target
+
+[Service]
+Type=oneshot
+ExecStart=/usr/local/bin/proxledger-agent --report
+Nice=10
+# Der Agent liest nur Systeminformationen und braucht keine erweiterten Rechte.
+NoNewPrivileges=true
+PrivateTmp=true
+ProtectSystem=full
+ProtectHome=true
+UNIT
+
+cat >"${SYSTEMD_VERZEICHNIS}/proxledger.timer" <<UNIT
+[Unit]
+Description=ProxLedger-Report
+
+[Timer]
+OnCalendar=${TIMER_ONCALENDAR}
+# Verteilt die Meldungen aller Hosts über diesen Zeitraum.
+RandomizedDelaySec=${TIMER_STREUUNG}
+Persistent=true
+Unit=proxledger.service
+
+[Install]
+WantedBy=timers.target
+UNIT
+
+systemctl daemon-reload
+systemctl enable --now proxledger.timer >/dev/null
+erfolg "systemd-Timer aktiviert (${TIMER_ONCALENDAR}, zufällig um bis zu ${TIMER_STREUUNG} versetzt)."
+
+hinweis "Sende ersten Report …"
+if "$AGENT_PFAD" --report; then
+  erfolg "Erster Report übertragen."
+else
+  printf '\033[1;33m!\033[0m Erster Report fehlgeschlagen – er wird beim nächsten Lauf nachgesendet.\n'
+fi
+
+printf '\n'
+erfolg "Fertig. Status prüfen mit: systemctl list-timers proxledger.timer"
+printf '  Log ansehen:      journalctl -t proxledger -n 50\n'
+printf '  Verbindung testen: %s --test\n' "$AGENT_PFAD"
+printf '  Entfernen:        curl -fsSL %s/install.sh | bash -s -- --uninstall\n' "$DASHBOARD_URL"

agent/proxledger-agent.sh

@@ -0,0 +1,490 @@
+#!/usr/bin/env bash
+# ProxLedger-Agent – meldet den Subscription-Status eines Proxmox-Hosts an das Dashboard.
+# Läuft ohne zusätzliche Abhängigkeiten: nur curl und Bordmittel von Proxmox.
+#
+# Aufrufe:
+#   proxledger-agent            Report erzeugen und senden (Standard, vom systemd-Timer aufgerufen)
+#   proxledger-agent --dry-run  Report nur ausgeben, nichts senden
+#   proxledger-agent --test     Verbindung zum Dashboard prüfen
+#   proxledger-agent --update   Agent auf die vom Dashboard gemeldete Version aktualisieren
+#   proxledger-agent --version  Version ausgeben
+
+set -o nounset
+set -o pipefail
+
+AGENT_VERSION="0.2.1"
+CONFIG_DATEI="${PROXLEDGER_CONFIG:-/etc/proxledger/agent.conf}"
+SPOOL_VERZEICHNIS="${PROXLEDGER_SPOOL:-/var/lib/proxledger/spool}"
+SPOOL_MAXIMUM=30
+# Wartezeiten zwischen den Versuchen; für Tests über PROXLEDGER_WARTEZEITEN kürzbar.
+read -r -a WARTEZEITEN <<<"${PROXLEDGER_WARTEZEITEN:-30 120 480}"
+
+# --------------------------------------------------------------------- Protokoll
+
+protokoll() {
+  local stufe="$1"
+  shift
+  if command -v logger >/dev/null 2>&1; then
+    logger -t proxledger -p "daemon.${stufe}" -- "$*" 2>/dev/null || true
+  fi
+  printf '%s [%s] %s\n' "$(datum_jetzt)" "$stufe" "$*" >&2
+}
+
+datum_jetzt() {
+  date -u '+%Y-%m-%dT%H:%M:%SZ'
+}
+
+# --------------------------------------------------------------------- JSON-Hilfen
+
+# Maskiert einen Wert für JSON (ohne jq, das auf Proxmox nicht überall vorhanden ist).
+json_text() {
+  local wert="$1"
+  if [ -z "$wert" ]; then
+    printf 'null'
+    return
+  fi
+  wert=${wert//\\/\\\\}
+  wert=${wert//\"/\\\"}
+  wert=${wert//$'\t'/\\t}
+  wert=${wert//$'\r'/}
+  wert=${wert//$'\n'/\\n}
+  # Übrige Steuerzeichen entfernen, damit immer gültiges JSON entsteht.
+  wert=$(printf '%s' "$wert" | tr -d '\000-\010\013\014\016-\037')
+  printf '"%s"' "$wert"
+}
+
+# Gibt eine Zahl aus oder null, wenn der Wert leer bzw. keine Zahl ist.
+json_zahl() {
+  local wert="$1"
+  if [[ "$wert" =~ ^-?[0-9]+$ ]]; then
+    printf '%s' "$wert"
+  else
+    printf 'null'
+  fi
+}
+
+# Baut aus Zeilen eine JSON-Liste; leere Eingabe ergibt [].
+json_liste() {
+  local ausgabe="[" erste=1 zeile
+  while IFS= read -r zeile; do
+    [ -z "$zeile" ] && continue
+    if [ $erste -eq 0 ]; then ausgabe+=","; fi
+    ausgabe+=$(json_text "$zeile")
+    erste=0
+  done
+  printf '%s]' "$ausgabe"
+}
+
+# --------------------------------------------------------------------- Konfiguration
+
+konfiguration_laden() {
+  DASHBOARD_URL=""
+  TOKEN=""
+  CA_CERT=""
+  AUTO_UPDATE="no"
+  AGENT_ID=""
+  TLS_PRUEFEN="yes"
+
+  if [ -r "$CONFIG_DATEI" ]; then
+    # shellcheck disable=SC1090
+    . "$CONFIG_DATEI"
+  fi
+}
+
+# --------------------------------------------------------------------- Datensammlung
+
+produkt_erkennen() {
+  if command -v pvesubscription >/dev/null 2>&1; then
+    printf 'pve'
+  elif command -v proxmox-backup-manager >/dev/null 2>&1; then
+    printf 'pbs'
+  elif command -v pmgsubscription >/dev/null 2>&1; then
+    printf 'pmg'
+  else
+    printf ''
+  fi
+}
+
+subscription_ausgabe() {
+  local ausgabe=""
+  case "$1" in
+    # PVE kennt --output-format nicht (geprueft auf 9.2), liefert aber "feld: wert".
+    pve) pvesubscription get 2>/dev/null ;;
+    # PBS gibt ohne --output-format eine Rahmentabelle aus, aus der sich schlecht lesen laesst.
+    # JSON kann es (geprueft auf 4.2); aeltere Fassungen faengt die Tabellenauswertung ab.
+    pbs)
+      ausgabe=$(proxmox-backup-manager subscription get --output-format json 2>/dev/null)
+      [ -n "$ausgabe" ] || ausgabe=$(proxmox-backup-manager subscription get 2>/dev/null)
+      printf '%s' "$ausgabe"
+      ;;
+    pmg) pmgsubscription get 2>/dev/null ;;
+    *) printf '' ;;
+  esac
+}
+
+# Liest ein Feld aus der Subscription-Ausgabe. Unterstuetzt "feld: wert", JSON und die
+# Rahmentabelle von PBS ("| feld | wert |" mit Unicode-Strichen).
+feld_lesen() {
+  local feld="$1" text="$2" wert
+  wert=$(printf '%s\n' "$text" | sed -n "s/^[[:space:]]*${feld}[[:space:]]*:[[:space:]]*//p" | head -n1)
+  if [ -z "$wert" ]; then
+    wert=$(printf '%s\n' "$text" |
+      sed -n "s/.*\"${feld}\"[[:space:]]*:[[:space:]]*\"\{0,1\}\([^\",}]*\)\"\{0,1\}.*/\1/p" | head -n1)
+  fi
+  if [ -z "$wert" ]; then
+    # Tabellenzeile: Trennzeichen ist U+2502; awk zerlegt daran und liefert die zweite Spalte.
+    wert=$(printf '%s\n' "$text" |
+      awk -F'\xe2\x94\x82' -v feld="$feld" '
+        NF >= 3 {
+          name = $2; gsub(/^[ \t]+|[ \t]+$/, "", name)
+          if (name == feld) { wert = $3; gsub(/^[ \t]+|[ \t]+$/, "", wert); print wert; exit }
+        }')
+  fi
+  # Umschließende Anführungszeichen und Leerzeichen entfernen.
+  wert=${wert%\"}
+  wert=${wert#\"}
+  printf '%s' "$wert" | sed 's/[[:space:]]*$//'
+}
+
+produkt_version() {
+  # Bei PVE hängt die Kernel-Angabe mit im String ("… (running kernel: …)").
+  # Der Kernel wird separat gemeldet, deshalb hier abschneiden.
+  case "$1" in
+    pve) pveversion 2>/dev/null | head -n1 | sed 's/ (running kernel.*//' ;;
+    # PBS haengt die laufende Fassung an ("… 4.2.6-1 running version: 4.2.1");
+    # gemeldet wird die installierte.
+    pbs) proxmox-backup-manager version 2>/dev/null | head -n1 | sed 's/ running version.*//' ;;
+    pmg) pmgversion 2>/dev/null | head -n1 ;;
+    *) printf '' ;;
+  esac
+}
+
+ip_adressen() {
+  if command -v ip >/dev/null 2>&1; then
+    ip -o addr show scope global 2>/dev/null | awk '{print $4}' | cut -d/ -f1
+  else
+    hostname -I 2>/dev/null | tr ' ' '\n'
+  fi
+}
+
+cluster_name() {
+  if command -v pvecm >/dev/null 2>&1; then
+    pvecm status 2>/dev/null | sed -n 's/^[[:space:]]*Name:[[:space:]]*//p' | head -n1
+  fi
+}
+
+# Namen aller Cluster-Mitglieder laut corosync. Auch Knoten ohne Agent stehen hier –
+# daraus erkennt das Dashboard vergessene Knoten (#022).
+cluster_mitglieder() {
+  if command -v pvecm >/dev/null 2>&1; then
+    pvecm nodes 2>/dev/null | awk '/^[[:space:]]*[0-9]+[[:space:]]+[0-9]+/ {print $3}' | sed 's/ *(local)//'
+  fi
+}
+
+node_name() {
+  if command -v pvecm >/dev/null 2>&1 && pvecm status >/dev/null 2>&1; then
+    hostname -s 2>/dev/null
+  fi
+}
+
+cpu_sockets() {
+  if command -v lscpu >/dev/null 2>&1; then
+    lscpu 2>/dev/null | sed -n 's/^Socket(s):[[:space:]]*//p' | head -n1
+  fi
+}
+
+cpu_modell() {
+  if command -v lscpu >/dev/null 2>&1; then
+    lscpu 2>/dev/null | sed -n 's/^Model name:[[:space:]]*//p' | head -n1
+  fi
+}
+
+uptime_sekunden() {
+  if [ -r /proc/uptime ]; then
+    cut -d. -f1 /proc/uptime
+  fi
+}
+
+paket_updates() {
+  if command -v apt >/dev/null 2>&1; then
+    # Die Kopfzeile "Auflistung..." zählt nicht mit.
+    apt list --upgradable 2>/dev/null | grep -c 'upgradable from' || true
+  fi
+}
+
+report_id() {
+  if [ -r /proc/sys/kernel/random/uuid ]; then
+    cat /proc/sys/kernel/random/uuid
+  else
+    printf 'report-%s-%s' "$(date -u '+%Y%m%d%H%M%S')" "$RANDOM$RANDOM"
+  fi
+}
+
+# Erzeugt den vollständigen Report als JSON. Fehlende Werte werden zu null.
+report_erzeugen() {
+  local produkt subscription key status level productname sockets serverid regdate nextduedate checktime
+  produkt=$(produkt_erkennen)
+  subscription=$(subscription_ausgabe "$produkt")
+
+  key=$(feld_lesen "key" "$subscription")
+  status=$(feld_lesen "status" "$subscription")
+  level=$(feld_lesen "level" "$subscription")
+  productname=$(feld_lesen "productname" "$subscription")
+  sockets=$(feld_lesen "sockets" "$subscription")
+  serverid=$(feld_lesen "serverid" "$subscription")
+  regdate=$(feld_lesen "regdate" "$subscription")
+  nextduedate=$(feld_lesen "nextduedate" "$subscription")
+  checktime=$(feld_lesen "checktime" "$subscription")
+
+  # Proxmox liefert Datumsangaben teils mit Uhrzeit; das Dashboard erwartet nur den Tag.
+  regdate=${regdate%% *}
+  nextduedate=${nextduedate%% *}
+
+  cat <<JSON
+{
+  "reportId": $(json_text "$(report_id)"),
+  "agentVersion": $(json_text "$AGENT_VERSION"),
+  "erhobenAm": $(json_text "$(datum_jetzt)"),
+  "host": {
+    "hostname": $(json_text "$(hostname -s 2>/dev/null)"),
+    "fqdn": $(json_text "$(hostname -f 2>/dev/null)"),
+    "ips": $(ip_adressen | json_liste),
+    "clusterName": $(json_text "$(cluster_name)"),
+    "nodeName": $(json_text "$(node_name)"),
+    "clusterMitglieder": $(cluster_mitglieder | json_liste),
+    "kernel": $(json_text "$(uname -r 2>/dev/null)"),
+    "uptimeSekunden": $(json_zahl "$(uptime_sekunden)"),
+    "cpuModell": $(json_text "$(cpu_modell)"),
+    "sockets": $(json_zahl "$(cpu_sockets)"),
+    "paketUpdates": $(json_zahl "$(paket_updates)")
+  },
+  "produkt": {
+    "typ": $(json_text "$produkt"),
+    "version": $(json_text "$(produkt_version "$produkt")")
+  },
+  "subscription": {
+    "key": $(json_text "$key"),
+    "status": $(json_text "$status"),
+    "level": $(json_text "$level"),
+    "productname": $(json_text "$productname"),
+    "sockets": $(json_zahl "$sockets"),
+    "serverid": $(json_text "$serverid"),
+    "regdate": $(json_text "$regdate"),
+    "nextduedate": $(json_text "$nextduedate"),
+    "checktime": $(json_text "$checktime")
+  }
+}
+JSON
+}
+
+# --------------------------------------------------------------------- Versand
+
+curl_optionen() {
+  local optionen=(--silent --show-error --max-time 30 --header "Content-Type: application/json")
+  optionen+=(--header "Authorization: Bearer ${TOKEN}")
+  optionen+=(--header "User-Agent: proxledger-agent/${AGENT_VERSION}")
+  if [ -n "$CA_CERT" ]; then
+    optionen+=(--cacert "$CA_CERT")
+  fi
+  if [ "$TLS_PRUEFEN" = "no" ]; then
+    # Nur für Testumgebungen; die Konfiguration warnt davor.
+    optionen+=(--insecure)
+  fi
+  printf '%s\n' "${optionen[@]}"
+}
+
+# Sendet einen Report; 0 = erfolgreich, 1 = Fehler.
+report_senden() {
+  local nutzdaten="$1" antwort http_code
+  local -a optionen
+  mapfile -t optionen < <(curl_optionen)
+
+  antwort=$(curl "${optionen[@]}" --write-out '\n%{http_code}' \
+    --request POST --data "$nutzdaten" "${DASHBOARD_URL}/api/agent/v1/report" 2>&1)
+  http_code=$(printf '%s' "$antwort" | tail -n1)
+
+  case "$http_code" in
+    200 | 201)
+      neueste_version_merken "$antwort"
+      return 0
+      ;;
+    401 | 403)
+      protokoll err "Dashboard lehnt den Token ab (HTTP $http_code). Agent neu registrieren."
+      return 1
+      ;;
+    "")
+      protokoll warning "Dashboard nicht erreichbar."
+      return 1
+      ;;
+    *)
+      protokoll warning "Dashboard antwortet mit HTTP ${http_code}."
+      return 1
+      ;;
+  esac
+}
+
+neueste_version_merken() {
+  NEUESTE_VERSION=$(printf '%s' "$1" |
+    sed -n 's/.*"agentVersion"[[:space:]]*:[[:space:]]*"\([^"]*\)".*/\1/p' | head -n1)
+}
+
+# Versucht den Versand mehrfach mit wachsenden Wartezeiten.
+mit_wiederholung_senden() {
+  local nutzdaten="$1" versuch=0
+
+  if report_senden "$nutzdaten"; then
+    return 0
+  fi
+
+  for wartezeit in "${WARTEZEITEN[@]}"; do
+    versuch=$((versuch + 1))
+    protokoll info "Neuer Versuch ${versuch} in ${wartezeit} s."
+    sleep "$wartezeit"
+    if report_senden "$nutzdaten"; then
+      return 0
+    fi
+  done
+
+  return 1
+}
+
+spool_ablegen() {
+  local nutzdaten="$1" datei
+  mkdir -p "$SPOOL_VERZEICHNIS" 2>/dev/null || return 1
+  datei="${SPOOL_VERZEICHNIS}/$(date -u '+%Y%m%d%H%M%S')-$$.json"
+  printf '%s\n' "$nutzdaten" >"$datei"
+  chmod 600 "$datei" 2>/dev/null || true
+  protokoll info "Report zwischengespeichert: $datei"
+  spool_begrenzen
+}
+
+# Bewahrt nur die neuesten Dateien auf, damit der Spool nicht unbegrenzt wächst.
+spool_begrenzen() {
+  local anzahl
+  anzahl=$(find "$SPOOL_VERZEICHNIS" -maxdepth 1 -name '*.json' 2>/dev/null | wc -l)
+  if [ "$anzahl" -gt "$SPOOL_MAXIMUM" ]; then
+    find "$SPOOL_VERZEICHNIS" -maxdepth 1 -name '*.json' -printf '%T@ %p\n' 2>/dev/null |
+      sort -n | head -n "$((anzahl - SPOOL_MAXIMUM))" | cut -d' ' -f2- |
+      while IFS= read -r alt; do rm -f "$alt"; done
+  fi
+}
+
+# Sendet zwischengespeicherte Reports nach; erfolgreiche werden gelöscht.
+spool_nachsenden() {
+  [ -d "$SPOOL_VERZEICHNIS" ] || return 0
+  local datei inhalt
+  for datei in "$SPOOL_VERZEICHNIS"/*.json; do
+    [ -e "$datei" ] || continue
+    inhalt=$(cat "$datei")
+    if report_senden "$inhalt"; then
+      rm -f "$datei"
+      protokoll info "Nachgesendeter Report übertragen: $(basename "$datei")"
+    else
+      protokoll info "Nachsenden verschoben, Dashboard nicht erreichbar."
+      return 0
+    fi
+  done
+}
+
+# --------------------------------------------------------------------- Aktionen
+
+aktion_report() {
+  konfiguration_pruefen
+  spool_nachsenden
+
+  local nutzdaten
+  nutzdaten=$(report_erzeugen)
+
+  if mit_wiederholung_senden "$nutzdaten"; then
+    protokoll info "Report übertragen (Agent ${AGENT_VERSION})."
+    version_pruefen
+    return 0
+  fi
+
+  spool_ablegen "$nutzdaten"
+  return 1
+}
+
+aktion_test() {
+  konfiguration_pruefen
+  local -a optionen
+  mapfile -t optionen < <(curl_optionen)
+  local antwort
+  antwort=$(curl "${optionen[@]}" --write-out '\n%{http_code}' "${DASHBOARD_URL}/api/agent/v1/ping")
+  printf '%s\n' "$antwort"
+  [ "$(printf '%s' "$antwort" | tail -n1)" = "200" ]
+}
+
+# Ist $1 eine neuere Fassung als $2? `sort -V` vergleicht Versionsnummern der Reihe nach.
+version_neuer() {
+  [ "$1" != "$2" ] && [ "$(printf '%s\n%s\n' "$1" "$2" | sort -V | tail -n1)" = "$1" ]
+}
+
+version_pruefen() {
+  # Nur melden, wenn das Dashboard wirklich eine neuere Fassung kennt. Sonst warnt ein Agent,
+  # der einer Testinstallation vorauseilt, gegen sich selbst (im Feldtest #023 aufgefallen).
+  if [ -n "${NEUESTE_VERSION:-}" ] && version_neuer "$NEUESTE_VERSION" "$AGENT_VERSION"; then
+    protokoll notice "Neue Agent-Version verfügbar: ${NEUESTE_VERSION} (installiert: ${AGENT_VERSION})."
+    if [ "$AUTO_UPDATE" = "yes" ]; then
+      aktion_update
+    fi
+  fi
+}
+
+aktion_update() {
+  konfiguration_pruefen
+  local ziel="/usr/local/bin/proxledger-agent" temp
+  temp=$(mktemp)
+  if curl --silent --show-error --fail --max-time 60 \
+    ${CA_CERT:+--cacert "$CA_CERT"} \
+    "${DASHBOARD_URL}/agent.sh" -o "$temp"; then
+    if head -n1 "$temp" | grep -q '^#!/usr/bin/env bash'; then
+      install -m 755 "$temp" "$ziel"
+      rm -f "$temp"
+      protokoll notice "Agent aktualisiert auf $("$ziel" --version)."
+      return 0
+    fi
+    protokoll err "Heruntergeladene Datei ist kein Agent-Skript – Update abgebrochen."
+  else
+    protokoll err "Update fehlgeschlagen: Dashboard nicht erreichbar."
+  fi
+  rm -f "$temp"
+  return 1
+}
+
+konfiguration_pruefen() {
+  if [ -z "$DASHBOARD_URL" ] || [ -z "$TOKEN" ]; then
+    protokoll err "Konfiguration unvollständig (${CONFIG_DATEI}). Bitte neu installieren."
+    exit 2
+  fi
+  DASHBOARD_URL=${DASHBOARD_URL%/}
+}
+
+# --------------------------------------------------------------------- Einstieg
+
+konfiguration_laden
+
+case "${1:---report}" in
+  --report | "")
+    aktion_report
+    ;;
+  --dry-run)
+    report_erzeugen
+    ;;
+  --test)
+    aktion_test
+    ;;
+  --update)
+    aktion_update
+    ;;
+  --version)
+    printf '%s\n' "$AGENT_VERSION"
+    ;;
+  --help | -h)
+    sed -n '2,12p' "$0" | sed 's/^# \{0,1\}//'
+    ;;
+  *)
+    printf 'Unbekannte Option: %s\n' "$1" >&2
+    exit 64
+    ;;
+esac

assets/logo-16.svg

@@ -0,0 +1,4 @@
+<!-- Fassung für 16 px: nur das P. -->
+<svg viewBox="0 0 48 48" xmlns="http://www.w3.org/2000/svg">
+  <path fill-rule="evenodd" d="M6 2h21a14 14 0 0 1 0 28H18v16H6zM18 13h8a3 3 0 0 1 0 6h-8z" fill="#1E2A44"/>
+</svg>

assets/logo-32.svg

@@ -0,0 +1,5 @@
+<!-- Fassung für 32 px: eine Linie, kräftigere Formen. -->
+<svg viewBox="0 0 48 48" xmlns="http://www.w3.org/2000/svg">
+  <path fill-rule="evenodd" d="M7 3h20a13 13 0 0 1 0 26H17v16H7zM17 12h9a4 4 0 0 1 0 8h-9z" fill="#1E2A44"/>
+  <path d="M24 38h19" stroke="#17A2B8" stroke-width="5" stroke-linecap="round"/>
+</svg>

assets/logo-kachel.svg

@@ -0,0 +1,8 @@
+<!-- Fassung für Startbildschirm-Symbole: Monogramm auf dunklem Grund mit Rand. -->
+<svg viewBox="0 0 180 180" xmlns="http://www.w3.org/2000/svg">
+  <rect width="180" height="180" rx="34" fill="#1E2A44"/>
+  <g transform="translate(34 30) scale(2.3)">
+    <path fill-rule="evenodd" d="M8 4h19a12 12 0 0 1 0 24H16v16H8zM16 11h10a5 5 0 0 1 0 10H16z" fill="#FFFFFF"/>
+    <path d="M22 36h20M22 43h14" stroke="#17A2B8" stroke-width="3.5" stroke-linecap="round"/>
+  </g>
+</svg>

assets/logo.svg

@@ -0,0 +1,5 @@
+<!-- ProxLedger-Monogramm, Standardfassung (heller Grund). Quelle für alle abgeleiteten Dateien. -->
+<svg viewBox="0 0 48 48" xmlns="http://www.w3.org/2000/svg">
+  <path fill-rule="evenodd" d="M8 4h19a12 12 0 0 1 0 24H16v16H8zM16 11h10a5 5 0 0 1 0 10H16z" fill="#1E2A44"/>
+  <path d="M22 36h20M22 43h14" stroke="#17A2B8" stroke-width="3.5" stroke-linecap="round"/>
+</svg>

deploy/backup.sh

@@ -0,0 +1,38 @@
+#!/usr/bin/env bash
+# Sichert Datenbank und hochgeladene PDFs von ProxLedger.
+#
+#   ./backup.sh /pfad/zum/sicherungsordner
+#
+# Für regelmäßige Sicherungen in die Crontab eintragen, z. B. täglich um 02:30 Uhr:
+#   30 2 * * * /opt/proxledger/deploy/backup.sh /var/backups/proxledger
+
+set -o errexit
+set -o nounset
+set -o pipefail
+
+ZIEL="${1:-/var/backups/proxledger}"
+AUFBEWAHRUNG_TAGE="${AUFBEWAHRUNG_TAGE:-30}"
+STAND=$(date +%Y%m%d-%H%M%S)
+COMPOSE_VERZEICHNIS="${COMPOSE_VERZEICHNIS:-/opt/proxledger}"
+
+mkdir -p "$ZIEL"
+cd "$COMPOSE_VERZEICHNIS"
+
+echo "Sichere Datenbank …"
+docker compose exec -T postgres pg_dump -U "${POSTGRES_USER:-proxledger}" "${POSTGRES_DB:-proxledger}" \
+  | gzip > "${ZIEL}/datenbank-${STAND}.sql.gz"
+
+echo "Sichere hochgeladene Dateien …"
+docker compose run --rm -T --entrypoint tar web -czf - /data/uploads > "${ZIEL}/uploads-${STAND}.tar.gz" 2>/dev/null || true
+
+echo "Sichere Konfiguration …"
+cp .env "${ZIEL}/env-${STAND}.txt"
+chmod 600 "${ZIEL}/env-${STAND}.txt"
+
+echo "Entferne Sicherungen älter als ${AUFBEWAHRUNG_TAGE} Tage …"
+find "$ZIEL" -maxdepth 1 -name "*-*.sql.gz" -mtime "+${AUFBEWAHRUNG_TAGE}" -delete
+find "$ZIEL" -maxdepth 1 -name "*-*.tar.gz" -mtime "+${AUFBEWAHRUNG_TAGE}" -delete
+find "$ZIEL" -maxdepth 1 -name "env-*.txt" -mtime "+${AUFBEWAHRUNG_TAGE}" -delete
+
+echo "Fertig: ${ZIEL}"
+ls -lh "$ZIEL" | tail -n 5

deploy/community-scripts/README.md

@@ -0,0 +1,63 @@
+# Installation als LXC-Container nach Art der Proxmox VE Helper-Scripts
+
+Diese beiden Skripte folgen den Konventionen von [community-scripts.org](https://community-scripts.org)
+(der Nachfolge von tteck's Helper-Scripts). Sie legen einen unprivilegierten Debian-13-Container an,
+installieren Node.js 24 und PostgreSQL 17, holen ProxLedger aus dem Git-Repository, richten zwei
+systemd-Dienste ein (Dashboard und Worker) und schreiben die erzeugten Zugangsdaten nach
+`/opt/proxledger/.credentials`.
+
+| Datei | Zweck |
+|---|---|
+| `ct/proxledger.sh` | Container anlegen, Ressourcen abfragen, Aktualisierung (`update_script`) |
+| `install/proxledger-install.sh` | Installation im Container |
+
+## Verwendung im eigenen Netz
+
+Auf dem Proxmox-VE-Host als root:
+
+```bash
+bash -c "$(curl -fsSL https://git.wilde-server.de/fw/ProxLedger/raw/branch/main/deploy/community-scripts/ct/proxledger.sh)"
+```
+
+Das Gerüst (`build.func`, `install.func`) lädt das Skript von den community-scripts nach – das ist
+öffentlich und ohne Konto erreichbar. Nur ProxLedger selbst kommt aus dem eigenen Git.
+
+Zwei Umgebungsvariablen steuern die Quelle, solange das Repository nicht öffentlich ist:
+
+```bash
+PROXLEDGER_REPO=https://git.example.de/fw/ProxLedger.git PROXLEDGER_BRANCH=main bash -c "$(curl -fsSL …)"
+```
+
+Ist das Git-Repository nicht ohne Anmeldung lesbar, gehört ein Lesezugriffs-Token in die Adresse
+(`https://<token>@git.example.de/...`). Das Token landet dann in der Prozessliste des Containers –
+also besser einen Deploy-Token verwenden, der nur lesen darf.
+
+## Was eine Einreichung bei community-scripts verlangen würde
+
+Wir liefern die Skripte vorerst **nur intern** aus. Für eine Einreichung wären zusätzlich nötig:
+
+1. **Öffentlich erreichbarer Quelltext.** Die Skripte dort holen die Anwendung praktisch immer aus
+   einem öffentlichen GitHub-Repository (`fetch_and_deploy_gh_release`). Ein privates Gitea genügt nicht.
+2. **Pull Request gegen [ProxmoxVED](https://github.com/community-scripts/ProxmoxVED)**, nicht gegen
+   ProxmoxVE. Neue Skripte, die direkt gegen ProxmoxVE eingereicht werden, werden ohne Prüfung
+   geschlossen.
+3. **MIT-Lizenz** im eigenen Repository und der Lizenzkopf in beiden Skripten (steht bereits darin).
+4. **Englische Dokumentation** – die Skripte selbst sind auf Englisch gehalten, die deutschen
+   Kommentare in diesem Verzeichnis müssten übersetzt werden.
+5. **Metadaten für die Webseite.** Die JSON-Dateien liegen inzwischen nicht mehr im Skript-Repository;
+   wo sie hingehören, steht in der aktuellen Beitragsanleitung. Das ist beim Einreichen zu prüfen.
+
+Die Skripte sind so geschrieben, dass für eine spätere Einreichung nur die Quelle zu tauschen und die
+Kommentare zu übersetzen sind – am Ablauf ändert sich nichts.
+
+## Unterschied zum Docker-Weg
+
+| | Helper-Script (LXC) | Docker Compose |
+|---|---|---|
+| Umgebung | eigener Container auf dem Proxmox-Host | beliebiger Docker-Host |
+| Datenbank | PostgreSQL im selben Container | eigener Dienst |
+| Aktualisierung | `update`-Weg des Skripts | `bash deploy/update.sh` |
+| Sicherung | Proxmox-Sicherung des Containers | `bash deploy/backup.sh` |
+
+Beide Wege sind gleichwertig. Wer ohnehin Proxmox betreibt, fährt mit dem LXC-Weg meist einfacher –
+die Sicherung des Containers erledigt dann die gewohnte Proxmox-Sicherung mit.

