Merge branch 'phase/024-owasp'

feat(security): Haertung nach OWASP Top 10 (#024 )
Drei echte Luecken gefunden und geschlossen: 1. Die 27 Server Actions verliessen sich allein auf proxy.ts. Jede prueft die Sitzung jetzt selbst und schlaegt gegen die Datenbank nach, ob das Konto noch gilt - damit lassen sich Sitzungen ueberhaupt erst widerrufen. 2. Der Anmelde-Endpunkt prueft die Herkunft des Formulars; vorher war Login-CSRF moeglich. 3. Content-Security-Policy mit Nonce je Anfrage und strict-dynamic. Dazu: npm audit ist ohne Befund (mysql2 und deepmerge-ts per overrides angehoben statt Prisma zurueckzustufen), eine Benutzerverwaltung fuer die Kommandozeile und docs/sicherheit.md mit allem, was bewusst offen bleibt - keine Rollen, keine Zwei-Faktor-Anmeldung. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
2026-09-18 23:45:35 +02:00 · 2026-09-18 23:45:35 +02:00 · 2026-09-18 23:27:02 +02:00 · 2026-09-18 23:27:02 +02:00 · 2026-09-18 18:45:36 +02:00 · 2026-09-18 18:05:13 +02:00
97 changed files with 2468 additions and 224 deletions
@@ -0,0 +1,75 @@
 # Prüft jeden Push und jede Pull-Request-Änderung.
 # Läuft mit Gitea Actions (act_runner); die Syntax entspricht GitHub Actions.
 name: Prüfung
 on:
  push:
    branches: [main, "phase/**"]
  pull_request:
    branches: [main]
 jobs:
  pruefung:
    runs-on: ubuntu-latest
    services:
      postgres:
        image: postgres:17-alpine
        env:
          POSTGRES_USER: proxledger
          POSTGRES_PASSWORD: proxledger
          POSTGRES_DB: proxledger_test
        options: >-
          --health-cmd "pg_isready -U proxledger"
          --health-interval 5s
          --health-timeout 5s
          --health-retries 10
        ports:
          - 5432:5432
    env:
      DATABASE_URL: postgresql://proxledger:proxledger@localhost:5432/proxledger_test?schema=public
      TEST_DATABASE_URL: postgresql://proxledger:proxledger@localhost:5432/proxledger_test?schema=public
      APP_SECRET: ci-geheimnis-mit-mindestens-32-zeichen-laenge
      APP_URL: http://localhost:3000
    steps:
      - name: Quelltext holen
        uses: actions/checkout@v4
      - name: Node einrichten
        uses: actions/setup-node@v4
        with:
          node-version: 24
          cache: npm
      - name: Abhängigkeiten installieren
        run: npm ci
      - name: Prisma-Client erzeugen
        run: npx prisma generate
      - name: Code-Stil prüfen
        run: npm run lint
      - name: Typen prüfen
        run: npm run typecheck
      - name: Tests
        run: npm test
      - name: Anwendung bauen
        run: npm run build
      - name: Worker bauen
        run: npm run build:worker
      - name: Agent-Skripte prüfen
        run: |
          sudo apt-get update -qq
          sudo apt-get install -y -qq shellcheck
          shellcheck --severity=warning agent/*.sh deploy/*.sh
      - name: Dokumentation und Versionen prüfen
        run: npm run pruefe:doku
@@ -17,6 +17,71 @@ und dieses Projekt folgt [Semantic Versioning](https://semver.org/lang/de/).
 ### Sicherheit
 ## [0.15.0] – 2026-09-18
 ### Hinzugefügt
 - `docs/sicherheit.md`: Zuordnung aller Maßnahmen zu den OWASP Top 10, samt der Punkte, die bewusst offen bleiben (#024)
 - Content-Security-Policy mit frischem Nonce je Anfrage (#024)
 - Sitzungen lassen sich widerrufen: gesperrtes Konto oder neues Passwort beendet laufende Sitzungen sofort (#024)
 - Benutzerverwaltung auf der Kommandozeile: `npm run benutzer -- liste|sperren|entsperren|passwort` (#024)
 ### Behoben
 - Server Actions verließen sich allein auf den Schutz in `proxy.ts`; jede der 27 Aktionen prüft die Sitzung jetzt selbst (#024)
 - Die Anmeldung prüfte die Herkunft des Formulars nicht – damit war Login-CSRF möglich (#024)
 - `npm audit` meldete vier hohe Schwachstellen in Beiwerk von Prisma (`mysql2`, `deepmerge-ts`); über `overrides` angehoben, jetzt ohne Befund (#024)
 ## [0.14.1] – 2026-09-18
 ### Behoben
 - Auf Proxmox Backup Server las der Agent **keine einzige Angabe** aus: `proxmox-backup-manager subscription get` gibt eine Rahmentabelle aus, keine `feld: wert`-Zeilen. Jetzt wird für PBS `--output-format json` genutzt, und die Tabelle wird als Rückfall ausgewertet (#023)
 - Die PBS-Version enthielt die laufende Fassung ein zweites Mal (#023)
 - Der Agent meldete eine „neue Version“, auch wenn die installierte neuer war als die des Dashboards (#023)
 ### Geändert
 - Agent-Version 0.2.1; die Tests prüfen die Versionsangabe jetzt gegen die Konstante des Dashboards statt gegen eine abgeschriebene Zahl (#023)
 ## [0.14.0] – 2026-09-18
 ### Hinzugefügt
 - Der Agent meldet die Mitglieder seines Proxmox-Clusters; das Dashboard warnt bei Knoten ohne eigenen Agent (#022)
 - Host-Detail zeigt alle Cluster-Knoten mit Zustand „meldet sich“ oder „kein Agent“ (#022)
 - Wartezeiten zwischen Sendeversuchen über `PROXLEDGER_WARTEZEITEN` einstellbar, damit sich der Zwischenspeicher testen lässt (#018)
 ### Behoben
 - Die Produktversion enthielt bei Proxmox VE den Kernel ein zweites Mal (#018)
 - Die Bilder des Handbuchs zeigten allesamt die Anmeldeseite: Firefox verwirft fremd erzeugte Cookie-Dateien stillschweigend. Das Skript nutzt jetzt einen lokalen Vermittler, der die Sitzung mitschickt, und bricht ab, wenn alle Aufnahmen gleich groß sind (#016)
 ## [0.13.1] – 2026-09-17
 ### Sicherheit
 - SMTP-Passwort und Webhook-Geheimnis werden verschlüsselt in der Datenbank abgelegt (AES-256-GCM, Schlüssel aus `APP_SECRET`); eine Sicherung gibt sie damit nicht mehr im Klartext preis (#021)
 - Werte aus der Zeit davor werden weiterhin gelesen und beim nächsten Speichern umgeschlüsselt (#021)
 ## [0.13.0] – 2026-09-17
 ### Hinzugefügt
 - Prüfung bei jedem Push über Gitea Actions: Lint, Typen, Tests gegen PostgreSQL, Build, ShellCheck und Dokumentationsprüfung (#019)
 - `npm run pruefe:doku` vergleicht Version, Issue-Übersicht und Handbuch-Bilder auf Konsistenz (#019)
 ## [0.12.1] – 2026-09-17
 ### Hinzugefügt
 - Symbole für Browser-Tab (SVG und ICO), iOS-Startbildschirm und Web-Manifest, erzeugt mit `npm run icons` aus den SVG-Vorlagen in `assets/` (#017)
 ## [0.12.0] – 2026-09-17
 ### Hinzugefügt
 - Handbuch mit Bildern: Installation, Agent-Rollout, Zuweisung, Rechnungen, Warnungen, Benachrichtigungen, Exporte, Sicherung und Fehlersuche (#016)
 - `npm run screenshots` erzeugt alle Bilder des Handbuchs neu, auch im dunklen Design und in der Mobilansicht (#016)
 ## [0.11.1] – 2026-09-17
 ### Behoben
 - Nach der Anmeldung führte jeder Klick zurück zur Anmeldeseite: Das Sitzungs-Cookie erhielt im Produktionsbau immer das Merkmal `Secure` und wurde über `http://` vom Browser verworfen. Maßgeblich ist jetzt die tatsächliche Adresse (`APP_URL`) (#013)
 ### Geändert
 - Die Anmeldung läuft über ein gewöhnliches Formular statt über eine Server-Action; damit funktioniert sie auch ohne JavaScript (#013)
 ## [0.11.0] – 2026-09-17
 ### Geändert
@@ -2,7 +2,7 @@
 ## Zeitübersicht
-**Gesamt:** 6 h 38 min
+**Gesamt:** 10 h 28 min
 | Issue | Zeit |
 |---|---|
@@ -22,6 +22,14 @@
 | #013 Authentifizierung | 0 h 30 min |
 | #014 Deployment | 0 h 40 min |
 | #015 Feinschliff | 0 h 35 min |
 | #016 Handbuch | 0 h 30 min |
 | #017 Favicons | 0 h 15 min |
 | #019 CI-Pipeline | 0 h 20 min |
 | #021 Geheimnisse verschlüsseln | 0 h 20 min |
 | #018 Feldtest auf echten Hosts | 0 h 40 min |
 | #022 Cluster-Abgleich | 0 h 25 min |
 | #023 Feldtest PBS | 0 h 35 min |
 | #024 OWASP-Härtung | 0 h 45 min |
 | Meilenstein | Zeit |
 |---|---|
@@ -38,12 +46,13 @@
 | v0.9.0 | 0 h 30 min | **abgeschlossen**
 | v0.10.0 | 0 h 40 min | **abgeschlossen**
 | v0.11.0 | 0 h 35 min | **abgeschlossen**
 | v0.12.0 | 0 h 30 min | **abgeschlossen**
 ---
 ## 2026-09-17 · Sitzung 1 · 19:36–laufend
 **Issue:** #001–#007 (Meilensteine v0.1.0 bis v0.4.0)
-**Version:** 0.11.0
+**Version:** 0.15.0
 ### Erledigt
 - Auftrag gelesen, Rückfragen gestellt
@@ -84,6 +93,11 @@
 - Meilenstein v0.10.0 abgeschlossen
 - #015 abgeschlossen: Dark-Mode geprüft (Logo war unsichtbar – behoben), Mobilansicht ohne Querscrollen, Lasttest mit 200 Hosts und 365.000 Reports, Auswertung der Warnregeln von 3813 auf 293 ms beschleunigt, Sicherheitsdurchsicht
 - Als v0.11.0 veröffentlicht statt 1.0.0: Feldtest, Handbuch, Favicons, CI und Verschlüsselung der Zugangsdaten stehen noch aus
 - 0.11.1: Anmeldefehler behoben (Secure-Cookie über http)
 - #016 abgeschlossen: Handbuch mit elf Kapiteln und 16 Bildern, dazu `npm run screenshots` zum Auffrischen
 - #017 abgeschlossen: Symbole für Tab, Startbildschirm und Manifest, erzeugt mit `npm run icons` aus SVG-Vorlagen
 - #019 abgeschlossen: Gitea-Actions-Workflow mit Lint, Typen, Tests, Build, ShellCheck und Doku-Prüfung
 - #021 abgeschlossen: SMTP-Passwort und Webhook-Geheimnis liegen verschlüsselt in der Datenbank (AES-256-GCM, Schlüssel aus APP_SECRET)
 ### Entscheidungen
 - **Warnungen sammelweise anlegen:** Einzelne Upserts kosteten bei 737 neuen Warnungen 3,8 s; mit `createMany` sind es 0,3 s.
@@ -109,6 +123,7 @@
 - **Server Actions rufen Services auf**, damit die Regeln ohne Next.js-Laufzeit testbar bleiben.
 ### Probleme / offene Fragen
 - Von Florian im Betrieb gemeldet: Nach der Anmeldung führte jeder Klick zurück zur Anmeldeseite. Ursache: `Secure`-Cookie über `http://`. Behoben in 0.11.1.
 - Der LXC-Installer ist ungetestet (kein Proxmox-Host verfügbar); gleiches gilt für den Agent im Feld (#018).
 - Prisma-Client erzeugte in der Produktionsumgebung bei jedem Zugriff einen neuen Verbindungspool → „too many clients“. Behoben: Client wird im Modul festgehalten.
 - Docker wurde von Florian installiert; die Entwicklungsdatenbank läuft auf Port 5433 (5432 bleibt für lokale Instanzen frei).
@@ -116,6 +131,17 @@
 - Der Agent wurde noch auf keinem echten Proxmox-Host installiert; die Tests arbeiten mit nachgebauten Befehlen.
 - Offen: Rolle „readonly“ zusätzlich zu Admin? (vorläufig vorgesehen)
 - #018 abgeschlossen: Feldtest auf zwei echten PVE-9.2-Hosts (einer mit, einer ohne Subscription, einer im Cluster); Installation, Timer, Zwischenspeicher und Nachsenden geprüft
 - #022 abgeschlossen: Cluster-Abgleich – jeder Agent meldet die Mitglieder, das Dashboard warnt bei Knoten ohne Agent
 - **Fehler im eigenen Werkzeug gefunden:** Alle Handbuch-Bilder waren in Wahrheit die Anmeldeseite. Firefox verwirft eine selbst angelegte Cookie-Datei stillschweigend. Jetzt läuft ein lokaler Vermittler mit, und das Skript bricht ab, wenn alle Aufnahmen gleich groß sind.
 - Feldtest auf einem echten Proxmox Backup Server (#023): der Agent hätte dort **nichts** gelesen – PBS gibt eine Rahmentabelle aus, kein `feld: wert`. Behoben, mit den echten Ausgaben als Testfälle
 - Der erfundene PBS-Testfall hatte den Fehler verdeckt. Lehre: ausgedachte Testdaten bestätigen nur die eigene Annahme
 - Uninstall zum ersten Mal auf einem echten Host geprüft – restlos sauber, damit ist #018 vollständig
 - Durchsicht nach OWASP (#024): drei echte Lücken gefunden – Server Actions ohne eigene Zugriffsprüfung, Login-CSRF und fehlende CSP. Alle behoben und mit Tests abgesichert
 - Erkenntnis: Der Schutz lag vollständig in einer einzigen Schicht (`proxy.ts`). Das fällt erst auf, wenn man die Endpunkte einzeln betrachtet statt die Oberfläche
 ### Nächster Schritt
 - #016 Benutzerhandbuch mit Screenshots, danach #017 Favicons und #019 CI-Pipeline
- Für 1.0.0 fehlt vor allem der Feldtest auf echten Proxmox-Hosts (#018)
+- Für 1.0.0 fehlt noch: PMG (kein Host verfügbar) und der Fall „aktive Subscription auf PBS“ (#023)
@@ -63,7 +63,20 @@ npm run worker        # Dauerbetrieb
 npm run alerts:check  # einmalige Auswertung
 ```
-Weitere Skripte: `npm run db:studio` (Datenbank-Oberfläche), `npm run db:down` (Container stoppen).
+Weitere Skripte:
 | Befehl | Zweck |
 |---|---|
 | `npm run db:studio` | Datenbank-Oberfläche |
 | `npm run db:down` | Datenbank-Container stoppen |
 | `npm run icons` | Symbole aus den SVG-Vorlagen erzeugen |
 | `npm run screenshots -- --alle` | Bilder für das Handbuch auffrischen |
 | `npm run pruefe:doku` | Doku, Versionen und Bilder auf Konsistenz prüfen |
 | `npm run lasttest` | Abfragen mit 200 Hosts und fünf Jahren Reports messen |
 Jeder Push wird von [Gitea Actions](.gitea/workflows/ci.yml) geprüft: Lint, Typen, Tests gegen eine
 PostgreSQL-Instanz, Build, ShellCheck für die Agent-Skripte und die Konsistenz der Dokumentation.
 Dafür muss auf dem Gitea-Server ein `act_runner` eingerichtet sein.
 ## Agent auf einem Proxmox-Host installieren
@@ -167,12 +180,13 @@ Zum Zurückspielen:
 gunzip -c datenbank-20260917-023000.sql.gz | docker compose exec -T postgres psql -U proxledger proxledger
 ```
-**Wichtig:** `APP_SECRET` mitsichern. Ohne diesen Wert sind alle Sitzungen ungültig; die Zugangsdaten für
+**Wichtig:** `APP_SECRET` mitsichern und sicher aufbewahren. Der Wert signiert die Sitzungen **und**
-SMTP und Webhook liegen (noch) unverschlüsselt in der Datenbank, eine Sicherung enthält sie also im Klartext
+verschlüsselt die Zugangsdaten für SMTP und Webhook in der Datenbank. Geht er verloren, müssen diese
-– siehe Issue #021.
+Zugangsdaten neu eingetragen werden; eine Sicherung allein gibt sie nicht preis.
 ## Dokumentation
 - **[Handbuch mit Bildern](docs/anleitung/README.md)** – Installation, Agent-Rollout, Rechnungen, Warnungen, Fehlersuche
 - [Architektur- und Umsetzungsplan](docs/architektur.md)
 - [Issues](docs/issues/README.md)
 - [Changelog](CHANGELOG.md) · [Devlog](DEVLOG.md)
@@ -12,11 +12,12 @@
 set -o nounset
 set -o pipefail
-AGENT_VERSION="0.2.0"
+AGENT_VERSION="0.2.1"
 CONFIG_DATEI="${PROXLEDGER_CONFIG:-/etc/proxledger/agent.conf}"
 SPOOL_VERZEICHNIS="${PROXLEDGER_SPOOL:-/var/lib/proxledger/spool}"
 SPOOL_MAXIMUM=30
-WARTEZEITEN=(30 120 480)
+# Wartezeiten zwischen den Versuchen; für Tests über PROXLEDGER_WARTEZEITEN kürzbar.
 read -r -a WARTEZEITEN <<<"${PROXLEDGER_WARTEZEITEN:-30 120 480}"
 # --------------------------------------------------------------------- Protokoll
@@ -105,15 +106,24 @@ produkt_erkennen() {
 }
 subscription_ausgabe() {
  local ausgabe=""
  case "$1" in
    # PVE kennt --output-format nicht (geprueft auf 9.2), liefert aber "feld: wert".
    pve) pvesubscription get 2>/dev/null ;;
-    pbs) proxmox-backup-manager subscription get 2>/dev/null ;;
+    # PBS gibt ohne --output-format eine Rahmentabelle aus, aus der sich schlecht lesen laesst.
    # JSON kann es (geprueft auf 4.2); aeltere Fassungen faengt die Tabellenauswertung ab.
    pbs)
      ausgabe=$(proxmox-backup-manager subscription get --output-format json 2>/dev/null)
      [ -n "$ausgabe" ] || ausgabe=$(proxmox-backup-manager subscription get 2>/dev/null)
      printf '%s' "$ausgabe"
      ;;
    pmg) pmgsubscription get 2>/dev/null ;;
    *) printf '' ;;
  esac
 }
-# Liest ein Feld aus der Subscription-Ausgabe. Unterstützt "feld: wert" und JSON.
+# Liest ein Feld aus der Subscription-Ausgabe. Unterstuetzt "feld: wert", JSON und die
 # Rahmentabelle von PBS ("| feld | wert |" mit Unicode-Strichen).
 feld_lesen() {
  local feld="$1" text="$2" wert
  wert=$(printf '%s\n' "$text" | sed -n "s/^[[:space:]]*${feld}[[:space:]]*:[[:space:]]*//p" | head -n1)
@@ -121,6 +131,15 @@ feld_lesen() {
    wert=$(printf '%s\n' "$text" |
      sed -n "s/.*\"${feld}\"[[:space:]]*:[[:space:]]*\"\{0,1\}\([^\",}]*\)\"\{0,1\}.*/\1/p" | head -n1)
  fi
  if [ -z "$wert" ]; then
    # Tabellenzeile: Trennzeichen ist U+2502; awk zerlegt daran und liefert die zweite Spalte.
    wert=$(printf '%s\n' "$text" |
      awk -F'\xe2\x94\x82' -v feld="$feld" '
        NF >= 3 {
          name = $2; gsub(/^[ \t]+|[ \t]+$/, "", name)
          if (name == feld) { wert = $3; gsub(/^[ \t]+|[ \t]+$/, "", wert); print wert; exit }
        }')
  fi
  # Umschließende Anführungszeichen und Leerzeichen entfernen.
  wert=${wert%\"}
  wert=${wert#\"}
@@ -128,9 +147,13 @@ feld_lesen() {
 }
 produkt_version() {
  # Bei PVE hängt die Kernel-Angabe mit im String ("… (running kernel: …)").
  # Der Kernel wird separat gemeldet, deshalb hier abschneiden.
  case "$1" in
-    pve) pveversion 2>/dev/null | head -n1 ;;
+    pve) pveversion 2>/dev/null | head -n1 | sed 's/ (running kernel.*//' ;;
-    pbs) proxmox-backup-manager version 2>/dev/null | head -n1 ;;
+    # PBS haengt die laufende Fassung an ("… 4.2.6-1 running version: 4.2.1");
    # gemeldet wird die installierte.
    pbs) proxmox-backup-manager version 2>/dev/null | head -n1 | sed 's/ running version.*//' ;;
    pmg) pmgversion 2>/dev/null | head -n1 ;;
    *) printf '' ;;
  esac
@@ -150,6 +173,14 @@ cluster_name() {
  fi
 }
 # Namen aller Cluster-Mitglieder laut corosync. Auch Knoten ohne Agent stehen hier –
 # daraus erkennt das Dashboard vergessene Knoten (#022).
 cluster_mitglieder() {
  if command -v pvecm >/dev/null 2>&1; then
    pvecm nodes 2>/dev/null | awk '/^[[:space:]]*[0-9]+[[:space:]]+[0-9]+/ {print $3}' | sed 's/ *(local)//'
  fi
 }
 node_name() {
  if command -v pvecm >/dev/null 2>&1 && pvecm status >/dev/null 2>&1; then
    hostname -s 2>/dev/null
@@ -220,6 +251,7 @@ report_erzeugen() {
    "ips": $(ip_adressen | json_liste),
    "clusterName": $(json_text "$(cluster_name)"),
    "nodeName": $(json_text "$(node_name)"),
    "clusterMitglieder": $(cluster_mitglieder | json_liste),
    "kernel": $(json_text "$(uname -r 2>/dev/null)"),
    "uptimeSekunden": $(json_zahl "$(uptime_sekunden)"),
    "cpuModell": $(json_text "$(cpu_modell)"),
@@ -383,8 +415,15 @@ aktion_test() {
  [ "$(printf '%s' "$antwort" | tail -n1)" = "200" ]
 }
 # Ist $1 eine neuere Fassung als $2? `sort -V` vergleicht Versionsnummern der Reihe nach.
 version_neuer() {
  [ "$1" != "$2" ] && [ "$(printf '%s\n%s\n' "$1" "$2" | sort -V | tail -n1)" = "$1" ]
 }
 version_pruefen() {
-  if [ -n "${NEUESTE_VERSION:-}" ] && [ "$NEUESTE_VERSION" != "$AGENT_VERSION" ]; then
+  # Nur melden, wenn das Dashboard wirklich eine neuere Fassung kennt. Sonst warnt ein Agent,
  # der einer Testinstallation vorauseilt, gegen sich selbst (im Feldtest #023 aufgefallen).
  if [ -n "${NEUESTE_VERSION:-}" ] && version_neuer "$NEUESTE_VERSION" "$AGENT_VERSION"; then
    protokoll notice "Neue Agent-Version verfügbar: ${NEUESTE_VERSION} (installiert: ${AGENT_VERSION})."
    if [ "$AUTO_UPDATE" = "yes" ]; then
      aktion_update
@@ -0,0 +1,4 @@
 <!-- Fassung für 16 px: nur das P. -->
 <svg viewBox="0 0 48 48" xmlns="http://www.w3.org/2000/svg">
  <path fill-rule="evenodd" d="M6 2h21a14 14 0 0 1 0 28H18v16H6zM18 13h8a3 3 0 0 1 0 6h-8z" fill="#1E2A44"/>
 </svg>
@@ -0,0 +1,5 @@
 <!-- Fassung für 32 px: eine Linie, kräftigere Formen. -->
 <svg viewBox="0 0 48 48" xmlns="http://www.w3.org/2000/svg">
  <path fill-rule="evenodd" d="M7 3h20a13 13 0 0 1 0 26H17v16H7zM17 12h9a4 4 0 0 1 0 8h-9z" fill="#1E2A44"/>
  <path d="M24 38h19" stroke="#17A2B8" stroke-width="5" stroke-linecap="round"/>
 </svg>
@@ -0,0 +1,8 @@
 <!-- Fassung für Startbildschirm-Symbole: Monogramm auf dunklem Grund mit Rand. -->
 <svg viewBox="0 0 180 180" xmlns="http://www.w3.org/2000/svg">
  <rect width="180" height="180" rx="34" fill="#1E2A44"/>
  <g transform="translate(34 30) scale(2.3)">
    <path fill-rule="evenodd" d="M8 4h19a12 12 0 0 1 0 24H16v16H8zM16 11h10a5 5 0 0 1 0 10H16z" fill="#FFFFFF"/>
    <path d="M22 36h20M22 43h14" stroke="#17A2B8" stroke-width="3.5" stroke-linecap="round"/>
  </g>
 </svg>
@@ -0,0 +1,5 @@
 <!-- ProxLedger-Monogramm, Standardfassung (heller Grund). Quelle für alle abgeleiteten Dateien. -->
 <svg viewBox="0 0 48 48" xmlns="http://www.w3.org/2000/svg">
  <path fill-rule="evenodd" d="M8 4h19a12 12 0 0 1 0 24H16v16H8zM16 11h10a5 5 0 0 1 0 10H16z" fill="#1E2A44"/>
  <path d="M22 36h20M22 43h14" stroke="#17A2B8" stroke-width="3.5" stroke-linecap="round"/>
 </svg>
@@ -0,0 +1,393 @@
 # ProxLedger – Handbuch
 ProxLedger zeigt auf einen Blick, welche Proxmox-Subscription zu welchem Host und zu welchem Kunden
 gehört, wann sie ausläuft und ob die Rechnungen dazu erledigt sind. Auf jedem Host meldet ein kleiner
 Agent einmal täglich seinen Status – das Dashboard fragt die Hosts nie aktiv ab und funktioniert deshalb
 auch mit Hosts hinter NAT.
