Merge branch 'phase/040-tags-sichtbar'

Gleichnamige Hosts in verschiedenen Kundennetzen liessen sich in der Liste
nicht auseinanderhalten. Schlagworte und Notizen gab es zwar schon, aber nur
im Reiter "Notizen und Tags" - und damit nutzlos zum Unterscheiden.

Jetzt stehen die Schlagworte als anklickbare Abzeichen in der Liste und oben
im Host-Detail, es gibt einen Filter dafuer, eine Notiz zeigt ein
Zettel-Symbol mit dem Text beim Ueberfahren, und beides wird mitdurchsucht -
auch von der globalen Suche.

Bewusst kein zweites Feld "Kommentar": Das haette dieselbe Angabe an zwei
Orten gehalten.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

CHANGELOG.md

@@ -17,6 +17,97 @@ und dieses Projekt folgt [Semantic Versioning](https://semver.org/lang/de/).
 
 ### Sicherheit
 
+## [0.23.0] – 2026-10-03
+
+### Hinzugefügt
+- Schlagworte stehen jetzt in der Host-Liste und oben im Host-Detail; ein Klick darauf filtert die Liste (#040)
+- Filter „Alle Schlagworte“ in der Host-Liste (#040)
+- Eine vorhandene Notiz zeigt ein Zettel-Symbol in der Liste; der Text erscheint beim Überfahren und steht oben im Host-Detail (#040)
+- Suche und globale Suche finden Hosts auch über Schlagwort und Notiztext (#040)
+
+## [0.22.2] – 2026-10-03
+
+### Behoben
+- **Auf dem Telefon führte kein Weg zu den Rechnungsformularen**: Im Reiter *Rechnungen* der Host-Detailansicht war die Laufzeit nicht verlinkt, und in der Rechnungsliste ist diese Spalte erst ab 992 px sichtbar (#039)
+- Der Reiter *Rechnungen* rechnete den Einkauf noch ohne Rabatt (#039)
+
+### Geändert
+- Der Reiter *Rechnungen* nutzt auf dem Telefon das Kartenlayout (#039)
+
+## [0.22.1] – 2026-10-03
+
+### Behoben
+- **Die ganze Seite wurde auf dem Telefon herausgezoomt**, sobald die Warnungen geöffnet wurden oder eine Host-Detailansicht eine lange Server-ID enthielt. Ursache war jeweils ein Element breiter als das Fenster (#038)
+- Die Laufzeit-Detailseite rechnete noch mit dem Listenpreis statt mit dem Betrag nach Rabatt – Marge und der Vorschlag für die Kundenrechnung waren um den Rabatt zu hoch (#037)
+
+### Hinzugefügt
+- `npm run screenshots -- --mobil name=/pfad` für gezielte Aufnahmen in Telefonbreite (#038)
+
+## [0.22.0] – 2026-10-03
+
+### Geändert
+- **Der Rabatt gehört jetzt zur Rechnungsposition statt zur Rechnung** – so, wie Proxmox abrechnet: je Subscription-Key eine Zeile mit Listenpreis und eine mit „Client Discount“. Nur so bleibt er bei einer Sammelrechnung dem richtigen Host zugeordnet (#037)
+- Der Rechnungsbetrag ist die Summe der Positionen nach Abzug ihrer Rabatte; Marge und Summen rechnen mit dem tatsächlich gezahlten Betrag (#037)
+- Eigener Steuersatz für den Einkauf, Vorgabe 0 % wegen Reverse Charge (#037)
+- Das Betragsfeld heißt „Listenpreis netto“ und zeigt beim Tippen, womit gerechnet wird (#037)
+
+### Hinzugefügt
+- Zwölfte Warnregel `kunde-bezahlt-einkauf-offen`: Der Kunde hat bezahlt, die Proxmox-Rechnung ist noch offen – der Moment, an dem man selbst zahlt (#037)
+
+### Behoben
+- Der Rabatt wurde bisher **nirgends abgezogen**, weder in der Summe noch in der Marge (#037)
+
+## [0.21.0] – 2026-10-03
+
+### Hinzugefügt
+- Standort eines Hosts lässt sich in der Detailansicht setzen; die Auswahl richtet sich nach dem gewählten Kunden (#036)
+- Breite Tabellen werden auf dem Telefon zu Karten: jede Angabe mit ihrer Beschriftung, statt rechts abgeschnitten zu sein (#035)
+
+### Behoben
+- **Jede Kundenzuweisung löschte den Standort des Hosts**, weil das Formular ihn nicht mitsendete, die Aktion ihn aber las (#036)
+- Ein Standort, der zu einem anderen Kunden gehört, wird nicht mehr gespeichert (#036)
+- Kartenköpfe mit Knöpfen liefen auf dem Telefon über den Rand (#035)
+- Das Kontrollkästchen für den Rechnungsstatus wurde auf dem Telefon zum 44 Pixel hohen leeren Kasten (#035)
+
+## [0.20.2] – 2026-10-03
+
+### Behoben
+- **Das Seitenmenü ließ sich auf dem Handy nicht schließen.** Es gab weder eine Fläche zum Antippen noch ein Schließen beim Navigieren – das Markup stammt von AdminLTE, dessen JavaScript wir bewusst nicht einbinden (#034)
+- Die Dashboard-Tabelle war auf dem Telefon rechts abgeschnitten; sie zeigt dort jetzt Host und Ablauf, den Kunden klein darunter (#034)
+
+### Hinzugefügt
+- Schließen-Knopf im Menükopf, Schließen per Escape, und der Inhalt hinter dem offenen Menü scrollt nicht mehr mit (#034)
+
+## [0.20.1] – 2026-10-03
+
+### Behoben
+- **Abmelden führte auf `0.0.0.0:3000`** und damit ins Leere. Next.js macht Weiterleitungen aus Server Actions serverseitig absolut und nahm dafür die Lausch-Adresse des Servers. Betroffen waren Abmelden, die Sitzungsprüfung und das Löschen eines Kunden (#033)
+- Eine als Lausch-Adresse eingetragene `APP_URL` (`0.0.0.0`, `::`) wird jetzt übergangen statt übernommen (#033)
+- Die LXC-Installation brach mit *404 – Could not fetch install/proxledger-install.sh* ab: Ein per curl geladenes ct-Skript kennt seine Herkunft nicht und suchte bei den community-scripts (#032)
+
+### Geändert
+- Vorgabe für den Arbeitsspeicher des LXC von 2 auf 4 GB – `next build` scheitert sonst während der Installation am Speicher (#032)
+
+## [0.20.0] – 2026-10-03
+
+### Hinzugefügt
+- `deploy/update.sh` und `deploy/backup.sh` erkennen die Installationsart selbst und beherrschen jetzt auch die Installation als Dienst (Node und PostgreSQL direkt im Container) – nicht mehr nur Docker (#031)
+- Eine fehlgeschlagene Sicherung bricht die Aktualisierung ab, bevor etwas verändert wird (#031)
+
+### Behoben
+- Die Zustandsprüfung des Web-Containers konnte nie gelingen: Next bindet im Standalone-Modus an die Adresse aus `HOSTNAME`, und Docker setzt dort den Containernamen – der Server lauschte nur auf der Container-IP. `web` blieb dauerhaft auf „health: starting“ (#031)
+
+## [0.19.2] – 2026-10-03
+
+### Sicherheit
+- Next.js auf 16.3.8 angehoben. Für 16.2.0 bis 16.3.5 wurde eine als **kritisch** eingestufte Lücke in `next/og` gemeldet (Remote Code Execution, GHSA-vcvr-r3jv-pc5j). ProxLedger nutzt `next/og` nicht, war also nicht angreifbar – die Fassung gehört trotzdem aktualisiert, bevor etwas produktiv läuft
+- `@simplewebauthn/server` auf 14.0.3
+
+## [0.19.1] – 2026-09-19
+
+### Hinzugefügt
+- Anleitung für den netbird Reverse Proxy (Beta): Dienst anlegen, Zertifikat, private Dienste – samt Warnung, dass eine Anmeldehürde vor dem Dienst auch die Agents aussperrt (#030)
+
 ## [0.19.0] – 2026-09-19
 
 ### Hinzugefügt

DEVLOG.md

@@ -2,7 +2,7 @@
 
 ## Zeitübersicht
 
-**Gesamt:** 15 h 03 min
+**Gesamt:** 21 h 43 min
 
 | Issue | Zeit |
 |---|---|
@@ -35,6 +35,17 @@
 | #027 Rollen und Benutzerverwaltung | 1 h 20 min |
 | #028 Passkeys | 0 h 45 min |
 | #029 Einrichtungsdokumentation | 0 h 40 min |
+| #030 netbird Reverse Proxy | 0 h 20 min |
+| #031 Update für beide Varianten | 0 h 45 min |
+| #032 LXC-Installation korrigiert | 0 h 20 min |
+| #033 Weiterleitung auf Lausch-Adresse | 0 h 30 min |
+| #034 Bedienung auf dem Handy | 0 h 40 min |
+| #035 Tabellen als Karten | 0 h 50 min |
+| #036 Standort am Host | 0 h 30 min |
+| #037 Rabatt je Position | 0 h 55 min |
+| #038 Überbreite auf dem Handy | 0 h 40 min |
+| #039 Zugang zur Laufzeit | 0 h 30 min |
+| #040 Schlagworte sichtbar | 0 h 40 min |
 
 | Meilenstein | Zeit |
 |---|---|
@@ -57,7 +68,7 @@
 
 ## 2026-09-17 · Sitzung 1 · 19:36–laufend
 **Issue:** #001–#007 (Meilensteine v0.1.0 bis v0.4.0)
-**Version:** 0.19.0
+**Version:** 0.23.0
 
 ### Erledigt
 - Auftrag gelesen, Rückfragen gestellt
@@ -162,6 +173,41 @@
 - Einrichtungsdokumentation (#029): Beim Aufschreiben des OIDC-Wegs fielen zwei Fehler auf, die nur hinter einem Reverse Proxy auftreten – Rückkehradresse und Code-Einlösung nahmen die interne Adresse. Beides behoben
 - Erkenntnis: Eine Anleitung Schritt für Schritt aufzuschreiben findet Fehler, die kein Test findet, weil sie nur in einer bestimmten Betriebsform auftreten
 
+- netbird Reverse Proxy (#030) in die Anleitung aufgenommen – Florians Hinweis, dass die Beta gut läuft. Beim Durchgehen der Möglichkeiten fiel der Fallstrick auf: Eine Anmeldehürde vor dem Dienst trifft auch `/api/agent` und legt alle Agents still
+
+### 03.10.2026 – Prüfung vor dem Einsatz
+- `npm audit` vor der Freigabe erneut laufen lassen: In den zwei Wochen seit dem letzten Stand kam eine kritische Meldung zu Next.js dazu (RCE in `next/og`). Wir nutzen `next/og` nicht, waren also nicht angreifbar – angehoben auf 16.3.8, Tests und Build grün
+- Lehre für den Betrieb: Vor jedem Produktivgang und danach regelmäßig `npm audit` prüfen, nicht nur bei Änderungen am Code
+
+- Update- und Sicherungsskript für beide Installationsarten (#031). Beim Durchspielen zwei Fehler gefunden: Die Zustandsprüfung des Web-Containers konnte nie gelingen (Next bindet an `HOSTNAME`, Docker setzt dort den Containernamen), und eine fehlgeschlagene Sicherung hielt die Aktualisierung nicht auf
+- Lehre: Ein Skript, das nie unter echten Bedingungen gelaufen ist, ist eine Behauptung. Erst der Durchlauf gegen einen laufenden Stapel hat beide Fehler gezeigt
+
+- Erster echter Einsatz durch Florian – und prompt zwei Fehler, die kein Test gezeigt hatte (#032, #033)
+- #033 war hausgemacht: Mein `HOSTNAME=0.0.0.0` aus #031 hat den Healthcheck repariert und dafür alle Weiterleitungen aus Server Actions auf `0.0.0.0` gelenkt. Vorher stand dort der Containername – derselbe Fehler, nur unauffälliger
+- Lehre: Weiterleitungen gehören aus der konfigurierten Adresse gebaut, nie aus dem, was der Server über sich selbst weiß
+
+- Mobile Bedienung (#034): Das Menü ließ sich auf dem Telefon nicht schließen – AdminLTE-Markup ohne AdminLTE-JavaScript. Eigener Zustand, abdunkelnde Fläche, Schließen beim Navigieren und mit Escape
+- Lehre: Die Mobilansicht war mit Screenshots geprüft, nicht mit den Fingern. Ein Bild zeigt nicht, dass etwas nicht wieder weggeht
+
+- Breite Tabellen werden auf dem Telefon zu Karten (#035); dabei fiel auf, dass `pl-touch-target` am Kontrollkästchen selbst saß und es zum leeren Kasten aufblies
+- Standort am Host (#036): Die Meldung lautete „kann man nicht einstellen“ – tatsächlich löschte jede Kundenzuweisung den vorhandenen Standort, weil das Formular ihn nicht mitsendete und die Aktion ihn trotzdem las
+- Beide Fehler kamen aus dem echten Einsatz, nicht aus den Tests. Das bleibt die ergiebigste Quelle
+
+- Eine echte Proxmox-Rechnung hat drei Fehler im Rechnungsteil aufgedeckt (#037): Rabatt an der falschen Ebene, nirgends abgezogen, und 19 % USt als Vorgabe, wo Reverse Charge gilt
+- Florians Schilderung des Ablaufs (unbezahlte Rechnung → Kundenrechnung → Kunde zahlt → selbst zahlen → PAID-Fassung) ergab die zwölfte Warnregel
+- Lehre: Ein Beleg aus der Praxis sagt mehr über das Datenmodell als jede Annahme darüber, wie Rechnungen aussehen
+
+- Überbreite auf dem Handy (#038): Drei Verursacher, ein Muster – ein Element breiter als das Fenster zoomt die ganze Seite heraus
+- Dabei einen eigenen Fehler aus #037 gefunden: Die Detailseite rechnete weiter mit dem Listenpreis. Beim Ändern einer Rechengröße reicht es nicht, die Abfragen anzupassen – auch die Seiten rechnen selbst
+- Das Aufnahme-Skript kann jetzt gezielt in Telefonbreite aufnehmen; damit ließ sich die Behebung belegen statt nur behaupten
+
+- #039: Auf dem Telefon führte kein Weg zu den Rechnungsformularen – die Laufzeit war nicht verlinkt und die Spalte erst ab 992 px sichtbar
+- Dritte Stelle, die den Einkauf ohne Rabatt rechnete. Beim Ändern einer Rechengröße gehört jede Stelle gesucht, die sie selbst bildet – nicht nur die Abfragen
+- Bootstraps `d-*`-Klassen setzen `display` mit `!important`; für Spalten in der Kartenansicht braucht es eigene Klassen
+
+- Schlagworte und Notizen sichtbar gemacht (#040). Beides gab es längst – nur eben versteckt in einem Reiter, und damit nutzlos zum Unterscheiden gleichnamiger Hosts
+- Kein neues Feld gebaut: Ein zweites „Kommentar“ hätte dieselbe Angabe an zwei Orten gehalten
+
 ### Nächster Schritt
 - #016 Benutzerhandbuch mit Screenshots, danach #017 Favicons und #019 CI-Pipeline
 - Für 1.0.0 fehlt noch: PMG (kein Host verfügbar) und der Fall „aktive Subscription auf PBS“ (#023)

Dockerfile

@@ -24,6 +24,9 @@ RUN npx prisma generate \
 FROM basis AS laufzeit
 ENV NODE_ENV=production
 ENV PORT=3000
+# Ohne diese Zeile nimmt Next den von Docker gesetzten HOSTNAME als Bindeadresse und lauscht
+# nur auf der Container-IP. Die Zustandsprüfung über 127.0.0.1 schlägt dann immer fehl.
+ENV HOSTNAME=0.0.0.0
 
 RUN addgroup -g 1001 -S proxledger && adduser -S proxledger -u 1001 -G proxledger
 

README.md

@@ -13,7 +13,7 @@ Auf jedem Host meldet ein schlanker Agent täglich per HTTPS seinen Status (Push
 Auf einem Rechner mit Docker:
 
 ```bash
-git clone <dieses-repo> proxledger && cd proxledger
+git clone https://git.wilde-server.de/florian.wilde/ProxLedger.git proxledger && cd proxledger
 cp .env.example .env
 # Pflichtangaben setzen: APP_SECRET, POSTGRES_PASSWORD, ADMIN_PASSWORD, APP_URL
 docker compose up -d
@@ -37,7 +37,7 @@ bash deploy/lxc-installer.sh          # eigener Installer: Container mit Docker
 
 ```bash
 # Nach Art der Proxmox VE Helper-Scripts: Container mit Node und PostgreSQL direkt darin
-bash -c "$(curl -fsSL https://<git>/ProxLedger/raw/branch/main/deploy/community-scripts/ct/proxledger.sh)"
+bash -c "$(curl -fsSL https://git.wilde-server.de/florian.wilde/ProxLedger/raw/branch/main/deploy/community-scripts/ct/proxledger.sh)"
 ```
 
 Der zweite Weg folgt den Konventionen von [community-scripts.org](https://community-scripts.org) und
@@ -135,7 +135,7 @@ sie sich mit eigenen Tokens ausweisen.
 | Anleitung | Inhalt |
 |---|---|
 | [Inbetriebnahme](docs/betrieb/inbetriebnahme.md) | von null zum meldenden Host, in der richtigen Reihenfolge |
-| [Reverse Proxy](docs/betrieb/reverse-proxy.md) | HTTPS mit nginx Proxy Manager, privates Netz mit netbird |
+| [Reverse Proxy](docs/betrieb/reverse-proxy.md) | HTTPS mit nginx Proxy Manager, netbird Reverse Proxy (Beta) oder netbird pur |
 | [authentik](docs/betrieb/authentik.md) | Anmeldung über OIDC, samt Fehlerbildern |
 | [Sicherung](docs/betrieb/sicherung.md) | was gesichert wird – und wie man es zurückspielt |
 

deploy/backup.sh

@@ -1,5 +1,6 @@
 #!/usr/bin/env bash
-# Sichert Datenbank und hochgeladene PDFs von ProxLedger.
+# Sichert Datenbank, hochgeladene PDFs und die Konfiguration von ProxLedger.
+# Erkennt selbst, ob die Installation mit Docker oder als Dienst im Container läuft.
 #
 #   ./backup.sh /pfad/zum/sicherungsordner
 #
@@ -13,17 +14,50 @@ set -o pipefail
 ZIEL="${1:-/var/backups/proxledger}"
 AUFBEWAHRUNG_TAGE="${AUFBEWAHRUNG_TAGE:-30}"
 STAND=$(date +%Y%m%d-%H%M%S)
-COMPOSE_VERZEICHNIS="${COMPOSE_VERZEICHNIS:-/opt/proxledger}"
+VERZEICHNIS="${COMPOSE_VERZEICHNIS:-$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)}"
 
 mkdir -p "$ZIEL"
-cd "$COMPOSE_VERZEICHNIS"
+cd "$VERZEICHNIS"
 
-echo "Sichere Datenbank …"
+# Siehe deploy/update.sh – der Dienst ist das eindeutigere Merkmal.
-docker compose exec -T postgres pg_dump -U "${POSTGRES_USER:-proxledger}" "${POSTGRES_DB:-proxledger}" \
+if systemctl cat proxledger.service >/dev/null 2>&1; then
-  | gzip > "${ZIEL}/datenbank-${STAND}.sql.gz"
+  ART="dienst"
+else
+  ART="docker"
+fi
 
-echo "Sichere hochgeladene Dateien …"
+echo "Sichere ProxLedger (${ART}) nach ${ZIEL} …"
-docker compose run --rm -T --entrypoint tar web -czf - /data/uploads > "${ZIEL}/uploads-${STAND}.tar.gz" 2>/dev/null || true
+
+if [ "$ART" = "docker" ]; then
+  echo "Sichere Datenbank …"
+  docker compose exec -T postgres pg_dump -U "${POSTGRES_USER:-proxledger}" "${POSTGRES_DB:-proxledger}" \
+    | gzip > "${ZIEL}/datenbank-${STAND}.sql.gz"
+
+  echo "Sichere hochgeladene Dateien …"
+  docker compose run --rm -T --entrypoint tar web -czf - /data/uploads > "${ZIEL}/uploads-${STAND}.tar.gz" 2>/dev/null || true
+else
+  # DATABASE_URL steht in der .env; pg_dump versteht sie direkt.
+  # shellcheck disable=SC1091
+  set -o allexport
+  . ./.env
+  set +o allexport
+
+  [ -n "${DATABASE_URL:-}" ] || {
+    echo "DATABASE_URL fehlt in der .env – ohne sie keine Sicherung." >&2
+    exit 1
+  }
+
+  echo "Sichere Datenbank …"
+  pg_dump "$DATABASE_URL" | gzip > "${ZIEL}/datenbank-${STAND}.sql.gz"
+
+  echo "Sichere hochgeladene Dateien …"
+  UPLOADS="${UPLOAD_DIR:-${VERZEICHNIS}/data/uploads}"
+  if [ -d "$UPLOADS" ]; then
+    tar -czf "${ZIEL}/uploads-${STAND}.tar.gz" -C "$(dirname "$UPLOADS")" "$(basename "$UPLOADS")"
+  else
+    echo "  (kein Upload-Verzeichnis unter ${UPLOADS})"
+  fi
+fi
 
 echo "Sichere Konfiguration …"
 cp .env "${ZIEL}/env-${STAND}.txt"

deploy/community-scripts/README.md

@@ -6,6 +6,10 @@ installieren Node.js 24 und PostgreSQL 17, holen ProxLedger aus dem Git-Reposito
 systemd-Dienste ein (Dashboard und Worker) und schreiben die erzeugten Zugangsdaten nach
 `/opt/proxledger/.credentials`.
 
+**Ressourcen:** Die Vorgabe ist 2 CPU-Kerne, **4 GB RAM** und 12 GB Platte. Die 4 GB braucht
+`next build` während der Installation; im Betrieb genügen 2 GB, die sich im Nachhinein in Proxmox
+wieder absenken lassen.
+
 | Datei | Zweck |
 |---|---|
 | `ct/proxledger.sh` | Container anlegen, Ressourcen abfragen, Aktualisierung (`update_script`) |
@@ -16,11 +20,29 @@ systemd-Dienste ein (Dashboard und Worker) und schreiben die erzeugten Zugangsda
 Auf dem Proxmox-VE-Host als root:
 