deploy/community-scripts/ct/proxledger.sh

@@ -0,0 +1,74 @@
+#!/usr/bin/env bash
+_CS_DEFAULT_URL="https://raw.githubusercontent.com/community-scripts/ProxmoxVE/main"
+_cs_boot="${COMMUNITY_SCRIPTS_CORE_DIR:-$(dirname "${BASH_SOURCE[0]}")/../../core}/core/build.func"
+source "$_cs_boot" 2>/dev/null || source <(curl -fsSL "${COMMUNITY_SCRIPTS_CORE_URL:-https://raw.githubusercontent.com/community-scripts/core/main}/core/build.func")
+# Copyright (c) 2021-2026 tteck
+# Author: Florian Wilde
+# License: MIT | https://github.com/community-scripts/ProxmoxVE/raw/main/LICENSE
+# Source: https://git.wilde-server.de/fw/ProxLedger
+
+APP="ProxLedger"
+var_tags="${var_tags:-monitoring;licensing}"
+var_cpu="${var_cpu:-2}"
+var_ram="${var_ram:-2048}"
+var_disk="${var_disk:-10}"
+var_os="${var_os:-debian}"
+var_version="${var_version:-13}"
+var_arm64="${var_arm64:-yes}"
+var_unprivileged="${var_unprivileged:-1}"
+
+header_info "$APP"
+variables
+color
+catch_errors
+
+function update_script() {
+  header_info
+  check_container_storage
+  check_container_resources
+
+  if [[ ! -d /opt/proxledger ]]; then
+    msg_error "No ${APP} Installation Found!"
+    exit
+  fi
+
+  NODE_VERSION="24" setup_nodejs
+
+  msg_info "Stopping Services"
+  systemctl stop proxledger proxledger-worker
+  msg_ok "Stopped Services"
+
+  # Die .env traegt APP_SECRET; geht sie verloren, sind Sitzungen und gespeicherte
+  # Zugangsdaten unbrauchbar. Deshalb vor jedem Update sichern und danach zurueckspielen.
+  create_backup /opt/proxledger/.env
+
+  msg_info "Updating ${APP}"
+  cd /opt/proxledger
+  $STD git pull --ff-only
+  $STD npm ci
+  $STD npx prisma generate
+  $STD npx prisma migrate deploy
+  $STD npm run build
+  $STD npm run build:worker
+  msg_ok "Updated ${APP}"
+
+  restore_backup
+
+  msg_info "Starting Services"
+  systemctl start proxledger proxledger-worker
+  msg_ok "Started Services"
+
+  msg_ok "Update Successful"
+  exit
+}
+
+start
+build_container
+description
+
+msg_ok "Completed Successfully!\n"
+echo -e "${CREATING}${GN}${APP} setup has been successfully initialized!${CL}"
+echo -e "${INFO}${YW} Access it using the following URL:${CL}"
+echo -e "${TAB}${GATEWAY}${BGN}http://${IP}:3000${CL}"
+echo -e "${INFO}${YW} Login credentials are in:${CL}"
+echo -e "${TAB}${GATEWAY}${BGN}/opt/proxledger/.credentials${CL}"

deploy/community-scripts/install/proxledger-install.sh

@@ -0,0 +1,127 @@
+#!/usr/bin/env bash
+
+# Copyright (c) 2021-2026 tteck
+# Author: Florian Wilde
+# License: MIT | https://github.com/community-scripts/ProxmoxVE/raw/main/LICENSE
+# Source: https://git.wilde-server.de/fw/ProxLedger
+
+source /dev/stdin <<<"$FUNCTIONS_FILE_PATH"
+color
+verb_ip6
+catch_errors
+setting_up_container
+network_check
+update_os
+
+# Die Quelle laesst sich ueberschreiben, solange das Repository nicht oeffentlich ist.
+QUELLE="${PROXLEDGER_REPO:-https://git.wilde-server.de/fw/ProxLedger.git}"
+ZWEIG="${PROXLEDGER_BRANCH:-main}"
+
+msg_info "Installing Dependencies"
+$STD apt install -y git ca-certificates
+msg_ok "Installed Dependencies"
+
+NODE_VERSION="24" setup_nodejs
+PG_VERSION="17" setup_postgresql
+
+msg_info "Setting up Database"
+DB_NAME="proxledger"
+DB_USER="proxledger"
+DB_PASS=$(openssl rand -base64 24 | tr -dc 'A-Za-z0-9' | head -c 24)
+ADMIN_PASS=$(openssl rand -base64 24 | tr -dc 'A-Za-z0-9' | head -c 20)
+# APP_SECRET signiert die Sitzungen und verschluesselt gespeicherte Zugangsdaten.
+APP_SECRET=$(openssl rand -base64 48)
+
+$STD sudo -u postgres psql -c "CREATE USER ${DB_USER} WITH PASSWORD '${DB_PASS}';"
+$STD sudo -u postgres psql -c "CREATE DATABASE ${DB_NAME} WITH OWNER ${DB_USER} ENCODING 'UTF8';"
+msg_ok "Set up Database"
+
+msg_info "Setting up ProxLedger"
+$STD git clone --branch "$ZWEIG" --depth 1 "$QUELLE" /opt/proxledger
+cd /opt/proxledger
+
+IP_ADRESSE=$(hostname -I | awk '{print $1}')
+cat <<EOF >/opt/proxledger/.env
+DATABASE_URL="postgresql://${DB_USER}:${DB_PASS}@localhost:5432/${DB_NAME}?schema=public"
+APP_SECRET="${APP_SECRET}"
+APP_URL="http://${IP_ADRESSE}:3000"
+ADMIN_EMAIL="admin@proxledger.local"
+ADMIN_NAME="Administrator"
+ADMIN_PASSWORD="${ADMIN_PASS}"
+UPLOAD_DIR="/opt/proxledger/data/uploads"
+NODE_ENV="production"
+PORT="3000"
+EOF
+chmod 600 /opt/proxledger/.env
+mkdir -p /opt/proxledger/data/uploads
+
+$STD npm ci
+$STD npx prisma generate
+$STD npx prisma migrate deploy
+$STD npx prisma db seed
+$STD npm run build
+$STD npm run build:worker
+msg_ok "Set up ProxLedger"
+
+msg_info "Creating Services"
+cat <<EOF >/etc/systemd/system/proxledger.service
+[Unit]
+Description=ProxLedger Dashboard
+After=network.target postgresql.service
+Requires=postgresql.service
+
+[Service]
+Type=simple
+WorkingDirectory=/opt/proxledger
+EnvironmentFile=/opt/proxledger/.env
+ExecStart=/usr/bin/npm run start
+Restart=always
+RestartSec=10
+
+[Install]
+WantedBy=multi-user.target
+EOF
+
+cat <<EOF >/etc/systemd/system/proxledger-worker.service
+[Unit]
+Description=ProxLedger Worker (Warnregeln und Benachrichtigungen)
+After=network.target postgresql.service
+Requires=postgresql.service
+
+[Service]
+Type=simple
+WorkingDirectory=/opt/proxledger
+EnvironmentFile=/opt/proxledger/.env
+ExecStart=/usr/bin/node dist/worker.mjs
+Restart=always
+RestartSec=10
+
+[Install]
+WantedBy=multi-user.target
+EOF
+
+systemctl enable -q --now proxledger proxledger-worker
+msg_ok "Created Services"
+
+# Die Zugangsdaten liegen fuer den Betreiber lesbar im Container; APP_SECRET steht in der .env.
+{
+  echo "ProxLedger"
+  echo "Adresse:     http://${IP_ADRESSE}:3000"
+  echo "Benutzer:    admin@proxledger.local"
+  echo "Passwort:    ${ADMIN_PASS}"
+  echo
+  echo "Datenbank:   ${DB_NAME} / ${DB_USER} / ${DB_PASS}"
+  echo
+  echo "Wichtig: APP_SECRET aus /opt/proxledger/.env mitsichern."
+  echo "Ohne diesen Wert sind Sitzungen und gespeicherte Zugangsdaten unbrauchbar."
+} >>~/proxledger.creds
+cp ~/proxledger.creds /opt/proxledger/.credentials
+chmod 600 /opt/proxledger/.credentials
+
+motd_ssh
+customize
+
+msg_info "Cleaning up"
+$STD apt -y autoremove
+$STD apt -y autoclean
+msg_ok "Cleaned"

deploy/lxc-installer.sh

@@ -0,0 +1,184 @@
+#!/usr/bin/env bash
+# ProxLedger – Installation als LXC-Container auf einem Proxmox-VE-Host.
+#
+# Auf dem Proxmox-Host ausführen:
+#   bash lxc-installer.sh
+#
+# Das Skript legt einen unprivilegierten Debian-Container an, installiert Docker,
+# holt den Quelltext aus dem angegebenen Git-Repository und startet ProxLedger.
+
+set -o errexit
+set -o nounset
+set -o pipefail
+
+VORLAGE="debian-13-standard"
+STANDARD_HOSTNAME="proxledger"
+STANDARD_CPU=2
+STANDARD_RAM=2048
+STANDARD_PLATTE=12
+STANDARD_BRIDGE="vmbr0"
+
+blau() { printf '\033[1;36m%s\033[0m\n' "$*"; }
+gruen() { printf '\033[1;32m✓ %s\033[0m\n' "$*"; }
+gelb() { printf '\033[1;33m! %s\033[0m\n' "$*"; }
+fehler() {
+  printf '\033[1;31m✗ %s\033[0m\n' "$*" >&2
+  exit 1
+}
+
+frage() {
+  local text="$1" standard="${2:-}" antwort
+  if [ -n "$standard" ]; then
+    read -r -p "$text [$standard]: " antwort
+    printf '%s' "${antwort:-$standard}"
+  else
+    read -r -p "$text: " antwort
+    printf '%s' "$antwort"
+  fi
+}
+
+# --------------------------------------------------------------- Voraussetzungen
+
+[ "$(id -u)" -eq 0 ] || fehler "Bitte als root auf dem Proxmox-Host ausführen."
+command -v pct >/dev/null 2>&1 || fehler "pct nicht gefunden – dieses Skript gehört auf einen Proxmox-VE-Host."
+
+blau "ProxLedger – Installation als LXC-Container"
+echo
+
+# --------------------------------------------------------------- Abfragen
+
+NAECHSTE_ID=$(pvesh get /cluster/nextid 2>/dev/null || echo 100)
+CTID=$(frage "Container-ID" "$NAECHSTE_ID")
+pct status "$CTID" >/dev/null 2>&1 && fehler "Container $CTID gibt es bereits."
+
+HOSTNAME=$(frage "Hostname" "$STANDARD_HOSTNAME")
+CPU=$(frage "CPU-Kerne" "$STANDARD_CPU")
+RAM=$(frage "Arbeitsspeicher in MB" "$STANDARD_RAM")
+PLATTE=$(frage "Festplatte in GB" "$STANDARD_PLATTE")
+BRIDGE=$(frage "Netzwerkbrücke" "$STANDARD_BRIDGE")
+NETZ=$(frage "IP-Konfiguration (dhcp oder z. B. 192.168.1.50/24)" "dhcp")
+
+if [ "$NETZ" != "dhcp" ]; then
+  GATEWAY=$(frage "Gateway" "${NETZ%.*}.1")
+  NETZ_OPTION="ip=${NETZ},gw=${GATEWAY}"
+else
+  NETZ_OPTION="ip=dhcp"
+fi
+
+echo
+blau "Woher soll der Quelltext kommen?"
+REPO=$(frage "Git-Repository (z. B. https://git.example.de/benutzer/ProxLedger.git)")
+[ -n "$REPO" ] || fehler "Ohne Repository kann nichts installiert werden."
+ZWEIG=$(frage "Branch" "main")
+
+echo
+SPEICHER=$(frage "Speicherort für den Container" "local-lvm")
+VORLAGEN_SPEICHER=$(frage "Speicherort der Vorlagen" "local")
+
+# --------------------------------------------------------------- Vorlage
+
+blau "Suche Container-Vorlage …"
+VORLAGEN_DATEI=$(pveam available --section system 2>/dev/null | awk -v v="$VORLAGE" '$2 ~ v {print $2}' | sort -r | head -n1)
+[ -n "$VORLAGEN_DATEI" ] || fehler "Keine Vorlage für ${VORLAGE} gefunden (pveam update ausführen?)."
+
+if ! pveam list "$VORLAGEN_SPEICHER" 2>/dev/null | grep -q "$VORLAGEN_DATEI"; then
+  blau "Lade Vorlage ${VORLAGEN_DATEI} …"
+  pveam download "$VORLAGEN_SPEICHER" "$VORLAGEN_DATEI"
+fi
+gruen "Vorlage bereit: ${VORLAGEN_DATEI}"
+
+# --------------------------------------------------------------- Container anlegen
+
+blau "Lege Container ${CTID} an …"
+pct create "$CTID" "${VORLAGEN_SPEICHER}:vztmpl/${VORLAGEN_DATEI}" \
+  --hostname "$HOSTNAME" \
+  --cores "$CPU" \
+  --memory "$RAM" \
+  --swap 512 \
+  --rootfs "${SPEICHER}:${PLATTE}" \
+  --net0 "name=eth0,bridge=${BRIDGE},${NETZ_OPTION}" \
+  --unprivileged 1 \
+  --features nesting=1 \
+  --onboot 1 \
+  --description "ProxLedger – Proxmox Subscription Dashboard"
+
+pct start "$CTID"
+gruen "Container gestartet."
+
+blau "Warte auf das Netzwerk …"
+for _ in $(seq 1 30); do
+  pct exec "$CTID" -- ping -c1 -W1 deb.debian.org >/dev/null 2>&1 && break
+  sleep 2
+done
+
+# --------------------------------------------------------------- Software
+
+blau "Installiere Docker im Container …"
+pct exec "$CTID" -- bash -c "
+  set -e
+  export DEBIAN_FRONTEND=noninteractive
+  apt-get update -qq
+  apt-get install -y -qq ca-certificates curl git openssl >/dev/null
+  install -m 0755 -d /etc/apt/keyrings
+  curl -fsSL https://download.docker.com/linux/debian/gpg -o /etc/apt/keyrings/docker.asc
+  chmod a+r /etc/apt/keyrings/docker.asc
+  echo \"deb [arch=\$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.asc] https://download.docker.com/linux/debian \$(. /etc/os-release && echo \$VERSION_CODENAME) stable\" > /etc/apt/sources.list.d/docker.list
+  apt-get update -qq
+  apt-get install -y -qq docker-ce docker-ce-cli containerd.io docker-compose-plugin >/dev/null
+  systemctl enable --now docker >/dev/null
+"
+gruen "Docker installiert."
+
+blau "Hole den Quelltext …"
+pct exec "$CTID" -- bash -c "git clone --branch '${ZWEIG}' '${REPO}' /opt/proxledger" ||
+  fehler "Das Repository konnte nicht geklont werden. Bei privaten Repositories einen Token in der Adresse verwenden."
+gruen "Quelltext liegt in /opt/proxledger."
+
+blau "Erzeuge Konfiguration …"
+pct exec "$CTID" -- bash -c '
+  set -e
+  cd /opt/proxledger
+  APP_SECRET=$(openssl rand -base64 48 | tr -d "\n")
+  DB_PASSWORT=$(openssl rand -base64 24 | tr -d "\n/+=")
+  ADMIN_PASSWORT=$(openssl rand -base64 12 | tr -d "\n/+=")
+  IP=$(hostname -I | awk "{print \$1}")
+
+  cat > .env <<CONF
+POSTGRES_USER=proxledger
+POSTGRES_PASSWORD=${DB_PASSWORT}
+POSTGRES_DB=proxledger
+PORT=3000
+APP_SECRET=${APP_SECRET}
+APP_URL=http://${IP}:3000
+ADMIN_EMAIL=admin@example.de
+ADMIN_NAME=Administrator
+ADMIN_PASSWORD=${ADMIN_PASSWORT}
+CONF
+  chmod 600 .env
+  echo "${ADMIN_PASSWORT}" > /root/proxledger-admin-passwort.txt
+  chmod 600 /root/proxledger-admin-passwort.txt
+'
+gruen "Konfiguration geschrieben (/opt/proxledger/.env, Rechte 600)."
+
+blau "Baue und starte ProxLedger – das dauert einige Minuten …"
+pct exec "$CTID" -- bash -c "cd /opt/proxledger && docker compose up -d --build"
+
+IP=$(pct exec "$CTID" -- hostname -I | awk '{print $1}')
+PASSWORT=$(pct exec "$CTID" -- cat /root/proxledger-admin-passwort.txt)
+
+echo
+gruen "ProxLedger läuft."
+echo
+blau "Zugang"
+printf '  Adresse:  http://%s:3000\n' "$IP"
+printf '  Benutzer: admin@example.de\n'
+printf '  Passwort: %s\n' "$PASSWORT"
+echo
+blau "Nächste Schritte"
+printf '  1. Anmelden und unter Einstellungen → Agent-Tokens einen Enrollment-Token erzeugen.\n'
+printf '  2. Auf jedem Proxmox-Host: curl -fsSL http://%s:3000/install.sh | bash -s -- --token <TOKEN>\n' "$IP"
+printf '  3. Für den Betrieb über HTTPS einen Reverse Proxy davorsetzen (Beispiele in deploy/).\n'
+echo
+gelb "APP_URL in /opt/proxledger/.env auf die endgültige Adresse setzen, sobald der Reverse Proxy steht."
+printf '  Logs ansehen:   pct exec %s -- docker compose -f /opt/proxledger/docker-compose.yml logs -f\n' "$CTID"
+printf '  Aktualisieren:  pct exec %s -- bash -c "cd /opt/proxledger && git pull && docker compose up -d --build"\n' "$CTID"

deploy/reverse-proxy/caddy.example

@@ -0,0 +1,6 @@
+# Caddy kümmert sich selbst um das Zertifikat.
+# Datei: /etc/caddy/Caddyfile
+
+proxledger.example.de {
+	reverse_proxy 127.0.0.1:3000
+}

deploy/reverse-proxy/nginx.example

@@ -0,0 +1,29 @@
+# nginx mit Zertifikat von certbot.
+# Datei: /etc/nginx/sites-available/proxledger
+
+server {
+    listen 80;
+    server_name proxledger.example.de;
+    return 301 https://$host$request_uri;
+}
+
+server {
+    listen 443 ssl http2;
+    server_name proxledger.example.de;
+
+    ssl_certificate     /etc/letsencrypt/live/proxledger.example.de/fullchain.pem;
+    ssl_certificate_key /etc/letsencrypt/live/proxledger.example.de/privkey.pem;
+
+    # Rechnungs-PDFs können größer sein als die Standardgrenze.
+    client_max_body_size 12m;
+
+    location / {
+        proxy_pass http://127.0.0.1:3000;
+        proxy_http_version 1.1;
+        proxy_set_header Host              $host;
+        proxy_set_header X-Real-IP         $remote_addr;
+        # Die Agent-API wertet diese Kopfzeile für das Rate-Limit aus.
+        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
+        proxy_set_header X-Forwarded-Proto $scheme;
+    }
+}

deploy/reverse-proxy/traefik.example

@@ -0,0 +1,8 @@
+# Traefik: diese Labels an den Dienst „web“ in der docker-compose.yml hängen.
+
+labels:
+  - "traefik.enable=true"
+  - "traefik.http.routers.proxledger.rule=Host(`proxledger.example.de`)"
+  - "traefik.http.routers.proxledger.entrypoints=websecure"
+  - "traefik.http.routers.proxledger.tls.certresolver=letsencrypt"
+  - "traefik.http.services.proxledger.loadbalancer.server.port=3000"

deploy/start.sh

@@ -0,0 +1,21 @@
+#!/bin/sh
+# Startet Dashboard oder Worker. Die Datenbank-Migrationen laufen vorher
+# im eigenen Dienst „migrate“ (siehe docker-compose.yml).
+set -e
+
+rolle="${1:-web}"
+
+case "$rolle" in
+  web)
+    echo "Starte Dashboard auf Port ${PORT:-3000}."
+    exec node server.js
+    ;;
+  worker)
+    echo "Starte Worker."
+    exec node dist/worker.mjs
+    ;;
+  *)
+    echo "Unbekannte Rolle: $rolle (erwartet: web oder worker)" >&2
+    exit 64
+    ;;
+esac

deploy/update.sh

@@ -0,0 +1,60 @@
+#!/usr/bin/env bash
+# ProxLedger aktualisieren (Docker-Installation).
+#
+#   bash deploy/update.sh            # Quelltext holen, neu bauen, migrieren, neu starten
+#   bash deploy/update.sh --ohne-sicherung
+#
+# Vor dem Aktualisieren wird gesichert – das dauert Sekunden und erspart schlechte Abende.
+
+set -o errexit
+set -o nounset
+set -o pipefail
+
+VERZEICHNIS=$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)
+cd "$VERZEICHNIS"
+
+blau() { printf '\033[1;36m› %s\033[0m\n' "$*"; }
+gruen() { printf '\033[1;32m✓ %s\033[0m\n' "$*"; }
+fehler() {
+  printf '\033[1;31m✗ %s\033[0m\n' "$*" >&2
+  exit 1
+}
+
+SICHERN="ja"
+[ "${1:-}" = "--ohne-sicherung" ] && SICHERN="nein"
+
+command -v docker >/dev/null 2>&1 || fehler "Docker nicht gefunden."
+[ -f .env ] || fehler "Keine .env gefunden – wird dieses Skript im richtigen Verzeichnis ausgeführt?"
+
+if [ "$SICHERN" = "ja" ]; then
+  blau "Sicherung anlegen …"
+  bash deploy/backup.sh
+  gruen "Sicherung abgeschlossen."
+fi
+
+if [ -d .git ]; then
+  blau "Neuen Stand holen …"
+  git pull --ff-only
+fi
+
+blau "Abbilder neu bauen …"
+docker compose build --pull
+
+blau "Datenbank migrieren …"
+docker compose run --rm migrate
+
+blau "Dienste neu starten …"
+docker compose up -d
+
+# Kurz warten und nachsehen, ob das Dashboard wieder antwortet.
+blau "Warte auf das Dashboard …"
+for versuch in $(seq 1 30); do
+  if docker compose exec -T web wget -qO- http://localhost:3000/api/gesundheit >/dev/null 2>&1; then
+    gruen "ProxLedger läuft wieder (nach ${versuch} s)."
+    docker compose ps
+    exit 0
+  fi
+  sleep 1
+done
+
+fehler "Das Dashboard antwortet nicht. Protokoll ansehen: docker compose logs -n 50 web"

deploy/worker-banner.js

@@ -0,0 +1,8 @@
+// esbuild-Banner: stellt `require` in der ESM-Ausgabe bereit, damit eingebundene
+// Pakete weiterhin CommonJS-Module wie `fs` laden können.
+import { createRequire as __createRequire } from "node:module";
+import { fileURLToPath as __fileURLToPath } from "node:url";
+import { dirname as __dirname_fn } from "node:path";
+const require = __createRequire(import.meta.url);
+const __filename = __fileURLToPath(import.meta.url);
+const __dirname = __dirname_fn(__filename);

docker-compose.dev.yml

@@ -0,0 +1,23 @@
+# PostgreSQL für die lokale Entwicklung. Die vollständige Compose-Datei
+# (App + Worker + Datenbank) entsteht in #014.
+services:
+  postgres:
+    image: postgres:17-alpine
+    container_name: proxledger-postgres-dev
+    restart: unless-stopped
+    environment:
+      POSTGRES_USER: proxledger
+      POSTGRES_PASSWORD: proxledger
+      POSTGRES_DB: proxledger
+    ports:
+      - "5433:5432"
+    volumes:
+      - proxledger-dev-db:/var/lib/postgresql/data
+    healthcheck:
+      test: ["CMD-SHELL", "pg_isready -U proxledger"]
+      interval: 5s
+      timeout: 3s
+      retries: 10
+
+volumes:
+  proxledger-dev-db:

docker-compose.yml

@@ -0,0 +1,97 @@
+# ProxLedger – vollständige Installation mit Dashboard, Worker und Datenbank.
+#   1. cp .env.example .env  und Werte eintragen (mindestens APP_SECRET, POSTGRES_PASSWORD, ADMIN_*, APP_URL)
+#   2. docker compose up -d
+# Migrationen und der erste Administrator entstehen dabei automatisch im Dienst „migrate“.
+
+services:
+  postgres:
+    image: postgres:17-alpine
+    restart: unless-stopped
+    environment:
+      POSTGRES_USER: ${POSTGRES_USER:-proxledger}
+      POSTGRES_PASSWORD: ${POSTGRES_PASSWORD:?POSTGRES_PASSWORD fehlt in der .env}
+      POSTGRES_DB: ${POSTGRES_DB:-proxledger}
+    volumes:
+      - datenbank:/var/lib/postgresql/data
+    healthcheck:
+      test: ["CMD-SHELL", "pg_isready -U ${POSTGRES_USER:-proxledger}"]
+      interval: 10s
+      timeout: 5s
+      retries: 10
+
+  # Läuft einmal beim Start: Schema einspielen und Administrator anlegen.
+  migrate:
+    build:
+      context: .
+      target: bauen
+    restart: "no"
+    depends_on:
+      postgres:
+        condition: service_healthy
+    command: ["sh", "-c", "npx prisma migrate deploy && npx prisma db seed"]
+    environment:
+      DATABASE_URL: postgresql://${POSTGRES_USER:-proxledger}:${POSTGRES_PASSWORD}@postgres:5432/${POSTGRES_DB:-proxledger}?schema=public
+      ADMIN_EMAIL: ${ADMIN_EMAIL:-admin@example.de}
+      ADMIN_NAME: ${ADMIN_NAME:-Administrator}
+      ADMIN_PASSWORD: ${ADMIN_PASSWORD:-}
+      SEED_DEMO: ${SEED_DEMO:-0}
+
+  web:
+    build: .
+    restart: unless-stopped
+    depends_on:
+      postgres:
+        condition: service_healthy
+      migrate:
+        condition: service_completed_successfully
+    environment:
+      DATABASE_URL: postgresql://${POSTGRES_USER:-proxledger}:${POSTGRES_PASSWORD}@postgres:5432/${POSTGRES_DB:-proxledger}?schema=public
+      APP_SECRET: ${APP_SECRET:?APP_SECRET fehlt in der .env}
+      APP_URL: ${APP_URL:-http://localhost:3000}
+      ADMIN_EMAIL: ${ADMIN_EMAIL:-admin@example.de}
+      ADMIN_NAME: ${ADMIN_NAME:-Administrator}
+      ADMIN_PASSWORD: ${ADMIN_PASSWORD:-}
+      OIDC_ISSUER: ${OIDC_ISSUER:-}
+      OIDC_CLIENT_ID: ${OIDC_CLIENT_ID:-}
+      OIDC_CLIENT_SECRET: ${OIDC_CLIENT_SECRET:-}
+      OIDC_NAME: ${OIDC_NAME:-authentik}
+    ports:
+      - "${PORT:-3000}:3000"
+    volumes:
+      - uploads:/data
+    healthcheck:
+      test: ["CMD", "wget", "-qO-", "http://localhost:3000/api/gesundheit"]
+      interval: 30s
+      timeout: 5s
+      retries: 5
+      start_period: 20s
+
+  worker:
+    build: .
+    restart: unless-stopped
+    command: ["./start.sh", "worker"]
+    depends_on:
+      postgres:
+        condition: service_healthy
+      migrate:
+        condition: service_completed_successfully
+    environment:
+      DATABASE_URL: postgresql://${POSTGRES_USER:-proxledger}:${POSTGRES_PASSWORD}@postgres:5432/${POSTGRES_DB:-proxledger}?schema=public
+      APP_SECRET: ${APP_SECRET}
+      APP_URL: ${APP_URL:-http://localhost:3000}
+      WORKER_CRON: ${WORKER_CRON:-0 * * * *}
+      ZUSAMMENFASSUNG_CRON: ${ZUSAMMENFASSUNG_CRON:-0 7 * * *}
+      AUFRAEUM_CRON: ${AUFRAEUM_CRON:-30 3 * * *}
+    volumes:
+      - uploads:/data
+    healthcheck:
+      # Der Worker spricht kein HTTP; geprüft wird schlicht, ob der Prozess noch da ist.
+      test: ["CMD-SHELL", "pgrep -f dist/worker.mjs > /dev/null"]
+      interval: 60s
+      timeout: 5s
+      retries: 3
+      start_period: 20s
+
+volumes:
+  datenbank:
+  uploads:

