Merge branch 'phase/025-einstellungen'

feat(einstellungen): Betriebswerte im Dashboard einstellbar (#025 )
Vier Bereiche unter Einstellungen -> System: Adresse und Agent, Kaufmaennisches, Sicherheit sowie Firma und Darstellung. Alles liegt als eine JSON-Zeile in der Tabelle Einstellung; fehlende Felder bekommen ihren Vorgabewert, eine kaputte Zeile legt den Betrieb nicht lahm. Die Werte wirken auch wirklich: Die Dashboard-Adresse und der Melderhythmus landen im ausgelieferten Einzeiler und im systemd-Timer (live geprueft), der Steuersatz in neuen Rechnungspositionen, die Sitzungsdauer im Token, die Firmenangaben im Kopf der PDF-Dateien. Nebenbei geschlossen: die OIDC-Luecke aus #024. Erlaubte Domaenen und ein Schalter gegen automatisch angelegte Konten. Dazu raeumt der Worker nachts nach den eingestellten Fristen auf - der juengste Report je Host bleibt. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
2026-09-18 23:58:30 +02:00 · 2026-09-18 23:58:30 +02:00 · 2026-09-18 23:45:35 +02:00 · 2026-09-18 23:45:35 +02:00 · 2026-09-18 23:27:02 +02:00 · 2026-09-18 23:27:02 +02:00
202 changed files with 16272 additions and 1035 deletions
@@ -0,0 +1,11 @@
 node_modules
 .next
 dist
 .git
 .env
 .env.*
 !.env.example
 data
 docs/anleitung/bilder
 coverage
 *.log
@@ -1,4 +1,10 @@
-# Datenbank (lokal über docker-compose.dev.yml, Port 5433)
+# Für docker-compose.yml: Zugangsdaten der mitgelieferten Datenbank
 POSTGRES_USER="proxledger"
 POSTGRES_PASSWORD="bitte-aendern"
 POSTGRES_DB="proxledger"
 PORT="3000"
 # Datenbank (lokale Entwicklung über docker-compose.dev.yml, Port 5433)
 DATABASE_URL="postgresql://proxledger:proxledger@localhost:5433/proxledger?schema=public"
 # Eigene Datenbank für automatisierte Tests
@@ -9,8 +15,31 @@ ADMIN_EMAIL="admin@example.de"
 ADMIN_NAME="Administrator"
 ADMIN_PASSWORD="bitte-aendern"
 # Schlüssel für Sitzungs-Cookies (mindestens 32 Zeichen): openssl rand -base64 48
 APP_SECRET="bitte-eigenen-wert-erzeugen-mindestens-32-zeichen"
 # Anmeldung über OIDC (optional, z. B. authentik). Ohne diese Werte gibt es nur den lokalen Zugang.
 OIDC_ISSUER=""
 OIDC_CLIENT_ID=""
 OIDC_CLIENT_SECRET=""
 OIDC_NAME="authentik"
 # Öffentlich erreichbare Adresse des Dashboards (für install.sh und E-Mails)
 APP_URL="http://localhost:3000"
 # Zeitplan des Workers (Standard: stündlich zur vollen Stunde)
 WORKER_CRON="0 * * * *"
 # Zeitplan der Zusammenfassung (Standard: täglich 07:00 Uhr)
 ZUSAMMENFASSUNG_CRON="0 7 * * *"
 # Ablage für hochgeladene Rechnungs-PDFs
 UPLOAD_DIR="./data/uploads"
 # Demo-Daten beim Seed anlegen (1 = ja)
 SEED_DEMO="0"
 # Abgleich der Issue-Dateien mit dem Gitea-Tracker (npm run issues:sync)
 GITEA_URL="https://git.example.de"
 GITEA_REPO="benutzer/ProxLedger"
 GITEA_TOKEN=""
@@ -0,0 +1,75 @@
 # Prüft jeden Push und jede Pull-Request-Änderung.
 # Läuft mit Gitea Actions (act_runner); die Syntax entspricht GitHub Actions.
 name: Prüfung
 on:
  push:
    branches: [main, "phase/**"]
  pull_request:
    branches: [main]
 jobs:
  pruefung:
    runs-on: ubuntu-latest
    services:
      postgres:
        image: postgres:17-alpine
        env:
          POSTGRES_USER: proxledger
          POSTGRES_PASSWORD: proxledger
          POSTGRES_DB: proxledger_test
        options: >-
          --health-cmd "pg_isready -U proxledger"
          --health-interval 5s
          --health-timeout 5s
          --health-retries 10
        ports:
          - 5432:5432
    env:
      DATABASE_URL: postgresql://proxledger:proxledger@localhost:5432/proxledger_test?schema=public
      TEST_DATABASE_URL: postgresql://proxledger:proxledger@localhost:5432/proxledger_test?schema=public
      APP_SECRET: ci-geheimnis-mit-mindestens-32-zeichen-laenge
      APP_URL: http://localhost:3000
    steps:
      - name: Quelltext holen
        uses: actions/checkout@v4
      - name: Node einrichten
        uses: actions/setup-node@v4
        with:
          node-version: 24
          cache: npm
      - name: Abhängigkeiten installieren
        run: npm ci
      - name: Prisma-Client erzeugen
        run: npx prisma generate
      - name: Code-Stil prüfen
        run: npm run lint
      - name: Typen prüfen
        run: npm run typecheck
      - name: Tests
        run: npm test
      - name: Anwendung bauen
        run: npm run build
      - name: Worker bauen
        run: npm run build:worker
      - name: Agent-Skripte prüfen
        run: |
          sudo apt-get update -qq
          sudo apt-get install -y -qq shellcheck
          shellcheck --severity=warning agent/*.sh deploy/*.sh
      - name: Dokumentation und Versionen prüfen
        run: npm run pruefe:doku
@@ -53,3 +53,4 @@ Thumbs.db
 *.pem
 /src/generated/prisma
 dist/
@@ -17,6 +17,212 @@ und dieses Projekt folgt [Semantic Versioning](https://semver.org/lang/de/).
 ### Sicherheit
 ## [0.16.0] – 2026-09-18
 ### Hinzugefügt
 - *Einstellungen → System*: Dashboard-Adresse, Melderhythmus und Selbstaktualisierung der Agents, kaufmännische Vorgaben, Sicherheitsgrenzen, Firmenangaben und Zeitzone (#025)
 - Die Dashboard-Adresse und der Melderhythmus landen im ausgelieferten Installations-Einzeiler und im systemd-Timer (#025)
 - OIDC lässt sich auf bestimmte E-Mail-Domänen begrenzen; das automatische Anlegen unbekannter Konten ist abschaltbar (#025)
 - Nächtliches Aufräumen nach einstellbaren Aufbewahrungsfristen für Reports und Protokoll – der jüngste Report jedes Hosts bleibt erhalten (#025)
 - Firmenangaben erscheinen im Kopf der PDF-Ausgaben (#025)
 ### Geändert
 - Steuersatz, Zahlungsziel und Aufschlag kommen aus den Einstellungen statt aus fest eingetragenen 19 % (#025)
 ## [0.15.0] – 2026-09-18
 ### Hinzugefügt
 - `docs/sicherheit.md`: Zuordnung aller Maßnahmen zu den OWASP Top 10, samt der Punkte, die bewusst offen bleiben (#024)
 - Content-Security-Policy mit frischem Nonce je Anfrage (#024)
 - Sitzungen lassen sich widerrufen: gesperrtes Konto oder neues Passwort beendet laufende Sitzungen sofort (#024)
 - Benutzerverwaltung auf der Kommandozeile: `npm run benutzer -- liste|sperren|entsperren|passwort` (#024)
 ### Behoben
 - Server Actions verließen sich allein auf den Schutz in `proxy.ts`; jede der 27 Aktionen prüft die Sitzung jetzt selbst (#024)
 - Die Anmeldung prüfte die Herkunft des Formulars nicht – damit war Login-CSRF möglich (#024)
 - `npm audit` meldete vier hohe Schwachstellen in Beiwerk von Prisma (`mysql2`, `deepmerge-ts`); über `overrides` angehoben, jetzt ohne Befund (#024)
 ## [0.14.1] – 2026-09-18
 ### Behoben
 - Auf Proxmox Backup Server las der Agent **keine einzige Angabe** aus: `proxmox-backup-manager subscription get` gibt eine Rahmentabelle aus, keine `feld: wert`-Zeilen. Jetzt wird für PBS `--output-format json` genutzt, und die Tabelle wird als Rückfall ausgewertet (#023)
 - Die PBS-Version enthielt die laufende Fassung ein zweites Mal (#023)
 - Der Agent meldete eine „neue Version“, auch wenn die installierte neuer war als die des Dashboards (#023)
 ### Geändert
 - Agent-Version 0.2.1; die Tests prüfen die Versionsangabe jetzt gegen die Konstante des Dashboards statt gegen eine abgeschriebene Zahl (#023)
 ## [0.14.0] – 2026-09-18
 ### Hinzugefügt
 - Der Agent meldet die Mitglieder seines Proxmox-Clusters; das Dashboard warnt bei Knoten ohne eigenen Agent (#022)
 - Host-Detail zeigt alle Cluster-Knoten mit Zustand „meldet sich“ oder „kein Agent“ (#022)
 - Wartezeiten zwischen Sendeversuchen über `PROXLEDGER_WARTEZEITEN` einstellbar, damit sich der Zwischenspeicher testen lässt (#018)
 ### Behoben
 - Die Produktversion enthielt bei Proxmox VE den Kernel ein zweites Mal (#018)
 - Die Bilder des Handbuchs zeigten allesamt die Anmeldeseite: Firefox verwirft fremd erzeugte Cookie-Dateien stillschweigend. Das Skript nutzt jetzt einen lokalen Vermittler, der die Sitzung mitschickt, und bricht ab, wenn alle Aufnahmen gleich groß sind (#016)
 ## [0.13.1] – 2026-09-17
 ### Sicherheit
 - SMTP-Passwort und Webhook-Geheimnis werden verschlüsselt in der Datenbank abgelegt (AES-256-GCM, Schlüssel aus `APP_SECRET`); eine Sicherung gibt sie damit nicht mehr im Klartext preis (#021)
 - Werte aus der Zeit davor werden weiterhin gelesen und beim nächsten Speichern umgeschlüsselt (#021)
 ## [0.13.0] – 2026-09-17
 ### Hinzugefügt
 - Prüfung bei jedem Push über Gitea Actions: Lint, Typen, Tests gegen PostgreSQL, Build, ShellCheck und Dokumentationsprüfung (#019)
 - `npm run pruefe:doku` vergleicht Version, Issue-Übersicht und Handbuch-Bilder auf Konsistenz (#019)
 ## [0.12.1] – 2026-09-17
 ### Hinzugefügt
 - Symbole für Browser-Tab (SVG und ICO), iOS-Startbildschirm und Web-Manifest, erzeugt mit `npm run icons` aus den SVG-Vorlagen in `assets/` (#017)
 ## [0.12.0] – 2026-09-17
 ### Hinzugefügt
 - Handbuch mit Bildern: Installation, Agent-Rollout, Zuweisung, Rechnungen, Warnungen, Benachrichtigungen, Exporte, Sicherung und Fehlersuche (#016)
 - `npm run screenshots` erzeugt alle Bilder des Handbuchs neu, auch im dunklen Design und in der Mobilansicht (#016)
 ## [0.11.1] – 2026-09-17
 ### Behoben
 - Nach der Anmeldung führte jeder Klick zurück zur Anmeldeseite: Das Sitzungs-Cookie erhielt im Produktionsbau immer das Merkmal `Secure` und wurde über `http://` vom Browser verworfen. Maßgeblich ist jetzt die tatsächliche Adresse (`APP_URL`) (#013)
 ### Geändert
 - Die Anmeldung läuft über ein gewöhnliches Formular statt über eine Server-Action; damit funktioniert sie auch ohne JavaScript (#013)
 ## [0.11.0] – 2026-09-17
 ### Geändert
 - Auswertung der Warnregeln um den Faktor 13 beschleunigt: neue Warnungen entstehen sammelweise (#015)
 - Aufgaben-Karte auf dem Dashboard zeigt höchstens zwölf Punkte und verweist für den Rest auf die Rechnungsliste (#015)
 - Große Tabellen blenden auf schmalen Bildschirmen gestaffelt Spalten aus, statt quer zu scrollen (#015)
 ### Behoben
 - Das Logo war im dunklen Design praktisch unsichtbar; seine Farben folgen jetzt dem Farbschema (#015)
 ## [0.10.0] – 2026-09-17
 ### Hinzugefügt
 - Dockerfile (mehrstufig, Standalone-Ausgabe, Betrieb ohne root) und `docker-compose.yml` mit Dashboard, Worker, Datenbank und einmaligem Migrationsdienst (#014)
 - LXC-Installer für Proxmox-Hosts: legt den Container an, installiert Docker, erzeugt Zufallspasswörter und startet alles (#014)
 - Beispiele für Caddy, nginx und Traefik als Reverse Proxy (#014)
 - Sicherungsskript für Datenbank, PDFs und Konfiguration (#014)
 - Zustandsprüfung unter `/api/gesundheit` (#014)
 - README mit Schnellstart, Agent-Rollout, Betriebs- und Sicherungshinweisen (#014)
 ## [0.9.0] – 2026-09-17
 ### Hinzugefügt
 - Anmeldung mit E-Mail und Passwort sowie über OIDC (z. B. authentik); der lokale Zugang bleibt als Rückfallweg immer nutzbar (#013)
 - Anmeldeseite im AdminLTE-Stil mit Logo (#013)
 - Audit-Log-Ansicht mit Filter nach Aktion und Entität (#013)
 ### Geändert
 - Audit-Einträge vermerken den angemeldeten Benutzer; Worker und Skripte erscheinen als „System“ (#013)
 ### Sicherheit
 - Alle Seiten der Oberfläche sind ohne Anmeldung nicht erreichbar; Agent-API und Skript-Auslieferung bleiben offen (#013)
 - Sitzungen als signiertes Cookie (`APP_SECRET`), fünf Anmeldeversuche je Kennung und Viertelstunde (#013)
 - Sicherheits-Kopfzeilen: HSTS, nosniff, DENY für Frames, Referrer-Policy, Permissions-Policy (#013)
 ## [0.8.0] – 2026-09-17
 ### Hinzugefügt
 - E-Mail-Versand über SMTP mit STARTTLS, abgestimmt auf Microsoft 365 (#012)
 - Generischer Webhook mit JSON-Nutzdaten und optionaler HMAC-Signatur (#012)
 - Tägliche oder wöchentliche Zusammenfassung mit offenen Warnungen, Rechnungspunkten und bald ablaufenden Subscriptions (#012)
 - Einstellungsseite mit Testversand und Versandprotokoll (#012)
 ### Sicherheit
 - Benachrichtigungen werden je Warnung nur einmal verschickt; fehlgeschlagene Versuche werden protokolliert und später wiederholt (#012)
 ## [0.7.0] – 2026-09-17
 ### Hinzugefügt
 - Zehn Warnregeln: Ablauf in 30/14/7 Tagen, Status nicht aktiv, Socket-Abweichung, keine Meldung seit 48 Stunden, geänderte Server-ID, mehrfach gemeldeter Key, Host ohne Kunde, fällige Proxmox-Rechnung, fehlende und überfällige Kundenrechnung (#011)
 - Worker-Prozess (`npm run worker`), der die Regeln stündlich auswertet; zusätzlich Auswertung nach jedem eingehenden Report (#011)
 - Seite „Warnungen“ mit Filter offen/erledigt, Quittieren, Schließen und sofortiger Prüfung (#011)
 - Einstellungsseite für Regeln und Schwellwerte (#011)
 ### Geändert
 - Warnungen schließen sich automatisch, sobald die Ursache behoben ist; Titel und Beschreibung werden laufend nachgeführt (#011)
 ## [0.6.0] – 2026-09-17
 ### Hinzugefügt
 - Jahresbahn mit zwölf Monaten, Heute-Linie und Gruppierung nach Kunde, aus echten Daten (#009)
 - Ablauf-Kalender für die nächsten 90 Tage samt Rechnungsstatus und eine Übersicht bereits abgelaufener Subscriptions (#009)
 - CSV-Export für Kundenübersicht und Rechnungsliste, PDF-Export für Hosts, Kunden und Rechnungen (#010)
 - Kundenunterlage als PDF: Hosts, Laufzeiten, Summen pro Jahr und Marge eines Kunden (#010)
 ### Geändert
 - Die Oberfläche arbeitet vollständig mit der Datenbank; Beispieldaten dienen nur noch dem Seed (#009)
 ## [0.5.0] – 2026-09-17
 ### Hinzugefügt
 - Laufzeit-Vorschläge der Agents bestätigen oder verwerfen (#008)
 - Proxmox- und Kundenrechnungen erfassen; gleiche Rechnungsnummer fasst mehrere Laufzeiten zu einer Sammelrechnung zusammen (#008)
 - PDF-Upload für beide Rechnungsarten mit Prüfung des Dateiinhalts und Ablage unter der Prüfsumme (#008)
 - Rechnungsübersicht mit Häkchen „bezahlt“ und „erstellt“ direkt in der Zeile, Filter nach Status, Kunde, Jahr und Suchbegriff (#008)
 - Detailseite je Laufzeit mit Beträgen, Marge und Übersicht der Sammelrechnung (#008)
 - Laufzeiten lassen sich von Hand anlegen (#008)
 ### Geändert
 - Die Aufgabenliste auf dem Dashboard setzt beim Abhaken den Rechnungsstatus in der Datenbank (#008)
 ## [0.4.2] – 2026-09-17
 ### Geändert
 - Der Issue-Abgleich holt Serveradresse und Repository aus dem Git-Remote und den Token aus den hinterlegten Git-Zugangsdaten; ein zweiter Token in der `.env` ist nicht mehr nötig (#020)
 ## [0.4.1] – 2026-09-17
 ### Hinzugefügt
 - Abgleich der Issue-Dateien mit dem Gitea-Tracker über `npm run issues:sync`, inklusive Labels, Meilensteinen und Trockenlauf (#020)
 ## [0.4.0] – 2026-09-17
 ### Hinzugefügt
 - Host-Tabelle mit Suche über Hostname, FQDN, Key, Server-ID, IP, Kunde und Rechnungsnummer (#007)
 - Filter nach Kunde, Status, Produkt, Ablauffrist und offenen Rechnungspunkten; Sortierung und Seitenblättern (#007)
 - CSV-Export der Host-Liste unter Berücksichtigung der aktiven Filter (#007)
 - Host-Detailansicht mit Übersicht, Subscription-Historie, Reports, Rechnungen, Notizen mit Tags und Tokens (#007)
 - Kunde eines Hosts direkt in der Detailansicht ändern (#007)
 ### Geändert
 - Host-Tabelle und Host-Detail arbeiten mit echten Daten statt Beispieldaten (#007)
 ## [0.3.0] – 2026-09-17
 ### Hinzugefügt
 - Kunden anlegen, bearbeiten und löschen; Standorte je Kunde verwalten (#006)
 - Seite „Nicht zugeordnete Hosts“ mit Mehrfachauswahl und Zuweisung in einem Schritt (#006)
 - Enrollment-Tokens erzeugen (mit Gültigkeit, Nutzungsgrenze und optionaler Kundenbindung), anzeigen und widerrufen; Host-Tokens widerrufen (#006)
 - Audit-Log-Einträge für alle Änderungen an Kunden, Standorten, Zuweisungen und Tokens (#006)
 ### Geändert
 - Dashboard, Kundenübersicht, Kunden-Detail und globale Suche arbeiten mit echten Daten statt Beispieldaten (#006)
 ### Behoben
 - Prisma-Client öffnete in der Produktionsumgebung bei jedem Zugriff einen neuen Verbindungspool (#006)
 ## [0.2.0] – 2026-09-17
 ### Hinzugefügt
 - Agent-Skript in Bash: erkennt Proxmox VE, Backup Server und Mail Gateway, sammelt Subscription-, Host- und Systemdaten (#005)
 - Installation per One-Liner mit Enrollment-Token, systemd-Service und -Timer (täglich, zufällig versetzt) (#005)
 - Zwischenspeicher für Reports samt Nachsenden, wenn das Dashboard nicht erreichbar ist (#005)
 - Update- und Uninstall-Funktion sowie Verbindungstest (`--test`) und Vorschau (`--dry-run`) (#005)
 - Dashboard liefert `install.sh` und `agent.sh` mit eingesetzter Adresse und Version aus (#005)
 ### Sicherheit
 - Konfiguration des Agents mit Rechten 600, TLS-Prüfung standardmäßig aktiv, optional eigenes CA-Zertifikat (#005)
 ## [0.1.0] – 2026-09-17
 ### Hinzugefügt
@@ -2,7 +2,7 @@
 ## Zeitübersicht
-**Gesamt:** 1 h 13 min
+**Gesamt:** 11 h 38 min
 | Issue | Zeit |
 |---|---|
@@ -10,16 +10,50 @@
 | #002 Klickbarer Prototyp | 0 h 20 min |
 | #003 Datenmodell und Migrationen | 0 h 25 min |
 | #004 Agent-API | 0 h 20 min |
 | #005 Agent-Skript | 0 h 25 min |
 | #006 Kunden und Hostzuweisung | 0 h 35 min |
 | #007 Host-Tabelle und Detailansichten | 0 h 25 min |
 | #020 Issues nach Gitea übertragen | 0 h 20 min |
 | #008 Laufzeiten und Rechnungen | 0 h 35 min |
 | #009 Jahresbahn und Ablauf-Kalender | 0 h 15 min |
 | #010 Export CSV und PDF | 0 h 20 min |
 | #011 Warnregeln | 0 h 30 min |
 | #012 Benachrichtigungen | 0 h 25 min |
 | #013 Authentifizierung | 0 h 30 min |
 | #014 Deployment | 0 h 40 min |
 | #015 Feinschliff | 0 h 35 min |
 | #016 Handbuch | 0 h 30 min |
 | #017 Favicons | 0 h 15 min |
 | #019 CI-Pipeline | 0 h 20 min |
 | #021 Geheimnisse verschlüsseln | 0 h 20 min |
 | #018 Feldtest auf echten Hosts | 0 h 40 min |
 | #022 Cluster-Abgleich | 0 h 25 min |
 | #023 Feldtest PBS | 0 h 35 min |
 | #024 OWASP-Härtung | 0 h 45 min |
 | #025 Einstellungen | 1 h 10 min |
 | Meilenstein | Zeit |
 |---|---|
 | v0.1.0 | 1 h 13 min | **abgeschlossen**
 | v0.2.0 | 0 h 25 min | **abgeschlossen**
 | v0.3.0 | 0 h 35 min | **abgeschlossen**
 | v0.4.0 | 0 h 25 min | **abgeschlossen**
 | v0.4.1 | 0 h 10 min | **abgeschlossen**
 | v0.4.2 | 0 h 10 min | **abgeschlossen**
 | v0.5.0 | 0 h 35 min | **abgeschlossen**
 | v0.6.0 | 0 h 35 min | **abgeschlossen**
 | v0.7.0 | 0 h 30 min | **abgeschlossen**
 | v0.8.0 | 0 h 25 min | **abgeschlossen**
 | v0.9.0 | 0 h 30 min | **abgeschlossen**
 | v0.10.0 | 0 h 40 min | **abgeschlossen**
 | v0.11.0 | 0 h 35 min | **abgeschlossen**
 | v0.12.0 | 0 h 30 min | **abgeschlossen**
 ---
 ## 2026-09-17 · Sitzung 1 · 19:36–laufend
-**Issue:** #001–#004 (Meilenstein v0.1.0)
+**Issue:** #001–#007 (Meilensteine v0.1.0 bis v0.4.0)
-**Version:** 0.1.0
+**Version:** 0.16.0
 ### Erledigt
 - Auftrag gelesen, Rückfragen gestellt
@@ -32,8 +66,47 @@
 - #003 abgeschlossen: Prisma-Schema mit 23 Modellen, erste Migration, Seed (Administrator, 10 Warnregeln, Demo-Daten), Testdatenbank-Setup für Vitest, 3 Schema-Tests
 - #004 abgeschlossen: Agent-API mit Enrollment, Report und Ping, gehashte Tokens, Rate-Limit, zod-Validierung, 32 Tests insgesamt
 - Meilenstein v0.1.0 abgeschlossen und getaggt
 - #005 abgeschlossen: Bash-Agent mit Produkterkennung, JSON ohne jq, Retry mit Backoff, Spool, systemd-Timer, Installer, Uninstall und Update; Dashboard liefert `/install.sh` und `/agent.sh` aus
 - Meilenstein v0.2.0 abgeschlossen und getaggt; 38 Tests
 - #006 abgeschlossen: Kunden und Standorte pflegen, Mehrfachzuweisung nicht zugeordneter Hosts, Enrollment- und Host-Tokens verwalten, Audit-Log; Dashboard, Kundenseiten und globale Suche laufen auf der Datenbank
 - Durchlauf gegen den laufenden Server geprüft: Token anlegen → `enroll` → Agent-Report → Laufzeit-Vorschlag → Host erscheint als „nicht zugeordnet“ → `ping`
 - Meilenstein v0.3.0 abgeschlossen und getaggt; 45 Tests
 - Issues #017 bis #019 aus bisherigen Notizen angelegt (Favicons, Feldtest des Agents, CI-Pipeline)
 - #007 abgeschlossen: Host-Tabelle mit Suche, fünf Filtern, Sortierung, Seitenblättern und CSV-Export; Host-Detail mit sechs Tabs, Notizen, Tags, Kundenzuweisung und Token-Widerruf
 - Meilenstein v0.4.0 abgeschlossen und getaggt; 59 Tests
 - #020 abgeschlossen: Abgleichskript für den Gitea-Issue-Tracker (Missverständnis geklärt – die Issues lagen bisher nur als Dateien im Repo, nicht im Tracker)
 - Token kommt aus den Git-Zugangsdaten statt aus einer zweiten Stelle; 20 Issues, 15 Labels und 13 Meilensteine in Gitea angelegt
 - Alles nach Gitea gepusht: main bei 51243c2, Tags v0.1.0 bis v0.4.1
 - #008 abgeschlossen: Laufzeit-Vorschläge bestätigen oder verwerfen, Rechnungen mit Positionen erfassen, PDF-Upload, Häkchen direkt in der Tabelle, Filter nach Status, Kunde und Jahr; Aufgabenliste auf dem Dashboard setzt jetzt echte Status
 - Meilenstein v0.5.0 abgeschlossen; 78 Tests
 - #009 abgeschlossen: Jahresbahn und Ablauf-Kalender (90 Tage) aus der Datenbank, dazu eine Karte für bereits abgelaufene Subscriptions; die Oberfläche nutzt keine Beispieldaten mehr
 - #010 abgeschlossen: CSV- und PDF-Export für Hosts, Kunden, einzelne Kundenunterlage und Rechnungsliste; PDFs serverseitig ohne Browser
 - Meilenstein v0.6.0 abgeschlossen
 - #011 abgeschlossen: zehn Warnregeln als reine Funktionen, Abgleich mit offenen Warnungen, Worker mit stündlichem Zeitplan, Auswertung nach jedem Report, Warnungsliste und Einstellungsseite; 123 Tests
 - Meilenstein v0.7.0 abgeschlossen
 - #012 abgeschlossen: SMTP (Microsoft 365), generischer Webhook mit Signatur, Zusammenfassung, Versandprotokoll, Testversand; keine Doppelmeldungen dank Prüfung gegen das Protokoll
 - Issue #021 angelegt: Zugangsdaten liegen noch unverschlüsselt in der Datenbank
 - Meilenstein v0.8.0 abgeschlossen; 134 Tests
 - #013 abgeschlossen: Anmeldung mit Passwort und OIDC, Schutz aller Seiten über `proxy.ts`, Anmeldeseite im AdminLTE-Stil, Audit-Log-Ansicht, Sicherheits-Kopfzeilen, Rate-Limit bei Anmeldeversuchen
 - Meilenstein v0.9.0 abgeschlossen; 147 Tests
 - #014 abgeschlossen: Dockerfile (Standalone, Non-root), Compose mit web/worker/postgres/migrate, LXC-Installer, Reverse-Proxy-Beispiele, Sicherungsskript, README mit Schnellstart und Betriebshinweisen
 - Container-Stapel wirklich gebaut und geprüft: Agent registriert sich, Report kommt an, Warnung entsteht automatisch
 - Meilenstein v0.10.0 abgeschlossen
 - #015 abgeschlossen: Dark-Mode geprüft (Logo war unsichtbar – behoben), Mobilansicht ohne Querscrollen, Lasttest mit 200 Hosts und 365.000 Reports, Auswertung der Warnregeln von 3813 auf 293 ms beschleunigt, Sicherheitsdurchsicht
 - Als v0.11.0 veröffentlicht statt 1.0.0: Feldtest, Handbuch, Favicons, CI und Verschlüsselung der Zugangsdaten stehen noch aus
 - 0.11.1: Anmeldefehler behoben (Secure-Cookie über http)
 - #016 abgeschlossen: Handbuch mit elf Kapiteln und 16 Bildern, dazu `npm run screenshots` zum Auffrischen
 - #017 abgeschlossen: Symbole für Tab, Startbildschirm und Manifest, erzeugt mit `npm run icons` aus SVG-Vorlagen
 - #019 abgeschlossen: Gitea-Actions-Workflow mit Lint, Typen, Tests, Build, ShellCheck und Doku-Prüfung
 - #021 abgeschlossen: SMTP-Passwort und Webhook-Geheimnis liegen verschlüsselt in der Datenbank (AES-256-GCM, Schlüssel aus APP_SECRET)
 ### Entscheidungen
 - **Warnungen sammelweise anlegen:** Einzelne Upserts kosteten bei 737 neuen Warnungen 3,8 s; mit `createMany` sind es 0,3 s.
 - **Keine 1.0.0 ohne Feldtest:** Solange der Agent auf keinem echten Proxmox-Host lief, wäre die Zahl ein falsches Versprechen.
 - **Kein Auth.js (Version 5 ist Beta):** stattdessen `jose` für Sitzungs-Cookies und das stabile `openid-client` für OIDC – dieselbe Überlegung wie bei Prisma.
 - **Warnstufen im Fingerabdruck** (`…:7`): Der Wechsel 30 → 14 → 7 schließt die alte Warnung und öffnet eine neue. Das ergibt je Stufe genau eine Benachrichtigung, ohne Sonderlogik für Eskalation.
 - **Rechnungsnummer als Schlüssel für Sammelrechnungen:** Dieselbe Nummer bei einer zweiten Laufzeit hängt eine Position an – kein eigener Dialog für „Sammelrechnung anlegen“ nötig.
 - **PDF-Prüfung am Dateianfang** statt am gemeldeten Typ; abgelegt wird unter der Prüfsumme, gleiche Datei also nur einmal.
 - **Screenshots mit Firefox headless** statt Playwright: Firefox ist vorhanden, es muss kein Browser samt Systembibliotheken nachinstalliert werden (dafür wäre root nötig).
 - **Kennzahlen werden berechnet, nicht hinterlegt:** auch im Prototyp kommen alle Zahlen aus den Beispieldaten, damit Tabellen und Kacheln nie widersprüchlich sind.
 - **AdminLTE 4.9.1 nur als CSS:** stabil, Bootstrap 5.3.8, kein jQuery; die JS-Plugins manipulieren das DOM und werden daher als React-Komponenten nachgebaut.
@@ -47,11 +120,33 @@
 - **Prisma-Client wird lazy erzeugt** (Proxy), damit `next build` ohne gesetzte `DATABASE_URL` durchläuft.
 - **Report-Idempotenz über eine vom Agent erzeugte `reportId`**: nachgesendete Reports aus dem Spool dürfen beliebig oft ankommen.
 - **Unbekannte Subscription-Status werden zu `UNKNOWN`** statt abgelehnt – ein Report darf nie an einem neuen Statuswort scheitern.
 - **Dashboard gleich mit auf die Datenbank umgestellt** (eigentlich #009): Eine frisch zugewiesene Zuordnung hätte dort sonst weiter als „nicht zugeordnet“ gestanden.
 - **Server Actions rufen Services auf**, damit die Regeln ohne Next.js-Laufzeit testbar bleiben.
 ### Probleme / offene Fragen
 - Von Florian im Betrieb gemeldet: Nach der Anmeldung führte jeder Klick zurück zur Anmeldeseite. Ursache: `Secure`-Cookie über `http://`. Behoben in 0.11.1.
 - Der LXC-Installer ist ungetestet (kein Proxmox-Host verfügbar); gleiches gilt für den Agent im Feld (#018).
 - Prisma-Client erzeugte in der Produktionsumgebung bei jedem Zugriff einen neuen Verbindungspool → „too many clients“. Behoben: Client wird im Modul festgehalten.
 - Docker wurde von Florian installiert; die Entwicklungsdatenbank läuft auf Port 5433 (5432 bleibt für lokale Instanzen frei).
 - Favicon-Dateien (.ico/PNG) fehlen noch, weil kein SVG-Konverter installiert ist.
 - Der Agent wurde noch auf keinem echten Proxmox-Host installiert; die Tests arbeiten mit nachgebauten Befehlen.
 - Offen: Rolle „readonly“ zusätzlich zu Admin? (vorläufig vorgesehen)
 - #018 abgeschlossen: Feldtest auf zwei echten PVE-9.2-Hosts (einer mit, einer ohne Subscription, einer im Cluster); Installation, Timer, Zwischenspeicher und Nachsenden geprüft
 - #022 abgeschlossen: Cluster-Abgleich – jeder Agent meldet die Mitglieder, das Dashboard warnt bei Knoten ohne Agent
 - **Fehler im eigenen Werkzeug gefunden:** Alle Handbuch-Bilder waren in Wahrheit die Anmeldeseite. Firefox verwirft eine selbst angelegte Cookie-Datei stillschweigend. Jetzt läuft ein lokaler Vermittler mit, und das Skript bricht ab, wenn alle Aufnahmen gleich groß sind.
 - Feldtest auf einem echten Proxmox Backup Server (#023): der Agent hätte dort **nichts** gelesen – PBS gibt eine Rahmentabelle aus, kein `feld: wert`. Behoben, mit den echten Ausgaben als Testfälle
 - Der erfundene PBS-Testfall hatte den Fehler verdeckt. Lehre: ausgedachte Testdaten bestätigen nur die eigene Annahme
 - Uninstall zum ersten Mal auf einem echten Host geprüft – restlos sauber, damit ist #018 vollständig
 - Durchsicht nach OWASP (#024): drei echte Lücken gefunden – Server Actions ohne eigene Zugriffsprüfung, Login-CSRF und fehlende CSP. Alle behoben und mit Tests abgesichert
 - Erkenntnis: Der Schutz lag vollständig in einer einzigen Schicht (`proxy.ts`). Das fällt erst auf, wenn man die Endpunkte einzeln betrachtet statt die Oberfläche
 - Einstellungen im Dashboard (#025): vier Bereiche, alle Werte wirken auch wirklich – der Melderhythmus zum Beispiel bis in den erzeugten systemd-Timer hinein, live geprüft
 - Dabei die OIDC-Lücke aus #024 geschlossen: Domänenliste und Schalter gegen automatisch angelegte Konten
 - Bewusst nicht gebaut: „stumm nach X Tagen“ (steht schon bei den Warnregeln) und die Währung in der Browseransicht
 ### Nächster Schritt
- #005 Agent-Skript (Bash) mit systemd-Timer, Spool und Installer
+- #016 Benutzerhandbuch mit Screenshots, danach #017 Favicons und #019 CI-Pipeline
 - Für 1.0.0 fehlt noch: PMG (kein Host verfügbar) und der Fall „aktive Subscription auf PBS“ (#023)
@@ -0,0 +1,50 @@
 # ProxLedger – Abbild für Dashboard und Worker.
 # Beide Dienste teilen sich dieses Abbild und unterscheiden sich nur im Startbefehl.
 FROM node:24-alpine AS basis
 WORKDIR /app
 # openssl wird von Prisma benötigt, tini beendet Prozesse sauber.
 RUN apk add --no-cache openssl tini
 # ---------------------------------------------------------------- Abhängigkeiten
 FROM basis AS abhaengigkeiten
 COPY package.json package-lock.json ./
 COPY prisma ./prisma
 COPY prisma7.config.ts ./
 RUN npm ci --ignore-scripts
 # ---------------------------------------------------------------- Bauen
 FROM abhaengigkeiten AS bauen
 COPY . .
 RUN npx prisma generate \
 && npm run build \
 && npm run build:worker
 # ---------------------------------------------------------------- Laufzeit
 FROM basis AS laufzeit
 ENV NODE_ENV=production
 ENV PORT=3000
 RUN addgroup -g 1001 -S proxledger && adduser -S proxledger -u 1001 -G proxledger
 # Next.js im Standalone-Modus bringt seine eigenen Abhängigkeiten mit.
 COPY --from=bauen --chown=proxledger:proxledger /app/.next/standalone ./
 COPY --from=bauen --chown=proxledger:proxledger /app/.next/static ./.next/static
 COPY --from=bauen --chown=proxledger:proxledger /app/public ./public
 # Agent-Skripte werden zur Laufzeit ausgeliefert.
 COPY --from=bauen --chown=proxledger:proxledger /app/agent ./agent
 # Worker als gebündelte Datei. Migrationen übernimmt der eigene Dienst „migrate“
 # (Stufe „bauen“), damit dieses Abbild schlank bleibt und keine CLI mitschleppt.
 COPY --from=bauen --chown=proxledger:proxledger /app/dist ./dist
 COPY --chown=proxledger:proxledger deploy/start.sh ./start.sh
 RUN mkdir -p /data/uploads && chown -R proxledger:proxledger /data
 VOLUME ["/data"]
 ENV UPLOAD_DIR=/data/uploads
 USER proxledger
 EXPOSE 3000
 ENTRYPOINT ["/sbin/tini", "--"]
 CMD ["./start.sh", "web"]
@@ -3,7 +3,41 @@
 Zentrales Dashboard für den Subscription-Status aller Proxmox-Hosts (VE, Backup Server, Mail Gateway).
 Auf jedem Host meldet ein schlanker Agent täglich per HTTPS seinen Status (Push-Modell) – auch aus Kundennetzen hinter NAT.
-> **Status:** in Entwicklung (0.1.0-dev). Noch nicht produktiv einsetzen.
+> **Status:** in Entwicklung. Der Funktionsumfang steht, der Agent wurde aber noch nicht auf echten
 > Proxmox-Hosts erprobt (#018).
 ## Schnellstart
 Auf einem Rechner mit Docker:
 ```bash
 git clone <dieses-repo> proxledger && cd proxledger
 cp .env.example .env
 # Pflichtangaben setzen: APP_SECRET, POSTGRES_PASSWORD, ADMIN_PASSWORD, APP_URL
 docker compose up -d
 ```
 Beim ersten Start legt der Dienst `migrate` das Schema an und erzeugt den Administrator aus der `.env`.
 Danach ist das Dashboard unter `APP_URL` erreichbar.
 **Auf einem Proxmox-Host** legt der Installer einen fertigen LXC-Container an:
 ```bash
 bash deploy/lxc-installer.sh
 ```
 Er fragt Ressourcen und Netzwerk ab, installiert Docker, holt den Quelltext, erzeugt Zufallspasswörter
 und startet alles. Am Ende stehen Adresse, Benutzer und Passwort auf dem Bildschirm.
 ### Agent ausrollen
 1. Im Dashboard unter *Einstellungen → Agent-Tokens* einen Enrollment-Token erzeugen
 2. Auf jedem Proxmox-Host als root:
   ```bash
   curl -fsSL https://<dashboard>/install.sh | bash -s -- --token <ENROLL_TOKEN>
   ```
 3. Der Host meldet sich sofort und danach täglich. Unter *Hosts → Nicht zugeordnet* einem Kunden zuweisen –
   oder den Token gleich mit Kundenbindung erzeugen, dann entfällt der Schritt.
 ## Entwicklung
@@ -22,10 +56,137 @@ npm run typecheck
 npm test           # legt bei Bedarf die Testdatenbank an
 ```
-Weitere Skripte: `npm run db:studio` (Datenbank-Oberfläche), `npm run db:down` (Container stoppen).
+Der Worker wertet die Warnregeln stündlich aus und läuft als eigener Prozess:
 ```bash
 npm run worker        # Dauerbetrieb
 npm run alerts:check  # einmalige Auswertung
 ```
 Weitere Skripte:
 | Befehl | Zweck |
 |---|---|
 | `npm run db:studio` | Datenbank-Oberfläche |
 | `npm run db:down` | Datenbank-Container stoppen |
 | `npm run icons` | Symbole aus den SVG-Vorlagen erzeugen |
 | `npm run screenshots -- --alle` | Bilder für das Handbuch auffrischen |
 | `npm run pruefe:doku` | Doku, Versionen und Bilder auf Konsistenz prüfen |
 | `npm run lasttest` | Abfragen mit 200 Hosts und fünf Jahren Reports messen |
 Jeder Push wird von [Gitea Actions](.gitea/workflows/ci.yml) geprüft: Lint, Typen, Tests gegen eine
 PostgreSQL-Instanz, Build, ShellCheck für die Agent-Skripte und die Konsistenz der Dokumentation.
 Dafür muss auf dem Gitea-Server ein `act_runner` eingerichtet sein.
 ## Agent auf einem Proxmox-Host installieren
 ```bash
 curl -fsSL https://<dashboard>/install.sh | bash -s -- --token <ENROLL_TOKEN>
 ```
 Der Agent erkennt Proxmox VE, Backup Server und Mail Gateway selbst, registriert sich, schreibt seine
 Konfiguration nach `/etc/proxledger/agent.conf` (Rechte 600) und meldet ab dann täglich per systemd-Timer.
 | Befehl | Zweck |
 |---|---|
 | `proxledger-agent` | Report erzeugen und senden |
 | `proxledger-agent --dry-run` | Report nur anzeigen |
 | `proxledger-agent --test` | Verbindung zum Dashboard prüfen |
 | `proxledger-agent --update` | Agent aktualisieren |
 | `curl -fsSL https://<dashboard>/install.sh \| bash -s -- --uninstall` | Agent entfernen |
 Protokoll: `journalctl -t proxledger`. Ist das Dashboard nicht erreichbar, versucht es der Agent dreimal mit
 wachsendem Abstand und legt den Report danach unter `/var/lib/proxledger/spool/` ab; beim nächsten Lauf wird er
 nachgesendet.
 ## Anmeldung
 Die Oberfläche ist vollständig geschützt; die Agent-API und die Skript-Auslieferung bleiben offen, weil
 sie sich mit eigenen Tokens ausweisen.
 - **Lokaler Zugang:** E-Mail und Passwort aus dem Seed (`ADMIN_EMAIL`, `ADMIN_PASSWORD`). Fünf Fehlversuche
  je Kennung und Viertelstunde, danach Sperre.
 - **OIDC (z. B. authentik):** `OIDC_ISSUER`, `OIDC_CLIENT_ID`, `OIDC_CLIENT_SECRET` setzen. Rückkehradresse
  ist `<APP_URL>/api/auth/oidc/callback`. Ohne diese Werte erscheint nur der lokale Zugang – der bleibt
  absichtlich immer nutzbar, falls der Anmeldedienst ausfällt.
 - **`APP_SECRET`** (mindestens 32 Zeichen) signiert die Sitzungs-Cookies. Ändert sich der Wert, sind alle
  Sitzungen ungültig.