 **Inhalt**
 1. [Installation](#1-installation)
 2. [Erste Anmeldung](#2-erste-anmeldung)
 3. [Agent auf einem Host ausrollen](#3-agent-auf-einem-host-ausrollen)
 4. [Hosts einem Kunden zuweisen](#4-hosts-einem-kunden-zuweisen)
 4a. [Cluster](#4a-cluster)
 5. [Kunden und Standorte pflegen](#5-kunden-und-standorte-pflegen)
 6. [Laufzeiten und Rechnungen](#6-laufzeiten-und-rechnungen)
 7. [Warnungen](#7-warnungen)
 8. [Benachrichtigungen einrichten](#8-benachrichtigungen-einrichten)
 9. [Exporte](#9-exporte)
 10. [Sicherung und Aktualisierung](#10-sicherung-und-aktualisierung)
 11. [Fehlersuche](#11-fehlersuche)
 ---
 ## 1. Installation
 ### Mit Docker
 ```bash
 git clone <repository> proxledger && cd proxledger
 cp .env.example .env
 ```
 In der `.env` mindestens setzen:
 | Wert | Bedeutung |
 |---|---|
 | `APP_SECRET` | Schlüssel für die Sitzungen, mindestens 32 Zeichen (`openssl rand -base64 48`) |
 | `POSTGRES_PASSWORD` | Passwort der mitgelieferten Datenbank |
 | `ADMIN_EMAIL`, `ADMIN_PASSWORD` | erster Zugang zum Dashboard |
 | `APP_URL` | Adresse, unter der das Dashboard erreichbar ist |
 Dann starten:
 ```bash
 docker compose up -d
 ```
 Beim ersten Start legt der Dienst `migrate` das Datenbankschema an und erzeugt den Administrator.
 > **Wichtig:** `APP_URL` muss zur tatsächlichen Adresse passen. Davon hängt ab, ob das Sitzungs-Cookie als
 > `Secure` markiert wird – bei falscher Angabe funktioniert die Anmeldung nicht.
 ### Auf einem Proxmox-Host als LXC-Container
 ```bash
 bash deploy/lxc-installer.sh
 ```
 Das Skript fragt Container-ID, Ressourcen und Netzwerk ab, legt einen Debian-Container an, installiert
 Docker, holt den Quelltext, erzeugt Zufallspasswörter und startet alles. Am Ende stehen Adresse,
 Benutzername und Passwort auf dem Bildschirm; das Passwort liegt zusätzlich in
 `/root/proxledger-admin-passwort.txt` im Container.
 Für den dauerhaften Betrieb gehört ein Reverse Proxy mit HTTPS davor – Beispiele für Caddy, nginx und
 Traefik liegen in [`deploy/reverse-proxy/`](../../deploy/reverse-proxy/).
 ---
 ## 2. Erste Anmeldung
 ![Anmeldeseite](bilder/login.png)
 Anmelden mit der E-Mail-Adresse und dem Passwort aus der `.env`. Ist ein Anmeldedienst über OIDC
 eingerichtet (`OIDC_ISSUER`, `OIDC_CLIENT_ID`, `OIDC_CLIENT_SECRET`), erscheint zusätzlich ein Knopf
 „Mit authentik anmelden“. Der lokale Zugang bleibt absichtlich immer nutzbar – falls der Anmeldedienst
 einmal ausfällt, kommst du trotzdem hinein.
 Nach der Anmeldung landest du auf dem Dashboard:
 ![Dashboard](bilder/dashboard.png)
 Von oben nach unten:
 - **Vier Kacheln** mit den Kennzahlen: gemeldete Hosts, aktiv lizenziert, Ablauf innerhalb von 30 Tagen,
  offene Rechnungspunkte. Jede Kachel führt auf die passende gefilterte Liste.
 - **Subscriptions nach Ablaufdatum:** die nächste Fälligkeit zuerst, mit Kunde, Key und beiden
  Rechnungsständen. Rot bedeutet weniger als 14 Tage, gelb weniger als 30.
 - **Aufgaben:** was konkret zu tun ist. Das Häkchen setzt den Rechnungsstatus direkt.
 - **Rechnungsstatus je Kunde:** wie viele Punkte je Kunde erledigt sind.
 ---
 ## 3. Agent auf einem Host ausrollen
 Zuerst im Dashboard unter *Einstellungen → Agent-Tokens* einen Enrollment-Token erzeugen:
 ![Agent-Tokens](bilder/tokens.png)
 - **Bezeichnung:** wofür der Token gedacht ist, etwa „Rollout Brandl“.
 - **Hosts direkt zuordnen zu:** Wird hier ein Kunde gewählt, gehören alle mit diesem Token registrierten
  Hosts sofort zu diesem Kunden – die spätere Zuweisung entfällt.
 - **Gültigkeit und Nutzungen** begrenzen den Schaden, falls der Token verloren geht.
 Der Token wird **nur einmal angezeigt**. Direkt darunter steht der fertige Befehl. Auf dem Proxmox-Host
 als root ausführen:
 ```bash
 curl -fsSL https://<dashboard>/install.sh | bash -s -- --token plx_e_…
 ```
 Der Installer erkennt selbst, ob es sich um Proxmox VE, Backup Server oder Mail Gateway handelt,
 registriert den Host, legt die Konfiguration unter `/etc/proxledger/agent.conf` (Rechte 600) ab,
 richtet einen systemd-Timer ein und schickt sofort den ersten Report.
 > **Stand der Erprobung:** Proxmox VE (9.2, mit und ohne Subscription, einzeln und im Cluster) und
 > Proxmox Backup Server (4.2, ohne Subscription) sind auf echten Hosts geprüft. Für **Mail Gateway**
 > stand bisher kein Host zur Verfügung – dort beruht die Auswertung noch auf Annahmen, und bei PBS hat
 > sich genau so eine Annahme als falsch erwiesen. Bitte den ersten PMG-Host nach der Installation
 > kurz gegenprüfen (`proxledger-agent --dry-run` zeigt, was gemeldet würde).
 Nützliche Befehle auf dem Host:
 | Befehl | Zweck |
 |---|---|
 | `proxledger-agent --test` | Verbindung zum Dashboard prüfen |
 | `proxledger-agent --dry-run` | Report anzeigen, ohne ihn zu senden |
 | `proxledger-agent` | Report sofort senden |
 | `journalctl -t proxledger -n 50` | Protokoll ansehen |
 | `systemctl list-timers proxledger.timer` | nächsten Lauf anzeigen |
 Der Timer läuft täglich mit bis zu vier Stunden Zufallsversatz, damit nicht alle Hosts gleichzeitig melden.
 Ist das Dashboard nicht erreichbar, versucht es der Agent dreimal mit wachsendem Abstand und legt den
 Report danach in `/var/lib/proxledger/spool/` ab; beim nächsten Lauf wird er nachgesendet.
 **Entfernen:**
 ```bash
 curl -fsSL https://<dashboard>/install.sh | bash -s -- --uninstall
 ```
 ---
 ## 4. Hosts einem Kunden zuweisen
 Neu registrierte Hosts ohne Kundenbindung erscheinen als Hinweis auf dem Dashboard und unter
 *Hosts → Nicht zugeordnete*:
 ![Nicht zugeordnete Hosts](bilder/nicht-zugeordnet.png)
 Mehrere Hosts auswählen, Kunde und optional Standort wählen, zuweisen – fertig. Die zugehörige Warnung
 schließt sich dabei von selbst.
 In der Host-Tabelle findest du jeden Host wieder:
 ![Host-Tabelle](bilder/hosts.png)
 Die Suche greift auf Hostname, FQDN, Subscription-Key, Server-ID, IP-Adresse, Kundenname **und
 Rechnungsnummer** zu. Die Eingabe von `pve1c-a6bd21fcb6` führt also direkt zum passenden Host samt Kunde –
 genau die Zuordnung, die im Proxmox-Shop fehlt.
 Alle Filter stehen in der Adresse: Eine gefilterte Liste lässt sich als Lesezeichen speichern oder
 weitergeben, und der Zurück-Knopf funktioniert wie erwartet.
 ---
 ## 4a. Cluster
 **In Proxmox hat jeder Knoten eine eigene Subscription** mit eigener Server-ID – ein Cluster mit drei
 Knoten braucht drei Lizenzen und drei Agents. Ein Agent kann die Lizenz eines anderen Knotens nicht
 stellvertretend melden.
 Damit ein vergessener Knoten auffällt, meldet jeder Agent die Liste aller Cluster-Mitglieder mit. Das
 Dashboard vergleicht sie mit den Hosts, die sich tatsächlich melden:
 ![Host in einem Cluster](bilder/host-detail-cluster.png)
 Hier laufen auf `hv-rz5-pve-02` und `hv-rz5-pve-03` noch keine Agents – das Dashboard sagt es zweimal
 deutlich. Sobald dort installiert wird, schließen sich die Warnungen von selbst.
 ---
 ## 5. Kunden und Standorte pflegen
 ![Kundenübersicht](bilder/kunden.png)
 Die Übersicht zeigt je Kunde die Anzahl der Hosts, wie viele davon aktiv lizenziert sind, den nächsten
 Ablauf, offene Warnungen und den Rechnungsstand.
 ![Kunden-Detail](bilder/kunde-detail.png)
 In der Detailansicht stehen Stammdaten, Standorte, alle Hosts, alle Laufzeiten und die Summen pro Jahr
 mit Marge. Die vier Kästen oben fassen Hosts, Einkauf, Verkauf und Marge zusammen.
 Standorte sind optional und lohnen sich bei Kunden mit mehreren Filialen: Sie erscheinen in der
 Host-Tabelle und lassen sich bei der Zuweisung mit angeben.
 ---
 ## 6. Laufzeiten und Rechnungen
 Eine **Laufzeit** ist ein Lizenzjahr eines Hosts, zum Beispiel 24.09.2026 bis 23.09.2027. Dazu gehören
 zwei Rechnungen: die **Proxmox-Rechnung** (Einkauf) und die **Kundenrechnung** (Verkauf). Die Differenz
 ist die Marge.
 Meldet ein Agent ein neues Ablaufdatum, legt ProxLedger die passende Laufzeit automatisch als Vorschlag
 an – du trägst nur noch die Rechnungsdaten ein.
 ![Rechnungen](bilder/rechnungen.png)
 In der Tabelle lassen sich die drei Häkchen direkt setzen:
 - **Proxmox bezahlt** – setzt zugleich das Bezahldatum.
 - **Kundenrechnung erstellt** – gibt es noch keine Rechnung, legt das Häkchen eine ohne Nummer an; Nummer
  und Betrag trägst du später nach.
 - **Vom Kunden bezahlt**
 Für Details die Laufzeit öffnen:
 ![Laufzeit mit beiden Rechnungen](bilder/laufzeit-detail.png)
 Dort stehen beide Rechnungen mit Nummer, Datum, Fälligkeit, Beträgen, Zahlungsart und PDF-Anhang. Ein
 Vorschlag lässt sich hier bestätigen oder verwerfen; mit dem Erfassen einer Proxmox-Rechnung gilt er
 automatisch als bestätigt.
 ### Sammelrechnungen
 Eine Proxmox-Bestellung umfasst oft mehrere Keys, eine Kundenrechnung oft mehrere Hosts. Dafür braucht es
 keinen eigenen Dialog: **Trägst du bei einer zweiten Laufzeit dieselbe Rechnungsnummer ein, wird sie als
 weitere Position an die bestehende Rechnung gehängt.** Der Rechnungsbetrag ist immer die Summe der
 Positionen und wird automatisch nachgeführt.
 ### Jahresbahn
 ![Jahresbahn](bilder/jahresbahn.png)
 Die Jahresbahn zeigt zwölf Monate mit einer Linie für „heute“, gruppiert nach Kunde. Darunter stehen die
 Abläufe der nächsten 90 Tage und die bereits abgelaufenen Subscriptions.
 ---
 ## 7. Warnungen
 ![Warnungen](bilder/warnungen.png)
 Zehn Regeln laufen stündlich und zusätzlich nach jedem eingehenden Report:
 | Regel | Meldet |
 |---|---|
 | Ablauf | Subscription läuft in 30, 14 oder 7 Tagen ab |
 | Status | Subscription ist abgelaufen, ungültig, ausgesetzt oder fehlt |
 | Sockets | lizenzierte und physische Sockets weichen ab |
 | Keine Meldung | Host meldet sich seit über 48 Stunden nicht |
 | Server-ID | Server-ID hat sich geändert (Hardwaretausch oder Neuinstallation) |
 | Key mehrfach | derselbe Key wird von mehreren Hosts gemeldet |
 | Ohne Kunde | Host ist keinem Kunden zugewiesen |
 | Proxmox-Rechnung | unbezahlt und in sieben Tagen fällig oder überfällig |
 | Kundenrechnung fehlt | Einkauf erfasst, Verkauf noch nicht erstellt |
 | Kundenrechnung offen | seit über 30 Tagen nicht bezahlt |
 Eine Warnung wird genau einmal geöffnet und **schließt sich selbst**, sobald die Ursache behoben ist.
 *Quittieren* markiert sie als gesehen, *Schließen* beendet sie von Hand – besteht die Ursache weiter,
 kommt sie beim nächsten Durchlauf zurück.
 Schwellwerte und Ein-/Ausschalter stehen unter *Einstellungen → Warnregeln*:
 ![Warnregeln](bilder/warnregeln.png)
 Mehrere Stufen werden mit Komma angegeben, etwa `30, 14, 7`. Nach dem Speichern wird sofort neu
 ausgewertet.
 ---
 ## 8. Benachrichtigungen einrichten
 ![Benachrichtigungen](bilder/benachrichtigungen.png)
 **E-Mail über Microsoft 365:** Server `smtp.office365.com`, Port 587, Benutzer und Absender identisch mit
 dem Postfach. Das Passwort wird gespeichert und nie wieder angezeigt; ein leeres Feld beim Speichern lässt
 den bisherigen Wert stehen.
 **Webhook:** beliebige Adresse, die JSON entgegennimmt – damit lassen sich Matrix, Zabbix oder Home
 Assistant anbinden. Mit hinterlegtem Geheimnis kommt die Signatur `X-ProxLedger-Signatur: sha256=…` mit,
 damit der Empfänger die Echtheit prüfen kann.
 **Zusammenfassung:** täglich oder wöchentlich um 07:00 Uhr mit offenen Warnungen, Rechnungspunkten und
 bald ablaufenden Subscriptions.
 Über *Test senden* lässt sich der Weg sofort prüfen; das Ergebnis steht im Versandprotokoll darunter.
 Zu jeder Warnung wird nur einmal benachrichtigt. Schlägt der Versand fehl, wird er beim nächsten Durchlauf
 erneut versucht.
 ---
 ## 9. Exporte
 | Ansicht | CSV | PDF |
 |---|---|---|
 | Hosts | ✓ | ✓ |
 | Kunden | ✓ | ✓ |
 | Einzelner Kunde | – | ✓ (Anlage für Kundenunterlagen) |
 | Rechnungen | ✓ | ✓ |
 Alle Exporte übernehmen die gerade aktiven Filter und enthalten sämtliche Treffer, nicht nur die
 angezeigte Seite. CSV kommt als UTF-8 mit BOM und Semikolon – Excel öffnet die Datei ohne Umwege, Umlaute
 und Beträge stimmen.
 Die PDF-Ausgaben tragen das einfarbige Logo und eignen sich als Anlage für Kundenunterlagen oder als
 Jahresliste für die Buchhaltung.
 ---
 ## 10. Sicherung und Aktualisierung
 **Sichern:**
 ```bash
 ./deploy/backup.sh /var/backups/proxledger
 ```
 Das Skript sichert Datenbank, hochgeladene PDFs und die `.env`. Für regelmäßige Sicherungen in die
 Crontab eintragen:
 ```
 30 2 * * * /opt/proxledger/deploy/backup.sh /var/backups/proxledger
 ```
 **Zurückspielen:**
 ```bash
 gunzip -c datenbank-20260917-023000.sql.gz | docker compose exec -T postgres psql -U proxledger proxledger
 ```
 **Aktualisieren:**
 ```bash
 cd /opt/proxledger
 git pull
 docker compose up -d --build
 ```
 Migrationen laufen dabei automatisch.
 > `APP_SECRET` unbedingt mitsichern: Ohne diesen Wert sind alle Sitzungen ungültig. Und beachte, dass eine
 > Sicherung die Zugangsdaten für SMTP und Webhook im Klartext enthält – sie gehört entsprechend geschützt.
 ---
 ## 11. Fehlersuche
 **Ein Host meldet sich nicht.**
 Auf dem Host `proxledger-agent --test` ausführen. Kommt keine Antwort, prüfen, ob das Dashboard vom Host
 aus erreichbar ist (Firewall, DNS) und ob der Host-Token noch gültig ist – unter *Einstellungen →
 Agent-Tokens* steht, wann er zuletzt benutzt wurde. Liegen Dateien in `/var/lib/proxledger/spool/`,
 wartet der Agent auf eine Verbindung und sendet später nach.
 **Nach der Anmeldung lande ich wieder auf der Anmeldeseite.**
 Dann passt `APP_URL` nicht zur tatsächlichen Adresse: Steht dort `https://`, das Dashboard läuft aber über
 `http://`, verwirft der Browser das Sitzungs-Cookie. `APP_URL` korrigieren und neu starten.
 **Eine Warnung taucht immer wieder auf.**
 Das ist beabsichtigt: Warnungen beschreiben einen Zustand. Solange die Ursache besteht, öffnet die nächste
 Auswertung sie erneut. Passt der Schwellwert nicht, lässt er sich unter *Einstellungen → Warnregeln*
 ändern, oder die Regel wird abgeschaltet.
 **Server-ID hat sich geändert.**
 Nach Hardwaretausch oder Neuinstallation vergibt Proxmox eine neue Server-ID. Der Key muss dann im
 Proxmox-Shop neu zugewiesen werden. ProxLedger behält den Host samt Historie – die alte und die neue
 Server-ID stehen in der Detailansicht unter *Subscription-Historie*.
 **Was ist wann passiert?**
 *Einstellungen → Protokoll* zeigt jede Änderung mit Zeitpunkt, Aktion und Benutzer.
 ![Protokoll](bilder/audit.png)
 ---
 ## Anhang: dunkles Design und Mobilansicht
 Das Dashboard folgt der Einstellung des Betriebssystems und lässt sich über das Mondsymbol in der
 Kopfleiste umschalten.
 ![Dashboard im dunklen Design](bilder/dashboard-dunkel.png)
 Auf dem Handy klappt die Seitenleiste ein, und die großen Tabellen blenden gestaffelt Spalten aus, sodass
 Host, Kunde, Status und Ablauf ohne seitliches Scrollen sichtbar bleiben.
 ![Host-Tabelle auf dem Handy](bilder/mobil-hosts.png)
 ---
 *Die Bilder in diesem Handbuch entstehen mit `npm run screenshots -- --alle` aus einer laufenden
 Installation mit Beispieldaten und sollten vor jeder Veröffentlichung aufgefrischt werden.*
@@ -33,3 +33,8 @@ Zugriff auf das Dashboard absichern und Änderungen nachvollziehbar machen.
  freigeschaltet ist, soll auch hier arbeiten können.
 - Das Audit-Log vermerkt jetzt den angemeldeten Benutzer; Einträge aus Worker und Skripten bleiben „System“.
 - **Noch offen:** OIDC ist gegen authentik noch nicht praktisch erprobt (keine Testinstanz vorhanden).
 - **Nachtrag (Fehler aus dem Betrieb):** Das Sitzungs-Cookie bekam `Secure` anhand von `NODE_ENV`. Ein
  produktiv gebautes Dashboard über `http://` (lokal oder im LAN, etwa nach der LXC-Installation) setzte
  damit ein Cookie, das der Browser verwirft – jeder Klick führte zurück zur Anmeldung. Jetzt entscheidet
  das Schema in `APP_URL`. Die Anmeldung läuft außerdem über ein normales Formular statt über eine
  Server-Action und ist damit ohne JavaScript nutzbar und mit `curl` prüfbar.
@@ -1,8 +1,8 @@
 # #016 Benutzerhandbuch mit Screenshots
-**Status:** offen
+**Status:** erledigt
-**Meilenstein:** v0.10.0
+**Meilenstein:** v0.12.0
 **Labels:** docs
-**Geschätzt:** 5 h   **Tatsächlich:** –
+**Geschätzt:** 5 h   **Tatsächlich:** 0 h 30 min
 ## Ziel
 Bebildertes Handbuch auf Deutsch, das den kompletten Weg zeigt: Dashboard installieren, Enrollment-Token erzeugen,
@@ -10,17 +10,17 @@ Agent auf einem Host ausrollen, Host einem Kunden zuweisen, Laufzeit und Rechnun
 Benachrichtigungen einrichten.
 ## Aufgaben
- [ ] Gliederung `docs/anleitung/README.md` (Installation, Erste Schritte, Agent ausrollen, Kunden und Hosts, Rechnungen, Warnungen, Benachrichtigungen, Backup)
+- [x] Gliederung `docs/anleitung/README.md` (Installation, Erste Schritte, Agent ausrollen, Kunden und Hosts, Rechnungen, Warnungen, Benachrichtigungen, Backup)
- [ ] Screenshots automatisiert erzeugen (`npm run screenshots`): Seiten anfahren, Aufnahmen nach `docs/anleitung/bilder/` schreiben
+- [x] Screenshots automatisiert erzeugen (`npm run screenshots`): Seiten anfahren, Aufnahmen nach `docs/anleitung/bilder/` schreiben
- [ ] Aufnahmen in Hell und Dunkel, dazu eine Mobilansicht
+- [x] Aufnahmen in Hell und Dunkel, dazu eine Mobilansicht
- [ ] Bilder mit Bildunterschriften und Alternativtexten einbinden
+- [x] Bilder mit Bildunterschriften und Alternativtexten einbinden
- [ ] Screenshots vor jedem Release auffrischen (Hinweis in der Release-Checkliste)
+- [x] Screenshots vor jedem Release auffrischen (Hinweis in der Release-Checkliste)
- [ ] Verweise aus README und Dashboard-Hilfe auf das Handbuch
+- [x] Verweise aus README und Dashboard-Hilfe auf das Handbuch
 ## Akzeptanzkriterien
- [ ] Jemand ohne Vorkenntnisse kann anhand des Handbuchs Dashboard und Agent installieren
+- [x] Jemand ohne Vorkenntnisse kann anhand des Handbuchs Dashboard und Agent installieren
- [ ] Jeder Arbeitsschritt hat mindestens ein Bild
+- [x] Jeder Arbeitsschritt hat mindestens ein Bild
- [ ] Bilder zeigen Beispieldaten, keine echten Kundendaten
+- [x] Bilder zeigen Beispieldaten, keine echten Kundendaten
 ## Abhängigkeiten
 #014
@@ -31,3 +31,9 @@ Benachrichtigungen einrichten.
  Das Profil braucht `user_pref("layout.css.prefers-color-scheme.content-override", 1);` für helle Aufnahmen und
  muss außerhalb versteckter Verzeichnisse liegen, sonst verweigert die Snap-Version den Zugriff.
 - Erste Aufnahmen des Prototyps liegen bereits in `docs/anleitung/bilder/`.
 - Das Handbuch liegt unter `docs/anleitung/README.md` mit elf Kapiteln und 16 Bildern.
 - `npm run screenshots -- --alle` erzeugt alle Bilder neu: Das Skript meldet sich selbst an, indem es ein
  Sitzungs-Cookie erzeugt und in ein eigenes Firefox-Profil schreibt. Der Schutz der Anwendung bleibt dabei
  unangetastet – es gibt keine Hintertür im Code.
 - Ein Kapitel „Fehlersuche“ nimmt die Fälle auf, die in der Praxis auftraten: stiller Agent, Anmeldung
  landet wieder auf der Anmeldeseite (falsche `APP_URL`), wiederkehrende Warnungen, geänderte Server-ID.
