Merge: Version 1.12.0

chore: Version 1.12.0
Merge #46 : Wo die Daten liegen, und drei Fallen aus dem Betrieb
2026-09-01 14:40:22 +00:00 · 2026-09-01 16:39:59 +02:00 · 2026-09-01 14:37:25 +00:00 · 2026-09-01 16:36:48 +02:00 · 2026-09-01 14:31:51 +00:00 · 2026-09-01 16:31:03 +02:00
94 changed files with 14342 additions and 10092 deletions
@@ -15,9 +15,17 @@ DATABASE_URL="postgresql://cockpit:bitte-aendern@localhost:5432/betreuungs_cockp
 # 32 zufaellige Bytes, base64. Erzeugen: npm run schluessel
 AUTH_SECRET=
 # Oeffentliche Basis-URL der Anwendung (ohne abschliessenden Slash).
+# Hinter einem Proxy die Adresse, die im Browser in der Adresszeile steht -
+# nicht die interne. Passkeys pruefen dagegen.
 AUTH_URL=http://localhost:3000
-# Hinter einem Reverse Proxy auf true setzen.
-AUTH_TRUST_HOST=true
+
+# Darf der Host-Kopf der Anfrage die Adresse bestimmen?
+#
+# Solange AUTH_URL gesetzt ist: nein, und die Zeile bleibt weg. Die Adresse
+# ist dann bekannt und muss nicht aus einer Kopfzeile abgeleitet werden, die
+# von aussen kommt. Ein "X-Forwarded-Host: fremde.example" schlaegt sonst in
+# erzeugte Adressen durch.
+# AUTH_TRUST_HOST=true

 # --- Erreichbarkeit: HIER MUSST DU DICH ENTSCHEIDEN -------------------------
 #
@@ -73,15 +81,57 @@ LOGIN_MAX_VERSUCHE=5
 LOGIN_FENSTER_SEKUNDEN=900
 LOGIN_SPERRE_SEKUNDEN=900

+# Geheimnis fuer die Ersteinrichtung. OHNE DIESEN WERT LAESST SICH DER ERSTE
+# ZUGANG NICHT ANLEGEN - das ist Absicht.
+#
+# Zwischen dem ersten Start und dem Anlegen des Zugangs stand die
+# Einrichtungsseite sonst offen: Wer sie in diesem Fenster findet, wird
+# Administrator. Erzeugen: npm run schluessel
+ERSTEINRICHTUNG_GEHEIMNIS=
+
+# Steht ein Reverse Proxy davor?
+#
+# Nur mit "true" wird "X-Forwarded-For" geglaubt - und dann von HINTEN
+# gelesen, weil der vordere Teil der Liste vom Aufrufer selbst kommt.
+# Ohne diese Zeile zaehlt die Anmeldesperre nur nach E-Mail-Adresse.
+#
+# Der dokumentierte Betrieb (Reverse Proxy davor) braucht sie also:
+VERTRAUE_PROXY=true
+# Bei mehreren gestaffelten Proxys deren Anzahl. Sonst weglassen.
+# VERTRAUE_PROXY_STUFEN=1
+
 # --- Objektspeicher (S3-kompatibel, EU!) ------------------------------------
 # Wird ab Etappe 3 verwendet. Beispiel: Hetzner Object Storage, Falkenstein.
 # ACHTUNG: Mit dem Anbieter muss ein AV-Vertrag nach Art. 28 DSGVO bestehen.
-S3_ENDPOINT=https://fsn1.your-objectstorage.com
+# Bleibt AUSKOMMENTIERT, solange das mitgelieferte MinIO benutzt wird.
+#
+# Die docker-compose.yml setzt dann von selbst http://minio:9000 - aber
+# nur, wenn die Variable leer ist. Steht hier ein Wert, gewinnt er, und
+# die Anwendung spricht mit einem fremden Host statt mit dem Speicher
+# nebenan. Genau das ist am 31.08.2026 passiert: Jede Ablage scheiterte
+# monatelang mit "NoSuchBucket", und die Zugangs-ID ging bei jedem Versuch
+# nach draussen.
+#
+# Nur setzen, wenn ein EXTERNER Objektspeicher benutzt wird, z.B.:
+# S3_ENDPOINT=https://fsn1.your-objectstorage.com
 S3_REGION=eu-central
 S3_BUCKET=betreuungs-cockpit
 S3_ACCESS_KEY_ID=
 S3_SECRET_ACCESS_KEY=

+# Serverseitige Verschluesselung durch den Anbieter.
+#
+# Bleibt leer, und das ist die richtige Voreinstellung: Die Anwendung
+# verschluesselt jede Datei selbst, bevor sie den Server verlaesst. Eine
+# zweite Lage durch den Anbieter schuetzt vor nichts, was der eigene
+# Umschlag nicht schon abdeckt.
+#
+# Das mitgelieferte MinIO kann sie ohnehin nicht - es laeuft ohne KMS und
+# lehnt jede Ablage mit "NotImplemented" ab, sobald hier etwas steht.
+#
+# Nur setzen, wenn ein externer Anbieter sie ausdruecklich verlangt:
+# S3_SSE=AES256
+
 # --- E-Mail-Erinnerungen (optional, ab Etappe 2) ----------------------------
 SMTP_HOST=
 SMTP_PORT=587
@@ -91,5 +141,5 @@ SMTP_FROM="Betreuungs-Cockpit <cockpit@example.de>"

 # --- Erstanmeldung ----------------------------------------------------------
 # Wird nur vom Seed benutzt, um den ersten Betreuer-Zugang anzulegen.
-SEED_ADMIN_EMAIL=fw@wildeflorian.de
-SEED_ADMIN_PASSWORT=bitte-beim-ersten-login-aendern
+SEED_ADMIN_EMAIL=
+SEED_ADMIN_PASSWORT=
@@ -0,0 +1,32 @@
+# Zeilenenden
+#
+# Im Repository steht ueberall LF, unabhaengig davon, auf welchem System
+# gearbeitet wird. Der Grund ist nicht Geschmack, sondern eine Falle:
+#
+# Solange Dateien gemischt vorliegen, schreibt jedes zeilenweise
+# arbeitende Werkzeug - sed, ein Formatierer, ein Skript - die Datei mit
+# LF zurueck. Der Diff zeigt dann nicht die drei geaenderten Zeilen,
+# sondern die ganze Datei. Genau das ist passiert: 578 Diff-Zeilen statt
+# 8, kurz vor einem Push bemerkt.
+#
+# Nebenwirkung derselben Mischung: "git diff --check" meldet bei
+# CRLF-Dateien jede hinzugefuegte Zeile als "trailing whitespace", weil
+# es das CR so wertet. Damit ist die Pruefung fuer diese Dateien wertlos.
+* text=auto eol=lf
+
+# Shell-Skripte laufen auf dem Server. Ein CRLF im Shebang macht sie
+# unbrauchbar ("bad interpreter"), und der Fehler ist von aussen nicht
+# anzusehen. Deshalb hier ausdruecklich, nicht nur ueber die Regel oben.
+*.sh text eol=lf
+
+# Binaerdateien nie anfassen.
+*.png binary
+*.jpg binary
+*.jpeg binary
+*.gif binary
+*.ico binary
+*.pdf binary
+*.woff binary
+*.woff2 binary
+*.ttf binary
+*.zip binary
@@ -11,6 +11,14 @@ dist/
 next-env.d.ts
 *.tsbuildinfo

+# Eigene Anpassungen der Installation.
+#
+# Docker Compose liest diese Datei automatisch zusaetzlich zur
+# docker-compose.yml. Sie ist der vorgesehene Ort fuer Aenderungen, die ein
+# Update ueberleben sollen: update.sh prueft nur versionierte Dateien
+# (git status --untracked-files=no) und laesst sie deshalb in Ruhe.
+docker-compose.override.yml
+
 # Umgebung - enthaelt Schluessel, gehoert NIE ins Repo
 .env
 .env.local
@@ -26,6 +26,273 @@ Wiederherstellung*.

 _Noch nichts._

+## [1.12.0] – 2026-09-01
+
+Diese Fassung geht aus einer Fehlersuche im laufenden Betrieb hervor. Ein
+Schreiben ließ sich nicht in der Akte ablegen — und hinter derselben
+Meldung lagen nacheinander drei verschiedene Ursachen. Beim Nachsehen kam
+ein vierter Punkt dazu, der schwerer wiegt als alle anderen zusammen.
+
+### Nach dem Update: einmal die Sicherung prüfen
+
+```bash
+docker compose up -d
+docker compose exec sicherung /bin/sh /sicherung.sh
+```
+
+Erwartet werden drei Zeilen: `Datenbank gesichert`, `Dokumente gesichert`
+und `Selbstpruefung bestanden - Datenbank und Dokumente.`
+
+### Behoben
+
+- **Deine Dokumente waren in keiner Sicherung.** Der Sicherungsdienst
+  machte täglich ein `pg_dump` und sonst nichts. Nach einem Plattenschaden
+  wäre die Akte vollständig wiederhergestellt worden — mit allen
+  Einträgen, Verweisen und Prüfsummen, aber ohne eine einzige Datei
+  dahinter. Die Prüfsumme in der Akte hätte dann ein Dokument belegt, das
+  es nicht mehr gibt.
+
+  Je Lauf entstehen jetzt zwei verschlüsselte Dateien mit demselben
+  Zeitstempel — der Datenbankstand und ein Archiv der Dokumente. Beide mit
+  Prüfsumme, beide in der Aufbewahrung, beide in der Selbstprüfung.
+  Schlägt der Dokumententeil fehl, bricht der Lauf ab und räumt den
+  angefangenen Datenbankstand weg: Eine Sicherung, die nur die halbe
+  Wahrheit enthält, aber vollständig aussieht, ist schlimmer als gar
+  keine.
+
+- **Der mitgelieferte Objektspeicher konnte keine Dokumente aufnehmen.**
+  Die Anwendung verlangte bei jeder Ablage serverseitige Verschlüsselung,
+  das mitgelieferte MinIO kann sie ohne Zusatzdienst nicht. Wer der
+  Installationsanleitung folgte, landete zwangsläufig dort. Sie ist jetzt
+  abschaltbar und standardmäßig aus — gebraucht wird sie nicht, weil die
+  Anwendung seit 1.11.0 selbst verschlüsselt.
+
+- **„Das Schreiben konnte nicht abgelegt werden" sagte nichts.** Jetzt
+  steht dort, was los ist: fehlender Ablagebereich mit Verweis auf den
+  Installationsschritt, abgelehnte Zugangsdaten, nicht erreichbarer
+  Speicher. Und in jedem Fall, ob deine Eingaben erhalten bleiben.
+
+- **Zwei Einstellungen erreichten die Anwendung nie.**
+  `ERSTEINRICHTUNG_GEHEIMNIS` und `VERTRAUE_PROXY` standen zwar in der
+  Anleitung, wurden aber nicht an den Behälter durchgereicht. Bei
+  `VERTRAUE_PROXY` fiel das nicht auf: Die Anmeldesperre zählte still eine
+  Dimension weniger.
+
+- **Die Beispielkonfiguration zeigte auf einen fremden Anbieter.**
+  `S3_ENDPOINT` war mit einer externen Adresse vorbelegt und hebelte damit
+  den richtigen Standard aus. Die Zeile ist jetzt auskommentiert.
+
+### Neu
+
+- **Die Anwendung prüft ihre Dateiablage selbst.** Sie schreibt eine
+  winzige Datei, liest sie zurück und räumt sie weg — und beantwortet
+  damit auf einmal, ob der Speicher erreichbar ist, der Ablagebereich
+  existiert und geschrieben werden darf. Das Ergebnis steht unter
+  `/api/gesundheit` und im Log. Bisher fiel eine kaputte Konfiguration
+  erst auf, wenn jemand ein Dokument ablegen wollte.
+
+- **Ein neuer Abschnitt in der Anleitung: „Wo deine Daten liegen".**
+  Die drei Orte, der Pfad auf der Platte, welche Schlüssel unverzichtbar
+  sind — und wie man prüft, ob zu jedem Akteneintrag auch eine Datei
+  gehört.
+
+### Geändert
+
+- **Ausschlussfristen warnen nur noch, wenn sie näherrücken.** Auf dem
+  Dashboard standen dauerhaft drei rote Kästen mit Warndreieck — für
+  Aufwandspauschalen, die 2027, 2028 und 2029 ablaufen. Eine Warnung, die
+  monatelang dasteht und nichts von einem will, stumpft ab; man übersieht
+  die vierte, die etwas will. Ab drei Monaten vor Ablauf meldet sich eine
+  Frist wieder, Versäumtes immer. In der Fristenliste stehen sie
+  unverändert weiter.
+
+## [1.11.0] – 2026-08-24
+
+Diese Fassung geht aus einer Sicherheitsprüfung hervor. Sie ändert nichts
+an der Bedienung, schließt aber mehrere Lücken — darunter drei, bei denen
+im Code eine Zusage stand, die so nicht galt.
+
+### Vor dem Update: zwei neue Zeilen in der `.env`
+
+```bash
+ERSTEINRICHTUNG_GEHEIMNIS=<zufälliger Wert, npm run schluessel erzeugt einen>
+VERTRAUE_PROXY=true
+```
+
+Beide sind nicht zwingend, aber beide haben Folgen, wenn sie fehlen:
+
+- Ohne `ERSTEINRICHTUNG_GEHEIMNIS` läuft alles weiter — nur der **erste**
+  Zugang ließe sich nicht mehr anlegen. Auf einer bestehenden Installation
+  ist das genau richtig; bei einer Neuinstallation brauchst du den Wert.
+- Ohne `VERTRAUE_PROXY=true` zählt die Anmeldesperre nur noch nach
+  E-Mail-Adresse, nicht mehr zusätzlich nach Anschluss. Beim ersten Mal
+  steht eine erklärende Zeile im Log.
+
+### Nach dem Update, nur mit Objektspeicher
+
+Bereits abgelegte Dateien liegen weiter unverschlüsselt, bis sie einmal
+umgeschrieben werden. Lesen funktioniert durchgehend, der Lauf lässt sich
+jederzeit abbrechen und wiederholen:
+
+```bash
+npm run speicher:verschluesseln              # erst schauen
+npm run speicher:verschluesseln -- --anwenden
+```
+
+Wer beim Dateitreiber bleibt, muss nichts tun — dort wurde immer schon
+verschlüsselt.
+
+### Behoben
+
+- **Der zweite Faktor war eine Anzeige, keine Grenze.** „TOTP ist Pflicht"
+  galt nur für Seiten. Server Actions und Downloads liefen daran vorbei:
+  Wer sich mit Passwort angemeldet, die Einrichtung aber nie abgeschlossen
+  hatte, kam an die Daten. Die Prüfung sitzt jetzt an der Stelle, durch die
+  alles muss.
+
+- **Ein Dokumenten-Download fragte nur nach der Anmeldung.** Dieselbe
+  Lücke, an einer Stelle, die bei der ersten Durchsicht übersehen wurde.
+
+- **Die Anmeldesperre sperrte dauerhaft aus.** Jeder Versuch während einer
+  laufenden Sperre verlängerte sie um die volle Dauer. Wer alle zehn
+  Minuten ein falsches Passwort an eine fremde Adresse schickte, sperrte
+  deren Inhaber aus — ohne das Passwort zu kennen. Nebenbei wuchs die
+  Tabelle mit jedem Versuch.
+
+- **Ein Code aus der Authenticator-App galt mehrfach.** Bis zu 90 Sekunden
+  lang ließ sich derselbe Code erneut einlösen — abgelesen, abgefangen
+  oder aus dem Browserverlauf. Jetzt gilt jeder genau einmal.
+
+- **Passkeys ließen sich ohne Rückfrage anlegen und entfernen.** An einem
+  unbeaufsichtigten Rechner waren das zwei Klicks zu einem dauerhaften
+  eigenen Zugang, der auch einen Passwortwechsel überlebt hätte. Jetzt
+  fragt die Anwendung vorher nach Passwort und Code — wie beim Export.
+
+- **Die Ersteinrichtung stand offen.** Zwischen dem ersten Start und dem
+  Anlegen des Zugangs konnte jeder, der die Seite fand, Administrator
+  werden. Zwei gleichzeitige Anfragen legten außerdem beide einen Zugang
+  an.
+
+- **Dateien im Objektspeicher lagen mit dem Schlüssel des Anbieters da.**
+  Gegen eine verlorene Festplatte im Rechenzentrum half das, gegen den
+  Anbieter und gegen gestohlene Zugangsdaten zum Speicher nicht. Jetzt
+  liegt derselbe Umschlag darum wie bei der Ablage auf dem eigenen Server,
+  mit einem Schlüssel, der die Anwendung nie verlässt.
+
+- **Ein präpariertes PDF konnte den Server umbringen.** Beim Auslesen des
+  eingebetteten Texts gab es keine Obergrenze: Wenige Kilobyte Füllung
+  blähen sich beim Auspacken auf Gigabyte auf. Ebenso beim Umwandeln in
+  Bilder — die Seitengröße steht im Dokument, und bei fester Auflösung
+  ergab eine künstlich große Seite ein Bild von mehreren Gigabyte.
+
+- **32 Schwachstellen in mitgelieferten Paketen, davon 5 kritische.**
+  Jetzt keine.
+
+### Geändert
+
+- **Downloads laufen jetzt immer über die Anwendung**, auch mit
+  Objektspeicher. Das ist die Folge der Verschlüsselung — entschlüsseln
+  kann nur die Anwendung. Nebeneffekt: Jeder Abruf prüft die Berechtigung
+  und wird protokolliert. Ein weitergeleiteter Link allein öffnet nichts
+  mehr.
+
+- **`docs/SICHERHEIT.md`** ist neu: Bedrohungsmodell, der Durchgang entlang
+  der OWASP Top 10 — und ein Abschnitt darüber, was ausdrücklich **nicht**
+  geschützt ist.
+
+## [1.10.2] – 2026-08-24
+
+### Behoben
+
+- **Das Update brach ohne Meldung ab.** Beim Sprung von 1.5.0 auf 1.10.1
+  endete `scripts/update.sh` mitten in der Ausgabe — kein Fehler, keine
+  Zeile, einfach zurück zur Eingabeaufforderung. Ursache war eine
+  abgeschnittene Leitung:
+
+  ```
+  git log --oneline "HEAD..$ZIEL" | head -15 | sed ...
+  ```
+
+  `head` schließt die Leitung nach 15 Zeilen, `git log` schreibt weiter
+  und bekommt SIGPIPE. Weil das Skript mit `set -o pipefail` und
+  `set -e` läuft, gilt die ganze Kette als gescheitert und das Skript
+  beendet sich — stumm.
+
+  Das ist zeitabhängig und deshalb monatelang nicht aufgefallen: Solange
+  `git log` fertig war, bevor `head` zumachte, ging alles gut. Genau bei
+  1.10.0 lagen zum ersten Mal **mehr als 15 Commits** dazwischen.
+
+- **Dieselbe Falle in der Selbstprüfung der Sicherung.** `sicherung.sh`
+  prüfte mit `openssl … | head -c 5 | grep -q "PGDMP"`, ob sich die
+  frische Sicherung wieder entschlüsseln lässt. Bei kleiner Datenbank
+  ging das gut, weil alles im Puffer stand. Mit wachsender Datenbank
+  hätte es gekippt — und dann hätte das Skript eine **völlig intakte
+  Sicherung als kaputt gemeldet** und das Update verweigert.
+
+### Geändert
+
+- **Ein stummer Abbruch ist nicht mehr möglich.** `update.sh` meldet
+  jetzt bei jedem unerwarteten Ende die Zeilennummer und den Exitcode,
+  und erklärt bei 141 ausdrücklich, dass es sich um SIGPIPE handelt und
+  um einen Fehler im Skript, nicht um einen Bedienfehler.
+- Stehen mehr als 15 Commits an, steht jetzt „… und N weitere" darunter,
+  statt sie wortlos wegzulassen.
+
+### Geprüft
+
+- Ein Test verbietet das Muster künftig in allen Betriebsskripten:
+  Wer wieder `| head` in eine Leitung schreibt, bekommt die Zeilennummer
+  genannt. Gegenprobe gemacht — der Test schlägt an.
+- Der Ablauf von 1.5.0 auf 1.10.1 einmal nachgestellt: läuft durch.
+
+## [1.10.1] – 2026-08-23
+
+### Geändert
+
+- **Der Beispielfall hat jetzt ein Jahr Kontobewegungen**
+  ([#22](https://git.wilde-server.de/florian.wilde/betreuungs-cockpit/issues/22)).
+  Bisher brachte er Konten und Kontostände mit, aber keine einzige
+  Buchung — Kassenbuch, Belegpflicht, Dauerzahlungen und die Erkennung
+  wiederkehrender Zahlungen liefen darin also leer. Wer die Anwendung zum
+  ersten Mal ansah, musste erst eine CSV importieren.
+
+  Neu sind 107 Buchungen über zwölf Monate: Rente, Betriebsrente und
+  Pflegekasse als Einnahmen, Heimentgelt, Barbetrag, Sterbegeldbeitrag,
+  Telefon und Kontoführung als monatliche Ausgaben, dazu Rundfunkbeitrag
+  und Grundsteuer vierteljährlich sowie eine Handvoll Einzelposten.
+
+  Das betrifft nur neue Installationen mit `SEED_DEMO=true` — an einem
+  bestehenden Bestand ändert sich nichts.
+
+### Behoben
+
+- **„gGmbH" wurde nicht als Rechtsform erkannt.** Beim Zusammenfassen
+  wiederkehrender Zahlungen galten „Seniorenzentrum St. Katharina" und
+  „Seniorenzentrum St. Katharina gGmbH" als zwei verschiedene Empfänger —
+  und damit zerfiel die Gruppe genau dort, wo sie am meisten zählt: Heime,
+  Sozialdienste und Träger sind fast durchweg gGmbH.
+
+### Was der Beispielfall jetzt zeigt
+
+- Das Heimentgelt steht in **drei Schreibweisen** auf dem Auszug und wird
+  trotzdem als eine monatliche Zahlung von 2.489 € geführt.
+- Genau **eine** Buchung hat weder Quittung noch Begründung — damit die
+  Belegpflicht etwas zu zeigen hat, aber die Liste nicht rot leuchtet.
+- Die Sterbegeld-Lastschriften sind bewusst **nicht** zugeordnet: So lässt
+  sich der Handgriff „zwölf Zahlungen als belegt zuordnen" ausprobieren.
+  Der Beitrag steigt im Mai von 18,40 € auf 19,80 €, damit auch die
+  Abweichungsprüfung sichtbar wird.
+- Der Kontostand zum 31.07.2026 wird aus dem Anfangsstand und den
+  Buchungen **gerechnet**, nicht behauptet. Ein Beispielfall, der sich
+  selbst widerspricht, wäre schlimmer als einer ohne Buchungen.
+
+### Geprüft
+
+- Ein Einheitstest für die gGmbH-Erkennung.
+- Vier End-to-End-Tests am Beispielfall: Umfang und Zeitraum der
+  Buchungen, die Übereinstimmung von Kontostand und Buchungssumme, die
+  erkannten Zahlungsgruppen und das Kassenbuch.
+
 ## [1.10.0] – 2026-08-23

 ### Hinzugefügt
@@ -1078,7 +1345,11 @@ Was davon wann angegangen wird, steht in [`docs/ROADMAP.md`](docs/ROADMAP.md).

 ---

-[Unveröffentlicht]: https://git.wilde-server.de/florian.wilde/betreuungs-cockpit/compare/v1.10.0...HEAD
+[Unveröffentlicht]: https://git.wilde-server.de/florian.wilde/betreuungs-cockpit/compare/v1.12.0...HEAD
+[1.12.0]: https://git.wilde-server.de/florian.wilde/betreuungs-cockpit/compare/v1.11.0...v1.12.0
+[1.11.0]: https://git.wilde-server.de/florian.wilde/betreuungs-cockpit/compare/v1.10.2...v1.11.0
+[1.10.2]: https://git.wilde-server.de/florian.wilde/betreuungs-cockpit/compare/v1.10.1...v1.10.2
+[1.10.1]: https://git.wilde-server.de/florian.wilde/betreuungs-cockpit/compare/v1.10.0...v1.10.1
 [1.10.0]: https://git.wilde-server.de/florian.wilde/betreuungs-cockpit/compare/v1.9.0...v1.10.0
 [1.9.0]: https://git.wilde-server.de/florian.wilde/betreuungs-cockpit/compare/v1.8.0...v1.9.0
 [1.8.0]: https://git.wilde-server.de/florian.wilde/betreuungs-cockpit/compare/v1.7.0...v1.8.0
@@ -93,6 +93,15 @@ services:
      AUTH_SECRET: ${AUTH_SECRET:?AUTH_SECRET fehlt in der .env}
      AUTH_URL: ${AUTH_URL:?AUTH_URL fehlt in der .env}
      AUTH_TRUST_HOST: 'true'
+      # Ohne diesen Wert laesst sich der erste Zugang nicht anlegen - siehe
+      # src/server/actions/ersteinrichtung.ts. Leer heisst: gesperrt.
+      ERSTEINRICHTUNG_GEHEIMNIS: ${ERSTEINRICHTUNG_GEHEIMNIS:-}
+      # Bewusst OHNE Vorgabe "true": Die strengere Einstellung bleibt die
+      # Voreinstellung. Wer einen Reverse Proxy davorstellt - der
+      # dokumentierte Betrieb tut das -, sagt es in der .env ausdruecklich.
+      # Ohne den Wert zaehlt die Anmeldesperre nur nach E-Mail-Adresse.
+      VERTRAUE_PROXY: ${VERTRAUE_PROXY:-}
+      VERTRAUE_PROXY_STUFEN: ${VERTRAUE_PROXY_STUFEN:-}
      ENC_KEY_V1: ${ENC_KEY_V1:?ENC_KEY_V1 fehlt in der .env - ohne ihn sind die verschluesselten Felder nicht lesbar}
      # Bleibt leer, solange nicht rotiert wird. Die Anwendung ueberspringt
      # leere Schluesselvariablen - siehe src/lib/env.ts.
@@ -110,6 +119,9 @@ services:
      S3_BUCKET: ${S3_BUCKET:-betreuungs-cockpit}
      S3_ACCESS_KEY_ID: ${S3_ACCESS_KEY_ID}
      S3_SECRET_ACCESS_KEY: ${S3_SECRET_ACCESS_KEY}
+      # Leer lassen. Das mitgelieferte MinIO laeuft ohne KMS und lehnt jede
+      # Ablage ab, sobald hier etwas steht - siehe .env.example.
+      S3_SSE: ${S3_SSE:-}
      UPLOAD_MAX_BYTES: ${UPLOAD_MAX_BYTES:-26214400}
      OCR_AKTIV: ${OCR_AKTIV:-true}
      SMTP_HOST: ${SMTP_HOST:-}
@@ -155,9 +167,20 @@ services:
      PGDATABASE: ${POSTGRES_DB:-betreuungs_cockpit}
      SICHERUNG_PASSWORT: ${SICHERUNG_PASSWORT:?SICHERUNG_PASSWORT fehlt in der .env}
      SICHERUNG_AUFBEWAHRUNG_TAGE: ${SICHERUNG_AUFBEWAHRUNG_TAGE:-30}
+      SICHERUNG_DOKUMENTE_QUELLE: /dokumente
      TZ: Europe/Berlin
    volumes:
      - ./backups:/backups
+      # Die Dokumente, ausdruecklich NUR LESEND.
+      #
+      # Der Sicherungsdienst laeuft unbeaufsichtigt per cron. Ein Dienst,
+      # der die Daten zerstoeren kann, die er sichern soll, ist ein Risiko
+      # ohne Gegenwert - ein Fehler im Skript oder ein kompromittierter
+      # Behaelter wuerde beides auf einmal treffen.
+      #
+      # Zurueckspielen geschieht deshalb nicht hierher, sondern in ein
+      # Verzeichnis unter ./backups; siehe scripts/wiederherstellung.sh.
+      - minio-daten:/dokumente:ro
      - ./scripts/sicherung.sh:/sicherung.sh:ro
      - ./scripts/wiederherstellung.sh:/wiederherstellung.sh:ro
    entrypoint: ['/bin/sh', '-c']
@@ -34,6 +34,7 @@ durchgeht — dann weißt du im Fehlerfall genau, wo es hakt.
 - [Schritt 9 — Sicherung prüfen](#schritt-9--sicherung-prüfen)
 - [Schritt 10 — Wartungslauf einrichten](#schritt-10--wartungslauf-einrichten)
 - [Schritt 11 — Schlüssel in Sicherheit bringen](#schritt-11--schlüssel-in-sicherheit-bringen)
+- [Wo deine Daten liegen](#wo-deine-daten-liegen)
 - [Aktualisieren](#aktualisieren)
 - [Wenn etwas nicht klappt](#wenn-etwas-nicht-klappt)
 - [Abnahmeliste](#abnahmeliste)
@@ -131,14 +132,14 @@ cd /opt/betreuungs-cockpit

 # Auf die letzte veröffentlichte Fassung wechseln,
 # nicht auf den laufenden Entwicklungsstand
-git checkout v1.10.0
+git checkout v1.10.2
 ```

 ### Kontrolle

 ```bash
 ls docker-compose.yml Dockerfile .env.example   # alle drei da
-git describe --tags                              # v1.10.0
+git describe --tags                              # v1.10.2
 ```

 ---
@@ -156,6 +157,7 @@ const w = n => b(n).replace(/[+/=]/g,'x');
 console.log('AUTH_SECRET=' + b(32));
 console.log('ENC_KEY_V1=' + b(32));
 console.log('INDEX_KEY=' + b(32));
+console.log('ERSTEINRICHTUNG_GEHEIMNIS=' + w(24));
 console.log('POSTGRES_PASSWORD=' + w(24));
 console.log('SICHERUNG_PASSWORT=' + w(24));
 console.log('S3_ACCESS_KEY_ID=' + w(12));
@@ -183,6 +185,13 @@ cp .env.example .env
 nano .env
 ```

+> **Die `.env` allein genügt nicht.** Die `docker-compose.yml` reicht die
+> Werte einzeln an den Behälter durch — sie hat kein `env_file:`. Ein
+> selbst ergänzter Wert, der dort nicht aufgeführt ist, erreicht die
+> Anwendung nicht, auch wenn er in der `.env` steht. Alle hier
+> beschriebenen Werte sind eingetragen; ein Test wacht darüber
+> (`tests/umgebung-durchreichen.test.ts`).
+
 Diese Werte **musst** du setzen:

 ```bash
@@ -192,7 +201,15 @@ POSTGRES_PASSWORD=<aus Schritt 2>
 # --- Anmeldung ---
 AUTH_SECRET=<aus Schritt 2>
 AUTH_URL=https://cockpit.deine-domain.de      # exakt deine Adresse, mit https
-AUTH_TRUST_HOST=true
+
+# Ohne diesen Wert laesst sich der erste Zugang nicht anlegen. Absicht:
+# sonst steht die Einrichtungsseite bis zum ersten Anlegen fuer jeden offen.
+ERSTEINRICHTUNG_GEHEIMNIS=<aus Schritt 2>
+
+# Ein Reverse Proxy steht davor (Schritt 7). Nur damit wird der
+# weitergereichte Kopf geglaubt, aus dem die Anmeldesperre den Anschluss
+# liest. Ohne die Zeile zaehlt sie nur nach E-Mail-Adresse.
+VERTRAUE_PROXY=true

 # --- Verschlüsselung ---
 ENC_KEY_V1=<aus Schritt 2>
@@ -202,6 +219,9 @@ INDEX_KEY=<aus Schritt 2>
 # --- Objektspeicher ---
 S3_ACCESS_KEY_ID=<aus Schritt 2>
 S3_SECRET_ACCESS_KEY=<aus Schritt 2>
+# S3_ENDPOINT bleibt AUSKOMMENTIERT, solange du das mitgelieferte MinIO
+# benutzt. Nur dann setzt die docker-compose.yml von selbst
+# http://minio:9000 - steht dort ein Wert, gewinnt er.

 # --- Sicherung ---
 SICHERUNG_PASSWORT=<aus Schritt 2>
@@ -258,12 +278,16 @@ chmod 600 .env

 ```bash
 # Sind alle Pflichtwerte gefüllt? Zeigt nur die Namen, nicht die Werte.
-grep -E '^(POSTGRES_PASSWORD|AUTH_SECRET|AUTH_URL|ENC_KEY_V1|INDEX_KEY|S3_ACCESS_KEY_ID|S3_SECRET_ACCESS_KEY|SICHERUNG_PASSWORT)=.+' .env \
+grep -E '^(POSTGRES_PASSWORD|AUTH_SECRET|AUTH_URL|ERSTEINRICHTUNG_GEHEIMNIS|VERTRAUE_PROXY|ENC_KEY_V1|INDEX_KEY|S3_ACCESS_KEY_ID|S3_SECRET_ACCESS_KEY|SICHERUNG_PASSWORT)=.+' .env \
  | sed 's/=.*/ = gesetzt/'
 ```

-Acht Zeilen müssen erscheinen. Fehlt eine, startet die Anwendung nicht —
-und sagt dir beim Start auch, welche.
+Zehn Zeilen müssen erscheinen. Fehlt eine, startet die Anwendung nicht —
+und sagt dir beim Start auch, welche. Zwei Ausnahmen: Fehlt
+`ERSTEINRICHTUNG_GEHEIMNIS`, startet die Anwendung, aber der erste Zugang
+lässt sich nicht anlegen. Fehlt `VERTRAUE_PROXY`, läuft alles — die
+Anmeldesperre zählt dann nur nach E-Mail-Adresse und schreibt beim ersten
+Mal eine Zeile ins Log.

 ---

@@ -299,7 +323,8 @@ betreuungs-cockpit-sicherung-1  Up
 ```bash
 # Antwortet die Anwendung? (Port anpassen, falls du APP_PORT gesetzt hast)
 curl -s http://127.0.0.1:3000/api/gesundheit
-# {"status":"bereit","version":"1.10.0","commit":"..."}
+# {"status":"bereit","version":"1.12.0","commit":"...",
+#  "speicher":{"status":"bereit","treiber":"s3"}}
 ```

 Kommt hier nichts, sieh in die Logs:
@@ -351,20 +376,42 @@ nichts kaputtmacht.
 Der Objektspeicher braucht einen Ablagebereich für die Dokumente:

 ```bash
-set -a && source .env && set +a
-
-docker compose exec minio mc alias set lokal \
-  http://localhost:9000 "$S3_ACCESS_KEY_ID" "$S3_SECRET_ACCESS_KEY"
-
-docker compose exec minio mc mb lokal/betreuungs-cockpit
+docker compose exec minio sh -c '
+  mc alias set lokal http://localhost:9000 "$MINIO_ROOT_USER" "$MINIO_ROOT_PASSWORD" >/dev/null &&
+  mc mb "lokal/$S3_BUCKET" 2>/dev/null || true
+  mc ls lokal
+'
 ```

-### Kontrolle
+Es muss eine Zeile mit dem Namen deines Ablagebereichs erscheinen —
+standardmäßig `betreuungs-cockpit/`.

-```bash
-docker compose exec minio mc ls lokal
-# [...] betreuungs-cockpit/
-```
+> **Warum der Befehl so umständlich aussieht.** Er holt die Zugangsdaten
+> aus den Variablen, die im MinIO-Behälter ohnehin stehen. Das hat drei
+> Gründe, und jeder davon hat schon einmal Zeit gekostet:
+>
+> 1. **Kein Passwort in der Befehlszeile** — es stünde sonst in der
+>    Verlaufsdatei deiner Shell.
+> 2. **Kein `source .env`** — exportierte Werte haben Vorrang vor der
+>    `.env`-Datei und überstimmen danach *jedes* `docker compose up`. Wer
+>    später die `.env` ändert und neu startet, sieht keine Wirkung und
+>    sucht den Fehler überall, nur nicht in der eigenen Shell.
+> 3. **Der Alias überlebt kein Neuerstellen.** `mc alias set` schreibt
+>    nach `/root/.mc` **im Behälter**. Nach jedem `docker compose up -d
+>    minio` ist er weg, und `mc ls lokal` liefert dann kommentarlos nichts
+>    — man hält seine Dokumente für verschwunden. Deshalb setzt jeder
+>    Aufruf den Alias selbst.
+>
+> Der Bucket-Name kommt aus `$S3_BUCKET` und ist nicht fest verdrahtet:
+> Sonst zeigen Anwendung und Ablagebereich aneinander vorbei, sobald
+> jemand den Namen ändert.
+
+> **Serverseitige Verschlüsselung?** Brauchst du nicht. Die Anwendung
+> verschlüsselt jede Datei selbst, bevor sie den Server verlässt — mit
+> `ENC_KEY_V1`, der den Anbieter nie erreicht. Das mitgelieferte MinIO
+> läuft ohne KMS und würde jede Ablage ablehnen, sobald `S3_SSE` in der
+> `.env` steht. Setz den Wert nur, wenn ein externer Anbieter ihn
+> ausdrücklich verlangt.

 > **Externer Objektspeicher statt MinIO?** Wenn du einen S3-Dienst in der
 > EU benutzt (z. B. Hetzner Object Storage, Falkenstein), streich den
@@ -375,6 +422,21 @@ docker compose exec minio mc ls lokal

 ---

+> **Der Abschnitt `speicher`** sagt, ob die Dateiablage benutzbar ist:
+> erreichbar, Ablagebereich vorhanden, Schreibrecht da. Steht dort
+> `gestoert`, lässt sich kein Dokument ablegen — alles andere funktioniert
+> weiter. Die Erklärung steht im Log:
+>
+> ```bash
+> docker compose logs app | grep '\[speicher\]'
+> ```
+>
+> Geprüft wird beim ersten Aufruf dieser Adresse und danach höchstens alle
+> fünf Minuten. Der Healthcheck ruft sie ohnehin auf, die Zeile steht also
+> kurz nach dem Start im Log.
+
+---
+
 ## Schritt 7 — In den Reverse Proxy eintragen

 Der Proxy steht auf einem **anderen Server**. Damit sind zwei Dinge zu
@@ -649,7 +711,7 @@ Erst **vom Proxy-Server aus** — kommt er überhaupt an?