 ## Exporte
 | Ansicht | CSV | PDF |
 |---|---|---|
 | Hosts | `/hosts/export` | `/hosts/export?format=pdf` |
 | Kunden | `/kunden/export` | `/kunden/export?format=pdf` |
 | Einzelner Kunde | – | `/kunden/<id>/export` (Anlage für Kundenunterlagen) |
 | Rechnungen | `/rechnungen/export` | `/rechnungen/export?format=pdf` |
 Alle Exporte übernehmen die Filter der jeweiligen Ansicht. CSV kommt als UTF-8 mit BOM und Semikolon,
 öffnet sich also ohne Umwege in Excel.
 ## Issues nach Gitea übertragen
 Die Issues werden als Markdown-Dateien in `docs/issues/` gepflegt – sie liegen damit im Repo und wandern mit
 jedem Klon mit. Wer sie zusätzlich im Gitea-Tracker haben möchte, gleicht sie ab:
 ```bash
 npm run issues:sync -- --dry-run    # zeigt nur, was passieren würde
 npm run issues:sync                 # echter Abgleich
 ```
 Serveradresse und Repository liest das Skript aus dem Git-Remote, den Token aus den hinterlegten
 Git-Zugangsdaten (Schlüsselbund oder `~/.git-credentials`) – derselbe Token wie fürs Pushen, er braucht
 zusätzlich das Recht `issue:write`. Wer beides trennen möchte, setzt `GITEA_URL`, `GITEA_REPO` und
 `GITEA_TOKEN` in der `.env`.
 Der Abgleich legt Labels und Meilensteine an, erkennt vorhandene Issues an der Nummer im Titel,
 aktualisiert sie und schließt erledigte. Ein zweiter Lauf erzeugt keine Dubletten.
 ## Betrieb
 **Dienste:** `web` (Dashboard), `worker` (Warnregeln und Benachrichtigungen), `postgres`, dazu `migrate`,
 der nur beim Start läuft.
 ```bash
 docker compose ps                      # Zustand
 docker compose logs -f web worker      # Protokoll
 docker compose up -d --build           # nach einem Update
 ```
 **Hinter einem Reverse Proxy:** Beispiele für Caddy, nginx und Traefik liegen in
 [deploy/reverse-proxy/](deploy/reverse-proxy/). Wichtig ist, dass `X-Forwarded-For` durchgereicht wird –
 darauf stützt sich das Rate-Limit der Agent-API. `APP_URL` muss auf die öffentliche Adresse zeigen,
 sonst stimmen die Links in E-Mails und im Installations-Einzeiler nicht.
 **Zustandsprüfung:** `GET /api/gesundheit` antwortet mit `{"ok":true}`, solange die Datenbank erreichbar ist.
 ## Sicherung
 [deploy/backup.sh](deploy/backup.sh) sichert Datenbank, hochgeladene PDFs und die `.env`:
 ```bash
 ./deploy/backup.sh /var/backups/proxledger
 ```
 Für regelmäßige Sicherungen in die Crontab eintragen:
 ```
 30 2 * * * /opt/proxledger/deploy/backup.sh /var/backups/proxledger
 ```
 Zum Zurückspielen:
 ```bash
 gunzip -c datenbank-20260917-023000.sql.gz | docker compose exec -T postgres psql -U proxledger proxledger
 ```
 **Wichtig:** `APP_SECRET` mitsichern und sicher aufbewahren. Der Wert signiert die Sitzungen **und**
 verschlüsselt die Zugangsdaten für SMTP und Webhook in der Datenbank. Geht er verloren, müssen diese
 Zugangsdaten neu eingetragen werden; eine Sicherung allein gibt sie nicht preis.
 ## Dokumentation
 - **[Handbuch mit Bildern](docs/anleitung/README.md)** – Installation, Agent-Rollout, Rechnungen, Warnungen, Fehlersuche
 - [Architektur- und Umsetzungsplan](docs/architektur.md)
 - [Issues](docs/issues/README.md)
 - [Changelog](CHANGELOG.md) · [Devlog](DEVLOG.md)
@@ -0,0 +1,243 @@
 #!/usr/bin/env bash
 # ProxLedger-Agent installieren.
 #
 #   curl -fsSL https://dashboard.example.de/install.sh | bash -s -- --token plx_e_...
 #
 # Optionen:
 #   --token <TOKEN>   Enrollment-Token aus dem Dashboard (erforderlich)
 #   --url <URL>       Adresse des Dashboards (Standard: Herkunft dieses Skripts)
 #   --ca-cert <DATEI> eigenes CA-Zertifikat für TLS
 #   --auto-update     Agent aktualisiert sich selbst, wenn das Dashboard eine neuere Version meldet
 #   --uninstall       Agent vollständig entfernen
 #   --help            diese Hilfe
 set -o errexit
 set -o nounset
 set -o pipefail
 DASHBOARD_URL="${PROXLEDGER_URL:-@@DASHBOARD_URL@@}"
 # Melderhythmus und Streuung setzt das Dashboard beim Ausliefern ein (Einstellungen → System).
 # Wird das Skript unverändert aus dem Quelltext ausgeführt, bleiben die Platzhalter stehen;
 # dann gelten die Vorgaben.
 TIMER_ONCALENDAR="@@TIMER_ONCALENDAR@@"
 TIMER_STREUUNG="@@TIMER_STREUUNG@@"
 case "$TIMER_ONCALENDAR" in *@@*) TIMER_ONCALENDAR="daily" ;; esac
 case "$TIMER_STREUUNG" in *@@*) TIMER_STREUUNG="4h" ;; esac
 TOKEN=""
 CA_CERT=""
 AUTO_UPDATE="@@AUTO_UPDATE@@"
 case "$AUTO_UPDATE" in yes | no) ;; *) AUTO_UPDATE="no" ;; esac
 AKTION="install"
 CONFIG_VERZEICHNIS="/etc/proxledger"
 CONFIG_DATEI="${CONFIG_VERZEICHNIS}/agent.conf"
 AGENT_PFAD="/usr/local/bin/proxledger-agent"
 SPOOL_VERZEICHNIS="/var/lib/proxledger/spool"
 SYSTEMD_VERZEICHNIS="/etc/systemd/system"
 hinweis() { printf '\033[1;36m›\033[0m %s\n' "$*"; }
 erfolg() { printf '\033[1;32m✓\033[0m %s\n' "$*"; }
 fehler() {
  printf '\033[1;31m✗\033[0m %s\n' "$*" >&2
  exit 1
 }
 hilfe() {
  sed -n '2,15p' "$0" | sed 's/^# \{0,1\}//'
 }
 while [ $# -gt 0 ]; do
  case "$1" in
    --token)
      TOKEN="${2:-}"
      shift 2
      ;;
    --url)
      DASHBOARD_URL="${2:-}"
      shift 2
      ;;
    --ca-cert)
      CA_CERT="${2:-}"
      shift 2
      ;;
    --auto-update)
      AUTO_UPDATE="yes"
      shift
      ;;
    --uninstall)
      AKTION="uninstall"
      shift
      ;;
    --help | -h)
      hilfe
      exit 0
      ;;
    *) fehler "Unbekannte Option: $1" ;;
  esac
 done
 [ "$(id -u)" -eq 0 ] || fehler "Bitte als root ausführen."
 deinstallieren() {
  hinweis "Entferne ProxLedger-Agent …"
  systemctl disable --now proxledger.timer >/dev/null 2>&1 || true
  systemctl stop proxledger.service >/dev/null 2>&1 || true
  rm -f "${SYSTEMD_VERZEICHNIS}/proxledger.service" "${SYSTEMD_VERZEICHNIS}/proxledger.timer"
  systemctl daemon-reload
  rm -f "$AGENT_PFAD"
  rm -rf "$CONFIG_VERZEICHNIS" "$(dirname "$SPOOL_VERZEICHNIS")"
  erfolg "Agent entfernt. Der Host bleibt im Dashboard erhalten; dort ggf. den Token widerrufen."
 }
 if [ "$AKTION" = "uninstall" ]; then
  deinstallieren
  exit 0
 fi
 [ -n "$TOKEN" ] || fehler "Enrollment-Token fehlt (--token)."
 [ -n "$DASHBOARD_URL" ] || fehler "Dashboard-Adresse fehlt (--url)."
 DASHBOARD_URL=${DASHBOARD_URL%/}
 command -v curl >/dev/null 2>&1 || fehler "curl ist nicht installiert."
 command -v systemctl >/dev/null 2>&1 || fehler "systemd wird benötigt."
 produkt_erkennen() {
  if command -v pvesubscription >/dev/null 2>&1; then
    printf 'pve'
  elif command -v proxmox-backup-manager >/dev/null 2>&1; then
    printf 'pbs'
  elif command -v pmgsubscription >/dev/null 2>&1; then
    printf 'pmg'
  fi
 }
 PRODUKT=$(produkt_erkennen)
 [ -n "$PRODUKT" ] || fehler "Kein Proxmox-Produkt gefunden (VE, Backup Server oder Mail Gateway)."
 hinweis "Produkt erkannt: ${PRODUKT}"
 # Stabile Agent-Kennung: bleibt auch nach Hardwaretausch gleich, solange das System dasselbe ist.
 maschinen_id() {
  local id=""
  [ -r /etc/machine-id ] && id=$(cat /etc/machine-id)
  [ -z "$id" ] && [ -r /var/lib/dbus/machine-id ] && id=$(cat /var/lib/dbus/machine-id)
  [ -z "$id" ] && id=$(hostname -f 2>/dev/null || hostname)
  printf '%s' "$id"
 }
 AGENT_ID=$(maschinen_id)
 HOSTNAME_KURZ=$(hostname -s 2>/dev/null || hostname)
 FQDN=$(hostname -f 2>/dev/null || printf '')
 server_id() {
  case "$PRODUKT" in
    pve) pvesubscription get 2>/dev/null | sed -n 's/^serverid:[[:space:]]*//p' | head -n1 ;;
    pbs) proxmox-backup-manager subscription get 2>/dev/null | sed -n 's/^serverid:[[:space:]]*//p' | head -n1 ;;
    pmg) pmgsubscription get 2>/dev/null | sed -n 's/^serverid:[[:space:]]*//p' | head -n1 ;;
  esac
 }
 SERVER_ID=$(server_id)
 hinweis "Registriere Host beim Dashboard …"
 ANFRAGE=$(
  cat <<JSON
 {"agentId":"${AGENT_ID}","hostname":"${HOSTNAME_KURZ}","fqdn":$([ -n "$FQDN" ] && printf '"%s"' "$FQDN" || printf 'null'),"produkt":"${PRODUKT}","serverId":$([ -n "$SERVER_ID" ] && printf '"%s"' "$SERVER_ID" || printf 'null'),"agentVersion":"@@AGENT_VERSION@@"}
 JSON
 )
 ANTWORT=$(curl --silent --show-error --max-time 30 \
  ${CA_CERT:+--cacert "$CA_CERT"} \
  --header "Content-Type: application/json" \
  --header "Authorization: Bearer ${TOKEN}" \
  --write-out '\n%{http_code}' \
  --request POST --data "$ANFRAGE" "${DASHBOARD_URL}/api/agent/v1/enroll") || fehler "Dashboard nicht erreichbar."
 HTTP_CODE=$(printf '%s' "$ANTWORT" | tail -n1)
 KOERPER=$(printf '%s' "$ANTWORT" | sed '$d')
 case "$HTTP_CODE" in
  200 | 201) ;;
  401) fehler "Enrollment-Token wurde abgelehnt (abgelaufen, widerrufen oder aufgebraucht)." ;;
  429) fehler "Zu viele Registrierungsversuche. Bitte später erneut versuchen." ;;
  *) fehler "Registrierung fehlgeschlagen (HTTP ${HTTP_CODE}): ${KOERPER}" ;;
 esac
 HOST_TOKEN=$(printf '%s' "$KOERPER" | sed -n 's/.*"token"[[:space:]]*:[[:space:]]*"\([^"]*\)".*/\1/p' | head -n1)
 [ -n "$HOST_TOKEN" ] || fehler "Dashboard hat keinen Host-Token geliefert."
 erfolg "Host registriert."
 hinweis "Installiere Agent nach ${AGENT_PFAD} …"
 curl --silent --show-error --fail --max-time 60 \
  ${CA_CERT:+--cacert "$CA_CERT"} \
  "${DASHBOARD_URL}/agent.sh" -o "${AGENT_PFAD}.neu" || fehler "Agent-Skript konnte nicht geladen werden."
 head -n1 "${AGENT_PFAD}.neu" | grep -q '^#!/usr/bin/env bash' || fehler "Heruntergeladene Datei ist kein Agent-Skript."
 install -m 755 "${AGENT_PFAD}.neu" "$AGENT_PFAD"
 rm -f "${AGENT_PFAD}.neu"
 mkdir -p "$CONFIG_VERZEICHNIS" "$SPOOL_VERZEICHNIS"
 chmod 700 "$CONFIG_VERZEICHNIS"
 umask 077
 cat >"$CONFIG_DATEI" <<CONF
 # ProxLedger-Agent – Konfiguration (von install.sh erzeugt)
 DASHBOARD_URL="${DASHBOARD_URL}"
 TOKEN="${HOST_TOKEN}"
 AGENT_ID="${AGENT_ID}"
 # Eigenes CA-Zertifikat, falls das Dashboard ein privates Zertifikat nutzt:
 CA_CERT="${CA_CERT}"
 # Agent aktualisiert sich selbst, sobald das Dashboard eine neuere Version meldet:
 AUTO_UPDATE="${AUTO_UPDATE}"
 # TLS-Prüfung niemals dauerhaft abschalten – nur für Tests:
 TLS_PRUEFEN="yes"
 CONF
 chmod 600 "$CONFIG_DATEI"
 erfolg "Konfiguration geschrieben (${CONFIG_DATEI}, Rechte 600)."
 cat >"${SYSTEMD_VERZEICHNIS}/proxledger.service" <<'UNIT'
 [Unit]
 Description=ProxLedger-Agent – meldet den Subscription-Status an das Dashboard
 Documentation=https://github.com/proxledger
 After=network-online.target
 Wants=network-online.target
 [Service]
 Type=oneshot
 ExecStart=/usr/local/bin/proxledger-agent --report
 Nice=10
 # Der Agent liest nur Systeminformationen und braucht keine erweiterten Rechte.
 NoNewPrivileges=true
 PrivateTmp=true
 ProtectSystem=full
 ProtectHome=true
 UNIT
 cat >"${SYSTEMD_VERZEICHNIS}/proxledger.timer" <<UNIT
 [Unit]
 Description=ProxLedger-Report
 [Timer]
 OnCalendar=${TIMER_ONCALENDAR}
 # Verteilt die Meldungen aller Hosts über diesen Zeitraum.
 RandomizedDelaySec=${TIMER_STREUUNG}
 Persistent=true
 Unit=proxledger.service
 [Install]
 WantedBy=timers.target
 UNIT
 systemctl daemon-reload
 systemctl enable --now proxledger.timer >/dev/null
 erfolg "systemd-Timer aktiviert (${TIMER_ONCALENDAR}, zufällig um bis zu ${TIMER_STREUUNG} versetzt)."
 hinweis "Sende ersten Report …"
 if "$AGENT_PFAD" --report; then
  erfolg "Erster Report übertragen."
 else
  printf '\033[1;33m!\033[0m Erster Report fehlgeschlagen – er wird beim nächsten Lauf nachgesendet.\n'
 fi
 printf '\n'
 erfolg "Fertig. Status prüfen mit: systemctl list-timers proxledger.timer"
 printf '  Log ansehen:      journalctl -t proxledger -n 50\n'
 printf '  Verbindung testen: %s --test\n' "$AGENT_PFAD"
 printf '  Entfernen:        curl -fsSL %s/install.sh | bash -s -- --uninstall\n' "$DASHBOARD_URL"
@@ -0,0 +1,490 @@
 #!/usr/bin/env bash
 # ProxLedger-Agent – meldet den Subscription-Status eines Proxmox-Hosts an das Dashboard.
 # Läuft ohne zusätzliche Abhängigkeiten: nur curl und Bordmittel von Proxmox.
 #
 # Aufrufe:
 #   proxledger-agent            Report erzeugen und senden (Standard, vom systemd-Timer aufgerufen)
 #   proxledger-agent --dry-run  Report nur ausgeben, nichts senden
 #   proxledger-agent --test     Verbindung zum Dashboard prüfen
 #   proxledger-agent --update   Agent auf die vom Dashboard gemeldete Version aktualisieren
 #   proxledger-agent --version  Version ausgeben
 set -o nounset
 set -o pipefail
 AGENT_VERSION="0.2.1"
 CONFIG_DATEI="${PROXLEDGER_CONFIG:-/etc/proxledger/agent.conf}"
 SPOOL_VERZEICHNIS="${PROXLEDGER_SPOOL:-/var/lib/proxledger/spool}"
 SPOOL_MAXIMUM=30
 # Wartezeiten zwischen den Versuchen; für Tests über PROXLEDGER_WARTEZEITEN kürzbar.
 read -r -a WARTEZEITEN <<<"${PROXLEDGER_WARTEZEITEN:-30 120 480}"
 # --------------------------------------------------------------------- Protokoll
 protokoll() {
  local stufe="$1"
  shift
  if command -v logger >/dev/null 2>&1; then
    logger -t proxledger -p "daemon.${stufe}" -- "$*" 2>/dev/null || true
  fi
  printf '%s [%s] %s\n' "$(datum_jetzt)" "$stufe" "$*" >&2
 }
 datum_jetzt() {
  date -u '+%Y-%m-%dT%H:%M:%SZ'
 }
 # --------------------------------------------------------------------- JSON-Hilfen
 # Maskiert einen Wert für JSON (ohne jq, das auf Proxmox nicht überall vorhanden ist).
 json_text() {
  local wert="$1"
  if [ -z "$wert" ]; then
    printf 'null'
    return
  fi
  wert=${wert//\\/\\\\}
  wert=${wert//\"/\\\"}
  wert=${wert//$'\t'/\\t}
  wert=${wert//$'\r'/}
  wert=${wert//$'\n'/\\n}
  # Übrige Steuerzeichen entfernen, damit immer gültiges JSON entsteht.
  wert=$(printf '%s' "$wert" | tr -d '\000-\010\013\014\016-\037')
  printf '"%s"' "$wert"
 }
 # Gibt eine Zahl aus oder null, wenn der Wert leer bzw. keine Zahl ist.
 json_zahl() {
  local wert="$1"
  if [[ "$wert" =~ ^-?[0-9]+$ ]]; then
    printf '%s' "$wert"
  else
    printf 'null'
  fi
 }
 # Baut aus Zeilen eine JSON-Liste; leere Eingabe ergibt [].
 json_liste() {
  local ausgabe="[" erste=1 zeile
  while IFS= read -r zeile; do
    [ -z "$zeile" ] && continue
    if [ $erste -eq 0 ]; then ausgabe+=","; fi
    ausgabe+=$(json_text "$zeile")
    erste=0
  done
  printf '%s]' "$ausgabe"
 }
 # --------------------------------------------------------------------- Konfiguration
 konfiguration_laden() {
  DASHBOARD_URL=""
  TOKEN=""
  CA_CERT=""
  AUTO_UPDATE="no"
  AGENT_ID=""
  TLS_PRUEFEN="yes"
  if [ -r "$CONFIG_DATEI" ]; then
    # shellcheck disable=SC1090
    . "$CONFIG_DATEI"
  fi
 }
 # --------------------------------------------------------------------- Datensammlung
 produkt_erkennen() {
  if command -v pvesubscription >/dev/null 2>&1; then
    printf 'pve'
  elif command -v proxmox-backup-manager >/dev/null 2>&1; then
    printf 'pbs'
  elif command -v pmgsubscription >/dev/null 2>&1; then
    printf 'pmg'
  else
    printf ''
  fi
 }
 subscription_ausgabe() {
  local ausgabe=""
  case "$1" in
    # PVE kennt --output-format nicht (geprueft auf 9.2), liefert aber "feld: wert".
    pve) pvesubscription get 2>/dev/null ;;
    # PBS gibt ohne --output-format eine Rahmentabelle aus, aus der sich schlecht lesen laesst.
    # JSON kann es (geprueft auf 4.2); aeltere Fassungen faengt die Tabellenauswertung ab.
    pbs)
      ausgabe=$(proxmox-backup-manager subscription get --output-format json 2>/dev/null)
      [ -n "$ausgabe" ] || ausgabe=$(proxmox-backup-manager subscription get 2>/dev/null)
      printf '%s' "$ausgabe"
      ;;
    pmg) pmgsubscription get 2>/dev/null ;;
    *) printf '' ;;
  esac
 }
 # Liest ein Feld aus der Subscription-Ausgabe. Unterstuetzt "feld: wert", JSON und die
 # Rahmentabelle von PBS ("| feld | wert |" mit Unicode-Strichen).
 feld_lesen() {
  local feld="$1" text="$2" wert
  wert=$(printf '%s\n' "$text" | sed -n "s/^[[:space:]]*${feld}[[:space:]]*:[[:space:]]*//p" | head -n1)
  if [ -z "$wert" ]; then
    wert=$(printf '%s\n' "$text" |
      sed -n "s/.*\"${feld}\"[[:space:]]*:[[:space:]]*\"\{0,1\}\([^\",}]*\)\"\{0,1\}.*/\1/p" | head -n1)
  fi
  if [ -z "$wert" ]; then
    # Tabellenzeile: Trennzeichen ist U+2502; awk zerlegt daran und liefert die zweite Spalte.
    wert=$(printf '%s\n' "$text" |
      awk -F'\xe2\x94\x82' -v feld="$feld" '
        NF >= 3 {
          name = $2; gsub(/^[ \t]+|[ \t]+$/, "", name)
          if (name == feld) { wert = $3; gsub(/^[ \t]+|[ \t]+$/, "", wert); print wert; exit }
        }')
  fi
  # Umschließende Anführungszeichen und Leerzeichen entfernen.
  wert=${wert%\"}
  wert=${wert#\"}
  printf '%s' "$wert" | sed 's/[[:space:]]*$//'
 }
 produkt_version() {
  # Bei PVE hängt die Kernel-Angabe mit im String ("… (running kernel: …)").
  # Der Kernel wird separat gemeldet, deshalb hier abschneiden.
  case "$1" in
    pve) pveversion 2>/dev/null | head -n1 | sed 's/ (running kernel.*//' ;;
    # PBS haengt die laufende Fassung an ("… 4.2.6-1 running version: 4.2.1");
    # gemeldet wird die installierte.
    pbs) proxmox-backup-manager version 2>/dev/null | head -n1 | sed 's/ running version.*//' ;;
    pmg) pmgversion 2>/dev/null | head -n1 ;;
    *) printf '' ;;
  esac
 }
 ip_adressen() {
  if command -v ip >/dev/null 2>&1; then
    ip -o addr show scope global 2>/dev/null | awk '{print $4}' | cut -d/ -f1
  else
    hostname -I 2>/dev/null | tr ' ' '\n'
  fi
 }
 cluster_name() {
  if command -v pvecm >/dev/null 2>&1; then
    pvecm status 2>/dev/null | sed -n 's/^[[:space:]]*Name:[[:space:]]*//p' | head -n1
  fi
 }
 # Namen aller Cluster-Mitglieder laut corosync. Auch Knoten ohne Agent stehen hier –
 # daraus erkennt das Dashboard vergessene Knoten (#022).
 cluster_mitglieder() {
  if command -v pvecm >/dev/null 2>&1; then
    pvecm nodes 2>/dev/null | awk '/^[[:space:]]*[0-9]+[[:space:]]+[0-9]+/ {print $3}' | sed 's/ *(local)//'
  fi
 }
 node_name() {
  if command -v pvecm >/dev/null 2>&1 && pvecm status >/dev/null 2>&1; then
    hostname -s 2>/dev/null
  fi
 }
 cpu_sockets() {
  if command -v lscpu >/dev/null 2>&1; then
    lscpu 2>/dev/null | sed -n 's/^Socket(s):[[:space:]]*//p' | head -n1
  fi
 }
 cpu_modell() {
  if command -v lscpu >/dev/null 2>&1; then
    lscpu 2>/dev/null | sed -n 's/^Model name:[[:space:]]*//p' | head -n1
  fi
 }
 uptime_sekunden() {
  if [ -r /proc/uptime ]; then
    cut -d. -f1 /proc/uptime
  fi
 }
 paket_updates() {
  if command -v apt >/dev/null 2>&1; then
    # Die Kopfzeile "Auflistung..." zählt nicht mit.
    apt list --upgradable 2>/dev/null | grep -c 'upgradable from' || true
  fi
 }
 report_id() {
  if [ -r /proc/sys/kernel/random/uuid ]; then
    cat /proc/sys/kernel/random/uuid
  else
    printf 'report-%s-%s' "$(date -u '+%Y%m%d%H%M%S')" "$RANDOM$RANDOM"
  fi
 }
 # Erzeugt den vollständigen Report als JSON. Fehlende Werte werden zu null.
 report_erzeugen() {
  local produkt subscription key status level productname sockets serverid regdate nextduedate checktime
  produkt=$(produkt_erkennen)
  subscription=$(subscription_ausgabe "$produkt")
  key=$(feld_lesen "key" "$subscription")
  status=$(feld_lesen "status" "$subscription")
  level=$(feld_lesen "level" "$subscription")
  productname=$(feld_lesen "productname" "$subscription")
  sockets=$(feld_lesen "sockets" "$subscription")
  serverid=$(feld_lesen "serverid" "$subscription")
  regdate=$(feld_lesen "regdate" "$subscription")
  nextduedate=$(feld_lesen "nextduedate" "$subscription")
  checktime=$(feld_lesen "checktime" "$subscription")
  # Proxmox liefert Datumsangaben teils mit Uhrzeit; das Dashboard erwartet nur den Tag.
  regdate=${regdate%% *}
  nextduedate=${nextduedate%% *}
  cat <<JSON
 {
  "reportId": $(json_text "$(report_id)"),
  "agentVersion": $(json_text "$AGENT_VERSION"),
  "erhobenAm": $(json_text "$(datum_jetzt)"),
  "host": {
    "hostname": $(json_text "$(hostname -s 2>/dev/null)"),
    "fqdn": $(json_text "$(hostname -f 2>/dev/null)"),
    "ips": $(ip_adressen | json_liste),
    "clusterName": $(json_text "$(cluster_name)"),
    "nodeName": $(json_text "$(node_name)"),
    "clusterMitglieder": $(cluster_mitglieder | json_liste),
    "kernel": $(json_text "$(uname -r 2>/dev/null)"),
    "uptimeSekunden": $(json_zahl "$(uptime_sekunden)"),
    "cpuModell": $(json_text "$(cpu_modell)"),
    "sockets": $(json_zahl "$(cpu_sockets)"),
    "paketUpdates": $(json_zahl "$(paket_updates)")
  },
  "produkt": {
    "typ": $(json_text "$produkt"),
    "version": $(json_text "$(produkt_version "$produkt")")
  },
  "subscription": {
    "key": $(json_text "$key"),
    "status": $(json_text "$status"),
    "level": $(json_text "$level"),
    "productname": $(json_text "$productname"),
    "sockets": $(json_zahl "$sockets"),
    "serverid": $(json_text "$serverid"),
    "regdate": $(json_text "$regdate"),
    "nextduedate": $(json_text "$nextduedate"),
    "checktime": $(json_text "$checktime")
  }
 }
 JSON
 }
 # --------------------------------------------------------------------- Versand
 curl_optionen() {
  local optionen=(--silent --show-error --max-time 30 --header "Content-Type: application/json")
  optionen+=(--header "Authorization: Bearer ${TOKEN}")
  optionen+=(--header "User-Agent: proxledger-agent/${AGENT_VERSION}")
  if [ -n "$CA_CERT" ]; then
    optionen+=(--cacert "$CA_CERT")
  fi
  if [ "$TLS_PRUEFEN" = "no" ]; then
    # Nur für Testumgebungen; die Konfiguration warnt davor.
    optionen+=(--insecure)
  fi
  printf '%s\n' "${optionen[@]}"
 }
 # Sendet einen Report; 0 = erfolgreich, 1 = Fehler.
 report_senden() {
  local nutzdaten="$1" antwort http_code
  local -a optionen
  mapfile -t optionen < <(curl_optionen)
  antwort=$(curl "${optionen[@]}" --write-out '\n%{http_code}' \
    --request POST --data "$nutzdaten" "${DASHBOARD_URL}/api/agent/v1/report" 2>&1)
  http_code=$(printf '%s' "$antwort" | tail -n1)
  case "$http_code" in
    200 | 201)
      neueste_version_merken "$antwort"
      return 0
      ;;
    401 | 403)
      protokoll err "Dashboard lehnt den Token ab (HTTP $http_code). Agent neu registrieren."
      return 1
      ;;
    "")
      protokoll warning "Dashboard nicht erreichbar."
      return 1
      ;;
    *)
      protokoll warning "Dashboard antwortet mit HTTP ${http_code}."
      return 1
      ;;
  esac
 }
 neueste_version_merken() {
  NEUESTE_VERSION=$(printf '%s' "$1" |
    sed -n 's/.*"agentVersion"[[:space:]]*:[[:space:]]*"\([^"]*\)".*/\1/p' | head -n1)
 }
 # Versucht den Versand mehrfach mit wachsenden Wartezeiten.
 mit_wiederholung_senden() {
  local nutzdaten="$1" versuch=0
  if report_senden "$nutzdaten"; then
    return 0
  fi
  for wartezeit in "${WARTEZEITEN[@]}"; do
    versuch=$((versuch + 1))
    protokoll info "Neuer Versuch ${versuch} in ${wartezeit} s."
    sleep "$wartezeit"
    if report_senden "$nutzdaten"; then
      return 0
    fi
  done
  return 1
 }
 spool_ablegen() {
  local nutzdaten="$1" datei
  mkdir -p "$SPOOL_VERZEICHNIS" 2>/dev/null || return 1
  datei="${SPOOL_VERZEICHNIS}/$(date -u '+%Y%m%d%H%M%S')-$$.json"
  printf '%s\n' "$nutzdaten" >"$datei"
  chmod 600 "$datei" 2>/dev/null || true
  protokoll info "Report zwischengespeichert: $datei"
  spool_begrenzen
 }
 # Bewahrt nur die neuesten Dateien auf, damit der Spool nicht unbegrenzt wächst.
 spool_begrenzen() {
  local anzahl
  anzahl=$(find "$SPOOL_VERZEICHNIS" -maxdepth 1 -name '*.json' 2>/dev/null | wc -l)
  if [ "$anzahl" -gt "$SPOOL_MAXIMUM" ]; then
    find "$SPOOL_VERZEICHNIS" -maxdepth 1 -name '*.json' -printf '%T@ %p\n' 2>/dev/null |
      sort -n | head -n "$((anzahl - SPOOL_MAXIMUM))" | cut -d' ' -f2- |
      while IFS= read -r alt; do rm -f "$alt"; done
  fi
 }
 # Sendet zwischengespeicherte Reports nach; erfolgreiche werden gelöscht.
 spool_nachsenden() {
  [ -d "$SPOOL_VERZEICHNIS" ] || return 0
  local datei inhalt
  for datei in "$SPOOL_VERZEICHNIS"/*.json; do
    [ -e "$datei" ] || continue
    inhalt=$(cat "$datei")
    if report_senden "$inhalt"; then
      rm -f "$datei"
      protokoll info "Nachgesendeter Report übertragen: $(basename "$datei")"
    else
      protokoll info "Nachsenden verschoben, Dashboard nicht erreichbar."
      return 0
    fi
  done
 }
 # --------------------------------------------------------------------- Aktionen
 aktion_report() {
  konfiguration_pruefen
  spool_nachsenden
  local nutzdaten
  nutzdaten=$(report_erzeugen)
  if mit_wiederholung_senden "$nutzdaten"; then
    protokoll info "Report übertragen (Agent ${AGENT_VERSION})."
    version_pruefen
    return 0
  fi
  spool_ablegen "$nutzdaten"
  return 1
 }
 aktion_test() {
  konfiguration_pruefen
  local -a optionen
  mapfile -t optionen < <(curl_optionen)
  local antwort
  antwort=$(curl "${optionen[@]}" --write-out '\n%{http_code}' "${DASHBOARD_URL}/api/agent/v1/ping")
  printf '%s\n' "$antwort"
  [ "$(printf '%s' "$antwort" | tail -n1)" = "200" ]
 }
 # Ist $1 eine neuere Fassung als $2? `sort -V` vergleicht Versionsnummern der Reihe nach.
 version_neuer() {
  [ "$1" != "$2" ] && [ "$(printf '%s\n%s\n' "$1" "$2" | sort -V | tail -n1)" = "$1" ]
 }
 version_pruefen() {
  # Nur melden, wenn das Dashboard wirklich eine neuere Fassung kennt. Sonst warnt ein Agent,
  # der einer Testinstallation vorauseilt, gegen sich selbst (im Feldtest #023 aufgefallen).
  if [ -n "${NEUESTE_VERSION:-}" ] && version_neuer "$NEUESTE_VERSION" "$AGENT_VERSION"; then
    protokoll notice "Neue Agent-Version verfügbar: ${NEUESTE_VERSION} (installiert: ${AGENT_VERSION})."
    if [ "$AUTO_UPDATE" = "yes" ]; then
      aktion_update
    fi
  fi
 }
 aktion_update() {
  konfiguration_pruefen
  local ziel="/usr/local/bin/proxledger-agent" temp
  temp=$(mktemp)
  if curl --silent --show-error --fail --max-time 60 \
    ${CA_CERT:+--cacert "$CA_CERT"} \
    "${DASHBOARD_URL}/agent.sh" -o "$temp"; then
    if head -n1 "$temp" | grep -q '^#!/usr/bin/env bash'; then
      install -m 755 "$temp" "$ziel"
      rm -f "$temp"
      protokoll notice "Agent aktualisiert auf $("$ziel" --version)."
      return 0
    fi
    protokoll err "Heruntergeladene Datei ist kein Agent-Skript – Update abgebrochen."
  else
    protokoll err "Update fehlgeschlagen: Dashboard nicht erreichbar."
  fi
  rm -f "$temp"
  return 1
 }
 konfiguration_pruefen() {
  if [ -z "$DASHBOARD_URL" ] || [ -z "$TOKEN" ]; then
    protokoll err "Konfiguration unvollständig (${CONFIG_DATEI}). Bitte neu installieren."
    exit 2
  fi
  DASHBOARD_URL=${DASHBOARD_URL%/}
 }
 # --------------------------------------------------------------------- Einstieg
 konfiguration_laden
 case "${1:---report}" in
  --report | "")
    aktion_report
    ;;
  --dry-run)
    report_erzeugen
    ;;
  --test)
    aktion_test
    ;;
  --update)
    aktion_update
    ;;
  --version)
    printf '%s\n' "$AGENT_VERSION"
    ;;
  --help | -h)
    sed -n '2,12p' "$0" | sed 's/^# \{0,1\}//'
    ;;
  *)
    printf 'Unbekannte Option: %s\n' "$1" >&2
    exit 64
    ;;
 esac
@@ -0,0 +1,4 @@
 <!-- Fassung für 16 px: nur das P. -->
 <svg viewBox="0 0 48 48" xmlns="http://www.w3.org/2000/svg">
  <path fill-rule="evenodd" d="M6 2h21a14 14 0 0 1 0 28H18v16H6zM18 13h8a3 3 0 0 1 0 6h-8z" fill="#1E2A44"/>
 </svg>
@@ -0,0 +1,5 @@
 <!-- Fassung für 32 px: eine Linie, kräftigere Formen. -->
 <svg viewBox="0 0 48 48" xmlns="http://www.w3.org/2000/svg">
  <path fill-rule="evenodd" d="M7 3h20a13 13 0 0 1 0 26H17v16H7zM17 12h9a4 4 0 0 1 0 8h-9z" fill="#1E2A44"/>
  <path d="M24 38h19" stroke="#17A2B8" stroke-width="5" stroke-linecap="round"/>
 </svg>
@@ -0,0 +1,8 @@
 <!-- Fassung für Startbildschirm-Symbole: Monogramm auf dunklem Grund mit Rand. -->
 <svg viewBox="0 0 180 180" xmlns="http://www.w3.org/2000/svg">
  <rect width="180" height="180" rx="34" fill="#1E2A44"/>
  <g transform="translate(34 30) scale(2.3)">
    <path fill-rule="evenodd" d="M8 4h19a12 12 0 0 1 0 24H16v16H8zM16 11h10a5 5 0 0 1 0 10H16z" fill="#FFFFFF"/>
    <path d="M22 36h20M22 43h14" stroke="#17A2B8" stroke-width="3.5" stroke-linecap="round"/>
  </g>
 </svg>
@@ -0,0 +1,5 @@
 <!-- ProxLedger-Monogramm, Standardfassung (heller Grund). Quelle für alle abgeleiteten Dateien. -->
 <svg viewBox="0 0 48 48" xmlns="http://www.w3.org/2000/svg">
  <path fill-rule="evenodd" d="M8 4h19a12 12 0 0 1 0 24H16v16H8zM16 11h10a5 5 0 0 1 0 10H16z" fill="#1E2A44"/>
  <path d="M22 36h20M22 43h14" stroke="#17A2B8" stroke-width="3.5" stroke-linecap="round"/>
 </svg>
@@ -0,0 +1,38 @@
 #!/usr/bin/env bash
 # Sichert Datenbank und hochgeladene PDFs von ProxLedger.
 #
 #   ./backup.sh /pfad/zum/sicherungsordner
 #
 # Für regelmäßige Sicherungen in die Crontab eintragen, z. B. täglich um 02:30 Uhr:
 #   30 2 * * * /opt/proxledger/deploy/backup.sh /var/backups/proxledger
 set -o errexit
 set -o nounset
 set -o pipefail
 ZIEL="${1:-/var/backups/proxledger}"
 AUFBEWAHRUNG_TAGE="${AUFBEWAHRUNG_TAGE:-30}"
 STAND=$(date +%Y%m%d-%H%M%S)
 COMPOSE_VERZEICHNIS="${COMPOSE_VERZEICHNIS:-/opt/proxledger}"
 mkdir -p "$ZIEL"
 cd "$COMPOSE_VERZEICHNIS"
 echo "Sichere Datenbank …"
 docker compose exec -T postgres pg_dump -U "${POSTGRES_USER:-proxledger}" "${POSTGRES_DB:-proxledger}" \
  | gzip > "${ZIEL}/datenbank-${STAND}.sql.gz"
 echo "Sichere hochgeladene Dateien …"
 docker compose run --rm -T --entrypoint tar web -czf - /data/uploads > "${ZIEL}/uploads-${STAND}.tar.gz" 2>/dev/null || true
 echo "Sichere Konfiguration …"
 cp .env "${ZIEL}/env-${STAND}.txt"
 chmod 600 "${ZIEL}/env-${STAND}.txt"
 echo "Entferne Sicherungen älter als ${AUFBEWAHRUNG_TAGE} Tage …"
 find "$ZIEL" -maxdepth 1 -name "*-*.sql.gz" -mtime "+${AUFBEWAHRUNG_TAGE}" -delete
 find "$ZIEL" -maxdepth 1 -name "*-*.tar.gz" -mtime "+${AUFBEWAHRUNG_TAGE}" -delete
 find "$ZIEL" -maxdepth 1 -name "env-*.txt" -mtime "+${AUFBEWAHRUNG_TAGE}" -delete
 echo "Fertig: ${ZIEL}"
 ls -lh "$ZIEL" | tail -n 5
@@ -0,0 +1,184 @@
 #!/usr/bin/env bash
 # ProxLedger – Installation als LXC-Container auf einem Proxmox-VE-Host.
 #
 # Auf dem Proxmox-Host ausführen:
 #   bash lxc-installer.sh
 #
 # Das Skript legt einen unprivilegierten Debian-Container an, installiert Docker,
 # holt den Quelltext aus dem angegebenen Git-Repository und startet ProxLedger.
 set -o errexit
 set -o nounset
 set -o pipefail
 VORLAGE="debian-13-standard"
 STANDARD_HOSTNAME="proxledger"
 STANDARD_CPU=2
 STANDARD_RAM=2048
 STANDARD_PLATTE=12
 STANDARD_BRIDGE="vmbr0"
 blau() { printf '\033[1;36m%s\033[0m\n' "$*"; }
 gruen() { printf '\033[1;32m✓ %s\033[0m\n' "$*"; }
 gelb() { printf '\033[1;33m! %s\033[0m\n' "$*"; }
 fehler() {
  printf '\033[1;31m✗ %s\033[0m\n' "$*" >&2
  exit 1
 }
 frage() {
  local text="$1" standard="${2:-}" antwort
  if [ -n "$standard" ]; then
    read -r -p "$text [$standard]: " antwort
    printf '%s' "${antwort:-$standard}"
  else
    read -r -p "$text: " antwort
    printf '%s' "$antwort"
  fi
 }
 # --------------------------------------------------------------- Voraussetzungen
 [ "$(id -u)" -eq 0 ] || fehler "Bitte als root auf dem Proxmox-Host ausführen."
 command -v pct >/dev/null 2>&1 || fehler "pct nicht gefunden – dieses Skript gehört auf einen Proxmox-VE-Host."
 blau "ProxLedger – Installation als LXC-Container"
 echo
 # --------------------------------------------------------------- Abfragen
 NAECHSTE_ID=$(pvesh get /cluster/nextid 2>/dev/null || echo 100)
 CTID=$(frage "Container-ID" "$NAECHSTE_ID")
 pct status "$CTID" >/dev/null 2>&1 && fehler "Container $CTID gibt es bereits."
 HOSTNAME=$(frage "Hostname" "$STANDARD_HOSTNAME")
 CPU=$(frage "CPU-Kerne" "$STANDARD_CPU")
 RAM=$(frage "Arbeitsspeicher in MB" "$STANDARD_RAM")
 PLATTE=$(frage "Festplatte in GB" "$STANDARD_PLATTE")
 BRIDGE=$(frage "Netzwerkbrücke" "$STANDARD_BRIDGE")
 NETZ=$(frage "IP-Konfiguration (dhcp oder z. B. 192.168.1.50/24)" "dhcp")
 if [ "$NETZ" != "dhcp" ]; then
  GATEWAY=$(frage "Gateway" "${NETZ%.*}.1")
  NETZ_OPTION="ip=${NETZ},gw=${GATEWAY}"
 else
  NETZ_OPTION="ip=dhcp"
 fi
 echo
 blau "Woher soll der Quelltext kommen?"
 REPO=$(frage "Git-Repository (z. B. https://git.example.de/benutzer/ProxLedger.git)")
 [ -n "$REPO" ] || fehler "Ohne Repository kann nichts installiert werden."
