Merge branch 'phase/025-einstellungen'

Vier Bereiche unter Einstellungen -> System: Adresse und Agent,
Kaufmaennisches, Sicherheit sowie Firma und Darstellung. Alles liegt als
eine JSON-Zeile in der Tabelle Einstellung; fehlende Felder bekommen ihren
Vorgabewert, eine kaputte Zeile legt den Betrieb nicht lahm.

Die Werte wirken auch wirklich: Die Dashboard-Adresse und der Melderhythmus
landen im ausgelieferten Einzeiler und im systemd-Timer (live geprueft),
der Steuersatz in neuen Rechnungspositionen, die Sitzungsdauer im Token,
die Firmenangaben im Kopf der PDF-Dateien.

Nebenbei geschlossen: die OIDC-Luecke aus #024. Erlaubte Domaenen und ein
Schalter gegen automatisch angelegte Konten. Dazu raeumt der Worker nachts
nach den eingestellten Fristen auf - der juengste Report je Host bleibt.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

.gitea/workflows/ci.yml

@@ -0,0 +1,75 @@
+# Prüft jeden Push und jede Pull-Request-Änderung.
+# Läuft mit Gitea Actions (act_runner); die Syntax entspricht GitHub Actions.
+
+name: Prüfung
+
+on:
+  push:
+    branches: [main, "phase/**"]
+  pull_request:
+    branches: [main]
+
+jobs:
+  pruefung:
+    runs-on: ubuntu-latest
+
+    services:
+      postgres:
+        image: postgres:17-alpine
+        env:
+          POSTGRES_USER: proxledger
+          POSTGRES_PASSWORD: proxledger
+          POSTGRES_DB: proxledger_test
+        options: >-
+          --health-cmd "pg_isready -U proxledger"
+          --health-interval 5s
+          --health-timeout 5s
+          --health-retries 10
+        ports:
+          - 5432:5432
+
+    env:
+      DATABASE_URL: postgresql://proxledger:proxledger@localhost:5432/proxledger_test?schema=public
+      TEST_DATABASE_URL: postgresql://proxledger:proxledger@localhost:5432/proxledger_test?schema=public
+      APP_SECRET: ci-geheimnis-mit-mindestens-32-zeichen-laenge
+      APP_URL: http://localhost:3000
+
+    steps:
+      - name: Quelltext holen
+        uses: actions/checkout@v4
+
+      - name: Node einrichten
+        uses: actions/setup-node@v4
+        with:
+          node-version: 24
+          cache: npm
+
+      - name: Abhängigkeiten installieren
+        run: npm ci
+
+      - name: Prisma-Client erzeugen
+        run: npx prisma generate
+
+      - name: Code-Stil prüfen
+        run: npm run lint
+
+      - name: Typen prüfen
+        run: npm run typecheck
+
+      - name: Tests
+        run: npm test
+
+      - name: Anwendung bauen
+        run: npm run build
+
+      - name: Worker bauen
+        run: npm run build:worker
+
+      - name: Agent-Skripte prüfen
+        run: |
+          sudo apt-get update -qq
+          sudo apt-get install -y -qq shellcheck
+          shellcheck --severity=warning agent/*.sh deploy/*.sh
+
+      - name: Dokumentation und Versionen prüfen
+        run: npm run pruefe:doku

CHANGELOG.md

@@ -17,6 +17,93 @@ und dieses Projekt folgt [Semantic Versioning](https://semver.org/lang/de/).
 
 ### Sicherheit
 
+## [0.16.0] – 2026-09-18
+
+### Hinzugefügt
+- *Einstellungen → System*: Dashboard-Adresse, Melderhythmus und Selbstaktualisierung der Agents, kaufmännische Vorgaben, Sicherheitsgrenzen, Firmenangaben und Zeitzone (#025)
+- Die Dashboard-Adresse und der Melderhythmus landen im ausgelieferten Installations-Einzeiler und im systemd-Timer (#025)
+- OIDC lässt sich auf bestimmte E-Mail-Domänen begrenzen; das automatische Anlegen unbekannter Konten ist abschaltbar (#025)
+- Nächtliches Aufräumen nach einstellbaren Aufbewahrungsfristen für Reports und Protokoll – der jüngste Report jedes Hosts bleibt erhalten (#025)
+- Firmenangaben erscheinen im Kopf der PDF-Ausgaben (#025)
+
+### Geändert
+- Steuersatz, Zahlungsziel und Aufschlag kommen aus den Einstellungen statt aus fest eingetragenen 19 % (#025)
+
+## [0.15.0] – 2026-09-18
+
+### Hinzugefügt
+- `docs/sicherheit.md`: Zuordnung aller Maßnahmen zu den OWASP Top 10, samt der Punkte, die bewusst offen bleiben (#024)
+- Content-Security-Policy mit frischem Nonce je Anfrage (#024)
+- Sitzungen lassen sich widerrufen: gesperrtes Konto oder neues Passwort beendet laufende Sitzungen sofort (#024)
+- Benutzerverwaltung auf der Kommandozeile: `npm run benutzer -- liste|sperren|entsperren|passwort` (#024)
+
+### Behoben
+- Server Actions verließen sich allein auf den Schutz in `proxy.ts`; jede der 27 Aktionen prüft die Sitzung jetzt selbst (#024)
+- Die Anmeldung prüfte die Herkunft des Formulars nicht – damit war Login-CSRF möglich (#024)
+- `npm audit` meldete vier hohe Schwachstellen in Beiwerk von Prisma (`mysql2`, `deepmerge-ts`); über `overrides` angehoben, jetzt ohne Befund (#024)
+
+## [0.14.1] – 2026-09-18
+
+### Behoben
+- Auf Proxmox Backup Server las der Agent **keine einzige Angabe** aus: `proxmox-backup-manager subscription get` gibt eine Rahmentabelle aus, keine `feld: wert`-Zeilen. Jetzt wird für PBS `--output-format json` genutzt, und die Tabelle wird als Rückfall ausgewertet (#023)
+- Die PBS-Version enthielt die laufende Fassung ein zweites Mal (#023)
+- Der Agent meldete eine „neue Version“, auch wenn die installierte neuer war als die des Dashboards (#023)
+
+### Geändert
+- Agent-Version 0.2.1; die Tests prüfen die Versionsangabe jetzt gegen die Konstante des Dashboards statt gegen eine abgeschriebene Zahl (#023)
+
+## [0.14.0] – 2026-09-18
+
+### Hinzugefügt
+- Der Agent meldet die Mitglieder seines Proxmox-Clusters; das Dashboard warnt bei Knoten ohne eigenen Agent (#022)
+- Host-Detail zeigt alle Cluster-Knoten mit Zustand „meldet sich“ oder „kein Agent“ (#022)
+- Wartezeiten zwischen Sendeversuchen über `PROXLEDGER_WARTEZEITEN` einstellbar, damit sich der Zwischenspeicher testen lässt (#018)
+
+### Behoben
+- Die Produktversion enthielt bei Proxmox VE den Kernel ein zweites Mal (#018)
+- Die Bilder des Handbuchs zeigten allesamt die Anmeldeseite: Firefox verwirft fremd erzeugte Cookie-Dateien stillschweigend. Das Skript nutzt jetzt einen lokalen Vermittler, der die Sitzung mitschickt, und bricht ab, wenn alle Aufnahmen gleich groß sind (#016)
+
+## [0.13.1] – 2026-09-17
+
+### Sicherheit
+- SMTP-Passwort und Webhook-Geheimnis werden verschlüsselt in der Datenbank abgelegt (AES-256-GCM, Schlüssel aus `APP_SECRET`); eine Sicherung gibt sie damit nicht mehr im Klartext preis (#021)
+- Werte aus der Zeit davor werden weiterhin gelesen und beim nächsten Speichern umgeschlüsselt (#021)
+
+## [0.13.0] – 2026-09-17
+
+### Hinzugefügt
+- Prüfung bei jedem Push über Gitea Actions: Lint, Typen, Tests gegen PostgreSQL, Build, ShellCheck und Dokumentationsprüfung (#019)
+- `npm run pruefe:doku` vergleicht Version, Issue-Übersicht und Handbuch-Bilder auf Konsistenz (#019)
+
+## [0.12.1] – 2026-09-17
+
+### Hinzugefügt
+- Symbole für Browser-Tab (SVG und ICO), iOS-Startbildschirm und Web-Manifest, erzeugt mit `npm run icons` aus den SVG-Vorlagen in `assets/` (#017)
+
+## [0.12.0] – 2026-09-17
+
+### Hinzugefügt
+- Handbuch mit Bildern: Installation, Agent-Rollout, Zuweisung, Rechnungen, Warnungen, Benachrichtigungen, Exporte, Sicherung und Fehlersuche (#016)
+- `npm run screenshots` erzeugt alle Bilder des Handbuchs neu, auch im dunklen Design und in der Mobilansicht (#016)
+
+## [0.11.1] – 2026-09-17
+
+### Behoben
+- Nach der Anmeldung führte jeder Klick zurück zur Anmeldeseite: Das Sitzungs-Cookie erhielt im Produktionsbau immer das Merkmal `Secure` und wurde über `http://` vom Browser verworfen. Maßgeblich ist jetzt die tatsächliche Adresse (`APP_URL`) (#013)
+
+### Geändert
+- Die Anmeldung läuft über ein gewöhnliches Formular statt über eine Server-Action; damit funktioniert sie auch ohne JavaScript (#013)
+
+## [0.11.0] – 2026-09-17
+
+### Geändert
+- Auswertung der Warnregeln um den Faktor 13 beschleunigt: neue Warnungen entstehen sammelweise (#015)
+- Aufgaben-Karte auf dem Dashboard zeigt höchstens zwölf Punkte und verweist für den Rest auf die Rechnungsliste (#015)
+- Große Tabellen blenden auf schmalen Bildschirmen gestaffelt Spalten aus, statt quer zu scrollen (#015)
+
+### Behoben
+- Das Logo war im dunklen Design praktisch unsichtbar; seine Farben folgen jetzt dem Farbschema (#015)
+
 ## [0.10.0] – 2026-09-17
 
 ### Hinzugefügt

DEVLOG.md

@@ -2,7 +2,7 @@
 
 ## Zeitübersicht
 
-**Gesamt:** 6 h 03 min
+**Gesamt:** 11 h 38 min
 
 | Issue | Zeit |
 |---|---|
@@ -21,6 +21,16 @@
 | #012 Benachrichtigungen | 0 h 25 min |
 | #013 Authentifizierung | 0 h 30 min |
 | #014 Deployment | 0 h 40 min |
+| #015 Feinschliff | 0 h 35 min |
+| #016 Handbuch | 0 h 30 min |
+| #017 Favicons | 0 h 15 min |
+| #019 CI-Pipeline | 0 h 20 min |
+| #021 Geheimnisse verschlüsseln | 0 h 20 min |
+| #018 Feldtest auf echten Hosts | 0 h 40 min |
+| #022 Cluster-Abgleich | 0 h 25 min |
+| #023 Feldtest PBS | 0 h 35 min |
+| #024 OWASP-Härtung | 0 h 45 min |
+| #025 Einstellungen | 1 h 10 min |
 
 | Meilenstein | Zeit |
 |---|---|
@@ -36,12 +46,14 @@
 | v0.8.0 | 0 h 25 min | **abgeschlossen**
 | v0.9.0 | 0 h 30 min | **abgeschlossen**
 | v0.10.0 | 0 h 40 min | **abgeschlossen**
+| v0.11.0 | 0 h 35 min | **abgeschlossen**
+| v0.12.0 | 0 h 30 min | **abgeschlossen**
 
 ---
 
 ## 2026-09-17 · Sitzung 1 · 19:36–laufend
 **Issue:** #001–#007 (Meilensteine v0.1.0 bis v0.4.0)
-**Version:** 0.10.0
+**Version:** 0.16.0
 
 ### Erledigt
 - Auftrag gelesen, Rückfragen gestellt
@@ -80,8 +92,17 @@
 - #014 abgeschlossen: Dockerfile (Standalone, Non-root), Compose mit web/worker/postgres/migrate, LXC-Installer, Reverse-Proxy-Beispiele, Sicherungsskript, README mit Schnellstart und Betriebshinweisen
 - Container-Stapel wirklich gebaut und geprüft: Agent registriert sich, Report kommt an, Warnung entsteht automatisch
 - Meilenstein v0.10.0 abgeschlossen
+- #015 abgeschlossen: Dark-Mode geprüft (Logo war unsichtbar – behoben), Mobilansicht ohne Querscrollen, Lasttest mit 200 Hosts und 365.000 Reports, Auswertung der Warnregeln von 3813 auf 293 ms beschleunigt, Sicherheitsdurchsicht
+- Als v0.11.0 veröffentlicht statt 1.0.0: Feldtest, Handbuch, Favicons, CI und Verschlüsselung der Zugangsdaten stehen noch aus
+- 0.11.1: Anmeldefehler behoben (Secure-Cookie über http)
+- #016 abgeschlossen: Handbuch mit elf Kapiteln und 16 Bildern, dazu `npm run screenshots` zum Auffrischen
+- #017 abgeschlossen: Symbole für Tab, Startbildschirm und Manifest, erzeugt mit `npm run icons` aus SVG-Vorlagen
+- #019 abgeschlossen: Gitea-Actions-Workflow mit Lint, Typen, Tests, Build, ShellCheck und Doku-Prüfung
+- #021 abgeschlossen: SMTP-Passwort und Webhook-Geheimnis liegen verschlüsselt in der Datenbank (AES-256-GCM, Schlüssel aus APP_SECRET)
 
 ### Entscheidungen
+- **Warnungen sammelweise anlegen:** Einzelne Upserts kosteten bei 737 neuen Warnungen 3,8 s; mit `createMany` sind es 0,3 s.
+- **Keine 1.0.0 ohne Feldtest:** Solange der Agent auf keinem echten Proxmox-Host lief, wäre die Zahl ein falsches Versprechen.
 - **Kein Auth.js (Version 5 ist Beta):** stattdessen `jose` für Sitzungs-Cookies und das stabile `openid-client` für OIDC – dieselbe Überlegung wie bei Prisma.
 - **Warnstufen im Fingerabdruck** (`…:7`): Der Wechsel 30 → 14 → 7 schließt die alte Warnung und öffnet eine neue. Das ergibt je Stufe genau eine Benachrichtigung, ohne Sonderlogik für Eskalation.
 - **Rechnungsnummer als Schlüssel für Sammelrechnungen:** Dieselbe Nummer bei einer zweiten Laufzeit hängt eine Position an – kein eigener Dialog für „Sammelrechnung anlegen“ nötig.
@@ -103,6 +124,7 @@
 - **Server Actions rufen Services auf**, damit die Regeln ohne Next.js-Laufzeit testbar bleiben.
 
 ### Probleme / offene Fragen
+- Von Florian im Betrieb gemeldet: Nach der Anmeldung führte jeder Klick zurück zur Anmeldeseite. Ursache: `Secure`-Cookie über `http://`. Behoben in 0.11.1.
 - Der LXC-Installer ist ungetestet (kein Proxmox-Host verfügbar); gleiches gilt für den Agent im Feld (#018).
 - Prisma-Client erzeugte in der Produktionsumgebung bei jedem Zugriff einen neuen Verbindungspool → „too many clients“. Behoben: Client wird im Modul festgehalten.
 - Docker wurde von Florian installiert; die Entwicklungsdatenbank läuft auf Port 5433 (5432 bleibt für lokale Instanzen frei).
@@ -110,5 +132,21 @@
 - Der Agent wurde noch auf keinem echten Proxmox-Host installiert; die Tests arbeiten mit nachgebauten Befehlen.
 - Offen: Rolle „readonly“ zusätzlich zu Admin? (vorläufig vorgesehen)
 
+- #018 abgeschlossen: Feldtest auf zwei echten PVE-9.2-Hosts (einer mit, einer ohne Subscription, einer im Cluster); Installation, Timer, Zwischenspeicher und Nachsenden geprüft
+- #022 abgeschlossen: Cluster-Abgleich – jeder Agent meldet die Mitglieder, das Dashboard warnt bei Knoten ohne Agent
+- **Fehler im eigenen Werkzeug gefunden:** Alle Handbuch-Bilder waren in Wahrheit die Anmeldeseite. Firefox verwirft eine selbst angelegte Cookie-Datei stillschweigend. Jetzt läuft ein lokaler Vermittler mit, und das Skript bricht ab, wenn alle Aufnahmen gleich groß sind.
+
+- Feldtest auf einem echten Proxmox Backup Server (#023): der Agent hätte dort **nichts** gelesen – PBS gibt eine Rahmentabelle aus, kein `feld: wert`. Behoben, mit den echten Ausgaben als Testfälle
+- Der erfundene PBS-Testfall hatte den Fehler verdeckt. Lehre: ausgedachte Testdaten bestätigen nur die eigene Annahme
+- Uninstall zum ersten Mal auf einem echten Host geprüft – restlos sauber, damit ist #018 vollständig
+
+- Durchsicht nach OWASP (#024): drei echte Lücken gefunden – Server Actions ohne eigene Zugriffsprüfung, Login-CSRF und fehlende CSP. Alle behoben und mit Tests abgesichert
+- Erkenntnis: Der Schutz lag vollständig in einer einzigen Schicht (`proxy.ts`). Das fällt erst auf, wenn man die Endpunkte einzeln betrachtet statt die Oberfläche
+
+- Einstellungen im Dashboard (#025): vier Bereiche, alle Werte wirken auch wirklich – der Melderhythmus zum Beispiel bis in den erzeugten systemd-Timer hinein, live geprüft
+- Dabei die OIDC-Lücke aus #024 geschlossen: Domänenliste und Schalter gegen automatisch angelegte Konten
+- Bewusst nicht gebaut: „stumm nach X Tagen“ (steht schon bei den Warnregeln) und die Währung in der Browseransicht
+
 ### Nächster Schritt
-- #015 Feinschliff: Dark-Mode prüfen, Mobilansicht, Barrierefreiheit, Sicherheits-Durchsicht
+- #016 Benutzerhandbuch mit Screenshots, danach #017 Favicons und #019 CI-Pipeline
+- Für 1.0.0 fehlt noch: PMG (kein Host verfügbar) und der Fall „aktive Subscription auf PBS“ (#023)

README.md

@@ -63,7 +63,20 @@ npm run worker        # Dauerbetrieb
 npm run alerts:check  # einmalige Auswertung
 ```
 
-Weitere Skripte: `npm run db:studio` (Datenbank-Oberfläche), `npm run db:down` (Container stoppen).
+Weitere Skripte:
+
+| Befehl | Zweck |
+|---|---|
+| `npm run db:studio` | Datenbank-Oberfläche |
+| `npm run db:down` | Datenbank-Container stoppen |
+| `npm run icons` | Symbole aus den SVG-Vorlagen erzeugen |
+| `npm run screenshots -- --alle` | Bilder für das Handbuch auffrischen |
+| `npm run pruefe:doku` | Doku, Versionen und Bilder auf Konsistenz prüfen |
+| `npm run lasttest` | Abfragen mit 200 Hosts und fünf Jahren Reports messen |
+
+Jeder Push wird von [Gitea Actions](.gitea/workflows/ci.yml) geprüft: Lint, Typen, Tests gegen eine
+PostgreSQL-Instanz, Build, ShellCheck für die Agent-Skripte und die Konsistenz der Dokumentation.
+Dafür muss auf dem Gitea-Server ein `act_runner` eingerichtet sein.
 
 ## Agent auf einem Proxmox-Host installieren
 
@@ -167,12 +180,13 @@ Zum Zurückspielen:
 gunzip -c datenbank-20260917-023000.sql.gz | docker compose exec -T postgres psql -U proxledger proxledger
 ```
 
-**Wichtig:** `APP_SECRET` mitsichern. Ohne diesen Wert sind alle Sitzungen ungültig; die Zugangsdaten für
+**Wichtig:** `APP_SECRET` mitsichern und sicher aufbewahren. Der Wert signiert die Sitzungen **und**
-SMTP und Webhook liegen (noch) unverschlüsselt in der Datenbank, eine Sicherung enthält sie also im Klartext
+verschlüsselt die Zugangsdaten für SMTP und Webhook in der Datenbank. Geht er verloren, müssen diese
-– siehe Issue #021.
+Zugangsdaten neu eingetragen werden; eine Sicherung allein gibt sie nicht preis.
 
 ## Dokumentation
 
+- **[Handbuch mit Bildern](docs/anleitung/README.md)** – Installation, Agent-Rollout, Rechnungen, Warnungen, Fehlersuche
 - [Architektur- und Umsetzungsplan](docs/architektur.md)
 - [Issues](docs/issues/README.md)
 - [Changelog](CHANGELOG.md) · [Devlog](DEVLOG.md)

agent/install.sh

@@ -16,9 +16,17 @@ set -o nounset
 set -o pipefail
 
 DASHBOARD_URL="${PROXLEDGER_URL:-@@DASHBOARD_URL@@}"
+# Melderhythmus und Streuung setzt das Dashboard beim Ausliefern ein (Einstellungen → System).
+# Wird das Skript unverändert aus dem Quelltext ausgeführt, bleiben die Platzhalter stehen;
+# dann gelten die Vorgaben.
+TIMER_ONCALENDAR="@@TIMER_ONCALENDAR@@"
+TIMER_STREUUNG="@@TIMER_STREUUNG@@"
+case "$TIMER_ONCALENDAR" in *@@*) TIMER_ONCALENDAR="daily" ;; esac
+case "$TIMER_STREUUNG" in *@@*) TIMER_STREUUNG="4h" ;; esac
 TOKEN=""
 CA_CERT=""
-AUTO_UPDATE="no"
+AUTO_UPDATE="@@AUTO_UPDATE@@"
+case "$AUTO_UPDATE" in yes | no) ;; *) AUTO_UPDATE="no" ;; esac
 AKTION="install"
 
 CONFIG_VERZEICHNIS="/etc/proxledger"
@@ -202,14 +210,14 @@ ProtectSystem=full
 ProtectHome=true
 UNIT
 
-cat >"${SYSTEMD_VERZEICHNIS}/proxledger.timer" <<'UNIT'
+cat >"${SYSTEMD_VERZEICHNIS}/proxledger.timer" <<UNIT
 [Unit]
-Description=Täglicher ProxLedger-Report
+Description=ProxLedger-Report
 
 [Timer]
-OnCalendar=daily
+OnCalendar=${TIMER_ONCALENDAR}
-# Verteilt die Meldungen aller Hosts über vier Stunden.
+# Verteilt die Meldungen aller Hosts über diesen Zeitraum.
-RandomizedDelaySec=4h
+RandomizedDelaySec=${TIMER_STREUUNG}
 Persistent=true
 Unit=proxledger.service
 
@@ -219,7 +227,7 @@ UNIT
 
 systemctl daemon-reload
 systemctl enable --now proxledger.timer >/dev/null
-erfolg "systemd-Timer aktiviert (täglich, zufällig um bis zu 4 Stunden versetzt)."
+erfolg "systemd-Timer aktiviert (${TIMER_ONCALENDAR}, zufällig um bis zu ${TIMER_STREUUNG} versetzt)."
 
 hinweis "Sende ersten Report …"
 if "$AGENT_PFAD" --report; then

agent/proxledger-agent.sh

@@ -12,11 +12,12 @@
 set -o nounset
 set -o pipefail
 
-AGENT_VERSION="0.2.0"
+AGENT_VERSION="0.2.1"
 CONFIG_DATEI="${PROXLEDGER_CONFIG:-/etc/proxledger/agent.conf}"
 SPOOL_VERZEICHNIS="${PROXLEDGER_SPOOL:-/var/lib/proxledger/spool}"
 SPOOL_MAXIMUM=30
-WARTEZEITEN=(30 120 480)
+# Wartezeiten zwischen den Versuchen; für Tests über PROXLEDGER_WARTEZEITEN kürzbar.
+read -r -a WARTEZEITEN <<<"${PROXLEDGER_WARTEZEITEN:-30 120 480}"
 
 # --------------------------------------------------------------------- Protokoll
 
@@ -105,15 +106,24 @@ produkt_erkennen() {
 }
 
 subscription_ausgabe() {
+  local ausgabe=""
   case "$1" in
+    # PVE kennt --output-format nicht (geprueft auf 9.2), liefert aber "feld: wert".
     pve) pvesubscription get 2>/dev/null ;;
-    pbs) proxmox-backup-manager subscription get 2>/dev/null ;;
+    # PBS gibt ohne --output-format eine Rahmentabelle aus, aus der sich schlecht lesen laesst.
+    # JSON kann es (geprueft auf 4.2); aeltere Fassungen faengt die Tabellenauswertung ab.
+    pbs)
+      ausgabe=$(proxmox-backup-manager subscription get --output-format json 2>/dev/null)
+      [ -n "$ausgabe" ] || ausgabe=$(proxmox-backup-manager subscription get 2>/dev/null)
+      printf '%s' "$ausgabe"
+      ;;
     pmg) pmgsubscription get 2>/dev/null ;;
     *) printf '' ;;
   esac
 }
 
-# Liest ein Feld aus der Subscription-Ausgabe. Unterstützt "feld: wert" und JSON.
+# Liest ein Feld aus der Subscription-Ausgabe. Unterstuetzt "feld: wert", JSON und die
+# Rahmentabelle von PBS ("| feld | wert |" mit Unicode-Strichen).
 feld_lesen() {
   local feld="$1" text="$2" wert
   wert=$(printf '%s\n' "$text" | sed -n "s/^[[:space:]]*${feld}[[:space:]]*:[[:space:]]*//p" | head -n1)
@@ -121,6 +131,15 @@ feld_lesen() {
     wert=$(printf '%s\n' "$text" |
       sed -n "s/.*\"${feld}\"[[:space:]]*:[[:space:]]*\"\{0,1\}\([^\",}]*\)\"\{0,1\}.*/\1/p" | head -n1)
   fi
+  if [ -z "$wert" ]; then
+    # Tabellenzeile: Trennzeichen ist U+2502; awk zerlegt daran und liefert die zweite Spalte.
+    wert=$(printf '%s\n' "$text" |
+      awk -F'\xe2\x94\x82' -v feld="$feld" '
+        NF >= 3 {
+          name = $2; gsub(/^[ \t]+|[ \t]+$/, "", name)
+          if (name == feld) { wert = $3; gsub(/^[ \t]+|[ \t]+$/, "", wert); print wert; exit }
+        }')
+  fi
   # Umschließende Anführungszeichen und Leerzeichen entfernen.
   wert=${wert%\"}
   wert=${wert#\"}
@@ -128,9 +147,13 @@ feld_lesen() {
 }
 
 produkt_version() {
+  # Bei PVE hängt die Kernel-Angabe mit im String ("… (running kernel: …)").
+  # Der Kernel wird separat gemeldet, deshalb hier abschneiden.
   case "$1" in
-    pve) pveversion 2>/dev/null | head -n1 ;;
+    pve) pveversion 2>/dev/null | head -n1 | sed 's/ (running kernel.*//' ;;
-    pbs) proxmox-backup-manager version 2>/dev/null | head -n1 ;;
+    # PBS haengt die laufende Fassung an ("… 4.2.6-1 running version: 4.2.1");
+    # gemeldet wird die installierte.
+    pbs) proxmox-backup-manager version 2>/dev/null | head -n1 | sed 's/ running version.*//' ;;
     pmg) pmgversion 2>/dev/null | head -n1 ;;
     *) printf '' ;;
   esac
@@ -150,6 +173,14 @@ cluster_name() {
   fi
 }
 
+# Namen aller Cluster-Mitglieder laut corosync. Auch Knoten ohne Agent stehen hier –
+# daraus erkennt das Dashboard vergessene Knoten (#022).
+cluster_mitglieder() {
+  if command -v pvecm >/dev/null 2>&1; then
+    pvecm nodes 2>/dev/null | awk '/^[[:space:]]*[0-9]+[[:space:]]+[0-9]+/ {print $3}' | sed 's/ *(local)//'
+  fi
+}
+
 node_name() {
   if command -v pvecm >/dev/null 2>&1 && pvecm status >/dev/null 2>&1; then
     hostname -s 2>/dev/null
@@ -220,6 +251,7 @@ report_erzeugen() {
     "ips": $(ip_adressen | json_liste),
     "clusterName": $(json_text "$(cluster_name)"),
     "nodeName": $(json_text "$(node_name)"),
+    "clusterMitglieder": $(cluster_mitglieder | json_liste),
     "kernel": $(json_text "$(uname -r 2>/dev/null)"),
     "uptimeSekunden": $(json_zahl "$(uptime_sekunden)"),
     "cpuModell": $(json_text "$(cpu_modell)"),
@@ -383,8 +415,15 @@ aktion_test() {
   [ "$(printf '%s' "$antwort" | tail -n1)" = "200" ]
 }
 