 ```bash
 curl -s http://10.0.0.5:3000/api/gesundheit
-# {"status":"bereit","version":"1.10.0",...}
+# {"status":"bereit","version":"1.10.2",...}
 ```

 Kommt hier nichts, liegt es an 7a: falsche `APP_BIND`, Firewall, oder der
@@ -700,7 +762,7 @@ Zum Schluss: **Fristen → Pflichtfristen ableiten**.
 - Du kommst mit E-Mail, Passwort und dem Code aus der App herein.
 - Unter **Fristen** stehen Einträge mit Paragraphenbezug.
 - Unter **Protokoll** siehst du deine eigene Anmeldung.
- Unten links in der Seitenleiste steht `Version 1.10.0 · <commit>`.
+- Unten links in der Seitenleiste steht `Version 1.10.2 · <commit>`.

 ---

@@ -718,13 +780,19 @@ Erwartete Ausgabe, in dieser Reihenfolge:

 ```
 Sicherung beginnt: /backups/cockpit_2026-08-22_1430.dump.enc
-Sicherung fertig (1.2M)
-Selbstpruefung bestanden.
+Datenbank gesichert (1.2M)
+Dokumente gesichert (18M)
+Selbstpruefung bestanden - Datenbank und Dokumente.
 ```

 Die **Selbstprüfung** ist der eigentliche Punkt: Das Skript entschlüsselt
-die eben geschriebene Datei sofort wieder. Schlägt das fehl, endet der
-Lauf mit einem Fehler statt mit einem stillen Scheinerfolg.
+beide Dateien sofort wieder und liest sie einmal durch. Schlägt das fehl,
+endet der Lauf mit einem Fehler statt mit einem stillen Scheinerfolg.
+
+Fehlt die Zeile `Dokumente gesichert`, ist das Ablageverzeichnis nicht in
+den Sicherungsdienst eingehängt. Das Skript bricht dann ab und räumt den
+angefangenen Datenbankstand wieder weg — eine Sicherung, die nur die halbe
+Wahrheit enthält, aber vollständig aussieht, wäre schlimmer als gar keine.

 ### Und jetzt einmal zurückspielen

@@ -747,6 +815,25 @@ docker compose exec db psql -U cockpit probe \
 docker compose exec db dropdb -U cockpit probe
 ```

+Beim Zurückspielen packt das Skript auch das Dokumentenarchiv aus — nach
+`backups/dokumente-wiederhergestellt_<datum>/`. An ihren Platz schreibt es
+die Dateien **nicht**: Der Sicherungsdienst hat auf das Ablageverzeichnis
+bewusst nur Lesezugriff, und in ein laufendes MinIO hineinzuschreiben würde
+dessen Datenbestand beschädigen. Wie der letzte Handgriff aussieht, gibt
+das Skript am Ende selbst aus.
+
+Für die Übung genügt ein Blick in das ausgepackte Verzeichnis:
+
+```bash
+find backups/dokumente-wiederhergestellt_*/ -type f | head
+rm -rf backups/dokumente-wiederhergestellt_*
+```
+
+> **Im Ernstfall gehört beides zusammen.** Eine Datenbank ohne die
+> zugehörigen Dateien ergibt eine Akte, deren Prüfsummen Dokumente
+> belegen, die es nicht mehr gibt. Spiel immer das Paar mit demselben
+> Zeitstempel zurück.
+
 ### Kontrolle

 ```bash
@@ -754,12 +841,18 @@ ls -lh backups/
 # cockpit_....dump.enc  und  cockpit_....dump.enc.sha256
 ```

-> **Was das Backup nicht enthält:** den Schlüssel `ENC_KEY_V1` und die
-> Dateien im Objektspeicher. Für die Dateien:
+> **Was das Backup enthält:** die Datenbank *und* die Dokumente. Je Lauf
+> entstehen zwei verschlüsselte Dateien mit demselben Zeitstempel:
 >
-> ```bash
-> docker compose exec minio mc mirror lokal/betreuungs-cockpit /backups/dokumente
 > ```
+> cockpit_2026-09-01_0315.dump.enc        <- Akte, Fristen, Buchungen
+> dokumente_2026-09-01_0315.tar.gz.enc    <- Bescheide, Schreiben, Belege
+> ```
+>
+> **Was es nicht enthält:** den Schlüssel `ENC_KEY_V1`. Ohne ihn bleiben
+> auch aus einer vollständig zurückgespielten Sicherung die Diagnosen,
+> IBANs, Notizen und Dokumente unlesbar. Er gehört an die zwei Orte aus
+> Schritt 11.
 >
 > Und kopier die Sicherungen regelmäßig **weg vom Server** — ein Backup,
 > das neben dem Original liegt, hilft bei einem Serverausfall nicht.
@@ -836,6 +929,105 @@ Denk an die letzten Pflichten:

 ---

+## Wo deine Daten liegen
+
+Drei Orte, und keiner davon ist ein Ordner, den du einfach öffnest.
+
+| Was | Wo | In der täglichen Sicherung? |
+|---|---|---|
+| **Dokumente** (Bescheide, Schreiben, Belege) | Docker-Volume `minio-daten` | ja |
+| **Datenbank** (Akte, Fristen, Buchungen) | Docker-Volume `postgres-daten` | ja |
+| **Sicherungen** | `./backups` neben der `docker-compose.yml` | — |
+
+### Den Pfad auf der Platte finden
+
+```bash
+docker volume inspect betreuungs-cockpit_minio-daten --format '{{.Mountpoint}}'
+# /var/lib/docker/volumes/betreuungs-cockpit_minio-daten/_data
+```
+
+Heißt dein Projektverzeichnis anders, heißen auch die Volumes anders —
+Docker stellt den Verzeichnisnamen voran:
+
+```bash
+docker volume ls | grep -E "minio-daten|postgres-daten"
+```
+
+> **Dort hineinzusehen bringt nichts.** MinIO legt jedes Dokument als
+> eigenes Verzeichnis mit Metadatei und Datenteilen ab, und der Inhalt ist
+> verschlüsselt. Du fändest dort keine anklickbaren PDFs, sondern
+> Fragmente. Wer die Dokumente sehen will, nimmt die Anwendung.
+
+### Nachsehen, was abgelegt ist
+
+```bash
+docker compose exec minio sh -c '
+  mc alias set lokal http://localhost:9000 "$MINIO_ROOT_USER" "$MINIO_ROOT_PASSWORD" >/dev/null &&
+  mc ls --recursive "lokal/$S3_BUCKET"
+'
+```
+
+Je Dokument eine Zeile unter `betreute/<id>/dokumente/<uuid>.pdf`.
+
+### Prüfen, ob Akte und Speicher übereinstimmen
+
+Die wichtigste Kontrolle: Zu **jedem** Eintrag in der Akte muss eine Datei
+gehören. Fehlt sie, belegt eine Prüfsumme ein Dokument, das es nicht mehr
+gibt — gegenüber dem Betreuungsgericht der schlechteste Zustand.
+
+```bash
+docker compose exec -T db sh -c 'psql -U "$POSTGRES_USER" -d "$POSTGRES_DB" -At -c "SELECT \"objektSchluessel\" FROM dokument WHERE \"geloeschtAm\" IS NULL ORDER BY 1;"' | sort > /tmp/erwartet.txt
+
+docker compose exec minio sh -c '
+  mc alias set lokal http://localhost:9000 "$MINIO_ROOT_USER" "$MINIO_ROOT_PASSWORD" >/dev/null &&
+  mc ls --recursive "lokal/$S3_BUCKET"
+' | awk '{print $NF}' | sort > /tmp/vorhanden.txt
+
+echo "In der Akte: $(wc -l < /tmp/erwartet.txt)  Im Speicher: $(wc -l < /tmp/vorhanden.txt)"
+echo "--- Fehlt im Speicher (Handlungsbedarf): ---"
+comm -23 /tmp/erwartet.txt /tmp/vorhanden.txt
+echo "--- Verwaist im Speicher (harmlos): ---"
+comm -13 /tmp/erwartet.txt /tmp/vorhanden.txt
+```
+
+Beide Zahlen gleich und beide Listen leer — dann passt es.
+
+Ein Eintrag unter *„Fehlt im Speicher"* ist ein Akteneintrag ohne Datei.
+Er entsteht, wenn eine Ablage scheitert. Solche Einträge löschen und das
+Dokument neu anlegen.
+
+### Ohne welche Schlüssel nichts davon lesbar ist
+
+| Schlüssel | Ohne ihn |
+|---|---|
+| `ENC_KEY_V1` | Diagnosen, IBANs, Notizen und alle Dokumente bleiben unlesbar — auch aus jeder Sicherung |
+| `SICHERUNG_PASSWORT` | keine Sicherung lässt sich öffnen |
+| `MINIO_KMS_SECRET_KEY` | nur falls gesetzt: MinIO gibt die Objekte nicht mehr heraus |
+
+Alle gehören an die zwei Orte aus Schritt 11, und keiner davon ist dieser
+Server.
+
+### Eigene Anpassungen, die ein Update überleben
+
+Änderungen an der `docker-compose.yml` legt `scripts/update.sh` bei jedem
+Update per `git stash` beiseite — sie sind versioniert. Wer etwas dauerhaft
+ändern will, legt stattdessen eine **`docker-compose.override.yml`**
+daneben:
+
+```yaml
+services:
+  app:
+    environment:
+      EIGENER_WERT: ${EIGENER_WERT:-}
+```
+
+Docker Compose liest sie automatisch mit. `update.sh` prüft nur
+versionierte Dateien (`git status --untracked-files=no`) und lässt sie
+deshalb unangetastet.
+
+---
+
+
 ## Aktualisieren

 ```bash
@@ -875,7 +1067,7 @@ alles so vor wie zuvor.
 | Aufruf | Wirkung |
 |---|---|
 | `./scripts/update.sh` | auf die neueste veröffentlichte Fassung |
-| `./scripts/update.sh v1.10.0` | auf eine bestimmte Fassung |
+| `./scripts/update.sh v1.10.2` | auf eine bestimmte Fassung |
 | `./scripts/update.sh --pruefen` | nur nachsehen, nichts ändern |
 | `./scripts/update.sh --ja` | ohne Rückfrage (für cron) |
 | `./scripts/update.sh --verwerfen` | eigene Änderungen wegwerfen statt beiseitelegen |
@@ -913,7 +1105,7 @@ git fetch --tags
 git log --oneline HEAD..origin/main

 # 3. Umschalten
-git checkout v1.10.0
+git checkout v1.10.2

 # 4. Neu bauen und starten
 GIT_COMMIT=$(git rev-parse --short HEAD) BUILD_ZEIT=$(date -Iseconds) docker compose up -d --build
@@ -9,7 +9,7 @@ Zeit spart. Er steht weit unten, wenn er nur schön wäre.
 Diese Datei ist eine Absichtserklärung, kein Vertrag. Was sich im Betrieb
 als wichtiger herausstellt, rutscht nach oben.

-Stand: 23.08.2026 · Aktuelle Fassung: **1.10.0** ([CHANGELOG](../CHANGELOG.md))
+Stand: 23.08.2026 · Aktuelle Fassung: **1.10.2** ([CHANGELOG](../CHANGELOG.md))

 ---

@@ -0,0 +1,168 @@
+# Sicherheit
+
+Was in dieser Anwendung gegen welche Bedrohung steht — und was
+ausdrücklich **nicht**. Der zweite Teil ist der wichtigere: Eine Zusage,
+die nicht gilt, ist gefährlicher als eine fehlende, weil man sich auf sie
+verlässt.
+
+Stand: v1.11.0. Die Fassung entstand beim Abarbeiten von Issue #38
+(Sicherheitsprüfung durch ein zweites Modell) und dem eigenen Durchgang
+entlang der OWASP Top 10 (2021).
+
+---
+
+## Das Bedrohungsmodell
+
+Eine ehrenamtliche rechtliche Betreuung. Ein Benutzer, eine betreute
+Person, ein kleiner Server hinter einem Reverse Proxy. In der Datenbank
+liegen Gesundheitsdaten (Art. 9 DSGVO), Kontobewegungen und
+Vermögensverzeichnisse.
+
+Nach Wahrscheinlichkeit geordnet:
+
+| Was | Wie wahrscheinlich | Was dagegen steht |
+|---|---|---|
+| Offene Sitzung an einem unbeaufsichtigten Rechner | hoch | Abmeldung nach 30 min Leerlauf; erneute Bestätigung vor Export, Löschen, Benutzer- und Passkey-Verwaltung |
+| Verlorenes oder gestohlenes Gerät | mittel | Zweiter Faktor ist Pflicht; Passkeys verlangen Nutzerverifikation |
+| Kopiertes Backup, falsch gerechtetes Verzeichnis | mittel | Feldverschlüsselung (AES-256-GCM), Dateien im Umschlag, Schlüssel nur in der Umgebung |
+| Zugangsdaten zum Objektspeicher abhandengekommen | mittel | Objekte liegen verschlüsselt, an ihren Ablageort gebunden |
+| Raten von Passwörtern über das Formular | mittel | Anmeldesperre nach E-Mail **und** Anschluss, Argon2id |
+| Einbruch in den Server selbst | gering | Kaum etwas — wer dort Wurzelrechte hat, hat die Schlüssel |
+
+Der letzte Punkt ist keine Nachlässigkeit, sondern eine Grenze: Die
+Anwendung braucht die Schlüssel zur Laufzeit. Wer den Prozess kontrolliert,
+kommt an sie heran. Dagegen hilft Betriebssicherheit, kein Anwendungscode.
+
+---
+
+## Was ausdrücklich nicht geschützt ist
+
+- **Der Server selbst.** Siehe oben.
+- **Metadaten in der Datenbank.** Verschlüsselt sind einzelne Felder —
+  Diagnosen, IBANs, Verwendungszwecke, Notizen. Dass es einen Vorgang
+  „Betreuungsgericht" gibt und wann er angelegt wurde, steht im Klartext.
+  Sonst ließe sich nichts mehr sortieren oder filtern.
+- **Symlinks im Ablageverzeichnis.** `resolve()` folgt keinen Links. Wer
+  dort einen anlegen kann, hat bereits Schreibrechte im Datenverzeichnis —
+  dann ist der Umweg über einen Link die geringste Sorge. Bis v1.10.2 stand
+  im Code das Gegenteil; der Satz ist entfernt.
+- **Die Middleware prüft keine Anmeldung.** Sie setzt Kopfzeilen, mehr
+  nicht. Der Zugriffsschutz sitzt in `src/lib/auth/sitzung.ts`, und nur
+  dort. Bis v1.10.2 behauptete ein Kommentar das Gegenteil.
+- **Verfügbarkeit.** Es gibt keinen Schutz gegen jemanden, der den Server
+  mit Anfragen überzieht. Bei einem Nutzer hinter einem Proxy ist das die
+  Aufgabe des Proxys.
+
+---
+
+## Der Durchgang entlang der OWASP Top 10 (2021)
+
+### A01 Broken Access Control
+
+Jede Server Action und jede Seite geht durch `erfordereZugang()`, das
+zeilenweise gegen die `betreuteId` prüft — nie nur im UI ausgeblendet.
+Fremdschlüssel aus Formularen werden über `src/lib/auth/verweise.ts`
+geprüft; ein verändertes Auswahlfeld kann keine fremde Akte verknüpfen
+(e2e-Test `fremdakte.spec.ts`).
+
+Weiterleitungsziele laufen durch `sicheresZiel()` — kein offener Redirect.
+
+**Behoben in dieser Runde:** Die MFA-Pflicht galt nur für Seiten, nicht
+für Server Actions und Route Handler. Sie steckt jetzt in
+`erfordereBenutzer()` selbst. `tests/mfa-grenze.test.ts` liest den
+Quelltext und schlägt an, sobald eine weitere Umgehung dazukommt.
+
+### A02 Cryptographic Failures
+
+- Felder: AES-256-GCM, Umschlag `bc1.<version>.<iv>.<tag>.<ct>`, Feldname
+  als Zusatzdaten — ein Geheimtext lässt sich nicht von einem Feld in ein
+  anderes kopieren.
+- Dateien: AES-256-GCM, Umschlag `BCD1`, seit v1.11.0 **beide** Treiber,
+  mit dem Ablageschlüssel als Zusatzdaten.
+- Passwörter: Argon2id, Parameter im Hash, Nachziehen beim Anmelden.
+- Schlüsselrotation über `ENC_KEY_V<n>` / `ENC_KEY_AKTIV`; alte Schlüssel
+  bleiben zum Entschlüsseln stehen.
+- Alle Geheimnisvergleiche laufen über `timingSafeEqual` — geprüft für
+  Reauth-Cookie, Zugriffstoken, ICS-Signatur, Wartungsschlüssel und das
+  Einrichtungsgeheimnis.
+
+**Behoben in dieser Runde:** Der Objektspeicher verließ sich auf
+`ServerSideEncryption: 'AES256'` — den Schlüssel des Anbieters.
+
+### A03 Injection
+
+Prisma parametrisiert. Die fünf Rohabfragen benutzen ausnahmslos
+`Prisma.sql`-Templates; `Prisma.join()` in `suche.ts` fügt nur bereits
+parametrisierte Fragmente zusammen und ist damit unbedenklich.
+
+Zu XSS: `ts_headline` liefert `<mark>`-Marker im Suchausschnitt, und die
+Quelle ist der OCR-Text hochgeladener Dokumente. Gerendert wird er in
+`dokument-liste.tsx` aber nicht als HTML, sondern zerlegt und als React-
+Kinder ausgegeben — also escaped. Das einzige
+`dangerouslySetInnerHTML` der Anwendung setzt eine feste Konstante für die
+Themenumschaltung. **Kein Fund.**
+
+### A04 Insecure Design
+
+Erneute Bestätigung vor den folgenschweren Handlungen. Anmeldesperre nach
+zwei Dimensionen. Löschen ist ein Papierkorb mit 30 Tagen Frist.
+
+**Behoben in dieser Runde:** Passkeys ließen sich ohne erneute
+Bestätigung anlegen und entfernen — ein Passkey ist ein vollwertiger
+Zugang, der einen Passwortwechsel überlebt.
+
+### A05 Security Misconfiguration
+
+CSP mit Nonce pro Anfrage und `strict-dynamic` im Produktivbetrieb; dazu
+`X-Content-Type-Options`, `X-Frame-Options: DENY`, `Referrer-Policy:
+no-referrer`, `Permissions-Policy`, HSTS mit zwei Jahren.
+`poweredByHeader` aus.
+
+**Behoben in dieser Runde:** `trustHost` stand fest auf `true`, obwohl
+`AUTH_URL` gesetzt ist. `X-Forwarded-For` wurde ohne Proxy geglaubt und
+aus dem falschen Ende gelesen.
+
+### A06 Vulnerable and Outdated Components
+
+`npm audit`: 0 Schwachstellen (vorher 32, davon 5 kritisch).
+
+### A07 Identification and Authentication Failures
+
+Passwort + TOTP in einem Schritt, kein Zwischenzustand. Passkeys mit
+erzwungener Nutzerverifikation zählen als zwei Faktoren.
+`sitzungsGeneration` macht alle Sitzungen auf einen Schlag ungültig.
+Antwortzeiten sind angeglichen, damit sich keine E-Mail-Adressen abfragen
+lassen.
+
+**Behoben in dieser Runde:** TOTP-Codes galten mehrfach; die Anmeldesperre
+verlängerte sich selbst; die Ersteinrichtung stand offen und war nicht
+atomar.
+
+### A08 Software and Data Integrity Failures
+
+Zu jedem abgelegten Dokument steht eine SHA-256-Prüfsumme über den
+Klartext in der Datenbank — der Nachweis der Unverändertheit gegenüber dem
+Gericht. Der Umschlag ist authentifiziert (GCM), Veränderungen fallen beim
+Lesen auf.
+
+### A09 Security Logging and Monitoring Failures
+
+`AuditLog` hält Anmeldungen, Fehlversuche, Exporte, Löschungen und
+Passkey-Änderungen fest. Anmeldeversuche stehen zusätzlich in
+`login_versuch` und werden nach 30 Tagen aufgeräumt.
+
+**Behoben in dieser Runde:** Während einer Sperre entstand pro Anfrage
+eine Zeile — die Tabelle ließ sich vollschreiben. Jetzt eine je Sperre.
+
+### A10 Server-Side Request Forgery
+
+Die Anwendung ruft nichts von außen ab: kein `fetch`, keine
+HTTP-Bibliothek, keine Webhooks, keine URL-Vorschauen. Ausgehend geht nur
+SMTP an den konfigurierten Server. **Keine Angriffsfläche.**
+
+---
+
+## Wenn etwas gefunden wird
+
+Kein öffentliches Issue. Der Weg führt über das Dashboard; dort wird
+entschieden, ob und wie es hier landet.
@@ -1,187 +1,187 @@
-# Schema-Wünsche aus Etappe 3 „Papier“
-
-Gesammelt beim Bau der Dokumentenakte. `prisma/schema.prisma` wurde
-absprachegemäß **nicht** angefasst; alles hier ist umgangen worden und
-funktioniert, wäre aber sauberer, wenn es im Modell stünde.
-
-Reihenfolge: was am meisten weh tut, steht oben.
-
---
-
-## 1. `DokumentVerknuepfung`: genau eine Zielspalte — nur in der Anwendung erzwungen
-
-**Stand:** Zwölf nullbare Fremdschlüsselspalten. Der Kommentar im Schema sagt
-„Die Anwendung stellt sicher, dass genau eine Ziel-Spalte gesetzt ist“ — genau
-so ist es umgesetzt (`ZIEL_SPALTE` in `src/lib/validierung/dokumente.ts`,
-Prüfung in `dokumentVerknuepfen`).
-
-**Wunsch:** Ein CHECK-Constraint in der Datenbank, damit auch ein Skript, ein
-Seed oder ein späterer Import das nicht verletzen kann:
-
-```sql
-ALTER TABLE dokument_verknuepfung ADD CONSTRAINT genau_ein_ziel CHECK (
-  (("vorgangId" IS NOT NULL)::int + ("fristId" IS NOT NULL)::int
-   + ("buchungId" IS NOT NULL)::int + ("vermoegenspostenId" IS NOT NULL)::int
-   + ("immobilieId" IS NOT NULL)::int + ("vertragId" IS NOT NULL)::int
-   + ("kontaktprotokollId" IS NOT NULL)::int + ("gesundheitsereignisId" IS NOT NULL)::int
-   + ("genehmigungId" IS NOT NULL)::int + ("nachforderungId" IS NOT NULL)::int
-   + ("bescheidId" IS NOT NULL)::int + ("kontaktId" IS NOT NULL)::int) = 1
-);
-```
-
-Ließe sich als eigenes SQL-Skript neben `volltextsuche.sql` legen, ohne das
-Prisma-Schema zu ändern. **Warum wichtig:** Eine Akte, in der eine Verknüpfung
-auf zwei Dinge gleichzeitig zeigt, ist gegenüber dem Gericht nicht mehr
-erklärbar.
-
-**Zusätzlich:** Es fehlt eine Eindeutigkeit je Paar. Doppelte Verknüpfungen
-werden derzeit vor dem Anlegen abgefragt (`findFirst`) — ein Race zwischen zwei
-Klicks kann sie trotzdem erzeugen. Ein partieller Unique-Index je Zielspalte,
-z. B. `CREATE UNIQUE INDEX ... ON dokument_verknuepfung ("dokumentId", "vorgangId")
-WHERE "vorgangId" IS NOT NULL;`, würde das schließen.
-
---
-
-## 2. `Dokument.ocrStatus` ist ein freier String
-
-**Stand:** `ocrStatus String?` mit dem Kommentar
-`"ausstehend" | "laeuft" | "fertig" | "fehlgeschlagen" | "nicht_verfuegbar"`.
-
-**Wunsch:** Ein Enum `OcrStatus` mit genau diesen fünf Werten. Der Vertrag in
-`docs/SCHNITTSTELLEN.md` Abschnitt 3 gibt sie ohnehin vor, und die Oberfläche
-(`OcrAbzeichen`) schaltet darauf. Ein Tippfehler beim Zurückschreiben fällt
-heute erst auf, wenn das Abzeichen leer bleibt.
-
---
-
-## 3. Kein Index auf `Dokument.objektSchluessel`
-
-**Stand:** Die Ausliefer-Route `/api/dokumente/datei/[signatur]` sucht das
-Dokument über `objektSchluessel`, um Anzeigename und Protokolleintrag zu
-bekommen. Ohne Index ist das ein Seq-Scan bei jedem Dateiabruf.
-
-**Wunsch:** `@@unique([objektSchluessel])` (der Schlüssel ist eine UUID, also
-ohnehin eindeutig) oder mindestens `@@index([objektSchluessel])`.
-
---
-
-## 4. Keine Dublettenerkennung über die Prüfsumme
-
-**Stand:** `pruefsumme String?` (SHA-256, wird beim Ablegen gefüllt). Wer
-denselben Bescheid zweimal fotografiert, bekommt zwei Datensätze.
-
-**Wunsch:** `@@index([betreuteId, pruefsumme])`. Dann ließe sich beim Upload
-sagen „dieses Blatt liegt schon in der Akte, angelegt am 12.03.2026“ — ohne den
-zweiten Upload zu verbieten (manchmal ist die zweite Kopie gewollt).
-
---
-
-## 5. `Nachforderung` und `Bescheid` tragen keine `betreuteId`
-
-**Stand:** Beide hängen nur am `SozialhilfeAntrag`. Die Zugriffsprüfung beim
-Verknüpfen muss deshalb über die Beziehung gehen
-(`where: { id, antrag: { betreuteId } }`, siehe `zielGehoertZurAkte`).
-
-**Wunsch:** Eine denormalisierte `betreuteId` wie bei allen anderen
-Fachentitäten. Die Konvention „jede Abfrage ist auf `betreuteId` eingegrenzt“
-ist sonst an genau diesen zwei Stellen nicht wörtlich einhaltbar — und
-Ausnahmen von einer Sicherheitsregel sind die Stellen, an denen später Fehler
-passieren.
-
---
-
-## 6. Seitenzahl und OCR-Lauf ohne Zeitstempel
-
-**Stand:** `seitenzahl Int?` wird von der Texterkennung nachgetragen. Wann ein
-OCR-Lauf zuletzt versucht wurde, steht nirgends.
-
-**Wunsch:** `ocrVersuchtAm DateTime?`. `ocrNachziehen()` in
-`src/lib/dokumente/ocr-nachlauf.ts` holt heute alles nach, was auf
-`ausstehend`/`fehlgeschlagen` steht — mit einem Zeitstempel ließe sich ein
-dauerhaft kaputtes Dokument nach dem dritten Versuch in Ruhe lassen, statt es
-bei jedem Nachziehen erneut durch Tesseract zu schicken.
-
---
-
-## 7. Anmerkung zur Verschlüsselung der abgelegten Dateien
-
-Kein Schema-Wunsch, aber eine Abweichung vom Kommentar im Schema, die
-festgehalten gehört. Bei `Dokument.ocrText` steht:
-
-> „die Datei selbst liegt verschlüsselt im Objektspeicher“
-
-Umgesetzt ist das **nur beim Dateitreiber**: `src/lib/speicher/datei.ts`
-verschlüsselt jede Datei anwendungsseitig mit AES-256-GCM (eigener Binär-
-Umschlag `BCD1 | Schlüsselversion | IV | Tag | Geheimtext`, Schlüssel aus
-`ENC_KEY_V*`). Beim S3-Treiber geht das nicht: Der Vertrag verlangt für
-`signierteUrl()` eine presigned URL, die der Objektspeicher selbst ausliefert —
-ein anwendungsseitig verschlüsselter Blob käme dort als Datenmüll an. Dort
-läuft der Schutz deshalb über `ServerSideEncryption: AES256` plus den
-AV-Vertrag nach Art. 28 DSGVO mit dem Anbieter.
-
-Die SHA-256-Prüfsumme wird in **beiden** Fällen über den Klartext gebildet —
-sonst wäre sie als Nachweis gegenüber dem Gericht wertlos.
-
-Wer das vereinheitlichen will, müsste den Vertrag ändern: `signierteUrl()`
-würde auch beim S3-Treiber auf die eigene Route zeigen, die den Blob holt,
-entschlüsselt und ausliefert. Das kostet Durchsatz bei großen Scans, wäre aber
-konsequenter. Bewusst offengelassen, weil es Abschnitt 1 der Schnittstellen
-berührt.
-
---
-
-# Anhang: kein Schema-Wunsch, aber dringend
-
-## `@react-pdf/renderer` kann ohne Krücke keinen Buchstaben setzen
-
-Beim Bau der Belegmappe aufgefallen und **betrifft jedes PDF der Anwendung**,
-also auch die Berichte aus Etappe 5.
-
-**Befund:** Jeder Aufruf von `renderToBuffer` scheitert mit
-
-```
-TypeError: Cannot read properties of undefined (reading 'unitsPerEm')
-  at @react-pdf/textkit/lib/textkit.js:3090
-```
-
-— auch bei einem Dokument ganz ohne Stilangaben. Nicht die Testumgebung ist
-schuld: in reinem Node reproduziert es genauso.
-
-**Ursache:** In `package.json` ist nur `@react-pdf/renderer` auf `4.1.6`
-festgelegt. Seine Unterabhängigkeiten stehen als Caret-Bereiche darin und sind
-inzwischen weitergewandert:
-
-| Paket | installiert | von renderer 4.1.6 erwartet |
-|---|---|---|
-| `@react-pdf/font` | 3.1.0 | `^3.0.1` |
-| `@react-pdf/layout` | 4.7.1 | `^4.2.0` |
-| `@react-pdf/textkit` | 6.4.1 | (kommt über `layout`) |
-
-`@react-pdf/font@3.1.0` gibt für die Standardschriften `null` zurück — früher
-löste die Schicht darunter den bloßen Namen selbst auf.
-`@react-pdf/textkit@6.4.1` verlangt dagegen ein echtes Schriftobjekt mit
-`layout()` und wirft bei einem Namen ausdrücklich `Invalid font`. Zwischen
-beiden klafft eine Lücke.
-
-**Was ich getan habe:** `src/lib/pdf/standardschrift.ts` baut das fehlende
-Schriftobjekt aus den Metriken, die `@react-pdf/pdfkit` ohnehin mitbringt, und
-hängt sich vor die Schriftauflösung — aber nur, wenn sie kaputt ist. Kein neues
-Paket, kein Nachladen aus dem Netz. `pdfErzeugen()` ruft das von selbst auf,
-alle PDF-Wege dieser Anwendung sind damit wieder benutzbar (Test:
-„Aus einem Bericht und einem Beleg wird eine Mappe" in `tests/dokumente.test.ts`).
-
-**Was noch zu tun ist** (außerhalb meiner Pfade, deshalb hier):
-`package.json` um Festlegungen ergänzen, damit die Pakete zueinander passen —
-
-```jsonc
-"overrides": {
-  "@react-pdf/layout": "4.2.x",
-  "@react-pdf/textkit": "5.x"
-}
-```
-
-Die genauen Stände bitte gegen `@react-pdf/renderer@4.1.6` prüfen; alternativ
-`@react-pdf/renderer` auf einen aktuellen Stand heben, dessen
-Unterabhängigkeiten wieder zusammenpassen. Danach kann
-`standardschrift.ts` ersatzlos entfallen — `standardschriftenSicherstellen()`
-merkt von selbst, dass es nicht mehr gebraucht wird, und hält sich heraus.
+# Schema-Wünsche aus Etappe 3 „Papier“
+
+Gesammelt beim Bau der Dokumentenakte. `prisma/schema.prisma` wurde
+absprachegemäß **nicht** angefasst; alles hier ist umgangen worden und
+funktioniert, wäre aber sauberer, wenn es im Modell stünde.
+
+Reihenfolge: was am meisten weh tut, steht oben.
+
+---
+
+## 1. `DokumentVerknuepfung`: genau eine Zielspalte — nur in der Anwendung erzwungen
+
+**Stand:** Zwölf nullbare Fremdschlüsselspalten. Der Kommentar im Schema sagt
+„Die Anwendung stellt sicher, dass genau eine Ziel-Spalte gesetzt ist“ — genau
+so ist es umgesetzt (`ZIEL_SPALTE` in `src/lib/validierung/dokumente.ts`,
+Prüfung in `dokumentVerknuepfen`).
+
+**Wunsch:** Ein CHECK-Constraint in der Datenbank, damit auch ein Skript, ein
+Seed oder ein späterer Import das nicht verletzen kann:
+
+```sql
+ALTER TABLE dokument_verknuepfung ADD CONSTRAINT genau_ein_ziel CHECK (
+  (("vorgangId" IS NOT NULL)::int + ("fristId" IS NOT NULL)::int
+   + ("buchungId" IS NOT NULL)::int + ("vermoegenspostenId" IS NOT NULL)::int
+   + ("immobilieId" IS NOT NULL)::int + ("vertragId" IS NOT NULL)::int
+   + ("kontaktprotokollId" IS NOT NULL)::int + ("gesundheitsereignisId" IS NOT NULL)::int
+   + ("genehmigungId" IS NOT NULL)::int + ("nachforderungId" IS NOT NULL)::int
+   + ("bescheidId" IS NOT NULL)::int + ("kontaktId" IS NOT NULL)::int) = 1
+);
+```
+
+Ließe sich als eigenes SQL-Skript neben `volltextsuche.sql` legen, ohne das
+Prisma-Schema zu ändern. **Warum wichtig:** Eine Akte, in der eine Verknüpfung
+auf zwei Dinge gleichzeitig zeigt, ist gegenüber dem Gericht nicht mehr
+erklärbar.
+
+**Zusätzlich:** Es fehlt eine Eindeutigkeit je Paar. Doppelte Verknüpfungen
+werden derzeit vor dem Anlegen abgefragt (`findFirst`) — ein Race zwischen zwei
+Klicks kann sie trotzdem erzeugen. Ein partieller Unique-Index je Zielspalte,
+z. B. `CREATE UNIQUE INDEX ... ON dokument_verknuepfung ("dokumentId", "vorgangId")
+WHERE "vorgangId" IS NOT NULL;`, würde das schließen.
+
+---
+
+## 2. `Dokument.ocrStatus` ist ein freier String
+
+**Stand:** `ocrStatus String?` mit dem Kommentar
+`"ausstehend" | "laeuft" | "fertig" | "fehlgeschlagen" | "nicht_verfuegbar"`.
+
+**Wunsch:** Ein Enum `OcrStatus` mit genau diesen fünf Werten. Der Vertrag in
+`docs/SCHNITTSTELLEN.md` Abschnitt 3 gibt sie ohnehin vor, und die Oberfläche
+(`OcrAbzeichen`) schaltet darauf. Ein Tippfehler beim Zurückschreiben fällt
+heute erst auf, wenn das Abzeichen leer bleibt.
+
+---
+
+## 3. Kein Index auf `Dokument.objektSchluessel`
+
+**Stand:** Die Ausliefer-Route `/api/dokumente/datei/[signatur]` sucht das
+Dokument über `objektSchluessel`, um Anzeigename und Protokolleintrag zu
+bekommen. Ohne Index ist das ein Seq-Scan bei jedem Dateiabruf.
+
+**Wunsch:** `@@unique([objektSchluessel])` (der Schlüssel ist eine UUID, also
+ohnehin eindeutig) oder mindestens `@@index([objektSchluessel])`.
+
+---
+
+## 4. Keine Dublettenerkennung über die Prüfsumme
+
+**Stand:** `pruefsumme String?` (SHA-256, wird beim Ablegen gefüllt). Wer
+denselben Bescheid zweimal fotografiert, bekommt zwei Datensätze.
+
+**Wunsch:** `@@index([betreuteId, pruefsumme])`. Dann ließe sich beim Upload
+sagen „dieses Blatt liegt schon in der Akte, angelegt am 12.03.2026“ — ohne den
+zweiten Upload zu verbieten (manchmal ist die zweite Kopie gewollt).
+
+---
+
+## 5. `Nachforderung` und `Bescheid` tragen keine `betreuteId`
+
+**Stand:** Beide hängen nur am `SozialhilfeAntrag`. Die Zugriffsprüfung beim
+Verknüpfen muss deshalb über die Beziehung gehen
+(`where: { id, antrag: { betreuteId } }`, siehe `zielGehoertZurAkte`).
+
+**Wunsch:** Eine denormalisierte `betreuteId` wie bei allen anderen
+Fachentitäten. Die Konvention „jede Abfrage ist auf `betreuteId` eingegrenzt“
+ist sonst an genau diesen zwei Stellen nicht wörtlich einhaltbar — und
+Ausnahmen von einer Sicherheitsregel sind die Stellen, an denen später Fehler
+passieren.
+
+---
+
+## 6. Seitenzahl und OCR-Lauf ohne Zeitstempel
+
+**Stand:** `seitenzahl Int?` wird von der Texterkennung nachgetragen. Wann ein
+OCR-Lauf zuletzt versucht wurde, steht nirgends.
+
+**Wunsch:** `ocrVersuchtAm DateTime?`. `ocrNachziehen()` in
+`src/lib/dokumente/ocr-nachlauf.ts` holt heute alles nach, was auf
+`ausstehend`/`fehlgeschlagen` steht — mit einem Zeitstempel ließe sich ein
+dauerhaft kaputtes Dokument nach dem dritten Versuch in Ruhe lassen, statt es
+bei jedem Nachziehen erneut durch Tesseract zu schicken.
+
+---
+
+## 7. Anmerkung zur Verschlüsselung der abgelegten Dateien
+
+Kein Schema-Wunsch, aber eine Abweichung vom Kommentar im Schema, die
+festgehalten gehört. Bei `Dokument.ocrText` steht:
+
+> „die Datei selbst liegt verschlüsselt im Objektspeicher“
+
+Umgesetzt ist das **nur beim Dateitreiber**: `src/lib/speicher/datei.ts`
+verschlüsselt jede Datei anwendungsseitig mit AES-256-GCM (eigener Binär-
+Umschlag `BCD1 | Schlüsselversion | IV | Tag | Geheimtext`, Schlüssel aus
+`ENC_KEY_V*`). Beim S3-Treiber geht das nicht: Der Vertrag verlangt für
+`signierteUrl()` eine presigned URL, die der Objektspeicher selbst ausliefert —
+ein anwendungsseitig verschlüsselter Blob käme dort als Datenmüll an. Dort
+läuft der Schutz deshalb über `ServerSideEncryption: AES256` plus den
+AV-Vertrag nach Art. 28 DSGVO mit dem Anbieter.
+
+Die SHA-256-Prüfsumme wird in **beiden** Fällen über den Klartext gebildet —
+sonst wäre sie als Nachweis gegenüber dem Gericht wertlos.
+
+Wer das vereinheitlichen will, müsste den Vertrag ändern: `signierteUrl()`
+würde auch beim S3-Treiber auf die eigene Route zeigen, die den Blob holt,
+entschlüsselt und ausliefert. Das kostet Durchsatz bei großen Scans, wäre aber
+konsequenter. Bewusst offengelassen, weil es Abschnitt 1 der Schnittstellen
+berührt.
+
+---
+
+# Anhang: kein Schema-Wunsch, aber dringend
+
+## `@react-pdf/renderer` kann ohne Krücke keinen Buchstaben setzen
+
+Beim Bau der Belegmappe aufgefallen und **betrifft jedes PDF der Anwendung**,
+also auch die Berichte aus Etappe 5.
+
+**Befund:** Jeder Aufruf von `renderToBuffer` scheitert mit
+
+```
+TypeError: Cannot read properties of undefined (reading 'unitsPerEm')
+  at @react-pdf/textkit/lib/textkit.js:3090
+```
+
+— auch bei einem Dokument ganz ohne Stilangaben. Nicht die Testumgebung ist
+schuld: in reinem Node reproduziert es genauso.
+
+**Ursache:** In `package.json` ist nur `@react-pdf/renderer` auf `4.1.6`
+festgelegt. Seine Unterabhängigkeiten stehen als Caret-Bereiche darin und sind
+inzwischen weitergewandert:
+
+| Paket | installiert | von renderer 4.1.6 erwartet |
+|---|---|---|
+| `@react-pdf/font` | 3.1.0 | `^3.0.1` |
+| `@react-pdf/layout` | 4.7.1 | `^4.2.0` |
+| `@react-pdf/textkit` | 6.4.1 | (kommt über `layout`) |
+
+`@react-pdf/font@3.1.0` gibt für die Standardschriften `null` zurück — früher
+löste die Schicht darunter den bloßen Namen selbst auf.
+`@react-pdf/textkit@6.4.1` verlangt dagegen ein echtes Schriftobjekt mit
+`layout()` und wirft bei einem Namen ausdrücklich `Invalid font`. Zwischen
+beiden klafft eine Lücke.
+
+**Was ich getan habe:** `src/lib/pdf/standardschrift.ts` baut das fehlende
+Schriftobjekt aus den Metriken, die `@react-pdf/pdfkit` ohnehin mitbringt, und
+hängt sich vor die Schriftauflösung — aber nur, wenn sie kaputt ist. Kein neues
+Paket, kein Nachladen aus dem Netz. `pdfErzeugen()` ruft das von selbst auf,
+alle PDF-Wege dieser Anwendung sind damit wieder benutzbar (Test:
+„Aus einem Bericht und einem Beleg wird eine Mappe" in `tests/dokumente.test.ts`).
+
+**Was noch zu tun ist** (außerhalb meiner Pfade, deshalb hier):
+`package.json` um Festlegungen ergänzen, damit die Pakete zueinander passen —
+
+```jsonc
+"overrides": {
+  "@react-pdf/layout": "4.2.x",
+  "@react-pdf/textkit": "5.x"
+}
+```
+
+Die genauen Stände bitte gegen `@react-pdf/renderer@4.1.6` prüfen; alternativ
+`@react-pdf/renderer` auf einen aktuellen Stand heben, dessen
+Unterabhängigkeiten wieder zusammenpassen. Danach kann
+`standardschrift.ts` ersatzlos entfallen — `standardschriftenSicherstellen()`
+merkt von selbst, dass es nicht mehr gebraucht wird, und hält sich heraus.
@@ -1,243 +1,243 @@
-# Schema-Wünsche aus Etappe 5 „Behörde“
-
-Das Schema wurde nicht angefasst. Was beim Bauen des Sozialhilfemoduls
-gefehlt hat, steht hier — nach Dringlichkeit sortiert, jeweils mit dem
-Behelf, der jetzt an seiner Stelle steht.
-
---
-
-## 1. `Heimkostenmonat`: Kostenseite und Deckungsseite überschneiden sich — wichtig
-
-Dieselbe Sache wie Punkt 1 in `docs/schema-wuensche/dashboard.md`, hier aus
-Sicht des Moduls, das die Gegenüberstellung baut.
-
-**Das Problem.** `pflegeEigenanteilCent` heißt „einrichtungseinheitlicher
-Eigenanteil". Der ist definitionsgemäß **schon um die Pauschale der
-Pflegekasse nach § 43 Abs. 2 SGB XI gekürzt**. Steht in derselben Zeile
-zusätzlich `pflegekasseCent` als Deckung, wird dasselbe Geld zweimal
-gezählt — die Deckungslücke fällt um die Pauschale zu klein aus, bei
-Pflegegrad 3 um 1.319 Euro im Monat.
-
-**Was ich entschieden habe.** Dieses Modul rechnet in der Lesart
-`EIGENANTEIL_NETTO` (siehe Kopfkommentar in
-`src/lib/sozialhilfe/heimkosten.ts`):
-
-```
-Bedarf   = pflegeEigenanteil (netto, wie auf der Heimrechnung)
-         + unterkunftVerpflegung + investitionskosten
-         + ausbildungsumlage + zusatzleistungen
-         + barbetrag + bekleidungspauschale
-
-Deckung  = leistungszuschlag + rente + sonstigeEinkuenfte
-         + sozialhilfe + eigenmittel
-
-Deckungslücke = Bedarf − Deckung
-```
-
-`pflegekasseCent` zählt **nicht** als Deckung. Der Wert wird als
-`pflegekasseNachrichtlichCent` mitgeführt und angezeigt; ist er ungleich
-null, gibt `heimkostenAuswerten()` einen Hinweis aus, der die
-Doppelzählung erklärt. Das Formular belegt das Feld nicht mehr vor.
-
-`leistungszuschlagCent` zählt dagegen **sehr wohl** als Deckung: Der
-Zuschlag nach § 43c SGB XI mindert den Eigenanteil erst danach und steht
-auf der Heimrechnung als eigene Abzugsposition.
-
-Die Alternative — durchgängig den Bruttosatz erfassen — ist als Lesart
-`PFLEGESATZ_BRUTTO` implementiert und getestet: Bei konsistenter Erfassung
-kommen beide Lesarten auf dieselbe Deckungslücke. Benutzt wird sie in der
-Oberfläche nicht, weil das Schema keinen Ort hat, um die Wahl zu
-speichern.
-
-**Wunsch, in dieser Reihenfolge:**
-
-1. Den Kommentar am Feld schärfen, damit die Lesart im Schema steht und
-   nicht nur hier:
-
-```prisma
-/// NETTO: der einrichtungseinheitliche Eigenanteil, wie er auf der
-/// Heimrechnung steht - bereits um § 43 Abs. 2 SGB XI gekuerzt, noch
-/// nicht um den Leistungszuschlag. pflegekasseCent zaehlt deshalb NICHT
-/// als Deckung, sondern nur nachrichtlich.
-pflegeEigenanteilCent BigInt @default(0)
-```
-
-2. Wenn beide Lesarten gebraucht werden, ein Feld dafür — sonst muss jedes
-   Modul raten, was in der Zeile steht:
-
-```prisma
-enum Kostenlesart {
-  EIGENANTEIL_NETTO
-  PFLEGESATZ_BRUTTO
-}
-
-lesart Kostenlesart @default(EIGENANTEIL_NETTO)
-```
-
-3. Alternativ ein `heimrechnungGesamtCent`, das schlicht den
-   Rechnungsbetrag trägt; die Aufteilung wäre dann nur noch informativ und
-   die Summe könnte gegen sie geprüft werden.
-
-**Verabredung bis dahin**: Wer `Heimkostenmonat` schreibt — dieses Modul,
-das Dashboard, ein Import — trägt als `pflegeEigenanteilCent` den Netto-
-Eigenanteil ein und lässt `pflegekasseCent` auf 0.
-
---
-
-## 2. `Nachforderung.checklistenSchluessel` — wichtig
-
-```prisma
-/// Stabiler Schluessel aus src/lib/sozialhilfe/checkliste.ts.
-/// Verhindert Dubletten beim erneuten Uebernehmen der Standardunterlagen.
-checklistenSchluessel String?
-
-@@unique([antragId, checklistenSchluessel])
-```
-
-**Warum**: `ausCheckliste: Boolean` merkt sich nur *dass* eine Zeile aus der
-Checkliste kam, nicht *welche* Position. Um beim zweiten Aufruf des Panels
-nicht dieselbe Unterlage noch einmal anzulegen, vergleicht
-`nochNichtUebernommen()` derzeit über die **Bezeichnung** (kleingeschrieben,
-getrimmt). Das reicht, solange niemand die Bezeichnung ändert — tut er es,
-entsteht beim nächsten Übernehmen eine Dublette.
-
-**Behelf**: Vergleich über die Bezeichnung in
-`src/lib/sozialhilfe/checkliste.ts` und in `checklisteUebernehmen()`.
-
---
-
-## 3. Rückkaufswert am Vertrag — wichtig
-
-```prisma
-model Vertrag {
-  // ...
-  rueckkaufswertCent      BigInt?
-  rueckkaufswertStichtag  DateTime? @db.Date
-}
-```
-
-**Warum**: Die Bewertungsansicht stellt Vermögensposten und Verträge
-nebeneinander. Ein Vermögensposten trägt seinen Wert über `Wertstand`,
-ein Vertrag hat gar kein Wertfeld — nur `beitragCent`, und das ist die
-Prämie, nicht der Wert. Verträge erscheinen deshalb ohne Betrag, und die
-Summe „verwertbar“ ist unvollständig, solange nicht zu jeder Versicherung
-zusätzlich ein Vermögensposten angelegt wurde.
-
-Für das Sozialhilfeverfahren ist genau dieser Wert der entscheidende: Der
-Träger fragt nach Rückkaufswerten, nicht nach Versicherungssummen.
-
-**Behelf**: Die Bewertungsansicht zeigt nur Verträge, die überhaupt einen
-Wert haben können (`MIT_RUECKKAUFSWERT` aus
-`src/lib/vertraege/konstanten.ts`), und markiert sie mit „Wert noch nicht
-ermittelt“. Wer den Betrag braucht, legt zusätzlich einen
-`Vermoegensposten` mit `vertragId` und einem `Wertstand` an — dann wird der
-Vertrag in der Liste ausgeblendet, damit die Summe nicht doppelt zählt.
-
---
-
-## 4. `Bescheid.rechtsbehelfsbelehrungVorhanden` — mittel
-
-```prisma
-/// Ausdrueckliche Einschaetzung, nicht aus der Fristlaenge abgeleitet.
-rechtsbehelfsbelehrungVorhanden Boolean @default(true)
-rechtsbehelfsbelehrungBemerkung String?
-```
-
-**Warum**: Ob die Jahresfrist des § 66 Abs. 2 SGG gilt, ist eine bewusste
-Einschätzung mit Begründung („die Belehrung nennt die falsche Behörde“).
-Derzeit wird sie aus `rechtsbehelfsfristMonate === 12` zurückgeschlossen —
-das trägt, verliert aber die Begründung, und die bräuchte man genau dann,
-wenn man sich im Widerspruchsverfahren darauf beruft.
-
-**Behelf**: `belehrungZuMonaten()` in
-`src/lib/sozialhilfe/rechtsbehelf.ts`. Die Begründung gehört bis auf
-Weiteres in `notizenVerschluesselt`.
-
---
-
-## 5. `Bescheid.widerspruchFristId` → `Frist` — mittel
-
-```prisma
-widerspruchFristId String? @unique
-widerspruchFrist   Frist?  @relation(fields: [widerspruchFristId], references: [id], onDelete: SetNull)
-```
-
-**Warum**: Die angelegte Frist „Widerspruch möglich bis“ wird derzeit über
-`Frist.systemSchluessel = "sozialhilfe-widerspruch-<bescheidId>"` gefunden.
-Das funktioniert (`@@unique([betreuteId, systemSchluessel])` trägt es), ist
-aber eine Verknüpfung über eine zusammengesetzte Zeichenkette. Ein echter
-Fremdschlüssel wäre sauberer und ließe die Frist beim Löschen des Bescheids
-mitziehen. Dasselbe gilt für
-`"sozialhilfe-nachforderung-<nachforderungId>"`.
-
-**Behelf**: `systemSchluessel` mit festem Präfix, `upsert` statt `create`.
-
---
-
-## 6. `Heimkostenmonat` — Feld für die tatsächliche Zahlung — mittel
-
-```prisma
-/// Was tatsaechlich vom Konto ging - fuer den Abgleich mit dem Bescheid.
-gezahltCent    BigInt?
-gezahltAm      DateTime? @db.Date
-rechnungsnummer String?
-```
-
-**Warum**: Die Gegenüberstellung rechnet Bedarf gegen Deckung. Was
-tatsächlich abgebucht wurde, steht nirgends — und genau die Differenz
-zwischen „laut Bescheid“ und „tatsächlich abgebucht“ ist der Anlass, beim
-Träger nachzufragen.
-
-**Behelf**: `bemerkung`.
-
---
-
-## 7. `Heimkostenmonat.abwesenheitsminderungCent` — klein
-
-```prisma
-/// Tatsaechliche Minderung laut Heimrechnung, nicht die Schaetzung.
-abwesenheitsminderungCent BigInt @default(0)
-```
-
-**Warum**: `abwesenheitstage` ist da, die Wirkung schätzt
-`abwesenheitSchaetzen()` nach dem Rahmenvertrag (drei Karenztage, danach
-25 % auf Pflegeanteil sowie Unterkunft und Verpflegung). Was die
-Einrichtung wirklich abgezogen hat, steht auf der Rechnung und ließe sich
-nicht festhalten.
-
-**Behelf**: Die Schätzung wird ausdrücklich als Schätzung ausgewiesen und
-neben die erfasste Lücke gestellt, nicht in sie hineingerechnet.
-
---
-
-## 8. `Leistung.wiederholungsfristMonat/-tag` — klein
-
-```prisma
-/// Fuer jaehrlich zu wiederholende Antraege: Stichtag im Jahr.
-antragsschlussMonat Int?
-antragsschlussTag   Int?
-```
-
-**Warum**: `jaehrlichNeuBeantragen: Boolean` sagt, *dass* wiederholt werden
-muss, nicht *bis wann*. Beim Landespflegegeld ist der 31.12. eine
-Ausschlussfrist — daraus ließe sich automatisch eine Frist ableiten,
-statt sie von Hand anzulegen.
-
-**Behelf**: `antragsschluss` als Text im Katalog
-(`src/lib/sozialhilfe/leistungskatalog.ts`) und ein Hinweis in der
-Oberfläche. Die Fristableitung übernimmt `pflichtfristenAbleiten()` mit
-`landespflegegeld-<jahr>` (siehe `docs/SCHNITTSTELLEN.md`).
-
---
-
-## 9. `Nachforderung.notizenVerschluesselt` — klein
-
-**Warum**: `erlaeuterung` und `begruendungNichtVorhanden` liegen im
-Klartext. Beides ist meist harmlos („Grundbuchauszug beim Amtsgericht
-angefordert“), kann aber Gesundheits- oder Vermögensangaben enthalten
-(„Rückkaufswert 12.480 Euro, Police verpfändet“). Wäre mindestens die
-Begründung verschlüsselt, wäre das konsequenter zum Rest des Schemas.
-
-**Behelf**: keiner. Die Felder werden benutzt, wie sie sind. Falls sie
-verschlüsselt werden sollen, gehört `Nachforderung` in
-`VERSCHLUESSELTE_FELDER` in `src/lib/crypto/feld.ts`.
+# Schema-Wünsche aus Etappe 5 „Behörde“
+
+Das Schema wurde nicht angefasst. Was beim Bauen des Sozialhilfemoduls
+gefehlt hat, steht hier — nach Dringlichkeit sortiert, jeweils mit dem
+Behelf, der jetzt an seiner Stelle steht.
+
+---
+
+## 1. `Heimkostenmonat`: Kostenseite und Deckungsseite überschneiden sich — wichtig
+
+Dieselbe Sache wie Punkt 1 in `docs/schema-wuensche/dashboard.md`, hier aus
+Sicht des Moduls, das die Gegenüberstellung baut.
+
+**Das Problem.** `pflegeEigenanteilCent` heißt „einrichtungseinheitlicher
+Eigenanteil". Der ist definitionsgemäß **schon um die Pauschale der
+Pflegekasse nach § 43 Abs. 2 SGB XI gekürzt**. Steht in derselben Zeile
+zusätzlich `pflegekasseCent` als Deckung, wird dasselbe Geld zweimal
+gezählt — die Deckungslücke fällt um die Pauschale zu klein aus, bei
+Pflegegrad 3 um 1.319 Euro im Monat.
+
+**Was ich entschieden habe.** Dieses Modul rechnet in der Lesart
+`EIGENANTEIL_NETTO` (siehe Kopfkommentar in
+`src/lib/sozialhilfe/heimkosten.ts`):
+
+```
+Bedarf   = pflegeEigenanteil (netto, wie auf der Heimrechnung)
+         + unterkunftVerpflegung + investitionskosten
+         + ausbildungsumlage + zusatzleistungen
+         + barbetrag + bekleidungspauschale
+
+Deckung  = leistungszuschlag + rente + sonstigeEinkuenfte
+         + sozialhilfe + eigenmittel
+
+Deckungslücke = Bedarf − Deckung
+```
+
+`pflegekasseCent` zählt **nicht** als Deckung. Der Wert wird als
+`pflegekasseNachrichtlichCent` mitgeführt und angezeigt; ist er ungleich
+null, gibt `heimkostenAuswerten()` einen Hinweis aus, der die
+Doppelzählung erklärt. Das Formular belegt das Feld nicht mehr vor.
+
+`leistungszuschlagCent` zählt dagegen **sehr wohl** als Deckung: Der
+Zuschlag nach § 43c SGB XI mindert den Eigenanteil erst danach und steht
+auf der Heimrechnung als eigene Abzugsposition.
+
+Die Alternative — durchgängig den Bruttosatz erfassen — ist als Lesart
+`PFLEGESATZ_BRUTTO` implementiert und getestet: Bei konsistenter Erfassung
+kommen beide Lesarten auf dieselbe Deckungslücke. Benutzt wird sie in der
+Oberfläche nicht, weil das Schema keinen Ort hat, um die Wahl zu
+speichern.
+
+**Wunsch, in dieser Reihenfolge:**
+
+1. Den Kommentar am Feld schärfen, damit die Lesart im Schema steht und
+   nicht nur hier:
+
+```prisma
+/// NETTO: der einrichtungseinheitliche Eigenanteil, wie er auf der
+/// Heimrechnung steht - bereits um § 43 Abs. 2 SGB XI gekuerzt, noch
+/// nicht um den Leistungszuschlag. pflegekasseCent zaehlt deshalb NICHT
+/// als Deckung, sondern nur nachrichtlich.
+pflegeEigenanteilCent BigInt @default(0)
+```
+
+2. Wenn beide Lesarten gebraucht werden, ein Feld dafür — sonst muss jedes
+   Modul raten, was in der Zeile steht:
+
+```prisma
+enum Kostenlesart {
+  EIGENANTEIL_NETTO
+  PFLEGESATZ_BRUTTO
+}
+
+lesart Kostenlesart @default(EIGENANTEIL_NETTO)
+```
+
+3. Alternativ ein `heimrechnungGesamtCent`, das schlicht den
+   Rechnungsbetrag trägt; die Aufteilung wäre dann nur noch informativ und
+   die Summe könnte gegen sie geprüft werden.
+
+**Verabredung bis dahin**: Wer `Heimkostenmonat` schreibt — dieses Modul,
+das Dashboard, ein Import — trägt als `pflegeEigenanteilCent` den Netto-
+Eigenanteil ein und lässt `pflegekasseCent` auf 0.
+
+---
+
+## 2. `Nachforderung.checklistenSchluessel` — wichtig
+
+```prisma
+/// Stabiler Schluessel aus src/lib/sozialhilfe/checkliste.ts.
+/// Verhindert Dubletten beim erneuten Uebernehmen der Standardunterlagen.
+checklistenSchluessel String?
+
+@@unique([antragId, checklistenSchluessel])
+```
+
+**Warum**: `ausCheckliste: Boolean` merkt sich nur *dass* eine Zeile aus der
+Checkliste kam, nicht *welche* Position. Um beim zweiten Aufruf des Panels
+nicht dieselbe Unterlage noch einmal anzulegen, vergleicht
+`nochNichtUebernommen()` derzeit über die **Bezeichnung** (kleingeschrieben,
+getrimmt). Das reicht, solange niemand die Bezeichnung ändert — tut er es,
+entsteht beim nächsten Übernehmen eine Dublette.
+
+**Behelf**: Vergleich über die Bezeichnung in
+`src/lib/sozialhilfe/checkliste.ts` und in `checklisteUebernehmen()`.
+
+---
+
+## 3. Rückkaufswert am Vertrag — wichtig
+
+```prisma
+model Vertrag {
+  // ...
+  rueckkaufswertCent      BigInt?
+  rueckkaufswertStichtag  DateTime? @db.Date
+}
+```
+
+**Warum**: Die Bewertungsansicht stellt Vermögensposten und Verträge
+nebeneinander. Ein Vermögensposten trägt seinen Wert über `Wertstand`,
+ein Vertrag hat gar kein Wertfeld — nur `beitragCent`, und das ist die
+Prämie, nicht der Wert. Verträge erscheinen deshalb ohne Betrag, und die
+Summe „verwertbar“ ist unvollständig, solange nicht zu jeder Versicherung