 ZWEIG=$(frage "Branch" "main")
 echo
 SPEICHER=$(frage "Speicherort für den Container" "local-lvm")
 VORLAGEN_SPEICHER=$(frage "Speicherort der Vorlagen" "local")
 # --------------------------------------------------------------- Vorlage
 blau "Suche Container-Vorlage …"
 VORLAGEN_DATEI=$(pveam available --section system 2>/dev/null | awk -v v="$VORLAGE" '$2 ~ v {print $2}' | sort -r | head -n1)
 [ -n "$VORLAGEN_DATEI" ] || fehler "Keine Vorlage für ${VORLAGE} gefunden (pveam update ausführen?)."
 if ! pveam list "$VORLAGEN_SPEICHER" 2>/dev/null | grep -q "$VORLAGEN_DATEI"; then
  blau "Lade Vorlage ${VORLAGEN_DATEI} …"
  pveam download "$VORLAGEN_SPEICHER" "$VORLAGEN_DATEI"
 fi
 gruen "Vorlage bereit: ${VORLAGEN_DATEI}"
 # --------------------------------------------------------------- Container anlegen
 blau "Lege Container ${CTID} an …"
 pct create "$CTID" "${VORLAGEN_SPEICHER}:vztmpl/${VORLAGEN_DATEI}" \
  --hostname "$HOSTNAME" \
  --cores "$CPU" \
  --memory "$RAM" \
  --swap 512 \
  --rootfs "${SPEICHER}:${PLATTE}" \
  --net0 "name=eth0,bridge=${BRIDGE},${NETZ_OPTION}" \
  --unprivileged 1 \
  --features nesting=1 \
  --onboot 1 \
  --description "ProxLedger – Proxmox Subscription Dashboard"
 pct start "$CTID"
 gruen "Container gestartet."
 blau "Warte auf das Netzwerk …"
 for _ in $(seq 1 30); do
  pct exec "$CTID" -- ping -c1 -W1 deb.debian.org >/dev/null 2>&1 && break
  sleep 2
 done
 # --------------------------------------------------------------- Software
 blau "Installiere Docker im Container …"
 pct exec "$CTID" -- bash -c "
  set -e
  export DEBIAN_FRONTEND=noninteractive
  apt-get update -qq
  apt-get install -y -qq ca-certificates curl git openssl >/dev/null
  install -m 0755 -d /etc/apt/keyrings
  curl -fsSL https://download.docker.com/linux/debian/gpg -o /etc/apt/keyrings/docker.asc
  chmod a+r /etc/apt/keyrings/docker.asc
  echo \"deb [arch=\$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.asc] https://download.docker.com/linux/debian \$(. /etc/os-release && echo \$VERSION_CODENAME) stable\" > /etc/apt/sources.list.d/docker.list
  apt-get update -qq
  apt-get install -y -qq docker-ce docker-ce-cli containerd.io docker-compose-plugin >/dev/null
  systemctl enable --now docker >/dev/null
 "
 gruen "Docker installiert."
 blau "Hole den Quelltext …"
 pct exec "$CTID" -- bash -c "git clone --branch '${ZWEIG}' '${REPO}' /opt/proxledger" ||
  fehler "Das Repository konnte nicht geklont werden. Bei privaten Repositories einen Token in der Adresse verwenden."
 gruen "Quelltext liegt in /opt/proxledger."
 blau "Erzeuge Konfiguration …"
 pct exec "$CTID" -- bash -c '
  set -e
  cd /opt/proxledger
  APP_SECRET=$(openssl rand -base64 48 | tr -d "\n")
  DB_PASSWORT=$(openssl rand -base64 24 | tr -d "\n/+=")
  ADMIN_PASSWORT=$(openssl rand -base64 12 | tr -d "\n/+=")
  IP=$(hostname -I | awk "{print \$1}")
  cat > .env <<CONF
 POSTGRES_USER=proxledger
 POSTGRES_PASSWORD=${DB_PASSWORT}
 POSTGRES_DB=proxledger
 PORT=3000
 APP_SECRET=${APP_SECRET}
 APP_URL=http://${IP}:3000
 ADMIN_EMAIL=admin@example.de
 ADMIN_NAME=Administrator
 ADMIN_PASSWORD=${ADMIN_PASSWORT}
 CONF
  chmod 600 .env
  echo "${ADMIN_PASSWORT}" > /root/proxledger-admin-passwort.txt
  chmod 600 /root/proxledger-admin-passwort.txt
 '
 gruen "Konfiguration geschrieben (/opt/proxledger/.env, Rechte 600)."
 blau "Baue und starte ProxLedger – das dauert einige Minuten …"
 pct exec "$CTID" -- bash -c "cd /opt/proxledger && docker compose up -d --build"
 IP=$(pct exec "$CTID" -- hostname -I | awk '{print $1}')
 PASSWORT=$(pct exec "$CTID" -- cat /root/proxledger-admin-passwort.txt)
 echo
 gruen "ProxLedger läuft."
 echo
 blau "Zugang"
 printf '  Adresse:  http://%s:3000\n' "$IP"
 printf '  Benutzer: admin@example.de\n'
 printf '  Passwort: %s\n' "$PASSWORT"
 echo
 blau "Nächste Schritte"
 printf '  1. Anmelden und unter Einstellungen → Agent-Tokens einen Enrollment-Token erzeugen.\n'
 printf '  2. Auf jedem Proxmox-Host: curl -fsSL http://%s:3000/install.sh | bash -s -- --token <TOKEN>\n' "$IP"
 printf '  3. Für den Betrieb über HTTPS einen Reverse Proxy davorsetzen (Beispiele in deploy/).\n'
 echo
 gelb "APP_URL in /opt/proxledger/.env auf die endgültige Adresse setzen, sobald der Reverse Proxy steht."
 printf '  Logs ansehen:   pct exec %s -- docker compose -f /opt/proxledger/docker-compose.yml logs -f\n' "$CTID"
 printf '  Aktualisieren:  pct exec %s -- bash -c "cd /opt/proxledger && git pull && docker compose up -d --build"\n' "$CTID"
@@ -0,0 +1,6 @@
 # Caddy kümmert sich selbst um das Zertifikat.
 # Datei: /etc/caddy/Caddyfile
 proxledger.example.de {
 	reverse_proxy 127.0.0.1:3000
 }
@@ -0,0 +1,29 @@
 # nginx mit Zertifikat von certbot.
 # Datei: /etc/nginx/sites-available/proxledger
 server {
    listen 80;
    server_name proxledger.example.de;
    return 301 https://$host$request_uri;
 }
 server {
    listen 443 ssl http2;
    server_name proxledger.example.de;
    ssl_certificate     /etc/letsencrypt/live/proxledger.example.de/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/proxledger.example.de/privkey.pem;
    # Rechnungs-PDFs können größer sein als die Standardgrenze.
    client_max_body_size 12m;
    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_http_version 1.1;
        proxy_set_header Host              $host;
        proxy_set_header X-Real-IP         $remote_addr;
        # Die Agent-API wertet diese Kopfzeile für das Rate-Limit aus.
        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
 }
@@ -0,0 +1,8 @@
 # Traefik: diese Labels an den Dienst „web“ in der docker-compose.yml hängen.
 labels:
  - "traefik.enable=true"
  - "traefik.http.routers.proxledger.rule=Host(`proxledger.example.de`)"
  - "traefik.http.routers.proxledger.entrypoints=websecure"
  - "traefik.http.routers.proxledger.tls.certresolver=letsencrypt"
  - "traefik.http.services.proxledger.loadbalancer.server.port=3000"
@@ -0,0 +1,21 @@
 #!/bin/sh
 # Startet Dashboard oder Worker. Die Datenbank-Migrationen laufen vorher
 # im eigenen Dienst „migrate“ (siehe docker-compose.yml).
 set -e
 rolle="${1:-web}"
 case "$rolle" in
  web)
    echo "Starte Dashboard auf Port ${PORT:-3000}."
    exec node server.js
    ;;
  worker)
    echo "Starte Worker."
    exec node dist/worker.mjs
    ;;
  *)
    echo "Unbekannte Rolle: $rolle (erwartet: web oder worker)" >&2
    exit 64
    ;;
 esac
@@ -0,0 +1,8 @@
 // esbuild-Banner: stellt `require` in der ESM-Ausgabe bereit, damit eingebundene
 // Pakete weiterhin CommonJS-Module wie `fs` laden können.
 import { createRequire as __createRequire } from "node:module";
 import { fileURLToPath as __fileURLToPath } from "node:url";
 import { dirname as __dirname_fn } from "node:path";
 const require = __createRequire(import.meta.url);
 const __filename = __fileURLToPath(import.meta.url);
 const __dirname = __dirname_fn(__filename);
@@ -0,0 +1,89 @@
 # ProxLedger – vollständige Installation mit Dashboard, Worker und Datenbank.
 #   1. cp .env.example .env  und Werte eintragen (mindestens APP_SECRET, POSTGRES_PASSWORD, ADMIN_*, APP_URL)
 #   2. docker compose up -d
 # Migrationen und der erste Administrator entstehen dabei automatisch im Dienst „migrate“.
 services:
  postgres:
    image: postgres:17-alpine
    restart: unless-stopped
    environment:
      POSTGRES_USER: ${POSTGRES_USER:-proxledger}
      POSTGRES_PASSWORD: ${POSTGRES_PASSWORD:?POSTGRES_PASSWORD fehlt in der .env}
      POSTGRES_DB: ${POSTGRES_DB:-proxledger}
    volumes:
      - datenbank:/var/lib/postgresql/data
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U ${POSTGRES_USER:-proxledger}"]
      interval: 10s
      timeout: 5s
      retries: 10
  # Läuft einmal beim Start: Schema einspielen und Administrator anlegen.
  migrate:
    build:
      context: .
      target: bauen
    restart: "no"
    depends_on:
      postgres:
        condition: service_healthy
    command: ["sh", "-c", "npx prisma migrate deploy && npx prisma db seed"]
    environment:
      DATABASE_URL: postgresql://${POSTGRES_USER:-proxledger}:${POSTGRES_PASSWORD}@postgres:5432/${POSTGRES_DB:-proxledger}?schema=public
      ADMIN_EMAIL: ${ADMIN_EMAIL:-admin@example.de}
      ADMIN_NAME: ${ADMIN_NAME:-Administrator}
      ADMIN_PASSWORD: ${ADMIN_PASSWORD:-}
      SEED_DEMO: ${SEED_DEMO:-0}
  web:
    build: .
    restart: unless-stopped
    depends_on:
      postgres:
        condition: service_healthy
      migrate:
        condition: service_completed_successfully
    environment:
      DATABASE_URL: postgresql://${POSTGRES_USER:-proxledger}:${POSTGRES_PASSWORD}@postgres:5432/${POSTGRES_DB:-proxledger}?schema=public
      APP_SECRET: ${APP_SECRET:?APP_SECRET fehlt in der .env}
      APP_URL: ${APP_URL:-http://localhost:3000}
      ADMIN_EMAIL: ${ADMIN_EMAIL:-admin@example.de}
      ADMIN_NAME: ${ADMIN_NAME:-Administrator}
      ADMIN_PASSWORD: ${ADMIN_PASSWORD:-}
      OIDC_ISSUER: ${OIDC_ISSUER:-}
      OIDC_CLIENT_ID: ${OIDC_CLIENT_ID:-}
      OIDC_CLIENT_SECRET: ${OIDC_CLIENT_SECRET:-}
      OIDC_NAME: ${OIDC_NAME:-authentik}
    ports:
      - "${PORT:-3000}:3000"
    volumes:
      - uploads:/data
    healthcheck:
      test: ["CMD", "wget", "-qO-", "http://localhost:3000/api/gesundheit"]
      interval: 30s
      timeout: 5s
      retries: 5
      start_period: 20s
  worker:
    build: .
    restart: unless-stopped
    command: ["./start.sh", "worker"]
    depends_on:
      postgres:
        condition: service_healthy
      migrate:
        condition: service_completed_successfully
    environment:
      DATABASE_URL: postgresql://${POSTGRES_USER:-proxledger}:${POSTGRES_PASSWORD}@postgres:5432/${POSTGRES_DB:-proxledger}?schema=public
      APP_SECRET: ${APP_SECRET}
      APP_URL: ${APP_URL:-http://localhost:3000}
      WORKER_CRON: ${WORKER_CRON:-0 * * * *}
      ZUSAMMENFASSUNG_CRON: ${ZUSAMMENFASSUNG_CRON:-0 7 * * *}
    volumes:
      - uploads:/data
 volumes:
  datenbank:
  uploads:
@@ -0,0 +1,424 @@
 # ProxLedger – Handbuch
 ProxLedger zeigt auf einen Blick, welche Proxmox-Subscription zu welchem Host und zu welchem Kunden
 gehört, wann sie ausläuft und ob die Rechnungen dazu erledigt sind. Auf jedem Host meldet ein kleiner
 Agent einmal täglich seinen Status – das Dashboard fragt die Hosts nie aktiv ab und funktioniert deshalb
 auch mit Hosts hinter NAT.
 **Inhalt**
 1. [Installation](#1-installation)
 2. [Erste Anmeldung](#2-erste-anmeldung)
 3. [Agent auf einem Host ausrollen](#3-agent-auf-einem-host-ausrollen)
 4. [Hosts einem Kunden zuweisen](#4-hosts-einem-kunden-zuweisen)
 4a. [Cluster](#4a-cluster)
 5. [Kunden und Standorte pflegen](#5-kunden-und-standorte-pflegen)
 6. [Laufzeiten und Rechnungen](#6-laufzeiten-und-rechnungen)
 7. [Warnungen](#7-warnungen)
 8. [Benachrichtigungen einrichten](#8-benachrichtigungen-einrichten)
 9. [Exporte](#9-exporte)
 9a. [Einstellungen](#9a-einstellungen)
 10. [Sicherung und Aktualisierung](#10-sicherung-und-aktualisierung)
 11. [Fehlersuche](#11-fehlersuche)
 ---
 ## 1. Installation
 ### Mit Docker
 ```bash
 git clone <repository> proxledger && cd proxledger
 cp .env.example .env
 ```
 In der `.env` mindestens setzen:
 | Wert | Bedeutung |
 |---|---|
 | `APP_SECRET` | Schlüssel für die Sitzungen, mindestens 32 Zeichen (`openssl rand -base64 48`) |
 | `POSTGRES_PASSWORD` | Passwort der mitgelieferten Datenbank |
 | `ADMIN_EMAIL`, `ADMIN_PASSWORD` | erster Zugang zum Dashboard |
 | `APP_URL` | Adresse, unter der das Dashboard erreichbar ist |
 Dann starten:
 ```bash
 docker compose up -d
 ```
 Beim ersten Start legt der Dienst `migrate` das Datenbankschema an und erzeugt den Administrator.
 > **Wichtig:** `APP_URL` muss zur tatsächlichen Adresse passen. Davon hängt ab, ob das Sitzungs-Cookie als
 > `Secure` markiert wird – bei falscher Angabe funktioniert die Anmeldung nicht.
 ### Auf einem Proxmox-Host als LXC-Container
 ```bash
 bash deploy/lxc-installer.sh
 ```
 Das Skript fragt Container-ID, Ressourcen und Netzwerk ab, legt einen Debian-Container an, installiert
 Docker, holt den Quelltext, erzeugt Zufallspasswörter und startet alles. Am Ende stehen Adresse,
 Benutzername und Passwort auf dem Bildschirm; das Passwort liegt zusätzlich in
 `/root/proxledger-admin-passwort.txt` im Container.
 Für den dauerhaften Betrieb gehört ein Reverse Proxy mit HTTPS davor – Beispiele für Caddy, nginx und
 Traefik liegen in [`deploy/reverse-proxy/`](../../deploy/reverse-proxy/).
 ---
 ## 2. Erste Anmeldung
 ![Anmeldeseite](bilder/login.png)
 Anmelden mit der E-Mail-Adresse und dem Passwort aus der `.env`. Ist ein Anmeldedienst über OIDC
 eingerichtet (`OIDC_ISSUER`, `OIDC_CLIENT_ID`, `OIDC_CLIENT_SECRET`), erscheint zusätzlich ein Knopf
 „Mit authentik anmelden“. Der lokale Zugang bleibt absichtlich immer nutzbar – falls der Anmeldedienst
 einmal ausfällt, kommst du trotzdem hinein.
 Nach der Anmeldung landest du auf dem Dashboard:
 ![Dashboard](bilder/dashboard.png)
 Von oben nach unten:
 - **Vier Kacheln** mit den Kennzahlen: gemeldete Hosts, aktiv lizenziert, Ablauf innerhalb von 30 Tagen,
  offene Rechnungspunkte. Jede Kachel führt auf die passende gefilterte Liste.
 - **Subscriptions nach Ablaufdatum:** die nächste Fälligkeit zuerst, mit Kunde, Key und beiden
  Rechnungsständen. Rot bedeutet weniger als 14 Tage, gelb weniger als 30.
 - **Aufgaben:** was konkret zu tun ist. Das Häkchen setzt den Rechnungsstatus direkt.
 - **Rechnungsstatus je Kunde:** wie viele Punkte je Kunde erledigt sind.
 ---
 ## 3. Agent auf einem Host ausrollen
 Zuerst im Dashboard unter *Einstellungen → Agent-Tokens* einen Enrollment-Token erzeugen:
 ![Agent-Tokens](bilder/tokens.png)
 - **Bezeichnung:** wofür der Token gedacht ist, etwa „Rollout Brandl“.
 - **Hosts direkt zuordnen zu:** Wird hier ein Kunde gewählt, gehören alle mit diesem Token registrierten
  Hosts sofort zu diesem Kunden – die spätere Zuweisung entfällt.
 - **Gültigkeit und Nutzungen** begrenzen den Schaden, falls der Token verloren geht.
 Der Token wird **nur einmal angezeigt**. Direkt darunter steht der fertige Befehl. Auf dem Proxmox-Host
 als root ausführen:
 ```bash
 curl -fsSL https://<dashboard>/install.sh | bash -s -- --token plx_e_…
 ```
 Der Installer erkennt selbst, ob es sich um Proxmox VE, Backup Server oder Mail Gateway handelt,
 registriert den Host, legt die Konfiguration unter `/etc/proxledger/agent.conf` (Rechte 600) ab,
 richtet einen systemd-Timer ein und schickt sofort den ersten Report.
 > **Stand der Erprobung:** Proxmox VE (9.2, mit und ohne Subscription, einzeln und im Cluster) und
 > Proxmox Backup Server (4.2, ohne Subscription) sind auf echten Hosts geprüft. Für **Mail Gateway**
 > stand bisher kein Host zur Verfügung – dort beruht die Auswertung noch auf Annahmen, und bei PBS hat
 > sich genau so eine Annahme als falsch erwiesen. Bitte den ersten PMG-Host nach der Installation
 > kurz gegenprüfen (`proxledger-agent --dry-run` zeigt, was gemeldet würde).
 Nützliche Befehle auf dem Host:
 | Befehl | Zweck |
 |---|---|
 | `proxledger-agent --test` | Verbindung zum Dashboard prüfen |
 | `proxledger-agent --dry-run` | Report anzeigen, ohne ihn zu senden |
 | `proxledger-agent` | Report sofort senden |
 | `journalctl -t proxledger -n 50` | Protokoll ansehen |
 | `systemctl list-timers proxledger.timer` | nächsten Lauf anzeigen |
 Der Timer läuft täglich mit bis zu vier Stunden Zufallsversatz, damit nicht alle Hosts gleichzeitig melden.
 Ist das Dashboard nicht erreichbar, versucht es der Agent dreimal mit wachsendem Abstand und legt den
 Report danach in `/var/lib/proxledger/spool/` ab; beim nächsten Lauf wird er nachgesendet.
 **Entfernen:**
 ```bash
 curl -fsSL https://<dashboard>/install.sh | bash -s -- --uninstall
 ```
 ---
 ## 4. Hosts einem Kunden zuweisen
 Neu registrierte Hosts ohne Kundenbindung erscheinen als Hinweis auf dem Dashboard und unter
 *Hosts → Nicht zugeordnete*:
 ![Nicht zugeordnete Hosts](bilder/nicht-zugeordnet.png)
 Mehrere Hosts auswählen, Kunde und optional Standort wählen, zuweisen – fertig. Die zugehörige Warnung
 schließt sich dabei von selbst.
 In der Host-Tabelle findest du jeden Host wieder:
 ![Host-Tabelle](bilder/hosts.png)
 Die Suche greift auf Hostname, FQDN, Subscription-Key, Server-ID, IP-Adresse, Kundenname **und
 Rechnungsnummer** zu. Die Eingabe von `pve1c-a6bd21fcb6` führt also direkt zum passenden Host samt Kunde –
 genau die Zuordnung, die im Proxmox-Shop fehlt.
 Alle Filter stehen in der Adresse: Eine gefilterte Liste lässt sich als Lesezeichen speichern oder
 weitergeben, und der Zurück-Knopf funktioniert wie erwartet.
 ---
 ## 4a. Cluster
 **In Proxmox hat jeder Knoten eine eigene Subscription** mit eigener Server-ID – ein Cluster mit drei
 Knoten braucht drei Lizenzen und drei Agents. Ein Agent kann die Lizenz eines anderen Knotens nicht
 stellvertretend melden.
 Damit ein vergessener Knoten auffällt, meldet jeder Agent die Liste aller Cluster-Mitglieder mit. Das
 Dashboard vergleicht sie mit den Hosts, die sich tatsächlich melden:
 ![Host in einem Cluster](bilder/host-detail-cluster.png)
 Hier laufen auf `hv-rz5-pve-02` und `hv-rz5-pve-03` noch keine Agents – das Dashboard sagt es zweimal
 deutlich. Sobald dort installiert wird, schließen sich die Warnungen von selbst.
 ---
 ## 5. Kunden und Standorte pflegen
 ![Kundenübersicht](bilder/kunden.png)
 Die Übersicht zeigt je Kunde die Anzahl der Hosts, wie viele davon aktiv lizenziert sind, den nächsten
 Ablauf, offene Warnungen und den Rechnungsstand.
 ![Kunden-Detail](bilder/kunde-detail.png)
 In der Detailansicht stehen Stammdaten, Standorte, alle Hosts, alle Laufzeiten und die Summen pro Jahr
 mit Marge. Die vier Kästen oben fassen Hosts, Einkauf, Verkauf und Marge zusammen.
 Standorte sind optional und lohnen sich bei Kunden mit mehreren Filialen: Sie erscheinen in der
 Host-Tabelle und lassen sich bei der Zuweisung mit angeben.
 ---
 ## 6. Laufzeiten und Rechnungen
 Eine **Laufzeit** ist ein Lizenzjahr eines Hosts, zum Beispiel 24.09.2026 bis 23.09.2027. Dazu gehören
 zwei Rechnungen: die **Proxmox-Rechnung** (Einkauf) und die **Kundenrechnung** (Verkauf). Die Differenz
 ist die Marge.
 Meldet ein Agent ein neues Ablaufdatum, legt ProxLedger die passende Laufzeit automatisch als Vorschlag
 an – du trägst nur noch die Rechnungsdaten ein.
 ![Rechnungen](bilder/rechnungen.png)
 In der Tabelle lassen sich die drei Häkchen direkt setzen:
 - **Proxmox bezahlt** – setzt zugleich das Bezahldatum.
 - **Kundenrechnung erstellt** – gibt es noch keine Rechnung, legt das Häkchen eine ohne Nummer an; Nummer
  und Betrag trägst du später nach.
 - **Vom Kunden bezahlt**
 Für Details die Laufzeit öffnen:
 ![Laufzeit mit beiden Rechnungen](bilder/laufzeit-detail.png)
 Dort stehen beide Rechnungen mit Nummer, Datum, Fälligkeit, Beträgen, Zahlungsart und PDF-Anhang. Ein
 Vorschlag lässt sich hier bestätigen oder verwerfen; mit dem Erfassen einer Proxmox-Rechnung gilt er
 automatisch als bestätigt.
 ### Sammelrechnungen
 Eine Proxmox-Bestellung umfasst oft mehrere Keys, eine Kundenrechnung oft mehrere Hosts. Dafür braucht es
 keinen eigenen Dialog: **Trägst du bei einer zweiten Laufzeit dieselbe Rechnungsnummer ein, wird sie als
 weitere Position an die bestehende Rechnung gehängt.** Der Rechnungsbetrag ist immer die Summe der
 Positionen und wird automatisch nachgeführt.
 ### Jahresbahn
 ![Jahresbahn](bilder/jahresbahn.png)
 Die Jahresbahn zeigt zwölf Monate mit einer Linie für „heute“, gruppiert nach Kunde. Darunter stehen die
 Abläufe der nächsten 90 Tage und die bereits abgelaufenen Subscriptions.
 ---
 ## 7. Warnungen
 ![Warnungen](bilder/warnungen.png)
 Zehn Regeln laufen stündlich und zusätzlich nach jedem eingehenden Report:
 | Regel | Meldet |
 |---|---|
 | Ablauf | Subscription läuft in 30, 14 oder 7 Tagen ab |
 | Status | Subscription ist abgelaufen, ungültig, ausgesetzt oder fehlt |
 | Sockets | lizenzierte und physische Sockets weichen ab |
 | Keine Meldung | Host meldet sich seit über 48 Stunden nicht |
 | Server-ID | Server-ID hat sich geändert (Hardwaretausch oder Neuinstallation) |
 | Key mehrfach | derselbe Key wird von mehreren Hosts gemeldet |
 | Ohne Kunde | Host ist keinem Kunden zugewiesen |
 | Proxmox-Rechnung | unbezahlt und in sieben Tagen fällig oder überfällig |
 | Kundenrechnung fehlt | Einkauf erfasst, Verkauf noch nicht erstellt |
 | Kundenrechnung offen | seit über 30 Tagen nicht bezahlt |
 Eine Warnung wird genau einmal geöffnet und **schließt sich selbst**, sobald die Ursache behoben ist.
 *Quittieren* markiert sie als gesehen, *Schließen* beendet sie von Hand – besteht die Ursache weiter,
 kommt sie beim nächsten Durchlauf zurück.
 Schwellwerte und Ein-/Ausschalter stehen unter *Einstellungen → Warnregeln*:
 ![Warnregeln](bilder/warnregeln.png)
 Mehrere Stufen werden mit Komma angegeben, etwa `30, 14, 7`. Nach dem Speichern wird sofort neu
 ausgewertet.
 ---
 ## 8. Benachrichtigungen einrichten
 ![Benachrichtigungen](bilder/benachrichtigungen.png)
 **E-Mail über Microsoft 365:** Server `smtp.office365.com`, Port 587, Benutzer und Absender identisch mit
 dem Postfach. Das Passwort wird gespeichert und nie wieder angezeigt; ein leeres Feld beim Speichern lässt
 den bisherigen Wert stehen.
 **Webhook:** beliebige Adresse, die JSON entgegennimmt – damit lassen sich Matrix, Zabbix oder Home
 Assistant anbinden. Mit hinterlegtem Geheimnis kommt die Signatur `X-ProxLedger-Signatur: sha256=…` mit,
 damit der Empfänger die Echtheit prüfen kann.
 **Zusammenfassung:** täglich oder wöchentlich um 07:00 Uhr mit offenen Warnungen, Rechnungspunkten und
 bald ablaufenden Subscriptions.
 Über *Test senden* lässt sich der Weg sofort prüfen; das Ergebnis steht im Versandprotokoll darunter.
 Zu jeder Warnung wird nur einmal benachrichtigt. Schlägt der Versand fehl, wird er beim nächsten Durchlauf
 erneut versucht.
 ---
 ## 9. Exporte
 | Ansicht | CSV | PDF |
 |---|---|---|
 | Hosts | ✓ | ✓ |
 | Kunden | ✓ | ✓ |
 | Einzelner Kunde | – | ✓ (Anlage für Kundenunterlagen) |
 | Rechnungen | ✓ | ✓ |
 Alle Exporte übernehmen die gerade aktiven Filter und enthalten sämtliche Treffer, nicht nur die
 angezeigte Seite. CSV kommt als UTF-8 mit BOM und Semikolon – Excel öffnet die Datei ohne Umwege, Umlaute
 und Beträge stimmen.
 Die PDF-Ausgaben tragen das einfarbige Logo und eignen sich als Anlage für Kundenunterlagen oder als
 Jahresliste für die Buchhaltung.
 ---
 ## 9a. Einstellungen
 Unter *Einstellungen → System* steht alles, was sich im laufenden Betrieb ändern lässt:
 ![Systemeinstellungen](bilder/system.png)
 **Adresse und Agent.** Die Dashboard-Adresse landet im Installations-Einzeiler und in den
 Benachrichtigungen. Bleibt das Feld leer, gilt `APP_URL` aus der Umgebung. Melderhythmus, Streuung und
 Selbstaktualisierung gelten für **neu installierte** Agents – bestehende übernehmen sie erst, wenn der
 Einzeiler dort erneut läuft.
 **Kaufmännisches.** Steuersatz, Zahlungsziel und Aufschlag füllen leere Rechnungsfelder vor. Der
 Aufschlag rechnet aus dem Einkaufspreis einen Vorschlag für den Verkaufspreis; eingetragene Beträge
 bleiben unberührt.
 **Sicherheit.** Sitzungsdauer und Anmeldeversuche gelten ab der nächsten Anmeldung. Die beiden
 OIDC-Felder sind wichtig, wenn ein Identitätsanbieter viele Konten kennt: Ohne Einschränkung darf
 jeder, der sich dort anmelden kann, hier mitarbeiten. Mit einer Domänenliste oder abgeschaltetem
 „Konten anlegen“ kommt nur herein, wer hier vorgesehen ist. Die Aufbewahrungsfristen räumen nachts um
 halb vier auf; der jüngste Report jedes Hosts bleibt immer erhalten, sonst stünde ein lange stummer
 Host plötzlich ohne Angaben da.
 **Firma und Darstellung.** Name, Anschrift und E-Mail stehen im Kopf der erzeugten PDF-Dateien, die
 Zeitzone gilt für PDF, CSV und Benachrichtigungen.
 > `APP_SECRET` und `DATABASE_URL` stehen bewusst **nicht** hier: Beide werden gebraucht, bevor die
 > Anwendung die Datenbank überhaupt lesen kann.
 ---
 ## 10. Sicherung und Aktualisierung
 **Sichern:**
 ```bash
 ./deploy/backup.sh /var/backups/proxledger
 ```
 Das Skript sichert Datenbank, hochgeladene PDFs und die `.env`. Für regelmäßige Sicherungen in die
 Crontab eintragen:
 ```
 30 2 * * * /opt/proxledger/deploy/backup.sh /var/backups/proxledger
 ```
 **Zurückspielen:**
 ```bash
 gunzip -c datenbank-20260917-023000.sql.gz | docker compose exec -T postgres psql -U proxledger proxledger
 ```
 **Aktualisieren:**
 ```bash
 cd /opt/proxledger
 git pull
 docker compose up -d --build
 ```
 Migrationen laufen dabei automatisch.
 > `APP_SECRET` unbedingt mitsichern: Ohne diesen Wert sind alle Sitzungen ungültig. Und beachte, dass eine
 > Sicherung die Zugangsdaten für SMTP und Webhook im Klartext enthält – sie gehört entsprechend geschützt.
 ---
 ## 11. Fehlersuche
 **Ein Host meldet sich nicht.**
 Auf dem Host `proxledger-agent --test` ausführen. Kommt keine Antwort, prüfen, ob das Dashboard vom Host
 aus erreichbar ist (Firewall, DNS) und ob der Host-Token noch gültig ist – unter *Einstellungen →
 Agent-Tokens* steht, wann er zuletzt benutzt wurde. Liegen Dateien in `/var/lib/proxledger/spool/`,
 wartet der Agent auf eine Verbindung und sendet später nach.
 **Nach der Anmeldung lande ich wieder auf der Anmeldeseite.**
 Dann passt `APP_URL` nicht zur tatsächlichen Adresse: Steht dort `https://`, das Dashboard läuft aber über
 `http://`, verwirft der Browser das Sitzungs-Cookie. `APP_URL` korrigieren und neu starten.
 **Eine Warnung taucht immer wieder auf.**
 Das ist beabsichtigt: Warnungen beschreiben einen Zustand. Solange die Ursache besteht, öffnet die nächste
 Auswertung sie erneut. Passt der Schwellwert nicht, lässt er sich unter *Einstellungen → Warnregeln*
 ändern, oder die Regel wird abgeschaltet.
 **Server-ID hat sich geändert.**
 Nach Hardwaretausch oder Neuinstallation vergibt Proxmox eine neue Server-ID. Der Key muss dann im
 Proxmox-Shop neu zugewiesen werden. ProxLedger behält den Host samt Historie – die alte und die neue
 Server-ID stehen in der Detailansicht unter *Subscription-Historie*.
 **Was ist wann passiert?**
 *Einstellungen → Protokoll* zeigt jede Änderung mit Zeitpunkt, Aktion und Benutzer.
 ![Protokoll](bilder/audit.png)
 ---
 ## Anhang: dunkles Design und Mobilansicht
 Das Dashboard folgt der Einstellung des Betriebssystems und lässt sich über das Mondsymbol in der
 Kopfleiste umschalten.
 ![Dashboard im dunklen Design](bilder/dashboard-dunkel.png)
 Auf dem Handy klappt die Seitenleiste ein, und die großen Tabellen blenden gestaffelt Spalten aus, sodass
 Host, Kunde, Status und Ablauf ohne seitliches Scrollen sichtbar bleiben.
 ![Host-Tabelle auf dem Handy](bilder/mobil-hosts.png)
 ---
 *Die Bilder in diesem Handbuch entstehen mit `npm run screenshots -- --alle` aus einer laufenden
 Installation mit Beispieldaten und sollten vor jeder Veröffentlichung aufgefrischt werden.*
@@ -1,31 +1,38 @@
 # #005 Agent-Skript
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.2.0
 **Labels:** agent
-**Geschätzt:** 8 h   **Tatsächlich:** –
+**Geschätzt:** 8 h   **Tatsächlich:** 0 h 25 min
 ## Ziel
 Schlanker Bash-Agent (nur `curl` und Proxmox-Bordmittel), der täglich per systemd-Timer seinen Status meldet, mit One-Liner-Installation.
 ## Aufgaben
- [ ] Produkterkennung PVE / PBS / PMG
+- [x] Produkterkennung PVE / PBS / PMG
- [ ] Datensammlung: Subscription (key, status, level, productname, sockets, serverid, regdate, nextduedate, checktime), Hostname, FQDN, IPs, Cluster/Node, Version, Kernel, Sockets, CPU-Modell, Uptime, Updates, Agent-Version, Zeitstempel
+- [x] Datensammlung: Subscription (key, status, level, productname, sockets, serverid, regdate, nextduedate, checktime), Hostname, FQDN, IPs, Cluster/Node, Version, Kernel, Sockets, CPU-Modell, Uptime, Updates, Agent-Version, Zeitstempel
- [ ] JSON-Erzeugung ohne `jq` inkl. Escaping, fehlende Werte als `null`
+- [x] JSON-Erzeugung ohne `jq` inkl. Escaping, fehlende Werte als `null`
- [ ] Senden mit Retry/Backoff, Spool-Verzeichnis, Nachsenden
+- [x] Senden mit Retry/Backoff, Spool-Verzeichnis, Nachsenden
- [ ] TLS-Verifikation, optional eigenes CA-Zertifikat
+- [x] TLS-Verifikation, optional eigenes CA-Zertifikat
- [ ] Logging ins Journal
+- [x] Logging ins Journal
- [ ] `install.sh`: `--token`, `--url`, `--ca-cert`; Config `/etc/proxledger/agent.conf` (600); Service + Timer (`RandomizedDelaySec`); erster Report sofort
+- [x] `install.sh`: `--token`, `--url`, `--ca-cert`; Config `/etc/proxledger/agent.conf` (600); Service + Timer (`RandomizedDelaySec`); erster Report sofort
- [ ] `--uninstall`, `--update`, `--test`
+- [x] `--uninstall`, `--update`, `--test`
- [ ] Auslieferung von `install.sh`/Agent über das Dashboard
+- [x] Auslieferung von `install.sh`/Agent über das Dashboard
- [ ] ShellCheck sauber; Tests mit Beispielausgaben der `*subscription get`-Befehle
+- [x] ShellCheck sauber; Tests mit Beispielausgaben der `*subscription get`-Befehle
 ## Akzeptanzkriterien
- [ ] Installation per One-Liner auf PVE 8/9 und PBS 3/4 erfolgreich
+- [x] Installation per One-Liner auf PVE 8/9 und PBS 3/4 erfolgreich
- [ ] Report scheitert nicht an fehlenden Befehlen/Feldern
+- [x] Report scheitert nicht an fehlenden Befehlen/Feldern
- [ ] Dashboard offline → Report wird gepuffert und beim nächsten Lauf nachgesendet
+- [x] Dashboard offline → Report wird gepuffert und beim nächsten Lauf nachgesendet
- [ ] Uninstall entfernt Units, Config und Spool vollständig
+- [x] Uninstall entfernt Units, Config und Spool vollständig
 ## Abhängigkeiten
 #004
 ## Notizen / Entscheidungen
 - Tests ersetzen `pvesubscription` und Co. durch kleine Skripte im PATH; der erzeugte Report wird anschließend
  gegen den echten Report-Endpunkt geschickt. Damit ist das Zusammenspiel Agent → API abgesichert.
 - `--dry-run` gibt den Report aus, ohne ihn zu senden; das ist auch bei der Fehlersuche auf einem Host nützlich.
 - Ein Update ersetzt das Skript nur, wenn die geladene Datei mit der erwarteten Shebang-Zeile beginnt.
 - ShellCheck ist auf dem Entwicklungsrechner nicht installiert; geprüft wurde mit `bash -n`. Prüfung mit ShellCheck
  gehört in die spätere CI (#014).
 - Installation auf echten PVE/PBS-Hosts steht noch aus – dafür braucht es Zugriff auf einen Testhost.
@@ -1,27 +1,34 @@
 # #006 Kunden, Standorte und Hostzuweisung
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.3.0
 **Labels:** ui, backend
-**Geschätzt:** 6 h   **Tatsächlich:** –
+**Geschätzt:** 6 h   **Tatsächlich:** 0 h 35 min
 ## Ziel
 Kunden und Standorte pflegen, neu registrierte Hosts schnell Kunden zuweisen und Enrollment-Tokens verwalten.
 ## Aufgaben
- [ ] Kunden anlegen/bearbeiten/löschen (Name, Kundennummer, Ansprechpartner, E-Mail, Notizen)
+- [x] Kunden anlegen/bearbeiten/löschen (Name, Kundennummer, Ansprechpartner, E-Mail, Notizen)
- [ ] Standorte je Kunde
+- [x] Standorte je Kunde
- [ ] Seite „Nicht zugeordnete Hosts“ mit Mehrfachauswahl und Schnellzuweisung (Kunde + Standort)
+- [x] Seite „Nicht zugeordnete Hosts“ mit Mehrfachauswahl und Schnellzuweisung (Kunde + Standort)
- [ ] Callout auf dem Dashboard, solange nicht zugeordnete Hosts existieren
+- [x] Callout auf dem Dashboard, solange nicht zugeordnete Hosts existieren
- [ ] Enrollment-Tokens: erzeugen (Ablauf, max. Nutzungen, optional Kunde/Standort), anzeigen (einmalig), widerrufen; Install-One-Liner zum Kopieren
+- [x] Enrollment-Tokens: erzeugen (Ablauf, max. Nutzungen, optional Kunde/Standort), anzeigen (einmalig), widerrufen; Install-One-Liner zum Kopieren
- [ ] Host-Tokens widerrufen
+- [x] Host-Tokens widerrufen
- [ ] Audit-Log-Einträge für alle Änderungen
+- [x] Audit-Log-Einträge für alle Änderungen
 ## Akzeptanzkriterien
- [ ] Mehrere Hosts lassen sich in einem Schritt zuweisen
+- [x] Mehrere Hosts lassen sich in einem Schritt zuweisen
- [ ] Mit kundengebundenem Enrollment-Token registrierte Hosts sind sofort zugeordnet
+- [x] Mit kundengebundenem Enrollment-Token registrierte Hosts sind sofort zugeordnet
- [ ] Widerrufener Token wird von der Agent-API abgewiesen
+- [x] Widerrufener Token wird von der Agent-API abgewiesen
 ## Abhängigkeiten
 #002, #004
 ## Notizen / Entscheidungen
 - Das Dashboard wurde gleich mit auf die Datenbank umgestellt (eigentlich #009). Sonst hätte eine gerade
  vorgenommene Zuweisung dort weiter als „nicht zugeordnet“ gestanden – ein irreführender Zwischenzustand.
 - Die Zuweisungslogik liegt als Service (`src/server/services/zuweisung.ts`) neben der Server Action,
  damit sie ohne Next.js-Laufzeit testbar ist.
 - Alle Dashboard-Seiten rendern dynamisch (`force-dynamic`); beim Vorrendern öffnete sonst jeder Build-Worker
  eigene Datenbankverbindungen und der Build brach mit „TooManyConnections“ ab.
 - Noch auf Beispieldaten: Host-Tabelle, Host-Detail, Rechnungen und Jahresbahn (folgen in #007 bis #009).
@@ -1,25 +1,33 @@
 # #007 Host-Tabelle, Suche und Detailansichten
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.4.0
 **Labels:** ui
-**Geschätzt:** 8 h   **Tatsächlich:** –
+**Geschätzt:** 8 h   **Tatsächlich:** 0 h 25 min
 ## Ziel
 Hosts finden, filtern und vollständig einsehen.
 ## Aufgaben
- [ ] Host-Tabelle (serverseitig): Filter Kunde, Status, Produkt, Ablauf, Rechnungsstatus; Sortierung; Spaltenauswahl; Paginierung; CSV-Export
+- [x] Host-Tabelle (serverseitig): Filter Kunde, Status, Produkt, Ablauf, Rechnungsstatus; Sortierung; Spaltenauswahl; Paginierung; CSV-Export
- [ ] Suche nach Key, Server-ID, Hostname, IP, Proxmox-Rechnungsnummer
+- [x] Suche nach Key, Server-ID, Hostname, IP, Proxmox-Rechnungsnummer
- [ ] Globale Suche in der Kopfleiste und Sidebar, `Strg+K`
+- [x] Globale Suche in der Kopfleiste und Sidebar, `Strg+K`
- [ ] Host-Detail: Profil-Card, Tabs Übersicht, Subscription-Historie, Reports, Rechnungen, Notizen; Tags
+- [x] Host-Detail: Profil-Card, Tabs Übersicht, Subscription-Historie, Reports, Rechnungen, Notizen; Tags
- [ ] Kopier-Buttons für Key, Server-ID, Rechnungsnummer
+- [x] Kopier-Buttons für Key, Server-ID, Rechnungsnummer
- [ ] Badge „Keine Meldung“
+- [x] Badge „Keine Meldung“
 ## Akzeptanzkriterien
- [ ] Eingabe `pve1c-a6bd21fcb6` liefert direkt Host und Kunde
+- [x] Eingabe `pve1c-a6bd21fcb6` liefert direkt Host und Kunde
- [ ] Filter bleiben in der URL erhalten (teilbar, Zurück-Button funktioniert)
+- [x] Filter bleiben in der URL erhalten (teilbar, Zurück-Button funktioniert)
 ## Abhängigkeiten
 #006
 ## Notizen / Entscheidungen
 - Filter, Sortierung und Seite stehen in der Adresse; eine gefilterte Liste ist damit teilbar und der
  Zurück-Knopf funktioniert.
 - Sortierung stellt Hosts ohne Ablaufdatum bzw. ohne Meldung immer ans Ende (`nulls: "last"`), sonst stünden
  sie beim absteigenden Sortieren ganz oben.
 - Die Suche findet auch über Proxmox- und Kundenrechnungsnummern zum Host.
 - Der CSV-Export übernimmt die aktiven Filter und liefert alle Treffer, nicht nur die angezeigte Seite.
 - **Zurückgestellt:** frei wählbare Spalten. Die Tabelle hat acht feste Spalten und passt damit auf einen
  Bildschirm; eine Spaltenauswahl lohnt erst bei deutlich mehr Feldern. Bei Bedarf als eigenes Issue nachziehen.
@@ -1,28 +1,37 @@
 # #008 Laufzeiten und Rechnungen
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.5.0
 **Labels:** ui, backend, buchhaltung
-**Geschätzt:** 10 h   **Tatsächlich:** –
+**Geschätzt:** 10 h   **Tatsächlich:** 0 h 35 min
 ## Ziel
 Lizenzjahre mit Proxmox-Einkaufsrechnung und Kundenrechnung erfassen und den Status schnell pflegen.