+# Ist $1 eine neuere Fassung als $2? `sort -V` vergleicht Versionsnummern der Reihe nach.
+version_neuer() {
+  [ "$1" != "$2" ] && [ "$(printf '%s\n%s\n' "$1" "$2" | sort -V | tail -n1)" = "$1" ]
+}
+
 version_pruefen() {
-  if [ -n "${NEUESTE_VERSION:-}" ] && [ "$NEUESTE_VERSION" != "$AGENT_VERSION" ]; then
+  # Nur melden, wenn das Dashboard wirklich eine neuere Fassung kennt. Sonst warnt ein Agent,
+  # der einer Testinstallation vorauseilt, gegen sich selbst (im Feldtest #023 aufgefallen).
+  if [ -n "${NEUESTE_VERSION:-}" ] && version_neuer "$NEUESTE_VERSION" "$AGENT_VERSION"; then
     protokoll notice "Neue Agent-Version verfügbar: ${NEUESTE_VERSION} (installiert: ${AGENT_VERSION})."
     if [ "$AUTO_UPDATE" = "yes" ]; then
       aktion_update

assets/logo-16.svg

@@ -0,0 +1,4 @@
+<!-- Fassung für 16 px: nur das P. -->
+<svg viewBox="0 0 48 48" xmlns="http://www.w3.org/2000/svg">
+  <path fill-rule="evenodd" d="M6 2h21a14 14 0 0 1 0 28H18v16H6zM18 13h8a3 3 0 0 1 0 6h-8z" fill="#1E2A44"/>
+</svg>

assets/logo-32.svg

@@ -0,0 +1,5 @@
+<!-- Fassung für 32 px: eine Linie, kräftigere Formen. -->
+<svg viewBox="0 0 48 48" xmlns="http://www.w3.org/2000/svg">
+  <path fill-rule="evenodd" d="M7 3h20a13 13 0 0 1 0 26H17v16H7zM17 12h9a4 4 0 0 1 0 8h-9z" fill="#1E2A44"/>
+  <path d="M24 38h19" stroke="#17A2B8" stroke-width="5" stroke-linecap="round"/>
+</svg>

assets/logo-kachel.svg

@@ -0,0 +1,8 @@
+<!-- Fassung für Startbildschirm-Symbole: Monogramm auf dunklem Grund mit Rand. -->
+<svg viewBox="0 0 180 180" xmlns="http://www.w3.org/2000/svg">
+  <rect width="180" height="180" rx="34" fill="#1E2A44"/>
+  <g transform="translate(34 30) scale(2.3)">
+    <path fill-rule="evenodd" d="M8 4h19a12 12 0 0 1 0 24H16v16H8zM16 11h10a5 5 0 0 1 0 10H16z" fill="#FFFFFF"/>
+    <path d="M22 36h20M22 43h14" stroke="#17A2B8" stroke-width="3.5" stroke-linecap="round"/>
+  </g>
+</svg>

assets/logo.svg

@@ -0,0 +1,5 @@
+<!-- ProxLedger-Monogramm, Standardfassung (heller Grund). Quelle für alle abgeleiteten Dateien. -->
+<svg viewBox="0 0 48 48" xmlns="http://www.w3.org/2000/svg">
+  <path fill-rule="evenodd" d="M8 4h19a12 12 0 0 1 0 24H16v16H8zM16 11h10a5 5 0 0 1 0 10H16z" fill="#1E2A44"/>
+  <path d="M22 36h20M22 43h14" stroke="#17A2B8" stroke-width="3.5" stroke-linecap="round"/>
+</svg>

docs/anleitung/README.md

@@ -0,0 +1,424 @@
+# ProxLedger – Handbuch
+
+ProxLedger zeigt auf einen Blick, welche Proxmox-Subscription zu welchem Host und zu welchem Kunden
+gehört, wann sie ausläuft und ob die Rechnungen dazu erledigt sind. Auf jedem Host meldet ein kleiner
+Agent einmal täglich seinen Status – das Dashboard fragt die Hosts nie aktiv ab und funktioniert deshalb
+auch mit Hosts hinter NAT.
+
+**Inhalt**
+
+1. [Installation](#1-installation)
+2. [Erste Anmeldung](#2-erste-anmeldung)
+3. [Agent auf einem Host ausrollen](#3-agent-auf-einem-host-ausrollen)
+4. [Hosts einem Kunden zuweisen](#4-hosts-einem-kunden-zuweisen)
+4a. [Cluster](#4a-cluster)
+5. [Kunden und Standorte pflegen](#5-kunden-und-standorte-pflegen)
+6. [Laufzeiten und Rechnungen](#6-laufzeiten-und-rechnungen)
+7. [Warnungen](#7-warnungen)
+8. [Benachrichtigungen einrichten](#8-benachrichtigungen-einrichten)
+9. [Exporte](#9-exporte)
+9a. [Einstellungen](#9a-einstellungen)
+10. [Sicherung und Aktualisierung](#10-sicherung-und-aktualisierung)
+11. [Fehlersuche](#11-fehlersuche)
+
+---
+
+## 1. Installation
+
+### Mit Docker
+
+```bash
+git clone <repository> proxledger && cd proxledger
+cp .env.example .env
+```
+
+In der `.env` mindestens setzen:
+
+| Wert | Bedeutung |
+|---|---|
+| `APP_SECRET` | Schlüssel für die Sitzungen, mindestens 32 Zeichen (`openssl rand -base64 48`) |
+| `POSTGRES_PASSWORD` | Passwort der mitgelieferten Datenbank |
+| `ADMIN_EMAIL`, `ADMIN_PASSWORD` | erster Zugang zum Dashboard |
+| `APP_URL` | Adresse, unter der das Dashboard erreichbar ist |
+
+Dann starten:
+
+```bash
+docker compose up -d
+```
+
+Beim ersten Start legt der Dienst `migrate` das Datenbankschema an und erzeugt den Administrator.
+
+> **Wichtig:** `APP_URL` muss zur tatsächlichen Adresse passen. Davon hängt ab, ob das Sitzungs-Cookie als
+> `Secure` markiert wird – bei falscher Angabe funktioniert die Anmeldung nicht.
+
+### Auf einem Proxmox-Host als LXC-Container
+
+```bash
+bash deploy/lxc-installer.sh
+```
+
+Das Skript fragt Container-ID, Ressourcen und Netzwerk ab, legt einen Debian-Container an, installiert
+Docker, holt den Quelltext, erzeugt Zufallspasswörter und startet alles. Am Ende stehen Adresse,
+Benutzername und Passwort auf dem Bildschirm; das Passwort liegt zusätzlich in
+`/root/proxledger-admin-passwort.txt` im Container.
+
+Für den dauerhaften Betrieb gehört ein Reverse Proxy mit HTTPS davor – Beispiele für Caddy, nginx und
+Traefik liegen in [`deploy/reverse-proxy/`](../../deploy/reverse-proxy/).
+
+---
+
+## 2. Erste Anmeldung
+
+![Anmeldeseite](bilder/login.png)
+
+Anmelden mit der E-Mail-Adresse und dem Passwort aus der `.env`. Ist ein Anmeldedienst über OIDC
+eingerichtet (`OIDC_ISSUER`, `OIDC_CLIENT_ID`, `OIDC_CLIENT_SECRET`), erscheint zusätzlich ein Knopf
+„Mit authentik anmelden“. Der lokale Zugang bleibt absichtlich immer nutzbar – falls der Anmeldedienst
+einmal ausfällt, kommst du trotzdem hinein.
+
+Nach der Anmeldung landest du auf dem Dashboard:
+
+![Dashboard](bilder/dashboard.png)
+
+Von oben nach unten:
+
+- **Vier Kacheln** mit den Kennzahlen: gemeldete Hosts, aktiv lizenziert, Ablauf innerhalb von 30 Tagen,
+  offene Rechnungspunkte. Jede Kachel führt auf die passende gefilterte Liste.
+- **Subscriptions nach Ablaufdatum:** die nächste Fälligkeit zuerst, mit Kunde, Key und beiden
+  Rechnungsständen. Rot bedeutet weniger als 14 Tage, gelb weniger als 30.
+- **Aufgaben:** was konkret zu tun ist. Das Häkchen setzt den Rechnungsstatus direkt.
+- **Rechnungsstatus je Kunde:** wie viele Punkte je Kunde erledigt sind.
+
+---
+
+## 3. Agent auf einem Host ausrollen
+
+Zuerst im Dashboard unter *Einstellungen → Agent-Tokens* einen Enrollment-Token erzeugen:
+
+![Agent-Tokens](bilder/tokens.png)
+
+- **Bezeichnung:** wofür der Token gedacht ist, etwa „Rollout Brandl“.
+- **Hosts direkt zuordnen zu:** Wird hier ein Kunde gewählt, gehören alle mit diesem Token registrierten
+  Hosts sofort zu diesem Kunden – die spätere Zuweisung entfällt.
+- **Gültigkeit und Nutzungen** begrenzen den Schaden, falls der Token verloren geht.
+
+Der Token wird **nur einmal angezeigt**. Direkt darunter steht der fertige Befehl. Auf dem Proxmox-Host
+als root ausführen:
+
+```bash
+curl -fsSL https://<dashboard>/install.sh | bash -s -- --token plx_e_…
+```
+
+Der Installer erkennt selbst, ob es sich um Proxmox VE, Backup Server oder Mail Gateway handelt,
+registriert den Host, legt die Konfiguration unter `/etc/proxledger/agent.conf` (Rechte 600) ab,
+richtet einen systemd-Timer ein und schickt sofort den ersten Report.
+
+> **Stand der Erprobung:** Proxmox VE (9.2, mit und ohne Subscription, einzeln und im Cluster) und
+> Proxmox Backup Server (4.2, ohne Subscription) sind auf echten Hosts geprüft. Für **Mail Gateway**
+> stand bisher kein Host zur Verfügung – dort beruht die Auswertung noch auf Annahmen, und bei PBS hat
+> sich genau so eine Annahme als falsch erwiesen. Bitte den ersten PMG-Host nach der Installation
+> kurz gegenprüfen (`proxledger-agent --dry-run` zeigt, was gemeldet würde).
+
+Nützliche Befehle auf dem Host:
+
+| Befehl | Zweck |
+|---|---|
+| `proxledger-agent --test` | Verbindung zum Dashboard prüfen |
+| `proxledger-agent --dry-run` | Report anzeigen, ohne ihn zu senden |
+| `proxledger-agent` | Report sofort senden |
+| `journalctl -t proxledger -n 50` | Protokoll ansehen |
+| `systemctl list-timers proxledger.timer` | nächsten Lauf anzeigen |
+
+Der Timer läuft täglich mit bis zu vier Stunden Zufallsversatz, damit nicht alle Hosts gleichzeitig melden.
+Ist das Dashboard nicht erreichbar, versucht es der Agent dreimal mit wachsendem Abstand und legt den
+Report danach in `/var/lib/proxledger/spool/` ab; beim nächsten Lauf wird er nachgesendet.
+
+**Entfernen:**
+
+```bash
+curl -fsSL https://<dashboard>/install.sh | bash -s -- --uninstall
+```
+
+---
+
+## 4. Hosts einem Kunden zuweisen
+
+Neu registrierte Hosts ohne Kundenbindung erscheinen als Hinweis auf dem Dashboard und unter
+*Hosts → Nicht zugeordnete*:
+
+![Nicht zugeordnete Hosts](bilder/nicht-zugeordnet.png)
+
+Mehrere Hosts auswählen, Kunde und optional Standort wählen, zuweisen – fertig. Die zugehörige Warnung
+schließt sich dabei von selbst.
+
+In der Host-Tabelle findest du jeden Host wieder:
+
+![Host-Tabelle](bilder/hosts.png)
+
+Die Suche greift auf Hostname, FQDN, Subscription-Key, Server-ID, IP-Adresse, Kundenname **und
+Rechnungsnummer** zu. Die Eingabe von `pve1c-a6bd21fcb6` führt also direkt zum passenden Host samt Kunde –
+genau die Zuordnung, die im Proxmox-Shop fehlt.
+
+Alle Filter stehen in der Adresse: Eine gefilterte Liste lässt sich als Lesezeichen speichern oder
+weitergeben, und der Zurück-Knopf funktioniert wie erwartet.
+
+---
+
+## 4a. Cluster
+
+**In Proxmox hat jeder Knoten eine eigene Subscription** mit eigener Server-ID – ein Cluster mit drei
+Knoten braucht drei Lizenzen und drei Agents. Ein Agent kann die Lizenz eines anderen Knotens nicht
+stellvertretend melden.
+
+Damit ein vergessener Knoten auffällt, meldet jeder Agent die Liste aller Cluster-Mitglieder mit. Das
+Dashboard vergleicht sie mit den Hosts, die sich tatsächlich melden:
+
+![Host in einem Cluster](bilder/host-detail-cluster.png)
+
+Hier laufen auf `hv-rz5-pve-02` und `hv-rz5-pve-03` noch keine Agents – das Dashboard sagt es zweimal
+deutlich. Sobald dort installiert wird, schließen sich die Warnungen von selbst.
+
+---
+
+## 5. Kunden und Standorte pflegen
+
+![Kundenübersicht](bilder/kunden.png)
+
+Die Übersicht zeigt je Kunde die Anzahl der Hosts, wie viele davon aktiv lizenziert sind, den nächsten
+Ablauf, offene Warnungen und den Rechnungsstand.
+
+![Kunden-Detail](bilder/kunde-detail.png)
+
+In der Detailansicht stehen Stammdaten, Standorte, alle Hosts, alle Laufzeiten und die Summen pro Jahr
+mit Marge. Die vier Kästen oben fassen Hosts, Einkauf, Verkauf und Marge zusammen.
+
+Standorte sind optional und lohnen sich bei Kunden mit mehreren Filialen: Sie erscheinen in der
+Host-Tabelle und lassen sich bei der Zuweisung mit angeben.
+
+---
+
+## 6. Laufzeiten und Rechnungen
+
+Eine **Laufzeit** ist ein Lizenzjahr eines Hosts, zum Beispiel 24.09.2026 bis 23.09.2027. Dazu gehören
+zwei Rechnungen: die **Proxmox-Rechnung** (Einkauf) und die **Kundenrechnung** (Verkauf). Die Differenz
+ist die Marge.
+
+Meldet ein Agent ein neues Ablaufdatum, legt ProxLedger die passende Laufzeit automatisch als Vorschlag
+an – du trägst nur noch die Rechnungsdaten ein.
+
+![Rechnungen](bilder/rechnungen.png)
+
+In der Tabelle lassen sich die drei Häkchen direkt setzen:
+
+- **Proxmox bezahlt** – setzt zugleich das Bezahldatum.
+- **Kundenrechnung erstellt** – gibt es noch keine Rechnung, legt das Häkchen eine ohne Nummer an; Nummer
+  und Betrag trägst du später nach.
+- **Vom Kunden bezahlt**
+
+Für Details die Laufzeit öffnen:
+
+![Laufzeit mit beiden Rechnungen](bilder/laufzeit-detail.png)
+
+Dort stehen beide Rechnungen mit Nummer, Datum, Fälligkeit, Beträgen, Zahlungsart und PDF-Anhang. Ein
+Vorschlag lässt sich hier bestätigen oder verwerfen; mit dem Erfassen einer Proxmox-Rechnung gilt er
+automatisch als bestätigt.
+
+### Sammelrechnungen
+
+Eine Proxmox-Bestellung umfasst oft mehrere Keys, eine Kundenrechnung oft mehrere Hosts. Dafür braucht es
+keinen eigenen Dialog: **Trägst du bei einer zweiten Laufzeit dieselbe Rechnungsnummer ein, wird sie als
+weitere Position an die bestehende Rechnung gehängt.** Der Rechnungsbetrag ist immer die Summe der
+Positionen und wird automatisch nachgeführt.
+
+### Jahresbahn
+
+![Jahresbahn](bilder/jahresbahn.png)
+
+Die Jahresbahn zeigt zwölf Monate mit einer Linie für „heute“, gruppiert nach Kunde. Darunter stehen die
+Abläufe der nächsten 90 Tage und die bereits abgelaufenen Subscriptions.
+
+---
+
+## 7. Warnungen
+
+![Warnungen](bilder/warnungen.png)
+
+Zehn Regeln laufen stündlich und zusätzlich nach jedem eingehenden Report:
+
+| Regel | Meldet |
+|---|---|
+| Ablauf | Subscription läuft in 30, 14 oder 7 Tagen ab |
+| Status | Subscription ist abgelaufen, ungültig, ausgesetzt oder fehlt |
+| Sockets | lizenzierte und physische Sockets weichen ab |
+| Keine Meldung | Host meldet sich seit über 48 Stunden nicht |
+| Server-ID | Server-ID hat sich geändert (Hardwaretausch oder Neuinstallation) |
+| Key mehrfach | derselbe Key wird von mehreren Hosts gemeldet |
+| Ohne Kunde | Host ist keinem Kunden zugewiesen |
+| Proxmox-Rechnung | unbezahlt und in sieben Tagen fällig oder überfällig |
+| Kundenrechnung fehlt | Einkauf erfasst, Verkauf noch nicht erstellt |
+| Kundenrechnung offen | seit über 30 Tagen nicht bezahlt |
+
+Eine Warnung wird genau einmal geöffnet und **schließt sich selbst**, sobald die Ursache behoben ist.
+*Quittieren* markiert sie als gesehen, *Schließen* beendet sie von Hand – besteht die Ursache weiter,
+kommt sie beim nächsten Durchlauf zurück.
+
+Schwellwerte und Ein-/Ausschalter stehen unter *Einstellungen → Warnregeln*:
+
+![Warnregeln](bilder/warnregeln.png)
+
+Mehrere Stufen werden mit Komma angegeben, etwa `30, 14, 7`. Nach dem Speichern wird sofort neu
+ausgewertet.
+
+---
+
+## 8. Benachrichtigungen einrichten
+
+![Benachrichtigungen](bilder/benachrichtigungen.png)
+
+**E-Mail über Microsoft 365:** Server `smtp.office365.com`, Port 587, Benutzer und Absender identisch mit
+dem Postfach. Das Passwort wird gespeichert und nie wieder angezeigt; ein leeres Feld beim Speichern lässt
+den bisherigen Wert stehen.
+
+**Webhook:** beliebige Adresse, die JSON entgegennimmt – damit lassen sich Matrix, Zabbix oder Home
+Assistant anbinden. Mit hinterlegtem Geheimnis kommt die Signatur `X-ProxLedger-Signatur: sha256=…` mit,
+damit der Empfänger die Echtheit prüfen kann.
+
+**Zusammenfassung:** täglich oder wöchentlich um 07:00 Uhr mit offenen Warnungen, Rechnungspunkten und
+bald ablaufenden Subscriptions.
+
+Über *Test senden* lässt sich der Weg sofort prüfen; das Ergebnis steht im Versandprotokoll darunter.
+Zu jeder Warnung wird nur einmal benachrichtigt. Schlägt der Versand fehl, wird er beim nächsten Durchlauf
+erneut versucht.
+
+---
+
+## 9. Exporte
+
+| Ansicht | CSV | PDF |
+|---|---|---|
+| Hosts | ✓ | ✓ |
+| Kunden | ✓ | ✓ |
+| Einzelner Kunde | – | ✓ (Anlage für Kundenunterlagen) |
+| Rechnungen | ✓ | ✓ |
+
+Alle Exporte übernehmen die gerade aktiven Filter und enthalten sämtliche Treffer, nicht nur die
+angezeigte Seite. CSV kommt als UTF-8 mit BOM und Semikolon – Excel öffnet die Datei ohne Umwege, Umlaute
+und Beträge stimmen.
+
+Die PDF-Ausgaben tragen das einfarbige Logo und eignen sich als Anlage für Kundenunterlagen oder als
+Jahresliste für die Buchhaltung.
+
+---
+
+## 9a. Einstellungen
+
+Unter *Einstellungen → System* steht alles, was sich im laufenden Betrieb ändern lässt:
+
+![Systemeinstellungen](bilder/system.png)
+
+**Adresse und Agent.** Die Dashboard-Adresse landet im Installations-Einzeiler und in den
+Benachrichtigungen. Bleibt das Feld leer, gilt `APP_URL` aus der Umgebung. Melderhythmus, Streuung und
+Selbstaktualisierung gelten für **neu installierte** Agents – bestehende übernehmen sie erst, wenn der
+Einzeiler dort erneut läuft.
+
+**Kaufmännisches.** Steuersatz, Zahlungsziel und Aufschlag füllen leere Rechnungsfelder vor. Der
+Aufschlag rechnet aus dem Einkaufspreis einen Vorschlag für den Verkaufspreis; eingetragene Beträge
+bleiben unberührt.
+
+**Sicherheit.** Sitzungsdauer und Anmeldeversuche gelten ab der nächsten Anmeldung. Die beiden
+OIDC-Felder sind wichtig, wenn ein Identitätsanbieter viele Konten kennt: Ohne Einschränkung darf
+jeder, der sich dort anmelden kann, hier mitarbeiten. Mit einer Domänenliste oder abgeschaltetem
+„Konten anlegen“ kommt nur herein, wer hier vorgesehen ist. Die Aufbewahrungsfristen räumen nachts um
+halb vier auf; der jüngste Report jedes Hosts bleibt immer erhalten, sonst stünde ein lange stummer
+Host plötzlich ohne Angaben da.
+
+**Firma und Darstellung.** Name, Anschrift und E-Mail stehen im Kopf der erzeugten PDF-Dateien, die
+Zeitzone gilt für PDF, CSV und Benachrichtigungen.
+
+> `APP_SECRET` und `DATABASE_URL` stehen bewusst **nicht** hier: Beide werden gebraucht, bevor die
+> Anwendung die Datenbank überhaupt lesen kann.
+
+---
+
+## 10. Sicherung und Aktualisierung
+
+**Sichern:**
+
+```bash
+./deploy/backup.sh /var/backups/proxledger
+```
+
+Das Skript sichert Datenbank, hochgeladene PDFs und die `.env`. Für regelmäßige Sicherungen in die
+Crontab eintragen:
+
+```
+30 2 * * * /opt/proxledger/deploy/backup.sh /var/backups/proxledger
+```
+
+**Zurückspielen:**
+
+```bash
+gunzip -c datenbank-20260917-023000.sql.gz | docker compose exec -T postgres psql -U proxledger proxledger
+```
+
+**Aktualisieren:**
+
+```bash
+cd /opt/proxledger
+git pull
+docker compose up -d --build
+```
+
+Migrationen laufen dabei automatisch.
+
+> `APP_SECRET` unbedingt mitsichern: Ohne diesen Wert sind alle Sitzungen ungültig. Und beachte, dass eine
+> Sicherung die Zugangsdaten für SMTP und Webhook im Klartext enthält – sie gehört entsprechend geschützt.
+
+---
+
+## 11. Fehlersuche
+
+**Ein Host meldet sich nicht.**
+Auf dem Host `proxledger-agent --test` ausführen. Kommt keine Antwort, prüfen, ob das Dashboard vom Host
+aus erreichbar ist (Firewall, DNS) und ob der Host-Token noch gültig ist – unter *Einstellungen →
+Agent-Tokens* steht, wann er zuletzt benutzt wurde. Liegen Dateien in `/var/lib/proxledger/spool/`,
+wartet der Agent auf eine Verbindung und sendet später nach.
+
+**Nach der Anmeldung lande ich wieder auf der Anmeldeseite.**
+Dann passt `APP_URL` nicht zur tatsächlichen Adresse: Steht dort `https://`, das Dashboard läuft aber über
+`http://`, verwirft der Browser das Sitzungs-Cookie. `APP_URL` korrigieren und neu starten.
+
+**Eine Warnung taucht immer wieder auf.**
+Das ist beabsichtigt: Warnungen beschreiben einen Zustand. Solange die Ursache besteht, öffnet die nächste
+Auswertung sie erneut. Passt der Schwellwert nicht, lässt er sich unter *Einstellungen → Warnregeln*
+ändern, oder die Regel wird abgeschaltet.
+
+**Server-ID hat sich geändert.**
+Nach Hardwaretausch oder Neuinstallation vergibt Proxmox eine neue Server-ID. Der Key muss dann im
+Proxmox-Shop neu zugewiesen werden. ProxLedger behält den Host samt Historie – die alte und die neue
+Server-ID stehen in der Detailansicht unter *Subscription-Historie*.
+
+**Was ist wann passiert?**
+*Einstellungen → Protokoll* zeigt jede Änderung mit Zeitpunkt, Aktion und Benutzer.
+
+![Protokoll](bilder/audit.png)
+
+---
+
+## Anhang: dunkles Design und Mobilansicht
+
+Das Dashboard folgt der Einstellung des Betriebssystems und lässt sich über das Mondsymbol in der
+Kopfleiste umschalten.
+
+![Dashboard im dunklen Design](bilder/dashboard-dunkel.png)
+
+Auf dem Handy klappt die Seitenleiste ein, und die großen Tabellen blenden gestaffelt Spalten aus, sodass
+Host, Kunde, Status und Ablauf ohne seitliches Scrollen sichtbar bleiben.
+
+![Host-Tabelle auf dem Handy](bilder/mobil-hosts.png)
+
+---
+
+*Die Bilder in diesem Handbuch entstehen mit `npm run screenshots -- --alle` aus einer laufenden
+Installation mit Beispieldaten und sollten vor jeder Veröffentlichung aufgefrischt werden.*

docs/issues/013-authentifizierung.md

@@ -33,3 +33,8 @@ Zugriff auf das Dashboard absichern und Änderungen nachvollziehbar machen.
   freigeschaltet ist, soll auch hier arbeiten können.
 - Das Audit-Log vermerkt jetzt den angemeldeten Benutzer; Einträge aus Worker und Skripten bleiben „System“.
 - **Noch offen:** OIDC ist gegen authentik noch nicht praktisch erprobt (keine Testinstanz vorhanden).
+- **Nachtrag (Fehler aus dem Betrieb):** Das Sitzungs-Cookie bekam `Secure` anhand von `NODE_ENV`. Ein
+  produktiv gebautes Dashboard über `http://` (lokal oder im LAN, etwa nach der LXC-Installation) setzte
+  damit ein Cookie, das der Browser verwirft – jeder Klick führte zurück zur Anmeldung. Jetzt entscheidet
+  das Schema in `APP_URL`. Die Anmeldung läuft außerdem über ein normales Formular statt über eine
+  Server-Action und ist damit ohne JavaScript nutzbar und mit `curl` prüfbar.

docs/issues/015-feinschliff-v1.md

@@ -1,24 +1,59 @@
 # #015 Feinschliff für 1.0
-**Status:** offen
+**Status:** erledigt
-**Meilenstein:** v1.0.0
+**Meilenstein:** v0.11.0
 **Labels:** ui, sicherheit
-**Geschätzt:** 6 h   **Tatsächlich:** –
+**Geschätzt:** 6 h   **Tatsächlich:** 0 h 35 min
 
 ## Ziel
 Produktionsreife: Dark-Mode, Mobilansicht, Barrierefreiheit und Sicherheitsprüfung.
 
 ## Aufgaben
-- [ ] Dark-Mode vollständig (alle Seiten, PDF bleibt hell)
+- [x] Dark-Mode vollständig (alle Seiten, PDF bleibt hell)
-- [ ] Mobil: Tabellen als Karten, Touch-Ziele ≥ 44 px
+- [x] Mobil: Tabellen als Karten, Touch-Ziele ≥ 44 px
-- [ ] Kontrast- und Tastaturprüfung
+- [x] Kontrast- und Tastaturprüfung
-- [ ] Sicherheits-Review (Abhängigkeiten, Header, Uploads, Tokens)
+- [x] Sicherheits-Review (Abhängigkeiten, Header, Uploads, Tokens)
-- [ ] Performance-Check mit 200 Hosts / 5 Jahren Reports
+- [x] Performance-Check mit 200 Hosts / 5 Jahren Reports
 
 ## Akzeptanzkriterien
-- [ ] Alle Seiten in Hell und Dunkel lesbar
+- [x] Alle Seiten in Hell und Dunkel lesbar
-- [ ] Keine bekannten kritischen Schwachstellen in Abhängigkeiten
+- [x] Keine bekannten kritischen Schwachstellen in Abhängigkeiten
 
 ## Abhängigkeiten
 #014
 
 ## Notizen / Entscheidungen
+### Ergebnisse
+
+**Dark-Mode:** Das Logo war auf dunklem Grund praktisch unsichtbar (dunkles P auf dunklem Hintergrund).
+Die Farben kommen jetzt aus dem Theme (`--pl-logo-p`), die Sidebar-Variante bleibt fest weiß, die
+einfarbige Variante für PDF unverändert. Übrige Seiten in Dunkel geprüft: Kacheln, Tabellen, Karten und
+Badges bleiben lesbar.
+
+**Mobil:** Bei 390 px musste man vorher quer scrollen. Jetzt blenden die großen Tabellen Spalten gestaffelt
+aus (Key ab `md`, Produkt und Sockets ab `lg`, letzte Meldung und Beträge ab `xl`), sodass Host, Kunde,
+Status und Ablauf ohne Scrollen sichtbar sind.
+
+**Lasttest** (200 Hosts, 365.000 Reports, 1.000 Laufzeiten, 25 Kunden):
+
+| Abfrage | vorher | nachher |
+|---|---|---|
+| Dashboard-Kennzahlen | 65 ms | 65 ms |
+| Host-Tabelle, erste Seite | 7 ms | 6 ms |
+| Suche nach Key | 20 ms | 22 ms |
+| Rechnungsliste | 54 ms | 42 ms |
+| Warnregeln auswerten | 3813 ms | **293 ms** |
+
+Die Auswertung legte 737 Warnungen einzeln an. Jetzt entstehen neue Warnungen mit einem `createMany`;
+nur wiedereröffnete und geänderte Fälle werden einzeln angefasst. Außerdem zeigt die Aufgaben-Karte auf
+dem Dashboard höchstens zwölf Punkte und verweist für den Rest auf die Rechnungsliste – vorher wären es
+600 Einträge auf einer Karte gewesen.
+
+**Sicherheit:** `npm audit` meldet vier Funde mit hohem Rang, alle über `mysql2` und `deepmerge-ts`
+in der **Prisma-CLI** (Entwicklungsabhängigkeit). Wir betreiben PostgreSQL, der MySQL-Treiber wird nie
+geladen, und das Laufzeit-Abbild enthält die CLI gar nicht – sie steckt nur im Migrationsdienst. Behoben
+wäre es erst mit einem Prisma-Downgrade auf 6.x; das wäre der schlechtere Tausch. Beobachten und mit dem
+nächsten Prisma-Update erneut prüfen (#019).
+
+**Noch offen für 1.0.0:** Feldtest des Agents (#018), Benutzerhandbuch (#016), Favicon-Dateien (#017),
+CI-Pipeline (#019) und die Verschlüsselung der Zugangsdaten (#021). Deshalb wird diese Phase als v0.11.0
+veröffentlicht, nicht als 1.0.0.

docs/issues/016-anleitung-screenshots.md

@@ -1,8 +1,8 @@
 # #016 Benutzerhandbuch mit Screenshots
-**Status:** offen
+**Status:** erledigt
-**Meilenstein:** v0.10.0
+**Meilenstein:** v0.12.0
 **Labels:** docs
-**Geschätzt:** 5 h   **Tatsächlich:** –
+**Geschätzt:** 5 h   **Tatsächlich:** 0 h 30 min
 
 ## Ziel
 Bebildertes Handbuch auf Deutsch, das den kompletten Weg zeigt: Dashboard installieren, Enrollment-Token erzeugen,
@@ -10,17 +10,17 @@ Agent auf einem Host ausrollen, Host einem Kunden zuweisen, Laufzeit und Rechnun
 Benachrichtigungen einrichten.
 