+zusätzlich ein Vermögensposten angelegt wurde.
+
+Für das Sozialhilfeverfahren ist genau dieser Wert der entscheidende: Der
+Träger fragt nach Rückkaufswerten, nicht nach Versicherungssummen.
+
+**Behelf**: Die Bewertungsansicht zeigt nur Verträge, die überhaupt einen
+Wert haben können (`MIT_RUECKKAUFSWERT` aus
+`src/lib/vertraege/konstanten.ts`), und markiert sie mit „Wert noch nicht
+ermittelt“. Wer den Betrag braucht, legt zusätzlich einen
+`Vermoegensposten` mit `vertragId` und einem `Wertstand` an — dann wird der
+Vertrag in der Liste ausgeblendet, damit die Summe nicht doppelt zählt.
+
+---
+
+## 4. `Bescheid.rechtsbehelfsbelehrungVorhanden` — mittel
+
+```prisma
+/// Ausdrueckliche Einschaetzung, nicht aus der Fristlaenge abgeleitet.
+rechtsbehelfsbelehrungVorhanden Boolean @default(true)
+rechtsbehelfsbelehrungBemerkung String?
+```
+
+**Warum**: Ob die Jahresfrist des § 66 Abs. 2 SGG gilt, ist eine bewusste
+Einschätzung mit Begründung („die Belehrung nennt die falsche Behörde“).
+Derzeit wird sie aus `rechtsbehelfsfristMonate === 12` zurückgeschlossen —
+das trägt, verliert aber die Begründung, und die bräuchte man genau dann,
+wenn man sich im Widerspruchsverfahren darauf beruft.
+
+**Behelf**: `belehrungZuMonaten()` in
+`src/lib/sozialhilfe/rechtsbehelf.ts`. Die Begründung gehört bis auf
+Weiteres in `notizenVerschluesselt`.
+
+---
+
+## 5. `Bescheid.widerspruchFristId` → `Frist` — mittel
+
+```prisma
+widerspruchFristId String? @unique
+widerspruchFrist   Frist?  @relation(fields: [widerspruchFristId], references: [id], onDelete: SetNull)
+```
+
+**Warum**: Die angelegte Frist „Widerspruch möglich bis“ wird derzeit über
+`Frist.systemSchluessel = "sozialhilfe-widerspruch-<bescheidId>"` gefunden.
+Das funktioniert (`@@unique([betreuteId, systemSchluessel])` trägt es), ist
+aber eine Verknüpfung über eine zusammengesetzte Zeichenkette. Ein echter
+Fremdschlüssel wäre sauberer und ließe die Frist beim Löschen des Bescheids
+mitziehen. Dasselbe gilt für
+`"sozialhilfe-nachforderung-<nachforderungId>"`.
+
+**Behelf**: `systemSchluessel` mit festem Präfix, `upsert` statt `create`.
+
+---
+
+## 6. `Heimkostenmonat` — Feld für die tatsächliche Zahlung — mittel
+
+```prisma
+/// Was tatsaechlich vom Konto ging - fuer den Abgleich mit dem Bescheid.
+gezahltCent    BigInt?
+gezahltAm      DateTime? @db.Date
+rechnungsnummer String?
+```
+
+**Warum**: Die Gegenüberstellung rechnet Bedarf gegen Deckung. Was
+tatsächlich abgebucht wurde, steht nirgends — und genau die Differenz
+zwischen „laut Bescheid“ und „tatsächlich abgebucht“ ist der Anlass, beim
+Träger nachzufragen.
+
+**Behelf**: `bemerkung`.
+
+---
+
+## 7. `Heimkostenmonat.abwesenheitsminderungCent` — klein
+
+```prisma
+/// Tatsaechliche Minderung laut Heimrechnung, nicht die Schaetzung.
+abwesenheitsminderungCent BigInt @default(0)
+```
+
+**Warum**: `abwesenheitstage` ist da, die Wirkung schätzt
+`abwesenheitSchaetzen()` nach dem Rahmenvertrag (drei Karenztage, danach
+25 % auf Pflegeanteil sowie Unterkunft und Verpflegung). Was die
+Einrichtung wirklich abgezogen hat, steht auf der Rechnung und ließe sich
+nicht festhalten.
+
+**Behelf**: Die Schätzung wird ausdrücklich als Schätzung ausgewiesen und
+neben die erfasste Lücke gestellt, nicht in sie hineingerechnet.
+
+---
+
+## 8. `Leistung.wiederholungsfristMonat/-tag` — klein
+
+```prisma
+/// Fuer jaehrlich zu wiederholende Antraege: Stichtag im Jahr.
+antragsschlussMonat Int?
+antragsschlussTag   Int?
+```
+
+**Warum**: `jaehrlichNeuBeantragen: Boolean` sagt, *dass* wiederholt werden
+muss, nicht *bis wann*. Beim Landespflegegeld ist der 31.12. eine
+Ausschlussfrist — daraus ließe sich automatisch eine Frist ableiten,
+statt sie von Hand anzulegen.
+
+**Behelf**: `antragsschluss` als Text im Katalog
+(`src/lib/sozialhilfe/leistungskatalog.ts`) und ein Hinweis in der
+Oberfläche. Die Fristableitung übernimmt `pflichtfristenAbleiten()` mit
+`landespflegegeld-<jahr>` (siehe `docs/SCHNITTSTELLEN.md`).
+
+---
+
+## 9. `Nachforderung.notizenVerschluesselt` — klein
+
+**Warum**: `erlaeuterung` und `begruendungNichtVorhanden` liegen im
+Klartext. Beides ist meist harmlos („Grundbuchauszug beim Amtsgericht
+angefordert“), kann aber Gesundheits- oder Vermögensangaben enthalten
+(„Rückkaufswert 12.480 Euro, Police verpfändet“). Wäre mindestens die
+Begründung verschlüsselt, wäre das konsequenter zum Rest des Schemas.
+
+**Behelf**: keiner. Die Felder werden benutzt, wie sie sind. Falls sie
+verschlüsselt werden sollen, gehört `Nachforderung` in
+`VERSCHLUESSELTE_FELDER` in `src/lib/crypto/feld.ts`.
@@ -0,0 +1,138 @@
+import { expect, test } from '@playwright/test'
+import { PrismaClient } from '@prisma/client'
+import { anmelden } from './hilfen'
+
+/**
+ * Der Demo-Fall mit Kontobewegungen — gegen die echte Anwendung.
+ *
+ * Was hier geprüft wird, ist kein Verhalten der Anwendung, sondern die
+ * Brauchbarkeit der Beispieldaten: Wer die Anwendung zum ersten Mal
+ * ansieht, soll auf den Finanzseiten etwas vorfinden und nicht erst
+ * eine CSV importieren müssen.
+ *
+ * Die Prüfungen sind bewusst grob gehalten — sie sollen anschlagen, wenn
+ * der Demo-Fall leer läuft, und nicht bei jeder geänderten Zahl.
+ */
+
+async function mitDb<T>(arbeit: (db: PrismaClient) => Promise<T>): Promise<T> {
+  const db = new PrismaClient()
+  try {
+    return await arbeit(db)
+  } finally {
+    await db.$disconnect()
+  }
+}
+
+test.describe('Demo-Fall', () => {
+  test('bringt ein Jahr Kontobewegungen mit', async () => {
+    const zahlen = await mitDb(async (db) => {
+      const betreute = await db.betreute.findFirst({
+        where: { vorname: 'Erika', nachname: 'Musterfrau' },
+        select: { id: true },
+      })
+      if (!betreute) return null
+
+      const buchungen = await db.buchung.findMany({
+        where: { betreuteId: betreute.id, geloeschtAm: null },
+        select: { datum: true },
+        orderBy: { datum: 'asc' },
+      })
+      const ohneNachweis = await db.buchung.count({
+        where: { betreuteId: betreute.id, belegId: null, belegFehltBegruendung: null },
+      })
+      return { buchungen, ohneNachweis }
+    })
+
+    test.skip(zahlen === null, 'Kein Demo-Fall in dieser Datenbank.')
+    if (!zahlen) return
+
+    expect(zahlen.buchungen.length).toBeGreaterThan(50)
+
+    // Über mindestens zwölf Monate verteilt, nicht alle an einem Tag.
+    const erste = zahlen.buchungen[0]!.datum
+    const letzte = zahlen.buchungen[zahlen.buchungen.length - 1]!.datum
+    const monate =
+      (letzte.getUTCFullYear() - erste.getUTCFullYear()) * 12 +
+      (letzte.getUTCMonth() - erste.getUTCMonth())
+    expect(monate).toBeGreaterThanOrEqual(11)
+
+    // Genau ein Fall ohne Beleg und ohne Begründung — sonst hätte die
+    // Belegpflicht nichts zu zeigen, oder zu viel.
+    expect(zahlen.ohneNachweis).toBe(1)
+  })
+
+  test('der Kontostand stimmt mit der Summe der Buchungen überein', async () => {
+    const ergebnis = await mitDb(async (db) => {
+      const konto = await db.konto.findFirst({
+        where: { art: 'GIRO', betreute: { vorname: 'Erika', nachname: 'Musterfrau' } },
+        select: { id: true },
+      })
+      if (!konto) return null
+
+      const staende = await db.saldostand.findMany({
+        where: { kontoId: konto.id },
+        orderBy: { stichtag: 'asc' },
+      })
+      if (staende.length < 2) return null
+
+      const [anfang, ende] = [staende[0]!, staende[staende.length - 1]!]
+      const bewegungen = await db.buchung.findMany({
+        where: {
+          kontoId: konto.id,
+          geloeschtAm: null,
+          datum: { gt: anfang.stichtag, lte: ende.stichtag },
+        },
+        select: { betragCent: true, richtung: true },
+      })
+
+      const summe = bewegungen.reduce(
+        (wert, b) => (b.richtung === 'EINNAHME' ? wert + b.betragCent : wert - b.betragCent),
+        0n,
+      )
+      return { erwartet: anfang.betragCent + summe, tatsaechlich: ende.betragCent }
+    })
+
+    test.skip(ergebnis === null, 'Kein Demo-Fall mit zwei Kontoständen.')
+    if (!ergebnis) return
+
+    // Ein Demo-Fall, der sich selbst widerspricht, ist schlimmer als
+    // einer ohne Buchungen: Man rechnet nach und verliert das Vertrauen.
+    expect(ergebnis.tatsaechlich).toBe(ergebnis.erwartet)
+  })
+
+  test('die Erkennung wiederkehrender Zahlungen findet mehrere Gruppen', async ({ page }) => {
+    await anmelden(page)
+    await page.goto('/finanzen/wiederkehrend')
+
+    const inhalt = await page.locator('body').innerText()
+
+    // Monatliches und Vierteljährliches, beides erkannt.
+    expect(inhalt).toContain('Seniorenzentrum')
+    expect(inhalt).toContain('TeleCare')
+    expect(inhalt).toContain('Beitragsservice')
+    expect(inhalt).toContain('monatlich')
+    expect(inhalt).toContain('vierteljährlich')
+
+    // Der eigentliche Vorführeffekt: Das Heim steht in drei Schreibweisen
+    // auf dem Auszug und wird trotzdem als eine Zahlung geführt.
+    expect(inhalt).toContain('3 Schreibweisen zusammengefasst')
+
+    // Die Sterbekasse steht im zweiten Abschnitt: Zu ihr gibt es einen
+    // Vertrag, die Zahlungen sind ihm aber noch nicht zugeordnet. Damit
+    // lässt sich der Handgriff aus der Dauerzahlungs-Zuordnung am
+    // Demo-Fall ausprobieren, statt ihn nur zu beschreiben.
+    expect(inhalt).toContain('Schon einem Vertrag zugeordnet')
+    expect(inhalt).toContain('Nordheim Sterbekasse')
+    expect(inhalt).toContain('als belegt zuordnen')
+  })
+
+  test('das Kassenbuch zeigt die Buchungen und die fehlende Quittung', async ({ page }) => {
+    await anmelden(page)
+    await page.goto('/finanzen/buchungen')
+
+    const inhalt = await page.locator('body').innerText()
+    expect(inhalt).toContain('Heimentgelt')
+    // Die eine Buchung ohne Quittung und ohne Begründung.
+    expect(inhalt).toContain('Modehaus Lindner')
+  })
+})
@@ -0,0 +1,116 @@
+import { expect, test } from '@playwright/test'
+import { PrismaClient } from '@prisma/client'
+import { anmelden } from './hilfen'
+
+/**
+ * Verweise über Aktengrenzen hinweg — gegen die echte Anwendung.
+ *
+ * Die Auswahllisten im Browser zeigen nur die eigene Akte. Darauf darf
+ * sich der Server nicht verlassen: Wer das Formular verändert, schickt
+ * jede beliebige Id.
+ *
+ * Genau das wird hier nachgestellt — nicht als nachgebauter Aufruf,
+ * sondern indem dem echten Auswahlfeld ein Eintrag mit einer fremden Id
+ * untergeschoben und das Formular ganz normal abgeschickt wird. Nur so
+ * beweist der Test etwas: Er liefe rot, wenn die Prüfung fehlte.
+ *
+ * Solange nur eine betreute Person angelegt ist, wäre der Fehler
+ * folgenlos. Er bliebe es nicht — ein fremder Name stünde im Briefkopf.
+ */
+
+const KENNUNG = 'Prüfhausen Fremdakte'
+
+async function mitDb<T>(arbeit: (db: PrismaClient) => Promise<T>): Promise<T> {
+  const db = new PrismaClient()
+  try {
+    return await arbeit(db)
+  } finally {
+    await db.$disconnect()
+  }
+}
+
+async function aufraeumen(): Promise<void> {
+  await mitDb(async (db) => {
+    await db.betreute.deleteMany({ where: { nachname: { contains: 'Fremdakte' } } })
+  })
+}
+
+test.describe('Verweise auf eine fremde Akte', () => {
+  test.beforeAll(async () => {
+    await aufraeumen()
+  })
+
+  test.afterAll(async () => {
+    await aufraeumen()
+  })
+
+  test('weist einen Kontakt aus einer anderen Akte ab', async ({ page }) => {
+    // Zweite Akte mit einem Kontakt darin — der angemeldete Benutzer hat
+    // auf sie keinen Zugriff.
+    const fremderKontakt = await mitDb(async (db) => {
+      const fremde = await db.betreute.create({
+        data: {
+          vorname: 'Otto',
+          nachname: `${KENNUNG} Fremdakte`,
+          geburtsdatum: new Date(Date.UTC(1940, 0, 1)),
+        },
+      })
+      const kontakt = await db.kontakt.create({
+        data: {
+          betreuteId: fremde.id,
+          name: `${KENNUNG} Fremder Sachbearbeiter`,
+          rolle: 'SACHBEARBEITER_BEZIRK',
+        },
+      })
+      return kontakt.id
+    })
+
+    await anmelden(page)
+    // Irgendeinen Vorgang der eigenen Akte öffnen.
+    const vorgangId = await mitDb(async (db) => {
+      const vorgang = await db.vorgang.findFirst({
+        where: { geloeschtAm: null, betreute: { vorname: 'Erika' } },
+        select: { id: true },
+      })
+      return vorgang?.id ?? ''
+    })
+    test.skip(vorgangId === '', 'Kein Vorgang in der eigenen Akte.')
+
+    await page.goto(`/vorgaenge/${vorgangId}`)
+    const auswahl = page.locator('select[name="ansprechpartnerId"]')
+    await auswahl.waitFor()
+
+    // Dem echten Auswahlfeld die fremde Id unterschieben und ganz normal
+    // abschicken — so, wie es ein verändertes Formular täte.
+    await auswahl.evaluate((feld, id) => {
+      const eintrag = document.createElement('option')
+      eintrag.value = id
+      eintrag.textContent = 'untergeschoben'
+      ;(feld as HTMLSelectElement).append(eintrag)
+      ;(feld as HTMLSelectElement).value = id
+    }, fremderKontakt)
+
+    await page.getByRole('button', { name: 'Speichern' }).click()
+
+    // Der Server lehnt ab, mit einer Meldung, die den Grund nennt.
+    // Grosszuegige Frist: Im Entwicklungsmodus wird die Server Action beim
+    // ersten Aufruf uebersetzt, und das dauert laenger als die Vorgabe.
+    await expect(page.getByText(/gehört nicht zu dieser betreuten Person/).first()).toBeVisible({
+      timeout: 45_000,
+    })
+
+    // Und vor allem: Die Verknüpfung ist nicht entstanden.
+    const verknuepft = await mitDb((db) =>
+      db.vorgang.count({ where: { ansprechpartnerId: fremderKontakt } }),
+    )
+    expect(verknuepft).toBe(0)
+  })
+
+  test('die Auswahlliste zeigt den fremden Kontakt gar nicht erst', async ({ page }) => {
+    await anmelden(page)
+    await page.goto('/vorgaenge')
+
+    const inhalt = await page.locator('body').innerText()
+    expect(inhalt).not.toContain('Fremder Sachbearbeiter')
+  })
+})
@@ -117,3 +117,46 @@ export function beispielPdf(text = 'Bescheid'): Buffer {

  return Buffer.from(pdf, 'latin1')
 }
+
+/**
+ * Doppelt gerenderte Listen — was beim Suchen schiefgeht.
+ *
+ * Die Dokumentenliste (und moeglicherweise kuenftig weitere) rendert
+ * denselben Inhalt ZWEIMAL: als Karten fuers Handy, als Tabelle ab
+ * Tablet. Eine der beiden Fassungen ist per Breakpoint versteckt, steht
+ * aber im DOM.
+ *
+ * Die Folge im Test:
+ *
+ *   await expect(page.getByText('Bescheid').first()).toBeVisible()
+ *   // -> "element is not visible", obwohl die Seite richtig aussieht
+ *
+ * `.first()` nimmt, was zuerst im Baum steht - und das ist die Karte,
+ * also am Schreibtisch die unsichtbare Fassung. Es liegt NICHT an der
+ * Anwendung.
+ *
+ * Nachgemessen an /dokumente mit acht Dokumenten: Ein Titel liefert 16
+ * Treffer, davon 8 sichtbar - und `.first()` ist unsichtbar.
+ *
+ * Drei Wege, die tragen:
+ *
+ *   1. Ueber den Seitentext pruefen, wenn es nur um "steht das da?" geht:
+ *
+ *        const inhalt = await page.locator('body').innerText()
+ *        expect(inhalt).toContain('Bescheid')
+ *
+ *      innerText liefert nur sichtbaren Text - die versteckte Fassung
+ *      faellt von selbst weg. (Fuer Inhalt in einem zugeklappten
+ *      <details> braucht es dagegen textContent.)
+ *
+ *   2. Auf die sichtbare Fassung einschraenken, wenn geklickt wird:
+ *
+ *        page.getByRole('link', { name: 'Bescheid' }).locator('visible=true')
+ *
+ *   3. Die Zusammenfassungszeile pruefen ("12 Dokumente"), wenn es um
+ *      Anzahlen geht - die steht nur einmal.
+ *
+ * Was nicht traegt: eine feste Anzahl erwarten. `getByText(...)` findet
+ * jeden Eintrag zweimal, und wer das mit toHaveCount(1) prueft, schreibt
+ * einen Test, der bei jeder Layoutaenderung umfaellt.
+ */
@@ -1,6 +1,6 @@
 {
  "name": "betreuungs-cockpit",
-  "version": "1.10.0",
+  "version": "1.12.0",
  "private": true,
  "description": "Arbeits- und Dokumentationswerkzeug fuer die ehrenamtliche rechtliche Betreuung",
  "engines": {
@@ -18,6 +18,7 @@
    "db:migrate": "prisma migrate dev",
    "db:deploy": "prisma migrate deploy",
    "db:migration": "node scripts/migration-erzeugen.mjs",
+    "speicher:verschluesseln": "tsx --env-file=.env scripts/speicher-verschluesseln.mts",
    "db:pruefen": "node -e \"import('./scripts/migration-erzeugen.mjs').then(m => m.indizesPruefen())\"",
    "db:volltext": "prisma db execute --schema prisma/schema.prisma --file prisma/sql/volltextsuche.sql",
    "db:seed": "prisma db seed",
@@ -37,8 +38,8 @@
    "seed": "tsx prisma/seed.ts"
  },
  "dependencies": {
-    "@aws-sdk/client-s3": "3.735.0",
-    "@aws-sdk/s3-request-presigner": "3.735.0",
+    "@aws-sdk/client-s3": "3.1116.0",
+    "@aws-sdk/s3-request-presigner": "3.1116.0",
    "@node-rs/argon2": "2.0.2",
    "@prisma/client": "6.3.1",
    "@radix-ui/react-dialog": "1.1.4",
@@ -54,9 +55,9 @@
    "date-fns": "4.1.0",
    "docx": "9.1.1",
    "lucide-react": "0.474.0",
-    "next": "15.1.6",
-    "next-auth": "5.0.0-beta.25",
-    "nodemailer": "6.10.0",
+    "next": "15.5.23",
+    "next-auth": "5.0.0-beta.32",
+    "nodemailer": "9.0.5",
    "otpauth": "9.3.6",
    "pdf-lib": "1.17.1",
    "qrcode": "1.5.4",
@@ -69,22 +70,22 @@
    "zod": "3.24.1"
  },
  "devDependencies": {
-    "@playwright/test": "1.50.1",
+    "@playwright/test": "1.62.1",
    "@types/archiver": "6.0.3",
    "@types/node": "22.13.1",
-    "@types/nodemailer": "6.4.17",
+    "@types/nodemailer": "7.0.4",
    "@types/qrcode": "1.5.5",
    "@types/react": "19.0.8",
    "@types/react-dom": "19.0.3",
    "autoprefixer": "10.4.20",
-    "eslint": "9.19.0",
-    "eslint-config-next": "15.1.6",
-    "postcss": "8.5.1",
+    "eslint": "9.39.1",
+    "eslint-config-next": "15.5.23",
+    "postcss": "8.5.26",
    "prisma": "6.3.1",
    "tailwindcss": "3.4.17",
-    "tsx": "4.19.2",
+    "tsx": "4.20.6",
    "typescript": "5.7.3",
-    "vitest": "3.0.5"
+    "vitest": "3.2.6"
  },
  "allowScripts": {
    "@prisma/client@6.3.1": true,
@@ -99,6 +100,9 @@
    "next-auth": {
      "@simplewebauthn/server": "$@simplewebauthn/server",
      "@simplewebauthn/browser": "$@simplewebauthn/browser"
-    }
+    },
+    "nodemailer": "9.0.5",
+    "postcss": "8.5.26",
+    "sharp": "0.35.3"
  }
 }
@@ -0,0 +1,31 @@
+-- sicherheitsaudit
+--
+-- Erzeugt mit "npm run db:migration". Entfernt wurden die
+-- DROP-INDEX-Anweisungen zu diesen Indizes:
+--   dokument_absender_trgm
+--   vorgang_titel_trgm
+--
+-- Sie stammen aus prisma/sql/volltextsuche.sql und sind Prisma unbekannt;
+-- ohne sie waere die Volltextsuche still langsam geworden.
+
+-- AlterTable
+ALTER TABLE "benutzer" ADD COLUMN     "totpLetzterSchritt" INTEGER;
+
+-- CreateTable
+CREATE TABLE "ersteinrichtung" (
+    "id" TEXT NOT NULL,
+    "abgeschlossenAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    "userId" TEXT,
+
+    CONSTRAINT "ersteinrichtung_pkey" PRIMARY KEY ("id")
+);
+
+-- Bestehende Installationen nachziehen.
+--
+-- Die Tabelle oben ist die Sperre fuer die Ersteinrichtung. Auf einem
+-- System, das schon laeuft, ist die Einrichtung laengst erledigt - ohne
+-- diese Zeile stuende die Sperre nach dem Update offen, und der Weg zum
+-- Anlegen eines Administrators waere wieder frei.
+INSERT INTO "ersteinrichtung" ("id", "userId")
+SELECT 'einmalig', (SELECT "id" FROM "benutzer" ORDER BY "erstelltAm" ASC LIMIT 1)
+WHERE EXISTS (SELECT 1 FROM "benutzer");
@@ -70,6 +70,13 @@ model User {
  // TOTP ist Pflicht. Das Secret liegt verschluesselt, nicht im Klartext.
  totpSecretVerschluesselt String?
  totpAktiviertAm          DateTime?
+  /// Der zuletzt akzeptierte TOTP-Zeitschritt (Unixzeit / 30).
+  ///
+  /// Ein TOTP-Code gilt 30 Sekunden, mit Toleranz bis zu 90. In dieser Zeit
+  /// liesse sich derselbe Code ein zweites Mal einloesen - abgelesen ueber
+  /// die Schulter oder abgefangen. Deshalb wird der Schritt festgehalten
+  /// und nur noch ein groesserer akzeptiert.
+  totpLetzterSchritt       Int?
  // Einmal-Wiederherstellungscodes, einzeln Argon2id-gehasht.
  wiederherstellungscodes  String[]  @default([])

@@ -128,6 +135,25 @@ model BetreuungsZugang {
  @@map("betreuungs_zugang")
 }

+/// Haelt fest, dass die Ersteinrichtung stattgefunden hat.
+///
+/// Die Tabelle hat genau eine Zeile mit fester Id. Das ist kein Protokoll,
+/// sondern eine Sperre: Vorher stand im Code "wenn es noch keinen Benutzer
+/// gibt, lege einen an" - zwei Anfragen gleichzeitig kamen beide durch die
+/// Pruefung und legten beide einen Administrator an. Ueber den
+/// Primaerschluessel entscheidet das jetzt die Datenbank, und zwar fuer
+/// genau einen Gewinner.
+model Ersteinrichtung {
+  /// Immer "einmalig". Der feste Wert ist die Sperre.
+  id String @id
+
+  abgeschlossenAm DateTime @default(now())
+  /// Wer den Zugang angelegt hat - nur zum Nachvollziehen.
+  userId          String?
+
+  @@map("ersteinrichtung")
+}
+
 /// Fehlgeschlagene und erfolgreiche Anmeldeversuche - Grundlage fuer das
 /// Rate-Limiting am Login. Wird nach 30 Tagen aufgeraeumt.
 model LoginVersuch {
@@ -22,7 +22,7 @@
 *
 * Der Seed ist idempotent: mehrfaches Ausfuehren aendert nichts.
 */
-import { PrismaClient } from '@prisma/client'
+import { PrismaClient, type BuchungKategorie, type Prisma } from '@prisma/client'
 import { hash } from '@node-rs/argon2'
 import { createCipheriv, randomBytes } from 'node:crypto'

@@ -112,6 +112,14 @@ async function ersterZugang() {
    },
  })

+  // Die Ersteinrichtung ist damit erledigt. Ohne diese Zeile stuende die
+  // Einrichtungsseite nach dem Seed weiter offen.
+  await db.ersteinrichtung.upsert({
+    where: { id: 'einmalig' },
+    update: {},
+    create: { id: 'einmalig', userId: benutzer.id },
+  })
+
  console.log(`Zugang ${email} angelegt.`)
  if (devSecret) {
    console.log('  Zweiter Faktor mit dem Entwicklungs-Geheimnis vorbelegt.')
@@ -263,9 +271,11 @@ async function demofall(userId: string) {
      art: 'GIRO',
      ibanVerschluesselt: verschluesseln('DE02773501100123456789', 'ibanVerschluesselt'),
      saldostaende: {
+        // Nur der Anfangsstand. Der spaetere wird weiter unten aus den
+        // Buchungen gerechnet - ein Demofall, der sich selbst
+        // widerspricht, waere schlimmer als einer ohne Buchungen.
        create: [
          { stichtag: datum('2026-02-14'), betragCent: cent(4218.36), quelle: 'Kontoauszug 02/2026' },
-          { stichtag: datum('2026-07-31'), betragCent: cent(2967.11), quelle: 'Kontoauszug 07/2026' },
        ],
      },
    },
@@ -523,6 +533,309 @@ async function demofall(userId: string) {
    })
  }

+
+  // --- Kontobewegungen ----------------------------------------------------
+  // Zwoelf Monate auf dem Girokonto. Erzeugt aus einem Muster und nicht
+  // einzeln abgetippt: So bleibt der Fall aenderbar, und die Betraege
+  // widersprechen sich nicht.
+  //
+  // Die Gegenstellen sind absichtlich uneinheitlich geschrieben. Genau
+  // damit muss die Zusammenfassung wiederkehrender Zahlungen umgehen - auf
+  // einem Kontoauszug steht dieselbe Stelle auch mal in Grossbuchstaben.
+  type Buchungsvorlage = {
+    tag: number
+    betrag: number
+    richtung: 'EINNAHME' | 'AUSGABE'
+    kategorie: BuchungKategorie
+    gegenstellen: string[]
+    zweck: string
+  }
+
+  const MONATLICH: Buchungsvorlage[] = [
+    {
+      tag: 1,
+      betrag: 1284.17,
+      richtung: 'EINNAHME',
+      kategorie: 'RENTE',
+      gegenstellen: [
+        'Deutsche Rentenversicherung Bund',
+        'DRV BUND',
+        'Deutsche Rentenversich. Bund',
+      ],
+      zweck: 'Altersrente',
+    },
+    {
+      tag: 1,
+      betrag: 96.4,
+      richtung: 'EINNAHME',
+      kategorie: 'RENTE',
+      gegenstellen: ['Zusatzversorgungskasse Bayern', 'ZVK Bayern'],
+      zweck: 'Betriebsrente',
+    },
+    {
+      tag: 3,
+      betrag: 1262,
+      richtung: 'EINNAHME',
+      kategorie: 'PFLEGEKASSE',
+      gegenstellen: ['Pflegekasse bei der AOK Bayern', 'AOK Bayern - Pflegekasse'],
+      zweck: 'Leistung vollstationaere Pflege, Pflegegrad 3',
+    },
+    {
+      tag: 5,
+      betrag: 2489,
+      richtung: 'AUSGABE',
+      kategorie: 'HEIMKOSTEN',
+      gegenstellen: [
+        'Seniorenzentrum St. Katharina',
+        'SENIORENZENTRUM ST KATHARINA',
+        'Seniorenzentrum St. Katharina gGmbH',
+      ],
+      zweck: 'Heimentgelt',
+    },
+    {
+      tag: 5,
+      betrag: 135,
+      richtung: 'AUSGABE',
+      kategorie: 'BARBETRAG',
+      // Eigene Gegenstelle, nicht das Heim: Sonst faellt der Barbetrag
+      // mit dem Heimentgelt in eine Gruppe, und aus zwei sauberen
+      // monatlichen Zahlungen wird eine "schwankende".
+      gegenstellen: ['Barauszahlung Verwahrgeldkonto'],
+      zweck: 'Barbetrag zur persoenlichen Verfuegung',
+    },
+    {
+      tag: 15,
+      betrag: 18.4,
+      richtung: 'AUSGABE',
+      kategorie: 'VERSICHERUNG',
+      gegenstellen: ['Nordheim Sterbekasse VVaG', 'NORDHEIM STERBEKASSE', 'Nordheim Sterbekasse'],
+      zweck: 'Beitrag Sterbegeldversicherung SG-220417',
+    },
+    {
+      tag: 20,
+      betrag: 24.9,
+      richtung: 'AUSGABE',
+      kategorie: 'TELEFON_INTERNET',
+      gegenstellen: ['TeleCare Kommunikation GmbH', 'TELECARE KOMMUNIKATION'],
+      zweck: 'Telefon und Fernsehen im Zimmer',
+    },
+    {
+      tag: 28,
+      betrag: 4.9,
+      richtung: 'AUSGABE',
+      kategorie: 'BANKGEBUEHREN',
+      gegenstellen: ['Sparkasse Bayreuth'],
+      zweck: 'Kontofuehrung',
+    },
+  ]
+
+  /** Zwoelf Monate bis einschliesslich Juli 2026. */
+  const MONATE = [
+    '2025-08',
+    '2025-09',
+    '2025-10',
+    '2025-11',
+    '2025-12',
+    '2026-01',
+    '2026-02',
+    '2026-03',
+    '2026-04',
+    '2026-05',
+    '2026-06',
+    '2026-07',
+  ]
+
+  const buchungen: Prisma.BuchungCreateManyInput[] = []
+
+  MONATE.forEach((monat, lauf) => {
+    MONATLICH.forEach((vorlage, stelle) => {
+      // Die Sterbegeld-Lastschrift steigt im Mai 2026. Daran wird die
+      // Pruefung beim Zuordnen einer Dauerzahlung sichtbar: Der Betrag
+      // weicht vom hinterlegten Beitrag ab.
+      const betrag =
+        vorlage.kategorie === 'VERSICHERUNG' && monat >= '2026-05' ? 19.8 : vorlage.betrag
+
+      buchungen.push({
+        betreuteId: betreute.id,
+        kontoId: giro.id,
+        datum: datum(`${monat}-${String(vorlage.tag).padStart(2, '0')}`),
+        betragCent: cent(betrag),
+        richtung: vorlage.richtung,
+        kategorie: vorlage.kategorie,
+        gegenstelle: vorlage.gegenstellen[lauf % vorlage.gegenstellen.length],
+        verwendungszweckVerschluesselt: verschluesseln(
+          vorlage.zweck,
+          'verwendungszweckVerschluesselt',
+        ),
+        // Wiederkehrende Zahlungen brauchen keinen Einzelbeleg - der
+        // Bescheid bzw. der Vertrag dahinter ist der Nachweis.
+        belegFehltBegruendung:
+          vorlage.richtung === 'EINNAHME'
+            ? 'Laufender Bezug, Nachweis ist der Bescheid.'
+            : 'Wiederkehrende Zahlung aus laufendem Vertrag.',
+        // Die Stelle in der Vorlagenliste gehoert in die Referenz: Zwei
+        // Renten am Monatsersten haetten sonst dieselbe, und der
+        // Unique-Index gegen Doppelbuchungen schlaegt zu Recht zu.
+        importReferenz: `demo-${monat}-${stelle}-${vorlage.kategorie}`,
+      })
+    })
+  })
+
+  // Vierteljaehrliches und Einmaliges - damit nicht alles im Monatsraster
+  // liegt und die Belegpflicht etwas zu zeigen hat.
+  const EINZELN: {
+    datum: string
+    betrag: number
+    richtung: 'EINNAHME' | 'AUSGABE'
+    kategorie: BuchungKategorie
+    gegenstelle: string
+    zweck: string
+    begruendung?: string
+  }[] = [
+    {
+      datum: '2025-08-15',
+      betrag: 55.08,
+      richtung: 'AUSGABE',
+      kategorie: 'RUNDFUNKBEITRAG',
+      gegenstelle: 'ARD ZDF Deutschlandradio Beitragsservice',
+      zweck: 'Rundfunkbeitrag 3. Quartal 2025',
+      begruendung: 'Wiederkehrende Zahlung, Beitragsbescheid liegt vor.',
+    },
+    {
+      datum: '2025-11-15',
+      betrag: 55.08,
+      richtung: 'AUSGABE',
+      kategorie: 'RUNDFUNKBEITRAG',
+      gegenstelle: 'ARD ZDF Deutschlandradio Beitragsservice',
+      zweck: 'Rundfunkbeitrag 4. Quartal 2025',
+      begruendung: 'Wiederkehrende Zahlung, Beitragsbescheid liegt vor.',
+    },
+    {
+      datum: '2026-02-15',
+      betrag: 55.08,
+      richtung: 'AUSGABE',
+      kategorie: 'RUNDFUNKBEITRAG',
+      gegenstelle: 'ARD ZDF Deutschlandradio Beitragsservice',
+      zweck: 'Rundfunkbeitrag 1. Quartal 2026',
+      begruendung: 'Wiederkehrende Zahlung, Beitragsbescheid liegt vor.',
+    },
+    {
+      datum: '2026-05-15',
+      betrag: 55.08,
+      richtung: 'AUSGABE',
+      kategorie: 'RUNDFUNKBEITRAG',
+      gegenstelle: 'ARD ZDF Deutschlandradio Beitragsservice',
+      zweck: 'Rundfunkbeitrag 2. Quartal 2026',
+      begruendung: 'Wiederkehrende Zahlung, Beitragsbescheid liegt vor.',
+    },
+    {
+      datum: '2026-02-16',
+      betrag: 187.5,
+      richtung: 'AUSGABE',
+      kategorie: 'GRUNDSTEUER',
+      gegenstelle: 'Gemeinde Bindlach',
+      zweck: 'Grundsteuer B, 1. Rate 2026',
+      begruendung: 'Bescheid der Gemeinde liegt in der Akte.',
+    },
+    {
+      datum: '2026-05-16',
+      betrag: 187.5,
+      richtung: 'AUSGABE',
+      kategorie: 'GRUNDSTEUER',
+      gegenstelle: 'Gemeinde Bindlach',
+      zweck: 'Grundsteuer B, 2. Rate 2026',
+      begruendung: 'Bescheid der Gemeinde liegt in der Akte.',
+    },
+    {
+      datum: '2026-01-19',
+      betrag: 240,
+      richtung: 'AUSGABE',
+      kategorie: 'IMMOBILIE_BETRIEBSKOSTEN',
+      gegenstelle: 'Stadtwerke Bayreuth',
+      zweck: 'Abschlag Strom und Wasser, Haus Bindlach',
+      begruendung: 'Jahresabrechnung steht noch aus.',
+    },
+    {
+      datum: '2026-03-11',
+      betrag: 10,
+      richtung: 'AUSGABE',
+      kategorie: 'ZUZAHLUNG',
+      gegenstelle: 'Apotheke am Markt',
+      zweck: 'Zuzahlung Rezept',
+      begruendung: 'Quittung liegt in der Akte.',
+    },
+    // Der Fall fuer die Belegpflicht: keine Quittung und keine Begruendung.
+    // Genau so sieht eine Buchung aus, die noch Arbeit macht.
+    {
+      datum: '2026-04-08',
+      betrag: 89.95,
+      richtung: 'AUSGABE',
+      kategorie: 'BEKLEIDUNG',
+      gegenstelle: 'Modehaus Lindner',
+      zweck: 'Winterjacke und zwei Nachthemden',
+    },
+    {
+      datum: '2026-06-17',
+      betrag: 23,
+      richtung: 'AUSGABE',
+      kategorie: 'SONSTIGE_AUSGABE',
+      gegenstelle: 'Friseur im Haus',
+      zweck: 'Friseur',
+      begruendung: 'Bar aus dem Barbetrag bezahlt, keine Quittung ausgestellt.',
+    },
+    {
+      datum: '2026-07-02',
+      betrag: 62.4,
+      richtung: 'EINNAHME',
+      kategorie: 'ZINSEN',
+      gegenstelle: 'Sparkasse Bayreuth',
+      zweck: 'Zinsgutschrift',
+      begruendung: 'Der Kontoauszug ist der Nachweis.',
+    },
+  ]
+
+  for (const eintrag of EINZELN) {
+    buchungen.push({
+      betreuteId: betreute.id,
+      kontoId: giro.id,
+      datum: datum(eintrag.datum),
+      betragCent: cent(eintrag.betrag),
+      richtung: eintrag.richtung,
+      kategorie: eintrag.kategorie,
+      gegenstelle: eintrag.gegenstelle,
+      verwendungszweckVerschluesselt: verschluesseln(
+        eintrag.zweck,
+        'verwendungszweckVerschluesselt',
+      ),
+      belegFehltBegruendung: eintrag.begruendung ?? null,
+      importReferenz: `demo-${eintrag.datum}-${eintrag.kategorie}`,
+    })
+  }
+
+  await db.buchung.createMany({ data: buchungen })
+
+  // Der Kontostand zum 31.07.2026 wird gerechnet, nicht behauptet: Anfangs-
+  // stand plus alles, was seither ueber das Konto gelaufen ist. Sonst
+  // widerspraeche der Demofall sich selbst, sobald jemand nachrechnet.
+  const bewegungCent = buchungen
+    .filter((eintrag) => {
+      const tag = eintrag.datum as Date
+      return tag > datum('2026-02-14') && tag <= datum('2026-07-31')
+    })
+    .reduce((summe, eintrag) => {
+      const betrag = eintrag.betragCent as bigint
+      return eintrag.richtung === 'EINNAHME' ? summe + betrag : summe - betrag
+    }, 0n)
+
+  await db.saldostand.create({
+    data: {
+      kontoId: giro.id,
+      stichtag: datum('2026-07-31'),
+      betragCent: cent(4218.36) + bewegungCent,
+      quelle: 'Kontoauszug 07/2026',
+    },
+  })
+
  console.log('Demofall "Erika Musterfrau" angelegt.')
 }

@@ -18,6 +18,7 @@ AUTH_SECRET=${b64(32)}
 ENC_KEY_V1=${b64(32)}
 ENC_KEY_AKTIV=1
 INDEX_KEY=${b64(32)}
+ERSTEINRICHTUNG_GEHEIMNIS=${b64(24)}
 POSTGRES_PASSWORD=${b64(24).replace(/[+/=]/g, 'x')}

 # WICHTIG: ENC_KEY_V1 geht NICHT verloren gehen duerfen.
@@ -1,6 +1,6 @@
 #!/bin/sh
 # =============================================================================
-# Taegliche Sicherung der Datenbank
+# Taegliche Sicherung: Datenbank UND Dokumente
 # =============================================================================
 #
 # Laeuft im Behaelter "sicherung" per cron um 03:15 Uhr. Von Hand:
@@ -10,17 +10,44 @@
 # Was passiert:
 #   1. pg_dump im eigenen Format (-Fc), damit einzelne Tabellen
 #      wiederherstellbar bleiben.
-#   2. Verschluesselung mit AES-256 und PBKDF2 aus SICHERUNG_PASSWORT.
+#   2. Die abgelegten Dokumente als Archiv.
+#   3. Beides verschluesselt mit AES-256 und PBKDF2 aus SICHERUNG_PASSWORT.
 #      Das Backup liegt oft auf fremdem Speicher - unverschluesselt waere
 #      es ein Datenleck mit Ansage.
-#   3. SHA-256-Pruefsumme daneben.
-#   4. Staende, die aelter sind als SICHERUNG_AUFBEWAHRUNG_TAGE, entfernen.
+#   4. SHA-256-Pruefsumme je Datei.
+#   5. Staende, die aelter sind als SICHERUNG_AUFBEWAHRUNG_TAGE, entfernen.
 #      Der jeweils erste Stand eines Monats bleibt stehen.
 #
-# WICHTIG: Dieses Backup enthaelt die verschluesselten Felder, aber NICHT
-# den Schluessel ENC_KEY_V1. Ohne ihn sind Diagnosen, IBANs und Notizen
-# auch aus einer wiederhergestellten Datenbank nicht lesbar. Den Schluessel
-# getrennt sichern - Passwortmanager oder ausgedruckt im Ordner.
+# ## Warum die Dokumente dazugehoeren
+#
+# Bis v1.11.0 sicherte dieses Skript nur die Datenbank. Nach einem
+# Plattenschaden waere die Akte vollstaendig wiederhergestellt worden -
+# mit allen Eintraegen, Verweisen und Pruefsummen, aber ohne eine einzige
+# Datei dahinter. Die Pruefsumme in der Akte haette dann ein Dokument
+# belegt, das es nicht mehr gibt. Gegenueber dem Betreuungsgericht ist das
+# der schlechteste denkbare Zustand.
+#
+# ## Warum das Ablageverzeichnis roh eingepackt wird
+#
+# Der naheliegende Weg waere "mc mirror" aus dem MinIO-Client. Der ist in
+# diesem Behaelter aber nicht vorhanden und muesste bei jedem Lauf aus dem
+# Netz geholt werden - eine Internetabhaengigkeit im Sicherungspfad ist
+# genau das, was man dort nicht will.
+#
+# Stattdessen wird das Datenverzeichnis direkt eingepackt. Das ist
+# vertretbar, weil MinIO ein Objekt erst vollstaendig unter .minio.sys/tmp
+# schreibt und dann an seinen Platz umbenennt: Ein laufender Upload liegt
+# also nie halbfertig im Archiv, er fehlt hoechstens. Bei einem Lauf um
+# 03:15 Uhr auf einem Einzelplatzsystem ist auch das unwahrscheinlich.
+#
+# Derselbe Weg deckt den Dateitreiber mit ab - dort liegen die Dateien
+# ebenfalls einfach im Verzeichnis.
+#
+# WICHTIG: Dieses Backup enthaelt die verschluesselten Felder und die
+# verschluesselten Dateien, aber NICHT den Schluessel ENC_KEY_V1. Ohne ihn
+# sind Diagnosen, IBANs, Notizen und Dokumente auch aus einer
+# wiederhergestellten Sicherung nicht lesbar. Den Schluessel getrennt
+# sichern - Passwortmanager oder ausgedruckt im Ordner.
 # =============================================================================

 set -eu
@@ -30,6 +57,11 @@ AUFBEWAHRUNG="${SICHERUNG_AUFBEWAHRUNG_TAGE:-30}"
 ZEITSTEMPEL="$(date +%Y-%m-%d_%H%M)"
 TAG_IM_MONAT="$(date +%d)"
 DATEI="$ZIEL/cockpit_${ZEITSTEMPEL}.dump.enc"
+DOKUMENTE_DATEI="$ZIEL/dokumente_${ZEITSTEMPEL}.tar.gz.enc"
+
+# Wo die Dokumente liegen. Der Behaelter bekommt das Ablageverzeichnis
+# eingehaengt - siehe docker-compose.yml, Dienst "sicherung".
+DOKUMENTE_QUELLE="${SICHERUNG_DOKUMENTE_QUELLE:-/dokumente}"

 if [ -z "${SICHERUNG_PASSWORT:-}" ]; then
  echo "$(date -Iseconds) FEHLER: SICHERUNG_PASSWORT ist nicht gesetzt. Abbruch." >&2
@@ -50,17 +82,39 @@ pg_dump --format=custom --compress=6 --no-owner --no-privileges \
 GROESSE="$(du -h "$DATEI" | cut -f1)"
 sha256sum "$DATEI" > "$DATEI.sha256"

-# Der jeweils erste Stand eines Monats bekommt eine Markierung und bleibt
-# beim Aufraeumen verschont.
-if [ "$TAG_IM_MONAT" = "01" ]; then
-  touch "$DATEI.monatsstand"
+echo "$(date -Iseconds) Datenbank gesichert ($GROESSE)"
+
+# --- Dokumente ---------------------------------------------------------------
+# Schlaegt dieser Teil fehl, bricht der ganze Lauf ab (set -e). Das ist
+# Absicht: Eine Sicherung, die nur die halbe Wahrheit enthaelt, aber
+# vollstaendig aussieht, ist schlimmer als gar keine - man verlaesst sich
+# darauf und merkt es erst im Ernstfall.
+if [ ! -d "$DOKUMENTE_QUELLE" ]; then
+  echo "$(date -Iseconds) FEHLER: Das Ablageverzeichnis $DOKUMENTE_QUELLE ist nicht eingehaengt." >&2
+  echo "                        Ohne die Dokumente ist die Sicherung unvollstaendig." >&2
+  echo "                        Siehe docker-compose.yml, Dienst \"sicherung\"." >&2
+  rm -f "$DATEI" "$DATEI.sha256"
+  exit 1
 fi

-echo "$(date -Iseconds) Sicherung fertig ($GROESSE)"
+# "tar" ohne Leitung an einen Verbraucher, der frueh schliesst - sonst
+# SIGPIPE, siehe die Anmerkung zur Selbstpruefung weiter unten.
+tar -czf - -C "$DOKUMENTE_QUELLE" .   | openssl enc -aes-256-cbc -pbkdf2 -iter 200000 -salt       -pass env:SICHERUNG_PASSWORT       -out "$DOKUMENTE_DATEI"
+
+DOK_GROESSE="$(du -h "$DOKUMENTE_DATEI" | cut -f1)"
+sha256sum "$DOKUMENTE_DATEI" > "$DOKUMENTE_DATEI.sha256"
+
+echo "$(date -Iseconds) Dokumente gesichert ($DOK_GROESSE)"
+
+# Der jeweils erste Stand eines Monats bekommt eine Markierung und bleibt
+# beim Aufraeumen verschont. Beide Teile, sonst faellt die Haelfte weg.
+if [ "$TAG_IM_MONAT" = "01" ]; then
+  touch "$DATEI.monatsstand" "$DOKUMENTE_DATEI.monatsstand"
+fi

 # --- Aufraeumen --------------------------------------------------------------
 ENTFERNT=0
-for alt in "$ZIEL"/cockpit_*.dump.enc; do
+for alt in "$ZIEL"/cockpit_*.dump.enc "$ZIEL"/dokumente_*.tar.gz.enc; do
  [ -e "$alt" ] || continue
  [ -e "$alt.monatsstand" ] && continue

@@ -75,11 +129,30 @@ done
 # --- Selbstpruefung ----------------------------------------------------------
 # Ein Backup, das sich nicht entschluesseln laesst, ist kein Backup.
 # Deshalb wird sofort geprueft, ob die Datei wieder lesbar ist.
-if openssl enc -d -aes-256-cbc -pbkdf2 -iter 200000 \
-     -pass env:SICHERUNG_PASSWORT -in "$DATEI" 2>/dev/null \
-   | head -c 5 | grep -q "PGDMP"; then
-  echo "$(date -Iseconds) Selbstpruefung bestanden."
-else
-  echo "$(date -Iseconds) FEHLER: Die Sicherung laesst sich nicht entschluesseln!" >&2
+# Kein "| head -c 5 | grep -q": Beide schliessen die Leitung, sobald sie
+# genug haben. openssl schreibt dann in ein geschlossenes Rohr, bekommt
+# SIGPIPE - und mit "set -o pipefail" gilt die ganze Kette als
+# gescheitert. Bei einer kleinen Datenbank faellt das nicht auf, weil
+# alles schon im Puffer steht; mit wachsender Datenbank kippt es, und
+# dann meldet die Selbstpruefung eine INTAKTE Sicherung als kaputt.
+#
+# "dd" liest eine feste Menge und beendet sich regulaer.
+KOPF="$(openssl enc -d -aes-256-cbc -pbkdf2 -iter 200000 \
+          -pass env:SICHERUNG_PASSWORT -in "$DATEI" 2>/dev/null \
+        | dd bs=1 count=5 2>/dev/null || true)"
+
+if [ "$KOPF" != "PGDMP" ]; then
+  echo "$(date -Iseconds) FEHLER: Der Datenbankstand laesst sich nicht entschluesseln!" >&2
  exit 1
 fi
+
+# Dasselbe fuer die Dokumente: entschluesseln und das Archiv auflisten
+# lassen. "tar -tzf" liest die ganze Datei und meldet jeden Schaden - das
+# ist bei den Groessenordnungen hier bezahlbar und sagt mehr aus als ein
+# Blick auf die ersten Bytes.
+if ! openssl enc -d -aes-256-cbc -pbkdf2 -iter 200000        -pass env:SICHERUNG_PASSWORT -in "$DOKUMENTE_DATEI" 2>/dev/null      | tar -tzf - >/dev/null 2>&1; then
+  echo "$(date -Iseconds) FEHLER: Das Dokumentenarchiv laesst sich nicht lesen!" >&2
+  exit 1
+fi
+
+echo "$(date -Iseconds) Selbstpruefung bestanden - Datenbank und Dokumente."
@@ -0,0 +1,184 @@
+/**
+ * Bestehende Dateien nachtraeglich in den Umschlag stecken.
+ *
+ *   npm run speicher:verschluesseln            # nur schauen
+ *   npm run speicher:verschluesseln -- --anwenden
+ *
+ * Warum es diesen Lauf gibt: Der Objektspeicher-Treiber hat bis v1.10.2
+ * unverschluesselt abgelegt - es stand nur ServerSideEncryption: 'AES256'
+ * darauf, also Verschluesselung mit dem Schluessel des Anbieters. Seit
+ * v1.11.0 liegt derselbe Umschlag darum wie beim Dateitreiber. Neue Dateien
+ * bekommen ihn beim Ablegen; die alten liegen weiter im Klartext, bis sie
+ * hier einmal umgeschrieben werden.
+ *
+ * Lesen funktioniert waehrenddessen durchgehend: Der Treiber erkennt am
+ * Kopf, ob ein Umschlag da ist, und reicht alles andere unveraendert durch.
+ * Der Lauf laesst sich also jederzeit starten, abbrechen und wiederholen.
+ *
+ * Er ist absichtlich langsam und einfach: ein Objekt nach dem anderen,
+ * lesen, pruefen, zurueckschreiben. Bei ein paar hundert Dokumenten dauert
+ * das Sekunden, und ein Fehler betrifft immer nur eine Datei.
+ *
+ * OHNE --anwenden wird nichts geschrieben.
+ */
+import { createRequire } from 'node:module'
+import { readFile, writeFile } from 'node:fs/promises'
+
+/**
+ * "server-only" fuer diesen Lauf neutralisieren.
+ *
+ * Das Paket wirft beim Import ausserhalb einer Server-Umgebung - genau
+ * dafuer ist es da. Hier laufen wir aber bewusst ausserhalb von Next, und
+ * die Alternative waere, den Umschlag im Skript noch einmal zu schreiben.
+ * Zwei Fassungen derselben Krypto sind die schlechtere Wahl: Wenn eine
+ * davon abweicht, merkt es niemand, bis eine Datei nicht mehr aufgeht.
+ *
+ * Deshalb wird der Modullader vorher umgebogen und danach dynamisch
+ * importiert - statische Importe wuerden vorgezogen und liefen in den
+ * Fehler.