 ```bash
-bash -c "$(curl -fsSL https://git.wilde-server.de/fw/ProxLedger/raw/branch/main/deploy/community-scripts/ct/proxledger.sh)"
+bash -c "$(curl -fsSL https://git.wilde-server.de/florian.wilde/ProxLedger/raw/branch/main/deploy/community-scripts/ct/proxledger.sh)"
 ```
 
-Das Gerüst (`build.func`, `install.func`) lädt das Skript von den community-scripts nach – das ist
+Das Gerüst (`build.func`) lädt das Skript von den community-scripts nach – das ist öffentlich und ohne
-öffentlich und ohne Konto erreichbar. Nur ProxLedger selbst kommt aus dem eigenen Git.
+Konto erreichbar. Nur ProxLedger selbst kommt aus dem eigenen Git.
+
+**Wichtig:** Ein per `curl` geladenes ct-Skript kann seine eigene Herkunft nicht ermitteln. Ohne
+Angabe sucht das Gerüst `install/proxledger-install.sh` bei den community-scripts auf GitHub und
+bricht mit *404 – Could not fetch install/proxledger-install.sh* ab. Das ct-Skript setzt deshalb
+
+```bash
+COMMUNITY_SCRIPTS_URL="https://git.wilde-server.de/florian.wilde/ProxLedger/raw/branch/main/deploy/community-scripts"
+```
+
+selbst. Für einen anderen Zweig oder einen Fork lässt sich die Angabe von außen überschreiben:
+
+```bash
+COMMUNITY_SCRIPTS_URL=https://git.example.de/<nutzer>/ProxLedger/raw/branch/<zweig>/deploy/community-scripts \
+  bash -c "$(curl -fsSL …/ct/proxledger.sh)"
+```
+
+Das Verzeichnis dahinter muss `ct/` und `install/` enthalten – deshalb zeigt die Angabe auf
+`deploy/community-scripts`, nicht auf die Wurzel des Repositorys.
 
 Zwei Umgebungsvariablen steuern die Quelle, solange das Repository nicht öffentlich ist:
 

deploy/community-scripts/ct/proxledger.sh

@@ -1,17 +1,24 @@
 #!/usr/bin/env bash
-_CS_DEFAULT_URL="https://raw.githubusercontent.com/community-scripts/ProxmoxVE/main"
+# Woher die App-Skripte kommen. Ein per curl geladenes ct-Skript kann seine eigene Herkunft nicht
+# ermitteln – ohne diese Angabe sucht das Geruest install/proxledger-install.sh bei den
+# community-scripts und bricht mit 404 ab. Ueberschreibbar fuer eigene Zweige oder Forks.
+COMMUNITY_SCRIPTS_URL="${COMMUNITY_SCRIPTS_URL:-https://git.wilde-server.de/florian.wilde/ProxLedger/raw/branch/main/deploy/community-scripts}"
+export COMMUNITY_SCRIPTS_URL
+_CS_DEFAULT_URL="$COMMUNITY_SCRIPTS_URL"
 _cs_boot="${COMMUNITY_SCRIPTS_CORE_DIR:-$(dirname "${BASH_SOURCE[0]}")/../../core}/core/build.func"
 source "$_cs_boot" 2>/dev/null || source <(curl -fsSL "${COMMUNITY_SCRIPTS_CORE_URL:-https://raw.githubusercontent.com/community-scripts/core/main}/core/build.func")
 # Copyright (c) 2021-2026 tteck
 # Author: Florian Wilde
 # License: MIT | https://github.com/community-scripts/ProxmoxVE/raw/main/LICENSE
-# Source: https://git.wilde-server.de/fw/ProxLedger
+# Source: https://git.wilde-server.de/florian.wilde/ProxLedger
 
 APP="ProxLedger"
 var_tags="${var_tags:-monitoring;licensing}"
 var_cpu="${var_cpu:-2}"
-var_ram="${var_ram:-2048}"
+# 4 GB fuer die Installation: `next build` braucht deutlich mehr als 2 GB und bricht sonst mit
-var_disk="${var_disk:-10}"
+# einem Speicherfehler ab. Nach der Installation genuegen 2 GB im Betrieb.
+var_ram="${var_ram:-4096}"
+var_disk="${var_disk:-12}"
 var_os="${var_os:-debian}"
 var_version="${var_version:-13}"
 var_arm64="${var_arm64:-yes}"

deploy/community-scripts/install/proxledger-install.sh

@@ -3,7 +3,7 @@
 # Copyright (c) 2021-2026 tteck
 # Author: Florian Wilde
 # License: MIT | https://github.com/community-scripts/ProxmoxVE/raw/main/LICENSE
-# Source: https://git.wilde-server.de/fw/ProxLedger
+# Source: https://git.wilde-server.de/florian.wilde/ProxLedger
 
 source /dev/stdin <<<"$FUNCTIONS_FILE_PATH"
 color
@@ -14,7 +14,7 @@ network_check
 update_os
 
 # Die Quelle laesst sich ueberschreiben, solange das Repository nicht oeffentlich ist.
-QUELLE="${PROXLEDGER_REPO:-https://git.wilde-server.de/fw/ProxLedger.git}"
+QUELLE="${PROXLEDGER_REPO:-https://git.wilde-server.de/florian.wilde/ProxLedger.git}"
 ZWEIG="${PROXLEDGER_BRANCH:-main}"
 
 msg_info "Installing Dependencies"
@@ -40,7 +40,13 @@ msg_info "Setting up ProxLedger"
 $STD git clone --branch "$ZWEIG" --depth 1 "$QUELLE" /opt/proxledger
 cd /opt/proxledger
 
-IP_ADRESSE=$(hostname -I | awk '{print $1}')
+# Erreichbare Adresse des Containers ermitteln. `hostname -I` liefert sie in aller Regel;
+# notfalls hilft die Route nach draussen. 0.0.0.0 waere eine Lausch-Adresse und im Browser nutzlos.
+IP_ADRESSE=$(hostname -I 2>/dev/null | awk '{print $1}')
+if [ -z "$IP_ADRESSE" ] || [ "$IP_ADRESSE" = "0.0.0.0" ]; then
+  IP_ADRESSE=$(ip route get 1.1.1.1 2>/dev/null | awk '/src/ {print $7; exit}')
+fi
+[ -n "$IP_ADRESSE" ] || IP_ADRESSE="localhost"
 cat <<EOF >/opt/proxledger/.env
 DATABASE_URL="postgresql://${DB_USER}:${DB_PASS}@localhost:5432/${DB_NAME}?schema=public"
 APP_SECRET="${APP_SECRET}"
@@ -107,6 +113,8 @@ msg_ok "Created Services"
 {
   echo "ProxLedger"
   echo "Adresse:     http://${IP_ADRESSE}:3000"
+  echo "             (Im Journal steht 0.0.0.0:3000 - das ist nur die Lausch-Adresse,"
+  echo "              im Browser gehoert die obige IP oder der spaetere DNS-Name hinein.)"
   echo "Benutzer:    admin@proxledger.local"
   echo "Passwort:    ${ADMIN_PASS}"
   echo

deploy/lxc-installer.sh

@@ -181,4 +181,5 @@ printf '  3. Für den Betrieb über HTTPS einen Reverse Proxy davorsetzen (Beisp
 echo
 gelb "APP_URL in /opt/proxledger/.env auf die endgültige Adresse setzen, sobald der Reverse Proxy steht."
 printf '  Logs ansehen:   pct exec %s -- docker compose -f /opt/proxledger/docker-compose.yml logs -f\n' "$CTID"
-printf '  Aktualisieren:  pct exec %s -- bash -c "cd /opt/proxledger && git pull && docker compose up -d --build"\n' "$CTID"
+printf '  Aktualisieren:  pct exec %s -- bash -c "bash /opt/proxledger/deploy/update.sh"\n' "$CTID"
+printf '  Sichern:        pct exec %s -- bash -c "bash /opt/proxledger/deploy/backup.sh /var/backups/proxledger"\n' "$CTID"

deploy/update.sh

@@ -1,7 +1,8 @@
 #!/usr/bin/env bash
-# ProxLedger aktualisieren (Docker-Installation).
+# ProxLedger aktualisieren – erkennt selbst, ob die Installation mit Docker
+# oder als Dienst im Container (Node + PostgreSQL direkt) läuft.
 #
-#   bash deploy/update.sh            # Quelltext holen, neu bauen, migrieren, neu starten
+#   bash deploy/update.sh                 # sichern, holen, bauen, migrieren, neu starten
 #   bash deploy/update.sh --ohne-sicherung
 #
 # Vor dem Aktualisieren wird gesichert – das dauert Sekunden und erspart schlechte Abende.
@@ -23,38 +24,105 @@ fehler() {
 SICHERN="ja"
 [ "${1:-}" = "--ohne-sicherung" ] && SICHERN="nein"
 
-command -v docker >/dev/null 2>&1 || fehler "Docker nicht gefunden."
+# Wohin gesichert wird. Der Standardort gehört root; wer anders arbeitet, setzt SICHERUNG_ZIEL.
-[ -f .env ] || fehler "Keine .env gefunden – wird dieses Skript im richtigen Verzeichnis ausgeführt?"
+SICHERUNG_ZIEL="${SICHERUNG_ZIEL:-/var/backups/proxledger}"
 
+# ---------------------------------------------------------------- Art der Installation
+#
+# Der systemd-Dienst ist das eindeutigere Merkmal: Die docker-compose.yml liegt auch im
+# Quelltext der Dienst-Installation, ein Dienst namens proxledger aber nur dort.
+installationsart() {
+  if systemctl cat proxledger.service >/dev/null 2>&1; then
+    printf 'dienst'
+  elif command -v docker >/dev/null 2>&1 && [ -f docker-compose.yml ]; then
+    printf 'docker'
+  fi
+}
+
+ART=$(installationsart)
+[ -n "$ART" ] || fehler "Keine Installation gefunden – weder der Dienst proxledger noch Docker mit docker-compose.yml."
+
+blau "Installationsart: ${ART}"
+
+# ---------------------------------------------------------------- Sicherung
 if [ "$SICHERN" = "ja" ]; then
-  blau "Sicherung anlegen …"
+  blau "Sicherung anlegen nach ${SICHERUNG_ZIEL} …"
-  bash deploy/backup.sh
+  if ! bash deploy/backup.sh "$SICHERUNG_ZIEL"; then
+    fehler "Die Sicherung ist fehlgeschlagen – deshalb wird nicht aktualisiert.
+  Häufigste Ursache: fehlende Rechte am Zielordner. Mögliche Wege:
+    sudo bash deploy/update.sh
+    SICHERUNG_ZIEL=/pfad/mit/rechten bash deploy/update.sh
+    bash deploy/update.sh --ohne-sicherung   (nur wenn anderweitig gesichert ist)"
+  fi
   gruen "Sicherung abgeschlossen."
+else
+  printf '\033[1;33m! Ohne Sicherung – auf eigenes Risiko.\033[0m\n'
 fi
 
+# ---------------------------------------------------------------- Quelltext
 if [ -d .git ]; then
   blau "Neuen Stand holen …"
   git pull --ff-only
+else
+  printf '\033[1;33m! Kein Git-Verzeichnis – der Quelltext bleibt wie er ist.\033[0m\n'
 fi
 
-blau "Abbilder neu bauen …"
+# ---------------------------------------------------------------- Aktualisieren
-docker compose build --pull
+if [ "$ART" = "docker" ]; then
+  [ -f .env ] || fehler "Keine .env gefunden – wird dieses Skript im richtigen Verzeichnis ausgeführt?"
 
-blau "Datenbank migrieren …"
+  blau "Abbilder neu bauen …"
-docker compose run --rm migrate
+  docker compose build --pull
 
-blau "Dienste neu starten …"
+  blau "Datenbank migrieren …"
-docker compose up -d
+  docker compose run --rm migrate
 
-# Kurz warten und nachsehen, ob das Dashboard wieder antwortet.
+  blau "Dienste neu starten …"
+  docker compose up -d
+else
+  command -v npm >/dev/null 2>&1 || fehler "npm nicht gefunden – gehört zur Installation als Dienst."
+  [ -f .env ] || fehler "Keine .env gefunden (erwartet in ${VERZEICHNIS})."
+
+  # Die .env trägt APP_SECRET; ein git pull fasst sie nicht an, aber sicher ist sicher.
+  cp .env "/tmp/proxledger-env-$(date +%s).sicherung"
+
+  blau "Abhängigkeiten installieren …"
+  npm ci
+
+  blau "Datenbank migrieren …"
+  npx prisma generate
+  npx prisma migrate deploy
+
+  blau "Anwendung bauen …"
+  npm run build
+  npm run build:worker
+
+  blau "Dienste neu starten …"
+  systemctl restart proxledger proxledger-worker
+fi
+
+# ---------------------------------------------------------------- Prüfen
 blau "Warte auf das Dashboard …"
-for versuch in $(seq 1 30); do
+PORT="${PORT:-3000}"
-  if docker compose exec -T web wget -qO- http://localhost:3000/api/gesundheit >/dev/null 2>&1; then
+
+for versuch in $(seq 1 45); do
+  if [ "$ART" = "docker" ]; then
+    erreichbar=$(docker compose exec -T web wget -qO- "http://127.0.0.1:3000/api/gesundheit" >/dev/null 2>&1 && echo ja || echo nein)
+  else
+    erreichbar=$(curl -fsS -o /dev/null --max-time 2 "http://localhost:${PORT}/api/gesundheit" && echo ja || echo nein)
+  fi
+
+  if [ "$erreichbar" = "ja" ]; then
     gruen "ProxLedger läuft wieder (nach ${versuch} s)."
-    docker compose ps
+    [ "$ART" = "docker" ] && docker compose ps
+    [ "$ART" = "dienst" ] && systemctl --no-pager --lines=0 status proxledger proxledger-worker | grep -E "●|Active:"
     exit 0
   fi
   sleep 1
 done
 
-fehler "Das Dashboard antwortet nicht. Protokoll ansehen: docker compose logs -n 50 web"
+if [ "$ART" = "docker" ]; then
+  fehler "Das Dashboard antwortet nicht. Protokoll ansehen: docker compose logs -n 50 web"
+else
+  fehler "Das Dashboard antwortet nicht. Protokoll ansehen: journalctl -u proxledger -n 50"
+fi

docker-compose.yml

@@ -60,7 +60,7 @@ services:
     volumes:
       - uploads:/data
     healthcheck:
-      test: ["CMD", "wget", "-qO-", "http://localhost:3000/api/gesundheit"]
+      test: ["CMD", "wget", "-qO-", "http://127.0.0.1:3000/api/gesundheit"]
       interval: 30s
       timeout: 5s
       retries: 5

docs/anleitung/README.md

@@ -76,10 +76,16 @@ Traefik liegen in [`deploy/reverse-proxy/`](../../deploy/reverse-proxy/).
 
 ![Anmeldeseite](bilder/login.png)
 
-Anmelden mit der E-Mail-Adresse und dem Passwort aus der `.env`. Ist ein Anmeldedienst über OIDC
+Es gibt drei gleichwertige Wege hinein:
-eingerichtet (`OIDC_ISSUER`, `OIDC_CLIENT_ID`, `OIDC_CLIENT_SECRET`), erscheint zusätzlich ein Knopf
+
-„Mit authentik anmelden“. Der lokale Zugang bleibt absichtlich immer nutzbar – falls der Anmeldedienst
+- **Passkey** – der Knopf ganz oben. Der Browser fragt nach Fingerabdruck, Gesicht oder PIN. Anlegen
-einmal ausfällt, kommst du trotzdem hinein.
+  lässt sich einer unter *Meine Passkeys* ([Kapitel 9b](#9b-benutzer-rollen-und-passkeys)).
+- **Passwort** – E-Mail-Adresse und Passwort aus der `.env` bzw. aus der Benutzerverwaltung.
+- **OIDC** – ist ein Anmeldedienst eingerichtet, erscheint zusätzlich „Mit authentik anmelden“
+  (Einrichtung: [docs/betrieb/authentik.md](../betrieb/authentik.md)).
+
+Der lokale Zugang bleibt absichtlich immer nutzbar – falls der Anmeldedienst einmal ausfällt, kommst du
+trotzdem hinein.
 
 Nach der Anmeldung landest du auf dem Dashboard:
 
@@ -169,6 +175,9 @@ weitergeben, und der Zurück-Knopf funktioniert wie erwartet.
 
 ---
 
+Im Detail eines Hosts lassen sich Kunde **und Standort** gemeinsam ändern. Die Standortliste zeigt nur
+die Standorte des gewählten Kunden; angelegt werden sie auf der Kundenseite.
+
 ## 4a. Cluster
 
 **In Proxmox hat jeder Knoten eine eigene Subscription** mit eigener Server-ID – ein Cluster mit drei
@@ -183,6 +192,19 @@ Dashboard vergleicht sie mit den Hosts, die sich tatsächlich melden:
 Hier laufen auf `hv-rz5-pve-02` und `hv-rz5-pve-03` noch keine Agents – das Dashboard sagt es zweimal
 deutlich. Sobald dort installiert wird, schließen sich die Warnungen von selbst.
 
+### Gleichnamige Hosts auseinanderhalten
+
+In verschiedenen Kundennetzen heißen Hosts oft gleich – `hv-pve-01` gibt es womöglich dreimal. Dafür
+gibt es Schlagworte und Notizen, zu finden im Host-Detail unter *Notizen und Tags*:
+
+- **Schlagworte** erscheinen als Abzeichen unter dem Hostnamen in der Liste. Ein Klick darauf zeigt
+  alle Hosts mit diesem Schlagwort; dasselbe geht über die Auswahl *Alle Schlagworte*.
+- **Notizen** zeigen in der Liste ein Zettel-Symbol, dessen Text beim Überfahren erscheint. Im
+  Host-Detail steht die Notiz oben bei den Stammdaten.
+- Beides wird mitdurchsucht – auch von der globalen Suche (Strg+K).
+
+Bewährt haben sich kurze, wiederverwendbare Worte: `cluster`, `backup`, `produktiv`, `aussenstelle`.
+
 ---
 
 ## 5. Kunden und Standorte pflegen
@@ -242,6 +264,23 @@ Positionen und wird automatisch nachgeführt.
 Die Jahresbahn zeigt zwölf Monate mit einer Linie für „heute“, gruppiert nach Kunde. Darunter stehen die
 Abläufe der nächsten 90 Tage und die bereits abgelaufenen Subscriptions.
 
+### Der übliche Ablauf
+
+1. Proxmox schickt die Rechnung zunächst als **UNPAID**. Sie wird hier erfasst, Haken „bezahlt“ bleibt leer.
+2. Die Kundenrechnung wird geschrieben und verschickt.
+3. Der Kunde zahlt. Jetzt meldet ProxLedger: *Kunde hat bezahlt – Proxmox-Rechnung noch offen*.
+4. Man zahlt bei Proxmox, setzt den Haken „bezahlt“ und lädt die **PAID**-Fassung des PDFs hoch – sie
+   ersetzt die alte.
+
+### Die Felder der Proxmox-Rechnung
+
+| Feld | Inhalt |
+|---|---|
+| Rechnungsnummer | Nummer von Proxmox. **Dieselbe Nummer bei einer weiteren Laufzeit** hängt diese als Position an dieselbe Rechnung – so werden Sammelrechnungen über mehrere Hosts abgebildet. |
+| Listenpreis netto | Der Betrag dieser **einen** Laufzeit, wie er auf der Rechnung steht (z. B. 1.100 €). |
+| Rabatt | Der „Client Discount“ dieser Laufzeit (z. B. 110 €). Gerechnet wird mit Listenpreis minus Rabatt. |
+| USt | Bei Proxmox in aller Regel 0 – Reverse Charge nach Art. 196. Die Vorgabe steht unter *Einstellungen → System*. |
+
 ---
 
 ## 7. Warnungen
@@ -390,31 +429,46 @@ Rückweg immer nutzbar.
 **Sichern:**
 
 ```bash
-./deploy/backup.sh /var/backups/proxledger
+bash /opt/proxledger/deploy/backup.sh /var/backups/proxledger
 ```
 
-Das Skript sichert Datenbank, hochgeladene PDFs und die `.env`. Für regelmäßige Sicherungen in die
+Das Skript sichert Datenbank, hochgeladene PDFs und die `.env` – und erkennt selbst, ob die
-Crontab eintragen:
+Installation mit Docker oder als Dienst im Container läuft. Für regelmäßige Sicherungen in die Crontab:
 
 ```
 30 2 * * * /opt/proxledger/deploy/backup.sh /var/backups/proxledger
 ```
 
-**Zurückspielen:**
+**Zurückspielen** (Docker):
 
 ```bash
 gunzip -c datenbank-20260917-023000.sql.gz | docker compose exec -T postgres psql -U proxledger proxledger
 ```
 
+Bei der Installation als Dienst stattdessen:
+
+```bash
+gunzip -c datenbank-20260917-023000.sql.gz | psql "$DATABASE_URL"
+```
+
 **Aktualisieren:**
 
 ```bash
-cd /opt/proxledger
+bash /opt/proxledger/deploy/update.sh
-git pull
-docker compose up -d --build
 ```
 
-Migrationen laufen dabei automatisch.
+Ein Befehl für beide Installationsarten. Der Reihe nach: sichern, neuen Stand holen, bauen,
+migrieren, neu starten – und zum Schluss prüfen, ob das Dashboard wieder antwortet. Schlägt die
+Sicherung fehl, bricht das Skript ab, **bevor** etwas verändert wird.
+
+| Aufruf | Wirkung |
+|---|---|
+| `bash deploy/update.sh` | der übliche Weg |
+| `SICHERUNG_ZIEL=/pfad bash deploy/update.sh` | anderer Ort für die Sicherung |
+| `bash deploy/update.sh --ohne-sicherung` | nur, wenn anderweitig gesichert ist |
+
+Beim LXC-Weg nach Art der Helper-Scripts geht es auch über das Skript auf dem Proxmox-Host – dort
+erkennt das Gerüst eine vorhandene Installation und bietet die Aktualisierung an.
 
 > `APP_SECRET` unbedingt mitsichern: Ohne diesen Wert sind alle Sitzungen ungültig. Und beachte, dass eine
 > Sicherung die Zugangsdaten für SMTP und Webhook im Klartext enthält – sie gehört entsprechend geschützt.
@@ -452,6 +506,11 @@ Server-ID stehen in der Detailansicht unter *Subscription-Historie*.
 
 ## Anhang: dunkles Design und Mobilansicht
 
+Auf dem Telefon öffnet das Symbol links oben das Menü; es schließt sich durch Antippen der
+abgedunkelten Fläche, über das Kreuz im Menükopf, mit Escape – und von selbst, sobald ein Eintrag
+gewählt wurde. Die Tabellen zeigen auf schmalen Bildschirmen nur die wichtigsten Spalten; die
+übrigen Angaben stehen auf der jeweiligen Detailseite.
+
 Das Dashboard folgt der Einstellung des Betriebssystems und lässt sich über das Mondsymbol in der
 Kopfleiste umschalten.
 

docs/betrieb/README.md

@@ -5,7 +5,7 @@ Anleitungen für alles, was rund um ProxLedger eingerichtet wird.
 | Dokument | Inhalt |
 |---|---|
 | [inbetriebnahme.md](inbetriebnahme.md) | Von null zum laufenden Dashboard – Docker oder LXC, erster Agent, erste Zuordnung |
-| [reverse-proxy.md](reverse-proxy.md) | HTTPS mit nginx Proxy Manager, privates Netz mit netbird |
+| [reverse-proxy.md](reverse-proxy.md) | HTTPS mit nginx Proxy Manager, netbird Reverse Proxy (Beta) oder netbird pur |
 | [authentik.md](authentik.md) | Anmeldung über OIDC |
 | [sicherung.md](sicherung.md) | Was gesichert werden muss und wie man es zurückspielt |
 

docs/betrieb/inbetriebnahme.md

@@ -20,7 +20,7 @@ die Domäne, unter der sie entstanden sind, und die Adresse steckt im Installati
 **Docker** (beliebiger Host mit Docker):
 
 ```bash
-git clone <repo> proxledger && cd proxledger
+git clone https://git.wilde-server.de/florian.wilde/ProxLedger.git proxledger && cd proxledger
 cp .env.example .env
 # Pflicht: APP_SECRET, POSTGRES_PASSWORD, ADMIN_PASSWORD, APP_URL
 docker compose up -d
@@ -34,7 +34,7 @@ bash deploy/lxc-installer.sh                    # Container mit Docker darin
 
 ```bash
 # Nach Art der Proxmox VE Helper-Scripts, ohne Docker:
-bash -c "$(curl -fsSL https://<git>/ProxLedger/raw/branch/main/deploy/community-scripts/ct/proxledger.sh)"
+bash -c "$(curl -fsSL https://git.wilde-server.de/florian.wilde/ProxLedger/raw/branch/main/deploy/community-scripts/ct/proxledger.sh)"
 ```
 
 Der erste Administrator entsteht beim Einrichten aus `ADMIN_EMAIL` und `ADMIN_PASSWORD`; beim

docs/betrieb/reverse-proxy.md

@@ -66,7 +66,77 @@ Danach einmal anmelden und darauf achten, dass die Adresszeile auf `proxledger.f
 
 ---
 
-## Weg B: netbird (kein offener Port)
+## Weg B: netbird Reverse Proxy (Beta)
+
+Seit v0.65 bringt netbird einen **eigenen Reverse Proxy** mit; v0.72 hat private Dienste und „Bring
+Your Own Proxy“ ergänzt. Damit entfällt der nginx Proxy Manager vollständig: netbird übernimmt die
+TLS-Terminierung und reicht den Verkehr durch das Mesh an den Ziel-Peer weiter – **ohne offenen Port
+und ohne Firewall-Regel auf dem ProxLedger-Host**.
+
+Für ProxLedger ist das der bequemste Weg, weil er die beiden Dinge löst, an denen es sonst hakt: ein
+gültiges Zertifikat (damit Passkeys funktionieren) und eine feste öffentliche Adresse.
+
+> **Beta.** Die Funktion ist als Beta gekennzeichnet. Sie unterstützt derzeit **kein Rosenpass**, und
+> wer netbird selbst hostet, braucht **Traefik** als äußeren Proxy – nur der beherrscht das nötige
+> TLS-Passthrough.
+
+### 1. Dienst anlegen
+
+Im netbird-Dashboard unter *Services → Reverse Proxy → Create*:
+
+| Reiter | Einstellung |
+|---|---|
+| **Details** | Mode `HTTP`; Subdomain `proxledger`, dazu eine Basis-Domäne; als Target den Peer mit ProxLedger, Protokoll `HTTP`, Port `3000` |
+| **Authentication** | für ProxLedger **aus lassen** – Begründung unten |
+| **Access Control** | nach Bedarf: IP-Bereiche, Länder, CrowdSec-Bewertung |
+| **Settings** | *Host header forwarding* **an**, ebenso das Umschreiben von Weiterleitungen |
+
+Das Zertifikat besorgt netbird selbst über ACME (Let's Encrypt); alternativ lassen sich eigene
+Zertifikate hinterlegen.
+
+**Host header forwarding ist nicht optional.** ProxLedger bildet Weiterleitungen, die OIDC-Rückkehr
+und die `rpID` der Passkeys aus der öffentlichen Adresse. Kommt beim Dienst nur die interne Adresse
+an, landet man nach der Anmeldung auf einer Adresse, die es im Browser nicht gibt.
+
+### 2. Adresse eintragen
+
+```bash
+APP_URL="https://proxledger.<ihre-basis-domaene>"
+```
+
+und dieselbe Adresse unter *Einstellungen → System* als **Adresse des Dashboards**. Danach neu starten.
+
+### 3. Warum die netbird-Anmeldung hier ausbleiben sollte
+
+netbird kann den Dienst zusätzlich absichern – per SSO über den eigenen Identitätsanbieter, per
+Passwort, PIN oder Kopfzeile. Verlockend, aber für ProxLedger meist falsch:
+
+**Die Absicherung gilt für den ganzen Dienst, also auch für `/api/agent`.** Die Agents auf den
+Proxmox-Hosts können sich dort nicht anmelden – sie weisen sich mit ihrem eigenen Token aus. Steht
+eine SSO-Hürde davor, melden alle Hosts stumm ins Leere, bis der Zwischenspeicher voll ist.
+
+Zwei Wege, wenn die zusätzliche Hürde gewünscht ist:
+
+1. **Zwei Dienste anlegen:** einen für die Oberfläche mit SSO, einen zweiten (eigene Subdomain) ohne
+   Anmeldung für die Agents. Im Installations-Einzeiler dann die Agent-Adresse verwenden
+   (`--url https://agents.<domaene>`).
+2. **Privater Dienst:** netbird kann einen Dienst so schalten, dass er **nur** aus dem eigenen Netz und
+   nur für ausgewählte Gruppen erreichbar ist. Das ist die sauberste Lösung, wenn sowohl Arbeitsplätze
+   als auch alle Proxmox-Hosts ohnehin im netbird-Netz sind: kein offener Zugang, trotzdem gültiges
+   Zertifikat und damit Passkeys.
+
+### 4. Prüfen
+
+```bash
+curl -fsS -o /dev/null -w "%{http_code}\n" https://proxledger.<domaene>/api/gesundheit
+curl -fsS https://proxledger.<domaene>/install.sh | grep -m1 DASHBOARD_URL
+```
+
+Die zweite Zeile muss die **öffentliche** Adresse zeigen – das ist die, die später in jedem Agent steht.
+
+---
+
+## Weg C: netbird ohne Reverse Proxy (kein offener Port)
 
 netbird spannt ein privates Netz über WireGuard. ProxLedger ist dann **nur** für Geräte im Netz
 erreichbar – kein Port im Internet, kein Zertifikat von außen nötig.
@@ -107,7 +177,8 @@ untereinander sprechen.
 ### 4. HTTPS trotzdem einrichten
 
 netbird verschlüsselt den Transport – der Browser weiß davon aber nichts, und **Passkeys bleiben ohne
-HTTPS gesperrt**. Zwei Möglichkeiten:
+HTTPS gesperrt**. Am einfachsten ist hier der Reverse Proxy aus Weg B (auch als privater Dienst
+nutzbar). Sonst bleiben zwei Möglichkeiten:
 