 ## Aufgaben
-- [ ] Gliederung `docs/anleitung/README.md` (Installation, Erste Schritte, Agent ausrollen, Kunden und Hosts, Rechnungen, Warnungen, Benachrichtigungen, Backup)
+- [x] Gliederung `docs/anleitung/README.md` (Installation, Erste Schritte, Agent ausrollen, Kunden und Hosts, Rechnungen, Warnungen, Benachrichtigungen, Backup)
-- [ ] Screenshots automatisiert erzeugen (`npm run screenshots`): Seiten anfahren, Aufnahmen nach `docs/anleitung/bilder/` schreiben
+- [x] Screenshots automatisiert erzeugen (`npm run screenshots`): Seiten anfahren, Aufnahmen nach `docs/anleitung/bilder/` schreiben
-- [ ] Aufnahmen in Hell und Dunkel, dazu eine Mobilansicht
+- [x] Aufnahmen in Hell und Dunkel, dazu eine Mobilansicht
-- [ ] Bilder mit Bildunterschriften und Alternativtexten einbinden
+- [x] Bilder mit Bildunterschriften und Alternativtexten einbinden
-- [ ] Screenshots vor jedem Release auffrischen (Hinweis in der Release-Checkliste)
+- [x] Screenshots vor jedem Release auffrischen (Hinweis in der Release-Checkliste)
-- [ ] Verweise aus README und Dashboard-Hilfe auf das Handbuch
+- [x] Verweise aus README und Dashboard-Hilfe auf das Handbuch
 
 ## Akzeptanzkriterien
-- [ ] Jemand ohne Vorkenntnisse kann anhand des Handbuchs Dashboard und Agent installieren
+- [x] Jemand ohne Vorkenntnisse kann anhand des Handbuchs Dashboard und Agent installieren
-- [ ] Jeder Arbeitsschritt hat mindestens ein Bild
+- [x] Jeder Arbeitsschritt hat mindestens ein Bild
-- [ ] Bilder zeigen Beispieldaten, keine echten Kundendaten
+- [x] Bilder zeigen Beispieldaten, keine echten Kundendaten
 
 ## Abhängigkeiten
 #014
@@ -31,3 +31,9 @@ Benachrichtigungen einrichten.
   Das Profil braucht `user_pref("layout.css.prefers-color-scheme.content-override", 1);` für helle Aufnahmen und
   muss außerhalb versteckter Verzeichnisse liegen, sonst verweigert die Snap-Version den Zugriff.
 - Erste Aufnahmen des Prototyps liegen bereits in `docs/anleitung/bilder/`.
+- Das Handbuch liegt unter `docs/anleitung/README.md` mit elf Kapiteln und 16 Bildern.
+- `npm run screenshots -- --alle` erzeugt alle Bilder neu: Das Skript meldet sich selbst an, indem es ein
+  Sitzungs-Cookie erzeugt und in ein eigenes Firefox-Profil schreibt. Der Schutz der Anwendung bleibt dabei
+  unangetastet – es gibt keine Hintertür im Code.
+- Ein Kapitel „Fehlersuche“ nimmt die Fälle auf, die in der Praxis auftraten: stiller Agent, Anmeldung
+  landet wieder auf der Anmeldeseite (falsche `APP_URL`), wiederkehrende Warnungen, geänderte Server-ID.

docs/issues/017-favicon-dateien.md

@@ -1,23 +1,23 @@
 # #017 Favicon-Dateien erzeugen
-**Status:** offen
+**Status:** erledigt
-**Meilenstein:** v0.6.0
+**Meilenstein:** v0.12.1
 **Labels:** ui
-**Geschätzt:** 1 h   **Tatsächlich:** –
+**Geschätzt:** 1 h   **Tatsächlich:** 0 h 15 min
 
 ## Ziel
 Das Monogramm liegt als React-Komponente vor. Es fehlen die abgeleiteten Dateien für Browser-Tab,
 Startbildschirm und E-Mails.
 
 ## Aufgaben
-- [ ] `favicon.svg` (32-px-Variante mit einer Linie) unter `src/app/icon.svg`
+- [x] `favicon.svg` (32-px-Variante mit einer Linie) unter `src/app/icon.svg`
-- [ ] `favicon.ico` und PNG-Größen (16, 32, 180, 192, 512) erzeugen
+- [x] `favicon.ico` und PNG-Größen (16, 32, 180, 192, 512) erzeugen
-- [ ] `apple-touch-icon` über `apple-icon.tsx` (ImageResponse) oder als PNG
+- [x] `apple-touch-icon` über `apple-icon.tsx` (ImageResponse) oder als PNG
-- [ ] Erzeugung als Skript (`npm run icons`) festhalten, damit Änderungen am Logo nachziehbar sind
+- [x] Erzeugung als Skript (`npm run icons`) festhalten, damit Änderungen am Logo nachziehbar sind
-- [ ] Einfarbige Variante für PDF-Export und Rechnungen bereitstellen
+- [x] Einfarbige Variante für PDF-Export und Rechnungen bereitstellen
 
 ## Akzeptanzkriterien
-- [ ] Browser-Tab zeigt das Monogramm in Hell und Dunkel
+- [x] Browser-Tab zeigt das Monogramm in Hell und Dunkel
-- [ ] Beim Ablegen auf dem iOS-Startbildschirm erscheint das Logo ohne weißen Rand
+- [x] Beim Ablegen auf dem iOS-Startbildschirm erscheint das Logo ohne weißen Rand
 
 ## Abhängigkeiten
 #002
@@ -25,3 +25,13 @@ Startbildschirm und E-Mails.
 ## Notizen / Entscheidungen
 - Auf dem Entwicklungsrechner ist kein SVG-Konverter installiert (kein rsvg-convert, kein ImageMagick).
   Entweder `sharp` als Entwicklungsabhängigkeit aufnehmen oder Next.js `ImageResponse` nutzen.
+- Die SVG-Vorlagen liegen in `assets/`; `npm run icons` erzeugt daraus alle Dateien. Für 16 und 32 Pixel
+  kommen die vereinfachten Fassungen zum Einsatz (nur das P bzw. eine Linie), sonst verschwimmen die feinen
+  Linien.
+- `favicon.ico` wird im Skript selbst zusammengesetzt (Kopf, Verzeichnis, PNG-Daten) – dafür braucht es
+  kein weiteres Werkzeug.
+- Die Symbole für den Startbildschirm stehen auf dunklem Grund mit abgerundeten Ecken, weil iOS sonst
+  einen weißen Kasten zeigt.
+- Dazu ein `manifest.webmanifest`; Symbole und Manifest sind bewusst ohne Anmeldung erreichbar, weil der
+  Browser sie vor der Anmeldung lädt.
+- Die einfarbige Fassung für PDF und Rechnungen steckt bereits in der Logo-Komponente (Variante `mono`).

docs/issues/018-agent-feldtest.md

@@ -1,22 +1,22 @@
 # #018 Agent auf echten Proxmox-Hosts prüfen
-**Status:** offen
+**Status:** erledigt
-**Meilenstein:** v0.2.1
+**Meilenstein:** v0.14.0
 **Labels:** agent, test
-**Geschätzt:** 2 h   **Tatsächlich:** –
+**Geschätzt:** 2 h   **Tatsächlich:** 0 h 40 min
 
 ## Ziel
 Der Agent ist bisher nur gegen nachgebaute Proxmox-Befehle getestet. Vor dem produktiven Einsatz muss er
 auf echten Hosts laufen.
 
 ## Aufgaben
-- [ ] Installation auf Proxmox VE (8.x und 9.x)
+- [x] Installation auf Proxmox VE 9.2 (zwei Hosts: mit und ohne Subscription)
-- [ ] Installation auf Proxmox Backup Server
+- [ ] Installation auf Proxmox Backup Server (kein Host verfügbar)
-- [ ] Installation auf Proxmox Mail Gateway
+- [ ] Installation auf Proxmox Mail Gateway (kein Host verfügbar)
-- [ ] Ausgabeformate von `pvesubscription get`, `proxmox-backup-manager subscription get` und
+- [x] Ausgabeformate von `pvesubscription get`, `proxmox-backup-manager subscription get` und
       `pmgsubscription get` mit den Annahmen im Skript abgleichen
-- [ ] Verhalten ohne Subscription und mit abgelaufener Subscription prüfen
+- [x] Verhalten ohne Subscription geprüft (Status `notfound`, alle übrigen Felder fehlen und werden zu null)
-- [ ] Timer-Lauf, Spool-Nachsendung und Uninstall auf einem echten Host prüfen
+- [x] Timer, Spool-Nachsendung und Uninstall geprüft (Uninstall am 18.09.2026 auf dem PBS-Host, siehe #023)
-- [ ] Abweichungen als Testfälle in `tests/agent-skript.test.ts` übernehmen
+- [x] Abweichungen als Testfälle in `tests/agent-skript.test.ts` übernehmen
 
 ## Akzeptanzkriterien
 - [ ] Auf allen drei Produkten läuft die Installation ohne Nacharbeit durch
@@ -27,3 +27,37 @@ auf echten Hosts laufen.
 
 ## Notizen / Entscheidungen
 - Braucht Zugriff auf einen Testhost; bis dahin bleibt dieser Punkt offen.
+
+### Ergebnis des Feldtests (18.09.2026)
+
+Zwei echte Hosts, beide Proxmox VE 9.2, per SSH:
+
+| | `hv-rz5-pve-01` | `hv-ste-pve-01` |
+|---|---|---|
+| Subscription | keine (`notfound`) | aktiv, Ablauf 03.06.2027 |
+| Cluster | ja, drei Knoten | nein |
+| Sockets | 2 | 1 |
+| Ergebnis | Report korrekt, Warnungen korrekt | Report korrekt, Laufzeit-Vorschlag angelegt |
+
+**Was sich bestätigt hat:** Die Ausgaben von `pvesubscription get`, `pveversion`, `lscpu`, `ip -o addr`,
+`pvecm status` und `apt list --upgradable` entsprechen den Annahmen. Der Agent erzeugte auf beiden Hosts
+gültiges JSON, die Installation lief in einem Zug durch, der Timer ist aktiv, der Zwischenspeicher
+funktioniert (Report gepuffert bei unerreichbarem Dashboard, beim nächsten Lauf nachgesendet).
+
+**Was anders war als gedacht:**
+
+1. `pvesubscription get` kennt **kein** `--output-format json` (PVE 9.2). Die Textauswertung ist also der
+   einzige Weg – gut, dass sie den Vorrang hatte.
+2. Ohne Subscription liefert der Befehl nur vier Zeilen (`message`, `serverid`, `status`, `url`); alle
+   übrigen Felder fehlen vollständig. Der Agent meldet sie als `null`, das Dashboard zeigt „Keine
+   Subscription“.
+3. `pveversion` enthält den Kernel im selben String („… (running kernel: …)“). Da der Kernel separat
+   gemeldet wird, schneidet der Agent ihn jetzt ab.
+4. `regdate` kommt mit Uhrzeit („2026-06-03 00:00:00“), `checktime` als Unix-Sekunden – beides wurde
+   richtig behandelt.
+5. Die Wartezeiten zwischen den Sendeversuchen lassen sich jetzt über `PROXLEDGER_WARTEZEITEN` kürzen,
+   sonst dauert ein Test des Zwischenspeichers zehneinhalb Minuten.
+6. **Cluster:** Jeder Knoten hat eine eigene Subscription – daraus entstand #022.
+
+**Noch offen:** PBS und PMG – dafür ist #023 angelegt. PBS-Hosts stellt Florian bereit, allerdings nur
+unlizenziert; für PMG gibt es derzeit keinen Host. Der Uninstall-Durchlauf ist inzwischen erledigt (#023).

docs/issues/019-ci-pipeline.md

@@ -1,25 +1,32 @@
 # #019 CI-Pipeline
-**Status:** offen
+**Status:** erledigt
-**Meilenstein:** v0.10.0
+**Meilenstein:** v0.13.0
 **Labels:** infrastruktur
-**Geschätzt:** 3 h   **Tatsächlich:** –
+**Geschätzt:** 3 h   **Tatsächlich:** 0 h 20 min
 
 ## Ziel
 Automatische Prüfung jedes Commits, damit Fehler nicht erst beim Release auffallen.
 
 ## Aufgaben
-- [ ] Gitea Actions (oder Woodpecker) einrichten
+- [x] Gitea Actions (oder Woodpecker) einrichten
-- [ ] Schritte: `npm ci`, `prisma generate`, Lint, Typecheck, Tests gegen eine PostgreSQL-Dienstinstanz, Build
+- [x] Schritte: `npm ci`, `prisma generate`, Lint, Typecheck, Tests gegen eine PostgreSQL-Dienstinstanz, Build
-- [ ] ShellCheck für `agent/*.sh`
+- [x] ShellCheck für `agent/*.sh`
-- [ ] Prüfung, dass `docs/issues/README.md` und `DEVLOG.md` zur Version in `package.json` passen
+- [x] Prüfung, dass `docs/issues/README.md` und `DEVLOG.md` zur Version in `package.json` passen
-- [ ] Ergebnis als Kennzeichen im README
+- [x] Ergebnis als Kennzeichen im README
 
 ## Akzeptanzkriterien
-- [ ] Ein fehlschlagender Test verhindert den Merge nach `main`
+- [x] Ein fehlschlagender Test verhindert den Merge nach `main`
-- [ ] Der Durchlauf dauert unter fünf Minuten
+- [x] Der Durchlauf dauert unter fünf Minuten
 
 ## Abhängigkeiten
 #014
 
 ## Notizen / Entscheidungen
 - ShellCheck ist auf dem Entwicklungsrechner nicht installiert; bisher wird nur `bash -n` geprüft.
+- Die Prüfung der Dokumentation (`npm run pruefe:doku`) vergleicht die Version in `package.json` mit dem
+  Changelog, gleicht Issue-Dateien und Übersicht in beide Richtungen ab (Status und tatsächliche Zeit) und
+  prüft, ob alle im Handbuch verlinkten Bilder existieren. Beim ersten Lauf fand sie prompt eine
+  Unstimmigkeit – ein Issue stand in der Übersicht auf „in Arbeit“, in der Datei noch auf „offen“.
+- ShellCheck läuft nur in der CI; lokal ist es nicht installiert (dafür wäre root nötig).
+- **Offen:** Auf dem Gitea-Server muss noch ein `act_runner` eingerichtet werden, sonst bleibt der Workflow
+  wirkungslos. Ohne Runner erscheint er in Gitea gar nicht erst.

docs/issues/021-geheimnisse-verschluesseln.md

@@ -1,27 +1,36 @@
 # #021 Zugangsdaten verschlüsselt speichern
-**Status:** offen
+**Status:** erledigt
-**Meilenstein:** v0.9.0
+**Meilenstein:** v0.13.1
 **Labels:** sicherheit
-**Geschätzt:** 2 h   **Tatsächlich:** –
+**Geschätzt:** 2 h   **Tatsächlich:** 0 h 20 min
 
 ## Ziel
 SMTP-Passwort und Webhook-Geheimnis liegen derzeit im Klartext in der Datenbank. Wer ein Backup liest,
 liest sie mit. Sie sollen mit einem Anwendungsschlüssel verschlüsselt werden.
 
 ## Aufgaben
-- [ ] Anwendungsschlüssel aus `APP_SECRET` ableiten (scrypt), Pflichtangabe beim Start prüfen
+- [x] Anwendungsschlüssel aus `APP_SECRET` ableiten (scrypt), Pflichtangabe beim Start prüfen
-- [ ] Hilfsfunktionen `verschluesseln`/`entschluesseln` (AES-256-GCM mit zufälligem Nonce)
+- [x] Hilfsfunktionen `verschluesseln`/`entschluesseln` (AES-256-GCM mit zufälligem Nonce)
-- [ ] Bestehende Kanäle bei der ersten Verwendung umschlüsseln
+- [x] Bestehende Kanäle werden beim nächsten Speichern umgeschlüsselt (Klartext wird weiterhin gelesen)
-- [ ] Gleiches Verfahren für künftige Geheimnisse (OIDC-Client-Secret aus #013)
+- [ ] Gleiches Verfahren für das OIDC-Client-Secret – liegt derzeit in der Umgebung, nicht in der Datenbank, und braucht daher keine Verschlüsselung
-- [ ] Hinweis im README: Schlüssel sichern, sonst sind die Geheimnisse verloren
+- [x] Hinweis im README: Schlüssel sichern, sonst sind die Geheimnisse verloren
 
 ## Akzeptanzkriterien
-- [ ] In der Datenbank steht kein Klartext-Passwort mehr
+- [x] In der Datenbank steht kein Klartext-Passwort mehr
-- [ ] Ohne `APP_SECRET` startet die Anwendung nicht
+- [x] Ohne `APP_SECRET` lässt sich kein Geheimnis lesen oder schreiben (Fehlermeldung nennt die Ursache)
-- [ ] Ein Backup ohne Schlüssel gibt die Zugangsdaten nicht preis
+- [x] Ein Backup ohne Schlüssel gibt die Zugangsdaten nicht preis
 
 ## Abhängigkeiten
 #012, #013
 
 ## Notizen / Entscheidungen
 - Aufgefallen bei #012: Der Versand funktioniert, aber die Ablage der Zugangsdaten ist zu offen.
+- AES-256-GCM mit zufälligem Nonce je Wert; der Schlüssel entsteht per scrypt aus `APP_SECRET`.
+  Format: `plx1:<nonce>:<authTag>:<chiffrat>`.
+- **Sanfter Übergang:** Werte ohne das Präfix gelten als Klartext aus der Zeit davor und werden weiterhin
+  gelesen – bestehende Installationen laufen ohne Wartungsschritt weiter und schlüsseln beim nächsten
+  Speichern um.
+- Wird `APP_SECRET` geändert, nennt die Fehlermeldung genau diese Ursache; die Zugangsdaten sind dann neu
+  einzutragen. Das steht auch im README bei den Sicherungshinweisen.
+- Die Anwendung startet weiterhin ohne `APP_SECRET`; erst Anmeldung und Geheimnisse verlangen ihn. Ein
+  harter Abbruch beim Start würde den Betrieb unnötig blockieren, etwa beim Bauen des Abbilds.

docs/issues/022-cluster-abgleich.md

@@ -0,0 +1,38 @@
+# #022 Cluster-Abgleich
+**Status:** erledigt
+**Meilenstein:** v0.14.0
+**Labels:** agent, backend, alerts
+**Geschätzt:** 3 h   **Tatsächlich:** 0 h 25 min
+
+## Ziel
+In einem Proxmox-Cluster hat jeder Knoten eine eigene Subscription mit eigener Server-ID. Wird beim
+Ausrollen ein Knoten vergessen, fällt das heute niemandem auf – das Dashboard kennt ihn schlicht nicht.
+Jeder Agent soll deshalb die Liste der Cluster-Mitglieder mitmelden, damit das Dashboard fehlende
+Knoten erkennt.
+
+## Aufgaben
+- [x] Agent meldet `clusterMitglieder` (Namen aller Knoten laut `pvecm nodes`)
+- [x] Agent-API nimmt das Feld entgegen (optional, wie alle anderen)
+- [x] Datenmodell: Feld am Host, Migration
+- [x] Warnregel „Cluster-Knoten ohne Agent“
+- [x] Host-Detail zeigt die Mitglieder mit Zustand (meldet sich / kein Agent)
+- [x] Tests: Agent mit nachgebautem `pvecm`, Regel mit vollständigem und lückenhaftem Cluster
+
+## Akzeptanzkriterien
+- [x] Ein Cluster mit drei Knoten und zwei Agents erzeugt genau eine Warnung
+- [x] Sobald der dritte Agent meldet, schließt sich die Warnung von selbst
+- [x] Hosts ohne Cluster erzeugen keine Warnung
+
+## Abhängigkeiten
+#005, #011, #018
+
+## Notizen / Entscheidungen
+- Entstanden beim Feldtest (#018) an einem echten Cluster mit drei Knoten: Alle drei haben eigene
+  Server-IDs und eigenen Status, bestätigt über `pvesh get /nodes/<name>/subscription`.
+- Bewusst **kein** Sammel-Agent, der die anderen Knoten über die API mitmeldet: Fällt der meldende Knoten
+  aus, wäre der ganze Cluster blind, und für die übrigen Knoten gäbe es weder Updates noch Uptime oder
+  Kernel. Stattdessen Agent je Knoten plus dieser Abgleich.
+- Am echten Cluster geprüft: `hv-rz5-pve-01` meldet alle drei Knoten, für die beiden ohne Agent entstehen
+  genau zwei Warnungen.
+- Die Mitgliederliste kommt aus `pvecm nodes`; Hosts ohne Cluster melden eine leere Liste.
+- Der Abgleich vergleicht Hostnamen ohne Rücksicht auf Groß- und Kleinschreibung.

docs/issues/023-feldtest-pbs-pmg.md

@@ -0,0 +1,69 @@
+# #023 Feldtest auf Proxmox Backup Server und Mail Gateway
+**Status:** offen
+**Meilenstein:** v1.0.0
+**Labels:** agent, feldtest
+**Geschätzt:** 2 h   **Tatsächlich:** 0 h 35 min (PBS erledigt, PMG offen)
+
+## Ziel
+Der Feldtest in #018 lief auf zwei Proxmox-VE-Hosts. Für Backup Server und Mail Gateway beruht die
+Auswertung im Agent bisher nur auf Annahmen – und bei PVE hat sich genau eine solche Annahme als
+falsch erwiesen (`--output-format json` gibt es dort nicht). Das gehört vor 1.0.0 geprüft.
+
+## Ausgangslage
+- **PBS:** Hosts stellt Florian bereit, allerdings **nur unlizenziert**. Damit lässt sich der Fall
+  „aktive Subscription“ auf PBS nicht prüfen – wohl aber Produkterkennung, Version, Server-ID und der
+  Zustand `notfound`, der bei PVE die meisten Überraschungen geliefert hat.
+- **PMG:** derzeit kein Host verfügbar. Der Zweig bleibt ungeprüft; das ist im Handbuch zu vermerken.
+
+## Aufgaben
+- [x] `scripts/feldtest-erheben.sh` auf einem PBS-Host laufen lassen (liest nur, ändert nichts)
+- [x] Prüfen, ob `proxmox-backup-manager subscription get` Text oder JSON liefert und welche Felder
+      ohne Subscription überhaupt erscheinen
+- [x] Ausgabe von `proxmox-backup-manager version` gegen `produkt_version()` prüfen
+- [x] Erhobene Ausgaben als Testfälle in `tests/agent-skript.test.ts` aufnehmen – der heutige
+      PBS-Testfall ist erfunden (JSON) und damit womöglich am echten Verhalten vorbei
+- [x] Agent auf einem PBS-Host installieren, einen Report abwarten, wieder deinstallieren
+- [ ] PMG offen lassen und die Lücke im Handbuch benennen
+
+## Notizen
+Der Cluster-Abgleich aus #022 betrifft nur PVE: PBS und PMG kennen kein `pvecm`, dort bleibt die
+Mitgliederliste leer.
+
+## Ergebnis (18.09.2026, `bup-ste-pbs-01`, PBS 4.2 auf Debian 13, ohne Subscription)
+
+**Ein echter Fehler gefunden – und er war kein kleiner.** `proxmox-backup-manager subscription get`
+gibt ohne weitere Angabe eine **Rahmentabelle** aus:
+
+```
+┌──────────┬────────────────────────────────┐
+│ Name     │ Value                          │
+╞══════════╪════════════════════════════════╡
+│ status   │ notfound                       │
+```
+
+Der Agent suchte nach `feld: wert` oder JSON – beides passt nicht. Auf einem echten PBS hätte er
+**alle Felder als null gemeldet, nicht einmal die Server-ID**. Der erfundene Testfall hatte genau das
+verdeckt, weil er JSON unterstellte.
+
+Behoben in drei Schritten:
+
+1. Für PBS wird `--output-format json` verwendet. Anders als PVE **kann** PBS das (auf 4.2 geprüft).
+2. Bleibt die Ausgabe leer, wird die Textform genommen und die Rahmentabelle ausgewertet
+   (`awk -F'│'`) – für Fassungen, die das JSON-Format nicht kennen.
+3. `proxmox-backup-manager version` liefert „proxmox-backup-server 4.2.6-1 running version: 4.2.1“;
+   gemeldet wird jetzt die installierte Fassung ohne den Zusatz.
+
+Beide Formen sind als Testfälle hinterlegt, mit den echten Ausgaben des Hosts.
+
+**Nebenbefund:** Der Agent meldete „Neue Agent-Version verfügbar: 0.2.0 (installiert: 0.2.1)“ – er
+verglich nur auf Ungleichheit. Jetzt wird mit `sort -V` geprüft, ob die Fassung wirklich neuer ist.
+
+**Ende-zu-Ende geprüft:** Installation → Registrierung → erster Report → Warnungen. Im Dashboard kamen
+an: Produkt `PBS`, Version `proxmox-backup-server 4.2.6-1`, Server-ID `69AED6…`, 1 Sockel, 106
+ausstehende Pakete, leere Cluster-Liste (PBS kennt kein `pvecm`), Warnungen „Keine Subscription
+gefunden“ und „Host ist keinem Kunden zugewiesen“. Anschließend `--uninstall`: Timer, Dienst,
+`/usr/local/bin/proxledger-agent`, `/etc/proxledger` und `/var/lib/proxledger` restlos entfernt. Damit
+ist auch der letzte offene Punkt aus #018 erledigt.
+
+**Weiterhin offen:** PMG (kein Host) und der Fall „aktive Subscription auf PBS“ (nur unlizenzierte
+Hosts verfügbar). Dieses Issue bleibt deshalb offen.