+ */
+const verlangen = createRequire(import.meta.url)
+const modulLader = verlangen('node:module') as {
+  _load: (anfrage: string, ...rest: unknown[]) => unknown
+}
+const echterLader = modulLader._load
+modulLader._load = function (anfrage: string, ...rest: unknown[]) {
+  if (anfrage === 'server-only') return {}
+  return echterLader.call(this, anfrage, ...rest)
+}
+
+const { env } = await import('../src/lib/env')
+const { istVerschluesselt, verschluesselnBinaer } = await import('../src/lib/speicher/umschlag')
+
+const anwenden = process.argv.includes('--anwenden')
+
+type Bilanz = { geprueft: number; umgeschrieben: number; schonGut: number; fehler: number }
+
+function zeile(text = ''): void {
+  console.log(text)
+}
+
+/** Objektspeicher: auflisten, lesen, bei Bedarf zurueckschreiben. */
+async function s3Durchgehen(): Promise<Bilanz> {
+  const s3 = await import('../src/lib/speicher/s3')
+  const bilanz: Bilanz = { geprueft: 0, umgeschrieben: 0, schonGut: 0, fehler: 0 }
+
+  const schluessel = await s3.objekteAuflisten()
+  zeile(`  ${schluessel.length} Objekte im Eimer "${env.s3.bucket}".`)
+  zeile()
+
+  for (const eintrag of schluessel) {
+    bilanz.geprueft += 1
+    try {
+      const roh = await s3.rohLesen(eintrag)
+
+      if (istVerschluesselt(roh)) {
+        bilanz.schonGut += 1
+        continue
+      }
+
+      if (anwenden) {
+        // schreiben() legt den Umschlag selbst an - der Inhalt geht also
+        // als Klartext hinein und kommt verschluesselt im Eimer an.
+        await s3.schreiben(eintrag, roh, 'application/octet-stream')
+      }
+      bilanz.umgeschrieben += 1
+      zeile(`    ${anwenden ? 'umgeschrieben' : 'waere umzuschreiben'}: ${eintrag}`)
+    } catch (fehler) {
+      bilanz.fehler += 1
+      zeile(`    FEHLER bei ${eintrag}: ${fehler instanceof Error ? fehler.message : fehler}`)
+    }
+  }
+
+  return bilanz
+}
+
+/** Dateitreiber: dasselbe fuer das Ablageverzeichnis. */
+async function dateienDurchgehen(): Promise<Bilanz> {
+  const { readdir, stat } = await import('node:fs/promises')
+  const { join, relative, sep } = await import('node:path')
+  const treiber = await import('../src/lib/speicher/datei')
+  const bilanz: Bilanz = { geprueft: 0, umgeschrieben: 0, schonGut: 0, fehler: 0 }
+
+  const wurzel = treiber.ablageverzeichnis()
+  zeile(`  Verzeichnis ${wurzel}`)
+  zeile()
+
+  async function absteigen(verzeichnis: string): Promise<void> {
+    let eintraege: string[]
+    try {
+      eintraege = await readdir(verzeichnis)
+    } catch {
+      return // gibt es noch nicht
+    }
+
+    for (const name of eintraege) {
+      const pfad = join(verzeichnis, name)
+      if ((await stat(pfad)).isDirectory()) {
+        await absteigen(pfad)
+        continue
+      }
+
+      bilanz.geprueft += 1
+      try {
+        const roh = await readFile(pfad)
+        if (istVerschluesselt(roh)) {
+          bilanz.schonGut += 1
+          continue
+        }
+
+        // Der Ablageschluessel ist der Pfad unterhalb der Wurzel, mit
+        // Schraegstrichen - genau das, was der Treiber beim Schreiben
+        // benutzt. Er gehoert in die Zusatzdaten, sonst waere die Datei
+        // hinterher zwar verschluesselt, aber nicht an ihren Platz
+        // gebunden, und liesse sich unter fremdem Namen wieder einspielen.
+        const ablageschluessel = relative(wurzel, pfad).split(sep).join('/')
+
+        if (anwenden) {
+          await writeFile(pfad, verschluesselnBinaer(roh, ablageschluessel), { mode: 0o600 })
+        }
+        bilanz.umgeschrieben += 1
+        zeile(`    ${anwenden ? 'umgeschrieben' : 'waere umzuschreiben'}: ${pfad}`)
+      } catch (fehler) {
+        bilanz.fehler += 1
+        zeile(`    FEHLER bei ${pfad}: ${fehler instanceof Error ? fehler.message : fehler}`)
+      }
+    }
+  }
+
+  await absteigen(wurzel)
+  return bilanz
+}
+
+async function main(): Promise<void> {
+  zeile()
+  zeile('  Bestehende Dateien in den Umschlag stecken')
+  zeile('  ' + '-'.repeat(50))
+  zeile()
+
+  if (!anwenden) {
+    zeile('  TROCKENLAUF - es wird nichts geschrieben.')
+    zeile('  Zum Anwenden: npm run speicher:verschluesseln -- --anwenden')
+    zeile()
+  }
+
+  const treiber = env.speicherTreiber
+  zeile(`  Treiber: ${treiber}`)
+  zeile()
+
+  const bilanz = treiber === 's3' ? await s3Durchgehen() : await dateienDurchgehen()
+
+  zeile()
+  zeile(`  Geprueft:        ${bilanz.geprueft}`)
+  zeile(`  Schon im Umschlag: ${bilanz.schonGut}`)
+  zeile(`  ${anwenden ? 'Umgeschrieben' : 'Umzuschreiben'}:   ${bilanz.umgeschrieben}`)
+  if (bilanz.fehler > 0) zeile(`  Fehler:          ${bilanz.fehler}`)
+  zeile()
+
+  if (bilanz.fehler > 0) process.exitCode = 1
+}
+
+main().catch((fehler) => {
+  console.error(fehler)
+  process.exitCode = 1
+})
@@ -52,6 +52,32 @@ gut()      { printf '    %s%s%s\n' "$GRUEN" "$1" "$AUS"; }
 warnung()  { printf '    %s%s%s\n' "$GELB" "$1" "$AUS"; }
 abbruch()  { printf '\n%sAbbruch: %s%s\n\n' "$ROT" "$1" "$AUS" >&2; exit 1; }

+# --- Unerwarteter Abbruch ----------------------------------------------------
+#
+# "set -e" beendet das Skript bei jedem Befehl, der nicht 0 zurueckgibt -
+# stumm. Auf dem Bildschirm bricht die Ausgabe dann einfach ab, und man
+# sucht an der falschen Stelle.
+#
+# Genau das ist beim Sprung von v1.5.0 auf v1.10.1 passiert: Eine Leitung
+# der Form "git log ... | head -15" hat den Erzeuger mit SIGPIPE beendet,
+# "pipefail" hat das an die Kette weitergereicht, und das Skript war weg.
+#
+# Diese Falle sagt jetzt wenigstens, WO es passiert ist. Exitcode 141
+# heisst SIGPIPE - dann wurde irgendwo wieder eine Leitung zu frueh
+# geschlossen.
+unerwartet() {
+  code=$1
+  zeile=$2
+  printf '%sAbbruch in Zeile %s (Exitcode %s).%s\n' "$ROT" "$zeile" "$code" "$AUS" >&2
+  if [ "$code" = "141" ]; then
+    printf '%sExitcode 141 ist SIGPIPE: eine Leitung wurde zu frueh geschlossen,%s\n' "$ROT" "$AUS" >&2
+    printf '%setwa durch "| head". Das ist ein Fehler im Skript, nicht bei dir.%s\n' "$ROT" "$AUS" >&2
+  fi
+  printf '%sKam der Abbruch vor Schritt 5, wurde nichts veraendert.%s\n' "$ROT" "$AUS" >&2
+}
+trap 'unerwartet $? $LINENO' ERR
+
+
 # --- Aufrufparameter ---------------------------------------------------------

 ZIEL=""
@@ -113,7 +139,11 @@ if ! git fetch --tags --quiet origin; then
 fi

 JETZT="$(git describe --tags --exact-match 2>/dev/null || git rev-parse --short HEAD)"
-NEUESTE="$(git tag --list 'v*' --sort=-v:refname | head -1)"
+# Kein "| head -1": Siehe den Hinweis zu SIGPIPE weiter unten. Die erste
+# Zeile holt die Shell selbst.
+ALLE_TAGS="$(git tag --list 'v*' --sort=-v:refname)"
+NEUESTE="${ALLE_TAGS%%$'
+'*}"

 [ -n "$NEUESTE" ] || abbruch "Es gibt keine veroeffentlichte Fassung (kein Tag)."

@@ -123,7 +153,8 @@ fi

 git rev-parse --verify --quiet "$ZIEL^{commit}" >/dev/null \
  || abbruch "Die Fassung '$ZIEL' gibt es nicht. Vorhanden:
-$(git tag --list 'v*' --sort=-v:refname | head -5 | sed 's/^/           /')"
+$(printf '%s
+' "$ALLE_TAGS" | sed -n '1,5p' | sed 's/^/           /')"

 printf '    Jetzt:   %s\n' "$JETZT"
 printf '    Ziel:    %s%s%s\n' "$FETT" "$ZIEL" "$AUS"
@@ -152,14 +183,23 @@ if [ -n "$CHANGELOG" ]; then
      if (nummer == jetzt) exit
      drucken = (nummer != "Unveröffentlicht")
    }
-    drucken { print "    " $0 }
-  ' | head -60
+    drucken && zeilen < 60 { print "    " $0; zeilen++ }
+  '
 else
  warnung "Kein CHANGELOG.md in $ZIEL gefunden."
 fi

 printf '\n'
-git log --oneline --no-decorate "HEAD..$ZIEL" | head -15 | sed 's/^/    /'
+# "-15" statt "| head -15": Bei mehr Commits als der Grenze schliesst head
+# die Leitung, git bekommt SIGPIPE, und mit "set -o pipefail" gilt die ganze
+# Kette als gescheitert - "set -e" beendet das Skript dann OHNE Meldung.
+# Genau das ist beim Sprung von v1.5.0 auf v1.10.1 passiert.
+ANZAHL="$(git rev-list --count "HEAD..$ZIEL")"
+git log --oneline --no-decorate -15 "HEAD..$ZIEL" | sed 's/^/    /'
+if [ "$ANZAHL" -gt 15 ]; then
+  printf '    ... und %s weitere
+' "$((ANZAHL - 15))"
+fi

 if [ "$NUR_PRUEFEN" = "1" ]; then
  printf '\n'
@@ -9,7 +9,7 @@
 # ausdruecklich nach, weil dabei der aktuelle Datenbestand ueberschrieben
 # wird.
 #
-# ZWEI DINGE, DIE MAN VORHER WISSEN MUSS:
+# DREI DINGE, DIE MAN VORHER WISSEN MUSS:
 #
 # 1. Die Sicherung enthaelt die anwendungsseitig verschluesselten Felder,
 #    aber NICHT den Schluessel. Ohne den passenden ENC_KEY_Vn aus der .env
@@ -20,6 +20,14 @@
 #    das hier einmal im Jahr auf einer Testdatenbank aus, bevor du es im
 #    Ernstfall zum ersten Mal brauchst. Siehe README, Abschnitt
 #    "Wiederherstellung ueben".
+#
+# 3. Die Dokumente werden NICHT selbsttaetig an ihren Platz geschrieben.
+#    Dieses Skript packt sie nach ./backups aus und sagt, wie es
+#    weitergeht. Grund: Der Sicherungsdienst hat auf das Ablageverzeichnis
+#    bewusst nur Lesezugriff (siehe docker-compose.yml), und in ein
+#    laufendes MinIO hineinzuschreiben wuerde dessen Datenbestand
+#    beschaedigen. Der letzte Handgriff bleibt beim Menschen - er ist ein
+#    Einzeiler und im Klartext beschrieben.
 # =============================================================================

 set -eu
@@ -87,7 +95,44 @@ openssl enc -d -aes-256-cbc -pbkdf2 -iter 200000 \
  | pg_restore --clean --if-exists --no-owner --no-privileges \
      --dbname="${PGDATABASE:-postgres}" --exit-on-error

-echo "$(date -Iseconds) Wiederherstellung abgeschlossen."
+echo "$(date -Iseconds) Datenbank wiederhergestellt."
+
+# --- Dokumente ---------------------------------------------------------------
+# Zu "cockpit_2026-09-01_0315.dump.enc" gehoert
+# "dokumente_2026-09-01_0315.tar.gz.enc" - gleicher Zeitstempel, anderer
+# Name. Fehlt sie, stammt die Sicherung aus einer Fassung vor v1.12.0.
+ZEITSTEMPEL="$(basename "$DATEI" | sed -n 's/^cockpit_\(.*\)\.dump\.enc$/\1/p')"
+DOKUMENTE_DATEI="$(dirname "$DATEI")/dokumente_${ZEITSTEMPEL}.tar.gz.enc"
+AUSPACKZIEL="$(dirname "$DATEI")/dokumente-wiederhergestellt_${ZEITSTEMPEL}"
+
+if [ ! -f "$DOKUMENTE_DATEI" ]; then
+  echo ""
+  echo "WARNUNG: Zu dieser Sicherung gibt es kein Dokumentenarchiv."
+  echo "         Erwartet wurde: $DOKUMENTE_DATEI"
+  echo "         Sicherungen aus Fassungen vor v1.12.0 enthalten nur die"
+  echo "         Datenbank. Die Akte ist dann vollstaendig, die Dateien"
+  echo "         dahinter fehlen."
+else
+  if [ -f "$DOKUMENTE_DATEI.sha256" ]; then
+    echo "Pruefsumme des Dokumentenarchivs wird geprueft ..."
+    if sha256sum -c "$DOKUMENTE_DATEI.sha256" >/dev/null 2>&1; then
+      echo "  in Ordnung."
+    else
+      echo "FEHLER: Die Pruefsumme des Dokumentenarchivs stimmt nicht." >&2
+      exit 1
+    fi
+  fi
+
+  mkdir -p "$AUSPACKZIEL"
+  openssl enc -d -aes-256-cbc -pbkdf2 -iter 200000 \
+      -pass env:SICHERUNG_PASSWORT -in "$DOKUMENTE_DATEI" \
+    | tar -xzf - -C "$AUSPACKZIEL"
+
+  ANZAHL="$(find "$AUSPACKZIEL" -type f | wc -l)"
+  echo "$(date -Iseconds) Dokumente ausgepackt: $ANZAHL Dateien nach"
+  echo "                        $AUSPACKZIEL"
+fi
+
 echo ""
 echo "Naechste Schritte:"
 echo "  1. Die SQL-Skripte erneut ausfuehren (Volltextsuche und Audit-Schutz):"
@@ -95,6 +140,21 @@ echo "       docker compose exec app npm run db:sql"
 echo "  2. Pruefen, ob ENC_KEY_V1 in der .env zu diesem Bestand passt -"
 echo "     ohne den richtigen Schluessel bleiben die verschluesselten"
 echo "     Felder unlesbar."
-echo "  3. In der Anwendung eine betreute Person oeffnen und nachsehen, ob"
-echo "     die Diagnosen im Klartext erscheinen. Erst dann ist die"
+echo "  3. Die Dokumente an ihren Platz bringen. Dazu MinIO anhalten, das"
+echo "     Datenverzeichnis ersetzen und wieder starten - auf dem Host,"
+echo "     nicht in diesem Behaelter:"
+echo ""
+echo "       docker compose stop minio app"
+echo "       docker run --rm \\"
+echo "         -v betreuungs-cockpit_minio-daten:/ziel \\"
+echo "         -v \"\$PWD/backups:/quelle:ro\" alpine \\"
+echo "         sh -c 'rm -rf /ziel/* /ziel/..?* && cp -a /quelle/dokumente-wiederhergestellt_*/. /ziel/'"
+echo "       docker compose up -d"
+echo ""
+echo "     Steht mehr als ein ausgepacktes Verzeichnis unter ./backups,"
+echo "     vorher das richtige auswaehlen statt des Sternchens."
+echo ""
+echo "  4. In der Anwendung eine betreute Person oeffnen und nachsehen, ob"
+echo "     die Diagnosen im Klartext erscheinen. Dann ein Dokument"
+echo "     herunterladen. Erst wenn beides klappt, ist die"
 echo "     Wiederherstellung wirklich gelungen."
@@ -1,6 +1,6 @@
 import { Readable } from 'node:stream'
 import type { NextRequest } from 'next/server'
-import { aktiveBetreute, erfordereBenutzer, reauthGueltig } from '@/lib/auth/sitzung'
+import { aktiveBetreute, benutzerFuerRoute, reauthGueltig } from '@/lib/auth/sitzung'
 import { darf } from '@/lib/auth/rollen'
 import { db, nichtGeloescht } from '@/lib/db'
 import { protokollieren } from '@/lib/audit'
@@ -33,7 +33,11 @@ function abgelehnt(nachricht: string, status: number): Response {
 }

 export async function GET(anfrage: NextRequest): Promise<Response> {
-  const benutzer = await erfordereBenutzer('/berichte/export')
+  // Eine Route antwortet mit einem Statuscode, nicht mit einer
+  // Anmeldeseite als Dateiinhalt.
+  const angemeldet = await benutzerFuerRoute()
+  if (!angemeldet.ok) return angemeldet.antwort
+  const benutzer = angemeldet.benutzer

  const gewuenscht = anfrage.nextUrl.searchParams.get('betreute')
  const aktive = await aktiveBetreute(benutzer)
@@ -1,163 +1,163 @@
-import Link from 'next/link'
-import {
-  Archive,
-  CalendarClock,
-  FolderArchive,
-  Paperclip,
-  ScrollText,
-} from 'lucide-react'
-import { SeitenKopf } from '@/components/seiten-kopf'
-import { Rechtshinweis } from '@/components/rechtshinweis'
-import { Badge } from '@/components/ui/badge'
-import { Card, CardDescription, CardHeader, CardTitle } from '@/components/ui/card'
-import { BerichtsListe } from '@/components/berichte/berichts-liste'
-import { berichtskontext, berichtsZeilenLaden } from '@/components/berichte/kontext'
-import { HinweisKarten } from '@/components/hinweise/HinweisKarten'
-import { db, nichtGeloescht } from '@/lib/db'
-import { formatDatum, relativeTage, tageBis } from '@/lib/utils'
-
-export const metadata = { title: 'Berichte' }
-
-/** Fristen, hinter denen ein Bericht steht - danach sucht die Übersicht. */
-const BERICHTSFRISTEN = [
-  'anfangsbericht',
-  'jahresbericht',
-  'vermoegensverzeichnis',
-  'vermoegensuebersicht',
-  'rechnungslegung',
-]
-
-const WEGE = [
-  {
-    href: '/berichte/jahresbericht',
-    titel: 'Jahresbericht',
-    beschreibung:
-      'Textentwurf aus Kontaktprotokollen, Gesundheitsereignissen und Vorgängen – zum Überarbeiten, nicht zum blinden Abgeben.',
-    icon: ScrollText,
-  },
-  {
-    href: '/berichte/belegmappe',
-    titel: 'Belegmappe',
-    beschreibung:
-      'Alle Belege eines Zeitraums oder eines Vorgangs als ein PDF mit Deckblatt und Verzeichnis.',
-    icon: FolderArchive,
-  },
-  {
-    href: '/berichte/unterlagenpaket',
-    titel: 'Unterlagen für den Träger',
-    beschreibung:
-      'Die nachgeforderten Unterlagen als ein PDF mit Anschreiben, laufender Nummer und Inhaltsverzeichnis.',
-    icon: Paperclip,
-  },
-  {
-    href: '/berichte/export',
-    titel: 'Vollexport',
-    beschreibung:
-      'Alles, was gespeichert ist, als ZIP – damit du auch ohne diese Anwendung weiterarbeiten kannst.',
-    icon: Archive,
-  },
-]
-
-/**
- * Die Berichtsuebersicht beantwortet zwei Fragen:
- * "Was ist demnaechst faellig?" und "Was habe ich wann abgegeben?".
- *
- * Die erste Frage kommt aus den Fristen - dort stehen die gesetzlichen
- * Pflichten mit Datum. Die zweite aus den protokollierten Berichten.
- */
-export default async function BerichteSeite() {
-  const { betreuteId, darfBerichteSchreiben } = await berichtskontext('lesen')
-
-  const [fristen, zeilen] = await Promise.all([
-    db.frist.findMany({
-      where: {
-        betreuteId,
-        status: 'OFFEN',
-        ...nichtGeloescht,
-        OR: BERICHTSFRISTEN.map((schluessel) => ({
-          systemSchluessel: { startsWith: schluessel },
-        })),
-      },
-      orderBy: { datum: 'asc' },
-      take: 10,
-    }),
-    berichtsZeilenLaden(betreuteId, darfBerichteSchreiben),
-  ])
-
-  return (
-    <div className="space-y-8">
-      <SeitenKopf
-        titel="Berichte"
-        pfad={[{ titel: 'Berichte' }]}
-        beschreibung="Was das Betreuungsgericht und der Sozialhilfeträger von dir sehen wollen – und was du ihnen wann vorgelegt hast."
-      />
-
-      <section className="space-y-3" aria-label="Demnächst fällig">
-        <h2 className="text-base font-semibold">Demnächst fällig</h2>
-        {fristen.length === 0 ? (
-          <p className="text-sm text-muted-foreground">
-            Zurzeit steht keine Berichtsfrist offen. Prüfe unter{' '}
-            <Link href="/fristen" className="underline underline-offset-4">
-              Fristen
-            </Link>
-            , ob die Pflichtfristen aus dem Bestellungsdatum schon abgeleitet sind.
-          </p>
-        ) : (
-          <ul className="divide-y rounded-md border">
-            {fristen.map((frist) => {
-              const tage = tageBis(frist.datum)
-              const variante =
-                tage < 0 ? 'rot' : tage <= 7 ? 'orange' : tage <= 31 ? 'gelb' : 'gruen'
-              return (
-                <li key={frist.id} className="flex flex-wrap items-center gap-3 p-3">
-                  <CalendarClock className="size-5 shrink-0 text-muted-foreground" aria-hidden="true" />
-                  <span className="min-w-0 flex-1">
-                    <span className="block font-medium">{frist.titel}</span>
-                    <span className="text-sm text-muted-foreground">
-                      {formatDatum(frist.datum)}
-                      {frist.rechtsgrundlage ? ` · ${frist.rechtsgrundlage}` : ''}
-                    </span>
-                  </span>
-                  {frist.ausschlussfrist && <Badge variant="rot">Ausschlussfrist</Badge>}
-                  <Badge variant={variante}>
-                    {tage < 0 ? `überfällig, ${relativeTage(tage)}` : relativeTage(tage)}
-                  </Badge>
-                </li>
-              )
-            })}
-          </ul>
-        )}
-      </section>
-
-      <section className="grid gap-4 md:grid-cols-2" aria-label="Was möchtest du erzeugen?">
-        {WEGE.map((weg) => {
-          const Icon = weg.icon
-          return (
-            <Card key={weg.href}>
-              <CardHeader className="flex flex-row items-start gap-3 space-y-0">
-                <Icon className="mt-0.5 size-5 shrink-0 text-primary" aria-hidden="true" />
-                <div className="min-w-0">
-                  <CardTitle className="text-lg">
-                    <Link href={weg.href} className="underline-offset-4 hover:underline">
-                      {weg.titel}
-                    </Link>
-                  </CardTitle>
-                  <CardDescription className="mt-1">{weg.beschreibung}</CardDescription>
-                </div>
-              </CardHeader>
-            </Card>
-          )
-        })}
-      </section>
-
-      <section className="space-y-3" aria-label="Erzeugte Berichte">
-        <h2 className="text-base font-semibold">Was ich abgegeben habe</h2>
-        <BerichtsListe zeilen={zeilen} darfSchreiben={darfBerichteSchreiben} />
-      </section>
-
-      <HinweisKarten kontext={['BERICHTE']} />
-
-      <Rechtshinweis rechtsgrundlage="§ 1863 BGB" />
-    </div>
-  )
-}
+import Link from 'next/link'
+import {
+  Archive,
+  CalendarClock,
+  FolderArchive,
+  Paperclip,
+  ScrollText,
+} from 'lucide-react'
+import { SeitenKopf } from '@/components/seiten-kopf'
+import { Rechtshinweis } from '@/components/rechtshinweis'
+import { Badge } from '@/components/ui/badge'
+import { Card, CardDescription, CardHeader, CardTitle } from '@/components/ui/card'
+import { BerichtsListe } from '@/components/berichte/berichts-liste'
+import { berichtskontext, berichtsZeilenLaden } from '@/components/berichte/kontext'
+import { HinweisKarten } from '@/components/hinweise/HinweisKarten'
+import { db, nichtGeloescht } from '@/lib/db'
+import { formatDatum, relativeTage, tageBis } from '@/lib/utils'
+
+export const metadata = { title: 'Berichte' }
+
+/** Fristen, hinter denen ein Bericht steht - danach sucht die Übersicht. */
+const BERICHTSFRISTEN = [
+  'anfangsbericht',
+  'jahresbericht',
+  'vermoegensverzeichnis',
+  'vermoegensuebersicht',
+  'rechnungslegung',
+]
+
+const WEGE = [
+  {
+    href: '/berichte/jahresbericht',
+    titel: 'Jahresbericht',
+    beschreibung:
+      'Textentwurf aus Kontaktprotokollen, Gesundheitsereignissen und Vorgängen – zum Überarbeiten, nicht zum blinden Abgeben.',
+    icon: ScrollText,
+  },
+  {
+    href: '/berichte/belegmappe',
+    titel: 'Belegmappe',
+    beschreibung:
+      'Alle Belege eines Zeitraums oder eines Vorgangs als ein PDF mit Deckblatt und Verzeichnis.',
+    icon: FolderArchive,
+  },
+  {
+    href: '/berichte/unterlagenpaket',
+    titel: 'Unterlagen für den Träger',
+    beschreibung:
+      'Die nachgeforderten Unterlagen als ein PDF mit Anschreiben, laufender Nummer und Inhaltsverzeichnis.',
+    icon: Paperclip,
+  },
+  {
+    href: '/berichte/export',
+    titel: 'Vollexport',
+    beschreibung:
+      'Alles, was gespeichert ist, als ZIP – damit du auch ohne diese Anwendung weiterarbeiten kannst.',
+    icon: Archive,
+  },
+]
+
+/**
+ * Die Berichtsuebersicht beantwortet zwei Fragen:
+ * "Was ist demnaechst faellig?" und "Was habe ich wann abgegeben?".
+ *
+ * Die erste Frage kommt aus den Fristen - dort stehen die gesetzlichen
+ * Pflichten mit Datum. Die zweite aus den protokollierten Berichten.
+ */
+export default async function BerichteSeite() {
+  const { betreuteId, darfBerichteSchreiben } = await berichtskontext('lesen')
+
+  const [fristen, zeilen] = await Promise.all([
+    db.frist.findMany({
+      where: {
+        betreuteId,
+        status: 'OFFEN',
+        ...nichtGeloescht,
+        OR: BERICHTSFRISTEN.map((schluessel) => ({
+          systemSchluessel: { startsWith: schluessel },
+        })),
+      },
+      orderBy: { datum: 'asc' },
+      take: 10,
+    }),
+    berichtsZeilenLaden(betreuteId, darfBerichteSchreiben),
+  ])
+
+  return (
+    <div className="space-y-8">
+      <SeitenKopf
+        titel="Berichte"
+        pfad={[{ titel: 'Berichte' }]}
+        beschreibung="Was das Betreuungsgericht und der Sozialhilfeträger von dir sehen wollen – und was du ihnen wann vorgelegt hast."
+      />
+
+      <section className="space-y-3" aria-label="Demnächst fällig">
+        <h2 className="text-base font-semibold">Demnächst fällig</h2>
+        {fristen.length === 0 ? (
+          <p className="text-sm text-muted-foreground">
+            Zurzeit steht keine Berichtsfrist offen. Prüfe unter{' '}
+            <Link href="/fristen" className="underline underline-offset-4">
+              Fristen
+            </Link>
+            , ob die Pflichtfristen aus dem Bestellungsdatum schon abgeleitet sind.
+          </p>
+        ) : (
+          <ul className="divide-y rounded-md border">
+            {fristen.map((frist) => {
+              const tage = tageBis(frist.datum)
+              const variante =
+                tage < 0 ? 'rot' : tage <= 7 ? 'orange' : tage <= 31 ? 'gelb' : 'gruen'
+              return (
+                <li key={frist.id} className="flex flex-wrap items-center gap-3 p-3">
+                  <CalendarClock className="size-5 shrink-0 text-muted-foreground" aria-hidden="true" />
+                  <span className="min-w-0 flex-1">
+                    <span className="block font-medium">{frist.titel}</span>
+                    <span className="text-sm text-muted-foreground">
+                      {formatDatum(frist.datum)}
+                      {frist.rechtsgrundlage ? ` · ${frist.rechtsgrundlage}` : ''}
+                    </span>
+                  </span>
+                  {frist.ausschlussfrist && <Badge variant="rot">Ausschlussfrist</Badge>}
+                  <Badge variant={variante}>
+                    {tage < 0 ? `überfällig, ${relativeTage(tage)}` : relativeTage(tage)}
+                  </Badge>
+                </li>
+              )
+            })}
+          </ul>
+        )}
+      </section>
+
+      <section className="grid gap-4 md:grid-cols-2" aria-label="Was möchtest du erzeugen?">
+        {WEGE.map((weg) => {
+          const Icon = weg.icon
+          return (
+            <Card key={weg.href}>
+              <CardHeader className="flex flex-row items-start gap-3 space-y-0">
+                <Icon className="mt-0.5 size-5 shrink-0 text-primary" aria-hidden="true" />
+                <div className="min-w-0">
+                  <CardTitle className="text-lg">
+                    <Link href={weg.href} className="underline-offset-4 hover:underline">
+                      {weg.titel}
+                    </Link>
+                  </CardTitle>
+                  <CardDescription className="mt-1">{weg.beschreibung}</CardDescription>
+                </div>
+              </CardHeader>
+            </Card>
+          )
+        })}
+      </section>
+
+      <section className="space-y-3" aria-label="Erzeugte Berichte">
+        <h2 className="text-base font-semibold">Was ich abgegeben habe</h2>
+        <BerichtsListe zeilen={zeilen} darfSchreiben={darfBerichteSchreiben} />
+      </section>
+
+      <HinweisKarten kontext={['BERICHTE']} />
+
+      <Rechtshinweis rechtsgrundlage="§ 1863 BGB" />
+    </div>
+  )
+}
@@ -1,149 +1,149 @@
-import { notFound } from 'next/navigation'
-import { Trash2 } from 'lucide-react'
-import { SeitenKopf } from '@/components/seiten-kopf'
-import { Card, CardContent, CardDescription, CardHeader, CardTitle } from '@/components/ui/card'
-import { AktionMitRueckfrage } from '@/components/sozialhilfe/bausteine'
-import { BescheidFormular } from '@/components/sozialhilfe/bescheid-formular'
-import { BescheidPruefung } from '@/components/sozialhilfe/bescheid-pruefung'
-import { oeffnen } from '@/lib/crypto/feld'
-import { db, nichtGeloescht } from '@/lib/db'
-import { alsIsoTag, heuteAlsTag } from '@/lib/fristen/datum'
-import { BESCHEID_ART_BESCHRIFTUNG } from '@/lib/sozialhilfe/bescheide'
-import { betragFormatieren } from '@/lib/finanzen/betrag'
-import {
-  fristAmpel,
-  rechtsbehelfsfristBerechnen,
-  zugangsvermutung,
-} from '@/lib/sozialhilfe/rechtsbehelf'
-import { sozialhilfeKontext } from '@/lib/sozialhilfe/zugang'
-import { bescheidLoeschen } from '@/server/actions/sozialhilfe'
-import { formatDatum } from '@/lib/utils'
-
-export const dynamic = 'force-dynamic'
-
-/**
- * Bescheid-Prüfung.
- *
- * Der Rechenweg der Widerspruchsfrist steht ausgeschrieben da - die
- * Anwendung kann sich irren, und wer eine Frist verpasst, soll sehen
- * können, wo die Rechnung abgebogen ist.
- */
-export default async function BescheidSeite({
-  params,
-}: {
-  params: Promise<{ antragId: string; bescheidId: string }>
-}) {
-  const { antragId, bescheidId } = await params
-  const { betreuteId, darfSchreiben } = await sozialhilfeKontext()
-
-  const bescheid = await db.bescheid.findFirst({
-    where: { id: bescheidId, antragId, antrag: { betreuteId }, ...nichtGeloescht },
-    include: { antrag: { select: { id: true, traeger: true, aktenzeichen: true } } },
-  })
-  if (!bescheid) notFound()
-
-  const offen = oeffnen('Bescheid', bescheid)
-  const heute = heuteAlsTag()
-
-  const ergebnis = rechtsbehelfsfristBerechnen({
-    zugegangenAm: bescheid.zugegangenAm,
-    bescheidVom: bescheid.bescheidVom,
-    fristMonate: bescheid.rechtsbehelfsfristMonate,
-    heute,
-  })
-
-  const vorschlag = zugangsvermutung(bescheid.bescheidVom)
-
-  return (
-    <div className="space-y-8">
-      <SeitenKopf
-        titel={`${BESCHEID_ART_BESCHRIFTUNG[bescheid.art]} vom ${formatDatum(bescheid.bescheidVom)}`}
-        beschreibung={
-          <>
-            {bescheid.antrag.traeger}
-            {bescheid.antrag.aktenzeichen ? ` · Az. ${bescheid.antrag.aktenzeichen}` : ''} · Zugang{' '}
-            {formatDatum(bescheid.zugegangenAm)}
-          </>
-        }
-        pfad={[
-          { titel: 'Start', href: '/heute' },
-          { titel: 'Sozialhilfe', href: '/sozialhilfe' },
-          { titel: 'Antragsakte', href: `/sozialhilfe/${antragId}` },
-          { titel: 'Bescheid' },
-        ]}
-      />
-
-      <BescheidPruefung
-        bescheidId={bescheid.id}
-        pruefStatus={bescheid.pruefStatus}
-        widerspruchEingelegtAm={
-          bescheid.widerspruchEingelegtAm ? alsIsoTag(bescheid.widerspruchEingelegtAm) : ''
-        }
-        darfSchreiben={darfSchreiben}
-        rechenweg={{
-          berechenbar: ergebnis.berechenbar,
-          widerspruchMoeglichBis: ergebnis.widerspruchMoeglichBis
-            ? alsIsoTag(ergebnis.widerspruchMoeglichBis)
-            : null,
-          rechnerischesEnde: ergebnis.rechnerischesEnde
-            ? alsIsoTag(ergebnis.rechnerischesEnde)
-            : null,
-          verschoben: ergebnis.verschoben,
-          tageVerbleibend: ergebnis.tageVerbleibend,
-          abgelaufen: ergebnis.abgelaufen,
-          ampel: fristAmpel(ergebnis),
-          schritte: ergebnis.schritte,
-          hinweise: ergebnis.hinweise,
-        }}
-      />
-
-      {offen.notizen && (
-        <Card>
-          <CardHeader>
-            <CardTitle>Notizen</CardTitle>
-            <CardDescription>Verschlüsselt gespeichert.</CardDescription>
-          </CardHeader>
-          <CardContent>
-            <p className="whitespace-pre-line text-sm">{offen.notizen}</p>
-          </CardContent>
-        </Card>
-      )}
-
-      {darfSchreiben && (
-        <section className="space-y-4">
-          <h2 className="text-lg font-semibold">Bescheid bearbeiten</h2>
-          <BescheidFormular
-            antragId={antragId}
-            zugangsvorschlag={{ datum: alsIsoTag(vorschlag.datum), hinweis: vorschlag.hinweis }}
-            werte={{
-              id: bescheid.id,
-              art: bescheid.art,
-              bescheidVom: alsIsoTag(bescheid.bescheidVom),
-              zugegangenAm: bescheid.zugegangenAm ? alsIsoTag(bescheid.zugegangenAm) : '',
-              zeitraumVon: bescheid.zeitraumVon ? alsIsoTag(bescheid.zeitraumVon) : '',
-              zeitraumBis: bescheid.zeitraumBis ? alsIsoTag(bescheid.zeitraumBis) : '',
-              betrag: bescheid.betragCent === null ? '' : betragFormatieren(bescheid.betragCent),
-              rechtsbehelfsfristMonate: bescheid.rechtsbehelfsfristMonate,
-              widerspruchEingelegtAm: bescheid.widerspruchEingelegtAm
-                ? alsIsoTag(bescheid.widerspruchEingelegtAm)
-                : '',
-              notizen: offen.notizen ?? '',
-            }}
-          />
-
-          <div className="border-t pt-6">
-            <AktionMitRueckfrage
-              aktion={bescheidLoeschen.bind(null, bescheid.id)}
-              frage="Diesen Bescheid in den Papierkorb legen? Er bleibt dort 30 Tage."
-              variant="outline"
-              size="default"
-            >
-              <Trash2 aria-hidden="true" />
-              Bescheid löschen
-            </AktionMitRueckfrage>
-          </div>
-        </section>
-      )}
-    </div>
-  )
-}
+import { notFound } from 'next/navigation'
+import { Trash2 } from 'lucide-react'
+import { SeitenKopf } from '@/components/seiten-kopf'
+import { Card, CardContent, CardDescription, CardHeader, CardTitle } from '@/components/ui/card'
+import { AktionMitRueckfrage } from '@/components/sozialhilfe/bausteine'
+import { BescheidFormular } from '@/components/sozialhilfe/bescheid-formular'
+import { BescheidPruefung } from '@/components/sozialhilfe/bescheid-pruefung'
+import { oeffnen } from '@/lib/crypto/feld'
+import { db, nichtGeloescht } from '@/lib/db'
+import { alsIsoTag, heuteAlsTag } from '@/lib/fristen/datum'
+import { BESCHEID_ART_BESCHRIFTUNG } from '@/lib/sozialhilfe/bescheide'
+import { betragFormatieren } from '@/lib/finanzen/betrag'
+import {
+  fristAmpel,
+  rechtsbehelfsfristBerechnen,
+  zugangsvermutung,
+} from '@/lib/sozialhilfe/rechtsbehelf'
+import { sozialhilfeKontext } from '@/lib/sozialhilfe/zugang'
+import { bescheidLoeschen } from '@/server/actions/sozialhilfe'
+import { formatDatum } from '@/lib/utils'
+
+export const dynamic = 'force-dynamic'
+
+/**
+ * Bescheid-Prüfung.
+ *
+ * Der Rechenweg der Widerspruchsfrist steht ausgeschrieben da - die
+ * Anwendung kann sich irren, und wer eine Frist verpasst, soll sehen
+ * können, wo die Rechnung abgebogen ist.
+ */
+export default async function BescheidSeite({
+  params,
+}: {
+  params: Promise<{ antragId: string; bescheidId: string }>
+}) {
+  const { antragId, bescheidId } = await params
+  const { betreuteId, darfSchreiben } = await sozialhilfeKontext()
+
+  const bescheid = await db.bescheid.findFirst({
+    where: { id: bescheidId, antragId, antrag: { betreuteId }, ...nichtGeloescht },
+    include: { antrag: { select: { id: true, traeger: true, aktenzeichen: true } } },
+  })
+  if (!bescheid) notFound()
+
+  const offen = oeffnen('Bescheid', bescheid)
+  const heute = heuteAlsTag()
+
+  const ergebnis = rechtsbehelfsfristBerechnen({
+    zugegangenAm: bescheid.zugegangenAm,
+    bescheidVom: bescheid.bescheidVom,
+    fristMonate: bescheid.rechtsbehelfsfristMonate,
+    heute,
+  })
+
+  const vorschlag = zugangsvermutung(bescheid.bescheidVom)
+
+  return (
+    <div className="space-y-8">
+      <SeitenKopf
+        titel={`${BESCHEID_ART_BESCHRIFTUNG[bescheid.art]} vom ${formatDatum(bescheid.bescheidVom)}`}
+        beschreibung={
+          <>
+            {bescheid.antrag.traeger}
+            {bescheid.antrag.aktenzeichen ? ` · Az. ${bescheid.antrag.aktenzeichen}` : ''} · Zugang{' '}
+            {formatDatum(bescheid.zugegangenAm)}
+          </>
+        }
+        pfad={[
+          { titel: 'Start', href: '/heute' },
+          { titel: 'Sozialhilfe', href: '/sozialhilfe' },
+          { titel: 'Antragsakte', href: `/sozialhilfe/${antragId}` },
+          { titel: 'Bescheid' },
+        ]}
+      />
+
+      <BescheidPruefung
+        bescheidId={bescheid.id}
+        pruefStatus={bescheid.pruefStatus}
+        widerspruchEingelegtAm={
+          bescheid.widerspruchEingelegtAm ? alsIsoTag(bescheid.widerspruchEingelegtAm) : ''
+        }
+        darfSchreiben={darfSchreiben}
+        rechenweg={{
+          berechenbar: ergebnis.berechenbar,
+          widerspruchMoeglichBis: ergebnis.widerspruchMoeglichBis
+            ? alsIsoTag(ergebnis.widerspruchMoeglichBis)
+            : null,
+          rechnerischesEnde: ergebnis.rechnerischesEnde
+            ? alsIsoTag(ergebnis.rechnerischesEnde)
+            : null,
+          verschoben: ergebnis.verschoben,
+          tageVerbleibend: ergebnis.tageVerbleibend,
+          abgelaufen: ergebnis.abgelaufen,
+          ampel: fristAmpel(ergebnis),
+          schritte: ergebnis.schritte,
+          hinweise: ergebnis.hinweise,
+        }}
+      />
+
+      {offen.notizen && (
+        <Card>
+          <CardHeader>
+            <CardTitle>Notizen</CardTitle>
+            <CardDescription>Verschlüsselt gespeichert.</CardDescription>
+          </CardHeader>
+          <CardContent>
+            <p className="whitespace-pre-line text-sm">{offen.notizen}</p>
+          </CardContent>
+        </Card>
+      )}
+
+      {darfSchreiben && (
+        <section className="space-y-4">
+          <h2 className="text-lg font-semibold">Bescheid bearbeiten</h2>
+          <BescheidFormular
+            antragId={antragId}
+            zugangsvorschlag={{ datum: alsIsoTag(vorschlag.datum), hinweis: vorschlag.hinweis }}
+            werte={{
+              id: bescheid.id,
+              art: bescheid.art,
+              bescheidVom: alsIsoTag(bescheid.bescheidVom),
+              zugegangenAm: bescheid.zugegangenAm ? alsIsoTag(bescheid.zugegangenAm) : '',
+              zeitraumVon: bescheid.zeitraumVon ? alsIsoTag(bescheid.zeitraumVon) : '',
+              zeitraumBis: bescheid.zeitraumBis ? alsIsoTag(bescheid.zeitraumBis) : '',
+              betrag: bescheid.betragCent === null ? '' : betragFormatieren(bescheid.betragCent),
+              rechtsbehelfsfristMonate: bescheid.rechtsbehelfsfristMonate,
+              widerspruchEingelegtAm: bescheid.widerspruchEingelegtAm
+                ? alsIsoTag(bescheid.widerspruchEingelegtAm)
+                : '',
+              notizen: offen.notizen ?? '',
+            }}
+          />
+
+          <div className="border-t pt-6">
+            <AktionMitRueckfrage
+              aktion={bescheidLoeschen.bind(null, bescheid.id)}
+              frage="Diesen Bescheid in den Papierkorb legen? Er bleibt dort 30 Tage."
+              variant="outline"
+              size="default"
+            >
+              <Trash2 aria-hidden="true" />
+              Bescheid löschen
+            </AktionMitRueckfrage>
+          </div>
+        </section>
+      )}
+    </div>
+  )
+}
@@ -1,232 +1,232 @@
-import { SeitenKopf } from '@/components/seiten-kopf'
-import { Rechtshinweis } from '@/components/rechtshinweis'
-import { Alert, AlertDescription, AlertTitle } from '@/components/ui/alert'
-import { Card, CardContent } from '@/components/ui/card'
-import { Vermoegensliste, type ListenPosten } from '@/components/sozialhilfe/vermoegensliste'
-import { oeffnen } from '@/lib/crypto/feld'
-import { centZuZahl, db, nichtGeloescht } from '@/lib/db'
-import { alsIsoTag } from '@/lib/fristen/datum'
-import { VERMOEGENS_ART_BESCHRIFTUNG } from '@/lib/finanzen/kategorien'
-import { MIT_RUECKKAUFSWERT, VERTRAG_ART_BESCHRIFTUNG } from '@/lib/vertraege/konstanten'
-import { BEWERTUNG_BESCHRIFTUNG } from '@/lib/sozialhilfe/schonvermoegen'
-import { freibetragVergleichen, uebersichtBilden } from '@/lib/sozialhilfe/vermoegensuebersicht'
-import { sozialhilfeKontext } from '@/lib/sozialhilfe/zugang'
-import { formatCent } from '@/lib/utils'
-import { AlertCircle } from 'lucide-react'
-
-export const dynamic = 'force-dynamic'
-
-/**
- * Vermögens-Bewertungsansicht.
- *
- * Sie zählt zusammen und stellt gegenüber - sie entscheidet nichts. Was
- * geschützt ist, sagt der Träger; bleibt man uneins, das Sozialgericht.
- * Deshalb heißt die Spalte "Einschätzung" und nicht "Bewertung".
- */
-export default async function VermoegensbewertungSeite() {
-  const { betreuteId, darfSchreiben } = await sozialhilfeKontext()
-
-  const [posten, vertraege] = await Promise.all([
-    db.vermoegensposten.findMany({
-      where: { betreuteId, ...nichtGeloescht },
-      include: { wertstaende: { orderBy: { stichtag: 'desc' }, take: 1 } },
-      orderBy: { bezeichnung: 'asc' },
-    }),
-    db.vertrag.findMany({
-      where: {
-        betreuteId,
-        // Nur Vertraege, die ueberhaupt einen Wert darstellen koennen. Ein
-        // Stromvertrag hat keinen Rueckkaufswert und wuerde die Liste zumuellen.
-        art: { in: [...MIT_RUECKKAUFSWERT] },
-        ...nichtGeloescht,
-      },
-      orderBy: { bezeichnung: 'asc' },
-    }),
-  ])
-
-  // Verträge, die schon als Vermögensposten geführt werden, nicht doppelt
-  // zeigen - sonst wäre die Summe zweimal drin.
-  const bereitsAlsPosten = new Set(
-    posten.map((p) => p.vertragId).filter((id): id is string => id !== null),
-  )
-
-  const zeilen: ListenPosten[] = [
-    ...posten.map((p) => {
-      const geoeffnet = oeffnen('Vermoegensposten', p)
-      const stand = p.wertstaende[0]
-      return {
-        id: p.id,
-        bezeichnung: p.bezeichnung,
-        herkunft: 'VERMOEGEN' as const,
-        art: p.art,
-        artBeschriftung: VERMOEGENS_ART_BESCHRIFTUNG[p.art],
-        bewertung: p.bewertungSozialhilfe,
-        wertCent: stand ? centZuZahl(stand.wertCent) : null,
-        wertStichtag: stand ? alsIsoTag(stand.stichtag) : null,
-        begruendung: geoeffnet.bewertungBegruendung ?? '',
-        zusatz: stand ? stand.wertquelle : null,
-      }
-    }),
-    ...vertraege
-      .filter((v) => !bereitsAlsPosten.has(v.id))
-      .map((v) => {
-        const geoeffnet = oeffnen('Vertrag', v)
-        return {
-          id: v.id,
-          bezeichnung: v.bezeichnung,
-          herkunft: 'VERTRAG' as const,
-          art: v.art,
-          artBeschriftung: VERTRAG_ART_BESCHRIFTUNG[v.art],
-          bewertung: v.bewertungSozialhilfe,
-          // Der Rückkaufswert steht am Vertrag nicht als Betrag; er wird
-          // als Vermögensposten mit Wertstand geführt. Bis dahin: offen.
-          wertCent: null,
-          wertStichtag: null,
-          begruendung: geoeffnet.bewertungBegruendung ?? '',
-          zusatz: v.gesellschaft,
-        }
-      }),
-  ]
-
-  const uebersicht = uebersichtBilden(
-    zeilen.map((z) => ({
-      id: z.id,
-      bezeichnung: z.bezeichnung,
-      herkunft: z.herkunft,
-      artBeschriftung: z.artBeschriftung,
-      bewertung: z.bewertung,
-      wertCent: z.wertCent === null ? null : BigInt(z.wertCent),
-      wertStichtag: null,
-      begruendung: z.begruendung,
-      href: '#',
-    })),
-  )
-
-  const vergleich = freibetragVergleichen(uebersicht.jeBewertung.VERWERTBAR.summeCent)
-
-  return (
-    <div className="space-y-8">
-      <SeitenKopf
-        titel="Vermögen bewerten"
-        beschreibung="Jeder Posten bekommt eine Einschätzung und — das ist der wichtige Teil — eine Begründung. Ohne Begründung hilft die Einordnung im Widerspruchsverfahren nicht weiter."
-        pfad={[
-          { titel: 'Start', href: '/heute' },
-          { titel: 'Sozialhilfe', href: '/sozialhilfe' },
-          { titel: 'Vermögen' },
-        ]}
-      />
-
-      <div className="grid gap-4 sm:grid-cols-2 lg:grid-cols-4">
-        <Summenkachel
-          titel={BEWERTUNG_BESCHRIFTUNG.VERWERTBAR}
-          betrag={uebersicht.jeBewertung.VERWERTBAR.summeCent}
-          anzahl={uebersicht.jeBewertung.VERWERTBAR.anzahl}
-          ohneWert={uebersicht.jeBewertung.VERWERTBAR.ohneWert}
-          farbe="text-ampel-rot"
-        />