 - **Empfohlen:** Zusätzlich einen kleinen Reverse Proxy im netbird-Netz betreiben (nginx oder Caddy)
   mit einem Zertifikat für einen internen Namen, ausgestellt über DNS-01 – dafür muss nichts nach
@@ -121,14 +192,24 @@ betreiben. In dem Fall `APP_URL` auf genau diese Adresse setzen – sonst setzt
 
 ---
 
-## Beides zusammen
+## Welcher Weg wofür
 
-Der häufigste Aufbau in der Praxis:
+| Lage | Empfehlung |
+|---|---|
+| Eigener Server, Domäne vorhanden, Kunden sollen zugreifen | **Weg A** – nginx Proxy Manager |
+| Alles läuft ohnehin über netbird, Zertifikat gewünscht | **Weg B** – netbird Reverse Proxy, bei Bedarf als privater Dienst |
+| Kein offener Zugang, keine Passkeys nötig | **Weg C** – netbird pur, `APP_URL` auf die netbird-Adresse |
+
+Weg B ist der kürzeste, wenn netbird ohnehin im Einsatz ist: ein Dienst, ein Zertifikat, kein
+offener Port. Nur die Beta-Kennzeichnung sollte man im Hinterkopf behalten und nicht gleichzeitig auf
+etwas anderes umstellen, damit bei einem Problem klar ist, woran es liegt.
+
+Der häufigste gemischte Aufbau:
 
 | Zugang | Weg |
 |---|---|
-| Oberfläche für Mitarbeiter und Kunden | nginx Proxy Manager mit Let's-Encrypt-Zertifikat |
+| Oberfläche für Mitarbeiter und Kunden | nginx Proxy Manager oder netbird Reverse Proxy |
-| Agents aus Kundennetzen | netbird, oder dieselbe öffentliche Adresse |
+| Agents aus Kundennetzen | netbird-Netz, oder dieselbe öffentliche Adresse |
 
 Wichtig ist nur, dass die Agents dieselbe Adresse erreichen, die im Installations-Einzeiler steht.
 Ändert sich die Adresse später, genügt der Einzeiler erneut auf jedem Host – die Zuordnung bleibt
@@ -136,6 +217,9 @@ erhalten, weil sie an der Maschinenkennung hängt, nicht an der Adresse.
 
 ## Merkposten
 
+0. **Keine Anmeldehürde vor `/api/agent`.** Egal welcher Proxy: Wer die Oberfläche zusätzlich absichert,
+   schließt damit auch die Agents aus – die weisen sich mit eigenem Token aus und können sich nirgends
+   anmelden.
 1. **Adresse zuerst festlegen, dann Passkeys anlegen.** Ein Passkey gilt nur für die Domäne, unter der
    er registriert wurde.
 2. **`APP_URL` und die Dashboard-Adresse müssen auf die öffentliche Adresse zeigen** – daraus entstehen

docs/betrieb/sicherung.md

@@ -14,10 +14,15 @@ Maschinenkennung, nicht an einem Token.
 ## Sichern
 
 ```bash
-bash deploy/backup.sh          # Datenbank und Uploads
+bash deploy/backup.sh /var/backups/proxledger
 ```
 
-Beim LXC-Weg reicht zusätzlich die gewohnte Proxmox-Sicherung des Containers.
+Das Skript erkennt selbst, ob die Installation mit Docker oder als Dienst läuft, und sichert in beiden
+Fällen Datenbank, Uploads und `.env`. Beim LXC-Weg reicht zusätzlich die gewohnte Proxmox-Sicherung
+des Containers.
+
+Vor jeder Aktualisierung läuft es ohnehin automatisch – [`deploy/update.sh`](../../deploy/update.sh)
+ruft es als Erstes auf und bricht ab, wenn es fehlschlägt.
 
 ## Zurückspielen
 

docs/issues/030-netbird-reverse-proxy.md

@@ -0,0 +1,29 @@
+# #030 netbird Reverse Proxy in die Anleitung
+**Status:** erledigt
+**Meilenstein:** v0.19.1
+**Labels:** doku
+**Geschätzt:** 1 h   **Tatsächlich:** 0 h 20 min
+
+## Ziel
+netbird bringt seit v0.65 einen eigenen Reverse Proxy mit (Beta), v0.72 ergänzte private Dienste.
+Damit entfällt ein zusätzlicher nginx – das gehört in die Anleitung, weil es der kürzeste Weg zu
+HTTPS ist, wenn netbird ohnehin im Einsatz ist.
+
+## Aufgaben
+- [x] Weg B: netbird Reverse Proxy – Dienst anlegen, Zertifikat, Einstellungen
+- [x] Alter netbird-Abschnitt wird Weg C (ohne Proxy)
+- [x] Entscheidungstabelle, welcher Weg wofür taugt
+- [x] Beta-Einschränkungen benennen (kein Rosenpass; selbst gehostet nur mit Traefik)
+
+## Der wichtigste Hinweis
+Die Absicherung eines Dienstes (SSO, Passwort, PIN) gilt für den **ganzen** Dienst – also auch für
+`/api/agent`. Die Agents weisen sich mit eigenem Token aus und können sich nirgends anmelden; eine
+SSO-Hürde davor lässt alle Hosts stumm ins Leere melden, bis der Zwischenspeicher voll ist.
+
+Zwei brauchbare Auswege stehen in der Anleitung: zwei Dienste (Oberfläche mit SSO, Agents ohne) oder
+ein privater Dienst, der nur aus dem netbird-Netz erreichbar ist.
+
+## Quellen
+- <https://docs.netbird.io/manage/reverse-proxy>
+- <https://netbird.io/knowledge-hub/reverse-proxy>
+- <https://netbird.io/knowledge-hub/netbird-only-private-services>

docs/issues/031-update-skript-beide-varianten.md

@@ -0,0 +1,33 @@
+# #031 Update- und Sicherungsskript für beide Installationsarten
+**Status:** erledigt
+**Meilenstein:** v0.20.0
+**Labels:** deployment
+**Geschätzt:** 2 h   **Tatsächlich:** 0 h 45 min
+
+## Ziel
+`deploy/update.sh` und `deploy/backup.sh` konnten nur Docker. Die Installation als Dienst (Node und
+PostgreSQL direkt im LXC) ging leer aus – dort half nur der Weg über das Gerüst der community-scripts.
+
+## Aufgaben
+- [x] Beide Skripte erkennen die Installationsart selbst (systemd-Dienst oder Docker)
+- [x] Dienst-Weg: `npm ci`, `prisma migrate deploy`, bauen, `systemctl restart`
+- [x] Sicherung für den Dienst-Weg: `pg_dump` über `DATABASE_URL`, Uploads aus `UPLOAD_DIR`
+- [x] Fehlgeschlagene Sicherung bricht die Aktualisierung ab – **vor** jeder Änderung
+- [x] Hinweis am Ende von `deploy/lxc-installer.sh` auf die Skripte umgestellt
+- [x] Handbuch und Betriebsdoku angepasst
+- [x] Docker-Weg vollständig durchgespielt
+
+## Zwei Fehler beim Durchspielen gefunden
+1. **Die Zustandsprüfung des Web-Containers konnte nie gelingen.** Next bindet im Standalone-Modus an
+   die Adresse aus `HOSTNAME` – und Docker setzt darin den Containernamen. Der Server lauschte also
+   nur auf der Container-IP, nicht auf `127.0.0.1`. Der Dienst `web` blieb dauerhaft auf
+   „health: starting“; von außen war er trotzdem erreichbar, deshalb fiel es bisher nicht auf.
+   Behoben mit `ENV HOSTNAME=0.0.0.0` im Dockerfile; die Prüfungen verwenden jetzt `127.0.0.1`
+   statt `localhost` (das löst im Container auch auf `::1` auf).
+2. **Die Sicherung scheiterte stumm an fehlenden Rechten** (`/var/backups` gehört root) und die
+   Aktualisierung lief trotzdem weiter. Jetzt bricht sie ab und nennt die drei Auswege.
+
+## Prüfung
+Vollständiger Durchlauf gegen einen laufenden Stapel: Sicherung (Datenbank 6,3 KB mit 25 Tabellen,
+Uploads, `.env`), Abbilder gebaut, migriert, neu gestartet, Dashboard nach zwei Sekunden wieder da.
+Danach stand `web` zum ersten Mal auf **healthy**.

docs/issues/032-lxc-installation-korrekturen.md

@@ -0,0 +1,27 @@
+# #032 LXC-Installation: Herkunft der Skripte und Speicher
+**Status:** erledigt
+**Meilenstein:** v0.20.1
+**Labels:** deployment
+**Geschätzt:** 1 h   **Tatsächlich:** 0 h 20 min
+
+## Auslöser
+Erster echter Lauf auf `hv-rz5-pve-02`: Der Container entstand, dann brach es ab mit
+
+```
+curl: (22) The requested URL returned error: 404
+✖️  Could not fetch install/proxledger-install.sh
+📁  Looked in: https://raw.githubusercontent.com/community-scripts/ProxmoxVE/main
+```
+
+## Ursache
+Ein per `curl` geladenes ct-Skript kann seine eigene Herkunft nicht ermitteln. Das Gerüst setzt dann
+die Standardadresse der community-scripts ein und sucht dort `install/proxledger-install.sh`.
+
+## Behebung
+- Das ct-Skript setzt `COMMUNITY_SCRIPTS_URL` selbst auf die eigene Gitea-Adresse (für Forks und
+  andere Zweige weiterhin überschreibbar).
+- Vorgabe für den Arbeitsspeicher von 2 auf **4 GB** angehoben: `next build` braucht während der
+  Installation deutlich mehr als 2 GB und wäre nach zehn Minuten am Speicher gescheitert.
+- Die ermittelte Adresse wird geprüft; `hostname -I` ohne Ergebnis fällt auf die Route nach außen
+  zurück, und in den Zugangsdaten steht der Hinweis, dass `0.0.0.0` aus dem Journal keine
+  aufrufbare Adresse ist.

docs/issues/033-weiterleitung-lauschadresse.md

@@ -0,0 +1,35 @@
+# #033 Abmelden führte auf die Lausch-Adresse
+**Status:** erledigt
+**Meilenstein:** v0.20.1
+**Labels:** bug, deployment
+**Geschätzt:** 1 h   **Tatsächlich:** 0 h 30 min
+
+## Auslöser
+Im Docker-Betrieb führte **Abmelden** auf `0.0.0.0:3000/login` – eine Adresse, die kein Browser
+aufrufen kann (`ERR_ADDRESS_INVALID`).
+
+## Ursache
+Hausgemacht, und zwar in #031: Für die Zustandsprüfung des Containers wurde `ENV HOSTNAME=0.0.0.0`
+gesetzt, damit der Server auf allen Schnittstellen lauscht. Next.js macht eine Weiterleitung aus
+einer Server Action aber **serverseitig absolut** und nimmt dafür genau diese Adresse. Vorher stand
+dort der Containername (`http://0a5963a591df:3000/`) – derselbe Fehler, nur weniger auffällig.
+
+Betroffen waren alle Weiterleitungen, die nicht über eine `Request` liefen: Abmelden, die Prüfung in
+`sitzungErforderlich` und das Löschen eines Kunden.
+
+## Behebung
+- Neuer Helfer `eigenerPfad()` in `src/lib/adresse.ts`: baut die Adresse aus Einstellung, `APP_URL`
+  oder den Kopfzeilen der Anfrage – nie aus der Lausch-Adresse.
+- `oeffentlicheBasis()` übergeht unbrauchbare Angaben (`0.0.0.0`, `::`) jetzt ausdrücklich, statt sie
+  zu übernehmen. Eine falsch eingetragene Adresse macht das Dashboard damit nicht unbenutzbar.
+- Zwei zusätzliche Tests.
+
+## Prüfung
+Gegen einen Docker-Stapel durchgespielt: Mit `APP_URL=http://0.0.0.0:3000` in der `.env` – also der
+Fehlkonfiguration – leitet die Anwendung jetzt auf den tatsächlich aufgerufenen Namen
+(`http://localhost:3003/login`) statt auf die Lausch-Adresse.
+
+## Lehre
+Der Fix für die Zustandsprüfung hat einen zweiten Fehler sichtbar gemacht, der vorher nur anders
+aussah. Weiterleitungen gehören grundsätzlich aus der **konfigurierten** Adresse gebaut, nicht aus
+dem, was der Server zufällig über sich selbst weiß.

docs/issues/034-mobile-bedienung.md

@@ -0,0 +1,28 @@
+# #034 Bedienung auf dem Handy
+**Status:** erledigt
+**Meilenstein:** v0.20.2
+**Labels:** ui, bug
+**Geschätzt:** 2 h   **Tatsächlich:** 0 h 40 min
+
+## Auslöser
+Florian im produktiven Einsatz auf dem Telefon: „Das Menü geht nicht weg.“ Dazu eine Tabelle, von der
+rechts die Hälfte abgeschnitten war.
+
+## Ursache
+Das Markup stammt von AdminLTE, dessen JavaScript binden wir bewusst nicht ein. Die Klasse
+`sidebar-open` ließ sich damit setzen – aber nichts nahm sie wieder weg: keine Fläche zum Antippen,
+kein Schließen beim Navigieren, kein Escape. Auf dem Telefon blieb das Menü über dem Inhalt stehen.
+
+## Behebung
+- Eigener, winziger Zustand (`menuZustand.ts`), auf den Kopfzeile und Menü gemeinsam hören
+- Abdunkelnde Fläche hinter dem Menü – antippen schließt (ein `button`, damit auch per Tastatur erreichbar)
+- Schließen-Knopf im Menükopf, nur auf schmalen Bildschirmen
+- Schließt beim Navigieren und mit Escape
+- Der Inhalt dahinter scrollt nicht mehr mit, solange das Menü offen ist
+- Dashboard-Tabelle: auf dem Telefon nur Host und Ablauf, der Kunde steht klein unter dem Hostnamen.
+  Key und Rechnungsstände erscheinen ab Tablet-Breite – die Host-Tabelle machte das schon vorher so.
+- Fünf Tests für die Zustandslogik
+
+## Nicht geändert
+Die abdunkelnde Fläche gilt nur unter 992 px. Auf breiten Bildschirmen bleibt es beim bisherigen
+Verhalten: Das Menü klappt zu Symbolen zusammen, statt sich über den Inhalt zu legen.

docs/issues/035-mobile-tabellen.md

@@ -0,0 +1,28 @@
+# #035 Tabellen auf dem Handy als Karten
+**Status:** erledigt
+**Meilenstein:** v0.21.0
+**Labels:** ui
+**Geschätzt:** 3 h   **Tatsächlich:** 0 h 50 min
+
+## Auslöser
+„Etwas schöner darstellen auf dem Handy muss doch drin sein.“ Auf Rechnungen, Kunden und Jahresbahn
+war rechts jeweils die Hälfte abgeschnitten, Knöpfe im Kartenkopf liefen über den Rand, und Namen
+brachen Buchstabe für Buchstabe um.
+
+## Aufgaben
+- [x] `.pl-karten-tabelle`: unterhalb von 768 px wird jede Tabellenzeile zur Karte, jede Zelle bekommt
+      ihre Beschriftung aus `data-label` davor
+- [x] Angewandt auf Kunden, Rechnungen und den Ablauf-Kalender der Jahresbahn
+- [x] Kartenkopf bricht um, statt über den Rand zu laufen
+- [x] Jahresbahn: schmalere Namensspalte auf dem Telefon, dazu der Hinweis aufs seitliche Wischen
+- [x] Mobilansichten der breiten Seiten kommen jetzt mit in die Bilderstrecke
+
+## Warum Karten statt Scrollen
+Eine Tabelle mit elf Spalten lässt sich auf 390 px nicht sinnvoll anzeigen. Seitliches Scrollen
+versteckt die Hälfte der Angaben, und Spalten wegzulassen nimmt sie ganz weg. Als Karte steht jede
+Angabe mit ihrer Beschriftung da – länger, aber vollständig.
+
+## Nebenbefund
+Das Kontrollkästchen für den Rechnungsstatus trug `pl-touch-target`, also `min-height: 44px` – und
+wurde damit selbst zum 44 Pixel hohen leeren Kasten. Die Fläche zum Treffen bekommt jetzt sein Umfeld,
+das Kästchen behält seine Größe.

docs/issues/036-standort-am-host.md

@@ -0,0 +1,22 @@
+# #036 Standort am Host setzen
+**Status:** erledigt
+**Meilenstein:** v0.21.0
+**Labels:** bug, ui
+**Geschätzt:** 1 h   **Tatsächlich:** 0 h 30 min
+
+## Auslöser
+„Den Standort bei den Hosts kann man nicht einstellen.“
+
+## Was wirklich los war
+Schlimmer als gemeldet: Das Formular in der Host-Detailansicht sendete **nur** den Kunden. Die Aktion
+`hostKundeSetzen` las aber auch `standortId` – und bekam nichts. Jede Kundenzuweisung hat damit den
+Standort **stillschweigend gelöscht**. Setzen ging nur beim Ausrollen über die Sammelzuweisung unter
+*Hosts → Nicht zugeordnet*; danach war er beim nächsten Speichern wieder weg.
+
+## Behebung
+- Kunde und Standort in **einem** Formular, die Standortliste richtet sich nach dem gewählten Kunden
+- Wechselt der Kunde, wird die Standortauswahl zurückgesetzt statt stehen zu bleiben
+- Hat ein Kunde keine Standorte, sagt das Formular es, statt eine leere Auswahl anzubieten
+- Die Aktion prüft jetzt, dass der Standort zum Kunden gehört, und verwirft ihn sonst – eine falsche
+  Zuordnung wäre schlimmer als keine
+- Vier Tests, darunter der Fall „Standort eines anderen Kunden“

docs/issues/037-rabatt-und-ablauf.md

@@ -0,0 +1,46 @@
+# #037 Rabatt je Position und der tatsächliche Ablauf
+**Status:** erledigt
+**Meilenstein:** v0.22.0
+**Labels:** backend, ui
+**Geschätzt:** 3 h   **Tatsächlich:** 0 h 55 min
+
+## Auslöser
+Florian zeigte eine echte Proxmox-Rechnung (#291017) und beschrieb den Ablauf:
+
+```
+Proxmox VE Standard Subscription 2 CPUs/year - pve2s-3ef3be4d75   € 1.100,00
+Proxmox VE Standard Subscription 2 CPUs/year - pve2s-b7a0d516af   € 1.100,00
+Client Discount - … pve2s-3ef3be4d75                              €  -110,00
+Client Discount - … pve2s-b7a0d516af                              €  -110,00
+Sub Total                                                         € 1.980,00
+```
+
+Dazu: Man bekommt die Rechnung zuerst als **UNPAID**. Erst wenn der Kunde seine Rechnung bezahlt hat,
+zahlt man selbst bei Proxmox – und bekommt dieselbe Rechnung dann als **PAID** mit Transaktion.
+
+## Was falsch war
+1. **Der Rabatt hing an der Rechnung, nicht an der Position.** Bei einer Sammelrechnung über zwei
+   Hosts ließe sich ein Rabatt keinem Host zuordnen; die Marge je Host wäre falsch.
+2. **Er wurde nirgends abgezogen** – weder in der Summe noch in der Marge. Ein Feld, das aussieht wie
+   eine Rechengröße und keine ist.
+3. **Vorgabe 19 % USt** für den Einkauf. Proxmox sitzt in Österreich und rechnet gegenüber Unternehmen
+   mit USt-IdNr. über Reverse Charge ab – richtig sind 0 %.
+
+## Behebung
+- `rabatt` wandert an `ProxmoxRechnungPosition`; die Migration verteilt vorhandene Werte anteilig auf
+  die Positionen und rechnet die Rechnungssummen neu. Nichts geht verloren.
+- Rechnungsbetrag = Summe der Positionen **nach Abzug ihrer Rabatte** – wie das „Sub Total“ auf der
+  echten Rechnung.
+- Marge und alle Summen rechnen mit dem Betrag nach Abzug.
+- Das Formular heißt jetzt „Listenpreis netto“ und zeigt beim Tippen, womit gerechnet wird.
+- Eigener Steuersatz für den Einkauf, Vorgabe 0 (Reverse Charge).
+- Die Sammelrechnung listet je Position „1.100,00 € − 110,00 € = 990,00 €“.
+
+## Neue Warnregel
+`kunde-bezahlt-einkauf-offen`: Der Kunde hat bezahlt, die Proxmox-Rechnung ist noch offen. Genau der
+Zustand aus Florians Ablauf – das Geld ist da, die Rechnung auch, jetzt kann gezahlt werden. Bewusst
+unabhängig vom Fälligkeitsdatum, denn die Reihenfolge ist Absicht und keine Nachlässigkeit.
+
+## Zum PDF
+Die PAID-Fassung ersetzt beim erneuten Hochladen einfach die UNPAID-Fassung – gleiche Rechnungsnummer,
+gleiche Rechnung. Gleiche Dateien werden an ihrer Prüfsumme erkannt und nicht doppelt abgelegt.

docs/issues/038-ueberbreite-handy.md

@@ -0,0 +1,31 @@
+# #038 Seite wird auf dem Handy herausgezoomt
+**Status:** erledigt
+**Meilenstein:** v0.22.1
+**Labels:** bug, ui
+**Geschätzt:** 2 h   **Tatsächlich:** 0 h 40 min
+
+## Auslöser
+Zwei Meldungen aus dem Einsatz: Beim Öffnen der Warnungen verkleinerte sich die ganze Seite, und die
+Host-Detailansicht saß verschoben im Bild.
+
+## Ursache
+Beides derselbe Mechanismus: Ein Element ist breiter als das Fenster, also zoomt der Browser die
+**ganze Seite** heraus, damit sie hineinpasst. Drei Verursacher:
+
+1. Die Klappliste der Warnungen war mit 22 rem fest breiter als ein 390-px-Fenster.
+2. Drei Tabellen in der Host-Detailansicht (Keys, Server-IDs, Tokens) standen ohne
+   `table-responsive` – anders als die übrigen.
+3. Eine 32-stellige Server-ID bricht nicht von selbst um.
+
+## Behebung
+- Klapplisten richten sich auf dem Telefon am Fenster aus (`position: fixed`, links und rechts 0,5 rem,
+  höchstens 70 % Fensterhöhe mit eigenem Scroll) statt am Knopf
+- Die drei Tabellen bekommen ihre Hülle
+- Lange Schlüssel und IDs dürfen umbrechen (`overflow-wrap: anywhere`)
+- `npm run screenshots -- --mobil name=/pfad` nimmt gezielt eine Seite in Telefonbreite auf; damit
+  wurde die Host-Detailansicht gegengeprüft
+
+## Nachtrag zu #037
+Beim Prüfen fiel auf, dass die Laufzeit-Detailseite noch mit dem **Listenpreis** rechnete statt mit
+dem Betrag nach Rabatt – Marge und Vorschlag für die Kundenrechnung waren dort um den Rabatt zu hoch.
+Die Seite zeigt jetzt „990,00 € · 1.100,00 € − 110,00 € Rabatt“ und rechnet mit 990.