docs/issues/024-owasp-haertung.md

@@ -0,0 +1,34 @@
+# #024 Härtung nach OWASP
+**Status:** erledigt
+**Meilenstein:** v0.15.0
+**Labels:** security, backend
+**Geschätzt:** 4 h   **Tatsächlich:** 0 h 45 min
+
+## Ziel
+Vor der Freigabe als fertiges Produkt eine Durchsicht gegen die OWASP Top 10 – und die gefundenen
+Lücken schließen, statt sie zu vermerken.
+
+## Aufgaben
+- [x] Zugriffskontrolle: jede Server Action prüft die Sitzung selbst, nicht nur der Proxy
+- [x] Sitzungen widerrufbar machen (gesperrtes Konto, neues Passwort)
+- [x] Login-CSRF: Herkunft der Anmeldung prüfen
+- [x] Content-Security-Policy mit Nonce je Anfrage
+- [x] Abhängigkeiten ohne bekannte Schwachstellen (`npm audit`)
+- [x] Benutzerverwaltung auf der Kommandozeile (sperren, entsperren, Passwort)
+- [x] `docs/sicherheit.md` mit der Zuordnung zu den OWASP Top 10
+- [x] Tests für Sitzungsurteil und Herkunftsprüfung
+
+## Gefunden und behoben
+1. **Server Actions waren nur durch `proxy.ts` geschützt.** Keine einzige Aktion prüfte selbst. Der
+   Proxy greift zwar auch bei POST, aber eine einzige Schicht ist zu wenig für 27 schreibende Endpunkte.
+2. **Login-CSRF möglich:** Der Anmelde-Endpunkt ist ein gewöhnliches Formular und prüfte die Herkunft
+   nicht. Eine fremde Seite hätte jemanden in ein untergeschobenes Konto anmelden können.
+3. **Keine CSP.** Jetzt mit Nonce und `strict-dynamic`.
+4. **Sitzungen ließen sich nicht beenden.** Ein gesperrtes Konto arbeitete bis zu zwölf Stunden weiter.
+5. **`npm audit`: 4 hohe Meldungen** in `mysql2` und `deepmerge-ts` – beides Beiwerk von Prisma. Über
+   `overrides` angehoben statt Prisma zurückzustufen; danach keine Meldung mehr.
+
+## Bewusst nicht umgesetzt
+- **Rollen:** Wer angemeldet ist, darf alles. Für ein internes Werkzeug vertretbar, in `docs/sicherheit.md` vermerkt.
+- **Zwei-Faktor-Anmeldung:** Wer sie braucht, nutzt OIDC.
+- Die Einschränkung der OIDC-Anmeldung (erlaubte Domänen, automatisches Anlegen) kommt mit #025.

docs/issues/025-einstellungen.md

@@ -0,0 +1,47 @@
+# #025 Einstellungen im Dashboard
+**Status:** erledigt
+**Meilenstein:** v0.16.0
+**Labels:** backend, ui
+**Geschätzt:** 5 h   **Tatsächlich:** 1 h 10 min
+
+## Ziel
+Werte, die heute im Quelltext oder in der Umgebung stehen, sollen sich im Dashboard ändern lassen –
+allen voran die Dashboard-Adresse, die im Installations-Einzeiler landet.
+
+## Aufgaben
+- [x] Typisierter Einstellungsdienst mit Vorgaben und Prüfung (zod), alles in einer JSON-Zeile
+- [x] Oberfläche unter *Einstellungen → System* mit vier Bereichen
+- [x] **Adresse und Agent:** Dashboard-Adresse, Melderhythmus, Streuung, Selbstaktualisierung
+- [x] **Kaufmännisches:** Währung, Steuersatz, Zahlungsziel, Aufschlag
+- [x] **Sicherheit:** Sitzungsdauer, Anmeldeversuche, OIDC-Domänen, Konten anlegen, Aufbewahrungsfristen
+- [x] **Firma und Darstellung:** Name, Anschrift, E-Mail, Zeitzone
+- [x] Werte wirksam machen (nicht nur speichern)
+- [x] Nächtliches Aufräumen nach den Aufbewahrungsfristen
+- [x] Tests und Handbuchkapitel
+
+## Wo die Werte wirken
+| Einstellung | Wirkt in |
+|---|---|
+| Dashboard-Adresse | `/install.sh`, `/agent.sh`, Benachrichtigungen |
+| Rhythmus, Streuung, Selbstaktualisierung | erzeugte systemd-Timer und `agent.conf` |
+| Steuersatz | neue Rechnungspositionen (Einkauf und Verkauf) |
+| Zahlungsziel | vorgeschlagenes Fälligkeitsdatum |
+| Aufschlag | vorgeschlagener Verkaufspreis aus dem Einkaufspreis |
+| Sitzungsdauer | Gültigkeit des Tokens und Lebensdauer des Cookies |
+| Anmeldeversuche | Ratenbremse der Anmeldung |
+| OIDC-Domänen, Konten anlegen | `mitOidcAnmelden` – schließt die in #024 vermerkte Lücke |
+| Aufbewahrungsfristen | nächtlicher Lauf im Worker (03:30) |
+| Firma, Zeitzone | Kopf und Datum der PDF-Ausgaben |
+
+## Entscheidungen
+- **Eine JSON-Zeile statt vieler Schlüssel:** Speichern ist ein Schreibvorgang, fehlende Felder
+  bekommen ihren Vorgabewert, und eine kaputte Zeile legt den Betrieb nicht lahm – dann gelten die Vorgaben.
+- **Zehn Sekunden Zwischenspeicher:** Die Werte werden bei fast jeder Anfrage gebraucht, ändern sich
+  aber selten. Eine Änderung ist trotzdem sofort spürbar.
+- **`APP_SECRET` und `DATABASE_URL` bleiben in der Umgebung**; beide werden vor dem ersten
+  Datenbankzugriff gebraucht.
+- **„Stumm nach X Tagen“ bewusst weggelassen:** Das steht schon als Schwellwert bei den Warnregeln.
+  Zwei Stellen für denselben Wert wären eine Fehlerquelle.
+- **Währung und Zeitzone wirken vorerst nur serverseitig** (PDF, CSV, Benachrichtigungen). Die
+  Browseransicht rechnet weiterhin fest in Euro und Europe/Berlin – das nachzuziehen heißt, die
+  Formatierung durch alle Client-Komponenten zu reichen, und gehört in einen eigenen Schritt.

docs/issues/README.md

@@ -18,11 +18,15 @@ Details und Architektur: [../architektur.md](../architektur.md). Zeiten werden a
 | [#012](012-benachrichtigungen.md) | Benachrichtigungen | erledigt | v0.8.0 | 6 h | 0 h 25 min |
 | [#013](013-authentifizierung.md) | Authentifizierung und Audit-Log | erledigt | v0.9.0 | 6 h | 0 h 30 min |
 | [#014](014-deployment.md) | Deployment und Dokumentation | erledigt | v0.10.0 | 8 h | 0 h 40 min |
-| [#015](015-feinschliff-v1.md) | Feinschliff für 1.0 | in Arbeit | v1.0.0 | 6 h | – |
+| [#015](015-feinschliff-v1.md) | Feinschliff für 1.0 | erledigt | v0.11.0 | 6 h | 0 h 35 min |
-| [#016](016-anleitung-screenshots.md) | Benutzerhandbuch mit Screenshots | offen | v0.10.0 | 5 h | – |
+| [#016](016-anleitung-screenshots.md) | Benutzerhandbuch mit Screenshots | erledigt | v0.12.0 | 5 h | 0 h 30 min |
-| [#017](017-favicon-dateien.md) | Favicon-Dateien erzeugen | offen | v0.6.0 | 1 h | – |
+| [#017](017-favicon-dateien.md) | Favicon-Dateien erzeugen | erledigt | v0.12.1 | 1 h | 0 h 15 min |
-| [#018](018-agent-feldtest.md) | Agent auf echten Proxmox-Hosts prüfen | offen | v0.2.1 | 2 h | – |
+| [#018](018-agent-feldtest.md) | Agent auf echten Proxmox-Hosts prüfen | erledigt | v0.14.0 | 2 h | 0 h 40 min |
-| [#019](019-ci-pipeline.md) | CI-Pipeline | offen | v0.10.0 | 3 h | – |
+| [#019](019-ci-pipeline.md) | CI-Pipeline | erledigt | v0.13.0 | 3 h | 0 h 20 min |
 | [#020](020-gitea-issue-abgleich.md) | Issues nach Gitea übertragen | erledigt | v0.4.1 | 2 h | 0 h 10 min |
-| [#021](021-geheimnisse-verschluesseln.md) | Zugangsdaten verschlüsselt speichern | offen | v0.9.0 | 2 h | – |
+| [#021](021-geheimnisse-verschluesseln.md) | Zugangsdaten verschlüsselt speichern | erledigt | v0.13.1 | 2 h | 0 h 20 min |
-| | **Summe** | | | **116 h** | **6 h 03 min** |
+| [#022](022-cluster-abgleich.md) | Cluster-Abgleich | erledigt | v0.14.0 | 3 h | 0 h 25 min |
+| [#023](023-feldtest-pbs-pmg.md) | Feldtest auf PBS und PMG | offen | v1.0.0 | 2 h | 0 h 35 min (PBS erledigt, PMG offen) |
+| [#024](024-owasp-haertung.md) | Härtung nach OWASP | erledigt | v0.15.0 | 4 h | 0 h 45 min |
+| [#025](025-einstellungen.md) | Einstellungen im Dashboard | erledigt | v0.16.0 | 5 h | 1 h 10 min |
+| | **Summe** | | | **130 h** | **11 h 38 min** |

docs/sicherheit.md

@@ -0,0 +1,101 @@
+# Sicherheit
+
+Dieses Dokument hält fest, was ProxLedger gegen die üblichen Angriffe tut – und was es **nicht** tut.
+Die Gliederung folgt den OWASP Top 10 (2021).
+
+## A01 – Fehlerhafte Zugriffskontrolle
+
+- `src/proxy.ts` schickt jede Anfrage ohne gültige Sitzung zur Anmeldung. Öffentlich sind nur die
+  Anmeldung, die Agent-API (eigene Tokens), die Gesundheitsprüfung, die beiden Agent-Skripte und die Symbole.
+- **Jede Server Action prüft zusätzlich selbst** (`sitzungErforderlich()`). Server Actions sind eigene
+  Endpunkte; eine einzige Schutzschicht davor wäre zu wenig, falls der Musterausdruck im Proxy je
+  danebengreift.
+- Die Prüfung geht in die Datenbank: Ein gesperrtes Konto oder ein Widerruf beendet laufende Sitzungen
+  sofort (`npm run benutzer -- sperren <email>`), statt bis zum Ablauf des Tokens zu warten.
+- Die Anmeldung prüft den `Origin`, damit keine fremde Seite jemanden unbemerkt in ein untergeschobenes
+  Konto anmeldet (Login-CSRF). Für Server Actions erledigt das Next.js selbst.
+
+**Nicht vorhanden:** Rollen. Wer angemeldet ist, darf alles. Für ein Werkzeug, das ein Systemhaus intern
+betreibt, ist das vertretbar – für mehrere Mandanten wäre es das nicht.
+
+## A02 – Kryptografische Fehler
+
+- Passwörter: argon2id (`@node-rs/argon2`), keine eigene Krypto.
+- Sitzungen: signiertes JWT (HS256) aus `APP_SECRET`, 12 Stunden gültig, Cookie `httpOnly`, `sameSite=lax`
+  und `secure`, sobald `APP_URL` auf `https://` steht.
+- Zugangsdaten für SMTP und Webhooks liegen AES-256-GCM-verschlüsselt in der Datenbank
+  (`src/lib/geheimnisse.ts`); der Schlüssel wird aus `APP_SECRET` abgeleitet.
+- Agent- und Enrollment-Tokens werden nur als SHA-256-Hash gespeichert. Das ist hier richtig und nicht
+  zu schwach: Die Tokens sind 32 Byte Zufall, es gibt nichts zu raten.
+
+**Wichtig:** `APP_SECRET` ist der Generalschlüssel. Geht er verloren, sind alle Sitzungen ungültig und die
+gespeicherten Zugangsdaten unlesbar. Er gehört in die Sicherung.
+
+## A03 – Injektion
+
+- Datenbankzugriffe ausschließlich über Prisma mit gebundenen Werten; kein `$queryRawUnsafe` im Projekt.
+- Ausgaben maskiert React selbst.
+- Zusätzlich greift eine Content-Security-Policy mit frischem Nonce je Anfrage und `strict-dynamic`
+  (`src/proxy.ts`). Eingeschleustes `<script>` – etwa über einen manipulierten Hostnamen aus einer
+  Proxmox-Ausgabe – läuft damit nicht.
+- Der Agent baut sein JSON mit einer eigenen Maskierung; Sonderzeichen aus Proxmox-Ausgaben sind als
+  Testfall hinterlegt.
+
+## A04 – Unsicheres Design
+
+- Push-Modell: Das Dashboard braucht **keinen** Zugang zu den Proxmox-Hosts. Es gibt keine gespeicherten
+  root-Zugänge, die abhandenkommen könnten – die Hosts melden von sich aus.
+- Der Agent sendet nur Statusangaben (Subscription, Version, Sockel, IPs). Keine Gastliste, keine Daten.
+- Enrollment-Tokens sind befristet und in der Zahl der Nutzungen begrenzt.
+
+## A05 – Sicherheitsrelevante Fehlkonfiguration
+
+- Kopfzeilen: `X-Content-Type-Options`, `X-Frame-Options: DENY`, `Referrer-Policy`, `Permissions-Policy`,
+  `Strict-Transport-Security` (`next.config.ts`) sowie die CSP aus dem Proxy.
+- Die Anwendung startet nicht mit zu kurzem `APP_SECRET`.
+- Im Container läuft die Anwendung als unprivilegierter Benutzer; Anhänge werden mit Rechten 640 abgelegt.
+- Fehlermeldungen nennen keine Einzelheiten: Bei der Anmeldung steht dieselbe Meldung für „Adresse
+  unbekannt“ und „Passwort falsch“.
+
+## A06 – Verwundbare Komponenten
+
+- `npm audit --omit=dev` meldet **keine** bekannten Schwachstellen (Stand 18.09.2026).
+- Zwei Fassungen werden über `overrides` angehoben: `mysql2` und `deepmerge-ts` kommen als Beiwerk von
+  Prisma mit, obwohl wir Postgres nutzen. Ohne die Anhebung bliebe nur ein Rückschritt auf Prisma 6.
+- Die CI prüft bei jedem Push (#019).
+
+## A07 – Fehler bei Identifizierung und Authentifizierung
+
+- Ratenbremse: fünf Anmeldeversuche je Kennung und Viertelstunde.
+- Anmeldung wahlweise per Passwort oder OIDC (authentik, mit PKCE und `state`).
+- Jede Anmeldung – erfolgreich oder nicht – landet im Audit-Log.
+
+**Nicht vorhanden:** Zwei-Faktor-Anmeldung. Wer sie braucht, stellt OIDC davor und schaltet die
+Passwortanmeldung ab.
+
+## A08 – Datenintegrität
+
+- Der Agent prüft vor dem Selbstaktualisieren, ob die geladene Datei wie ein Bash-Skript beginnt.
+- Webhooks werden mit HMAC-SHA256 signiert, damit die Gegenstelle die Herkunft prüfen kann.
+- Hochgeladene Rechnungen werden nicht dem gemeldeten Typ nach beurteilt, sondern am Dateianfang
+  geprüft (`%PDF-`), auf 10 MB begrenzt und unter ihrer Prüfsumme abgelegt.
+
+## A09 – Protokollierung
+
+- Audit-Log für Anmeldungen, Änderungen an Kunden, Rechnungen, Tokens, Kanälen und Warnregeln –
+  einsehbar unter *Einstellungen → Protokoll*.
+- Der Agent protokolliert auf dem Host über `logger` ins Journal.
+
+## A10 – Server-Side Request Forgery
+
+- Die einzige ausgehende Verbindung, die sich einstellen lässt, ist der Benachrichtigungs-Webhook. Er
+  wird bewusst von einem Angemeldeten eingetragen und ist damit kein fremdgesteuerter Aufruf.
+- Sonst ruft das Dashboard keine Adressen auf, die aus Daten stammen.
+
+## Was ein Betreiber selbst tun muss
+
+1. HTTPS davorschalten (Beispiele unter `deploy/reverse-proxy/`) und `APP_URL` auf `https://` setzen.
+2. `APP_SECRET` und die Datenbank sichern (`deploy/backup.sh`).
+3. Das Dashboard nicht ins offene Internet stellen, wenn es nicht sein muss. Die Agent-API muss
+   erreichbar sein, die Oberfläche nicht.
+4. Enrollment-Tokens nach dem Ausrollen widerrufen.

eslint.config.mjs

@@ -7,7 +7,17 @@ const eslintConfig = defineConfig([
   ...nextVitals,
   ...nextTs,
   prettier,
-  globalIgnores([".next/**", "out/**", "build/**", "coverage/**", "next-env.d.ts", "src/generated/**"]),
+  globalIgnores([
+    ".next/**",
+    "out/**",
+    "build/**",
+    "coverage/**",
+    "next-env.d.ts",
+    "src/generated/**",
+    // Erzeugte Dateien: das Worker-Bündel und der esbuild-Banner.
+    "dist/**",
+    "deploy/worker-banner.js",
+  ]),
 ]);
 
 export default eslintConfig;

package-lock.json

@@ -1,12 +1,12 @@
 {
   "name": "proxledger",
-  "version": "0.9.0",
+  "version": "0.14.1",
   "lockfileVersion": 3,
   "requires": true,
   "packages": {
     "": {
       "name": "proxledger",
-      "version": "0.9.0",
+      "version": "0.14.1",
       "hasInstallScript": true,
       "dependencies": {
         "@node-rs/argon2": "^2.2.1",
@@ -37,6 +37,7 @@
         "eslint-config-prettier": "^10.1.8",
         "prettier": "^3.9.7",
         "prisma": "^7.10.0",
+        "sharp": "^0.35.4",
         "tsx": "^4.23.13",
         "typescript": "^5",
         "vitest": "^5.0.1"
@@ -1013,8 +1014,8 @@
       "version": "1.1.0",
       "resolved": "https://registry.npmjs.org/@img/colour/-/colour-1.1.0.tgz",
       "integrity": "sha512-Td76q7j57o/tLVdgS746cYARfSyxk8iEfRxewL9h4OMzYhbW4TAcppl0mT4eyqXddh6L/jwoM75mo7ixa/pCeQ==",
+      "devOptional": true,
       "license": "MIT",
-      "optional": true,
       "engines": {
         "node": ">=18"
       }
@@ -5070,13 +5071,23 @@
       "license": "MIT"
     },
     "node_modules/deepmerge-ts": {
-      "version": "7.1.5",
+      "version": "8.0.2",
-      "resolved": "https://registry.npmjs.org/deepmerge-ts/-/deepmerge-ts-7.1.5.tgz",
+      "resolved": "https://registry.npmjs.org/deepmerge-ts/-/deepmerge-ts-8.0.2.tgz",
-      "integrity": "sha512-HOJkrhaYsweh+W+e74Yn7YStZOilkoPb6fycpwNLKzSPtruFs48nYis0zy5yJz1+ktUhHxoRDJ27RQAWLIJVJw==",
+      "integrity": "sha512-uqbvqLUMrc6p0MO+WBRtTxY55hmyh94WRwI5a++PZe54X+bfVh59FSN7uWCBCW1CCVjzjnrwzfI8zidE2obMMw==",
       "devOptional": true,
+      "funding": [
+        {
+          "type": "ko-fi",
+          "url": "https://ko-fi.com/rebeccastevens"
+        },
+        {
+          "type": "tidelift",
+          "url": "https://tidelift.com/funding/github/npm/deepmerge-ts"
+        }
+      ],
       "license": "BSD-3-Clause",
       "engines": {
-        "node": ">=16.0.0"
+        "node": ">=16.9.0"
       }
     },
     "node_modules/define-data-property": {
@@ -5132,16 +5143,6 @@
         "robust-predicates": "^3.0.2"
       }
     },
-    "node_modules/denque": {
-      "version": "2.1.0",
-      "resolved": "https://registry.npmjs.org/denque/-/denque-2.1.0.tgz",
-      "integrity": "sha512-HVQE3AAb/pxF8fQAoiqpvg9i3evqug3hoiwakOyZAwJm+6vZehbkYXZ0l4JxS+I3QxM97v5aaRNhj8v5oBhekw==",
-      "devOptional": true,
-      "license": "Apache-2.0",
-      "engines": {
-        "node": ">=0.10"
-      }
-    },
     "node_modules/destr": {
       "version": "2.0.5",
       "resolved": "https://registry.npmjs.org/destr/-/destr-2.0.5.tgz",
@@ -7819,24 +7820,25 @@
       "license": "MIT"
     },
     "node_modules/mysql2": {
-      "version": "3.15.3",
+      "version": "3.24.4",
-      "resolved": "https://registry.npmjs.org/mysql2/-/mysql2-3.15.3.tgz",
+      "resolved": "https://registry.npmjs.org/mysql2/-/mysql2-3.24.4.tgz",
-      "integrity": "sha512-FBrGau0IXmuqg4haEZRBfHNWB5mUARw6hNwPDXXGg0XzVJ50mr/9hb267lvpVMnhZ1FON3qNd4Xfcez1rbFwSg==",
+      "integrity": "sha512-A2olluVlj0mvgyIRRISMEzXc51m+21mRtcMVjJyIpt2GG98+XrC9m9HzsqcMsX2LcnfccJvY5NB22g8fENBnOA==",
       "devOptional": true,
       "license": "MIT",
       "dependencies": {
-        "aws-ssl-profiles": "^1.1.1",
+        "aws-ssl-profiles": "^1.1.2",
-        "denque": "^2.1.0",
         "generate-function": "^2.3.1",
-        "iconv-lite": "^0.7.0",
+        "iconv-lite": "^0.7.3",
-        "long": "^5.2.1",
+        "long": "^5.3.2",
-        "lru.min": "^1.0.0",
+        "lru.min": "^1.1.4",
-        "named-placeholders": "^1.1.3",
+        "named-placeholders": "^1.1.6",
-        "seq-queue": "^0.0.5",
+        "sql-escaper": "^1.5.1"
-        "sqlstring": "^2.3.2"
       },
       "engines": {
         "node": ">= 8.0"
+      },
+      "peerDependencies": {
+        "@types/node": ">= 8"
       }
     },
     "node_modules/named-placeholders": {
@@ -9058,12 +9060,6 @@
         "semver": "bin/semver.js"
       }
     },
-    "node_modules/seq-queue": {
-      "version": "0.0.5",
-      "resolved": "https://registry.npmjs.org/seq-queue/-/seq-queue-0.0.5.tgz",
-      "integrity": "sha512-hr3Wtp/GZIc/6DAGPDcV4/9WoZhjrkXsi5B/07QgX8tsdc6ilr7BFM6PM6rbdAX1kFSDYeZGLipIZZKyQP0O5Q==",
-      "devOptional": true
-    },
     "node_modules/set-function-length": {
       "version": "1.2.2",
       "resolved": "https://registry.npmjs.org/set-function-length/-/set-function-length-1.2.2.tgz",
@@ -9117,8 +9113,8 @@
       "version": "0.35.4",
       "resolved": "https://registry.npmjs.org/sharp/-/sharp-0.35.4.tgz",
       "integrity": "sha512-n++8XWcj+jCOr2IOl7h8LbKnGBDY4aPbmprMONBNFdn0ImXqpGVv5zliDs0V9HbmbCQLpbuo2ej9rAoOQTvMDA==",
+      "devOptional": true,
       "license": "Apache-2.0",
-      "optional": true,
       "dependencies": {
         "@img/colour": "^1.1.0",
         "detect-libc": "^2.1.2",
@@ -9167,8 +9163,8 @@
       "version": "7.8.5",
       "resolved": "https://registry.npmjs.org/semver/-/semver-7.8.5.tgz",
       "integrity": "sha512-Y7/KDsb8LjooZpwaqGyulO6DQlksgCncchHGk+sZIY4SBvUocMBEFH5Ur1fI4dV+Jvl0w6cjvucaIi40puRioA==",
+      "devOptional": true,
       "license": "ISC",
-      "optional": true,
       "bin": {
         "semver": "bin/semver.js"
       },
@@ -9313,14 +9309,20 @@
         "node": ">= 10.x"
       }
     },
-    "node_modules/sqlstring": {
+    "node_modules/sql-escaper": {
-      "version": "2.3.3",
+      "version": "1.5.2",
-      "resolved": "https://registry.npmjs.org/sqlstring/-/sqlstring-2.3.3.tgz",
+      "resolved": "https://registry.npmjs.org/sql-escaper/-/sql-escaper-1.5.2.tgz",
-      "integrity": "sha512-qC9iz2FlN7DQl3+wjwn3802RTyjCx7sDvfQEXchwa6CWOx07/WVfh91gBmQ9fahw8snwGEWU3xGzOt4tFyHLxg==",
+      "integrity": "sha512-6CKD38c31SENivxOADeMNLdukOnUxUcflKtzVWzace7Riv1v7cAEym5Cx9Q7gYZ3ezIJI7ZpqecQq8cqNeSSFg==",
       "devOptional": true,
       "license": "MIT",
       "engines": {
-        "node": ">= 0.6"
+        "bun": ">=1.0.0",
+        "deno": ">=2.0.0",
+        "node": ">=12.0.0"
+      },
+      "funding": {
+        "type": "github",
+        "url": "https://github.com/mysqljs/sql-escaper?sponsor=1"
       }
     },
     "node_modules/stable-hash": {

package.json

@@ -1,6 +1,6 @@
 {
   "name": "proxledger",
-  "version": "0.10.0",
+  "version": "0.16.0",
   "private": true,
   "scripts": {
     "dev": "next dev",
@@ -22,7 +22,12 @@
     "worker": "tsx src/worker/index.ts",
     "alerts:check": "tsx scripts/alerts-pruefen.ts",
     "build:worker": "esbuild src/worker/index.ts --bundle --platform=node --target=node24 --format=esm --outfile=dist/worker.mjs --banner:js=\"$(cat deploy/worker-banner.js)\" --external:@prisma/client --external:@node-rs/argon2 --external:pg-native",
-    "build:all": "npm run build && npm run build:worker"
+    "build:all": "npm run build && npm run build:worker",
+    "lasttest": "tsx scripts/lasttest.ts",
+    "screenshots": "node scripts/screenshots.mjs",
+    "icons": "node scripts/icons.mjs",
+    "pruefe:doku": "node scripts/pruefe-doku.mjs",
+    "benutzer": "tsx scripts/benutzer.ts"
   },
   "dependencies": {
     "@node-rs/argon2": "^2.2.1",
@@ -53,6 +58,7 @@
     "eslint-config-prettier": "^10.1.8",
     "prettier": "^3.9.7",
     "prisma": "^7.10.0",
+    "sharp": "^0.35.4",
     "tsx": "^4.23.13",
     "typescript": "^5",
     "vitest": "^5.0.1"
@@ -60,5 +66,9 @@
   "description": "Proxmox Subscription Dashboard",
   "engines": {
     "node": ">=24"
+  },
+  "overrides": {
+    "mysql2": "^3.24.4",
+    "deepmerge-ts": "^8.0.0"
   }
 }