-        <Summenkachel
-          titel={BEWERTUNG_BESCHRIFTUNG.GESCHUETZT}
-          betrag={uebersicht.jeBewertung.GESCHUETZT.summeCent}
-          anzahl={uebersicht.jeBewertung.GESCHUETZT.anzahl}
-          ohneWert={uebersicht.jeBewertung.GESCHUETZT.ohneWert}
-          farbe="text-ampel-gruen"
-        />
-        <Summenkachel
-          titel={BEWERTUNG_BESCHRIFTUNG.STRITTIG}
-          betrag={uebersicht.jeBewertung.STRITTIG.summeCent}
-          anzahl={uebersicht.jeBewertung.STRITTIG.anzahl}
-          ohneWert={uebersicht.jeBewertung.STRITTIG.ohneWert}
-          farbe="text-ampel-orange"
-        />
-        <Summenkachel
-          titel={BEWERTUNG_BESCHRIFTUNG.UNGEPRUEFT}
-          betrag={uebersicht.jeBewertung.UNGEPRUEFT.summeCent}
-          anzahl={uebersicht.jeBewertung.UNGEPRUEFT.anzahl}
-          ohneWert={uebersicht.jeBewertung.UNGEPRUEFT.ohneWert}
-          farbe="text-muted-foreground"
-        />
-      </div>
-
-      <Card>
-        <CardContent className="space-y-2 pt-5">
-          <div className="flex flex-wrap items-baseline justify-between gap-3">
-            <span className="text-sm text-muted-foreground">
-              Vermögensfreibetrag (§ 90 Abs. 2 Nr. 9 SGB XII)
-            </span>
-            <span className="text-lg font-semibold tabular-nums">
-              {formatCent(vergleich.freibetragCent)}
-            </span>
-          </div>
-          <div className="flex flex-wrap items-baseline justify-between gap-3">
-            <span className="text-sm text-muted-foreground">Über dem Freibetrag</span>
-            <span
-              className={`text-lg font-semibold tabular-nums ${
-                vergleich.ausgeschoepft ? 'text-ampel-rot' : 'text-ampel-gruen'
-              }`}
-            >
-              {formatCent(vergleich.ueberFreibetragCent)}
-            </span>
-          </div>
-          <p className="text-sm text-muted-foreground">{vergleich.hinweis}</p>
-          <Rechtshinweis rechtsgrundlage="§ 90 SGB XII" kurz />
-        </CardContent>
-      </Card>
-
-      {uebersicht.ungeprueft.length > 0 && (
-        <Alert variant="warnung">
-          <AlertCircle aria-hidden="true" />
-          <AlertTitle>
-            {uebersicht.ungeprueft.length}{' '}
-            {uebersicht.ungeprueft.length === 1 ? 'Posten ist' : 'Posten sind'} noch ungeprüft
-          </AlertTitle>
-          <AlertDescription>
-            Vor dem Antrag sollte hier nichts mehr stehen — der Träger fragt sonst nach, und das
-            kostet Wochen.
-          </AlertDescription>
-        </Alert>
-      )}
-
-      {uebersicht.ohneBegruendung.length > 0 && (
-        <Alert variant="warnung">
-          <AlertCircle aria-hidden="true" />
-          <AlertTitle>Bewertung ohne Begründung</AlertTitle>
-          <AlertDescription>
-            {uebersicht.ohneBegruendung.map((p) => p.bezeichnung).join(', ')} — trag nach, worauf
-            sich die Einschätzung stützt. Im Widerspruchsverfahren zählt nur, was begründet ist.
-          </AlertDescription>
-        </Alert>
-      )}
-
-      <Vermoegensliste posten={zeilen} darfSchreiben={darfSchreiben} />
-
-      <Rechtshinweis rechtsgrundlage="§ 90 SGB XII, § 91 SGB XII" />
-    </div>
-  )
-}
-
-function Summenkachel({
-  titel,
-  betrag,
-  anzahl,
-  ohneWert,
-  farbe,
-}: {
-  titel: string
-  betrag: bigint
-  anzahl: number
-  ohneWert: number
-  farbe: string
-}) {
-  return (
-    <Card>
-      <CardContent className="pt-5">
-        <p className="text-sm text-muted-foreground">{titel}</p>
-        <p className={`text-xl font-semibold tabular-nums ${farbe}`}>{formatCent(betrag)}</p>
-        <p className="mt-1 text-xs text-muted-foreground">
-          {anzahl} {anzahl === 1 ? 'Posten' : 'Posten'}
-          {ohneWert > 0 && `, davon ${ohneWert} ohne Wert`}
-        </p>
-      </CardContent>
-    </Card>
-  )
-}
+import { SeitenKopf } from '@/components/seiten-kopf'
+import { Rechtshinweis } from '@/components/rechtshinweis'
+import { Alert, AlertDescription, AlertTitle } from '@/components/ui/alert'
+import { Card, CardContent } from '@/components/ui/card'
+import { Vermoegensliste, type ListenPosten } from '@/components/sozialhilfe/vermoegensliste'
+import { oeffnen } from '@/lib/crypto/feld'
+import { centZuZahl, db, nichtGeloescht } from '@/lib/db'
+import { alsIsoTag } from '@/lib/fristen/datum'
+import { VERMOEGENS_ART_BESCHRIFTUNG } from '@/lib/finanzen/kategorien'
+import { MIT_RUECKKAUFSWERT, VERTRAG_ART_BESCHRIFTUNG } from '@/lib/vertraege/konstanten'
+import { BEWERTUNG_BESCHRIFTUNG } from '@/lib/sozialhilfe/schonvermoegen'
+import { freibetragVergleichen, uebersichtBilden } from '@/lib/sozialhilfe/vermoegensuebersicht'
+import { sozialhilfeKontext } from '@/lib/sozialhilfe/zugang'
+import { formatCent } from '@/lib/utils'
+import { AlertCircle } from 'lucide-react'
+
+export const dynamic = 'force-dynamic'
+
+/**
+ * Vermögens-Bewertungsansicht.
+ *
+ * Sie zählt zusammen und stellt gegenüber - sie entscheidet nichts. Was
+ * geschützt ist, sagt der Träger; bleibt man uneins, das Sozialgericht.
+ * Deshalb heißt die Spalte "Einschätzung" und nicht "Bewertung".
+ */
+export default async function VermoegensbewertungSeite() {
+  const { betreuteId, darfSchreiben } = await sozialhilfeKontext()
+
+  const [posten, vertraege] = await Promise.all([
+    db.vermoegensposten.findMany({
+      where: { betreuteId, ...nichtGeloescht },
+      include: { wertstaende: { orderBy: { stichtag: 'desc' }, take: 1 } },
+      orderBy: { bezeichnung: 'asc' },
+    }),
+    db.vertrag.findMany({
+      where: {
+        betreuteId,
+        // Nur Vertraege, die ueberhaupt einen Wert darstellen koennen. Ein
+        // Stromvertrag hat keinen Rueckkaufswert und wuerde die Liste zumuellen.
+        art: { in: [...MIT_RUECKKAUFSWERT] },
+        ...nichtGeloescht,
+      },
+      orderBy: { bezeichnung: 'asc' },
+    }),
+  ])
+
+  // Verträge, die schon als Vermögensposten geführt werden, nicht doppelt
+  // zeigen - sonst wäre die Summe zweimal drin.
+  const bereitsAlsPosten = new Set(
+    posten.map((p) => p.vertragId).filter((id): id is string => id !== null),
+  )
+
+  const zeilen: ListenPosten[] = [
+    ...posten.map((p) => {
+      const geoeffnet = oeffnen('Vermoegensposten', p)
+      const stand = p.wertstaende[0]
+      return {
+        id: p.id,
+        bezeichnung: p.bezeichnung,
+        herkunft: 'VERMOEGEN' as const,
+        art: p.art,
+        artBeschriftung: VERMOEGENS_ART_BESCHRIFTUNG[p.art],
+        bewertung: p.bewertungSozialhilfe,
+        wertCent: stand ? centZuZahl(stand.wertCent) : null,
+        wertStichtag: stand ? alsIsoTag(stand.stichtag) : null,
+        begruendung: geoeffnet.bewertungBegruendung ?? '',
+        zusatz: stand ? stand.wertquelle : null,
+      }
+    }),
+    ...vertraege
+      .filter((v) => !bereitsAlsPosten.has(v.id))
+      .map((v) => {
+        const geoeffnet = oeffnen('Vertrag', v)
+        return {
+          id: v.id,
+          bezeichnung: v.bezeichnung,
+          herkunft: 'VERTRAG' as const,
+          art: v.art,
+          artBeschriftung: VERTRAG_ART_BESCHRIFTUNG[v.art],
+          bewertung: v.bewertungSozialhilfe,
+          // Der Rückkaufswert steht am Vertrag nicht als Betrag; er wird
+          // als Vermögensposten mit Wertstand geführt. Bis dahin: offen.
+          wertCent: null,
+          wertStichtag: null,
+          begruendung: geoeffnet.bewertungBegruendung ?? '',
+          zusatz: v.gesellschaft,
+        }
+      }),
+  ]
+
+  const uebersicht = uebersichtBilden(
+    zeilen.map((z) => ({
+      id: z.id,
+      bezeichnung: z.bezeichnung,
+      herkunft: z.herkunft,
+      artBeschriftung: z.artBeschriftung,
+      bewertung: z.bewertung,
+      wertCent: z.wertCent === null ? null : BigInt(z.wertCent),
+      wertStichtag: null,
+      begruendung: z.begruendung,
+      href: '#',
+    })),
+  )
+
+  const vergleich = freibetragVergleichen(uebersicht.jeBewertung.VERWERTBAR.summeCent)
+
+  return (
+    <div className="space-y-8">
+      <SeitenKopf
+        titel="Vermögen bewerten"
+        beschreibung="Jeder Posten bekommt eine Einschätzung und — das ist der wichtige Teil — eine Begründung. Ohne Begründung hilft die Einordnung im Widerspruchsverfahren nicht weiter."
+        pfad={[
+          { titel: 'Start', href: '/heute' },
+          { titel: 'Sozialhilfe', href: '/sozialhilfe' },
+          { titel: 'Vermögen' },
+        ]}
+      />
+
+      <div className="grid gap-4 sm:grid-cols-2 lg:grid-cols-4">
+        <Summenkachel
+          titel={BEWERTUNG_BESCHRIFTUNG.VERWERTBAR}
+          betrag={uebersicht.jeBewertung.VERWERTBAR.summeCent}
+          anzahl={uebersicht.jeBewertung.VERWERTBAR.anzahl}
+          ohneWert={uebersicht.jeBewertung.VERWERTBAR.ohneWert}
+          farbe="text-ampel-rot"
+        />
+        <Summenkachel
+          titel={BEWERTUNG_BESCHRIFTUNG.GESCHUETZT}
+          betrag={uebersicht.jeBewertung.GESCHUETZT.summeCent}
+          anzahl={uebersicht.jeBewertung.GESCHUETZT.anzahl}
+          ohneWert={uebersicht.jeBewertung.GESCHUETZT.ohneWert}
+          farbe="text-ampel-gruen"
+        />
+        <Summenkachel
+          titel={BEWERTUNG_BESCHRIFTUNG.STRITTIG}
+          betrag={uebersicht.jeBewertung.STRITTIG.summeCent}
+          anzahl={uebersicht.jeBewertung.STRITTIG.anzahl}
+          ohneWert={uebersicht.jeBewertung.STRITTIG.ohneWert}
+          farbe="text-ampel-orange"
+        />
+        <Summenkachel
+          titel={BEWERTUNG_BESCHRIFTUNG.UNGEPRUEFT}
+          betrag={uebersicht.jeBewertung.UNGEPRUEFT.summeCent}
+          anzahl={uebersicht.jeBewertung.UNGEPRUEFT.anzahl}
+          ohneWert={uebersicht.jeBewertung.UNGEPRUEFT.ohneWert}
+          farbe="text-muted-foreground"
+        />
+      </div>
+
+      <Card>
+        <CardContent className="space-y-2 pt-5">
+          <div className="flex flex-wrap items-baseline justify-between gap-3">
+            <span className="text-sm text-muted-foreground">
+              Vermögensfreibetrag (§ 90 Abs. 2 Nr. 9 SGB XII)
+            </span>
+            <span className="text-lg font-semibold tabular-nums">
+              {formatCent(vergleich.freibetragCent)}
+            </span>
+          </div>
+          <div className="flex flex-wrap items-baseline justify-between gap-3">
+            <span className="text-sm text-muted-foreground">Über dem Freibetrag</span>
+            <span
+              className={`text-lg font-semibold tabular-nums ${
+                vergleich.ausgeschoepft ? 'text-ampel-rot' : 'text-ampel-gruen'
+              }`}
+            >
+              {formatCent(vergleich.ueberFreibetragCent)}
+            </span>
+          </div>
+          <p className="text-sm text-muted-foreground">{vergleich.hinweis}</p>
+          <Rechtshinweis rechtsgrundlage="§ 90 SGB XII" kurz />
+        </CardContent>
+      </Card>
+
+      {uebersicht.ungeprueft.length > 0 && (
+        <Alert variant="warnung">
+          <AlertCircle aria-hidden="true" />
+          <AlertTitle>
+            {uebersicht.ungeprueft.length}{' '}
+            {uebersicht.ungeprueft.length === 1 ? 'Posten ist' : 'Posten sind'} noch ungeprüft
+          </AlertTitle>
+          <AlertDescription>
+            Vor dem Antrag sollte hier nichts mehr stehen — der Träger fragt sonst nach, und das
+            kostet Wochen.
+          </AlertDescription>
+        </Alert>
+      )}
+
+      {uebersicht.ohneBegruendung.length > 0 && (
+        <Alert variant="warnung">
+          <AlertCircle aria-hidden="true" />
+          <AlertTitle>Bewertung ohne Begründung</AlertTitle>
+          <AlertDescription>
+            {uebersicht.ohneBegruendung.map((p) => p.bezeichnung).join(', ')} — trag nach, worauf
+            sich die Einschätzung stützt. Im Widerspruchsverfahren zählt nur, was begründet ist.
+          </AlertDescription>
+        </Alert>
+      )}
+
+      <Vermoegensliste posten={zeilen} darfSchreiben={darfSchreiben} />
+
+      <Rechtshinweis rechtsgrundlage="§ 90 SGB XII, § 91 SGB XII" />
+    </div>
+  )
+}
+
+function Summenkachel({
+  titel,
+  betrag,
+  anzahl,
+  ohneWert,
+  farbe,
+}: {
+  titel: string
+  betrag: bigint
+  anzahl: number
+  ohneWert: number
+  farbe: string
+}) {
+  return (
+    <Card>
+      <CardContent className="pt-5">
+        <p className="text-sm text-muted-foreground">{titel}</p>
+        <p className={`text-xl font-semibold tabular-nums ${farbe}`}>{formatCent(betrag)}</p>
+        <p className="mt-1 text-xs text-muted-foreground">
+          {anzahl} {anzahl === 1 ? 'Posten' : 'Posten'}
+          {ohneWert > 0 && `, davon ${ohneWert} ohne Wert`}
+        </p>
+      </CardContent>
+    </Card>
+  )
+}
@@ -1,77 +1,77 @@
-import { notFound, redirect } from 'next/navigation'
-import { SeitenKopf } from '@/components/seiten-kopf'
-import { VertragFormular } from '@/components/vertraege/vertrag-formular'
-import { aktiveBetreute, erfordereBenutzer, erfordereZugang } from '@/lib/auth/sitzung'
-import { db, nichtGeloescht } from '@/lib/db'
-import { oeffnen } from '@/lib/crypto/feld'
-import { alsIsoTag } from '@/lib/fristen/datum'
-
-export const dynamic = 'force-dynamic'
-
-/** Cent als Eingabetext: 481255 wird zu "4812,55". */
-function centAlsText(cent: bigint | null): string {
-  if (cent === null) return ''
-  const negativ = cent < 0n
-  const betrag = negativ ? -cent : cent
-  const euro = betrag / 100n
-  const rest = betrag % 100n
-  return `${negativ ? '-' : ''}${euro},${rest.toString().padStart(2, '0')}`
-}
-
-export default async function VertragBearbeiten({
-  params,
-}: {
-  params: Promise<{ id: string }>
-}) {
-  const { id } = await params
-  const benutzer = await erfordereBenutzer(`/vertraege/${id}/bearbeiten`)
-  const aktive = await aktiveBetreute(benutzer)
-  if (!aktive) return null
-
-  const { darfSchreiben } = await erfordereZugang(aktive.id, 'VERTRAEGE', 'lesen')
-  if (!darfSchreiben('VERTRAEGE')) redirect(`/vertraege/${id}`)
-
-  const vertrag = await db.vertrag.findFirst({
-    where: { id, betreuteId: aktive.id, ...nichtGeloescht },
-  })
-  if (!vertrag) notFound()
-
-  const offen = oeffnen('Vertrag', vertrag)
-
-  return (
-    <div className="space-y-6">
-      <SeitenKopf
-        titel={`${vertrag.bezeichnung} bearbeiten`}
-        beschreibung="Änderungen werden protokolliert. Die Vertragsnummer wird verschlüsselt gespeichert."
-        pfad={[
-          { titel: 'Übersicht', href: '/heute' },
-          { titel: 'Verträge', href: '/vertraege' },
-          { titel: vertrag.bezeichnung, href: `/vertraege/${id}` },
-          { titel: 'Bearbeiten' },
-        ]}
-      />
-
-      <VertragFormular
-        betreuteId={aktive.id}
-        werte={{
-          id: vertrag.id,
-          bezeichnung: vertrag.bezeichnung,
-          gesellschaft: vertrag.gesellschaft ?? '',
-          art: vertrag.art,
-          status: vertrag.status,
-          vertragsnummer: offen.vertragsnummer ?? '',
-          beginnAm: vertrag.beginnAm ? alsIsoTag(vertrag.beginnAm) : '',
-          endeAm: vertrag.endeAm ? alsIsoTag(vertrag.endeAm) : '',
-          kuendigungsfristMonate: vertrag.kuendigungsfristMonate?.toString() ?? '',
-          kuendigungZum: vertrag.kuendigungZum ? alsIsoTag(vertrag.kuendigungZum) : '',
-          gekuendigtAm: vertrag.gekuendigtAm ? alsIsoTag(vertrag.gekuendigtAm) : '',
-          beitrag: centAlsText(vertrag.beitragCent),
-          rhythmus: vertrag.rhythmus ?? '',
-          bewertungSozialhilfe: vertrag.bewertungSozialhilfe,
-          bewertungBegruendung: offen.bewertungBegruendung ?? '',
-          notizen: offen.notizen ?? '',
-        }}
-      />
-    </div>
-  )
-}
+import { notFound, redirect } from 'next/navigation'
+import { SeitenKopf } from '@/components/seiten-kopf'
+import { VertragFormular } from '@/components/vertraege/vertrag-formular'
+import { aktiveBetreute, erfordereBenutzer, erfordereZugang } from '@/lib/auth/sitzung'
+import { db, nichtGeloescht } from '@/lib/db'
+import { oeffnen } from '@/lib/crypto/feld'
+import { alsIsoTag } from '@/lib/fristen/datum'
+
+export const dynamic = 'force-dynamic'
+
+/** Cent als Eingabetext: 481255 wird zu "4812,55". */
+function centAlsText(cent: bigint | null): string {
+  if (cent === null) return ''
+  const negativ = cent < 0n
+  const betrag = negativ ? -cent : cent
+  const euro = betrag / 100n
+  const rest = betrag % 100n
+  return `${negativ ? '-' : ''}${euro},${rest.toString().padStart(2, '0')}`
+}
+
+export default async function VertragBearbeiten({
+  params,
+}: {
+  params: Promise<{ id: string }>
+}) {
+  const { id } = await params
+  const benutzer = await erfordereBenutzer(`/vertraege/${id}/bearbeiten`)
+  const aktive = await aktiveBetreute(benutzer)
+  if (!aktive) return null
+
+  const { darfSchreiben } = await erfordereZugang(aktive.id, 'VERTRAEGE', 'lesen')
+  if (!darfSchreiben('VERTRAEGE')) redirect(`/vertraege/${id}`)
+
+  const vertrag = await db.vertrag.findFirst({
+    where: { id, betreuteId: aktive.id, ...nichtGeloescht },
+  })
+  if (!vertrag) notFound()
+
+  const offen = oeffnen('Vertrag', vertrag)
+
+  return (
+    <div className="space-y-6">
+      <SeitenKopf
+        titel={`${vertrag.bezeichnung} bearbeiten`}
+        beschreibung="Änderungen werden protokolliert. Die Vertragsnummer wird verschlüsselt gespeichert."
+        pfad={[
+          { titel: 'Übersicht', href: '/heute' },
+          { titel: 'Verträge', href: '/vertraege' },
+          { titel: vertrag.bezeichnung, href: `/vertraege/${id}` },
+          { titel: 'Bearbeiten' },
+        ]}
+      />
+
+      <VertragFormular
+        betreuteId={aktive.id}
+        werte={{
+          id: vertrag.id,
+          bezeichnung: vertrag.bezeichnung,
+          gesellschaft: vertrag.gesellschaft ?? '',
+          art: vertrag.art,
+          status: vertrag.status,
+          vertragsnummer: offen.vertragsnummer ?? '',
+          beginnAm: vertrag.beginnAm ? alsIsoTag(vertrag.beginnAm) : '',
+          endeAm: vertrag.endeAm ? alsIsoTag(vertrag.endeAm) : '',
+          kuendigungsfristMonate: vertrag.kuendigungsfristMonate?.toString() ?? '',
+          kuendigungZum: vertrag.kuendigungZum ? alsIsoTag(vertrag.kuendigungZum) : '',
+          gekuendigtAm: vertrag.gekuendigtAm ? alsIsoTag(vertrag.gekuendigtAm) : '',
+          beitrag: centAlsText(vertrag.beitragCent),
+          rhythmus: vertrag.rhythmus ?? '',
+          bewertungSozialhilfe: vertrag.bewertungSozialhilfe,
+          bewertungBegruendung: offen.bewertungBegruendung ?? '',
+          notizen: offen.notizen ?? '',
+        }}
+      />
+    </div>
+  )
+}
@@ -1,96 +1,96 @@
-import { notFound } from 'next/navigation'
-import { SeitenKopf } from '@/components/seiten-kopf'
-import { KuendigungsAssistent } from '@/components/vertraege/kuendigungs-assistent'
-import { aktiveBetreute, erfordereBenutzer, erfordereZugang } from '@/lib/auth/sitzung'
-import { db, nichtGeloescht } from '@/lib/db'
-import { oeffnen } from '@/lib/crypto/feld'
-import { alsIsoTag, heuteAlsTag } from '@/lib/fristen/datum'
-import { briefkopfBauen } from '@/lib/vertraege/briefkopf'
-import { kuendigungsassistent } from '@/lib/vertraege/kuendigungsassistent'
-import { laufzeitAusVertrag } from '@/lib/vertraege/kuendigung'
-import { VERTRAG_ART_BESCHRIFTUNG } from '@/lib/vertraege/konstanten'
-
-export const dynamic = 'force-dynamic'
-
-export default async function VertragKuendigen({
-  params,
-}: {
-  params: Promise<{ id: string }>
-}) {
-  const { id } = await params
-  const benutzer = await erfordereBenutzer(`/vertraege/${id}/kuendigen`)
-  const aktive = await aktiveBetreute(benutzer)
-  if (!aktive) return null
-
-  const { darfSchreiben } = await erfordereZugang(aktive.id, 'VERTRAEGE', 'lesen')
-  const schreiben = darfSchreiben('VERTRAEGE')
-
-  const vertrag = await db.vertrag.findFirst({
-    where: { id, betreuteId: aktive.id, ...nichtGeloescht },
-  })
-  if (!vertrag) notFound()
-
-  const offen = oeffnen('Vertrag', vertrag)
-  const heute = heuteAlsTag()
-
-  const paket = kuendigungsassistent({
-    kopf: briefkopfBauen({ betreute: aktive, benutzer }),
-    empfaenger: { gesellschaft: vertrag.gesellschaft, anschrift: null },
-    vertragsbezeichnung: `${VERTRAG_ART_BESCHRIFTUNG[vertrag.art]} — ${vertrag.bezeichnung}`,
-    vertragsnummer: offen.vertragsnummer,
-    art: vertrag.art,
-    laufzeit: {
-      beginnAm: vertrag.beginnAm,
-      endeAm: vertrag.endeAm,
-      laufzeitJahre: laufzeitAusVertrag(vertrag.beginnAm, vertrag.endeAm),
-      kuendigungsfristMonate: vertrag.kuendigungsfristMonate,
-    },
-    heute,
-  })
-
-  return (
-    <div className="space-y-6">
-      <SeitenKopf
-        titel="Kündigungs-Assistent"
-        beschreibung={`${vertrag.bezeichnung} — Frist prüfen, Genehmigungsfrage stellen, Schreiben erzeugen, Versandnachweis sichern.`}
-        pfad={[
-          { titel: 'Übersicht', href: '/heute' },
-          { titel: 'Verträge', href: '/vertraege' },
-          { titel: vertrag.bezeichnung, href: `/vertraege/${id}` },
-          { titel: 'Kündigen' },
-        ]}
-      />
-
-      <KuendigungsAssistent
-        betreuteId={aktive.id}
-        vertragId={id}
-        darfSchreiben={schreiben}
-        heuteIso={alsIsoTag(heute)}
-        daten={{
-          schreiben: paket.schreiben,
-          warnungen: paket.warnungen,
-          genehmigung: paket.genehmigung,
-          versandnachweis: {
-            moeglichkeiten: [...paket.versandnachweis.moeglichkeiten],
-            hinweis: paket.versandnachweis.hinweis,
-          },
-          plan: {
-            berechenbar: paket.plan.berechenbar,
-            naechsterTermin: paket.plan.naechsterTermin
-              ? alsIsoTag(paket.plan.naechsterTermin)
-              : null,
-            zugangSpaetestensAm: paket.plan.zugangSpaetestensAm
-              ? alsIsoTag(paket.plan.zugangSpaetestensAm)
-              : null,
-            spaetesterAbsendetag: paket.plan.spaetesterAbsendetag
-              ? alsIsoTag(paket.plan.spaetesterAbsendetag)
-              : null,
-            tageBisAbsendetag: paket.plan.tageBisAbsendetag,
-            verpasst: paket.plan.verpasst,
-            hinweise: paket.plan.hinweise,
-          },
-        }}
-      />
-    </div>
-  )
-}
+import { notFound } from 'next/navigation'
+import { SeitenKopf } from '@/components/seiten-kopf'
+import { KuendigungsAssistent } from '@/components/vertraege/kuendigungs-assistent'
+import { aktiveBetreute, erfordereBenutzer, erfordereZugang } from '@/lib/auth/sitzung'
+import { db, nichtGeloescht } from '@/lib/db'
+import { oeffnen } from '@/lib/crypto/feld'
+import { alsIsoTag, heuteAlsTag } from '@/lib/fristen/datum'
+import { briefkopfBauen } from '@/lib/vertraege/briefkopf'
+import { kuendigungsassistent } from '@/lib/vertraege/kuendigungsassistent'
+import { laufzeitAusVertrag } from '@/lib/vertraege/kuendigung'
+import { VERTRAG_ART_BESCHRIFTUNG } from '@/lib/vertraege/konstanten'
+
+export const dynamic = 'force-dynamic'
+
+export default async function VertragKuendigen({
+  params,
+}: {
+  params: Promise<{ id: string }>
+}) {
+  const { id } = await params
+  const benutzer = await erfordereBenutzer(`/vertraege/${id}/kuendigen`)
+  const aktive = await aktiveBetreute(benutzer)
+  if (!aktive) return null
+
+  const { darfSchreiben } = await erfordereZugang(aktive.id, 'VERTRAEGE', 'lesen')
+  const schreiben = darfSchreiben('VERTRAEGE')
+
+  const vertrag = await db.vertrag.findFirst({
+    where: { id, betreuteId: aktive.id, ...nichtGeloescht },
+  })
+  if (!vertrag) notFound()
+
+  const offen = oeffnen('Vertrag', vertrag)
+  const heute = heuteAlsTag()
+
+  const paket = kuendigungsassistent({
+    kopf: briefkopfBauen({ betreute: aktive, benutzer }),
+    empfaenger: { gesellschaft: vertrag.gesellschaft, anschrift: null },
+    vertragsbezeichnung: `${VERTRAG_ART_BESCHRIFTUNG[vertrag.art]} — ${vertrag.bezeichnung}`,
+    vertragsnummer: offen.vertragsnummer,
+    art: vertrag.art,
+    laufzeit: {
+      beginnAm: vertrag.beginnAm,
+      endeAm: vertrag.endeAm,
+      laufzeitJahre: laufzeitAusVertrag(vertrag.beginnAm, vertrag.endeAm),
+      kuendigungsfristMonate: vertrag.kuendigungsfristMonate,
+    },
+    heute,
+  })
+
+  return (
+    <div className="space-y-6">
+      <SeitenKopf
+        titel="Kündigungs-Assistent"
+        beschreibung={`${vertrag.bezeichnung} — Frist prüfen, Genehmigungsfrage stellen, Schreiben erzeugen, Versandnachweis sichern.`}
+        pfad={[
+          { titel: 'Übersicht', href: '/heute' },
+          { titel: 'Verträge', href: '/vertraege' },
+          { titel: vertrag.bezeichnung, href: `/vertraege/${id}` },
+          { titel: 'Kündigen' },
+        ]}
+      />
+
+      <KuendigungsAssistent
+        betreuteId={aktive.id}
+        vertragId={id}
+        darfSchreiben={schreiben}
+        heuteIso={alsIsoTag(heute)}
+        daten={{
+          schreiben: paket.schreiben,
+          warnungen: paket.warnungen,
+          genehmigung: paket.genehmigung,
+          versandnachweis: {
+            moeglichkeiten: [...paket.versandnachweis.moeglichkeiten],
+            hinweis: paket.versandnachweis.hinweis,
+          },
+          plan: {
+            berechenbar: paket.plan.berechenbar,
+            naechsterTermin: paket.plan.naechsterTermin
+              ? alsIsoTag(paket.plan.naechsterTermin)
+              : null,
+            zugangSpaetestensAm: paket.plan.zugangSpaetestensAm
+              ? alsIsoTag(paket.plan.zugangSpaetestensAm)
+              : null,
+            spaetesterAbsendetag: paket.plan.spaetesterAbsendetag
+              ? alsIsoTag(paket.plan.spaetesterAbsendetag)
+              : null,
+            tageBisAbsendetag: paket.plan.tageBisAbsendetag,
+            verpasst: paket.plan.verpasst,
+            hinweise: paket.plan.hinweise,
+          },
+        }}
+      />
+    </div>
+  )
+}
@@ -1,275 +1,275 @@
-import Link from 'next/link'
-import { notFound } from 'next/navigation'
-import { FileX2, Pencil, Shield } from 'lucide-react'
-import { Badge } from '@/components/ui/badge'
-import { Button } from '@/components/ui/button'
-import { Card, CardContent, CardDescription, CardHeader, CardTitle } from '@/components/ui/card'
-import { SeitenKopf } from '@/components/seiten-kopf'
-import { Datenzeile } from '@/components/substanz-formular'
-import { Rechtshinweis } from '@/components/rechtshinweis'
-import { Rueckkaufswert } from '@/components/vertraege/rueckkaufswert'
-import { aktiveBetreute, erfordereBenutzer, erfordereZugang } from '@/lib/auth/sitzung'
-import { centZuZahl, db, nichtGeloescht } from '@/lib/db'
-import { oeffnen } from '@/lib/crypto/feld'
-import { alsIsoTag, heuteAlsTag } from '@/lib/fristen/datum'
-import { briefkopfBauen } from '@/lib/vertraege/briefkopf'
-import {
-  kuendigungsampel,
-  kuendigungsplan,
-  laufzeitAusVertrag,
-} from '@/lib/vertraege/kuendigung'
-import {
-  anfrageStatus,
-  rueckkaufswertAnschreiben,
-  wertHistorie,
-} from '@/lib/vertraege/rueckkaufswert'
-import { wertalterBestimmen } from '@/lib/finanzen/wertalter'
-import {
-  BEWERTUNG_BESCHRIFTUNG,
-  BEWERTUNG_ERKLAERUNG,
-  jahresbeitragCent,
-  kannRueckkaufswertHaben,
-  RHYTHMUS_BESCHRIFTUNG,
-  VERTRAG_ART_BESCHRIFTUNG,
-  VERTRAG_STATUS_BESCHRIFTUNG,
-} from '@/lib/vertraege/konstanten'
-import { formatCent, formatDatum } from '@/lib/utils'
-
-export const dynamic = 'force-dynamic'
-
-export default async function VertragDetail({ params }: { params: Promise<{ id: string }> }) {
-  const { id } = await params
-  const benutzer = await erfordereBenutzer(`/vertraege/${id}`)
-  const aktive = await aktiveBetreute(benutzer)
-  if (!aktive) return null
-
-  const { darfSchreiben } = await erfordereZugang(aktive.id, 'VERTRAEGE', 'lesen')
-  const schreiben = darfSchreiben('VERTRAEGE')
-
-  const vertrag = await db.vertrag.findFirst({
-    where: { id, betreuteId: aktive.id, ...nichtGeloescht },
-    include: {
-      // Ueber die Verknuepfung, nicht ueber die Art - siehe wertHistorie().
-      vermoegensposten: {
-        where: nichtGeloescht,
-        include: { wertstaende: { orderBy: { stichtag: 'desc' } } },
-      },
-    },
-  })
-  if (!vertrag) notFound()
-
-  const offen = oeffnen('Vertrag', vertrag)
-  const heute = heuteAlsTag()
-
-  const plan = kuendigungsplan({
-    beginnAm: vertrag.beginnAm,
-    endeAm: vertrag.endeAm,
-    laufzeitJahre: laufzeitAusVertrag(vertrag.beginnAm, vertrag.endeAm),
-    kuendigungsfristMonate: vertrag.kuendigungsfristMonate,
-    heute,
-  })
-  const ampel = kuendigungsampel(plan)
-  const anfrage = anfrageStatus(vertrag.rueckkaufswertAngefragtAm, heute)
-  const jahresbeitrag = jahresbeitragCent(vertrag.beitragCent, vertrag.rhythmus)
-
-  const kopf = briefkopfBauen({ betreute: aktive, benutzer })
-  const anschreiben = rueckkaufswertAnschreiben({
-    kopf,
-    empfaenger: { gesellschaft: vertrag.gesellschaft, anschrift: null },
-    vertragsbezeichnung: `${VERTRAG_ART_BESCHRIFTUNG[vertrag.art]} — ${vertrag.bezeichnung}`,
-    vertragsnummer: offen.vertragsnummer,
-    stichtag: heute,
-    heute,
-  })
-
-  const wertstaende = wertHistorie(vertrag.vermoegensposten)
-
-  return (
-    <div className="space-y-6">
-      <SeitenKopf
-        titel={vertrag.bezeichnung}
-        beschreibung={
-          [vertrag.gesellschaft, VERTRAG_ART_BESCHRIFTUNG[vertrag.art]]
-            .filter(Boolean)
-            .join(' · ') || VERTRAG_ART_BESCHRIFTUNG[vertrag.art]
-        }
-        pfad={[
-          { titel: 'Übersicht', href: '/heute' },
-          { titel: 'Verträge', href: '/vertraege' },
-          { titel: vertrag.bezeichnung },
-        ]}
-        aktionen={
-          schreiben && (
-            <div className="flex flex-wrap gap-2">
-              <Button asChild variant="outline">
-                <Link href={`/vertraege/${id}/kuendigen`}>
-                  <FileX2 aria-hidden="true" />
-                  Kündigen
-                </Link>
-              </Button>
-              <Button asChild>
-                <Link href={`/vertraege/${id}/bearbeiten`}>
-                  <Pencil aria-hidden="true" />
-                  Bearbeiten
-                </Link>
-              </Button>
-            </div>
-          )
-        }
-      />
-
-      <Card>
-        <CardHeader>
-          <CardTitle className="flex items-center gap-2">
-            <Shield className="size-5" aria-hidden="true" />
-            Vertragsdaten
-          </CardTitle>
-          <CardDescription>
-            Die Vertragsnummer wird verschlüsselt gespeichert und hier nur zum Lesen angezeigt.
-          </CardDescription>
-        </CardHeader>
-        <CardContent className="grid gap-x-8 sm:grid-cols-2">
-          <dl className="divide-y">
-            <Datenzeile beschriftung="Vertragsnummer">
-              {offen.vertragsnummer ?? '–'}
-            </Datenzeile>
-            <Datenzeile beschriftung="Status">
-              {VERTRAG_STATUS_BESCHRIFTUNG[vertrag.status]}
-            </Datenzeile>
-            <Datenzeile beschriftung="Laufzeitbeginn">
-              {formatDatum(vertrag.beginnAm)}
-            </Datenzeile>
-            <Datenzeile beschriftung="Vereinbartes Ende">
-              {formatDatum(vertrag.endeAm)}
-            </Datenzeile>
-            <Datenzeile beschriftung="Kündigungsfrist">
-              {vertrag.kuendigungsfristMonate !== null
-                ? `${vertrag.kuendigungsfristMonate} Monate`
-                : 'nicht erfasst'}
-            </Datenzeile>
-          </dl>
-          <dl className="divide-y">
-            <Datenzeile beschriftung="Beitrag">
-              {formatCent(vertrag.beitragCent)}
-              {vertrag.rhythmus ? ` (${RHYTHMUS_BESCHRIFTUNG[vertrag.rhythmus]})` : ''}
-            </Datenzeile>
-            <Datenzeile beschriftung="Jahresbeitrag">{formatCent(jahresbeitrag)}</Datenzeile>
-            <Datenzeile beschriftung="Gekündigt am">
-              {formatDatum(vertrag.gekuendigtAm)}
-            </Datenzeile>
-            <Datenzeile beschriftung="Gekündigt zum">
-              {formatDatum(vertrag.kuendigungZum)}
-            </Datenzeile>
-            <Datenzeile beschriftung="Rückkaufswert angefragt">
-              {formatDatum(vertrag.rueckkaufswertAngefragtAm)}
-            </Datenzeile>
-          </dl>
-
-          {offen.notizen && (
-            <div className="mt-4 rounded-md border bg-muted/40 p-3 sm:col-span-2">
-              <p className="whitespace-pre-line text-sm">{offen.notizen}</p>
-            </div>
-          )}
-        </CardContent>
-      </Card>
-
-      <Card>
-        <CardHeader>
-          <CardTitle>Kündigungsfrist</CardTitle>
-          <CardDescription>
-            Eine Kündigung wird mit dem Zugang wirksam, nicht mit dem Absenden. Deshalb ist der
-            Absendetag früher als der Fristablauf.
-          </CardDescription>
-        </CardHeader>
-        <CardContent className="space-y-4">
-          {plan.berechenbar ? (
-            <>
-              <dl className="grid gap-3 sm:grid-cols-3">
-                <div className="rounded-md border p-3">
-                  <dt className="text-sm text-muted-foreground">Nächster Kündigungstermin</dt>
-                  <dd className="text-lg font-semibold">{formatDatum(plan.naechsterTermin)}</dd>
-                </div>
-                <div className="rounded-md border p-3">
-                  <dt className="text-sm text-muted-foreground">Zugang spätestens</dt>
-                  <dd className="text-lg font-semibold">
-                    {formatDatum(plan.zugangSpaetestensAm)}
-                  </dd>
-                </div>
-                <div className="rounded-md border p-3">
-                  <dt className="text-sm text-muted-foreground">Brief spätestens absenden</dt>
-                  <dd className="text-lg font-semibold">
-                    {formatDatum(plan.spaetesterAbsendetag)}
-                  </dd>
-                  {ampel && (
-                    <dd className="mt-1">
-                      <Badge variant={ampel.variante}>{ampel.text}</Badge>
-                    </dd>
-                  )}
-                </div>
-              </dl>
-              <ul className="space-y-1.5 text-sm text-muted-foreground">
-                {plan.hinweise.map((hinweis) => (
-                  <li key={hinweis}>{hinweis}</li>
-                ))}
-              </ul>
-            </>
-          ) : (
-            <p className="text-sm text-muted-foreground">
-              {plan.hinweise[0] ??
-                'Ohne Laufzeitbeginn lässt sich kein Kündigungstermin berechnen.'}
-            </p>
-          )}
-        </CardContent>
-      </Card>
-
-      {kannRueckkaufswertHaben(vertrag.art) && (
-        <Rueckkaufswert
-          betreuteId={aktive.id}
-          vertragId={id}
-          darfSchreiben={schreiben}
-          angefragtAm={vertrag.rueckkaufswertAngefragtAm?.toISOString() ?? null}
-          erinnerungFaellig={anfrage.erinnerungFaellig}
-          tageSeitAnfrage={anfrage.tageSeitAnfrage}
-          anschreiben={anschreiben}
-          stichtagVorschlag={alsIsoTag(heute)}
-          alterHinweis={
-            wertalterBestimmen(wertstaende[0]?.stichtag ?? null, heute)?.hinweis ?? null
-          }
-          werte={wertstaende.map((w) => ({
-            id: w.id,
-            stichtag: w.stichtag.toISOString(),
-            wertCent: centZuZahl(w.wertCent) ?? 0,
-            wertquelle: w.wertquelle,
-            bemerkung: w.bemerkung,
-          }))}
-        />
-      )}
-
-      <Card>
-        <CardHeader>
-          <CardTitle>Bewertung fürs Sozialamt</CardTitle>
-          <CardDescription>
-            Meine Einordnung und meine Begründung — keine Rechtsauskunft.
-          </CardDescription>
-        </CardHeader>
-        <CardContent className="space-y-3">
-          <Badge variant="outline">{BEWERTUNG_BESCHRIFTUNG[vertrag.bewertungSozialhilfe]}</Badge>
-          <p className="text-sm text-muted-foreground">
-            {BEWERTUNG_ERKLAERUNG[vertrag.bewertungSozialhilfe]}
-          </p>
-          {offen.bewertungBegruendung ? (
-            <p className="whitespace-pre-line rounded-md border bg-muted/40 p-3 text-sm">
-              {offen.bewertungBegruendung}
-            </p>
-          ) : (
-            <p className="text-sm text-muted-foreground">
-              Noch keine Begründung hinterlegt. Sie gehört dazu, bevor der Vertrag in einer
-              Aufstellung an den Bezirk auftaucht.
-            </p>
-          )}
-          <Rechtshinweis rechtsgrundlage="§ 90 Abs. 3 SGB XII" kurz />
-        </CardContent>
-      </Card>
-    </div>
-  )
-}
+import Link from 'next/link'
+import { notFound } from 'next/navigation'
+import { FileX2, Pencil, Shield } from 'lucide-react'
+import { Badge } from '@/components/ui/badge'
+import { Button } from '@/components/ui/button'
+import { Card, CardContent, CardDescription, CardHeader, CardTitle } from '@/components/ui/card'
+import { SeitenKopf } from '@/components/seiten-kopf'
+import { Datenzeile } from '@/components/substanz-formular'
+import { Rechtshinweis } from '@/components/rechtshinweis'
+import { Rueckkaufswert } from '@/components/vertraege/rueckkaufswert'
+import { aktiveBetreute, erfordereBenutzer, erfordereZugang } from '@/lib/auth/sitzung'
+import { centZuZahl, db, nichtGeloescht } from '@/lib/db'
+import { oeffnen } from '@/lib/crypto/feld'
+import { alsIsoTag, heuteAlsTag } from '@/lib/fristen/datum'
+import { briefkopfBauen } from '@/lib/vertraege/briefkopf'
+import {
+  kuendigungsampel,
+  kuendigungsplan,
+  laufzeitAusVertrag,
+} from '@/lib/vertraege/kuendigung'
+import {
+  anfrageStatus,
+  rueckkaufswertAnschreiben,
+  wertHistorie,
+} from '@/lib/vertraege/rueckkaufswert'
+import { wertalterBestimmen } from '@/lib/finanzen/wertalter'
+import {
+  BEWERTUNG_BESCHRIFTUNG,
+  BEWERTUNG_ERKLAERUNG,
+  jahresbeitragCent,
+  kannRueckkaufswertHaben,
+  RHYTHMUS_BESCHRIFTUNG,
+  VERTRAG_ART_BESCHRIFTUNG,
+  VERTRAG_STATUS_BESCHRIFTUNG,
+} from '@/lib/vertraege/konstanten'
+import { formatCent, formatDatum } from '@/lib/utils'
+
+export const dynamic = 'force-dynamic'
+
+export default async function VertragDetail({ params }: { params: Promise<{ id: string }> }) {
+  const { id } = await params
+  const benutzer = await erfordereBenutzer(`/vertraege/${id}`)
+  const aktive = await aktiveBetreute(benutzer)
+  if (!aktive) return null
+
+  const { darfSchreiben } = await erfordereZugang(aktive.id, 'VERTRAEGE', 'lesen')
+  const schreiben = darfSchreiben('VERTRAEGE')
+
+  const vertrag = await db.vertrag.findFirst({
+    where: { id, betreuteId: aktive.id, ...nichtGeloescht },
+    include: {
+      // Ueber die Verknuepfung, nicht ueber die Art - siehe wertHistorie().
+      vermoegensposten: {
+        where: nichtGeloescht,
+        include: { wertstaende: { orderBy: { stichtag: 'desc' } } },
+      },
+    },
+  })
+  if (!vertrag) notFound()
+
+  const offen = oeffnen('Vertrag', vertrag)
+  const heute = heuteAlsTag()
+
+  const plan = kuendigungsplan({
+    beginnAm: vertrag.beginnAm,
+    endeAm: vertrag.endeAm,
+    laufzeitJahre: laufzeitAusVertrag(vertrag.beginnAm, vertrag.endeAm),
+    kuendigungsfristMonate: vertrag.kuendigungsfristMonate,
+    heute,
+  })
+  const ampel = kuendigungsampel(plan)
+  const anfrage = anfrageStatus(vertrag.rueckkaufswertAngefragtAm, heute)
+  const jahresbeitrag = jahresbeitragCent(vertrag.beitragCent, vertrag.rhythmus)
+
+  const kopf = briefkopfBauen({ betreute: aktive, benutzer })
+  const anschreiben = rueckkaufswertAnschreiben({
+    kopf,
+    empfaenger: { gesellschaft: vertrag.gesellschaft, anschrift: null },
+    vertragsbezeichnung: `${VERTRAG_ART_BESCHRIFTUNG[vertrag.art]} — ${vertrag.bezeichnung}`,
+    vertragsnummer: offen.vertragsnummer,
+    stichtag: heute,
+    heute,
+  })
+
+  const wertstaende = wertHistorie(vertrag.vermoegensposten)
+
+  return (
+    <div className="space-y-6">
+      <SeitenKopf
+        titel={vertrag.bezeichnung}
+        beschreibung={
+          [vertrag.gesellschaft, VERTRAG_ART_BESCHRIFTUNG[vertrag.art]]
+            .filter(Boolean)
+            .join(' · ') || VERTRAG_ART_BESCHRIFTUNG[vertrag.art]
+        }
+        pfad={[
+          { titel: 'Übersicht', href: '/heute' },
+          { titel: 'Verträge', href: '/vertraege' },
+          { titel: vertrag.bezeichnung },
+        ]}
+        aktionen={
+          schreiben && (
+            <div className="flex flex-wrap gap-2">
+              <Button asChild variant="outline">
+                <Link href={`/vertraege/${id}/kuendigen`}>
+                  <FileX2 aria-hidden="true" />
+                  Kündigen
+                </Link>
+              </Button>
+              <Button asChild>
+                <Link href={`/vertraege/${id}/bearbeiten`}>
+                  <Pencil aria-hidden="true" />
+                  Bearbeiten
+                </Link>
+              </Button>
+            </div>
+          )
+        }
+      />
+
+      <Card>
+        <CardHeader>
+          <CardTitle className="flex items-center gap-2">
+            <Shield className="size-5" aria-hidden="true" />
+            Vertragsdaten
+          </CardTitle>
+          <CardDescription>
+            Die Vertragsnummer wird verschlüsselt gespeichert und hier nur zum Lesen angezeigt.
+          </CardDescription>
+        </CardHeader>
+        <CardContent className="grid gap-x-8 sm:grid-cols-2">
+          <dl className="divide-y">
+            <Datenzeile beschriftung="Vertragsnummer">
+              {offen.vertragsnummer ?? '–'}
+            </Datenzeile>
+            <Datenzeile beschriftung="Status">
+              {VERTRAG_STATUS_BESCHRIFTUNG[vertrag.status]}
+            </Datenzeile>
+            <Datenzeile beschriftung="Laufzeitbeginn">
+              {formatDatum(vertrag.beginnAm)}
+            </Datenzeile>
+            <Datenzeile beschriftung="Vereinbartes Ende">
+              {formatDatum(vertrag.endeAm)}
+            </Datenzeile>
+            <Datenzeile beschriftung="Kündigungsfrist">