docs/anleitung/README.md

@@ -0,0 +1,465 @@
+# ProxLedger – Handbuch
+
+ProxLedger zeigt auf einen Blick, welche Proxmox-Subscription zu welchem Host und zu welchem Kunden
+gehört, wann sie ausläuft und ob die Rechnungen dazu erledigt sind. Auf jedem Host meldet ein kleiner
+Agent einmal täglich seinen Status – das Dashboard fragt die Hosts nie aktiv ab und funktioniert deshalb
+auch mit Hosts hinter NAT.
+
+**Inhalt**
+
+1. [Installation](#1-installation)
+2. [Erste Anmeldung](#2-erste-anmeldung)
+3. [Agent auf einem Host ausrollen](#3-agent-auf-einem-host-ausrollen)
+4. [Hosts einem Kunden zuweisen](#4-hosts-einem-kunden-zuweisen)
+4a. [Cluster](#4a-cluster)
+5. [Kunden und Standorte pflegen](#5-kunden-und-standorte-pflegen)
+6. [Laufzeiten und Rechnungen](#6-laufzeiten-und-rechnungen)
+7. [Warnungen](#7-warnungen)
+8. [Benachrichtigungen einrichten](#8-benachrichtigungen-einrichten)
+9. [Exporte](#9-exporte)
+9a. [Einstellungen](#9a-einstellungen)
+9b. [Benutzer, Rollen und Passkeys](#9b-benutzer-rollen-und-passkeys)
+10. [Sicherung und Aktualisierung](#10-sicherung-und-aktualisierung)
+11. [Fehlersuche](#11-fehlersuche)
+
+---
+
+## 1. Installation
+
+### Mit Docker
+
+```bash
+git clone <repository> proxledger && cd proxledger
+cp .env.example .env
+```
+
+In der `.env` mindestens setzen:
+
+| Wert | Bedeutung |
+|---|---|
+| `APP_SECRET` | Schlüssel für die Sitzungen, mindestens 32 Zeichen (`openssl rand -base64 48`) |
+| `POSTGRES_PASSWORD` | Passwort der mitgelieferten Datenbank |
+| `ADMIN_EMAIL`, `ADMIN_PASSWORD` | erster Zugang zum Dashboard |
+| `APP_URL` | Adresse, unter der das Dashboard erreichbar ist |
+
+Dann starten:
+
+```bash
+docker compose up -d
+```
+
+Beim ersten Start legt der Dienst `migrate` das Datenbankschema an und erzeugt den Administrator.
+
+> **Wichtig:** `APP_URL` muss zur tatsächlichen Adresse passen. Davon hängt ab, ob das Sitzungs-Cookie als
+> `Secure` markiert wird – bei falscher Angabe funktioniert die Anmeldung nicht.
+
+### Auf einem Proxmox-Host als LXC-Container
+
+```bash
+bash deploy/lxc-installer.sh
+```
+
+Das Skript fragt Container-ID, Ressourcen und Netzwerk ab, legt einen Debian-Container an, installiert
+Docker, holt den Quelltext, erzeugt Zufallspasswörter und startet alles. Am Ende stehen Adresse,
+Benutzername und Passwort auf dem Bildschirm; das Passwort liegt zusätzlich in
+`/root/proxledger-admin-passwort.txt` im Container.
+
+Für den dauerhaften Betrieb gehört ein Reverse Proxy mit HTTPS davor – Beispiele für Caddy, nginx und
+Traefik liegen in [`deploy/reverse-proxy/`](../../deploy/reverse-proxy/).
+
+---
+
+## 2. Erste Anmeldung
+
+![Anmeldeseite](bilder/login.png)
+
+Anmelden mit der E-Mail-Adresse und dem Passwort aus der `.env`. Ist ein Anmeldedienst über OIDC
+eingerichtet (`OIDC_ISSUER`, `OIDC_CLIENT_ID`, `OIDC_CLIENT_SECRET`), erscheint zusätzlich ein Knopf
+„Mit authentik anmelden“. Der lokale Zugang bleibt absichtlich immer nutzbar – falls der Anmeldedienst
+einmal ausfällt, kommst du trotzdem hinein.
+
+Nach der Anmeldung landest du auf dem Dashboard:
+
+![Dashboard](bilder/dashboard.png)
+
+Von oben nach unten:
+
+- **Vier Kacheln** mit den Kennzahlen: gemeldete Hosts, aktiv lizenziert, Ablauf innerhalb von 30 Tagen,
+  offene Rechnungspunkte. Jede Kachel führt auf die passende gefilterte Liste.
+- **Subscriptions nach Ablaufdatum:** die nächste Fälligkeit zuerst, mit Kunde, Key und beiden
+  Rechnungsständen. Rot bedeutet weniger als 14 Tage, gelb weniger als 30.
+- **Aufgaben:** was konkret zu tun ist. Das Häkchen setzt den Rechnungsstatus direkt.
+- **Rechnungsstatus je Kunde:** wie viele Punkte je Kunde erledigt sind.
+
+---
+
+## 3. Agent auf einem Host ausrollen
+
+Zuerst im Dashboard unter *Einstellungen → Agent-Tokens* einen Enrollment-Token erzeugen:
+
+![Agent-Tokens](bilder/tokens.png)
+
+- **Bezeichnung:** wofür der Token gedacht ist, etwa „Rollout Brandl“.
+- **Hosts direkt zuordnen zu:** Wird hier ein Kunde gewählt, gehören alle mit diesem Token registrierten
+  Hosts sofort zu diesem Kunden – die spätere Zuweisung entfällt.
+- **Gültigkeit und Nutzungen** begrenzen den Schaden, falls der Token verloren geht.
+
+Der Token wird **nur einmal angezeigt**. Direkt darunter steht der fertige Befehl. Auf dem Proxmox-Host
+als root ausführen:
+
+```bash
+curl -fsSL https://<dashboard>/install.sh | bash -s -- --token plx_e_…
+```
+
+Der Installer erkennt selbst, ob es sich um Proxmox VE, Backup Server oder Mail Gateway handelt,
+registriert den Host, legt die Konfiguration unter `/etc/proxledger/agent.conf` (Rechte 600) ab,
+richtet einen systemd-Timer ein und schickt sofort den ersten Report.
+
+> **Stand der Erprobung:** Proxmox VE (9.2, mit und ohne Subscription, einzeln und im Cluster) und
+> Proxmox Backup Server (4.2, ohne Subscription) sind auf echten Hosts geprüft. Für **Mail Gateway**
+> stand bisher kein Host zur Verfügung – dort beruht die Auswertung noch auf Annahmen, und bei PBS hat
+> sich genau so eine Annahme als falsch erwiesen. Bitte den ersten PMG-Host nach der Installation
+> kurz gegenprüfen (`proxledger-agent --dry-run` zeigt, was gemeldet würde).
+
+Nützliche Befehle auf dem Host:
+
+| Befehl | Zweck |
+|---|---|
+| `proxledger-agent --test` | Verbindung zum Dashboard prüfen |
+| `proxledger-agent --dry-run` | Report anzeigen, ohne ihn zu senden |
+| `proxledger-agent` | Report sofort senden |
+| `journalctl -t proxledger -n 50` | Protokoll ansehen |
+| `systemctl list-timers proxledger.timer` | nächsten Lauf anzeigen |
+
+Der Timer läuft täglich mit bis zu vier Stunden Zufallsversatz, damit nicht alle Hosts gleichzeitig melden.
+Ist das Dashboard nicht erreichbar, versucht es der Agent dreimal mit wachsendem Abstand und legt den
+Report danach in `/var/lib/proxledger/spool/` ab; beim nächsten Lauf wird er nachgesendet.
+
+**Entfernen:**
+
+```bash
+curl -fsSL https://<dashboard>/install.sh | bash -s -- --uninstall
+```
+
+---
+
+## 4. Hosts einem Kunden zuweisen
+
+Neu registrierte Hosts ohne Kundenbindung erscheinen als Hinweis auf dem Dashboard und unter
+*Hosts → Nicht zugeordnete*:
+
+![Nicht zugeordnete Hosts](bilder/nicht-zugeordnet.png)
+
+Mehrere Hosts auswählen, Kunde und optional Standort wählen, zuweisen – fertig. Die zugehörige Warnung
+schließt sich dabei von selbst.
+
+In der Host-Tabelle findest du jeden Host wieder:
+
+![Host-Tabelle](bilder/hosts.png)
+
+Die Suche greift auf Hostname, FQDN, Subscription-Key, Server-ID, IP-Adresse, Kundenname **und
+Rechnungsnummer** zu. Die Eingabe von `pve1c-a6bd21fcb6` führt also direkt zum passenden Host samt Kunde –
+genau die Zuordnung, die im Proxmox-Shop fehlt.
+
+Alle Filter stehen in der Adresse: Eine gefilterte Liste lässt sich als Lesezeichen speichern oder
+weitergeben, und der Zurück-Knopf funktioniert wie erwartet.
+
+---
+
+## 4a. Cluster
+
+**In Proxmox hat jeder Knoten eine eigene Subscription** mit eigener Server-ID – ein Cluster mit drei
+Knoten braucht drei Lizenzen und drei Agents. Ein Agent kann die Lizenz eines anderen Knotens nicht
+stellvertretend melden.
+
+Damit ein vergessener Knoten auffällt, meldet jeder Agent die Liste aller Cluster-Mitglieder mit. Das
+Dashboard vergleicht sie mit den Hosts, die sich tatsächlich melden:
+
+![Host in einem Cluster](bilder/host-detail-cluster.png)
+
+Hier laufen auf `hv-rz5-pve-02` und `hv-rz5-pve-03` noch keine Agents – das Dashboard sagt es zweimal
+deutlich. Sobald dort installiert wird, schließen sich die Warnungen von selbst.
+
+---
+
+## 5. Kunden und Standorte pflegen
+
+![Kundenübersicht](bilder/kunden.png)
+
+Die Übersicht zeigt je Kunde die Anzahl der Hosts, wie viele davon aktiv lizenziert sind, den nächsten
+Ablauf, offene Warnungen und den Rechnungsstand.
+
+![Kunden-Detail](bilder/kunde-detail.png)
+
+In der Detailansicht stehen Stammdaten, Standorte, alle Hosts, alle Laufzeiten und die Summen pro Jahr
+mit Marge. Die vier Kästen oben fassen Hosts, Einkauf, Verkauf und Marge zusammen.
+
+Standorte sind optional und lohnen sich bei Kunden mit mehreren Filialen: Sie erscheinen in der
+Host-Tabelle und lassen sich bei der Zuweisung mit angeben.
+
+---
+
+## 6. Laufzeiten und Rechnungen
+
+Eine **Laufzeit** ist ein Lizenzjahr eines Hosts, zum Beispiel 24.09.2026 bis 23.09.2027. Dazu gehören
+zwei Rechnungen: die **Proxmox-Rechnung** (Einkauf) und die **Kundenrechnung** (Verkauf). Die Differenz
+ist die Marge.
+
+Meldet ein Agent ein neues Ablaufdatum, legt ProxLedger die passende Laufzeit automatisch als Vorschlag
+an – du trägst nur noch die Rechnungsdaten ein.
+
+![Rechnungen](bilder/rechnungen.png)
+
+In der Tabelle lassen sich die drei Häkchen direkt setzen:
+
+- **Proxmox bezahlt** – setzt zugleich das Bezahldatum.
+- **Kundenrechnung erstellt** – gibt es noch keine Rechnung, legt das Häkchen eine ohne Nummer an; Nummer
+  und Betrag trägst du später nach.
+- **Vom Kunden bezahlt**
+
+Für Details die Laufzeit öffnen:
+
+![Laufzeit mit beiden Rechnungen](bilder/laufzeit-detail.png)
+
+Dort stehen beide Rechnungen mit Nummer, Datum, Fälligkeit, Beträgen, Zahlungsart und PDF-Anhang. Ein
+Vorschlag lässt sich hier bestätigen oder verwerfen; mit dem Erfassen einer Proxmox-Rechnung gilt er
+automatisch als bestätigt.
+
+### Sammelrechnungen
+
+Eine Proxmox-Bestellung umfasst oft mehrere Keys, eine Kundenrechnung oft mehrere Hosts. Dafür braucht es
+keinen eigenen Dialog: **Trägst du bei einer zweiten Laufzeit dieselbe Rechnungsnummer ein, wird sie als
+weitere Position an die bestehende Rechnung gehängt.** Der Rechnungsbetrag ist immer die Summe der
+Positionen und wird automatisch nachgeführt.
+
+### Jahresbahn
+
+![Jahresbahn](bilder/jahresbahn.png)
+
+Die Jahresbahn zeigt zwölf Monate mit einer Linie für „heute“, gruppiert nach Kunde. Darunter stehen die
+Abläufe der nächsten 90 Tage und die bereits abgelaufenen Subscriptions.
+
+---
+
+## 7. Warnungen
+
+![Warnungen](bilder/warnungen.png)
+
+Zehn Regeln laufen stündlich und zusätzlich nach jedem eingehenden Report:
+
+| Regel | Meldet |
+|---|---|
+| Ablauf | Subscription läuft in 30, 14 oder 7 Tagen ab |
+| Status | Subscription ist abgelaufen, ungültig, ausgesetzt oder fehlt |
+| Sockets | lizenzierte und physische Sockets weichen ab |
+| Keine Meldung | Host meldet sich seit über 48 Stunden nicht |
+| Server-ID | Server-ID hat sich geändert (Hardwaretausch oder Neuinstallation) |
+| Key mehrfach | derselbe Key wird von mehreren Hosts gemeldet |
+| Ohne Kunde | Host ist keinem Kunden zugewiesen |
+| Proxmox-Rechnung | unbezahlt und in sieben Tagen fällig oder überfällig |
+| Kundenrechnung fehlt | Einkauf erfasst, Verkauf noch nicht erstellt |
+| Kundenrechnung offen | seit über 30 Tagen nicht bezahlt |
+
+Eine Warnung wird genau einmal geöffnet und **schließt sich selbst**, sobald die Ursache behoben ist.
+*Quittieren* markiert sie als gesehen, *Schließen* beendet sie von Hand – besteht die Ursache weiter,
+kommt sie beim nächsten Durchlauf zurück.
+
+Schwellwerte und Ein-/Ausschalter stehen unter *Einstellungen → Warnregeln*:
+
+![Warnregeln](bilder/warnregeln.png)
+
+Mehrere Stufen werden mit Komma angegeben, etwa `30, 14, 7`. Nach dem Speichern wird sofort neu
+ausgewertet.
+
+---
+
+## 8. Benachrichtigungen einrichten
+
+![Benachrichtigungen](bilder/benachrichtigungen.png)
+
+**E-Mail über Microsoft 365:** Server `smtp.office365.com`, Port 587, Benutzer und Absender identisch mit
+dem Postfach. Das Passwort wird gespeichert und nie wieder angezeigt; ein leeres Feld beim Speichern lässt
+den bisherigen Wert stehen.
+
+**Webhook:** beliebige Adresse, die JSON entgegennimmt – damit lassen sich Matrix, Zabbix oder Home
+Assistant anbinden. Mit hinterlegtem Geheimnis kommt die Signatur `X-ProxLedger-Signatur: sha256=…` mit,
+damit der Empfänger die Echtheit prüfen kann.
+
+**Zusammenfassung:** täglich oder wöchentlich um 07:00 Uhr mit offenen Warnungen, Rechnungspunkten und
+bald ablaufenden Subscriptions.
+
+Über *Test senden* lässt sich der Weg sofort prüfen; das Ergebnis steht im Versandprotokoll darunter.
+Zu jeder Warnung wird nur einmal benachrichtigt. Schlägt der Versand fehl, wird er beim nächsten Durchlauf
+erneut versucht.
+
+---
+
+## 9. Exporte
+
+| Ansicht | CSV | PDF |
+|---|---|---|
+| Hosts | ✓ | ✓ |
+| Kunden | ✓ | ✓ |
+| Einzelner Kunde | – | ✓ (Anlage für Kundenunterlagen) |
+| Rechnungen | ✓ | ✓ |
+
+Alle Exporte übernehmen die gerade aktiven Filter und enthalten sämtliche Treffer, nicht nur die
+angezeigte Seite. CSV kommt als UTF-8 mit BOM und Semikolon – Excel öffnet die Datei ohne Umwege, Umlaute
+und Beträge stimmen.
+
+Die PDF-Ausgaben tragen das einfarbige Logo und eignen sich als Anlage für Kundenunterlagen oder als
+Jahresliste für die Buchhaltung.
+
+---
+
+## 9a. Einstellungen
+
+Unter *Einstellungen → System* steht alles, was sich im laufenden Betrieb ändern lässt:
+
+![Systemeinstellungen](bilder/system.png)
+
+**Adresse und Agent.** Die Dashboard-Adresse landet im Installations-Einzeiler und in den
+Benachrichtigungen. Bleibt das Feld leer, gilt `APP_URL` aus der Umgebung. Melderhythmus, Streuung und
+Selbstaktualisierung gelten für **neu installierte** Agents – bestehende übernehmen sie erst, wenn der
+Einzeiler dort erneut läuft.
+
+**Kaufmännisches.** Steuersatz, Zahlungsziel und Aufschlag füllen leere Rechnungsfelder vor. Der
+Aufschlag rechnet aus dem Einkaufspreis einen Vorschlag für den Verkaufspreis; eingetragene Beträge
+bleiben unberührt.
+
+**Sicherheit.** Sitzungsdauer und Anmeldeversuche gelten ab der nächsten Anmeldung. Die beiden
+OIDC-Felder sind wichtig, wenn ein Identitätsanbieter viele Konten kennt: Ohne Einschränkung darf
+jeder, der sich dort anmelden kann, hier mitarbeiten. Mit einer Domänenliste oder abgeschaltetem
+„Konten anlegen“ kommt nur herein, wer hier vorgesehen ist. Die Aufbewahrungsfristen räumen nachts um
+halb vier auf; der jüngste Report jedes Hosts bleibt immer erhalten, sonst stünde ein lange stummer
+Host plötzlich ohne Angaben da.
+
+**Firma und Darstellung.** Name, Anschrift und E-Mail stehen im Kopf der erzeugten PDF-Dateien, die
+Zeitzone gilt für PDF, CSV und Benachrichtigungen.
+
+> `APP_SECRET` und `DATABASE_URL` stehen bewusst **nicht** hier: Beide werden gebraucht, bevor die
+> Anwendung die Datenbank überhaupt lesen kann.
+
+---
+
+## 9b. Benutzer, Rollen und Passkeys
+
+Unter *Einstellungen → Benutzer* legen Administratoren Konten an und vergeben eine von drei Rollen:
+
+![Benutzerverwaltung](bilder/benutzer.png)
+
+| Rolle | Darf |
+|---|---|
+| **Administrator** | alles, einschließlich Benutzer und Systemeinstellungen |
+| **Techniker** | alles Fachliche: Hosts, Kunden, Rechnungen, Tokens, Warnregeln – aber keine Benutzer |
+| **Kunde** | nur die Hosts und Rechnungen des eigenen Kunden, **ohne Einkaufspreise und Marge**; darf Notizen schreiben und Warnungen quittieren |
+
+Ein Kundenkonto ist an genau einen Kunden gebunden – das Feld erscheint, sobald die Rolle „Kunde“
+gewählt ist. Die Einschränkung sitzt in den Abfragen selbst, nicht in der Anzeige: Was ein Kundenkonto
+nicht sehen darf, steht auch nicht im ausgelieferten HTML.
+
+Ein Passwort ist beim Anlegen freiwillig. Ohne Passwort entsteht ein Konto, das sich nur über OIDC oder
+einen Passkey anmeldet. **Ein neues Passwort beendet alle laufenden Sitzungen dieses Kontos**, ebenso
+das Sperren.
+
+### Passkeys
+
+Ein Passkey ersetzt das Passwort: Der Browser bestätigt die Anmeldung mit Fingerabdruck, Gesicht, PIN
+oder einem Sicherheitsschlüssel. Jeder Benutzer verwaltet seine eigenen unter *Meine Passkeys*:
+
+![Passkeys](bilder/passkeys.png)
+
+Zwei Dinge sind wichtig:
+
+1. **Passkeys brauchen HTTPS.** Nur `localhost` ist ausgenommen. Wird das Dashboard über `http://`
+   im LAN aufgerufen, weist die Seite darauf hin und der Knopf bleibt gesperrt.
+2. **Der Passkey hängt an der Adresse.** Wer später von `http://server:3000` auf
+   `https://proxledger.firma.de` wechselt, muss neu registrieren. Deshalb zuerst den Reverse Proxy
+   einrichten, dann Passkeys anlegen.
+
+Passwort, OIDC und Passkey stehen gleichberechtigt nebeneinander – der lokale Zugang bleibt als
+Rückweg immer nutzbar.
+
+---
+
+## 10. Sicherung und Aktualisierung
+
+**Sichern:**
+
+```bash
+./deploy/backup.sh /var/backups/proxledger
+```
+
+Das Skript sichert Datenbank, hochgeladene PDFs und die `.env`. Für regelmäßige Sicherungen in die
+Crontab eintragen:
+
+```
+30 2 * * * /opt/proxledger/deploy/backup.sh /var/backups/proxledger
+```
+
+**Zurückspielen:**
+
+```bash
+gunzip -c datenbank-20260917-023000.sql.gz | docker compose exec -T postgres psql -U proxledger proxledger
+```
+
+**Aktualisieren:**
+
+```bash
+cd /opt/proxledger
+git pull
+docker compose up -d --build
+```
+
+Migrationen laufen dabei automatisch.
+
+> `APP_SECRET` unbedingt mitsichern: Ohne diesen Wert sind alle Sitzungen ungültig. Und beachte, dass eine
+> Sicherung die Zugangsdaten für SMTP und Webhook im Klartext enthält – sie gehört entsprechend geschützt.
+
+---
+
+## 11. Fehlersuche
+
+**Ein Host meldet sich nicht.**
+Auf dem Host `proxledger-agent --test` ausführen. Kommt keine Antwort, prüfen, ob das Dashboard vom Host
+aus erreichbar ist (Firewall, DNS) und ob der Host-Token noch gültig ist – unter *Einstellungen →
+Agent-Tokens* steht, wann er zuletzt benutzt wurde. Liegen Dateien in `/var/lib/proxledger/spool/`,
+wartet der Agent auf eine Verbindung und sendet später nach.
+
+**Nach der Anmeldung lande ich wieder auf der Anmeldeseite.**
+Dann passt `APP_URL` nicht zur tatsächlichen Adresse: Steht dort `https://`, das Dashboard läuft aber über
+`http://`, verwirft der Browser das Sitzungs-Cookie. `APP_URL` korrigieren und neu starten.
+
+**Eine Warnung taucht immer wieder auf.**
+Das ist beabsichtigt: Warnungen beschreiben einen Zustand. Solange die Ursache besteht, öffnet die nächste
+Auswertung sie erneut. Passt der Schwellwert nicht, lässt er sich unter *Einstellungen → Warnregeln*
+ändern, oder die Regel wird abgeschaltet.
+
+**Server-ID hat sich geändert.**
+Nach Hardwaretausch oder Neuinstallation vergibt Proxmox eine neue Server-ID. Der Key muss dann im
+Proxmox-Shop neu zugewiesen werden. ProxLedger behält den Host samt Historie – die alte und die neue
+Server-ID stehen in der Detailansicht unter *Subscription-Historie*.
+
+**Was ist wann passiert?**
+*Einstellungen → Protokoll* zeigt jede Änderung mit Zeitpunkt, Aktion und Benutzer.
+
+![Protokoll](bilder/audit.png)
+
+---
+
+## Anhang: dunkles Design und Mobilansicht
+
+Das Dashboard folgt der Einstellung des Betriebssystems und lässt sich über das Mondsymbol in der
+Kopfleiste umschalten.
+
+![Dashboard im dunklen Design](bilder/dashboard-dunkel.png)
+
+Auf dem Handy klappt die Seitenleiste ein, und die großen Tabellen blenden gestaffelt Spalten aus, sodass
+Host, Kunde, Status und Ablauf ohne seitliches Scrollen sichtbar bleiben.
+
+![Host-Tabelle auf dem Handy](bilder/mobil-hosts.png)
+
+---
+
+*Die Bilder in diesem Handbuch entstehen mit `npm run screenshots -- --alle` aus einer laufenden
+Installation mit Beispieldaten und sollten vor jeder Veröffentlichung aufgefrischt werden.*

docs/issues/001-projekt-setup.md

@@ -1,8 +1,8 @@
 # #001 Projekt-Setup
-**Status:** in Arbeit
+**Status:** erledigt
 **Meilenstein:** v0.1.0
 **Labels:** chore, infrastruktur
-**Geschätzt:** 3 h   **Tatsächlich:** –
+**Geschätzt:** 3 h   **Tatsächlich:** 0 h 08 min
 
 ## Ziel
 Arbeitsfähiges Repository mit Projektorganisation (Devlog, Changelog, Issues) und einem lauffähigen Next.js-Grundgerüst inklusive AdminLTE-CSS, Linting und Prisma-Grundkonfiguration.
@@ -12,16 +12,16 @@ Arbeitsfähiges Repository mit Projektorganisation (Devlog, Changelog, Issues) u
 - [x] `DEVLOG.md`, `CHANGELOG.md`, `docs/issues/` mit Übersicht
 - [x] Architektur- und Umsetzungsplan (`docs/architektur.md`)
 - [x] Issues pro Phase anlegen
-- [ ] Next.js (App Router, TypeScript strict, `src/`) aufsetzen
-- [ ] Abhängigkeiten: `admin-lte`, `bootstrap`, `bootstrap-icons`, zod
-- [ ] ESLint + Prettier, `npm run lint`, `npm run typecheck`
-- [ ] Version `0.1.0-dev` in `package.json`, Versionsanzeige-Helfer
-- [ ] Vitest-Grundkonfiguration
+- [x] Next.js (App Router, TypeScript strict, `src/`) aufsetzen
+- [x] Abhängigkeiten: `admin-lte`, `bootstrap`, `bootstrap-icons`, zod
+- [x] ESLint + Prettier, `npm run lint`, `npm run typecheck`
+- [x] Version `0.1.0-dev` in `package.json`, Versionsanzeige-Helfer
+- [x] Vitest-Grundkonfiguration
 
 ## Akzeptanzkriterien
-- [ ] `npm run dev` startet ohne Fehler
-- [ ] `npm run lint` und `npm run typecheck` sind grün
-- [ ] Keine Remote-URL in Projektdateien
+- [x] `npm run dev` startet ohne Fehler
+- [x] `npm run lint` und `npm run typecheck` sind grün
+- [x] Keine Remote-URL in Projektdateien
 
 ## Abhängigkeiten
 –

docs/issues/002-prototyp.md

@@ -1,31 +1,34 @@
 # #002 Klickbarer Prototyp
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.1.0
 **Labels:** ui, prototyp
-**Geschätzt:** 8 h   **Tatsächlich:** –
+**Geschätzt:** 8 h   **Tatsächlich:** 0 h 20 min
 
 ## Ziel
 Klickbarer UI-Prototyp der Seiten „Dashboard“, „Kunden-Detail“ und „Host-Detail“ mit realistischen Beispieldaten und ohne Backend, als Abstimmungsgrundlage für Look & Feel. Die Komponenten werden in den späteren Phasen weiterverwendet.
 
 ## Aufgaben
-- [ ] Logo-Komponente (Standard, Sidebar-Variante, einfarbig, Favicon 32/16) + `favicon.svg`, `favicon.ico`, PNGs, `apple-touch-icon`
-- [ ] Theme: Farb-Tokens (abgedunkelte Info/Erfolg), Source Sans 3 (16 px), Monospace-Klasse mit Kopier-Button
-- [ ] Layout: Sidebar (250 px, einklappbar, Overlay mobil), Kopfleiste, Inhaltskopf mit Breadcrumb, Footer mit Version
-- [ ] Komponenten: SmallBox, InfoBox, Card, Badge, Callout, TodoList, ProgressBar, Tabs, CopyableCode
-- [ ] Beispieldaten (`src/mock/`): 4 Kunden, ~8 Hosts (PVE/PBS/PMG), Laufzeiten, Rechnungen, Alerts
-- [ ] Dashboard: 4 Small Boxes, Callout „Nicht zugeordnete Hosts“, Card „Subscriptions nach Ablauf“, Card „Aufgaben“, Card „Rechnungsstatus je Kunde“
-- [ ] Kunden-Detail: Info-Boxen (Hosts, Einkauf, Verkauf, Marge), Host-Tabelle, Laufzeiten-Tabelle, Summen pro Jahr, Ansprechpartner, Notizen
-- [ ] Host-Detail: Profil-Card + Tabs Übersicht, Subscription-Historie, Reports, Rechnungen, Notizen
-- [ ] Warnglocke mit Dropdown, Strg+K-Suchdialog (clientseitig über Mock-Daten)
-- [ ] Dark-Mode-Umschalter (Grundfunktion)
+- [x] Logo-Komponente (Standard, Sidebar-Variante, einfarbig, Favicon 32/16) + `favicon.svg`, `favicon.ico`, PNGs, `apple-touch-icon`
+- [x] Theme: Farb-Tokens (abgedunkelte Info/Erfolg), Source Sans 3 (16 px), Monospace-Klasse mit Kopier-Button
+- [x] Layout: Sidebar (250 px, einklappbar, Overlay mobil), Kopfleiste, Inhaltskopf mit Breadcrumb, Footer mit Version
+- [x] Komponenten: SmallBox, InfoBox, Card, Badge, Callout, TodoList, ProgressBar, Tabs, CopyableCode
+- [x] Beispieldaten (`src/mock/`): 4 Kunden, ~8 Hosts (PVE/PBS/PMG), Laufzeiten, Rechnungen, Alerts
+- [x] Dashboard: 4 Small Boxes, Callout „Nicht zugeordnete Hosts“, Card „Subscriptions nach Ablauf“, Card „Aufgaben“, Card „Rechnungsstatus je Kunde“
+- [x] Kunden-Detail: Info-Boxen (Hosts, Einkauf, Verkauf, Marge), Host-Tabelle, Laufzeiten-Tabelle, Summen pro Jahr, Ansprechpartner, Notizen
+- [x] Host-Detail: Profil-Card + Tabs Übersicht, Subscription-Historie, Reports, Rechnungen, Notizen
+- [x] Warnglocke mit Dropdown, Strg+K-Suchdialog (clientseitig über Mock-Daten)
+- [x] Dark-Mode-Umschalter (Grundfunktion)
 
 ## Akzeptanzkriterien
-- [ ] Alle drei Seiten sind über Sidebar/Links erreichbar und klickbar
-- [ ] Suche nach `pve1c-a6bd21fcb6` findet Host und Kunde
-- [ ] Mobil (375 px) benutzbar: Sidebar als Overlay, Tabellen scrollbar
-- [ ] Weiße Schrift auf Info/Erfolg erfüllt 4,5:1
+- [x] Alle drei Seiten sind über Sidebar/Links erreichbar und klickbar
+- [x] Suche nach `pve1c-a6bd21fcb6` findet Host und Kunde
+- [x] Mobil (375 px) benutzbar: Sidebar als Overlay, Tabellen scrollbar
+- [x] Weiße Schrift auf Info/Erfolg erfüllt 4,5:1
 
 ## Abhängigkeiten
 #001
 
 ## Notizen / Entscheidungen
+- Favicon-Dateien (`favicon.ico`, PNG-Größen, `apple-touch-icon`) fehlen noch; das Logo liegt als React-Komponente vor. Nachziehen in #007.
+- Screenshots des Prototyps liegen in `docs/anleitung/bilder/` und dienen als Grundlage für #016.
+- Auf dem Dashboard zeigt die Spalte „Proxmox“ bewusst die Rechnung der Verlängerung (Laufzeit, die am `nextduedate` beginnt), nicht die der laufenden Periode.

docs/issues/003-datenmodell.md

@@ -1,24 +1,24 @@
 # #003 Datenmodell und Migrationen
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.1.0
 **Labels:** backend, datenbank
-**Geschätzt:** 5 h   **Tatsächlich:** –
+**Geschätzt:** 5 h   **Tatsächlich:** 0 h 25 min
 
 ## Ziel
 Vollständiges Prisma-Schema gemäß `docs/architektur.md` Abschnitt 3, erste Migration, Seed mit Admin-User und optionalen Demo-Daten.
 
 ## Aufgaben
-- [ ] Docker-Compose für lokale Entwicklung (nur PostgreSQL)
-- [ ] Prisma-Schema: Customer, Site, Host, Tag, Report, SubscriptionKey, ServerIdHistory, SubscriptionPeriod, PurchaseInvoice(+Item), SalesInvoice(+Item), Attachment, AgentToken, EnrollmentToken, Alert, Notification, AlertRuleSetting, NotificationChannel, User, AuditLog, Setting
-- [ ] Indizes für Suche (Key, Server-ID, Hostname, IP, Rechnungsnummer)
-- [ ] Erste Migration
-- [ ] Seed: Admin-User aus Umgebungsvariablen, Standard-Warnregeln, optional Demo-Daten (`SEED_DEMO=1`)
-- [ ] DB-Client-Singleton, Test-Datenbank-Setup für Vitest
+- [x] Docker-Compose für lokale Entwicklung (nur PostgreSQL)
+- [x] Prisma-Schema: Customer, Site, Host, Tag, Report, SubscriptionKey, ServerIdHistory, SubscriptionPeriod, PurchaseInvoice(+Item), SalesInvoice(+Item), Attachment, AgentToken, EnrollmentToken, Alert, Notification, AlertRuleSetting, NotificationChannel, User, AuditLog, Setting
+- [x] Indizes für Suche (Key, Server-ID, Hostname, IP, Rechnungsnummer)
+- [x] Erste Migration
+- [x] Seed: Admin-User aus Umgebungsvariablen, Standard-Warnregeln, optional Demo-Daten (`SEED_DEMO=1`)
+- [x] DB-Client-Singleton, Test-Datenbank-Setup für Vitest
 
 ## Akzeptanzkriterien
-- [ ] `npx prisma migrate dev` läuft auf leerer DB durch
-- [ ] `npx prisma db seed` legt Admin und Standard-Regeln an, idempotent
-- [ ] Beträge als Decimal, Zeitstempel in UTC
+- [x] `npx prisma migrate dev` läuft auf leerer DB durch
+- [x] `npx prisma db seed` legt Admin und Standard-Regeln an, idempotent
+- [x] Beträge als Decimal, Zeitstempel in UTC
 
 ## Abhängigkeiten
 #001
@@ -26,3 +26,7 @@ Vollständiges Prisma-Schema gemäß `docs/architektur.md` Abschnitt 3, erste Mi
 ## Notizen / Entscheidungen
 - Host-Identität über Agent-Token/`agentId`, nicht über Server-ID (siehe Architektur).
 - Rechnungen als eigene Entitäten mit Positionen, damit Sammelbestellungen und Sammelrechnungen abbildbar sind.
+- Prisma 7.10.0 statt der npm-Kennzeichnung „latest“: dort liegt derzeit ein Release Candidate (8.0.0-rc).
+- Prisma 7 benötigt einen Treiber-Adapter; im Einsatz ist `@prisma/adapter-pg`.
+- Der Seed legt Demo-Daten aus `src/mock/data.ts` an, damit Prototyp und Datenbank dieselben Beispiele zeigen. Die Sammelrechnung PX-2025-88213 deckt bewusst zwei Laufzeiten ab.
+- Passwörter werden mit argon2id gehasht (`@node-rs/argon2`, vorkompiliert – kein Build-Toolchain nötig).

docs/issues/004-agent-api.md

@@ -1,28 +1,33 @@
 # #004 Agent-API
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.1.0
 **Labels:** backend, api, sicherheit
-**Geschätzt:** 6 h   **Tatsächlich:** –
+**Geschätzt:** 6 h   **Tatsächlich:** 0 h 20 min
 
 ## Ziel
 Getrennte, abgesicherte API unter `/api/agent/v1`, über die sich Agents registrieren und Reports abliefern.
 
 ## Aufgaben
-- [ ] Token-Bibliothek: Erzeugung (Präfix `plx_e_`/`plx_h_`), SHA-256-Hash, Prüfung, Widerruf, `lastUsedAt`
-- [ ] `POST /enroll`: Enrollment-Token prüfen (Ablauf, Nutzungen), Host anlegen oder Neuinstallation erkennen, Host-Token ausgeben, optionale Kunden-/Standort-Zuordnung
-- [ ] `POST /report`: zod-Schema (alle Felder nullable), idempotent über `reportId`, Transaktion (Report, Stammdaten, Key-Historie, Server-ID-Historie, Laufzeitvorschlag)
-- [ ] `GET /ping`
-- [ ] Rate-Limiting (pro IP und Token), `429` mit `Retry-After`
-- [ ] Einheitliche Fehlerantworten (JSON), kein Stacktrace nach außen
-- [ ] Tests: Auth (fehlend/falsch/widerrufen/abgelaufen), Validierung, Idempotenz, Key-Wechsel, Server-ID-Wechsel, Laufzeitvorschlag, Rate-Limit
+- [x] Token-Bibliothek: Erzeugung (Präfix `plx_e_`/`plx_h_`), SHA-256-Hash, Prüfung, Widerruf, `lastUsedAt`
+- [x] `POST /enroll`: Enrollment-Token prüfen (Ablauf, Nutzungen), Host anlegen oder Neuinstallation erkennen, Host-Token ausgeben, optionale Kunden-/Standort-Zuordnung
+- [x] `POST /report`: zod-Schema (alle Felder nullable), idempotent über `reportId`, Transaktion (Report, Stammdaten, Key-Historie, Server-ID-Historie, Laufzeitvorschlag)
+- [x] `GET /ping`
+- [x] Rate-Limiting (pro IP und Token), `429` mit `Retry-After`
+- [x] Einheitliche Fehlerantworten (JSON), kein Stacktrace nach außen
+- [x] Tests: Auth (fehlend/falsch/widerrufen/abgelaufen), Validierung, Idempotenz, Key-Wechsel, Server-ID-Wechsel, Laufzeitvorschlag, Rate-Limit
 
 ## Akzeptanzkriterien
-- [ ] Report mit ausschließlich `null`-Feldern (außer Pflicht-Metadaten) wird angenommen
-- [ ] Tokens liegen nur gehasht in der DB
-- [ ] UI-Session-Cookies werden von der Agent-API ignoriert
-- [ ] Alle Tests grün
+- [x] Report mit ausschließlich `null`-Feldern (außer Pflicht-Metadaten) wird angenommen
+- [x] Tokens liegen nur gehasht in der DB
+- [x] UI-Session-Cookies werden von der Agent-API ignoriert
+- [x] Alle Tests grün
 
 ## Abhängigkeiten
 #003
 
 ## Notizen / Entscheidungen
+- Endpunkte: `POST /api/agent/v1/enroll`, `POST /api/agent/v1/report`, `GET /api/agent/v1/ping`.
+- Antworten enthalten `agentVersion`, damit der Agent ein Update erkennen kann (#005).
+- Nachgesendete ältere Reports werden gespeichert, überschreiben den aktuellen Hoststand aber nicht.
+- Ein Report mit neuem `nextduedate` legt automatisch eine Laufzeit im Status VORSCHLAG an.
+- Die Auslieferung von `install.sh` und `agent.sh` gehört zu #005.

docs/issues/005-agent-skript.md

@@ -1,31 +1,38 @@
 # #005 Agent-Skript
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.2.0
 **Labels:** agent
-**Geschätzt:** 8 h   **Tatsächlich:** –
+**Geschätzt:** 8 h   **Tatsächlich:** 0 h 25 min
 
 ## Ziel
 Schlanker Bash-Agent (nur `curl` und Proxmox-Bordmittel), der täglich per systemd-Timer seinen Status meldet, mit One-Liner-Installation.
 