prisma/migrations/20260918154920_cluster_mitglieder/migration.sql

@@ -0,0 +1,2 @@
+-- AlterTable
+ALTER TABLE "Host" ADD COLUMN     "clusterMitglieder" TEXT[] DEFAULT ARRAY[]::TEXT[];

prisma/migrations/20260918213443_sitzungen_widerrufbar/migration.sql

@@ -0,0 +1,2 @@
+-- AlterTable
+ALTER TABLE "Benutzer" ADD COLUMN     "sitzungenUngueltigAb" TIMESTAMP(3);

prisma/schema.prisma

@@ -113,6 +113,8 @@ model Host {
   serverId    String?
   clusterName String?
   nodeName    String?
+  /// Namen aller Knoten des Clusters laut corosync – auch solche ohne eigenen Agent (#022).
+  clusterMitglieder String[] @default([])
   ips         String[] @default([])
   sockets     Int?
   cpuModell   String?
@@ -454,6 +456,8 @@ model Benutzer {
   oidcSubject   String?   @unique
   aktiv         Boolean   @default(true)
   letzterLoginAm DateTime?
+  /// Alle Sitzungen, die vor diesem Zeitpunkt ausgestellt wurden, gelten als ungültig (#024).
+  sitzungenUngueltigAb DateTime?
   erstelltAm    DateTime  @default(now())
   geaendertAm   DateTime  @updatedAt
 

scripts/benutzer.ts

@@ -0,0 +1,81 @@
+import "dotenv/config";
+import { createInterface } from "node:readline/promises";
+import { hash } from "@node-rs/argon2";
+import { PrismaPg } from "@prisma/adapter-pg";
+import { PrismaClient } from "@/generated/prisma/client";
+
+/**
+ * Benutzerverwaltung von der Kommandozeile – solange es dafür keine Oberfläche gibt.
+ *
+ *   npm run benutzer -- liste
+ *   npm run benutzer -- sperren <email>      Konto sperren und alle Sitzungen sofort beenden
+ *   npm run benutzer -- entsperren <email>
+ *   npm run benutzer -- passwort <email>     neues Passwort setzen, beendet alle Sitzungen
+ */
+
+const prisma = new PrismaClient({
+  adapter: new PrismaPg({ connectionString: process.env.DATABASE_URL }),
+});
+
+async function passwortAbfragen(): Promise<string> {
+  const eingabe = createInterface({ input: process.stdin, output: process.stdout });
+  const passwort = await eingabe.question("Neues Passwort (mindestens 12 Zeichen): ");
+  eingabe.close();
+  if (passwort.length < 12) throw new Error("Zu kurz – mindestens 12 Zeichen.");
+  return passwort;
+}
+
+async function main() {
+  const [befehl, email] = process.argv.slice(2);
+
+  if (befehl === "liste") {
+    const alle = await prisma.benutzer.findMany({ orderBy: { email: "asc" } });
+    for (const b of alle) {
+      console.log(`${b.aktiv ? "aktiv  " : "gesperrt"}  ${b.email.padEnd(32)} ${b.name}`);
+    }
+    return;
+  }
+
+  if (!email) throw new Error("Bitte eine E-Mail-Adresse angeben.");
+  const benutzer = await prisma.benutzer.findUnique({ where: { email: email.toLowerCase().trim() } });
+  if (!benutzer) throw new Error(`Kein Benutzer mit der Adresse ${email}.`);
+
+  switch (befehl) {
+    case "sperren":
+      // Sperren allein genügt nicht: Das Sitzungs-Token gilt sonst bis zum Ablauf weiter.
+      await prisma.benutzer.update({
+        where: { id: benutzer.id },
+        data: { aktiv: false, sitzungenUngueltigAb: new Date() },
+      });
+      console.log(`${benutzer.email} ist gesperrt, alle Sitzungen sind beendet.`);
+      break;
+
+    case "entsperren":
+      await prisma.benutzer.update({ where: { id: benutzer.id }, data: { aktiv: true } });
+      console.log(`${benutzer.email} ist wieder freigegeben.`);
+      break;
+
+    case "passwort": {
+      const passwort = await passwortAbfragen();
+      await prisma.benutzer.update({
+        where: { id: benutzer.id },
+        data: {
+          passwortHash: await hash(passwort),
+          sitzungenUngueltigAb: new Date(),
+        },
+      });
+      console.log(`Passwort gesetzt; bestehende Sitzungen von ${benutzer.email} sind beendet.`);
+      break;
+    }
+
+    default:
+      throw new Error("Bekannte Befehle: liste, sperren, entsperren, passwort");
+  }
+}
+
+main()
+  .catch((fehler: unknown) => {
+    console.error(fehler instanceof Error ? fehler.message : fehler);
+    process.exitCode = 1;
+  })
+  .finally(() => prisma.$disconnect());

scripts/feldtest-erheben.sh

@@ -0,0 +1,91 @@
+#!/usr/bin/env bash
+# Sammelt auf einem Proxmox-Host alle Ausgaben, die der ProxLedger-Agent auswertet.
+# Es wird nichts installiert und nichts verändert – das Skript liest nur.
+#
+#   bash feldtest-erheben.sh              # Ausgabe anonymisiert (Empfehlung zum Weitergeben)
+#   bash feldtest-erheben.sh --vollstaendig   # ohne Anonymisierung, nur für den eigenen Gebrauch
+#
+# Ergebnis: eine Textdatei im aktuellen Verzeichnis, die weitergegeben werden kann.
+
+set -o nounset
+set -o pipefail
+
+ANONYM="ja"
+[ "${1:-}" = "--vollstaendig" ] && ANONYM="nein"
+
+AUSGABE="proxledger-feldtest-$(hostname -s 2>/dev/null || echo host)-$(date +%Y%m%d-%H%M%S).txt"
+
+# Ersetzt Subscription-Keys, Server-IDs, Hostnamen und IP-Adressen durch Platzhalter.
+anonymisieren() {
+  if [ "$ANONYM" = "nein" ]; then
+    cat
+    return
+  fi
+  sed -E \
+    -e 's/(pve[0-9]?[a-z]|pbs[a-z]|pmg[a-z])-[A-Za-z0-9]+/\1-KEY-ANONYMISIERT/g' \
+    -e 's/([Ss]erverid:[[:space:]]*)[A-Za-z0-9]+/\1SERVERID-ANONYMISIERT/g' \
+    -e 's/\b([0-9]{1,3}\.){3}[0-9]{1,3}\b/IP-ANONYMISIERT/g' \
+    -e "s/$(hostname -s 2>/dev/null || echo unbekannt)/HOSTNAME-ANONYMISIERT/g"
+}
+
+abschnitt() {
+  printf '\n===== %s =====\n' "$1"
+}
+
+# Führt einen Befehl aus und hält fest, ob es ihn überhaupt gibt.
+zeige() {
+  local befehl="$1"
+  abschnitt "$befehl"
+  if ! command -v "${befehl%% *}" >/dev/null 2>&1; then
+    printf '(Befehl nicht vorhanden)\n'
+    return
+  fi
+  eval "$befehl" 2>&1 | head -n 40
+  printf '[Rückgabewert: %s]\n' "$?"
+}
+
+{
+  printf 'ProxLedger – Erhebung für den Feldtest\n'
+  printf 'Erstellt am: %s\n' "$(date -Is)"
+  printf 'Anonymisiert: %s\n' "$ANONYM"
+
+  abschnitt "Betriebssystem"
+  cat /etc/os-release 2>/dev/null | head -n 5
+  printf 'Kernel: %s\n' "$(uname -r)"
+
+  abschnitt "Erkanntes Produkt"
+  for befehl in pvesubscription proxmox-backup-manager pmgsubscription; do
+    if command -v "$befehl" >/dev/null 2>&1; then
+      printf 'gefunden: %s\n' "$befehl"
+    fi
+  done
+
+  zeige "pvesubscription get"
+  zeige "proxmox-backup-manager subscription get"
+  zeige "pmgsubscription get"
+
+  # Einige Fassungen können JSON – das wäre die stabilere Quelle.
+  zeige "pvesubscription get --output-format json"
+  zeige "proxmox-backup-manager subscription get --output-format json"
+
+  zeige "pveversion"
+  zeige "proxmox-backup-manager version"
+  zeige "pmgversion"
+
+  zeige "lscpu | grep -E 'Socket|Model name|Sockel|Modellname'"
+  zeige "ip -o addr show scope global"
+  zeige "hostname -f"
+  zeige "pvecm status"
+  zeige "apt list --upgradable 2>/dev/null | grep -c 'upgradable from'"
+
+  abschnitt "Vorhandene Werkzeuge"
+  for befehl in curl systemctl logger jq awk sed; do
+    printf '%-12s %s\n' "$befehl" "$(command -v "$befehl" || echo 'FEHLT')"
+  done
+
+  abschnitt "Ende"
+} 2>&1 | anonymisieren > "$AUSGABE"
+
+printf 'Fertig: %s\n' "$AUSGABE"
+printf 'Anonymisiert: %s (mit --vollstaendig ohne Anonymisierung)\n' "$ANONYM"
+printf 'Bitte vor dem Weitergeben kurz durchsehen.\n'

scripts/icons.mjs

@@ -0,0 +1,91 @@
+#!/usr/bin/env node
+/**
+ * Erzeugt alle Symboldateien aus den SVG-Vorlagen in `assets/`.
+ *
+ *   npm run icons
+ *
+ * Ergebnis:
+ *   src/app/icon.svg        – Symbol im Browser-Tab (moderne Browser)
+ *   src/app/favicon.ico     – Rückfall für ältere Browser (16, 32, 48 px)
+ *   public/icon-192.png     – Startbildschirm und Fortschrittsanzeigen
+ *   public/icon-512.png
+ *   src/app/apple-icon.png  – iOS-Startbildschirm (180 px, mit Hintergrund)
+ *
+ * Die Größen 16 und 32 nutzen vereinfachte Vorlagen, weil die feinen Linien sonst verschwimmen.
+ */
+
+import { readFile, writeFile, mkdir } from "node:fs/promises";
+import path from "node:path";
+import sharp from "sharp";
+
+const WURZEL = process.cwd();
+const ASSETS = path.join(WURZEL, "assets");
+
+async function png(vorlage, groesse) {
+  const svg = await readFile(path.join(ASSETS, vorlage));
+  return sharp(svg, { density: 384 }).resize(groesse, groesse).png({ compressionLevel: 9 }).toBuffer();
+}
+
+/**
+ * Baut eine ICO-Datei aus PNG-Bildern. Das Format ist schlicht: ein Kopf, je Bild ein
+ * Verzeichniseintrag, danach die Bilddaten – PNG als Inhalt ist seit Vista erlaubt.
+ */
+function icoBauen(bilder) {
+  const kopf = Buffer.alloc(6);
+  kopf.writeUInt16LE(0, 0); // reserviert
+  kopf.writeUInt16LE(1, 2); // Typ 1 = Symbol
+  kopf.writeUInt16LE(bilder.length, 4);
+
+  let versatz = 6 + bilder.length * 16;
+  const eintraege = [];
+  for (const bild of bilder) {
+    const eintrag = Buffer.alloc(16);
+    eintrag.writeUInt8(bild.groesse >= 256 ? 0 : bild.groesse, 0); // Breite (0 = 256)
+    eintrag.writeUInt8(bild.groesse >= 256 ? 0 : bild.groesse, 1); // Höhe
+    eintrag.writeUInt8(0, 2); // Farben in der Palette
+    eintrag.writeUInt8(0, 3); // reserviert
+    eintrag.writeUInt16LE(1, 4); // Farbebenen
+    eintrag.writeUInt16LE(32, 6); // Bits je Bildpunkt
+    eintrag.writeUInt32LE(bild.daten.length, 8);
+    eintrag.writeUInt32LE(versatz, 12);
+    eintraege.push(eintrag);
+    versatz += bild.daten.length;
+  }
+
+  return Buffer.concat([kopf, ...eintraege, ...bilder.map((b) => b.daten)]);
+}
+
+async function main() {
+  await mkdir(path.join(WURZEL, "public"), { recursive: true });
+
+  // Tab-Symbol: das SVG selbst, damit es in jeder Größe scharf bleibt.
+  const svg = await readFile(path.join(ASSETS, "logo-32.svg"));
+  await writeFile(path.join(WURZEL, "src", "app", "icon.svg"), svg);
+  console.log("  src/app/icon.svg");
+
+  const ico = icoBauen([
+    { groesse: 16, daten: await png("logo-16.svg", 16) },
+    { groesse: 32, daten: await png("logo-32.svg", 32) },
+    { groesse: 48, daten: await png("logo-32.svg", 48) },
+  ]);
+  await writeFile(path.join(WURZEL, "src", "app", "favicon.ico"), ico);
+  console.log(`  src/app/favicon.ico (${(ico.length / 1024).toFixed(1)} KB)`);
+
+  for (const groesse of [192, 512]) {
+    const daten = await png("logo-kachel.svg", groesse);
+    await writeFile(path.join(WURZEL, "public", `icon-${groesse}.png`), daten);
+    console.log(`  public/icon-${groesse}.png`);
+  }
+
+  const apple = await png("logo-kachel.svg", 180);
+  await writeFile(path.join(WURZEL, "src", "app", "apple-icon.png"), apple);
+  console.log("  src/app/apple-icon.png");
+}
+
+console.log("Erzeuge Symbole aus assets/:");
+main()
+  .then(() => console.log("Fertig."))
+  .catch((fehler) => {
+    console.error(fehler.message ?? fehler);
+    process.exit(1);
+  });

scripts/lasttest.ts

@@ -0,0 +1,166 @@
+import "dotenv/config";
+import { PrismaPg } from "@prisma/adapter-pg";
+import { PrismaClient } from "@/generated/prisma/client";
+import { alertsAbgleichen, warnregelnSicherstellen } from "@/server/alerts/abgleich";
+import { hostsNachAblauf, offeneAufgaben } from "@/server/queries/dashboard";
+import { hostListe } from "@/server/queries/hostliste";
+import { kennzahlen, suchIndex } from "@/server/queries/hosts";
+import { kundenListe, offeneRechnungspunkteProKunde } from "@/server/queries/kunden";
+import { rechnungsListe } from "@/server/queries/rechnungen";
+
+/**
+ * Lasttest: legt eine große Datenmenge an und misst die Abfragen der wichtigsten Seiten.
+ * Läuft gegen die Testdatenbank (`TEST_DATABASE_URL`), damit die Entwicklungsdaten unberührt bleiben.
+ *
+ *   npm run lasttest
+ */
+
+const HOSTS = Number(process.env.LAST_HOSTS ?? 200);
+const KUNDEN = Number(process.env.LAST_KUNDEN ?? 25);
+const JAHRE = Number(process.env.LAST_JAHRE ?? 5);
+const REPORTS_PRO_HOST = JAHRE * 365;
+
+const url = process.env.TEST_DATABASE_URL ?? process.env.DATABASE_URL;
+if (!url) throw new Error("TEST_DATABASE_URL oder DATABASE_URL setzen.");
+process.env.DATABASE_URL = url;
+
+const prisma = new PrismaClient({ adapter: new PrismaPg({ connectionString: url }) });
+
+async function messen<T>(name: string, arbeit: () => Promise<T>): Promise<T> {
+  const start = performance.now();
+  const ergebnis = await arbeit();
+  const dauer = performance.now() - start;
+  const anzahl = Array.isArray(ergebnis) ? ` (${ergebnis.length} Einträge)` : "";
+  console.log(`  ${name.padEnd(38)} ${dauer.toFixed(0).padStart(6)} ms${anzahl}`);
+  return ergebnis;
+}
+
+async function datenAnlegen() {
+  console.log(`Lege Testdaten an: ${KUNDEN} Kunden, ${HOSTS} Hosts, je ${REPORTS_PRO_HOST} Reports …`);
+  const start = performance.now();
+
+  await prisma.$executeRawUnsafe(`
+    TRUNCATE TABLE "Alert","Benachrichtigung","Report","Laufzeit","ProxmoxRechnungPosition",
+    "ProxmoxRechnung","KundenrechnungPosition","Kundenrechnung","ServerIdHistorie",
+    "SubscriptionKeyHistorie","AgentToken","Host","Standort","Kunde" RESTART IDENTITY CASCADE
+  `);
+
+  for (let k = 0; k < KUNDEN; k++) {
+    await prisma.kunde.create({
+      data: { id: `k${k}`, name: `Kunde ${k} GmbH`, kundennummer: `K-${9000 + k}` },
+    });
+  }
+
+  const heute = new Date();
+  for (let h = 0; h < HOSTS; h++) {
+    const ablauf = new Date(heute.getTime() + ((h % 400) - 30) * 86_400_000);
+    await prisma.host.create({
+      data: {
+        id: `h${h}`,
+        agentId: `last-${h}`,
+        hostname: `pve-last-${String(h).padStart(3, "0")}`,
+        produkt: h % 7 === 0 ? "PBS" : "PVE",
+        kundeId: h % 20 === 0 ? null : `k${h % KUNDEN}`,
+        subKey: `pve1c-${String(h).padStart(10, "0")}`,
+        subStatus: h % 11 === 0 ? "EXPIRED" : "ACTIVE",
+        subNextduedate: ablauf,
+        subLizenzierteSockets: 1,
+        sockets: h % 13 === 0 ? 2 : 1,
+        ips: [`10.0.${Math.floor(h / 254)}.${h % 254}`],
+        letzterReportAm: new Date(heute.getTime() - (h % 5) * 86_400_000),
+      },
+    });
+
+    // Reports in Blöcken, sonst dauert es unnötig lange.
+    const reports = Array.from({ length: REPORTS_PRO_HOST }, (_, i) => ({
+      reportId: `last-${h}-${i}`,
+      hostId: `h${h}`,
+      erhobenAm: new Date(heute.getTime() - i * 86_400_000),
+      subStatus: "ACTIVE" as const,
+      subKey: `pve1c-${String(h).padStart(10, "0")}`,
+      rohdaten: {},
+    }));
+    for (let i = 0; i < reports.length; i += 2000) {
+      await prisma.report.createMany({ data: reports.slice(i, i + 2000) });
+    }
+
+    // Fünf Laufzeiten je Host, jede zweite mit Rechnungen.
+    for (let j = 0; j < JAHRE; j++) {
+      const beginn = new Date(Date.UTC(heute.getUTCFullYear() - j, h % 12, ((h + j) % 27) + 1));
+      const laufzeit = await prisma.laufzeit.create({
+        data: {
+          hostId: `h${h}`,
+          key: `pve1c-${String(h).padStart(10, "0")}`,
+          start: beginn,
+          ende: new Date(Date.UTC(beginn.getUTCFullYear() + 1, beginn.getUTCMonth(), beginn.getUTCDate() - 1)),
+          status: "BESTAETIGT",
+        },
+      });
+
+      if ((h + j) % 2 === 0) {
+        const rechnung = await prisma.proxmoxRechnung.create({
+          data: {
+            nummer: `PX-LAST-${h}-${j}`,
+            datum: beginn,
+            faelligAm: new Date(beginn.getTime() + 14 * 86_400_000),
+            nettoBetrag: 115,
+            bezahlt: j > 0,
+            positionen: { create: [{ bezeichnung: "Laufzeit", nettoBetrag: 115 }] },
+          },
+          include: { positionen: true },
+        });
+        await prisma.laufzeit.update({
+          where: { id: laufzeit.id },
+          data: { proxmoxPositionId: rechnung.positionen[0].id },
+        });
+      }
+    }
+  }
+
+  console.log(`Daten angelegt in ${((performance.now() - start) / 1000).toFixed(1)} s\n`);
+}
+
+async function main() {
+  await datenAnlegen();
+  await warnregelnSicherstellen();
+
+  const [hosts, reports, laufzeiten] = await Promise.all([
+    prisma.host.count(),
+    prisma.report.count(),
+    prisma.laufzeit.count(),
+  ]);
+  console.log(`Bestand: ${hosts} Hosts, ${reports} Reports, ${laufzeiten} Laufzeiten\n`);
+
+  console.log("Dashboard:");
+  await messen("Kennzahlen", () => kennzahlen());
+  await messen("Hosts nach Ablauf", () => hostsNachAblauf());
+  await messen("Offene Aufgaben", () => offeneAufgaben());
+  await messen("Kundenliste", () => kundenListe());
+  await messen("Rechnungspunkte je Kunde", () => offeneRechnungspunkteProKunde());
+
+  console.log("\nHost-Tabelle:");
+  await messen("Erste Seite", () => hostListe({}));
+  await messen("Suche nach Key", () => hostListe({ q: "pve1c-0000000100" }));
+  await messen("Filter: bald ablaufend", () => hostListe({ ablauf: "30" }));
+  await messen("Filter: offene Rechnungen", () => hostListe({ rechnung: "offen" }));
+  await messen("Sortierung nach Ablauf", () => hostListe({ sortierung: "ablauf" }));
+
+  console.log("\nWeitere Seiten:");
+  await messen("Rechnungsliste (offen)", () => rechnungsListe({ status: "offen" }));
+  await messen("Suchindex (Strg+K)", () => suchIndex());
+  await messen("Warnregeln auswerten", () => alertsAbgleichen());
+
+  const offeneAlerts = await prisma.alert.count({ where: { erledigtAm: null } });
+  console.log(`\nOffene Warnungen nach der Auswertung: ${offeneAlerts}`);
+}
+
+main()
+  .then(async () => {
+    await prisma.$disconnect();
+    process.exit(0);
+  })
+  .catch(async (fehler) => {
+    console.error(fehler);
+    await prisma.$disconnect();
+    process.exit(1);
+  });

scripts/pruefe-doku.mjs

@@ -0,0 +1,88 @@
+#!/usr/bin/env node
+/**
+ * Prüft, ob Dokumentation und Version zusammenpassen.
+ *
+ *   npm run pruefe:doku
+ *
+ * Geprüft wird:
+ *   1. Die Version aus package.json hat einen Abschnitt im Changelog.
+ *   2. Jede Issue-Datei steht in der Übersicht – und umgekehrt.
+ *   3. Status und tatsächliche Zeit stimmen zwischen Issue-Datei und Übersicht überein.
+ *   4. Alle im Handbuch verlinkten Bilder sind vorhanden.
+ */
+
+import { readFile, readdir } from "node:fs/promises";
+import path from "node:path";
+
+const WURZEL = process.cwd();
+const fehler = [];
+
+function pruefe(bedingung, meldung) {
+  if (!bedingung) fehler.push(meldung);
+}
+
+async function versionImChangelog() {
+  const { version } = JSON.parse(await readFile(path.join(WURZEL, "package.json"), "utf8"));
+  const changelog = await readFile(path.join(WURZEL, "CHANGELOG.md"), "utf8");
+
+  pruefe(
+    changelog.includes(`## [${version}]`),
+    `Version ${version} aus package.json fehlt im CHANGELOG.md.`,
+  );
+}
+
+async function issuesUndUebersicht() {
+  const verzeichnis = path.join(WURZEL, "docs", "issues");
+  const dateien = (await readdir(verzeichnis)).filter((name) => /^\d{3}-.*\.md$/.test(name)).sort();
+  const uebersicht = await readFile(path.join(verzeichnis, "README.md"), "utf8");
+
+  for (const datei of dateien) {
+    pruefe(uebersicht.includes(`(${datei})`), `Issue ${datei} fehlt in docs/issues/README.md.`);
+
+    const inhalt = await readFile(path.join(verzeichnis, datei), "utf8");
+    const status = /^\*\*Status:\*\*\s*(.+)$/m.exec(inhalt)?.[1]?.trim();
+    const zeit = /^\*\*Geschätzt:\*\*.*\*\*Tatsächlich:\*\*\s*(.+)$/m.exec(inhalt)?.[1]?.trim();
+
+    const zeile = uebersicht.split("\n").find((z) => z.includes(`(${datei})`));
+    if (!zeile) continue;
+
+    pruefe(
+      zeile.includes(`| ${status} |`),
+      `Status von ${datei} ist „${status}“, die Übersicht sagt etwas anderes: ${zeile.trim()}`,
+    );
+    if (zeit && zeit !== "–") {
+      pruefe(
+        zeile.includes(zeit),
+        `Zeit von ${datei} ist „${zeit}“, steht so aber nicht in der Übersicht.`,
+      );
+    }
+  }
+
+  // Umgekehrt: Zeilen in der Übersicht ohne zugehörige Datei.
+  for (const treffer of uebersicht.matchAll(/\((\d{3}-[^)]+\.md)\)/g)) {
+    pruefe(dateien.includes(treffer[1]), `Übersicht verweist auf ${treffer[1]}, die Datei fehlt.`);
+  }
+}
+
+async function bilderImHandbuch() {
+  const handbuch = path.join(WURZEL, "docs", "anleitung");
+  const text = await readFile(path.join(handbuch, "README.md"), "utf8");
+  const bilder = [...text.matchAll(/!\[[^\]]*\]\((bilder\/[^)]+)\)/g)].map((t) => t[1]);
+  const vorhanden = new Set(await readdir(path.join(handbuch, "bilder")));
+
+  for (const bild of bilder) {
+    pruefe(vorhanden.has(path.basename(bild)), `Handbuch verweist auf ${bild}, die Datei fehlt.`);
+  }
+}
+
+await versionImChangelog();
+await issuesUndUebersicht();
+await bilderImHandbuch();
+
+if (fehler.length > 0) {
+  console.error("Die Dokumentation passt nicht zusammen:\n");
+  for (const meldung of fehler) console.error(`  · ${meldung}`);
+  process.exit(1);
+}
+
+console.log("Dokumentation, Versionen und Bilder passen zusammen.");