docs/issues/039-zugang-zur-laufzeit.md

@@ -0,0 +1,32 @@
+# #039 Auf dem Telefon führte kein Weg zur Laufzeit
+**Status:** erledigt
+**Meilenstein:** v0.22.2
+**Labels:** bug, ui
+**Geschätzt:** 1 h   **Tatsächlich:** 0 h 30 min
+
+## Auslöser
+„Kann ich am Handy nicht rein.“ Gemeint war der Reiter *Rechnungen* in der Host-Detailansicht: Die
+Zeile zeigt Laufzeit, Rechnung und Beträge – aber nichts davon war anklickbar.
+
+## Ursache
+Zwei Stellen:
+
+1. In der Host-Detailansicht war die Laufzeit nie verlinkt, auch am Rechner nicht. Man kam nur über
+   die Rechnungsliste dorthin.
+2. In der Rechnungsliste ist die Laufzeit-Spalte erst ab 992 px eingeblendet. Auf dem Telefon fehlte
+   damit der einzige Verweis auf die Formulare – die Karte verwies nur auf den Host.
+
+## Behebung
+- Die Laufzeit in der Host-Detailansicht ist ein Link und zugleich die Überschrift der Karte
+- In der Rechnungsliste bleibt die Laufzeit auf dem Telefon sichtbar; ausgeblendet wird sie nur
+  zwischen 768 und 992 px, wo die Tabelle am engsten ist
+- Der Reiter *Rechnungen* nutzt ebenfalls das Kartenlayout
+
+## Nebenbefund
+Auch dieser Reiter rechnete den Einkauf noch ohne Rabatt – 1.100 € statt 990 €. Dritte Stelle nach
+#037 und #038; alle gefunden, weil Florian die Zahl auf dem Bildschirm mit seiner Rechnung verglichen hat.
+
+## Gelernt
+Bootstraps `d-*`-Hilfsklassen setzen `display` mit `!important` und überschreiben damit das
+Kartenlayout. Für Spalten, die in der Kartenansicht sichtbar bleiben sollen, braucht es eine eigene
+Klasse (`pl-spalte-laufzeit`).

docs/issues/040-schlagworte-sichtbar.md

@@ -0,0 +1,26 @@
+# #040 Schlagworte und Notizen sichtbar machen
+**Status:** erledigt
+**Meilenstein:** v0.23.0
+**Labels:** ui
+**Geschätzt:** 2 h   **Tatsächlich:** 0 h 40 min
+
+## Auslöser
+„Manche Hosts haben gleiche Namen.“ Zwei Hosts namens `hv-pve-01` bei verschiedenen Kunden sind in
+der Liste nur am Kunden auseinanderzuhalten – und wenn beide zum selben Kunden gehören, gar nicht.
+
+## Ausgangslage
+Schlagworte und Notizen gab es schon: im Host-Detail unter *Notizen und Tags*. Sie waren nur nirgends
+zu sehen, außer in diesem einen Reiter. Damit taugten sie nicht zum Unterscheiden.
+
+## Behebung
+- **Host-Liste:** Schlagworte als Abzeichen unter dem Namen, jedes anklickbar – ein Klick filtert die
+  Liste darauf. Eine vorhandene Notiz zeigt ein kleines Zettel-Symbol, dessen Text beim Überfahren erscheint.
+- **Filterleiste:** Auswahl „Alle Schlagworte“, die nur tatsächlich vergebene Worte anbietet.
+- **Host-Detail:** Schlagworte und Notiz stehen oben in der Host-Karte, nicht erst im Reiter.
+- **Suche:** Die Hostsuche und die globale Suche (Strg+K) finden jetzt auch über Schlagwort und
+  Notiztext; die Trefferzeile nennt die Schlagworte.
+- Sechs Tests, darunter zwei gleichnamige Hosts bei verschiedenen Kunden.
+
+## Entscheidung
+Keine neue Datenstruktur. Schlagworte und Notizen waren bereits vorhanden und wurden nur nicht
+gezeigt – ein zweites Feld „Kommentar“ hätte dieselbe Angabe an zwei Orten gehalten.

docs/issues/README.md

@@ -33,4 +33,15 @@ Details und Architektur: [../architektur.md](../architektur.md). Zeiten werden a
 | [#027](027-rollen-benutzerverwaltung.md) | Rollen und Benutzerverwaltung | erledigt | v0.18.0 | 6 h | 1 h 20 min |
 | [#028](028-passkeys.md) | Anmeldung mit Passkeys | erledigt | v0.18.0 | 4 h | 0 h 45 min |
 | [#029](029-betriebsdokumentation.md) | Einrichtungsdokumentation | erledigt | v0.19.0 | 3 h | 0 h 40 min |
-| | **Summe** | | | **146 h** | **15 h 03 min** |
+| [#030](030-netbird-reverse-proxy.md) | netbird Reverse Proxy in die Anleitung | erledigt | v0.19.1 | 1 h | 0 h 20 min |
+| [#031](031-update-skript-beide-varianten.md) | Update- und Sicherungsskript für beide Varianten | erledigt | v0.20.0 | 2 h | 0 h 45 min |
+| [#032](032-lxc-installation-korrekturen.md) | LXC-Installation: Herkunft der Skripte und Speicher | erledigt | v0.20.1 | 1 h | 0 h 20 min |
+| [#033](033-weiterleitung-lauschadresse.md) | Abmelden führte auf die Lausch-Adresse | erledigt | v0.20.1 | 1 h | 0 h 30 min |
+| [#034](034-mobile-bedienung.md) | Bedienung auf dem Handy | erledigt | v0.20.2 | 2 h | 0 h 40 min |
+| [#035](035-mobile-tabellen.md) | Tabellen auf dem Handy als Karten | erledigt | v0.21.0 | 3 h | 0 h 50 min |
+| [#036](036-standort-am-host.md) | Standort am Host setzen | erledigt | v0.21.0 | 1 h | 0 h 30 min |
+| [#037](037-rabatt-und-ablauf.md) | Rabatt je Position und der tatsächliche Ablauf | erledigt | v0.22.0 | 3 h | 0 h 55 min |
+| [#038](038-ueberbreite-handy.md) | Seite wird auf dem Handy herausgezoomt | erledigt | v0.22.1 | 2 h | 0 h 40 min |
+| [#039](039-zugang-zur-laufzeit.md) | Auf dem Telefon führte kein Weg zur Laufzeit | erledigt | v0.22.2 | 1 h | 0 h 30 min |
+| [#040](040-schlagworte-sichtbar.md) | Schlagworte und Notizen sichtbar machen | erledigt | v0.23.0 | 2 h | 0 h 40 min |
+| | **Summe** | | | **165 h** | **21 h 43 min** |

package-lock.json

@@ -1,12 +1,12 @@
 {
   "name": "proxledger",
-  "version": "0.17.0",
+  "version": "0.19.1",
   "lockfileVersion": 3,
   "requires": true,
   "packages": {
     "": {
       "name": "proxledger",
-      "version": "0.17.0",
+      "version": "0.19.1",
       "hasInstallScript": true,
       "dependencies": {
         "@node-rs/argon2": "^2.2.1",
@@ -14,13 +14,13 @@
         "@prisma/client": "^7.10.0",
         "@react-pdf/renderer": "^4.9.0",
         "@simplewebauthn/browser": "^14.0.0",
-        "@simplewebauthn/server": "^14.0.2",
+        "@simplewebauthn/server": "^14.0.3",
         "admin-lte": "^4.9.1",
         "bootstrap": "^5.3.8",
         "bootstrap-icons": "^1.13.1",
         "croner": "^10.0.1",
         "jose": "^6.2.12",
-        "next": "16.3.5",
+        "next": "^16.3.8",
         "nodemailer": "^10.0.10",
         "openid-client": "^6.8.8",
         "react": "19.2.8",
@@ -35,7 +35,7 @@
         "dotenv": "^17.4.2",
         "esbuild": "^0.28.2",
         "eslint": "^9",
-        "eslint-config-next": "16.3.5",
+        "eslint-config-next": "^16.3.8",
         "eslint-config-prettier": "^10.1.8",
         "prettier": "^3.9.7",
         "prisma": "^7.10.0",
@@ -1646,15 +1646,15 @@
       }
     },
     "node_modules/@next/env": {
-      "version": "16.3.5",
+      "version": "16.3.8",
-      "resolved": "https://registry.npmjs.org/@next/env/-/env-16.3.5.tgz",
+      "resolved": "https://registry.npmjs.org/@next/env/-/env-16.3.8.tgz",
-      "integrity": "sha512-NWEXVDMqoEo0ktmU6u0sE2Vg0LOcsD7NnOTJNo3/fEaTfsg+F1bMIxuDmQbda4e3yTIQwVdUREF2yIuMOusKtg==",
+      "integrity": "sha512-Al9zqHVV7TJv0eFuOU4U7Lvv74PTih4Ch63sk2xCIpSTkE3udFnaOcnzP2lQVymiL7yS9Cj2iClUXlR3EQ5sEw==",
       "license": "MIT"
     },
     "node_modules/@next/eslint-plugin-next": {
-      "version": "16.3.5",
+      "version": "16.3.8",
-      "resolved": "https://registry.npmjs.org/@next/eslint-plugin-next/-/eslint-plugin-next-16.3.5.tgz",
+      "resolved": "https://registry.npmjs.org/@next/eslint-plugin-next/-/eslint-plugin-next-16.3.8.tgz",
-      "integrity": "sha512-PGfSeItHJ12DH8t+6sEbuMe59NE5rAhCfgk06QKTH2ne9VUL1JlaXdYXY3B8RaiF2SO50rDYvd39TulP6A6xZQ==",
+      "integrity": "sha512-eCR9RcLTZrVS+K3+VOhi0xMdUUGNuriCHHhU1ZoABC/QQ/Gp0OWbLKQxV2/9DkmihYdYRcQWFmZXW8M1AMUXYw==",
       "dev": true,
       "license": "MIT",
       "dependencies": {
@@ -1695,9 +1695,9 @@
       }
     },
     "node_modules/@next/swc-darwin-arm64": {
-      "version": "16.3.5",
+      "version": "16.3.8",
-      "resolved": "https://registry.npmjs.org/@next/swc-darwin-arm64/-/swc-darwin-arm64-16.3.5.tgz",
+      "resolved": "https://registry.npmjs.org/@next/swc-darwin-arm64/-/swc-darwin-arm64-16.3.8.tgz",
-      "integrity": "sha512-pMmGgETfKvElucLHtVaeiMRbp2zUbvKx7b1yGko0liBz3cw1mKSggWN/Rp/wPz8z+E1O82u3r4L1Co+ZS5hokQ==",
+      "integrity": "sha512-2JPRMh2nmQG5CiL7cXGL9AGwnPWJQ//cTtAUCT+w511QHk79SYz3LGv/pc5X643B/WEO0rvu3Yww0hqwt3kgeA==",
       "cpu": [
         "arm64"
       ],
@@ -1711,9 +1711,9 @@
       }
     },
     "node_modules/@next/swc-darwin-x64": {
-      "version": "16.3.5",
+      "version": "16.3.8",
-      "resolved": "https://registry.npmjs.org/@next/swc-darwin-x64/-/swc-darwin-x64-16.3.5.tgz",
+      "resolved": "https://registry.npmjs.org/@next/swc-darwin-x64/-/swc-darwin-x64-16.3.8.tgz",
-      "integrity": "sha512-76VaGYvf6HPa5/w12yLkE3dXTn9AfdEviI79oEL3aZoAmRLc9rWitjWqyjViVysK/ht/y9YKzFkBrUdi/wGkow==",
+      "integrity": "sha512-GZtCCOBKJ4leVIT/Th0llWKhD1ca92lzbQiS5R5ON9QkoiFnilFsebDae1JU2a3HWoKMEmEZWGs1AGLavVM72Q==",
       "cpu": [
         "x64"
       ],
@@ -1727,9 +1727,9 @@
       }
     },
     "node_modules/@next/swc-linux-arm64-gnu": {
-      "version": "16.3.5",
+      "version": "16.3.8",
-      "resolved": "https://registry.npmjs.org/@next/swc-linux-arm64-gnu/-/swc-linux-arm64-gnu-16.3.5.tgz",
+      "resolved": "https://registry.npmjs.org/@next/swc-linux-arm64-gnu/-/swc-linux-arm64-gnu-16.3.8.tgz",
-      "integrity": "sha512-zKDELJ5jSQMHeO/hmXUQsAzagX4bQD4OiMi3pQ5FbUj+yK506oLVHnKA2YXMlbg1EHHqJYtyePOgByIDXD1lqw==",
+      "integrity": "sha512-O659ygeQYqneJ1fBKMpFxIFqYkYswu8IAS1OCKK/4f3ZgJJm1dRz4fVJZRi/kLLWjnBKnebOePA4WNv+sV1pVA==",
       "cpu": [
         "arm64"
       ],
@@ -1746,9 +1746,9 @@
       }
     },
     "node_modules/@next/swc-linux-arm64-musl": {
-      "version": "16.3.5",
+      "version": "16.3.8",
-      "resolved": "https://registry.npmjs.org/@next/swc-linux-arm64-musl/-/swc-linux-arm64-musl-16.3.5.tgz",
+      "resolved": "https://registry.npmjs.org/@next/swc-linux-arm64-musl/-/swc-linux-arm64-musl-16.3.8.tgz",
-      "integrity": "sha512-7Vql0pgzCoHagv6+FNOZoqmJqA52c6zeVbhtS/47qFozO1MSx4ms7x7GHiciY8R5CDsSMKMQjJEryoJLcsBIbA==",
+      "integrity": "sha512-dSjKSyWpzxoO1d3DIZZcP4XJcNaKeLmxQMFOiYl5vuBRMmweIqnAhty8tAmRsvTss779cK1FtYnDMj40e4TQlg==",
       "cpu": [
         "arm64"
       ],
@@ -1765,9 +1765,9 @@
       }
     },
     "node_modules/@next/swc-linux-x64-gnu": {
-      "version": "16.3.5",
+      "version": "16.3.8",
-      "resolved": "https://registry.npmjs.org/@next/swc-linux-x64-gnu/-/swc-linux-x64-gnu-16.3.5.tgz",
+      "resolved": "https://registry.npmjs.org/@next/swc-linux-x64-gnu/-/swc-linux-x64-gnu-16.3.8.tgz",
-      "integrity": "sha512-NH/xzehyHEFWE2nlcZon7TB/0+H4shfWCi7S1zka815XCOhJDYZhoeJtOYy0dh0WVRWACVXSyGNFFytoMxUhRg==",
+      "integrity": "sha512-lbqOuz3RPRcv+o9msNsJw5x4+Y1ZwPTs6vmL6DCf7i0fZfvng/F59wyeDwqHIvV0mK//RBy/jJkZ+nCKsSMXjQ==",
       "cpu": [
         "x64"
       ],
@@ -1784,9 +1784,9 @@
       }
     },
     "node_modules/@next/swc-linux-x64-musl": {
-      "version": "16.3.5",
+      "version": "16.3.8",
-      "resolved": "https://registry.npmjs.org/@next/swc-linux-x64-musl/-/swc-linux-x64-musl-16.3.5.tgz",
+      "resolved": "https://registry.npmjs.org/@next/swc-linux-x64-musl/-/swc-linux-x64-musl-16.3.8.tgz",
-      "integrity": "sha512-lV4+EhWMfS8jcC+EH2nn/Cm5cn6XsgbE07bU9tMH8fCo0tNAqhyzi1b5wQ/Tn6NGFTvKDY65w3ZH95EjwBRAnQ==",
+      "integrity": "sha512-+316WswI8ScVgZeUd+1KGaXkHhaYQzCjvH/05TZSpJ8zBizb1a4G7DtO7F12jcBIqMOtsz9ji1t48fmKtzqsGA==",
       "cpu": [
         "x64"
       ],
@@ -1803,9 +1803,9 @@
       }
     },
     "node_modules/@next/swc-win32-arm64-msvc": {
-      "version": "16.3.5",
+      "version": "16.3.8",
-      "resolved": "https://registry.npmjs.org/@next/swc-win32-arm64-msvc/-/swc-win32-arm64-msvc-16.3.5.tgz",
+      "resolved": "https://registry.npmjs.org/@next/swc-win32-arm64-msvc/-/swc-win32-arm64-msvc-16.3.8.tgz",
-      "integrity": "sha512-/wKzAREX2RF++MhicjDbg8tGn2AiBIM0+EFeTFKoUEUbW5D6amCJehd5Z5G1H5/gxNdgnwoXMcHz24H/c2tGkQ==",
+      "integrity": "sha512-ji0gd4kMYUxO+1fJBIbiBVRCjzG/lloiyCccnlebvb1ZJ5qXCPZqYg4Jl1DrrixnWNMKylzgpmMWx0yNDYXlzw==",
       "cpu": [
         "arm64"
       ],
@@ -1819,9 +1819,9 @@
       }
     },
     "node_modules/@next/swc-win32-x64-msvc": {
-      "version": "16.3.5",
+      "version": "16.3.8",
-      "resolved": "https://registry.npmjs.org/@next/swc-win32-x64-msvc/-/swc-win32-x64-msvc-16.3.5.tgz",
+      "resolved": "https://registry.npmjs.org/@next/swc-win32-x64-msvc/-/swc-win32-x64-msvc-16.3.8.tgz",
-      "integrity": "sha512-LNdCHzgLFc+UeqMS84LzXPaeBRKyqDN9OMyFAr1OrB0XrNw78IRrEVtZvvA7245W/HsaoeVOQX9jPjPk8jojwA==",
+      "integrity": "sha512-WcTlaKt/TWkh5kUjdJcUmB1XgZ+1c6fz4Y9fDHL73YNSdGaUWjceeWrrlwF0nv19iABYWC4iAq1oX1w4Bn0vfg==",
       "cpu": [
         "x64"
       ],
@@ -3285,9 +3285,9 @@
       "license": "MIT"
     },
     "node_modules/@simplewebauthn/server": {
-      "version": "14.0.2",
+      "version": "14.0.3",
-      "resolved": "https://registry.npmjs.org/@simplewebauthn/server/-/server-14.0.2.tgz",
+      "resolved": "https://registry.npmjs.org/@simplewebauthn/server/-/server-14.0.3.tgz",
-      "integrity": "sha512-g+m/xv9/8FRWsDY22CwsTYRzt3WwS9fJrR3P7eY3Ti01FXH5FQ36Xn55v6D+5tb6VajlqOj4hywP/Vxsb6a3Sg==",
+      "integrity": "sha512-D39/0fiDiYmGV+nraY9s63D1Ho2AX/waMLy22/9gUadTUuvbAnstfb4bpbHYbwZuV5ZLDYN1SmzDKuiHzKAA4Q==",
       "license": "MIT",
       "dependencies": {
         "@hexagon/base64": "^1.1.27",
@@ -5889,13 +5889,13 @@
       }
     },
     "node_modules/eslint-config-next": {
-      "version": "16.3.5",
+      "version": "16.3.8",
-      "resolved": "https://registry.npmjs.org/eslint-config-next/-/eslint-config-next-16.3.5.tgz",
+      "resolved": "https://registry.npmjs.org/eslint-config-next/-/eslint-config-next-16.3.8.tgz",
-      "integrity": "sha512-wPjq9MLQuWykHs8tsm2gH6OJThk6N27L8Te2JatlaGZ7jT1gtgGmJKukygL28xOlWsg5J1a1bGy/PvLyQC8OYA==",
+      "integrity": "sha512-81vovwMe6NGnoFsl0KUJWzlS+y239i3fdsxs49gSEX3pDQW2cuKy+fxUPXNkQqqx6OCPheYPtBlSufc9aZ0k+w==",
       "dev": true,
       "license": "MIT",
       "dependencies": {
-        "@next/eslint-plugin-next": "16.3.5",
+        "@next/eslint-plugin-next": "16.3.8",
         "eslint-import-resolver-node": "^0.3.6",
         "eslint-import-resolver-typescript": "^3.5.2",
         "eslint-plugin-import": "^2.32.0",
@@ -8184,12 +8184,12 @@
       "license": "MIT"
     },
     "node_modules/next": {
-      "version": "16.3.5",
+      "version": "16.3.8",
-      "resolved": "https://registry.npmjs.org/next/-/next-16.3.5.tgz",
+      "resolved": "https://registry.npmjs.org/next/-/next-16.3.8.tgz",
-      "integrity": "sha512-MdtsTgzyfCPRLC6uJ1mN8ao7lyJ4BB0U6Inhnx3gta1UcCIdHK3yxLG0E8OWQteWD8/Q0qb8A5o7wJaL8M9y2w==",
+      "integrity": "sha512-U7QEZaTini6wKrb8A8hqLLqYQyCetegKjCpJOyxk642vWoMoU1x5PyZCJFvgYgiptA8xc5j/9xYlZFO7w9Sjmw==",
       "license": "MIT",
       "dependencies": {
-        "@next/env": "16.3.5",
+        "@next/env": "16.3.8",
         "@swc/helpers": "0.5.23",
         "baseline-browser-mapping": "^2.9.19",
         "caniuse-lite": "^1.0.30001579",
@@ -8203,14 +8203,14 @@
         "node": ">=20.9.0"
       },
       "optionalDependencies": {
-        "@next/swc-darwin-arm64": "16.3.5",
+        "@next/swc-darwin-arm64": "16.3.8",
-        "@next/swc-darwin-x64": "16.3.5",
+        "@next/swc-darwin-x64": "16.3.8",
-        "@next/swc-linux-arm64-gnu": "16.3.5",
+        "@next/swc-linux-arm64-gnu": "16.3.8",
-        "@next/swc-linux-arm64-musl": "16.3.5",
+        "@next/swc-linux-arm64-musl": "16.3.8",
-        "@next/swc-linux-x64-gnu": "16.3.5",
+        "@next/swc-linux-x64-gnu": "16.3.8",
-        "@next/swc-linux-x64-musl": "16.3.5",
+        "@next/swc-linux-x64-musl": "16.3.8",
-        "@next/swc-win32-arm64-msvc": "16.3.5",
+        "@next/swc-win32-arm64-msvc": "16.3.8",
-        "@next/swc-win32-x64-msvc": "16.3.5",
+        "@next/swc-win32-x64-msvc": "16.3.8",
         "sharp": "^0.35.4"
       },
       "peerDependencies": {

package.json

@@ -1,6 +1,6 @@
 {
   "name": "proxledger",
-  "version": "0.19.0",
+  "version": "0.23.0",
   "private": true,
   "scripts": {
     "dev": "next dev",
@@ -35,13 +35,13 @@
     "@prisma/client": "^7.10.0",
     "@react-pdf/renderer": "^4.9.0",
     "@simplewebauthn/browser": "^14.0.0",
-    "@simplewebauthn/server": "^14.0.2",
+    "@simplewebauthn/server": "^14.0.3",
     "admin-lte": "^4.9.1",
     "bootstrap": "^5.3.8",
     "bootstrap-icons": "^1.13.1",
     "croner": "^10.0.1",
     "jose": "^6.2.12",
-    "next": "16.3.5",
+    "next": "^16.3.8",
     "nodemailer": "^10.0.10",
     "openid-client": "^6.8.8",
     "react": "19.2.8",
@@ -56,7 +56,7 @@
     "dotenv": "^17.4.2",
     "esbuild": "^0.28.2",
     "eslint": "^9",
-    "eslint-config-next": "16.3.5",
+    "eslint-config-next": "^16.3.8",
     "eslint-config-prettier": "^10.1.8",
     "prettier": "^3.9.7",
     "prisma": "^7.10.0",

prisma/migrations/20261003163000_rabatt_je_position/migration.sql

@@ -0,0 +1,32 @@
+-- Rabatt gehört an die Position, nicht an die Rechnung (#037).
+--
+-- Proxmox weist den Rabatt je Subscription-Key als eigene Zeile aus. Bei einer Sammelrechnung
+-- über mehrere Hosts ließe sich ein Rabatt an der Rechnung keinem Host zuordnen – und die Marge
+-- je Host wäre falsch.
+
+ALTER TABLE "ProxmoxRechnungPosition" ADD COLUMN "rabatt" DECIMAL(12,2);
+
+-- Vorhandene Rabatte von der Rechnung auf ihre Positionen verteilen, anteilig zum Nettobetrag.
+-- Bei nur einer Position entspricht das genau dem bisherigen Wert.
+UPDATE "ProxmoxRechnungPosition" AS p
+SET "rabatt" = ROUND(r."rabatt" * p."nettoBetrag" / NULLIF(s."summe", 0), 2)
+FROM "ProxmoxRechnung" AS r,
+     (SELECT "rechnungId", SUM("nettoBetrag") AS "summe"
+        FROM "ProxmoxRechnungPosition"
+       GROUP BY "rechnungId") AS s
+WHERE p."rechnungId" = r."id"
+  AND s."rechnungId" = r."id"
+  AND r."rabatt" IS NOT NULL;
+
+-- Der Rechnungsbetrag ist ab jetzt die Summe der Positionen nach Abzug ihrer Rabatte.
+UPDATE "ProxmoxRechnung" AS r
+SET "nettoBetrag" = COALESCE((
+      SELECT SUM(p."nettoBetrag" - COALESCE(p."rabatt", 0))
+        FROM "ProxmoxRechnungPosition" AS p
+       WHERE p."rechnungId" = r."id"
+    ), r."nettoBetrag");
+
+ALTER TABLE "ProxmoxRechnung" DROP COLUMN "rabatt";
+
+-- Einkauf bei Proxmox läuft über Reverse Charge; 19 % war als Vorgabe irreführend.
+ALTER TABLE "ProxmoxRechnung" ALTER COLUMN "ustSatz" SET DEFAULT 0.00;

prisma/schema.prisma

@@ -261,9 +261,10 @@ model ProxmoxRechnung {
   nummer       String    @unique
   datum        DateTime  @db.Date
   faelligAm    DateTime? @db.Date
+  /// Summe der Positionen nach Abzug ihrer Rabatte – wird beim Speichern nachgeführt.
   nettoBetrag  Decimal   @db.Decimal(12, 2)
-  ustSatz      Decimal   @default(19.00) @db.Decimal(5, 2)
+  /// Bei Proxmox in aller Regel 0: Reverse Charge nach Art. 196 (#037).
-  rabatt       Decimal?  @db.Decimal(12, 2)
+  ustSatz      Decimal   @default(0.00) @db.Decimal(5, 2)
   zahlungsart  String?
   bezahlt      Boolean   @default(false)
   bezahltAm    DateTime? @db.Date
@@ -284,7 +285,10 @@ model ProxmoxRechnungPosition {
   rechnungId  String
   bezeichnung String
   menge       Int     @default(1)
+  /// Listenpreis dieser Position, wie er auf der Rechnung steht.
   nettoBetrag Decimal @db.Decimal(12, 2)
+  /// Rabatt dieser Position. Proxmox weist ihn je Key als eigene Zeile aus (#037).
+  rabatt      Decimal? @db.Decimal(12, 2)
 
   rechnung ProxmoxRechnung @relation(fields: [rechnungId], references: [id], onDelete: Cascade)
   laufzeit Laufzeit?