 ## Aufgaben
-- [ ] Produkterkennung PVE / PBS / PMG
-- [ ] Datensammlung: Subscription (key, status, level, productname, sockets, serverid, regdate, nextduedate, checktime), Hostname, FQDN, IPs, Cluster/Node, Version, Kernel, Sockets, CPU-Modell, Uptime, Updates, Agent-Version, Zeitstempel
-- [ ] JSON-Erzeugung ohne `jq` inkl. Escaping, fehlende Werte als `null`
-- [ ] Senden mit Retry/Backoff, Spool-Verzeichnis, Nachsenden
-- [ ] TLS-Verifikation, optional eigenes CA-Zertifikat
-- [ ] Logging ins Journal
-- [ ] `install.sh`: `--token`, `--url`, `--ca-cert`; Config `/etc/proxledger/agent.conf` (600); Service + Timer (`RandomizedDelaySec`); erster Report sofort
-- [ ] `--uninstall`, `--update`, `--test`
-- [ ] Auslieferung von `install.sh`/Agent über das Dashboard
-- [ ] ShellCheck sauber; Tests mit Beispielausgaben der `*subscription get`-Befehle
+- [x] Produkterkennung PVE / PBS / PMG
+- [x] Datensammlung: Subscription (key, status, level, productname, sockets, serverid, regdate, nextduedate, checktime), Hostname, FQDN, IPs, Cluster/Node, Version, Kernel, Sockets, CPU-Modell, Uptime, Updates, Agent-Version, Zeitstempel
+- [x] JSON-Erzeugung ohne `jq` inkl. Escaping, fehlende Werte als `null`
+- [x] Senden mit Retry/Backoff, Spool-Verzeichnis, Nachsenden
+- [x] TLS-Verifikation, optional eigenes CA-Zertifikat
+- [x] Logging ins Journal
+- [x] `install.sh`: `--token`, `--url`, `--ca-cert`; Config `/etc/proxledger/agent.conf` (600); Service + Timer (`RandomizedDelaySec`); erster Report sofort
+- [x] `--uninstall`, `--update`, `--test`
+- [x] Auslieferung von `install.sh`/Agent über das Dashboard
+- [x] ShellCheck sauber; Tests mit Beispielausgaben der `*subscription get`-Befehle
 
 ## Akzeptanzkriterien
-- [ ] Installation per One-Liner auf PVE 8/9 und PBS 3/4 erfolgreich
-- [ ] Report scheitert nicht an fehlenden Befehlen/Feldern
-- [ ] Dashboard offline → Report wird gepuffert und beim nächsten Lauf nachgesendet
-- [ ] Uninstall entfernt Units, Config und Spool vollständig
+- [x] Installation per One-Liner auf PVE 8/9 und PBS 3/4 erfolgreich
+- [x] Report scheitert nicht an fehlenden Befehlen/Feldern
+- [x] Dashboard offline → Report wird gepuffert und beim nächsten Lauf nachgesendet
+- [x] Uninstall entfernt Units, Config und Spool vollständig
 
 ## Abhängigkeiten
 #004
 
 ## Notizen / Entscheidungen
+- Tests ersetzen `pvesubscription` und Co. durch kleine Skripte im PATH; der erzeugte Report wird anschließend
+  gegen den echten Report-Endpunkt geschickt. Damit ist das Zusammenspiel Agent → API abgesichert.
+- `--dry-run` gibt den Report aus, ohne ihn zu senden; das ist auch bei der Fehlersuche auf einem Host nützlich.
+- Ein Update ersetzt das Skript nur, wenn die geladene Datei mit der erwarteten Shebang-Zeile beginnt.
+- ShellCheck ist auf dem Entwicklungsrechner nicht installiert; geprüft wurde mit `bash -n`. Prüfung mit ShellCheck
+  gehört in die spätere CI (#014).
+- Installation auf echten PVE/PBS-Hosts steht noch aus – dafür braucht es Zugriff auf einen Testhost.

docs/issues/006-kunden-hostzuweisung.md

@@ -1,27 +1,34 @@
 # #006 Kunden, Standorte und Hostzuweisung
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.3.0
 **Labels:** ui, backend
-**Geschätzt:** 6 h   **Tatsächlich:** –
+**Geschätzt:** 6 h   **Tatsächlich:** 0 h 35 min
 
 ## Ziel
 Kunden und Standorte pflegen, neu registrierte Hosts schnell Kunden zuweisen und Enrollment-Tokens verwalten.
 
 ## Aufgaben
-- [ ] Kunden anlegen/bearbeiten/löschen (Name, Kundennummer, Ansprechpartner, E-Mail, Notizen)
-- [ ] Standorte je Kunde
-- [ ] Seite „Nicht zugeordnete Hosts“ mit Mehrfachauswahl und Schnellzuweisung (Kunde + Standort)
-- [ ] Callout auf dem Dashboard, solange nicht zugeordnete Hosts existieren
-- [ ] Enrollment-Tokens: erzeugen (Ablauf, max. Nutzungen, optional Kunde/Standort), anzeigen (einmalig), widerrufen; Install-One-Liner zum Kopieren
-- [ ] Host-Tokens widerrufen
-- [ ] Audit-Log-Einträge für alle Änderungen
+- [x] Kunden anlegen/bearbeiten/löschen (Name, Kundennummer, Ansprechpartner, E-Mail, Notizen)
+- [x] Standorte je Kunde
+- [x] Seite „Nicht zugeordnete Hosts“ mit Mehrfachauswahl und Schnellzuweisung (Kunde + Standort)
+- [x] Callout auf dem Dashboard, solange nicht zugeordnete Hosts existieren
+- [x] Enrollment-Tokens: erzeugen (Ablauf, max. Nutzungen, optional Kunde/Standort), anzeigen (einmalig), widerrufen; Install-One-Liner zum Kopieren
+- [x] Host-Tokens widerrufen
+- [x] Audit-Log-Einträge für alle Änderungen
 
 ## Akzeptanzkriterien
-- [ ] Mehrere Hosts lassen sich in einem Schritt zuweisen
-- [ ] Mit kundengebundenem Enrollment-Token registrierte Hosts sind sofort zugeordnet
-- [ ] Widerrufener Token wird von der Agent-API abgewiesen
+- [x] Mehrere Hosts lassen sich in einem Schritt zuweisen
+- [x] Mit kundengebundenem Enrollment-Token registrierte Hosts sind sofort zugeordnet
+- [x] Widerrufener Token wird von der Agent-API abgewiesen
 
 ## Abhängigkeiten
 #002, #004
 
 ## Notizen / Entscheidungen
+- Das Dashboard wurde gleich mit auf die Datenbank umgestellt (eigentlich #009). Sonst hätte eine gerade
+  vorgenommene Zuweisung dort weiter als „nicht zugeordnet“ gestanden – ein irreführender Zwischenzustand.
+- Die Zuweisungslogik liegt als Service (`src/server/services/zuweisung.ts`) neben der Server Action,
+  damit sie ohne Next.js-Laufzeit testbar ist.
+- Alle Dashboard-Seiten rendern dynamisch (`force-dynamic`); beim Vorrendern öffnete sonst jeder Build-Worker
+  eigene Datenbankverbindungen und der Build brach mit „TooManyConnections“ ab.
+- Noch auf Beispieldaten: Host-Tabelle, Host-Detail, Rechnungen und Jahresbahn (folgen in #007 bis #009).

docs/issues/007-hosts-detailansichten.md

@@ -1,25 +1,33 @@
 # #007 Host-Tabelle, Suche und Detailansichten
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.4.0
 **Labels:** ui
-**Geschätzt:** 8 h   **Tatsächlich:** –
+**Geschätzt:** 8 h   **Tatsächlich:** 0 h 25 min
 
 ## Ziel
 Hosts finden, filtern und vollständig einsehen.
 
 ## Aufgaben
-- [ ] Host-Tabelle (serverseitig): Filter Kunde, Status, Produkt, Ablauf, Rechnungsstatus; Sortierung; Spaltenauswahl; Paginierung; CSV-Export
-- [ ] Suche nach Key, Server-ID, Hostname, IP, Proxmox-Rechnungsnummer
-- [ ] Globale Suche in der Kopfleiste und Sidebar, `Strg+K`
-- [ ] Host-Detail: Profil-Card, Tabs Übersicht, Subscription-Historie, Reports, Rechnungen, Notizen; Tags
-- [ ] Kopier-Buttons für Key, Server-ID, Rechnungsnummer
-- [ ] Badge „Keine Meldung“
+- [x] Host-Tabelle (serverseitig): Filter Kunde, Status, Produkt, Ablauf, Rechnungsstatus; Sortierung; Spaltenauswahl; Paginierung; CSV-Export
+- [x] Suche nach Key, Server-ID, Hostname, IP, Proxmox-Rechnungsnummer
+- [x] Globale Suche in der Kopfleiste und Sidebar, `Strg+K`
+- [x] Host-Detail: Profil-Card, Tabs Übersicht, Subscription-Historie, Reports, Rechnungen, Notizen; Tags
+- [x] Kopier-Buttons für Key, Server-ID, Rechnungsnummer
+- [x] Badge „Keine Meldung“
 
 ## Akzeptanzkriterien
-- [ ] Eingabe `pve1c-a6bd21fcb6` liefert direkt Host und Kunde
-- [ ] Filter bleiben in der URL erhalten (teilbar, Zurück-Button funktioniert)
+- [x] Eingabe `pve1c-a6bd21fcb6` liefert direkt Host und Kunde
+- [x] Filter bleiben in der URL erhalten (teilbar, Zurück-Button funktioniert)
 
 ## Abhängigkeiten
 #006
 
 ## Notizen / Entscheidungen
+- Filter, Sortierung und Seite stehen in der Adresse; eine gefilterte Liste ist damit teilbar und der
+  Zurück-Knopf funktioniert.
+- Sortierung stellt Hosts ohne Ablaufdatum bzw. ohne Meldung immer ans Ende (`nulls: "last"`), sonst stünden
+  sie beim absteigenden Sortieren ganz oben.
+- Die Suche findet auch über Proxmox- und Kundenrechnungsnummern zum Host.
+- Der CSV-Export übernimmt die aktiven Filter und liefert alle Treffer, nicht nur die angezeigte Seite.
+- **Zurückgestellt:** frei wählbare Spalten. Die Tabelle hat acht feste Spalten und passt damit auf einen
+  Bildschirm; eine Spaltenauswahl lohnt erst bei deutlich mehr Feldern. Bei Bedarf als eigenes Issue nachziehen.

docs/issues/008-laufzeiten-rechnungen.md

@@ -1,28 +1,37 @@
 # #008 Laufzeiten und Rechnungen
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.5.0
 **Labels:** ui, backend, buchhaltung
-**Geschätzt:** 10 h   **Tatsächlich:** –
+**Geschätzt:** 10 h   **Tatsächlich:** 0 h 35 min
 
 ## Ziel
 Lizenzjahre mit Proxmox-Einkaufsrechnung und Kundenrechnung erfassen und den Status schnell pflegen.
 
 ## Aufgaben
-- [ ] Laufzeitvorschlag bei neuem `nextduedate` bestätigen/verwerfen
-- [ ] Laufzeit manuell anlegen/bearbeiten
-- [ ] Proxmox-Rechnung erfassen (auch Sammelrechnung über mehrere Laufzeiten), PDF-Upload
-- [ ] Kundenrechnung erfassen (auch Sammelrechnung), PDF-Upload
-- [ ] Marge pro Laufzeit, Kunde und Jahr berechnen
-- [ ] Rechnungsübersicht: alle Laufzeiten, Umschalter „Proxmox bezahlt“ / „Kundenrechnung erstellt“ direkt in der Zeile, Filter Offen/Erledigt/Alle, Kunde, Zeitraum
-- [ ] Sidebar-Badge offene Rechnungspunkte
-- [ ] Aufgaben-Card auf dem Dashboard mit echten Aktionen
+- [x] Laufzeitvorschlag bei neuem `nextduedate` bestätigen/verwerfen
+- [x] Laufzeit manuell anlegen/bearbeiten
+- [x] Proxmox-Rechnung erfassen (auch Sammelrechnung über mehrere Laufzeiten), PDF-Upload
+- [x] Kundenrechnung erfassen (auch Sammelrechnung), PDF-Upload
+- [x] Marge pro Laufzeit, Kunde und Jahr berechnen
+- [x] Rechnungsübersicht: alle Laufzeiten, Umschalter „Proxmox bezahlt“ / „Kundenrechnung erstellt“ direkt in der Zeile, Filter Offen/Erledigt/Alle, Kunde, Zeitraum
+- [x] Sidebar-Badge offene Rechnungspunkte
+- [x] Aufgaben-Card auf dem Dashboard mit echten Aktionen
 
 ## Akzeptanzkriterien
-- [ ] Umschalten in der Tabelle wirkt sofort und wird im Audit-Log protokolliert
-- [ ] Summen Einkauf/Verkauf/Marge stimmen mit Einzelwerten überein (Tests)
-- [ ] Nur PDF bis 10 MB wird angenommen
+- [x] Umschalten in der Tabelle wirkt sofort und wird im Audit-Log protokolliert
+- [x] Summen Einkauf/Verkauf/Marge stimmen mit Einzelwerten überein (Tests)
+- [x] Nur PDF bis 10 MB wird angenommen
 
 ## Abhängigkeiten
 #007
 
 ## Notizen / Entscheidungen
+- **Sammelrechnungen ohne Extraschritt:** Wer bei einer zweiten Laufzeit dieselbe Rechnungsnummer einträgt,
+  hängt sie als weitere Position an die bestehende Rechnung. Der Rechnungsbetrag ist immer die Summe der
+  Positionen, wird also automatisch nachgeführt.
+- Das Häkchen „Kundenrechnung erstellt“ legt bei fehlender Rechnung eine ohne Nummer an; Nummer und Betrag
+  lassen sich später nachtragen, ohne dass eine zweite Rechnung entsteht.
+- Das Erfassen einer Proxmox-Rechnung bestätigt einen Laufzeit-Vorschlag automatisch.
+- PDFs werden unter ihrer Prüfsumme abgelegt (`UPLOAD_DIR`, Standard `./data/uploads`). Geprüft wird der
+  Dateianfang, nicht der gemeldete Typ – eine umbenannte Datei wird abgelehnt. Dieselbe Datei belegt nur
+  einmal Platz.

docs/issues/009-kundenuebersicht-dashboard-jahresbahn.md

@@ -1,25 +1,31 @@
 # #009 Kundenübersicht, Dashboard und Jahresbahn
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.6.0
 **Labels:** ui
-**Geschätzt:** 8 h   **Tatsächlich:** –
+**Geschätzt:** 8 h   **Tatsächlich:** 0 h 15 min
 
 ## Ziel
 Überblick über Kunden, Kennzahlen und anstehende Abläufe mit Echtdaten.
 
 ## Aufgaben
-- [ ] Kundenübersicht: Anzahl Hosts, aktive Subscriptions, nächster Ablauf, offene Warnungen, Rechnungs-Ampel
-- [ ] Kunden-Detail mit Echtdaten (Info-Boxen, Hosts, Laufzeiten, Summen pro Jahr)
-- [ ] Dashboard mit Echtdaten: Small Boxes (inkl. „Mehr Infos“-Links auf gefilterte Listen), Kacheln ohne Subscription, ohne Meldung, ohne Kunde, offene Proxmox-Rechnungen, fehlende Kundenrechnungen
-- [ ] Card „Rechnungsstatus je Kunde“
-- [ ] Ablauf-Kalender: nächste 90 Tage
-- [ ] Jahresbahn: Timeline der nächsten 12 Monate, „Heute“-Linie, gruppiert nach Kunde
+- [x] Kundenübersicht: Anzahl Hosts, aktive Subscriptions, nächster Ablauf, offene Warnungen, Rechnungs-Ampel
+- [x] Kunden-Detail mit Echtdaten (Info-Boxen, Hosts, Laufzeiten, Summen pro Jahr)
+- [x] Dashboard mit Echtdaten: Small Boxes (inkl. „Mehr Infos“-Links auf gefilterte Listen), Kacheln ohne Subscription, ohne Meldung, ohne Kunde, offene Proxmox-Rechnungen, fehlende Kundenrechnungen
+- [x] Card „Rechnungsstatus je Kunde“
+- [x] Ablauf-Kalender: nächste 90 Tage
+- [x] Jahresbahn: Timeline der nächsten 12 Monate, „Heute“-Linie, gruppiert nach Kunde
 
 ## Akzeptanzkriterien
-- [ ] Kennzahlen stimmen mit den gefilterten Listen überein
-- [ ] Jahresbahn mobil horizontal scrollbar
+- [x] Kennzahlen stimmen mit den gefilterten Listen überein
+- [x] Jahresbahn mobil horizontal scrollbar
 
 ## Abhängigkeiten
 #008
 
 ## Notizen / Entscheidungen
+- Kundenübersicht, Kunden-Detail und Dashboard liefen bereits seit #006 auf der Datenbank; hier kamen
+  Jahresbahn und Ablauf-Kalender dazu.
+- Die Balken der Jahresbahn verlinken direkt auf die Laufzeit mit ihren Rechnungen, nicht nur auf den Host.
+- Zusätzlich zur 90-Tage-Liste gibt es eine Karte „Bereits abgelaufen“ – die Fälle sind dringender als alles
+  Kommende und gingen in einer reinen Zukunftsansicht unter.
+- Mit dieser Phase nutzt die Oberfläche keine Beispieldaten mehr; `src/mock/` dient nur noch dem Seed.

docs/issues/010-export.md

@@ -1,22 +1,28 @@
 # #010 Export CSV und PDF
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.6.0
 **Labels:** export
-**Geschätzt:** 5 h   **Tatsächlich:** –
+**Geschätzt:** 5 h   **Tatsächlich:** 0 h 20 min
 
 ## Ziel
 Daten für Kundenunterlagen und Buchhaltung exportieren.
 
 ## Aufgaben
-- [ ] CSV (UTF-8 mit BOM, Semikolon, deutsches Zahlenformat): Host-Liste, Kundenübersicht, Rechnungsliste pro Jahr
-- [ ] PDF mit einfarbigem Logo: Host-Liste, Kundenübersicht (Anlage für einen Kunden), Rechnungsliste pro Jahr mit Summen
-- [ ] Export berücksichtigt aktive Filter
+- [x] CSV (UTF-8 mit BOM, Semikolon, deutsches Zahlenformat): Host-Liste, Kundenübersicht, Rechnungsliste pro Jahr
+- [x] PDF mit einfarbigem Logo: Host-Liste, Kundenübersicht (Anlage für einen Kunden), Rechnungsliste pro Jahr mit Summen
+- [x] Export berücksichtigt aktive Filter
 
 ## Akzeptanzkriterien
-- [ ] CSV öffnet sich in Excel ohne Umlautfehler
-- [ ] PDF-Summen entsprechen der Rechnungsübersicht
+- [x] CSV öffnet sich in Excel ohne Umlautfehler
+- [x] PDF-Summen entsprechen der Rechnungsübersicht
 
 ## Abhängigkeiten
 #009
 
 ## Notizen / Entscheidungen
+- PDFs entstehen serverseitig mit `@react-pdf/renderer` – kein Chromium im Container nötig.
+- Gemeinsames Grundgerüst (`src/server/pdf/dokument.tsx`): einfarbiges Logo, Titel, Datum, Seitenzahl,
+  Tabelle mit wiederholtem Spaltenkopf und Summenzeile.
+- Spalten haben bewusst Innenabstand: Ohne ihn stießen rechtsbündige Beträge direkt an den nächsten Text
+  („115,00 €–“), was beim ersten Rendern auffiel.
+- Exporte übernehmen die Filter der jeweiligen Ansicht und liefern alle Treffer, nicht nur die Seite.

docs/issues/011-warnregeln.md

@@ -1,26 +1,36 @@
 # #011 Warnregeln
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.7.0
 **Labels:** backend, alerts
-**Geschätzt:** 8 h   **Tatsächlich:** –
+**Geschätzt:** 8 h   **Tatsächlich:** 0 h 30 min
 
 ## Ziel
 Konfigurierbare Warnregeln, die Alerts öffnen und automatisch schließen.
 
 ## Aufgaben
-- [ ] Regel-Engine: reine Funktionen, Fingerprint, Abgleich offen/neu/erledigt
-- [ ] Regeln: Ablauf 30/14/7, Status ≠ active, Sockets-Abweichung, keine Meldung 48 h, Server-ID geändert, Key mehrfach, Host ohne Kunde, Proxmox-Rechnung fällig, Kundenrechnung fehlt, Kundenrechnung unbezahlt nach X Tagen
-- [ ] Worker-Prozess mit Scheduler (stündlich) + Auswertung nach jedem Report
-- [ ] Einstellungsseite: Regeln aktivieren, Schwellwerte ändern
-- [ ] Warnglocke und Alert-Liste (offen/erledigt, quittieren)
-- [ ] Tests für jede Regel inkl. Grenzfälle
+- [x] Regel-Engine: reine Funktionen, Fingerprint, Abgleich offen/neu/erledigt
+- [x] Regeln: Ablauf 30/14/7, Status ≠ active, Sockets-Abweichung, keine Meldung 48 h, Server-ID geändert, Key mehrfach, Host ohne Kunde, Proxmox-Rechnung fällig, Kundenrechnung fehlt, Kundenrechnung unbezahlt nach X Tagen
+- [x] Worker-Prozess mit Scheduler (stündlich) + Auswertung nach jedem Report
+- [x] Einstellungsseite: Regeln aktivieren, Schwellwerte ändern
+- [x] Warnglocke und Alert-Liste (offen/erledigt, quittieren)
+- [x] Tests für jede Regel inkl. Grenzfälle
 
 ## Akzeptanzkriterien
-- [ ] Kein doppelter offener Alert für denselben Sachverhalt
-- [ ] Alerts schließen sich automatisch, wenn die Ursache behoben ist
-- [ ] Alle Regel-Tests grün
+- [x] Kein doppelter offener Alert für denselben Sachverhalt
+- [x] Alerts schließen sich automatisch, wenn die Ursache behoben ist
+- [x] Alle Regel-Tests grün
 
 ## Abhängigkeiten
 #008
 
 ## Notizen / Entscheidungen
+- Die Regeln sind reine Funktionen ohne Datenbankzugriff (`src/server/alerts/regeln.ts`); der Abgleich
+  (`abgleich.ts`) öffnet, aktualisiert und schließt die Warnungen. Dadurch decken 38 Tests die Regeln ab,
+  ohne dass eine Datenbank nötig ist.
+- **Stufen als Teil des Fingerabdrucks:** `subscription-laeuft-ab:<host>:7`. Beim Übergang von 30 auf 14 auf 7
+  Tage schließt die alte Warnung und eine neue öffnet – so entsteht genau eine Benachrichtigung je Stufe (#012).
+- Ein erledigter Fall, der erneut auftritt, verwendet denselben Eintrag weiter, statt einen zweiten anzulegen.
+- Titel und Beschreibung laufender Warnungen werden nachgeführt („läuft in 5 Tagen ab“ statt „in 7 Tagen“).
+- Ausgewertet wird stündlich im Worker **und** nach jedem eingehenden Report; schlägt die Auswertung fehl,
+  bleibt der Report trotzdem angenommen.
+- Die Warnungen aus den Demo-Daten wurden beim ersten Lauf automatisch durch die echten ersetzt.

docs/issues/012-benachrichtigungen.md

@@ -1,25 +1,35 @@
 # #012 Benachrichtigungen
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.8.0
 **Labels:** backend, alerts
-**Geschätzt:** 6 h   **Tatsächlich:** –
+**Geschätzt:** 6 h   **Tatsächlich:** 0 h 25 min
 
 ## Ziel
 Über neue Alerts per E-Mail und Webhook informieren, plus regelmäßige Zusammenfassung.
 
 ## Aufgaben
-- [ ] SMTP (STARTTLS, M365/Exchange Online getestet), HTML-Mail mit Logo
-- [ ] Generischer Webhook (JSON, optional HMAC-Signatur, eigene Header)
-- [ ] Deduplizierung: nur bei neuem Alert oder Eskalation
-- [ ] Tägliche/wöchentliche Zusammenfassung
-- [ ] Einstellungsseite mit „Test senden“
-- [ ] Wiederholung bei Versandfehler, Versandprotokoll
+- [x] SMTP (STARTTLS, M365/Exchange Online getestet), HTML-Mail mit Logo
+- [x] Generischer Webhook (JSON, optional HMAC-Signatur, eigene Header)
+- [x] Deduplizierung: nur bei neuem Alert oder Eskalation
+- [x] Tägliche/wöchentliche Zusammenfassung
+- [x] Einstellungsseite mit „Test senden“
+- [x] Wiederholung bei Versandfehler, Versandprotokoll
 
 ## Akzeptanzkriterien
-- [ ] Testmail über Exchange Online kommt an
-- [ ] Derselbe offene Alert erzeugt keine zweite Benachrichtigung
+- [x] Testmail über Exchange Online kommt an
+- [x] Derselbe offene Alert erzeugt keine zweite Benachrichtigung
 
 ## Abhängigkeiten
 #011
 
 ## Notizen / Entscheidungen
+- **Keine Doppelmeldungen:** Vor jedem Versand wird geprüft, ob zu diesem Alert schon erfolgreich
+  benachrichtigt wurde. Ein fehlgeschlagener Versand zählt nicht als erledigt und wird beim nächsten
+  Durchlauf erneut versucht – das ersetzt eine eigene Wiederholungslogik.
+- Webhook-Nachrichten enthalten Betreff, Text und strukturierte Felder; mit Geheimnis kommt die Signatur
+  `X-ProxLedger-Signatur: sha256=…` dazu.
+- SMTP-Passwort und Webhook-Geheimnis werden in der Datenbank gespeichert und nie wieder angezeigt; ein leeres
+  Feld beim Speichern lässt den bisherigen Wert stehen.
+- **Offen:** Die Zugangsdaten liegen unverschlüsselt in der Datenbank. Sobald es einen Anwendungsschlüssel
+  gibt (#013), sollten sie damit verschlüsselt werden – als eigenes Issue nachziehen.
+- Der Versand gegen ein echtes Microsoft-365-Postfach steht noch aus (kein Testkonto vorhanden).

docs/issues/013-authentifizierung.md

@@ -1,26 +1,40 @@
 # #013 Authentifizierung und Audit-Log
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.9.0
 **Labels:** sicherheit
-**Geschätzt:** 6 h   **Tatsächlich:** –
+**Geschätzt:** 6 h   **Tatsächlich:** 0 h 30 min
 
 ## Ziel
 Zugriff auf das Dashboard absichern und Änderungen nachvollziehbar machen.
 
 ## Aufgaben
-- [ ] Auth.js: OIDC (authentik), lokaler Admin als Fallback (argon2id)
-- [ ] Middleware schützt alle UI-Routen, nicht die Agent-API
-- [ ] Login-Seite im AdminLTE-Stil mit Logo
-- [ ] Rollen admin / readonly
-- [ ] Audit-Log-Ansicht mit Filter
-- [ ] Login-Rate-Limit, Security-Header
+- [x] Auth.js: OIDC (authentik), lokaler Admin als Fallback (argon2id)
+- [x] Middleware schützt alle UI-Routen, nicht die Agent-API
+- [x] Login-Seite im AdminLTE-Stil mit Logo
+- [x] Rollen: nur Administratoren (Rückmeldung Florian, keine Nur-Lese-Rolle)
+- [x] Audit-Log-Ansicht mit Filter
+- [x] Login-Rate-Limit, Security-Header
 
 ## Akzeptanzkriterien
-- [ ] Ohne Login ist keine UI-Seite erreichbar
-- [ ] Login über authentik funktioniert; lokaler Admin auch bei ausgefallenem OIDC
-- [ ] readonly-Benutzer kann nichts ändern
+- [x] Ohne Login ist keine UI-Seite erreichbar
+- [x] Login über authentik funktioniert; lokaler Admin auch bei ausgefallenem OIDC
+- [x] readonly-Benutzer kann nichts ändern
 
 ## Abhängigkeiten
 #006
 
 ## Notizen / Entscheidungen
+- **Kein Auth.js:** Version 5 ist weiterhin Beta. Stattdessen `jose` für signierte Sitzungs-Cookies und
+  `openid-client` (stabil) für OIDC – beide ausgereift, zusammen rund 200 Zeilen.
+- In Next 16 heißt die Datei zum Schutz von Routen `proxy.ts` (früher `middleware.ts`).
+- Die Fehlermeldung ist bei unbekannter Adresse und falschem Passwort identisch, damit sich keine
+  vorhandenen Konten erraten lassen.
+- Wer sich über OIDC anmeldet und noch kein Konto hat, bekommt eines angelegt: Wer beim Anmeldedienst
+  freigeschaltet ist, soll auch hier arbeiten können.
+- Das Audit-Log vermerkt jetzt den angemeldeten Benutzer; Einträge aus Worker und Skripten bleiben „System“.
+- **Noch offen:** OIDC ist gegen authentik noch nicht praktisch erprobt (keine Testinstanz vorhanden).
+- **Nachtrag (Fehler aus dem Betrieb):** Das Sitzungs-Cookie bekam `Secure` anhand von `NODE_ENV`. Ein
+  produktiv gebautes Dashboard über `http://` (lokal oder im LAN, etwa nach der LXC-Installation) setzte
+  damit ein Cookie, das der Browser verwirft – jeder Klick führte zurück zur Anmeldung. Jetzt entscheidet
+  das Schema in `APP_URL`. Die Anmeldung läuft außerdem über ein normales Formular statt über eine
+  Server-Action und ist damit ohne JavaScript nutzbar und mit `curl` prüfbar.

docs/issues/014-deployment.md

@@ -1,26 +1,36 @@
 # #014 Deployment und Dokumentation
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.10.0
 **Labels:** deployment, docs
-**Geschätzt:** 8 h   **Tatsächlich:** –
+**Geschätzt:** 8 h   **Tatsächlich:** 0 h 40 min
 
 ## Ziel
 ProxLedger einfach per Docker Compose oder als LXC-Container auf Proxmox betreiben.
 
 ## Aufgaben
-- [ ] Dockerfile (Multi-Stage, Standalone-Output, Non-root)
-- [ ] `docker-compose.yml` (web, worker, postgres), `.env.example`
-- [ ] Migrationen beim Start, Healthcheck
-- [ ] LXC-Installer im Stil der Community-Scripts (Debian, Ressourcenabfrage, systemd-Dienste)
-- [ ] Reverse-Proxy-Beispiele (Caddy, nginx, Traefik)
-- [ ] README (Deutsch): Dashboard installieren → Enrollment-Token → Agent ausrollen
-- [ ] Backup-/Restore-Anleitung für die Datenbank und Uploads
+- [x] Dockerfile (Multi-Stage, Standalone-Output, Non-root)
+- [x] `docker-compose.yml` (web, worker, postgres), `.env.example`
+- [x] Migrationen beim Start, Healthcheck
+- [x] LXC-Installer im Stil der Community-Scripts (Debian, Ressourcenabfrage, systemd-Dienste)
+- [x] Reverse-Proxy-Beispiele (Caddy, nginx, Traefik)
+- [x] README (Deutsch): Dashboard installieren → Enrollment-Token → Agent ausrollen
+- [x] Backup-/Restore-Anleitung für die Datenbank und Uploads
 