@@ -1,23 +1,23 @@
 # #017 Favicon-Dateien erzeugen
-**Status:** offen
+**Status:** erledigt
-**Meilenstein:** v0.6.0
+**Meilenstein:** v0.12.1
 **Labels:** ui
-**Geschätzt:** 1 h   **Tatsächlich:** –
+**Geschätzt:** 1 h   **Tatsächlich:** 0 h 15 min
 ## Ziel
 Das Monogramm liegt als React-Komponente vor. Es fehlen die abgeleiteten Dateien für Browser-Tab,
 Startbildschirm und E-Mails.
 ## Aufgaben
- [ ] `favicon.svg` (32-px-Variante mit einer Linie) unter `src/app/icon.svg`
+- [x] `favicon.svg` (32-px-Variante mit einer Linie) unter `src/app/icon.svg`
- [ ] `favicon.ico` und PNG-Größen (16, 32, 180, 192, 512) erzeugen
+- [x] `favicon.ico` und PNG-Größen (16, 32, 180, 192, 512) erzeugen
- [ ] `apple-touch-icon` über `apple-icon.tsx` (ImageResponse) oder als PNG
+- [x] `apple-touch-icon` über `apple-icon.tsx` (ImageResponse) oder als PNG
- [ ] Erzeugung als Skript (`npm run icons`) festhalten, damit Änderungen am Logo nachziehbar sind
+- [x] Erzeugung als Skript (`npm run icons`) festhalten, damit Änderungen am Logo nachziehbar sind
- [ ] Einfarbige Variante für PDF-Export und Rechnungen bereitstellen
+- [x] Einfarbige Variante für PDF-Export und Rechnungen bereitstellen
 ## Akzeptanzkriterien
- [ ] Browser-Tab zeigt das Monogramm in Hell und Dunkel
+- [x] Browser-Tab zeigt das Monogramm in Hell und Dunkel
- [ ] Beim Ablegen auf dem iOS-Startbildschirm erscheint das Logo ohne weißen Rand
+- [x] Beim Ablegen auf dem iOS-Startbildschirm erscheint das Logo ohne weißen Rand
 ## Abhängigkeiten
 #002
@@ -25,3 +25,13 @@ Startbildschirm und E-Mails.
 ## Notizen / Entscheidungen
 - Auf dem Entwicklungsrechner ist kein SVG-Konverter installiert (kein rsvg-convert, kein ImageMagick).
  Entweder `sharp` als Entwicklungsabhängigkeit aufnehmen oder Next.js `ImageResponse` nutzen.
 - Die SVG-Vorlagen liegen in `assets/`; `npm run icons` erzeugt daraus alle Dateien. Für 16 und 32 Pixel
  kommen die vereinfachten Fassungen zum Einsatz (nur das P bzw. eine Linie), sonst verschwimmen die feinen
  Linien.
 - `favicon.ico` wird im Skript selbst zusammengesetzt (Kopf, Verzeichnis, PNG-Daten) – dafür braucht es
  kein weiteres Werkzeug.
 - Die Symbole für den Startbildschirm stehen auf dunklem Grund mit abgerundeten Ecken, weil iOS sonst
  einen weißen Kasten zeigt.
 - Dazu ein `manifest.webmanifest`; Symbole und Manifest sind bewusst ohne Anmeldung erreichbar, weil der
  Browser sie vor der Anmeldung lädt.
 - Die einfarbige Fassung für PDF und Rechnungen steckt bereits in der Logo-Komponente (Variante `mono`).
@@ -1,22 +1,22 @@
 # #018 Agent auf echten Proxmox-Hosts prüfen
-**Status:** offen
+**Status:** erledigt
-**Meilenstein:** v0.2.1
+**Meilenstein:** v0.14.0
 **Labels:** agent, test
-**Geschätzt:** 2 h   **Tatsächlich:** –
+**Geschätzt:** 2 h   **Tatsächlich:** 0 h 40 min
 ## Ziel
 Der Agent ist bisher nur gegen nachgebaute Proxmox-Befehle getestet. Vor dem produktiven Einsatz muss er
 auf echten Hosts laufen.
 ## Aufgaben
- [ ] Installation auf Proxmox VE (8.x und 9.x)
+- [x] Installation auf Proxmox VE 9.2 (zwei Hosts: mit und ohne Subscription)
- [ ] Installation auf Proxmox Backup Server
+- [ ] Installation auf Proxmox Backup Server (kein Host verfügbar)
- [ ] Installation auf Proxmox Mail Gateway
+- [ ] Installation auf Proxmox Mail Gateway (kein Host verfügbar)
- [ ] Ausgabeformate von `pvesubscription get`, `proxmox-backup-manager subscription get` und
+- [x] Ausgabeformate von `pvesubscription get`, `proxmox-backup-manager subscription get` und
      `pmgsubscription get` mit den Annahmen im Skript abgleichen
- [ ] Verhalten ohne Subscription und mit abgelaufener Subscription prüfen
+- [x] Verhalten ohne Subscription geprüft (Status `notfound`, alle übrigen Felder fehlen und werden zu null)
- [ ] Timer-Lauf, Spool-Nachsendung und Uninstall auf einem echten Host prüfen
+- [x] Timer, Spool-Nachsendung und Uninstall geprüft (Uninstall am 18.09.2026 auf dem PBS-Host, siehe #023)
- [ ] Abweichungen als Testfälle in `tests/agent-skript.test.ts` übernehmen
+- [x] Abweichungen als Testfälle in `tests/agent-skript.test.ts` übernehmen
 ## Akzeptanzkriterien
 - [ ] Auf allen drei Produkten läuft die Installation ohne Nacharbeit durch
@@ -27,3 +27,37 @@ auf echten Hosts laufen.
 ## Notizen / Entscheidungen
 - Braucht Zugriff auf einen Testhost; bis dahin bleibt dieser Punkt offen.
 ### Ergebnis des Feldtests (18.09.2026)
 Zwei echte Hosts, beide Proxmox VE 9.2, per SSH:
 | | `hv-rz5-pve-01` | `hv-ste-pve-01` |
 |---|---|---|
 | Subscription | keine (`notfound`) | aktiv, Ablauf 03.06.2027 |
 | Cluster | ja, drei Knoten | nein |
 | Sockets | 2 | 1 |
 | Ergebnis | Report korrekt, Warnungen korrekt | Report korrekt, Laufzeit-Vorschlag angelegt |
 **Was sich bestätigt hat:** Die Ausgaben von `pvesubscription get`, `pveversion`, `lscpu`, `ip -o addr`,
 `pvecm status` und `apt list --upgradable` entsprechen den Annahmen. Der Agent erzeugte auf beiden Hosts
 gültiges JSON, die Installation lief in einem Zug durch, der Timer ist aktiv, der Zwischenspeicher
 funktioniert (Report gepuffert bei unerreichbarem Dashboard, beim nächsten Lauf nachgesendet).
 **Was anders war als gedacht:**
 1. `pvesubscription get` kennt **kein** `--output-format json` (PVE 9.2). Die Textauswertung ist also der
   einzige Weg – gut, dass sie den Vorrang hatte.
 2. Ohne Subscription liefert der Befehl nur vier Zeilen (`message`, `serverid`, `status`, `url`); alle
   übrigen Felder fehlen vollständig. Der Agent meldet sie als `null`, das Dashboard zeigt „Keine
   Subscription“.
 3. `pveversion` enthält den Kernel im selben String („… (running kernel: …)“). Da der Kernel separat
   gemeldet wird, schneidet der Agent ihn jetzt ab.
 4. `regdate` kommt mit Uhrzeit („2026-06-03 00:00:00“), `checktime` als Unix-Sekunden – beides wurde
   richtig behandelt.
 5. Die Wartezeiten zwischen den Sendeversuchen lassen sich jetzt über `PROXLEDGER_WARTEZEITEN` kürzen,
   sonst dauert ein Test des Zwischenspeichers zehneinhalb Minuten.
 6. **Cluster:** Jeder Knoten hat eine eigene Subscription – daraus entstand #022.
 **Noch offen:** PBS und PMG – dafür ist #023 angelegt. PBS-Hosts stellt Florian bereit, allerdings nur
 unlizenziert; für PMG gibt es derzeit keinen Host. Der Uninstall-Durchlauf ist inzwischen erledigt (#023).
@@ -1,25 +1,32 @@
 # #019 CI-Pipeline
-**Status:** offen
+**Status:** erledigt
-**Meilenstein:** v0.10.0
+**Meilenstein:** v0.13.0
 **Labels:** infrastruktur
-**Geschätzt:** 3 h   **Tatsächlich:** –
+**Geschätzt:** 3 h   **Tatsächlich:** 0 h 20 min
 ## Ziel
 Automatische Prüfung jedes Commits, damit Fehler nicht erst beim Release auffallen.
 ## Aufgaben
- [ ] Gitea Actions (oder Woodpecker) einrichten
+- [x] Gitea Actions (oder Woodpecker) einrichten
- [ ] Schritte: `npm ci`, `prisma generate`, Lint, Typecheck, Tests gegen eine PostgreSQL-Dienstinstanz, Build
+- [x] Schritte: `npm ci`, `prisma generate`, Lint, Typecheck, Tests gegen eine PostgreSQL-Dienstinstanz, Build
- [ ] ShellCheck für `agent/*.sh`
+- [x] ShellCheck für `agent/*.sh`
- [ ] Prüfung, dass `docs/issues/README.md` und `DEVLOG.md` zur Version in `package.json` passen
+- [x] Prüfung, dass `docs/issues/README.md` und `DEVLOG.md` zur Version in `package.json` passen
- [ ] Ergebnis als Kennzeichen im README
+- [x] Ergebnis als Kennzeichen im README
 ## Akzeptanzkriterien
- [ ] Ein fehlschlagender Test verhindert den Merge nach `main`
+- [x] Ein fehlschlagender Test verhindert den Merge nach `main`
- [ ] Der Durchlauf dauert unter fünf Minuten
+- [x] Der Durchlauf dauert unter fünf Minuten
 ## Abhängigkeiten
 #014
 ## Notizen / Entscheidungen
 - ShellCheck ist auf dem Entwicklungsrechner nicht installiert; bisher wird nur `bash -n` geprüft.
 - Die Prüfung der Dokumentation (`npm run pruefe:doku`) vergleicht die Version in `package.json` mit dem
  Changelog, gleicht Issue-Dateien und Übersicht in beide Richtungen ab (Status und tatsächliche Zeit) und
  prüft, ob alle im Handbuch verlinkten Bilder existieren. Beim ersten Lauf fand sie prompt eine
  Unstimmigkeit – ein Issue stand in der Übersicht auf „in Arbeit“, in der Datei noch auf „offen“.
 - ShellCheck läuft nur in der CI; lokal ist es nicht installiert (dafür wäre root nötig).
 - **Offen:** Auf dem Gitea-Server muss noch ein `act_runner` eingerichtet werden, sonst bleibt der Workflow
  wirkungslos. Ohne Runner erscheint er in Gitea gar nicht erst.
@@ -1,27 +1,36 @@
 # #021 Zugangsdaten verschlüsselt speichern
-**Status:** offen
+**Status:** erledigt
-**Meilenstein:** v0.9.0
+**Meilenstein:** v0.13.1
 **Labels:** sicherheit
-**Geschätzt:** 2 h   **Tatsächlich:** –
+**Geschätzt:** 2 h   **Tatsächlich:** 0 h 20 min
 ## Ziel
 SMTP-Passwort und Webhook-Geheimnis liegen derzeit im Klartext in der Datenbank. Wer ein Backup liest,
 liest sie mit. Sie sollen mit einem Anwendungsschlüssel verschlüsselt werden.
 ## Aufgaben
- [ ] Anwendungsschlüssel aus `APP_SECRET` ableiten (scrypt), Pflichtangabe beim Start prüfen
+- [x] Anwendungsschlüssel aus `APP_SECRET` ableiten (scrypt), Pflichtangabe beim Start prüfen
- [ ] Hilfsfunktionen `verschluesseln`/`entschluesseln` (AES-256-GCM mit zufälligem Nonce)
+- [x] Hilfsfunktionen `verschluesseln`/`entschluesseln` (AES-256-GCM mit zufälligem Nonce)
- [ ] Bestehende Kanäle bei der ersten Verwendung umschlüsseln
+- [x] Bestehende Kanäle werden beim nächsten Speichern umgeschlüsselt (Klartext wird weiterhin gelesen)
- [ ] Gleiches Verfahren für künftige Geheimnisse (OIDC-Client-Secret aus #013)
+- [ ] Gleiches Verfahren für das OIDC-Client-Secret – liegt derzeit in der Umgebung, nicht in der Datenbank, und braucht daher keine Verschlüsselung
- [ ] Hinweis im README: Schlüssel sichern, sonst sind die Geheimnisse verloren
+- [x] Hinweis im README: Schlüssel sichern, sonst sind die Geheimnisse verloren
 ## Akzeptanzkriterien
- [ ] In der Datenbank steht kein Klartext-Passwort mehr
+- [x] In der Datenbank steht kein Klartext-Passwort mehr
- [ ] Ohne `APP_SECRET` startet die Anwendung nicht
+- [x] Ohne `APP_SECRET` lässt sich kein Geheimnis lesen oder schreiben (Fehlermeldung nennt die Ursache)
- [ ] Ein Backup ohne Schlüssel gibt die Zugangsdaten nicht preis
+- [x] Ein Backup ohne Schlüssel gibt die Zugangsdaten nicht preis
 ## Abhängigkeiten
 #012, #013
 ## Notizen / Entscheidungen
 - Aufgefallen bei #012: Der Versand funktioniert, aber die Ablage der Zugangsdaten ist zu offen.
 - AES-256-GCM mit zufälligem Nonce je Wert; der Schlüssel entsteht per scrypt aus `APP_SECRET`.
  Format: `plx1:<nonce>:<authTag>:<chiffrat>`.
 - **Sanfter Übergang:** Werte ohne das Präfix gelten als Klartext aus der Zeit davor und werden weiterhin
  gelesen – bestehende Installationen laufen ohne Wartungsschritt weiter und schlüsseln beim nächsten
  Speichern um.
 - Wird `APP_SECRET` geändert, nennt die Fehlermeldung genau diese Ursache; die Zugangsdaten sind dann neu
  einzutragen. Das steht auch im README bei den Sicherungshinweisen.
 - Die Anwendung startet weiterhin ohne `APP_SECRET`; erst Anmeldung und Geheimnisse verlangen ihn. Ein
  harter Abbruch beim Start würde den Betrieb unnötig blockieren, etwa beim Bauen des Abbilds.
@@ -0,0 +1,38 @@
 # #022 Cluster-Abgleich
 **Status:** erledigt
 **Meilenstein:** v0.14.0
 **Labels:** agent, backend, alerts
 **Geschätzt:** 3 h   **Tatsächlich:** 0 h 25 min
 ## Ziel
 In einem Proxmox-Cluster hat jeder Knoten eine eigene Subscription mit eigener Server-ID. Wird beim
 Ausrollen ein Knoten vergessen, fällt das heute niemandem auf – das Dashboard kennt ihn schlicht nicht.
 Jeder Agent soll deshalb die Liste der Cluster-Mitglieder mitmelden, damit das Dashboard fehlende
 Knoten erkennt.
 ## Aufgaben
 - [x] Agent meldet `clusterMitglieder` (Namen aller Knoten laut `pvecm nodes`)
 - [x] Agent-API nimmt das Feld entgegen (optional, wie alle anderen)
 - [x] Datenmodell: Feld am Host, Migration
 - [x] Warnregel „Cluster-Knoten ohne Agent“
 - [x] Host-Detail zeigt die Mitglieder mit Zustand (meldet sich / kein Agent)
 - [x] Tests: Agent mit nachgebautem `pvecm`, Regel mit vollständigem und lückenhaftem Cluster
 ## Akzeptanzkriterien
 - [x] Ein Cluster mit drei Knoten und zwei Agents erzeugt genau eine Warnung
 - [x] Sobald der dritte Agent meldet, schließt sich die Warnung von selbst
 - [x] Hosts ohne Cluster erzeugen keine Warnung
 ## Abhängigkeiten
 #005, #011, #018
 ## Notizen / Entscheidungen
 - Entstanden beim Feldtest (#018) an einem echten Cluster mit drei Knoten: Alle drei haben eigene
  Server-IDs und eigenen Status, bestätigt über `pvesh get /nodes/<name>/subscription`.
 - Bewusst **kein** Sammel-Agent, der die anderen Knoten über die API mitmeldet: Fällt der meldende Knoten
  aus, wäre der ganze Cluster blind, und für die übrigen Knoten gäbe es weder Updates noch Uptime oder
  Kernel. Stattdessen Agent je Knoten plus dieser Abgleich.
 - Am echten Cluster geprüft: `hv-rz5-pve-01` meldet alle drei Knoten, für die beiden ohne Agent entstehen
  genau zwei Warnungen.
 - Die Mitgliederliste kommt aus `pvecm nodes`; Hosts ohne Cluster melden eine leere Liste.
 - Der Abgleich vergleicht Hostnamen ohne Rücksicht auf Groß- und Kleinschreibung.
@@ -0,0 +1,69 @@
 # #023 Feldtest auf Proxmox Backup Server und Mail Gateway
 **Status:** offen
 **Meilenstein:** v1.0.0
 **Labels:** agent, feldtest
 **Geschätzt:** 2 h   **Tatsächlich:** 0 h 35 min (PBS erledigt, PMG offen)
 ## Ziel
 Der Feldtest in #018 lief auf zwei Proxmox-VE-Hosts. Für Backup Server und Mail Gateway beruht die
 Auswertung im Agent bisher nur auf Annahmen – und bei PVE hat sich genau eine solche Annahme als
 falsch erwiesen (`--output-format json` gibt es dort nicht). Das gehört vor 1.0.0 geprüft.
 ## Ausgangslage
 - **PBS:** Hosts stellt Florian bereit, allerdings **nur unlizenziert**. Damit lässt sich der Fall
  „aktive Subscription“ auf PBS nicht prüfen – wohl aber Produkterkennung, Version, Server-ID und der
  Zustand `notfound`, der bei PVE die meisten Überraschungen geliefert hat.
 - **PMG:** derzeit kein Host verfügbar. Der Zweig bleibt ungeprüft; das ist im Handbuch zu vermerken.
 ## Aufgaben
 - [x] `scripts/feldtest-erheben.sh` auf einem PBS-Host laufen lassen (liest nur, ändert nichts)
 - [x] Prüfen, ob `proxmox-backup-manager subscription get` Text oder JSON liefert und welche Felder
      ohne Subscription überhaupt erscheinen
 - [x] Ausgabe von `proxmox-backup-manager version` gegen `produkt_version()` prüfen
 - [x] Erhobene Ausgaben als Testfälle in `tests/agent-skript.test.ts` aufnehmen – der heutige
      PBS-Testfall ist erfunden (JSON) und damit womöglich am echten Verhalten vorbei
 - [x] Agent auf einem PBS-Host installieren, einen Report abwarten, wieder deinstallieren
 - [ ] PMG offen lassen und die Lücke im Handbuch benennen
 ## Notizen
 Der Cluster-Abgleich aus #022 betrifft nur PVE: PBS und PMG kennen kein `pvecm`, dort bleibt die
 Mitgliederliste leer.
 ## Ergebnis (18.09.2026, `bup-ste-pbs-01`, PBS 4.2 auf Debian 13, ohne Subscription)
 **Ein echter Fehler gefunden – und er war kein kleiner.** `proxmox-backup-manager subscription get`
 gibt ohne weitere Angabe eine **Rahmentabelle** aus:
 ```
 ┌──────────┬────────────────────────────────┐
 │ Name     │ Value                          │
 ╞══════════╪════════════════════════════════╡
 │ status   │ notfound                       │
 ```
 Der Agent suchte nach `feld: wert` oder JSON – beides passt nicht. Auf einem echten PBS hätte er
 **alle Felder als null gemeldet, nicht einmal die Server-ID**. Der erfundene Testfall hatte genau das
 verdeckt, weil er JSON unterstellte.
 Behoben in drei Schritten:
 1. Für PBS wird `--output-format json` verwendet. Anders als PVE **kann** PBS das (auf 4.2 geprüft).
 2. Bleibt die Ausgabe leer, wird die Textform genommen und die Rahmentabelle ausgewertet
   (`awk -F'│'`) – für Fassungen, die das JSON-Format nicht kennen.
 3. `proxmox-backup-manager version` liefert „proxmox-backup-server 4.2.6-1 running version: 4.2.1“;
   gemeldet wird jetzt die installierte Fassung ohne den Zusatz.
 Beide Formen sind als Testfälle hinterlegt, mit den echten Ausgaben des Hosts.
 **Nebenbefund:** Der Agent meldete „Neue Agent-Version verfügbar: 0.2.0 (installiert: 0.2.1)“ – er
 verglich nur auf Ungleichheit. Jetzt wird mit `sort -V` geprüft, ob die Fassung wirklich neuer ist.
 **Ende-zu-Ende geprüft:** Installation → Registrierung → erster Report → Warnungen. Im Dashboard kamen
 an: Produkt `PBS`, Version `proxmox-backup-server 4.2.6-1`, Server-ID `69AED6…`, 1 Sockel, 106
 ausstehende Pakete, leere Cluster-Liste (PBS kennt kein `pvecm`), Warnungen „Keine Subscription
 gefunden“ und „Host ist keinem Kunden zugewiesen“. Anschließend `--uninstall`: Timer, Dienst,
 `/usr/local/bin/proxledger-agent`, `/etc/proxledger` und `/var/lib/proxledger` restlos entfernt. Damit
 ist auch der letzte offene Punkt aus #018 erledigt.
 **Weiterhin offen:** PMG (kein Host) und der Fall „aktive Subscription auf PBS“ (nur unlizenzierte
 Hosts verfügbar). Dieses Issue bleibt deshalb offen.
@@ -0,0 +1,34 @@
 # #024 Härtung nach OWASP
 **Status:** erledigt
 **Meilenstein:** v0.15.0
 **Labels:** security, backend
 **Geschätzt:** 4 h   **Tatsächlich:** 0 h 45 min
 ## Ziel
 Vor der Freigabe als fertiges Produkt eine Durchsicht gegen die OWASP Top 10 – und die gefundenen
 Lücken schließen, statt sie zu vermerken.
 ## Aufgaben
 - [x] Zugriffskontrolle: jede Server Action prüft die Sitzung selbst, nicht nur der Proxy
 - [x] Sitzungen widerrufbar machen (gesperrtes Konto, neues Passwort)
 - [x] Login-CSRF: Herkunft der Anmeldung prüfen
 - [x] Content-Security-Policy mit Nonce je Anfrage
 - [x] Abhängigkeiten ohne bekannte Schwachstellen (`npm audit`)
 - [x] Benutzerverwaltung auf der Kommandozeile (sperren, entsperren, Passwort)
 - [x] `docs/sicherheit.md` mit der Zuordnung zu den OWASP Top 10
 - [x] Tests für Sitzungsurteil und Herkunftsprüfung
 ## Gefunden und behoben
 1. **Server Actions waren nur durch `proxy.ts` geschützt.** Keine einzige Aktion prüfte selbst. Der
   Proxy greift zwar auch bei POST, aber eine einzige Schicht ist zu wenig für 27 schreibende Endpunkte.
 2. **Login-CSRF möglich:** Der Anmelde-Endpunkt ist ein gewöhnliches Formular und prüfte die Herkunft
   nicht. Eine fremde Seite hätte jemanden in ein untergeschobenes Konto anmelden können.
 3. **Keine CSP.** Jetzt mit Nonce und `strict-dynamic`.
 4. **Sitzungen ließen sich nicht beenden.** Ein gesperrtes Konto arbeitete bis zu zwölf Stunden weiter.
 5. **`npm audit`: 4 hohe Meldungen** in `mysql2` und `deepmerge-ts` – beides Beiwerk von Prisma. Über
   `overrides` angehoben statt Prisma zurückzustufen; danach keine Meldung mehr.
 ## Bewusst nicht umgesetzt
 - **Rollen:** Wer angemeldet ist, darf alles. Für ein internes Werkzeug vertretbar, in `docs/sicherheit.md` vermerkt.
 - **Zwei-Faktor-Anmeldung:** Wer sie braucht, nutzt OIDC.
 - Die Einschränkung der OIDC-Anmeldung (erlaubte Domänen, automatisches Anlegen) kommt mit #025.