prisma/seed.ts

@@ -166,7 +166,6 @@ async function seedDemo() {
         faelligAm: datum(vorlage.faelligAm),
         nettoBetrag: zugehoerig.reduce((summe, l) => summe + (l.einkauf?.nettoBetrag ?? 0), 0),
         ustSatz: vorlage.ustSatz,
-        rabatt: vorlage.rabatt ?? null,
         zahlungsart: vorlage.zahlungsart ?? null,
         bezahlt: vorlage.bezahlt,
         bezahltAm: datum(vorlage.bezahltAm),
@@ -175,6 +174,8 @@ async function seedDemo() {
             id: `prp-${l.id}`,
             bezeichnung: `${l.key} · ${l.start} bis ${l.ende}`,
             nettoBetrag: l.einkauf?.nettoBetrag ?? 0,
+            // Der Rabatt hängt seit #037 an der Position – wie auf der echten Proxmox-Rechnung.
+            rabatt: vorlage.rabatt ?? null,
           })),
         },
       },

scripts/screenshots.mjs

@@ -25,6 +25,14 @@ const BASIS = process.env.SCREENSHOT_URL ?? "http://localhost:3000";
 const ZIEL = path.join(process.cwd(), "docs", "anleitung", "bilder");
 const ALLE = process.argv.includes("--alle");
 
+/** Zusätzliche Handy-Aufnahmen von der Befehlszeile: --mobil name=/pfad */
+const MOBIL_ZUSATZ = process.argv
+  .filter((wert, i) => process.argv[i - 1] === "--mobil")
+  .map((eintrag) => {
+    const [name, ...rest] = eintrag.split("=");
+    return { name, pfad: rest.join("="), titel: "Handy" };
+  });
+
 /** Zusätzliche Seiten von der Befehlszeile: --seite name=/pfad */
 const ZUSATZ = process.argv
   .filter((wert, i) => process.argv[i - 1] === "--seite")
@@ -187,6 +195,11 @@ async function main() {
     console.log(`  ${seite.name}.png – ${seite.titel}`);
   }
 
+  for (const seite of MOBIL_ZUSATZ) {
+    await aufnehmen(hell, seite.pfad, path.join(ZIEL, `${seite.name}.png`), 390, 1800, adresse);
+    console.log(`  ${seite.name}.png – ${seite.titel}`);
+  }
+
   if (ALLE) {
     const dunkel = profilVorbereiten("dunkel", true);
     for (const seite of ["dashboard", "hosts", "rechnungen", "warnungen"]) {
@@ -195,7 +208,8 @@ async function main() {
       console.log(`  ${seite}-dunkel.png`);
     }
 
-    for (const seite of ["dashboard", "hosts"]) {
+    // Die Seiten mit den breitesten Tabellen – dort entscheidet sich die Mobilansicht (#035).
+    for (const seite of ["dashboard", "hosts", "kunden", "rechnungen", "jahresbahn"]) {
       const eintrag = SEITEN.find((s) => s.name === seite);
       await aufnehmen(hell, eintrag.pfad, path.join(ZIEL, `mobil-${seite}.png`), 390, 1500, adresse);
       console.log(`  mobil-${seite}.png`);

src/app/(dashboard)/hosts/[id]/page.tsx

@@ -16,7 +16,7 @@ import { Tabs } from "@/components/ui/Tabs";
 import { PRODUKT_TEXT } from "@/lib/anzeige";
 import { prisma } from "@/lib/db";
 import { formatDatum, formatDatumZeit, formatEuro, formatUptime, formatZahl } from "@/lib/format";
-import { hostKundeSetzen } from "@/server/actions/host-detail";
+import { KundeStandortFormular } from "@/components/hosts/KundeStandortFormular";
 import { hostTokenWiderrufen } from "@/server/actions/tokens";
 import { hostMitDetails } from "@/server/queries/hostliste";
 import { meldungsGrenze } from "@/server/queries/hosts";
@@ -43,7 +43,11 @@ export default async function HostDetailSeite({ params }: { params: Promise<{ id
 
   const kunden = await prisma.kunde.findMany({
     orderBy: { name: "asc" },
-    select: { id: true, name: true },
+    select: {
+      id: true,
+      name: true,
+      standorte: { orderBy: { name: "asc" }, select: { id: true, name: true } },
+    },
   });
 
   // Welche Cluster-Mitglieder melden sich selbst? Fehlende Knoten haben keinen Agent (#022).
@@ -104,6 +108,27 @@ export default async function HostDetailSeite({ params }: { params: Promise<{ id
                   <h2 className="h5 mt-2 mb-1">{host.hostname}</h2>
                   <div className="text-body-secondary small">{host.fqdn ?? "Kein FQDN gemeldet"}</div>
                   {meldetNicht ? <KeineMeldungBadge /> : null}
+
+                  {/* Schlagworte und Notiz stehen hier, nicht nur im Reiter – bei gleichnamigen
+                      Hosts ist das die Stelle, an der man sie braucht (#040). */}
+                  {host.tags.length > 0 ? (
+                    <div className="mt-2 d-flex flex-wrap gap-1 justify-content-center">
+                      {host.tags.map((tag) => (
+                        <Link
+                          key={tag.id}
+                          href={`/hosts?tag=${encodeURIComponent(tag.name)}`}
+                          className="badge pl-bg-neutral text-decoration-none"
+                        >
+                          {tag.name}
+                        </Link>
+                      ))}
+                    </div>
+                  ) : null}
+                  {host.notizen ? (
+                    <p className="small text-body-secondary mt-2 mb-0 text-start border-start ps-2">
+                      {host.notizen}
+                    </p>
+                  ) : null}
                 </div>
 
                 <Zeile bezeichnung="Kunde">
@@ -167,30 +192,12 @@ export default async function HostDetailSeite({ params }: { params: Promise<{ id
                 <Zeile bezeichnung="Erstmals gesehen">{formatDatum(host.erstmalsGesehenAm)}</Zeile>
                 <Zeile bezeichnung="Letzte Meldung">{formatDatumZeit(host.letzterReportAm)}</Zeile>
 
-                <form action={hostKundeSetzen} className="mt-3">
+                <KundeStandortFormular
-                  <input type="hidden" name="hostId" value={host.id} />
+                  hostId={host.id}
-                  <label className="form-label small" htmlFor="kundeId">
+                  kunden={kunden}
-                    Kunde ändern
+                  kundeId={host.kundeId}
-                  </label>
+                  standortId={host.standortId}
-                  <div className="input-group input-group-sm">
+                />
-                    <select
-                      id="kundeId"
-                      name="kundeId"
-                      className="form-select"
-                      defaultValue={host.kundeId ?? ""}
-                    >
-                      <option value="">– nicht zugeordnet –</option>
-                      {kunden.map((kunde) => (
-                        <option key={kunde.id} value={kunde.id}>
-                          {kunde.name}
-                        </option>
-                      ))}
-                    </select>
-                    <button type="submit" className="btn btn-outline-primary">
-                      Setzen
-                    </button>
-                  </div>
-                </form>
               </Card>
             </div>
 
@@ -239,62 +246,66 @@ export default async function HostDetailSeite({ params }: { params: Promise<{ id
                     inhalt: (
                       <>
                         <h3 className="h6">Keys</h3>
-                        <table className="table table-striped align-middle mb-4">
+                        <div className="table-responsive mb-4">
-                          <thead>
+                          <table className="table table-striped align-middle mb-0">
-                            <tr>
+                            <thead>
-                              <th scope="col">Key</th>
-                              <th scope="col">Erstmals gemeldet</th>
-                              <th scope="col">Zuletzt gemeldet</th>
-                            </tr>
-                          </thead>
-                          <tbody>
-                            {host.keyHistorie.map((eintrag) => (
-                              <tr key={eintrag.id}>
-                                <td>
-                                  <CopyableCode wert={eintrag.key} />
-                                </td>
-                                <td>{formatDatum(eintrag.ersteMeldung)}</td>
-                                <td>{formatDatum(eintrag.letzteMeldung)}</td>
-                              </tr>
-                            ))}
-                            {host.keyHistorie.length === 0 ? (
                               <tr>
-                                <td colSpan={3} className="text-body-secondary">
+                                <th scope="col">Key</th>
-                                  Noch kein Key gemeldet.
+                                <th scope="col">Erstmals gemeldet</th>
-                                </td>
+                                <th scope="col">Zuletzt gemeldet</th>
                               </tr>
-                            ) : null}
+                            </thead>
-                          </tbody>
+                            <tbody>
-                        </table>
+                              {host.keyHistorie.map((eintrag) => (
+                                <tr key={eintrag.id}>
+                                  <td>
+                                    <CopyableCode wert={eintrag.key} />
+                                  </td>
+                                  <td>{formatDatum(eintrag.ersteMeldung)}</td>
+                                  <td>{formatDatum(eintrag.letzteMeldung)}</td>
+                                </tr>
+                              ))}
+                              {host.keyHistorie.length === 0 ? (
+                                <tr>
+                                  <td colSpan={3} className="text-body-secondary">
+                                    Noch kein Key gemeldet.
+                                  </td>
+                                </tr>
+                              ) : null}
+                            </tbody>
+                          </table>
+                        </div>
 
                         <h3 className="h6">Server-IDs</h3>
-                        <table className="table table-striped align-middle mb-0">
+                        <div className="table-responsive">
-                          <thead>
+                          <table className="table table-striped align-middle mb-0">
-                            <tr>
+                            <thead>
-                              <th scope="col">Server-ID</th>
-                              <th scope="col">Erstmals gemeldet</th>
-                              <th scope="col">Zuletzt gemeldet</th>
-                            </tr>
-                          </thead>
-                          <tbody>
-                            {host.serverIdHistorie.map((eintrag) => (
-                              <tr key={eintrag.id}>
-                                <td>
-                                  <CopyableCode wert={eintrag.serverId} />
-                                </td>
-                                <td>{formatDatum(eintrag.ersteMeldung)}</td>
-                                <td>{formatDatum(eintrag.letzteMeldung)}</td>
-                              </tr>
-                            ))}
-                            {host.serverIdHistorie.length === 0 ? (
                               <tr>
-                                <td colSpan={3} className="text-body-secondary">
+                                <th scope="col">Server-ID</th>
-                                  Noch keine Server-ID gemeldet.
+                                <th scope="col">Erstmals gemeldet</th>
-                                </td>
+                                <th scope="col">Zuletzt gemeldet</th>
                               </tr>
-                            ) : null}
+                            </thead>
-                          </tbody>
+                            <tbody>
-                        </table>
+                              {host.serverIdHistorie.map((eintrag) => (
+                                <tr key={eintrag.id}>
+                                  <td>
+                                    <CopyableCode wert={eintrag.serverId} />
+                                  </td>
+                                  <td>{formatDatum(eintrag.ersteMeldung)}</td>
+                                  <td>{formatDatum(eintrag.letzteMeldung)}</td>
+                                </tr>
+                              ))}
+                              {host.serverIdHistorie.length === 0 ? (
+                                <tr>
+                                  <td colSpan={3} className="text-body-secondary">
+                                    Noch keine Server-ID gemeldet.
+                                  </td>
+                                </tr>
+                              ) : null}
+                            </tbody>
+                          </table>
+                        </div>
                         {host.serverIdHistorie.length > 1 ? (
                           <p className="small pl-text-warning mt-2 mb-0">
                             Mehrere Server-IDs bedeuten Hardwaretausch oder Neuinstallation – der Key muss
@@ -356,7 +367,7 @@ export default async function HostDetailSeite({ params }: { params: Promise<{ id
                     icon: "bi-receipt",
                     inhalt: (
                       <div className="table-responsive">
-                        <table className="table table-striped align-middle mb-0">
+                        <table className="table table-striped align-middle mb-0 pl-karten-tabelle">
                           <thead>
                             <tr>
                               <th scope="col">Laufzeit</th>
@@ -369,21 +380,28 @@ export default async function HostDetailSeite({ params }: { params: Promise<{ id
                           </thead>
                           <tbody>
                             {host.laufzeiten.map((laufzeit) => {
+                              // Nach Abzug des Rabatts – das ist, was tatsächlich gezahlt wird (#037).
                               const einkauf = laufzeit.proxmoxPosition
-                                ? Number(laufzeit.proxmoxPosition.nettoBetrag)
+                                ? Number(laufzeit.proxmoxPosition.nettoBetrag) -
+                                  Number(laufzeit.proxmoxPosition.rabatt ?? 0)
                                 : null;
                               const verkauf = laufzeit.kundenPosition
                                 ? Number(laufzeit.kundenPosition.nettoBetrag)
                                 : null;
                               return (
                                 <tr key={laufzeit.id}>
-                                  <td>
+                                  <td className="pl-karten-kopf">
-                                    {formatDatum(laufzeit.start)} – {formatDatum(laufzeit.ende)}
+                                    <Link
+                                      href={`/rechnungen/${laufzeit.id}`}
+                                      className="fw-semibold text-decoration-none"
+                                    >
+                                      {formatDatum(laufzeit.start)} – {formatDatum(laufzeit.ende)}
+                                    </Link>
                                     {laufzeit.status === "VORSCHLAG" ? (
                                       <span className="badge pl-bg-info ms-2">Vorschlag</span>
                                     ) : null}
                                   </td>
-                                  <td>
+                                  <td data-label="Proxmox-Rechnung">
                                     <CopyableCode wert={laufzeit.proxmoxPosition?.rechnung.nummer ?? null} />
                                     <div>
                                       <EinkaufBadge
@@ -395,8 +413,8 @@ export default async function HostDetailSeite({ params }: { params: Promise<{ id
                                       />
                                     </div>
                                   </td>
-                                  <td>{formatEuro(einkauf)}</td>
+                                  <td data-label="Einkauf">{formatEuro(einkauf)}</td>
-                                  <td>
+                                  <td data-label="Kundenrechnung">
                                     <CopyableCode wert={laufzeit.kundenPosition?.rechnung.nummer ?? null} />
                                     <div>
                                       <VerkaufBadge
@@ -405,8 +423,8 @@ export default async function HostDetailSeite({ params }: { params: Promise<{ id
                                       />
                                     </div>
                                   </td>
-                                  <td>{formatEuro(verkauf)}</td>
+                                  <td data-label="Verkauf">{formatEuro(verkauf)}</td>
-                                  <td>
+                                  <td data-label="Marge">
                                     {einkauf !== null && verkauf !== null
                                       ? formatEuro(verkauf - einkauf)
                                       : "–"}
@@ -443,53 +461,55 @@ export default async function HostDetailSeite({ params }: { params: Promise<{ id
                     titel: "Tokens",
                     icon: "bi-key-fill",
                     inhalt: (
-                      <table className="table table-striped align-middle mb-0">
+                      <div className="table-responsive">
-                        <thead>
+                        <table className="table table-striped align-middle mb-0">
-                          <tr>
+                          <thead>
-                            <th scope="col">Anfang</th>
-                            <th scope="col">Erstellt</th>
-                            <th scope="col">Zuletzt benutzt</th>
-                            <th scope="col">Zustand</th>
-                            <th scope="col" className="text-end">
-                              Aktion
-                            </th>
-                          </tr>
-                        </thead>
-                        <tbody>
-                          {host.tokens.map((token) => (
-                            <tr key={token.id}>
-                              <td className="pl-mono">{token.praefix}…</td>
-                              <td>{formatDatum(token.erstelltAm)}</td>
-                              <td>{formatDatumZeit(token.letzteNutzungAm)}</td>
-                              <td>
-                                {token.widerrufenAm ? (
-                                  <Badge farbe="neutral">Widerrufen</Badge>
-                                ) : (
-                                  <Badge farbe="success">Aktiv</Badge>
-                                )}
-                              </td>
-                              <td className="text-end">
-                                {token.widerrufenAm ? null : (
-                                  <form action={hostTokenWiderrufen}>
-                                    <input type="hidden" name="id" value={token.id} />
-                                    <input type="hidden" name="hostId" value={host.id} />
-                                    <button type="submit" className="btn btn-sm btn-outline-danger">
-                                      Widerrufen
-                                    </button>
-                                  </form>
-                                )}
-                              </td>
-                            </tr>
-                          ))}
-                          {host.tokens.length === 0 ? (
                             <tr>
-                              <td colSpan={5} className="text-body-secondary">
+                              <th scope="col">Anfang</th>
-                                Kein Token vorhanden – dieser Host stammt aus den Demo-Daten.
+                              <th scope="col">Erstellt</th>
-                              </td>
+                              <th scope="col">Zuletzt benutzt</th>
+                              <th scope="col">Zustand</th>
+                              <th scope="col" className="text-end">
+                                Aktion
+                              </th>
                             </tr>
-                          ) : null}
+                          </thead>
-                        </tbody>
+                          <tbody>
-                      </table>
+                            {host.tokens.map((token) => (
+                              <tr key={token.id}>
+                                <td className="pl-mono">{token.praefix}…</td>
+                                <td>{formatDatum(token.erstelltAm)}</td>
+                                <td>{formatDatumZeit(token.letzteNutzungAm)}</td>
+                                <td>
+                                  {token.widerrufenAm ? (
+                                    <Badge farbe="neutral">Widerrufen</Badge>
+                                  ) : (
+                                    <Badge farbe="success">Aktiv</Badge>
+                                  )}
+                                </td>
+                                <td className="text-end">
+                                  {token.widerrufenAm ? null : (
+                                    <form action={hostTokenWiderrufen}>
+                                      <input type="hidden" name="id" value={token.id} />
+                                      <input type="hidden" name="hostId" value={host.id} />
+                                      <button type="submit" className="btn btn-sm btn-outline-danger">
+                                        Widerrufen
+                                      </button>
+                                    </form>
+                                  )}
+                                </td>
+                              </tr>
+                            ))}
+                            {host.tokens.length === 0 ? (
+                              <tr>
+                                <td colSpan={5} className="text-body-secondary">
+                                  Kein Token vorhanden – dieser Host stammt aus den Demo-Daten.
+                                </td>
+                              </tr>
+                            ) : null}
+                          </tbody>
+                        </table>
+                      </div>
                     ),
                   },
                 ]}

src/app/(dashboard)/hosts/page.tsx

@@ -68,6 +68,7 @@ export default async function HostsSeite({ searchParams }: { searchParams: SuchP
   const filter: HostFilter = {
     q: einzeln(roh.q),
     kunde: einzeln(roh.kunde),
+    tag: einzeln(roh.tag),
     status: einzeln(roh.status),
     produkt: einzeln(roh.produkt),
     ablauf: einzeln(roh.ablauf) as HostFilter["ablauf"],
@@ -85,6 +86,7 @@ export default async function HostsSeite({ searchParams }: { searchParams: SuchP
   const basis: Record<string, string | undefined> = {
     q: filter.q,
     kunde: filter.kunde,
+    tag: filter.tag,
     status: filter.status,
     produkt: filter.produkt,
     ablauf: filter.ablauf,
@@ -117,7 +119,7 @@ export default async function HostsSeite({ searchParams }: { searchParams: SuchP
               </>
             }
           >
-            <HostFilterLeiste kunden={optionen.kunden} werte={basis} />
+            <HostFilterLeiste kunden={optionen.kunden} tags={optionen.tags} werte={basis} />
 
             <div className="table-responsive">
               <table className="table table-striped align-middle">
@@ -152,7 +154,28 @@ export default async function HostsSeite({ searchParams }: { searchParams: SuchP
                           {host.hostname}
                         </Link>
                         {host.meldetNicht ? <KeineMeldungBadge /> : null}
+                        {host.notizen ? (
+                          // Gerade bei gleichnamigen Hosts hilft die Notiz beim Auseinanderhalten (#040).
+                          <i
+                            className="bi bi-sticky ms-2 text-body-secondary"
+                            title={host.notizen}
+                            aria-label={`Notiz: ${host.notizen}`}
+                          />
+                        ) : null}
                         <div className="small text-body-secondary">{host.ips.join(", ") || "–"}</div>
+                        {host.tags.length > 0 ? (
+                          <div className="mt-1 d-flex flex-wrap gap-1">
+                            {host.tags.map((tag) => (
+                              <Link
+                                key={tag.id}
+                                href={`/hosts?tag=${encodeURIComponent(tag.name)}`}
+                                className="badge pl-bg-neutral text-decoration-none"
+                              >
+                                {tag.name}
+                              </Link>
+                            ))}
+                          </div>
+                        ) : null}
                       </td>
                       <td>
                         {host.kunde ? (

src/app/(dashboard)/jahresbahn/page.tsx

@@ -41,8 +41,8 @@ export default async function JahresbahnSeite() {
               <p className="mb-0 text-body-secondary">Noch kein Host mit Ablaufdatum gemeldet.</p>
             ) : (
               <div className="table-responsive">
-                <div style={{ minWidth: "820px" }}>
+                <div className="pl-timeline">
-                  <div className="d-flex text-body-secondary small mb-2" style={{ marginLeft: "13rem" }}>
+                  <div className="d-flex text-body-secondary small mb-2 pl-timeline-kopf">
                     {monate.map((monat) => (
                       <div key={monat} style={{ width: `${100 / 12}%` }}>
                         {monat}
@@ -72,7 +72,7 @@ export default async function JahresbahnSeite() {
                               : "var(--pl-info)";
                         return (
                           <div key={eintrag.hostId} className="d-flex align-items-center mb-1">
-                            <div className="small text-truncate" style={{ width: "13rem" }}>
+                            <div className="small text-truncate pl-timeline-name">
                               <Link href={`/hosts/${eintrag.hostId}`} className="text-decoration-none">
                                 {eintrag.hostname}
                               </Link>
@@ -112,7 +112,8 @@ export default async function JahresbahnSeite() {
             )}
 