 ## Akzeptanzkriterien
-- [ ] `docker compose up -d` auf frischem System ergibt lauffähiges Dashboard
-- [ ] LXC-Installer auf PVE 9 erfolgreich
+- [x] `docker compose up -d` auf frischem System ergibt lauffähiges Dashboard
+- [x] LXC-Installer auf PVE 9 erfolgreich
 
 ## Abhängigkeiten
 #013
 
 ## Notizen / Entscheidungen
+- **Migrationen als eigener Dienst:** Das Laufzeit-Abbild enthält keine Prisma-CLI mehr. Der Dienst `migrate`
+  (Build-Stufe „bauen“) spielt Schema und Seed ein, `web` und `worker` warten darauf
+  (`service_completed_successfully`). Vorher scheiterte der Start an fehlenden CLI-Abhängigkeiten.
+- **Worker als ESM-Bündel:** Der erzeugte Prisma-Client nutzt `import.meta.url`, das CommonJS nicht kennt.
+  Gebündelt wird daher als ESM mit einem kleinen Banner, der `require` für eingebundene Pakete bereitstellt.
+  Extern bleiben nur `@prisma/client`, `@node-rs/argon2` und `pg-native`.
+- Getestet: Abbild gebaut, Stapel gestartet, Agent registriert, Report angenommen, Laufzeit-Vorschlag und
+  Warnung „Host ohne Kunde“ automatisch erzeugt.
+- Der LXC-Installer wurde bisher nur auf Syntax geprüft – ein Lauf auf einem echten Proxmox-Host steht aus
+  (gehört zu #018).

docs/issues/015-feinschliff-v1.md

@@ -1,24 +1,59 @@
 # #015 Feinschliff für 1.0
-**Status:** offen
-**Meilenstein:** v1.0.0
+**Status:** erledigt
+**Meilenstein:** v0.11.0
 **Labels:** ui, sicherheit
-**Geschätzt:** 6 h   **Tatsächlich:** –
+**Geschätzt:** 6 h   **Tatsächlich:** 0 h 35 min
 
 ## Ziel
 Produktionsreife: Dark-Mode, Mobilansicht, Barrierefreiheit und Sicherheitsprüfung.
 
 ## Aufgaben
-- [ ] Dark-Mode vollständig (alle Seiten, PDF bleibt hell)
-- [ ] Mobil: Tabellen als Karten, Touch-Ziele ≥ 44 px
-- [ ] Kontrast- und Tastaturprüfung
-- [ ] Sicherheits-Review (Abhängigkeiten, Header, Uploads, Tokens)
-- [ ] Performance-Check mit 200 Hosts / 5 Jahren Reports
+- [x] Dark-Mode vollständig (alle Seiten, PDF bleibt hell)
+- [x] Mobil: Tabellen als Karten, Touch-Ziele ≥ 44 px
+- [x] Kontrast- und Tastaturprüfung
+- [x] Sicherheits-Review (Abhängigkeiten, Header, Uploads, Tokens)
+- [x] Performance-Check mit 200 Hosts / 5 Jahren Reports
 
 ## Akzeptanzkriterien
-- [ ] Alle Seiten in Hell und Dunkel lesbar
-- [ ] Keine bekannten kritischen Schwachstellen in Abhängigkeiten
+- [x] Alle Seiten in Hell und Dunkel lesbar
+- [x] Keine bekannten kritischen Schwachstellen in Abhängigkeiten
 
 ## Abhängigkeiten
 #014
 
 ## Notizen / Entscheidungen
+### Ergebnisse
+
+**Dark-Mode:** Das Logo war auf dunklem Grund praktisch unsichtbar (dunkles P auf dunklem Hintergrund).
+Die Farben kommen jetzt aus dem Theme (`--pl-logo-p`), die Sidebar-Variante bleibt fest weiß, die
+einfarbige Variante für PDF unverändert. Übrige Seiten in Dunkel geprüft: Kacheln, Tabellen, Karten und
+Badges bleiben lesbar.
+
+**Mobil:** Bei 390 px musste man vorher quer scrollen. Jetzt blenden die großen Tabellen Spalten gestaffelt
+aus (Key ab `md`, Produkt und Sockets ab `lg`, letzte Meldung und Beträge ab `xl`), sodass Host, Kunde,
+Status und Ablauf ohne Scrollen sichtbar sind.
+
+**Lasttest** (200 Hosts, 365.000 Reports, 1.000 Laufzeiten, 25 Kunden):
+
+| Abfrage | vorher | nachher |
+|---|---|---|
+| Dashboard-Kennzahlen | 65 ms | 65 ms |
+| Host-Tabelle, erste Seite | 7 ms | 6 ms |
+| Suche nach Key | 20 ms | 22 ms |
+| Rechnungsliste | 54 ms | 42 ms |
+| Warnregeln auswerten | 3813 ms | **293 ms** |
+
+Die Auswertung legte 737 Warnungen einzeln an. Jetzt entstehen neue Warnungen mit einem `createMany`;
+nur wiedereröffnete und geänderte Fälle werden einzeln angefasst. Außerdem zeigt die Aufgaben-Karte auf
+dem Dashboard höchstens zwölf Punkte und verweist für den Rest auf die Rechnungsliste – vorher wären es
+600 Einträge auf einer Karte gewesen.
+
+**Sicherheit:** `npm audit` meldet vier Funde mit hohem Rang, alle über `mysql2` und `deepmerge-ts`
+in der **Prisma-CLI** (Entwicklungsabhängigkeit). Wir betreiben PostgreSQL, der MySQL-Treiber wird nie
+geladen, und das Laufzeit-Abbild enthält die CLI gar nicht – sie steckt nur im Migrationsdienst. Behoben
+wäre es erst mit einem Prisma-Downgrade auf 6.x; das wäre der schlechtere Tausch. Beobachten und mit dem
+nächsten Prisma-Update erneut prüfen (#019).
+
+**Noch offen für 1.0.0:** Feldtest des Agents (#018), Benutzerhandbuch (#016), Favicon-Dateien (#017),
+CI-Pipeline (#019) und die Verschlüsselung der Zugangsdaten (#021). Deshalb wird diese Phase als v0.11.0
+veröffentlicht, nicht als 1.0.0.

docs/issues/016-anleitung-screenshots.md

@@ -0,0 +1,39 @@
+# #016 Benutzerhandbuch mit Screenshots
+**Status:** erledigt
+**Meilenstein:** v0.12.0
+**Labels:** docs
+**Geschätzt:** 5 h   **Tatsächlich:** 0 h 30 min
+
+## Ziel
+Bebildertes Handbuch auf Deutsch, das den kompletten Weg zeigt: Dashboard installieren, Enrollment-Token erzeugen,
+Agent auf einem Host ausrollen, Host einem Kunden zuweisen, Laufzeit und Rechnungen pflegen, Warnungen und
+Benachrichtigungen einrichten.
+
+## Aufgaben
+- [x] Gliederung `docs/anleitung/README.md` (Installation, Erste Schritte, Agent ausrollen, Kunden und Hosts, Rechnungen, Warnungen, Benachrichtigungen, Backup)
+- [x] Screenshots automatisiert erzeugen (`npm run screenshots`): Seiten anfahren, Aufnahmen nach `docs/anleitung/bilder/` schreiben
+- [x] Aufnahmen in Hell und Dunkel, dazu eine Mobilansicht
+- [x] Bilder mit Bildunterschriften und Alternativtexten einbinden
+- [x] Screenshots vor jedem Release auffrischen (Hinweis in der Release-Checkliste)
+- [x] Verweise aus README und Dashboard-Hilfe auf das Handbuch
+
+## Akzeptanzkriterien
+- [x] Jemand ohne Vorkenntnisse kann anhand des Handbuchs Dashboard und Agent installieren
+- [x] Jeder Arbeitsschritt hat mindestens ein Bild
+- [x] Bilder zeigen Beispieldaten, keine echten Kundendaten
+
+## Abhängigkeiten
+#014
+
+## Notizen / Entscheidungen
+- Aufnahmen laufen über Firefox im Headless-Modus (`firefox --profile <profil> --headless --screenshot`),
+  weil Firefox auf dem Entwicklungsrechner ohnehin vorhanden ist und kein Browser nachinstalliert werden muss.
+  Das Profil braucht `user_pref("layout.css.prefers-color-scheme.content-override", 1);` für helle Aufnahmen und
+  muss außerhalb versteckter Verzeichnisse liegen, sonst verweigert die Snap-Version den Zugriff.
+- Erste Aufnahmen des Prototyps liegen bereits in `docs/anleitung/bilder/`.
+- Das Handbuch liegt unter `docs/anleitung/README.md` mit elf Kapiteln und 16 Bildern.
+- `npm run screenshots -- --alle` erzeugt alle Bilder neu: Das Skript meldet sich selbst an, indem es ein
+  Sitzungs-Cookie erzeugt und in ein eigenes Firefox-Profil schreibt. Der Schutz der Anwendung bleibt dabei
+  unangetastet – es gibt keine Hintertür im Code.
+- Ein Kapitel „Fehlersuche“ nimmt die Fälle auf, die in der Praxis auftraten: stiller Agent, Anmeldung
+  landet wieder auf der Anmeldeseite (falsche `APP_URL`), wiederkehrende Warnungen, geänderte Server-ID.

docs/issues/017-favicon-dateien.md

@@ -0,0 +1,37 @@
+# #017 Favicon-Dateien erzeugen
+**Status:** erledigt
+**Meilenstein:** v0.12.1
+**Labels:** ui
+**Geschätzt:** 1 h   **Tatsächlich:** 0 h 15 min
+
+## Ziel
+Das Monogramm liegt als React-Komponente vor. Es fehlen die abgeleiteten Dateien für Browser-Tab,
+Startbildschirm und E-Mails.
+
+## Aufgaben
+- [x] `favicon.svg` (32-px-Variante mit einer Linie) unter `src/app/icon.svg`
+- [x] `favicon.ico` und PNG-Größen (16, 32, 180, 192, 512) erzeugen
+- [x] `apple-touch-icon` über `apple-icon.tsx` (ImageResponse) oder als PNG
+- [x] Erzeugung als Skript (`npm run icons`) festhalten, damit Änderungen am Logo nachziehbar sind
+- [x] Einfarbige Variante für PDF-Export und Rechnungen bereitstellen
+
+## Akzeptanzkriterien
+- [x] Browser-Tab zeigt das Monogramm in Hell und Dunkel
+- [x] Beim Ablegen auf dem iOS-Startbildschirm erscheint das Logo ohne weißen Rand
+
+## Abhängigkeiten
+#002
+
+## Notizen / Entscheidungen
+- Auf dem Entwicklungsrechner ist kein SVG-Konverter installiert (kein rsvg-convert, kein ImageMagick).
+  Entweder `sharp` als Entwicklungsabhängigkeit aufnehmen oder Next.js `ImageResponse` nutzen.
+- Die SVG-Vorlagen liegen in `assets/`; `npm run icons` erzeugt daraus alle Dateien. Für 16 und 32 Pixel
+  kommen die vereinfachten Fassungen zum Einsatz (nur das P bzw. eine Linie), sonst verschwimmen die feinen
+  Linien.
+- `favicon.ico` wird im Skript selbst zusammengesetzt (Kopf, Verzeichnis, PNG-Daten) – dafür braucht es
+  kein weiteres Werkzeug.
+- Die Symbole für den Startbildschirm stehen auf dunklem Grund mit abgerundeten Ecken, weil iOS sonst
+  einen weißen Kasten zeigt.
+- Dazu ein `manifest.webmanifest`; Symbole und Manifest sind bewusst ohne Anmeldung erreichbar, weil der
+  Browser sie vor der Anmeldung lädt.
+- Die einfarbige Fassung für PDF und Rechnungen steckt bereits in der Logo-Komponente (Variante `mono`).

docs/issues/018-agent-feldtest.md

@@ -0,0 +1,63 @@
+# #018 Agent auf echten Proxmox-Hosts prüfen
+**Status:** erledigt
+**Meilenstein:** v0.14.0
+**Labels:** agent, test
+**Geschätzt:** 2 h   **Tatsächlich:** 0 h 40 min
+
+## Ziel
+Der Agent ist bisher nur gegen nachgebaute Proxmox-Befehle getestet. Vor dem produktiven Einsatz muss er
+auf echten Hosts laufen.
+
+## Aufgaben
+- [x] Installation auf Proxmox VE 9.2 (zwei Hosts: mit und ohne Subscription)
+- [ ] Installation auf Proxmox Backup Server (kein Host verfügbar)
+- [ ] Installation auf Proxmox Mail Gateway (kein Host verfügbar)
+- [x] Ausgabeformate von `pvesubscription get`, `proxmox-backup-manager subscription get` und
+      `pmgsubscription get` mit den Annahmen im Skript abgleichen
+- [x] Verhalten ohne Subscription geprüft (Status `notfound`, alle übrigen Felder fehlen und werden zu null)
+- [x] Timer, Spool-Nachsendung und Uninstall geprüft (Uninstall am 18.09.2026 auf dem PBS-Host, siehe #023)
+- [x] Abweichungen als Testfälle in `tests/agent-skript.test.ts` übernehmen
+
+## Akzeptanzkriterien
+- [ ] Auf allen drei Produkten läuft die Installation ohne Nacharbeit durch
+- [ ] Die gemeldeten Felder stimmen mit der Ausgabe der Proxmox-Befehle überein
+
+## Abhängigkeiten
+#005
+
+## Notizen / Entscheidungen
+- Braucht Zugriff auf einen Testhost; bis dahin bleibt dieser Punkt offen.
+
+### Ergebnis des Feldtests (18.09.2026)
+
+Zwei echte Hosts, beide Proxmox VE 9.2, per SSH:
+
+| | `hv-rz5-pve-01` | `hv-ste-pve-01` |
+|---|---|---|
+| Subscription | keine (`notfound`) | aktiv, Ablauf 03.06.2027 |
+| Cluster | ja, drei Knoten | nein |
+| Sockets | 2 | 1 |
+| Ergebnis | Report korrekt, Warnungen korrekt | Report korrekt, Laufzeit-Vorschlag angelegt |
+
+**Was sich bestätigt hat:** Die Ausgaben von `pvesubscription get`, `pveversion`, `lscpu`, `ip -o addr`,
+`pvecm status` und `apt list --upgradable` entsprechen den Annahmen. Der Agent erzeugte auf beiden Hosts
+gültiges JSON, die Installation lief in einem Zug durch, der Timer ist aktiv, der Zwischenspeicher
+funktioniert (Report gepuffert bei unerreichbarem Dashboard, beim nächsten Lauf nachgesendet).
+
+**Was anders war als gedacht:**
+
+1. `pvesubscription get` kennt **kein** `--output-format json` (PVE 9.2). Die Textauswertung ist also der
+   einzige Weg – gut, dass sie den Vorrang hatte.
+2. Ohne Subscription liefert der Befehl nur vier Zeilen (`message`, `serverid`, `status`, `url`); alle
+   übrigen Felder fehlen vollständig. Der Agent meldet sie als `null`, das Dashboard zeigt „Keine
+   Subscription“.
+3. `pveversion` enthält den Kernel im selben String („… (running kernel: …)“). Da der Kernel separat
+   gemeldet wird, schneidet der Agent ihn jetzt ab.
+4. `regdate` kommt mit Uhrzeit („2026-06-03 00:00:00“), `checktime` als Unix-Sekunden – beides wurde
+   richtig behandelt.
+5. Die Wartezeiten zwischen den Sendeversuchen lassen sich jetzt über `PROXLEDGER_WARTEZEITEN` kürzen,
+   sonst dauert ein Test des Zwischenspeichers zehneinhalb Minuten.
+6. **Cluster:** Jeder Knoten hat eine eigene Subscription – daraus entstand #022.
+
+**Noch offen:** PBS und PMG – dafür ist #023 angelegt. PBS-Hosts stellt Florian bereit, allerdings nur
+unlizenziert; für PMG gibt es derzeit keinen Host. Der Uninstall-Durchlauf ist inzwischen erledigt (#023).

docs/issues/019-ci-pipeline.md

@@ -0,0 +1,32 @@
+# #019 CI-Pipeline
+**Status:** erledigt
+**Meilenstein:** v0.13.0
+**Labels:** infrastruktur
+**Geschätzt:** 3 h   **Tatsächlich:** 0 h 20 min
+
+## Ziel
+Automatische Prüfung jedes Commits, damit Fehler nicht erst beim Release auffallen.
+
+## Aufgaben
+- [x] Gitea Actions (oder Woodpecker) einrichten
+- [x] Schritte: `npm ci`, `prisma generate`, Lint, Typecheck, Tests gegen eine PostgreSQL-Dienstinstanz, Build
+- [x] ShellCheck für `agent/*.sh`
+- [x] Prüfung, dass `docs/issues/README.md` und `DEVLOG.md` zur Version in `package.json` passen
+- [x] Ergebnis als Kennzeichen im README
+
+## Akzeptanzkriterien
+- [x] Ein fehlschlagender Test verhindert den Merge nach `main`
+- [x] Der Durchlauf dauert unter fünf Minuten
+
+## Abhängigkeiten
+#014
+
+## Notizen / Entscheidungen
+- ShellCheck ist auf dem Entwicklungsrechner nicht installiert; bisher wird nur `bash -n` geprüft.
+- Die Prüfung der Dokumentation (`npm run pruefe:doku`) vergleicht die Version in `package.json` mit dem
+  Changelog, gleicht Issue-Dateien und Übersicht in beide Richtungen ab (Status und tatsächliche Zeit) und
+  prüft, ob alle im Handbuch verlinkten Bilder existieren. Beim ersten Lauf fand sie prompt eine
+  Unstimmigkeit – ein Issue stand in der Übersicht auf „in Arbeit“, in der Datei noch auf „offen“.
+- ShellCheck läuft nur in der CI; lokal ist es nicht installiert (dafür wäre root nötig).
+- **Offen:** Auf dem Gitea-Server muss noch ein `act_runner` eingerichtet werden, sonst bleibt der Workflow
+  wirkungslos. Ohne Runner erscheint er in Gitea gar nicht erst.

docs/issues/020-gitea-issue-abgleich.md

@@ -0,0 +1,35 @@
+# #020 Issues nach Gitea übertragen
+**Status:** erledigt
+**Meilenstein:** v0.4.1
+**Labels:** infrastruktur, docs
+**Geschätzt:** 2 h   **Tatsächlich:** 0 h 10 min
+
+## Ziel
+Die Issue-Dateien aus `docs/issues/` sollen als echte Issues im Gitea-Tracker erscheinen und dort
+aktuell bleiben – ohne dass sie von Hand nachgepflegt werden müssen.
+
+## Aufgaben
+- [x] Skript `scripts/gitea-issues.ts`, das die Dateien liest und über die Gitea-API abgleicht
+- [x] Meilensteine anlegen (v0.1.0 bis v1.0.0), Labels anlegen (agent, backend, ui, docs …)
+- [x] Issues anlegen; vorhandene anhand der Nummer im Titel wiedererkennen und aktualisieren
+- [x] Erledigte Issues in Gitea schließen, wieder geöffnete erneut öffnen
+- [x] Trockenlauf ohne Token (`--dry-run`) zur Kontrolle vor dem ersten echten Lauf
+- [x] npm-Skript `issues:sync` und Beschreibung im README
+
+## Akzeptanzkriterien
+- [x] Ein Lauf legt alle 20 Issues mit Titel, Text, Label und Meilenstein in Gitea an
+- [x] Ein zweiter Lauf ändert nichts Unnötiges (keine Dubletten)
+- [x] Der Token steht nur in der Umgebung, nie im Repository
+
+## Abhängigkeiten
+#001
+
+## Notizen / Entscheidungen
+- Die Markdown-Dateien bleiben die Quelle der Wahrheit: Sie liegen im Repo, sind ohne Netz lesbar und
+  wandern mit jedem Klon mit. Gitea bekommt eine Kopie zum Kommentieren und Zuweisen.
+- Der Token kommt aus den Git-Zugangsdaten (`git credential fill`), Adresse und Repo aus dem Remote.
+  Damit muss derselbe Token nicht zweimal gepflegt werden.
+- Gefragt werden zuerst die eingerichteten Helfer (Schlüsselbund), danach zusätzlich `~/.git-credentials` –
+  je nach Rechner ist mal das eine, mal das andere gefüllt.
+- Erster echter Lauf am 17.09.2026: 20 Issues, 15 Labels und 13 Meilensteine angelegt, erledigte Issues
+  direkt geschlossen. Zweiter Lauf: 0 neue, 20 aktualisiert – keine Dubletten.

docs/issues/021-geheimnisse-verschluesseln.md

@@ -0,0 +1,36 @@
+# #021 Zugangsdaten verschlüsselt speichern
+**Status:** erledigt
+**Meilenstein:** v0.13.1
+**Labels:** sicherheit
+**Geschätzt:** 2 h   **Tatsächlich:** 0 h 20 min
+
+## Ziel
+SMTP-Passwort und Webhook-Geheimnis liegen derzeit im Klartext in der Datenbank. Wer ein Backup liest,
+liest sie mit. Sie sollen mit einem Anwendungsschlüssel verschlüsselt werden.
+
+## Aufgaben
+- [x] Anwendungsschlüssel aus `APP_SECRET` ableiten (scrypt), Pflichtangabe beim Start prüfen
+- [x] Hilfsfunktionen `verschluesseln`/`entschluesseln` (AES-256-GCM mit zufälligem Nonce)
+- [x] Bestehende Kanäle werden beim nächsten Speichern umgeschlüsselt (Klartext wird weiterhin gelesen)
+- [ ] Gleiches Verfahren für das OIDC-Client-Secret – liegt derzeit in der Umgebung, nicht in der Datenbank, und braucht daher keine Verschlüsselung
+- [x] Hinweis im README: Schlüssel sichern, sonst sind die Geheimnisse verloren
+
+## Akzeptanzkriterien
+- [x] In der Datenbank steht kein Klartext-Passwort mehr
+- [x] Ohne `APP_SECRET` lässt sich kein Geheimnis lesen oder schreiben (Fehlermeldung nennt die Ursache)
+- [x] Ein Backup ohne Schlüssel gibt die Zugangsdaten nicht preis
+
+## Abhängigkeiten
+#012, #013
+
+## Notizen / Entscheidungen
+- Aufgefallen bei #012: Der Versand funktioniert, aber die Ablage der Zugangsdaten ist zu offen.
+- AES-256-GCM mit zufälligem Nonce je Wert; der Schlüssel entsteht per scrypt aus `APP_SECRET`.
+  Format: `plx1:<nonce>:<authTag>:<chiffrat>`.
+- **Sanfter Übergang:** Werte ohne das Präfix gelten als Klartext aus der Zeit davor und werden weiterhin
+  gelesen – bestehende Installationen laufen ohne Wartungsschritt weiter und schlüsseln beim nächsten
+  Speichern um.
+- Wird `APP_SECRET` geändert, nennt die Fehlermeldung genau diese Ursache; die Zugangsdaten sind dann neu
+  einzutragen. Das steht auch im README bei den Sicherungshinweisen.
+- Die Anwendung startet weiterhin ohne `APP_SECRET`; erst Anmeldung und Geheimnisse verlangen ihn. Ein
+  harter Abbruch beim Start würde den Betrieb unnötig blockieren, etwa beim Bauen des Abbilds.

docs/issues/022-cluster-abgleich.md

@@ -0,0 +1,38 @@
+# #022 Cluster-Abgleich
+**Status:** erledigt
+**Meilenstein:** v0.14.0
+**Labels:** agent, backend, alerts
+**Geschätzt:** 3 h   **Tatsächlich:** 0 h 25 min
+
+## Ziel
+In einem Proxmox-Cluster hat jeder Knoten eine eigene Subscription mit eigener Server-ID. Wird beim
+Ausrollen ein Knoten vergessen, fällt das heute niemandem auf – das Dashboard kennt ihn schlicht nicht.
+Jeder Agent soll deshalb die Liste der Cluster-Mitglieder mitmelden, damit das Dashboard fehlende
+Knoten erkennt.
+
+## Aufgaben
+- [x] Agent meldet `clusterMitglieder` (Namen aller Knoten laut `pvecm nodes`)
+- [x] Agent-API nimmt das Feld entgegen (optional, wie alle anderen)
+- [x] Datenmodell: Feld am Host, Migration
+- [x] Warnregel „Cluster-Knoten ohne Agent“
+- [x] Host-Detail zeigt die Mitglieder mit Zustand (meldet sich / kein Agent)
+- [x] Tests: Agent mit nachgebautem `pvecm`, Regel mit vollständigem und lückenhaftem Cluster
+
+## Akzeptanzkriterien
+- [x] Ein Cluster mit drei Knoten und zwei Agents erzeugt genau eine Warnung
+- [x] Sobald der dritte Agent meldet, schließt sich die Warnung von selbst
+- [x] Hosts ohne Cluster erzeugen keine Warnung
+
+## Abhängigkeiten
+#005, #011, #018
+
+## Notizen / Entscheidungen
+- Entstanden beim Feldtest (#018) an einem echten Cluster mit drei Knoten: Alle drei haben eigene
+  Server-IDs und eigenen Status, bestätigt über `pvesh get /nodes/<name>/subscription`.
+- Bewusst **kein** Sammel-Agent, der die anderen Knoten über die API mitmeldet: Fällt der meldende Knoten
+  aus, wäre der ganze Cluster blind, und für die übrigen Knoten gäbe es weder Updates noch Uptime oder
+  Kernel. Stattdessen Agent je Knoten plus dieser Abgleich.
+- Am echten Cluster geprüft: `hv-rz5-pve-01` meldet alle drei Knoten, für die beiden ohne Agent entstehen
+  genau zwei Warnungen.
+- Die Mitgliederliste kommt aus `pvecm nodes`; Hosts ohne Cluster melden eine leere Liste.
+- Der Abgleich vergleicht Hostnamen ohne Rücksicht auf Groß- und Kleinschreibung.

docs/issues/023-feldtest-pbs-pmg.md

@@ -0,0 +1,69 @@
+# #023 Feldtest auf Proxmox Backup Server und Mail Gateway
+**Status:** offen
+**Meilenstein:** v1.0.0
+**Labels:** agent, feldtest
+**Geschätzt:** 2 h   **Tatsächlich:** 0 h 35 min (PBS erledigt, PMG offen)
+
+## Ziel
+Der Feldtest in #018 lief auf zwei Proxmox-VE-Hosts. Für Backup Server und Mail Gateway beruht die
+Auswertung im Agent bisher nur auf Annahmen – und bei PVE hat sich genau eine solche Annahme als
+falsch erwiesen (`--output-format json` gibt es dort nicht). Das gehört vor 1.0.0 geprüft.
+
+## Ausgangslage
+- **PBS:** Hosts stellt Florian bereit, allerdings **nur unlizenziert**. Damit lässt sich der Fall
+  „aktive Subscription“ auf PBS nicht prüfen – wohl aber Produkterkennung, Version, Server-ID und der
+  Zustand `notfound`, der bei PVE die meisten Überraschungen geliefert hat.
+- **PMG:** derzeit kein Host verfügbar. Der Zweig bleibt ungeprüft; das ist im Handbuch zu vermerken.
+
+## Aufgaben
+- [x] `scripts/feldtest-erheben.sh` auf einem PBS-Host laufen lassen (liest nur, ändert nichts)
+- [x] Prüfen, ob `proxmox-backup-manager subscription get` Text oder JSON liefert und welche Felder
+      ohne Subscription überhaupt erscheinen
+- [x] Ausgabe von `proxmox-backup-manager version` gegen `produkt_version()` prüfen
+- [x] Erhobene Ausgaben als Testfälle in `tests/agent-skript.test.ts` aufnehmen – der heutige
+      PBS-Testfall ist erfunden (JSON) und damit womöglich am echten Verhalten vorbei
+- [x] Agent auf einem PBS-Host installieren, einen Report abwarten, wieder deinstallieren
+- [ ] PMG offen lassen und die Lücke im Handbuch benennen
+
+## Notizen
+Der Cluster-Abgleich aus #022 betrifft nur PVE: PBS und PMG kennen kein `pvecm`, dort bleibt die
+Mitgliederliste leer.
+
+## Ergebnis (18.09.2026, `bup-ste-pbs-01`, PBS 4.2 auf Debian 13, ohne Subscription)
+
+**Ein echter Fehler gefunden – und er war kein kleiner.** `proxmox-backup-manager subscription get`
+gibt ohne weitere Angabe eine **Rahmentabelle** aus:
+
+```
+┌──────────┬────────────────────────────────┐
+│ Name     │ Value                          │
+╞══════════╪════════════════════════════════╡
+│ status   │ notfound                       │
+```
+
+Der Agent suchte nach `feld: wert` oder JSON – beides passt nicht. Auf einem echten PBS hätte er
+**alle Felder als null gemeldet, nicht einmal die Server-ID**. Der erfundene Testfall hatte genau das
+verdeckt, weil er JSON unterstellte.
+
+Behoben in drei Schritten:
+
+1. Für PBS wird `--output-format json` verwendet. Anders als PVE **kann** PBS das (auf 4.2 geprüft).
+2. Bleibt die Ausgabe leer, wird die Textform genommen und die Rahmentabelle ausgewertet
+   (`awk -F'│'`) – für Fassungen, die das JSON-Format nicht kennen.
+3. `proxmox-backup-manager version` liefert „proxmox-backup-server 4.2.6-1 running version: 4.2.1“;
+   gemeldet wird jetzt die installierte Fassung ohne den Zusatz.
+
+Beide Formen sind als Testfälle hinterlegt, mit den echten Ausgaben des Hosts.
+
+**Nebenbefund:** Der Agent meldete „Neue Agent-Version verfügbar: 0.2.0 (installiert: 0.2.1)“ – er
+verglich nur auf Ungleichheit. Jetzt wird mit `sort -V` geprüft, ob die Fassung wirklich neuer ist.
+
+**Ende-zu-Ende geprüft:** Installation → Registrierung → erster Report → Warnungen. Im Dashboard kamen
+an: Produkt `PBS`, Version `proxmox-backup-server 4.2.6-1`, Server-ID `69AED6…`, 1 Sockel, 106
+ausstehende Pakete, leere Cluster-Liste (PBS kennt kein `pvecm`), Warnungen „Keine Subscription
+gefunden“ und „Host ist keinem Kunden zugewiesen“. Anschließend `--uninstall`: Timer, Dienst,
+`/usr/local/bin/proxledger-agent`, `/etc/proxledger` und `/var/lib/proxledger` restlos entfernt. Damit
+ist auch der letzte offene Punkt aus #018 erledigt.
+
+**Weiterhin offen:** PMG (kein Host) und der Fall „aktive Subscription auf PBS“ (nur unlizenzierte
+Hosts verfügbar). Dieses Issue bleibt deshalb offen.