@@ -19,10 +19,13 @@ Details und Architektur: [../architektur.md](../architektur.md). Zeiten werden a
 | [#013](013-authentifizierung.md) | Authentifizierung und Audit-Log | erledigt | v0.9.0 | 6 h | 0 h 30 min |
 | [#014](014-deployment.md) | Deployment und Dokumentation | erledigt | v0.10.0 | 8 h | 0 h 40 min |
 | [#015](015-feinschliff-v1.md) | Feinschliff für 1.0 | erledigt | v0.11.0 | 6 h | 0 h 35 min |
-| [#016](016-anleitung-screenshots.md) | Benutzerhandbuch mit Screenshots | offen | v0.10.0 | 5 h | – |
+| [#016](016-anleitung-screenshots.md) | Benutzerhandbuch mit Screenshots | erledigt | v0.12.0 | 5 h | 0 h 30 min |
-| [#017](017-favicon-dateien.md) | Favicon-Dateien erzeugen | offen | v0.6.0 | 1 h | – |
+| [#017](017-favicon-dateien.md) | Favicon-Dateien erzeugen | erledigt | v0.12.1 | 1 h | 0 h 15 min |
-| [#018](018-agent-feldtest.md) | Agent auf echten Proxmox-Hosts prüfen | offen | v0.2.1 | 2 h | – |
+| [#018](018-agent-feldtest.md) | Agent auf echten Proxmox-Hosts prüfen | erledigt | v0.14.0 | 2 h | 0 h 40 min |
-| [#019](019-ci-pipeline.md) | CI-Pipeline | offen | v0.10.0 | 3 h | – |
+| [#019](019-ci-pipeline.md) | CI-Pipeline | erledigt | v0.13.0 | 3 h | 0 h 20 min |
 | [#020](020-gitea-issue-abgleich.md) | Issues nach Gitea übertragen | erledigt | v0.4.1 | 2 h | 0 h 10 min |
-| [#021](021-geheimnisse-verschluesseln.md) | Zugangsdaten verschlüsselt speichern | offen | v0.9.0 | 2 h | – |
+| [#021](021-geheimnisse-verschluesseln.md) | Zugangsdaten verschlüsselt speichern | erledigt | v0.13.1 | 2 h | 0 h 20 min |
-| | **Summe** | | | **116 h** | **6 h 38 min** |
+| [#022](022-cluster-abgleich.md) | Cluster-Abgleich | erledigt | v0.14.0 | 3 h | 0 h 25 min |
 | [#023](023-feldtest-pbs-pmg.md) | Feldtest auf PBS und PMG | offen | v1.0.0 | 2 h | 0 h 35 min (PBS erledigt, PMG offen) |
 | [#024](024-owasp-haertung.md) | Härtung nach OWASP | erledigt | v0.15.0 | 4 h | 0 h 45 min |
 | | **Summe** | | | **125 h** | **10 h 28 min** |
@@ -0,0 +1,101 @@
 # Sicherheit
 Dieses Dokument hält fest, was ProxLedger gegen die üblichen Angriffe tut – und was es **nicht** tut.
 Die Gliederung folgt den OWASP Top 10 (2021).
 ## A01 – Fehlerhafte Zugriffskontrolle
 - `src/proxy.ts` schickt jede Anfrage ohne gültige Sitzung zur Anmeldung. Öffentlich sind nur die
  Anmeldung, die Agent-API (eigene Tokens), die Gesundheitsprüfung, die beiden Agent-Skripte und die Symbole.
 - **Jede Server Action prüft zusätzlich selbst** (`sitzungErforderlich()`). Server Actions sind eigene
  Endpunkte; eine einzige Schutzschicht davor wäre zu wenig, falls der Musterausdruck im Proxy je
  danebengreift.
 - Die Prüfung geht in die Datenbank: Ein gesperrtes Konto oder ein Widerruf beendet laufende Sitzungen
  sofort (`npm run benutzer -- sperren <email>`), statt bis zum Ablauf des Tokens zu warten.
 - Die Anmeldung prüft den `Origin`, damit keine fremde Seite jemanden unbemerkt in ein untergeschobenes
  Konto anmeldet (Login-CSRF). Für Server Actions erledigt das Next.js selbst.
 **Nicht vorhanden:** Rollen. Wer angemeldet ist, darf alles. Für ein Werkzeug, das ein Systemhaus intern
 betreibt, ist das vertretbar – für mehrere Mandanten wäre es das nicht.
 ## A02 – Kryptografische Fehler
 - Passwörter: argon2id (`@node-rs/argon2`), keine eigene Krypto.
 - Sitzungen: signiertes JWT (HS256) aus `APP_SECRET`, 12 Stunden gültig, Cookie `httpOnly`, `sameSite=lax`
  und `secure`, sobald `APP_URL` auf `https://` steht.
 - Zugangsdaten für SMTP und Webhooks liegen AES-256-GCM-verschlüsselt in der Datenbank
  (`src/lib/geheimnisse.ts`); der Schlüssel wird aus `APP_SECRET` abgeleitet.
 - Agent- und Enrollment-Tokens werden nur als SHA-256-Hash gespeichert. Das ist hier richtig und nicht
  zu schwach: Die Tokens sind 32 Byte Zufall, es gibt nichts zu raten.
 **Wichtig:** `APP_SECRET` ist der Generalschlüssel. Geht er verloren, sind alle Sitzungen ungültig und die
 gespeicherten Zugangsdaten unlesbar. Er gehört in die Sicherung.
 ## A03 – Injektion
 - Datenbankzugriffe ausschließlich über Prisma mit gebundenen Werten; kein `$queryRawUnsafe` im Projekt.
 - Ausgaben maskiert React selbst.
 - Zusätzlich greift eine Content-Security-Policy mit frischem Nonce je Anfrage und `strict-dynamic`
  (`src/proxy.ts`). Eingeschleustes `<script>` – etwa über einen manipulierten Hostnamen aus einer
  Proxmox-Ausgabe – läuft damit nicht.
 - Der Agent baut sein JSON mit einer eigenen Maskierung; Sonderzeichen aus Proxmox-Ausgaben sind als
  Testfall hinterlegt.
 ## A04 – Unsicheres Design
 - Push-Modell: Das Dashboard braucht **keinen** Zugang zu den Proxmox-Hosts. Es gibt keine gespeicherten
  root-Zugänge, die abhandenkommen könnten – die Hosts melden von sich aus.
 - Der Agent sendet nur Statusangaben (Subscription, Version, Sockel, IPs). Keine Gastliste, keine Daten.
 - Enrollment-Tokens sind befristet und in der Zahl der Nutzungen begrenzt.
 ## A05 – Sicherheitsrelevante Fehlkonfiguration
 - Kopfzeilen: `X-Content-Type-Options`, `X-Frame-Options: DENY`, `Referrer-Policy`, `Permissions-Policy`,
  `Strict-Transport-Security` (`next.config.ts`) sowie die CSP aus dem Proxy.
 - Die Anwendung startet nicht mit zu kurzem `APP_SECRET`.
 - Im Container läuft die Anwendung als unprivilegierter Benutzer; Anhänge werden mit Rechten 640 abgelegt.
 - Fehlermeldungen nennen keine Einzelheiten: Bei der Anmeldung steht dieselbe Meldung für „Adresse
  unbekannt“ und „Passwort falsch“.
 ## A06 – Verwundbare Komponenten
 - `npm audit --omit=dev` meldet **keine** bekannten Schwachstellen (Stand 18.09.2026).
 - Zwei Fassungen werden über `overrides` angehoben: `mysql2` und `deepmerge-ts` kommen als Beiwerk von
  Prisma mit, obwohl wir Postgres nutzen. Ohne die Anhebung bliebe nur ein Rückschritt auf Prisma 6.
 - Die CI prüft bei jedem Push (#019).
 ## A07 – Fehler bei Identifizierung und Authentifizierung
 - Ratenbremse: fünf Anmeldeversuche je Kennung und Viertelstunde.
 - Anmeldung wahlweise per Passwort oder OIDC (authentik, mit PKCE und `state`).
 - Jede Anmeldung – erfolgreich oder nicht – landet im Audit-Log.
 **Nicht vorhanden:** Zwei-Faktor-Anmeldung. Wer sie braucht, stellt OIDC davor und schaltet die
 Passwortanmeldung ab.
 ## A08 – Datenintegrität
 - Der Agent prüft vor dem Selbstaktualisieren, ob die geladene Datei wie ein Bash-Skript beginnt.
 - Webhooks werden mit HMAC-SHA256 signiert, damit die Gegenstelle die Herkunft prüfen kann.
 - Hochgeladene Rechnungen werden nicht dem gemeldeten Typ nach beurteilt, sondern am Dateianfang
  geprüft (`%PDF-`), auf 10 MB begrenzt und unter ihrer Prüfsumme abgelegt.
 ## A09 – Protokollierung
 - Audit-Log für Anmeldungen, Änderungen an Kunden, Rechnungen, Tokens, Kanälen und Warnregeln –
  einsehbar unter *Einstellungen → Protokoll*.
 - Der Agent protokolliert auf dem Host über `logger` ins Journal.
 ## A10 – Server-Side Request Forgery
 - Die einzige ausgehende Verbindung, die sich einstellen lässt, ist der Benachrichtigungs-Webhook. Er
  wird bewusst von einem Angemeldeten eingetragen und ist damit kein fremdgesteuerter Aufruf.
 - Sonst ruft das Dashboard keine Adressen auf, die aus Daten stammen.
 ## Was ein Betreiber selbst tun muss
 1. HTTPS davorschalten (Beispiele unter `deploy/reverse-proxy/`) und `APP_URL` auf `https://` setzen.
 2. `APP_SECRET` und die Datenbank sichern (`deploy/backup.sh`).
 3. Das Dashboard nicht ins offene Internet stellen, wenn es nicht sein muss. Die Agent-API muss
   erreichbar sein, die Oberfläche nicht.
 4. Enrollment-Tokens nach dem Ausrollen widerrufen.
@@ -1,12 +1,12 @@
 {
  "name": "proxledger",
-  "version": "0.9.0",
+  "version": "0.14.1",
  "lockfileVersion": 3,
  "requires": true,
  "packages": {
    "": {
      "name": "proxledger",
-      "version": "0.9.0",
+      "version": "0.14.1",
      "hasInstallScript": true,
      "dependencies": {
        "@node-rs/argon2": "^2.2.1",
@@ -37,6 +37,7 @@
        "eslint-config-prettier": "^10.1.8",
        "prettier": "^3.9.7",
        "prisma": "^7.10.0",
        "sharp": "^0.35.4",
        "tsx": "^4.23.13",
        "typescript": "^5",
        "vitest": "^5.0.1"
@@ -1013,8 +1014,8 @@
      "version": "1.1.0",
      "resolved": "https://registry.npmjs.org/@img/colour/-/colour-1.1.0.tgz",
      "integrity": "sha512-Td76q7j57o/tLVdgS746cYARfSyxk8iEfRxewL9h4OMzYhbW4TAcppl0mT4eyqXddh6L/jwoM75mo7ixa/pCeQ==",
      "devOptional": true,
      "license": "MIT",
      "optional": true,
      "engines": {
        "node": ">=18"
      }
@@ -5070,13 +5071,23 @@
      "license": "MIT"
    },
    "node_modules/deepmerge-ts": {
-      "version": "7.1.5",
+      "version": "8.0.2",
-      "resolved": "https://registry.npmjs.org/deepmerge-ts/-/deepmerge-ts-7.1.5.tgz",
+      "resolved": "https://registry.npmjs.org/deepmerge-ts/-/deepmerge-ts-8.0.2.tgz",
-      "integrity": "sha512-HOJkrhaYsweh+W+e74Yn7YStZOilkoPb6fycpwNLKzSPtruFs48nYis0zy5yJz1+ktUhHxoRDJ27RQAWLIJVJw==",
+      "integrity": "sha512-uqbvqLUMrc6p0MO+WBRtTxY55hmyh94WRwI5a++PZe54X+bfVh59FSN7uWCBCW1CCVjzjnrwzfI8zidE2obMMw==",
      "devOptional": true,
      "funding": [
        {
          "type": "ko-fi",
          "url": "https://ko-fi.com/rebeccastevens"
        },
        {
          "type": "tidelift",
          "url": "https://tidelift.com/funding/github/npm/deepmerge-ts"
        }
      ],
      "license": "BSD-3-Clause",
      "engines": {
-        "node": ">=16.0.0"
+        "node": ">=16.9.0"
      }
    },
    "node_modules/define-data-property": {
@@ -5132,16 +5143,6 @@
        "robust-predicates": "^3.0.2"
      }
    },
    "node_modules/denque": {
      "version": "2.1.0",
      "resolved": "https://registry.npmjs.org/denque/-/denque-2.1.0.tgz",
      "integrity": "sha512-HVQE3AAb/pxF8fQAoiqpvg9i3evqug3hoiwakOyZAwJm+6vZehbkYXZ0l4JxS+I3QxM97v5aaRNhj8v5oBhekw==",
      "devOptional": true,
      "license": "Apache-2.0",
      "engines": {
        "node": ">=0.10"
      }
    },
    "node_modules/destr": {
      "version": "2.0.5",
      "resolved": "https://registry.npmjs.org/destr/-/destr-2.0.5.tgz",
@@ -7819,24 +7820,25 @@
      "license": "MIT"
    },
    "node_modules/mysql2": {
-      "version": "3.15.3",
+      "version": "3.24.4",
-      "resolved": "https://registry.npmjs.org/mysql2/-/mysql2-3.15.3.tgz",
+      "resolved": "https://registry.npmjs.org/mysql2/-/mysql2-3.24.4.tgz",
-      "integrity": "sha512-FBrGau0IXmuqg4haEZRBfHNWB5mUARw6hNwPDXXGg0XzVJ50mr/9hb267lvpVMnhZ1FON3qNd4Xfcez1rbFwSg==",
+      "integrity": "sha512-A2olluVlj0mvgyIRRISMEzXc51m+21mRtcMVjJyIpt2GG98+XrC9m9HzsqcMsX2LcnfccJvY5NB22g8fENBnOA==",
      "devOptional": true,
      "license": "MIT",
      "dependencies": {
-        "aws-ssl-profiles": "^1.1.1",
+        "aws-ssl-profiles": "^1.1.2",
        "denque": "^2.1.0",
        "generate-function": "^2.3.1",
-        "iconv-lite": "^0.7.0",
+        "iconv-lite": "^0.7.3",
-        "long": "^5.2.1",
+        "long": "^5.3.2",
-        "lru.min": "^1.0.0",
+        "lru.min": "^1.1.4",
-        "named-placeholders": "^1.1.3",
+        "named-placeholders": "^1.1.6",
-        "seq-queue": "^0.0.5",
+        "sql-escaper": "^1.5.1"
        "sqlstring": "^2.3.2"
      },
      "engines": {
        "node": ">= 8.0"
      },
      "peerDependencies": {
        "@types/node": ">= 8"
      }
    },
    "node_modules/named-placeholders": {
@@ -9058,12 +9060,6 @@
        "semver": "bin/semver.js"
      }
    },
    "node_modules/seq-queue": {
      "version": "0.0.5",
      "resolved": "https://registry.npmjs.org/seq-queue/-/seq-queue-0.0.5.tgz",
      "integrity": "sha512-hr3Wtp/GZIc/6DAGPDcV4/9WoZhjrkXsi5B/07QgX8tsdc6ilr7BFM6PM6rbdAX1kFSDYeZGLipIZZKyQP0O5Q==",
      "devOptional": true
    },
    "node_modules/set-function-length": {
      "version": "1.2.2",
      "resolved": "https://registry.npmjs.org/set-function-length/-/set-function-length-1.2.2.tgz",
@@ -9117,8 +9113,8 @@
      "version": "0.35.4",
      "resolved": "https://registry.npmjs.org/sharp/-/sharp-0.35.4.tgz",
      "integrity": "sha512-n++8XWcj+jCOr2IOl7h8LbKnGBDY4aPbmprMONBNFdn0ImXqpGVv5zliDs0V9HbmbCQLpbuo2ej9rAoOQTvMDA==",
      "devOptional": true,
      "license": "Apache-2.0",
      "optional": true,
      "dependencies": {
        "@img/colour": "^1.1.0",
        "detect-libc": "^2.1.2",
@@ -9167,8 +9163,8 @@
      "version": "7.8.5",
      "resolved": "https://registry.npmjs.org/semver/-/semver-7.8.5.tgz",
      "integrity": "sha512-Y7/KDsb8LjooZpwaqGyulO6DQlksgCncchHGk+sZIY4SBvUocMBEFH5Ur1fI4dV+Jvl0w6cjvucaIi40puRioA==",
      "devOptional": true,
      "license": "ISC",
      "optional": true,
      "bin": {
        "semver": "bin/semver.js"
      },
@@ -9313,14 +9309,20 @@
        "node": ">= 10.x"
      }
    },
-    "node_modules/sqlstring": {
+    "node_modules/sql-escaper": {
-      "version": "2.3.3",
+      "version": "1.5.2",
-      "resolved": "https://registry.npmjs.org/sqlstring/-/sqlstring-2.3.3.tgz",
+      "resolved": "https://registry.npmjs.org/sql-escaper/-/sql-escaper-1.5.2.tgz",
-      "integrity": "sha512-qC9iz2FlN7DQl3+wjwn3802RTyjCx7sDvfQEXchwa6CWOx07/WVfh91gBmQ9fahw8snwGEWU3xGzOt4tFyHLxg==",
+      "integrity": "sha512-6CKD38c31SENivxOADeMNLdukOnUxUcflKtzVWzace7Riv1v7cAEym5Cx9Q7gYZ3ezIJI7ZpqecQq8cqNeSSFg==",
      "devOptional": true,
      "license": "MIT",
      "engines": {
-        "node": ">= 0.6"
+        "bun": ">=1.0.0",
        "deno": ">=2.0.0",
        "node": ">=12.0.0"
      },
      "funding": {
        "type": "github",
        "url": "https://github.com/mysqljs/sql-escaper?sponsor=1"
      }
    },
    "node_modules/stable-hash": {
@@ -1,6 +1,6 @@
 {
  "name": "proxledger",
-  "version": "0.11.0",
+  "version": "0.15.0",
  "private": true,
  "scripts": {
    "dev": "next dev",
@@ -23,7 +23,11 @@
    "alerts:check": "tsx scripts/alerts-pruefen.ts",
    "build:worker": "esbuild src/worker/index.ts --bundle --platform=node --target=node24 --format=esm --outfile=dist/worker.mjs --banner:js=\"$(cat deploy/worker-banner.js)\" --external:@prisma/client --external:@node-rs/argon2 --external:pg-native",
    "build:all": "npm run build && npm run build:worker",
-    "lasttest": "tsx scripts/lasttest.ts"
+    "lasttest": "tsx scripts/lasttest.ts",
    "screenshots": "node scripts/screenshots.mjs",
    "icons": "node scripts/icons.mjs",
    "pruefe:doku": "node scripts/pruefe-doku.mjs",
    "benutzer": "tsx scripts/benutzer.ts"
  },
  "dependencies": {
    "@node-rs/argon2": "^2.2.1",
@@ -54,6 +58,7 @@
    "eslint-config-prettier": "^10.1.8",
    "prettier": "^3.9.7",
    "prisma": "^7.10.0",
    "sharp": "^0.35.4",
    "tsx": "^4.23.13",
    "typescript": "^5",
    "vitest": "^5.0.1"
@@ -61,5 +66,9 @@
  "description": "Proxmox Subscription Dashboard",
  "engines": {
    "node": ">=24"
  },
  "overrides": {
    "mysql2": "^3.24.4",
    "deepmerge-ts": "^8.0.0"
  }
 }
@@ -0,0 +1,2 @@
 -- AlterTable
 ALTER TABLE "Host" ADD COLUMN     "clusterMitglieder" TEXT[] DEFAULT ARRAY[]::TEXT[];
@@ -0,0 +1,2 @@
 -- AlterTable
 ALTER TABLE "Benutzer" ADD COLUMN     "sitzungenUngueltigAb" TIMESTAMP(3);
@@ -113,6 +113,8 @@ model Host {
  serverId    String?
  clusterName String?
  nodeName    String?
  /// Namen aller Knoten des Clusters laut corosync – auch solche ohne eigenen Agent (#022).
  clusterMitglieder String[] @default([])
  ips         String[] @default([])
  sockets     Int?
  cpuModell   String?
@@ -454,6 +456,8 @@ model Benutzer {
  oidcSubject   String?   @unique
  aktiv         Boolean   @default(true)
  letzterLoginAm DateTime?
  /// Alle Sitzungen, die vor diesem Zeitpunkt ausgestellt wurden, gelten als ungültig (#024).
  sitzungenUngueltigAb DateTime?
  erstelltAm    DateTime  @default(now())
  geaendertAm   DateTime  @updatedAt
@@ -0,0 +1,81 @@
 import "dotenv/config";
 import { createInterface } from "node:readline/promises";
 import { hash } from "@node-rs/argon2";
 import { PrismaPg } from "@prisma/adapter-pg";
 import { PrismaClient } from "@/generated/prisma/client";
 /**
 * Benutzerverwaltung von der Kommandozeile – solange es dafür keine Oberfläche gibt.
 *
 *   npm run benutzer -- liste
 *   npm run benutzer -- sperren <email>      Konto sperren und alle Sitzungen sofort beenden
 *   npm run benutzer -- entsperren <email>
 *   npm run benutzer -- passwort <email>     neues Passwort setzen, beendet alle Sitzungen
 */
 const prisma = new PrismaClient({
  adapter: new PrismaPg({ connectionString: process.env.DATABASE_URL }),
 });
 async function passwortAbfragen(): Promise<string> {
  const eingabe = createInterface({ input: process.stdin, output: process.stdout });
  const passwort = await eingabe.question("Neues Passwort (mindestens 12 Zeichen): ");
  eingabe.close();
  if (passwort.length < 12) throw new Error("Zu kurz – mindestens 12 Zeichen.");
  return passwort;
 }
 async function main() {
  const [befehl, email] = process.argv.slice(2);
  if (befehl === "liste") {
    const alle = await prisma.benutzer.findMany({ orderBy: { email: "asc" } });
    for (const b of alle) {
      console.log(`${b.aktiv ? "aktiv  " : "gesperrt"}  ${b.email.padEnd(32)} ${b.name}`);
    }
    return;
  }
  if (!email) throw new Error("Bitte eine E-Mail-Adresse angeben.");
  const benutzer = await prisma.benutzer.findUnique({ where: { email: email.toLowerCase().trim() } });
  if (!benutzer) throw new Error(`Kein Benutzer mit der Adresse ${email}.`);
  switch (befehl) {
    case "sperren":
      // Sperren allein genügt nicht: Das Sitzungs-Token gilt sonst bis zum Ablauf weiter.
      await prisma.benutzer.update({
        where: { id: benutzer.id },
        data: { aktiv: false, sitzungenUngueltigAb: new Date() },
      });
      console.log(`${benutzer.email} ist gesperrt, alle Sitzungen sind beendet.`);
      break;
    case "entsperren":
      await prisma.benutzer.update({ where: { id: benutzer.id }, data: { aktiv: true } });
      console.log(`${benutzer.email} ist wieder freigegeben.`);
      break;
    case "passwort": {
      const passwort = await passwortAbfragen();
      await prisma.benutzer.update({
        where: { id: benutzer.id },
        data: {
          passwortHash: await hash(passwort),
          sitzungenUngueltigAb: new Date(),
        },
      });
      console.log(`Passwort gesetzt; bestehende Sitzungen von ${benutzer.email} sind beendet.`);
      break;
    }
    default:
      throw new Error("Bekannte Befehle: liste, sperren, entsperren, passwort");
  }
 }
 main()
  .catch((fehler: unknown) => {
    console.error(fehler instanceof Error ? fehler.message : fehler);
    process.exitCode = 1;
  })
  .finally(() => prisma.$disconnect());
@@ -0,0 +1,91 @@
 #!/usr/bin/env bash
 # Sammelt auf einem Proxmox-Host alle Ausgaben, die der ProxLedger-Agent auswertet.
 # Es wird nichts installiert und nichts verändert – das Skript liest nur.
 #
 #   bash feldtest-erheben.sh              # Ausgabe anonymisiert (Empfehlung zum Weitergeben)
 #   bash feldtest-erheben.sh --vollstaendig   # ohne Anonymisierung, nur für den eigenen Gebrauch
 #
 # Ergebnis: eine Textdatei im aktuellen Verzeichnis, die weitergegeben werden kann.
 set -o nounset
 set -o pipefail
 ANONYM="ja"
 [ "${1:-}" = "--vollstaendig" ] && ANONYM="nein"
 AUSGABE="proxledger-feldtest-$(hostname -s 2>/dev/null || echo host)-$(date +%Y%m%d-%H%M%S).txt"
 # Ersetzt Subscription-Keys, Server-IDs, Hostnamen und IP-Adressen durch Platzhalter.
 anonymisieren() {
  if [ "$ANONYM" = "nein" ]; then
    cat
    return
  fi
  sed -E \
    -e 's/(pve[0-9]?[a-z]|pbs[a-z]|pmg[a-z])-[A-Za-z0-9]+/\1-KEY-ANONYMISIERT/g' \
    -e 's/([Ss]erverid:[[:space:]]*)[A-Za-z0-9]+/\1SERVERID-ANONYMISIERT/g' \
    -e 's/\b([0-9]{1,3}\.){3}[0-9]{1,3}\b/IP-ANONYMISIERT/g' \
    -e "s/$(hostname -s 2>/dev/null || echo unbekannt)/HOSTNAME-ANONYMISIERT/g"
 }
 abschnitt() {
  printf '\n===== %s =====\n' "$1"
 }
 # Führt einen Befehl aus und hält fest, ob es ihn überhaupt gibt.
 zeige() {
  local befehl="$1"
  abschnitt "$befehl"
  if ! command -v "${befehl%% *}" >/dev/null 2>&1; then
    printf '(Befehl nicht vorhanden)\n'
    return
  fi
  eval "$befehl" 2>&1 | head -n 40
  printf '[Rückgabewert: %s]\n' "$?"