             <p className="small text-body-secondary mb-0">
-              Die rote Linie markiert heute ({formatDatum(jetzt)}). Balkenfarbe: rot unter 14 Tagen, gelb
+              <span className="d-md-none">Seitwärts wischen zeigt die späteren Monate. </span>Die rote
+              Linie markiert heute ({formatDatum(jetzt)}). Balkenfarbe: rot unter 14 Tagen, gelb
               unter 30 Tagen, sonst blau. Ein Klick führt zur Laufzeit mit ihren Rechnungen.
             </p>
           </Card>
@@ -125,11 +126,11 @@ export default async function JahresbahnSeite() {
                 tabelle
               >
                 <div className="table-responsive">
-                  <table className="table table-striped align-middle">
+                  <table className="table table-striped align-middle pl-karten-tabelle">
                     <thead>
                       <tr>
-                        <th scope="col">Ablauf</th>
                         <th scope="col">Host</th>
+                        <th scope="col">Ablauf</th>
                         <th scope="col">Kunde</th>
                         <th scope="col">Key</th>
                         <th scope="col">Proxmox</th>
@@ -139,15 +140,15 @@ export default async function JahresbahnSeite() {
                     <tbody>
                       {naechste90Tage.map((eintrag) => (
                         <tr key={eintrag.hostId}>
-                          <td>
+                          <td className="pl-karten-kopf">
-                            <AblaufBadge datum={eintrag.ablauf.toISOString()} heute={jetzt} />
+                            <Link href={`/hosts/${eintrag.hostId}`} className="fw-semibold text-decoration-none">
-                          </td>
-                          <td>
-                            <Link href={`/hosts/${eintrag.hostId}`} className="text-decoration-none">
                               {eintrag.hostname}
                             </Link>
                           </td>
-                          <td>
+                          <td data-label="Ablauf">
+                            <AblaufBadge datum={eintrag.ablauf.toISOString()} heute={jetzt} />
+                          </td>
+                          <td data-label="Kunde">
                             {eintrag.kunde ? (
                               <Link href={`/kunden/${eintrag.kunde.id}`} className="text-decoration-none">
                                 {eintrag.kunde.name}
@@ -156,13 +157,13 @@ export default async function JahresbahnSeite() {
                               <span className="badge pl-bg-neutral">Nicht zugeordnet</span>
                             )}
                           </td>
-                          <td>
+                          <td data-label="Key">
                             <CopyableCode wert={eintrag.key} />
                           </td>
-                          <td>
+                          <td data-label="Proxmox">
                             <EinkaufBadge bezahlt={eintrag.einkaufBezahlt} />
                           </td>
-                          <td>
+                          <td data-label="Kundenrechnung">
                             <VerkaufBadge erstellt={eintrag.verkaufErstellt ?? false} bezahlt={false} />
                           </td>
                         </tr>

src/app/(dashboard)/kunden/page.tsx

@@ -39,7 +39,7 @@ export default async function KundenSeite() {
             }
           >
             <div className="table-responsive">
-              <table className="table table-striped align-middle">
+              <table className="table table-striped align-middle pl-karten-tabelle">
                 <thead>
                   <tr>
                     <th scope="col">Kunde</th>
@@ -56,26 +56,28 @@ export default async function KundenSeite() {
                     const punkte = rechnungspunkte.get(kunde.id);
                     return (
                       <tr key={kunde.id}>
-                        <td>
+                        <td className="pl-karten-kopf">
                           <Link href={`/kunden/${kunde.id}`} className="fw-semibold text-decoration-none">
                             {kunde.name}
                           </Link>
                           <div className="small text-body-secondary">{kunde.ansprechpartner ?? "–"}</div>
                         </td>
-                        <td className="pl-mono">{kunde.kundennummer}</td>
+                        <td className="pl-mono" data-label="Kundennummer">
-                        <td>{kunde.hosts}</td>
+                          {kunde.kundennummer}
-                        <td>{kunde.aktiv}</td>
+                        </td>
-                        <td>
+                        <td data-label="Hosts">{kunde.hosts}</td>
+                        <td data-label="Aktiv lizenziert">{kunde.aktiv}</td>
+                        <td data-label="Nächster Ablauf">
                           <AblaufBadge datum={kunde.naechsterAblauf?.toISOString() ?? null} heute={heute} />
                         </td>
-                        <td>
+                        <td data-label="Warnungen">
                           {kunde.offeneAlerts > 0 ? (
                             <Badge farbe="warning">{kunde.offeneAlerts} offen</Badge>
                           ) : (
                             <Badge farbe="success">keine</Badge>
                           )}
                         </td>
-                        <td>
+                        <td data-label="Rechnungen">
                           {punkte && punkte.offen > 0 ? (
                             <Badge farbe="danger">{punkte.offen} offen</Badge>
                           ) : (

src/app/(dashboard)/page.tsx

@@ -121,12 +121,22 @@ export default async function DashboardSeite() {
                   <table className="table table-striped align-middle">
                     <thead>
                       <tr>
+                        {/* Auf dem Handy bleiben Host und Ablauf; der Rest käme ohnehin nur
+                            per Seitwärtsscrollen ins Bild (#034). */}
                         <th scope="col">Host</th>
-                        <th scope="col">Kunde</th>
+                        <th scope="col" className="d-none d-md-table-cell">
-                        <th scope="col">Key</th>
+                          Kunde
+                        </th>
+                        <th scope="col" className="d-none d-lg-table-cell">
+                          Key
+                        </th>
                         <th scope="col">Ablauf</th>
-                        <th scope="col">Proxmox</th>
+                        <th scope="col" className="d-none d-sm-table-cell">
-                        <th scope="col">Kundenrechnung</th>
+                          Proxmox
+                        </th>
+                        <th scope="col" className="d-none d-sm-table-cell">
+                          Kundenrechnung
+                        </th>
                       </tr>
                     </thead>
                     <tbody>
@@ -137,8 +147,12 @@ export default async function DashboardSeite() {
                               {host.hostname}
                             </Link>
                             {host.meldetNicht ? <KeineMeldungBadge /> : null}
+                            {/* Auf schmalen Bildschirmen steht der Kunde hier mit darunter. */}
+                            <div className="small text-body-secondary d-md-none">
+                              {host.kunde ? host.kunde.name : "Nicht zugeordnet"}
+                            </div>
                           </td>
-                          <td>
+                          <td className="d-none d-md-table-cell">
                             {host.kunde ? (
                               <Link href={`/kunden/${host.kunde.id}`} className="text-decoration-none">
                                 {host.kunde.name}
@@ -152,16 +166,16 @@ export default async function DashboardSeite() {
                               </Link>
                             )}
                           </td>
-                          <td>
+                          <td className="d-none d-lg-table-cell">
                             <CopyableCode wert={host.subKey} />
                           </td>
                           <td>
                             <AblaufBadge datum={host.nextduedate?.toISOString() ?? null} heute={heute} />
                           </td>
-                          <td>
+                          <td className="d-none d-sm-table-cell">
                             <EinkaufBadge bezahlt={host.einkaufBezahlt} />
                           </td>
-                          <td>
+                          <td className="d-none d-sm-table-cell">
                             <VerkaufBadge erstellt={host.verkaufErstellt} bezahlt={host.verkaufBezahlt} />
                           </td>
                         </tr>

src/app/(dashboard)/rechnungen/[id]/page.tsx

@@ -25,7 +25,10 @@ export default async function LaufzeitSeite({ params }: { params: Promise<{ id:
 
   const einkauf = laufzeit.proxmoxPosition?.rechnung ?? null;
   const verkauf = laufzeit.kundenPosition?.rechnung ?? null;
-  const einkaufBetrag = laufzeit.proxmoxPosition ? Number(laufzeit.proxmoxPosition.nettoBetrag) : null;
+  // Gerechnet wird mit dem Betrag nach Abzug des Rabatts – das ist, was tatsächlich gezahlt wird (#037).
+  const einkaufListenpreis = laufzeit.proxmoxPosition ? Number(laufzeit.proxmoxPosition.nettoBetrag) : null;
+  const einkaufRabatt = Number(laufzeit.proxmoxPosition?.rabatt ?? 0);
+  const einkaufBetrag = einkaufListenpreis === null ? null : einkaufListenpreis - einkaufRabatt;
   const verkaufBetrag = laufzeit.kundenPosition ? Number(laufzeit.kundenPosition.nettoBetrag) : null;
   const marge = einkaufBetrag !== null && verkaufBetrag !== null ? verkaufBetrag - einkaufBetrag : null;
 
@@ -109,7 +112,14 @@ export default async function LaufzeitSeite({ params }: { params: Promise<{ id:
                 <hr />
                 <dl className="row mb-0">
                   <dt className="col-5 fw-normal text-body-secondary">Einkauf netto</dt>
-                  <dd className="col-7">{formatEuro(einkaufBetrag)}</dd>
+                  <dd className="col-7">
+                    {formatEuro(einkaufBetrag)}
+                    {einkaufRabatt > 0 ? (
+                      <span className="small text-body-secondary d-block">
+                        {formatEuro(einkaufListenpreis)} − {formatEuro(einkaufRabatt)} Rabatt
+                      </span>
+                    ) : null}
+                  </dd>
                   <dt className="col-5 fw-normal text-body-secondary">Verkauf netto</dt>
                   <dd className="col-7">{formatEuro(verkaufBetrag)}</dd>
                   <dt className="col-5 fw-normal text-body-secondary">Marge</dt>
@@ -135,7 +145,15 @@ export default async function LaufzeitSeite({ params }: { params: Promise<{ id:
                         ) : (
                           position.bezeichnung
                         )}{" "}
-                        · {formatEuro(Number(position.nettoBetrag))}
+                        ·{" "}
+                        {position.rabatt ? (
+                          <>
+                            {formatEuro(Number(position.nettoBetrag))} − {formatEuro(Number(position.rabatt))}{" "}
+                            = <strong>{formatEuro(Number(position.nettoBetrag) - Number(position.rabatt))}</strong>
+                          </>
+                        ) : (
+                          formatEuro(Number(position.nettoBetrag))
+                        )}
                       </li>
                     ))}
                   </ul>
@@ -156,12 +174,13 @@ export default async function LaufzeitSeite({ params }: { params: Promise<{ id:
                     nummer: einkauf?.nummer ?? null,
                     datum: einkauf?.datum.toISOString() ?? null,
                     faelligAm: einkauf?.faelligAm?.toISOString() ?? faelligVorschlag,
-                    nettoBetrag: einkaufBetrag,
+                    nettoBetrag: einkaufListenpreis,
                     ustSatz: Number(einkauf?.ustSatz ?? vorgaben.steuersatz),
                     rabatt:
-                      einkauf?.rabatt === null || einkauf?.rabatt === undefined
+                      laufzeit.proxmoxPosition?.rabatt === null ||
+                      laufzeit.proxmoxPosition?.rabatt === undefined
                         ? null
-                        : Number(einkauf.rabatt),
+                        : Number(laufzeit.proxmoxPosition.rabatt),
                     zahlungsart: einkauf?.zahlungsart ?? null,
                     bezahlt: einkauf?.bezahlt ?? false,
                     bezahltAm: einkauf?.bezahltAm?.toISOString() ?? null,

src/app/(dashboard)/rechnungen/page.tsx

@@ -197,14 +197,14 @@ export default async function RechnungenSeite({ searchParams }: { searchParams:
             </form>
 
             <div className="table-responsive">
-              <table className="table table-striped align-middle">
+              <table className="table table-striped align-middle pl-karten-tabelle">
                 <thead>
                   <tr>
                     <th scope="col">Kunde</th>
                     <th scope="col" className="d-none d-md-table-cell">
                       Host
                     </th>
-                    <th scope="col" className="d-none d-lg-table-cell">
+                    <th scope="col" className="pl-spalte-laufzeit">
                       Laufzeit
                     </th>
                     <th scope="col">Proxmox-Rechnung</th>
@@ -234,7 +234,13 @@ export default async function RechnungenSeite({ searchParams }: { searchParams:
                     const faelligIn = tageBis(zeile.einkaufFaelligAm, heute);
                     return (
                       <tr key={zeile.id}>
-                        <td>
+                        {/* Auf dem Telefon steht der Host als Überschrift der Karte, sonst als Spalte. */}
+                        <td className="d-md-none pl-karten-kopf">
+                          <Link href={`/hosts/${zeile.hostId}`} className="fw-semibold text-decoration-none">
+                            {zeile.hostname}
+                          </Link>
+                        </td>
+                        <td data-label="Kunde">
                           {zeile.kunde ? (
                             <Link href={`/kunden/${zeile.kunde.id}`} className="text-decoration-none">
                               {zeile.kunde.name}
@@ -248,13 +254,13 @@ export default async function RechnungenSeite({ searchParams }: { searchParams:
                             {zeile.hostname}
                           </Link>
                         </td>
-                        <td className="d-none d-lg-table-cell">
+                        <td className="pl-spalte-laufzeit" data-label="Laufzeit">
                           <Link href={`/rechnungen/${zeile.id}`} className="text-decoration-none">
                             {formatDatum(zeile.start)} – {formatDatum(zeile.ende)}
                           </Link>
                           {zeile.vorschlag ? <Badge farbe="info">Vorschlag</Badge> : null}
                         </td>
-                        <td>
+                        <td data-label="Proxmox-Rechnung">
                           <CopyableCode wert={zeile.einkaufNummer} />
                           {zeile.einkaufBezahlt === false && faelligIn !== null && faelligIn <= 7 ? (
                             <div className="small pl-text-danger">
@@ -262,8 +268,10 @@ export default async function RechnungenSeite({ searchParams }: { searchParams:
                             </div>
                           ) : null}
                         </td>
-                        <td className="d-none d-xl-table-cell">{formatEuro(zeile.einkaufBetrag)}</td>
+                        <td className="d-none d-xl-table-cell" data-label="Einkauf">
-                        <td className="text-center">
+                          {formatEuro(zeile.einkaufBetrag)}
+                        </td>
+                        <td className="text-center" data-label="Einkauf bezahlt">
                           <StatusHaken
                             laufzeitId={zeile.id}
                             hostId={zeile.hostId}
@@ -273,11 +281,13 @@ export default async function RechnungenSeite({ searchParams }: { searchParams:
                             titel="Proxmox-Rechnung bezahlt"
                           />
                         </td>
-                        <td>
+                        <td data-label="Kundenrechnung">
                           <CopyableCode wert={zeile.verkaufNummer} />
                         </td>
-                        <td className="d-none d-xl-table-cell">{formatEuro(zeile.verkaufBetrag)}</td>
+                        <td className="d-none d-xl-table-cell" data-label="Verkauf">
-                        <td className="text-center">
+                          {formatEuro(zeile.verkaufBetrag)}
+                        </td>
+                        <td className="text-center" data-label="Rechnung erstellt">
                           <StatusHaken
                             laufzeitId={zeile.id}
                             hostId={zeile.hostId}
@@ -286,7 +296,7 @@ export default async function RechnungenSeite({ searchParams }: { searchParams:
                             titel="Kundenrechnung erstellt"
                           />
                         </td>
-                        <td className="text-center">
+                        <td className="text-center" data-label="Vom Kunden bezahlt">
                           <StatusHaken
                             laufzeitId={zeile.id}
                             hostId={zeile.hostId}
@@ -297,6 +307,7 @@ export default async function RechnungenSeite({ searchParams }: { searchParams:
                           />
                         </td>
                         <td
+                          data-label="Marge"
                           className={`d-none d-xl-table-cell ${(zeile.marge ?? 0) >= 0 ? "pl-text-success" : "pl-text-danger"}`}
                         >
                           {zeile.marge === null ? "–" : formatEuro(zeile.marge)}
@@ -306,7 +317,7 @@ export default async function RechnungenSeite({ searchParams }: { searchParams:
                   })}
                   {zeilen.length === 0 ? (
                     <tr>
-                      <td colSpan={11} className="text-center text-body-secondary py-4">
+                      <td colSpan={12} className="text-center text-body-secondary py-4">
                         Nichts gefunden. <Link href="/rechnungen?status=alle">Alle anzeigen</Link>
                       </td>
                     </tr>

src/app/globals.css

@@ -186,6 +186,19 @@ body {
   display: none;
 }
 
+/*
+ * Fläche hinter dem geöffneten Menü auf schmalen Bildschirmen. Ein Knopf statt eines div,
+ * damit sie auch per Tastatur erreichbar ist.
+ */
+.pl-menu-hintergrund {
+  position: fixed;
+  inset: 0;
+  z-index: 1037; /* unter dem Menü (1038), über allem anderen */
+  padding: 0;
+  background-color: rgba(0, 0, 0, 0.5);
+  border: 0;
+}
+
 /* ---------- Inhaltsbereich ---------- */
 
 .app-content-header {
@@ -369,10 +382,170 @@ body {
   transform: translateX(-50%);
 }
 
+/* Zeitleiste der Jahresbahn: Breiten als Klassen, damit sie auf dem Telefon kleiner ausfallen. */
+.pl-timeline {
+  min-width: 820px;
+}
+
+.pl-timeline-kopf {
+  margin-left: 13rem;
+}
+
+.pl-timeline-name {
+  width: 13rem;
+}
+
+/* Klapplisten in der Kopfzeile (Warnungen, Benutzermenü). */
+.pl-klappliste {
+  width: 22rem;
+  max-width: calc(100vw - 1rem);
+}
+
+/*
+ * Die Laufzeit-Spalte ist auf dem Telefon der einzige Weg zu den Rechnungsformularen, deshalb
+ * bleibt sie dort sichtbar. Zwischen 768 und 992 px ist die Tabelle am engsten – dort entfällt sie.
+ * Bewusst eine eigene Klasse statt der Bootstrap-Hilfsklassen: deren `display: … !important`
+ * überschreibt das Kartenlayout (#039).
+ */
+@media (min-width: 768px) and (max-width: 991.98px) {
+  .pl-spalte-laufzeit {
+    display: none;
+  }
+}
+
 /* ---------- Mobil ---------- */
 
 @media (max-width: 575.98px) {
   .pl-touch-target {
     min-height: 44px;
   }
+
+  /*
+   * Ein Kontrollkästchen darf nicht selbst 44 px hoch werden – sonst steht in der Zeile ein
+   * großer leerer Kasten. Die Fläche zum Treffen bekommt stattdessen sein Umfeld (#035).
+   */
+  .pl-haken {
+    min-width: 44px;
+    min-height: 44px;
+  }
+
+  .pl-haken .form-check-input {
+    width: 1.4rem;
+    height: 1.4rem;
+  }
+}
+
+/*
+ * Breite Tabellen auf dem Telefon: Jede Zeile wird zur Karte, jede Zelle bekommt ihre
+ * Beschriftung aus `data-label` davor. Das ersetzt das Scrollen nach rechts, bei dem die
+ * Hälfte der Angaben unsichtbar bleibt (#035).
+ *
+ * Zellen ohne `data-label` stehen für sich – etwa eine Zeile mit Knöpfen.
+ */
+@media (max-width: 767.98px) {
+  /*
+   * Auf dem Telefon ist die Klappliste breiter als das Fenster – der Browser zoomt dann die
+   * **ganze Seite** heraus, damit sie hineinpasst. Deshalb hier fest am Fenster ausrichten
+   * statt am Knopf (#038).
+   */
+  .pl-klappliste {
+    position: fixed;
+    top: 3.5rem;
+    right: 0.5rem;
+    left: 0.5rem;
+    width: auto;
+    max-width: none;
+    max-height: 70vh;
+    overflow-y: auto;
+  }
+
+  /*
+   * Lange Schlüssel und Server-IDs dürfen umbrechen. Sonst machen sie die Seite breiter als das
+   * Fenster – und der Browser zoomt die ganze Seite heraus, damit sie hineinpasst (#038).
+   */
+  .pl-mono {
+    overflow-wrap: anywhere;
+  }
+
+  .pl-karten-tabelle,
+  .pl-karten-tabelle tbody,
+  .pl-karten-tabelle tr,
+  .pl-karten-tabelle td {
+    display: block;
+    width: 100%;
+  }
+
+  .pl-karten-tabelle thead {
+    display: none;
+  }
+
+  .pl-karten-tabelle tr {
+    padding: 0.35rem 0.25rem;
+    border-bottom: 1px solid var(--bs-border-color);
+  }
+
+  .pl-karten-tabelle tr:last-child {
+    border-bottom: 0;
+  }
+
+  .pl-karten-tabelle td {
+    display: flex;
+    gap: 0.75rem;
+    align-items: baseline;
+    justify-content: space-between;
+    padding: 0.3rem 0.75rem;
+    text-align: right;
+    border: 0;
+  }
+
+  .pl-karten-tabelle td::before {
+    flex: 0 0 auto;
+    font-size: 0.8125rem;
+    color: var(--bs-secondary-color);
+    text-align: left;
+    content: attr(data-label);
+  }
+
+  /* Die erste Zelle trägt den Namen – sie steht als Überschrift der Karte für sich. */
+  .pl-karten-tabelle td.pl-karten-kopf {
+    display: block;
+    padding-top: 0.6rem;
+    font-size: 1.0625rem;
+    text-align: left;
+  }
+
+  .pl-karten-tabelle td.pl-karten-kopf::before {
+    content: none;
+  }
+
+  /* Lange Namen und Schlüssel sollen umbrechen, aber nicht Buchstabe für Buchstabe. */
+  .pl-karten-tabelle td a,
+  .pl-karten-tabelle td .pl-mono {
+    overflow-wrap: anywhere;
+    word-break: normal;
+  }
+
+  /* Auf dem Telefon bleibt mehr Platz für die Monate, wenn die Namensspalte schrumpft. */
+  .pl-timeline {
+    min-width: 560px;
+  }
+
+  .pl-timeline-kopf {
+    margin-left: 7rem;
+  }
+
+  .pl-timeline-name {
+    width: 7rem;
+  }
+
+  /* Kartenkopf mit Knöpfen: untereinander statt nebeneinander über den Rand hinaus. */
+  .card-header {
+    flex-wrap: wrap;
+    gap: 0.5rem;
+  }
+
+  .card-header .card-tools {
+    flex-wrap: wrap;
+    width: 100%;
+  }
 }

src/components/einstellungen/SystemFormular.tsx

@@ -119,8 +119,8 @@ export function SystemFormular({ werte, appUrl }: { werte: Einstellungen; appUrl
 
             <Feld
               name="steuersatz"
-              beschriftung="Steuersatz in Prozent"
+              beschriftung="Steuersatz Verkauf in Prozent"
-              hinweis="Vorgabe für neue Rechnungspositionen."
+              hinweis="Vorgabe für neue Kundenrechnungen."
               fehler={fehler.steuersatz}
             >
               <input
@@ -135,6 +135,24 @@ export function SystemFormular({ werte, appUrl }: { werte: Einstellungen; appUrl
               />
             </Feld>
 
+            <Feld
+              name="steuersatzEinkauf"
+              beschriftung="Steuersatz Einkauf in Prozent"
+              hinweis="Für die Proxmox-Rechnungen. 0 bei Reverse Charge – der Normalfall mit USt-IdNr."
+              fehler={fehler.steuersatzEinkauf}
+            >
+              <input
+                type="number"
+                step="0.1"
+                min={0}
+                max={100}
+                className="form-control"
+                id="steuersatzEinkauf"
+                name="steuersatzEinkauf"
+                defaultValue={werte.steuersatzEinkauf}
+              />
+            </Feld>
+
             <Feld
               name="zahlungszielTage"
               beschriftung="Zahlungsziel in Tagen"

src/components/hosts/HostFilterLeiste.tsx

@@ -9,9 +9,11 @@ import { usePathname, useRouter, useSearchParams } from "next/navigation";
  */
 export function HostFilterLeiste({
   kunden,
+  tags,
   werte,
 }: {
   kunden: { id: string; name: string }[];
+  tags: string[];
   werte: Record<string, string | undefined>;
 }) {
   const router = useRouter();
@@ -26,7 +28,7 @@ export function HostFilterLeiste({
     router.push(`${pathname}?${neu.toString()}`);
   }
 
-  const aktiveFilter = ["kunde", "status", "produkt", "ablauf", "rechnung", "q"].filter(
+  const aktiveFilter = ["kunde", "tag", "status", "produkt", "ablauf", "rechnung", "q"].filter(
     (schluessel) => werte[schluessel],
   ).length;
 
@@ -76,6 +78,27 @@ export function HostFilterLeiste({
         </select>
       </div>
 
+      {tags.length > 0 ? (
+        <div className="col-6 col-md-2">
+          <label className="visually-hidden" htmlFor="tag">
+            Schlagwort
+          </label>
+          <select
+            className="form-select"
+            id="tag"
+            value={werte.tag ?? ""}
+            onChange={(e) => setzen("tag", e.target.value)}
+          >
+            <option value="">Alle Schlagworte</option>
+            {tags.map((tag) => (
+              <option key={tag} value={tag}>
+                {tag}
+              </option>
+            ))}
+          </select>
+        </div>
+      ) : null}
+
       <div className="col-6 col-md-2">
         <select
           className="form-select"

src/components/hosts/KundeStandortFormular.tsx

@@ -0,0 +1,86 @@
+"use client";
+
+import { useState } from "react";
+import { hostKundeSetzen } from "@/server/actions/host-detail";
+
+export interface KundeMitStandorten {
+  id: string;
+  name: string;
+  standorte: { id: string; name: string }[];
+}
+
+/**
+ * Kunde und Standort eines Hosts ändern (#036).
+ *
+ * Beides gehört in **ein** Formular: Die Standorte hängen am Kunden, und ein Formular, das nur den
+ * Kunden sendet, würde den Standort beim Speichern mitlöschen – genau das passierte vorher.
+ */
+export function KundeStandortFormular({
+  hostId,
+  kunden,
+  kundeId,
+  standortId,
+}: {
+  hostId: string;
+  kunden: KundeMitStandorten[];
+  kundeId: string | null;
+  standortId: string | null;
+}) {
+  const [gewaehlterKunde, setGewaehlterKunde] = useState(kundeId ?? "");
+  const standorte = kunden.find((kunde) => kunde.id === gewaehlterKunde)?.standorte ?? [];
+
+  return (
+    <form action={hostKundeSetzen} className="mt-3">
+      <input type="hidden" name="hostId" value={hostId} />
+
+      <label className="form-label small" htmlFor="kundeId">
+        Kunde ändern
+      </label>
+      <select
+        id="kundeId"
+        name="kundeId"
+        className="form-select form-select-sm mb-2"
+        value={gewaehlterKunde}
+        onChange={(e) => setGewaehlterKunde(e.target.value)}
+      >
+        <option value="">– nicht zugeordnet –</option>
+        {kunden.map((kunde) => (
+          <option key={kunde.id} value={kunde.id}>
+            {kunde.name}
+          </option>
+        ))}
+      </select>
+
+      <label className="form-label small" htmlFor="standortId">
+        Standort
+      </label>
+      <div className="input-group input-group-sm">
+        <select
+          id="standortId"
+          name="standortId"
+          className="form-select"
+          defaultValue={standortId ?? ""}
+          disabled={standorte.length === 0}
+          // `key` erzwingt ein frisches Feld, wenn der Kunde wechselt – sonst bliebe die alte Auswahl stehen.
+          key={gewaehlterKunde}
+        >
+          <option value="">– keiner –</option>
+          {standorte.map((standort) => (
+            <option key={standort.id} value={standort.id}>
+              {standort.name}
+            </option>
+          ))}
+        </select>
+        <button type="submit" className="btn btn-outline-primary">
+          Setzen
+        </button>
+      </div>
+
+      {gewaehlterKunde && standorte.length === 0 ? (
+        <div className="form-text">
+          Für diesen Kunden gibt es noch keinen Standort. Anlegen lässt er sich auf der Kundenseite.
+        </div>
+      ) : null}
+    </form>
+  );
+}

src/components/layout/Header.tsx

@@ -5,6 +5,7 @@ import { useCallback, useEffect, useState, useSyncExternalStore } from "react";
 import { SearchDialog, type SuchEintrag } from "./SearchDialog";
 import type { Rolle } from "@/generated/prisma/enums";
 import { ROLLEN_TEXT } from "@/server/auth/rollen";
+import { menuUmschalten } from "./menuZustand";
 
 export interface KopfleistenAlert {
   id: string;
@@ -58,16 +59,9 @@ export function Header({
     return () => window.removeEventListener("keydown", tasten);
   }, []);
 