+              {vertrag.kuendigungsfristMonate !== null
+                ? `${vertrag.kuendigungsfristMonate} Monate`
+                : 'nicht erfasst'}
+            </Datenzeile>
+          </dl>
+          <dl className="divide-y">
+            <Datenzeile beschriftung="Beitrag">
+              {formatCent(vertrag.beitragCent)}
+              {vertrag.rhythmus ? ` (${RHYTHMUS_BESCHRIFTUNG[vertrag.rhythmus]})` : ''}
+            </Datenzeile>
+            <Datenzeile beschriftung="Jahresbeitrag">{formatCent(jahresbeitrag)}</Datenzeile>
+            <Datenzeile beschriftung="Gekündigt am">
+              {formatDatum(vertrag.gekuendigtAm)}
+            </Datenzeile>
+            <Datenzeile beschriftung="Gekündigt zum">
+              {formatDatum(vertrag.kuendigungZum)}
+            </Datenzeile>
+            <Datenzeile beschriftung="Rückkaufswert angefragt">
+              {formatDatum(vertrag.rueckkaufswertAngefragtAm)}
+            </Datenzeile>
+          </dl>
+
+          {offen.notizen && (
+            <div className="mt-4 rounded-md border bg-muted/40 p-3 sm:col-span-2">
+              <p className="whitespace-pre-line text-sm">{offen.notizen}</p>
+            </div>
+          )}
+        </CardContent>
+      </Card>
+
+      <Card>
+        <CardHeader>
+          <CardTitle>Kündigungsfrist</CardTitle>
+          <CardDescription>
+            Eine Kündigung wird mit dem Zugang wirksam, nicht mit dem Absenden. Deshalb ist der
+            Absendetag früher als der Fristablauf.
+          </CardDescription>
+        </CardHeader>
+        <CardContent className="space-y-4">
+          {plan.berechenbar ? (
+            <>
+              <dl className="grid gap-3 sm:grid-cols-3">
+                <div className="rounded-md border p-3">
+                  <dt className="text-sm text-muted-foreground">Nächster Kündigungstermin</dt>
+                  <dd className="text-lg font-semibold">{formatDatum(plan.naechsterTermin)}</dd>
+                </div>
+                <div className="rounded-md border p-3">
+                  <dt className="text-sm text-muted-foreground">Zugang spätestens</dt>
+                  <dd className="text-lg font-semibold">
+                    {formatDatum(plan.zugangSpaetestensAm)}
+                  </dd>
+                </div>
+                <div className="rounded-md border p-3">
+                  <dt className="text-sm text-muted-foreground">Brief spätestens absenden</dt>
+                  <dd className="text-lg font-semibold">
+                    {formatDatum(plan.spaetesterAbsendetag)}
+                  </dd>
+                  {ampel && (
+                    <dd className="mt-1">
+                      <Badge variant={ampel.variante}>{ampel.text}</Badge>
+                    </dd>
+                  )}
+                </div>
+              </dl>
+              <ul className="space-y-1.5 text-sm text-muted-foreground">
+                {plan.hinweise.map((hinweis) => (
+                  <li key={hinweis}>{hinweis}</li>
+                ))}
+              </ul>
+            </>
+          ) : (
+            <p className="text-sm text-muted-foreground">
+              {plan.hinweise[0] ??
+                'Ohne Laufzeitbeginn lässt sich kein Kündigungstermin berechnen.'}
+            </p>
+          )}
+        </CardContent>
+      </Card>
+
+      {kannRueckkaufswertHaben(vertrag.art) && (
+        <Rueckkaufswert
+          betreuteId={aktive.id}
+          vertragId={id}
+          darfSchreiben={schreiben}
+          angefragtAm={vertrag.rueckkaufswertAngefragtAm?.toISOString() ?? null}
+          erinnerungFaellig={anfrage.erinnerungFaellig}
+          tageSeitAnfrage={anfrage.tageSeitAnfrage}
+          anschreiben={anschreiben}
+          stichtagVorschlag={alsIsoTag(heute)}
+          alterHinweis={
+            wertalterBestimmen(wertstaende[0]?.stichtag ?? null, heute)?.hinweis ?? null
+          }
+          werte={wertstaende.map((w) => ({
+            id: w.id,
+            stichtag: w.stichtag.toISOString(),
+            wertCent: centZuZahl(w.wertCent) ?? 0,
+            wertquelle: w.wertquelle,
+            bemerkung: w.bemerkung,
+          }))}
+        />
+      )}
+
+      <Card>
+        <CardHeader>
+          <CardTitle>Bewertung fürs Sozialamt</CardTitle>
+          <CardDescription>
+            Meine Einordnung und meine Begründung — keine Rechtsauskunft.
+          </CardDescription>
+        </CardHeader>
+        <CardContent className="space-y-3">
+          <Badge variant="outline">{BEWERTUNG_BESCHRIFTUNG[vertrag.bewertungSozialhilfe]}</Badge>
+          <p className="text-sm text-muted-foreground">
+            {BEWERTUNG_ERKLAERUNG[vertrag.bewertungSozialhilfe]}
+          </p>
+          {offen.bewertungBegruendung ? (
+            <p className="whitespace-pre-line rounded-md border bg-muted/40 p-3 text-sm">
+              {offen.bewertungBegruendung}
+            </p>
+          ) : (
+            <p className="text-sm text-muted-foreground">
+              Noch keine Begründung hinterlegt. Sie gehört dazu, bevor der Vertrag in einer
+              Aufstellung an den Bezirk auftaucht.
+            </p>
+          )}
+          <Rechtshinweis rechtsgrundlage="§ 90 Abs. 3 SGB XII" kurz />
+        </CardContent>
+      </Card>
+    </div>
+  )
+}
@@ -1,438 +1,438 @@
-import { notFound } from 'next/navigation'
-import Link from 'next/link'
-import { ArrowLeft, FileDown, Clock } from 'lucide-react'
-import type { VorgangStatus } from '@prisma/client'
-import { Badge } from '@/components/ui/badge'
-import { Button } from '@/components/ui/button'
-import { Card, CardContent, CardHeader, CardTitle } from '@/components/ui/card'
-import { SeitenKopf } from '@/components/seiten-kopf'
-import { AufgabenListe, type AufgabenZeile } from '@/components/vorgaenge/aufgaben-liste'
-import { Faelligkeit } from '@/components/vorgaenge/faelligkeit'
-import { GenehmigungAnlegen } from '@/components/vorgaenge/genehmigung-anlegen'
-import {
-  GenehmigungsKette,
-  type GenehmigungsAnzeige,
-} from '@/components/vorgaenge/genehmigungs-kette'
-import { SachstandsanfrageKnopf } from '@/components/vorgaenge/sachstandsanfrage-knopf'
-import { StatusWechsler } from '@/components/vorgaenge/status-wechsler'
-import { VorgangLoeschen } from '@/components/vorgaenge/vorgang-loeschen'
-import { VorgangsFormular } from '@/components/vorgaenge/vorgangs-formular'
-import { ZeitstrahlAnzeige } from '@/components/vorgaenge/zeitstrahl-anzeige'
-import { aktiveBetreute, erfordereBenutzer, erfordereZugang } from '@/lib/auth/sitzung'
-import { centZuZahl, db, nichtGeloescht } from '@/lib/db'
-import { entschluesselnWennMoeglich, oeffnen } from '@/lib/crypto/feld'
-import { KATEGORIE_BESCHRIFTUNG, PRIORITAET_BESCHRIFTUNG } from '@/lib/validierung/vorgaenge'
-import { sachstandsanfrageErzeugen } from '@/lib/vorgaenge/sachstandsanfrage'
-import {
-  VORGANG_STATUS_BESCHRIFTUNG,
-  zeitstrahlBauen,
-  type ZeitstrahlStatuswechsel,
-} from '@/lib/vorgaenge/zeitstrahl'
-import { formatDatum } from '@/lib/utils'
-
-/**
- * Die Fallakte.
- *
- * Kopf mit Status, Gegenstelle, Aktenzeichen und dem nächsten Handgriff;
- * darunter die Aufgabenliste, das Genehmigungsverfahren und der
- * Zeitstrahl, der alles zusammenführt, was in dieser Sache passiert ist.
- */
-export default async function VorgangSeite({ params }: { params: Promise<{ id: string }> }) {
-  const { id } = await params
-  const benutzer = await erfordereBenutzer(`/vorgaenge/${id}`)
-  const aktive = await aktiveBetreute(benutzer)
-  if (!aktive) notFound()
-
-  const vorgang = await db.vorgang.findFirst({
-    where: { id, betreuteId: aktive.id, ...nichtGeloescht },
-    include: {
-      aufgaben: { orderBy: [{ reihenfolge: 'asc' }, { erstelltAm: 'asc' }] },
-      genehmigungen: {
-        where: nichtGeloescht,
-        include: { beschlussDokument: { select: { id: true, titel: true } } },
-        orderBy: { erstelltAm: 'asc' },
-      },
-      fristen: { where: nichtGeloescht, orderBy: { datum: 'asc' } },
-      buchungen: { where: nichtGeloescht, orderBy: { datum: 'desc' } },
-      kontaktprotokolle: { where: nichtGeloescht, orderBy: { datum: 'desc' } },
-      verknuepfungen: { include: { dokument: true } },
-      ansprechpartner: true,
-    },
-  })
-  if (!vorgang) notFound()
-
-  const { darfSchreiben } = await erfordereZugang(aktive.id, 'VORGAENGE', 'lesen')
-  const schreiben = darfSchreiben('VORGAENGE')
-
-  const offen = oeffnen('Vorgang', vorgang)
-
-  // Kontakte dieser Akte fuer die Wahl des Ansprechpartners.
-  const kontakte = await db.kontakt.findMany({
-    where: { betreuteId: aktive.id, ...nichtGeloescht },
-    select: { id: true, name: true, organisation: true },
-    orderBy: [{ organisation: 'asc' }, { name: 'asc' }],
-    take: 300,
-  })
-
-  // --- Statuswechsel aus dem Audit-Log --------------------------------------
-  // Das Log ist ohnehin der Nachweis gegenueber dem Gericht; daraus die
-  // Statuschronik zu lesen, spart eine zusaetzliche Tabelle.
-  const protokolle = await db.auditLog.findMany({
-    where: { entitaet: 'Vorgang', entitaetId: vorgang.id, aktion: 'GEAENDERT' },
-    orderBy: { zeitpunkt: 'asc' },
-    take: 200,
-  })
-
-  const statuswechsel: ZeitstrahlStatuswechsel[] = []
-  for (const eintrag of protokolle) {
-    const roh = entschluesselnWennMoeglich(
-      eintrag.aenderungVerschluesselt,
-      'aenderungVerschluesselt',
-    )
-    if (!roh) continue
-    try {
-      const gelesen = JSON.parse(roh) as Record<string, { alt: unknown; neu: unknown }>
-      const status = gelesen.status
-      if (!status || typeof status.neu !== 'string') continue
-      statuswechsel.push({
-        id: eintrag.id,
-        zeitpunkt: eintrag.zeitpunkt,
-        von: typeof status.alt === 'string' ? (status.alt as VorgangStatus) : null,
-        nach: status.neu as VorgangStatus,
-        wer: eintrag.userName,
-      })
-    } catch {
-      // Ein unlesbarer Protokolleintrag darf die Akte nicht blockieren.
-      continue
-    }
-  }
-
-  // --- Zeitstrahl -----------------------------------------------------------
-  const zeitstrahl = zeitstrahlBauen({
-    vorgang: {
-      titel: vorgang.titel,
-      erstelltAm: vorgang.erstelltAm,
-      erledigtAm: vorgang.erledigtAm,
-    },
-    dokumente: vorgang.verknuepfungen
-      .map((v) => v.dokument)
-      .filter((d) => d.geloeschtAm === null)
-      .map((d) => ({
-        id: d.id,
-        titel: d.titel,
-        eingangAm: d.eingangAm,
-        versandAm: d.versandAm,
-        erstelltAm: d.erstelltAm,
-        absender: d.absender,
-        empfaenger: d.empfaenger,
-      })),
-    kontaktprotokolle: vorgang.kontaktprotokolle.map((p) => {
-      const klar = oeffnen('Kontaktprotokoll', p)
-      return {
-        id: p.id,
-        datum: p.datum,
-        art: p.art,
-        gespraechspartner: p.gespraechspartner,
-        mitBetreuter: p.mitBetreuter,
-        inhalt: klar.inhalt ?? null,
-      }
-    }),
-    fristen: vorgang.fristen.map((f) => ({
-      id: f.id,
-      titel: f.titel,
-      datum: f.datum,
-      erledigtAm: f.erledigtAm,
-      ausschlussfrist: f.ausschlussfrist,
-      rechtsgrundlage: f.rechtsgrundlage,
-    })),
-    buchungen: vorgang.buchungen.map((b) => {
-      const klar = oeffnen('Buchung', b)
-      return {
-        id: b.id,
-        datum: b.datum,
-        betragCent: centZuZahl(b.betragCent) ?? 0,
-        richtung: b.richtung,
-        gegenstelle: b.gegenstelle,
-        verwendungszweck: klar.verwendungszweck ?? null,
-      }
-    }),
-    genehmigungen: vorgang.genehmigungen.map((g) => ({
-      id: g.id,
-      titel: g.titel,
-      rechtsgrundlage: g.rechtsgrundlage,
-      status: g.status,
-      mitteilungAm: g.mitteilungAm,
-      antragAm: g.antragAm,
-      anhoerungAm: g.anhoerungAm,
-      beschlussAm: g.beschlussAm,
-      rechtskraftAm: g.rechtskraftAm,
-      vollzugAm: g.vollzugAm,
-    })),
-    statuswechsel,
-  })
-
-  // --- Sachstandsanfrage ----------------------------------------------------
-  // Nur, wenn tatsaechlich auf jemanden gewartet wird - sonst waere der
-  // Knopf nur Zierde.
-  const wartetAufDritte = vorgang.status === 'WARTET_AUF_DRITTE'
-  const anfrage = wartetAufDritte
-    ? sachstandsanfrageErzeugen({
-        vorgangTitel: vorgang.titel,
-        gegenstelle: vorgang.gegenstelle,
-        aktenzeichen: vorgang.aktenzeichen,
-        letzterKontaktAm: vorgang.letzterKontaktAm,
-        betreute: {
-          vorname: aktive.vorname,
-          nachname: aktive.nachname,
-          geburtsdatum: aktive.geburtsdatum,
-        },
-        betreuer: {
-          name: benutzer.name,
-          aktenzeichenGericht: aktive.aktenzeichenGericht,
-          betreuungsgericht: aktive.betreuungsgericht,
-        },
-        ansprechpartner: vorgang.ansprechpartner
-          ? {
-              name: vorgang.ansprechpartner.name,
-              anrede: vorgang.ansprechpartner.anrede,
-            }
-          : null,
-      })
-    : null
-
-  // Dokumente der betreuten Person - Auswahl fuer das Beschlussdokument.
-  const dokumente = vorgang.genehmigungen.length
-    ? await db.dokument.findMany({
-        where: { betreuteId: aktive.id, ...nichtGeloescht },
-        select: { id: true, titel: true },
-        orderBy: { erstelltAm: 'desc' },
-        take: 100,
-      })
-    : []
-
-  const aufgaben: AufgabenZeile[] = vorgang.aufgaben.map((a) => ({
-    id: a.id,
-    titel: a.titel,
-    beschreibung: a.beschreibung,
-    erledigt: a.erledigt,
-    faelligAm: a.faelligAm,
-  }))
-
-  const genehmigungen: GenehmigungsAnzeige[] = vorgang.genehmigungen.map((g) => ({
-    id: g.id,
-    titel: g.titel,
-    rechtsgrundlage: g.rechtsgrundlage,
-    status: g.status,
-    mitteilungAm: g.mitteilungAm,
-    antragAm: g.antragAm,
-    anhoerungAm: g.anhoerungAm,
-    beschlussAm: g.beschlussAm,
-    rechtskraftAm: g.rechtskraftAm,
-    vollzugAm: g.vollzugAm,
-    beschlussDokumentId: g.beschlussDokumentId,
-    beschlussDokumentTitel: g.beschlussDokument?.titel ?? null,
-    dokumente,
-  }))
-
-  return (
-    <div className="space-y-8">
-      <SeitenKopf
-        titel={vorgang.titel}
-        beschreibung={offen.beschreibung ?? undefined}
-        pfad={[
-          { titel: 'Start', href: '/heute' },
-          { titel: 'Vorgänge', href: '/vorgaenge' },
-          { titel: vorgang.titel },
-        ]}
-        aktionen={
-          <>
-            <Button variant="ghost" asChild>
-              <Link href="/vorgaenge">
-                <ArrowLeft aria-hidden="true" />
-                Zurück
-              </Link>
-            </Button>
-            {anfrage && (
-              <SachstandsanfrageKnopf
-                vorgangId={vorgang.id}
-                betreff={anfrage.betreff}
-                text={anfrage.text}
-                darfSchreiben={schreiben}
-              />
-            )}
-            {schreiben && (
-              <Button asChild variant="outline">
-                <Link href={`/schreiben/neu?art=SACHSTAND&vorgangId=${vorgang.id}`}>
-                  <FileDown aria-hidden="true" />
-                  Als Word-Datei und in die Akte
-                </Link>
-              </Button>
-            )}
-            {schreiben && <VorgangLoeschen vorgangId={vorgang.id} titel={vorgang.titel} />}
-          </>
-        }
-      />
-
-      {/* --- Kopf der Akte ---------------------------------------------- */}
-      <Card>
-        <CardContent className="grid gap-5 p-5 sm:grid-cols-2 lg:grid-cols-3">
-          <div className="space-y-1">
-            <p className="text-sm text-muted-foreground">Status</p>
-            <p className="font-medium">{VORGANG_STATUS_BESCHRIFTUNG[vorgang.status]}</p>
-            {schreiben && (
-              <StatusWechsler vorgangId={vorgang.id} status={vorgang.status} klein />
-            )}
-          </div>
-
-          <div className="space-y-1">
-            <p className="text-sm text-muted-foreground">Gegenstelle</p>
-            <p className="font-medium">{vorgang.gegenstelle ?? '–'}</p>
-            {vorgang.letzterKontaktAm && (
-              <p className="flex items-center gap-1.5 text-sm text-muted-foreground">
-                <Clock className="size-3.5" aria-hidden="true" />
-                Letzter Kontakt: {formatDatum(vorgang.letzterKontaktAm)}
-              </p>
-            )}
-          </div>
-
-          <div className="space-y-1">
-            <p className="text-sm text-muted-foreground">Aktenzeichen</p>
-            <p className="font-medium">{vorgang.aktenzeichen ?? '–'}</p>
-          </div>
-
-          {/* Wen frage ich, bevor ich anrufe? Durchwahl und Adresse
-              stehen dabei - sonst schlaegt man sie doch wieder nach. */}
-          <div className="space-y-1">
-            <p className="text-sm text-muted-foreground">Ansprechpartner</p>
-            {vorgang.ansprechpartner ? (
-              <>
-                <p className="font-medium">
-                  <Link
-                    href={`/kontakte/${vorgang.ansprechpartner.id}`}
-                    className="hover:underline"
-                  >
-                    {vorgang.ansprechpartner.name}
-                  </Link>
-                </p>
-                {vorgang.ansprechpartner.organisation && (
-                  <p className="text-sm text-muted-foreground">
-                    {vorgang.ansprechpartner.organisation}
-                  </p>
-                )}
-                {(vorgang.ansprechpartner.telefon || vorgang.ansprechpartner.email) && (
-                  <p className="text-sm text-muted-foreground">
-                    {[vorgang.ansprechpartner.telefon, vorgang.ansprechpartner.email]
-                      .filter(Boolean)
-                      .join(' · ')}
-                  </p>
-                )}
-              </>
-            ) : (
-              <p className="text-sm text-muted-foreground">
-                Keiner benannt — Schreiben gehen an „Sehr geehrte Damen und Herren“.
-              </p>
-            )}
-          </div>
-
-          <div className="space-y-1 sm:col-span-2">
-            <p className="text-sm text-muted-foreground">Nächster Schritt</p>
-            <p className="font-medium">
-              {vorgang.naechsterSchritt ?? 'Kein offener Handgriff notiert.'}
-            </p>
-          </div>
-
-          <div className="space-y-2">
-            <p className="text-sm text-muted-foreground">Einordnung</p>
-            <div className="flex flex-wrap gap-2">
-              <Badge variant="outline">{KATEGORIE_BESCHRIFTUNG[vorgang.kategorie]}</Badge>
-              <Badge variant="secondary">
-                {PRIORITAET_BESCHRIFTUNG[vorgang.prioritaet] ?? 'Normal'}
-              </Badge>
-              <Faelligkeit datum={vorgang.faelligAm} />
-            </div>
-          </div>
-        </CardContent>
-      </Card>
-
-      {/* --- Aufgaben ----------------------------------------------------- */}
-      <section aria-labelledby="aufgaben" className="space-y-4">
-        <h2 id="aufgaben" className="text-xl font-semibold">
-          Aufgaben
-        </h2>
-        <AufgabenListe
-          vorgangId={vorgang.id}
-          aufgaben={aufgaben}
-          darfSchreiben={schreiben}
-        />
-      </section>
-
-      {/* --- Genehmigungen ------------------------------------------------ */}
-      {(vorgang.genehmigungspflichtig || genehmigungen.length > 0) && (
-        <section aria-labelledby="genehmigungen" className="space-y-6">
-          <h2 id="genehmigungen" className="text-xl font-semibold">
-            Genehmigung des Betreuungsgerichts
-          </h2>
-
-          {genehmigungen.map((genehmigung) => (
-            <GenehmigungsKette
-              key={genehmigung.id}
-              genehmigung={genehmigung}
-              darfSchreiben={schreiben}
-            />
-          ))}
-
-          {schreiben && genehmigungen.length === 0 && (
-            <GenehmigungAnlegen vorgangId={vorgang.id} />
-          )}
-        </section>
-      )}
-
-      {/* --- Zeitstrahl --------------------------------------------------- */}
-      <section aria-labelledby="zeitstrahl" className="space-y-4">
-        <h2 id="zeitstrahl" className="text-xl font-semibold">
-          Zeitstrahl
-        </h2>
-        <p className="text-sm text-muted-foreground">
-          Dokumente, Gespräche, Fristen, Zahlungen und Statuswechsel in einer Spalte - neueste
-          zuerst.
-        </p>
-        <ZeitstrahlAnzeige eintraege={zeitstrahl} />
-      </section>
-
-      {/* --- Bearbeiten --------------------------------------------------- */}
-      {schreiben && (
-        <section aria-labelledby="bearbeiten" className="space-y-4">
-          <Card>
-            <CardHeader>
-              <CardTitle id="bearbeiten">Angaben bearbeiten</CardTitle>
-            </CardHeader>
-            <CardContent>
-              <VorgangsFormular
-                modus="aendern"
-                betreuteId={aktive.id}
-                vorgangId={vorgang.id}
-                abbrechenHref={`/vorgaenge/${vorgang.id}`}
-                kontakte={kontakte}
-                werte={{
-                  titel: vorgang.titel,
-                  kategorie: vorgang.kategorie,
-                  status: vorgang.status,
-                  prioritaet: vorgang.prioritaet,
-                  beschreibung: offen.beschreibung ?? null,
-                  gegenstelle: vorgang.gegenstelle,
-                  aktenzeichen: vorgang.aktenzeichen,
-                  ansprechpartnerId: vorgang.ansprechpartnerId,
-                  verantwortlich: vorgang.verantwortlich,
-                  naechsterSchritt: vorgang.naechsterSchritt,
-                  faelligAm: vorgang.faelligAm,
-                  letzterKontaktAm: vorgang.letzterKontaktAm,
-                  genehmigungspflichtig: vorgang.genehmigungspflichtig,
-                }}
-              />
-            </CardContent>
-          </Card>
-        </section>
-      )}
-    </div>
-  )
-}
+import { notFound } from 'next/navigation'
+import Link from 'next/link'
+import { ArrowLeft, FileDown, Clock } from 'lucide-react'
+import type { VorgangStatus } from '@prisma/client'
+import { Badge } from '@/components/ui/badge'
+import { Button } from '@/components/ui/button'
+import { Card, CardContent, CardHeader, CardTitle } from '@/components/ui/card'
+import { SeitenKopf } from '@/components/seiten-kopf'
+import { AufgabenListe, type AufgabenZeile } from '@/components/vorgaenge/aufgaben-liste'
+import { Faelligkeit } from '@/components/vorgaenge/faelligkeit'
+import { GenehmigungAnlegen } from '@/components/vorgaenge/genehmigung-anlegen'
+import {
+  GenehmigungsKette,
+  type GenehmigungsAnzeige,
+} from '@/components/vorgaenge/genehmigungs-kette'
+import { SachstandsanfrageKnopf } from '@/components/vorgaenge/sachstandsanfrage-knopf'
+import { StatusWechsler } from '@/components/vorgaenge/status-wechsler'
+import { VorgangLoeschen } from '@/components/vorgaenge/vorgang-loeschen'
+import { VorgangsFormular } from '@/components/vorgaenge/vorgangs-formular'
+import { ZeitstrahlAnzeige } from '@/components/vorgaenge/zeitstrahl-anzeige'
+import { aktiveBetreute, erfordereBenutzer, erfordereZugang } from '@/lib/auth/sitzung'
+import { centZuZahl, db, nichtGeloescht } from '@/lib/db'
+import { entschluesselnWennMoeglich, oeffnen } from '@/lib/crypto/feld'
+import { KATEGORIE_BESCHRIFTUNG, PRIORITAET_BESCHRIFTUNG } from '@/lib/validierung/vorgaenge'
+import { sachstandsanfrageErzeugen } from '@/lib/vorgaenge/sachstandsanfrage'
+import {
+  VORGANG_STATUS_BESCHRIFTUNG,
+  zeitstrahlBauen,
+  type ZeitstrahlStatuswechsel,
+} from '@/lib/vorgaenge/zeitstrahl'
+import { formatDatum } from '@/lib/utils'
+
+/**
+ * Die Fallakte.
+ *
+ * Kopf mit Status, Gegenstelle, Aktenzeichen und dem nächsten Handgriff;
+ * darunter die Aufgabenliste, das Genehmigungsverfahren und der
+ * Zeitstrahl, der alles zusammenführt, was in dieser Sache passiert ist.
+ */
+export default async function VorgangSeite({ params }: { params: Promise<{ id: string }> }) {
+  const { id } = await params
+  const benutzer = await erfordereBenutzer(`/vorgaenge/${id}`)
+  const aktive = await aktiveBetreute(benutzer)
+  if (!aktive) notFound()
+
+  const vorgang = await db.vorgang.findFirst({
+    where: { id, betreuteId: aktive.id, ...nichtGeloescht },
+    include: {
+      aufgaben: { orderBy: [{ reihenfolge: 'asc' }, { erstelltAm: 'asc' }] },
+      genehmigungen: {
+        where: nichtGeloescht,
+        include: { beschlussDokument: { select: { id: true, titel: true } } },
+        orderBy: { erstelltAm: 'asc' },
+      },
+      fristen: { where: nichtGeloescht, orderBy: { datum: 'asc' } },
+      buchungen: { where: nichtGeloescht, orderBy: { datum: 'desc' } },
+      kontaktprotokolle: { where: nichtGeloescht, orderBy: { datum: 'desc' } },
+      verknuepfungen: { include: { dokument: true } },
+      ansprechpartner: true,
+    },
+  })
+  if (!vorgang) notFound()
+
+  const { darfSchreiben } = await erfordereZugang(aktive.id, 'VORGAENGE', 'lesen')
+  const schreiben = darfSchreiben('VORGAENGE')
+
+  const offen = oeffnen('Vorgang', vorgang)
+
+  // Kontakte dieser Akte fuer die Wahl des Ansprechpartners.
+  const kontakte = await db.kontakt.findMany({
+    where: { betreuteId: aktive.id, ...nichtGeloescht },
+    select: { id: true, name: true, organisation: true },
+    orderBy: [{ organisation: 'asc' }, { name: 'asc' }],
+    take: 300,
+  })
+
+  // --- Statuswechsel aus dem Audit-Log --------------------------------------
+  // Das Log ist ohnehin der Nachweis gegenueber dem Gericht; daraus die
+  // Statuschronik zu lesen, spart eine zusaetzliche Tabelle.
+  const protokolle = await db.auditLog.findMany({
+    where: { entitaet: 'Vorgang', entitaetId: vorgang.id, aktion: 'GEAENDERT' },
+    orderBy: { zeitpunkt: 'asc' },
+    take: 200,
+  })
+
+  const statuswechsel: ZeitstrahlStatuswechsel[] = []
+  for (const eintrag of protokolle) {
+    const roh = entschluesselnWennMoeglich(
+      eintrag.aenderungVerschluesselt,
+      'aenderungVerschluesselt',
+    )
+    if (!roh) continue
+    try {
+      const gelesen = JSON.parse(roh) as Record<string, { alt: unknown; neu: unknown }>
+      const status = gelesen.status
+      if (!status || typeof status.neu !== 'string') continue
+      statuswechsel.push({
+        id: eintrag.id,
+        zeitpunkt: eintrag.zeitpunkt,
+        von: typeof status.alt === 'string' ? (status.alt as VorgangStatus) : null,
+        nach: status.neu as VorgangStatus,
+        wer: eintrag.userName,
+      })
+    } catch {
+      // Ein unlesbarer Protokolleintrag darf die Akte nicht blockieren.
+      continue
+    }
+  }
+
+  // --- Zeitstrahl -----------------------------------------------------------
+  const zeitstrahl = zeitstrahlBauen({
+    vorgang: {
+      titel: vorgang.titel,
+      erstelltAm: vorgang.erstelltAm,
+      erledigtAm: vorgang.erledigtAm,
+    },
+    dokumente: vorgang.verknuepfungen
+      .map((v) => v.dokument)
+      .filter((d) => d.geloeschtAm === null)
+      .map((d) => ({
+        id: d.id,
+        titel: d.titel,
+        eingangAm: d.eingangAm,
+        versandAm: d.versandAm,
+        erstelltAm: d.erstelltAm,
+        absender: d.absender,
+        empfaenger: d.empfaenger,
+      })),
+    kontaktprotokolle: vorgang.kontaktprotokolle.map((p) => {
+      const klar = oeffnen('Kontaktprotokoll', p)
+      return {
+        id: p.id,
+        datum: p.datum,
+        art: p.art,
+        gespraechspartner: p.gespraechspartner,
+        mitBetreuter: p.mitBetreuter,
+        inhalt: klar.inhalt ?? null,
+      }
+    }),
+    fristen: vorgang.fristen.map((f) => ({
+      id: f.id,
+      titel: f.titel,
+      datum: f.datum,
+      erledigtAm: f.erledigtAm,
+      ausschlussfrist: f.ausschlussfrist,
+      rechtsgrundlage: f.rechtsgrundlage,
+    })),
+    buchungen: vorgang.buchungen.map((b) => {
+      const klar = oeffnen('Buchung', b)
+      return {
+        id: b.id,
+        datum: b.datum,
+        betragCent: centZuZahl(b.betragCent) ?? 0,
+        richtung: b.richtung,
+        gegenstelle: b.gegenstelle,
+        verwendungszweck: klar.verwendungszweck ?? null,
+      }
+    }),
+    genehmigungen: vorgang.genehmigungen.map((g) => ({
+      id: g.id,
+      titel: g.titel,
+      rechtsgrundlage: g.rechtsgrundlage,
+      status: g.status,
+      mitteilungAm: g.mitteilungAm,
+      antragAm: g.antragAm,
+      anhoerungAm: g.anhoerungAm,
+      beschlussAm: g.beschlussAm,
+      rechtskraftAm: g.rechtskraftAm,
+      vollzugAm: g.vollzugAm,
+    })),
+    statuswechsel,
+  })
+
+  // --- Sachstandsanfrage ----------------------------------------------------
+  // Nur, wenn tatsaechlich auf jemanden gewartet wird - sonst waere der
+  // Knopf nur Zierde.
+  const wartetAufDritte = vorgang.status === 'WARTET_AUF_DRITTE'
+  const anfrage = wartetAufDritte
+    ? sachstandsanfrageErzeugen({
+        vorgangTitel: vorgang.titel,
+        gegenstelle: vorgang.gegenstelle,
+        aktenzeichen: vorgang.aktenzeichen,
+        letzterKontaktAm: vorgang.letzterKontaktAm,
+        betreute: {
+          vorname: aktive.vorname,
+          nachname: aktive.nachname,
+          geburtsdatum: aktive.geburtsdatum,
+        },
+        betreuer: {
+          name: benutzer.name,
+          aktenzeichenGericht: aktive.aktenzeichenGericht,
+          betreuungsgericht: aktive.betreuungsgericht,
+        },
+        ansprechpartner: vorgang.ansprechpartner
+          ? {
+              name: vorgang.ansprechpartner.name,
+              anrede: vorgang.ansprechpartner.anrede,
+            }
+          : null,
+      })
+    : null
+
+  // Dokumente der betreuten Person - Auswahl fuer das Beschlussdokument.
+  const dokumente = vorgang.genehmigungen.length
+    ? await db.dokument.findMany({
+        where: { betreuteId: aktive.id, ...nichtGeloescht },
+        select: { id: true, titel: true },
+        orderBy: { erstelltAm: 'desc' },
+        take: 100,
+      })
+    : []
+
+  const aufgaben: AufgabenZeile[] = vorgang.aufgaben.map((a) => ({
+    id: a.id,
+    titel: a.titel,
+    beschreibung: a.beschreibung,
+    erledigt: a.erledigt,
+    faelligAm: a.faelligAm,
+  }))
+
+  const genehmigungen: GenehmigungsAnzeige[] = vorgang.genehmigungen.map((g) => ({
+    id: g.id,
+    titel: g.titel,
+    rechtsgrundlage: g.rechtsgrundlage,
+    status: g.status,
+    mitteilungAm: g.mitteilungAm,
+    antragAm: g.antragAm,
+    anhoerungAm: g.anhoerungAm,
+    beschlussAm: g.beschlussAm,
+    rechtskraftAm: g.rechtskraftAm,
+    vollzugAm: g.vollzugAm,
+    beschlussDokumentId: g.beschlussDokumentId,
+    beschlussDokumentTitel: g.beschlussDokument?.titel ?? null,
+    dokumente,
+  }))
+
+  return (
+    <div className="space-y-8">
+      <SeitenKopf
+        titel={vorgang.titel}
+        beschreibung={offen.beschreibung ?? undefined}
+        pfad={[
+          { titel: 'Start', href: '/heute' },
+          { titel: 'Vorgänge', href: '/vorgaenge' },
+          { titel: vorgang.titel },
+        ]}
+        aktionen={
+          <>
+            <Button variant="ghost" asChild>
+              <Link href="/vorgaenge">
+                <ArrowLeft aria-hidden="true" />
+                Zurück
+              </Link>
+            </Button>
+            {anfrage && (
+              <SachstandsanfrageKnopf
+                vorgangId={vorgang.id}
+                betreff={anfrage.betreff}
+                text={anfrage.text}
+                darfSchreiben={schreiben}
+              />
+            )}
+            {schreiben && (
+              <Button asChild variant="outline">
+                <Link href={`/schreiben/neu?art=SACHSTAND&vorgangId=${vorgang.id}`}>
+                  <FileDown aria-hidden="true" />
+                  Als Word-Datei und in die Akte
+                </Link>
+              </Button>
+            )}
+            {schreiben && <VorgangLoeschen vorgangId={vorgang.id} titel={vorgang.titel} />}
+          </>
+        }
+      />
+
+      {/* --- Kopf der Akte ---------------------------------------------- */}
+      <Card>
+        <CardContent className="grid gap-5 p-5 sm:grid-cols-2 lg:grid-cols-3">
+          <div className="space-y-1">
+            <p className="text-sm text-muted-foreground">Status</p>
+            <p className="font-medium">{VORGANG_STATUS_BESCHRIFTUNG[vorgang.status]}</p>
+            {schreiben && (
+              <StatusWechsler vorgangId={vorgang.id} status={vorgang.status} klein />
+            )}
+          </div>
+
+          <div className="space-y-1">
+            <p className="text-sm text-muted-foreground">Gegenstelle</p>
+            <p className="font-medium">{vorgang.gegenstelle ?? '–'}</p>
+            {vorgang.letzterKontaktAm && (
+              <p className="flex items-center gap-1.5 text-sm text-muted-foreground">
+                <Clock className="size-3.5" aria-hidden="true" />
+                Letzter Kontakt: {formatDatum(vorgang.letzterKontaktAm)}
+              </p>
+            )}
+          </div>
+
+          <div className="space-y-1">
+            <p className="text-sm text-muted-foreground">Aktenzeichen</p>
+            <p className="font-medium">{vorgang.aktenzeichen ?? '–'}</p>
+          </div>
+
+          {/* Wen frage ich, bevor ich anrufe? Durchwahl und Adresse
+              stehen dabei - sonst schlaegt man sie doch wieder nach. */}
+          <div className="space-y-1">
+            <p className="text-sm text-muted-foreground">Ansprechpartner</p>
+            {vorgang.ansprechpartner ? (
+              <>
+                <p className="font-medium">
+                  <Link
+                    href={`/kontakte/${vorgang.ansprechpartner.id}`}
+                    className="hover:underline"
+                  >
+                    {vorgang.ansprechpartner.name}
+                  </Link>
+                </p>
+                {vorgang.ansprechpartner.organisation && (
+                  <p className="text-sm text-muted-foreground">
+                    {vorgang.ansprechpartner.organisation}
+                  </p>
+                )}
+                {(vorgang.ansprechpartner.telefon || vorgang.ansprechpartner.email) && (
+                  <p className="text-sm text-muted-foreground">
+                    {[vorgang.ansprechpartner.telefon, vorgang.ansprechpartner.email]
+                      .filter(Boolean)
+                      .join(' · ')}
+                  </p>
+                )}
+              </>
+            ) : (
+              <p className="text-sm text-muted-foreground">
+                Keiner benannt — Schreiben gehen an „Sehr geehrte Damen und Herren“.
+              </p>
+            )}
+          </div>
+
+          <div className="space-y-1 sm:col-span-2">
+            <p className="text-sm text-muted-foreground">Nächster Schritt</p>
+            <p className="font-medium">
+              {vorgang.naechsterSchritt ?? 'Kein offener Handgriff notiert.'}
+            </p>
+          </div>
+
+          <div className="space-y-2">
+            <p className="text-sm text-muted-foreground">Einordnung</p>
+            <div className="flex flex-wrap gap-2">
+              <Badge variant="outline">{KATEGORIE_BESCHRIFTUNG[vorgang.kategorie]}</Badge>
+              <Badge variant="secondary">
+                {PRIORITAET_BESCHRIFTUNG[vorgang.prioritaet] ?? 'Normal'}
+              </Badge>
+              <Faelligkeit datum={vorgang.faelligAm} />
+            </div>
+          </div>
+        </CardContent>
+      </Card>
+
+      {/* --- Aufgaben ----------------------------------------------------- */}
+      <section aria-labelledby="aufgaben" className="space-y-4">
+        <h2 id="aufgaben" className="text-xl font-semibold">
+          Aufgaben
+        </h2>
+        <AufgabenListe
+          vorgangId={vorgang.id}
+          aufgaben={aufgaben}
+          darfSchreiben={schreiben}
+        />
+      </section>
+
+      {/* --- Genehmigungen ------------------------------------------------ */}
+      {(vorgang.genehmigungspflichtig || genehmigungen.length > 0) && (
+        <section aria-labelledby="genehmigungen" className="space-y-6">
+          <h2 id="genehmigungen" className="text-xl font-semibold">
+            Genehmigung des Betreuungsgerichts
+          </h2>
+
+          {genehmigungen.map((genehmigung) => (
+            <GenehmigungsKette
+              key={genehmigung.id}
+              genehmigung={genehmigung}
+              darfSchreiben={schreiben}
+            />
+          ))}
+
+          {schreiben && genehmigungen.length === 0 && (
+            <GenehmigungAnlegen vorgangId={vorgang.id} />
+          )}
+        </section>
+      )}
+
+      {/* --- Zeitstrahl --------------------------------------------------- */}
+      <section aria-labelledby="zeitstrahl" className="space-y-4">
+        <h2 id="zeitstrahl" className="text-xl font-semibold">
+          Zeitstrahl
+        </h2>
+        <p className="text-sm text-muted-foreground">
+          Dokumente, Gespräche, Fristen, Zahlungen und Statuswechsel in einer Spalte - neueste
+          zuerst.
+        </p>
+        <ZeitstrahlAnzeige eintraege={zeitstrahl} />
+      </section>
+
+      {/* --- Bearbeiten --------------------------------------------------- */}
+      {schreiben && (
+        <section aria-labelledby="bearbeiten" className="space-y-4">
+          <Card>
+            <CardHeader>
+              <CardTitle id="bearbeiten">Angaben bearbeiten</CardTitle>
+            </CardHeader>
+            <CardContent>
+              <VorgangsFormular
+                modus="aendern"
+                betreuteId={aktive.id}
+                vorgangId={vorgang.id}
+                abbrechenHref={`/vorgaenge/${vorgang.id}`}
+                kontakte={kontakte}
+                werte={{
+                  titel: vorgang.titel,
+                  kategorie: vorgang.kategorie,
+                  status: vorgang.status,
+                  prioritaet: vorgang.prioritaet,
+                  beschreibung: offen.beschreibung ?? null,
+                  gegenstelle: vorgang.gegenstelle,
+                  aktenzeichen: vorgang.aktenzeichen,
+                  ansprechpartnerId: vorgang.ansprechpartnerId,
+                  verantwortlich: vorgang.verantwortlich,
+                  naechsterSchritt: vorgang.naechsterSchritt,
+                  faelligAm: vorgang.faelligAm,
+                  letzterKontaktAm: vorgang.letzterKontaktAm,
+                  genehmigungspflichtig: vorgang.genehmigungspflichtig,
+                }}
+              />
+            </CardContent>
+          </Card>
+        </section>
+      )}
+    </div>
+  )
+}
@@ -21,8 +21,16 @@ export const dynamic = 'force-dynamic'
 export default async function ErsteinrichtungSeite() {
  const anzahlBenutzer = await db.user.count({ where: { geloeschtAm: null } })

+  // Die Sperrzeile ist die eigentliche Auskunft darueber, ob eingerichtet
+  // wurde. Der Benutzerzaehler allein genuegt nicht: Liegt der erste Zugang
+  // im Papierkorb, stuende Schritt 1 sonst wieder offen.
+  const sperre = await db.ersteinrichtung.findUnique({
+    where: { id: 'einmalig' },
+    select: { id: true },
+  })
+
  // --- Schritt 1: Es gibt noch keinen Zugang -------------------------------
-  if (anzahlBenutzer === 0) {
+  if (anzahlBenutzer === 0 && !sperre) {
    return (
      <>
        <Card>
@@ -61,6 +61,23 @@ export function ZugangFormular() {
        />
      </Feld>

+      <Feld
+        id="geheimnis"
+        beschriftung="Einrichtungsgeheimnis"
+        erklaerung="Der Wert von ERSTEINRICHTUNG_GEHEIMNIS aus der .env. Er verhindert, dass jemand
+          anders diesen Zugang anlegt, solange die Seite noch offensteht."
+        fehler={zustand.felder?.geheimnis}
+        pflicht
+      >
+        <Input
+          name="geheimnis"
+          type="password"
+          autoComplete="off"
+          spellCheck={false}
+          required
+        />
+      </Feld>
+
      <Feld
        id="passwort"
        beschriftung="Passwort"
@@ -2,7 +2,7 @@ import { NextResponse } from 'next/server'
 import type { Modul } from '@prisma/client'
 import { protokollieren } from '@/lib/audit'
 import { darf } from '@/lib/auth/rollen'
-import { aktuellerBenutzer } from '@/lib/auth/sitzung'
+import { benutzerFuerRoute } from '@/lib/auth/sitzung'
 import { db, nichtGeloescht } from '@/lib/db'
 import { typErkennen } from '@/lib/speicher/dateityp'
 import { betreuteIdAusSchluessel, lesen } from '@/lib/speicher'
@@ -55,7 +55,10 @@ function nurText(status: number, meldung: string): NextResponse {
 export async function GET(
  _anfrage: Request,
  { params }: { params: Promise<{ signatur: string }> },
-): Promise<NextResponse> {
+  // Response statt NextResponse: Die Abweisung ohne zweiten Faktor kommt
+  // aus benutzerFuerRoute() und ist eine schlichte Response. NextResponse
+  // erbt davon, die uebrigen Rueckgaben passen also weiterhin.
+): Promise<Response> {
  const { signatur } = await params

  // 1. Signatur und Ablauf
@@ -70,9 +73,14 @@ export async function GET(
  }
  const schluessel = geprueft.schluessel

-  // 2. Angemeldet?
-  const benutzer = await aktuellerBenutzer()
-  if (!benutzer) return nurText(401, 'Bitte melde dich an.')
+  // 2. Angemeldet - und mit abgeschlossenem zweitem Faktor.
+  //
+  // Frueher stand hier nur die Frage nach der Anmeldung. Damit kam jemand,
+  // der die TOTP-Einrichtung nie abgeschlossen hatte, an jedes Dokument -
+  // die MFA-Pflicht galt nur fuer Seiten, nicht fuer diesen Abruf.
+  const angemeldet = await benutzerFuerRoute()
+  if (!angemeldet.ok) return angemeldet.antwort
+  const benutzer = angemeldet.benutzer

  // 3. Zugriff auf genau diese betreute Person
  const betreuteId = betreuteIdAusSchluessel(schluessel)
@@ -1,12 +1,18 @@
 import { NextResponse } from 'next/server'
 import { db } from '@/lib/db'
 import { COMMIT, VERSION } from '@/lib/version'
+import { speicherZustand } from '@/lib/speicher/pruefung'

 /**
 * Betriebsbereitschaft fuer den Healthcheck in docker-compose.