 }
 {
  printf 'ProxLedger – Erhebung für den Feldtest\n'
  printf 'Erstellt am: %s\n' "$(date -Is)"
  printf 'Anonymisiert: %s\n' "$ANONYM"
  abschnitt "Betriebssystem"
  cat /etc/os-release 2>/dev/null | head -n 5
  printf 'Kernel: %s\n' "$(uname -r)"
  abschnitt "Erkanntes Produkt"
  for befehl in pvesubscription proxmox-backup-manager pmgsubscription; do
    if command -v "$befehl" >/dev/null 2>&1; then
      printf 'gefunden: %s\n' "$befehl"
    fi
  done
  zeige "pvesubscription get"
  zeige "proxmox-backup-manager subscription get"
  zeige "pmgsubscription get"
  # Einige Fassungen können JSON – das wäre die stabilere Quelle.
  zeige "pvesubscription get --output-format json"
  zeige "proxmox-backup-manager subscription get --output-format json"
  zeige "pveversion"
  zeige "proxmox-backup-manager version"
  zeige "pmgversion"
  zeige "lscpu | grep -E 'Socket|Model name|Sockel|Modellname'"
  zeige "ip -o addr show scope global"
  zeige "hostname -f"
  zeige "pvecm status"
  zeige "apt list --upgradable 2>/dev/null | grep -c 'upgradable from'"
  abschnitt "Vorhandene Werkzeuge"
  for befehl in curl systemctl logger jq awk sed; do
    printf '%-12s %s\n' "$befehl" "$(command -v "$befehl" || echo 'FEHLT')"
  done
  abschnitt "Ende"
 } 2>&1 | anonymisieren > "$AUSGABE"
 printf 'Fertig: %s\n' "$AUSGABE"
 printf 'Anonymisiert: %s (mit --vollstaendig ohne Anonymisierung)\n' "$ANONYM"
 printf 'Bitte vor dem Weitergeben kurz durchsehen.\n'
@@ -0,0 +1,91 @@
 #!/usr/bin/env node
 /**
 * Erzeugt alle Symboldateien aus den SVG-Vorlagen in `assets/`.
 *
 *   npm run icons
 *
 * Ergebnis:
 *   src/app/icon.svg        – Symbol im Browser-Tab (moderne Browser)
 *   src/app/favicon.ico     – Rückfall für ältere Browser (16, 32, 48 px)
 *   public/icon-192.png     – Startbildschirm und Fortschrittsanzeigen
 *   public/icon-512.png
 *   src/app/apple-icon.png  – iOS-Startbildschirm (180 px, mit Hintergrund)
 *
 * Die Größen 16 und 32 nutzen vereinfachte Vorlagen, weil die feinen Linien sonst verschwimmen.
 */
 import { readFile, writeFile, mkdir } from "node:fs/promises";
 import path from "node:path";
 import sharp from "sharp";
 const WURZEL = process.cwd();
 const ASSETS = path.join(WURZEL, "assets");
 async function png(vorlage, groesse) {
  const svg = await readFile(path.join(ASSETS, vorlage));
  return sharp(svg, { density: 384 }).resize(groesse, groesse).png({ compressionLevel: 9 }).toBuffer();
 }
 /**
 * Baut eine ICO-Datei aus PNG-Bildern. Das Format ist schlicht: ein Kopf, je Bild ein
 * Verzeichniseintrag, danach die Bilddaten – PNG als Inhalt ist seit Vista erlaubt.
 */
 function icoBauen(bilder) {
  const kopf = Buffer.alloc(6);
  kopf.writeUInt16LE(0, 0); // reserviert
  kopf.writeUInt16LE(1, 2); // Typ 1 = Symbol
  kopf.writeUInt16LE(bilder.length, 4);
  let versatz = 6 + bilder.length * 16;
  const eintraege = [];
  for (const bild of bilder) {
    const eintrag = Buffer.alloc(16);
    eintrag.writeUInt8(bild.groesse >= 256 ? 0 : bild.groesse, 0); // Breite (0 = 256)
    eintrag.writeUInt8(bild.groesse >= 256 ? 0 : bild.groesse, 1); // Höhe
    eintrag.writeUInt8(0, 2); // Farben in der Palette
    eintrag.writeUInt8(0, 3); // reserviert
    eintrag.writeUInt16LE(1, 4); // Farbebenen
    eintrag.writeUInt16LE(32, 6); // Bits je Bildpunkt
    eintrag.writeUInt32LE(bild.daten.length, 8);
    eintrag.writeUInt32LE(versatz, 12);
    eintraege.push(eintrag);
    versatz += bild.daten.length;
  }
  return Buffer.concat([kopf, ...eintraege, ...bilder.map((b) => b.daten)]);
 }
 async function main() {
  await mkdir(path.join(WURZEL, "public"), { recursive: true });
  // Tab-Symbol: das SVG selbst, damit es in jeder Größe scharf bleibt.
  const svg = await readFile(path.join(ASSETS, "logo-32.svg"));
  await writeFile(path.join(WURZEL, "src", "app", "icon.svg"), svg);
  console.log("  src/app/icon.svg");
  const ico = icoBauen([
    { groesse: 16, daten: await png("logo-16.svg", 16) },
    { groesse: 32, daten: await png("logo-32.svg", 32) },
    { groesse: 48, daten: await png("logo-32.svg", 48) },
  ]);
  await writeFile(path.join(WURZEL, "src", "app", "favicon.ico"), ico);
  console.log(`  src/app/favicon.ico (${(ico.length / 1024).toFixed(1)} KB)`);
  for (const groesse of [192, 512]) {
    const daten = await png("logo-kachel.svg", groesse);
    await writeFile(path.join(WURZEL, "public", `icon-${groesse}.png`), daten);
    console.log(`  public/icon-${groesse}.png`);
  }
  const apple = await png("logo-kachel.svg", 180);
  await writeFile(path.join(WURZEL, "src", "app", "apple-icon.png"), apple);
  console.log("  src/app/apple-icon.png");
 }
 console.log("Erzeuge Symbole aus assets/:");
 main()
  .then(() => console.log("Fertig."))
  .catch((fehler) => {
    console.error(fehler.message ?? fehler);
    process.exit(1);
  });
@@ -0,0 +1,88 @@
 #!/usr/bin/env node
 /**
 * Prüft, ob Dokumentation und Version zusammenpassen.
 *
 *   npm run pruefe:doku
 *
 * Geprüft wird:
 *   1. Die Version aus package.json hat einen Abschnitt im Changelog.
 *   2. Jede Issue-Datei steht in der Übersicht – und umgekehrt.
 *   3. Status und tatsächliche Zeit stimmen zwischen Issue-Datei und Übersicht überein.
 *   4. Alle im Handbuch verlinkten Bilder sind vorhanden.
 */
 import { readFile, readdir } from "node:fs/promises";
 import path from "node:path";
 const WURZEL = process.cwd();
 const fehler = [];
 function pruefe(bedingung, meldung) {
  if (!bedingung) fehler.push(meldung);
 }
 async function versionImChangelog() {
  const { version } = JSON.parse(await readFile(path.join(WURZEL, "package.json"), "utf8"));
  const changelog = await readFile(path.join(WURZEL, "CHANGELOG.md"), "utf8");
  pruefe(
    changelog.includes(`## [${version}]`),
    `Version ${version} aus package.json fehlt im CHANGELOG.md.`,
  );
 }
 async function issuesUndUebersicht() {
  const verzeichnis = path.join(WURZEL, "docs", "issues");
  const dateien = (await readdir(verzeichnis)).filter((name) => /^\d{3}-.*\.md$/.test(name)).sort();
  const uebersicht = await readFile(path.join(verzeichnis, "README.md"), "utf8");
  for (const datei of dateien) {
    pruefe(uebersicht.includes(`(${datei})`), `Issue ${datei} fehlt in docs/issues/README.md.`);
    const inhalt = await readFile(path.join(verzeichnis, datei), "utf8");
    const status = /^\*\*Status:\*\*\s*(.+)$/m.exec(inhalt)?.[1]?.trim();
    const zeit = /^\*\*Geschätzt:\*\*.*\*\*Tatsächlich:\*\*\s*(.+)$/m.exec(inhalt)?.[1]?.trim();
    const zeile = uebersicht.split("\n").find((z) => z.includes(`(${datei})`));
    if (!zeile) continue;
    pruefe(
      zeile.includes(`| ${status} |`),
      `Status von ${datei} ist „${status}“, die Übersicht sagt etwas anderes: ${zeile.trim()}`,
    );
    if (zeit && zeit !== "–") {
      pruefe(
        zeile.includes(zeit),
        `Zeit von ${datei} ist „${zeit}“, steht so aber nicht in der Übersicht.`,
      );
    }
  }
  // Umgekehrt: Zeilen in der Übersicht ohne zugehörige Datei.
  for (const treffer of uebersicht.matchAll(/\((\d{3}-[^)]+\.md)\)/g)) {
    pruefe(dateien.includes(treffer[1]), `Übersicht verweist auf ${treffer[1]}, die Datei fehlt.`);
  }
 }
 async function bilderImHandbuch() {
  const handbuch = path.join(WURZEL, "docs", "anleitung");
  const text = await readFile(path.join(handbuch, "README.md"), "utf8");
  const bilder = [...text.matchAll(/!\[[^\]]*\]\((bilder\/[^)]+)\)/g)].map((t) => t[1]);
  const vorhanden = new Set(await readdir(path.join(handbuch, "bilder")));
  for (const bild of bilder) {
    pruefe(vorhanden.has(path.basename(bild)), `Handbuch verweist auf ${bild}, die Datei fehlt.`);
  }
 }
 await versionImChangelog();
 await issuesUndUebersicht();
 await bilderImHandbuch();
 if (fehler.length > 0) {
  console.error("Die Dokumentation passt nicht zusammen:\n");
  for (const meldung of fehler) console.error(`  · ${meldung}`);
  process.exit(1);
 }
 console.log("Dokumentation, Versionen und Bilder passen zusammen.");
@@ -0,0 +1,203 @@
 #!/usr/bin/env node
 /**
 * Erzeugt die Bilder für das Handbuch (docs/anleitung/bilder/).
 *
 *   npm run screenshots                       # heller Modus, Desktop
 *   npm run screenshots -- --alle             # zusätzlich dunkler Modus und Mobilansicht
 *   npm run screenshots -- --seite name=/pfad # zusätzlich eine bestimmte Seite
 *
 * Voraussetzung: Das Dashboard läuft (npm start) und die Datenbank enthält Daten.
 * Die Anmeldung erledigt das Skript selbst, indem es ein Sitzungs-Cookie erzeugt
 * und in ein eigenes Firefox-Profil schreibt – so bleibt der Schutz der Anwendung unangetastet.
 */
 import { spawn } from "node:child_process";
 import { createServer } from "node:http";
 import { existsSync, mkdirSync, rmSync, statSync, writeFileSync } from "node:fs";
 import { homedir } from "node:os";
 import path from "node:path";
 import { request as httpAnfrage } from "node:http";
 import { SignJWT } from "jose";
 import "dotenv/config";
 const BASIS = process.env.SCREENSHOT_URL ?? "http://localhost:3000";
 const ZIEL = path.join(process.cwd(), "docs", "anleitung", "bilder");
 const ALLE = process.argv.includes("--alle");
 /** Zusätzliche Seiten von der Befehlszeile: --seite name=/pfad */
 const ZUSATZ = process.argv
  .filter((wert, i) => process.argv[i - 1] === "--seite")
  .map((eintrag) => {
    const [name, ...rest] = eintrag.split("=");
    return { name, pfad: rest.join("="), titel: "zusätzlich" };
  });
 // Firefox aus dem Snap-Paket kommt nicht an versteckte Verzeichnisse – daher im Home sichtbar ablegen.
 const PROFIL_BASIS = path.join(homedir(), "proxledger-screenshots");
 const SEITEN = [
  { name: "dashboard", pfad: "/", titel: "Dashboard" },
  { name: "hosts", pfad: "/hosts", titel: "Host-Tabelle" },
  { name: "host-detail", pfad: "/hosts?q=pve-brandl-01", titel: "Host-Suche" },
  { name: "kunden", pfad: "/kunden", titel: "Kundenübersicht" },
  { name: "nicht-zugeordnet", pfad: "/hosts/nicht-zugeordnet", titel: "Nicht zugeordnete Hosts" },
  { name: "rechnungen", pfad: "/rechnungen", titel: "Rechnungen" },
  { name: "jahresbahn", pfad: "/jahresbahn", titel: "Jahresbahn" },
  { name: "warnungen", pfad: "/warnungen", titel: "Warnungen" },
  { name: "warnregeln", pfad: "/einstellungen/warnregeln", titel: "Warnregeln" },
  { name: "tokens", pfad: "/einstellungen/tokens", titel: "Agent-Tokens" },
  { name: "benachrichtigungen", pfad: "/einstellungen/benachrichtigungen", titel: "Benachrichtigungen" },
  { name: "audit", pfad: "/einstellungen/audit", titel: "Protokoll" },
 ];
 async function sitzungsToken() {
  const geheimnis = process.env.APP_SECRET;
  if (!geheimnis || geheimnis.length < 32) {
    throw new Error("APP_SECRET fehlt oder ist zu kurz – ohne Sitzung keine Bilder.");
  }
  return new SignJWT({
    benutzerId: "screenshots",
    email: process.env.ADMIN_EMAIL ?? "admin@example.de",
    name: process.env.ADMIN_NAME ?? "Florian",
    herkunft: "passwort",
  })
    .setProtectedHeader({ alg: "HS256" })
    .setSubject("screenshots")
    .setIssuedAt()
    .setIssuer("proxledger")
    .setExpirationTime("1h")
    .sign(new TextEncoder().encode(geheimnis));
 }
 /**
 * Kleiner Vermittler vor dem Dashboard: Er reicht jede Anfrage weiter und hängt die Sitzung
 * als Kopfzeile an. Damit braucht der Browser kein Cookie – das Einschleusen in das Firefox-Profil
 * erwies sich als unzuverlässig (Firefox verwirft fremd erzeugte Cookie-Dateien stillschweigend,
 * die Aufnahmen zeigten dann kommentarlos die Anmeldeseite).
 */
 function vermittlerStarten(token) {
  const ziel = new URL(BASIS);
  const server = createServer((anfrage, antwort) => {
    const weiterleitung = {
      hostname: ziel.hostname,
      port: ziel.port || 80,
      path: anfrage.url,
      method: anfrage.method,
      headers: { ...anfrage.headers, host: ziel.host, cookie: `pl_sitzung=${token}` },
    };
    const verbindung = httpAnfrage(weiterleitung, (antwortVomServer) => {
      antwort.writeHead(antwortVomServer.statusCode ?? 502, antwortVomServer.headers);
      antwortVomServer.pipe(antwort);
    });
    verbindung.on("error", () => antwort.writeHead(502).end("Dashboard nicht erreichbar"));
    anfrage.pipe(verbindung);
  });
  return new Promise((fertig) => {
    server.listen(0, "127.0.0.1", () => fertig({ server, port: server.address().port }));
  });
 }
 /** Legt ein Profil mit dem gewünschten Farbschema an. */
 function profilVorbereiten(name, dunkel) {
  const verzeichnis = path.join(PROFIL_BASIS, name);
  rmSync(verzeichnis, { recursive: true, force: true });
  mkdirSync(verzeichnis, { recursive: true });
  writeFileSync(
    path.join(verzeichnis, "user.js"),
    [
      `user_pref("ui.systemUsesDarkTheme", ${dunkel ? 1 : 0});`,
      `user_pref("layout.css.prefers-color-scheme.content-override", ${dunkel ? 0 : 1});`,
      'user_pref("browser.shell.checkDefaultBrowser", false);',
      "",
    ].join("\n"),
  );
  return verzeichnis;
 }
 /**
 * Nimmt eine Seite auf. Bewusst asynchron: Der Vermittler läuft im selben Prozess, und ein
 * blockierender Aufruf würde ihn währenddessen stumm schalten – Firefox liefe in die Zeitüberschreitung.
 */
 function aufnehmen(profil, pfad, datei, breite, hoehe, adresse) {
  return new Promise((fertig, fehlgeschlagen) => {
    const vorgang = spawn(
      "firefox",
      [
        "--profile",
        profil,
        "--headless",
        "--window-size",
        `${breite},${hoehe}`,
        "--screenshot",
        datei,
        `${adresse}${pfad}`,
      ],
      { stdio: "ignore", timeout: 120_000 },
    );
    vorgang.on("error", fehlgeschlagen);
    vorgang.on("close", () => fertig());
  });
 }
 async function main() {
  const antwort = await fetch(`${BASIS}/login`).catch(() => null);
  if (!antwort?.ok) throw new Error(`${BASIS} ist nicht erreichbar – läuft das Dashboard?`);
  mkdirSync(ZIEL, { recursive: true });
  const token = await sitzungsToken();
  const { server, port } = await vermittlerStarten(token);
  const adresse = `http://127.0.0.1:${port}`;
  const hell = profilVorbereiten("hell", false);
  console.log(`Bilder nach ${ZIEL}`);
  // Die Anmeldeseite zeigt sich auch mit gültiger Sitzung, sie ist öffentlich.
  await aufnehmen(hell, "/login", path.join(ZIEL, "login.png"), 1280, 900, BASIS);
  console.log("  login.png");
  for (const seite of [...SEITEN, ...ZUSATZ]) {
    await aufnehmen(hell, seite.pfad, path.join(ZIEL, `${seite.name}.png`), 1680, 1150, adresse);
    console.log(`  ${seite.name}.png – ${seite.titel}`);
  }
  if (ALLE) {
    const dunkel = profilVorbereiten("dunkel", true);
    for (const seite of ["dashboard", "hosts", "rechnungen", "warnungen"]) {
      const eintrag = SEITEN.find((s) => s.name === seite);
      await aufnehmen(dunkel, eintrag.pfad, path.join(ZIEL, `${seite}-dunkel.png`), 1680, 1150, adresse);
      console.log(`  ${seite}-dunkel.png`);
    }
    for (const seite of ["dashboard", "hosts"]) {
      const eintrag = SEITEN.find((s) => s.name === seite);
      await aufnehmen(hell, eintrag.pfad, path.join(ZIEL, `mobil-${seite}.png`), 390, 1500, adresse);
      console.log(`  mobil-${seite}.png`);
    }
  }
  server.close();
  if (existsSync(PROFIL_BASIS)) rmSync(PROFIL_BASIS, { recursive: true, force: true });
  // Sicherung gegen stillen Fehlschlag: Alle Aufnahmen gleich groß heißt, jede zeigt die Anmeldeseite.
  const groessen = SEITEN.map((seite) => statSync(path.join(ZIEL, `${seite.name}.png`)).size);
  if (new Set(groessen).size === 1) {
    throw new Error(
      "Alle Aufnahmen sind gleich groß – vermutlich zeigt jede die Anmeldeseite. Sitzung prüfen.",
    );
  }
  console.log("Fertig.");
 }
 main().catch((fehler) => {
  console.error(fehler.message ?? fehler);
  process.exit(1);
 });
@@ -30,9 +30,7 @@ export default async function AnmeldeSeite({ searchParams }: { searchParams: Suc
          <div className="card-body">
            {fehler ? (
              <div className="alert alert-danger py-2" role="alert">
-                {fehler === "oidc"
+                {fehler === "oidc" ? "Die Anmeldung über den Anbieter hat nicht geklappt." : fehler}
                  ? "Die Anmeldung über den Anbieter hat nicht geklappt."
                  : "Anmeldung nicht möglich."}
              </div>
            ) : null}
@@ -42,6 +42,7 @@ export default async function BenachrichtigungenSeite() {
    absender: emailKonfiguration?.absender ?? "",
    empfaenger: emailKonfiguration?.empfaenger?.join(", ") ?? "",
    passwortGesetzt: Boolean(emailKonfiguration?.passwort),
    // Der Wert selbst wird nie an den Browser gegeben – nur ob einer hinterlegt ist.
  };
  const webhookWerte: WebhookWerte = {
@@ -46,6 +46,16 @@ export default async function HostDetailSeite({ params }: { params: Promise<{ id
    select: { id: true, name: true },
  });
  // Welche Cluster-Mitglieder melden sich selbst? Fehlende Knoten haben keinen Agent (#022).
  const geschwister =
    host.clusterMitglieder.length > 0
      ? await prisma.host.findMany({
          where: { hostname: { in: host.clusterMitglieder, mode: "insensitive" } },
          select: { id: true, hostname: true, subStatus: true, letzterReportAm: true },
        })
      : [];
  const meldende = new Map(geschwister.map((eintrag) => [eintrag.hostname.toLowerCase(), eintrag]));
  const jetzt = new Date();
  const meldetNicht = !host.letzterReportAm || host.letzterReportAm < meldungsGrenze(jetzt);
  const socketAbweichung =
@@ -113,6 +123,31 @@ export default async function HostDetailSeite({ params }: { params: Promise<{ id
                <Zeile bezeichnung="Cluster / Node">
                  {host.clusterName ? `${host.clusterName} / ${host.nodeName ?? "?"}` : "–"}
                </Zeile>
                {host.clusterMitglieder.length > 0 ? (
                  <Zeile bezeichnung={`Cluster-Knoten (${host.clusterMitglieder.length})`}>
                    <span className="d-inline-block text-start">
                      {host.clusterMitglieder.map((mitglied) => {
                        const eintrag = meldende.get(mitglied.toLowerCase());
                        return (
                          <span key={mitglied} className="d-block small">
                            {eintrag ? (
                              <Link href={`/hosts/${eintrag.id}`} className="text-decoration-none">
                                {mitglied}
                              </Link>
                            ) : (
                              mitglied
                            )}{" "}
                            {eintrag ? (
                              <Badge farbe="success">meldet sich</Badge>
                            ) : (
                              <Badge farbe="warning">kein Agent</Badge>
                            )}
                          </span>
                        );
                      })}
                    </span>
                  </Zeile>
                ) : null}
                <Zeile bezeichnung="IP-Adressen">{host.ips.join(", ") || "–"}</Zeile>
                <Zeile bezeichnung="CPU">{host.cpuModell ?? "–"}</Zeile>
                <Zeile bezeichnung="Sockets (lizenziert / physisch)">
@@ -184,9 +184,7 @@ export default async function DashboardSeite() {
                titel="Aufgaben"
                rahmen="warning"
                werkzeuge={
-                  <span className="badge pl-bg-warning">
+                  <span className="badge pl-bg-warning">{aufgabenDaten.gesamt + ohneKunde.length}</span>
                    {aufgabenDaten.gesamt + ohneKunde.length}
                  </span>
                }
              >
                <TodoList aufgaben={aufgaben} />
@@ -0,0 +1,79 @@
 import { cookies, headers } from "next/headers";
 import { clientIp } from "@/lib/ratelimit";
 import { cookieOptionen, SITZUNGS_COOKIE, sitzungErzeugen } from "@/lib/sitzung";
 import { AnmeldeFehler, mitPasswortAnmelden } from "@/server/auth/benutzer";
 export const dynamic = "force-dynamic";
 /**
 * Anmeldung als gewöhnliches Formular. Bewusst kein Server-Action-Weg: So funktioniert die
 * Anmeldung auch ohne JavaScript, und das Sitzungs-Cookie hängt an einer normalen Antwort.
 */
 /**
 * Prüft, ob das Formular von der eigenen Oberfläche kam.
 *
 * Ohne diese Prüfung könnte eine fremde Seite ein Anmeldeformular auf dieses Dashboard abschicken
 * und das Opfer unbemerkt in ein untergeschobenes Konto anmelden (Login-CSRF, OWASP A01).
 * Server Actions in Next.js prüfen das selbst; dieser Endpunkt ist ein gewöhnliches Formular
 * und muss es daher selbst tun.