-  /** Sidebar umschalten: auf schmalen Bildschirmen als Overlay, sonst eingeklappt. */
+  /** Seitenmenü umschalten – der Zustand liegt in menuZustand.ts, damit das Menü selbst ihn kennt. */
   const sidebarUmschalten = useCallback(() => {
-    const body = document.body;
+    menuUmschalten();
-    if (window.innerWidth < 992) {
-      body.classList.toggle("sidebar-open");
-      body.classList.remove("sidebar-collapse");
-    } else {
-      body.classList.toggle("sidebar-collapse");
-      body.classList.remove("sidebar-open");
-    }
   }, []);
 
   function themaUmschalten() {
@@ -146,8 +140,7 @@ export function Header({
               ) : null}
             </button>
             <div
-              className={`dropdown-menu dropdown-menu-end shadow ${glockeOffen ? "show" : ""}`}
+              className={`dropdown-menu dropdown-menu-end shadow pl-klappliste ${glockeOffen ? "show" : ""}`}
-              style={{ width: "22rem" }}
             >
               <span className="dropdown-header">{alerts.length} offene Warnungen</span>
               <div className="dropdown-divider" />
@@ -212,7 +205,9 @@ export function Header({
               <i className="bi bi-person-circle" aria-hidden="true" />
               <span className="d-none d-sm-inline">{benutzer}</span>
             </button>
-            <div className={`dropdown-menu dropdown-menu-end shadow ${benutzerOffen ? "show" : ""}`}>
+            <div
+              className={`dropdown-menu dropdown-menu-end shadow pl-klappliste ${benutzerOffen ? "show" : ""}`}
+            >
               <span className="dropdown-header">
                 Angemeldet als {benutzer} · {ROLLEN_TEXT[rolle]}
               </span>

src/components/layout/Sidebar.tsx

@@ -2,10 +2,11 @@
 
 import Link from "next/link";
 import { usePathname, useRouter } from "next/navigation";
-import { useState } from "react";
+import { useEffect, useState } from "react";
 import { LogoMitSchriftzug } from "@/components/Logo";
 import type { Rolle } from "@/generated/prisma/enums";
 import { darf } from "@/server/auth/rollen";
+import { menuSchliessen, useMenuOffen } from "./menuZustand";
 
 interface MenuEintrag {
   href: string;
@@ -30,6 +31,21 @@ export function Sidebar({
   const pathname = usePathname();
   const router = useRouter();
   const [suche, setSuche] = useState("");
+  const menuOffen = useMenuOffen();
+
+  // Nach dem Navigieren hat das Menü seinen Zweck erfüllt – auf dem Handy verdeckt es sonst alles.
+  useEffect(() => {
+    menuSchliessen();
+  }, [pathname]);
+
+  // Escape schließt, wie bei jedem anderen Overlay auch.
+  useEffect(() => {
+    function taste(ereignis: KeyboardEvent) {
+      if (ereignis.key === "Escape") menuSchliessen();
+    }
+    window.addEventListener("keydown", taste);
+    return () => window.removeEventListener("keydown", taste);
+  }, []);
 
   const haupt: MenuEintrag[] = [
     { href: "/", titel: "Dashboard", icon: "bi-speedometer2" },
@@ -105,11 +121,30 @@ export function Sidebar({
   }
 
   return (
-    <aside className="app-sidebar shadow" data-bs-theme="dark">
+    <>
-      <div className="sidebar-brand">
+      {/* Fläche hinter dem Menü: antippen schließt. Ohne sie bleibt das Menü auf dem Handy stehen. */}
+      {menuOffen ? (
+        <button
+          type="button"
+          className="pl-menu-hintergrund d-lg-none"
+          aria-label="Menü schließen"
+          onClick={menuSchliessen}
+        />
+      ) : null}
+
+      <aside className="app-sidebar shadow" data-bs-theme="dark">
+      <div className="sidebar-brand d-flex align-items-center justify-content-between">
         <Link href="/" className="brand-link">
           <LogoMitSchriftzug variante="sidebar" groesse={34} />
         </Link>
+        <button
+          type="button"
+          className="btn btn-link text-white d-lg-none pl-touch-target me-2"
+          aria-label="Menü schließen"
+          onClick={menuSchliessen}
+        >
+          <i className="bi bi-x-lg" aria-hidden="true" />
+        </button>
       </div>
 
       <div className="pl-sidebar-user">
@@ -147,6 +182,7 @@ export function Sidebar({
           </ul>
         </nav>
       </div>
-    </aside>
+      </aside>
+    </>
   );
 }

src/components/layout/menuZustand.ts

@@ -0,0 +1,66 @@
+"use client";
+
+import { useSyncExternalStore } from "react";
+
+/**
+ * Zustand des Seitenmenüs auf schmalen Bildschirmen (#034).
+ *
+ * AdminLTE bringt dafür eigenes JavaScript mit, das wir bewusst nicht einbinden – die Klasse
+ * `sidebar-open` am `body` allein lässt sich aber nicht wieder loswerden: Kein Hintergrund zum
+ * Antippen, kein Schließen beim Navigieren. Deshalb ein eigener, winziger Zustand, auf den
+ * Kopfzeile und Menü gemeinsam hören.
+ */
+
+const SCHMAL = 992;
+
+let offen = false;
+const zuhoerer = new Set<() => void>();
+
+function melden() {
+  for (const ruf of zuhoerer) ruf();
+}
+
+/** Setzt die Klassen, die das AdminLTE-Stylesheet auswertet. */
+function klassenSetzen() {
+  const body = document.body;
+  body.classList.toggle("sidebar-open", offen);
+  // Auf schmalen Bildschirmen liegt das Menü über dem Inhalt; dahinter soll nichts mitscrollen.
+  body.style.overflow = offen && window.innerWidth < SCHMAL ? "hidden" : "";
+}
+
+export function menuUmschalten() {
+  if (window.innerWidth >= SCHMAL) {
+    // Breiter Bildschirm: Das Menü bleibt stehen und wird nur schmaler.
+    document.body.classList.toggle("sidebar-collapse");
+    document.body.classList.remove("sidebar-open");
+    return;
+  }
+
+  offen = !offen;
+  document.body.classList.remove("sidebar-collapse");
+  klassenSetzen();
+  melden();
+}
+
+export function menuSchliessen() {
+  if (!offen) return;
+  offen = false;
+  klassenSetzen();
+  melden();
+}
+
+function abonnieren(ruf: () => void) {
+  zuhoerer.add(ruf);
+  return () => {
+    zuhoerer.delete(ruf);
+  };
+}
+
+export function useMenuOffen(): boolean {
+  // Auf dem Server ist das Menü nie offen – sonst käme es beim ersten Rendern zu einem Unterschied.
+  return useSyncExternalStore(
+    abonnieren,
+    () => offen,
+    () => false,
+  );
+}

src/components/rechnungen/RechnungsFormulare.tsx

@@ -1,8 +1,9 @@
 "use client";
 
-import { useActionState } from "react";
+import { useActionState, useState } from "react";
 import { kundenrechnungSpeichern, proxmoxRechnungSpeichern } from "@/server/actions/rechnungen";
 import type { AktionsErgebnis } from "@/server/actions/kunden";
+import { formatEuro } from "@/lib/format";
 
 const LEER: AktionsErgebnis = {};
 
@@ -42,6 +43,13 @@ export function ProxmoxRechnungFormular({
 }) {
   const [ergebnis, aktion, laeuft] = useActionState(proxmoxRechnungSpeichern, LEER);
 
+  // Listenpreis und Rabatt im Zustand, damit der tatsächlich gezahlte Betrag sofort danebensteht.
+  const [netto, setNetto] = useState(werte.nettoBetrag === null ? "" : String(werte.nettoBetrag));
+  const [rabatt, setRabatt] = useState(werte.rabatt === null ? "" : String(werte.rabatt));
+  const zahl = (wert: string) => Number(wert.replace(",", ".")) || 0;
+  const nettoZahl = zahl(netto);
+  const rabattZahl = zahl(rabatt);
+
   return (
     <form action={aktion}>
       <input type="hidden" name="laufzeitId" value={laufzeitId} />
@@ -93,16 +101,18 @@ export function ProxmoxRechnungFormular({
 
         <div className="col-md-3">
           <label className="form-label" htmlFor="px-netto">
-            Netto (€) *
+            Listenpreis netto (€) *
           </label>
           <input
             id="px-netto"
             name="nettoBetrag"
             className="form-control"
             inputMode="decimal"
-            defaultValue={werte.nettoBetrag ?? ""}
+            value={netto}
+            onChange={(e) => setNetto(e.target.value)}
             required
           />
+          <div className="form-text">Betrag dieser einen Laufzeit, wie er auf der Rechnung steht.</div>
         </div>
         <div className="col-md-2">
           <label className="form-label" htmlFor="px-ust">
@@ -125,8 +135,18 @@ export function ProxmoxRechnungFormular({
             name="rabatt"
             className="form-control"
             inputMode="decimal"
-            defaultValue={werte.rabatt ?? ""}
+            value={rabatt}
+            onChange={(e) => setRabatt(e.target.value)}
           />
+          <div className="form-text">
+            {rabattZahl > 0 ? (
+              <>
+                Gerechnet wird mit <strong>{formatEuro(nettoZahl - rabattZahl)}</strong>.
+              </>
+            ) : (
+              "Proxmox weist ihn je Key als eigene Zeile aus („Client Discount“)."
+            )}
+          </div>
         </div>
         <div className="col-md-4">
           <label className="form-label" htmlFor="px-zahlungsart">

src/components/rechnungen/StatusHaken.tsx

@@ -37,7 +37,7 @@ export function StatusHaken({
   }
 
   return (
-    <span className="d-inline-flex align-items-center justify-content-center">
+    <span className="pl-haken d-inline-flex align-items-center justify-content-center">
       {laeuft ? (
         <span
           className="spinner-border spinner-border-sm text-body-secondary"
@@ -47,7 +47,7 @@ export function StatusHaken({
       ) : (
         <input
           type="checkbox"
-          className="form-check-input pl-touch-target"
+          className="form-check-input"
           checked={wert}
           disabled={deaktiviert}
           onChange={(e) => umschalten(e.target.checked)}

src/lib/adresse.ts

@@ -9,31 +9,34 @@
  * sich fälschen; für eine Weiterleitung auf die eigene Seite ist das unkritisch, als erste Wahl aber
  * unnötig.
  */
-export function oeffentlicheBasis(request: Request, eingetragen?: string): URL {
+/**
-  if (eingetragen) {
+ * Lausch-Adressen taugen nicht als Ziel für einen Browser: `0.0.0.0` heißt „alle Schnittstellen“.
-    try {
+ * Steht so etwas in der Konfiguration, wird es übergangen statt eine unerreichbare Seite zu bauen.
-      return new URL(eingetragen);
+ */
-    } catch {
+const UNBRAUCHBAR = new Set(["0.0.0.0", "::", "[::]", "", "0"]);
-      // Unbrauchbarer Eintrag: weiter mit den übrigen Quellen.
-    }
-  }
 
-  if (process.env.APP_URL) {
+function brauchbar(adresse: string | undefined): URL | null {
-    try {
+  if (!adresse) return null;
-      return new URL(process.env.APP_URL);
+  try {
-    } catch {
+    const ergebnis = new URL(adresse);
-      // ebenso
+    return UNBRAUCHBAR.has(ergebnis.hostname) ? null : ergebnis;
-    }
+  } catch {
+    return null;
   }
+}
+
+export function oeffentlicheBasis(request: Request, eingetragen?: string): URL {
+  const ausEinstellung = brauchbar(eingetragen);
+  if (ausEinstellung) return ausEinstellung;
+
+  const ausUmgebung = brauchbar(process.env.APP_URL);
+  if (ausUmgebung) return ausUmgebung;
 
   const gastgeber = request.headers.get("x-forwarded-host") ?? request.headers.get("host");
   if (gastgeber) {
     const schema = request.headers.get("x-forwarded-proto") ?? new URL(request.url).protocol.replace(":", "");
-    try {
+    const ausKopfzeile = brauchbar(`${schema}://${gastgeber}`);
-      return new URL(`${schema}://${gastgeber}`);
+    if (ausKopfzeile) return ausKopfzeile;
-    } catch {
-      // ebenso
-    }
   }
 
   return new URL(request.url);
@@ -43,3 +46,19 @@ export function oeffentlicheBasis(request: Request, eingetragen?: string): URL {
 export function eigeneAdresse(request: Request, pfad: string, eingetragen?: string): URL {
   return new URL(pfad, oeffentlicheBasis(request, eingetragen));
 }
+
+/**
+ * Dasselbe für Server Actions und Seiten, die keine `Request` zur Hand haben.
+ *
+ * Nötig, weil Next.js eine Weiterleitung aus einer Server Action serverseitig absolut macht – und
+ * dafür die Adresse nimmt, auf die der Server lauscht. Im Container ist das `0.0.0.0` (oder der
+ * Containername); im Browser landet man damit auf einer Seite, die es nicht gibt.
+ */
+export async function eigenerPfad(pfad: string, eingetragen?: string): Promise<string> {
+  const { headers } = await import("next/headers");
+  const kopfzeilen = await headers();
+
+  // Die Anfrage selbst gibt es hier nicht; eine leere mit den echten Kopfzeilen genügt.
+  const basis = oeffentlicheBasis(new Request("http://platzhalter.invalid", { headers: kopfzeilen }), eingetragen);
+  return new URL(pfad, basis).toString();
+}

src/server/actions/auth.ts

@@ -2,12 +2,16 @@
 
 import { cookies } from "next/headers";
 import { redirect } from "next/navigation";
+import { eigenerPfad } from "@/lib/adresse";
 import { SITZUNGS_COOKIE } from "@/lib/sitzung";
 import { protokolliere } from "@/server/audit";
+import { einstellungen } from "@/server/einstellungen";
 
 /** Abmelden aus dem Benutzermenü. Die Anmeldung selbst läuft über /api/auth/anmelden. */
 export async function abmelden() {
   (await cookies()).delete(SITZUNGS_COOKIE);
   await protokolliere("abmeldung", "Benutzer", null, {});
-  redirect("/login");
+
+  const { dashboardUrl } = await einstellungen();
+  redirect(await eigenerPfad("/login", dashboardUrl));
 }

src/server/actions/einstellungen.ts

@@ -35,6 +35,7 @@ export async function einstellungenSpeichernAktion(
 
     waehrung: text(formular, "waehrung") || vorher.waehrung,
     steuersatz: zahl(formular, "steuersatz"),
+    steuersatzEinkauf: zahl(formular, "steuersatzEinkauf"),
     zahlungszielTage: zahl(formular, "zahlungszielTage"),
     margeProzent: zahl(formular, "margeProzent"),
 

src/server/actions/host-detail.ts

@@ -57,8 +57,24 @@ export async function hostKundeSetzen(formular: FormData) {
   const standortId = formular.get("standortId")?.toString() || null;
   if (!hostId) return;
 
-  await prisma.host.update({ where: { id: hostId }, data: { kundeId, standortId } });
+  // Ein Standort gehört immer zu einem Kunden. Passt beides nicht zusammen – etwa weil der Kunde
-  await protokolliere("host.zugewiesen", "Host", hostId, { kundeId, standortId });
+  // gewechselt hat –, wird der Standort verworfen statt eine falsche Zuordnung zu speichern.
+  const gueltigerStandort =
+    standortId && kundeId
+      ? ((await prisma.standort.findFirst({
+          where: { id: standortId, kundeId },
+          select: { id: true },
+        })) ?? null)
+      : null;
+
+  await prisma.host.update({
+    where: { id: hostId },
+    data: { kundeId, standortId: gueltigerStandort?.id ?? null },
+  });
+  await protokolliere("host.zugewiesen", "Host", hostId, {
+    kundeId,
+    standortId: gueltigerStandort?.id ?? null,
+  });
 
   if (kundeId) {
     await prisma.alert.updateMany({

src/server/actions/kunden.ts

@@ -6,6 +6,7 @@ import { z } from "zod";
 import { prisma } from "@/lib/db";
 import { protokolliere } from "@/server/audit";
 import { sitzungErforderlich } from "@/server/auth/sitzungspflicht";
+import { eigenerPfad } from "@/lib/adresse";
 
 export interface AktionsErgebnis {
   fehler?: string;
@@ -79,7 +80,7 @@ export async function kundeLoeschen(formular: FormData) {
 
   revalidatePath("/kunden");
   revalidatePath("/hosts/nicht-zugeordnet");
-  redirect("/kunden");
+  redirect(await eigenerPfad("/kunden"));
 }
 
 const standortSchema = z.object({

src/server/alerts/regeln.ts

@@ -405,6 +405,38 @@ const kundenrechnungUnbezahlt: Regel = {
   },
 };
 
+/**
+ * Der übliche Ablauf: Erst kommt die unbezahlte Rechnung von Proxmox, dann stellt man dem Kunden
+ * seine Rechnung, und **nachdem der Kunde gezahlt hat**, zahlt man selbst bei Proxmox. Hat der Kunde
+ * bezahlt und die Einkaufsrechnung ist noch offen, liegt das Geld da und die Rechnung auch – das ist
+ * der Moment zum Zahlen, unabhängig vom Fälligkeitsdatum (#037).
+ */
+const kundeBezahltEinkaufOffen: Regel = {
+  name: "kunde-bezahlt-einkauf-offen",
+  beschreibung: "Der Kunde hat bezahlt, die Proxmox-Rechnung ist noch offen",
+  standardSchwellwerte: {},
+  pruefe(kontext) {
+    return kontext.laufzeiten.flatMap((laufzeit) => {
+      if (!laufzeit.verkaufBezahlt || laufzeit.einkaufBezahlt !== false) return [];
+
+      return [
+        {
+          fingerprint: `kunde-bezahlt-einkauf-offen:${laufzeit.id}`,
+          regel: "kunde-bezahlt-einkauf-offen",
+          schwere: "INFO" as AlertSchwere,
+          titel: "Kunde hat bezahlt – Proxmox-Rechnung noch offen",
+          beschreibung: `${laufzeit.hostname} · ${kundenHinweis(laufzeit.kundeName)} · Einkauf ${
+            laufzeit.einkaufNummer ?? "ohne Nummer"
+          } über ${formatEuro(laufzeit.einkaufBetrag)} netto ist noch nicht bezahlt`,
+          hostId: laufzeit.hostId,
+          kundeId: laufzeit.kundeId,
+          laufzeitId: laufzeit.id,
+        },
+      ];
+    });
+  },
+};
+
 export const REGELN: Regel[] = [
   subscriptionLaeuftAb,
   statusNichtAktiv,
@@ -417,6 +449,7 @@ export const REGELN: Regel[] = [
   proxmoxRechnungFaellig,
   kundenrechnungFehlt,
   kundenrechnungUnbezahlt,
+  kundeBezahltEinkaufOffen,
 ];
 
 /** Wendet alle aktiven Regeln an. */

src/server/auth/sitzungspflicht.ts

@@ -2,6 +2,7 @@ import { cookies } from "next/headers";
 import { redirect } from "next/navigation";
 import { cache } from "react";
 import type { Rolle } from "@/generated/prisma/enums";
+import { eigenerPfad } from "@/lib/adresse";
 import { prisma } from "@/lib/db";
 import { type GeleseneSitzung, SITZUNGS_COOKIE, sitzungLesen } from "@/lib/sitzung";
 import { darf, type Recht } from "./rollen";
@@ -68,10 +69,10 @@ export const angemeldet = cache(async (): Promise<AngemeldeterBenutzer | null> =
  */
 export async function sitzungErforderlich(recht?: Recht): Promise<AngemeldeterBenutzer> {
   const benutzer = await angemeldet();
-  if (!benutzer) redirect("/login?fehler=Bitte+anmelden.");
+  if (!benutzer) redirect(await eigenerPfad("/login?fehler=Bitte+anmelden."));
 
   if (recht && !darf(benutzer.rolle, recht)) {
-    redirect("/?fehler=Für+diesen+Bereich+fehlt+die+Berechtigung.");
+    redirect(await eigenerPfad("/?fehler=Für+diesen+Bereich+fehlt+die+Berechtigung."));
   }
 
   return benutzer;

src/server/einstellungen.ts

@@ -24,7 +24,13 @@ export const einstellungenSchema = z.object({
 
   // --- Kaufmännisches ---
   waehrung: z.enum(["EUR", "CHF"]).default("EUR"),
+  /** Steuersatz der Kundenrechnungen. */
   steuersatz: z.number().min(0).max(100).default(19),
+  /**
+   * Steuersatz der Proxmox-Rechnungen. Vorgabe 0: Proxmox sitzt in Österreich und rechnet
+   * gegenüber Unternehmen mit USt-IdNr. über Reverse Charge ab (#037).
+   */
+  steuersatzEinkauf: z.number().min(0).max(100).default(0),
   zahlungszielTage: z.number().int().min(0).max(120).default(14),
   /** Vorschlag für den Aufschlag auf den Einkaufspreis beim Anlegen einer Kundenrechnung. */
   margeProzent: z.number().min(0).max(500).default(20),

src/server/queries/hostliste.ts

@@ -6,6 +6,8 @@ import { sichtbarerKunde } from "@/server/auth/sitzungspflicht";
 export interface HostFilter {
   q?: string;
   kunde?: string;
+  /** Schlagwort, nach dem gefiltert wird (#040). */
+  tag?: string;
   status?: string;
   produkt?: string;
   ablauf?: "30" | "14" | "abgelaufen";
@@ -20,6 +22,10 @@ export const SEITENGROESSE = 25;
 function bedingung(filter: HostFilter, jetzt: Date): Prisma.HostWhereInput {
   const und: Prisma.HostWhereInput[] = [];
 
+  if (filter.tag) {
+    und.push({ tags: { some: { name: filter.tag } } });
+  }
+
   if (filter.q && filter.q.trim().length > 0) {
     const suche = filter.q.trim();
     und.push({
@@ -30,6 +36,8 @@ function bedingung(filter: HostFilter, jetzt: Date): Prisma.HostWhereInput {
         { subKey: { contains: suche, mode: "insensitive" } },
         { ips: { has: suche } },
         { kunde: { name: { contains: suche, mode: "insensitive" } } },
+        { notizen: { contains: suche, mode: "insensitive" } },
+        { tags: { some: { name: { contains: suche, mode: "insensitive" } } } },
         // Suche nach einer Proxmox-Rechnungsnummer führt ebenfalls zum Host.
         {
           laufzeiten: {
@@ -113,6 +121,7 @@ export async function hostListe(filter: HostFilter, jetzt: Date = new Date()) {
       include: {
         kunde: { select: { id: true, name: true } },
         standort: { select: { name: true } },
+        tags: { orderBy: { name: "asc" }, select: { id: true, name: true } },
       },
     }),
   ]);
@@ -181,5 +190,12 @@ export async function filterOptionen() {
     orderBy: { name: "asc" },
     select: { id: true, name: true },
   });
-  return { kunden };
+
+  // Nur Schlagworte, die auch an einem sichtbaren Host hängen – sonst stünden leere zur Auswahl.
+  const tags = await prisma.tag.findMany({
+    where: { hosts: { some: kundeId ? { kundeId } : {} } },
+    orderBy: { name: "asc" },
+    select: { name: true },
+  });
+  return { kunden, tags: tags.map((tag) => tag.name) };
 }

src/server/queries/hosts.ts

@@ -103,7 +103,9 @@ export async function suchIndex() {
         subKey: true,
         ips: true,
         produkt: true,
+        notizen: true,
         kunde: { select: { name: true } },
+        tags: { select: { name: true } },
       },
     }),
     prisma.kunde.findMany({
@@ -128,9 +130,17 @@ export async function suchIndex() {
       titel: host.hostname,
       untertitel: `${host.produkt} · ${host.kunde?.name ?? "Nicht zugeordnet"}${
         host.subKey ? ` · ${host.subKey}` : ""
-      }`,
+      }${host.tags.length > 0 ? ` · ${host.tags.map((tag) => tag.name).join(", ")}` : ""}`,
       href: `/hosts/${host.id}`,
-      begriffe: [host.hostname, host.fqdn, host.serverId, host.subKey, ...host.ips]
+      begriffe: [
+        host.hostname,
+        host.fqdn,
+        host.serverId,
+        host.subKey,
+        host.notizen,
+        ...host.tags.map((tag) => tag.name),
+        ...host.ips,
+      ]
         .filter((w): w is string => Boolean(w))
         .map((w) => w.toLowerCase()),
     })),

src/server/queries/kunden.ts

@@ -87,7 +87,11 @@ export async function laufzeitenVonKunde(kundeId: string) {
       einkaufSichtbar && laufzeit.proxmoxPosition
       ? {
           nummer: laufzeit.proxmoxPosition.rechnung.nummer,
-          nettoBetrag: Number(laufzeit.proxmoxPosition.nettoBetrag),
+          // Nach Abzug des Rabatts – siehe #037.
+          nettoBetrag:
+            Number(laufzeit.proxmoxPosition.nettoBetrag) - Number(laufzeit.proxmoxPosition.rabatt ?? 0),
+          listenpreis: Number(laufzeit.proxmoxPosition.nettoBetrag),
+          rabatt: Number(laufzeit.proxmoxPosition.rabatt ?? 0),
           bezahlt: laufzeit.proxmoxPosition.rechnung.bezahlt,
           faelligAm: laufzeit.proxmoxPosition.rechnung.faelligAm,
         }

src/server/queries/rechnungen.ts

@@ -76,8 +76,11 @@ export async function rechnungsListe(filter: RechnungsFilter) {
   const zeilen = laufzeiten.map((laufzeit) => {
     // Einkaufspreis und Marge sind nichts für ein Kundenkonto. Sie werden hier entfernt,
     // nicht erst in der Anzeige – sonst stünden sie im ausgelieferten HTML.
+    // Gerechnet wird mit dem Betrag nach Abzug des Rabatts – das ist, was tatsächlich gezahlt wird.
     const einkauf =
-      einkaufSichtbar && laufzeit.proxmoxPosition ? Number(laufzeit.proxmoxPosition.nettoBetrag) : null;
+      einkaufSichtbar && laufzeit.proxmoxPosition
+        ? Number(laufzeit.proxmoxPosition.nettoBetrag) - Number(laufzeit.proxmoxPosition.rabatt ?? 0)
+        : null;
     const verkauf = laufzeit.kundenPosition ? Number(laufzeit.kundenPosition.nettoBetrag) : null;
 
     return {

src/server/services/rechnungen.ts

@@ -68,7 +68,8 @@ export async function proxmoxRechnungErfassen(laufzeitId: string, eingabe: Proxm
   if (!laufzeit) throw new RechnungsFehler("Laufzeit nicht gefunden.");
   if (!eingabe.nummer.trim()) throw new RechnungsFehler("Bitte eine Rechnungsnummer angeben.");
 