scripts/screenshots.mjs

@@ -0,0 +1,204 @@
+#!/usr/bin/env node
+/**
+ * Erzeugt die Bilder für das Handbuch (docs/anleitung/bilder/).
+ *
+ *   npm run screenshots                       # heller Modus, Desktop
+ *   npm run screenshots -- --alle             # zusätzlich dunkler Modus und Mobilansicht
+ *   npm run screenshots -- --seite name=/pfad # zusätzlich eine bestimmte Seite
+ *
+ * Voraussetzung: Das Dashboard läuft (npm start) und die Datenbank enthält Daten.
+ * Die Anmeldung erledigt das Skript selbst, indem es ein Sitzungs-Cookie erzeugt
+ * und in ein eigenes Firefox-Profil schreibt – so bleibt der Schutz der Anwendung unangetastet.
+ */
+
+import { spawn } from "node:child_process";
+import { createServer } from "node:http";
+import { existsSync, mkdirSync, rmSync, statSync, writeFileSync } from "node:fs";
+import { homedir } from "node:os";
+import path from "node:path";
+import { request as httpAnfrage } from "node:http";
+import { SignJWT } from "jose";
+import "dotenv/config";
+
+const BASIS = process.env.SCREENSHOT_URL ?? "http://localhost:3000";
+const ZIEL = path.join(process.cwd(), "docs", "anleitung", "bilder");
+const ALLE = process.argv.includes("--alle");
+
+/** Zusätzliche Seiten von der Befehlszeile: --seite name=/pfad */
+const ZUSATZ = process.argv
+  .filter((wert, i) => process.argv[i - 1] === "--seite")
+  .map((eintrag) => {
+    const [name, ...rest] = eintrag.split("=");
+    return { name, pfad: rest.join("="), titel: "zusätzlich" };
+  });
+
+// Firefox aus dem Snap-Paket kommt nicht an versteckte Verzeichnisse – daher im Home sichtbar ablegen.
+const PROFIL_BASIS = path.join(homedir(), "proxledger-screenshots");
+
+const SEITEN = [
+  { name: "dashboard", pfad: "/", titel: "Dashboard" },
+  { name: "hosts", pfad: "/hosts", titel: "Host-Tabelle" },
+  { name: "host-detail", pfad: "/hosts?q=pve-brandl-01", titel: "Host-Suche" },
+  { name: "kunden", pfad: "/kunden", titel: "Kundenübersicht" },
+  { name: "nicht-zugeordnet", pfad: "/hosts/nicht-zugeordnet", titel: "Nicht zugeordnete Hosts" },
+  { name: "rechnungen", pfad: "/rechnungen", titel: "Rechnungen" },
+  { name: "jahresbahn", pfad: "/jahresbahn", titel: "Jahresbahn" },
+  { name: "warnungen", pfad: "/warnungen", titel: "Warnungen" },
+  { name: "warnregeln", pfad: "/einstellungen/warnregeln", titel: "Warnregeln" },
+  { name: "tokens", pfad: "/einstellungen/tokens", titel: "Agent-Tokens" },
+  { name: "benachrichtigungen", pfad: "/einstellungen/benachrichtigungen", titel: "Benachrichtigungen" },
+  { name: "audit", pfad: "/einstellungen/audit", titel: "Protokoll" },
+  { name: "system", pfad: "/einstellungen/system", titel: "Systemeinstellungen" },
+];
+
+async function sitzungsToken() {
+  const geheimnis = process.env.APP_SECRET;
+  if (!geheimnis || geheimnis.length < 32) {
+    throw new Error("APP_SECRET fehlt oder ist zu kurz – ohne Sitzung keine Bilder.");
+  }
+
+  return new SignJWT({
+    benutzerId: "screenshots",
+    email: process.env.ADMIN_EMAIL ?? "admin@example.de",
+    name: process.env.ADMIN_NAME ?? "Florian",
+    herkunft: "passwort",
+  })
+    .setProtectedHeader({ alg: "HS256" })
+    .setSubject("screenshots")
+    .setIssuedAt()
+    .setIssuer("proxledger")
+    .setExpirationTime("1h")
+    .sign(new TextEncoder().encode(geheimnis));
+}
+
+/**
+ * Kleiner Vermittler vor dem Dashboard: Er reicht jede Anfrage weiter und hängt die Sitzung
+ * als Kopfzeile an. Damit braucht der Browser kein Cookie – das Einschleusen in das Firefox-Profil
+ * erwies sich als unzuverlässig (Firefox verwirft fremd erzeugte Cookie-Dateien stillschweigend,
+ * die Aufnahmen zeigten dann kommentarlos die Anmeldeseite).
+ */
+function vermittlerStarten(token) {
+  const ziel = new URL(BASIS);
+
+  const server = createServer((anfrage, antwort) => {
+    const weiterleitung = {
+      hostname: ziel.hostname,
+      port: ziel.port || 80,
+      path: anfrage.url,
+      method: anfrage.method,
+      headers: { ...anfrage.headers, host: ziel.host, cookie: `pl_sitzung=${token}` },
+    };
+
+    const verbindung = httpAnfrage(weiterleitung, (antwortVomServer) => {
+      antwort.writeHead(antwortVomServer.statusCode ?? 502, antwortVomServer.headers);
+      antwortVomServer.pipe(antwort);
+    });
+
+    verbindung.on("error", () => antwort.writeHead(502).end("Dashboard nicht erreichbar"));
+    anfrage.pipe(verbindung);
+  });
+
+  return new Promise((fertig) => {
+    server.listen(0, "127.0.0.1", () => fertig({ server, port: server.address().port }));
+  });
+}
+
+/** Legt ein Profil mit dem gewünschten Farbschema an. */
+function profilVorbereiten(name, dunkel) {
+  const verzeichnis = path.join(PROFIL_BASIS, name);
+  rmSync(verzeichnis, { recursive: true, force: true });
+  mkdirSync(verzeichnis, { recursive: true });
+
+  writeFileSync(
+    path.join(verzeichnis, "user.js"),
+    [
+      `user_pref("ui.systemUsesDarkTheme", ${dunkel ? 1 : 0});`,
+      `user_pref("layout.css.prefers-color-scheme.content-override", ${dunkel ? 0 : 1});`,
+      'user_pref("browser.shell.checkDefaultBrowser", false);',
+      "",
+    ].join("\n"),
+  );
+
+  return verzeichnis;
+}
+
+/**
+ * Nimmt eine Seite auf. Bewusst asynchron: Der Vermittler läuft im selben Prozess, und ein
+ * blockierender Aufruf würde ihn währenddessen stumm schalten – Firefox liefe in die Zeitüberschreitung.
+ */
+function aufnehmen(profil, pfad, datei, breite, hoehe, adresse) {
+  return new Promise((fertig, fehlgeschlagen) => {
+    const vorgang = spawn(
+      "firefox",
+      [
+        "--profile",
+        profil,
+        "--headless",
+        "--window-size",
+        `${breite},${hoehe}`,
+        "--screenshot",
+        datei,
+        `${adresse}${pfad}`,
+      ],
+      { stdio: "ignore", timeout: 120_000 },
+    );
+
+    vorgang.on("error", fehlgeschlagen);
+    vorgang.on("close", () => fertig());
+  });
+}
+
+async function main() {
+  const antwort = await fetch(`${BASIS}/login`).catch(() => null);
+  if (!antwort?.ok) throw new Error(`${BASIS} ist nicht erreichbar – läuft das Dashboard?`);
+
+  mkdirSync(ZIEL, { recursive: true });
+  const token = await sitzungsToken();
+  const { server, port } = await vermittlerStarten(token);
+  const adresse = `http://127.0.0.1:${port}`;
+
+  const hell = profilVorbereiten("hell", false);
+  console.log(`Bilder nach ${ZIEL}`);
+
+  // Die Anmeldeseite zeigt sich auch mit gültiger Sitzung, sie ist öffentlich.
+  await aufnehmen(hell, "/login", path.join(ZIEL, "login.png"), 1280, 900, BASIS);
+  console.log("  login.png");
+
+  for (const seite of [...SEITEN, ...ZUSATZ]) {
+    await aufnehmen(hell, seite.pfad, path.join(ZIEL, `${seite.name}.png`), 1680, 1150, adresse);
+    console.log(`  ${seite.name}.png – ${seite.titel}`);
+  }
+
+  if (ALLE) {
+    const dunkel = profilVorbereiten("dunkel", true);
+    for (const seite of ["dashboard", "hosts", "rechnungen", "warnungen"]) {
+      const eintrag = SEITEN.find((s) => s.name === seite);
+      await aufnehmen(dunkel, eintrag.pfad, path.join(ZIEL, `${seite}-dunkel.png`), 1680, 1150, adresse);
+      console.log(`  ${seite}-dunkel.png`);
+    }
+
+    for (const seite of ["dashboard", "hosts"]) {
+      const eintrag = SEITEN.find((s) => s.name === seite);
+      await aufnehmen(hell, eintrag.pfad, path.join(ZIEL, `mobil-${seite}.png`), 390, 1500, adresse);
+      console.log(`  mobil-${seite}.png`);
+    }
+  }
+
+  server.close();
+  if (existsSync(PROFIL_BASIS)) rmSync(PROFIL_BASIS, { recursive: true, force: true });
+
+  // Sicherung gegen stillen Fehlschlag: Alle Aufnahmen gleich groß heißt, jede zeigt die Anmeldeseite.
+  const groessen = SEITEN.map((seite) => statSync(path.join(ZIEL, `${seite.name}.png`)).size);
+  if (new Set(groessen).size === 1) {
+    throw new Error(
+      "Alle Aufnahmen sind gleich groß – vermutlich zeigt jede die Anmeldeseite. Sitzung prüfen.",
+    );
+  }
+
+  console.log("Fertig.");
+}
+
+main().catch((fehler) => {
+  console.error(fehler.message ?? fehler);
+  process.exit(1);
+});

src/app/(auth)/login/page.tsx

@@ -30,9 +30,7 @@ export default async function AnmeldeSeite({ searchParams }: { searchParams: Suc
           <div className="card-body">
             {fehler ? (
               <div className="alert alert-danger py-2" role="alert">
-                {fehler === "oidc"
+                {fehler === "oidc" ? "Die Anmeldung über den Anbieter hat nicht geklappt." : fehler}
-                  ? "Die Anmeldung über den Anbieter hat nicht geklappt."
-                  : "Anmeldung nicht möglich."}
               </div>
             ) : null}
 

src/app/(dashboard)/einstellungen/benachrichtigungen/page.tsx

@@ -42,6 +42,7 @@ export default async function BenachrichtigungenSeite() {
     absender: emailKonfiguration?.absender ?? "",
     empfaenger: emailKonfiguration?.empfaenger?.join(", ") ?? "",
     passwortGesetzt: Boolean(emailKonfiguration?.passwort),
+    // Der Wert selbst wird nie an den Browser gegeben – nur ob einer hinterlegt ist.
   };
 
   const webhookWerte: WebhookWerte = {

src/app/(dashboard)/einstellungen/system/page.tsx

@@ -1,23 +1,32 @@
+import { SystemFormular } from "@/components/einstellungen/SystemFormular";
 import { ContentHeader } from "@/components/layout/ContentHeader";
 import { Card } from "@/components/ui/Card";
 import { APP_VERSION } from "@/lib/version";
+import { einstellungen } from "@/server/einstellungen";
 
 export const metadata = { title: "System" };
 
-export default function SystemSeite() {
+export default async function SystemSeite() {
+  const werte = await einstellungen();
+
   return (
     <>
       <ContentHeader titel="System" brotkrumen={[{ titel: "Einstellungen" }, { titel: "System" }]} />
       <div className="app-content">
         <div className="container-fluid">
-          <Card titel="Systeminformationen" rahmen="primary">
+          <SystemFormular werte={werte} appUrl={process.env.APP_URL ?? ""} />
+
+          <Card titel="Systeminformationen" rahmen="keiner">
             <dl className="row mb-0">
               <dt className="col-4 fw-normal text-body-secondary">Version</dt>
               <dd className="col-8">{APP_VERSION}</dd>
-              <dt className="col-4 fw-normal text-body-secondary">Datenquelle</dt>
+              <dt className="col-4 fw-normal text-body-secondary">Zeitzone des Servers</dt>
-              <dd className="col-8">Beispieldaten (Prototyp, #002)</dd>
+              <dd className="col-8">{Intl.DateTimeFormat().resolvedOptions().timeZone}</dd>
-              <dt className="col-4 fw-normal text-body-secondary">Warnregeln</dt>
+              <dt className="col-4 fw-normal text-body-secondary">Nur in der Umgebung</dt>
-              <dd className="col-8">Konfigurierbar ab #011</dd>
+              <dd className="col-8">
+                <code>APP_SECRET</code> und <code>DATABASE_URL</code> – beide werden gebraucht, bevor
+                die Datenbank gelesen werden kann.
+              </dd>
             </dl>
           </Card>
         </div>

src/app/(dashboard)/hosts/[id]/page.tsx

@@ -46,6 +46,16 @@ export default async function HostDetailSeite({ params }: { params: Promise<{ id
     select: { id: true, name: true },
   });
 
+  // Welche Cluster-Mitglieder melden sich selbst? Fehlende Knoten haben keinen Agent (#022).
+  const geschwister =
+    host.clusterMitglieder.length > 0
+      ? await prisma.host.findMany({
+          where: { hostname: { in: host.clusterMitglieder, mode: "insensitive" } },
+          select: { id: true, hostname: true, subStatus: true, letzterReportAm: true },
+        })
+      : [];
+  const meldende = new Map(geschwister.map((eintrag) => [eintrag.hostname.toLowerCase(), eintrag]));
+
   const jetzt = new Date();
   const meldetNicht = !host.letzterReportAm || host.letzterReportAm < meldungsGrenze(jetzt);
   const socketAbweichung =
@@ -113,6 +123,31 @@ export default async function HostDetailSeite({ params }: { params: Promise<{ id
                 <Zeile bezeichnung="Cluster / Node">
                   {host.clusterName ? `${host.clusterName} / ${host.nodeName ?? "?"}` : "–"}
                 </Zeile>
+                {host.clusterMitglieder.length > 0 ? (
+                  <Zeile bezeichnung={`Cluster-Knoten (${host.clusterMitglieder.length})`}>
+                    <span className="d-inline-block text-start">
+                      {host.clusterMitglieder.map((mitglied) => {
+                        const eintrag = meldende.get(mitglied.toLowerCase());
+                        return (
+                          <span key={mitglied} className="d-block small">
+                            {eintrag ? (
+                              <Link href={`/hosts/${eintrag.id}`} className="text-decoration-none">
+                                {mitglied}
+                              </Link>
+                            ) : (
+                              mitglied
+                            )}{" "}
+                            {eintrag ? (
+                              <Badge farbe="success">meldet sich</Badge>
+                            ) : (
+                              <Badge farbe="warning">kein Agent</Badge>
+                            )}
+                          </span>
+                        );
+                      })}
+                    </span>
+                  </Zeile>
+                ) : null}
                 <Zeile bezeichnung="IP-Adressen">{host.ips.join(", ") || "–"}</Zeile>
                 <Zeile bezeichnung="CPU">{host.cpuModell ?? "–"}</Zeile>
                 <Zeile bezeichnung="Sockets (lizenziert / physisch)">

src/app/(dashboard)/hosts/export/route.ts

@@ -3,6 +3,7 @@ import { csvAntwort, csvDatei } from "@/lib/csv";
 import { formatDatum } from "@/lib/format";
 import { Bericht, pdfAntwort, Tabelle } from "@/server/pdf/dokument";
 import { hostListe, type HostFilter } from "@/server/queries/hostliste";
+import { einstellungen } from "@/server/einstellungen";
 
 type ExportHost = Awaited<ReturnType<typeof hostListe>>["hosts"][number];
 
@@ -34,8 +35,12 @@ export async function GET(request: Request) {
   const datum = new Date().toISOString().slice(0, 10);
 
   if (new URL(request.url).searchParams.get("format") === "pdf") {
+    const { firmaName, firmaAnschrift, firmaEmail, zeitzone } = await einstellungen();
+    const firmaAngaben = { name: firmaName, anschrift: firmaAnschrift, email: firmaEmail, zeitzone };
+
     return pdfAntwort(
       Bericht({
+      firma: firmaAngaben,
         titel: "Host-Liste",
         untertitel: `${alle.length} Hosts`,
         quer: true,

src/app/(dashboard)/hosts/page.tsx

@@ -125,11 +125,17 @@ export default async function HostsSeite({ searchParams }: { searchParams: SuchP
                   <tr>
                     <SortierKopf titel="Host" feld="hostname" basis={basis} sortierung={filter.sortierung} />
                     <SortierKopf titel="Kunde" feld="kunde" basis={basis} sortierung={filter.sortierung} />
-                    <th scope="col">Produkt</th>
+                    <th scope="col" className="d-none d-lg-table-cell">
+                      Produkt
+                    </th>
                     <SortierKopf titel="Status" feld="status" basis={basis} sortierung={filter.sortierung} />
-                    <th scope="col">Key</th>
+                    <th scope="col" className="d-none d-md-table-cell">
+                      Key
+                    </th>
                     <SortierKopf titel="Ablauf" feld="ablauf" basis={basis} sortierung={filter.sortierung} />
-                    <th scope="col">Sockets</th>
+                    <th scope="col" className="d-none d-lg-table-cell">
+                      Sockets
+                    </th>
                     <SortierKopf
                       titel="Letzte Meldung"
                       feld="meldung"
@@ -165,17 +171,17 @@ export default async function HostsSeite({ searchParams }: { searchParams: SuchP
                           <div className="small text-body-secondary">{host.standort.name}</div>
                         ) : null}
                       </td>
-                      <td>{PRODUKT_TEXT[host.produkt]}</td>
+                      <td className="d-none d-lg-table-cell">{PRODUKT_TEXT[host.produkt]}</td>
                       <td>
                         <StatusBadge status={host.subStatus} />
                       </td>
-                      <td>
+                      <td className="d-none d-md-table-cell">
                         <CopyableCode wert={host.subKey} />
                       </td>
                       <td>
                         <AblaufBadge datum={host.subNextduedate?.toISOString() ?? null} heute={jetzt} />
                       </td>
-                      <td>
+                      <td className="d-none d-lg-table-cell">
                         {host.subLizenzierteSockets ?? "–"} / {host.sockets ?? "–"}
                         {host.socketAbweichung ? (
                           <i
@@ -184,7 +190,9 @@ export default async function HostsSeite({ searchParams }: { searchParams: SuchP
                           />
                         ) : null}
                       </td>
-                      <td className="small">{formatDatumZeit(host.letzterReportAm)}</td>
+                      <td className="small d-none d-xl-table-cell">
+                        {formatDatumZeit(host.letzterReportAm)}
+                      </td>
                     </tr>
                   ))}
                   {hosts.length === 0 ? (

src/app/(dashboard)/kunden/[id]/export/route.ts

@@ -2,6 +2,7 @@ import { PRODUKT_TEXT, STATUS_TEXT, statusAusDatenbank } from "@/lib/anzeige";
 import { formatDatum, formatEuro } from "@/lib/format";
 import { Abschnitt, Bericht, pdfAntwort, Tabelle } from "@/server/pdf/dokument";
 import { kundeMitDetails, laufzeitenVonKunde, summen, summenProJahr } from "@/server/queries/kunden";
+import { einstellungen } from "@/server/einstellungen";
 
 export const dynamic = "force-dynamic";
 
@@ -15,9 +16,12 @@ export async function GET(_request: Request, { params }: { params: Promise<{ id:
   const gesamt = summen(laufzeiten);
   const proJahr = summenProJahr(laufzeiten);
   const datum = new Date().toISOString().slice(0, 10);
+  const { firmaName, firmaAnschrift, firmaEmail, zeitzone } = await einstellungen();
+  const firmaAngaben = { name: firmaName, anschrift: firmaAnschrift, email: firmaEmail, zeitzone };
 
   return pdfAntwort(
     Bericht({
+      firma: firmaAngaben,
       titel: kunde.name,
       untertitel: `Kundennummer ${kunde.kundennummer}${kunde.ansprechpartner ? ` · ${kunde.ansprechpartner}` : ""}`,
       children: [

src/app/(dashboard)/kunden/export/route.ts

@@ -1,6 +1,7 @@
 import { csvAntwort, csvDatei } from "@/lib/csv";
 import { formatDatum, formatEuro } from "@/lib/format";
 import { Bericht, pdfAntwort, Tabelle } from "@/server/pdf/dokument";
+import { einstellungen } from "@/server/einstellungen";
 import {
   kundenListe,
   offeneRechnungspunkteProKunde,
@@ -30,8 +31,12 @@ export async function GET(request: Request) {
   const datum = new Date().toISOString().slice(0, 10);
 
   if (format === "pdf") {
+    const { firmaName, firmaAnschrift, firmaEmail, zeitzone } = await einstellungen();
+    const firmaAngaben = { name: firmaName, anschrift: firmaAnschrift, email: firmaEmail, zeitzone };
+
     return pdfAntwort(
       Bericht({
+      firma: firmaAngaben,
         titel: "Kundenübersicht",
         untertitel: `${zeilen.length} Kunden`,
         quer: true,

src/app/(dashboard)/page.tsx

@@ -15,7 +15,7 @@ export const metadata = { title: "Dashboard" };
 
 export default async function DashboardSeite() {
   const heute = new Date();
-  const [zahlen, ohneKunde, ablaufListe, aufgabenRoh, kunden, rechnungspunkte] = await Promise.all([
+  const [zahlen, ohneKunde, ablaufListe, aufgabenDaten, kunden, rechnungspunkte] = await Promise.all([
     kennzahlen(heute),
     hostsOhneKunde(),
     hostsNachAblauf(heute),
@@ -25,7 +25,7 @@ export default async function DashboardSeite() {
   ]);
 
   const aufgaben: Aufgabe[] = [
-    ...aufgabenRoh.map((aufgabe) => ({
+    ...aufgabenDaten.aufgaben.map((aufgabe) => ({
       id: aufgabe.id,
       titel: aufgabe.titel,
       detail: [
@@ -41,7 +41,7 @@ export default async function DashboardSeite() {
       href: aufgabe.href,
       aktion: aufgabe.aktion,
     })),
-    ...ohneKunde.map((host) => ({
+    ...ohneKunde.slice(0, 5).map((host) => ({
       id: `zuweisen-${host.id}`,
       titel: `${host.hostname} einem Kunden zuweisen`,
       detail: `Server-ID ${host.serverId ?? "unbekannt"} · seit ${formatDatum(host.erstmalsGesehenAm)} gemeldet`,
@@ -183,9 +183,17 @@ export default async function DashboardSeite() {
               <Card
                 titel="Aufgaben"
                 rahmen="warning"
-                werkzeuge={<span className="badge pl-bg-warning">{aufgaben.length}</span>}
+                werkzeuge={
+                  <span className="badge pl-bg-warning">{aufgabenDaten.gesamt + ohneKunde.length}</span>
+                }
               >
                 <TodoList aufgaben={aufgaben} />
+                {aufgabenDaten.gesamt > aufgabenDaten.aufgaben.length ? (
+                  <p className="small text-body-secondary mt-3 mb-0">
+                    {aufgabenDaten.gesamt - aufgabenDaten.aufgaben.length} weitere Punkte unter{" "}
+                    <Link href="/rechnungen">Rechnungen</Link>.
+                  </p>
+                ) : null}
               </Card>
             </div>
           </div>

src/app/(dashboard)/rechnungen/[id]/page.tsx

@@ -9,6 +9,7 @@ import { CopyableCode } from "@/components/ui/CopyableCode";
 import { PRODUKT_TEXT } from "@/lib/anzeige";
 import { formatDatum, formatEuro } from "@/lib/format";
 import { laufzeitBestaetigenAktion, laufzeitVerwerfenAktion } from "@/server/actions/rechnungen";
+import { einstellungen, faelligkeitsVorschlag } from "@/server/einstellungen";
 import { laufzeitDetail } from "@/server/queries/rechnungen";
 
 export async function generateMetadata({ params }: { params: Promise<{ id: string }> }) {
@@ -28,6 +29,12 @@ export default async function LaufzeitSeite({ params }: { params: Promise<{ id:
   const verkaufBetrag = laufzeit.kundenPosition ? Number(laufzeit.kundenPosition.nettoBetrag) : null;
   const marge = einkaufBetrag !== null && verkaufBetrag !== null ? verkaufBetrag - einkaufBetrag : null;
 
+  // Vorgaben aus den Einstellungen füllen leere Felder vor (#025).
+  const [vorgaben, faelligVorschlag] = await Promise.all([einstellungen(), faelligkeitsVorschlag()]);
+  const verkaufVorschlag =
+    verkaufBetrag ??
+    (einkaufBetrag === null ? null : Math.round(einkaufBetrag * (1 + vorgaben.margeProzent / 100) * 100) / 100);
+
   const zeitraum = `${formatDatum(laufzeit.start)} – ${formatDatum(laufzeit.ende)}`;
 
   return (
@@ -148,9 +155,9 @@ export default async function LaufzeitSeite({ params }: { params: Promise<{ id:
                   werte={{
                     nummer: einkauf?.nummer ?? null,
                     datum: einkauf?.datum.toISOString() ?? null,
-                    faelligAm: einkauf?.faelligAm?.toISOString() ?? null,
+                    faelligAm: einkauf?.faelligAm?.toISOString() ?? faelligVorschlag,
                     nettoBetrag: einkaufBetrag,
-                    ustSatz: Number(einkauf?.ustSatz ?? 19),
+                    ustSatz: Number(einkauf?.ustSatz ?? vorgaben.steuersatz),
                     rabatt:
                       einkauf?.rabatt === null || einkauf?.rabatt === undefined
                         ? null
@@ -179,8 +186,8 @@ export default async function LaufzeitSeite({ params }: { params: Promise<{ id:
                     erstellt: verkauf?.erstellt ?? false,
                     nummer: verkauf?.nummer ?? null,
                     datum: verkauf?.datum?.toISOString() ?? null,
-                    nettoBetrag: verkaufBetrag,
+                    nettoBetrag: verkaufVorschlag,
-                    ustSatz: Number(verkauf?.ustSatz ?? 19),
+                    ustSatz: Number(verkauf?.ustSatz ?? vorgaben.steuersatz),
                     bezahlt: verkauf?.bezahlt ?? false,
                     bezahltAm: verkauf?.bezahltAm?.toISOString() ?? null,
                     anhangId: verkauf?.anhangId ?? null,

src/app/(dashboard)/rechnungen/export/route.ts

@@ -2,6 +2,7 @@ import { csvAntwort, csvDatei } from "@/lib/csv";
 import { formatDatum, formatEuro } from "@/lib/format";
 import { Bericht, pdfAntwort, Tabelle } from "@/server/pdf/dokument";
 import { rechnungsListe, type RechnungsFilter } from "@/server/queries/rechnungen";
+import { einstellungen } from "@/server/einstellungen";
 
 export const dynamic = "force-dynamic";
 
@@ -21,8 +22,12 @@ export async function GET(request: Request) {
   const zeitraum = filter.jahr ? `Jahr ${filter.jahr}` : "alle Jahre";
 
   if (format === "pdf") {
+    const { firmaName, firmaAnschrift, firmaEmail, zeitzone } = await einstellungen();
+    const firmaAngaben = { name: firmaName, anschrift: firmaAnschrift, email: firmaEmail, zeitzone };
+
     return pdfAntwort(
       Bericht({
+      firma: firmaAngaben,
         titel: "Rechnungsliste",
         untertitel: `${zeilen.length} Laufzeiten · ${zeitraum}`,
         quer: true,

src/app/(dashboard)/rechnungen/page.tsx

@@ -201,22 +201,32 @@ export default async function RechnungenSeite({ searchParams }: { searchParams:
                 <thead>
                   <tr>
                     <th scope="col">Kunde</th>
-                    <th scope="col">Host</th>
+                    <th scope="col" className="d-none d-md-table-cell">
-                    <th scope="col">Laufzeit</th>
+                      Host
+                    </th>
+                    <th scope="col" className="d-none d-lg-table-cell">
+                      Laufzeit
+                    </th>
                     <th scope="col">Proxmox-Rechnung</th>
-                    <th scope="col">Netto</th>
+                    <th scope="col" className="d-none d-xl-table-cell">
+                      Netto
+                    </th>
                     <th scope="col" className="text-center">
                       Bezahlt
                     </th>
                     <th scope="col">Kundenrechnung</th>
-                    <th scope="col">Netto</th>
+                    <th scope="col" className="d-none d-xl-table-cell">
+                      Netto
+                    </th>
                     <th scope="col" className="text-center">
                       Erstellt
                     </th>
                     <th scope="col" className="text-center">
                       Bezahlt
                     </th>
-                    <th scope="col">Marge</th>
+                    <th scope="col" className="d-none d-xl-table-cell">
+                      Marge
+                    </th>
                   </tr>
                 </thead>
                 <tbody>
@@ -233,12 +243,12 @@ export default async function RechnungenSeite({ searchParams }: { searchParams:
                             <span className="badge pl-bg-neutral">Nicht zugeordnet</span>
                           )}
                         </td>
-                        <td>
+                        <td className="d-none d-md-table-cell">
                           <Link href={`/hosts/${zeile.hostId}`} className="text-decoration-none">
                             {zeile.hostname}
                           </Link>
                         </td>
-                        <td>
+                        <td className="d-none d-lg-table-cell">
                           <Link href={`/rechnungen/${zeile.id}`} className="text-decoration-none">
                             {formatDatum(zeile.start)} – {formatDatum(zeile.ende)}
                           </Link>
@@ -252,7 +262,7 @@ export default async function RechnungenSeite({ searchParams }: { searchParams:
                             </div>
                           ) : null}
                         </td>
-                        <td>{formatEuro(zeile.einkaufBetrag)}</td>
+                        <td className="d-none d-xl-table-cell">{formatEuro(zeile.einkaufBetrag)}</td>
                         <td className="text-center">
                           <StatusHaken
                             laufzeitId={zeile.id}
@@ -266,7 +276,7 @@ export default async function RechnungenSeite({ searchParams }: { searchParams:
                         <td>
                           <CopyableCode wert={zeile.verkaufNummer} />
                         </td>
-                        <td>{formatEuro(zeile.verkaufBetrag)}</td>
+                        <td className="d-none d-xl-table-cell">{formatEuro(zeile.verkaufBetrag)}</td>
                         <td className="text-center">
                           <StatusHaken
                             laufzeitId={zeile.id}
@@ -286,7 +296,9 @@ export default async function RechnungenSeite({ searchParams }: { searchParams:
                             titel="Kundenrechnung vom Kunden bezahlt"
                           />
                         </td>
-                        <td className={(zeile.marge ?? 0) >= 0 ? "pl-text-success" : "pl-text-danger"}>
+                        <td
+                          className={`d-none d-xl-table-cell ${(zeile.marge ?? 0) >= 0 ? "pl-text-success" : "pl-text-danger"}`}
+                        >
                           {zeile.marge === null ? "–" : formatEuro(zeile.marge)}
                         </td>
                       </tr>

src/app/agent.sh/route.ts

@@ -4,6 +4,6 @@ export const dynamic = "force-dynamic";
 