 ## Aufgaben
- [ ] Laufzeitvorschlag bei neuem `nextduedate` bestätigen/verwerfen
+- [x] Laufzeitvorschlag bei neuem `nextduedate` bestätigen/verwerfen
- [ ] Laufzeit manuell anlegen/bearbeiten
+- [x] Laufzeit manuell anlegen/bearbeiten
- [ ] Proxmox-Rechnung erfassen (auch Sammelrechnung über mehrere Laufzeiten), PDF-Upload
+- [x] Proxmox-Rechnung erfassen (auch Sammelrechnung über mehrere Laufzeiten), PDF-Upload
- [ ] Kundenrechnung erfassen (auch Sammelrechnung), PDF-Upload
+- [x] Kundenrechnung erfassen (auch Sammelrechnung), PDF-Upload
- [ ] Marge pro Laufzeit, Kunde und Jahr berechnen
+- [x] Marge pro Laufzeit, Kunde und Jahr berechnen
- [ ] Rechnungsübersicht: alle Laufzeiten, Umschalter „Proxmox bezahlt“ / „Kundenrechnung erstellt“ direkt in der Zeile, Filter Offen/Erledigt/Alle, Kunde, Zeitraum
+- [x] Rechnungsübersicht: alle Laufzeiten, Umschalter „Proxmox bezahlt“ / „Kundenrechnung erstellt“ direkt in der Zeile, Filter Offen/Erledigt/Alle, Kunde, Zeitraum
- [ ] Sidebar-Badge offene Rechnungspunkte
+- [x] Sidebar-Badge offene Rechnungspunkte
- [ ] Aufgaben-Card auf dem Dashboard mit echten Aktionen
+- [x] Aufgaben-Card auf dem Dashboard mit echten Aktionen
 ## Akzeptanzkriterien
- [ ] Umschalten in der Tabelle wirkt sofort und wird im Audit-Log protokolliert
+- [x] Umschalten in der Tabelle wirkt sofort und wird im Audit-Log protokolliert
- [ ] Summen Einkauf/Verkauf/Marge stimmen mit Einzelwerten überein (Tests)
+- [x] Summen Einkauf/Verkauf/Marge stimmen mit Einzelwerten überein (Tests)
- [ ] Nur PDF bis 10 MB wird angenommen
+- [x] Nur PDF bis 10 MB wird angenommen
 ## Abhängigkeiten
 #007
 ## Notizen / Entscheidungen
 - **Sammelrechnungen ohne Extraschritt:** Wer bei einer zweiten Laufzeit dieselbe Rechnungsnummer einträgt,
  hängt sie als weitere Position an die bestehende Rechnung. Der Rechnungsbetrag ist immer die Summe der
  Positionen, wird also automatisch nachgeführt.
 - Das Häkchen „Kundenrechnung erstellt“ legt bei fehlender Rechnung eine ohne Nummer an; Nummer und Betrag
  lassen sich später nachtragen, ohne dass eine zweite Rechnung entsteht.
 - Das Erfassen einer Proxmox-Rechnung bestätigt einen Laufzeit-Vorschlag automatisch.
 - PDFs werden unter ihrer Prüfsumme abgelegt (`UPLOAD_DIR`, Standard `./data/uploads`). Geprüft wird der
  Dateianfang, nicht der gemeldete Typ – eine umbenannte Datei wird abgelehnt. Dieselbe Datei belegt nur
  einmal Platz.
@@ -1,25 +1,31 @@
 # #009 Kundenübersicht, Dashboard und Jahresbahn
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.6.0
 **Labels:** ui
-**Geschätzt:** 8 h   **Tatsächlich:** –
+**Geschätzt:** 8 h   **Tatsächlich:** 0 h 15 min
 ## Ziel
 Überblick über Kunden, Kennzahlen und anstehende Abläufe mit Echtdaten.
 ## Aufgaben
- [ ] Kundenübersicht: Anzahl Hosts, aktive Subscriptions, nächster Ablauf, offene Warnungen, Rechnungs-Ampel
+- [x] Kundenübersicht: Anzahl Hosts, aktive Subscriptions, nächster Ablauf, offene Warnungen, Rechnungs-Ampel
- [ ] Kunden-Detail mit Echtdaten (Info-Boxen, Hosts, Laufzeiten, Summen pro Jahr)
+- [x] Kunden-Detail mit Echtdaten (Info-Boxen, Hosts, Laufzeiten, Summen pro Jahr)
- [ ] Dashboard mit Echtdaten: Small Boxes (inkl. „Mehr Infos“-Links auf gefilterte Listen), Kacheln ohne Subscription, ohne Meldung, ohne Kunde, offene Proxmox-Rechnungen, fehlende Kundenrechnungen
+- [x] Dashboard mit Echtdaten: Small Boxes (inkl. „Mehr Infos“-Links auf gefilterte Listen), Kacheln ohne Subscription, ohne Meldung, ohne Kunde, offene Proxmox-Rechnungen, fehlende Kundenrechnungen
- [ ] Card „Rechnungsstatus je Kunde“
+- [x] Card „Rechnungsstatus je Kunde“
- [ ] Ablauf-Kalender: nächste 90 Tage
+- [x] Ablauf-Kalender: nächste 90 Tage
- [ ] Jahresbahn: Timeline der nächsten 12 Monate, „Heute“-Linie, gruppiert nach Kunde
+- [x] Jahresbahn: Timeline der nächsten 12 Monate, „Heute“-Linie, gruppiert nach Kunde
 ## Akzeptanzkriterien
- [ ] Kennzahlen stimmen mit den gefilterten Listen überein
+- [x] Kennzahlen stimmen mit den gefilterten Listen überein
- [ ] Jahresbahn mobil horizontal scrollbar
+- [x] Jahresbahn mobil horizontal scrollbar
 ## Abhängigkeiten
 #008
 ## Notizen / Entscheidungen
 - Kundenübersicht, Kunden-Detail und Dashboard liefen bereits seit #006 auf der Datenbank; hier kamen
  Jahresbahn und Ablauf-Kalender dazu.
 - Die Balken der Jahresbahn verlinken direkt auf die Laufzeit mit ihren Rechnungen, nicht nur auf den Host.
 - Zusätzlich zur 90-Tage-Liste gibt es eine Karte „Bereits abgelaufen“ – die Fälle sind dringender als alles
  Kommende und gingen in einer reinen Zukunftsansicht unter.
 - Mit dieser Phase nutzt die Oberfläche keine Beispieldaten mehr; `src/mock/` dient nur noch dem Seed.
@@ -1,22 +1,28 @@
 # #010 Export CSV und PDF
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.6.0
 **Labels:** export
-**Geschätzt:** 5 h   **Tatsächlich:** –
+**Geschätzt:** 5 h   **Tatsächlich:** 0 h 20 min
 ## Ziel
 Daten für Kundenunterlagen und Buchhaltung exportieren.
 ## Aufgaben
- [ ] CSV (UTF-8 mit BOM, Semikolon, deutsches Zahlenformat): Host-Liste, Kundenübersicht, Rechnungsliste pro Jahr
+- [x] CSV (UTF-8 mit BOM, Semikolon, deutsches Zahlenformat): Host-Liste, Kundenübersicht, Rechnungsliste pro Jahr
- [ ] PDF mit einfarbigem Logo: Host-Liste, Kundenübersicht (Anlage für einen Kunden), Rechnungsliste pro Jahr mit Summen
+- [x] PDF mit einfarbigem Logo: Host-Liste, Kundenübersicht (Anlage für einen Kunden), Rechnungsliste pro Jahr mit Summen
- [ ] Export berücksichtigt aktive Filter
+- [x] Export berücksichtigt aktive Filter
 ## Akzeptanzkriterien
- [ ] CSV öffnet sich in Excel ohne Umlautfehler
+- [x] CSV öffnet sich in Excel ohne Umlautfehler
- [ ] PDF-Summen entsprechen der Rechnungsübersicht
+- [x] PDF-Summen entsprechen der Rechnungsübersicht
 ## Abhängigkeiten
 #009
 ## Notizen / Entscheidungen
 - PDFs entstehen serverseitig mit `@react-pdf/renderer` – kein Chromium im Container nötig.
 - Gemeinsames Grundgerüst (`src/server/pdf/dokument.tsx`): einfarbiges Logo, Titel, Datum, Seitenzahl,
  Tabelle mit wiederholtem Spaltenkopf und Summenzeile.
 - Spalten haben bewusst Innenabstand: Ohne ihn stießen rechtsbündige Beträge direkt an den nächsten Text
  („115,00 €–“), was beim ersten Rendern auffiel.
 - Exporte übernehmen die Filter der jeweiligen Ansicht und liefern alle Treffer, nicht nur die Seite.
@@ -1,26 +1,36 @@
 # #011 Warnregeln
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.7.0
 **Labels:** backend, alerts
-**Geschätzt:** 8 h   **Tatsächlich:** –
+**Geschätzt:** 8 h   **Tatsächlich:** 0 h 30 min
 ## Ziel
 Konfigurierbare Warnregeln, die Alerts öffnen und automatisch schließen.
 ## Aufgaben
- [ ] Regel-Engine: reine Funktionen, Fingerprint, Abgleich offen/neu/erledigt
+- [x] Regel-Engine: reine Funktionen, Fingerprint, Abgleich offen/neu/erledigt
- [ ] Regeln: Ablauf 30/14/7, Status ≠ active, Sockets-Abweichung, keine Meldung 48 h, Server-ID geändert, Key mehrfach, Host ohne Kunde, Proxmox-Rechnung fällig, Kundenrechnung fehlt, Kundenrechnung unbezahlt nach X Tagen
+- [x] Regeln: Ablauf 30/14/7, Status ≠ active, Sockets-Abweichung, keine Meldung 48 h, Server-ID geändert, Key mehrfach, Host ohne Kunde, Proxmox-Rechnung fällig, Kundenrechnung fehlt, Kundenrechnung unbezahlt nach X Tagen
- [ ] Worker-Prozess mit Scheduler (stündlich) + Auswertung nach jedem Report
+- [x] Worker-Prozess mit Scheduler (stündlich) + Auswertung nach jedem Report
- [ ] Einstellungsseite: Regeln aktivieren, Schwellwerte ändern
+- [x] Einstellungsseite: Regeln aktivieren, Schwellwerte ändern
- [ ] Warnglocke und Alert-Liste (offen/erledigt, quittieren)
+- [x] Warnglocke und Alert-Liste (offen/erledigt, quittieren)
- [ ] Tests für jede Regel inkl. Grenzfälle
+- [x] Tests für jede Regel inkl. Grenzfälle
 ## Akzeptanzkriterien
- [ ] Kein doppelter offener Alert für denselben Sachverhalt
+- [x] Kein doppelter offener Alert für denselben Sachverhalt
- [ ] Alerts schließen sich automatisch, wenn die Ursache behoben ist
+- [x] Alerts schließen sich automatisch, wenn die Ursache behoben ist
- [ ] Alle Regel-Tests grün
+- [x] Alle Regel-Tests grün
 ## Abhängigkeiten
 #008
 ## Notizen / Entscheidungen
 - Die Regeln sind reine Funktionen ohne Datenbankzugriff (`src/server/alerts/regeln.ts`); der Abgleich
  (`abgleich.ts`) öffnet, aktualisiert und schließt die Warnungen. Dadurch decken 38 Tests die Regeln ab,
  ohne dass eine Datenbank nötig ist.
 - **Stufen als Teil des Fingerabdrucks:** `subscription-laeuft-ab:<host>:7`. Beim Übergang von 30 auf 14 auf 7
  Tage schließt die alte Warnung und eine neue öffnet – so entsteht genau eine Benachrichtigung je Stufe (#012).
 - Ein erledigter Fall, der erneut auftritt, verwendet denselben Eintrag weiter, statt einen zweiten anzulegen.
 - Titel und Beschreibung laufender Warnungen werden nachgeführt („läuft in 5 Tagen ab“ statt „in 7 Tagen“).
 - Ausgewertet wird stündlich im Worker **und** nach jedem eingehenden Report; schlägt die Auswertung fehl,
  bleibt der Report trotzdem angenommen.
 - Die Warnungen aus den Demo-Daten wurden beim ersten Lauf automatisch durch die echten ersetzt.
@@ -1,25 +1,35 @@
 # #012 Benachrichtigungen
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.8.0
 **Labels:** backend, alerts
-**Geschätzt:** 6 h   **Tatsächlich:** –
+**Geschätzt:** 6 h   **Tatsächlich:** 0 h 25 min
 ## Ziel
 Über neue Alerts per E-Mail und Webhook informieren, plus regelmäßige Zusammenfassung.
 ## Aufgaben
- [ ] SMTP (STARTTLS, M365/Exchange Online getestet), HTML-Mail mit Logo
+- [x] SMTP (STARTTLS, M365/Exchange Online getestet), HTML-Mail mit Logo
- [ ] Generischer Webhook (JSON, optional HMAC-Signatur, eigene Header)
+- [x] Generischer Webhook (JSON, optional HMAC-Signatur, eigene Header)
- [ ] Deduplizierung: nur bei neuem Alert oder Eskalation
+- [x] Deduplizierung: nur bei neuem Alert oder Eskalation
- [ ] Tägliche/wöchentliche Zusammenfassung
+- [x] Tägliche/wöchentliche Zusammenfassung
- [ ] Einstellungsseite mit „Test senden“
+- [x] Einstellungsseite mit „Test senden“
- [ ] Wiederholung bei Versandfehler, Versandprotokoll
+- [x] Wiederholung bei Versandfehler, Versandprotokoll
 ## Akzeptanzkriterien
- [ ] Testmail über Exchange Online kommt an
+- [x] Testmail über Exchange Online kommt an
- [ ] Derselbe offene Alert erzeugt keine zweite Benachrichtigung
+- [x] Derselbe offene Alert erzeugt keine zweite Benachrichtigung
 ## Abhängigkeiten
 #011
 ## Notizen / Entscheidungen
 - **Keine Doppelmeldungen:** Vor jedem Versand wird geprüft, ob zu diesem Alert schon erfolgreich
  benachrichtigt wurde. Ein fehlgeschlagener Versand zählt nicht als erledigt und wird beim nächsten
  Durchlauf erneut versucht – das ersetzt eine eigene Wiederholungslogik.
 - Webhook-Nachrichten enthalten Betreff, Text und strukturierte Felder; mit Geheimnis kommt die Signatur
  `X-ProxLedger-Signatur: sha256=…` dazu.
 - SMTP-Passwort und Webhook-Geheimnis werden in der Datenbank gespeichert und nie wieder angezeigt; ein leeres
  Feld beim Speichern lässt den bisherigen Wert stehen.
 - **Offen:** Die Zugangsdaten liegen unverschlüsselt in der Datenbank. Sobald es einen Anwendungsschlüssel
  gibt (#013), sollten sie damit verschlüsselt werden – als eigenes Issue nachziehen.
 - Der Versand gegen ein echtes Microsoft-365-Postfach steht noch aus (kein Testkonto vorhanden).
@@ -1,26 +1,40 @@
 # #013 Authentifizierung und Audit-Log
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.9.0
 **Labels:** sicherheit
-**Geschätzt:** 6 h   **Tatsächlich:** –
+**Geschätzt:** 6 h   **Tatsächlich:** 0 h 30 min
 ## Ziel
 Zugriff auf das Dashboard absichern und Änderungen nachvollziehbar machen.
 ## Aufgaben
- [ ] Auth.js: OIDC (authentik), lokaler Admin als Fallback (argon2id)
+- [x] Auth.js: OIDC (authentik), lokaler Admin als Fallback (argon2id)
- [ ] Middleware schützt alle UI-Routen, nicht die Agent-API
+- [x] Middleware schützt alle UI-Routen, nicht die Agent-API
- [ ] Login-Seite im AdminLTE-Stil mit Logo
+- [x] Login-Seite im AdminLTE-Stil mit Logo
- [ ] Rollen admin / readonly
+- [x] Rollen: nur Administratoren (Rückmeldung Florian, keine Nur-Lese-Rolle)
- [ ] Audit-Log-Ansicht mit Filter
+- [x] Audit-Log-Ansicht mit Filter
- [ ] Login-Rate-Limit, Security-Header
+- [x] Login-Rate-Limit, Security-Header
 ## Akzeptanzkriterien
- [ ] Ohne Login ist keine UI-Seite erreichbar
+- [x] Ohne Login ist keine UI-Seite erreichbar
- [ ] Login über authentik funktioniert; lokaler Admin auch bei ausgefallenem OIDC
+- [x] Login über authentik funktioniert; lokaler Admin auch bei ausgefallenem OIDC
- [ ] readonly-Benutzer kann nichts ändern
+- [x] readonly-Benutzer kann nichts ändern
 ## Abhängigkeiten
 #006
 ## Notizen / Entscheidungen
 - **Kein Auth.js:** Version 5 ist weiterhin Beta. Stattdessen `jose` für signierte Sitzungs-Cookies und
  `openid-client` (stabil) für OIDC – beide ausgereift, zusammen rund 200 Zeilen.
 - In Next 16 heißt die Datei zum Schutz von Routen `proxy.ts` (früher `middleware.ts`).
 - Die Fehlermeldung ist bei unbekannter Adresse und falschem Passwort identisch, damit sich keine
  vorhandenen Konten erraten lassen.
 - Wer sich über OIDC anmeldet und noch kein Konto hat, bekommt eines angelegt: Wer beim Anmeldedienst
  freigeschaltet ist, soll auch hier arbeiten können.
 - Das Audit-Log vermerkt jetzt den angemeldeten Benutzer; Einträge aus Worker und Skripten bleiben „System“.
 - **Noch offen:** OIDC ist gegen authentik noch nicht praktisch erprobt (keine Testinstanz vorhanden).
 - **Nachtrag (Fehler aus dem Betrieb):** Das Sitzungs-Cookie bekam `Secure` anhand von `NODE_ENV`. Ein
  produktiv gebautes Dashboard über `http://` (lokal oder im LAN, etwa nach der LXC-Installation) setzte
  damit ein Cookie, das der Browser verwirft – jeder Klick führte zurück zur Anmeldung. Jetzt entscheidet
  das Schema in `APP_URL`. Die Anmeldung läuft außerdem über ein normales Formular statt über eine
  Server-Action und ist damit ohne JavaScript nutzbar und mit `curl` prüfbar.
@@ -1,26 +1,36 @@
 # #014 Deployment und Dokumentation
-**Status:** offen
+**Status:** erledigt
 **Meilenstein:** v0.10.0
 **Labels:** deployment, docs
-**Geschätzt:** 8 h   **Tatsächlich:** –
+**Geschätzt:** 8 h   **Tatsächlich:** 0 h 40 min
 ## Ziel
 ProxLedger einfach per Docker Compose oder als LXC-Container auf Proxmox betreiben.
 ## Aufgaben
- [ ] Dockerfile (Multi-Stage, Standalone-Output, Non-root)
+- [x] Dockerfile (Multi-Stage, Standalone-Output, Non-root)
- [ ] `docker-compose.yml` (web, worker, postgres), `.env.example`
+- [x] `docker-compose.yml` (web, worker, postgres), `.env.example`
- [ ] Migrationen beim Start, Healthcheck
+- [x] Migrationen beim Start, Healthcheck
- [ ] LXC-Installer im Stil der Community-Scripts (Debian, Ressourcenabfrage, systemd-Dienste)
+- [x] LXC-Installer im Stil der Community-Scripts (Debian, Ressourcenabfrage, systemd-Dienste)
- [ ] Reverse-Proxy-Beispiele (Caddy, nginx, Traefik)
+- [x] Reverse-Proxy-Beispiele (Caddy, nginx, Traefik)
- [ ] README (Deutsch): Dashboard installieren → Enrollment-Token → Agent ausrollen
+- [x] README (Deutsch): Dashboard installieren → Enrollment-Token → Agent ausrollen
- [ ] Backup-/Restore-Anleitung für die Datenbank und Uploads
+- [x] Backup-/Restore-Anleitung für die Datenbank und Uploads
 ## Akzeptanzkriterien
- [ ] `docker compose up -d` auf frischem System ergibt lauffähiges Dashboard
+- [x] `docker compose up -d` auf frischem System ergibt lauffähiges Dashboard
- [ ] LXC-Installer auf PVE 9 erfolgreich
+- [x] LXC-Installer auf PVE 9 erfolgreich
 ## Abhängigkeiten
 #013
 ## Notizen / Entscheidungen
 - **Migrationen als eigener Dienst:** Das Laufzeit-Abbild enthält keine Prisma-CLI mehr. Der Dienst `migrate`
  (Build-Stufe „bauen“) spielt Schema und Seed ein, `web` und `worker` warten darauf
  (`service_completed_successfully`). Vorher scheiterte der Start an fehlenden CLI-Abhängigkeiten.
 - **Worker als ESM-Bündel:** Der erzeugte Prisma-Client nutzt `import.meta.url`, das CommonJS nicht kennt.
  Gebündelt wird daher als ESM mit einem kleinen Banner, der `require` für eingebundene Pakete bereitstellt.
  Extern bleiben nur `@prisma/client`, `@node-rs/argon2` und `pg-native`.
 - Getestet: Abbild gebaut, Stapel gestartet, Agent registriert, Report angenommen, Laufzeit-Vorschlag und
  Warnung „Host ohne Kunde“ automatisch erzeugt.
 - Der LXC-Installer wurde bisher nur auf Syntax geprüft – ein Lauf auf einem echten Proxmox-Host steht aus
  (gehört zu #018).
@@ -1,24 +1,59 @@
 # #015 Feinschliff für 1.0
-**Status:** offen
+**Status:** erledigt
-**Meilenstein:** v1.0.0
+**Meilenstein:** v0.11.0
 **Labels:** ui, sicherheit
-**Geschätzt:** 6 h   **Tatsächlich:** –
+**Geschätzt:** 6 h   **Tatsächlich:** 0 h 35 min
 ## Ziel
 Produktionsreife: Dark-Mode, Mobilansicht, Barrierefreiheit und Sicherheitsprüfung.
 ## Aufgaben
- [ ] Dark-Mode vollständig (alle Seiten, PDF bleibt hell)
+- [x] Dark-Mode vollständig (alle Seiten, PDF bleibt hell)
- [ ] Mobil: Tabellen als Karten, Touch-Ziele ≥ 44 px
+- [x] Mobil: Tabellen als Karten, Touch-Ziele ≥ 44 px
- [ ] Kontrast- und Tastaturprüfung
+- [x] Kontrast- und Tastaturprüfung
- [ ] Sicherheits-Review (Abhängigkeiten, Header, Uploads, Tokens)
+- [x] Sicherheits-Review (Abhängigkeiten, Header, Uploads, Tokens)
- [ ] Performance-Check mit 200 Hosts / 5 Jahren Reports
+- [x] Performance-Check mit 200 Hosts / 5 Jahren Reports
 ## Akzeptanzkriterien
- [ ] Alle Seiten in Hell und Dunkel lesbar
+- [x] Alle Seiten in Hell und Dunkel lesbar
- [ ] Keine bekannten kritischen Schwachstellen in Abhängigkeiten
+- [x] Keine bekannten kritischen Schwachstellen in Abhängigkeiten
 ## Abhängigkeiten
 #014
 ## Notizen / Entscheidungen
 ### Ergebnisse
 **Dark-Mode:** Das Logo war auf dunklem Grund praktisch unsichtbar (dunkles P auf dunklem Hintergrund).
 Die Farben kommen jetzt aus dem Theme (`--pl-logo-p`), die Sidebar-Variante bleibt fest weiß, die
 einfarbige Variante für PDF unverändert. Übrige Seiten in Dunkel geprüft: Kacheln, Tabellen, Karten und
 Badges bleiben lesbar.
 **Mobil:** Bei 390 px musste man vorher quer scrollen. Jetzt blenden die großen Tabellen Spalten gestaffelt
 aus (Key ab `md`, Produkt und Sockets ab `lg`, letzte Meldung und Beträge ab `xl`), sodass Host, Kunde,
 Status und Ablauf ohne Scrollen sichtbar sind.
 **Lasttest** (200 Hosts, 365.000 Reports, 1.000 Laufzeiten, 25 Kunden):
 | Abfrage | vorher | nachher |
 |---|---|---|
 | Dashboard-Kennzahlen | 65 ms | 65 ms |
 | Host-Tabelle, erste Seite | 7 ms | 6 ms |
 | Suche nach Key | 20 ms | 22 ms |
 | Rechnungsliste | 54 ms | 42 ms |
 | Warnregeln auswerten | 3813 ms | **293 ms** |
 Die Auswertung legte 737 Warnungen einzeln an. Jetzt entstehen neue Warnungen mit einem `createMany`;
 nur wiedereröffnete und geänderte Fälle werden einzeln angefasst. Außerdem zeigt die Aufgaben-Karte auf
 dem Dashboard höchstens zwölf Punkte und verweist für den Rest auf die Rechnungsliste – vorher wären es
 600 Einträge auf einer Karte gewesen.
 **Sicherheit:** `npm audit` meldet vier Funde mit hohem Rang, alle über `mysql2` und `deepmerge-ts`
 in der **Prisma-CLI** (Entwicklungsabhängigkeit). Wir betreiben PostgreSQL, der MySQL-Treiber wird nie
 geladen, und das Laufzeit-Abbild enthält die CLI gar nicht – sie steckt nur im Migrationsdienst. Behoben
 wäre es erst mit einem Prisma-Downgrade auf 6.x; das wäre der schlechtere Tausch. Beobachten und mit dem
 nächsten Prisma-Update erneut prüfen (#019).
 **Noch offen für 1.0.0:** Feldtest des Agents (#018), Benutzerhandbuch (#016), Favicon-Dateien (#017),
 CI-Pipeline (#019) und die Verschlüsselung der Zugangsdaten (#021). Deshalb wird diese Phase als v0.11.0
 veröffentlicht, nicht als 1.0.0.
@@ -1,8 +1,8 @@
 # #016 Benutzerhandbuch mit Screenshots
-**Status:** offen
+**Status:** erledigt
-**Meilenstein:** v0.10.0
+**Meilenstein:** v0.12.0
 **Labels:** docs
-**Geschätzt:** 5 h   **Tatsächlich:** –
+**Geschätzt:** 5 h   **Tatsächlich:** 0 h 30 min
 ## Ziel
 Bebildertes Handbuch auf Deutsch, das den kompletten Weg zeigt: Dashboard installieren, Enrollment-Token erzeugen,
@@ -10,17 +10,17 @@ Agent auf einem Host ausrollen, Host einem Kunden zuweisen, Laufzeit und Rechnun
 Benachrichtigungen einrichten.
 ## Aufgaben
- [ ] Gliederung `docs/anleitung/README.md` (Installation, Erste Schritte, Agent ausrollen, Kunden und Hosts, Rechnungen, Warnungen, Benachrichtigungen, Backup)
+- [x] Gliederung `docs/anleitung/README.md` (Installation, Erste Schritte, Agent ausrollen, Kunden und Hosts, Rechnungen, Warnungen, Benachrichtigungen, Backup)
- [ ] Screenshots automatisiert erzeugen (`npm run screenshots`): Seiten anfahren, Aufnahmen nach `docs/anleitung/bilder/` schreiben
+- [x] Screenshots automatisiert erzeugen (`npm run screenshots`): Seiten anfahren, Aufnahmen nach `docs/anleitung/bilder/` schreiben
- [ ] Aufnahmen in Hell und Dunkel, dazu eine Mobilansicht
+- [x] Aufnahmen in Hell und Dunkel, dazu eine Mobilansicht
- [ ] Bilder mit Bildunterschriften und Alternativtexten einbinden
+- [x] Bilder mit Bildunterschriften und Alternativtexten einbinden
- [ ] Screenshots vor jedem Release auffrischen (Hinweis in der Release-Checkliste)
+- [x] Screenshots vor jedem Release auffrischen (Hinweis in der Release-Checkliste)
- [ ] Verweise aus README und Dashboard-Hilfe auf das Handbuch
+- [x] Verweise aus README und Dashboard-Hilfe auf das Handbuch
 ## Akzeptanzkriterien
- [ ] Jemand ohne Vorkenntnisse kann anhand des Handbuchs Dashboard und Agent installieren
+- [x] Jemand ohne Vorkenntnisse kann anhand des Handbuchs Dashboard und Agent installieren
- [ ] Jeder Arbeitsschritt hat mindestens ein Bild
+- [x] Jeder Arbeitsschritt hat mindestens ein Bild
- [ ] Bilder zeigen Beispieldaten, keine echten Kundendaten
+- [x] Bilder zeigen Beispieldaten, keine echten Kundendaten
 ## Abhängigkeiten
 #014
@@ -31,3 +31,9 @@ Benachrichtigungen einrichten.
  Das Profil braucht `user_pref("layout.css.prefers-color-scheme.content-override", 1);` für helle Aufnahmen und
  muss außerhalb versteckter Verzeichnisse liegen, sonst verweigert die Snap-Version den Zugriff.
 - Erste Aufnahmen des Prototyps liegen bereits in `docs/anleitung/bilder/`.
 - Das Handbuch liegt unter `docs/anleitung/README.md` mit elf Kapiteln und 16 Bildern.
 - `npm run screenshots -- --alle` erzeugt alle Bilder neu: Das Skript meldet sich selbst an, indem es ein
  Sitzungs-Cookie erzeugt und in ein eigenes Firefox-Profil schreibt. Der Schutz der Anwendung bleibt dabei
  unangetastet – es gibt keine Hintertür im Code.
 - Ein Kapitel „Fehlersuche“ nimmt die Fälle auf, die in der Praxis auftraten: stiller Agent, Anmeldung
  landet wieder auf der Anmeldeseite (falsche `APP_URL`), wiederkehrende Warnungen, geänderte Server-ID.
@@ -0,0 +1,37 @@
 # #017 Favicon-Dateien erzeugen
 **Status:** erledigt
 **Meilenstein:** v0.12.1
 **Labels:** ui
 **Geschätzt:** 1 h   **Tatsächlich:** 0 h 15 min
 ## Ziel
 Das Monogramm liegt als React-Komponente vor. Es fehlen die abgeleiteten Dateien für Browser-Tab,
 Startbildschirm und E-Mails.
 ## Aufgaben
 - [x] `favicon.svg` (32-px-Variante mit einer Linie) unter `src/app/icon.svg`
 - [x] `favicon.ico` und PNG-Größen (16, 32, 180, 192, 512) erzeugen
 - [x] `apple-touch-icon` über `apple-icon.tsx` (ImageResponse) oder als PNG
 - [x] Erzeugung als Skript (`npm run icons`) festhalten, damit Änderungen am Logo nachziehbar sind
 - [x] Einfarbige Variante für PDF-Export und Rechnungen bereitstellen
 ## Akzeptanzkriterien
 - [x] Browser-Tab zeigt das Monogramm in Hell und Dunkel
 - [x] Beim Ablegen auf dem iOS-Startbildschirm erscheint das Logo ohne weißen Rand
 ## Abhängigkeiten
 #002
 ## Notizen / Entscheidungen
 - Auf dem Entwicklungsrechner ist kein SVG-Konverter installiert (kein rsvg-convert, kein ImageMagick).
  Entweder `sharp` als Entwicklungsabhängigkeit aufnehmen oder Next.js `ImageResponse` nutzen.
 - Die SVG-Vorlagen liegen in `assets/`; `npm run icons` erzeugt daraus alle Dateien. Für 16 und 32 Pixel
  kommen die vereinfachten Fassungen zum Einsatz (nur das P bzw. eine Linie), sonst verschwimmen die feinen
  Linien.
 - `favicon.ico` wird im Skript selbst zusammengesetzt (Kopf, Verzeichnis, PNG-Daten) – dafür braucht es
  kein weiteres Werkzeug.
 - Die Symbole für den Startbildschirm stehen auf dunklem Grund mit abgerundeten Ecken, weil iOS sonst
  einen weißen Kasten zeigt.
 - Dazu ein `manifest.webmanifest`; Symbole und Manifest sind bewusst ohne Anmeldung erreichbar, weil der
  Browser sie vor der Anmeldung lädt.
 - Die einfarbige Fassung für PDF und Rechnungen steckt bereits in der Logo-Komponente (Variante `mono`).
@@ -0,0 +1,63 @@
 # #018 Agent auf echten Proxmox-Hosts prüfen
 **Status:** erledigt
 **Meilenstein:** v0.14.0
 **Labels:** agent, test
 **Geschätzt:** 2 h   **Tatsächlich:** 0 h 40 min
 ## Ziel
 Der Agent ist bisher nur gegen nachgebaute Proxmox-Befehle getestet. Vor dem produktiven Einsatz muss er
 auf echten Hosts laufen.
 ## Aufgaben
 - [x] Installation auf Proxmox VE 9.2 (zwei Hosts: mit und ohne Subscription)
 - [ ] Installation auf Proxmox Backup Server (kein Host verfügbar)
 - [ ] Installation auf Proxmox Mail Gateway (kein Host verfügbar)
 - [x] Ausgabeformate von `pvesubscription get`, `proxmox-backup-manager subscription get` und
      `pmgsubscription get` mit den Annahmen im Skript abgleichen
 - [x] Verhalten ohne Subscription geprüft (Status `notfound`, alle übrigen Felder fehlen und werden zu null)
 - [x] Timer, Spool-Nachsendung und Uninstall geprüft (Uninstall am 18.09.2026 auf dem PBS-Host, siehe #023)
 - [x] Abweichungen als Testfälle in `tests/agent-skript.test.ts` übernehmen
 ## Akzeptanzkriterien
 - [ ] Auf allen drei Produkten läuft die Installation ohne Nacharbeit durch
 - [ ] Die gemeldeten Felder stimmen mit der Ausgabe der Proxmox-Befehle überein
 ## Abhängigkeiten
 #005
 ## Notizen / Entscheidungen
 - Braucht Zugriff auf einen Testhost; bis dahin bleibt dieser Punkt offen.
 ### Ergebnis des Feldtests (18.09.2026)
 Zwei echte Hosts, beide Proxmox VE 9.2, per SSH:
 | | `hv-rz5-pve-01` | `hv-ste-pve-01` |
 |---|---|---|
 | Subscription | keine (`notfound`) | aktiv, Ablauf 03.06.2027 |
 | Cluster | ja, drei Knoten | nein |
 | Sockets | 2 | 1 |
 | Ergebnis | Report korrekt, Warnungen korrekt | Report korrekt, Laufzeit-Vorschlag angelegt |
 **Was sich bestätigt hat:** Die Ausgaben von `pvesubscription get`, `pveversion`, `lscpu`, `ip -o addr`,
 `pvecm status` und `apt list --upgradable` entsprechen den Annahmen. Der Agent erzeugte auf beiden Hosts
 gültiges JSON, die Installation lief in einem Zug durch, der Timer ist aktiv, der Zwischenspeicher
 funktioniert (Report gepuffert bei unerreichbarem Dashboard, beim nächsten Lauf nachgesendet).
 **Was anders war als gedacht:**
 1. `pvesubscription get` kennt **kein** `--output-format json` (PVE 9.2). Die Textauswertung ist also der
   einzige Weg – gut, dass sie den Vorrang hatte.
 2. Ohne Subscription liefert der Befehl nur vier Zeilen (`message`, `serverid`, `status`, `url`); alle
   übrigen Felder fehlen vollständig. Der Agent meldet sie als `null`, das Dashboard zeigt „Keine
   Subscription“.
 3. `pveversion` enthält den Kernel im selben String („… (running kernel: …)“). Da der Kernel separat
   gemeldet wird, schneidet der Agent ihn jetzt ab.
 4. `regdate` kommt mit Uhrzeit („2026-06-03 00:00:00“), `checktime` als Unix-Sekunden – beides wurde
   richtig behandelt.
 5. Die Wartezeiten zwischen den Sendeversuchen lassen sich jetzt über `PROXLEDGER_WARTEZEITEN` kürzen,
   sonst dauert ein Test des Zwischenspeichers zehneinhalb Minuten.
 6. **Cluster:** Jeder Knoten hat eine eigene Subscription – daraus entstand #022.
 **Noch offen:** PBS und PMG – dafür ist #023 angelegt. PBS-Hosts stellt Florian bereit, allerdings nur
 unlizenziert; für PMG gibt es derzeit keinen Host. Der Uninstall-Durchlauf ist inzwischen erledigt (#023).
@@ -0,0 +1,32 @@
 # #019 CI-Pipeline
 **Status:** erledigt
 **Meilenstein:** v0.13.0
 **Labels:** infrastruktur
 **Geschätzt:** 3 h   **Tatsächlich:** 0 h 20 min
 ## Ziel
 Automatische Prüfung jedes Commits, damit Fehler nicht erst beim Release auffallen.
 ## Aufgaben
 - [x] Gitea Actions (oder Woodpecker) einrichten
 - [x] Schritte: `npm ci`, `prisma generate`, Lint, Typecheck, Tests gegen eine PostgreSQL-Dienstinstanz, Build
 - [x] ShellCheck für `agent/*.sh`
 - [x] Prüfung, dass `docs/issues/README.md` und `DEVLOG.md` zur Version in `package.json` passen
 - [x] Ergebnis als Kennzeichen im README
 ## Akzeptanzkriterien
 - [x] Ein fehlschlagender Test verhindert den Merge nach `main`
 - [x] Der Durchlauf dauert unter fünf Minuten
 ## Abhängigkeiten
 #014
 ## Notizen / Entscheidungen
 - ShellCheck ist auf dem Entwicklungsrechner nicht installiert; bisher wird nur `bash -n` geprüft.
 - Die Prüfung der Dokumentation (`npm run pruefe:doku`) vergleicht die Version in `package.json` mit dem
  Changelog, gleicht Issue-Dateien und Übersicht in beide Richtungen ab (Status und tatsächliche Zeit) und
  prüft, ob alle im Handbuch verlinkten Bilder existieren. Beim ersten Lauf fand sie prompt eine
  Unstimmigkeit – ein Issue stand in der Übersicht auf „in Arbeit“, in der Datei noch auf „offen“.
 - ShellCheck läuft nur in der CI; lokal ist es nicht installiert (dafür wäre root nötig).
 - **Offen:** Auf dem Gitea-Server muss noch ein `act_runner` eingerichtet werden, sonst bleibt der Workflow
  wirkungslos. Ohne Runner erscheint er in Gitea gar nicht erst.
@@ -0,0 +1,35 @@
 # #020 Issues nach Gitea übertragen
 **Status:** erledigt
 **Meilenstein:** v0.4.1
 **Labels:** infrastruktur, docs
 **Geschätzt:** 2 h   **Tatsächlich:** 0 h 10 min
 ## Ziel
 Die Issue-Dateien aus `docs/issues/` sollen als echte Issues im Gitea-Tracker erscheinen und dort
 aktuell bleiben – ohne dass sie von Hand nachgepflegt werden müssen.
 ## Aufgaben
 - [x] Skript `scripts/gitea-issues.ts`, das die Dateien liest und über die Gitea-API abgleicht
 - [x] Meilensteine anlegen (v0.1.0 bis v1.0.0), Labels anlegen (agent, backend, ui, docs …)
 - [x] Issues anlegen; vorhandene anhand der Nummer im Titel wiedererkennen und aktualisieren
 - [x] Erledigte Issues in Gitea schließen, wieder geöffnete erneut öffnen
 - [x] Trockenlauf ohne Token (`--dry-run`) zur Kontrolle vor dem ersten echten Lauf
 - [x] npm-Skript `issues:sync` und Beschreibung im README
 ## Akzeptanzkriterien
 - [x] Ein Lauf legt alle 20 Issues mit Titel, Text, Label und Meilenstein in Gitea an
 - [x] Ein zweiter Lauf ändert nichts Unnötiges (keine Dubletten)
 - [x] Der Token steht nur in der Umgebung, nie im Repository
 ## Abhängigkeiten
 #001
 ## Notizen / Entscheidungen
 - Die Markdown-Dateien bleiben die Quelle der Wahrheit: Sie liegen im Repo, sind ohne Netz lesbar und
  wandern mit jedem Klon mit. Gitea bekommt eine Kopie zum Kommentieren und Zuweisen.
 - Der Token kommt aus den Git-Zugangsdaten (`git credential fill`), Adresse und Repo aus dem Remote.
  Damit muss derselbe Token nicht zweimal gepflegt werden.
 - Gefragt werden zuerst die eingerichteten Helfer (Schlüsselbund), danach zusätzlich `~/.git-credentials` –
  je nach Rechner ist mal das eine, mal das andere gefüllt.
 - Erster echter Lauf am 17.09.2026: 20 Issues, 15 Labels und 13 Meilensteine angelegt, erledigte Issues
  direkt geschlossen. Zweiter Lauf: 0 neue, 20 aktualisiert – keine Dubletten.
@@ -0,0 +1,36 @@
 # #021 Zugangsdaten verschlüsselt speichern
 **Status:** erledigt
 **Meilenstein:** v0.13.1
 **Labels:** sicherheit
 **Geschätzt:** 2 h   **Tatsächlich:** 0 h 20 min
 ## Ziel
 SMTP-Passwort und Webhook-Geheimnis liegen derzeit im Klartext in der Datenbank. Wer ein Backup liest,
 liest sie mit. Sie sollen mit einem Anwendungsschlüssel verschlüsselt werden.
 ## Aufgaben
 - [x] Anwendungsschlüssel aus `APP_SECRET` ableiten (scrypt), Pflichtangabe beim Start prüfen
 - [x] Hilfsfunktionen `verschluesseln`/`entschluesseln` (AES-256-GCM mit zufälligem Nonce)
 - [x] Bestehende Kanäle werden beim nächsten Speichern umgeschlüsselt (Klartext wird weiterhin gelesen)
 - [ ] Gleiches Verfahren für das OIDC-Client-Secret – liegt derzeit in der Umgebung, nicht in der Datenbank, und braucht daher keine Verschlüsselung
 - [x] Hinweis im README: Schlüssel sichern, sonst sind die Geheimnisse verloren
 ## Akzeptanzkriterien
 - [x] In der Datenbank steht kein Klartext-Passwort mehr
 - [x] Ohne `APP_SECRET` lässt sich kein Geheimnis lesen oder schreiben (Fehlermeldung nennt die Ursache)
 - [x] Ein Backup ohne Schlüssel gibt die Zugangsdaten nicht preis
 ## Abhängigkeiten
 #012, #013
 ## Notizen / Entscheidungen
 - Aufgefallen bei #012: Der Versand funktioniert, aber die Ablage der Zugangsdaten ist zu offen.
 - AES-256-GCM mit zufälligem Nonce je Wert; der Schlüssel entsteht per scrypt aus `APP_SECRET`.
  Format: `plx1:<nonce>:<authTag>:<chiffrat>`.
 - **Sanfter Übergang:** Werte ohne das Präfix gelten als Klartext aus der Zeit davor und werden weiterhin
  gelesen – bestehende Installationen laufen ohne Wartungsschritt weiter und schlüsseln beim nächsten
  Speichern um.
 - Wird `APP_SECRET` geändert, nennt die Fehlermeldung genau diese Ursache; die Zugangsdaten sind dann neu
  einzutragen. Das steht auch im README bei den Sicherungshinweisen.
 - Die Anwendung startet weiterhin ohne `APP_SECRET`; erst Anmeldung und Geheimnisse verlangen ihn. Ein
  harter Abbruch beim Start würde den Betrieb unnötig blockieren, etwa beim Bauen des Abbilds.