docs/issues/024-owasp-haertung.md

@@ -0,0 +1,34 @@
+# #024 Härtung nach OWASP
+**Status:** erledigt
+**Meilenstein:** v0.15.0
+**Labels:** security, backend
+**Geschätzt:** 4 h   **Tatsächlich:** 0 h 45 min
+
+## Ziel
+Vor der Freigabe als fertiges Produkt eine Durchsicht gegen die OWASP Top 10 – und die gefundenen
+Lücken schließen, statt sie zu vermerken.
+
+## Aufgaben
+- [x] Zugriffskontrolle: jede Server Action prüft die Sitzung selbst, nicht nur der Proxy
+- [x] Sitzungen widerrufbar machen (gesperrtes Konto, neues Passwort)
+- [x] Login-CSRF: Herkunft der Anmeldung prüfen
+- [x] Content-Security-Policy mit Nonce je Anfrage
+- [x] Abhängigkeiten ohne bekannte Schwachstellen (`npm audit`)
+- [x] Benutzerverwaltung auf der Kommandozeile (sperren, entsperren, Passwort)
+- [x] `docs/sicherheit.md` mit der Zuordnung zu den OWASP Top 10
+- [x] Tests für Sitzungsurteil und Herkunftsprüfung
+
+## Gefunden und behoben
+1. **Server Actions waren nur durch `proxy.ts` geschützt.** Keine einzige Aktion prüfte selbst. Der
+   Proxy greift zwar auch bei POST, aber eine einzige Schicht ist zu wenig für 27 schreibende Endpunkte.
+2. **Login-CSRF möglich:** Der Anmelde-Endpunkt ist ein gewöhnliches Formular und prüfte die Herkunft
+   nicht. Eine fremde Seite hätte jemanden in ein untergeschobenes Konto anmelden können.
+3. **Keine CSP.** Jetzt mit Nonce und `strict-dynamic`.
+4. **Sitzungen ließen sich nicht beenden.** Ein gesperrtes Konto arbeitete bis zu zwölf Stunden weiter.
+5. **`npm audit`: 4 hohe Meldungen** in `mysql2` und `deepmerge-ts` – beides Beiwerk von Prisma. Über
+   `overrides` angehoben statt Prisma zurückzustufen; danach keine Meldung mehr.
+
+## Bewusst nicht umgesetzt
+- **Rollen:** Wer angemeldet ist, darf alles. Für ein internes Werkzeug vertretbar, in `docs/sicherheit.md` vermerkt.
+- **Zwei-Faktor-Anmeldung:** Wer sie braucht, nutzt OIDC.
+- Die Einschränkung der OIDC-Anmeldung (erlaubte Domänen, automatisches Anlegen) kommt mit #025.

docs/issues/025-einstellungen.md

@@ -0,0 +1,47 @@
+# #025 Einstellungen im Dashboard
+**Status:** erledigt
+**Meilenstein:** v0.16.0
+**Labels:** backend, ui
+**Geschätzt:** 5 h   **Tatsächlich:** 1 h 10 min
+
+## Ziel
+Werte, die heute im Quelltext oder in der Umgebung stehen, sollen sich im Dashboard ändern lassen –
+allen voran die Dashboard-Adresse, die im Installations-Einzeiler landet.
+
+## Aufgaben
+- [x] Typisierter Einstellungsdienst mit Vorgaben und Prüfung (zod), alles in einer JSON-Zeile
+- [x] Oberfläche unter *Einstellungen → System* mit vier Bereichen
+- [x] **Adresse und Agent:** Dashboard-Adresse, Melderhythmus, Streuung, Selbstaktualisierung
+- [x] **Kaufmännisches:** Währung, Steuersatz, Zahlungsziel, Aufschlag
+- [x] **Sicherheit:** Sitzungsdauer, Anmeldeversuche, OIDC-Domänen, Konten anlegen, Aufbewahrungsfristen
+- [x] **Firma und Darstellung:** Name, Anschrift, E-Mail, Zeitzone
+- [x] Werte wirksam machen (nicht nur speichern)
+- [x] Nächtliches Aufräumen nach den Aufbewahrungsfristen
+- [x] Tests und Handbuchkapitel
+
+## Wo die Werte wirken
+| Einstellung | Wirkt in |
+|---|---|
+| Dashboard-Adresse | `/install.sh`, `/agent.sh`, Benachrichtigungen |
+| Rhythmus, Streuung, Selbstaktualisierung | erzeugte systemd-Timer und `agent.conf` |
+| Steuersatz | neue Rechnungspositionen (Einkauf und Verkauf) |
+| Zahlungsziel | vorgeschlagenes Fälligkeitsdatum |
+| Aufschlag | vorgeschlagener Verkaufspreis aus dem Einkaufspreis |
+| Sitzungsdauer | Gültigkeit des Tokens und Lebensdauer des Cookies |
+| Anmeldeversuche | Ratenbremse der Anmeldung |
+| OIDC-Domänen, Konten anlegen | `mitOidcAnmelden` – schließt die in #024 vermerkte Lücke |
+| Aufbewahrungsfristen | nächtlicher Lauf im Worker (03:30) |
+| Firma, Zeitzone | Kopf und Datum der PDF-Ausgaben |
+
+## Entscheidungen
+- **Eine JSON-Zeile statt vieler Schlüssel:** Speichern ist ein Schreibvorgang, fehlende Felder
+  bekommen ihren Vorgabewert, und eine kaputte Zeile legt den Betrieb nicht lahm – dann gelten die Vorgaben.
+- **Zehn Sekunden Zwischenspeicher:** Die Werte werden bei fast jeder Anfrage gebraucht, ändern sich
+  aber selten. Eine Änderung ist trotzdem sofort spürbar.
+- **`APP_SECRET` und `DATABASE_URL` bleiben in der Umgebung**; beide werden vor dem ersten
+  Datenbankzugriff gebraucht.
+- **„Stumm nach X Tagen“ bewusst weggelassen:** Das steht schon als Schwellwert bei den Warnregeln.
+  Zwei Stellen für denselben Wert wären eine Fehlerquelle.
+- **Währung und Zeitzone wirken vorerst nur serverseitig** (PDF, CSV, Benachrichtigungen). Die
+  Browseransicht rechnet weiterhin fest in Euro und Europe/Berlin – das nachzuziehen heißt, die
+  Formatierung durch alle Client-Komponenten zu reichen, und gehört in einen eigenen Schritt.

docs/issues/026-auslieferung.md

@@ -0,0 +1,41 @@
+# #026 Auslieferung finalisieren
+**Status:** erledigt
+**Meilenstein:** v0.17.0
+**Labels:** deployment, doku
+**Geschätzt:** 3 h   **Tatsächlich:** 0 h 40 min
+
+## Ziel
+Zwei saubere Wege, ProxLedger in Betrieb zu nehmen: als Docker-Stack und als LXC-Container nach Art
+der Proxmox VE Helper-Scripts.
+
+## Aufgaben
+- [x] `deploy/update.sh`: sichern, bauen, migrieren, neu starten, Erreichbarkeit prüfen
+- [x] Zustandsprüfung für den Worker in `docker-compose.yml`
+- [x] `AUFRAEUM_CRON` in `.env.example` und im Compose-Dienst
+- [x] `deploy/community-scripts/ct/proxledger.sh` und `install/proxledger-install.sh`
+- [x] `deploy/community-scripts/README.md` mit Voraussetzungen für eine Einreichung
+- [x] README auf den tatsächlichen Stand gebracht (Feldtest erledigt, Einstellungen, Sicherheit)
+- [x] `docs/roadmap.md`
+- [x] Docker-Stapel vollständig durchgespielt: bauen, starten, migrieren, anmelden, Agent-Skript abrufen
+
+## Erkenntnisse zu community-scripts
+- Die Skripte laden ihr Gerüst inzwischen aus einem eigenen Repository
+  (`community-scripts/core`, Datei `core/build.func`) – nicht mehr aus `misc/build.func`.
+- **Neue Skripte gehören als Pull Request nach ProxmoxVED**, nicht nach ProxmoxVE. Direkt eingereichte
+  Skripte werden dort ohne Prüfung geschlossen.
+- Die JSON-Metadaten für die Webseite liegen nicht mehr im Skript-Repository.
+- Eine Einreichung setzt öffentlich erreichbaren Quelltext voraus (in aller Regel GitHub). Solange
+  ProxLedger im eigenen Gitea liegt, bleiben die Skripte intern; die Quelle lässt sich über
+  `PROXLEDGER_REPO` setzen.
+
+## Beim Prüfen gefunden
+Der Docker-Stapel wurde vollständig gestartet (bauen, migrieren, anmelden). Dabei zeigte sich: Nach der
+Anmeldung wies die Weiterleitung auf `http://<container-id>:3000` – die **interne** Adresse des
+Containers. Im Browser hinter einem Reverse Proxy wäre das eine tote Adresse gewesen. Weiterleitungen
+nehmen jetzt die eingetragene Adresse, sonst `APP_URL`, sonst die Kopfzeilen des Reverse Proxy
+(`src/lib/adresse.ts`, vier Tests). Im Stapel gegengeprüft: `location: http://localhost:3001/`.
+
+## Entscheidung
+Der eigene `deploy/lxc-installer.sh` (Container **mit Docker darin**) bleibt erhalten. Der neue Weg
+installiert Node und PostgreSQL direkt in den Container – das ist schlanker und entspricht dem, was
+Proxmox-Betreiber von Helper-Scripts erwarten. Beide Wege stehen gleichberechtigt im README.

docs/issues/027-rollen-benutzerverwaltung.md

@@ -0,0 +1,36 @@
+# #027 Rollen und Benutzerverwaltung
+**Status:** erledigt
+**Meilenstein:** v0.18.0
+**Labels:** security, backend, ui
+**Geschätzt:** 6 h   **Tatsächlich:** 1 h 20 min
+
+## Ziel
+Bisher durfte jeder Angemeldete alles – in `docs/sicherheit.md` als offener Punkt vermerkt. Es soll
+drei Rollen geben: Administrator, Techniker und Kunde. Kundenkonten sehen nur die eigenen Daten.
+
+## Aufgaben
+- [x] `Rolle` im Datenmodell, Kundenbindung am Benutzer
+- [x] Rechte an **einer** Stelle (`src/server/auth/rollen.ts`), nicht verteilt über Seiten
+- [x] `sitzungErforderlich(recht)` – jede der 28 Aktionen nennt ihr Recht
+- [x] Sicht einschränken: Hosts, Kunden, Rechnungen, Kennzahlen, Suche, Jahresbahn, Dashboard
+- [x] Einkaufspreise und Marge für Kundenkonten entfernen – in der Abfrage, nicht in der Anzeige
+- [x] Schreibrechte für Kunden: Notizen am eigenen Host, Warnungen quittieren
+- [x] Benutzerverwaltung unter *Einstellungen → Benutzer*
+- [x] Menü nach Rolle
+- [x] Tests
+
+## Entscheidungen
+- **Rolle und Kundenbindung kommen aus der Datenbank, nicht aus dem Token.** Eine geänderte Rolle
+  wirkt damit sofort statt erst nach Ablauf der Sitzung.
+- **Die Abfragen holen sich die Einschränkung selbst** (`sichtbarerKunde()`), statt sie von der Seite
+  gereicht zu bekommen. Eine Seite kann so nicht vergessen, sie weiterzugeben – der häufigste Weg,
+  wie solche Sichten lecken.
+- **Ein Kundenkonto ohne Kundenbindung sieht nichts** statt alles. Der Rückfall zeigt bewusst ins
+  Leere, nicht auf den vollen Bestand.
+- **Ausgeblendete Menüpunkte sind keine Zugriffskontrolle.** Sie sind Bequemlichkeit; geprüft wird in
+  Seite und Aktion.
+
+## Beim Bauen aufgefallen
+Neu angelegte OIDC-Konten hätten die Vorgabe des Datenmodells geerbt – **ADMIN**. Wer sich beim
+Identitätsanbieter anmelden darf, wäre damit nebenbei Administrator geworden. Jetzt gibt es dafür eine
+eigene Einstellung mit der Vorgabe *Techniker*, samt Test.

docs/issues/028-passkeys.md

@@ -0,0 +1,35 @@
+# #028 Anmeldung mit Passkeys
+**Status:** erledigt
+**Meilenstein:** v0.18.0
+**Labels:** security, backend, ui
+**Geschätzt:** 4 h   **Tatsächlich:** 0 h 45 min
+
+## Ziel
+Passkeys (WebAuthn) als **gleichwertiger** Anmeldeweg neben Passwort und OIDC – passwortlos, mit
+Fingerabdruck, Gesicht, PIN oder Sicherheitsschlüssel.
+
+## Aufgaben
+- [x] `@simplewebauthn/server` und `@simplewebauthn/browser`
+- [x] Datenmodell `Passkey` (mehrere je Konto)
+- [x] Registrierung und Anmeldung als Endpunkte, Aufgabe („challenge“) in einem kurzlebigen Cookie
+- [x] Seite *Meine Passkeys* mit Anlegen und Entfernen
+- [x] Knopf „Mit Passkey anmelden“ auf der Anmeldeseite
+- [x] Hinweis, wenn die Adresse kein HTTPS hat
+
+## Entscheidungen
+- **Keine Liste erlaubter Schlüssel bei der Anmeldung.** Der Browser bietet selbst an, was zu dieser
+  Seite passt. Sonst müsste die Seite vorher verraten, welche Passkeys zu einem Konto gehören – das
+  wäre ein Weg, Konten auszuspähen.
+- **Fehlermeldung bei der Anmeldung bewusst unscharf** („Anmeldung mit diesem Passkey nicht
+  möglich“). Ob es den Schlüssel gibt, geht einen Unbekannten nichts an.
+- **Die Aufgabe liegt in einem `SameSite=strict`-Cookie mit fünf Minuten Gültigkeit**, nicht in der
+  Datenbank. Sie gilt nur für diesen Browser und diesen Versuch.
+- **`rpID` und `origin` kommen aus der öffentlichen Adresse** (Einstellung, sonst `APP_URL`, sonst
+  Proxy-Kopfzeilen). Ein Passkey ist an die Domäne gebunden; steht dort die falsche Adresse, lehnt
+  der Browser wortlos ab.
+- Passwort und OIDC bleiben bestehen. Ein Passkey, der im kaputten Telefon liegt, darf niemanden
+  aussperren.
+
+## Grenze
+Ein Passkey gilt nur für die Adresse, unter der er angelegt wurde. Beim Umzug von `http://server:3000`
+auf `https://proxledger.firma.de` müssen alle Passkeys neu registriert werden – im Handbuch vermerkt.

docs/issues/README.md

@@ -4,19 +4,32 @@ Details und Architektur: [../architektur.md](../architektur.md). Zeiten werden a
 
 | Nr. | Titel | Status | Meilenstein | Geschätzt | Tatsächlich |
 |---|---|---|---|---|---|
-| [#001](001-projekt-setup.md) | Projekt-Setup | in Arbeit | v0.1.0 | 3 h | – |
-| [#002](002-prototyp.md) | Klickbarer Prototyp | offen | v0.1.0 | 8 h | – |
-| [#003](003-datenmodell.md) | Datenmodell und Migrationen | offen | v0.1.0 | 5 h | – |
-| [#004](004-agent-api.md) | Agent-API | offen | v0.1.0 | 6 h | – |
-| [#005](005-agent-skript.md) | Agent-Skript | offen | v0.2.0 | 8 h | – |
-| [#006](006-kunden-hostzuweisung.md) | Kunden, Standorte und Hostzuweisung | offen | v0.3.0 | 6 h | – |
-| [#007](007-hosts-detailansichten.md) | Host-Tabelle, Suche und Detailansichten | offen | v0.4.0 | 8 h | – |
-| [#008](008-laufzeiten-rechnungen.md) | Laufzeiten und Rechnungen | offen | v0.5.0 | 10 h | – |
-| [#009](009-kundenuebersicht-dashboard-jahresbahn.md) | Kundenübersicht, Dashboard und Jahresbahn | offen | v0.6.0 | 8 h | – |
-| [#010](010-export.md) | Export CSV und PDF | offen | v0.6.0 | 5 h | – |
-| [#011](011-warnregeln.md) | Warnregeln | offen | v0.7.0 | 8 h | – |
-| [#012](012-benachrichtigungen.md) | Benachrichtigungen | offen | v0.8.0 | 6 h | – |
-| [#013](013-authentifizierung.md) | Authentifizierung und Audit-Log | offen | v0.9.0 | 6 h | – |
-| [#014](014-deployment.md) | Deployment und Dokumentation | offen | v0.10.0 | 8 h | – |
-| [#015](015-feinschliff-v1.md) | Feinschliff für 1.0 | offen | v1.0.0 | 6 h | – |
-| | **Summe** | | | **101 h** | **–** |
+| [#001](001-projekt-setup.md) | Projekt-Setup | erledigt | v0.1.0 | 3 h | 0 h 08 min |
+| [#002](002-prototyp.md) | Klickbarer Prototyp | erledigt | v0.1.0 | 8 h | 0 h 20 min |
+| [#003](003-datenmodell.md) | Datenmodell und Migrationen | erledigt | v0.1.0 | 5 h | 0 h 25 min |
+| [#004](004-agent-api.md) | Agent-API | erledigt | v0.1.0 | 6 h | 0 h 20 min |
+| [#005](005-agent-skript.md) | Agent-Skript | erledigt | v0.2.0 | 8 h | 0 h 25 min |
+| [#006](006-kunden-hostzuweisung.md) | Kunden, Standorte und Hostzuweisung | erledigt | v0.3.0 | 6 h | 0 h 35 min |
+| [#007](007-hosts-detailansichten.md) | Host-Tabelle, Suche und Detailansichten | erledigt | v0.4.0 | 8 h | 0 h 25 min |
+| [#008](008-laufzeiten-rechnungen.md) | Laufzeiten und Rechnungen | erledigt | v0.5.0 | 10 h | 0 h 35 min |
+| [#009](009-kundenuebersicht-dashboard-jahresbahn.md) | Kundenübersicht, Dashboard und Jahresbahn | erledigt | v0.6.0 | 8 h | 0 h 15 min |
+| [#010](010-export.md) | Export CSV und PDF | erledigt | v0.6.0 | 5 h | 0 h 20 min |
+| [#011](011-warnregeln.md) | Warnregeln | erledigt | v0.7.0 | 8 h | 0 h 30 min |
+| [#012](012-benachrichtigungen.md) | Benachrichtigungen | erledigt | v0.8.0 | 6 h | 0 h 25 min |
+| [#013](013-authentifizierung.md) | Authentifizierung und Audit-Log | erledigt | v0.9.0 | 6 h | 0 h 30 min |
+| [#014](014-deployment.md) | Deployment und Dokumentation | erledigt | v0.10.0 | 8 h | 0 h 40 min |
+| [#015](015-feinschliff-v1.md) | Feinschliff für 1.0 | erledigt | v0.11.0 | 6 h | 0 h 35 min |
+| [#016](016-anleitung-screenshots.md) | Benutzerhandbuch mit Screenshots | erledigt | v0.12.0 | 5 h | 0 h 30 min |
+| [#017](017-favicon-dateien.md) | Favicon-Dateien erzeugen | erledigt | v0.12.1 | 1 h | 0 h 15 min |
+| [#018](018-agent-feldtest.md) | Agent auf echten Proxmox-Hosts prüfen | erledigt | v0.14.0 | 2 h | 0 h 40 min |
+| [#019](019-ci-pipeline.md) | CI-Pipeline | erledigt | v0.13.0 | 3 h | 0 h 20 min |
+| [#020](020-gitea-issue-abgleich.md) | Issues nach Gitea übertragen | erledigt | v0.4.1 | 2 h | 0 h 10 min |
+| [#021](021-geheimnisse-verschluesseln.md) | Zugangsdaten verschlüsselt speichern | erledigt | v0.13.1 | 2 h | 0 h 20 min |
+| [#022](022-cluster-abgleich.md) | Cluster-Abgleich | erledigt | v0.14.0 | 3 h | 0 h 25 min |
+| [#023](023-feldtest-pbs-pmg.md) | Feldtest auf PBS und PMG | offen | v1.0.0 | 2 h | 0 h 35 min (PBS erledigt, PMG offen) |
+| [#024](024-owasp-haertung.md) | Härtung nach OWASP | erledigt | v0.15.0 | 4 h | 0 h 45 min |
+| [#025](025-einstellungen.md) | Einstellungen im Dashboard | erledigt | v0.16.0 | 5 h | 1 h 10 min |
+| [#026](026-auslieferung.md) | Auslieferung finalisieren | erledigt | v0.17.0 | 3 h | 0 h 40 min |
+| [#027](027-rollen-benutzerverwaltung.md) | Rollen und Benutzerverwaltung | erledigt | v0.18.0 | 6 h | 1 h 20 min |
+| [#028](028-passkeys.md) | Anmeldung mit Passkeys | erledigt | v0.18.0 | 4 h | 0 h 45 min |
+| | **Summe** | | | **143 h** | **14 h 23 min** |

docs/roadmap.md

@@ -0,0 +1,72 @@
+# Roadmap
+
+Stand: 19.09.2026, Fassung 0.17.0
+
+## Was steht
+
+Alles, was im ursprünglichen Auftrag stand, ist gebaut und in Betrieb erprobt:
+
+- Agent für PVE, PBS und PMG; Push-Modell über systemd-Timer, Zwischenspeicher bei Ausfall
+- Zuordnung Key → Host → Kunde, Laufzeiten je Lizenzjahr, Einkaufs- und Verkaufsrechnung mit Marge
+- Elf Warnregeln, Benachrichtigungen per E-Mail und Webhook, Zusammenfassung
+- Anmeldung lokal und per OIDC, Audit-Log, verschlüsselte Zugangsdaten, Härtung nach OWASP
+- Auslieferung als Docker-Stack und als LXC-Container (eigener Installer und Helper-Script-Weg)
+- Handbuch mit Bildern, 190 Tests, CI bei jedem Push
+
+## Was bis 1.0.0 fehlt
+
+Nichts davon ist eine Baustelle im Code – es fehlt **Erprobung** und eine Handvoll Kanten:
+
+| Punkt | Warum es zählt | Aufwand |
+|---|---|---|
+| **Mail Gateway im Feldtest** (#023) | Der einzige Produktzweig, den nie ein echter Host bestätigt hat. Bei PBS lag die Annahme daneben, und der Agent hätte dort nichts gemeldet – bei PMG kann es genauso sein. | 1 h, sobald ein Host da ist |
+| **PBS mit aktiver Subscription** (#023) | Bisher nur der Fall „keine Subscription“ geprüft. Ablaufdatum, Sockel und Level sind auf PBS ungeprüft. | 30 min |
+| **Ein Monat Dauerbetrieb** | Timer, Nachsendung, nächtliches Aufräumen und die Zusammenfassung laufen erst seit einem Tag. Ein Lizenzablauf in echt wäre der beste Beweis. | Zeit, keine Arbeit |
+| **Sicherung einmal zurückspielen** | `deploy/backup.sh` schreibt Sicherungen. Eine Sicherung, die nie zurückgespielt wurde, ist keine Sicherung. | 30 min |
+
+Danach ist 1.0.0 gerechtfertigt. Meine Empfehlung: erst laufen lassen, dann das Etikett vergeben.
+
+## Nach 1.0 – Vorschläge, nach Nutzen sortiert
+
+### Lohnt sich am ehesten
+
+1. **Verlängerung mit einem Klick.** Heute wird eine Laufzeit bestätigt und die Rechnung von Hand
+   erfasst. Ein Knopf „verlängern“, der die Folgelaufzeit anlegt, den Einkauf vormerkt und die
+   Kundenrechnung mit dem eingestellten Aufschlag vorbereitet, spart bei jedem Lizenzjahr Klicks.
+2. **Rechnungsnummern automatisch.** Ein Schema wie `PL-{jahr}-{nummer}` mit fortlaufendem Zähler;
+   heute tippt man jede Nummer. (In #025 bewusst weggelassen, weil es eine Vergabelogik braucht.)
+3. **Mehrere Benutzer mit Rollen.** Derzeit darf jeder Angemeldete alles – in `docs/sicherheit.md`
+   offen vermerkt. Für Buchhaltung (nur Rechnungen) und Technik (nur Hosts) wären zwei Rollen genug.
+   Dazu gehört eine Benutzerverwaltung in der Oberfläche statt auf der Kommandozeille.
+4. **Währung und Zeitzone auch in der Browseransicht.** Beides steht schon in den Einstellungen, wirkt
+   aber nur in PDF, CSV und Benachrichtigungen; die Oberfläche rechnet fest in Euro.
+
+### Sinnvoll, wenn es wächst
+
+5. **Kundenportal oder Bericht per E-Mail.** Ein monatlicher Stand je Kunde, automatisch verschickt –
+   spart Rückfragen.
+6. **Angebot vor der Verlängerung.** Aus der Jahresbahn heraus ein PDF-Angebot für das kommende
+   Lizenzjahr erzeugen.
+7. **Import der Proxmox-Shop-Rechnungen.** Wer dort per Sammelrechnung kauft, tippt heute jede Position
+   ab. Ein CSV- oder PDF-Import mit Zuordnung über den Key wäre eine echte Ersparnis.
+8. **Metriken für Prometheus** (`/metrics`): Hosts je Zustand, Tage bis zum nächsten Ablauf, Alter des
+   letzten Reports. Wer schon Grafana betreibt, sieht ProxLedger damit im gewohnten Bild.
+9. **Zwei-Faktor-Anmeldung** für den lokalen Zugang. Heute lautet die Antwort „dann nimm OIDC“ – das
+   ist vertretbar, aber nicht für jeden.
+
+### Nur falls der Bedarf entsteht
+
+10. **Mandantenfähigkeit.** Mehrere Systemhäuser in einer Installation. Das ist ein Umbau, kein
+    Anbau – die Zugriffskontrolle müsste durchgängig auf Mandanten umgestellt werden.
+11. **Agent für weitere Produkte** (Proxmox Datacenter Manager), sobald der Bedarf da ist.
+12. **Hochverfügbarkeit.** Die Ratenbremse liegt im Prozessspeicher; für mehrere Instanzen müsste sie
+    in die Datenbank wandern. Bei einem Dashboard für ein Systemhaus ist das Aufwand ohne Gewinn.
+
+## Was ich bewusst nicht vorschlage
+
+- **Pull statt Push.** Das Dashboard würde dann Zugänge zu allen Kundenhosts brauchen. Der jetzige Weg
+  kommt ohne gespeicherte root-Zugänge aus; das ist ein Sicherheitsgewinn, den man nicht aufgeben sollte.
+- **Eigene Benutzer- und Rechteverwaltung mit Gruppen, Vererbung und allem.** Wer das braucht, hat schon
+  ein IdP – dafür gibt es OIDC.
+- **Agent mit Abhängigkeiten** (Python, jq). Er kommt heute mit Bash und curl aus und läuft damit auf
+  jedem Proxmox-Host, auch auf einem alten.

docs/sicherheit.md

@@ -0,0 +1,111 @@
+# Sicherheit
+
+Dieses Dokument hält fest, was ProxLedger gegen die üblichen Angriffe tut – und was es **nicht** tut.
+Die Gliederung folgt den OWASP Top 10 (2021).
+
+## A01 – Fehlerhafte Zugriffskontrolle
+
+- `src/proxy.ts` schickt jede Anfrage ohne gültige Sitzung zur Anmeldung. Öffentlich sind nur die
+  Anmeldung, die Agent-API (eigene Tokens), die Gesundheitsprüfung, die beiden Agent-Skripte und die Symbole.
+- **Jede Server Action prüft zusätzlich selbst** (`sitzungErforderlich()`). Server Actions sind eigene
+  Endpunkte; eine einzige Schutzschicht davor wäre zu wenig, falls der Musterausdruck im Proxy je
+  danebengreift.
+- Die Prüfung geht in die Datenbank: Ein gesperrtes Konto oder ein Widerruf beendet laufende Sitzungen
+  sofort (`npm run benutzer -- sperren <email>`), statt bis zum Ablauf des Tokens zu warten.
+- Die Anmeldung prüft den `Origin`, damit keine fremde Seite jemanden unbemerkt in ein untergeschobenes
+  Konto anmeldet (Login-CSRF). Für Server Actions erledigt das Next.js selbst.
+
+**Rollen** (#027): Administrator, Techniker und Kunde. Jede Aktion nennt das Recht, das sie verlangt;
+die Rechte stehen an einer Stelle (`src/server/auth/rollen.ts`). Kundenkonten sind an einen Kunden
+gebunden, und die Einschränkung sitzt in den Abfragen – nicht in der Anzeige. Einkaufspreise und Marge
+werden für sie schon beim Abfragen entfernt, stehen also nicht im ausgelieferten HTML.
+
+**Weiterhin nicht vorhanden:** Mandantenfähigkeit im eigentlichen Sinn. Mehrere Systemhäuser in einer
+Installation wären ein Umbau, kein Anbau.
+
+## A02 – Kryptografische Fehler
+
+- Passwörter: argon2id (`@node-rs/argon2`), keine eigene Krypto.
+- Sitzungen: signiertes JWT (HS256) aus `APP_SECRET`, 12 Stunden gültig, Cookie `httpOnly`, `sameSite=lax`
+  und `secure`, sobald `APP_URL` auf `https://` steht.
+- Zugangsdaten für SMTP und Webhooks liegen AES-256-GCM-verschlüsselt in der Datenbank
+  (`src/lib/geheimnisse.ts`); der Schlüssel wird aus `APP_SECRET` abgeleitet.
+- Agent- und Enrollment-Tokens werden nur als SHA-256-Hash gespeichert. Das ist hier richtig und nicht
+  zu schwach: Die Tokens sind 32 Byte Zufall, es gibt nichts zu raten.
+
+**Wichtig:** `APP_SECRET` ist der Generalschlüssel. Geht er verloren, sind alle Sitzungen ungültig und die
+gespeicherten Zugangsdaten unlesbar. Er gehört in die Sicherung.
+
+## A03 – Injektion
+
+- Datenbankzugriffe ausschließlich über Prisma mit gebundenen Werten; kein `$queryRawUnsafe` im Projekt.
+- Ausgaben maskiert React selbst.
+- Zusätzlich greift eine Content-Security-Policy mit frischem Nonce je Anfrage und `strict-dynamic`
+  (`src/proxy.ts`). Eingeschleustes `<script>` – etwa über einen manipulierten Hostnamen aus einer
+  Proxmox-Ausgabe – läuft damit nicht.
+- Der Agent baut sein JSON mit einer eigenen Maskierung; Sonderzeichen aus Proxmox-Ausgaben sind als
+  Testfall hinterlegt.
+
+## A04 – Unsicheres Design
+
+- Push-Modell: Das Dashboard braucht **keinen** Zugang zu den Proxmox-Hosts. Es gibt keine gespeicherten
+  root-Zugänge, die abhandenkommen könnten – die Hosts melden von sich aus.
+- Der Agent sendet nur Statusangaben (Subscription, Version, Sockel, IPs). Keine Gastliste, keine Daten.
+- Enrollment-Tokens sind befristet und in der Zahl der Nutzungen begrenzt.
+
+## A05 – Sicherheitsrelevante Fehlkonfiguration
+
+- Kopfzeilen: `X-Content-Type-Options`, `X-Frame-Options: DENY`, `Referrer-Policy`, `Permissions-Policy`,
+  `Strict-Transport-Security` (`next.config.ts`) sowie die CSP aus dem Proxy.
+- Die Anwendung startet nicht mit zu kurzem `APP_SECRET`.
+- Im Container läuft die Anwendung als unprivilegierter Benutzer; Anhänge werden mit Rechten 640 abgelegt.
+- Fehlermeldungen nennen keine Einzelheiten: Bei der Anmeldung steht dieselbe Meldung für „Adresse
+  unbekannt“ und „Passwort falsch“.
+
+## A06 – Verwundbare Komponenten
+
+- `npm audit --omit=dev` meldet **keine** bekannten Schwachstellen (Stand 18.09.2026).
+- Zwei Fassungen werden über `overrides` angehoben: `mysql2` und `deepmerge-ts` kommen als Beiwerk von
+  Prisma mit, obwohl wir Postgres nutzen. Ohne die Anhebung bliebe nur ein Rückschritt auf Prisma 6.
+- Die CI prüft bei jedem Push (#019).
+
+## A07 – Fehler bei Identifizierung und Authentifizierung
+
+- Ratenbremse: fünf Anmeldeversuche je Kennung und Viertelstunde.
+- Anmeldung wahlweise per Passwort oder OIDC (authentik, mit PKCE und `state`).
+- Jede Anmeldung – erfolgreich oder nicht – landet im Audit-Log.
+
+- **Passkeys** (WebAuthn, #028) als dritter, gleichwertiger Weg. Passwortlos, an die Domäne gebunden,
+  mehrere je Konto. Setzt HTTPS voraus (außer auf `localhost`).
+- Automatisch angelegte OIDC-Konten bekommen die eingestellte Rolle – Vorgabe *Techniker*, nicht
+  Administrator.
+
+**Nicht vorhanden:** klassische Zwei-Faktor-Anmeldung mit Einmalkennwort. Ein Passkey ersetzt beides
+in einem Schritt; wer einen zweiten Faktor zum Passwort erzwingen will, stellt OIDC davor.
+
+## A08 – Datenintegrität
+
+- Der Agent prüft vor dem Selbstaktualisieren, ob die geladene Datei wie ein Bash-Skript beginnt.
+- Webhooks werden mit HMAC-SHA256 signiert, damit die Gegenstelle die Herkunft prüfen kann.
+- Hochgeladene Rechnungen werden nicht dem gemeldeten Typ nach beurteilt, sondern am Dateianfang
+  geprüft (`%PDF-`), auf 10 MB begrenzt und unter ihrer Prüfsumme abgelegt.
+
+## A09 – Protokollierung
+
+- Audit-Log für Anmeldungen, Änderungen an Kunden, Rechnungen, Tokens, Kanälen und Warnregeln –
+  einsehbar unter *Einstellungen → Protokoll*.
+- Der Agent protokolliert auf dem Host über `logger` ins Journal.
+
+## A10 – Server-Side Request Forgery
+
+- Die einzige ausgehende Verbindung, die sich einstellen lässt, ist der Benachrichtigungs-Webhook. Er
+  wird bewusst von einem Angemeldeten eingetragen und ist damit kein fremdgesteuerter Aufruf.
+- Sonst ruft das Dashboard keine Adressen auf, die aus Daten stammen.
+
+## Was ein Betreiber selbst tun muss
+
+1. HTTPS davorschalten (Beispiele unter `deploy/reverse-proxy/`) und `APP_URL` auf `https://` setzen.
+2. `APP_SECRET` und die Datenbank sichern (`deploy/backup.sh`).
+3. Das Dashboard nicht ins offene Internet stellen, wenn es nicht sein muss. Die Agent-API muss
+   erreichbar sein, die Oberfläche nicht.
+4. Enrollment-Tokens nach dem Ausrollen widerrufen.