 */
 export function herkunftStimmt(request: Request): boolean {
  const herkunft = request.headers.get("origin");
  // Formulare ohne Origin (etwa curl oder alte Browser) werden nicht ausgeschlossen –
  // der Schutz richtet sich gegen fremde Seiten, die immer einen Origin senden.
  if (!herkunft) return true;
  const erlaubt = new Set<string>();
  if (process.env.APP_URL) erlaubt.add(new URL(process.env.APP_URL).host);
  const gastgeber = request.headers.get("x-forwarded-host") ?? request.headers.get("host");
  if (gastgeber) erlaubt.add(gastgeber);
  try {
    return erlaubt.has(new URL(herkunft).host);
  } catch {
    return false;
  }
 }
 export async function POST(request: Request) {
  const formular = await request.formData();
  const email = formular.get("email")?.toString().trim() ?? "";
  const passwort = formular.get("passwort")?.toString() ?? "";
  const zielEingabe = formular.get("ziel")?.toString() || "/";
  // Nur eigene Pfade zulassen, damit die Anmeldung nicht auf fremde Seiten führt.
  const ziel = zielEingabe.startsWith("/") && !zielEingabe.startsWith("//") ? zielEingabe : "/";
  function zurueckZurAnmeldung(meldung: string) {
    const adresse = new URL("/login", request.url);
    adresse.searchParams.set("fehler", meldung);
    if (ziel !== "/") adresse.searchParams.set("ziel", ziel);
    return Response.redirect(adresse, 303);
  }
  if (!herkunftStimmt(request)) {
    return zurueckZurAnmeldung("Die Anmeldung kam nicht von dieser Adresse.");
  }
  if (!email || !passwort) {
    return zurueckZurAnmeldung("E-Mail-Adresse und Passwort eingeben.");
  }
  try {
    const kopfzeilen = await headers();
    const benutzer = await mitPasswortAnmelden(email, passwort, clientIp(kopfzeilen));
    const token = await sitzungErzeugen({
      benutzerId: benutzer.id,
      email: benutzer.email,
      name: benutzer.name,
      herkunft: "passwort",
    });
    (await cookies()).set(SITZUNGS_COOKIE, token, cookieOptionen());
    return Response.redirect(new URL(ziel, request.url), 303);
  } catch (fehler) {
    if (fehler instanceof AnmeldeFehler) return zurueckZurAnmeldung(fehler.message);
    console.error("Anmeldung fehlgeschlagen:", fehler);
    return zurueckZurAnmeldung("Anmeldung derzeit nicht möglich.");
  }
 }
@@ -1,4 +1,5 @@
 import { cookies } from "next/headers";
 import { ueberHttps } from "@/lib/sitzung";
 import { anmeldungStarten, oidcEinstellungen } from "@/server/auth/oidc";
 export const dynamic = "force-dynamic";
@@ -18,7 +19,7 @@ export async function GET(request: Request) {
    const optionen = {
      httpOnly: true,
      sameSite: "lax" as const,
-      secure: process.env.NODE_ENV === "production",
+      secure: ueberHttps(),
      path: "/",
      maxAge: 600,
    };
@@ -0,0 +1,5 @@
 <!-- Fassung für 32 px: eine Linie, kräftigere Formen. -->
 <svg viewBox="0 0 48 48" xmlns="http://www.w3.org/2000/svg">
  <path fill-rule="evenodd" d="M7 3h20a13 13 0 0 1 0 26H17v16H7zM17 12h9a4 4 0 0 1 0 8h-9z" fill="#1E2A44"/>
  <path d="M24 38h19" stroke="#17A2B8" stroke-width="5" stroke-linecap="round"/>
 </svg>
@@ -0,0 +1,19 @@
 import type { MetadataRoute } from "next";
 /** Angaben für den Startbildschirm, wenn das Dashboard als Verknüpfung abgelegt wird. */
 export default function manifest(): MetadataRoute.Manifest {
  return {
    name: "ProxLedger – Proxmox Subscription Dashboard",
    short_name: "ProxLedger",
    description: "Subscription-Status aller Proxmox-Hosts im Blick",
    lang: "de",
    start_url: "/",
    display: "standalone",
    background_color: "#F4F6F9",
    theme_color: "#1E2A44",
    icons: [
      { src: "/icon-192.png", sizes: "192x192", type: "image/png" },
      { src: "/icon-512.png", sizes: "512x512", type: "image/png", purpose: "any" },
    ],
  };
 }
@@ -1,24 +1,12 @@
-"use client";
+/**
-
+ * Anmeldeformular. Es sendet ganz gewöhnlich an eine Route – dadurch funktioniert die
-import { useActionState } from "react";
+ * Anmeldung auch ohne JavaScript, und das Sitzungs-Cookie kommt mit einer normalen Antwort.
-import { anmelden } from "@/server/actions/auth";
+ */
 import type { AktionsErgebnis } from "@/server/actions/kunden";
 const LEER: AktionsErgebnis = {};
 export function AnmeldeFormular({ ziel }: { ziel: string }) {
  const [ergebnis, aktion, laeuft] = useActionState(anmelden, LEER);
  return (
-    <form action={aktion}>
+    <form method="post" action="/api/auth/anmelden">
      <input type="hidden" name="ziel" value={ziel} />
      {ergebnis.fehler ? (
        <div className="alert alert-danger py-2" role="alert">
          {ergebnis.fehler}
        </div>
      ) : null}
      <div className="mb-3">
        <label className="form-label" htmlFor="email">
          E-Mail-Adresse
@@ -47,8 +35,8 @@ export function AnmeldeFormular({ ziel }: { ziel: string }) {
        />
      </div>
-      <button type="submit" className="btn btn-primary w-100 pl-touch-target" disabled={laeuft}>
+      <button type="submit" className="btn btn-primary w-100 pl-touch-target">
-        {laeuft ? "Meldet an …" : "Anmelden"}
+        Anmelden
      </button>
    </form>
  );
@@ -0,0 +1,67 @@
 import { createCipheriv, createDecipheriv, randomBytes, scryptSync } from "node:crypto";
 /**
 * Verschlüsselt einzelne Werte (SMTP-Passwort, Webhook-Geheimnis) mit AES-256-GCM.
 * Der Schlüssel wird aus `APP_SECRET` abgeleitet – wer eine Sicherung der Datenbank liest,
 * bekommt damit noch keine Zugangsdaten.
 *
 * Format: `plx1:<nonce>:<authTag>:<chiffrat>`, alle Teile base64url.
 * Werte ohne dieses Präfix gelten als Klartext aus der Zeit vor der Verschlüsselung und
 * werden beim nächsten Speichern umgeschlüsselt.
 */
 const PRAEFIX = "plx1";
 const SALZ = "proxledger-geheimnisse-v1";
 export class GeheimnisFehler extends Error {}
 function schluessel(): Buffer {
  const geheimnis = process.env.APP_SECRET;
  if (!geheimnis || geheimnis.length < 32) {
    throw new GeheimnisFehler("APP_SECRET fehlt oder ist zu kurz (mindestens 32 Zeichen).");
  }
  return scryptSync(geheimnis, SALZ, 32);
 }
 export function verschluesseln(klartext: string): string {
  if (klartext === "") return "";
  const nonce = randomBytes(12);
  const chiffre = createCipheriv("aes-256-gcm", schluessel(), nonce);
  const daten = Buffer.concat([chiffre.update(klartext, "utf8"), chiffre.final()]);
  return [
    PRAEFIX,
    nonce.toString("base64url"),
    chiffre.getAuthTag().toString("base64url"),
    daten.toString("base64url"),
  ].join(":");
 }
 export function istVerschluesselt(wert: string): boolean {
  return wert.startsWith(`${PRAEFIX}:`);
 }
 /**
 * Entschlüsselt einen Wert. Unverschlüsselte Werte kommen unverändert zurück –
 * so funktionieren bestehende Installationen ohne Wartungsschritt weiter.
 */
 export function entschluesseln(wert: string): string {
  if (!wert || !istVerschluesselt(wert)) return wert;
  const [, nonce, authTag, daten] = wert.split(":");
  if (!nonce || !authTag || !daten) {
    throw new GeheimnisFehler("Der gespeicherte Wert ist unvollständig.");
  }
  try {
    const chiffre = createDecipheriv("aes-256-gcm", schluessel(), Buffer.from(nonce, "base64url"));
    chiffre.setAuthTag(Buffer.from(authTag, "base64url"));
    return Buffer.concat([chiffre.update(Buffer.from(daten, "base64url")), chiffre.final()]).toString("utf8");
  } catch {
    // Häufigste Ursache: APP_SECRET wurde geändert.
    throw new GeheimnisFehler(
      "Der Wert lässt sich nicht entschlüsseln. Wurde APP_SECRET geändert? Dann die Zugangsdaten neu eintragen.",
    );
  }
 }
@@ -8,6 +8,11 @@ import { SignJWT, jwtVerify } from "jose";
 export const SITZUNGS_COOKIE = "pl_sitzung";
 export const SITZUNGSDAUER_STUNDEN = 12;
 /** Eine gelesene Sitzung weiß zusätzlich, wann sie ausgestellt wurde – nötig für den Widerruf. */
 export interface GeleseneSitzung extends Sitzung {
  ausgestelltAm: Date;
 }
 export interface Sitzung {
  benutzerId: string;
  email: string;
@@ -37,7 +42,7 @@ export async function sitzungErzeugen(sitzung: Sitzung): Promise<string> {
 }
 /** Prüft das Token; bei ungültiger Signatur oder Ablauf kommt null zurück. */
-export async function sitzungLesen(token: string | undefined): Promise<Sitzung | null> {
+export async function sitzungLesen(token: string | undefined): Promise<GeleseneSitzung | null> {
  if (!token) return null;
  try {
    const { payload } = await jwtVerify(token, schluessel(), { issuer: "proxledger" });
@@ -47,17 +52,29 @@ export async function sitzungLesen(token: string | undefined): Promise<Sitzung |
      email: payload.email,
      name: typeof payload.name === "string" ? payload.name : payload.email,
      herkunft: payload.herkunft === "oidc" ? "oidc" : "passwort",
      ausgestelltAm: new Date((payload.iat ?? 0) * 1000),
    };
  } catch {
    return null;
  }
 }
 /**
 * `Secure` richtet sich nach der tatsächlichen Adresse, nicht nach NODE_ENV:
 * Ein produktiv gebautes Dashboard, das über http:// läuft (etwa im LAN oder beim lokalen Prüfen),
 * würde sonst ein Cookie setzen, das der Browser verwirft – die Anmeldung liefe dann ins Leere.
 */
 export function ueberHttps(): boolean {
  const adresse = process.env.APP_URL;
  if (adresse) return adresse.startsWith("https://");
  return process.env.NODE_ENV === "production";
 }
 export function cookieOptionen() {
  return {
    httpOnly: true,
    sameSite: "lax" as const,
-    secure: process.env.NODE_ENV === "production",
+    secure: ueberHttps(),
    path: "/",
    maxAge: SITZUNGSDAUER_STUNDEN * 3600,
  };
@@ -14,23 +14,71 @@ const OEFFENTLICH = [
  "/api/gesundheit",
  "/install.sh",
  "/agent.sh",
  // Symbole und Manifest: Der Browser holt sie auch vor der Anmeldung.
  "/favicon.ico",
  "/icon.svg",
  "/apple-icon.png",
  "/icon-192.png",
  "/icon-512.png",
  "/manifest.webmanifest",
 ];
 /**
 * Content-Security-Policy je Anfrage, mit frischem Nonce.
 *
 * `strict-dynamic` heißt: Nur Skripte mit diesem Nonce dürfen laufen (und was sie selbst nachladen).
 * Damit läuft eingeschleustes `<script>` aus der Datenbank oder einer Proxmox-Ausgabe nicht mehr –
 * die zweite Verteidigungslinie hinter der Maskierung durch React (OWASP A03).
 *
 * `style-src` erlaubt bewusst `unsafe-inline`: Bootstrap und AdminLTE setzen Stile direkt am Element,
 * und ein Stil kann keinen Code ausführen.
 */
 function richtlinie(nonce: string): string {
  const entwicklung = process.env.NODE_ENV !== "production";
  return [
    "default-src 'self'",
    // In der Entwicklung braucht der Hot-Reload eval; im Betrieb nicht.
    `script-src 'self' 'nonce-${nonce}' 'strict-dynamic'${entwicklung ? " 'unsafe-eval'" : ""}`,
    "style-src 'self' 'unsafe-inline'",
    "img-src 'self' data:",
    "font-src 'self'",
    // Verbindungen nur zur eigenen Herkunft; in der Entwicklung zusätzlich der Hot-Reload.
    `connect-src 'self'${entwicklung ? " ws: wss:" : ""}`,
    "object-src 'none'",
    "base-uri 'self'",
    "form-action 'self'",
    "frame-ancestors 'none'",
    ...(entwicklung ? [] : ["upgrade-insecure-requests"]),
  ].join("; ");
 }
 function mitRichtlinie(request: NextRequest, antwort?: NextResponse): NextResponse {
  const nonce = crypto.randomUUID().replaceAll("-", "");
  const csp = richtlinie(nonce);
  // Next.js versieht seine eigenen Skripte mit diesem Nonce, sobald es ihn in der Anfrage findet.
  const kopfzeilen = new Headers(request.headers);
  kopfzeilen.set("x-nonce", nonce);
  kopfzeilen.set("Content-Security-Policy", csp);
  const ergebnis = antwort ?? NextResponse.next({ request: { headers: kopfzeilen } });
  ergebnis.headers.set("Content-Security-Policy", csp);
  return ergebnis;
 }
 export async function proxy(request: NextRequest) {
  const pfad = request.nextUrl.pathname;
  if (OEFFENTLICH.some((eintrag) => pfad === eintrag || pfad.startsWith(`${eintrag}/`))) {
-    return NextResponse.next();
+    return mitRichtlinie(request);
  }
  const sitzung = await sitzungLesen(request.cookies.get(SITZUNGS_COOKIE)?.value);
-  if (sitzung) return NextResponse.next();
+  if (sitzung) return mitRichtlinie(request);
  const ziel = new URL("/login", request.url);
  if (pfad !== "/") ziel.searchParams.set("ziel", `${pfad}${request.nextUrl.search}`);
-  return NextResponse.redirect(ziel);
+  return mitRichtlinie(request, NextResponse.redirect(ziel));
 }
 export const config = {
@@ -3,6 +3,7 @@
 import { revalidatePath } from "next/cache";
 import { prisma } from "@/lib/db";
 import { protokolliere } from "@/server/audit";
 import { sitzungErforderlich } from "@/server/auth/sitzungspflicht";
 import { alertsAbgleichen } from "@/server/alerts/abgleich";
 import { REGELN } from "@/server/alerts/regeln";
 import type { AktionsErgebnis } from "./kunden";
@@ -15,6 +16,7 @@ function neuLaden() {
 /** Warnung quittieren: sie bleibt offen, ist aber als gesehen markiert. */
 export async function alertQuittieren(formular: FormData) {
  await sitzungErforderlich();
  const id = formular.get("id")?.toString();
  if (!id) return;
@@ -25,6 +27,7 @@ export async function alertQuittieren(formular: FormData) {
 /** Warnung von Hand schließen; taucht der Fall weiter auf, öffnet der nächste Abgleich sie erneut. */
 export async function alertSchliessen(formular: FormData) {
  await sitzungErforderlich();
  const id = formular.get("id")?.toString();
  if (!id) return;
@@ -35,6 +38,7 @@ export async function alertSchliessen(formular: FormData) {
 /** Auswertung sofort anstoßen, ohne auf den Worker zu warten. */
 export async function alertsJetztPruefen(): Promise<AktionsErgebnis> {
  await sitzungErforderlich();
  const ergebnis = await alertsAbgleichen();
  neuLaden();
  return {
@@ -47,6 +51,7 @@ export async function warnregelnSpeichern(
  _vorher: AktionsErgebnis,
  formular: FormData,
 ): Promise<AktionsErgebnis> {
  await sitzungErforderlich();
  for (const regel of REGELN) {
    const aktiv = formular.get(`aktiv:${regel.name}`) === "on";
    const schwellwerte: Record<string, number | number[]> = {};
@@ -1,47 +1,13 @@
 "use server";
-import { cookies, headers } from "next/headers";
+import { cookies } from "next/headers";
 import { redirect } from "next/navigation";
-import { cookieOptionen, SITZUNGS_COOKIE, sitzungErzeugen } from "@/lib/sitzung";
+import { SITZUNGS_COOKIE } from "@/lib/sitzung";
 import { clientIp } from "@/lib/ratelimit";
 import { protokolliere } from "@/server/audit";
 import { AnmeldeFehler, mitPasswortAnmelden } from "@/server/auth/benutzer";
 import type { AktionsErgebnis } from "./kunden";
 /** Anmeldung mit E-Mail und Passwort (Rückfallweg, wenn OIDC nicht erreichbar ist). */
 export async function anmelden(_vorher: AktionsErgebnis, formular: FormData): Promise<AktionsErgebnis> {
  const email = formular.get("email")?.toString().trim() ?? "";
  const passwort = formular.get("passwort")?.toString() ?? "";
  const ziel = formular.get("ziel")?.toString() || "/";
  if (!email || !passwort) {
    return { fehler: "Bitte E-Mail-Adresse und Passwort eingeben." };
  }
  try {
    const kopfzeilen = await headers();
    const benutzer = await mitPasswortAnmelden(email, passwort, clientIp(kopfzeilen));
    const token = await sitzungErzeugen({
      benutzerId: benutzer.id,
      email: benutzer.email,
      name: benutzer.name,
      herkunft: "passwort",
    });
    (await cookies()).set(SITZUNGS_COOKIE, token, cookieOptionen());
  } catch (fehler) {
    if (fehler instanceof AnmeldeFehler) return { fehler: fehler.message };
    throw fehler;
  }
  // Nur eigene Pfade als Ziel zulassen, damit die Anmeldung nicht auf fremde Seiten führt.
  redirect(ziel.startsWith("/") && !ziel.startsWith("//") ? ziel : "/");
 }
 /** Abmelden aus dem Benutzermenü. Die Anmeldung selbst läuft über /api/auth/anmelden. */
 export async function abmelden() {
-  const speicher = await cookies();
+  (await cookies()).delete(SITZUNGS_COOKIE);
  speicher.delete(SITZUNGS_COOKIE);
  await protokolliere("abmeldung", "Benutzer", null, {});
  redirect("/login");
 }
@@ -2,7 +2,9 @@
 import { revalidatePath } from "next/cache";
 import { prisma } from "@/lib/db";
 import { verschluesseln } from "@/lib/geheimnisse";
 import { protokolliere } from "@/server/audit";
 import { sitzungErforderlich } from "@/server/auth/sitzungspflicht";
 import type { EmailKonfiguration, WebhookKonfiguration } from "@/server/notifications/kanaele";
 import { testNachricht } from "@/server/notifications/nachrichten";
 import { ueberEinenKanalSenden, zusammenfassungSenden } from "@/server/notifications/versand";
@@ -21,6 +23,7 @@ export async function emailKanalSpeichern(
  _vorher: AktionsErgebnis,
  formular: FormData,
 ): Promise<AktionsErgebnis> {
  await sitzungErforderlich();
  const id = formular.get("id")?.toString() || null;
  const host = formular.get("host")?.toString().trim() ?? "";
  const port = Number(formular.get("port") ?? 587);
@@ -45,8 +48,9 @@ export async function emailKanalSpeichern(
    port,
    secure: port === 465,
    benutzer: formular.get("benutzer")?.toString().trim() ?? "",
-    // Leeres Feld heißt „unverändert“ – so muss das Passwort nicht erneut eingegeben werden.
+    // Leeres Feld heißt „unverändert“; das gespeicherte Passwort bleibt dann wie es ist.
-    passwort: passwortEingabe || (bisher?.passwort ?? ""),
+    // Neue Eingaben werden verschlüsselt abgelegt (#021).
    passwort: passwortEingabe ? verschluesseln(passwortEingabe) : (bisher?.passwort ?? ""),
    absender: formular.get("absender")?.toString().trim() ?? "",
    empfaenger,
  };
@@ -76,6 +80,7 @@ export async function webhookKanalSpeichern(
  _vorher: AktionsErgebnis,
  formular: FormData,
 ): Promise<AktionsErgebnis> {
  await sitzungErforderlich();
  const id = formular.get("id")?.toString() || null;
  const url = formular.get("url")?.toString().trim() ?? "";
@@ -90,7 +95,7 @@ export async function webhookKanalSpeichern(
  const konfiguration: WebhookKonfiguration = {
    url,
-    geheimnis: geheimnisEingabe || bisher?.geheimnis,
+    geheimnis: geheimnisEingabe ? verschluesseln(geheimnisEingabe) : bisher?.geheimnis,
  };
  const daten = {
@@ -114,6 +119,7 @@ export async function webhookKanalSpeichern(
 }
 export async function kanalLoeschen(formular: FormData) {
  await sitzungErforderlich();
  const id = formular.get("id")?.toString();
  if (!id) return;
@@ -124,6 +130,7 @@ export async function kanalLoeschen(formular: FormData) {
 /** Verschickt eine Testnachricht über einen Kanal. */
 export async function testSenden(formular: FormData): Promise<void> {
  await sitzungErforderlich();
  const id = formular.get("id")?.toString();
  if (!id) return;
@@ -138,6 +145,7 @@ export async function testSenden(formular: FormData): Promise<void> {
 /** Zeitraum der Zusammenfassung speichern (täglich, wöchentlich oder aus). */
 export async function zusammenfassungSpeichern(formular: FormData) {
  await sitzungErforderlich();
  const zeitraum = formular.get("zeitraum")?.toString() ?? "aus";
  await prisma.einstellung.upsert({
@@ -152,6 +160,7 @@ export async function zusammenfassungSpeichern(formular: FormData) {
 /** Zusammenfassung sofort verschicken – praktisch zum Ausprobieren. */
 export async function zusammenfassungJetztSenden(formular: FormData): Promise<void> {
  await sitzungErforderlich();
  const zeitraum = formular.get("zeitraum")?.toString() === "woechentlich" ? "woechentlich" : "taeglich";
  await zusammenfassungSenden(zeitraum);
  neuLaden();
@@ -3,6 +3,7 @@
 import { revalidatePath } from "next/cache";
 import { prisma } from "@/lib/db";
 import { protokolliere } from "@/server/audit";
 import { sitzungErforderlich } from "@/server/auth/sitzungspflicht";
 import type { AktionsErgebnis } from "./kunden";
 /** Speichert Notizen und Tags eines Hosts. */
@@ -10,6 +11,7 @@ export async function hostNotizenSpeichern(
  _vorher: AktionsErgebnis,
  formular: FormData,
 ): Promise<AktionsErgebnis> {
  await sitzungErforderlich();
  const hostId = formular.get("hostId")?.toString();
  if (!hostId) return { fehler: "Host nicht gefunden." };
@@ -39,6 +41,7 @@ export async function hostNotizenSpeichern(
 /** Ordnet einen einzelnen Host einem Kunden zu (aus der Detailansicht heraus). */
 export async function hostKundeSetzen(formular: FormData) {
  await sitzungErforderlich();
  const hostId = formular.get("hostId")?.toString();
  const kundeId = formular.get("kundeId")?.toString() || null;
  const standortId = formular.get("standortId")?.toString() || null;
@@ -3,11 +3,13 @@
 import { revalidatePath } from "next/cache";
 import { prisma } from "@/lib/db";
 import { protokolliere } from "@/server/audit";
 import { sitzungErforderlich } from "@/server/auth/sitzungspflicht";
 import { hostsZuweisenService, ZuweisungsFehler } from "@/server/services/zuweisung";
 import type { AktionsErgebnis } from "./kunden";
 /** Weist mehrere Hosts in einem Schritt einem Kunden zu. */
 export async function hostsZuweisen(_vorher: AktionsErgebnis, formular: FormData): Promise<AktionsErgebnis> {
  await sitzungErforderlich();
  const hostIds = formular.getAll("hostId").map(String).filter(Boolean);
  const kundeId = formular.get("kundeId")?.toString() || null;
  const standortId = formular.get("standortId")?.toString() || null;
@@ -30,6 +32,7 @@ export async function hostsZuweisen(_vorher: AktionsErgebnis, formular: FormData
 /** Hebt die Zuordnung eines einzelnen Hosts auf. */
 export async function hostZuordnungAufheben(formular: FormData) {
  await sitzungErforderlich();
  const hostId = formular.get("hostId")?.toString();
  if (!hostId) return;
@@ -5,6 +5,7 @@ import { redirect } from "next/navigation";
 import { z } from "zod";
 import { prisma } from "@/lib/db";
 import { protokolliere } from "@/server/audit";
 import { sitzungErforderlich } from "@/server/auth/sitzungspflicht";
 export interface AktionsErgebnis {
  fehler?: string;
@@ -28,6 +29,7 @@ const kundeSchema = z.object({
 /** Legt einen Kunden an oder ändert ihn; `id` im Formular entscheidet darüber. */
 export async function kundeSpeichern(_vorher: AktionsErgebnis, formular: FormData): Promise<AktionsErgebnis> {
  await sitzungErforderlich();
  const id = leerZuNull(formular.get("id"));
  const eingabe = kundeSchema.safeParse({
    name: formular.get("name")?.toString().trim() ?? "",
@@ -66,6 +68,7 @@ export async function kundeSpeichern(_vorher: AktionsErgebnis, formular: FormDat
 }
 export async function kundeLoeschen(formular: FormData) {
  await sitzungErforderlich();
  const id = formular.get("id")?.toString();
  if (!id) return;
@@ -91,6 +94,7 @@ export async function standortSpeichern(
  _vorher: AktionsErgebnis,
  formular: FormData,
 ): Promise<AktionsErgebnis> {
  await sitzungErforderlich();
  const id = leerZuNull(formular.get("id"));
  const eingabe = standortSchema.safeParse({
    kundeId: formular.get("kundeId")?.toString() ?? "",
@@ -116,6 +120,7 @@ export async function standortSpeichern(
 }
 export async function standortLoeschen(formular: FormData) {
  await sitzungErforderlich();
  const id = formular.get("id")?.toString();
  const kundeId = formular.get("kundeId")?.toString();
  if (!id) return;
@@ -2,6 +2,7 @@
 import { revalidatePath } from "next/cache";
 import { anhangSpeichern, UploadFehler } from "@/lib/uploads";
 import { sitzungErforderlich } from "@/server/auth/sitzungspflicht";
 import {
  einkaufBezahltSetzen,
  kundenrechnungErfassen,
@@ -48,6 +49,7 @@ async function ausfuehren(arbeit: () => Promise<string | void>): Promise<Aktions
 }
 export async function laufzeitBestaetigenAktion(formular: FormData) {
  await sitzungErforderlich();
  const id = formular.get("laufzeitId")?.toString();
  if (!id) return;
  await laufzeitBestaetigen(id);
@@ -55,6 +57,7 @@ export async function laufzeitBestaetigenAktion(formular: FormData) {
 }
 export async function laufzeitVerwerfenAktion(formular: FormData) {
  await sitzungErforderlich();
  const id = formular.get("laufzeitId")?.toString();
  if (!id) return;
  await laufzeitVerwerfen(id);
@@ -63,6 +66,7 @@ export async function laufzeitVerwerfenAktion(formular: FormData) {
 /** Häkchen aus der Rechnungstabelle. */
 export async function statusUmschalten(formular: FormData): Promise<void> {
  await sitzungErforderlich();
  const laufzeitId = formular.get("laufzeitId")?.toString();
  const feld = formular.get("feld")?.toString();
  const wert = formular.get("wert")?.toString() === "true";
@@ -84,6 +88,7 @@ export async function proxmoxRechnungSpeichern(
  _vorher: AktionsErgebnis,
  formular: FormData,
 ): Promise<AktionsErgebnis> {
  await sitzungErforderlich();
  const laufzeitId = formular.get("laufzeitId")?.toString();
  if (!laufzeitId) return { fehler: "Laufzeit fehlt." };
@@ -121,6 +126,7 @@ export async function kundenrechnungSpeichern(
  _vorher: AktionsErgebnis,
  formular: FormData,
 ): Promise<AktionsErgebnis> {
  await sitzungErforderlich();
  const laufzeitId = formular.get("laufzeitId")?.toString();
  if (!laufzeitId) return { fehler: "Laufzeit fehlt." };
@@ -151,6 +157,7 @@ export async function laufzeitAnlegenAktion(
  _vorher: AktionsErgebnis,
  formular: FormData,
 ): Promise<AktionsErgebnis> {
  await sitzungErforderlich();
  const hostId = formular.get("hostId")?.toString();
  const key = formular.get("key")?.toString().trim();
  const start = datum(formular.get("start"));
@@ -4,6 +4,7 @@ import { revalidatePath } from "next/cache";
 import { prisma } from "@/lib/db";
 import { erzeugeToken } from "@/lib/tokens";
 import { protokolliere } from "@/server/audit";
 import { sitzungErforderlich } from "@/server/auth/sitzungspflicht";
 import type { AktionsErgebnis } from "./kunden";
 export interface TokenErgebnis extends AktionsErgebnis {
@@ -16,6 +17,7 @@ export async function enrollmentTokenErzeugen(
  _vorher: TokenErgebnis,
  formular: FormData,
 ): Promise<TokenErgebnis> {
  await sitzungErforderlich();
  const bezeichnung = formular.get("bezeichnung")?.toString().trim() || null;
  const kundeId = formular.get("kundeId")?.toString() || null;
  const standortId = formular.get("standortId")?.toString() || null;
@@ -58,6 +60,7 @@ export async function enrollmentTokenErzeugen(
 }
 export async function enrollmentTokenWiderrufen(formular: FormData) {
  await sitzungErforderlich();
  const id = formular.get("id")?.toString();
  if (!id) return;
@@ -67,6 +70,7 @@ export async function enrollmentTokenWiderrufen(formular: FormData) {
 }
 export async function hostTokenWiderrufen(formular: FormData) {
  await sitzungErforderlich();
  const id = formular.get("id")?.toString();
  const hostId = formular.get("hostId")?.toString();
  if (!id) return;
@@ -4,7 +4,7 @@ import { tokenAusHeader } from "@/lib/tokens";
 import { AgentApiFehler } from "./service";
 /** Version des Agent-Skripts, die das Dashboard ausliefert (siehe #005). */
-export const AGENT_VERSION = "0.2.0";
+export const AGENT_VERSION = "0.2.1";
 export function fehlerAntwort(status: number, code: string, nachricht: string, extra?: HeadersInit) {
  return Response.json({ ok: false, code, fehler: nachricht }, { status, headers: extra });
@@ -36,6 +36,7 @@ export const reportSchema = z.object({
      ips: z.array(z.string().max(64)).max(32).nullish(),
      clusterName: nullbarerText,
      nodeName: nullbarerText,
      clusterMitglieder: z.array(z.string().max(255)).max(64).nullish(),
      kernel: nullbarerText,
      uptimeSekunden: z.number().int().nonnegative().nullish(),
      cpuModell: nullbarerText,
@@ -195,6 +195,7 @@ export async function verarbeiteReport(
          serverId: serverId ?? host.serverId,
          clusterName: eingabe.host.clusterName ?? host.clusterName,
          nodeName: eingabe.host.nodeName ?? host.nodeName,
          clusterMitglieder: eingabe.host.clusterMitglieder ?? host.clusterMitglieder,
          ips: eingabe.host.ips ?? host.ips,
          sockets: eingabe.host.sockets ?? host.sockets,
          cpuModell: eingabe.host.cpuModell ?? host.cpuModell,
@@ -30,6 +30,8 @@ export async function kontextLaden(jetzt: Date = new Date()): Promise<RegelKonte
    hosts: hosts.map((host) => ({
      id: host.id,
      hostname: host.hostname,
      clusterName: host.clusterName,
      clusterMitglieder: host.clusterMitglieder,
      kundeId: host.kundeId,
      kundeName: host.kunde?.name ?? null,
      subKey: host.subKey,
@@ -22,6 +22,8 @@ export interface AlertKandidat {
 export interface HostDaten {
  id: string;
  hostname: string;
  clusterName: string | null;
  clusterMitglieder: string[];
  kundeId: string | null;
  kundeName: string | null;
  subKey: string | null;
@@ -287,6 +289,39 @@ const hostOhneKunde: Regel = {
  },
 };
 const clusterKnotenOhneAgent: Regel = {
  name: "cluster-knoten-ohne-agent",
  beschreibung: "Ein Cluster-Knoten meldet sich nicht beim Dashboard",
  standardSchwellwerte: {},
  pruefe(kontext) {
    // Alle gemeldeten Hostnamen – ein Knoten gilt als bekannt, wenn er selbst meldet.