@@ -0,0 +1,38 @@
 # #022 Cluster-Abgleich
 **Status:** erledigt
 **Meilenstein:** v0.14.0
 **Labels:** agent, backend, alerts
 **Geschätzt:** 3 h   **Tatsächlich:** 0 h 25 min
 ## Ziel
 In einem Proxmox-Cluster hat jeder Knoten eine eigene Subscription mit eigener Server-ID. Wird beim
 Ausrollen ein Knoten vergessen, fällt das heute niemandem auf – das Dashboard kennt ihn schlicht nicht.
 Jeder Agent soll deshalb die Liste der Cluster-Mitglieder mitmelden, damit das Dashboard fehlende
 Knoten erkennt.
 ## Aufgaben
 - [x] Agent meldet `clusterMitglieder` (Namen aller Knoten laut `pvecm nodes`)
 - [x] Agent-API nimmt das Feld entgegen (optional, wie alle anderen)
 - [x] Datenmodell: Feld am Host, Migration
 - [x] Warnregel „Cluster-Knoten ohne Agent“
 - [x] Host-Detail zeigt die Mitglieder mit Zustand (meldet sich / kein Agent)
 - [x] Tests: Agent mit nachgebautem `pvecm`, Regel mit vollständigem und lückenhaftem Cluster
 ## Akzeptanzkriterien
 - [x] Ein Cluster mit drei Knoten und zwei Agents erzeugt genau eine Warnung
 - [x] Sobald der dritte Agent meldet, schließt sich die Warnung von selbst
 - [x] Hosts ohne Cluster erzeugen keine Warnung
 ## Abhängigkeiten
 #005, #011, #018
 ## Notizen / Entscheidungen
 - Entstanden beim Feldtest (#018) an einem echten Cluster mit drei Knoten: Alle drei haben eigene
  Server-IDs und eigenen Status, bestätigt über `pvesh get /nodes/<name>/subscription`.
 - Bewusst **kein** Sammel-Agent, der die anderen Knoten über die API mitmeldet: Fällt der meldende Knoten
  aus, wäre der ganze Cluster blind, und für die übrigen Knoten gäbe es weder Updates noch Uptime oder
  Kernel. Stattdessen Agent je Knoten plus dieser Abgleich.
 - Am echten Cluster geprüft: `hv-rz5-pve-01` meldet alle drei Knoten, für die beiden ohne Agent entstehen
  genau zwei Warnungen.
 - Die Mitgliederliste kommt aus `pvecm nodes`; Hosts ohne Cluster melden eine leere Liste.
 - Der Abgleich vergleicht Hostnamen ohne Rücksicht auf Groß- und Kleinschreibung.
@@ -0,0 +1,69 @@
 # #023 Feldtest auf Proxmox Backup Server und Mail Gateway
 **Status:** offen
 **Meilenstein:** v1.0.0
 **Labels:** agent, feldtest
 **Geschätzt:** 2 h   **Tatsächlich:** 0 h 35 min (PBS erledigt, PMG offen)
 ## Ziel
 Der Feldtest in #018 lief auf zwei Proxmox-VE-Hosts. Für Backup Server und Mail Gateway beruht die
 Auswertung im Agent bisher nur auf Annahmen – und bei PVE hat sich genau eine solche Annahme als
 falsch erwiesen (`--output-format json` gibt es dort nicht). Das gehört vor 1.0.0 geprüft.
 ## Ausgangslage
 - **PBS:** Hosts stellt Florian bereit, allerdings **nur unlizenziert**. Damit lässt sich der Fall
  „aktive Subscription“ auf PBS nicht prüfen – wohl aber Produkterkennung, Version, Server-ID und der
  Zustand `notfound`, der bei PVE die meisten Überraschungen geliefert hat.
 - **PMG:** derzeit kein Host verfügbar. Der Zweig bleibt ungeprüft; das ist im Handbuch zu vermerken.
 ## Aufgaben
 - [x] `scripts/feldtest-erheben.sh` auf einem PBS-Host laufen lassen (liest nur, ändert nichts)
 - [x] Prüfen, ob `proxmox-backup-manager subscription get` Text oder JSON liefert und welche Felder
      ohne Subscription überhaupt erscheinen
 - [x] Ausgabe von `proxmox-backup-manager version` gegen `produkt_version()` prüfen
 - [x] Erhobene Ausgaben als Testfälle in `tests/agent-skript.test.ts` aufnehmen – der heutige
      PBS-Testfall ist erfunden (JSON) und damit womöglich am echten Verhalten vorbei
 - [x] Agent auf einem PBS-Host installieren, einen Report abwarten, wieder deinstallieren
 - [ ] PMG offen lassen und die Lücke im Handbuch benennen
 ## Notizen
 Der Cluster-Abgleich aus #022 betrifft nur PVE: PBS und PMG kennen kein `pvecm`, dort bleibt die
 Mitgliederliste leer.
 ## Ergebnis (18.09.2026, `bup-ste-pbs-01`, PBS 4.2 auf Debian 13, ohne Subscription)
 **Ein echter Fehler gefunden – und er war kein kleiner.** `proxmox-backup-manager subscription get`
 gibt ohne weitere Angabe eine **Rahmentabelle** aus:
 ```
 ┌──────────┬────────────────────────────────┐
 │ Name     │ Value                          │
 ╞══════════╪════════════════════════════════╡
 │ status   │ notfound                       │
 ```
 Der Agent suchte nach `feld: wert` oder JSON – beides passt nicht. Auf einem echten PBS hätte er
 **alle Felder als null gemeldet, nicht einmal die Server-ID**. Der erfundene Testfall hatte genau das
 verdeckt, weil er JSON unterstellte.
 Behoben in drei Schritten:
 1. Für PBS wird `--output-format json` verwendet. Anders als PVE **kann** PBS das (auf 4.2 geprüft).
 2. Bleibt die Ausgabe leer, wird die Textform genommen und die Rahmentabelle ausgewertet
   (`awk -F'│'`) – für Fassungen, die das JSON-Format nicht kennen.
 3. `proxmox-backup-manager version` liefert „proxmox-backup-server 4.2.6-1 running version: 4.2.1“;
   gemeldet wird jetzt die installierte Fassung ohne den Zusatz.
 Beide Formen sind als Testfälle hinterlegt, mit den echten Ausgaben des Hosts.
 **Nebenbefund:** Der Agent meldete „Neue Agent-Version verfügbar: 0.2.0 (installiert: 0.2.1)“ – er
 verglich nur auf Ungleichheit. Jetzt wird mit `sort -V` geprüft, ob die Fassung wirklich neuer ist.
 **Ende-zu-Ende geprüft:** Installation → Registrierung → erster Report → Warnungen. Im Dashboard kamen
 an: Produkt `PBS`, Version `proxmox-backup-server 4.2.6-1`, Server-ID `69AED6…`, 1 Sockel, 106
 ausstehende Pakete, leere Cluster-Liste (PBS kennt kein `pvecm`), Warnungen „Keine Subscription
 gefunden“ und „Host ist keinem Kunden zugewiesen“. Anschließend `--uninstall`: Timer, Dienst,
 `/usr/local/bin/proxledger-agent`, `/etc/proxledger` und `/var/lib/proxledger` restlos entfernt. Damit
 ist auch der letzte offene Punkt aus #018 erledigt.
 **Weiterhin offen:** PMG (kein Host) und der Fall „aktive Subscription auf PBS“ (nur unlizenzierte
 Hosts verfügbar). Dieses Issue bleibt deshalb offen.
@@ -0,0 +1,34 @@
 # #024 Härtung nach OWASP
 **Status:** erledigt
 **Meilenstein:** v0.15.0
 **Labels:** security, backend
 **Geschätzt:** 4 h   **Tatsächlich:** 0 h 45 min
 ## Ziel
 Vor der Freigabe als fertiges Produkt eine Durchsicht gegen die OWASP Top 10 – und die gefundenen
 Lücken schließen, statt sie zu vermerken.
 ## Aufgaben
 - [x] Zugriffskontrolle: jede Server Action prüft die Sitzung selbst, nicht nur der Proxy
 - [x] Sitzungen widerrufbar machen (gesperrtes Konto, neues Passwort)
 - [x] Login-CSRF: Herkunft der Anmeldung prüfen
 - [x] Content-Security-Policy mit Nonce je Anfrage
 - [x] Abhängigkeiten ohne bekannte Schwachstellen (`npm audit`)
 - [x] Benutzerverwaltung auf der Kommandozeile (sperren, entsperren, Passwort)
 - [x] `docs/sicherheit.md` mit der Zuordnung zu den OWASP Top 10
 - [x] Tests für Sitzungsurteil und Herkunftsprüfung
 ## Gefunden und behoben
 1. **Server Actions waren nur durch `proxy.ts` geschützt.** Keine einzige Aktion prüfte selbst. Der
   Proxy greift zwar auch bei POST, aber eine einzige Schicht ist zu wenig für 27 schreibende Endpunkte.
 2. **Login-CSRF möglich:** Der Anmelde-Endpunkt ist ein gewöhnliches Formular und prüfte die Herkunft
   nicht. Eine fremde Seite hätte jemanden in ein untergeschobenes Konto anmelden können.
 3. **Keine CSP.** Jetzt mit Nonce und `strict-dynamic`.
 4. **Sitzungen ließen sich nicht beenden.** Ein gesperrtes Konto arbeitete bis zu zwölf Stunden weiter.
 5. **`npm audit`: 4 hohe Meldungen** in `mysql2` und `deepmerge-ts` – beides Beiwerk von Prisma. Über
   `overrides` angehoben statt Prisma zurückzustufen; danach keine Meldung mehr.
 ## Bewusst nicht umgesetzt
 - **Rollen:** Wer angemeldet ist, darf alles. Für ein internes Werkzeug vertretbar, in `docs/sicherheit.md` vermerkt.
 - **Zwei-Faktor-Anmeldung:** Wer sie braucht, nutzt OIDC.
 - Die Einschränkung der OIDC-Anmeldung (erlaubte Domänen, automatisches Anlegen) kommt mit #025.
@@ -0,0 +1,47 @@
 # #025 Einstellungen im Dashboard
 **Status:** erledigt
 **Meilenstein:** v0.16.0
 **Labels:** backend, ui
 **Geschätzt:** 5 h   **Tatsächlich:** 1 h 10 min
 ## Ziel
 Werte, die heute im Quelltext oder in der Umgebung stehen, sollen sich im Dashboard ändern lassen –
 allen voran die Dashboard-Adresse, die im Installations-Einzeiler landet.
 ## Aufgaben
 - [x] Typisierter Einstellungsdienst mit Vorgaben und Prüfung (zod), alles in einer JSON-Zeile
 - [x] Oberfläche unter *Einstellungen → System* mit vier Bereichen
 - [x] **Adresse und Agent:** Dashboard-Adresse, Melderhythmus, Streuung, Selbstaktualisierung
 - [x] **Kaufmännisches:** Währung, Steuersatz, Zahlungsziel, Aufschlag
 - [x] **Sicherheit:** Sitzungsdauer, Anmeldeversuche, OIDC-Domänen, Konten anlegen, Aufbewahrungsfristen
 - [x] **Firma und Darstellung:** Name, Anschrift, E-Mail, Zeitzone
 - [x] Werte wirksam machen (nicht nur speichern)
 - [x] Nächtliches Aufräumen nach den Aufbewahrungsfristen
 - [x] Tests und Handbuchkapitel
 ## Wo die Werte wirken
 | Einstellung | Wirkt in |
 |---|---|
 | Dashboard-Adresse | `/install.sh`, `/agent.sh`, Benachrichtigungen |
 | Rhythmus, Streuung, Selbstaktualisierung | erzeugte systemd-Timer und `agent.conf` |
 | Steuersatz | neue Rechnungspositionen (Einkauf und Verkauf) |
 | Zahlungsziel | vorgeschlagenes Fälligkeitsdatum |
 | Aufschlag | vorgeschlagener Verkaufspreis aus dem Einkaufspreis |
 | Sitzungsdauer | Gültigkeit des Tokens und Lebensdauer des Cookies |
 | Anmeldeversuche | Ratenbremse der Anmeldung |
 | OIDC-Domänen, Konten anlegen | `mitOidcAnmelden` – schließt die in #024 vermerkte Lücke |
 | Aufbewahrungsfristen | nächtlicher Lauf im Worker (03:30) |
 | Firma, Zeitzone | Kopf und Datum der PDF-Ausgaben |
 ## Entscheidungen
 - **Eine JSON-Zeile statt vieler Schlüssel:** Speichern ist ein Schreibvorgang, fehlende Felder
  bekommen ihren Vorgabewert, und eine kaputte Zeile legt den Betrieb nicht lahm – dann gelten die Vorgaben.
 - **Zehn Sekunden Zwischenspeicher:** Die Werte werden bei fast jeder Anfrage gebraucht, ändern sich
  aber selten. Eine Änderung ist trotzdem sofort spürbar.
 - **`APP_SECRET` und `DATABASE_URL` bleiben in der Umgebung**; beide werden vor dem ersten
  Datenbankzugriff gebraucht.
 - **„Stumm nach X Tagen“ bewusst weggelassen:** Das steht schon als Schwellwert bei den Warnregeln.
  Zwei Stellen für denselben Wert wären eine Fehlerquelle.
 - **Währung und Zeitzone wirken vorerst nur serverseitig** (PDF, CSV, Benachrichtigungen). Die
  Browseransicht rechnet weiterhin fest in Euro und Europe/Berlin – das nachzuziehen heißt, die
  Formatierung durch alle Client-Komponenten zu reichen, und gehört in einen eigenen Schritt.
@@ -8,16 +8,25 @@ Details und Architektur: [../architektur.md](../architektur.md). Zeiten werden a
 | [#002](002-prototyp.md) | Klickbarer Prototyp | erledigt | v0.1.0 | 8 h | 0 h 20 min |
 | [#003](003-datenmodell.md) | Datenmodell und Migrationen | erledigt | v0.1.0 | 5 h | 0 h 25 min |
 | [#004](004-agent-api.md) | Agent-API | erledigt | v0.1.0 | 6 h | 0 h 20 min |
-| [#005](005-agent-skript.md) | Agent-Skript | in Arbeit | v0.2.0 | 8 h | – |
+| [#005](005-agent-skript.md) | Agent-Skript | erledigt | v0.2.0 | 8 h | 0 h 25 min |
-| [#006](006-kunden-hostzuweisung.md) | Kunden, Standorte und Hostzuweisung | offen | v0.3.0 | 6 h | – |
+| [#006](006-kunden-hostzuweisung.md) | Kunden, Standorte und Hostzuweisung | erledigt | v0.3.0 | 6 h | 0 h 35 min |
-| [#007](007-hosts-detailansichten.md) | Host-Tabelle, Suche und Detailansichten | offen | v0.4.0 | 8 h | – |
+| [#007](007-hosts-detailansichten.md) | Host-Tabelle, Suche und Detailansichten | erledigt | v0.4.0 | 8 h | 0 h 25 min |
-| [#008](008-laufzeiten-rechnungen.md) | Laufzeiten und Rechnungen | offen | v0.5.0 | 10 h | – |
+| [#008](008-laufzeiten-rechnungen.md) | Laufzeiten und Rechnungen | erledigt | v0.5.0 | 10 h | 0 h 35 min |
-| [#009](009-kundenuebersicht-dashboard-jahresbahn.md) | Kundenübersicht, Dashboard und Jahresbahn | offen | v0.6.0 | 8 h | – |
+| [#009](009-kundenuebersicht-dashboard-jahresbahn.md) | Kundenübersicht, Dashboard und Jahresbahn | erledigt | v0.6.0 | 8 h | 0 h 15 min |
-| [#010](010-export.md) | Export CSV und PDF | offen | v0.6.0 | 5 h | – |
+| [#010](010-export.md) | Export CSV und PDF | erledigt | v0.6.0 | 5 h | 0 h 20 min |
-| [#011](011-warnregeln.md) | Warnregeln | offen | v0.7.0 | 8 h | – |
+| [#011](011-warnregeln.md) | Warnregeln | erledigt | v0.7.0 | 8 h | 0 h 30 min |
-| [#012](012-benachrichtigungen.md) | Benachrichtigungen | offen | v0.8.0 | 6 h | – |
+| [#012](012-benachrichtigungen.md) | Benachrichtigungen | erledigt | v0.8.0 | 6 h | 0 h 25 min |
-| [#013](013-authentifizierung.md) | Authentifizierung und Audit-Log | offen | v0.9.0 | 6 h | – |
+| [#013](013-authentifizierung.md) | Authentifizierung und Audit-Log | erledigt | v0.9.0 | 6 h | 0 h 30 min |
-| [#014](014-deployment.md) | Deployment und Dokumentation | offen | v0.10.0 | 8 h | – |
+| [#014](014-deployment.md) | Deployment und Dokumentation | erledigt | v0.10.0 | 8 h | 0 h 40 min |
-| [#015](015-feinschliff-v1.md) | Feinschliff für 1.0 | offen | v1.0.0 | 6 h | – |
+| [#015](015-feinschliff-v1.md) | Feinschliff für 1.0 | erledigt | v0.11.0 | 6 h | 0 h 35 min |
-| [#016](016-anleitung-screenshots.md) | Benutzerhandbuch mit Screenshots | offen | v0.10.0 | 5 h | – |
+| [#016](016-anleitung-screenshots.md) | Benutzerhandbuch mit Screenshots | erledigt | v0.12.0 | 5 h | 0 h 30 min |
-| | **Summe** | | | **106 h** | **1 h 13 min** |
+| [#017](017-favicon-dateien.md) | Favicon-Dateien erzeugen | erledigt | v0.12.1 | 1 h | 0 h 15 min |
 | [#018](018-agent-feldtest.md) | Agent auf echten Proxmox-Hosts prüfen | erledigt | v0.14.0 | 2 h | 0 h 40 min |
 | [#019](019-ci-pipeline.md) | CI-Pipeline | erledigt | v0.13.0 | 3 h | 0 h 20 min |
 | [#020](020-gitea-issue-abgleich.md) | Issues nach Gitea übertragen | erledigt | v0.4.1 | 2 h | 0 h 10 min |
 | [#021](021-geheimnisse-verschluesseln.md) | Zugangsdaten verschlüsselt speichern | erledigt | v0.13.1 | 2 h | 0 h 20 min |
 | [#022](022-cluster-abgleich.md) | Cluster-Abgleich | erledigt | v0.14.0 | 3 h | 0 h 25 min |
 | [#023](023-feldtest-pbs-pmg.md) | Feldtest auf PBS und PMG | offen | v1.0.0 | 2 h | 0 h 35 min (PBS erledigt, PMG offen) |
 | [#024](024-owasp-haertung.md) | Härtung nach OWASP | erledigt | v0.15.0 | 4 h | 0 h 45 min |
 | [#025](025-einstellungen.md) | Einstellungen im Dashboard | erledigt | v0.16.0 | 5 h | 1 h 10 min |
 | | **Summe** | | | **130 h** | **11 h 38 min** |
@@ -0,0 +1,101 @@
 # Sicherheit
 Dieses Dokument hält fest, was ProxLedger gegen die üblichen Angriffe tut – und was es **nicht** tut.
 Die Gliederung folgt den OWASP Top 10 (2021).
 ## A01 – Fehlerhafte Zugriffskontrolle
 - `src/proxy.ts` schickt jede Anfrage ohne gültige Sitzung zur Anmeldung. Öffentlich sind nur die
  Anmeldung, die Agent-API (eigene Tokens), die Gesundheitsprüfung, die beiden Agent-Skripte und die Symbole.
 - **Jede Server Action prüft zusätzlich selbst** (`sitzungErforderlich()`). Server Actions sind eigene
  Endpunkte; eine einzige Schutzschicht davor wäre zu wenig, falls der Musterausdruck im Proxy je
  danebengreift.
 - Die Prüfung geht in die Datenbank: Ein gesperrtes Konto oder ein Widerruf beendet laufende Sitzungen
  sofort (`npm run benutzer -- sperren <email>`), statt bis zum Ablauf des Tokens zu warten.
 - Die Anmeldung prüft den `Origin`, damit keine fremde Seite jemanden unbemerkt in ein untergeschobenes
  Konto anmeldet (Login-CSRF). Für Server Actions erledigt das Next.js selbst.
 **Nicht vorhanden:** Rollen. Wer angemeldet ist, darf alles. Für ein Werkzeug, das ein Systemhaus intern
 betreibt, ist das vertretbar – für mehrere Mandanten wäre es das nicht.
 ## A02 – Kryptografische Fehler
 - Passwörter: argon2id (`@node-rs/argon2`), keine eigene Krypto.
 - Sitzungen: signiertes JWT (HS256) aus `APP_SECRET`, 12 Stunden gültig, Cookie `httpOnly`, `sameSite=lax`
  und `secure`, sobald `APP_URL` auf `https://` steht.
 - Zugangsdaten für SMTP und Webhooks liegen AES-256-GCM-verschlüsselt in der Datenbank
  (`src/lib/geheimnisse.ts`); der Schlüssel wird aus `APP_SECRET` abgeleitet.
 - Agent- und Enrollment-Tokens werden nur als SHA-256-Hash gespeichert. Das ist hier richtig und nicht
  zu schwach: Die Tokens sind 32 Byte Zufall, es gibt nichts zu raten.
 **Wichtig:** `APP_SECRET` ist der Generalschlüssel. Geht er verloren, sind alle Sitzungen ungültig und die
 gespeicherten Zugangsdaten unlesbar. Er gehört in die Sicherung.
 ## A03 – Injektion
 - Datenbankzugriffe ausschließlich über Prisma mit gebundenen Werten; kein `$queryRawUnsafe` im Projekt.
 - Ausgaben maskiert React selbst.
 - Zusätzlich greift eine Content-Security-Policy mit frischem Nonce je Anfrage und `strict-dynamic`
  (`src/proxy.ts`). Eingeschleustes `<script>` – etwa über einen manipulierten Hostnamen aus einer
  Proxmox-Ausgabe – läuft damit nicht.
 - Der Agent baut sein JSON mit einer eigenen Maskierung; Sonderzeichen aus Proxmox-Ausgaben sind als
  Testfall hinterlegt.
 ## A04 – Unsicheres Design
 - Push-Modell: Das Dashboard braucht **keinen** Zugang zu den Proxmox-Hosts. Es gibt keine gespeicherten
  root-Zugänge, die abhandenkommen könnten – die Hosts melden von sich aus.
 - Der Agent sendet nur Statusangaben (Subscription, Version, Sockel, IPs). Keine Gastliste, keine Daten.
 - Enrollment-Tokens sind befristet und in der Zahl der Nutzungen begrenzt.
 ## A05 – Sicherheitsrelevante Fehlkonfiguration
 - Kopfzeilen: `X-Content-Type-Options`, `X-Frame-Options: DENY`, `Referrer-Policy`, `Permissions-Policy`,
  `Strict-Transport-Security` (`next.config.ts`) sowie die CSP aus dem Proxy.
 - Die Anwendung startet nicht mit zu kurzem `APP_SECRET`.
 - Im Container läuft die Anwendung als unprivilegierter Benutzer; Anhänge werden mit Rechten 640 abgelegt.
 - Fehlermeldungen nennen keine Einzelheiten: Bei der Anmeldung steht dieselbe Meldung für „Adresse
  unbekannt“ und „Passwort falsch“.
 ## A06 – Verwundbare Komponenten
 - `npm audit --omit=dev` meldet **keine** bekannten Schwachstellen (Stand 18.09.2026).
 - Zwei Fassungen werden über `overrides` angehoben: `mysql2` und `deepmerge-ts` kommen als Beiwerk von
  Prisma mit, obwohl wir Postgres nutzen. Ohne die Anhebung bliebe nur ein Rückschritt auf Prisma 6.
 - Die CI prüft bei jedem Push (#019).
 ## A07 – Fehler bei Identifizierung und Authentifizierung
 - Ratenbremse: fünf Anmeldeversuche je Kennung und Viertelstunde.
 - Anmeldung wahlweise per Passwort oder OIDC (authentik, mit PKCE und `state`).
 - Jede Anmeldung – erfolgreich oder nicht – landet im Audit-Log.
 **Nicht vorhanden:** Zwei-Faktor-Anmeldung. Wer sie braucht, stellt OIDC davor und schaltet die
 Passwortanmeldung ab.
 ## A08 – Datenintegrität
 - Der Agent prüft vor dem Selbstaktualisieren, ob die geladene Datei wie ein Bash-Skript beginnt.
 - Webhooks werden mit HMAC-SHA256 signiert, damit die Gegenstelle die Herkunft prüfen kann.
 - Hochgeladene Rechnungen werden nicht dem gemeldeten Typ nach beurteilt, sondern am Dateianfang
  geprüft (`%PDF-`), auf 10 MB begrenzt und unter ihrer Prüfsumme abgelegt.
 ## A09 – Protokollierung
 - Audit-Log für Anmeldungen, Änderungen an Kunden, Rechnungen, Tokens, Kanälen und Warnregeln –
  einsehbar unter *Einstellungen → Protokoll*.
 - Der Agent protokolliert auf dem Host über `logger` ins Journal.
 ## A10 – Server-Side Request Forgery
 - Die einzige ausgehende Verbindung, die sich einstellen lässt, ist der Benachrichtigungs-Webhook. Er
  wird bewusst von einem Angemeldeten eingetragen und ist damit kein fremdgesteuerter Aufruf.
 - Sonst ruft das Dashboard keine Adressen auf, die aus Daten stammen.
 ## Was ein Betreiber selbst tun muss
 1. HTTPS davorschalten (Beispiele unter `deploy/reverse-proxy/`) und `APP_URL` auf `https://` setzen.
 2. `APP_SECRET` und die Datenbank sichern (`deploy/backup.sh`).
 3. Das Dashboard nicht ins offene Internet stellen, wenn es nicht sein muss. Die Agent-API muss
   erreichbar sein, die Oberfläche nicht.
 4. Enrollment-Tokens nach dem Ausrollen widerrufen.
@@ -7,7 +7,17 @@ const eslintConfig = defineConfig([
  ...nextVitals,
  ...nextTs,
  prettier,
-  globalIgnores([".next/**", "out/**", "build/**", "coverage/**", "next-env.d.ts", "src/generated/**"]),
+  globalIgnores([
    ".next/**",
    "out/**",
    "build/**",
    "coverage/**",
    "next-env.d.ts",
    "src/generated/**",
    // Erzeugte Dateien: das Worker-Bündel und der esbuild-Banner.
    "dist/**",
    "deploy/worker-banner.js",
  ]),
 ]);
 export default eslintConfig;
@@ -1,7 +1,25 @@
 import type { NextConfig } from "next";
 const SICHERHEITS_KOPFZEILEN = [
  { key: "X-Content-Type-Options", value: "nosniff" },
  { key: "X-Frame-Options", value: "DENY" },
  { key: "Referrer-Policy", value: "strict-origin-when-cross-origin" },
  { key: "Permissions-Policy", value: "camera=(), microphone=(), geolocation=()" },
  // HSTS wirkt nur über HTTPS; hinter einem Reverse Proxy ist das der Normalfall.
  { key: "Strict-Transport-Security", value: "max-age=31536000; includeSubDomains" },
 ];
 const nextConfig: NextConfig = {
-  /* config options here */
+  // Für das Container-Abbild: nur die tatsächlich benötigten Dateien mitnehmen.
  output: "standalone",
  // Die Agent-Skripte werden zur Laufzeit ausgeliefert und müssen daher mitgepackt werden.
  outputFileTracingIncludes: {
    "/install.sh": ["./agent/install.sh"],
    "/agent.sh": ["./agent/proxledger-agent.sh"],
  },
  async headers() {
    return [{ source: "/:pfad*", headers: SICHERHEITS_KOPFZEILEN }];
  },
 };
 export default nextConfig;
@@ -1,6 +1,6 @@
 {
  "name": "proxledger",
-  "version": "0.1.0",
+  "version": "0.16.0",
  "private": true,
  "scripts": {
    "dev": "next dev",
@@ -17,30 +17,48 @@
    "db:seed": "prisma db seed",
    "db:studio": "prisma studio",
    "db:generate": "prisma generate",
-    "postinstall": "prisma generate"
+    "postinstall": "prisma generate",
    "issues:sync": "tsx scripts/gitea-issues.ts",
    "worker": "tsx src/worker/index.ts",
    "alerts:check": "tsx scripts/alerts-pruefen.ts",
    "build:worker": "esbuild src/worker/index.ts --bundle --platform=node --target=node24 --format=esm --outfile=dist/worker.mjs --banner:js=\"$(cat deploy/worker-banner.js)\" --external:@prisma/client --external:@node-rs/argon2 --external:pg-native",
    "build:all": "npm run build && npm run build:worker",
    "lasttest": "tsx scripts/lasttest.ts",
    "screenshots": "node scripts/screenshots.mjs",
    "icons": "node scripts/icons.mjs",
    "pruefe:doku": "node scripts/pruefe-doku.mjs",
    "benutzer": "tsx scripts/benutzer.ts"
  },
  "dependencies": {
    "@node-rs/argon2": "^2.2.1",
    "@prisma/adapter-pg": "^7.10.0",
    "@prisma/client": "^7.10.0",
    "@react-pdf/renderer": "^4.9.0",
    "admin-lte": "^4.9.1",
    "bootstrap": "^5.3.8",
    "bootstrap-icons": "^1.13.1",
    "croner": "^10.0.1",
    "jose": "^6.2.12",
    "next": "16.3.5",
    "nodemailer": "^10.0.10",
    "openid-client": "^6.8.8",
    "react": "19.2.8",
    "react-dom": "19.2.8",
    "zod": "^4.6.5"
  },
  "devDependencies": {
    "@types/node": "^24.13.5",
    "@types/nodemailer": "^8.0.2",
    "@types/react": "^19",
    "@types/react-dom": "^19",
    "dotenv": "^17.4.2",
    "esbuild": "^0.28.2",
    "eslint": "^9",
    "eslint-config-next": "16.3.5",
    "eslint-config-prettier": "^10.1.8",
    "prettier": "^3.9.7",
    "prisma": "^7.10.0",
    "sharp": "^0.35.4",
    "tsx": "^4.23.13",
    "typescript": "^5",
    "vitest": "^5.0.1"
@@ -48,5 +66,9 @@
  "description": "Proxmox Subscription Dashboard",
  "engines": {
    "node": ">=24"
  },
  "overrides": {
    "mysql2": "^3.24.4",
    "deepmerge-ts": "^8.0.0"
  }
 }
@@ -0,0 +1,2 @@
 -- AlterTable
 ALTER TABLE "Host" ADD COLUMN     "clusterMitglieder" TEXT[] DEFAULT ARRAY[]::TEXT[];
@@ -0,0 +1,2 @@
 -- AlterTable
 ALTER TABLE "Benutzer" ADD COLUMN     "sitzungenUngueltigAb" TIMESTAMP(3);
@@ -113,6 +113,8 @@ model Host {
  serverId    String?
  clusterName String?
  nodeName    String?
  /// Namen aller Knoten des Clusters laut corosync – auch solche ohne eigenen Agent (#022).
  clusterMitglieder String[] @default([])
  ips         String[] @default([])
  sockets     Int?
  cpuModell   String?
@@ -454,6 +456,8 @@ model Benutzer {
  oidcSubject   String?   @unique
  aktiv         Boolean   @default(true)
  letzterLoginAm DateTime?
  /// Alle Sitzungen, die vor diesem Zeitpunkt ausgestellt wurden, gelten als ungültig (#024).
  sitzungenUngueltigAb DateTime?
  erstelltAm    DateTime  @default(now())
  geaendertAm   DateTime  @updatedAt
@@ -0,0 +1,25 @@
 import "dotenv/config";
 import { alertsAbgleichen, warnregelnSicherstellen } from "@/server/alerts/abgleich";
 /** Einmalige Auswertung der Warnregeln – praktisch zum Prüfen ohne laufenden Worker. */
 async function main() {
  await warnregelnSicherstellen();
  const ergebnis = await alertsAbgleichen();
  console.log(
    `${ergebnis.geoeffnet.length} neu, ${ergebnis.erledigt.length} erledigt, ${ergebnis.unveraendert} unverändert`,
  );
  for (const alert of ergebnis.geoeffnet) {
    console.log(`  + ${alert.schwere.padEnd(8)} ${alert.titel} – ${alert.beschreibung}`);
  }
  for (const fingerprint of ergebnis.erledigt) {
    console.log(`  - erledigt: ${fingerprint}`);
  }
 }
 main()
  .then(() => process.exit(0))
  .catch((fehler) => {
    console.error(fehler);
    process.exit(1);
  });
@@ -0,0 +1,81 @@
 import "dotenv/config";
 import { createInterface } from "node:readline/promises";
 import { hash } from "@node-rs/argon2";
 import { PrismaPg } from "@prisma/adapter-pg";
 import { PrismaClient } from "@/generated/prisma/client";
 /**
 * Benutzerverwaltung von der Kommandozeile – solange es dafür keine Oberfläche gibt.
 *
 *   npm run benutzer -- liste
 *   npm run benutzer -- sperren <email>      Konto sperren und alle Sitzungen sofort beenden
 *   npm run benutzer -- entsperren <email>
 *   npm run benutzer -- passwort <email>     neues Passwort setzen, beendet alle Sitzungen
 */
 const prisma = new PrismaClient({
  adapter: new PrismaPg({ connectionString: process.env.DATABASE_URL }),
 });
 async function passwortAbfragen(): Promise<string> {
  const eingabe = createInterface({ input: process.stdin, output: process.stdout });
  const passwort = await eingabe.question("Neues Passwort (mindestens 12 Zeichen): ");
  eingabe.close();
  if (passwort.length < 12) throw new Error("Zu kurz – mindestens 12 Zeichen.");
  return passwort;
 }
 async function main() {
  const [befehl, email] = process.argv.slice(2);
  if (befehl === "liste") {
    const alle = await prisma.benutzer.findMany({ orderBy: { email: "asc" } });
    for (const b of alle) {
      console.log(`${b.aktiv ? "aktiv  " : "gesperrt"}  ${b.email.padEnd(32)} ${b.name}`);
    }
    return;
  }
  if (!email) throw new Error("Bitte eine E-Mail-Adresse angeben.");
  const benutzer = await prisma.benutzer.findUnique({ where: { email: email.toLowerCase().trim() } });
  if (!benutzer) throw new Error(`Kein Benutzer mit der Adresse ${email}.`);
  switch (befehl) {
    case "sperren":
      // Sperren allein genügt nicht: Das Sitzungs-Token gilt sonst bis zum Ablauf weiter.
      await prisma.benutzer.update({
        where: { id: benutzer.id },
        data: { aktiv: false, sitzungenUngueltigAb: new Date() },
      });
      console.log(`${benutzer.email} ist gesperrt, alle Sitzungen sind beendet.`);
      break;
    case "entsperren":
      await prisma.benutzer.update({ where: { id: benutzer.id }, data: { aktiv: true } });
      console.log(`${benutzer.email} ist wieder freigegeben.`);
      break;
    case "passwort": {
      const passwort = await passwortAbfragen();
      await prisma.benutzer.update({
        where: { id: benutzer.id },
        data: {
          passwortHash: await hash(passwort),
          sitzungenUngueltigAb: new Date(),
        },
      });
      console.log(`Passwort gesetzt; bestehende Sitzungen von ${benutzer.email} sind beendet.`);
      break;
    }
    default:
      throw new Error("Bekannte Befehle: liste, sperren, entsperren, passwort");
  }
 }
 main()
  .catch((fehler: unknown) => {
    console.error(fehler instanceof Error ? fehler.message : fehler);
    process.exitCode = 1;
  })
  .finally(() => prisma.$disconnect());
@@ -0,0 +1,91 @@
 #!/usr/bin/env bash
 # Sammelt auf einem Proxmox-Host alle Ausgaben, die der ProxLedger-Agent auswertet.
 # Es wird nichts installiert und nichts verändert – das Skript liest nur.
 #
 #   bash feldtest-erheben.sh              # Ausgabe anonymisiert (Empfehlung zum Weitergeben)
 #   bash feldtest-erheben.sh --vollstaendig   # ohne Anonymisierung, nur für den eigenen Gebrauch
 #
 # Ergebnis: eine Textdatei im aktuellen Verzeichnis, die weitergegeben werden kann.
 set -o nounset
 set -o pipefail
 ANONYM="ja"
 [ "${1:-}" = "--vollstaendig" ] && ANONYM="nein"
 AUSGABE="proxledger-feldtest-$(hostname -s 2>/dev/null || echo host)-$(date +%Y%m%d-%H%M%S).txt"
 # Ersetzt Subscription-Keys, Server-IDs, Hostnamen und IP-Adressen durch Platzhalter.
 anonymisieren() {
  if [ "$ANONYM" = "nein" ]; then
    cat
    return
  fi
  sed -E \
    -e 's/(pve[0-9]?[a-z]|pbs[a-z]|pmg[a-z])-[A-Za-z0-9]+/\1-KEY-ANONYMISIERT/g' \
    -e 's/([Ss]erverid:[[:space:]]*)[A-Za-z0-9]+/\1SERVERID-ANONYMISIERT/g' \
    -e 's/\b([0-9]{1,3}\.){3}[0-9]{1,3}\b/IP-ANONYMISIERT/g' \
    -e "s/$(hostname -s 2>/dev/null || echo unbekannt)/HOSTNAME-ANONYMISIERT/g"
 }
 abschnitt() {
  printf '\n===== %s =====\n' "$1"
 }
 # Führt einen Befehl aus und hält fest, ob es ihn überhaupt gibt.
 zeige() {
  local befehl="$1"
  abschnitt "$befehl"
  if ! command -v "${befehl%% *}" >/dev/null 2>&1; then
    printf '(Befehl nicht vorhanden)\n'
    return
  fi
  eval "$befehl" 2>&1 | head -n 40
  printf '[Rückgabewert: %s]\n' "$?"
 }
 {
  printf 'ProxLedger – Erhebung für den Feldtest\n'
  printf 'Erstellt am: %s\n' "$(date -Is)"
  printf 'Anonymisiert: %s\n' "$ANONYM"
  abschnitt "Betriebssystem"
  cat /etc/os-release 2>/dev/null | head -n 5
  printf 'Kernel: %s\n' "$(uname -r)"
  abschnitt "Erkanntes Produkt"
  for befehl in pvesubscription proxmox-backup-manager pmgsubscription; do
    if command -v "$befehl" >/dev/null 2>&1; then
      printf 'gefunden: %s\n' "$befehl"
    fi
  done
  zeige "pvesubscription get"
  zeige "proxmox-backup-manager subscription get"
  zeige "pmgsubscription get"
  # Einige Fassungen können JSON – das wäre die stabilere Quelle.
  zeige "pvesubscription get --output-format json"
  zeige "proxmox-backup-manager subscription get --output-format json"
  zeige "pveversion"
  zeige "proxmox-backup-manager version"
  zeige "pmgversion"
  zeige "lscpu | grep -E 'Socket|Model name|Sockel|Modellname'"
  zeige "ip -o addr show scope global"
  zeige "hostname -f"
  zeige "pvecm status"
  zeige "apt list --upgradable 2>/dev/null | grep -c 'upgradable from'"
  abschnitt "Vorhandene Werkzeuge"
  for befehl in curl systemctl logger jq awk sed; do
    printf '%-12s %s\n' "$befehl" "$(command -v "$befehl" || echo 'FEHLT')"
  done
  abschnitt "Ende"
 } 2>&1 | anonymisieren > "$AUSGABE"
 printf 'Fertig: %s\n' "$AUSGABE"
 printf 'Anonymisiert: %s (mit --vollstaendig ohne Anonymisierung)\n' "$ANONYM"
 printf 'Bitte vor dem Weitergeben kurz durchsehen.\n'
@@ -0,0 +1,280 @@
 /**
 * Überträgt die Issue-Dateien aus `docs/issues/` in den Gitea-Issue-Tracker.
 *
 *   GITEA_URL=https://git.wilde-server.de \
 *   GITEA_REPO=florian.wilde/ProxLedger \
 *   GITEA_TOKEN=... \
 *   npm run issues:sync
 *
 * Ohne Token oder mit `--dry-run` läuft nur ein Trockenlauf: Es wird ausgegeben, was passieren würde.
 * Die Markdown-Dateien bleiben die Quelle der Wahrheit; Gitea erhält eine Kopie zum Kommentieren.
 */
 import { execFileSync } from "node:child_process";
 import { readFile, readdir } from "node:fs/promises";
 import "dotenv/config";
 import path from "node:path";
 interface IssueDatei {
  nummer: number;
  titel: string;
  status: string;
  meilenstein: string | null;
  labels: string[];
  koerper: string;
  dateiname: string;
 }
 const LABEL_FARBEN: Record<string, string> = {
  agent: "#1e7e34",
  backend: "#007bff",
  api: "#6f42c1",
  ui: "#17a2b8",
  datenbank: "#20c997",
  sicherheit: "#c82333",
  docs: "#6c757d",
  deployment: "#fd7e14",
  infrastruktur: "#495057",
  alerts: "#ffc107",
  buchhaltung: "#e83e8c",
  export: "#0dcaf0",
  prototyp: "#adb5bd",
  test: "#198754",
  chore: "#868e96",
 };
 function feld(inhalt: string, name: string): string | null {
  const treffer = new RegExp(`^\\*\\*${name}:\\*\\*\\s*(.+)$`, "m").exec(inhalt);
  return treffer ? treffer[1].trim() : null;
 }
 async function dateienLesen(verzeichnis: string): Promise<IssueDatei[]> {
  const namen = (await readdir(verzeichnis)).filter((name) => /^\d{3}-.*\.md$/.test(name)).sort();
  const issues: IssueDatei[] = [];
  for (const dateiname of namen) {
    const inhalt = await readFile(path.join(verzeichnis, dateiname), "utf8");
    const kopf = /^#\s*#(\d+)\s+(.+)$/m.exec(inhalt);
    if (!kopf) {
      console.warn(`Übersprungen (keine Überschrift „# #NNN Titel“): ${dateiname}`);
      continue;
    }
    // Der Körper beginnt nach den Kopfzeilen (Status, Meilenstein, Labels, Zeiten).
    const körperStart = inhalt.indexOf("## Ziel");
    issues.push({
      nummer: Number(kopf[1]),
      titel: kopf[2].trim(),
      status: feld(inhalt, "Status") ?? "offen",
      meilenstein: feld(inhalt, "Meilenstein"),
      labels: (feld(inhalt, "Labels") ?? "")
        .split(",")
        .map((label) => label.trim().toLowerCase())
        .filter(Boolean),
      koerper: körperStart >= 0 ? inhalt.slice(körperStart).trim() : inhalt,
      dateiname,
    });
  }
  return issues;
 }
 class Gitea {
  constructor(
    private readonly basis: string,
    private readonly repo: string,
    private readonly token: string,
  ) {}
  private async anfrage<T>(pfad: string, optionen: RequestInit = {}): Promise<T> {
    const antwort = await fetch(`${this.basis}/api/v1/repos/${this.repo}${pfad}`, {
      ...optionen,
      headers: {
        Authorization: `token ${this.token}`,
        "Content-Type": "application/json",
        ...optionen.headers,
      },
    });
    if (!antwort.ok) {
      throw new Error(`Gitea antwortet mit ${antwort.status} auf ${pfad}: ${await antwort.text()}`);
    }
    return (await antwort.json()) as T;
  }
  labels() {
    return this.anfrage<{ id: number; name: string }[]>("/labels?limit=100");
  }
  labelAnlegen(name: string) {
    return this.anfrage<{ id: number; name: string }>("/labels", {
      method: "POST",
      body: JSON.stringify({ name, color: LABEL_FARBEN[name] ?? "#6c757d" }),
    });
  }
  meilensteine() {
    return this.anfrage<{ id: number; title: string }[]>("/milestones?state=all&limit=100");
  }
  meilensteinAnlegen(title: string) {
    return this.anfrage<{ id: number; title: string }>("/milestones", {
      method: "POST",
      body: JSON.stringify({ title }),
    });
  }
  issues() {
    return this.anfrage<{ number: number; title: string; state: string }[]>("/issues?state=all&limit=200");
  }
  issueAnlegen(daten: Record<string, unknown>) {
    return this.anfrage<{ number: number }>("/issues", { method: "POST", body: JSON.stringify(daten) });
  }
  issueAendern(nummer: number, daten: Record<string, unknown>) {
    return this.anfrage<{ number: number }>(`/issues/${nummer}`, {
      method: "PATCH",
      body: JSON.stringify(daten),
    });
  }
 }
 /**
 * Ermittelt Serveradresse und Repo aus dem Git-Remote, damit beides nicht doppelt gepflegt werden muss.