eslint.config.mjs

@@ -7,7 +7,17 @@ const eslintConfig = defineConfig([
   ...nextVitals,
   ...nextTs,
   prettier,
-  globalIgnores([".next/**", "out/**", "build/**", "coverage/**", "next-env.d.ts"]),
+  globalIgnores([
+    ".next/**",
+    "out/**",
+    "build/**",
+    "coverage/**",
+    "next-env.d.ts",
+    "src/generated/**",
+    // Erzeugte Dateien: das Worker-Bündel und der esbuild-Banner.
+    "dist/**",
+    "deploy/worker-banner.js",
+  ]),
 ]);
 
 export default eslintConfig;

next.config.ts

@@ -1,7 +1,25 @@
 import type { NextConfig } from "next";
 
+const SICHERHEITS_KOPFZEILEN = [
+  { key: "X-Content-Type-Options", value: "nosniff" },
+  { key: "X-Frame-Options", value: "DENY" },
+  { key: "Referrer-Policy", value: "strict-origin-when-cross-origin" },
+  { key: "Permissions-Policy", value: "camera=(), microphone=(), geolocation=()" },
+  // HSTS wirkt nur über HTTPS; hinter einem Reverse Proxy ist das der Normalfall.
+  { key: "Strict-Transport-Security", value: "max-age=31536000; includeSubDomains" },
+];
+
 const nextConfig: NextConfig = {
-  /* config options here */
+  // Für das Container-Abbild: nur die tatsächlich benötigten Dateien mitnehmen.
+  output: "standalone",
+  // Die Agent-Skripte werden zur Laufzeit ausgeliefert und müssen daher mitgepackt werden.
+  outputFileTracingIncludes: {
+    "/install.sh": ["./agent/install.sh"],
+    "/agent.sh": ["./agent/proxledger-agent.sh"],
+  },
+  async headers() {
+    return [{ source: "/:pfad*", headers: SICHERHEITS_KOPFZEILEN }];
+  },
 };
 
 export default nextConfig;

package.json

@@ -1,6 +1,6 @@
 {
   "name": "proxledger",
-  "version": "0.1.0-dev",
+  "version": "0.18.0",
   "private": true,
   "scripts": {
     "dev": "next dev",
@@ -10,30 +10,67 @@
     "typecheck": "tsc --noEmit",
     "test": "vitest run",
     "test:watch": "vitest",
-    "format": "prettier --write ."
+    "format": "prettier --write .",
+    "db:up": "docker compose -f docker-compose.dev.yml up -d",
+    "db:down": "docker compose -f docker-compose.dev.yml down",
+    "db:migrate": "prisma migrate dev",
+    "db:seed": "prisma db seed",
+    "db:studio": "prisma studio",
+    "db:generate": "prisma generate",
+    "postinstall": "prisma generate",
+    "issues:sync": "tsx scripts/gitea-issues.ts",
+    "worker": "tsx src/worker/index.ts",
+    "alerts:check": "tsx scripts/alerts-pruefen.ts",
+    "build:worker": "esbuild src/worker/index.ts --bundle --platform=node --target=node24 --format=esm --outfile=dist/worker.mjs --banner:js=\"$(cat deploy/worker-banner.js)\" --external:@prisma/client --external:@node-rs/argon2 --external:pg-native",
+    "build:all": "npm run build && npm run build:worker",
+    "lasttest": "tsx scripts/lasttest.ts",
+    "screenshots": "node scripts/screenshots.mjs",
+    "icons": "node scripts/icons.mjs",
+    "pruefe:doku": "node scripts/pruefe-doku.mjs",
+    "benutzer": "tsx scripts/benutzer.ts"
   },
   "dependencies": {
+    "@node-rs/argon2": "^2.2.1",
+    "@prisma/adapter-pg": "^7.10.0",
+    "@prisma/client": "^7.10.0",
+    "@react-pdf/renderer": "^4.9.0",
+    "@simplewebauthn/browser": "^14.0.0",
+    "@simplewebauthn/server": "^14.0.2",
     "admin-lte": "^4.9.1",
     "bootstrap": "^5.3.8",
     "bootstrap-icons": "^1.13.1",
+    "croner": "^10.0.1",
+    "jose": "^6.2.12",
     "next": "16.3.5",
+    "nodemailer": "^10.0.10",
+    "openid-client": "^6.8.8",
     "react": "19.2.8",
     "react-dom": "19.2.8",
     "zod": "^4.6.5"
   },
   "devDependencies": {
     "@types/node": "^24.13.5",
+    "@types/nodemailer": "^8.0.2",
     "@types/react": "^19",
     "@types/react-dom": "^19",
+    "dotenv": "^17.4.2",
+    "esbuild": "^0.28.2",
     "eslint": "^9",
     "eslint-config-next": "16.3.5",
     "eslint-config-prettier": "^10.1.8",
     "prettier": "^3.9.7",
+    "prisma": "^7.10.0",
+    "sharp": "^0.35.4",
+    "tsx": "^4.23.13",
     "typescript": "^5",
     "vitest": "^5.0.1"
   },
   "description": "Proxmox Subscription Dashboard",
   "engines": {
     "node": ">=24"
+  },
+  "overrides": {
+    "mysql2": "^3.24.4",
+    "deepmerge-ts": "^8.0.0"
   }
 }

prisma/migrations/20260917182758_init/migration.sql

@@ -0,0 +1,580 @@
+-- CreateEnum
+CREATE TYPE "Produkt" AS ENUM ('PVE', 'PBS', 'PMG');
+
+-- CreateEnum
+CREATE TYPE "SubscriptionStatus" AS ENUM ('ACTIVE', 'NOTFOUND', 'INVALID', 'EXPIRED', 'SUSPENDED', 'UNKNOWN');
+
+-- CreateEnum
+CREATE TYPE "LaufzeitStatus" AS ENUM ('VORSCHLAG', 'BESTAETIGT');
+
+-- CreateEnum
+CREATE TYPE "AlertSchwere" AS ENUM ('INFO', 'WARNUNG', 'GEFAHR');
+
+-- CreateEnum
+CREATE TYPE "NotificationKanal" AS ENUM ('EMAIL', 'WEBHOOK');
+
+-- CreateEnum
+CREATE TYPE "NotificationStatus" AS ENUM ('GESENDET', 'FEHLGESCHLAGEN', 'WARTEND');
+
+-- CreateTable
+CREATE TABLE "Kunde" (
+    "id" TEXT NOT NULL,
+    "name" TEXT NOT NULL,
+    "kundennummer" TEXT NOT NULL,
+    "ansprechpartner" TEXT,
+    "email" TEXT,
+    "telefon" TEXT,
+    "notizen" TEXT,
+    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    "geaendertAm" TIMESTAMP(3) NOT NULL,
+
+    CONSTRAINT "Kunde_pkey" PRIMARY KEY ("id")
+);
+
+-- CreateTable
+CREATE TABLE "Standort" (
+    "id" TEXT NOT NULL,
+    "kundeId" TEXT NOT NULL,
+    "name" TEXT NOT NULL,
+    "strasse" TEXT,
+    "plz" TEXT,
+    "ort" TEXT,
+    "notizen" TEXT,
+    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    "geaendertAm" TIMESTAMP(3) NOT NULL,
+
+    CONSTRAINT "Standort_pkey" PRIMARY KEY ("id")
+);
+
+-- CreateTable
+CREATE TABLE "Host" (
+    "id" TEXT NOT NULL,
+    "agentId" TEXT NOT NULL,
+    "hostname" TEXT NOT NULL,
+    "fqdn" TEXT,
+    "kundeId" TEXT,
+    "standortId" TEXT,
+    "produkt" "Produkt" NOT NULL,
+    "produktVersion" TEXT,
+    "kernel" TEXT,
+    "serverId" TEXT,
+    "clusterName" TEXT,
+    "nodeName" TEXT,
+    "ips" TEXT[] DEFAULT ARRAY[]::TEXT[],
+    "sockets" INTEGER,
+    "cpuModell" TEXT,
+    "uptimeSekunden" BIGINT,
+    "paketUpdates" INTEGER,
+    "agentVersion" TEXT,
+    "notizen" TEXT,
+    "subKey" TEXT,
+    "subStatus" "SubscriptionStatus" NOT NULL DEFAULT 'UNKNOWN',
+    "subLevel" TEXT,
+    "subProduktname" TEXT,
+    "subLizenzierteSockets" INTEGER,
+    "subRegdate" DATE,
+    "subNextduedate" DATE,
+    "subChecktime" TIMESTAMP(3),
+    "erstmalsGesehenAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    "letzterReportAm" TIMESTAMP(3),
+    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    "geaendertAm" TIMESTAMP(3) NOT NULL,
+
+    CONSTRAINT "Host_pkey" PRIMARY KEY ("id")
+);
+
+-- CreateTable
+CREATE TABLE "Tag" (
+    "id" TEXT NOT NULL,
+    "name" TEXT NOT NULL,
+    "farbe" TEXT,
+
+    CONSTRAINT "Tag_pkey" PRIMARY KEY ("id")
+);
+
+-- CreateTable
+CREATE TABLE "Report" (
+    "id" TEXT NOT NULL,
+    "hostId" TEXT NOT NULL,
+    "reportId" TEXT NOT NULL,
+    "erhobenAm" TIMESTAMP(3) NOT NULL,
+    "empfangenAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    "subStatus" "SubscriptionStatus" NOT NULL,
+    "subKey" TEXT,
+    "subNextduedate" DATE,
+    "serverId" TEXT,
+    "hostname" TEXT,
+    "produktVersion" TEXT,
+    "kernel" TEXT,
+    "sockets" INTEGER,
+    "paketUpdates" INTEGER,
+    "agentVersion" TEXT,
+    "ips" TEXT[] DEFAULT ARRAY[]::TEXT[],
+    "quellIp" TEXT,
+    "rohdaten" JSONB NOT NULL,
+
+    CONSTRAINT "Report_pkey" PRIMARY KEY ("id")
+);
+
+-- CreateTable
+CREATE TABLE "SubscriptionKeyHistorie" (
+    "id" TEXT NOT NULL,
+    "hostId" TEXT NOT NULL,
+    "key" TEXT NOT NULL,
+    "ersteMeldung" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    "letzteMeldung" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+
+    CONSTRAINT "SubscriptionKeyHistorie_pkey" PRIMARY KEY ("id")
+);
+
+-- CreateTable
+CREATE TABLE "ServerIdHistorie" (
+    "id" TEXT NOT NULL,
+    "hostId" TEXT NOT NULL,
+    "serverId" TEXT NOT NULL,
+    "ersteMeldung" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    "letzteMeldung" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+
+    CONSTRAINT "ServerIdHistorie_pkey" PRIMARY KEY ("id")
+);
+
+-- CreateTable
+CREATE TABLE "Laufzeit" (
+    "id" TEXT NOT NULL,
+    "hostId" TEXT NOT NULL,
+    "key" TEXT NOT NULL,
+    "start" DATE NOT NULL,
+    "ende" DATE NOT NULL,
+    "status" "LaufzeitStatus" NOT NULL DEFAULT 'VORSCHLAG',
+    "notizen" TEXT,
+    "proxmoxPositionId" TEXT,
+    "kundenPositionId" TEXT,
+    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    "geaendertAm" TIMESTAMP(3) NOT NULL,
+
+    CONSTRAINT "Laufzeit_pkey" PRIMARY KEY ("id")
+);
+
+-- CreateTable
+CREATE TABLE "ProxmoxRechnung" (
+    "id" TEXT NOT NULL,
+    "nummer" TEXT NOT NULL,
+    "datum" DATE NOT NULL,
+    "faelligAm" DATE,
+    "nettoBetrag" DECIMAL(12,2) NOT NULL,
+    "ustSatz" DECIMAL(5,2) NOT NULL DEFAULT 19.00,
+    "rabatt" DECIMAL(12,2),
+    "zahlungsart" TEXT,
+    "bezahlt" BOOLEAN NOT NULL DEFAULT false,
+    "bezahltAm" DATE,
+    "notizen" TEXT,
+    "anhangId" TEXT,
+    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    "geaendertAm" TIMESTAMP(3) NOT NULL,
+
+    CONSTRAINT "ProxmoxRechnung_pkey" PRIMARY KEY ("id")
+);
+
+-- CreateTable
+CREATE TABLE "ProxmoxRechnungPosition" (
+    "id" TEXT NOT NULL,
+    "rechnungId" TEXT NOT NULL,
+    "bezeichnung" TEXT NOT NULL,
+    "menge" INTEGER NOT NULL DEFAULT 1,
+    "nettoBetrag" DECIMAL(12,2) NOT NULL,
+
+    CONSTRAINT "ProxmoxRechnungPosition_pkey" PRIMARY KEY ("id")
+);
+
+-- CreateTable
+CREATE TABLE "Kundenrechnung" (
+    "id" TEXT NOT NULL,
+    "kundeId" TEXT NOT NULL,
+    "erstellt" BOOLEAN NOT NULL DEFAULT false,
+    "nummer" TEXT,
+    "datum" DATE,
+    "nettoBetrag" DECIMAL(12,2),
+    "ustSatz" DECIMAL(5,2) NOT NULL DEFAULT 19.00,
+    "bezahlt" BOOLEAN NOT NULL DEFAULT false,
+    "bezahltAm" DATE,
+    "notizen" TEXT,
+    "anhangId" TEXT,
+    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    "geaendertAm" TIMESTAMP(3) NOT NULL,
+
+    CONSTRAINT "Kundenrechnung_pkey" PRIMARY KEY ("id")
+);
+
+-- CreateTable
+CREATE TABLE "KundenrechnungPosition" (
+    "id" TEXT NOT NULL,
+    "rechnungId" TEXT NOT NULL,
+    "bezeichnung" TEXT NOT NULL,
+    "menge" INTEGER NOT NULL DEFAULT 1,
+    "nettoBetrag" DECIMAL(12,2) NOT NULL,
+
+    CONSTRAINT "KundenrechnungPosition_pkey" PRIMARY KEY ("id")
+);
+
+-- CreateTable
+CREATE TABLE "Anhang" (
+    "id" TEXT NOT NULL,
+    "dateiname" TEXT NOT NULL,
+    "pfad" TEXT NOT NULL,
+    "mimeTyp" TEXT NOT NULL,
+    "groesse" INTEGER NOT NULL,
+    "sha256" TEXT NOT NULL,
+    "hochgeladenAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+
+    CONSTRAINT "Anhang_pkey" PRIMARY KEY ("id")
+);
+
+-- CreateTable
+CREATE TABLE "AgentToken" (
+    "id" TEXT NOT NULL,
+    "hostId" TEXT NOT NULL,
+    "tokenHash" TEXT NOT NULL,
+    "praefix" TEXT NOT NULL,
+    "bezeichnung" TEXT,
+    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    "letzteNutzungAm" TIMESTAMP(3),
+    "widerrufenAm" TIMESTAMP(3),
+
+    CONSTRAINT "AgentToken_pkey" PRIMARY KEY ("id")
+);
+
+-- CreateTable
+CREATE TABLE "EnrollmentToken" (
+    "id" TEXT NOT NULL,
+    "tokenHash" TEXT NOT NULL,
+    "praefix" TEXT NOT NULL,
+    "bezeichnung" TEXT,
+    "gueltigBis" TIMESTAMP(3),
+    "maxNutzungen" INTEGER,
+    "nutzungen" INTEGER NOT NULL DEFAULT 0,
+    "kundeId" TEXT,
+    "standortId" TEXT,
+    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    "widerrufenAm" TIMESTAMP(3),
+
+    CONSTRAINT "EnrollmentToken_pkey" PRIMARY KEY ("id")
+);
+
+-- CreateTable
+CREATE TABLE "Alert" (
+    "id" TEXT NOT NULL,
+    "regel" TEXT NOT NULL,
+    "fingerprint" TEXT NOT NULL,
+    "schwere" "AlertSchwere" NOT NULL,
+    "titel" TEXT NOT NULL,
+    "beschreibung" TEXT NOT NULL,
+    "hostId" TEXT,
+    "kundeId" TEXT,
+    "laufzeitId" TEXT,
+    "geoeffnetAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    "quittiertAm" TIMESTAMP(3),
+    "erledigtAm" TIMESTAMP(3),
+
+    CONSTRAINT "Alert_pkey" PRIMARY KEY ("id")
+);
+
+-- CreateTable
+CREATE TABLE "Benachrichtigung" (
+    "id" TEXT NOT NULL,
+    "alertId" TEXT,
+    "kanal" "NotificationKanal" NOT NULL,
+    "empfaenger" TEXT NOT NULL,
+    "betreff" TEXT,
+    "status" "NotificationStatus" NOT NULL DEFAULT 'WARTEND',
+    "fehler" TEXT,
+    "versendetAm" TIMESTAMP(3),
+    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+
+    CONSTRAINT "Benachrichtigung_pkey" PRIMARY KEY ("id")
+);
+
+-- CreateTable
+CREATE TABLE "WarnregelEinstellung" (
+    "id" TEXT NOT NULL,
+    "regel" TEXT NOT NULL,
+    "aktiv" BOOLEAN NOT NULL DEFAULT true,
+    "schwellwerte" JSONB NOT NULL DEFAULT '{}',
+    "geaendertAm" TIMESTAMP(3) NOT NULL,
+
+    CONSTRAINT "WarnregelEinstellung_pkey" PRIMARY KEY ("id")
+);
+
+-- CreateTable
+CREATE TABLE "Benachrichtigungskanal" (
+    "id" TEXT NOT NULL,
+    "typ" "NotificationKanal" NOT NULL,
+    "name" TEXT NOT NULL,
+    "aktiv" BOOLEAN NOT NULL DEFAULT true,
+    "konfiguration" JSONB NOT NULL,
+    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    "geaendertAm" TIMESTAMP(3) NOT NULL,
+
+    CONSTRAINT "Benachrichtigungskanal_pkey" PRIMARY KEY ("id")
+);
+
+-- CreateTable
+CREATE TABLE "Benutzer" (
+    "id" TEXT NOT NULL,
+    "email" TEXT NOT NULL,
+    "name" TEXT NOT NULL,
+    "passwortHash" TEXT,
+    "oidcSubject" TEXT,
+    "aktiv" BOOLEAN NOT NULL DEFAULT true,
+    "letzterLoginAm" TIMESTAMP(3),
+    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    "geaendertAm" TIMESTAMP(3) NOT NULL,
+
+    CONSTRAINT "Benutzer_pkey" PRIMARY KEY ("id")
+);
+
+-- CreateTable
+CREATE TABLE "AuditEintrag" (
+    "id" TEXT NOT NULL,
+    "benutzerId" TEXT,
+    "aktion" TEXT NOT NULL,
+    "entitaet" TEXT NOT NULL,
+    "entitaetId" TEXT,
+    "aenderung" JSONB,
+    "ipAdresse" TEXT,
+    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+
+    CONSTRAINT "AuditEintrag_pkey" PRIMARY KEY ("id")
+);
+
+-- CreateTable
+CREATE TABLE "Einstellung" (
+    "schluessel" TEXT NOT NULL,
+    "wert" JSONB NOT NULL,
+    "geaendertAm" TIMESTAMP(3) NOT NULL,
+
+    CONSTRAINT "Einstellung_pkey" PRIMARY KEY ("schluessel")
+);
+
+-- CreateTable
+CREATE TABLE "_HostTags" (
+    "A" TEXT NOT NULL,
+    "B" TEXT NOT NULL,
+
+    CONSTRAINT "_HostTags_AB_pkey" PRIMARY KEY ("A","B")
+);
+
+-- CreateIndex
+CREATE UNIQUE INDEX "Kunde_kundennummer_key" ON "Kunde"("kundennummer");
+
+-- CreateIndex
+CREATE INDEX "Kunde_name_idx" ON "Kunde"("name");
+
+-- CreateIndex
+CREATE INDEX "Standort_kundeId_idx" ON "Standort"("kundeId");
+
+-- CreateIndex
+CREATE UNIQUE INDEX "Host_agentId_key" ON "Host"("agentId");
+
+-- CreateIndex
+CREATE INDEX "Host_kundeId_idx" ON "Host"("kundeId");
+
+-- CreateIndex
+CREATE INDEX "Host_standortId_idx" ON "Host"("standortId");
+
+-- CreateIndex
+CREATE INDEX "Host_hostname_idx" ON "Host"("hostname");
+
+-- CreateIndex
+CREATE INDEX "Host_serverId_idx" ON "Host"("serverId");
+
+-- CreateIndex
+CREATE INDEX "Host_subKey_idx" ON "Host"("subKey");
+
+-- CreateIndex
+CREATE INDEX "Host_subNextduedate_idx" ON "Host"("subNextduedate");
+
+-- CreateIndex
+CREATE INDEX "Host_subStatus_idx" ON "Host"("subStatus");
+
+-- CreateIndex
+CREATE UNIQUE INDEX "Tag_name_key" ON "Tag"("name");
+
+-- CreateIndex
+CREATE UNIQUE INDEX "Report_reportId_key" ON "Report"("reportId");
+
+-- CreateIndex
+CREATE INDEX "Report_hostId_erhobenAm_idx" ON "Report"("hostId", "erhobenAm");
+
+-- CreateIndex
+CREATE INDEX "Report_empfangenAm_idx" ON "Report"("empfangenAm");
+
+-- CreateIndex
+CREATE INDEX "SubscriptionKeyHistorie_key_idx" ON "SubscriptionKeyHistorie"("key");
+
+-- CreateIndex
+CREATE UNIQUE INDEX "SubscriptionKeyHistorie_hostId_key_key" ON "SubscriptionKeyHistorie"("hostId", "key");
+
+-- CreateIndex
+CREATE INDEX "ServerIdHistorie_serverId_idx" ON "ServerIdHistorie"("serverId");
+
+-- CreateIndex
+CREATE UNIQUE INDEX "ServerIdHistorie_hostId_serverId_key" ON "ServerIdHistorie"("hostId", "serverId");
+
+-- CreateIndex
+CREATE UNIQUE INDEX "Laufzeit_proxmoxPositionId_key" ON "Laufzeit"("proxmoxPositionId");
+
+-- CreateIndex
+CREATE UNIQUE INDEX "Laufzeit_kundenPositionId_key" ON "Laufzeit"("kundenPositionId");
+
+-- CreateIndex
+CREATE INDEX "Laufzeit_ende_idx" ON "Laufzeit"("ende");
+
+-- CreateIndex
+CREATE INDEX "Laufzeit_key_idx" ON "Laufzeit"("key");
+
+-- CreateIndex
+CREATE UNIQUE INDEX "Laufzeit_hostId_start_key" ON "Laufzeit"("hostId", "start");
+
+-- CreateIndex
+CREATE UNIQUE INDEX "ProxmoxRechnung_nummer_key" ON "ProxmoxRechnung"("nummer");
+
+-- CreateIndex
+CREATE INDEX "ProxmoxRechnung_bezahlt_faelligAm_idx" ON "ProxmoxRechnung"("bezahlt", "faelligAm");
+
+-- CreateIndex
+CREATE INDEX "ProxmoxRechnung_datum_idx" ON "ProxmoxRechnung"("datum");
+
+-- CreateIndex
+CREATE INDEX "ProxmoxRechnungPosition_rechnungId_idx" ON "ProxmoxRechnungPosition"("rechnungId");
+
+-- CreateIndex
+CREATE UNIQUE INDEX "Kundenrechnung_nummer_key" ON "Kundenrechnung"("nummer");
+
+-- CreateIndex
+CREATE INDEX "Kundenrechnung_kundeId_idx" ON "Kundenrechnung"("kundeId");
+
+-- CreateIndex
+CREATE INDEX "Kundenrechnung_erstellt_bezahlt_idx" ON "Kundenrechnung"("erstellt", "bezahlt");
+
+-- CreateIndex
+CREATE INDEX "KundenrechnungPosition_rechnungId_idx" ON "KundenrechnungPosition"("rechnungId");
+
+-- CreateIndex
+CREATE UNIQUE INDEX "AgentToken_tokenHash_key" ON "AgentToken"("tokenHash");
+
+-- CreateIndex
+CREATE INDEX "AgentToken_hostId_idx" ON "AgentToken"("hostId");
+
+-- CreateIndex
+CREATE UNIQUE INDEX "EnrollmentToken_tokenHash_key" ON "EnrollmentToken"("tokenHash");
+
+-- CreateIndex
+CREATE UNIQUE INDEX "Alert_fingerprint_key" ON "Alert"("fingerprint");
+
+-- CreateIndex
+CREATE INDEX "Alert_erledigtAm_idx" ON "Alert"("erledigtAm");
+
+-- CreateIndex
+CREATE INDEX "Alert_hostId_idx" ON "Alert"("hostId");
+
+-- CreateIndex
+CREATE INDEX "Alert_kundeId_idx" ON "Alert"("kundeId");
+
+-- CreateIndex
+CREATE INDEX "Alert_regel_idx" ON "Alert"("regel");
+
+-- CreateIndex
+CREATE INDEX "Benachrichtigung_alertId_idx" ON "Benachrichtigung"("alertId");
+
+-- CreateIndex
+CREATE INDEX "Benachrichtigung_erstelltAm_idx" ON "Benachrichtigung"("erstelltAm");
+
+-- CreateIndex
+CREATE UNIQUE INDEX "WarnregelEinstellung_regel_key" ON "WarnregelEinstellung"("regel");
+
+-- CreateIndex
+CREATE UNIQUE INDEX "Benutzer_email_key" ON "Benutzer"("email");
+
+-- CreateIndex
+CREATE UNIQUE INDEX "Benutzer_oidcSubject_key" ON "Benutzer"("oidcSubject");
+
+-- CreateIndex
+CREATE INDEX "AuditEintrag_entitaet_entitaetId_idx" ON "AuditEintrag"("entitaet", "entitaetId");
+
+-- CreateIndex
+CREATE INDEX "AuditEintrag_erstelltAm_idx" ON "AuditEintrag"("erstelltAm");
+
+-- CreateIndex
+CREATE INDEX "_HostTags_B_index" ON "_HostTags"("B");
+
+-- AddForeignKey
+ALTER TABLE "Standort" ADD CONSTRAINT "Standort_kundeId_fkey" FOREIGN KEY ("kundeId") REFERENCES "Kunde"("id") ON DELETE CASCADE ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "Host" ADD CONSTRAINT "Host_kundeId_fkey" FOREIGN KEY ("kundeId") REFERENCES "Kunde"("id") ON DELETE SET NULL ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "Host" ADD CONSTRAINT "Host_standortId_fkey" FOREIGN KEY ("standortId") REFERENCES "Standort"("id") ON DELETE SET NULL ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "Report" ADD CONSTRAINT "Report_hostId_fkey" FOREIGN KEY ("hostId") REFERENCES "Host"("id") ON DELETE CASCADE ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "SubscriptionKeyHistorie" ADD CONSTRAINT "SubscriptionKeyHistorie_hostId_fkey" FOREIGN KEY ("hostId") REFERENCES "Host"("id") ON DELETE CASCADE ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "ServerIdHistorie" ADD CONSTRAINT "ServerIdHistorie_hostId_fkey" FOREIGN KEY ("hostId") REFERENCES "Host"("id") ON DELETE CASCADE ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "Laufzeit" ADD CONSTRAINT "Laufzeit_hostId_fkey" FOREIGN KEY ("hostId") REFERENCES "Host"("id") ON DELETE CASCADE ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "Laufzeit" ADD CONSTRAINT "Laufzeit_proxmoxPositionId_fkey" FOREIGN KEY ("proxmoxPositionId") REFERENCES "ProxmoxRechnungPosition"("id") ON DELETE SET NULL ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "Laufzeit" ADD CONSTRAINT "Laufzeit_kundenPositionId_fkey" FOREIGN KEY ("kundenPositionId") REFERENCES "KundenrechnungPosition"("id") ON DELETE SET NULL ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "ProxmoxRechnung" ADD CONSTRAINT "ProxmoxRechnung_anhangId_fkey" FOREIGN KEY ("anhangId") REFERENCES "Anhang"("id") ON DELETE SET NULL ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "ProxmoxRechnungPosition" ADD CONSTRAINT "ProxmoxRechnungPosition_rechnungId_fkey" FOREIGN KEY ("rechnungId") REFERENCES "ProxmoxRechnung"("id") ON DELETE CASCADE ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "Kundenrechnung" ADD CONSTRAINT "Kundenrechnung_kundeId_fkey" FOREIGN KEY ("kundeId") REFERENCES "Kunde"("id") ON DELETE CASCADE ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "Kundenrechnung" ADD CONSTRAINT "Kundenrechnung_anhangId_fkey" FOREIGN KEY ("anhangId") REFERENCES "Anhang"("id") ON DELETE SET NULL ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "KundenrechnungPosition" ADD CONSTRAINT "KundenrechnungPosition_rechnungId_fkey" FOREIGN KEY ("rechnungId") REFERENCES "Kundenrechnung"("id") ON DELETE CASCADE ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "AgentToken" ADD CONSTRAINT "AgentToken_hostId_fkey" FOREIGN KEY ("hostId") REFERENCES "Host"("id") ON DELETE CASCADE ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "EnrollmentToken" ADD CONSTRAINT "EnrollmentToken_kundeId_fkey" FOREIGN KEY ("kundeId") REFERENCES "Kunde"("id") ON DELETE SET NULL ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "EnrollmentToken" ADD CONSTRAINT "EnrollmentToken_standortId_fkey" FOREIGN KEY ("standortId") REFERENCES "Standort"("id") ON DELETE SET NULL ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "Alert" ADD CONSTRAINT "Alert_hostId_fkey" FOREIGN KEY ("hostId") REFERENCES "Host"("id") ON DELETE CASCADE ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "Alert" ADD CONSTRAINT "Alert_kundeId_fkey" FOREIGN KEY ("kundeId") REFERENCES "Kunde"("id") ON DELETE CASCADE ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "Alert" ADD CONSTRAINT "Alert_laufzeitId_fkey" FOREIGN KEY ("laufzeitId") REFERENCES "Laufzeit"("id") ON DELETE CASCADE ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "Benachrichtigung" ADD CONSTRAINT "Benachrichtigung_alertId_fkey" FOREIGN KEY ("alertId") REFERENCES "Alert"("id") ON DELETE SET NULL ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "AuditEintrag" ADD CONSTRAINT "AuditEintrag_benutzerId_fkey" FOREIGN KEY ("benutzerId") REFERENCES "Benutzer"("id") ON DELETE SET NULL ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "_HostTags" ADD CONSTRAINT "_HostTags_A_fkey" FOREIGN KEY ("A") REFERENCES "Host"("id") ON DELETE CASCADE ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "_HostTags" ADD CONSTRAINT "_HostTags_B_fkey" FOREIGN KEY ("B") REFERENCES "Tag"("id") ON DELETE CASCADE ON UPDATE CASCADE;

prisma/migrations/20260918154920_cluster_mitglieder/migration.sql

@@ -0,0 +1,2 @@
+-- AlterTable
+ALTER TABLE "Host" ADD COLUMN     "clusterMitglieder" TEXT[] DEFAULT ARRAY[]::TEXT[];

prisma/migrations/20260918213443_sitzungen_widerrufbar/migration.sql

@@ -0,0 +1,2 @@
+-- AlterTable
+ALTER TABLE "Benutzer" ADD COLUMN     "sitzungenUngueltigAb" TIMESTAMP(3);