-  const { steuersatz: vorgabeSteuersatz } = await einstellungen();
+  // Einkauf bei Proxmox: eigener Satz, Vorgabe 0 wegen Reverse Charge.
+  const { steuersatzEinkauf: vorgabeSteuersatz } = await einstellungen();
   const nummer = eingabe.nummer.trim();
   const bezeichnung = `${laufzeit.key} · ${laufzeit.host.hostname} · ${laufzeit.start.toISOString().slice(0, 10)} bis ${laufzeit.ende.toISOString().slice(0, 10)}`;
 
@@ -82,7 +83,6 @@ export async function proxmoxRechnungErfassen(laufzeitId: string, eingabe: Proxm
             datum: eingabe.datum,
             faelligAm: eingabe.faelligAm,
             ustSatz: eingabe.ustSatz ?? vorgabeSteuersatz,
-            rabatt: eingabe.rabatt ?? null,
             zahlungsart: eingabe.zahlungsart ?? null,
             bezahlt: eingabe.bezahlt,
             bezahltAm: eingabe.bezahlt ? (eingabe.bezahltAm ?? new Date()) : null,
@@ -97,7 +97,6 @@ export async function proxmoxRechnungErfassen(laufzeitId: string, eingabe: Proxm
             faelligAm: eingabe.faelligAm,
             nettoBetrag: eingabe.nettoBetrag,
             ustSatz: eingabe.ustSatz ?? vorgabeSteuersatz,
-            rabatt: eingabe.rabatt ?? null,
             zahlungsart: eingabe.zahlungsart ?? null,
             bezahlt: eingabe.bezahlt,
             bezahltAm: eingabe.bezahlt ? (eingabe.bezahltAm ?? new Date()) : null,
@@ -109,10 +108,20 @@ export async function proxmoxRechnungErfassen(laufzeitId: string, eingabe: Proxm
     const position = laufzeit.proxmoxPosition
       ? await tx.proxmoxRechnungPosition.update({
           where: { id: laufzeit.proxmoxPosition.id },
-          data: { rechnungId: rechnung.id, bezeichnung, nettoBetrag: eingabe.nettoBetrag },
+          data: {
+            rechnungId: rechnung.id,
+            bezeichnung,
+            nettoBetrag: eingabe.nettoBetrag,
+            rabatt: eingabe.rabatt ?? null,
+          },
         })
       : await tx.proxmoxRechnungPosition.create({
-          data: { rechnungId: rechnung.id, bezeichnung, nettoBetrag: eingabe.nettoBetrag },
+          data: {
+            rechnungId: rechnung.id,
+            bezeichnung,
+            nettoBetrag: eingabe.nettoBetrag,
+            rabatt: eingabe.rabatt ?? null,
+          },
         });
 
     await tx.laufzeit.update({
@@ -120,9 +129,11 @@ export async function proxmoxRechnungErfassen(laufzeitId: string, eingabe: Proxm
       data: { proxmoxPositionId: position.id, status: "BESTAETIGT" },
     });
 
-    // Der Rechnungsbetrag ist immer die Summe der Positionen.
+    // Der Rechnungsbetrag ist immer die Summe der Positionen – nach Abzug ihrer Rabatte.
+    // Genau so steht es auch auf der Rechnung von Proxmox: Listenpreise und Rabatte als eigene
+    // Zeilen, darunter die Summe.
     const positionen = await tx.proxmoxRechnungPosition.findMany({ where: { rechnungId: rechnung.id } });
-    const summe = positionen.reduce((s, p) => s + Number(p.nettoBetrag), 0);
+    const summe = positionen.reduce((s, p) => s + Number(p.nettoBetrag) - Number(p.rabatt ?? 0), 0);
     await tx.proxmoxRechnung.update({ where: { id: rechnung.id }, data: { nettoBetrag: summe } });
 
     await protokolliere("proxmox_rechnung.erfasst", "ProxmoxRechnung", rechnung.id, {

tests/alerts-abgleich.test.ts

@@ -30,7 +30,7 @@ describe.runIf(datenbankVerfuegbar)("Abgleich der Warnungen", () => {
 
   it("legt die Standard-Einstellungen für alle Regeln an", async () => {
     const einstellungen = await testPrisma.warnregelEinstellung.findMany();
-    expect(einstellungen).toHaveLength(11);
+    expect(einstellungen).toHaveLength(12);
     const ablauf = einstellungen.find((e) => e.regel === "subscription-laeuft-ab");
     expect(ablauf?.schwellwerte).toEqual({ tage: [30, 14, 7] });
   });

tests/einkauf-rabatt.test.ts

@@ -0,0 +1,102 @@
+import { afterAll, beforeEach, describe, expect, it, vi } from "vitest";
+import { datenbankLeeren, datenbankVerfuegbar, testPrisma } from "./helpers/db";
+
+/**
+ * Rabatt je Position und Sammelrechnung über mehrere Hosts – so, wie Proxmox abrechnet (#037):
+ * je Key eine Zeile mit Listenpreis und eine Zeile mit „Client Discount“.
+ */
+vi.mock("@/server/auth/sitzungspflicht", () => ({
+  sitzungErforderlich: async () => ({ benutzerId: "test", rolle: "ADMIN", kundeId: null }),
+  sichtbarerKunde: async () => null,
+  darfEinkaufSehen: async () => true,
+  angemeldet: async () => null,
+}));
+
+const { proxmoxRechnungErfassen } = await import("@/server/services/rechnungen");
+
+async function laufzeit(key: string) {
+  const kunde = await testPrisma.kunde.upsert({
+    where: { kundennummer: "K-1" },
+    update: {},
+    create: { name: "Wilde IT", kundennummer: "K-1" },
+  });
+  const host = await testPrisma.host.create({
+    data: { agentId: `a-${key}`, hostname: `hv-${key}`, produkt: "PVE", kundeId: kunde.id },
+  });
+  return testPrisma.laufzeit.create({
+    data: {
+      hostId: host.id,
+      key,
+      start: new Date("2026-10-17"),
+      ende: new Date("2027-10-16"),
+      status: "VORSCHLAG",
+    },
+  });
+}
+
+const eingabe = {
+  nummer: "291017",
+  datum: new Date("2026-09-17"),
+  faelligAm: new Date("2026-10-17"),
+  nettoBetrag: 1100,
+  rabatt: 110,
+  ustSatz: 0,
+  bezahlt: false,
+  bezahltAm: null,
+  zahlungsart: null,
+  anhangId: null,
+  notizen: null,
+};
+
+describe.runIf(datenbankVerfuegbar)("Proxmox-Rechnung mit Rabatt", () => {
+  beforeEach(async () => {
+    await datenbankLeeren();
+  });
+
+  afterAll(async () => {
+    await testPrisma.$disconnect();
+  });
+
+  it("legt den Rabatt an der Position ab, nicht an der Rechnung", async () => {
+    const l = await laufzeit("pve2s-3ef3be4d75");
+    await proxmoxRechnungErfassen(l.id, eingabe);
+
+    const position = await testPrisma.proxmoxRechnungPosition.findFirstOrThrow({});
+    expect(Number(position.nettoBetrag)).toBe(1100);
+    expect(Number(position.rabatt)).toBe(110);
+  });
+
+  it("rechnet die Rechnungssumme als Listenpreise minus Rabatte", async () => {
+    // Genau der Fall aus der echten Rechnung 291017: zwei Keys, je 1100 minus 110 = 1980.
+    const ersteLaufzeit = await laufzeit("pve2s-3ef3be4d75");
+    const zweiteLaufzeit = await laufzeit("pve2s-b7a0d516af");
+
+    await proxmoxRechnungErfassen(ersteLaufzeit.id, eingabe);
+    await proxmoxRechnungErfassen(zweiteLaufzeit.id, eingabe);
+
+    const rechnung = await testPrisma.proxmoxRechnung.findUniqueOrThrow({
+      where: { nummer: "291017" },
+      include: { positionen: true },
+    });
+
+    expect(rechnung.positionen).toHaveLength(2);
+    expect(Number(rechnung.nettoBetrag)).toBe(1980);
+  });
+
+  it("bestätigt die Laufzeit beim Erfassen", async () => {
+    const l = await laufzeit("pve2s-3ef3be4d75");
+    await proxmoxRechnungErfassen(l.id, eingabe);
+
+    const danach = await testPrisma.laufzeit.findUniqueOrThrow({ where: { id: l.id } });
+    expect(danach.status).toBe("BESTAETIGT");
+  });
+
+  it("führt die Summe nach, wenn sich ein Betrag ändert", async () => {
+    const l = await laufzeit("pve2s-3ef3be4d75");
+    await proxmoxRechnungErfassen(l.id, eingabe);
+    await proxmoxRechnungErfassen(l.id, { ...eingabe, nettoBetrag: 1200, rabatt: 0 });
+
+    const rechnung = await testPrisma.proxmoxRechnung.findUniqueOrThrow({ where: { nummer: "291017" } });
+    expect(Number(rechnung.nettoBetrag)).toBe(1200);
+  });
+});

tests/host-standort.test.ts

@@ -0,0 +1,94 @@
+import { afterAll, beforeEach, describe, expect, it, vi } from "vitest";
+import { datenbankLeeren, datenbankVerfuegbar, testPrisma } from "./helpers/db";
+
+/** Zuweisung von Kunde und Standort an einen Host (#036). */
+vi.mock("@/server/auth/sitzungspflicht", () => ({
+  sitzungErforderlich: async () => ({ benutzerId: "test", rolle: "ADMIN", kundeId: null }),
+  sichtbarerKunde: async () => null,
+  darfEinkaufSehen: async () => true,
+  angemeldet: async () => null,
+}));
+vi.mock("next/cache", () => ({ revalidatePath: () => {} }));
+
+const { hostKundeSetzen } = await import("@/server/actions/host-detail");
+
+async function aufbau() {
+  const [kundeA, kundeB] = await Promise.all([
+    testPrisma.kunde.create({ data: { name: "Kunde A", kundennummer: "K-A" } }),
+    testPrisma.kunde.create({ data: { name: "Kunde B", kundennummer: "K-B" } }),
+  ]);
+  const [standortA, standortB] = await Promise.all([
+    testPrisma.standort.create({ data: { kundeId: kundeA.id, name: "Rechenzentrum A" } }),
+    testPrisma.standort.create({ data: { kundeId: kundeB.id, name: "Rechenzentrum B" } }),
+  ]);
+  const host = await testPrisma.host.create({
+    data: { agentId: "a-1", hostname: "pve-01", produkt: "PVE" },
+  });
+  return { kundeA, kundeB, standortA, standortB, host };
+}
+
+function formular(werte: Record<string, string>) {
+  const daten = new FormData();
+  for (const [name, wert] of Object.entries(werte)) daten.set(name, wert);
+  return daten;
+}
+
+describe.runIf(datenbankVerfuegbar)("Kunde und Standort setzen", () => {
+  beforeEach(async () => {
+    await datenbankLeeren();
+  });
+
+  afterAll(async () => {
+    await testPrisma.$disconnect();
+  });
+
+  it("setzt Kunde und Standort zusammen", async () => {
+    const { kundeA, standortA, host } = await aufbau();
+
+    await hostKundeSetzen(formular({ hostId: host.id, kundeId: kundeA.id, standortId: standortA.id }));
+
+    const danach = await testPrisma.host.findUniqueOrThrow({ where: { id: host.id } });
+    expect(danach.kundeId).toBe(kundeA.id);
+    expect(danach.standortId).toBe(standortA.id);
+  });
+
+  it("verwirft einen Standort, der zu einem anderen Kunden gehört", async () => {
+    const { kundeA, standortB, host } = await aufbau();
+
+    await hostKundeSetzen(formular({ hostId: host.id, kundeId: kundeA.id, standortId: standortB.id }));
+
+    const danach = await testPrisma.host.findUniqueOrThrow({ where: { id: host.id } });
+    expect(danach.kundeId).toBe(kundeA.id);
+    expect(danach.standortId).toBeNull();
+  });
+
+  it("löst die Zuordnung samt Standort, wenn kein Kunde gewählt ist", async () => {
+    const { kundeA, standortA, host } = await aufbau();
+    await hostKundeSetzen(formular({ hostId: host.id, kundeId: kundeA.id, standortId: standortA.id }));
+
+    await hostKundeSetzen(formular({ hostId: host.id, kundeId: "", standortId: "" }));
+
+    const danach = await testPrisma.host.findUniqueOrThrow({ where: { id: host.id } });
+    expect(danach.kundeId).toBeNull();
+    expect(danach.standortId).toBeNull();
+  });
+
+  it("schließt die Warnung „Host ohne Kunde“ beim Zuweisen", async () => {
+    const { kundeA, host } = await aufbau();
+    await testPrisma.alert.create({
+      data: {
+        regel: "host-ohne-kunde",
+        fingerprint: `host-ohne-kunde:${host.id}`,
+        schwere: "INFO",
+        titel: "Host ohne Kunde",
+        beschreibung: "…",
+        hostId: host.id,
+      },
+    });
+
+    await hostKundeSetzen(formular({ hostId: host.id, kundeId: kundeA.id }));
+
+    const alert = await testPrisma.alert.findFirstOrThrow({ where: { hostId: host.id } });
+    expect(alert.erledigtAm).not.toBeNull();
+  });
+});

tests/host-tags.test.ts

@@ -0,0 +1,89 @@
+import { afterAll, beforeEach, describe, expect, it, vi } from "vitest";
+import { datenbankLeeren, datenbankVerfuegbar, testPrisma } from "./helpers/db";
+
+/** Schlagworte und Notizen in Liste, Filter und Suche (#040). */
+vi.mock("@/server/auth/sitzungspflicht", () => ({
+  sichtbarerKunde: async () => null,
+  darfEinkaufSehen: async () => true,
+  angemeldet: async () => null,
+  sitzungErforderlich: async () => {
+    throw new Error("in diesem Test nicht vorgesehen");
+  },
+}));
+
+const { hostListe, filterOptionen } = await import("@/server/queries/hostliste");
+const { suchIndex } = await import("@/server/queries/hosts");
+
+async function hosts() {
+  // Zwei Hosts mit demselben Namen bei verschiedenen Kunden – genau der Fall aus der Praxis.
+  const [kundeA, kundeB] = await Promise.all([
+    testPrisma.kunde.create({ data: { name: "Kunde A", kundennummer: "K-A" } }),
+    testPrisma.kunde.create({ data: { name: "Kunde B", kundennummer: "K-B" } }),
+  ]);
+
+  await testPrisma.host.create({
+    data: {
+      agentId: "a-1",
+      hostname: "hv-pve-01",
+      produkt: "PVE",
+      kundeId: kundeA.id,
+      notizen: "Steht im Serverraum links",
+      tags: { connectOrCreate: [{ where: { name: "rechenzentrum" }, create: { name: "rechenzentrum" } }] },
+    },
+  });
+  await testPrisma.host.create({
+    data: {
+      agentId: "a-2",
+      hostname: "hv-pve-01",
+      produkt: "PVE",
+      kundeId: kundeB.id,
+      tags: { connectOrCreate: [{ where: { name: "aussenstelle" }, create: { name: "aussenstelle" } }] },
+    },
+  });
+}
+
+describe.runIf(datenbankVerfuegbar)("Schlagworte und Notizen", () => {
+  beforeEach(async () => {
+    await datenbankLeeren();
+    await hosts();
+  });
+
+  afterAll(async () => {
+    await testPrisma.$disconnect();
+  });
+
+  it("liefert die Schlagworte zu jedem Host mit", async () => {
+    const liste = await hostListe({});
+    const namen = liste.hosts.flatMap((host) => host.tags.map((tag) => tag.name)).sort();
+    expect(namen).toEqual(["aussenstelle", "rechenzentrum"]);
+  });
+
+  it("filtert nach Schlagwort", async () => {
+    const liste = await hostListe({ tag: "aussenstelle" });
+    expect(liste.gesamt).toBe(1);
+    expect(liste.hosts[0].kunde?.name).toBe("Kunde B");
+  });
+
+  it("findet einen Host über sein Schlagwort", async () => {
+    const liste = await hostListe({ q: "rechenzentrum" });
+    expect(liste.gesamt).toBe(1);
+    expect(liste.hosts[0].kunde?.name).toBe("Kunde A");
+  });
+
+  it("findet einen Host über seine Notiz", async () => {
+    const liste = await hostListe({ q: "serverraum" });
+    expect(liste.gesamt).toBe(1);
+  });
+
+  it("bietet nur vergebene Schlagworte zur Auswahl an", async () => {
+    const { tags } = await filterOptionen();
+    expect(tags).toEqual(["aussenstelle", "rechenzentrum"]);
+  });
+
+  it("nimmt Schlagworte und Notizen in die globale Suche auf", async () => {
+    const eintraege = await suchIndex();
+    const treffer = eintraege.filter((eintrag) => eintrag.begriffe.includes("rechenzentrum"));
+    expect(treffer).toHaveLength(1);
+    expect(treffer[0].untertitel).toContain("rechenzentrum");
+  });
+});

tests/menu-zustand.test.ts

@@ -0,0 +1,91 @@
+import { afterEach, beforeEach, describe, expect, it, vi } from "vitest";
+
+/**
+ * Prüft das Öffnen und Schließen des Seitenmenüs. Statt eines echten Browsers genügen hier
+ * Attrappen für `document.body` und `window` – geprüft wird, welche Klassen gesetzt werden.
+ */
+
+const klassen = new Set<string>();
+let breite = 390;
+
+function aufraeumen() {
+  klassen.clear();
+  breite = 390;
+}
+
+beforeEach(async () => {
+  aufraeumen();
+  vi.resetModules();
+
+  const body = {
+    classList: {
+      toggle(name: string, an?: boolean) {
+        const soll = an ?? !klassen.has(name);
+        if (soll) klassen.add(name);
+        else klassen.delete(name);
+      },
+      remove(name: string) {
+        klassen.delete(name);
+      },
+      contains: (name: string) => klassen.has(name),
+    },
+    style: { overflow: "" },
+  };
+
+  vi.stubGlobal("document", { body });
+  vi.stubGlobal("window", {
+    get innerWidth() {
+      return breite;
+    },
+  });
+});
+
+afterEach(() => {
+  vi.unstubAllGlobals();
+});
+
+describe("Seitenmenü auf schmalen Bildschirmen", () => {
+  it("öffnet und schließt wieder", async () => {
+    const { menuUmschalten, menuSchliessen } = await import("@/components/layout/menuZustand");
+
+    menuUmschalten();
+    expect(klassen.has("sidebar-open")).toBe(true);
+
+    menuSchliessen();
+    expect(klassen.has("sidebar-open")).toBe(false);
+  });
+
+  it("sperrt den Inhalt hinter dem offenen Menü gegen Scrollen", async () => {
+    const { menuUmschalten, menuSchliessen } = await import("@/components/layout/menuZustand");
+
+    menuUmschalten();
+    expect((document.body as unknown as { style: { overflow: string } }).style.overflow).toBe("hidden");
+
+    menuSchliessen();
+    expect((document.body as unknown as { style: { overflow: string } }).style.overflow).toBe("");
+  });
+
+  it("schließt auch beim zweiten Antippen des Knopfes", async () => {
+    const { menuUmschalten } = await import("@/components/layout/menuZustand");
+
+    menuUmschalten();
+    menuUmschalten();
+    expect(klassen.has("sidebar-open")).toBe(false);
+  });
+
+  it("macht ein zweites Schließen zum Nichts", async () => {
+    const { menuSchliessen } = await import("@/components/layout/menuZustand");
+
+    menuSchliessen();
+    expect(klassen.has("sidebar-open")).toBe(false);
+  });
+
+  it("klappt auf breiten Bildschirmen nur ein, statt zu überlagern", async () => {
+    breite = 1400;
+    const { menuUmschalten } = await import("@/components/layout/menuZustand");
+
+    menuUmschalten();
+    expect(klassen.has("sidebar-collapse")).toBe(true);
+    expect(klassen.has("sidebar-open")).toBe(false);
+  });
+});

tests/sicherheit.test.ts

@@ -100,6 +100,19 @@ describe("Öffentliche Adresse", () => {
     expect(eigeneAdresse(anfrageMit({}), "/").host).toBe("0a5963a591df:3000");
   });
 
+  it("übergeht eine Lausch-Adresse in der Konfiguration", () => {
+    // 0.0.0.0 heißt „alle Schnittstellen“ – als Ziel im Browser ist das unbrauchbar.
+    // Genau so stand es nach einer Installation in der .env und führte beim Abmelden ins Leere.
+    const anfrage = anfrageMit({ host: "proxledger.firma.de" });
+    expect(eigeneAdresse(anfrage, "/login", "http://0.0.0.0:3000").host).toBe("proxledger.firma.de");
+  });
+
+  it("übergeht auch eine Lausch-Adresse aus der Umgebung", () => {
+    vi.stubEnv("APP_URL", "http://0.0.0.0:3000");
+    const anfrage = anfrageMit({ host: "proxledger.firma.de" });
+    expect(eigeneAdresse(anfrage, "/login").host).toBe("proxledger.firma.de");
+  });
+
   it("übergeht einen unbrauchbaren Eintrag, statt zu scheitern", () => {
     const anfrage = anfrageMit({ "x-forwarded-host": "dashboard.kunde.de" });
     expect(eigeneAdresse(anfrage, "/", "keine-adresse").host).toBe("dashboard.kunde.de");

tests/warnregeln.test.ts

@@ -72,9 +72,9 @@ function ausRegel(k: RegelKontext, name: string) {
 }
 
 describe("Warnregeln", () => {
-  it("prüft alle elf Regeln, wenn nichts abgeschaltet ist", () => {
+  it("prüft alle zwölf Regeln, wenn nichts abgeschaltet ist", () => {
-    expect(REGELN).toHaveLength(11);
+    expect(REGELN).toHaveLength(12);
-    expect(new Set(REGELN.map((r) => r.name)).size).toBe(11);
+    expect(new Set(REGELN.map((r) => r.name)).size).toBe(12);
   });
 
   describe("Subscription läuft ab", () => {
@@ -376,4 +376,42 @@ describe("Warnregeln", () => {
     const fingerprints = alleRegelnPruefen(k).map((kandidat) => kandidat.fingerprint);
     expect(new Set(fingerprints).size).toBe(fingerprints.length);
   });
+
+  describe("Kunde hat bezahlt, Einkauf noch offen", () => {
+    it("meldet, sobald der Kunde bezahlt hat und die Proxmox-Rechnung offen ist", () => {
+      // Der übliche Ablauf: unbezahlte Rechnung von Proxmox, Kundenrechnung, Kunde zahlt,
+      // dann zahlt man selbst. Dieser Zustand ist der Moment zum Zahlen.
+      const k = kontext({
+        laufzeiten: [laufzeit({ einkaufBezahlt: false, verkaufErstellt: true, verkaufBezahlt: true })],
+      });
+
+      const treffer = alleRegelnPruefen(k).filter((a) => a.regel === "kunde-bezahlt-einkauf-offen");
+      expect(treffer).toHaveLength(1);
+      expect(treffer[0].schwere).toBe("INFO");
+    });
+
+    it("schweigt, solange der Kunde noch nicht bezahlt hat", () => {
+      const k = kontext({
+        laufzeiten: [laufzeit({ einkaufBezahlt: false, verkaufErstellt: true, verkaufBezahlt: false })],
+      });
+
+      expect(alleRegelnPruefen(k).filter((a) => a.regel === "kunde-bezahlt-einkauf-offen")).toHaveLength(0);
+    });
+
+    it("schweigt, wenn die Proxmox-Rechnung längst bezahlt ist", () => {
+      const k = kontext({
+        laufzeiten: [laufzeit({ einkaufBezahlt: true, verkaufErstellt: true, verkaufBezahlt: true })],
+      });
+
+      expect(alleRegelnPruefen(k).filter((a) => a.regel === "kunde-bezahlt-einkauf-offen")).toHaveLength(0);
+    });
+
+    it("schweigt, wenn es noch gar keine Einkaufsrechnung gibt", () => {
+      const k = kontext({
+        laufzeiten: [laufzeit({ einkaufBezahlt: null, verkaufErstellt: true, verkaufBezahlt: true })],
+      });
+
+      expect(alleRegelnPruefen(k).filter((a) => a.regel === "kunde-bezahlt-einkauf-offen")).toHaveLength(0);
+    });
+  });
 });