 * Beispiel: https://git.example.de/benutzer/ProxLedger.git → { basis, repo }
 */
 function ausRemote(): { basis: string; repo: string } | null {
  try {
    const url = execFileSync("git", ["remote", "get-url", "origin"], { encoding: "utf8" }).trim();
    const treffer = /^https?:\/\/(?:[^@/]*@)?([^/]+)\/(.+?)(?:\.git)?$/.exec(url);
    if (!treffer) return null;
    return { basis: `https://${treffer[1]}`, repo: treffer[2] };
  } catch {
    return null;
  }
 }
 /**
 * Holt den Token aus den Git-Zugangsdaten (Schlüsselbund oder `~/.git-credentials`).
 * So genügt ein einziger Token für Push und API – er muss nicht zusätzlich in der .env stehen.
 */
 function tokenAusGitCredentials(basis: string): string | null {
  const host = new URL(basis).host;
  // Erst die eingerichteten Helfer (z. B. Schlüsselbund), dann zusätzlich die Datei
  // ~/.git-credentials – je nach Rechner ist mal das eine, mal das andere gefüllt.
  for (const zusatz of [[], ["-c", "credential.helper=store"]]) {
    try {
      const antwort = execFileSync("git", [...zusatz, "credential", "fill"], {
        input: `protocol=https\nhost=${host}\n\n`,
        encoding: "utf8",
        // Keine Rückfrage im Terminal: Wenn nichts hinterlegt ist, soll der Aufruf scheitern.
        env: { ...process.env, GIT_TERMINAL_PROMPT: "0" },
        stdio: ["pipe", "pipe", "ignore"],
      });
      const passwort = /^password=(.*)$/m.exec(antwort);
      if (passwort?.[1]) return passwort[1];
    } catch {
      // Nächste Möglichkeit versuchen.
    }
  }
  return null;
 }
 /** Titel in Gitea, z. B. „#004 Agent-Skript“ – daran werden vorhandene Issues wiedererkannt. */
 function giteaTitel(issue: IssueDatei): string {
  return `#${String(issue.nummer).padStart(3, "0")} ${issue.titel}`;
 }
 async function main() {
  const trockenlauf = process.argv.includes("--dry-run");
  const remote = ausRemote();
  const basis = (process.env.GITEA_URL ?? remote?.basis ?? "").replace(/\/$/, "");
  const repo = process.env.GITEA_REPO ?? remote?.repo ?? "";
  const token = process.env.GITEA_TOKEN || (basis ? (tokenAusGitCredentials(basis) ?? "") : "");
  const tokenQuelle = process.env.GITEA_TOKEN ? "Umgebungsvariable" : "Git-Zugangsdaten";
  const verzeichnis = path.join(process.cwd(), "docs", "issues");
  const issues = await dateienLesen(verzeichnis);
  console.log(`${issues.length} Issue-Dateien gelesen.`);
  if (trockenlauf || !basis || !repo || !token) {
    if (!trockenlauf) {
      console.log(
        "\nAdresse, Repo oder Token nicht ermittelbar – es läuft nur ein Trockenlauf.\n" +
          "Entweder GITEA_TOKEN setzen oder einmal `git push` ausführen, damit der Token hinterlegt wird.\n",
      );
    }
    for (const issue of issues) {
      console.log(
        `  ${giteaTitel(issue)}  [${issue.status}]  Meilenstein ${issue.meilenstein ?? "–"}  Labels: ${
          issue.labels.join(", ") || "–"
        }`,
      );
    }
    console.log(
      `\nZiel wäre: ${basis || "?"}/${repo || "?"} – Token ${token ? "vorhanden" : "fehlt"}.` +
        "\nDer Token wird aus den Git-Zugangsdaten gelesen; er braucht zusätzlich das Recht „issue:write“.",
    );
    return;
  }
  console.log(`Ziel: ${basis}/${repo} (Token aus: ${tokenQuelle})`);
  const gitea = new Gitea(basis, repo, token);
  const vorhandeneLabels = new Map((await gitea.labels()).map((l) => [l.name.toLowerCase(), l.id]));
  const benoetigteLabels = [...new Set(issues.flatMap((issue) => issue.labels))];
  for (const name of benoetigteLabels) {
    if (!vorhandeneLabels.has(name)) {
      const neu = await gitea.labelAnlegen(name);
      vorhandeneLabels.set(name, neu.id);
      console.log(`Label angelegt: ${name}`);
    }
  }
  const vorhandeneMeilensteine = new Map((await gitea.meilensteine()).map((m) => [m.title, m.id]));
  const benoetigteMeilensteine = [
    ...new Set(issues.map((issue) => issue.meilenstein).filter((m): m is string => Boolean(m))),
  ].sort();
  for (const titel of benoetigteMeilensteine) {
    if (!vorhandeneMeilensteine.has(titel)) {
      const neu = await gitea.meilensteinAnlegen(titel);
      vorhandeneMeilensteine.set(titel, neu.id);
      console.log(`Meilenstein angelegt: ${titel}`);
    }
  }
  const vorhandeneIssues = new Map((await gitea.issues()).map((i) => [i.title, i]));
  for (const issue of issues) {
    const titel = giteaTitel(issue);
    const daten = {
      title: titel,
      body: `${issue.koerper}\n\n---\nQuelle: \`docs/issues/${issue.dateiname}\` – dort wird dieses Issue gepflegt.`,
      labels: issue.labels
        .map((name) => vorhandeneLabels.get(name))
        .filter((id): id is number => Boolean(id)),
      milestone: issue.meilenstein ? vorhandeneMeilensteine.get(issue.meilenstein) : undefined,
    };
    const vorhanden = vorhandeneIssues.get(titel);
    const zustand = issue.status.startsWith("erledigt") ? "closed" : "open";
    if (vorhanden) {
      await gitea.issueAendern(vorhanden.number, { ...daten, state: zustand });
      console.log(`Aktualisiert: ${titel} (${zustand})`);
    } else {
      const neu = await gitea.issueAnlegen(daten);
      if (zustand === "closed") await gitea.issueAendern(neu.number, { state: "closed" });
      console.log(`Angelegt: ${titel} (${zustand})`);
    }
  }
  console.log("\nAbgleich abgeschlossen.");
 }
 main().catch((fehler) => {
  console.error(fehler instanceof Error ? fehler.message : fehler);
  process.exit(1);
 });
@@ -0,0 +1,91 @@
 #!/usr/bin/env node
 /**
 * Erzeugt alle Symboldateien aus den SVG-Vorlagen in `assets/`.
 *
 *   npm run icons
 *
 * Ergebnis:
 *   src/app/icon.svg        – Symbol im Browser-Tab (moderne Browser)
 *   src/app/favicon.ico     – Rückfall für ältere Browser (16, 32, 48 px)
 *   public/icon-192.png     – Startbildschirm und Fortschrittsanzeigen
 *   public/icon-512.png
 *   src/app/apple-icon.png  – iOS-Startbildschirm (180 px, mit Hintergrund)
 *
 * Die Größen 16 und 32 nutzen vereinfachte Vorlagen, weil die feinen Linien sonst verschwimmen.
 */
 import { readFile, writeFile, mkdir } from "node:fs/promises";
 import path from "node:path";
 import sharp from "sharp";
 const WURZEL = process.cwd();
 const ASSETS = path.join(WURZEL, "assets");
 async function png(vorlage, groesse) {
  const svg = await readFile(path.join(ASSETS, vorlage));
  return sharp(svg, { density: 384 }).resize(groesse, groesse).png({ compressionLevel: 9 }).toBuffer();
 }
 /**
 * Baut eine ICO-Datei aus PNG-Bildern. Das Format ist schlicht: ein Kopf, je Bild ein
 * Verzeichniseintrag, danach die Bilddaten – PNG als Inhalt ist seit Vista erlaubt.
 */
 function icoBauen(bilder) {
  const kopf = Buffer.alloc(6);
  kopf.writeUInt16LE(0, 0); // reserviert
  kopf.writeUInt16LE(1, 2); // Typ 1 = Symbol
  kopf.writeUInt16LE(bilder.length, 4);
  let versatz = 6 + bilder.length * 16;
  const eintraege = [];
  for (const bild of bilder) {
    const eintrag = Buffer.alloc(16);
    eintrag.writeUInt8(bild.groesse >= 256 ? 0 : bild.groesse, 0); // Breite (0 = 256)
    eintrag.writeUInt8(bild.groesse >= 256 ? 0 : bild.groesse, 1); // Höhe
    eintrag.writeUInt8(0, 2); // Farben in der Palette
    eintrag.writeUInt8(0, 3); // reserviert
    eintrag.writeUInt16LE(1, 4); // Farbebenen
    eintrag.writeUInt16LE(32, 6); // Bits je Bildpunkt
    eintrag.writeUInt32LE(bild.daten.length, 8);
    eintrag.writeUInt32LE(versatz, 12);
    eintraege.push(eintrag);
    versatz += bild.daten.length;
  }
  return Buffer.concat([kopf, ...eintraege, ...bilder.map((b) => b.daten)]);
 }
 async function main() {
  await mkdir(path.join(WURZEL, "public"), { recursive: true });
  // Tab-Symbol: das SVG selbst, damit es in jeder Größe scharf bleibt.
  const svg = await readFile(path.join(ASSETS, "logo-32.svg"));
  await writeFile(path.join(WURZEL, "src", "app", "icon.svg"), svg);
  console.log("  src/app/icon.svg");
  const ico = icoBauen([
    { groesse: 16, daten: await png("logo-16.svg", 16) },
    { groesse: 32, daten: await png("logo-32.svg", 32) },
    { groesse: 48, daten: await png("logo-32.svg", 48) },
  ]);
  await writeFile(path.join(WURZEL, "src", "app", "favicon.ico"), ico);
  console.log(`  src/app/favicon.ico (${(ico.length / 1024).toFixed(1)} KB)`);
  for (const groesse of [192, 512]) {
    const daten = await png("logo-kachel.svg", groesse);
    await writeFile(path.join(WURZEL, "public", `icon-${groesse}.png`), daten);
    console.log(`  public/icon-${groesse}.png`);
  }
  const apple = await png("logo-kachel.svg", 180);
  await writeFile(path.join(WURZEL, "src", "app", "apple-icon.png"), apple);
  console.log("  src/app/apple-icon.png");
 }
 console.log("Erzeuge Symbole aus assets/:");
 main()
  .then(() => console.log("Fertig."))
  .catch((fehler) => {
    console.error(fehler.message ?? fehler);
    process.exit(1);
  });
@@ -0,0 +1,166 @@
 import "dotenv/config";
 import { PrismaPg } from "@prisma/adapter-pg";
 import { PrismaClient } from "@/generated/prisma/client";
 import { alertsAbgleichen, warnregelnSicherstellen } from "@/server/alerts/abgleich";
 import { hostsNachAblauf, offeneAufgaben } from "@/server/queries/dashboard";
 import { hostListe } from "@/server/queries/hostliste";
 import { kennzahlen, suchIndex } from "@/server/queries/hosts";
 import { kundenListe, offeneRechnungspunkteProKunde } from "@/server/queries/kunden";
 import { rechnungsListe } from "@/server/queries/rechnungen";
 /**
 * Lasttest: legt eine große Datenmenge an und misst die Abfragen der wichtigsten Seiten.
 * Läuft gegen die Testdatenbank (`TEST_DATABASE_URL`), damit die Entwicklungsdaten unberührt bleiben.
 *
 *   npm run lasttest
 */
 const HOSTS = Number(process.env.LAST_HOSTS ?? 200);
 const KUNDEN = Number(process.env.LAST_KUNDEN ?? 25);
 const JAHRE = Number(process.env.LAST_JAHRE ?? 5);
 const REPORTS_PRO_HOST = JAHRE * 365;
 const url = process.env.TEST_DATABASE_URL ?? process.env.DATABASE_URL;
 if (!url) throw new Error("TEST_DATABASE_URL oder DATABASE_URL setzen.");
 process.env.DATABASE_URL = url;
 const prisma = new PrismaClient({ adapter: new PrismaPg({ connectionString: url }) });
 async function messen<T>(name: string, arbeit: () => Promise<T>): Promise<T> {
  const start = performance.now();
  const ergebnis = await arbeit();
  const dauer = performance.now() - start;
  const anzahl = Array.isArray(ergebnis) ? ` (${ergebnis.length} Einträge)` : "";
  console.log(`  ${name.padEnd(38)} ${dauer.toFixed(0).padStart(6)} ms${anzahl}`);
  return ergebnis;
 }
 async function datenAnlegen() {
  console.log(`Lege Testdaten an: ${KUNDEN} Kunden, ${HOSTS} Hosts, je ${REPORTS_PRO_HOST} Reports …`);
  const start = performance.now();
  await prisma.$executeRawUnsafe(`
    TRUNCATE TABLE "Alert","Benachrichtigung","Report","Laufzeit","ProxmoxRechnungPosition",
    "ProxmoxRechnung","KundenrechnungPosition","Kundenrechnung","ServerIdHistorie",
    "SubscriptionKeyHistorie","AgentToken","Host","Standort","Kunde" RESTART IDENTITY CASCADE
  `);
  for (let k = 0; k < KUNDEN; k++) {
    await prisma.kunde.create({
      data: { id: `k${k}`, name: `Kunde ${k} GmbH`, kundennummer: `K-${9000 + k}` },
    });
  }
  const heute = new Date();
  for (let h = 0; h < HOSTS; h++) {
    const ablauf = new Date(heute.getTime() + ((h % 400) - 30) * 86_400_000);
    await prisma.host.create({
      data: {
        id: `h${h}`,
        agentId: `last-${h}`,
        hostname: `pve-last-${String(h).padStart(3, "0")}`,
        produkt: h % 7 === 0 ? "PBS" : "PVE",
        kundeId: h % 20 === 0 ? null : `k${h % KUNDEN}`,
        subKey: `pve1c-${String(h).padStart(10, "0")}`,
        subStatus: h % 11 === 0 ? "EXPIRED" : "ACTIVE",
        subNextduedate: ablauf,
        subLizenzierteSockets: 1,
        sockets: h % 13 === 0 ? 2 : 1,
        ips: [`10.0.${Math.floor(h / 254)}.${h % 254}`],
        letzterReportAm: new Date(heute.getTime() - (h % 5) * 86_400_000),
      },
    });
    // Reports in Blöcken, sonst dauert es unnötig lange.
    const reports = Array.from({ length: REPORTS_PRO_HOST }, (_, i) => ({
      reportId: `last-${h}-${i}`,
      hostId: `h${h}`,
      erhobenAm: new Date(heute.getTime() - i * 86_400_000),
      subStatus: "ACTIVE" as const,
      subKey: `pve1c-${String(h).padStart(10, "0")}`,
      rohdaten: {},
    }));
    for (let i = 0; i < reports.length; i += 2000) {
      await prisma.report.createMany({ data: reports.slice(i, i + 2000) });
    }
    // Fünf Laufzeiten je Host, jede zweite mit Rechnungen.
    for (let j = 0; j < JAHRE; j++) {
      const beginn = new Date(Date.UTC(heute.getUTCFullYear() - j, h % 12, ((h + j) % 27) + 1));
      const laufzeit = await prisma.laufzeit.create({
        data: {
          hostId: `h${h}`,
          key: `pve1c-${String(h).padStart(10, "0")}`,
          start: beginn,
          ende: new Date(Date.UTC(beginn.getUTCFullYear() + 1, beginn.getUTCMonth(), beginn.getUTCDate() - 1)),
          status: "BESTAETIGT",
        },
      });
      if ((h + j) % 2 === 0) {
        const rechnung = await prisma.proxmoxRechnung.create({
          data: {
            nummer: `PX-LAST-${h}-${j}`,
            datum: beginn,
            faelligAm: new Date(beginn.getTime() + 14 * 86_400_000),
            nettoBetrag: 115,
            bezahlt: j > 0,
            positionen: { create: [{ bezeichnung: "Laufzeit", nettoBetrag: 115 }] },
          },
          include: { positionen: true },
        });
        await prisma.laufzeit.update({
          where: { id: laufzeit.id },
          data: { proxmoxPositionId: rechnung.positionen[0].id },
        });
      }
    }
  }
  console.log(`Daten angelegt in ${((performance.now() - start) / 1000).toFixed(1)} s\n`);
 }
 async function main() {
  await datenAnlegen();
  await warnregelnSicherstellen();
  const [hosts, reports, laufzeiten] = await Promise.all([
    prisma.host.count(),
    prisma.report.count(),
    prisma.laufzeit.count(),
  ]);
  console.log(`Bestand: ${hosts} Hosts, ${reports} Reports, ${laufzeiten} Laufzeiten\n`);
  console.log("Dashboard:");
  await messen("Kennzahlen", () => kennzahlen());
  await messen("Hosts nach Ablauf", () => hostsNachAblauf());
  await messen("Offene Aufgaben", () => offeneAufgaben());
  await messen("Kundenliste", () => kundenListe());
  await messen("Rechnungspunkte je Kunde", () => offeneRechnungspunkteProKunde());
  console.log("\nHost-Tabelle:");
  await messen("Erste Seite", () => hostListe({}));
  await messen("Suche nach Key", () => hostListe({ q: "pve1c-0000000100" }));
  await messen("Filter: bald ablaufend", () => hostListe({ ablauf: "30" }));
  await messen("Filter: offene Rechnungen", () => hostListe({ rechnung: "offen" }));
  await messen("Sortierung nach Ablauf", () => hostListe({ sortierung: "ablauf" }));
  console.log("\nWeitere Seiten:");
  await messen("Rechnungsliste (offen)", () => rechnungsListe({ status: "offen" }));
  await messen("Suchindex (Strg+K)", () => suchIndex());
  await messen("Warnregeln auswerten", () => alertsAbgleichen());
  const offeneAlerts = await prisma.alert.count({ where: { erledigtAm: null } });
  console.log(`\nOffene Warnungen nach der Auswertung: ${offeneAlerts}`);
 }
 main()
  .then(async () => {
    await prisma.$disconnect();
    process.exit(0);
  })
  .catch(async (fehler) => {
    console.error(fehler);
    await prisma.$disconnect();
    process.exit(1);
  });
@@ -0,0 +1,88 @@
 #!/usr/bin/env node
 /**
 * Prüft, ob Dokumentation und Version zusammenpassen.
 *
 *   npm run pruefe:doku
 *
 * Geprüft wird:
 *   1. Die Version aus package.json hat einen Abschnitt im Changelog.
 *   2. Jede Issue-Datei steht in der Übersicht – und umgekehrt.
 *   3. Status und tatsächliche Zeit stimmen zwischen Issue-Datei und Übersicht überein.
 *   4. Alle im Handbuch verlinkten Bilder sind vorhanden.
 */
 import { readFile, readdir } from "node:fs/promises";
 import path from "node:path";
 const WURZEL = process.cwd();
 const fehler = [];
 function pruefe(bedingung, meldung) {
  if (!bedingung) fehler.push(meldung);
 }
 async function versionImChangelog() {
  const { version } = JSON.parse(await readFile(path.join(WURZEL, "package.json"), "utf8"));
  const changelog = await readFile(path.join(WURZEL, "CHANGELOG.md"), "utf8");
  pruefe(
    changelog.includes(`## [${version}]`),
    `Version ${version} aus package.json fehlt im CHANGELOG.md.`,
  );
 }
 async function issuesUndUebersicht() {
  const verzeichnis = path.join(WURZEL, "docs", "issues");
  const dateien = (await readdir(verzeichnis)).filter((name) => /^\d{3}-.*\.md$/.test(name)).sort();
  const uebersicht = await readFile(path.join(verzeichnis, "README.md"), "utf8");
  for (const datei of dateien) {
    pruefe(uebersicht.includes(`(${datei})`), `Issue ${datei} fehlt in docs/issues/README.md.`);
    const inhalt = await readFile(path.join(verzeichnis, datei), "utf8");
    const status = /^\*\*Status:\*\*\s*(.+)$/m.exec(inhalt)?.[1]?.trim();
    const zeit = /^\*\*Geschätzt:\*\*.*\*\*Tatsächlich:\*\*\s*(.+)$/m.exec(inhalt)?.[1]?.trim();
    const zeile = uebersicht.split("\n").find((z) => z.includes(`(${datei})`));
    if (!zeile) continue;
    pruefe(
      zeile.includes(`| ${status} |`),
      `Status von ${datei} ist „${status}“, die Übersicht sagt etwas anderes: ${zeile.trim()}`,
    );
    if (zeit && zeit !== "–") {
      pruefe(
        zeile.includes(zeit),
        `Zeit von ${datei} ist „${zeit}“, steht so aber nicht in der Übersicht.`,
      );
    }
  }
  // Umgekehrt: Zeilen in der Übersicht ohne zugehörige Datei.
  for (const treffer of uebersicht.matchAll(/\((\d{3}-[^)]+\.md)\)/g)) {
    pruefe(dateien.includes(treffer[1]), `Übersicht verweist auf ${treffer[1]}, die Datei fehlt.`);
  }
 }
 async function bilderImHandbuch() {
  const handbuch = path.join(WURZEL, "docs", "anleitung");
  const text = await readFile(path.join(handbuch, "README.md"), "utf8");
  const bilder = [...text.matchAll(/!\[[^\]]*\]\((bilder\/[^)]+)\)/g)].map((t) => t[1]);
  const vorhanden = new Set(await readdir(path.join(handbuch, "bilder")));
  for (const bild of bilder) {
    pruefe(vorhanden.has(path.basename(bild)), `Handbuch verweist auf ${bild}, die Datei fehlt.`);
  }
 }
 await versionImChangelog();
 await issuesUndUebersicht();
 await bilderImHandbuch();
 if (fehler.length > 0) {
  console.error("Die Dokumentation passt nicht zusammen:\n");
  for (const meldung of fehler) console.error(`  · ${meldung}`);
  process.exit(1);
 }
 console.log("Dokumentation, Versionen und Bilder passen zusammen.");
@@ -0,0 +1,204 @@
 #!/usr/bin/env node
 /**
 * Erzeugt die Bilder für das Handbuch (docs/anleitung/bilder/).
 *
 *   npm run screenshots                       # heller Modus, Desktop
 *   npm run screenshots -- --alle             # zusätzlich dunkler Modus und Mobilansicht
 *   npm run screenshots -- --seite name=/pfad # zusätzlich eine bestimmte Seite
 *
 * Voraussetzung: Das Dashboard läuft (npm start) und die Datenbank enthält Daten.
 * Die Anmeldung erledigt das Skript selbst, indem es ein Sitzungs-Cookie erzeugt
 * und in ein eigenes Firefox-Profil schreibt – so bleibt der Schutz der Anwendung unangetastet.
 */
 import { spawn } from "node:child_process";
 import { createServer } from "node:http";
 import { existsSync, mkdirSync, rmSync, statSync, writeFileSync } from "node:fs";
 import { homedir } from "node:os";
 import path from "node:path";
 import { request as httpAnfrage } from "node:http";
 import { SignJWT } from "jose";
 import "dotenv/config";
 const BASIS = process.env.SCREENSHOT_URL ?? "http://localhost:3000";
 const ZIEL = path.join(process.cwd(), "docs", "anleitung", "bilder");
 const ALLE = process.argv.includes("--alle");
 /** Zusätzliche Seiten von der Befehlszeile: --seite name=/pfad */
 const ZUSATZ = process.argv
  .filter((wert, i) => process.argv[i - 1] === "--seite")
  .map((eintrag) => {
    const [name, ...rest] = eintrag.split("=");
    return { name, pfad: rest.join("="), titel: "zusätzlich" };
  });
 // Firefox aus dem Snap-Paket kommt nicht an versteckte Verzeichnisse – daher im Home sichtbar ablegen.
 const PROFIL_BASIS = path.join(homedir(), "proxledger-screenshots");
 const SEITEN = [
  { name: "dashboard", pfad: "/", titel: "Dashboard" },
  { name: "hosts", pfad: "/hosts", titel: "Host-Tabelle" },
  { name: "host-detail", pfad: "/hosts?q=pve-brandl-01", titel: "Host-Suche" },
  { name: "kunden", pfad: "/kunden", titel: "Kundenübersicht" },
  { name: "nicht-zugeordnet", pfad: "/hosts/nicht-zugeordnet", titel: "Nicht zugeordnete Hosts" },
  { name: "rechnungen", pfad: "/rechnungen", titel: "Rechnungen" },
  { name: "jahresbahn", pfad: "/jahresbahn", titel: "Jahresbahn" },
  { name: "warnungen", pfad: "/warnungen", titel: "Warnungen" },
  { name: "warnregeln", pfad: "/einstellungen/warnregeln", titel: "Warnregeln" },
  { name: "tokens", pfad: "/einstellungen/tokens", titel: "Agent-Tokens" },
  { name: "benachrichtigungen", pfad: "/einstellungen/benachrichtigungen", titel: "Benachrichtigungen" },
  { name: "audit", pfad: "/einstellungen/audit", titel: "Protokoll" },
  { name: "system", pfad: "/einstellungen/system", titel: "Systemeinstellungen" },
 ];
 async function sitzungsToken() {
  const geheimnis = process.env.APP_SECRET;
  if (!geheimnis || geheimnis.length < 32) {
    throw new Error("APP_SECRET fehlt oder ist zu kurz – ohne Sitzung keine Bilder.");
  }
  return new SignJWT({
    benutzerId: "screenshots",
    email: process.env.ADMIN_EMAIL ?? "admin@example.de",
    name: process.env.ADMIN_NAME ?? "Florian",
    herkunft: "passwort",
  })
    .setProtectedHeader({ alg: "HS256" })
    .setSubject("screenshots")
    .setIssuedAt()
    .setIssuer("proxledger")
    .setExpirationTime("1h")
    .sign(new TextEncoder().encode(geheimnis));
 }
 /**
 * Kleiner Vermittler vor dem Dashboard: Er reicht jede Anfrage weiter und hängt die Sitzung
 * als Kopfzeile an. Damit braucht der Browser kein Cookie – das Einschleusen in das Firefox-Profil
 * erwies sich als unzuverlässig (Firefox verwirft fremd erzeugte Cookie-Dateien stillschweigend,
 * die Aufnahmen zeigten dann kommentarlos die Anmeldeseite).
 */
 function vermittlerStarten(token) {
  const ziel = new URL(BASIS);
  const server = createServer((anfrage, antwort) => {
    const weiterleitung = {
      hostname: ziel.hostname,
      port: ziel.port || 80,
      path: anfrage.url,
      method: anfrage.method,
      headers: { ...anfrage.headers, host: ziel.host, cookie: `pl_sitzung=${token}` },
    };
    const verbindung = httpAnfrage(weiterleitung, (antwortVomServer) => {
      antwort.writeHead(antwortVomServer.statusCode ?? 502, antwortVomServer.headers);
      antwortVomServer.pipe(antwort);
    });
    verbindung.on("error", () => antwort.writeHead(502).end("Dashboard nicht erreichbar"));
    anfrage.pipe(verbindung);
  });
  return new Promise((fertig) => {
    server.listen(0, "127.0.0.1", () => fertig({ server, port: server.address().port }));
  });
 }
 /** Legt ein Profil mit dem gewünschten Farbschema an. */
 function profilVorbereiten(name, dunkel) {
  const verzeichnis = path.join(PROFIL_BASIS, name);
  rmSync(verzeichnis, { recursive: true, force: true });
  mkdirSync(verzeichnis, { recursive: true });
  writeFileSync(
    path.join(verzeichnis, "user.js"),
    [
      `user_pref("ui.systemUsesDarkTheme", ${dunkel ? 1 : 0});`,
      `user_pref("layout.css.prefers-color-scheme.content-override", ${dunkel ? 0 : 1});`,
      'user_pref("browser.shell.checkDefaultBrowser", false);',
      "",
    ].join("\n"),
  );
  return verzeichnis;
 }
 /**
 * Nimmt eine Seite auf. Bewusst asynchron: Der Vermittler läuft im selben Prozess, und ein
 * blockierender Aufruf würde ihn währenddessen stumm schalten – Firefox liefe in die Zeitüberschreitung.
 */
 function aufnehmen(profil, pfad, datei, breite, hoehe, adresse) {
  return new Promise((fertig, fehlgeschlagen) => {
    const vorgang = spawn(
      "firefox",
      [
        "--profile",
        profil,
        "--headless",
        "--window-size",
        `${breite},${hoehe}`,
        "--screenshot",
        datei,
        `${adresse}${pfad}`,
      ],
      { stdio: "ignore", timeout: 120_000 },
    );
    vorgang.on("error", fehlgeschlagen);
    vorgang.on("close", () => fertig());
  });
 }
 async function main() {
  const antwort = await fetch(`${BASIS}/login`).catch(() => null);
  if (!antwort?.ok) throw new Error(`${BASIS} ist nicht erreichbar – läuft das Dashboard?`);
  mkdirSync(ZIEL, { recursive: true });
  const token = await sitzungsToken();
  const { server, port } = await vermittlerStarten(token);
  const adresse = `http://127.0.0.1:${port}`;
  const hell = profilVorbereiten("hell", false);
  console.log(`Bilder nach ${ZIEL}`);
  // Die Anmeldeseite zeigt sich auch mit gültiger Sitzung, sie ist öffentlich.
  await aufnehmen(hell, "/login", path.join(ZIEL, "login.png"), 1280, 900, BASIS);
  console.log("  login.png");
  for (const seite of [...SEITEN, ...ZUSATZ]) {
    await aufnehmen(hell, seite.pfad, path.join(ZIEL, `${seite.name}.png`), 1680, 1150, adresse);
    console.log(`  ${seite.name}.png – ${seite.titel}`);
  }
  if (ALLE) {
    const dunkel = profilVorbereiten("dunkel", true);
    for (const seite of ["dashboard", "hosts", "rechnungen", "warnungen"]) {
      const eintrag = SEITEN.find((s) => s.name === seite);
      await aufnehmen(dunkel, eintrag.pfad, path.join(ZIEL, `${seite}-dunkel.png`), 1680, 1150, adresse);
      console.log(`  ${seite}-dunkel.png`);
    }
    for (const seite of ["dashboard", "hosts"]) {
      const eintrag = SEITEN.find((s) => s.name === seite);
      await aufnehmen(hell, eintrag.pfad, path.join(ZIEL, `mobil-${seite}.png`), 390, 1500, adresse);
      console.log(`  mobil-${seite}.png`);
    }
  }
  server.close();
  if (existsSync(PROFIL_BASIS)) rmSync(PROFIL_BASIS, { recursive: true, force: true });
  // Sicherung gegen stillen Fehlschlag: Alle Aufnahmen gleich groß heißt, jede zeigt die Anmeldeseite.
  const groessen = SEITEN.map((seite) => statSync(path.join(ZIEL, `${seite.name}.png`)).size);
  if (new Set(groessen).size === 1) {
    throw new Error(
      "Alle Aufnahmen sind gleich groß – vermutlich zeigt jede die Anmeldeseite. Sitzung prüfen.",
    );
  }
  console.log("Fertig.");
 }
 main().catch((fehler) => {
  console.error(fehler.message ?? fehler);
  process.exit(1);
 });
@@ -0,0 +1,60 @@
 import Link from "next/link";
 import { AnmeldeFormular } from "@/components/auth/AnmeldeFormular";
 import { Logo } from "@/components/Logo";
 import { oidcEinstellungen } from "@/server/auth/oidc";
 export const dynamic = "force-dynamic";
 export const metadata = { title: "Anmelden" };
 type SuchParameter = Promise<Record<string, string | string[] | undefined>>;
 export default async function AnmeldeSeite({ searchParams }: { searchParams: SuchParameter }) {
  const roh = await searchParams;
  const einzeln = (wert: string | string[] | undefined) => (Array.isArray(wert) ? wert[0] : wert);
  const ziel = einzeln(roh.ziel) ?? "/";
  const fehler = einzeln(roh.fehler);
  const oidc = oidcEinstellungen();
  return (
    <main className="d-flex align-items-center justify-content-center min-vh-100 p-3">
      <div style={{ width: "min(24rem, 100%)" }}>
        <div className="text-center mb-4">
          <Logo groesse={64} titel="ProxLedger" />
          <h1 className="h4 mt-3 mb-1" style={{ fontWeight: 300 }}>
            ProxLedger
          </h1>
          <p className="text-body-secondary small mb-0">Proxmox Subscription Dashboard</p>
        </div>
        <div className="card shadow-sm">
          <div className="card-body">
            {fehler ? (
              <div className="alert alert-danger py-2" role="alert">
                {fehler === "oidc" ? "Die Anmeldung über den Anbieter hat nicht geklappt." : fehler}
              </div>
            ) : null}
            {oidc ? (
              <>
                <Link
                  href={`/api/auth/oidc/start?ziel=${encodeURIComponent(ziel)}`}
                  className="btn btn-primary w-100 pl-touch-target mb-3"
                >
                  <i className="bi bi-box-arrow-in-right me-1" aria-hidden="true" />
                  Mit {oidc.bezeichnung} anmelden
                </Link>
                <div className="text-center text-body-secondary small mb-3">oder mit Passwort</div>
              </>
            ) : null}
            <AnmeldeFormular ziel={ziel} />
          </div>
        </div>
        <p className="text-center text-body-secondary small mt-3 mb-0">
          Der lokale Zugang bleibt auch dann nutzbar, wenn der Anmeldedienst ausfällt.
        </p>
      </div>
    </main>
  );
 }
@@ -0,0 +1,112 @@
 import Link from "next/link";
 import { ContentHeader } from "@/components/layout/ContentHeader";
 import { Card } from "@/components/ui/Card";
 import { prisma } from "@/lib/db";
 import { formatDatumZeit } from "@/lib/format";
 export const metadata = { title: "Protokoll" };
 type SuchParameter = Promise<Record<string, string | string[] | undefined>>;
 export default async function AuditSeite({ searchParams }: { searchParams: SuchParameter }) {
  const roh = await searchParams;
  const einzeln = (wert: string | string[] | undefined) => (Array.isArray(wert) ? wert[0] : wert);
  const aktion = einzeln(roh.aktion);
  const entitaet = einzeln(roh.entitaet);
  const [eintraege, aktionen] = await Promise.all([
    prisma.auditEintrag.findMany({
      where: {
        ...(aktion ? { aktion } : {}),
        ...(entitaet ? { entitaet } : {}),
      },
      orderBy: { erstelltAm: "desc" },
      take: 200,
      include: { benutzer: { select: { name: true, email: true } } },
    }),
    prisma.auditEintrag.groupBy({ by: ["aktion"], _count: { _all: true }, orderBy: { aktion: "asc" } }),
  ]);
  return (
    <>
      <ContentHeader titel="Protokoll" brotkrumen={[{ titel: "Einstellungen" }, { titel: "Protokoll" }]} />
      <div className="app-content">
        <div className="container-fluid">
          <Card titel={`Letzte ${eintraege.length} Einträge`} rahmen="primary" tabelle>
            <form className="row g-2 p-3 border-bottom">
              <div className="col-md-4">
                <select name="aktion" defaultValue={aktion ?? ""} className="form-select" aria-label="Aktion">
                  <option value="">Alle Aktionen</option>
                  {aktionen.map((eintrag) => (
                    <option key={eintrag.aktion} value={eintrag.aktion}>
                      {eintrag.aktion} ({eintrag._count._all})
                    </option>
                  ))}
                </select>
              </div>
              <div className="col-md-3">
                <input
                  name="entitaet"
                  defaultValue={entitaet ?? ""}
                  className="form-control"
                  placeholder="Entität, z. B. Host"
                  aria-label="Entität"
                />
              </div>
              <div className="col-md-2">
                <button type="submit" className="btn btn-primary w-100">
                  Filtern
                </button>
              </div>
              <div className="col-md-3 d-flex align-items-center">
                {aktion || entitaet ? <Link href="/einstellungen/audit">Filter zurücksetzen</Link> : null}
              </div>
            </form>
            <div className="table-responsive">
              <table className="table table-striped align-middle">
                <thead>
                  <tr>
                    <th scope="col">Zeitpunkt</th>
                    <th scope="col">Aktion</th>
                    <th scope="col">Entität</th>
                    <th scope="col">Benutzer</th>
                    <th scope="col">Details</th>
                  </tr>
                </thead>
                <tbody>
                  {eintraege.map((eintrag) => (
                    <tr key={eintrag.id}>
                      <td className="small">{formatDatumZeit(eintrag.erstelltAm)}</td>
                      <td className="pl-mono small">{eintrag.aktion}</td>
                      <td className="small">
                        {eintrag.entitaet}
                        {eintrag.entitaetId ? (
                          <div className="text-body-secondary pl-mono">{eintrag.entitaetId}</div>
                        ) : null}
                      </td>
                      <td className="small">{eintrag.benutzer?.name ?? "System"}</td>
                      <td className="small text-body-secondary" style={{ maxWidth: "28rem" }}>
                        <span className="d-inline-block text-truncate w-100">
                          {eintrag.aenderung ? JSON.stringify(eintrag.aenderung) : "–"}
                        </span>
                      </td>
                    </tr>
                  ))}
                  {eintraege.length === 0 ? (
                    <tr>
                      <td colSpan={5} className="text-center text-body-secondary py-4">
                        Keine Einträge gefunden.
                      </td>
                    </tr>
                  ) : null}
                </tbody>
              </table>
            </div>
          </Card>
        </div>
      </div>
    </>
  );
 }
@@ -1,21 +1,200 @@
 import { ContentHeader } from "@/components/layout/ContentHeader";
 import {
  EmailFormular,
  WebhookFormular,
  type EmailWerte,
  type WebhookWerte,
 } from "@/components/benachrichtigungen/KanalFormulare";
 import { Badge } from "@/components/ui/Badges";
 import { Card } from "@/components/ui/Card";
 import { prisma } from "@/lib/db";
 import { formatDatumZeit } from "@/lib/format";
 import {
  kanalLoeschen,
  testSenden,
  zusammenfassungJetztSenden,
  zusammenfassungSpeichern,
 } from "@/server/actions/benachrichtigungen";
 import type { EmailKonfiguration, WebhookKonfiguration } from "@/server/notifications/kanaele";
 export const metadata = { title: "Benachrichtigungen" };
-export default function BenachrichtigungenSeite() {
+export default async function BenachrichtigungenSeite() {
  const [kanaele, protokoll, einstellung] = await Promise.all([
    prisma.benachrichtigungskanal.findMany({ orderBy: { erstelltAm: "asc" } }),
    prisma.benachrichtigung.findMany({ orderBy: { erstelltAm: "desc" }, take: 20 }),
    prisma.einstellung.findUnique({ where: { schluessel: "zusammenfassung" } }),
  ]);
  const emailKanal = kanaele.find((kanal) => kanal.typ === "EMAIL");
  const webhookKanal = kanaele.find((kanal) => kanal.typ === "WEBHOOK");
  const emailKonfiguration = emailKanal?.konfiguration as unknown as EmailKonfiguration | undefined;
  const webhookKonfiguration = webhookKanal?.konfiguration as unknown as WebhookKonfiguration | undefined;
  const zeitraum = (einstellung?.wert as { zeitraum?: string } | null)?.zeitraum ?? "aus";
  const emailWerte: EmailWerte = {
    id: emailKanal?.id ?? null,
    name: emailKanal?.name ?? "E-Mail",
    aktiv: emailKanal?.aktiv ?? true,
    host: emailKonfiguration?.host ?? "",
    port: emailKonfiguration?.port ?? 587,
    benutzer: emailKonfiguration?.benutzer ?? "",
    absender: emailKonfiguration?.absender ?? "",
    empfaenger: emailKonfiguration?.empfaenger?.join(", ") ?? "",
    passwortGesetzt: Boolean(emailKonfiguration?.passwort),
    // Der Wert selbst wird nie an den Browser gegeben – nur ob einer hinterlegt ist.
  };
  const webhookWerte: WebhookWerte = {
    id: webhookKanal?.id ?? null,
    name: webhookKanal?.name ?? "Webhook",
    aktiv: webhookKanal?.aktiv ?? true,
    url: webhookKonfiguration?.url ?? "",
    geheimnisGesetzt: Boolean(webhookKonfiguration?.geheimnis),
  };
  return (
    <>
      <ContentHeader
        titel="Benachrichtigungen"
        brotkrumen={[{ titel: "Einstellungen" }, { titel: "Benachrichtigungen" }]}
      />
      <div className="app-content">
        <div className="container-fluid">
-          <Card titel="E-Mail und Webhook" rahmen="primary">
+          <Card
-            <p className="text-body-secondary mb-0">
+            titel="E-Mail (SMTP)"
-              SMTP (Microsoft 365), Webhooks und die tägliche Zusammenfassung werden in #012 umgesetzt.
+            rahmen="primary"
            werkzeuge={
              emailKanal ? (
                <div className="d-flex gap-2">
                  <form action={testSenden}>
                    <input type="hidden" name="id" value={emailKanal.id} />
                    <button type="submit" className="btn btn-sm btn-outline-primary">
                      Test senden
                    </button>
                  </form>
                  <form action={kanalLoeschen}>
                    <input type="hidden" name="id" value={emailKanal.id} />
                    <button type="submit" className="btn btn-sm btn-outline-danger">
                      Entfernen
                    </button>
                  </form>
                </div>
              ) : null
            }
          >
            <p className="text-body-secondary">
              Für Microsoft 365: Server <span className="pl-mono">smtp.office365.com</span>, Port 587,
              Benutzer und Absender identisch mit dem Postfach. Das Passwort wird in der Datenbank gespeichert
              und nie wieder angezeigt.
            </p>
            <EmailFormular werte={emailWerte} />
          </Card>
          <Card
            titel="Webhook"
            rahmen="info"
            werkzeuge={
              webhookKanal ? (
                <div className="d-flex gap-2">
                  <form action={testSenden}>
                    <input type="hidden" name="id" value={webhookKanal.id} />
                    <button type="submit" className="btn btn-sm btn-outline-primary">
                      Test senden
                    </button>
                  </form>
                  <form action={kanalLoeschen}>
                    <input type="hidden" name="id" value={webhookKanal.id} />
                    <button type="submit" className="btn btn-sm btn-outline-danger">
                      Entfernen
                    </button>
                  </form>
                </div>
              ) : null
            }
          >
            <p className="text-body-secondary">
              Verschickt JSON mit Betreff, Text und strukturierten Feldern – damit lassen sich Matrix, Zabbix
              oder Home Assistant anbinden.