    const meldende = new Set(kontext.hosts.map((host) => host.hostname.toLowerCase()));
    const fehlende = new Map<string, { cluster: string; melder: HostDaten }>();
    for (const host of kontext.hosts) {
      if (!host.clusterName) continue;
      for (const mitglied of host.clusterMitglieder) {
        const name = mitglied.trim();
        if (!name || meldende.has(name.toLowerCase())) continue;
        if (!fehlende.has(name.toLowerCase())) {
          fehlende.set(name.toLowerCase(), { cluster: host.clusterName, melder: host });
        }
      }
    }
    return [...fehlende.entries()].map(([name, eintrag]) => ({
      fingerprint: `cluster-knoten-ohne-agent:${eintrag.cluster}:${name}`,
      regel: "cluster-knoten-ohne-agent",
      schwere: "WARNUNG" as AlertSchwere,
      titel: "Cluster-Knoten ohne Agent",
      beschreibung: `${name} gehört zum Cluster ${eintrag.cluster} (gemeldet von ${eintrag.melder.hostname}), meldet sich aber nicht – dort fehlt der Agent`,
      hostId: eintrag.melder.id,
      kundeId: eintrag.melder.kundeId,
      laufzeitId: null,
    }));
  },
 };
 const proxmoxRechnungFaellig: Regel = {
  name: "proxmox-rechnung-faellig",
  beschreibung: "Proxmox-Rechnung ist unbezahlt und wird fällig",
@@ -378,6 +413,7 @@ export const REGELN: Regel[] = [
  serverIdGeaendert,
  keyMehrfach,
  hostOhneKunde,
  clusterKnotenOhneAgent,
  proxmoxRechnungFaellig,
  kundenrechnungFehlt,
  kundenrechnungUnbezahlt,
@@ -0,0 +1,44 @@
 import { cookies } from "next/headers";
 import { redirect } from "next/navigation";
 import { prisma } from "@/lib/db";
 import { type GeleseneSitzung, SITZUNGS_COOKIE, sitzungLesen } from "@/lib/sitzung";
 /**
 * Verlangt eine gültige Sitzung und prüft sie gegen die Datenbank.
 *
 * `proxy.ts` hält Unangemeldete von den Seiten fern, aber Server Actions sind eigene
 * Endpunkte: Jede Aktion prüft deshalb selbst, statt sich auf eine einzige Schicht zu
 * verlassen (OWASP A01 – Broken Access Control).
 *
 * Zusätzlich wirkt hier der Widerruf: Ein gesperrtes Konto oder ein zurückgesetztes
 * Passwort beendet laufende Sitzungen sofort, statt bis zum Ablauf des Tokens zu warten.
 */
 /** Reines Urteil über eine gelesene Sitzung – ohne Next.js, damit es sich prüfen lässt. */
 export function sitzungBewerten(
  sitzung: GeleseneSitzung | null,
  benutzer: { aktiv: boolean; sitzungenUngueltigAb: Date | null } | null,
 ): { gueltig: true } | { gueltig: false; grund: string } {
  if (!sitzung) return { gueltig: false, grund: "Bitte anmelden." };
  if (!benutzer) return { gueltig: false, grund: "Dieses Konto gibt es nicht mehr." };
  if (!benutzer.aktiv) return { gueltig: false, grund: "Dieses Konto ist gesperrt." };
  if (benutzer.sitzungenUngueltigAb && sitzung.ausgestelltAm <= benutzer.sitzungenUngueltigAb) {
    return { gueltig: false, grund: "Die Sitzung wurde beendet. Bitte neu anmelden." };
  }
  return { gueltig: true };
 }
 export async function sitzungErforderlich(): Promise<GeleseneSitzung> {
  const sitzung = await sitzungLesen((await cookies()).get(SITZUNGS_COOKIE)?.value);
  const benutzer = sitzung
    ? await prisma.benutzer.findUnique({
        where: { id: sitzung.benutzerId },
        select: { aktiv: true, sitzungenUngueltigAb: true },
      })
    : null;
  const urteil = sitzungBewerten(sitzung, benutzer);
  if (!urteil.gueltig) redirect(`/login?fehler=${encodeURIComponent(urteil.grund)}`);
  return sitzung as GeleseneSitzung;
 }
@@ -2,6 +2,7 @@ import { createHmac } from "node:crypto";
 import nodemailer from "nodemailer";
 import type { NotificationKanal } from "@/generated/prisma/enums";
 import { prisma } from "@/lib/db";
 import { entschluesseln } from "@/lib/geheimnisse";
 /**
 * Versandwege für Benachrichtigungen: SMTP (getestet gegen Microsoft 365) und ein generischer Webhook,
@@ -109,6 +110,19 @@ export interface KanalEintrag {
  konfiguration: EmailKonfiguration | WebhookKonfiguration;
 }
 /** Holt die Zugangsdaten aus der Datenbank und entschlüsselt sie für den Versand. */
 export function konfigurationLesen(
  typ: NotificationKanal,
  gespeichert: unknown,
 ): EmailKonfiguration | WebhookKonfiguration {
  if (typ === "EMAIL") {
    const eintrag = gespeichert as EmailKonfiguration;
    return { ...eintrag, passwort: entschluesseln(eintrag.passwort ?? "") };
  }
  const eintrag = gespeichert as WebhookKonfiguration;
  return { ...eintrag, geheimnis: eintrag.geheimnis ? entschluesseln(eintrag.geheimnis) : undefined };
 }
 export async function aktiveKanaele(): Promise<KanalEintrag[]> {
  const kanaele = await prisma.benachrichtigungskanal.findMany({ where: { aktiv: true } });
  return kanaele.map((kanal) => ({
@@ -116,7 +130,7 @@ export async function aktiveKanaele(): Promise<KanalEintrag[]> {
    typ: kanal.typ,
    name: kanal.name,
    aktiv: kanal.aktiv,
-    konfiguration: kanal.konfiguration as unknown as EmailKonfiguration | WebhookKonfiguration,
+    konfiguration: konfigurationLesen(kanal.typ, kanal.konfiguration),
  }));
 }
@@ -1,6 +1,6 @@
 import { prisma } from "@/lib/db";
 import { kennzahlen } from "@/server/queries/hosts";
-import { aktiveKanaele, ueberKanalSenden, type Nachricht } from "./kanaele";
+import { aktiveKanaele, konfigurationLesen, ueberKanalSenden, type Nachricht } from "./kanaele";
 import { alertNachricht, zusammenfassungNachricht, type AlertNachrichtDaten } from "./nachrichten";
 /**
@@ -149,7 +149,7 @@ export async function ueberEinenKanalSenden(kanalId: string, nachricht: Nachrich
        typ: eintrag.typ,
        name: eintrag.name,
        aktiv: eintrag.aktiv,
-        konfiguration: eintrag.konfiguration as never,
+        konfiguration: konfigurationLesen(eintrag.typ, eintrag.konfiguration),
      };
    })());
@@ -165,11 +165,7 @@ describe.runIf(datenbankVerfuegbar)("Agent-API", () => {
      ["fehlendem Token", async () => undefined, 401],
      ["unbekanntem Token", async () => "plx_e_unbekannt", 401],
      ["widerrufenem Token", async () => enrollmentTokenAnlegen({ widerrufen: true }), 401],
-      [
+      ["abgelaufenem Token", async () => enrollmentTokenAnlegen({ gueltigBis: new Date("2020-01-01") }), 401],
        "abgelaufenem Token",
        async () => enrollmentTokenAnlegen({ gueltigBis: new Date("2020-01-01") }),
        401,
      ],
      ["aufgebrauchtem Token", async () => enrollmentTokenAnlegen({ maxNutzungen: 0 }), 401],
    ])("weist Registrierung mit %s ab", async (_name, tokenErzeugen, status) => {
      const token = await tokenErzeugen();
@@ -4,6 +4,7 @@ import { tmpdir } from "node:os";
 import path from "node:path";
 import { afterAll, afterEach, beforeEach, describe, expect, it } from "vitest";
 import { POST as enrollPost } from "@/app/api/agent/v1/enroll/route";
 import { AGENT_VERSION } from "@/server/agent/http";
 import { POST as reportPost } from "@/app/api/agent/v1/report/route";
 import { agentRateLimit, enrollRateLimit } from "@/lib/ratelimit";
 import { erzeugeToken } from "@/lib/tokens";
@@ -20,6 +21,36 @@ function befehlErsetzen(name: string, ausgabe: string) {
  chmodSync(datei, 0o755);
 }
 /**
 * Ahmt `proxmox-backup-manager` nach: Das Werkzeug beantwortet `version` anders als
 * `subscription get`, und auf `--output-format json` antwortet es anders als ohne.
 * Genau daran hängt die Auswertung im Agent.
 */
 function pbsErsetzen(antworten: { json: string; tabelle: string; version: string }) {
  const datei = path.join(stubVerzeichnis, "proxmox-backup-manager");
  writeFileSync(
    datei,
    [
      "#!/usr/bin/env bash",
      'if [ "$1" = "version" ]; then',
      "cat <<'VERSION'",
      antworten.version,
      "VERSION",
      'elif [[ "$*" == *--output-format*json* ]]; then',
      "cat <<'JSON'",
      antworten.json,
      "JSON",
      "else",
      "cat <<'TEXT'",
      antworten.tabelle,
      "TEXT",
      "fi",
      "",
    ].join("\n"),
  );
  chmodSync(datei, 0o755);
 }
 /** Führt den Agent mit den vorbereiteten Befehlen aus und liefert den Report. */
 function reportErzeugen(): Record<string, never> | Record<string, unknown> {
  const ausgabe = execFileSync("bash", [AGENT, "--dry-run"], {
@@ -43,6 +74,23 @@ nextduedate: 2026-09-24
 sockets: 1
 level: c`;
 // Echte Ausgaben von einem Proxmox Backup Server 4.2 ohne Subscription (Feldtest #023).
 const PBS_TABELLE = `┌──────────┬──────────────────────────────────────────────────────────┐
 │ Name     │ Value                                                    │
 ╞══════════╪══════════════════════════════════════════════════════════╡
 │ status   │ notfound                                                 │
 ├──────────┼──────────────────────────────────────────────────────────┤
 │ message  │ There is no subscription key                             │
 ├──────────┼──────────────────────────────────────────────────────────┤
 │ serverid │ 69AED6ABA8A34EBE9AE1075333BBF8FE                         │
 ├──────────┼──────────────────────────────────────────────────────────┤
 │ url      │ https://www.proxmox.com/en/proxmox-backup-server/pricing │
 └──────────┴──────────────────────────────────────────────────────────┘`;
 const PBS_VERSION = "proxmox-backup-server 4.2.6-1 running version: 4.2.1";
 const PBS_JSON = `{"message":"There is no subscription key","serverid":"69AED6ABA8A34EBE9AE1075333BBF8FE","status":"notfound","url":"https://www.proxmox.com/en/proxmox-backup-server/pricing"}`;
 describe("Agent-Skript", () => {
  beforeEach(() => {
    stubVerzeichnis = mkdtempSync(path.join(tmpdir(), "proxledger-agent-test-"));
@@ -57,8 +105,14 @@ describe("Agent-Skript", () => {
    befehlErsetzen("pvesubscription", PVE_SUBSCRIPTION);
    befehlErsetzen("pveversion", "pve-manager/8.3.2/dc2b2f4e");
    befehlErsetzen("lscpu", "Socket(s):             2\nModel name:            Intel(R) Xeon(R) E-2388G");
-    befehlErsetzen("ip", "1: lo    inet 127.0.0.1/8 scope host lo\n2: vmbr0    inet 192.168.10.11/24 scope global vmbr0");
+    befehlErsetzen(
-    befehlErsetzen("apt", "Auflistung...\nlibc6/stable 2.40 amd64 [upgradable from: 2.39]\nbash/stable 5.3 amd64 [upgradable from: 5.2]");
+      "ip",
      "1: lo    inet 127.0.0.1/8 scope host lo\n2: vmbr0    inet 192.168.10.11/24 scope global vmbr0",
    );
    befehlErsetzen(
      "apt",
      "Auflistung...\nlibc6/stable 2.40 amd64 [upgradable from: 2.39]\nbash/stable 5.3 amd64 [upgradable from: 5.2]",
    );
    const report = reportErzeugen() as {
      reportId: string;
@@ -69,7 +123,7 @@ describe("Agent-Skript", () => {
      host: Record<string, unknown>;
    };
-    expect(report.agentVersion).toBe("0.2.0");
+    expect(report.agentVersion).toBe(AGENT_VERSION);
    expect(report.reportId).toMatch(/.{8,}/);
    expect(report.erhobenAm).toMatch(/^\d{4}-\d{2}-\d{2}T\d{2}:\d{2}:\d{2}Z$/);
    expect(report.produkt).toEqual({ typ: "pve", version: "pve-manager/8.3.2/dc2b2f4e" });
@@ -138,9 +192,65 @@ productname: Proxmox "VE" \\ Subscription	mit Tab`,
    });
  });
  it("liest einen PBS ohne Subscription (echte Ausgaben, JSON bevorzugt)", () => {
    pbsErsetzen({ json: PBS_JSON, tabelle: PBS_TABELLE, version: PBS_VERSION });
    const report = reportErzeugen() as {
      produkt: { typ: string };
      subscription: Record<string, unknown>;
      host: { clusterMitglieder: string[] };
    };
    expect(report.produkt.typ).toBe("pbs");
    expect(report.subscription.status).toBe("notfound");
    expect(report.subscription.serverid).toBe("69AED6ABA8A34EBE9AE1075333BBF8FE");
    expect(report.subscription.key).toBeNull();
    expect(report.subscription.sockets).toBeNull();
    // Ohne pvecm bleibt die Mitgliederliste leer – PBS kennt keinen Cluster in diesem Sinne.
    expect(report.host.clusterMitglieder).toEqual([]);
  });
  it("liest die Rahmentabelle, falls ein PBS kein JSON ausgibt", () => {
    // Ältere Fassungen könnten das JSON-Format nicht kennen; dann bleibt nur die Tabelle.
    befehlErsetzen("proxmox-backup-manager", PBS_TABELLE);
    const report = reportErzeugen() as { subscription: Record<string, unknown> };
    expect(report.subscription.status).toBe("notfound");
    expect(report.subscription.serverid).toBe("69AED6ABA8A34EBE9AE1075333BBF8FE");
  });
  it("meldet die PBS-Version ohne die laufende Fassung", () => {
    pbsErsetzen({ json: PBS_JSON, tabelle: PBS_TABELLE, version: PBS_VERSION });
    const report = reportErzeugen() as { produkt: { version: string } };
    expect(report.produkt.version).toBe("proxmox-backup-server 4.2.6-1");
  });
  it("meldet die Cluster-Mitglieder", () => {
    befehlErsetzen("pvesubscription", PVE_SUBSCRIPTION);
    befehlErsetzen(
      "pvecm",
      `Membership information
 ----------------------
    Nodeid      Votes Name
         1          1 hv-rz5-pve-01 (local)
         2          1 hv-rz5-pve-02
         3          1 hv-rz5-pve-03`,
    );
    const report = reportErzeugen() as { host: { clusterMitglieder: string[] } };
    expect(report.host.clusterMitglieder).toEqual(["hv-rz5-pve-01", "hv-rz5-pve-02", "hv-rz5-pve-03"]);
  });
  it("meldet eine leere Liste, wenn der Host in keinem Cluster ist", () => {
    befehlErsetzen("pvesubscription", PVE_SUBSCRIPTION);
    const report = reportErzeugen() as { host: { clusterMitglieder: string[] } };
    expect(report.host.clusterMitglieder).toEqual([]);
  });
  it("gibt die Version aus", () => {
    const ausgabe = execFileSync("bash", [AGENT, "--version"], { encoding: "utf8" }).trim();
-    expect(ausgabe).toBe("0.2.0");
+    expect(ausgabe).toBe(AGENT_VERSION);
  });
  describe.runIf(datenbankVerfuegbar)("Zusammenspiel mit der Agent-API", () => {
@@ -30,7 +30,7 @@ describe.runIf(datenbankVerfuegbar)("Abgleich der Warnungen", () => {
  it("legt die Standard-Einstellungen für alle Regeln an", async () => {
    const einstellungen = await testPrisma.warnregelEinstellung.findMany();
-    expect(einstellungen).toHaveLength(10);
+    expect(einstellungen).toHaveLength(11);
    const ablauf = einstellungen.find((e) => e.regel === "subscription-laeuft-ab");
    expect(ablauf?.schwellwerte).toEqual({ tage: [30, 14, 7] });
  });
@@ -82,9 +82,7 @@ describe.runIf(datenbankVerfuegbar)("Abgleich der Warnungen", () => {
    });
    const ergebnis = await alertsAbgleichen(JETZT);
-    expect(ergebnis.geoeffnet.map((a) => a.fingerprint)).toContain(
+    expect(ergebnis.geoeffnet.map((a) => a.fingerprint)).toContain(`subscription-laeuft-ab:${host.id}:7`);
      `subscription-laeuft-ab:${host.id}:7`,
    );
    const alerts = await testPrisma.alert.findMany({
      where: { fingerprint: `subscription-laeuft-ab:${host.id}:7` },
    });
@@ -1,7 +1,12 @@
 import { afterAll, beforeEach, describe, expect, it } from "vitest";
 import { hash } from "@node-rs/argon2";
 import { cookieOptionen, sitzungErzeugen, sitzungLesen } from "@/lib/sitzung";
-import { AnmeldeFehler, anmeldeRateLimit, mitOidcAnmelden, mitPasswortAnmelden } from "@/server/auth/benutzer";
+import {
  AnmeldeFehler,
  anmeldeRateLimit,
  mitOidcAnmelden,
  mitPasswortAnmelden,
 } from "@/server/auth/benutzer";
 import { datenbankLeeren, datenbankVerfuegbar, testPrisma } from "./helpers/db";
 const GEHEIMNIS = "test-geheimnis-mit-mindestens-32-zeichen!!";
@@ -20,12 +25,14 @@ describe("Sitzungen", () => {
    });
    const sitzung = await sitzungLesen(token);
-    expect(sitzung).toEqual({
+    expect(sitzung).toMatchObject({
      benutzerId: "b1",
      email: "admin@example.de",
      name: "Florian",
      herkunft: "passwort",
    });
    // Der Ausstellungszeitpunkt entscheidet, ob ein Widerruf die Sitzung trifft (#024).