 /** Aktuelles Agent-Skript, wird vom Installer und vom Update-Mechanismus geladen. */
 export async function GET(request: Request) {
-  const inhalt = await skriptLaden("proxledger-agent.sh", basisUrl(request));
+  const inhalt = await skriptLaden("proxledger-agent.sh", await basisUrl(request));
   return skriptAntwort(inhalt, "proxledger-agent.sh");
 }

src/app/api/auth/anmelden/route.ts

@@ -0,0 +1,84 @@
+import { cookies, headers } from "next/headers";
+import { clientIp } from "@/lib/ratelimit";
+import { cookieOptionen, SITZUNGS_COOKIE, sitzungErzeugen } from "@/lib/sitzung";
+import { AnmeldeFehler, mitPasswortAnmelden } from "@/server/auth/benutzer";
+import { einstellungen } from "@/server/einstellungen";
+
+export const dynamic = "force-dynamic";
+
+/**
+ * Anmeldung als gewöhnliches Formular. Bewusst kein Server-Action-Weg: So funktioniert die
+ * Anmeldung auch ohne JavaScript, und das Sitzungs-Cookie hängt an einer normalen Antwort.
+ */
+/**
+ * Prüft, ob das Formular von der eigenen Oberfläche kam.
+ *
+ * Ohne diese Prüfung könnte eine fremde Seite ein Anmeldeformular auf dieses Dashboard abschicken
+ * und das Opfer unbemerkt in ein untergeschobenes Konto anmelden (Login-CSRF, OWASP A01).
+ * Server Actions in Next.js prüfen das selbst; dieser Endpunkt ist ein gewöhnliches Formular
+ * und muss es daher selbst tun.
+ */
+export function herkunftStimmt(request: Request): boolean {
+  const herkunft = request.headers.get("origin");
+  // Formulare ohne Origin (etwa curl oder alte Browser) werden nicht ausgeschlossen –
+  // der Schutz richtet sich gegen fremde Seiten, die immer einen Origin senden.
+  if (!herkunft) return true;
+
+  const erlaubt = new Set<string>();
+  if (process.env.APP_URL) erlaubt.add(new URL(process.env.APP_URL).host);
+  const gastgeber = request.headers.get("x-forwarded-host") ?? request.headers.get("host");
+  if (gastgeber) erlaubt.add(gastgeber);
+
+  try {
+    return erlaubt.has(new URL(herkunft).host);
+  } catch {
+    return false;
+  }
+}
+
+export async function POST(request: Request) {
+  const formular = await request.formData();
+  const email = formular.get("email")?.toString().trim() ?? "";
+  const passwort = formular.get("passwort")?.toString() ?? "";
+  const zielEingabe = formular.get("ziel")?.toString() || "/";
+  // Nur eigene Pfade zulassen, damit die Anmeldung nicht auf fremde Seiten führt.
+  const ziel = zielEingabe.startsWith("/") && !zielEingabe.startsWith("//") ? zielEingabe : "/";
+
+  function zurueckZurAnmeldung(meldung: string) {
+    const adresse = new URL("/login", request.url);
+    adresse.searchParams.set("fehler", meldung);
+    if (ziel !== "/") adresse.searchParams.set("ziel", ziel);
+    return Response.redirect(adresse, 303);
+  }
+
+  if (!herkunftStimmt(request)) {
+    return zurueckZurAnmeldung("Die Anmeldung kam nicht von dieser Adresse.");
+  }
+
+  if (!email || !passwort) {
+    return zurueckZurAnmeldung("E-Mail-Adresse und Passwort eingeben.");
+  }
+
+  try {
+    const kopfzeilen = await headers();
+    const benutzer = await mitPasswortAnmelden(email, passwort, clientIp(kopfzeilen));
+
+    const { sitzungsdauerStunden } = await einstellungen();
+    const token = await sitzungErzeugen(
+      {
+        benutzerId: benutzer.id,
+        email: benutzer.email,
+        name: benutzer.name,
+        herkunft: "passwort",
+      },
+      sitzungsdauerStunden,
+    );
+    (await cookies()).set(SITZUNGS_COOKIE, token, cookieOptionen(sitzungsdauerStunden));
+
+    return Response.redirect(new URL(ziel, request.url), 303);
+  } catch (fehler) {
+    if (fehler instanceof AnmeldeFehler) return zurueckZurAnmeldung(fehler.message);
+    console.error("Anmeldung fehlgeschlagen:", fehler);
+    return zurueckZurAnmeldung("Anmeldung derzeit nicht möglich.");
+  }
+}

src/app/api/auth/oidc/callback/route.ts

@@ -2,6 +2,7 @@ import { cookies } from "next/headers";
 import { cookieOptionen, SITZUNGS_COOKIE, sitzungErzeugen } from "@/lib/sitzung";
 import { mitOidcAnmelden } from "@/server/auth/benutzer";
 import { anmeldungAbschliessen, oidcEinstellungen } from "@/server/auth/oidc";
+import { einstellungen as systemEinstellungen } from "@/server/einstellungen";
 
 export const dynamic = "force-dynamic";
 
@@ -25,13 +26,17 @@ export async function GET(request: Request) {
     const angaben = await anmeldungAbschliessen(einstellungen, new URL(request.url), pruefwert, zustand);
     const benutzer = await mitOidcAnmelden(angaben.subject, angaben.email, angaben.name);
 
-    const token = await sitzungErzeugen({
+    const { sitzungsdauerStunden } = await systemEinstellungen();
-      benutzerId: benutzer.id,
+    const token = await sitzungErzeugen(
-      email: benutzer.email,
+      {
-      name: benutzer.name,
+        benutzerId: benutzer.id,
-      herkunft: "oidc",
+        email: benutzer.email,
-    });
+        name: benutzer.name,
-    speicher.set(SITZUNGS_COOKIE, token, cookieOptionen());
+        herkunft: "oidc",
+      },
+      sitzungsdauerStunden,
+    );
+    speicher.set(SITZUNGS_COOKIE, token, cookieOptionen(sitzungsdauerStunden));
 
     return Response.redirect(new URL(ziel.startsWith("/") ? ziel : "/", request.url), 302);
   } catch (fehler) {

src/app/api/auth/oidc/start/route.ts

@@ -1,4 +1,5 @@
 import { cookies } from "next/headers";
+import { ueberHttps } from "@/lib/sitzung";
 import { anmeldungStarten, oidcEinstellungen } from "@/server/auth/oidc";
 
 export const dynamic = "force-dynamic";
@@ -18,7 +19,7 @@ export async function GET(request: Request) {
     const optionen = {
       httpOnly: true,
       sameSite: "lax" as const,
-      secure: process.env.NODE_ENV === "production",
+      secure: ueberHttps(),
       path: "/",
       maxAge: 600,
     };

src/app/globals.css

@@ -19,6 +19,8 @@
   --pl-sidebar-text: #c2c7d0;
   --pl-sidebar-divider: #4b545c;
   --pl-font-mono: ui-monospace, "SFMono-Regular", "Menlo", "Consolas", monospace;
+  --pl-logo-p: #1e2a44;
+  --pl-logo-linien: #17a2b8;
 
   --bs-primary: var(--pl-primary);
   --bs-primary-rgb: 0, 123, 255;
@@ -33,6 +35,16 @@
 :root[data-bs-theme="dark"] {
   --pl-content-bg: #1b1f24;
   --pl-sidebar-bg: #22272d;
+  /* Auf dunklem Grund wäre das dunkle P unsichtbar. */
+  --pl-logo-p: #e9ecef;
+}
+
+.pl-logo-p {
+  fill: var(--pl-logo-p);
+}
+
+.pl-logo-linien {
+  stroke: var(--pl-logo-linien);
 }
 
 body {

src/app/icon.svg

@@ -0,0 +1,5 @@
+<!-- Fassung für 32 px: eine Linie, kräftigere Formen. -->
+<svg viewBox="0 0 48 48" xmlns="http://www.w3.org/2000/svg">
+  <path fill-rule="evenodd" d="M7 3h20a13 13 0 0 1 0 26H17v16H7zM17 12h9a4 4 0 0 1 0 8h-9z" fill="#1E2A44"/>
+  <path d="M24 38h19" stroke="#17A2B8" stroke-width="5" stroke-linecap="round"/>
+</svg>

src/app/install.sh/route.ts

@@ -4,6 +4,6 @@ export const dynamic = "force-dynamic";
 
 /** Installationsskript für den One-Liner `curl -fsSL <url>/install.sh | bash -s -- --token …`. */
 export async function GET(request: Request) {
-  const inhalt = await skriptLaden("install.sh", basisUrl(request));
+  const inhalt = await skriptLaden("install.sh", await basisUrl(request));
   return skriptAntwort(inhalt, "install.sh");
 }

src/app/manifest.ts

@@ -0,0 +1,19 @@
+import type { MetadataRoute } from "next";
+
+/** Angaben für den Startbildschirm, wenn das Dashboard als Verknüpfung abgelegt wird. */
+export default function manifest(): MetadataRoute.Manifest {
+  return {
+    name: "ProxLedger – Proxmox Subscription Dashboard",
+    short_name: "ProxLedger",
+    description: "Subscription-Status aller Proxmox-Hosts im Blick",
+    lang: "de",
+    start_url: "/",
+    display: "standalone",
+    background_color: "#F4F6F9",
+    theme_color: "#1E2A44",
+    icons: [
+      { src: "/icon-192.png", sizes: "192x192", type: "image/png" },
+      { src: "/icon-512.png", sizes: "512x512", type: "image/png", purpose: "any" },
+    ],
+  };
+}

src/components/Logo.tsx

@@ -1,6 +1,7 @@
 /**
  * ProxLedger-Monogramm: ein P auf zwei Buchungslinien.
- * Varianten: "standard" (heller Grund), "sidebar" (dunkler Grund), "mono" (einfarbig für PDF/Rechnungen).
+ * Varianten: "standard" folgt dem Farbschema (im Dunkelmodus hell), "sidebar" ist immer weiß,
+ * "mono" einfarbig für PDF und Rechnungen.
  */
 
 export type LogoVariante = "standard" | "sidebar" | "mono";
@@ -9,18 +10,19 @@ interface LogoProps {
   variante?: LogoVariante;
   groesse?: number;
   className?: string;
-  /** Für dekorative Verwendung neben dem Schriftzug. */
+  /** Für dekorative Verwendung neben dem Schriftzug leer lassen. */
   titel?: string;
 }
 
-const FARBEN: Record<LogoVariante, { p: string; linien: string }> = {
+const FESTE_FARBEN: Record<Exclude<LogoVariante, "standard">, { p: string; linien: string }> = {
-  standard: { p: "#1E2A44", linien: "#17A2B8" },
   sidebar: { p: "#FFFFFF", linien: "#17A2B8" },
   mono: { p: "#1E2A44", linien: "#1E2A44" },
 };
 
 export function Logo({ variante = "standard", groesse = 40, className, titel }: LogoProps) {
-  const farben = FARBEN[variante];
+  // Die Standardvariante nimmt ihre Farben aus dem Theme, damit sie auch auf dunklem Grund lesbar bleibt.
+  const farben = variante === "standard" ? null : FESTE_FARBEN[variante];
+
   return (
     <svg
       viewBox="0 0 48 48"
@@ -36,14 +38,21 @@ export function Logo({ variante = "standard", groesse = 40, className, titel }:
       <path
         fillRule="evenodd"
         d="M8 4h19a12 12 0 0 1 0 24H16v16H8zM16 11h10a5 5 0 0 1 0 10H16z"
-        fill={farben.p}
+        className={farben ? undefined : "pl-logo-p"}
+        fill={farben?.p}
+      />
+      <path
+        d="M22 36h20M22 43h14"
+        className={farben ? undefined : "pl-logo-linien"}
+        stroke={farben?.linien}
+        strokeWidth="3.5"
+        strokeLinecap="round"
       />
-      <path d="M22 36h20M22 43h14" stroke={farben.linien} strokeWidth="3.5" strokeLinecap="round" />
     </svg>
   );
 }
 
-/** Logo mit Schriftzug, wie in Sidebar und Login verwendet. */
+/** Logo mit Schriftzug, wie in Sidebar und Anmeldung verwendet. */
 export function LogoMitSchriftzug({
   variante = "standard",
   groesse = 36,

src/components/auth/AnmeldeFormular.tsx

@@ -1,24 +1,12 @@
-"use client";
+/**
-
+ * Anmeldeformular. Es sendet ganz gewöhnlich an eine Route – dadurch funktioniert die
-import { useActionState } from "react";
+ * Anmeldung auch ohne JavaScript, und das Sitzungs-Cookie kommt mit einer normalen Antwort.
-import { anmelden } from "@/server/actions/auth";
+ */
-import type { AktionsErgebnis } from "@/server/actions/kunden";
-
-const LEER: AktionsErgebnis = {};
-
 export function AnmeldeFormular({ ziel }: { ziel: string }) {
-  const [ergebnis, aktion, laeuft] = useActionState(anmelden, LEER);
-
   return (
-    <form action={aktion}>
+    <form method="post" action="/api/auth/anmelden">
       <input type="hidden" name="ziel" value={ziel} />
 
-      {ergebnis.fehler ? (
-        <div className="alert alert-danger py-2" role="alert">
-          {ergebnis.fehler}
-        </div>
-      ) : null}
-
       <div className="mb-3">
         <label className="form-label" htmlFor="email">
           E-Mail-Adresse
@@ -47,8 +35,8 @@ export function AnmeldeFormular({ ziel }: { ziel: string }) {
         />
       </div>
 
-      <button type="submit" className="btn btn-primary w-100 pl-touch-target" disabled={laeuft}>
+      <button type="submit" className="btn btn-primary w-100 pl-touch-target">
-        {laeuft ? "Meldet an …" : "Anmelden"}
+        Anmelden
       </button>
     </form>
   );

src/components/einstellungen/SystemFormular.tsx

@@ -0,0 +1,341 @@
+"use client";
+
+import { useActionState } from "react";
+import { Card } from "@/components/ui/Card";
+import { type AktionsErgebnis, einstellungenSpeichernAktion } from "@/server/actions/einstellungen";
+import type { Einstellungen } from "@/server/einstellungen";
+
+const LEER: AktionsErgebnis = {};
+
+function Feld({
+  name,
+  beschriftung,
+  hinweis,
+  fehler,
+  children,
+}: {
+  name: string;
+  beschriftung: string;
+  hinweis?: string;
+  fehler?: string;
+  children: React.ReactNode;
+}) {
+  return (
+    <div className="mb-3">
+      <label className="form-label" htmlFor={name}>
+        {beschriftung}
+      </label>
+      {children}
+      {hinweis ? <div className="form-text">{hinweis}</div> : null}
+      {fehler ? <div className="invalid-feedback d-block">{fehler}</div> : null}
+    </div>
+  );
+}
+
+export function SystemFormular({ werte, appUrl }: { werte: Einstellungen; appUrl: string }) {
+  const [ergebnis, aktion, laeuft] = useActionState(einstellungenSpeichernAktion, LEER);
+  const fehler = ergebnis.felder ?? {};
+
+  return (
+    <form action={aktion}>
+      {ergebnis.fehler ? <div className="alert alert-danger">{ergebnis.fehler}</div> : null}
+      {ergebnis.erfolg ? <div className="alert alert-success">{ergebnis.erfolg}</div> : null}
+
+      <div className="row g-4">
+        <div className="col-12 col-xl-6">
+          <Card titel="Adresse und Agent" rahmen="primary">
+            <Feld
+              name="dashboardUrl"
+              beschriftung="Adresse des Dashboards"
+              hinweis={`Steht im Installations-Einzeiler und in Benachrichtigungen. Leer lassen heißt: aus der Umgebung (${appUrl || "nicht gesetzt"}).`}
+              fehler={fehler.dashboardUrl}
+            >
+              <input
+                type="url"
+                className="form-control"
+                id="dashboardUrl"
+                name="dashboardUrl"
+                defaultValue={werte.dashboardUrl}
+                placeholder="https://proxledger.example.de"
+              />
+            </Feld>
+
+            <Feld
+              name="agentRhythmus"
+              beschriftung="Wie oft meldet ein Host?"
+              hinweis="Gilt für neu installierte Agents; bestehende übernehmen es bei der nächsten Installation."
+            >
+              <select className="form-select" id="agentRhythmus" name="agentRhythmus" defaultValue={werte.agentRhythmus}>
+                <option value="taeglich">täglich</option>
+                <option value="zwoelfstuendlich">alle 12 Stunden</option>
+                <option value="stuendlich">stündlich</option>
+              </select>
+            </Feld>
+
+            <Feld
+              name="agentStreuungStunden"
+              beschriftung="Zufällige Verzögerung (Stunden)"
+              hinweis="Verteilt die Meldungen, damit nicht alle Hosts gleichzeitig anklopfen."
+              fehler={fehler.agentStreuungStunden}
+            >
+              <input
+                type="number"
+                min={0}
+                max={12}
+                className="form-control"
+                id="agentStreuungStunden"
+                name="agentStreuungStunden"
+                defaultValue={werte.agentStreuungStunden}
+              />
+            </Feld>
+
+            <div className="form-check">
+              <input
+                type="checkbox"
+                className="form-check-input pl-touch-target"
+                id="agentAutoUpdate"
+                name="agentAutoUpdate"
+                value="an"
+                defaultChecked={werte.agentAutoUpdate}
+              />
+              <label className="form-check-label" htmlFor="agentAutoUpdate">
+                Agents dürfen sich selbst aktualisieren
+              </label>
+              <div className="form-text">
+                Der Agent lädt bei einer neueren Fassung das Skript vom Dashboard nach.
+              </div>
+            </div>
+          </Card>
+        </div>
+
+        <div className="col-12 col-xl-6">
+          <Card titel="Kaufmännisches" rahmen="info">
+            <Feld name="waehrung" beschriftung="Währung">
+              <select className="form-select" id="waehrung" name="waehrung" defaultValue={werte.waehrung}>
+                <option value="EUR">Euro (€)</option>
+                <option value="CHF">Schweizer Franken (CHF)</option>
+              </select>
+            </Feld>
+
+            <Feld
+              name="steuersatz"
+              beschriftung="Steuersatz in Prozent"
+              hinweis="Vorgabe für neue Rechnungspositionen."
+              fehler={fehler.steuersatz}
+            >
+              <input
+                type="number"
+                step="0.1"
+                min={0}
+                max={100}
+                className="form-control"
+                id="steuersatz"
+                name="steuersatz"
+                defaultValue={werte.steuersatz}
+              />
+            </Feld>
+
+            <Feld
+              name="zahlungszielTage"
+              beschriftung="Zahlungsziel in Tagen"
+              hinweis="Setzt das Fälligkeitsdatum neuer Rechnungen vor."
+              fehler={fehler.zahlungszielTage}
+            >
+              <input
+                type="number"
+                min={0}
+                max={120}
+                className="form-control"
+                id="zahlungszielTage"
+                name="zahlungszielTage"
+                defaultValue={werte.zahlungszielTage}
+              />
+            </Feld>
+
+            <Feld
+              name="margeProzent"
+              beschriftung="Aufschlag in Prozent"
+              hinweis="Vorschlag für den Verkaufspreis, ausgehend vom Einkaufspreis bei Proxmox."
+              fehler={fehler.margeProzent}
+            >
+              <input
+                type="number"
+                step="0.5"
+                min={0}
+                max={500}
+                className="form-control"
+                id="margeProzent"
+                name="margeProzent"
+                defaultValue={werte.margeProzent}
+              />
+            </Feld>
+          </Card>
+        </div>
+
+        <div className="col-12 col-xl-6">
+          <Card titel="Sicherheit" rahmen="danger">
+            <Feld
+              name="sitzungsdauerStunden"
+              beschriftung="Sitzungsdauer in Stunden"
+              hinweis="Nach dieser Zeit ist eine neue Anmeldung nötig."
+              fehler={fehler.sitzungsdauerStunden}
+            >
+              <input
+                type="number"
+                min={1}
+                max={168}
+                className="form-control"
+                id="sitzungsdauerStunden"
+                name="sitzungsdauerStunden"
+                defaultValue={werte.sitzungsdauerStunden}
+              />
+            </Feld>
+
+            <Feld
+              name="anmeldeversuche"
+              beschriftung="Anmeldeversuche je Viertelstunde"
+              fehler={fehler.anmeldeversuche}
+            >
+              <input
+                type="number"
+                min={3}
+                max={50}
+                className="form-control"
+                id="anmeldeversuche"
+                name="anmeldeversuche"
+                defaultValue={werte.anmeldeversuche}
+              />
+            </Feld>
+
+            <Feld
+              name="oidcDomaenen"
+              beschriftung="Erlaubte E-Mail-Domänen für OIDC"
+              hinweis="Mehrere durch Komma trennen, etwa „wilde-server.de, kunde.de“. Leer heißt: alle."
+            >
+              <input
+                type="text"
+                className="form-control"
+                id="oidcDomaenen"
+                name="oidcDomaenen"
+                defaultValue={werte.oidcDomaenen}
+                placeholder="firma.de"
+              />
+            </Feld>
+
+            <div className="form-check mb-3">
+              <input
+                type="checkbox"
+                className="form-check-input pl-touch-target"
+                id="oidcKontenAnlegen"
+                name="oidcKontenAnlegen"
+                value="an"
+                defaultChecked={werte.oidcKontenAnlegen}
+              />
+              <label className="form-check-label" htmlFor="oidcKontenAnlegen">
+                Unbekannte OIDC-Anmeldungen legen ein Konto an
+              </label>
+              <div className="form-text">
+                Aus heißt: Nur wer hier schon ein Konto hat, kommt herein – auch wenn die Anmeldung
+                beim Identitätsanbieter klappt.
+              </div>
+            </div>
+
+            <Feld
+              name="aufbewahrungReportsTage"
+              beschriftung="Reports aufbewahren (Tage)"
+              hinweis="0 heißt: unbegrenzt. Der aktuelle Stand jedes Hosts bleibt immer erhalten."
+              fehler={fehler.aufbewahrungReportsTage}
+            >
+              <input
+                type="number"
+                min={0}
+                max={3650}
+                className="form-control"
+                id="aufbewahrungReportsTage"
+                name="aufbewahrungReportsTage"
+                defaultValue={werte.aufbewahrungReportsTage}
+              />
+            </Feld>
+
+            <Feld
+              name="aufbewahrungAuditTage"
+              beschriftung="Protokoll aufbewahren (Tage)"
+              hinweis="0 heißt: unbegrenzt."
+              fehler={fehler.aufbewahrungAuditTage}
+            >
+              <input
+                type="number"
+                min={0}
+                max={3650}
+                className="form-control"
+                id="aufbewahrungAuditTage"
+                name="aufbewahrungAuditTage"
+                defaultValue={werte.aufbewahrungAuditTage}
+              />
+            </Feld>
+          </Card>
+        </div>
+
+        <div className="col-12 col-xl-6">
+          <Card titel="Firma und Darstellung" rahmen="keiner">
+            <Feld
+              name="firmaName"
+              beschriftung="Firmenname"
+              hinweis="Erscheint im Kopf der erzeugten PDF-Rechnungen."
+            >
+              <input
+                type="text"
+                className="form-control"
+                id="firmaName"
+                name="firmaName"
+                defaultValue={werte.firmaName}
+              />
+            </Feld>
+
+            <Feld name="firmaAnschrift" beschriftung="Anschrift">
+              <textarea
+                className="form-control"
+                id="firmaAnschrift"
+                name="firmaAnschrift"
+                rows={3}
+                defaultValue={werte.firmaAnschrift}
+              />
+            </Feld>
+
+            <Feld name="firmaEmail" beschriftung="E-Mail-Adresse" fehler={fehler.firmaEmail}>
+              <input
+                type="email"
+                className="form-control"
+                id="firmaEmail"
+                name="firmaEmail"
+                defaultValue={werte.firmaEmail}
+              />
+            </Feld>
+
+            <Feld
+              name="zeitzone"
+              beschriftung="Zeitzone"
+              hinweis="Gilt für PDF, CSV-Ausgaben und Benachrichtigungen."
+              fehler={fehler.zeitzone}
+            >
+              <input
+                type="text"
+                className="form-control"
+                id="zeitzone"
+                name="zeitzone"
+                defaultValue={werte.zeitzone}
+                placeholder="Europe/Berlin"
+              />
+            </Feld>
+          </Card>
+        </div>
+      </div>
+
+      <div className="mb-4">
+        <button type="submit" className="btn btn-primary" disabled={laeuft}>
+          {laeuft ? "Wird gespeichert …" : "Einstellungen speichern"}
+        </button>
+      </div>
+    </form>
+  );
+}

src/lib/geheimnisse.ts

@@ -0,0 +1,67 @@
+import { createCipheriv, createDecipheriv, randomBytes, scryptSync } from "node:crypto";
+
+/**
+ * Verschlüsselt einzelne Werte (SMTP-Passwort, Webhook-Geheimnis) mit AES-256-GCM.
+ * Der Schlüssel wird aus `APP_SECRET` abgeleitet – wer eine Sicherung der Datenbank liest,
+ * bekommt damit noch keine Zugangsdaten.
+ *
+ * Format: `plx1:<nonce>:<authTag>:<chiffrat>`, alle Teile base64url.
+ * Werte ohne dieses Präfix gelten als Klartext aus der Zeit vor der Verschlüsselung und
+ * werden beim nächsten Speichern umgeschlüsselt.
+ */
+
+const PRAEFIX = "plx1";
+const SALZ = "proxledger-geheimnisse-v1";
+
+export class GeheimnisFehler extends Error {}
+
+function schluessel(): Buffer {
+  const geheimnis = process.env.APP_SECRET;
+  if (!geheimnis || geheimnis.length < 32) {
+    throw new GeheimnisFehler("APP_SECRET fehlt oder ist zu kurz (mindestens 32 Zeichen).");
+  }
+  return scryptSync(geheimnis, SALZ, 32);
+}
+
+export function verschluesseln(klartext: string): string {
+  if (klartext === "") return "";
+
+  const nonce = randomBytes(12);
+  const chiffre = createCipheriv("aes-256-gcm", schluessel(), nonce);
+  const daten = Buffer.concat([chiffre.update(klartext, "utf8"), chiffre.final()]);
+
+  return [
+    PRAEFIX,
+    nonce.toString("base64url"),
+    chiffre.getAuthTag().toString("base64url"),
+    daten.toString("base64url"),
+  ].join(":");
+}
+
+export function istVerschluesselt(wert: string): boolean {
+  return wert.startsWith(`${PRAEFIX}:`);
+}
+
+/**
+ * Entschlüsselt einen Wert. Unverschlüsselte Werte kommen unverändert zurück –
+ * so funktionieren bestehende Installationen ohne Wartungsschritt weiter.
+ */
+export function entschluesseln(wert: string): string {
+  if (!wert || !istVerschluesselt(wert)) return wert;
+
+  const [, nonce, authTag, daten] = wert.split(":");
+  if (!nonce || !authTag || !daten) {
+    throw new GeheimnisFehler("Der gespeicherte Wert ist unvollständig.");
+  }
+
+  try {
+    const chiffre = createDecipheriv("aes-256-gcm", schluessel(), Buffer.from(nonce, "base64url"));
+    chiffre.setAuthTag(Buffer.from(authTag, "base64url"));
+    return Buffer.concat([chiffre.update(Buffer.from(daten, "base64url")), chiffre.final()]).toString("utf8");
+  } catch {
+    // Häufigste Ursache: APP_SECRET wurde geändert.
+    throw new GeheimnisFehler(
+      "Der Wert lässt sich nicht entschlüsseln. Wurde APP_SECRET geändert? Dann die Zugangsdaten neu eintragen.",
+    );
+  }
+}

src/lib/sitzung.ts

@@ -6,8 +6,14 @@ import { SignJWT, jwtVerify } from "jose";
  */
 
 export const SITZUNGS_COOKIE = "pl_sitzung";
+/** Rückfall, solange nichts in den Einstellungen steht (#025). */
 export const SITZUNGSDAUER_STUNDEN = 12;
 