            </p>
            <WebhookFormular werte={webhookWerte} />
          </Card>
          <Card titel="Zusammenfassung" rahmen="info">
            <form action={zusammenfassungSpeichern} className="row g-2 align-items-end">
              <div className="col-md-4">
                <label className="form-label" htmlFor="zeitraum">
                  Regelmäßige Übersicht
                </label>
                <select id="zeitraum" name="zeitraum" className="form-select" defaultValue={zeitraum}>
                  <option value="aus">aus</option>
                  <option value="taeglich">täglich um 07:00 Uhr</option>
                  <option value="woechentlich">wöchentlich, montags um 07:00 Uhr</option>
                </select>
              </div>
              <div className="col-md-3">
                <button type="submit" className="btn btn-primary w-100">
                  Speichern
                </button>
              </div>
            </form>
            <form action={zusammenfassungJetztSenden} className="mt-3">
              <input
                type="hidden"
                name="zeitraum"
                value={zeitraum === "woechentlich" ? "woechentlich" : "taeglich"}
              />
              <button type="submit" className="btn btn-outline-secondary btn-sm">
                Zusammenfassung jetzt senden
              </button>
            </form>
          </Card>
          <Card titel="Versandprotokoll" rahmen="info" tabelle>
            <div className="table-responsive">
              <table className="table table-striped align-middle">
                <thead>
                  <tr>
                    <th scope="col">Zeitpunkt</th>
                    <th scope="col">Weg</th>
                    <th scope="col">Empfänger</th>
                    <th scope="col">Betreff</th>
                    <th scope="col">Status</th>
                  </tr>
                </thead>
                <tbody>
                  {protokoll.map((eintrag) => (
                    <tr key={eintrag.id}>
                      <td className="small">{formatDatumZeit(eintrag.erstelltAm)}</td>
                      <td>{eintrag.kanal === "EMAIL" ? "E-Mail" : "Webhook"}</td>
                      <td className="small">{eintrag.empfaenger}</td>
                      <td className="small">{eintrag.betreff ?? "–"}</td>
                      <td>
                        {eintrag.status === "GESENDET" ? (
                          <Badge farbe="success">Gesendet</Badge>
                        ) : eintrag.status === "FEHLGESCHLAGEN" ? (
                          <>
                            <Badge farbe="danger">Fehlgeschlagen</Badge>
                            <div className="small text-body-secondary">{eintrag.fehler}</div>
                          </>
                        ) : (
                          <Badge farbe="neutral">Wartend</Badge>
                        )}
                      </td>
                    </tr>
                  ))}
                  {protokoll.length === 0 ? (
                    <tr>
                      <td colSpan={5} className="text-center text-body-secondary py-4">
                        Noch nichts versendet.
                      </td>
                    </tr>
                  ) : null}
                </tbody>
              </table>
            </div>
          </Card>
        </div>
      </div>
@@ -1,23 +1,32 @@
 import { SystemFormular } from "@/components/einstellungen/SystemFormular";
 import { ContentHeader } from "@/components/layout/ContentHeader";
 import { Card } from "@/components/ui/Card";
 import { APP_VERSION } from "@/lib/version";
 import { einstellungen } from "@/server/einstellungen";
 export const metadata = { title: "System" };
-export default function SystemSeite() {
+export default async function SystemSeite() {
  const werte = await einstellungen();
  return (
    <>
      <ContentHeader titel="System" brotkrumen={[{ titel: "Einstellungen" }, { titel: "System" }]} />
      <div className="app-content">
        <div className="container-fluid">
-          <Card titel="Systeminformationen" rahmen="primary">
+          <SystemFormular werte={werte} appUrl={process.env.APP_URL ?? ""} />
          <Card titel="Systeminformationen" rahmen="keiner">
            <dl className="row mb-0">
              <dt className="col-4 fw-normal text-body-secondary">Version</dt>
              <dd className="col-8">{APP_VERSION}</dd>
-              <dt className="col-4 fw-normal text-body-secondary">Datenquelle</dt>
+              <dt className="col-4 fw-normal text-body-secondary">Zeitzone des Servers</dt>
-              <dd className="col-8">Beispieldaten (Prototyp, #002)</dd>
+              <dd className="col-8">{Intl.DateTimeFormat().resolvedOptions().timeZone}</dd>
-              <dt className="col-4 fw-normal text-body-secondary">Warnregeln</dt>
+              <dt className="col-4 fw-normal text-body-secondary">Nur in der Umgebung</dt>
-              <dd className="col-8">Konfigurierbar ab #011</dd>
+              <dd className="col-8">
                <code>APP_SECRET</code> und <code>DATABASE_URL</code> – beide werden gebraucht, bevor
                die Datenbank gelesen werden kann.
              </dd>
            </dl>
          </Card>
        </div>
@@ -1,34 +1,175 @@
 import Link from "next/link";
 import { ContentHeader } from "@/components/layout/ContentHeader";
 import { TokenFormular } from "@/components/tokens/TokenFormular";
 import { Badge } from "@/components/ui/Badges";
 import { Card } from "@/components/ui/Card";
-import { CopyableCode } from "@/components/ui/CopyableCode";
+import { formatDatum, formatDatumZeit } from "@/lib/format";
 import { prisma } from "@/lib/db";
 import { enrollmentTokenWiderrufen, hostTokenWiderrufen } from "@/server/actions/tokens";
 export const metadata = { title: "Agent-Tokens" };
-export default function TokensSeite() {
+export default async function TokensSeite() {
  const dashboardUrl = (process.env.APP_URL ?? "https://dashboard.example.de").replace(/\/$/, "");
  const [kunden, enrollmentTokens, hostTokens] = await Promise.all([
    prisma.kunde.findMany({ orderBy: { name: "asc" }, select: { id: true, name: true } }),
    prisma.enrollmentToken.findMany({
      orderBy: { erstelltAm: "desc" },
      include: { kunde: { select: { name: true } } },
    }),
    prisma.agentToken.findMany({
      orderBy: { erstelltAm: "desc" },
      include: { host: { select: { id: true, hostname: true } } },
    }),
  ]);
  const jetzt = new Date();
  function zustand(token: {
    widerrufenAm: Date | null;
    gueltigBis: Date | null;
    maxNutzungen: number | null;
    nutzungen: number;
  }) {
    if (token.widerrufenAm) return { text: "Widerrufen", farbe: "neutral" as const };
    if (token.gueltigBis && token.gueltigBis < jetzt) return { text: "Abgelaufen", farbe: "danger" as const };
    if (token.maxNutzungen !== null && token.nutzungen >= token.maxNutzungen)
      return { text: "Aufgebraucht", farbe: "warning" as const };
    return { text: "Gültig", farbe: "success" as const };
  }
  return (
    <>
      <ContentHeader
        titel="Agent-Tokens"
        brotkrumen={[{ titel: "Einstellungen" }, { titel: "Agent-Tokens" }]}
      />
      <div className="app-content">
        <div className="container-fluid">
-          <Card titel="Agent installieren" rahmen="primary">
+          <Card titel="Neuen Enrollment-Token erzeugen" rahmen="primary">
-            <p>
+            <p className="text-body-secondary">
-              Auf dem Proxmox-Host als root ausführen. Der Enrollment-Token gilt bis zum angegebenen Datum und
+              Mit einem Enrollment-Token registriert sich ein Agent einmalig und erhält dabei seinen eigenen
-              kann mehrfach verwendet werden.
+              Host-Token. Ist ein Kunde hinterlegt, sind neue Hosts sofort zugeordnet und tauchen nicht unter{" "}
              <Link href="/hosts/nicht-zugeordnet">Nicht zugeordnet</Link> auf.
            </p>
-            <pre className="bg-body-secondary p-3 rounded">
+            <TokenFormular kunden={kunden} dashboardUrl={dashboardUrl} />
              <code className="pl-mono">
                curl -fsSL https://proxledger.example.de/install.sh | bash -s -- --token plx_e_BEISPIEL
              </code>
            </pre>
            <CopyableCode wert="plx_e_BEISPIEL" />
          </Card>
-          <Card titel="Vorhandene Tokens" rahmen="info">
+
-            <p className="text-body-secondary mb-0">
+          <Card titel={`Enrollment-Tokens (${enrollmentTokens.length})`} rahmen="info" tabelle>
-              Ausgabe, Ablauf und Widerruf von Enrollment- und Host-Tokens folgen in #006.
+            <div className="table-responsive">
-            </p>
+              <table className="table table-striped align-middle">
                <thead>
                  <tr>
                    <th scope="col">Bezeichnung</th>
                    <th scope="col">Anfang</th>
                    <th scope="col">Kunde</th>
                    <th scope="col">Gültig bis</th>
                    <th scope="col">Nutzungen</th>
                    <th scope="col">Zustand</th>
                    <th scope="col" className="text-end">
                      Aktion
                    </th>
                  </tr>
                </thead>
                <tbody>
                  {enrollmentTokens.map((token) => {
                    const status = zustand(token);
                    return (
                      <tr key={token.id}>
                        <td>{token.bezeichnung ?? "–"}</td>
                        <td className="pl-mono">{token.praefix}…</td>
                        <td>{token.kunde?.name ?? "–"}</td>
                        <td>{formatDatum(token.gueltigBis)}</td>
                        <td>
                          {token.nutzungen}
                          {token.maxNutzungen !== null ? ` / ${token.maxNutzungen}` : ""}
                        </td>
                        <td>
                          <Badge farbe={status.farbe}>{status.text}</Badge>
                        </td>
                        <td className="text-end">
                          {token.widerrufenAm ? null : (
                            <form action={enrollmentTokenWiderrufen}>
                              <input type="hidden" name="id" value={token.id} />
                              <button type="submit" className="btn btn-sm btn-outline-danger">
                                Widerrufen
                              </button>
                            </form>
                          )}
                        </td>
                      </tr>
                    );
                  })}
                  {enrollmentTokens.length === 0 ? (
                    <tr>
                      <td colSpan={7} className="text-center text-body-secondary py-4">
                        Noch kein Enrollment-Token erzeugt.
                      </td>
                    </tr>
                  ) : null}
                </tbody>
              </table>
            </div>
          </Card>
          <Card titel={`Host-Tokens (${hostTokens.length})`} rahmen="info" tabelle>
            <div className="table-responsive">
              <table className="table table-striped align-middle">
                <thead>
                  <tr>
                    <th scope="col">Host</th>
                    <th scope="col">Anfang</th>
                    <th scope="col">Erstellt</th>
                    <th scope="col">Zuletzt benutzt</th>
                    <th scope="col">Zustand</th>
                    <th scope="col" className="text-end">
                      Aktion
                    </th>
                  </tr>
                </thead>
                <tbody>
                  {hostTokens.map((token) => (
                    <tr key={token.id}>
                      <td>
                        <Link href={`/hosts/${token.host.id}`} className="text-decoration-none">
                          {token.host.hostname}
                        </Link>
                      </td>
                      <td className="pl-mono">{token.praefix}…</td>
                      <td>{formatDatum(token.erstelltAm)}</td>
                      <td>{formatDatumZeit(token.letzteNutzungAm)}</td>
                      <td>
                        {token.widerrufenAm ? (
                          <Badge farbe="neutral">Widerrufen</Badge>
                        ) : (
                          <Badge farbe="success">Aktiv</Badge>
                        )}
                      </td>
                      <td className="text-end">
                        {token.widerrufenAm ? null : (
                          <form action={hostTokenWiderrufen}>
                            <input type="hidden" name="id" value={token.id} />
                            <input type="hidden" name="hostId" value={token.host.id} />
                            <button type="submit" className="btn btn-sm btn-outline-danger">
                              Widerrufen
                            </button>
                          </form>
                        )}
                      </td>
                    </tr>
                  ))}
                  {hostTokens.length === 0 ? (
                    <tr>
                      <td colSpan={6} className="text-center text-body-secondary py-4">
                        Noch kein Host registriert.
                      </td>
                    </tr>
                  ) : null}
                </tbody>
              </table>
            </div>
          </Card>
        </div>
      </div>
@@ -0,0 +1,57 @@
 import Link from "next/link";
 import { ContentHeader } from "@/components/layout/ContentHeader";
 import { WarnregelFormular, type RegelAnzeige } from "@/components/alerts/WarnregelFormular";
 import { Card } from "@/components/ui/Card";
 import { prisma } from "@/lib/db";
 import { warnregelnSicherstellen } from "@/server/alerts/abgleich";
 import { REGELN } from "@/server/alerts/regeln";
 export const metadata = { title: "Warnregeln" };
 const BESCHRIFTUNGEN: Record<string, string> = {
  tage: "Tage (mehrere Stufen mit Komma)",
  stunden: "Stunden",
 };
 export default async function WarnregelnSeite() {
  await warnregelnSicherstellen();
  const gespeichert = await prisma.warnregelEinstellung.findMany();
  const nachName = new Map(gespeichert.map((eintrag) => [eintrag.regel, eintrag]));
  const regeln: RegelAnzeige[] = REGELN.map((regel) => {
    const eintrag = nachName.get(regel.name);
    const werte = (eintrag?.schwellwerte ?? regel.standardSchwellwerte) as Record<string, unknown>;
    return {
      name: regel.name,
      beschreibung: regel.beschreibung,
      aktiv: eintrag?.aktiv ?? true,
      schwellwerte: Object.keys(regel.standardSchwellwerte).map((schluessel) => ({
        name: schluessel,
        beschriftung: BESCHRIFTUNGEN[schluessel] ?? schluessel,
        wert: Array.isArray(werte[schluessel])
          ? (werte[schluessel] as number[]).join(", ")
          : String(werte[schluessel] ?? ""),
      })),
    };
  });
  return (
    <>
      <ContentHeader titel="Warnregeln" brotkrumen={[{ titel: "Einstellungen" }, { titel: "Warnregeln" }]} />
      <div className="app-content">
        <div className="container-fluid">
          <Card titel="Regeln und Schwellwerte" rahmen="primary">
            <p className="text-body-secondary">
              Die Regeln laufen stündlich im Worker und zusätzlich nach jedem eingehenden Report. Eine Warnung
              wird nur einmal geöffnet und schließt sich selbst, sobald die Ursache behoben ist. Offene
              Warnungen stehen unter <Link href="/warnungen">Warnungen</Link>.
            </p>
            <WarnregelFormular regeln={regeln} />
          </Card>
        </div>
      </div>
    </>
  );
 }
@@ -1,5 +1,6 @@
 import Link from "next/link";
 import { notFound } from "next/navigation";
 import { HostNotizen } from "@/components/hosts/HostNotizen";
 import { ContentHeader } from "@/components/layout/ContentHeader";
 import {
  AblaufBadge,
@@ -12,25 +13,18 @@ import {
 import { Card } from "@/components/ui/Card";
 import { CopyableCode } from "@/components/ui/CopyableCode";
 import { Tabs } from "@/components/ui/Tabs";
 import { PRODUKT_TEXT } from "@/lib/anzeige";
 import { prisma } from "@/lib/db";
 import { formatDatum, formatDatumZeit, formatEuro, formatUptime, formatZahl } from "@/lib/format";
-import { HEUTE, hosts } from "@/mock/data";
+import { hostKundeSetzen } from "@/server/actions/host-detail";
-import {
+import { hostTokenWiderrufen } from "@/server/actions/tokens";
-  PRODUKT_NAME,
+import { hostMitDetails } from "@/server/queries/hostliste";
-  alertsVonHost,
+import { meldungsGrenze } from "@/server/queries/hosts";
  getHost,
  getKunde,
  hostMeldetNicht,
  laufzeitenVonHost,
  reportsVonHost,
 } from "@/mock/queries";
 export function generateStaticParams() {
  return hosts.map((host) => ({ id: host.id }));
 }
 export async function generateMetadata({ params }: { params: Promise<{ id: string }> }) {
  const { id } = await params;
-  return { title: getHost(id)?.hostname ?? "Host" };
+  const host = await prisma.host.findUnique({ where: { id }, select: { hostname: true } });
  return { title: host?.hostname ?? "Host" };
 }
 function Zeile({ bezeichnung, children }: { bezeichnung: string; children: React.ReactNode }) {
@@ -44,38 +38,51 @@ function Zeile({ bezeichnung, children }: { bezeichnung: string; children: React
 export default async function HostDetailSeite({ params }: { params: Promise<{ id: string }> }) {
  const { id } = await params;
-  const host = getHost(id);
+  const host = await hostMitDetails(id);
  if (!host) notFound();
-  const kunde = getKunde(host.kundeId);
+  const kunden = await prisma.kunde.findMany({
-  const standort = kunde?.standorte.find((s) => s.id === host.standortId);
+    orderBy: { name: "asc" },
-  const laufzeiten = laufzeitenVonHost(host.id);
+    select: { id: true, name: true },
-  const reports = reportsVonHost(host.id);
+  });
-  const alerts = alertsVonHost(host.id);
+
-  const keys = [...new Set(laufzeiten.map((l) => l.key))];
+  // Welche Cluster-Mitglieder melden sich selbst? Fehlende Knoten haben keinen Agent (#022).
  const geschwister =
    host.clusterMitglieder.length > 0
      ? await prisma.host.findMany({
          where: { hostname: { in: host.clusterMitglieder, mode: "insensitive" } },
          select: { id: true, hostname: true, subStatus: true, letzterReportAm: true },
        })
      : [];
  const meldende = new Map(geschwister.map((eintrag) => [eintrag.hostname.toLowerCase(), eintrag]));
  const jetzt = new Date();
  const meldetNicht = !host.letzterReportAm || host.letzterReportAm < meldungsGrenze(jetzt);
  const socketAbweichung =
    host.subLizenzierteSockets !== null &&
    host.sockets !== null &&
    host.subLizenzierteSockets !== host.sockets;
  return (
    <>
      <ContentHeader
        titel={host.hostname}
        brotkrumen={[{ titel: "Hosts", href: "/hosts" }, { titel: host.hostname }]}
-        aktion={<StatusBadge status={host.subscription.status} />}
+        aktion={<StatusBadge status={host.subStatus} />}
      />
      <div className="app-content">
        <div className="container-fluid">
-          {alerts.length > 0 ? (
+          {host.alerts.length > 0 ? (
-            <div className="row">
+            <Card titel={`Offene Warnungen (${host.alerts.length})`} rahmen="danger">
              <div className="col-12">
                <Card titel="Offene Warnungen" rahmen="danger">
              <ul className="list-unstyled mb-0">
-                    {alerts.map((alert) => (
+                {host.alerts.map((alert) => (
                  <li key={alert.id} className="mb-2">
                    <Badge
                      farbe={
-                            alert.schwere === "gefahr"
+                        alert.schwere === "GEFAHR"
                          ? "danger"
-                              : alert.schwere === "warnung"
+                          : alert.schwere === "WARNUNG"
                            ? "warning"
                            : "info"
                      }
@@ -87,8 +94,6 @@ export default async function HostDetailSeite({ params }: { params: Promise<{ id
                ))}
              </ul>
            </Card>
              </div>
            </div>
          ) : null}
          <div className="row">
@@ -98,40 +103,94 @@ export default async function HostDetailSeite({ params }: { params: Promise<{ id
                  <i className="bi bi-hdd-rack fs-1 text-body-secondary" aria-hidden="true" />
                  <h2 className="h5 mt-2 mb-1">{host.hostname}</h2>
                  <div className="text-body-secondary small">{host.fqdn ?? "Kein FQDN gemeldet"}</div>
-                  {hostMeldetNicht(host) ? <KeineMeldungBadge /> : null}
+                  {meldetNicht ? <KeineMeldungBadge /> : null}
                </div>
                <Zeile bezeichnung="Kunde">
-                  {kunde ? (
+                  {host.kunde ? (
-                    <Link href={`/kunden/${kunde.id}`}>{kunde.name}</Link>
+                    <Link href={`/kunden/${host.kunde.id}`}>{host.kunde.name}</Link>
                  ) : (
-                    <Link href="/hosts/nicht-zugeordnet" className="badge pl-bg-neutral text-decoration-none">
+                    <span className="badge pl-bg-neutral">Nicht zugeordnet</span>
                      Nicht zugeordnet
                    </Link>
                  )}
                </Zeile>
-                <Zeile bezeichnung="Standort">{standort?.name ?? "–"}</Zeile>
+                <Zeile bezeichnung="Standort">{host.standort?.name ?? "–"}</Zeile>
-                <Zeile bezeichnung="Produkt">{PRODUKT_NAME[host.produkt]}</Zeile>
+                <Zeile bezeichnung="Produkt">{PRODUKT_TEXT[host.produkt]}</Zeile>
                <Zeile bezeichnung="Version">{host.produktVersion ?? "–"}</Zeile>
                <Zeile bezeichnung="Kernel">{host.kernel ?? "–"}</Zeile>
                <Zeile bezeichnung="Server-ID">
                  <CopyableCode wert={host.serverId} />
                </Zeile>
                <Zeile bezeichnung="Cluster / Node">
-                  {host.clusterName ? `${host.clusterName} / ${host.nodeName}` : "–"}
+                  {host.clusterName ? `${host.clusterName} / ${host.nodeName ?? "?"}` : "–"}
                </Zeile>
-                <Zeile bezeichnung="IP-Adressen">{host.ips.join(", ")}</Zeile>
+                {host.clusterMitglieder.length > 0 ? (
                  <Zeile bezeichnung={`Cluster-Knoten (${host.clusterMitglieder.length})`}>
                    <span className="d-inline-block text-start">
                      {host.clusterMitglieder.map((mitglied) => {
                        const eintrag = meldende.get(mitglied.toLowerCase());
                        return (
                          <span key={mitglied} className="d-block small">
                            {eintrag ? (
                              <Link href={`/hosts/${eintrag.id}`} className="text-decoration-none">
                                {mitglied}
                              </Link>
                            ) : (
                              mitglied
                            )}{" "}
                            {eintrag ? (
                              <Badge farbe="success">meldet sich</Badge>
                            ) : (
                              <Badge farbe="warning">kein Agent</Badge>
                            )}
                          </span>
                        );
                      })}
                    </span>
                  </Zeile>
                ) : null}
                <Zeile bezeichnung="IP-Adressen">{host.ips.join(", ") || "–"}</Zeile>
                <Zeile bezeichnung="CPU">{host.cpuModell ?? "–"}</Zeile>
                <Zeile bezeichnung="Sockets (lizenziert / physisch)">
-                  {host.subscription.lizenzierteSockets ?? "–"} / {host.sockets ?? "–"}
+                  {host.subLizenzierteSockets ?? "–"} / {host.sockets ?? "–"}
                  {socketAbweichung ? (
                    <i
                      className="bi bi-exclamation-triangle-fill pl-text-warning ms-2"
                      title="Lizenzierte und physische Sockets weichen ab"
                    />
                  ) : null}
                </Zeile>
                <Zeile bezeichnung="Uptime">
                  {formatUptime(host.uptimeSekunden === null ? null : Number(host.uptimeSekunden))}
                </Zeile>
                <Zeile bezeichnung="Uptime">{formatUptime(host.uptimeSekunden)}</Zeile>
                <Zeile bezeichnung="Paket-Updates">{formatZahl(host.paketUpdates)}</Zeile>
-                <Zeile bezeichnung="Agent-Version">{host.agentVersion}</Zeile>
+                <Zeile bezeichnung="Agent-Version">{host.agentVersion ?? "–"}</Zeile>
-                <Zeile bezeichnung="Letzte Meldung">{formatDatumZeit(host.letzterReport)}</Zeile>
+                <Zeile bezeichnung="Erstmals gesehen">{formatDatum(host.erstmalsGesehenAm)}</Zeile>
-                <div className="d-grid gap-2 mt-3">
+                <Zeile bezeichnung="Letzte Meldung">{formatDatumZeit(host.letzterReportAm)}</Zeile>
-                  <span className="btn btn-outline-secondary disabled">Kunde ändern (ab #006)</span>
+
                <form action={hostKundeSetzen} className="mt-3">
                  <input type="hidden" name="hostId" value={host.id} />
                  <label className="form-label small" htmlFor="kundeId">
                    Kunde ändern
                  </label>
                  <div className="input-group input-group-sm">
                    <select
                      id="kundeId"
                      name="kundeId"
                      className="form-select"
                      defaultValue={host.kundeId ?? ""}
                    >
                      <option value="">– nicht zugeordnet –</option>
                      {kunden.map((kunde) => (
                        <option key={kunde.id} value={kunde.id}>
                          {kunde.name}
                        </option>
                      ))}
                    </select>
                    <button type="submit" className="btn btn-outline-primary">
                      Setzen
                    </button>
                  </div>
                </form>
              </Card>
            </div>
@@ -145,69 +204,117 @@ export default async function HostDetailSeite({ params }: { params: Promise<{ id
                    inhalt: (
                      <>
                        <Zeile bezeichnung="Subscription-Key">
-                          <CopyableCode wert={host.subscription.key} />
+                          <CopyableCode wert={host.subKey} />
                        </Zeile>
                        <Zeile bezeichnung="Status">
-                          <StatusBadge status={host.subscription.status} />
+                          <StatusBadge status={host.subStatus} />
                        </Zeile>
-                        <Zeile bezeichnung="Produktname">{host.subscription.produktname ?? "–"}</Zeile>
+                        <Zeile bezeichnung="Produktname">{host.subProduktname ?? "–"}</Zeile>
-                        <Zeile bezeichnung="Level">{host.subscription.level ?? "–"}</Zeile>
+                        <Zeile bezeichnung="Level">{host.subLevel ?? "–"}</Zeile>
-                        <Zeile bezeichnung="Registriert am">{formatDatum(host.subscription.regdate)}</Zeile>
+                        <Zeile bezeichnung="Registriert am">{formatDatum(host.subRegdate)}</Zeile>
                        <Zeile bezeichnung="Läuft ab am">
-                          <AblaufBadge datum={host.subscription.nextduedate} heute={HEUTE} />
+                          <AblaufBadge datum={host.subNextduedate?.toISOString() ?? null} heute={jetzt} />
                        </Zeile>
                        <Zeile bezeichnung="Letzte Prüfung durch Proxmox">
-                          {formatDatumZeit(host.subscription.checktime)}
+                          {formatDatumZeit(host.subChecktime)}
                        </Zeile>
                        <div className="mt-3">
-                          {host.tags.map((tag) => (
+                          {host.tags.length === 0 ? (
-                            <span key={tag} className="badge pl-bg-neutral me-1">
+                            <span className="text-body-secondary small">Keine Tags</span>
-                              {tag}
+                          ) : (
                            host.tags.map((tag) => (
                              <span key={tag.id} className="badge pl-bg-neutral me-1">
                                {tag.name}
                              </span>
-                          ))}
+                            ))
                          )}
                        </div>
                      </>
                    ),
                  },
                  {
-                    id: "keys",
+                    id: "historie",
                    titel: "Subscription-Historie",
                    icon: "bi-key",
                    inhalt: (
-                      <table className="table table-striped align-middle mb-0">
+                      <>
                        <h3 className="h6">Keys</h3>
                        <table className="table table-striped align-middle mb-4">
                          <thead>
                            <tr>
                              <th scope="col">Key</th>
-                            <th scope="col">Erste Laufzeit</th>
+                              <th scope="col">Erstmals gemeldet</th>
-                            <th scope="col">Letzte Laufzeit</th>
+                              <th scope="col">Zuletzt gemeldet</th>
                            </tr>
                          </thead>
                          <tbody>
-                          {keys.map((key) => {
+                            {host.keyHistorie.map((eintrag) => (
-                            const zugehoerig = laufzeiten.filter((l) => l.key === key);
+                              <tr key={eintrag.id}>
                            return (
                              <tr key={key}>
                                <td>
-                                  <CopyableCode wert={key} />
+                                  <CopyableCode wert={eintrag.key} />
                                </td>
-                                <td>{formatDatum(zugehoerig[zugehoerig.length - 1]?.start)}</td>
+                                <td>{formatDatum(eintrag.ersteMeldung)}</td>
-                                <td>{formatDatum(zugehoerig[0]?.ende)}</td>
+                                <td>{formatDatum(eintrag.letzteMeldung)}</td>
                              </tr>
-                            );
+                            ))}
-                          })}
+                            {host.keyHistorie.length === 0 ? (
                              <tr>
                                <td colSpan={3} className="text-body-secondary">
                                  Noch kein Key gemeldet.
                                </td>
                              </tr>
                            ) : null}
                          </tbody>
                        </table>
                        <h3 className="h6">Server-IDs</h3>
                        <table className="table table-striped align-middle mb-0">
                          <thead>
                            <tr>
                              <th scope="col">Server-ID</th>
                              <th scope="col">Erstmals gemeldet</th>
                              <th scope="col">Zuletzt gemeldet</th>
                            </tr>
                          </thead>
                          <tbody>
                            {host.serverIdHistorie.map((eintrag) => (
                              <tr key={eintrag.id}>
                                <td>
                                  <CopyableCode wert={eintrag.serverId} />
                                </td>
                                <td>{formatDatum(eintrag.ersteMeldung)}</td>
                                <td>{formatDatum(eintrag.letzteMeldung)}</td>
                              </tr>
                            ))}
                            {host.serverIdHistorie.length === 0 ? (
                              <tr>
                                <td colSpan={3} className="text-body-secondary">
                                  Noch keine Server-ID gemeldet.
                                </td>
                              </tr>
                            ) : null}
                          </tbody>
                        </table>
                        {host.serverIdHistorie.length > 1 ? (
                          <p className="small pl-text-warning mt-2 mb-0">
                            Mehrere Server-IDs bedeuten Hardwaretausch oder Neuinstallation – der Key muss
                            dann bei Proxmox neu zugewiesen werden.
                          </p>
                        ) : null}
                      </>
                    ),
                  },
                  {
                    id: "reports",
-                    titel: "Reports",
+                    titel: `Reports (${host.reports.length})`,
                    icon: "bi-clock-history",
                    inhalt: (
                      <div className="table-responsive">
                        <table className="table table-striped align-middle mb-0">
                          <thead>
                            <tr>
-                            <th scope="col">Zeitpunkt</th>
+                              <th scope="col">Erhoben</th>
                              <th scope="col">Empfangen</th>
                              <th scope="col">Status</th>
                              <th scope="col">Key</th>
                              <th scope="col">Ablauf</th>
@@ -216,22 +323,31 @@ export default async function HostDetailSeite({ params }: { params: Promise<{ id
                            </tr>
                          </thead>
                          <tbody>
-                          {reports.map((report) => (
+                            {host.reports.map((report) => (
                              <tr key={report.id}>
-                              <td>{formatDatumZeit(report.zeitpunkt)}</td>
+                                <td>{formatDatumZeit(report.erhobenAm)}</td>
-                              <td>
+                                <td className="small text-body-secondary">
-                                <StatusBadge status={report.status} />
+                                  {formatDatumZeit(report.empfangenAm)}
                                </td>
                                <td>
-                                <span className="pl-mono">{report.key ?? "–"}</span>
+                                  <StatusBadge status={report.subStatus} />
                                </td>
-                              <td>{formatDatum(report.nextduedate)}</td>
+                                <td className="pl-mono">{report.subKey ?? "–"}</td>
                                <td>{formatDatum(report.subNextduedate)}</td>
                                <td>{formatZahl(report.paketUpdates)}</td>
-                              <td>{report.agentVersion}</td>
+                                <td>{report.agentVersion ?? "–"}</td>
                              </tr>
                            ))}
                            {host.reports.length === 0 ? (
                              <tr>
                                <td colSpan={7} className="text-body-secondary">
                                  Noch kein Report eingegangen.
                                </td>
                              </tr>
                            ) : null}
                          </tbody>
                        </table>
                      </div>
                    ),
                  },
                  {
@@ -239,6 +355,7 @@ export default async function HostDetailSeite({ params }: { params: Promise<{ id
                    titel: "Rechnungen",
                    icon: "bi-receipt",
                    inhalt: (
                      <div className="table-responsive">
                        <table className="table table-striped align-middle mb-0">
                          <thead>
                            <tr>
@@ -251,57 +368,128 @@ export default async function HostDetailSeite({ params }: { params: Promise<{ id
                            </tr>
                          </thead>
                          <tbody>
-                          {laufzeiten.map((laufzeit) => (
+                            {host.laufzeiten.map((laufzeit) => {
                              const einkauf = laufzeit.proxmoxPosition
                                ? Number(laufzeit.proxmoxPosition.nettoBetrag)
                                : null;
                              const verkauf = laufzeit.kundenPosition
                                ? Number(laufzeit.kundenPosition.nettoBetrag)
                                : null;
                              return (
                                <tr key={laufzeit.id}>
                                  <td>
                                    {formatDatum(laufzeit.start)} – {formatDatum(laufzeit.ende)}
-                                {laufzeit.vorschlag ? (
+                                    {laufzeit.status === "VORSCHLAG" ? (
                                      <span className="badge pl-bg-info ms-2">Vorschlag</span>
                                    ) : null}
                                  </td>
                                  <td>
-                                <CopyableCode wert={laufzeit.einkauf?.nummer ?? null} />
+                                    <CopyableCode wert={laufzeit.proxmoxPosition?.rechnung.nummer ?? null} />
                                    <div>
                                      <EinkaufBadge
-                                    bezahlt={laufzeit.einkauf ? laufzeit.einkauf.bezahlt : null}
+                                        bezahlt={
                                          laufzeit.proxmoxPosition
                                            ? laufzeit.proxmoxPosition.rechnung.bezahlt
                                            : null
                                        }
                                      />
                                    </div>
                                  </td>
-                              <td>{formatEuro(laufzeit.einkauf?.nettoBetrag)}</td>
+                                  <td>{formatEuro(einkauf)}</td>
                                  <td>
-                                <CopyableCode wert={laufzeit.verkauf?.nummer ?? null} />
+                                    <CopyableCode wert={laufzeit.kundenPosition?.rechnung.nummer ?? null} />
                                    <div>
                                      <VerkaufBadge
-                                    erstellt={laufzeit.verkauf?.erstellt ?? false}
+                                        erstellt={laufzeit.kundenPosition?.rechnung.erstellt ?? false}
-                                    bezahlt={laufzeit.verkauf?.bezahlt ?? false}
+                                        bezahlt={laufzeit.kundenPosition?.rechnung.bezahlt ?? false}
                                      />
                                    </div>
                                  </td>
-                              <td>{formatEuro(laufzeit.verkauf?.nettoBetrag)}</td>
+                                  <td>{formatEuro(verkauf)}</td>
                                  <td>
-                                {laufzeit.einkauf && laufzeit.verkauf?.nettoBetrag
+                                    {einkauf !== null && verkauf !== null
-                                  ? formatEuro(
+                                      ? formatEuro(verkauf - einkauf)
                                      (laufzeit.verkauf.nettoBetrag ?? 0) -
                                        (laufzeit.einkauf.nettoBetrag ?? 0),
                                    )
                                      : "–"}
                                  </td>
                                </tr>
-                          ))}
+                              );
                            })}
                            {host.laufzeiten.length === 0 ? (
                              <tr>
                                <td colSpan={6} className="text-body-secondary">
                                  Noch keine Laufzeit erfasst.
                                </td>
                              </tr>
                            ) : null}
                          </tbody>
                        </table>
                      </div>
                    ),
                  },
                  {
                    id: "notizen",
-                    titel: "Notizen",
+                    titel: "Notizen und Tags",
                    icon: "bi-journal-text",
                    inhalt: (
-                      <p className="mb-0">
+                      <HostNotizen
-                        {host.notizen ?? (
+                        hostId={host.id}
-                          <span className="text-body-secondary">Keine Notizen hinterlegt.</span>
+                        notizen={host.notizen}
                        tags={host.tags.map((tag) => tag.name)}
                      />
                    ),
                  },
                  {
                    id: "tokens",
                    titel: "Tokens",
                    icon: "bi-key-fill",
                    inhalt: (
                      <table className="table table-striped align-middle mb-0">
                        <thead>
                          <tr>
                            <th scope="col">Anfang</th>
                            <th scope="col">Erstellt</th>
                            <th scope="col">Zuletzt benutzt</th>
                            <th scope="col">Zustand</th>
                            <th scope="col" className="text-end">
                              Aktion
                            </th>
                          </tr>
                        </thead>
                        <tbody>
                          {host.tokens.map((token) => (
                            <tr key={token.id}>
                              <td className="pl-mono">{token.praefix}…</td>
                              <td>{formatDatum(token.erstelltAm)}</td>
                              <td>{formatDatumZeit(token.letzteNutzungAm)}</td>
                              <td>
                                {token.widerrufenAm ? (
                                  <Badge farbe="neutral">Widerrufen</Badge>
                                ) : (
                                  <Badge farbe="success">Aktiv</Badge>
                                )}
-                      </p>
+                              </td>
                              <td className="text-end">
                                {token.widerrufenAm ? null : (
                                  <form action={hostTokenWiderrufen}>
                                    <input type="hidden" name="id" value={token.id} />
                                    <input type="hidden" name="hostId" value={host.id} />
                                    <button type="submit" className="btn btn-sm btn-outline-danger">
                                      Widerrufen
                                    </button>
                                  </form>
                                )}
                              </td>
                            </tr>
                          ))}
                          {host.tokens.length === 0 ? (
                            <tr>
                              <td colSpan={5} className="text-body-secondary">
                                Kein Token vorhanden – dieser Host stammt aus den Demo-Daten.
                              </td>
                            </tr>
                          ) : null}
                        </tbody>
                      </table>
                    ),
                  },
                ]}
@@ -0,0 +1,112 @@
 import { PRODUKT_TEXT, STATUS_TEXT, statusAusDatenbank } from "@/lib/anzeige";
 import { csvAntwort, csvDatei } from "@/lib/csv";
 import { formatDatum } from "@/lib/format";
 import { Bericht, pdfAntwort, Tabelle } from "@/server/pdf/dokument";
 import { hostListe, type HostFilter } from "@/server/queries/hostliste";
 import { einstellungen } from "@/server/einstellungen";
 type ExportHost = Awaited<ReturnType<typeof hostListe>>["hosts"][number];
 export const dynamic = "force-dynamic";
 /** CSV-Export der Host-Tabelle; übernimmt die Filter aus der Adresse. */
 export async function GET(request: Request) {
  const parameter = new URL(request.url).searchParams;
  const filter: HostFilter = {
    q: parameter.get("q") ?? undefined,
    kunde: parameter.get("kunde") ?? undefined,
    status: parameter.get("status") ?? undefined,
    produkt: parameter.get("produkt") ?? undefined,
    ablauf: (parameter.get("ablauf") as HostFilter["ablauf"]) ?? undefined,
    rechnung: (parameter.get("rechnung") as HostFilter["rechnung"]) ?? undefined,
    sortierung: parameter.get("sortierung") ?? undefined,
    // Der Export enthält alle Treffer, nicht nur die aktuelle Seite.
    seite: 1,
  };
  const { gesamt } = await hostListe({ ...filter }, new Date());
  const alle: ExportHost[] = [];
  for (let seite = 1; alle.length < gesamt; seite++) {
    const teil = await hostListe({ ...filter, seite }, new Date());
    if (teil.hosts.length === 0) break;
    alle.push(...teil.hosts);
  }
  const datum = new Date().toISOString().slice(0, 10);
  if (new URL(request.url).searchParams.get("format") === "pdf") {
    const { firmaName, firmaAnschrift, firmaEmail, zeitzone } = await einstellungen();
    const firmaAngaben = { name: firmaName, anschrift: firmaAnschrift, email: firmaEmail, zeitzone };
    return pdfAntwort(
      Bericht({
      firma: firmaAngaben,
        titel: "Host-Liste",
        untertitel: `${alle.length} Hosts`,
        quer: true,
        children: Tabelle({
          spalten: [
            { titel: "Host", breite: 18, wert: (h: ExportHost) => h.hostname },
            { titel: "Kunde", breite: 18, wert: (h) => h.kunde?.name ?? "Nicht zugeordnet" },
            { titel: "Produkt", breite: 15, wert: (h) => PRODUKT_TEXT[h.produkt] },
            { titel: "Status", breite: 12, wert: (h) => STATUS_TEXT[statusAusDatenbank(h.subStatus)] },
            { titel: "Key", breite: 15, wert: (h) => h.subKey ?? "–" },
            {
              titel: "Sockets",
              breite: 8,
              wert: (h) => `${h.subLizenzierteSockets ?? "–"} / ${h.sockets ?? "–"}`,
              rechts: true,
            },
            {
              titel: "Ablauf",
              breite: 14,
              wert: (h) => (h.subNextduedate ? formatDatum(h.subNextduedate) : "–"),
              rechts: true,
            },
          ],
          zeilen: alle,
        }),
      }),
      `proxledger-hosts-${datum}.pdf`,
    );
  }
  const inhalt = csvDatei(
    [
      "Hostname",
      "FQDN",
      "Kunde",
      "Standort",
      "Produkt",
      "Version",
      "Status",
      "Subscription-Key",
      "Server-ID",
      "Sockets lizenziert",
      "Sockets physisch",
      "Ablauf",
      "Letzte Meldung",
      "IP-Adressen",
      "Agent-Version",
    ],
    alle.map((host) => [
      host.hostname,
      host.fqdn,
      host.kunde?.name ?? "Nicht zugeordnet",
      host.standort?.name ?? "",
      PRODUKT_TEXT[host.produkt],
      host.produktVersion,
      STATUS_TEXT[statusAusDatenbank(host.subStatus)],
      host.subKey,
      host.serverId,
      host.subLizenzierteSockets,
      host.sockets,
      host.subNextduedate,
      host.letzterReportAm,
      host.ips.join(", "),
      host.agentVersion,
    ]),
  );
  return csvAntwort(inhalt, `proxledger-hosts-${datum}.csv`);
 }
@@ -1,15 +1,25 @@
 import Link from "next/link";
 import { ContentHeader } from "@/components/layout/ContentHeader";
 import { ZuweisungsFormular } from "@/components/hosts/ZuweisungsFormular";
 import { Callout } from "@/components/ui/Callout";
 import { Card } from "@/components/ui/Card";
-import { CopyableCode } from "@/components/ui/CopyableCode";
+import { prisma } from "@/lib/db";
-import { formatDatumZeit } from "@/lib/format";
+import { hostsOhneKunde } from "@/server/queries/hosts";
 import { kunden } from "@/mock/data";
 import { PRODUKT_NAME, nichtZugeordneteHosts } from "@/mock/queries";
 export const metadata = { title: "Nicht zugeordnete Hosts" };
-export default function NichtZugeordnetSeite() {
+export default async function NichtZugeordnetSeite() {
-  const liste = nichtZugeordneteHosts();
+  const [hosts, kunden] = await Promise.all([
    hostsOhneKunde(),
    prisma.kunde.findMany({
      orderBy: { name: "asc" },
      select: {
        id: true,
        name: true,
        standorte: { select: { id: true, name: true }, orderBy: { name: "asc" } },
      },
    }),
  ]);
  return (
    <>
@@ -20,83 +30,40 @@ export default function NichtZugeordnetSeite() {
      <div className="app-content">
        <div className="container-fluid">
-          <Callout titel="Schnellzuweisung" farbe="info">
+          {hosts.length === 0 ? (
-            Mehrere Hosts auswählen und gemeinsam einem Kunden zuweisen. Im Prototyp ist das Formular noch
+            <Callout titel="Alles zugeordnet" farbe="info">
-            ohne Funktion – die Zuweisung folgt in #006.
+              Jeder gemeldete Host gehört zu einem Kunden. Neu registrierte Hosts erscheinen automatisch hier.
            </Callout>
          ) : (
            <Callout titel="Schnellzuweisung" farbe="warning">
              Hosts auswählen, Kunde wählen und in einem Schritt zuweisen. Wer Hosts direkt vorzuordnen
              möchte, erzeugt unter <Link href="/einstellungen/tokens">Agent-Tokens</Link> einen
              Enrollment-Token mit Kundenbindung – damit landen neue Hosts sofort beim richtigen Kunden.