    expect(sitzung?.ausgestelltAm.getTime()).toBeLessThanOrEqual(Date.now());
  });
  it("weist ein verändertes oder fremd signiertes Token ab", async () => {
@@ -54,7 +61,18 @@ describe("Sitzungen", () => {
    ).rejects.toThrow(/APP_SECRET/);
  });
-  it("setzt das Cookie nur über HTTPS, wenn produktiv gebaut wurde", () => {
+  it("setzt Secure nur, wenn das Dashboard über HTTPS läuft", () => {
    const vorher = process.env.APP_URL;
    process.env.APP_URL = "https://proxledger.example.de";
    expect(cookieOptionen().secure).toBe(true);
    // Produktiv gebaut, aber über http erreichbar: sonst verwirft der Browser das Cookie
    // und die Anmeldung landet sofort wieder auf der Anmeldeseite.
    process.env.APP_URL = "http://192.168.1.50:3000";
    expect(cookieOptionen().secure).toBe(false);
    process.env.APP_URL = vorher;
    expect(cookieOptionen().httpOnly).toBe(true);
    expect(cookieOptionen().sameSite).toBe("lax");
  });
@@ -97,7 +115,9 @@ describe.runIf(datenbankVerfuegbar)("Anmeldung", () => {
    await admin();
    await expect(mitPasswortAnmelden("admin@example.de", "falsch", "1.2.3.4")).rejects.toThrow(AnmeldeFehler);
-    const protokoll = await testPrisma.auditEintrag.findFirst({ where: { aktion: "anmeldung.fehlgeschlagen" } });
+    const protokoll = await testPrisma.auditEintrag.findFirst({
      where: { aktion: "anmeldung.fehlgeschlagen" },
    });
    expect(protokoll).not.toBeNull();
  });
@@ -1,6 +1,7 @@
 import { createHmac } from "node:crypto";
 import { afterAll, afterEach, beforeEach, describe, expect, it, vi } from "vitest";
-import { perWebhookSenden, VersandFehler } from "@/server/notifications/kanaele";
+import { verschluesseln } from "@/lib/geheimnisse";
 import { konfigurationLesen, perWebhookSenden, VersandFehler } from "@/server/notifications/kanaele";
 import { alertNachricht, zusammenfassungNachricht } from "@/server/notifications/nachrichten";
 import { neueAlertsMelden, zusammenfassungSenden } from "@/server/notifications/versand";
 import { datenbankLeeren, datenbankVerfuegbar, testPrisma } from "./helpers/db";
@@ -43,9 +44,7 @@ describe("Nachrichten", () => {
          },
        ],
        neueAlerts: [],
-        baldAblaufend: [
+        baldAblaufend: [{ hostname: "pve-01", kunde: "Brandl GmbH", datum: new Date("2026-09-24"), tage: 7 }],
          { hostname: "pve-01", kunde: "Brandl GmbH", datum: new Date("2026-09-24"), tage: 7 },
        ],
        offeneRechnungspunkte: 3,
        hostsOhneMeldung: 1,
      },
@@ -219,6 +218,52 @@ describe.runIf(datenbankVerfuegbar)("Versand", () => {
    expect(zweiter.gesendet).toBe(1);
  });
  it("nutzt ein verschlüsselt gespeichertes Webhook-Geheimnis für die Signatur", async () => {
    process.env.APP_SECRET = "test-geheimnis-mit-mindestens-32-zeichen!!";
    const aufrufe: RequestInit[] = [];
    vi.stubGlobal("fetch", async (_url: string, optionen: RequestInit) => {
      aufrufe.push(optionen);
      return new Response("ok", { status: 200 });
    });
    await testPrisma.benachrichtigungskanal.create({
      data: {
        typ: "WEBHOOK",
        name: "Signierter Hook",
        aktiv: true,
        konfiguration: { url: "https://hook.example.de/x", geheimnis: verschluesseln("s3cret") },
      },
    });
    const eintrag = await alert();
    await neueAlertsMelden([eintrag.fingerprint]);
    const kopfzeilen = aufrufe[0].headers as Record<string, string>;
    const koerper = aufrufe[0].body as string;
    expect(kopfzeilen["X-ProxLedger-Signatur"]).toBe(
      `sha256=${createHmac("sha256", "s3cret").update(koerper).digest("hex")}`,
    );
    // In der Datenbank steht kein Klartext.
    const gespeichert = await testPrisma.benachrichtigungskanal.findFirstOrThrow();
    expect(JSON.stringify(gespeichert.konfiguration)).not.toContain("s3cret");
  });
  it("liest Zugangsdaten aus der Zeit vor der Verschlüsselung weiter", () => {
    const konfiguration = konfigurationLesen("EMAIL", {
      host: "smtp.example.de",
      port: 587,
      secure: false,
      benutzer: "post",
      passwort: "alt-im-klartext",
      absender: "post@example.de",
      empfaenger: ["florian@example.de"],
    });
    expect((konfiguration as { passwort: string }).passwort).toBe("alt-im-klartext");
  });
  it("verschickt die Zusammenfassung mit den aktuellen Zahlen", async () => {
    await webhookKanal();
    await alert();
@@ -65,9 +65,7 @@ describe.runIf(datenbankVerfuegbar)("Datenmodell", () => {
    expect(laufzeiten).toHaveLength(2);
    expect(laufzeiten.every((l) => l.proxmoxPosition?.rechnung.nummer === "PX-TEST-1")).toBe(true);
-    expect(
+    expect(laufzeiten.reduce((summe, l) => summe + Number(l.proxmoxPosition?.nettoBetrag ?? 0), 0)).toBe(230);
      laufzeiten.reduce((summe, l) => summe + Number(l.proxmoxPosition?.nettoBetrag ?? 0), 0),
    ).toBe(230);
  });
  it("erlaubt Hosts ohne Kunde und setzt die Zuordnung beim Löschen des Kunden zurück", async () => {
@@ -98,4 +96,4 @@ describe.runIf(datenbankVerfuegbar)("Datenmodell", () => {
    await testPrisma.laufzeit.create({ data: daten });
    await expect(testPrisma.laufzeit.create({ data: daten })).rejects.toThrow();
  });
-})
+});
@@ -0,0 +1,55 @@
 import { beforeEach, describe, expect, it } from "vitest";
 import { entschluesseln, GeheimnisFehler, istVerschluesselt, verschluesseln } from "@/lib/geheimnisse";
 const SCHLUESSEL = "test-geheimnis-mit-mindestens-32-zeichen!!";
 describe("Geheimnisse", () => {
  beforeEach(() => {
    process.env.APP_SECRET = SCHLUESSEL;
  });
  it("verschlüsselt und entschlüsselt einen Wert", () => {
    const klartext = "sehr-geheimes-smtp-passwort";
    const chiffrat = verschluesseln(klartext);
    expect(chiffrat).not.toContain(klartext);
    expect(istVerschluesselt(chiffrat)).toBe(true);
    expect(entschluesseln(chiffrat)).toBe(klartext);
  });
  it("erzeugt bei gleichem Klartext unterschiedliche Chiffrate", () => {
    // Ein zufälliger Nonce verhindert, dass gleiche Passwörter erkennbar sind.
    expect(verschluesseln("gleich")).not.toBe(verschluesseln("gleich"));
  });
  it("lässt Klartext aus der Zeit vor der Verschlüsselung unverändert durch", () => {
    expect(istVerschluesselt("altes-passwort")).toBe(false);
    expect(entschluesseln("altes-passwort")).toBe("altes-passwort");
  });
  it("behandelt leere Werte", () => {
    expect(verschluesseln("")).toBe("");
    expect(entschluesseln("")).toBe("");
  });
  it("meldet einen geänderten Schlüssel verständlich", () => {
    const chiffrat = verschluesseln("geheim");
    process.env.APP_SECRET = "ein-voellig-anderes-geheimnis-mit-32-z!";
    expect(() => entschluesseln(chiffrat)).toThrow(GeheimnisFehler);
    expect(() => entschluesseln(chiffrat)).toThrow(/APP_SECRET/);
  });
  it("erkennt Manipulation am Chiffrat", () => {
    const chiffrat = verschluesseln("geheim");
    const [praefix, nonce, authTag, daten] = chiffrat.split(":");
    const veraendert = [praefix, nonce, authTag, `${daten.slice(0, -2)}xy`].join(":");
    expect(() => entschluesseln(veraendert)).toThrow(GeheimnisFehler);
  });
  it("verlangt einen ausreichend langen Schlüssel", () => {
    process.env.APP_SECRET = "kurz";
    expect(() => verschluesseln("geheim")).toThrow(/APP_SECRET/);
  });
 });
@@ -101,7 +101,10 @@ describe.runIf(datenbankVerfuegbar)("Host-Tabelle", () => {
  it("findet Hosts über Server-ID, IP, FQDN und Kundenname", async () => {
    for (const suche of ["A1B2C3D4E5F60718", "192.168.10.11", "brandl.local", "Brandl Elektro"]) {
      const { hosts } = await hostListe({ q: suche }, JETZT);
-      expect(hosts.map((h) => h.hostname), `Suche nach ${suche}`).toContain("pve-brandl-01");
+      expect(
        hosts.map((h) => h.hostname),
        `Suche nach ${suche}`,
      ).toContain("pve-brandl-01");
    }
  });
@@ -117,7 +120,9 @@ describe.runIf(datenbankVerfuegbar)("Host-Tabelle", () => {
  });
  it("filtert nach Kunde, Status und Produkt", async () => {
-    const { kunde } = { kunde: await testPrisma.kunde.findFirstOrThrow({ where: { kundennummer: "K-1001" } }) };
+    const { kunde } = {
      kunde: await testPrisma.kunde.findFirstOrThrow({ where: { kundennummer: "K-1001" } }),
    };
    expect((await hostListe({ kunde: kunde.id }, JETZT)).gesamt).toBe(1);
    expect((await hostListe({ kunde: "ohne" }, JETZT)).gesamt).toBe(1);
@@ -264,7 +264,9 @@ describe.runIf(datenbankVerfuegbar)("Laufzeiten und Rechnungen", () => {
      await proxmoxRechnungErfassen(laufzeitA.id, EINKAUF);
      await einkaufBezahltSetzen(laufzeitA.id, true);
-      let rechnung = await testPrisma.proxmoxRechnung.findUniqueOrThrow({ where: { nummer: EINKAUF.nummer } });
+      let rechnung = await testPrisma.proxmoxRechnung.findUniqueOrThrow({
        where: { nummer: EINKAUF.nummer },
      });
      expect(rechnung.bezahlt).toBe(true);
      expect(rechnung.bezahltAm).not.toBeNull();
@@ -0,0 +1,74 @@
 import { describe, expect, it } from "vitest";
 import { herkunftStimmt } from "@/app/api/auth/anmelden/route";
 import type { GeleseneSitzung } from "@/lib/sitzung";
 import { sitzungBewerten } from "@/server/auth/sitzungspflicht";
 const sitzung = (ausgestelltAm: Date): GeleseneSitzung => ({
  benutzerId: "b1",
  email: "admin@example.de",
  name: "Administrator",
  herkunft: "passwort",
  ausgestelltAm,
 });
 const anfrage = (kopfzeilen: Record<string, string>) =>
  new Request("https://proxledger.example/api/auth/anmelden", { method: "POST", headers: kopfzeilen });
 describe("Sitzungsprüfung", () => {
  const jetzt = new Date("2026-09-18T12:00:00Z");
  const aktiv = { aktiv: true, sitzungenUngueltigAb: null };
  it("lässt eine gültige Sitzung eines aktiven Kontos durch", () => {
    expect(sitzungBewerten(sitzung(jetzt), aktiv)).toEqual({ gueltig: true });
  });
  it("weist ab, wenn gar keine Sitzung da ist", () => {
    expect(sitzungBewerten(null, aktiv).gueltig).toBe(false);
  });
  it("weist ein gesperrtes Konto ab, obwohl das Token noch gilt", () => {
    const urteil = sitzungBewerten(sitzung(jetzt), { aktiv: false, sitzungenUngueltigAb: null });
    expect(urteil).toEqual({ gueltig: false, grund: "Dieses Konto ist gesperrt." });
  });
  it("weist ein gelöschtes Konto ab", () => {
    expect(sitzungBewerten(sitzung(jetzt), null).gueltig).toBe(false);
  });
  it("beendet Sitzungen, die vor dem Widerruf ausgestellt wurden", () => {
    const widerruf = new Date("2026-09-18T13:00:00Z");
    const urteil = sitzungBewerten(sitzung(jetzt), { aktiv: true, sitzungenUngueltigAb: widerruf });
    expect(urteil.gueltig).toBe(false);
  });
  it("lässt Sitzungen gelten, die nach dem Widerruf entstanden sind", () => {
    const widerruf = new Date("2026-09-18T11:00:00Z");
    expect(sitzungBewerten(sitzung(jetzt), { aktiv: true, sitzungenUngueltigAb: widerruf })).toEqual({
      gueltig: true,
    });
  });
 });
 describe("Herkunft der Anmeldung", () => {
  it("lässt das eigene Formular durch", () => {
    expect(herkunftStimmt(anfrage({ origin: "https://proxledger.example", host: "proxledger.example" }))).toBe(true);
  });
  it("weist eine fremde Seite ab", () => {
    expect(herkunftStimmt(anfrage({ origin: "https://boese.example", host: "proxledger.example" }))).toBe(false);
  });
  it("weist einen unbrauchbaren Origin ab", () => {
    expect(herkunftStimmt(anfrage({ origin: "kein-url", host: "proxledger.example" }))).toBe(false);
  });
  it("lässt Anfragen ohne Origin zu (curl, alte Browser)", () => {
    expect(herkunftStimmt(anfrage({ host: "proxledger.example" }))).toBe(true);
  });
  it("erkennt den Host hinter einem Reverse Proxy", () => {
    expect(
      herkunftStimmt(anfrage({ origin: "https://dashboard.kunde.de", "x-forwarded-host": "dashboard.kunde.de" })),
    ).toBe(true);
  });
 });
@@ -18,6 +18,8 @@ function host(überschreibungen: Partial<HostDaten> = {}): HostDaten {
  return {
    id: "h1",
    hostname: "pve-01",
    clusterName: null,
    clusterMitglieder: [],
    kundeId: "k1",
    kundeName: "Brandl Elektrotechnik GmbH",
    subKey: "pve1c-aaaa",
@@ -70,9 +72,9 @@ function ausRegel(k: RegelKontext, name: string) {
 }
 describe("Warnregeln", () => {
-  it("prüft alle zehn Regeln, wenn nichts abgeschaltet ist", () => {
+  it("prüft alle elf Regeln, wenn nichts abgeschaltet ist", () => {
-    expect(REGELN).toHaveLength(10);
+    expect(REGELN).toHaveLength(11);
-    expect(new Set(REGELN.map((r) => r.name)).size).toBe(10);
+    expect(new Set(REGELN.map((r) => r.name)).size).toBe(11);
  });
  describe("Subscription läuft ab", () => {
@@ -253,7 +255,10 @@ describe("Warnregeln", () => {
    it("meldet bezahlte oder noch nicht fällige Rechnungen nicht", () => {
      expect(
-        ausRegel(kontext({ laufzeiten: [laufzeit({ einkaufFaelligAm: inTagen(3) })] }), "proxmox-rechnung-faellig"),
+        ausRegel(
          kontext({ laufzeiten: [laufzeit({ einkaufFaelligAm: inTagen(3) })] }),
          "proxmox-rechnung-faellig",
        ),
      ).toHaveLength(0);
      expect(
        ausRegel(
@@ -294,6 +299,63 @@ describe("Warnregeln", () => {
    });
  });
  describe("Cluster-Knoten ohne Agent", () => {
    it("meldet einen Knoten, der im Cluster steht, sich aber nicht meldet", () => {
      const k = kontext({
        hosts: [
          host({
            id: "h1",
            hostname: "pve-node-01",
            clusterName: "rz5",
            clusterMitglieder: ["pve-node-01", "pve-node-02", "pve-node-03"],
          }),
          host({ id: "h2", hostname: "pve-node-02", clusterName: "rz5", clusterMitglieder: [] }),
        ],
      });
      const kandidaten = ausRegel(k, "cluster-knoten-ohne-agent");
      expect(kandidaten).toHaveLength(1);
      expect(kandidaten[0].beschreibung).toContain("pve-node-03");
      expect(kandidaten[0].fingerprint).toBe("cluster-knoten-ohne-agent:rz5:pve-node-03");
    });
    it("meldet nichts, wenn alle Knoten melden", () => {
      const mitglieder = ["pve-node-01", "pve-node-02"];
      const k = kontext({
        hosts: [
          host({ id: "h1", hostname: "pve-node-01", clusterName: "rz5", clusterMitglieder: mitglieder }),
          host({ id: "h2", hostname: "pve-node-02", clusterName: "rz5", clusterMitglieder: mitglieder }),
        ],
      });
      expect(ausRegel(k, "cluster-knoten-ohne-agent")).toHaveLength(0);
    });
    it("beachtet Groß- und Kleinschreibung nicht", () => {
      const k = kontext({
        hosts: [
          host({ id: "h1", hostname: "PVE-Node-01", clusterName: "rz5", clusterMitglieder: ["pve-node-01"] }),
        ],
      });
      expect(ausRegel(k, "cluster-knoten-ohne-agent")).toHaveLength(0);
    });
    it("meldet nichts für Hosts ohne Cluster", () => {
      const k = kontext({ hosts: [host({ clusterName: null, clusterMitglieder: [] })] });
      expect(ausRegel(k, "cluster-knoten-ohne-agent")).toHaveLength(0);
    });
    it("meldet jeden fehlenden Knoten nur einmal, auch wenn mehrere ihn melden", () => {
      const mitglieder = ["pve-node-01", "pve-node-02", "pve-node-03"];
      const k = kontext({
        hosts: [
          host({ id: "h1", hostname: "pve-node-01", clusterName: "rz5", clusterMitglieder: mitglieder }),
          host({ id: "h2", hostname: "pve-node-02", clusterName: "rz5", clusterMitglieder: mitglieder }),
        ],
      });
      expect(ausRegel(k, "cluster-knoten-ohne-agent")).toHaveLength(1);
    });
  });
  it("überspringt abgeschaltete Regeln", () => {
    const k = kontext({
      hosts: [host({ kundeId: null, kundeName: null })],
Author	SHA1	Message	Date
florian.wilde	19b0751c16	Merge branch 'phase/024-owasp' Prüfung / pruefung (push) Canceled after 0s Details	2026-09-18 23:45:35 +02:00
florian.wildeandClaude Opus 5	7775b6211f	feat(security): Haertung nach OWASP Top 10 (#024 ) Drei echte Luecken gefunden und geschlossen: 1. Die 27 Server Actions verliessen sich allein auf proxy.ts. Jede prueft die Sitzung jetzt selbst und schlaegt gegen die Datenbank nach, ob das Konto noch gilt - damit lassen sich Sitzungen ueberhaupt erst widerrufen. 2. Der Anmelde-Endpunkt prueft die Herkunft des Formulars; vorher war Login-CSRF moeglich. 3. Content-Security-Policy mit Nonce je Anfrage und strict-dynamic. Dazu: npm audit ist ohne Befund (mysql2 und deepmerge-ts per overrides angehoben statt Prisma zurueckzustufen), eine Benutzerverwaltung fuer die Kommandozeile und docs/sicherheit.md mit allem, was bewusst offen bleibt - keine Rollen, keine Zwei-Faktor-Anmeldung. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-18 23:45:35 +02:00
florian.wilde	94f1eb4e6f	Merge branch 'phase/023-feldtest-pbs' Prüfung / pruefung (push) Canceled after 0s Details	2026-09-18 23:27:02 +02:00
florian.wildeandClaude Opus 5	1bfd549838	fix(agent): PBS-Ausgaben richtig auswerten (#023 ) Feldtest auf einem echten Proxmox Backup Server 4.2: `proxmox-backup-manager subscription get` gibt eine Rahmentabelle aus, keine "feld: wert"-Zeilen. Der Agent hat dort bisher nichts gelesen - nicht einmal die Server-ID. PBS kann (anders als PVE) `--output-format json`; das wird jetzt genutzt, die Tabelle dient als Rueckfall. Die Testfaelle stammen ab sofort vom echten Host, der bisherige PBS-Testfall war erfunden und hat den Fehler verdeckt. Ausserdem: die PBS-Version enthielt die laufende Fassung doppelt, und die Versionspruefung meldete "neue Version" auch bei aelteren Fassungen. Installation, Report, Warnungen und Uninstall wurden auf dem Host vollstaendig durchgespielt - damit ist auch der letzte offene Punkt aus #018 erledigt. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-18 23:27:02 +02:00
florian.wildeandClaude Opus 5	52466eee3f	docs(feldtest): Feldtest fuer PBS und PMG als #023 festhalten Prüfung / pruefung (push) Canceled after 0s Details PBS-Hosts stehen spaeter zur Verfuegung, allerdings nur unlizenziert; fuer PMG gibt es derzeit keinen Host. Der heutige PBS-Testfall im Testlauf ist erfunden (JSON) und gehoert gegen echte Ausgaben geprueft - bei PVE war genau diese Annahme falsch. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-18 18:45:36 +02:00
florian.wilde	2e79dfb111	Merge branch 'phase/018-feldtest' Prüfung / pruefung (push) Canceled after 0s Details	2026-09-18 18:05:13 +02:00
florian.wildeandClaude Opus 5	7728fcb565	feat(cluster): Cluster-Knoten ohne Agent erkennen (#022 , #018 ) Feldtest auf zwei echten Proxmox-VE-9.2-Hosts (#018): Installation, Timer, Zwischenspeicher und Nachsenden laufen wie vorgesehen. `pvesubscription get` kennt kein JSON, ohne Subscription fehlen fast alle Felder, `pveversion` enthaelt den Kernel doppelt - alles im Agent beruecksichtigt. Dabei zeigte sich: in Proxmox hat jeder Knoten eine eigene Subscription. Der Agent meldet darum die Cluster-Mitglieder aus `pvecm nodes`, und eine elfte Warnregel meldet Knoten, von denen sich kein Agent meldet (#022). Ausserdem behoben: die Bilder des Handbuchs zeigten allesamt die Anmeldeseite, weil Firefox eine selbst erzeugte Cookie-Datei stillschweigend verwirft. Das Skript nutzt jetzt einen lokalen Vermittler und bricht ab, wenn alle Aufnahmen gleich gross sind. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-18 18:05:08 +02:00
florian.wilde	dc685980d8	Merge branch 'phase/021-geheimnisse' Prüfung / pruefung (push) Canceled after 0s Details	2026-09-17 23:50:46 +02:00
florian.wildeandClaude Opus 5	db3d38aa3c	feat(security): Zugangsdaten verschluesselt speichern (#021 ) AES-256-GCM mit Schluessel aus APP_SECRET fuer SMTP-Passwort und Webhook-Geheimnis. Bestehende Klartextwerte werden weiter gelesen und beim naechsten Speichern umgeschluesselt. 156 Tests. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 23:50:46 +02:00
florian.wilde	d2ebc4e096	Merge branch 'phase/019-ci' Prüfung / pruefung (push) Canceled after 0s Details	2026-09-17 23:47:38 +02:00
florian.wildeandClaude Opus 5	0d16dfd379	ci: Pruefung bei jedem Push und Konsistenzpruefung der Doku (#019 ) Gitea-Actions-Workflow mit Lint, Typen, Tests gegen PostgreSQL, Build, ShellCheck und einem Skript, das Version, Issue-Uebersicht und Handbuch-Bilder abgleicht. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 23:47:38 +02:00
florian.wilde	af38a4efce	Merge branch 'phase/017-favicons'	2026-09-17 23:46:21 +02:00
florian.wildeandClaude Opus 5	9c0cefcfe8	feat(ui): Symbole fuer Tab, Startbildschirm und Manifest (#017 ) npm run icons erzeugt SVG, ICO und PNG aus den Vorlagen in assets/. Fuer kleine Groessen kommen die vereinfachten Fassungen zum Einsatz. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 23:46:21 +02:00
florian.wilde	a459d3f770	Merge branch 'phase/016-handbuch'	2026-09-17 23:43:19 +02:00
florian.wildeandClaude Opus 5	4423d17b15	docs: Handbuch mit Bildern und Skript zum Auffrischen (#016 ) Elf Kapitel von der Installation bis zur Fehlersuche, 16 Bilder. Das Skript meldet sich fuer die Aufnahmen selbst an, ohne Hintertuer im Code. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 23:43:19 +02:00
florian.wilde	7ff068d9b3	Merge branch 'phase/016-handbuch' (Anmeldefehler)	2026-09-17 23:41:01 +02:00
florian.wildeandClaude Opus 5	2c2f842d20	fix(auth): Sitzungs-Cookie auch ueber http nutzbar, Anmeldung als Formular (#013 ) Das Cookie erhielt im Produktionsbau immer Secure und wurde ueber http vom Browser verworfen – nach der Anmeldung landete jeder Klick wieder auf der Anmeldeseite. Massgeblich ist jetzt das Schema in APP_URL. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>	2026-09-17 23:41:01 +02:00
		`@@ -0,0 +1,2 @@`
							`-- AlterTable`
							`ALTER TABLE "Host" ADD COLUMN "clusterMitglieder" TEXT[] DEFAULT ARRAY[]::TEXT[];`
		`@@ -0,0 +1,2 @@`
							`-- AlterTable`
							`ALTER TABLE "Benutzer" ADD COLUMN "sitzungenUngueltigAb" TIMESTAMP(3);`