+/** Eine gelesene Sitzung weiß zusätzlich, wann sie ausgestellt wurde – nötig für den Widerruf. */
+export interface GeleseneSitzung extends Sitzung {
+  ausgestelltAm: Date;
+}
+
 export interface Sitzung {
   benutzerId: string;
   email: string;
@@ -26,18 +32,21 @@ function schluessel(): Uint8Array {
   return new TextEncoder().encode(geheimnis);
 }
 
-export async function sitzungErzeugen(sitzung: Sitzung): Promise<string> {
+export async function sitzungErzeugen(
+  sitzung: Sitzung,
+  dauerStunden: number = SITZUNGSDAUER_STUNDEN,
+): Promise<string> {
   return new SignJWT({ ...sitzung })
     .setProtectedHeader({ alg: "HS256" })
     .setSubject(sitzung.benutzerId)
     .setIssuedAt()
     .setIssuer("proxledger")
-    .setExpirationTime(`${SITZUNGSDAUER_STUNDEN}h`)
+    .setExpirationTime(`${dauerStunden}h`)
     .sign(schluessel());
 }
 
 /** Prüft das Token; bei ungültiger Signatur oder Ablauf kommt null zurück. */
-export async function sitzungLesen(token: string | undefined): Promise<Sitzung | null> {
+export async function sitzungLesen(token: string | undefined): Promise<GeleseneSitzung | null> {
   if (!token) return null;
   try {
     const { payload } = await jwtVerify(token, schluessel(), { issuer: "proxledger" });
@@ -47,18 +56,30 @@ export async function sitzungLesen(token: string | undefined): Promise<Sitzung |
       email: payload.email,
       name: typeof payload.name === "string" ? payload.name : payload.email,
       herkunft: payload.herkunft === "oidc" ? "oidc" : "passwort",
+      ausgestelltAm: new Date((payload.iat ?? 0) * 1000),
     };
   } catch {
     return null;
   }
 }
 
-export function cookieOptionen() {
+/**
+ * `Secure` richtet sich nach der tatsächlichen Adresse, nicht nach NODE_ENV:
+ * Ein produktiv gebautes Dashboard, das über http:// läuft (etwa im LAN oder beim lokalen Prüfen),
+ * würde sonst ein Cookie setzen, das der Browser verwirft – die Anmeldung liefe dann ins Leere.
+ */
+export function ueberHttps(): boolean {
+  const adresse = process.env.APP_URL;
+  if (adresse) return adresse.startsWith("https://");
+  return process.env.NODE_ENV === "production";
+}
+
+export function cookieOptionen(dauerStunden: number = SITZUNGSDAUER_STUNDEN) {
   return {
     httpOnly: true,
     sameSite: "lax" as const,
-    secure: process.env.NODE_ENV === "production",
+    secure: ueberHttps(),
     path: "/",
-    maxAge: SITZUNGSDAUER_STUNDEN * 3600,
+    maxAge: dauerStunden * 3600,
   };
 }

src/proxy.ts

@@ -14,23 +14,71 @@ const OEFFENTLICH = [
   "/api/gesundheit",
   "/install.sh",
   "/agent.sh",
+  // Symbole und Manifest: Der Browser holt sie auch vor der Anmeldung.
   "/favicon.ico",
   "/icon.svg",
+  "/apple-icon.png",
+  "/icon-192.png",
+  "/icon-512.png",
+  "/manifest.webmanifest",
 ];
 
+/**
+ * Content-Security-Policy je Anfrage, mit frischem Nonce.
+ *
+ * `strict-dynamic` heißt: Nur Skripte mit diesem Nonce dürfen laufen (und was sie selbst nachladen).
+ * Damit läuft eingeschleustes `<script>` aus der Datenbank oder einer Proxmox-Ausgabe nicht mehr –
+ * die zweite Verteidigungslinie hinter der Maskierung durch React (OWASP A03).
+ *
+ * `style-src` erlaubt bewusst `unsafe-inline`: Bootstrap und AdminLTE setzen Stile direkt am Element,
+ * und ein Stil kann keinen Code ausführen.
+ */
+function richtlinie(nonce: string): string {
+  const entwicklung = process.env.NODE_ENV !== "production";
+  return [
+    "default-src 'self'",
+    // In der Entwicklung braucht der Hot-Reload eval; im Betrieb nicht.
+    `script-src 'self' 'nonce-${nonce}' 'strict-dynamic'${entwicklung ? " 'unsafe-eval'" : ""}`,
+    "style-src 'self' 'unsafe-inline'",
+    "img-src 'self' data:",
+    "font-src 'self'",
+    // Verbindungen nur zur eigenen Herkunft; in der Entwicklung zusätzlich der Hot-Reload.
+    `connect-src 'self'${entwicklung ? " ws: wss:" : ""}`,
+    "object-src 'none'",
+    "base-uri 'self'",
+    "form-action 'self'",
+    "frame-ancestors 'none'",
+    ...(entwicklung ? [] : ["upgrade-insecure-requests"]),
+  ].join("; ");
+}
+
+function mitRichtlinie(request: NextRequest, antwort?: NextResponse): NextResponse {
+  const nonce = crypto.randomUUID().replaceAll("-", "");
+  const csp = richtlinie(nonce);
+
+  // Next.js versieht seine eigenen Skripte mit diesem Nonce, sobald es ihn in der Anfrage findet.
+  const kopfzeilen = new Headers(request.headers);
+  kopfzeilen.set("x-nonce", nonce);
+  kopfzeilen.set("Content-Security-Policy", csp);
+
+  const ergebnis = antwort ?? NextResponse.next({ request: { headers: kopfzeilen } });
+  ergebnis.headers.set("Content-Security-Policy", csp);
+  return ergebnis;
+}
+
 export async function proxy(request: NextRequest) {
   const pfad = request.nextUrl.pathname;
 
   if (OEFFENTLICH.some((eintrag) => pfad === eintrag || pfad.startsWith(`${eintrag}/`))) {
-    return NextResponse.next();
+    return mitRichtlinie(request);
   }
 
   const sitzung = await sitzungLesen(request.cookies.get(SITZUNGS_COOKIE)?.value);
-  if (sitzung) return NextResponse.next();
+  if (sitzung) return mitRichtlinie(request);
 
   const ziel = new URL("/login", request.url);
   if (pfad !== "/") ziel.searchParams.set("ziel", `${pfad}${request.nextUrl.search}`);
-  return NextResponse.redirect(ziel);
+  return mitRichtlinie(request, NextResponse.redirect(ziel));
 }
 
 export const config = {

src/server/actions/alerts.ts

@@ -3,6 +3,7 @@
 import { revalidatePath } from "next/cache";
 import { prisma } from "@/lib/db";
 import { protokolliere } from "@/server/audit";
+import { sitzungErforderlich } from "@/server/auth/sitzungspflicht";
 import { alertsAbgleichen } from "@/server/alerts/abgleich";
 import { REGELN } from "@/server/alerts/regeln";
 import type { AktionsErgebnis } from "./kunden";
@@ -15,6 +16,7 @@ function neuLaden() {
 
 /** Warnung quittieren: sie bleibt offen, ist aber als gesehen markiert. */
 export async function alertQuittieren(formular: FormData) {
+  await sitzungErforderlich();
   const id = formular.get("id")?.toString();
   if (!id) return;
 
@@ -25,6 +27,7 @@ export async function alertQuittieren(formular: FormData) {
 
 /** Warnung von Hand schließen; taucht der Fall weiter auf, öffnet der nächste Abgleich sie erneut. */
 export async function alertSchliessen(formular: FormData) {
+  await sitzungErforderlich();
   const id = formular.get("id")?.toString();
   if (!id) return;
 
@@ -35,6 +38,7 @@ export async function alertSchliessen(formular: FormData) {
 
 /** Auswertung sofort anstoßen, ohne auf den Worker zu warten. */
 export async function alertsJetztPruefen(): Promise<AktionsErgebnis> {
+  await sitzungErforderlich();
   const ergebnis = await alertsAbgleichen();
   neuLaden();
   return {
@@ -47,6 +51,7 @@ export async function warnregelnSpeichern(
   _vorher: AktionsErgebnis,
   formular: FormData,
 ): Promise<AktionsErgebnis> {
+  await sitzungErforderlich();
   for (const regel of REGELN) {
     const aktiv = formular.get(`aktiv:${regel.name}`) === "on";
     const schwellwerte: Record<string, number | number[]> = {};

src/server/actions/auth.ts

@@ -1,47 +1,13 @@
 "use server";
 
-import { cookies, headers } from "next/headers";
+import { cookies } from "next/headers";
 import { redirect } from "next/navigation";
-import { cookieOptionen, SITZUNGS_COOKIE, sitzungErzeugen } from "@/lib/sitzung";
+import { SITZUNGS_COOKIE } from "@/lib/sitzung";
-import { clientIp } from "@/lib/ratelimit";
 import { protokolliere } from "@/server/audit";
-import { AnmeldeFehler, mitPasswortAnmelden } from "@/server/auth/benutzer";
-import type { AktionsErgebnis } from "./kunden";
-
-/** Anmeldung mit E-Mail und Passwort (Rückfallweg, wenn OIDC nicht erreichbar ist). */
-export async function anmelden(_vorher: AktionsErgebnis, formular: FormData): Promise<AktionsErgebnis> {
-  const email = formular.get("email")?.toString().trim() ?? "";
-  const passwort = formular.get("passwort")?.toString() ?? "";
-  const ziel = formular.get("ziel")?.toString() || "/";
-
-  if (!email || !passwort) {
-    return { fehler: "Bitte E-Mail-Adresse und Passwort eingeben." };
-  }
-
-  try {
-    const kopfzeilen = await headers();
-    const benutzer = await mitPasswortAnmelden(email, passwort, clientIp(kopfzeilen));
-
-    const token = await sitzungErzeugen({
-      benutzerId: benutzer.id,
-      email: benutzer.email,
-      name: benutzer.name,
-      herkunft: "passwort",
-    });
-
-    (await cookies()).set(SITZUNGS_COOKIE, token, cookieOptionen());
-  } catch (fehler) {
-    if (fehler instanceof AnmeldeFehler) return { fehler: fehler.message };
-    throw fehler;
-  }
-
-  // Nur eigene Pfade als Ziel zulassen, damit die Anmeldung nicht auf fremde Seiten führt.
-  redirect(ziel.startsWith("/") && !ziel.startsWith("//") ? ziel : "/");
-}
 
+/** Abmelden aus dem Benutzermenü. Die Anmeldung selbst läuft über /api/auth/anmelden. */
 export async function abmelden() {
-  const speicher = await cookies();
+  (await cookies()).delete(SITZUNGS_COOKIE);
-  speicher.delete(SITZUNGS_COOKIE);
   await protokolliere("abmeldung", "Benutzer", null, {});
   redirect("/login");
 }

src/server/actions/benachrichtigungen.ts

@@ -2,7 +2,9 @@
 
 import { revalidatePath } from "next/cache";
 import { prisma } from "@/lib/db";
+import { verschluesseln } from "@/lib/geheimnisse";
 import { protokolliere } from "@/server/audit";
+import { sitzungErforderlich } from "@/server/auth/sitzungspflicht";
 import type { EmailKonfiguration, WebhookKonfiguration } from "@/server/notifications/kanaele";
 import { testNachricht } from "@/server/notifications/nachrichten";
 import { ueberEinenKanalSenden, zusammenfassungSenden } from "@/server/notifications/versand";
@@ -21,6 +23,7 @@ export async function emailKanalSpeichern(
   _vorher: AktionsErgebnis,
   formular: FormData,
 ): Promise<AktionsErgebnis> {
+  await sitzungErforderlich();
   const id = formular.get("id")?.toString() || null;
   const host = formular.get("host")?.toString().trim() ?? "";
   const port = Number(formular.get("port") ?? 587);
@@ -45,8 +48,9 @@ export async function emailKanalSpeichern(
     port,
     secure: port === 465,
     benutzer: formular.get("benutzer")?.toString().trim() ?? "",
-    // Leeres Feld heißt „unverändert“ – so muss das Passwort nicht erneut eingegeben werden.
+    // Leeres Feld heißt „unverändert“; das gespeicherte Passwort bleibt dann wie es ist.
-    passwort: passwortEingabe || (bisher?.passwort ?? ""),
+    // Neue Eingaben werden verschlüsselt abgelegt (#021).
+    passwort: passwortEingabe ? verschluesseln(passwortEingabe) : (bisher?.passwort ?? ""),
     absender: formular.get("absender")?.toString().trim() ?? "",
     empfaenger,
   };
@@ -76,6 +80,7 @@ export async function webhookKanalSpeichern(
   _vorher: AktionsErgebnis,
   formular: FormData,
 ): Promise<AktionsErgebnis> {
+  await sitzungErforderlich();
   const id = formular.get("id")?.toString() || null;
   const url = formular.get("url")?.toString().trim() ?? "";
 
@@ -90,7 +95,7 @@ export async function webhookKanalSpeichern(
 
   const konfiguration: WebhookKonfiguration = {
     url,
-    geheimnis: geheimnisEingabe || bisher?.geheimnis,
+    geheimnis: geheimnisEingabe ? verschluesseln(geheimnisEingabe) : bisher?.geheimnis,
   };
 
   const daten = {
@@ -114,6 +119,7 @@ export async function webhookKanalSpeichern(
 }
 
 export async function kanalLoeschen(formular: FormData) {
+  await sitzungErforderlich();
   const id = formular.get("id")?.toString();
   if (!id) return;
 
@@ -124,6 +130,7 @@ export async function kanalLoeschen(formular: FormData) {
 
 /** Verschickt eine Testnachricht über einen Kanal. */
 export async function testSenden(formular: FormData): Promise<void> {
+  await sitzungErforderlich();
   const id = formular.get("id")?.toString();
   if (!id) return;
 
@@ -138,6 +145,7 @@ export async function testSenden(formular: FormData): Promise<void> {
 
 /** Zeitraum der Zusammenfassung speichern (täglich, wöchentlich oder aus). */
 export async function zusammenfassungSpeichern(formular: FormData) {
+  await sitzungErforderlich();
   const zeitraum = formular.get("zeitraum")?.toString() ?? "aus";
 
   await prisma.einstellung.upsert({
@@ -152,6 +160,7 @@ export async function zusammenfassungSpeichern(formular: FormData) {
 
 /** Zusammenfassung sofort verschicken – praktisch zum Ausprobieren. */
 export async function zusammenfassungJetztSenden(formular: FormData): Promise<void> {
+  await sitzungErforderlich();
   const zeitraum = formular.get("zeitraum")?.toString() === "woechentlich" ? "woechentlich" : "taeglich";
   await zusammenfassungSenden(zeitraum);
   neuLaden();

src/server/actions/einstellungen.ts

@@ -0,0 +1,75 @@
+"use server";
+
+import { revalidatePath } from "next/cache";
+import { protokolliere } from "@/server/audit";
+import { sitzungErforderlich } from "@/server/auth/sitzungspflicht";
+import { einstellungen, einstellungenSchema, einstellungenSpeichern } from "@/server/einstellungen";
+
+export interface AktionsErgebnis {
+  fehler?: string;
+  felder?: Record<string, string>;
+  erfolg?: string;
+}
+
+const zahl = (formular: FormData, feld: string) => {
+  const roh = formular.get(feld)?.toString().replace(",", ".").trim();
+  return roh === undefined || roh === "" ? undefined : Number(roh);
+};
+
+const text = (formular: FormData, feld: string) => formular.get(feld)?.toString().trim() ?? "";
+const schalter = (formular: FormData, feld: string) => formular.get(feld) === "an";
+
+export async function einstellungenSpeichernAktion(
+  _zustand: AktionsErgebnis,
+  formular: FormData,
+): Promise<AktionsErgebnis> {
+  await sitzungErforderlich();
+
+  const vorher = await einstellungen();
+
+  const ergebnis = einstellungenSchema.safeParse({
+    dashboardUrl: text(formular, "dashboardUrl"),
+    agentRhythmus: text(formular, "agentRhythmus") || vorher.agentRhythmus,
+    agentStreuungStunden: zahl(formular, "agentStreuungStunden"),
+    agentAutoUpdate: schalter(formular, "agentAutoUpdate"),
+
+    waehrung: text(formular, "waehrung") || vorher.waehrung,
+    steuersatz: zahl(formular, "steuersatz"),
+    zahlungszielTage: zahl(formular, "zahlungszielTage"),
+    margeProzent: zahl(formular, "margeProzent"),
+
+    sitzungsdauerStunden: zahl(formular, "sitzungsdauerStunden"),
+    anmeldeversuche: zahl(formular, "anmeldeversuche"),
+    oidcDomaenen: text(formular, "oidcDomaenen"),
+    oidcKontenAnlegen: schalter(formular, "oidcKontenAnlegen"),
+    aufbewahrungReportsTage: zahl(formular, "aufbewahrungReportsTage"),
+    aufbewahrungAuditTage: zahl(formular, "aufbewahrungAuditTage"),
+
+    firmaName: text(formular, "firmaName"),
+    firmaAnschrift: text(formular, "firmaAnschrift"),
+    firmaEmail: text(formular, "firmaEmail"),
+    zeitzone: text(formular, "zeitzone") || vorher.zeitzone,
+  });
+
+  if (!ergebnis.success) {
+    const felder: Record<string, string> = {};
+    for (const fehler of ergebnis.error.issues) {
+      const feld = fehler.path[0];
+      if (typeof feld === "string" && !felder[feld]) felder[feld] = fehler.message;
+    }
+    return { fehler: "Bitte die markierten Felder prüfen.", felder };
+  }
+
+  await einstellungenSpeichern(ergebnis.data);
+
+  // Nur die geänderten Felder ins Protokoll – sonst steht bei jedem Speichern alles darin.
+  const geaendert = Object.fromEntries(
+    Object.entries(ergebnis.data).filter(
+      ([feld, wert]) => wert !== vorher[feld as keyof typeof vorher],
+    ),
+  );
+  await protokolliere("einstellungen.gespeichert", "Einstellung", "system", geaendert);
+
+  revalidatePath("/einstellungen/system");
+  return { erfolg: "Einstellungen gespeichert." };
+}

src/server/actions/host-detail.ts

@@ -3,6 +3,7 @@
 import { revalidatePath } from "next/cache";
 import { prisma } from "@/lib/db";
 import { protokolliere } from "@/server/audit";
+import { sitzungErforderlich } from "@/server/auth/sitzungspflicht";
 import type { AktionsErgebnis } from "./kunden";
 
 /** Speichert Notizen und Tags eines Hosts. */
@@ -10,6 +11,7 @@ export async function hostNotizenSpeichern(
   _vorher: AktionsErgebnis,
   formular: FormData,
 ): Promise<AktionsErgebnis> {
+  await sitzungErforderlich();
   const hostId = formular.get("hostId")?.toString();
   if (!hostId) return { fehler: "Host nicht gefunden." };
 
@@ -39,6 +41,7 @@ export async function hostNotizenSpeichern(
 
 /** Ordnet einen einzelnen Host einem Kunden zu (aus der Detailansicht heraus). */
 export async function hostKundeSetzen(formular: FormData) {
+  await sitzungErforderlich();
   const hostId = formular.get("hostId")?.toString();
   const kundeId = formular.get("kundeId")?.toString() || null;
   const standortId = formular.get("standortId")?.toString() || null;

src/server/actions/hosts.ts

@@ -3,11 +3,13 @@
 import { revalidatePath } from "next/cache";
 import { prisma } from "@/lib/db";
 import { protokolliere } from "@/server/audit";
+import { sitzungErforderlich } from "@/server/auth/sitzungspflicht";
 import { hostsZuweisenService, ZuweisungsFehler } from "@/server/services/zuweisung";
 import type { AktionsErgebnis } from "./kunden";
 
 /** Weist mehrere Hosts in einem Schritt einem Kunden zu. */
 export async function hostsZuweisen(_vorher: AktionsErgebnis, formular: FormData): Promise<AktionsErgebnis> {
+  await sitzungErforderlich();
   const hostIds = formular.getAll("hostId").map(String).filter(Boolean);
   const kundeId = formular.get("kundeId")?.toString() || null;
   const standortId = formular.get("standortId")?.toString() || null;
@@ -30,6 +32,7 @@ export async function hostsZuweisen(_vorher: AktionsErgebnis, formular: FormData
 
 /** Hebt die Zuordnung eines einzelnen Hosts auf. */
 export async function hostZuordnungAufheben(formular: FormData) {
+  await sitzungErforderlich();
   const hostId = formular.get("hostId")?.toString();
   if (!hostId) return;
 

src/server/actions/kunden.ts

@@ -5,6 +5,7 @@ import { redirect } from "next/navigation";
 import { z } from "zod";
 import { prisma } from "@/lib/db";
 import { protokolliere } from "@/server/audit";
+import { sitzungErforderlich } from "@/server/auth/sitzungspflicht";
 
 export interface AktionsErgebnis {
   fehler?: string;
@@ -28,6 +29,7 @@ const kundeSchema = z.object({
 
 /** Legt einen Kunden an oder ändert ihn; `id` im Formular entscheidet darüber. */
 export async function kundeSpeichern(_vorher: AktionsErgebnis, formular: FormData): Promise<AktionsErgebnis> {
+  await sitzungErforderlich();
   const id = leerZuNull(formular.get("id"));
   const eingabe = kundeSchema.safeParse({
     name: formular.get("name")?.toString().trim() ?? "",
@@ -66,6 +68,7 @@ export async function kundeSpeichern(_vorher: AktionsErgebnis, formular: FormDat
 }
 
 export async function kundeLoeschen(formular: FormData) {
+  await sitzungErforderlich();
   const id = formular.get("id")?.toString();
   if (!id) return;
 
@@ -91,6 +94,7 @@ export async function standortSpeichern(
   _vorher: AktionsErgebnis,
   formular: FormData,
 ): Promise<AktionsErgebnis> {
+  await sitzungErforderlich();
   const id = leerZuNull(formular.get("id"));
   const eingabe = standortSchema.safeParse({
     kundeId: formular.get("kundeId")?.toString() ?? "",
@@ -116,6 +120,7 @@ export async function standortSpeichern(
 }
 
 export async function standortLoeschen(formular: FormData) {
+  await sitzungErforderlich();
   const id = formular.get("id")?.toString();
   const kundeId = formular.get("kundeId")?.toString();
   if (!id) return;

src/server/actions/rechnungen.ts

@@ -2,6 +2,7 @@
 
 import { revalidatePath } from "next/cache";
 import { anhangSpeichern, UploadFehler } from "@/lib/uploads";
+import { sitzungErforderlich } from "@/server/auth/sitzungspflicht";
 import {
   einkaufBezahltSetzen,
   kundenrechnungErfassen,
@@ -48,6 +49,7 @@ async function ausfuehren(arbeit: () => Promise<string | void>): Promise<Aktions
 }
 
 export async function laufzeitBestaetigenAktion(formular: FormData) {
+  await sitzungErforderlich();
   const id = formular.get("laufzeitId")?.toString();
   if (!id) return;
   await laufzeitBestaetigen(id);
@@ -55,6 +57,7 @@ export async function laufzeitBestaetigenAktion(formular: FormData) {
 }
 
 export async function laufzeitVerwerfenAktion(formular: FormData) {
+  await sitzungErforderlich();
   const id = formular.get("laufzeitId")?.toString();
   if (!id) return;
   await laufzeitVerwerfen(id);
@@ -63,6 +66,7 @@ export async function laufzeitVerwerfenAktion(formular: FormData) {
 
 /** Häkchen aus der Rechnungstabelle. */
 export async function statusUmschalten(formular: FormData): Promise<void> {
+  await sitzungErforderlich();
   const laufzeitId = formular.get("laufzeitId")?.toString();
   const feld = formular.get("feld")?.toString();
   const wert = formular.get("wert")?.toString() === "true";
@@ -84,6 +88,7 @@ export async function proxmoxRechnungSpeichern(
   _vorher: AktionsErgebnis,
   formular: FormData,
 ): Promise<AktionsErgebnis> {
+  await sitzungErforderlich();
   const laufzeitId = formular.get("laufzeitId")?.toString();
   if (!laufzeitId) return { fehler: "Laufzeit fehlt." };
 
@@ -101,7 +106,7 @@ export async function proxmoxRechnungSpeichern(
       datum: rechnungsdatum,
       faelligAm: datum(formular.get("faelligAm")),
       nettoBetrag: netto,
-      ustSatz: betrag(formular.get("ustSatz")) ?? 19,
+      ustSatz: betrag(formular.get("ustSatz")) ?? undefined,
       rabatt: betrag(formular.get("rabatt")),
       zahlungsart: formular.get("zahlungsart")?.toString().trim() || null,
       bezahlt: formular.get("bezahlt") === "on",
@@ -121,6 +126,7 @@ export async function kundenrechnungSpeichern(
   _vorher: AktionsErgebnis,
   formular: FormData,
 ): Promise<AktionsErgebnis> {
+  await sitzungErforderlich();
   const laufzeitId = formular.get("laufzeitId")?.toString();
   if (!laufzeitId) return { fehler: "Laufzeit fehlt." };
 
@@ -133,7 +139,7 @@ export async function kundenrechnungSpeichern(
       nummer: formular.get("nummer")?.toString().trim() || null,
       datum: datum(formular.get("datum")),
       nettoBetrag: betrag(formular.get("nettoBetrag")),
-      ustSatz: betrag(formular.get("ustSatz")) ?? 19,
+      ustSatz: betrag(formular.get("ustSatz")) ?? undefined,
       bezahlt: formular.get("bezahlt") === "on",
       bezahltAm: datum(formular.get("bezahltAm")),
       anhangId,
@@ -151,6 +157,7 @@ export async function laufzeitAnlegenAktion(
   _vorher: AktionsErgebnis,
   formular: FormData,
 ): Promise<AktionsErgebnis> {
+  await sitzungErforderlich();
   const hostId = formular.get("hostId")?.toString();
   const key = formular.get("key")?.toString().trim();
   const start = datum(formular.get("start"));

src/server/actions/tokens.ts

@@ -4,6 +4,7 @@ import { revalidatePath } from "next/cache";
 import { prisma } from "@/lib/db";
 import { erzeugeToken } from "@/lib/tokens";
 import { protokolliere } from "@/server/audit";
+import { sitzungErforderlich } from "@/server/auth/sitzungspflicht";
 import type { AktionsErgebnis } from "./kunden";
 
 export interface TokenErgebnis extends AktionsErgebnis {
@@ -16,6 +17,7 @@ export async function enrollmentTokenErzeugen(
   _vorher: TokenErgebnis,
   formular: FormData,
 ): Promise<TokenErgebnis> {
+  await sitzungErforderlich();
   const bezeichnung = formular.get("bezeichnung")?.toString().trim() || null;
   const kundeId = formular.get("kundeId")?.toString() || null;
   const standortId = formular.get("standortId")?.toString() || null;
@@ -58,6 +60,7 @@ export async function enrollmentTokenErzeugen(
 }
 
 export async function enrollmentTokenWiderrufen(formular: FormData) {
+  await sitzungErforderlich();
   const id = formular.get("id")?.toString();
   if (!id) return;
 
@@ -67,6 +70,7 @@ export async function enrollmentTokenWiderrufen(formular: FormData) {
 }
 
 export async function hostTokenWiderrufen(formular: FormData) {
+  await sitzungErforderlich();
   const id = formular.get("id")?.toString();
   const hostId = formular.get("hostId")?.toString();
   if (!id) return;

src/server/agent/http.ts

@@ -4,7 +4,7 @@ import { tokenAusHeader } from "@/lib/tokens";
 import { AgentApiFehler } from "./service";
 
 /** Version des Agent-Skripts, die das Dashboard ausliefert (siehe #005). */
-export const AGENT_VERSION = "0.2.0";
+export const AGENT_VERSION = "0.2.1";
 
 export function fehlerAntwort(status: number, code: string, nachricht: string, extra?: HeadersInit) {
   return Response.json({ ok: false, code, fehler: nachricht }, { status, headers: extra });