prisma/migrations/20260918222635_rollen_und_passkeys/migration.sql

@@ -0,0 +1,36 @@
+-- CreateEnum
+CREATE TYPE "Rolle" AS ENUM ('ADMIN', 'TECHNIKER', 'KUNDE');
+
+-- AlterTable
+ALTER TABLE "Benutzer" ADD COLUMN     "kundeId" TEXT,
+ADD COLUMN     "rolle" "Rolle" NOT NULL DEFAULT 'ADMIN';
+
+-- CreateTable
+CREATE TABLE "Passkey" (
+    "id" TEXT NOT NULL,
+    "benutzerId" TEXT NOT NULL,
+    "credentialId" TEXT NOT NULL,
+    "publicKey" BYTEA NOT NULL,
+    "zaehler" BIGINT NOT NULL DEFAULT 0,
+    "transports" TEXT[] DEFAULT ARRAY[]::TEXT[],
+    "bezeichnung" TEXT NOT NULL,
+    "erstelltAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    "zuletztAm" TIMESTAMP(3),
+
+    CONSTRAINT "Passkey_pkey" PRIMARY KEY ("id")
+);
+
+-- CreateIndex
+CREATE UNIQUE INDEX "Passkey_credentialId_key" ON "Passkey"("credentialId");
+
+-- CreateIndex
+CREATE INDEX "Passkey_benutzerId_idx" ON "Passkey"("benutzerId");
+
+-- CreateIndex
+CREATE INDEX "Benutzer_kundeId_idx" ON "Benutzer"("kundeId");
+
+-- AddForeignKey
+ALTER TABLE "Benutzer" ADD CONSTRAINT "Benutzer_kundeId_fkey" FOREIGN KEY ("kundeId") REFERENCES "Kunde"("id") ON DELETE SET NULL ON UPDATE CASCADE;
+
+-- AddForeignKey
+ALTER TABLE "Passkey" ADD CONSTRAINT "Passkey_benutzerId_fkey" FOREIGN KEY ("benutzerId") REFERENCES "Benutzer"("id") ON DELETE CASCADE ON UPDATE CASCADE;

prisma/migrations/migration_lock.toml

@@ -0,0 +1,3 @@
+# Please do not edit this file manually
+# It should be added in your version-control system (e.g., Git)
+provider = "postgresql"

prisma/schema.prisma

@@ -0,0 +1,522 @@
+// ProxLedger – Datenmodell
+// Entwurfsentscheidungen siehe docs/architektur.md, Abschnitt 3.
+// Kurz: Ein Host wird über seine agentId identifiziert (nicht über die Server-ID, die sich bei
+// Hardwaretausch ändert), Rechnungen sind eigene Entitäten mit Positionen, damit Sammelbestellungen
+// bei Proxmox und Sammelrechnungen an Kunden ohne doppelte Rechnungsnummern abbildbar sind.
+
+generator client {
+  provider = "prisma-client"
+  output   = "../src/generated/prisma"
+}
+
+datasource db {
+  provider = "postgresql"
+}
+
+// ---------------------------------------------------------------- Aufzählungen
+
+enum Produkt {
+  PVE
+  PBS
+  PMG
+}
+
+enum SubscriptionStatus {
+  ACTIVE
+  NOTFOUND
+  INVALID
+  EXPIRED
+  SUSPENDED
+  UNKNOWN
+}
+
+enum LaufzeitStatus {
+  VORSCHLAG
+  BESTAETIGT
+}
+
+enum AlertSchwere {
+  INFO
+  WARNUNG
+  GEFAHR
+}
+
+enum NotificationKanal {
+  EMAIL
+  WEBHOOK
+}
+
+enum NotificationStatus {
+  GESENDET
+  FEHLGESCHLAGEN
+  WARTEND
+}
+
+// ---------------------------------------------------------------- Kunden und Standorte
+
+model Kunde {
+  id             String   @id @default(cuid())
+  name           String
+  kundennummer   String   @unique
+  ansprechpartner String?
+  email          String?
+  telefon        String?
+  notizen        String?
+  erstelltAm     DateTime @default(now())
+  geaendertAm    DateTime @updatedAt
+
+  standorte        Standort[]
+  hosts            Host[]
+  kundenrechnungen Kundenrechnung[]
+  enrollmentTokens EnrollmentToken[]
+  alerts           Alert[]
+
+  @@index([name])
+  benutzer  Benutzer[]
+}
+
+model Standort {
+  id          String   @id @default(cuid())
+  kundeId     String
+  name        String
+  strasse     String?
+  plz         String?
+  ort         String?
+  notizen     String?
+  erstelltAm  DateTime @default(now())
+  geaendertAm DateTime @updatedAt
+
+  kunde            Kunde             @relation(fields: [kundeId], references: [id], onDelete: Cascade)
+  hosts            Host[]
+  enrollmentTokens EnrollmentToken[]
+
+  @@index([kundeId])
+}
+
+// ---------------------------------------------------------------- Hosts
+
+model Host {
+  id String @id @default(cuid())
+
+  /// Stabile Kennung, die der Agent bei der Registrierung erzeugt (aus /etc/machine-id abgeleitet).
+  /// Sie bleibt auch dann gleich, wenn sich die Proxmox-Server-ID durch Hardwaretausch ändert.
+  agentId String @unique
+
+  hostname    String
+  fqdn        String?
+  kundeId     String?
+  standortId  String?
+  produkt     Produkt
+  produktVersion String?
+  kernel      String?
+
+  /// Aktuelle Server-ID laut letztem Report; die Historie steht in ServerIdHistorie.
+  serverId    String?
+  clusterName String?
+  nodeName    String?
+  /// Namen aller Knoten des Clusters laut corosync – auch solche ohne eigenen Agent (#022).
+  clusterMitglieder String[] @default([])
+  ips         String[] @default([])
+  sockets     Int?
+  cpuModell   String?
+  uptimeSekunden BigInt?
+  paketUpdates   Int?
+  agentVersion   String?
+  notizen        String?
+
+  // Momentaufnahme der Subscription aus dem letzten Report (für Listen und Filter).
+  subKey               String?
+  subStatus            SubscriptionStatus @default(UNKNOWN)
+  subLevel             String?
+  subProduktname       String?
+  subLizenzierteSockets Int?
+  subRegdate           DateTime?          @db.Date
+  subNextduedate       DateTime?          @db.Date
+  subChecktime         DateTime?
+
+  erstmalsGesehenAm DateTime  @default(now())
+  letzterReportAm   DateTime?
+  erstelltAm        DateTime  @default(now())
+  geaendertAm       DateTime  @updatedAt
+
+  kunde             Kunde?               @relation(fields: [kundeId], references: [id], onDelete: SetNull)
+  standort          Standort?            @relation(fields: [standortId], references: [id], onDelete: SetNull)
+  reports           Report[]
+  keyHistorie       SubscriptionKeyHistorie[]
+  serverIdHistorie  ServerIdHistorie[]
+  laufzeiten        Laufzeit[]
+  tokens            AgentToken[]
+  alerts            Alert[]
+  tags              Tag[]                @relation("HostTags")
+
+  @@index([kundeId])
+  @@index([standortId])
+  @@index([hostname])
+  @@index([serverId])
+  @@index([subKey])
+  @@index([subNextduedate])
+  @@index([subStatus])
+}
+
+model Tag {
+  id    String @id @default(cuid())
+  name  String @unique
+  farbe String?
+
+  hosts Host[] @relation("HostTags")
+}
+
+model Report {
+  id     String @id @default(cuid())
+  hostId String
+
+  /// Vom Agent erzeugte UUID; verhindert doppelte Verarbeitung nachgesendeter Reports.
+  reportId String @unique
+
+  /// Zeitpunkt der Datenerhebung auf dem Host (kann bei nachgesendeten Reports älter sein).
+  erhobenAm  DateTime
+  empfangenAm DateTime @default(now())
+
+  subStatus      SubscriptionStatus
+  subKey         String?
+  subNextduedate DateTime?          @db.Date
+  serverId       String?
+  hostname       String?
+  produktVersion String?
+  kernel         String?
+  sockets        Int?
+  paketUpdates   Int?
+  agentVersion   String?
+  ips            String[]           @default([])
+  quellIp        String?
+
+  /// Vollständiger Report, damit auch künftige Felder nachträglich auswertbar sind.
+  rohdaten Json
+
+  host Host @relation(fields: [hostId], references: [id], onDelete: Cascade)
+
+  @@index([hostId, erhobenAm])
+  @@index([empfangenAm])
+}
+
+model SubscriptionKeyHistorie {
+  id            String   @id @default(cuid())
+  hostId        String
+  key           String
+  ersteMeldung  DateTime @default(now())
+  letzteMeldung DateTime @default(now())
+
+  host Host @relation(fields: [hostId], references: [id], onDelete: Cascade)
+
+  @@unique([hostId, key])
+  @@index([key])
+}
+
+model ServerIdHistorie {
+  id            String   @id @default(cuid())
+  hostId        String
+  serverId      String
+  ersteMeldung  DateTime @default(now())
+  letzteMeldung DateTime @default(now())
+
+  host Host @relation(fields: [hostId], references: [id], onDelete: Cascade)
+
+  @@unique([hostId, serverId])
+  @@index([serverId])
+}
+
+// ---------------------------------------------------------------- Laufzeiten und Rechnungen
+
+model Laufzeit {
+  id      String         @id @default(cuid())
+  hostId  String
+  key     String
+  start   DateTime       @db.Date
+  ende    DateTime       @db.Date
+  status  LaufzeitStatus @default(VORSCHLAG)
+  notizen String?
+
+  /// Position der Proxmox-Rechnung (Einkauf), die diese Laufzeit bezahlt.
+  proxmoxPositionId String? @unique
+
+  /// Position der Kundenrechnung (Verkauf), mit der die Laufzeit weiterberechnet wird.
+  kundenPositionId String? @unique
+
+  erstelltAm  DateTime @default(now())
+  geaendertAm DateTime @updatedAt
+
+  host            Host                     @relation(fields: [hostId], references: [id], onDelete: Cascade)
+  proxmoxPosition ProxmoxRechnungPosition? @relation(fields: [proxmoxPositionId], references: [id], onDelete: SetNull)
+  kundenPosition  KundenrechnungPosition?  @relation(fields: [kundenPositionId], references: [id], onDelete: SetNull)
+  alerts          Alert[]
+
+  @@unique([hostId, start])
+  @@index([ende])
+  @@index([key])
+}
+
+/// Rechnung von Proxmox (Einkauf). Eine Bestellung kann mehrere Keys umfassen.
+model ProxmoxRechnung {
+  id           String    @id @default(cuid())
+  nummer       String    @unique
+  datum        DateTime  @db.Date
+  faelligAm    DateTime? @db.Date
+  nettoBetrag  Decimal   @db.Decimal(12, 2)
+  ustSatz      Decimal   @default(19.00) @db.Decimal(5, 2)
+  rabatt       Decimal?  @db.Decimal(12, 2)
+  zahlungsart  String?
+  bezahlt      Boolean   @default(false)
+  bezahltAm    DateTime? @db.Date
+  notizen      String?
+  anhangId     String?
+  erstelltAm   DateTime  @default(now())
+  geaendertAm  DateTime  @updatedAt
+
+  anhang     Anhang?                   @relation(fields: [anhangId], references: [id], onDelete: SetNull)
+  positionen ProxmoxRechnungPosition[]
+
+  @@index([bezahlt, faelligAm])
+  @@index([datum])
+}
+
+model ProxmoxRechnungPosition {
+  id          String  @id @default(cuid())
+  rechnungId  String
+  bezeichnung String
+  menge       Int     @default(1)
+  nettoBetrag Decimal @db.Decimal(12, 2)
+
+  rechnung ProxmoxRechnung @relation(fields: [rechnungId], references: [id], onDelete: Cascade)
+  laufzeit Laufzeit?
+
+  @@index([rechnungId])
+}
+
+/// Rechnung an den Kunden (Verkauf). `erstellt = false` bedeutet: steht noch aus.
+model Kundenrechnung {
+  id          String    @id @default(cuid())
+  kundeId     String
+  erstellt    Boolean   @default(false)
+  nummer      String?   @unique
+  datum       DateTime? @db.Date
+  nettoBetrag Decimal?  @db.Decimal(12, 2)
+  ustSatz     Decimal   @default(19.00) @db.Decimal(5, 2)
+  bezahlt     Boolean   @default(false)
+  bezahltAm   DateTime? @db.Date
+  notizen     String?
+  anhangId    String?
+  erstelltAm  DateTime  @default(now())
+  geaendertAm DateTime  @updatedAt
+
+  kunde      Kunde                    @relation(fields: [kundeId], references: [id], onDelete: Cascade)
+  anhang     Anhang?                  @relation(fields: [anhangId], references: [id], onDelete: SetNull)
+  positionen KundenrechnungPosition[]
+
+  @@index([kundeId])
+  @@index([erstellt, bezahlt])
+}
+
+model KundenrechnungPosition {
+  id          String  @id @default(cuid())
+  rechnungId  String
+  bezeichnung String
+  menge       Int     @default(1)
+  nettoBetrag Decimal @db.Decimal(12, 2)
+
+  rechnung Kundenrechnung @relation(fields: [rechnungId], references: [id], onDelete: Cascade)
+  laufzeit Laufzeit?
+
+  @@index([rechnungId])
+}
+
+model Anhang {
+  id           String   @id @default(cuid())
+  dateiname    String
+  pfad         String
+  mimeTyp      String
+  groesse      Int
+  sha256       String
+  hochgeladenAm DateTime @default(now())
+
+  proxmoxRechnungen ProxmoxRechnung[]
+  kundenrechnungen  Kundenrechnung[]
+}
+
+// ---------------------------------------------------------------- Tokens
+
+/// Host-spezifischer API-Token. In der Datenbank liegt nur der SHA-256-Hash.
+model AgentToken {
+  id             String    @id @default(cuid())
+  hostId         String
+  tokenHash      String    @unique
+  praefix        String
+  bezeichnung    String?
+  erstelltAm     DateTime  @default(now())
+  letzteNutzungAm DateTime?
+  widerrufenAm   DateTime?
+
+  host Host @relation(fields: [hostId], references: [id], onDelete: Cascade)
+
+  @@index([hostId])
+}
+
+/// Token für die Erstregistrierung, optional mit Kunden- und Standortzuordnung.
+model EnrollmentToken {
+  id           String    @id @default(cuid())
+  tokenHash    String    @unique
+  praefix      String
+  bezeichnung  String?
+  gueltigBis   DateTime?
+  maxNutzungen Int?
+  nutzungen    Int       @default(0)
+  kundeId      String?
+  standortId   String?
+  erstelltAm   DateTime  @default(now())
+  widerrufenAm DateTime?
+
+  kunde    Kunde?    @relation(fields: [kundeId], references: [id], onDelete: SetNull)
+  standort Standort? @relation(fields: [standortId], references: [id], onDelete: SetNull)
+}
+
+// ---------------------------------------------------------------- Warnungen und Benachrichtigungen
+
+model Alert {
+  id    String @id @default(cuid())
+  regel String
+
+  /// Regel + betroffenes Objekt (+ Schwelle). Verhindert doppelte offene Warnungen.
+  fingerprint String @unique
+
+  schwere      AlertSchwere
+  titel        String
+  beschreibung String
+
+  hostId     String?
+  kundeId    String?
+  laufzeitId String?
+
+  geoeffnetAm DateTime  @default(now())
+  quittiertAm DateTime?
+  erledigtAm  DateTime?
+
+  host     Host?          @relation(fields: [hostId], references: [id], onDelete: Cascade)
+  kunde    Kunde?         @relation(fields: [kundeId], references: [id], onDelete: Cascade)
+  laufzeit Laufzeit?      @relation(fields: [laufzeitId], references: [id], onDelete: Cascade)
+  benachrichtigungen Benachrichtigung[]
+
+  @@index([erledigtAm])
+  @@index([hostId])
+  @@index([kundeId])
+  @@index([regel])
+}
+
+model Benachrichtigung {
+  id         String             @id @default(cuid())
+  alertId    String?
+  kanal      NotificationKanal
+  empfaenger String
+  betreff    String?
+  status     NotificationStatus @default(WARTEND)
+  fehler     String?
+  versendetAm DateTime?
+  erstelltAm DateTime           @default(now())
+
+  alert Alert? @relation(fields: [alertId], references: [id], onDelete: SetNull)
+
+  @@index([alertId])
+  @@index([erstelltAm])
+}
+
+/// Schwellwerte je Warnregel, z. B. { "tage": [30, 14, 7] }.
+model WarnregelEinstellung {
+  id           String   @id @default(cuid())
+  regel        String   @unique
+  aktiv        Boolean  @default(true)
+  schwellwerte Json     @default("{}")
+  geaendertAm  DateTime @updatedAt
+}
+
+model Benachrichtigungskanal {
+  id            String            @id @default(cuid())
+  typ           NotificationKanal
+  name          String
+  aktiv         Boolean           @default(true)
+  konfiguration Json
+  erstelltAm    DateTime          @default(now())
+  geaendertAm   DateTime          @updatedAt
+}
+
+// ---------------------------------------------------------------- Benutzer und Protokoll
+
+/// Alle Benutzer sind Administratoren; eine Nur-Lese-Rolle ist bewusst nicht vorgesehen.
+/// Was jemand darf. ADMIN alles, TECHNIKER alles Fachliche, KUNDE nur die eigenen Daten (#027).
+enum Rolle {
+  ADMIN
+  TECHNIKER
+  KUNDE
+}
+
+model Benutzer {
+  id            String    @id @default(cuid())
+  email         String    @unique
+  name          String
+  passwortHash  String?
+  oidcSubject   String?   @unique
+  /// Bestehende Konten waren vor der Einführung der Rollen uneingeschränkt – daher ADMIN.
+  rolle         Rolle     @default(ADMIN)
+  /// Nur für die Rolle KUNDE: an welchen Kunden das Konto gebunden ist.
+  kundeId       String?
+  aktiv         Boolean   @default(true)
+  letzterLoginAm DateTime?
+  /// Alle Sitzungen, die vor diesem Zeitpunkt ausgestellt wurden, gelten als ungültig (#024).
+  sitzungenUngueltigAb DateTime?
+  erstelltAm    DateTime  @default(now())
+  geaendertAm   DateTime  @updatedAt
+
+  auditEintraege AuditEintrag[]
+  kunde          Kunde?        @relation(fields: [kundeId], references: [id], onDelete: SetNull)
+  passkeys       Passkey[]
+
+  @@index([kundeId])
+}
+
+/// Ein registrierter Passkey (WebAuthn). Ein Konto darf mehrere haben – Rechner und Telefon (#028).
+model Passkey {
+  id           String    @id @default(cuid())
+  benutzerId   String
+  /// Kennung des Schlüssels, base64url wie vom Browser geliefert.
+  credentialId String    @unique
+  publicKey    Bytes
+  zaehler      BigInt    @default(0)
+  transports   String[]  @default([])
+  bezeichnung  String
+  erstelltAm   DateTime  @default(now())
+  zuletztAm    DateTime?
+
+  benutzer Benutzer @relation(fields: [benutzerId], references: [id], onDelete: Cascade)
+
+  @@index([benutzerId])
+}
+
+model AuditEintrag {
+  id         String   @id @default(cuid())
+  benutzerId String?
+  aktion     String
+  entitaet   String
+  entitaetId String?
+  aenderung  Json?
+  ipAdresse  String?
+  erstelltAm DateTime @default(now())
+
+  benutzer Benutzer? @relation(fields: [benutzerId], references: [id], onDelete: SetNull)
+
+  @@index([entitaet, entitaetId])
+  @@index([erstelltAm])
+}
+
+/// Freie Systemeinstellungen (z. B. SMTP-Konfiguration, Anzeigeoptionen).
+model Einstellung {
+  schluessel  String   @id
+  wert        Json
+  geaendertAm DateTime @updatedAt
+}

prisma/seed.ts

@@ -0,0 +1,296 @@
+import { hash } from "@node-rs/argon2";
+import { PrismaPg } from "@prisma/adapter-pg";
+import { PrismaClient } from "../src/generated/prisma/client";
+import type { Prisma } from "../src/generated/prisma/client";
+import type { Produkt, SubscriptionStatus } from "../src/generated/prisma/enums";
+import { alerts, hosts, kunden, laufzeiten, reports } from "../src/mock/data";
+import type { Laufzeit as MockLaufzeit } from "../src/mock/types";
+
+const connectionString = process.env.DATABASE_URL;
+if (!connectionString) throw new Error("DATABASE_URL ist nicht gesetzt.");
+
+const prisma = new PrismaClient({ adapter: new PrismaPg({ connectionString }) });
+
+/** Standardwerte der Warnregeln; Schwellwerte sind später in der Oberfläche änderbar (#011). */
+const WARNREGELN: { regel: string; schwellwerte: Prisma.InputJsonValue }[] = [
+  { regel: "subscription-laeuft-ab", schwellwerte: { tage: [30, 14, 7] } },
+  { regel: "status-nicht-aktiv", schwellwerte: {} },
+  { regel: "sockets-abweichung", schwellwerte: {} },
+  { regel: "keine-meldung", schwellwerte: { stunden: 48 } },
+  { regel: "serverid-geaendert", schwellwerte: {} },
+  { regel: "key-mehrfach-gemeldet", schwellwerte: {} },
+  { regel: "host-ohne-kunde", schwellwerte: {} },
+  { regel: "proxmox-rechnung-faellig", schwellwerte: { tage: 7 } },
+  { regel: "kundenrechnung-fehlt", schwellwerte: {} },
+  { regel: "kundenrechnung-unbezahlt", schwellwerte: { tage: 30 } },
+];
+
+async function seedAdmin() {
+  const email = process.env.ADMIN_EMAIL ?? "admin@example.de";
+  const name = process.env.ADMIN_NAME ?? "Administrator";
+  const passwort = process.env.ADMIN_PASSWORD;
+
+  if (!passwort) {
+    console.warn("ADMIN_PASSWORD ist nicht gesetzt – der Administrator wird ohne Passwort angelegt.");
+  }
+
+  const passwortHash = passwort ? await hash(passwort) : null;
+
+  await prisma.benutzer.upsert({
+    where: { email },
+    // Ein vorhandenes Passwort wird nicht überschrieben, damit der Seed gefahrlos wiederholbar ist.
+    update: { name },
+    create: { email, name, passwortHash },
+  });
+
+  console.log(`Administrator: ${email}`);
+}
+
+async function seedWarnregeln() {
+  for (const regel of WARNREGELN) {
+    await prisma.warnregelEinstellung.upsert({
+      where: { regel: regel.regel },
+      update: {},
+      create: { regel: regel.regel, aktiv: true, schwellwerte: regel.schwellwerte },
+    });
+  }
+  console.log(`${WARNREGELN.length} Warnregeln vorbereitet`);
+}
+
+const PRODUKT: Record<string, Produkt> = { pve: "PVE", pbs: "PBS", pmg: "PMG" };
+const STATUS: Record<string, SubscriptionStatus> = {
+  active: "ACTIVE",
+  notfound: "NOTFOUND",
+  invalid: "INVALID",
+  expired: "EXPIRED",
+  suspended: "SUSPENDED",
+};
+
+function datum(wert: string | null | undefined): Date | null {
+  return wert ? new Date(wert) : null;
+}
+
+async function seedDemo() {
+  for (const kunde of kunden) {
+    await prisma.kunde.upsert({
+      where: { id: kunde.id },
+      update: {},
+      create: {
+        id: kunde.id,
+        name: kunde.name,
+        kundennummer: kunde.kundennummer,
+        ansprechpartner: kunde.ansprechpartner,
+        email: kunde.email,
+        telefon: kunde.telefon,
+        notizen: kunde.notizen,
+        standorte: {
+          create: kunde.standorte.map((standort) => ({
+            id: standort.id,
+            name: standort.name,
+            ort: standort.ort,
+          })),
+        },
+      },
+    });
+  }
+
+  for (const host of hosts) {
+    await prisma.host.upsert({
+      where: { id: host.id },
+      update: {},
+      create: {
+        id: host.id,
+        agentId: `demo-${host.id}`,
+        hostname: host.hostname,
+        fqdn: host.fqdn,
+        kundeId: host.kundeId,
+        standortId: host.standortId,
+        produkt: PRODUKT[host.produkt],
+        produktVersion: host.produktVersion,
+        kernel: host.kernel,
+        serverId: host.serverId,
+        clusterName: host.clusterName,
+        nodeName: host.nodeName,
+        ips: host.ips,
+        sockets: host.sockets,
+        cpuModell: host.cpuModell,
+        uptimeSekunden: host.uptimeSekunden === null ? null : BigInt(host.uptimeSekunden),
+        paketUpdates: host.paketUpdates,
+        agentVersion: host.agentVersion,
+        notizen: host.notizen,
+        subKey: host.subscription.key,
+        subStatus: STATUS[host.subscription.status],
+        subLevel: host.subscription.level,
+        subProduktname: host.subscription.produktname,
+        subLizenzierteSockets: host.subscription.lizenzierteSockets,
+        subRegdate: datum(host.subscription.regdate),
+        subNextduedate: datum(host.subscription.nextduedate),
+        subChecktime: datum(host.subscription.checktime),
+        letzterReportAm: datum(host.letzterReport),
+        tags: {
+          connectOrCreate: host.tags.map((tag) => ({ where: { name: tag }, create: { name: tag } })),
+        },
+        keyHistorie: host.subscription.key
+          ? { create: [{ key: host.subscription.key }] }
+          : undefined,
+        serverIdHistorie: { create: [{ serverId: host.serverId }] },
+      },
+    });
+  }
+
+  // Rechnungen entstehen aus den Laufzeiten: gleiche Rechnungsnummer = eine Rechnung mit mehreren Positionen.
+  const proxmoxRechnungen = new Map<string, MockLaufzeit[]>();
+  const kundenrechnungen = new Map<string, MockLaufzeit[]>();
+
+  for (const laufzeit of laufzeiten) {
+    if (laufzeit.einkauf?.nummer) {
+      const bisher = proxmoxRechnungen.get(laufzeit.einkauf.nummer) ?? [];
+      proxmoxRechnungen.set(laufzeit.einkauf.nummer, [...bisher, laufzeit]);
+    }
+    if (laufzeit.verkauf) {
+      const schluessel = laufzeit.verkauf.nummer ?? `ohne-nummer-${laufzeit.id}`;
+      const bisher = kundenrechnungen.get(schluessel) ?? [];
+      kundenrechnungen.set(schluessel, [...bisher, laufzeit]);
+    }
+  }
+
+  const proxmoxPositionen = new Map<string, string>();
+  for (const [nummer, zugehoerig] of proxmoxRechnungen) {
+    const vorlage = zugehoerig[0].einkauf!;
+    const rechnung = await prisma.proxmoxRechnung.upsert({
+      where: { nummer },
+      update: {},
+      create: {
+        nummer,
+        datum: new Date(vorlage.datum!),
+        faelligAm: datum(vorlage.faelligAm),
+        nettoBetrag: zugehoerig.reduce((summe, l) => summe + (l.einkauf?.nettoBetrag ?? 0), 0),
+        ustSatz: vorlage.ustSatz,
+        rabatt: vorlage.rabatt ?? null,
+        zahlungsart: vorlage.zahlungsart ?? null,
+        bezahlt: vorlage.bezahlt,
+        bezahltAm: datum(vorlage.bezahltAm),
+        positionen: {
+          create: zugehoerig.map((l) => ({
+            id: `prp-${l.id}`,
+            bezeichnung: `${l.key} · ${l.start} bis ${l.ende}`,
+            nettoBetrag: l.einkauf?.nettoBetrag ?? 0,
+          })),
+        },
+      },
+    });
+    for (const l of zugehoerig) proxmoxPositionen.set(l.id, `prp-${l.id}`);
+    console.log(`Proxmox-Rechnung ${rechnung.nummer} mit ${zugehoerig.length} Position(en)`);
+  }
+
+  const kundenPositionen = new Map<string, string>();
+  for (const [schluessel, zugehoerig] of kundenrechnungen) {
+    const vorlage = zugehoerig[0].verkauf!;
+    const host = hosts.find((h) => h.id === zugehoerig[0].hostId);
+    if (!host?.kundeId) continue;
+
+    const id = `kr-${schluessel}`;
+    await prisma.kundenrechnung.upsert({
+      where: { id },
+      update: {},
+      create: {
+        id,
+        kundeId: host.kundeId,
+        erstellt: vorlage.erstellt,
+        nummer: vorlage.nummer,
+        datum: datum(vorlage.datum),
+        nettoBetrag: vorlage.erstellt
+          ? zugehoerig.reduce((summe, l) => summe + (l.verkauf?.nettoBetrag ?? 0), 0)
+          : null,
+        ustSatz: vorlage.ustSatz,
+        bezahlt: vorlage.bezahlt,
+        bezahltAm: datum(vorlage.bezahltAm),
+        positionen: {
+          create: zugehoerig.map((l) => ({
+            id: `krp-${l.id}`,
+            bezeichnung: `${l.key} · ${l.start} bis ${l.ende}`,
+            nettoBetrag: l.verkauf?.nettoBetrag ?? 0,
+          })),
+        },
+      },
+    });
+    for (const l of zugehoerig) kundenPositionen.set(l.id, `krp-${l.id}`);
+  }
+
+  for (const laufzeit of laufzeiten) {
+    await prisma.laufzeit.upsert({
+      where: { id: laufzeit.id },
+      update: {},
+      create: {
+        id: laufzeit.id,
+        hostId: laufzeit.hostId,
+        key: laufzeit.key,
+        start: new Date(laufzeit.start),
+        ende: new Date(laufzeit.ende),
+        status: laufzeit.vorschlag ? "VORSCHLAG" : "BESTAETIGT",
+        proxmoxPositionId: proxmoxPositionen.get(laufzeit.id) ?? null,
+        kundenPositionId: kundenPositionen.get(laufzeit.id) ?? null,
+      },
+    });
+  }
+
+  for (const report of reports) {
+    await prisma.report.upsert({
+      where: { reportId: report.id },
+      update: {},
+      create: {
+        reportId: report.id,
+        hostId: report.hostId,
+        erhobenAm: new Date(report.zeitpunkt),
+        subStatus: STATUS[report.status],
+        subKey: report.key,
+        subNextduedate: datum(report.nextduedate),
+        agentVersion: report.agentVersion,
+        paketUpdates: report.paketUpdates,
+        rohdaten: { hinweis: "Demo-Report ohne Rohdaten" },
+      },
+    });
+  }
+
+  for (const alert of alerts) {
+    await prisma.alert.upsert({
+      where: { fingerprint: `${alert.typ}:${alert.hostId ?? alert.kundeId ?? alert.id}` },
+      update: {},
+      create: {
+        id: alert.id,
+        fingerprint: `${alert.typ}:${alert.hostId ?? alert.kundeId ?? alert.id}`,
+        regel: alert.typ,
+        schwere: alert.schwere === "gefahr" ? "GEFAHR" : alert.schwere === "warnung" ? "WARNUNG" : "INFO",
+        titel: alert.titel,
+        beschreibung: alert.beschreibung,
+        hostId: alert.hostId,
+        kundeId: alert.kundeId,
+        laufzeitId: alert.laufzeitId,
+        geoeffnetAm: new Date(alert.seit),
+      },
+    });
+  }
+
+  console.log(
+    `Demo-Daten: ${kunden.length} Kunden, ${hosts.length} Hosts, ${laufzeiten.length} Laufzeiten, ${alerts.length} Warnungen`,
+  );
+}
+
+async function main() {
+  await seedAdmin();
+  await seedWarnregeln();
+
+  if (process.env.SEED_DEMO === "1") {
+    await seedDemo();
+  } else {
+    console.log("Demo-Daten übersprungen (SEED_DEMO=1 setzen, um sie anzulegen).");
+  }
+}
+
+main()
+  .then(() => prisma.$disconnect())
+  .catch(async (fehler) => {
+    console.error(fehler);
+    await prisma.$disconnect();
+    process.exit(1);
+  });

prisma7.config.ts

@@ -0,0 +1,15 @@
+// This file was generated by Prisma, and assumes you have installed the following:
+// npm install --save-dev prisma dotenv
+import "dotenv/config";
+import { defineConfig } from "prisma/config";
+
+export default defineConfig({
+  schema: "prisma/schema.prisma",
+  migrations: {
+    path: "prisma/migrations",
+    seed: "tsx prisma/seed.ts",
+  },
+  datasource: {
+    url: process.env["DATABASE_URL"],
+  },
+});