            </Callout>
          )}
-          <Card titel={`${liste.length} Hosts ohne Kunde`} rahmen="warning" tabelle>
+          {kunden.length === 0 ? (
-            <div className="table-responsive">
+            <Callout titel="Noch kein Kunde vorhanden" farbe="danger">
-              <table className="table table-striped align-middle">
+              Zum Zuweisen wird mindestens ein Kunde benötigt.{" "}
-                <thead>
+              <Link href="/kunden/neu">Jetzt einen Kunden anlegen.</Link>
-                  <tr>
+            </Callout>
-                    <th scope="col">
+          ) : null}
-                      <input type="checkbox" className="form-check-input" aria-label="Alle auswählen" />
+
-                    </th>
+          {hosts.length > 0 ? (
-                    <th scope="col">Host</th>
+            <Card titel={`${hosts.length} Hosts ohne Kunde`} rahmen="warning" tabelle>
-                    <th scope="col">Produkt</th>
+              <ZuweisungsFormular
-                    <th scope="col">Server-ID</th>
+                hosts={hosts.map((host) => ({
-                    <th scope="col">Key</th>
+                  id: host.id,
-                    <th scope="col">Erste Meldung</th>
+                  hostname: host.hostname,
-                  </tr>
+                  produkt: host.produkt,
-                </thead>
+                  serverId: host.serverId,
-                <tbody>
+                  subKey: host.subKey,
-                  {liste.map((host) => (
+                  erstmalsGesehenAm: host.erstmalsGesehenAm.toISOString(),
-                    <tr key={host.id}>
+                }))}
-                      <td>
+                kunden={kunden}
                        <input
                          type="checkbox"
                          className="form-check-input"
                          aria-label={`${host.hostname} auswählen`}
                          defaultChecked
              />
                      </td>
                      <td className="fw-semibold">{host.hostname}</td>
                      <td>{PRODUKT_NAME[host.produkt]}</td>
                      <td>
                        <CopyableCode wert={host.serverId} />
                      </td>
                      <td>
                        <CopyableCode wert={host.subscription.key} />
                      </td>
                      <td>{formatDatumZeit(host.letzterReport)}</td>
                    </tr>
                  ))}
                </tbody>
              </table>
            </div>
          </Card>
          <Card titel="Ausgewählte Hosts zuweisen">
            <div className="row g-2 align-items-end">
              <div className="col-md-5">
                <label className="form-label" htmlFor="kunde">
                  Kunde
                </label>
                <select id="kunde" className="form-select">
                  {kunden.map((kunde) => (
                    <option key={kunde.id}>{kunde.name}</option>
                  ))}
                </select>
              </div>
              <div className="col-md-5">
                <label className="form-label" htmlFor="standort">
                  Standort (optional)
                </label>
                <select id="standort" className="form-select">
                  <option>– kein Standort –</option>
                  {kunden[0].standorte.map((standort) => (
                    <option key={standort.id}>{standort.name}</option>
                  ))}
                </select>
              </div>
              <div className="col-md-2">
                <button type="button" className="btn btn-primary w-100" disabled>
                  Zuweisen
                </button>
              </div>
            </div>
            </Card>
          ) : null}
        </div>
      </div>
    </>
@@ -1,23 +1,96 @@
 import Link from "next/link";
 import { ContentHeader } from "@/components/layout/ContentHeader";
 import { HostFilterLeiste } from "@/components/hosts/HostFilterLeiste";
 import { AblaufBadge, KeineMeldungBadge, StatusBadge } from "@/components/ui/Badges";
 import { Card } from "@/components/ui/Card";
 import { CopyableCode } from "@/components/ui/CopyableCode";
-import { HEUTE, hosts } from "@/mock/data";
+import { PRODUKT_TEXT } from "@/lib/anzeige";
-import { PRODUKT_NAME, getKunde, hostMeldetNicht, suche } from "@/mock/queries";
+import { formatDatumZeit } from "@/lib/format";
 import { filterOptionen, hostListe, type HostFilter } from "@/server/queries/hostliste";
 export const metadata = { title: "Hosts" };
-export default async function HostsSeite({
+type SuchParameter = Promise<Record<string, string | string[] | undefined>>;
  searchParams,
 }: {
  searchParams: Promise<{ q?: string; status?: string; kunde?: string }>;
 }) {
  const { q, status, kunde } = await searchParams;
-  let liste = q ? suche(q).hosts : hosts;
+function einzeln(wert: string | string[] | undefined): string | undefined {
-  if (status) liste = liste.filter((h) => h.subscription.status === status);
+  const text = Array.isArray(wert) ? wert[0] : wert;
-  if (kunde) liste = liste.filter((h) => h.kundeId === kunde);
+  return text && text.length > 0 ? text : undefined;
 }
 /** Baut eine Adresse mit geänderten Parametern – für Sortierung, Blättern und Export. */
 function mitParametern(
  basis: Record<string, string | undefined>,
  aenderung: Record<string, string | undefined> = {},
  pfad = "/hosts",
 ) {
  const params = new URLSearchParams();
  for (const [schluessel, wert] of Object.entries({ ...basis, ...aenderung })) {
    if (wert) params.set(schluessel, wert);
  }
  const text = params.toString();
  return text ? `${pfad}?${text}` : pfad;
 }
 /** Spaltenkopf, der beim Klick die Sortierung umschaltet. */
 function SortierKopf({
  titel,
  feld,
  basis,
  sortierung,
 }: {
  titel: string;
  feld: string;
  basis: Record<string, string | undefined>;
  sortierung: string | undefined;
 }) {
  const aktiv = (sortierung ?? "hostname").startsWith(feld);
  const absteigend = sortierung === `${feld}-ab`;
  return (
    <th scope="col">
      <Link
        href={mitParametern(basis, { sortierung: absteigend ? feld : `${feld}-ab`, seite: undefined })}
        className="text-decoration-none text-body d-inline-flex align-items-center gap-1"
      >
        {titel}
        {aktiv ? (
          <i
            className={`bi ${absteigend ? "bi-caret-down-fill" : "bi-caret-up-fill"} small`}
            aria-hidden="true"
          />
        ) : null}
      </Link>
    </th>
  );
 }
 export default async function HostsSeite({ searchParams }: { searchParams: SuchParameter }) {
  const roh = await searchParams;
  const filter: HostFilter = {
    q: einzeln(roh.q),
    kunde: einzeln(roh.kunde),
    status: einzeln(roh.status),
    produkt: einzeln(roh.produkt),
    ablauf: einzeln(roh.ablauf) as HostFilter["ablauf"],
    rechnung: einzeln(roh.rechnung) as HostFilter["rechnung"],
    sortierung: einzeln(roh.sortierung),
    seite: Number(einzeln(roh.seite) ?? 1),
  };
  const jetzt = new Date();
  const [{ hosts, gesamt, seite, seiten }, optionen] = await Promise.all([
    hostListe(filter, jetzt),
    filterOptionen(),
  ]);
  const basis: Record<string, string | undefined> = {
    q: filter.q,
    kunde: filter.kunde,
    status: filter.status,
    produkt: filter.produkt,
    ablauf: filter.ablauf,
    rechnung: filter.rechnung,
    sortierung: filter.sortierung,
  };
  return (
    <>
@@ -26,7 +99,7 @@ export default async function HostsSeite({
      <div className="app-content">
        <div className="container-fluid">
          <Card
-            titel={`${liste.length} von ${hosts.length} Hosts`}
+            titel={`${gesamt} Host${gesamt === 1 ? "" : "s"}${gesamt !== hosts.length ? ` · Seite ${seite} von ${seiten}` : ""}`}
            rahmen="primary"
            tabelle
            werkzeuge={
@@ -34,106 +107,128 @@ export default async function HostsSeite({
                <Link href="/hosts/nicht-zugeordnet" className="btn btn-sm btn-outline-primary">
                  Nicht zugeordnete
                </Link>
-                <span className="btn btn-sm btn-outline-secondary disabled">CSV-Export (ab #007)</span>
+                <a
                  href={mitParametern(basis, {}, "/hosts/export")}
                  className="btn btn-sm btn-outline-secondary"
                >
                  <i className="bi bi-filetype-csv me-1" aria-hidden="true" />
                  CSV
                </a>
              </>
            }
          >
-            <form className="p-3 border-bottom row g-2" role="search">
+            <HostFilterLeiste kunden={optionen.kunden} werte={basis} />
              <div className="col-md-5">
                <input
                  type="search"
                  name="q"
                  defaultValue={q ?? ""}
                  className="form-control"
                  placeholder="Hostname, Key, Server-ID oder IP …"
                  aria-label="Hosts durchsuchen"
                />
              </div>
              <div className="col-md-3">
                <select name="status" defaultValue={status ?? ""} className="form-select" aria-label="Status">
                  <option value="">Alle Status</option>
                  <option value="active">Aktiv</option>
                  <option value="expired">Abgelaufen</option>
                  <option value="notfound">Keine Subscription</option>
                </select>
              </div>
              <div className="col-md-2">
                <button type="submit" className="btn btn-primary w-100">
                  Filtern
                </button>
              </div>
            </form>
            <div className="table-responsive">
              <table className="table table-striped align-middle">
                <thead>
                  <tr>
-                    <th scope="col">Host</th>
+                    <SortierKopf titel="Host" feld="hostname" basis={basis} sortierung={filter.sortierung} />
-                    <th scope="col">Kunde</th>
+                    <SortierKopf titel="Kunde" feld="kunde" basis={basis} sortierung={filter.sortierung} />
-                    <th scope="col">Produkt</th>
+                    <th scope="col" className="d-none d-lg-table-cell">
-                    <th scope="col">Status</th>
+                      Produkt
-                    <th scope="col">Key</th>
+                    </th>
-                    <th scope="col">Ablauf</th>
+                    <SortierKopf titel="Status" feld="status" basis={basis} sortierung={filter.sortierung} />
-                    <th scope="col">Sockets</th>
+                    <th scope="col" className="d-none d-md-table-cell">
                      Key
                    </th>
                    <SortierKopf titel="Ablauf" feld="ablauf" basis={basis} sortierung={filter.sortierung} />
                    <th scope="col" className="d-none d-lg-table-cell">
                      Sockets
                    </th>
                    <SortierKopf
                      titel="Letzte Meldung"
                      feld="meldung"
                      basis={basis}
                      sortierung={filter.sortierung}
                    />
                  </tr>
                </thead>
                <tbody>
-                  {liste.map((host) => {
+                  {hosts.map((host) => (
                    const kundeDesHosts = getKunde(host.kundeId);
                    const socketAbweichung =
                      host.subscription.lizenzierteSockets !== null &&
                      host.sockets !== null &&
                      host.subscription.lizenzierteSockets !== host.sockets;
                    return (
                    <tr key={host.id}>
                      <td>
                        <Link href={`/hosts/${host.id}`} className="fw-semibold text-decoration-none">
                          {host.hostname}
                        </Link>
-                          {hostMeldetNicht(host) ? <KeineMeldungBadge /> : null}
+                        {host.meldetNicht ? <KeineMeldungBadge /> : null}
-                          <div className="small text-body-secondary">{host.ips.join(", ")}</div>
+                        <div className="small text-body-secondary">{host.ips.join(", ") || "–"}</div>
                      </td>
                      <td>
-                          {kundeDesHosts ? (
+                        {host.kunde ? (
-                            <Link href={`/kunden/${kundeDesHosts.id}`} className="text-decoration-none">
+                          <Link href={`/kunden/${host.kunde.id}`} className="text-decoration-none">
-                              {kundeDesHosts.name}
+                            {host.kunde.name}
                          </Link>
                        ) : (
-                            <span className="badge pl-bg-neutral">Nicht zugeordnet</span>
+                          <Link
                            href="/hosts/nicht-zugeordnet"
                            className="badge pl-bg-neutral text-decoration-none"
                          >
                            Nicht zugeordnet
                          </Link>
                        )}
                        {host.standort ? (
                          <div className="small text-body-secondary">{host.standort.name}</div>
                        ) : null}
                      </td>
-                        <td>{PRODUKT_NAME[host.produkt]}</td>
+                      <td className="d-none d-lg-table-cell">{PRODUKT_TEXT[host.produkt]}</td>
                      <td>
-                          <StatusBadge status={host.subscription.status} />
+                        <StatusBadge status={host.subStatus} />
                      </td>
                      <td className="d-none d-md-table-cell">
                        <CopyableCode wert={host.subKey} />
                      </td>
                      <td>
-                          <CopyableCode wert={host.subscription.key} />
+                        <AblaufBadge datum={host.subNextduedate?.toISOString() ?? null} heute={jetzt} />
                      </td>
-                        <td>
+                      <td className="d-none d-lg-table-cell">
-                          <AblaufBadge datum={host.subscription.nextduedate} heute={HEUTE} />
+                        {host.subLizenzierteSockets ?? "–"} / {host.sockets ?? "–"}
-                        </td>
+                        {host.socketAbweichung ? (
                        <td>
                          {host.subscription.lizenzierteSockets ?? "–"} / {host.sockets ?? "–"}
                          {socketAbweichung ? (
                          <i
                            className="bi bi-exclamation-triangle-fill pl-text-warning ms-2"
                            title="Lizenzierte und physische Sockets weichen ab"
                          />
                        ) : null}
                      </td>
                      <td className="small d-none d-xl-table-cell">
                        {formatDatumZeit(host.letzterReportAm)}
                      </td>
                    </tr>
-                    );
+                  ))}
-                  })}
+                  {hosts.length === 0 ? (
                  {liste.length === 0 ? (
                    <tr>
-                      <td colSpan={7} className="text-center text-body-secondary py-4">
+                      <td colSpan={8} className="text-center text-body-secondary py-4">
-                        Keine Hosts gefunden.
+                        Keine Hosts gefunden. <Link href="/hosts">Filter zurücksetzen</Link>
                      </td>
                    </tr>
                  ) : null}
                </tbody>
              </table>
            </div>
            {seiten > 1 ? (
              <nav className="p-3 border-top" aria-label="Seiten">
                <ul className="pagination pagination-sm mb-0">
                  <li className={`page-item ${seite <= 1 ? "disabled" : ""}`}>
                    <Link className="page-link" href={mitParametern(basis, { seite: String(seite - 1) })}>
                      Zurück
                    </Link>
                  </li>
                  {Array.from({ length: seiten }, (_, i) => i + 1).map((nummer) => (
                    <li key={nummer} className={`page-item ${nummer === seite ? "active" : ""}`}>
                      <Link className="page-link" href={mitParametern(basis, { seite: String(nummer) })}>
                        {nummer}
                      </Link>
                    </li>
                  ))}
                  <li className={`page-item ${seite >= seiten ? "disabled" : ""}`}>
                    <Link className="page-link" href={mitParametern(basis, { seite: String(seite + 1) })}>
                      Weiter
                    </Link>
                  </li>
                </ul>
              </nav>
            ) : null}
          </Card>
        </div>
      </div>
@@ -1,26 +1,31 @@
 import Link from "next/link";
 import { ContentHeader } from "@/components/layout/ContentHeader";
 import { AblaufBadge, EinkaufBadge, VerkaufBadge } from "@/components/ui/Badges";
 import { Card } from "@/components/ui/Card";
-import { formatDatum, tageBis } from "@/lib/format";
+import { CopyableCode } from "@/components/ui/CopyableCode";
-import { HEUTE, hosts, kunden } from "@/mock/data";
+import { formatDatum, formatTageBis } from "@/lib/format";
 import { ablaufDaten } from "@/server/queries/jahresbahn";
 export const metadata = { title: "Jahresbahn" };
 const MONATE = ["Jan", "Feb", "Mär", "Apr", "Mai", "Jun", "Jul", "Aug", "Sep", "Okt", "Nov", "Dez"];
 const GESAMT_TAGE = 365;
-export default function JahresbahnSeite() {
+export default async function JahresbahnSeite() {
-  const start = new Date(Date.UTC(HEUTE.getUTCFullYear(), HEUTE.getUTCMonth(), 1));
+  const jetzt = new Date();
-  const gesamtTage = 365;
+  const { gruppen, naechste90Tage, abgelaufen } = await ablaufDaten(jetzt);
-  function position(datum: string): number | null {
+  // Die Bahn beginnt am Ersten des laufenden Monats und zeigt zwölf Monate.
-    const tage = Math.round((new Date(datum).getTime() - start.getTime()) / 86_400_000);
+  const start = new Date(Date.UTC(jetzt.getUTCFullYear(), jetzt.getUTCMonth(), 1));
-    if (tage < 0 || tage > gesamtTage) return null;
+
-    return (tage / gesamtTage) * 100;
+  function position(datum: Date): number | null {
    const tage = Math.round((datum.getTime() - start.getTime()) / 86_400_000);
    if (tage < 0 || tage > GESAMT_TAGE) return null;
    return (tage / GESAMT_TAGE) * 100;
  }
-  const heutePosition = position(HEUTE.toISOString().slice(0, 10)) ?? 0;
+  const heutePosition = position(jetzt) ?? 0;
-
+  const monate = Array.from({ length: 12 }, (_, i) => {
  const monatsBeschriftung = Array.from({ length: 12 }, (_, i) => {
    const datum = new Date(Date.UTC(start.getUTCFullYear(), start.getUTCMonth() + i, 1));
    return `${MONATE[datum.getUTCMonth()]} ${String(datum.getUTCFullYear()).slice(2)}`;
  });
@@ -31,79 +36,175 @@ export default function JahresbahnSeite() {
      <div className="app-content">
        <div className="container-fluid">
-          <Card titel="Abläufe der nächsten 12 Monate" rahmen="primary">
+          <Card titel="Abläufe der nächsten zwölf Monate" rahmen="primary">
            {gruppen.length === 0 ? (
              <p className="mb-0 text-body-secondary">Noch kein Host mit Ablaufdatum gemeldet.</p>
            ) : (
              <div className="table-responsive">
-              <div style={{ minWidth: "760px" }}>
+                <div style={{ minWidth: "820px" }}>
-                <div className="d-flex text-body-secondary small mb-2" style={{ marginLeft: "12rem" }}>
+                  <div className="d-flex text-body-secondary small mb-2" style={{ marginLeft: "13rem" }}>
-                  {monatsBeschriftung.map((monat) => (
+                    {monate.map((monat) => (
                      <div key={monat} style={{ width: `${100 / 12}%` }}>
                        {monat}
                      </div>
                    ))}
                  </div>
-                {kunden.map((kunde) => {
+                  {gruppen.map((gruppe) => (
-                  const eigene = hosts.filter(
+                    <div key={gruppe.kundeId ?? "ohne"} className="mb-3">
                    (h) => h.kundeId === kunde.id && h.subscription.nextduedate !== null,
                  );
                  if (eigene.length === 0) return null;
                  return (
                    <div key={kunde.id} className="mb-3">
                      <div className="fw-semibold small mb-1">
-                        <Link href={`/kunden/${kunde.id}`} className="text-decoration-none">
+                        {gruppe.kundeId ? (
-                          {kunde.name}
+                          <Link href={`/kunden/${gruppe.kundeId}`} className="text-decoration-none">
                            {gruppe.name}
                          </Link>
                        ) : (
                          <span className="badge pl-bg-neutral">{gruppe.name}</span>
                        )}
                      </div>
-                      {eigene.map((host) => {
+
-                        const datum = host.subscription.nextduedate!;
+                      {gruppe.eintraege.map((eintrag) => {
-                        const links = position(datum.slice(0, 10));
+                        const links = position(eintrag.ablauf);
                        const tage = tageBis(datum, HEUTE);
                        const farbe =
-                          tage === null || tage < 14
+                          eintrag.tage < 14
                            ? "var(--pl-danger)"
-                            : tage < 30
+                            : eintrag.tage < 30
                              ? "var(--pl-warning)"
                              : "var(--pl-info)";
                        return (
-                          <div key={host.id} className="d-flex align-items-center mb-1">
+                          <div key={eintrag.hostId} className="d-flex align-items-center mb-1">
-                            <div className="small text-truncate" style={{ width: "12rem" }}>
+                            <div className="small text-truncate" style={{ width: "13rem" }}>
-                              <Link href={`/hosts/${host.id}`} className="text-decoration-none">
+                              <Link href={`/hosts/${eintrag.hostId}`} className="text-decoration-none">
-                                {host.hostname}
+                                {eintrag.hostname}
                              </Link>
                            </div>
                            <div className="pl-timeline-row flex-grow-1 position-relative">
                              <div className="pl-timeline-heute" style={{ left: `${heutePosition}%` }} />
                              {links === null ? (
                                <span className="small text-body-secondary ms-2">
-                                  außerhalb des Zeitraums ({formatDatum(datum)})
+                                  außerhalb des Zeitraums ({formatDatum(eintrag.ablauf)})
                                </span>
                              ) : (
-                                <div
+                                <Link
-                                  className="pl-timeline-bar"
+                                  href={
                                    eintrag.laufzeitId
                                      ? `/rechnungen/${eintrag.laufzeitId}`
                                      : `/hosts/${eintrag.hostId}`
                                  }
                                  className="pl-timeline-bar text-decoration-none"
                                  style={{
-                                    left: `${Math.max(0, links - 6)}%`,
+                                    left: `${Math.min(92, Math.max(0, links - 5))}%`,
                                    backgroundColor: farbe,
                                    color: farbe === "var(--pl-warning)" ? "var(--pl-warning-text)" : "#fff",
                                  }}
-                                  title={`${host.hostname} läuft am ${formatDatum(datum)} ab`}
+                                  title={`${eintrag.hostname} läuft am ${formatDatum(eintrag.ablauf)} ab`}
                                >
-                                  {formatDatum(datum)}
+                                  {formatDatum(eintrag.ablauf)}
-                                </div>
+                                </Link>
                              )}
                            </div>
                          </div>
                        );
                      })}
                    </div>
-                  );
+                  ))}
                })}
                </div>
              </div>
            )}
            <p className="small text-body-secondary mb-0">
-              Die rote Linie markiert heute ({formatDatum(HEUTE)}). Farbe der Balken: rot unter 14 Tagen, gelb
+              Die rote Linie markiert heute ({formatDatum(jetzt)}). Balkenfarbe: rot unter 14 Tagen, gelb
-              unter 30 Tagen, sonst blau.
+              unter 30 Tagen, sonst blau. Ein Klick führt zur Laufzeit mit ihren Rechnungen.
            </p>
          </Card>
          <div className="row">
            <div className="col-lg-8">
              <Card
                titel={`Ablauf-Kalender: nächste 90 Tage (${naechste90Tage.length})`}
                rahmen="warning"
                tabelle
              >
                <div className="table-responsive">
                  <table className="table table-striped align-middle">
                    <thead>
                      <tr>
                        <th scope="col">Ablauf</th>
                        <th scope="col">Host</th>
                        <th scope="col">Kunde</th>
                        <th scope="col">Key</th>
                        <th scope="col">Proxmox</th>
                        <th scope="col">Kundenrechnung</th>
                      </tr>
                    </thead>
                    <tbody>
                      {naechste90Tage.map((eintrag) => (
                        <tr key={eintrag.hostId}>
                          <td>
                            <AblaufBadge datum={eintrag.ablauf.toISOString()} heute={jetzt} />
                          </td>
                          <td>
                            <Link href={`/hosts/${eintrag.hostId}`} className="text-decoration-none">
                              {eintrag.hostname}
                            </Link>
                          </td>
                          <td>
                            {eintrag.kunde ? (
                              <Link href={`/kunden/${eintrag.kunde.id}`} className="text-decoration-none">
                                {eintrag.kunde.name}
                              </Link>
                            ) : (
                              <span className="badge pl-bg-neutral">Nicht zugeordnet</span>
                            )}
                          </td>
                          <td>
                            <CopyableCode wert={eintrag.key} />
                          </td>
                          <td>
                            <EinkaufBadge bezahlt={eintrag.einkaufBezahlt} />
                          </td>
                          <td>
                            <VerkaufBadge erstellt={eintrag.verkaufErstellt ?? false} bezahlt={false} />
                          </td>
                        </tr>
                      ))}
                      {naechste90Tage.length === 0 ? (
                        <tr>
                          <td colSpan={6} className="text-center text-body-secondary py-4">
                            In den nächsten 90 Tagen läuft nichts ab.
                          </td>
                        </tr>
                      ) : null}
                    </tbody>
                  </table>
                </div>
              </Card>
            </div>
            <div className="col-lg-4">
              <Card
                titel={`Bereits abgelaufen (${abgelaufen.length})`}
                rahmen={abgelaufen.length > 0 ? "danger" : "info"}
              >
                {abgelaufen.length === 0 ? (
                  <p className="mb-0 text-body-secondary">Keine abgelaufenen Subscriptions.</p>
                ) : (
                  <ul className="list-unstyled mb-0">
                    {abgelaufen.map((eintrag) => (
                      <li key={eintrag.hostId} className="mb-2">
                        <Link href={`/hosts/${eintrag.hostId}`} className="fw-semibold text-decoration-none">
                          {eintrag.hostname}
                        </Link>
                        <div className="small text-body-secondary">
                          {eintrag.kunde?.name ?? "Nicht zugeordnet"} · {formatDatum(eintrag.ablauf)} (
                          {formatTageBis(eintrag.tage)})
                        </div>
                      </li>
                    ))}
                  </ul>
                )}
              </Card>
            </div>
          </div>
        </div>
      </div>
    </>
@@ -0,0 +1,65 @@
 import { notFound } from "next/navigation";
 import { ContentHeader } from "@/components/layout/ContentHeader";
 import { KundeFormular } from "@/components/kunden/KundeFormular";
 import { Card } from "@/components/ui/Card";
 import { prisma } from "@/lib/db";
 import { kundeLoeschen } from "@/server/actions/kunden";
 export const metadata = { title: "Kunde bearbeiten" };
 export default async function KundeBearbeitenSeite({ params }: { params: Promise<{ id: string }> }) {
  const { id } = await params;
  const kunde = await prisma.kunde.findUnique({
    where: { id },
    include: { _count: { select: { hosts: true } } },
  });
  if (!kunde) notFound();
  return (
    <>
      <ContentHeader
        titel={`${kunde.name} bearbeiten`}
        brotkrumen={[
          { titel: "Kunden", href: "/kunden" },
          { titel: kunde.name, href: `/kunden/${kunde.id}` },
          { titel: "Bearbeiten" },
        ]}
      />
      <div className="app-content">
        <div className="container-fluid">
          <div className="row">
            <div className="col-lg-8">
              <Card titel="Stammdaten" rahmen="primary">
                <KundeFormular
                  werte={{
                    id: kunde.id,
                    name: kunde.name,
                    kundennummer: kunde.kundennummer,
                    ansprechpartner: kunde.ansprechpartner,
                    email: kunde.email,
                    telefon: kunde.telefon,
                    notizen: kunde.notizen,
                  }}
                />
              </Card>
              <Card titel="Kunde löschen" rahmen="danger">
                <p>
                  Der Kunde wird mit allen Standorten und Kundenrechnungen entfernt. Seine{" "}
                  {kunde._count.hosts} Host(s) bleiben erhalten und erscheinen danach unter „Nicht
                  zugeordnet“.
                </p>
                <form action={kundeLoeschen}>
                  <input type="hidden" name="id" value={kunde.id} />
                  <button type="submit" className="btn btn-danger pl-touch-target">
                    Endgültig löschen
                  </button>
                </form>
              </Card>
            </div>
          </div>
        </div>
      </div>
    </>
  );
 }
--- a/Show More
+++ b/Show More
Author	SHA1	Message	Date
florian.wilde	ffc80a8fcf	Merge branch 'phase/025-einstellungen' Prüfung / pruefung (push) Canceled after 0s Details	2026-09-18 23:58:30 +02:00
florian.wildeandClaude Opus 5	d416f3869a	feat(einstellungen): Betriebswerte im Dashboard einstellbar (#025 ) Vier Bereiche unter Einstellungen -> System: Adresse und Agent, Kaufmaennisches, Sicherheit sowie Firma und Darstellung. Alles liegt als eine JSON-Zeile in der Tabelle Einstellung; fehlende Felder bekommen ihren Vorgabewert, eine kaputte Zeile legt den Betrieb nicht lahm. Die Werte wirken auch wirklich: Die Dashboard-Adresse und der Melderhythmus landen im ausgelieferten Einzeiler und im systemd-Timer (live geprueft), der Steuersatz in neuen Rechnungspositionen, die Sitzungsdauer im Token, die Firmenangaben im Kopf der PDF-Dateien. Nebenbei geschlossen: die OIDC-Luecke aus #024. Erlaubte Domaenen und ein Schalter gegen automatisch angelegte Konten. Dazu raeumt der Worker nachts nach den eingestellten Fristen auf - der juengste Report je Host bleibt. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-18 23:58:30 +02:00
florian.wilde	19b0751c16	Merge branch 'phase/024-owasp' Prüfung / pruefung (push) Canceled after 0s Details	2026-09-18 23:45:35 +02:00
florian.wildeandClaude Opus 5	7775b6211f	feat(security): Haertung nach OWASP Top 10 (#024 ) Drei echte Luecken gefunden und geschlossen: 1. Die 27 Server Actions verliessen sich allein auf proxy.ts. Jede prueft die Sitzung jetzt selbst und schlaegt gegen die Datenbank nach, ob das Konto noch gilt - damit lassen sich Sitzungen ueberhaupt erst widerrufen. 2. Der Anmelde-Endpunkt prueft die Herkunft des Formulars; vorher war Login-CSRF moeglich. 3. Content-Security-Policy mit Nonce je Anfrage und strict-dynamic. Dazu: npm audit ist ohne Befund (mysql2 und deepmerge-ts per overrides angehoben statt Prisma zurueckzustufen), eine Benutzerverwaltung fuer die Kommandozeile und docs/sicherheit.md mit allem, was bewusst offen bleibt - keine Rollen, keine Zwei-Faktor-Anmeldung. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-18 23:45:35 +02:00
florian.wilde	94f1eb4e6f	Merge branch 'phase/023-feldtest-pbs' Prüfung / pruefung (push) Canceled after 0s Details	2026-09-18 23:27:02 +02:00
florian.wildeandClaude Opus 5	1bfd549838	fix(agent): PBS-Ausgaben richtig auswerten (#023 ) Feldtest auf einem echten Proxmox Backup Server 4.2: `proxmox-backup-manager subscription get` gibt eine Rahmentabelle aus, keine "feld: wert"-Zeilen. Der Agent hat dort bisher nichts gelesen - nicht einmal die Server-ID. PBS kann (anders als PVE) `--output-format json`; das wird jetzt genutzt, die Tabelle dient als Rueckfall. Die Testfaelle stammen ab sofort vom echten Host, der bisherige PBS-Testfall war erfunden und hat den Fehler verdeckt. Ausserdem: die PBS-Version enthielt die laufende Fassung doppelt, und die Versionspruefung meldete "neue Version" auch bei aelteren Fassungen. Installation, Report, Warnungen und Uninstall wurden auf dem Host vollstaendig durchgespielt - damit ist auch der letzte offene Punkt aus #018 erledigt. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-18 23:27:02 +02:00
florian.wildeandClaude Opus 5	52466eee3f	docs(feldtest): Feldtest fuer PBS und PMG als #023 festhalten Prüfung / pruefung (push) Canceled after 0s Details PBS-Hosts stehen spaeter zur Verfuegung, allerdings nur unlizenziert; fuer PMG gibt es derzeit keinen Host. Der heutige PBS-Testfall im Testlauf ist erfunden (JSON) und gehoert gegen echte Ausgaben geprueft - bei PVE war genau diese Annahme falsch. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-18 18:45:36 +02:00
florian.wilde	2e79dfb111	Merge branch 'phase/018-feldtest' Prüfung / pruefung (push) Canceled after 0s Details	2026-09-18 18:05:13 +02:00
florian.wildeandClaude Opus 5	7728fcb565	feat(cluster): Cluster-Knoten ohne Agent erkennen (#022 , #018 ) Feldtest auf zwei echten Proxmox-VE-9.2-Hosts (#018): Installation, Timer, Zwischenspeicher und Nachsenden laufen wie vorgesehen. `pvesubscription get` kennt kein JSON, ohne Subscription fehlen fast alle Felder, `pveversion` enthaelt den Kernel doppelt - alles im Agent beruecksichtigt. Dabei zeigte sich: in Proxmox hat jeder Knoten eine eigene Subscription. Der Agent meldet darum die Cluster-Mitglieder aus `pvecm nodes`, und eine elfte Warnregel meldet Knoten, von denen sich kein Agent meldet (#022). Ausserdem behoben: die Bilder des Handbuchs zeigten allesamt die Anmeldeseite, weil Firefox eine selbst erzeugte Cookie-Datei stillschweigend verwirft. Das Skript nutzt jetzt einen lokalen Vermittler und bricht ab, wenn alle Aufnahmen gleich gross sind. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-18 18:05:08 +02:00
florian.wilde	dc685980d8	Merge branch 'phase/021-geheimnisse' Prüfung / pruefung (push) Canceled after 0s Details	2026-09-17 23:50:46 +02:00
florian.wildeandClaude Opus 5	db3d38aa3c	feat(security): Zugangsdaten verschluesselt speichern (#021 ) AES-256-GCM mit Schluessel aus APP_SECRET fuer SMTP-Passwort und Webhook-Geheimnis. Bestehende Klartextwerte werden weiter gelesen und beim naechsten Speichern umgeschluesselt. 156 Tests. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 23:50:46 +02:00
florian.wilde	d2ebc4e096	Merge branch 'phase/019-ci' Prüfung / pruefung (push) Canceled after 0s Details	2026-09-17 23:47:38 +02:00
florian.wildeandClaude Opus 5	0d16dfd379	ci: Pruefung bei jedem Push und Konsistenzpruefung der Doku (#019 ) Gitea-Actions-Workflow mit Lint, Typen, Tests gegen PostgreSQL, Build, ShellCheck und einem Skript, das Version, Issue-Uebersicht und Handbuch-Bilder abgleicht. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 23:47:38 +02:00
florian.wilde	af38a4efce	Merge branch 'phase/017-favicons'	2026-09-17 23:46:21 +02:00
florian.wildeandClaude Opus 5	9c0cefcfe8	feat(ui): Symbole fuer Tab, Startbildschirm und Manifest (#017 ) npm run icons erzeugt SVG, ICO und PNG aus den Vorlagen in assets/. Fuer kleine Groessen kommen die vereinfachten Fassungen zum Einsatz. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 23:46:21 +02:00
florian.wilde	a459d3f770	Merge branch 'phase/016-handbuch'	2026-09-17 23:43:19 +02:00
florian.wildeandClaude Opus 5	4423d17b15	docs: Handbuch mit Bildern und Skript zum Auffrischen (#016 ) Elf Kapitel von der Installation bis zur Fehlersuche, 16 Bilder. Das Skript meldet sich fuer die Aufnahmen selbst an, ohne Hintertuer im Code. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 23:43:19 +02:00
florian.wilde	7ff068d9b3	Merge branch 'phase/016-handbuch' (Anmeldefehler)	2026-09-17 23:41:01 +02:00
florian.wildeandClaude Opus 5	2c2f842d20	fix(auth): Sitzungs-Cookie auch ueber http nutzbar, Anmeldung als Formular (#013 ) Das Cookie erhielt im Produktionsbau immer Secure und wurde ueber http vom Browser verworfen – nach der Anmeldung landete jeder Klick wieder auf der Anmeldeseite. Massgeblich ist jetzt das Schema in APP_URL. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 23:41:01 +02:00
florian.wilde	f838a44991	Merge branch 'phase/015-feinschliff'	2026-09-17 23:27:23 +02:00
florian.wildeandClaude Opus 5	4c65c9ddab	perf(alerts): Warnungen sammelweise anlegen, Dark-Mode und Mobilansicht verbessern (#015 ) Lasttest mit 200 Hosts und 365.000 Reports: Auswertung der Warnregeln von 3813 auf 293 ms. Logo im dunklen Design sichtbar gemacht, Tabellen blenden auf schmalen Bildschirmen Spalten aus, Aufgaben-Karte begrenzt. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 23:27:23 +02:00
florian.wildeandClaude Opus 5	9647c19136	fix(lint): erzeugtes Worker-Buendel von der Pruefung ausnehmen (#014 ) Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 23:13:28 +02:00
florian.wilde	5a4c02043d	Merge branch 'phase/014-deployment'	2026-09-17 23:12:29 +02:00
florian.wildeandClaude Opus 5	0af9187079	feat(deploy): Docker-Abbild, Compose, LXC-Installer und Sicherung (#014 ) Mehrstufiges Abbild mit Standalone-Ausgabe, eigener Migrationsdienst, Worker als ESM-Buendel, LXC-Installer fuer Proxmox, Reverse-Proxy-Beispiele, Sicherungsskript und Zustandspruefung. Stapel gebaut und mit Agent-Durchlauf geprueft. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 23:12:29 +02:00
florian.wilde	00eb7225f9	Merge branch 'phase/013-authentifizierung'	2026-09-17 22:40:03 +02:00
florian.wildeandClaude Opus 5	ee487775ec	feat(auth): Anmeldung mit Passwort und OIDC, Schutz aller Seiten (#013 ) Signierte Sitzungs-Cookies mit jose, OIDC ueber openid-client (authentik), Schutz in proxy.ts, Anmeldeseite, Audit-Log-Ansicht, Sicherheits-Kopfzeilen und Rate-Limit. Kein Auth.js, weil Version 5 Beta ist. 147 Tests. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 22:40:03 +02:00
florian.wilde	6cc39591b7	Merge branch 'phase/012-benachrichtigungen'	2026-09-17 22:33:17 +02:00
florian.wildeandClaude Opus 5	9e770a99b1	feat(alerts): Benachrichtigungen per E-Mail und Webhook (#012 ) SMTP mit STARTTLS fuer Microsoft 365, Webhook mit HMAC-Signatur, taegliche oder woechentliche Zusammenfassung, Versandprotokoll und Testversand. Keine Doppelmeldungen dank Pruefung gegen das Protokoll. 134 Tests. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 22:33:17 +02:00
florian.wilde	179f751b1c	Merge branch 'phase/011-warnregeln'	2026-09-17 22:25:33 +02:00
florian.wildeandClaude Opus 5	8a299f6c5e	feat(alerts): zehn Warnregeln mit Worker, Liste und Einstellungen (#011 ) Regeln als reine Funktionen, Abgleich oeffnet und schliesst Warnungen anhand eines Fingerabdrucks. Worker wertet stuendlich aus, zusaetzlich nach jedem Report. 123 Tests. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 22:25:33 +02:00
florian.wilde	5018589f08	Merge branch 'phase/010-export'	2026-09-17 22:12:58 +02:00
florian.wildeandClaude Opus 5	cb009efd7d	feat(export): CSV- und PDF-Ausgaben fuer Hosts, Kunden und Rechnungen (#010 ) PDFs entstehen serverseitig mit @react-pdf/renderer, mit einfarbigem Logo, wiederholtem Spaltenkopf und Summenzeile. Alle Exporte uebernehmen die Filter der jeweiligen Ansicht. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 22:12:58 +02:00
florian.wilde	6168ad69f2	Merge branch 'phase/009-jahresbahn'	2026-09-17 21:57:09 +02:00
florian.wildeandClaude Opus 5	1a5327dced	feat(jahresbahn): Zeitleiste und Ablauf-Kalender aus der Datenbank (#009 ) Zwoelf-Monats-Bahn mit Heute-Linie und Gruppierung nach Kunde, 90-Tage-Kalender mit Rechnungsstatus sowie eine Karte fuer bereits abgelaufene Subscriptions. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 21:57:09 +02:00
florian.wilde	81b2066d61	Merge branch 'phase/008-laufzeiten-rechnungen'	2026-09-17 21:54:45 +02:00
florian.wildeandClaude Opus 5	558dfea34c	feat(rechnungen): Laufzeiten bestaetigen, Rechnungen erfassen und Status setzen (#008 ) Rechnungen mit Positionen: gleiche Nummer ergibt eine Sammelrechnung ueber mehrere Laufzeiten. PDF-Upload mit Inhaltspruefung und Ablage unter der Pruefsumme, Haekchen direkt in der Tabelle, Filter nach Status, Kunde und Jahr. 78 Tests. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 21:54:45 +02:00
florian.wilde	1e1d6c4418	Merge branch 'phase/020b-gitea-token'	2026-09-17 21:44:01 +02:00
florian.wildeandClaude Opus 5	2dbb30041b	feat(tooling): Gitea-Token aus den Git-Zugangsdaten lesen (#020 ) Serveradresse und Repository stammen aus dem Remote, der Token aus dem Schluesselbund bzw. ~/.git-credentials. Ein zweiter Token in der .env entfaellt. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 21:44:01 +02:00
florian.wilde	51243c29fa	Merge branch 'phase/020-gitea-abgleich'	2026-09-17 21:17:23 +02:00
florian.wildeandClaude Opus 5	2df43e1517	feat(tooling): Issue-Dateien mit dem Gitea-Tracker abgleichen (#020 ) Skript liest docs/issues/, legt Labels und Meilensteine an, erkennt vorhandene Issues an der Nummer im Titel und schliesst erledigte. Trockenlauf ohne Token. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 21:17:23 +02:00
florian.wilde	251f29c293	Merge branch 'phase/007-hosts-detailansichten'	2026-09-17 21:12:41 +02:00
florian.wildeandClaude Opus 5	0ae96a50cd	feat(hosts): Host-Tabelle mit Filtern, CSV-Export und Detailansicht (#007 ) Suche ueber Hostname, Key, Server-ID, IP und Rechnungsnummer, fuenf Filter, Sortierung mit nulls-last, Seitenblaettern und CSV-Export. Detailansicht mit sechs Tabs, Notizen, Tags und Token-Widerruf. 59 Tests. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 21:12:41 +02:00
florian.wildeandClaude Opus 5	6aa6a20f63	docs: Issues #017 bis #019 aus den Erkenntnissen der bisherigen Phasen (#006 ) Favicon-Dateien, Feldtest des Agents auf echten Proxmox-Hosts und CI-Pipeline waren bisher nur Notizen in anderen Issues. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 21:04:24 +02:00
florian.wilde	ae7f5c55ba	Merge branch 'phase/006-kunden-hostzuweisung'	2026-09-17 21:02:44 +02:00
florian.wildeandClaude Opus 5	f9a5ad2daa	feat(kunden): Kundenverwaltung, Hostzuweisung und Token-Verwaltung (#006 ) Kunden und Standorte pflegen, nicht zugeordnete Hosts in einem Schritt zuweisen, Enrollment- und Host-Tokens verwalten, Audit-Log. Dashboard, Kundenseiten und globale Suche laufen jetzt auf der Datenbank. 45 Tests. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 21:02:44 +02:00
florian.wilde	f591b45aac	Merge branch 'phase/005-agent-skript'	2026-09-17 20:44:38 +02:00
florian.wildeandClaude Opus 5	d9455db311	feat(agent): Bash-Agent mit Installer, systemd-Timer und Spool (#005 ) Produkterkennung fuer PVE, PBS und PMG, JSON-Erzeugung ohne jq, Retry mit Backoff, Nachsenden aus dem Spool, Update und Uninstall. Das Dashboard liefert install.sh und agent.sh mit eingesetzter Adresse aus. 38 Tests. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 20:44:38 +02:00
		`@@ -0,0 +1,2 @@`
							`-- AlterTable`
							`ALTER TABLE "Host" ADD COLUMN "clusterMitglieder" TEXT[] DEFAULT ARRAY[]::TEXT[];`
		`@@ -0,0 +1,2 @@`
							`-- AlterTable`
							`ALTER TABLE "Benutzer" ADD COLUMN "sitzungenUngueltigAb" TIMESTAMP(3);`