 *
 * Bewusst ohne Anmeldung, aber ohne jede Auskunft ueber Inhalte: geprueft
- * wird nur, ob die Datenbank antwortet.
+ * wird, ob Datenbank und Dateiablage antworten.
+ *
+ * Nur die Datenbank entscheidet ueber 503. Ein gestoerter Speicher wird
+ * gemeldet, laesst den Behaelter aber laufen - sonst wuerde der
+ * Healthcheck ihn neu starten, und die ganze Akte waere weg wegen eines
+ * Teils, den ein Neustart nicht repariert.
 *
 * Die Version steht dabei: sie wird beim Aktualisieren gebraucht, um zu
 * sehen, ob der neue Stand tatsaechlich laeuft. Das ist keine Auskunft
@@ -19,14 +25,29 @@ export const dynamic = 'force-dynamic'
 export async function GET() {
  try {
    await db.$queryRaw`SELECT 1`
-    return NextResponse.json(
-      { status: 'bereit', version: VERSION, commit: COMMIT || undefined },
-      { headers: { 'Cache-Control': 'no-store' } },
-    )
  } catch {
    return NextResponse.json(
      { status: 'datenbank nicht erreichbar', version: VERSION },
      { status: 503, headers: { 'Cache-Control': 'no-store' } },
    )
  }
+
+  // Der Speicher wird mitgeprueft, aber er entscheidet NICHT ueber die
+  // Betriebsbereitschaft: Faellt er aus, funktioniert alles ausser dem
+  // Ablegen von Dateien. Ein 503 wuerde den Behaelter neu starten lassen
+  // und die ganze Akte unerreichbar machen - wegen eines Teils, den ein
+  // Neustart nicht repariert.
+  const speicher = await speicherZustand()
+
+  return NextResponse.json(
+    {
+      status: 'bereit',
+      version: VERSION,
+      commit: COMMIT || undefined,
+      speicher: speicher.ok
+        ? { status: 'bereit', treiber: speicher.treiber }
+        : { status: 'gestoert', treiber: speicher.treiber, art: speicher.art },
+    },
+    { headers: { 'Cache-Control': 'no-store' } },
+  )
 }
@@ -3,15 +3,17 @@ import Credentials from 'next-auth/providers/credentials'
 import type { Rolle } from '@prisma/client'
 import { db } from '@/lib/db'
 import { env } from '@/lib/env'
-import { hashVeraltet, passwortHashen, passwortPruefen, wiederherstellungscodeFinden } from '@/lib/crypto/hash'
-import { totpPruefen, totpSecretEntschluesseln } from '@/lib/crypto/totp'
+import { hashVeraltet, passwortHashen, passwortPruefen } from '@/lib/crypto/hash'
 import {
  anmeldungErlaubt,
  aufMindestdauerWarten,
  fehlversucheZuruecksetzen,
+  sperreVermerken,
  versuchFesthalten,
 } from '@/lib/auth/ratelimit'
 import { protokollieren } from '@/lib/audit'
+import { zweitenFaktorEinloesen } from '@/lib/auth/zweiter-faktor'
+import { anschlussAus } from '@/lib/auth/anschluss'
 import { PasskeyFehler, anmeldungPruefen } from '@/lib/auth/passkey'
 import type { AuthenticationResponseJSON } from '@simplewebauthn/server'

@@ -64,12 +66,13 @@ export class PasskeyAnmeldeFehler extends CredentialsSignin {

 function ipAusAnfrage(anfrage: Request | undefined): string | null {
  if (!anfrage) return null
-  const weitergeleitet = anfrage.headers.get('x-forwarded-for')?.split(',')[0]?.trim()
-  return weitergeleitet || anfrage.headers.get('x-real-ip') || null
+  return anschlussAus(anfrage.headers)
 }

 export const { handlers, signIn, signOut, auth } = NextAuth({
-  trustHost: true,
+  // Siehe env.vertraueHost: Ist AUTH_URL gesetzt, wird dem Host-Kopf nicht
+  // geglaubt. Vorher stand hier fest "true".
+  trustHost: env.vertraueHost,
  secret: process.env.AUTH_SECRET,

  session: {
@@ -110,7 +113,7 @@ export const { handlers, signIn, signOut, auth } = NextAuth({
        // 1. Sperre pruefen, bevor teuer gerechnet wird.
        const sperre = await anmeldungErlaubt(email, ip)
        if (sperre.gesperrt) {
-          await versuchFesthalten(email, ip, false, 'gesperrt')
+          await sperreVermerken(email, ip)
          throw new AnmeldeFehler('gesperrt', sperre.nochSekunden)
        }

@@ -141,33 +144,13 @@ export const { handlers, signIn, signOut, auth } = NextAuth({
          throw new AnmeldeFehler('konto-inaktiv')
        }

-        // 3. Zweiter Faktor. Ohne eingerichtetes TOTP kommt der Benutzer
-        //    zwar herein, das App-Layout schickt ihn aber sofort zur
-        //    Einrichtung - er kann nichts anderes tun.
+        // 3. Zweiter Faktor. Ist er noch nicht eingerichtet, kommt der
+        //    Benutzer nur bis zur Einrichtungsseite - erzwungen in
+        //    erfordereBenutzer(), nicht erst im Layout.
        if (benutzer.totpSecretVerschluesselt && benutzer.totpAktiviertAm) {
-          const codeOhneTrenner = code.replace(/[\s-]/g, '')
-          let zweiterFaktorOk = false
+          const eingeloest = await zweitenFaktorEinloesen(benutzer, code)

-          if (/^\d{6}$/.test(codeOhneTrenner)) {
-            const secret = totpSecretEntschluesseln(benutzer.totpSecretVerschluesselt)
-            zweiterFaktorOk = totpPruefen(secret, benutzer.email, codeOhneTrenner).gueltig
-          } else if (codeOhneTrenner.length >= 12) {
-            // Wiederherstellungscode - wird nach Gebrauch entfernt.
-            const treffer = await wiederherstellungscodeFinden(
-              benutzer.wiederherstellungscodes,
-              code,
-            )
-            if (treffer >= 0) {
-              zweiterFaktorOk = true
-              const rest = benutzer.wiederherstellungscodes.filter((_, i) => i !== treffer)
-              await db.user.update({
-                where: { id: benutzer.id },
-                data: { wiederherstellungscodes: rest },
-              })
-            }
-          }
-
-          if (!zweiterFaktorOk) {
+          if (!eingeloest.ok) {
            await versuchFesthalten(email, ip, false, 'code-falsch')
            await protokollieren({
              aktion: 'ANMELDUNG_FEHLGESCHLAGEN',
@@ -175,7 +158,10 @@ export const { handlers, signIn, signOut, auth } = NextAuth({
              entitaetId: benutzer.id,
              userEmail: email,
              userId: benutzer.id,
-              bezeichnung: 'Zweiter Faktor falsch',
+              bezeichnung:
+                eingeloest.grund === 'wiederverwendet'
+                  ? 'Zweiter Faktor bereits verbraucht'
+                  : 'Zweiter Faktor falsch',
            })
            await aufMindestdauerWarten(begonnen)
            throw new AnmeldeFehler('code-falsch')
@@ -274,7 +260,7 @@ export const { handlers, signIn, signOut, auth } = NextAuth({
        // anmeldet - erraten laesst sich ein Passkey ohnehin nicht.
        const sperre = await anmeldungErlaubt(benutzer.email, ip)
        if (sperre.gesperrt) {
-          await versuchFesthalten(benutzer.email, ip, false, 'gesperrt')
+          await sperreVermerken(benutzer.email, ip)
          throw new AnmeldeFehler('gesperrt', sperre.nochSekunden)
        }

@@ -17,6 +17,21 @@ import {
 *
 * Am Handy eine Karte je Dokument, ab Tablet eine Tabelle - die Tabelle
 * scrollt dabei im eigenen Rahmen, nie die ganze Seite.
+ *
+ * ACHTUNG, jeder Inhalt steht ZWEIMAL im DOM: einmal als Karte, einmal
+ * als Tabellenzeile. Eine der beiden Fassungen ist per Breakpoint
+ * versteckt, steht aber trotzdem im Baum.
+ *
+ * Fuer Tests heisst das: getByText(...).first() trifft womoeglich die
+ * unsichtbare Kopie, und die Pruefung scheitert mit "element is not
+ * visible" an einer Stelle, die augenscheinlich in Ordnung ist. Der Weg,
+ * der traegt, steht in e2e/hilfen.ts unter "Doppelt gerenderte Listen".
+ *
+ * Warum nicht eine Fassung fuer beide? Eine Tabelle, die sich zu Karten
+ * umbricht, verlangt display:block auf Zeilen und Zellen. Damit ist es
+ * keine Tabelle mehr - Vorlesesoftware verliert den Zusammenhang von
+ * Spaltenkopf und Wert, und genau der macht eine Dokumentenliste mit
+ * acht Spalten erst benutzbar. Die Verdopplung ist der Preis dafuer.
 */
 export function DokumentListe({ eintraege }: { eintraege: Listeneintrag[] }) {
  return (
@@ -1,310 +1,310 @@
-'use client'
-
-import { useActionState, useState } from 'react'
-import { Feld, Feldgruppe } from '@/components/feld'
-import { Rechtshinweis } from '@/components/rechtshinweis'
-import { Card, CardContent, CardDescription, CardHeader, CardTitle } from '@/components/ui/card'
-import { Input } from '@/components/ui/input'
-import { Select } from '@/components/ui/select'
-import { Textarea } from '@/components/ui/textarea'
-import { Absenden, Meldung } from '@/components/sozialhilfe/bausteine'
-import { MONATSNAMEN } from '@/lib/sozialhilfe/heimkosten'
-import { heimkostenSpeichern, type Formularzustand } from '@/server/actions/sozialhilfe'
-
-export type HeimkostenWerte = {
-  jahr: number
-  monat: number
-  pflegeEigenanteil: string
-  unterkunftVerpflegung: string
-  investitionskosten: string
-  ausbildungsumlage: string
-  zusatzleistungen: string
-  pflegekasse: string
-  leistungszuschlagProzent: number
-  leistungszuschlag: string
-  rente: string
-  sonstigeEinkuenfte: string
-  sozialhilfe: string
-  eigenmittel: string
-  barbetrag: string
-  bekleidungspauschale: string
-  abwesenheitstage: number
-  bemerkung: string
-}
-
-/**
- * Ein Monat der Gegenüberstellung.
- *
- * Die Reihenfolge folgt der Heimrechnung: erst die vier Bausteine der
- * Kosten, dann die Deckungsquellen, dann das, was der betreuten Person
- * verbleiben muss. Wer von oben nach unten abtippt, findet alles an der
- * Stelle, an der es auf der Rechnung steht.
- */
-export function HeimkostenFormular({
-  werte,
-  jahre,
-  hinweisPflegekasse,
-  vorschlagBarbetrag,
-}: {
-  werte: HeimkostenWerte
-  jahre: number[]
-  /**
-   * Erklaerung zum Feld "Leistung der Pflegekasse". Bewusst KEIN
-   * Uebernehmen-Knopf: Unter der Lesart dieses Moduls ist der
-   * Eigenanteil bereits um die Pauschale gekuerzt, das Feld gehoert
-   * deshalb auf 0. Siehe src/lib/sozialhilfe/heimkosten.ts.
-   */
-  hinweisPflegekasse: string
-  vorschlagBarbetrag: { betrag: string; text: string }
-}) {
-  const [zustand, aktion] = useActionState<Formularzustand, FormData>(heimkostenSpeichern, {})
-  const [barbetrag, setBarbetrag] = useState(werte.barbetrag)
-
-  return (
-    <form action={aktion} className="space-y-6">
-      <Meldung zustand={zustand} />
-
-      <Card>
-        <CardHeader>
-          <CardTitle>Monat erfassen</CardTitle>
-          <CardDescription>
-            Beträge wie auf der Heimrechnung, z.B. 1.234,56. Ein bereits erfasster Monat wird
-            überschrieben.
-          </CardDescription>
-        </CardHeader>
-
-        <CardContent className="space-y-6">
-          <div className="grid gap-4 sm:grid-cols-2">
-            <Feld id="jahr" beschriftung="Jahr" pflicht fehler={zustand.felder?.jahr}>
-              <Select name="jahr" defaultValue={String(werte.jahr)}>
-                {jahre.map((j) => (
-                  <option key={j} value={j}>
-                    {j}
-                  </option>
-                ))}
-              </Select>
-            </Feld>
-
-            <Feld id="monat" beschriftung="Monat" pflicht fehler={zustand.felder?.monat}>
-              <Select name="monat" defaultValue={String(werte.monat)}>
-                {MONATSNAMEN.map((name, i) => (
-                  <option key={name} value={i + 1}>
-                    {name}
-                  </option>
-                ))}
-              </Select>
-            </Feld>
-          </div>
-
-          <Feldgruppe
-            titel="Kosten"
-            beschreibung="Die vier Bausteine der Heimrechnung, dazu Zusatzleistungen."
-          >
-            <Feld
-              id="pflegeEigenanteil"
-              beschriftung="Einrichtungseinheitlicher Eigenanteil"
-              fehler={zustand.felder?.pflegeEigenanteil}
-              erklaerung="Der pflegebedingte Anteil (EEE), genau wie er auf der Heimrechnung steht — also bereits abzüglich der Pauschale der Pflegekasse (§ 43 Abs. 2 SGB XI). In jedem Pflegegrad gleich hoch. Nur auf ihn wirkt der Leistungszuschlag."
-            >
-              <Input
-                name="pflegeEigenanteil"
-                inputMode="decimal"
-                defaultValue={werte.pflegeEigenanteil}
-              />
-            </Feld>
-
-            <Feld
-              id="unterkunftVerpflegung"
-              beschriftung="Unterkunft und Verpflegung"
-              fehler={zustand.felder?.unterkunftVerpflegung}
-            >
-              <Input
-                name="unterkunftVerpflegung"
-                inputMode="decimal"
-                defaultValue={werte.unterkunftVerpflegung}
-              />
-            </Feld>
-
-            <Feld
-              id="investitionskosten"
-              beschriftung="Investitionskosten"
-              fehler={zustand.felder?.investitionskosten}
-              erklaerung="Gebäude und Instandhaltung. Laufen auch bei Abwesenheit weiter."
-            >
-              <Input
-                name="investitionskosten"
-                inputMode="decimal"
-                defaultValue={werte.investitionskosten}
-              />
-            </Feld>
-
-            <Feld
-              id="ausbildungsumlage"
-              beschriftung="Ausbildungsumlage"
-              fehler={zustand.felder?.ausbildungsumlage}
-            >
-              <Input
-                name="ausbildungsumlage"
-                inputMode="decimal"
-                defaultValue={werte.ausbildungsumlage}
-              />
-            </Feld>
-
-            <Feld
-              id="zusatzleistungen"
-              beschriftung="Zusatzleistungen"
-              fehler={zustand.felder?.zusatzleistungen}
-              erklaerung="Friseur, Komfortleistungen. Der Träger übernimmt sie in aller Regel nicht — sie gehen vom Barbetrag ab."
-            >
-              <Input
-                name="zusatzleistungen"
-                inputMode="decimal"
-                defaultValue={werte.zusatzleistungen}
-              />
-            </Feld>
-          </Feldgruppe>
-
-          <Feldgruppe titel="Deckung" beschreibung="Wer zahlt welchen Teil?">
-            <Feld
-              id="pflegekasse"
-              beschriftung="Leistung der Pflegekasse (nachrichtlich)"
-              fehler={zustand.felder?.pflegekasse}
-              erklaerung={hinweisPflegekasse}
-            >
-              <Input name="pflegekasse" inputMode="decimal" defaultValue={werte.pflegekasse} />
-            </Feld>
-
-            <Feld
-              id="leistungszuschlagProzent"
-              beschriftung="Leistungszuschlag in Prozent"
-              fehler={zustand.felder?.leistungszuschlagProzent}
-              erklaerung="§ 43c SGB XI: 15 / 30 / 50 / 75 Prozent nach Verweildauer. Steht auf der Heimrechnung."
-            >
-              <Input
-                name="leistungszuschlagProzent"
-                type="number"
-                min={0}
-                max={100}
-                defaultValue={werte.leistungszuschlagProzent}
-              />
-            </Feld>
-
-            <Feld
-              id="leistungszuschlag"
-              beschriftung="Leistungszuschlag in Euro"
-              fehler={zustand.felder?.leistungszuschlag}
-              erklaerung="Nur auf den pflegebedingten Eigenanteil, nicht auf die ganze Rechnung."
-            >
-              <Input
-                name="leistungszuschlag"
-                inputMode="decimal"
-                defaultValue={werte.leistungszuschlag}
-              />
-            </Feld>
-
-            <Feld id="rente" beschriftung="Rente" fehler={zustand.felder?.rente}>
-              <Input name="rente" inputMode="decimal" defaultValue={werte.rente} />
-            </Feld>
-
-            <Feld
-              id="sonstigeEinkuenfte"
-              beschriftung="Sonstige Einkünfte"
-              fehler={zustand.felder?.sonstigeEinkuenfte}
-              erklaerung="Betriebsrente, Mieteinnahmen, Zinsen."
-            >
-              <Input
-                name="sonstigeEinkuenfte"
-                inputMode="decimal"
-                defaultValue={werte.sonstigeEinkuenfte}
-              />
-            </Feld>
-
-            <Feld
-              id="sozialhilfe"
-              beschriftung="Anteil der Sozialhilfe"
-              fehler={zustand.felder?.sozialhilfe}
-              erklaerung="Was der Bezirk laut Bescheid übernimmt."
-            >
-              <Input name="sozialhilfe" inputMode="decimal" defaultValue={werte.sozialhilfe} />
-            </Feld>
-
-            <Feld
-              id="eigenmittel"
-              beschriftung="Eigenmittel"
-              fehler={zustand.felder?.eigenmittel}
-              erklaerung="Was aus dem eigenen Vermögen zugeschossen wurde."
-            >
-              <Input name="eigenmittel" inputMode="decimal" defaultValue={werte.eigenmittel} />
-            </Feld>
-          </Feldgruppe>
-
-          <Feldgruppe
-            titel="Was verbleiben muss"
-            beschreibung="Barbetrag und Bekleidungspauschale sind Teil des Bedarfs, nicht Rest."
-          >
-            <Feld
-              id="barbetrag"
-              beschriftung="Barbetrag"
-              fehler={zustand.felder?.barbetrag}
-              erklaerung={
-                <>
-                  {vorschlagBarbetrag.text}{' '}
-                  <button
-                    type="button"
-                    onClick={() => setBarbetrag(vorschlagBarbetrag.betrag)}
-                    className="font-medium text-primary underline-offset-4 hover:underline"
-                  >
-                    Wert übernehmen
-                  </button>
-                </>
-              }
-            >
-              <Input
-                name="barbetrag"
-                inputMode="decimal"
-                value={barbetrag}
-                onChange={(e) => setBarbetrag(e.target.value)}
-              />
-            </Feld>
-
-            <Feld
-              id="bekleidungspauschale"
-              beschriftung="Bekleidungspauschale"
-              fehler={zustand.felder?.bekleidungspauschale}
-              erklaerung="Höhe legt der Träger fest (§ 27b Abs. 1 SGB XII) — übernimm den Betrag aus dem Bescheid."
-            >
-              <Input
-                name="bekleidungspauschale"
-                inputMode="decimal"
-                defaultValue={werte.bekleidungspauschale}
-              />
-            </Feld>
-
-            <Feld
-              id="abwesenheitstage"
-              beschriftung="Abwesenheitstage"
-              fehler={zustand.felder?.abwesenheitstage}
-              erklaerung="Krankenhaus, Reha, Urlaub. Die ersten drei Tage sind voll zu zahlen; ab dem vierten mindert sich das Entgelt nach dem Rahmenvertrag — die Anwendung schätzt das nur, maßgeblich ist die Heimrechnung."
-            >
-              <Input
-                name="abwesenheitstage"
-                type="number"
-                min={0}
-                max={31}
-                defaultValue={werte.abwesenheitstage}
-              />
-            </Feld>
-          </Feldgruppe>
-
-          <Feld id="bemerkung" beschriftung="Bemerkung" fehler={zustand.felder?.bemerkung}>
-            <Textarea name="bemerkung" defaultValue={werte.bemerkung} rows={2} />
-          </Feld>
-        </CardContent>
-      </Card>
-
-      <Rechtshinweis rechtsgrundlage="§ 43 SGB XI, § 43c SGB XI, § 27b SGB XII" />
-
-      <Absenden>Monat speichern</Absenden>
-    </form>
-  )
-}
+'use client'
+
+import { useActionState, useState } from 'react'
+import { Feld, Feldgruppe } from '@/components/feld'
+import { Rechtshinweis } from '@/components/rechtshinweis'
+import { Card, CardContent, CardDescription, CardHeader, CardTitle } from '@/components/ui/card'
+import { Input } from '@/components/ui/input'
+import { Select } from '@/components/ui/select'
+import { Textarea } from '@/components/ui/textarea'
+import { Absenden, Meldung } from '@/components/sozialhilfe/bausteine'
+import { MONATSNAMEN } from '@/lib/sozialhilfe/heimkosten'
+import { heimkostenSpeichern, type Formularzustand } from '@/server/actions/sozialhilfe'
+
+export type HeimkostenWerte = {
+  jahr: number
+  monat: number
+  pflegeEigenanteil: string
+  unterkunftVerpflegung: string
+  investitionskosten: string
+  ausbildungsumlage: string
+  zusatzleistungen: string
+  pflegekasse: string
+  leistungszuschlagProzent: number
+  leistungszuschlag: string
+  rente: string
+  sonstigeEinkuenfte: string
+  sozialhilfe: string
+  eigenmittel: string
+  barbetrag: string
+  bekleidungspauschale: string
+  abwesenheitstage: number
+  bemerkung: string
+}
+
+/**
+ * Ein Monat der Gegenüberstellung.
+ *
+ * Die Reihenfolge folgt der Heimrechnung: erst die vier Bausteine der
+ * Kosten, dann die Deckungsquellen, dann das, was der betreuten Person
+ * verbleiben muss. Wer von oben nach unten abtippt, findet alles an der
+ * Stelle, an der es auf der Rechnung steht.
+ */
+export function HeimkostenFormular({
+  werte,
+  jahre,
+  hinweisPflegekasse,
+  vorschlagBarbetrag,
+}: {
+  werte: HeimkostenWerte
+  jahre: number[]
+  /**
+   * Erklaerung zum Feld "Leistung der Pflegekasse". Bewusst KEIN
+   * Uebernehmen-Knopf: Unter der Lesart dieses Moduls ist der
+   * Eigenanteil bereits um die Pauschale gekuerzt, das Feld gehoert
+   * deshalb auf 0. Siehe src/lib/sozialhilfe/heimkosten.ts.
+   */
+  hinweisPflegekasse: string
+  vorschlagBarbetrag: { betrag: string; text: string }
+}) {
+  const [zustand, aktion] = useActionState<Formularzustand, FormData>(heimkostenSpeichern, {})
+  const [barbetrag, setBarbetrag] = useState(werte.barbetrag)
+
+  return (
+    <form action={aktion} className="space-y-6">
+      <Meldung zustand={zustand} />
+
+      <Card>
+        <CardHeader>
+          <CardTitle>Monat erfassen</CardTitle>
+          <CardDescription>
+            Beträge wie auf der Heimrechnung, z.B. 1.234,56. Ein bereits erfasster Monat wird
+            überschrieben.
+          </CardDescription>
+        </CardHeader>
+
+        <CardContent className="space-y-6">
+          <div className="grid gap-4 sm:grid-cols-2">
+            <Feld id="jahr" beschriftung="Jahr" pflicht fehler={zustand.felder?.jahr}>
+              <Select name="jahr" defaultValue={String(werte.jahr)}>
+                {jahre.map((j) => (
+                  <option key={j} value={j}>
+                    {j}
+                  </option>
+                ))}
+              </Select>
+            </Feld>
+
+            <Feld id="monat" beschriftung="Monat" pflicht fehler={zustand.felder?.monat}>
+              <Select name="monat" defaultValue={String(werte.monat)}>
+                {MONATSNAMEN.map((name, i) => (
+                  <option key={name} value={i + 1}>
+                    {name}
+                  </option>
+                ))}
+              </Select>
+            </Feld>
+          </div>
+
+          <Feldgruppe
+            titel="Kosten"
+            beschreibung="Die vier Bausteine der Heimrechnung, dazu Zusatzleistungen."
+          >
+            <Feld
+              id="pflegeEigenanteil"
+              beschriftung="Einrichtungseinheitlicher Eigenanteil"
+              fehler={zustand.felder?.pflegeEigenanteil}
+              erklaerung="Der pflegebedingte Anteil (EEE), genau wie er auf der Heimrechnung steht — also bereits abzüglich der Pauschale der Pflegekasse (§ 43 Abs. 2 SGB XI). In jedem Pflegegrad gleich hoch. Nur auf ihn wirkt der Leistungszuschlag."
+            >
+              <Input
+                name="pflegeEigenanteil"
+                inputMode="decimal"
+                defaultValue={werte.pflegeEigenanteil}
+              />
+            </Feld>
+
+            <Feld
+              id="unterkunftVerpflegung"
+              beschriftung="Unterkunft und Verpflegung"
+              fehler={zustand.felder?.unterkunftVerpflegung}
+            >
+              <Input
+                name="unterkunftVerpflegung"
+                inputMode="decimal"
+                defaultValue={werte.unterkunftVerpflegung}
+              />
+            </Feld>
+
+            <Feld
+              id="investitionskosten"
+              beschriftung="Investitionskosten"
+              fehler={zustand.felder?.investitionskosten}
+              erklaerung="Gebäude und Instandhaltung. Laufen auch bei Abwesenheit weiter."
+            >
+              <Input
+                name="investitionskosten"
+                inputMode="decimal"
+                defaultValue={werte.investitionskosten}
+              />
+            </Feld>
+
+            <Feld
+              id="ausbildungsumlage"
+              beschriftung="Ausbildungsumlage"
+              fehler={zustand.felder?.ausbildungsumlage}
+            >
+              <Input
+                name="ausbildungsumlage"
+                inputMode="decimal"
+                defaultValue={werte.ausbildungsumlage}
+              />
+            </Feld>
+
+            <Feld
+              id="zusatzleistungen"
+              beschriftung="Zusatzleistungen"
+              fehler={zustand.felder?.zusatzleistungen}
+              erklaerung="Friseur, Komfortleistungen. Der Träger übernimmt sie in aller Regel nicht — sie gehen vom Barbetrag ab."
+            >
+              <Input
+                name="zusatzleistungen"
+                inputMode="decimal"
+                defaultValue={werte.zusatzleistungen}
+              />
+            </Feld>
+          </Feldgruppe>
+
+          <Feldgruppe titel="Deckung" beschreibung="Wer zahlt welchen Teil?">
+            <Feld
+              id="pflegekasse"
+              beschriftung="Leistung der Pflegekasse (nachrichtlich)"
+              fehler={zustand.felder?.pflegekasse}
+              erklaerung={hinweisPflegekasse}
+            >
+              <Input name="pflegekasse" inputMode="decimal" defaultValue={werte.pflegekasse} />
+            </Feld>
+
+            <Feld
+              id="leistungszuschlagProzent"
+              beschriftung="Leistungszuschlag in Prozent"
+              fehler={zustand.felder?.leistungszuschlagProzent}
+              erklaerung="§ 43c SGB XI: 15 / 30 / 50 / 75 Prozent nach Verweildauer. Steht auf der Heimrechnung."
+            >
+              <Input
+                name="leistungszuschlagProzent"
+                type="number"
+                min={0}
+                max={100}
+                defaultValue={werte.leistungszuschlagProzent}
+              />
+            </Feld>
+
+            <Feld
+              id="leistungszuschlag"
+              beschriftung="Leistungszuschlag in Euro"
+              fehler={zustand.felder?.leistungszuschlag}
+              erklaerung="Nur auf den pflegebedingten Eigenanteil, nicht auf die ganze Rechnung."
+            >
+              <Input
+                name="leistungszuschlag"
+                inputMode="decimal"
+                defaultValue={werte.leistungszuschlag}
+              />
+            </Feld>
+
+            <Feld id="rente" beschriftung="Rente" fehler={zustand.felder?.rente}>
+              <Input name="rente" inputMode="decimal" defaultValue={werte.rente} />
+            </Feld>
+
+            <Feld
+              id="sonstigeEinkuenfte"
+              beschriftung="Sonstige Einkünfte"
+              fehler={zustand.felder?.sonstigeEinkuenfte}
+              erklaerung="Betriebsrente, Mieteinnahmen, Zinsen."
+            >
+              <Input
+                name="sonstigeEinkuenfte"
+                inputMode="decimal"
+                defaultValue={werte.sonstigeEinkuenfte}
+              />
+            </Feld>
+
+            <Feld
+              id="sozialhilfe"
+              beschriftung="Anteil der Sozialhilfe"
+              fehler={zustand.felder?.sozialhilfe}
+              erklaerung="Was der Bezirk laut Bescheid übernimmt."
+            >
+              <Input name="sozialhilfe" inputMode="decimal" defaultValue={werte.sozialhilfe} />
+            </Feld>
+
+            <Feld
+              id="eigenmittel"
+              beschriftung="Eigenmittel"
+              fehler={zustand.felder?.eigenmittel}
+              erklaerung="Was aus dem eigenen Vermögen zugeschossen wurde."
+            >
+              <Input name="eigenmittel" inputMode="decimal" defaultValue={werte.eigenmittel} />
+            </Feld>
+          </Feldgruppe>
+
+          <Feldgruppe
+            titel="Was verbleiben muss"
+            beschreibung="Barbetrag und Bekleidungspauschale sind Teil des Bedarfs, nicht Rest."
+          >
+            <Feld
+              id="barbetrag"
+              beschriftung="Barbetrag"
+              fehler={zustand.felder?.barbetrag}
+              erklaerung={
+                <>
+                  {vorschlagBarbetrag.text}{' '}
+                  <button
+                    type="button"
+                    onClick={() => setBarbetrag(vorschlagBarbetrag.betrag)}
+                    className="font-medium text-primary underline-offset-4 hover:underline"
+                  >
+                    Wert übernehmen
+                  </button>
+                </>
+              }
+            >
+              <Input
+                name="barbetrag"
+                inputMode="decimal"
+                value={barbetrag}
+                onChange={(e) => setBarbetrag(e.target.value)}
+              />
+            </Feld>
+
+            <Feld
+              id="bekleidungspauschale"
+              beschriftung="Bekleidungspauschale"
+              fehler={zustand.felder?.bekleidungspauschale}
+              erklaerung="Höhe legt der Träger fest (§ 27b Abs. 1 SGB XII) — übernimm den Betrag aus dem Bescheid."
+            >
+              <Input
+                name="bekleidungspauschale"
+                inputMode="decimal"
+                defaultValue={werte.bekleidungspauschale}
+              />
+            </Feld>
+
+            <Feld
+              id="abwesenheitstage"
+              beschriftung="Abwesenheitstage"
+              fehler={zustand.felder?.abwesenheitstage}
+              erklaerung="Krankenhaus, Reha, Urlaub. Die ersten drei Tage sind voll zu zahlen; ab dem vierten mindert sich das Entgelt nach dem Rahmenvertrag — die Anwendung schätzt das nur, maßgeblich ist die Heimrechnung."
+            >
+              <Input
+                name="abwesenheitstage"
+                type="number"
+                min={0}
+                max={31}
+                defaultValue={werte.abwesenheitstage}
+              />
+            </Feld>
+          </Feldgruppe>
+
+          <Feld id="bemerkung" beschriftung="Bemerkung" fehler={zustand.felder?.bemerkung}>
+            <Textarea name="bemerkung" defaultValue={werte.bemerkung} rows={2} />
+          </Feld>
+        </CardContent>
+      </Card>
+
+      <Rechtshinweis rechtsgrundlage="§ 43 SGB XI, § 43c SGB XI, § 27b SGB XII" />
+
+      <Absenden>Monat speichern</Absenden>
+    </form>
+  )
+}
@@ -1,237 +1,237 @@
-'use client'
-
-import { useActionState, useState } from 'react'
-import type { SozialhilfeBewertung, VertragArt } from '@prisma/client'
-import { Input } from '@/components/ui/input'
-import { Select } from '@/components/ui/select'
-import { Textarea } from '@/components/ui/textarea'
-import { Feld, Feldgruppe } from '@/components/feld'
-import { Rechtshinweis } from '@/components/rechtshinweis'
-import { Absendeknopf, Zustandsmeldung } from '@/components/substanz-formular'
-import {
-  BEWERTUNG_BESCHRIFTUNG,
-  BEWERTUNG_ERKLAERUNG,
-  RHYTHMUS_BESCHRIFTUNG,
-  VERTRAG_ART_BESCHRIFTUNG,
-  VERTRAG_STATUS_BESCHRIFTUNG,
-} from '@/lib/vertraege/konstanten'
-import { BEWERTUNGEN, VERTRAG_ARTEN, VERTRAG_STATUS, ZAHL_RHYTHMEN } from '@/lib/validierung/vertraege'
-import { vertragSpeichern } from '@/server/actions/vertraege'
-import type { Formularzustand } from '@/lib/validierung/substanz'
-
-export type VertragWerte = {
-  id?: string
-  bezeichnung: string
-  gesellschaft: string
-  art: string
-  status: string
-  vertragsnummer: string
-  beginnAm: string
-  endeAm: string
-  kuendigungsfristMonate: string
-  kuendigungZum: string
-  gekuendigtAm: string
-  beitrag: string
-  rhythmus: string
-  bewertungSozialhilfe: string
-  bewertungBegruendung: string
-  notizen: string
-}
-
-export const LEERER_VERTRAG: VertragWerte = {
-  bezeichnung: '',
-  gesellschaft: '',
-  art: 'LEBENSVERSICHERUNG',
-  status: 'AKTIV',
-  vertragsnummer: '',
-  beginnAm: '',
-  endeAm: '',
-  kuendigungsfristMonate: '3',
-  kuendigungZum: '',
-  gekuendigtAm: '',
-  beitrag: '',
-  rhythmus: 'MONATLICH',
-  bewertungSozialhilfe: 'UNGEPRUEFT',
-  bewertungBegruendung: '',
-  notizen: '',
-}
-
-export function VertragFormular({
-  betreuteId,
-  werte,
-}: {
-  betreuteId: string
-  werte: VertragWerte
-}) {
-  const [zustand, aktion] = useActionState<Formularzustand, FormData>(vertragSpeichern, {})
-  const [bewertung, setBewertung] = useState(werte.bewertungSozialhilfe)
-  const istNeu = !werte.id
-
-  return (
-    <form action={aktion} className="space-y-8" noValidate>
-      <input type="hidden" name="betreuteId" value={betreuteId} />
-      {werte.id && <input type="hidden" name="vertragId" value={werte.id} />}
-
-      <Zustandsmeldung zustand={zustand} />
-
-      <Feldgruppe titel="Vertrag" beschreibung="Wer, was und unter welcher Nummer.">
-        <Feld
-          id="bezeichnung"
-          beschriftung="Bezeichnung"
-          erklaerung="Ein Name, unter dem du den Vertrag wiedererkennst."
-          fehler={zustand.felder?.bezeichnung}
-          pflicht
-        >
-          <Input name="bezeichnung" defaultValue={werte.bezeichnung} required maxLength={150} />
-        </Feld>
-
-        <Feld id="gesellschaft" beschriftung="Gesellschaft" fehler={zustand.felder?.gesellschaft}>
-          <Input name="gesellschaft" defaultValue={werte.gesellschaft} maxLength={150} />
-        </Feld>
-
-        <Feld id="art" beschriftung="Art" fehler={zustand.felder?.art} pflicht>
-          <Select name="art" defaultValue={werte.art}>
-            {VERTRAG_ARTEN.map((a) => (
-              <option key={a} value={a}>
-                {VERTRAG_ART_BESCHRIFTUNG[a as VertragArt]}
-              </option>
-            ))}
-          </Select>
-        </Feld>
-
-        <Feld id="status" beschriftung="Status" fehler={zustand.felder?.status}>
-          <Select name="status" defaultValue={werte.status}>
-            {VERTRAG_STATUS.map((s) => (
-              <option key={s} value={s}>
-                {VERTRAG_STATUS_BESCHRIFTUNG[s]}
-              </option>
-            ))}
-          </Select>
-        </Feld>
-
-        <Feld
-          id="vertragsnummer"
-          beschriftung="Vertragsnummer"
-          erklaerung="Wird verschlüsselt gespeichert. Ohne sie ordnet die Gesellschaft kein Schreiben zu."
-          fehler={zustand.felder?.vertragsnummer}
-          className="sm:col-span-2"
-        >
-          <Input name="vertragsnummer" defaultValue={werte.vertragsnummer} maxLength={80} />
-        </Feld>
-      </Feldgruppe>
-
-      <Feldgruppe
-        titel="Laufzeit und Kündigung"
-        beschreibung="Aus diesen Angaben rechnet die App den nächstmöglichen Kündigungstermin und den spätesten Absendetag."
-      >
-        <Feld id="beginnAm" beschriftung="Laufzeitbeginn" fehler={zustand.felder?.beginnAm}>
-          <Input name="beginnAm" type="date" defaultValue={werte.beginnAm} />
-        </Feld>
-
-        <Feld
-          id="endeAm"
-          beschriftung="Vereinbartes Ende"
-          erklaerung="Nur bei fester Ablaufzeit, z. B. einer Kapitallebensversicherung. Steht hier ein Datum, ergibt sich daraus zugleich die Laufzeit, um die sich der Vertrag verlängert — sonst wird mit einem Jahr gerechnet."
-          fehler={zustand.felder?.endeAm}
-        >
-          <Input name="endeAm" type="date" defaultValue={werte.endeAm} />
-        </Feld>
-
-        <Feld
-          id="kuendigungsfristMonate"
-          beschriftung="Kündigungsfrist in Monaten"
-          erklaerung="Wie lange vor dem Ende muss die Kündigung zugehen? Bei Versicherungen meist drei Monate."
-          fehler={zustand.felder?.kuendigungsfristMonate}
-        >
-          <Input
-            name="kuendigungsfristMonate"
-            inputMode="numeric"
-            defaultValue={werte.kuendigungsfristMonate}
-          />
-        </Feld>
-
-        <Feld
-          id="kuendigungZum"
-          beschriftung="Gekündigt zum"
-          fehler={zustand.felder?.kuendigungZum}
-        >
-          <Input name="kuendigungZum" type="date" defaultValue={werte.kuendigungZum} />
-        </Feld>
-
-        <Feld id="gekuendigtAm" beschriftung="Kündigung versandt am" fehler={zustand.felder?.gekuendigtAm}>
-          <Input name="gekuendigtAm" type="date" defaultValue={werte.gekuendigtAm} />
-        </Feld>
-      </Feldgruppe>
-
-      <Feldgruppe titel="Beitrag" beschreibung="Grundlage für den Jahresbeitrag in der Übersicht.">
-        <Feld id="beitrag" beschriftung="Beitrag" fehler={zustand.felder?.beitrag}>
-          <Input name="beitrag" inputMode="decimal" defaultValue={werte.beitrag} placeholder="25,40" />
-        </Feld>
-
-        <Feld id="rhythmus" beschriftung="Rhythmus" fehler={zustand.felder?.rhythmus}>
-          <Select name="rhythmus" defaultValue={werte.rhythmus}>
-            <option value="">— nicht angegeben —</option>
-            {ZAHL_RHYTHMEN.map((r) => (
-              <option key={r} value={r}>
-                {RHYTHMUS_BESCHRIFTUNG[r]}
-              </option>
-            ))}
-          </Select>
-        </Feld>
-      </Feldgruppe>
-
-      <Feldgruppe
-        titel="Bewertung fürs Sozialamt"
-        beschreibung="Deine Einordnung und deine Argumentation — keine Rechtsauskunft."
-      >
-        <Feld
-          id="bewertungSozialhilfe"
-          beschriftung="Einordnung"
-          erklaerung={BEWERTUNG_ERKLAERUNG[bewertung as SozialhilfeBewertung]}
-          fehler={zustand.felder?.bewertungSozialhilfe}
-        >
-          <Select
-            name="bewertungSozialhilfe"
-            value={bewertung}
-            onChange={(e) => setBewertung(e.target.value)}
-          >
-            {BEWERTUNGEN.map((b) => (
-              <option key={b} value={b}>
-                {BEWERTUNG_BESCHRIFTUNG[b]}
-              </option>
-            ))}
-          </Select>
-        </Feld>
-
-        <Feld
-          id="bewertungBegruendung"
-          beschriftung="Begründung"
-          erklaerung="Wird verschlüsselt gespeichert. Diese Zeilen stehen im Zweifel Jahre später im Widerspruchsverfahren."
-          fehler={zustand.felder?.bewertungBegruendung}
-          pflicht={bewertung !== 'UNGEPRUEFT'}
-          className="sm:col-span-2"
-        >
-          <Textarea
-            name="bewertungBegruendung"
-            defaultValue={werte.bewertungBegruendung}
-            rows={4}
-            maxLength={4000}
-          />
-        </Feld>
-      </Feldgruppe>
-
-      <Feld
-        id="notizen"
-        beschriftung="Notizen"
-        erklaerung="Wird verschlüsselt gespeichert."
-        fehler={zustand.felder?.notizen}
-      >
-        <Textarea name="notizen" defaultValue={werte.notizen} rows={4} maxLength={4000} />
-      </Feld>
-
-      <Rechtshinweis rechtsgrundlage="§ 90 Abs. 3 SGB XII" kurz />
-
-      <Absendeknopf>{istNeu ? 'Vertrag anlegen' : 'Änderungen speichern'}</Absendeknopf>
-    </form>
-  )
-}
+'use client'
+
+import { useActionState, useState } from 'react'
+import type { SozialhilfeBewertung, VertragArt } from '@prisma/client'
+import { Input } from '@/components/ui/input'
+import { Select } from '@/components/ui/select'
+import { Textarea } from '@/components/ui/textarea'
+import { Feld, Feldgruppe } from '@/components/feld'
+import { Rechtshinweis } from '@/components/rechtshinweis'
+import { Absendeknopf, Zustandsmeldung } from '@/components/substanz-formular'
+import {
+  BEWERTUNG_BESCHRIFTUNG,
+  BEWERTUNG_ERKLAERUNG,
+  RHYTHMUS_BESCHRIFTUNG,
+  VERTRAG_ART_BESCHRIFTUNG,
+  VERTRAG_STATUS_BESCHRIFTUNG,
+} from '@/lib/vertraege/konstanten'
+import { BEWERTUNGEN, VERTRAG_ARTEN, VERTRAG_STATUS, ZAHL_RHYTHMEN } from '@/lib/validierung/vertraege'
+import { vertragSpeichern } from '@/server/actions/vertraege'
+import type { Formularzustand } from '@/lib/validierung/substanz'
+
+export type VertragWerte = {
+  id?: string
+  bezeichnung: string
+  gesellschaft: string
+  art: string
+  status: string
+  vertragsnummer: string
+  beginnAm: string
+  endeAm: string
+  kuendigungsfristMonate: string
+  kuendigungZum: string
+  gekuendigtAm: string
+  beitrag: string
+  rhythmus: string
+  bewertungSozialhilfe: string
+  bewertungBegruendung: string
+  notizen: string
+}
+
+export const LEERER_VERTRAG: VertragWerte = {
+  bezeichnung: '',
+  gesellschaft: '',
+  art: 'LEBENSVERSICHERUNG',
+  status: 'AKTIV',
+  vertragsnummer: '',
+  beginnAm: '',
+  endeAm: '',
+  kuendigungsfristMonate: '3',
+  kuendigungZum: '',
+  gekuendigtAm: '',
+  beitrag: '',
+  rhythmus: 'MONATLICH',
+  bewertungSozialhilfe: 'UNGEPRUEFT',
+  bewertungBegruendung: '',
+  notizen: '',
+}
+
+export function VertragFormular({
+  betreuteId,
+  werte,
+}: {
+  betreuteId: string
+  werte: VertragWerte
+}) {
+  const [zustand, aktion] = useActionState<Formularzustand, FormData>(vertragSpeichern, {})
+  const [bewertung, setBewertung] = useState(werte.bewertungSozialhilfe)
+  const istNeu = !werte.id
+
+  return (
+    <form action={aktion} className="space-y-8" noValidate>
+      <input type="hidden" name="betreuteId" value={betreuteId} />
+      {werte.id && <input type="hidden" name="vertragId" value={werte.id} />}
+
+      <Zustandsmeldung zustand={zustand} />
+
+      <Feldgruppe titel="Vertrag" beschreibung="Wer, was und unter welcher Nummer.">
+        <Feld
+          id="bezeichnung"
+          beschriftung="Bezeichnung"
+          erklaerung="Ein Name, unter dem du den Vertrag wiedererkennst."
+          fehler={zustand.felder?.bezeichnung}
+          pflicht
+        >
+          <Input name="bezeichnung" defaultValue={werte.bezeichnung} required maxLength={150} />
+        </Feld>
+
+        <Feld id="gesellschaft" beschriftung="Gesellschaft" fehler={zustand.felder?.gesellschaft}>
+          <Input name="gesellschaft" defaultValue={werte.gesellschaft} maxLength={150} />
+        </Feld>
+
+        <Feld id="art" beschriftung="Art" fehler={zustand.felder?.art} pflicht>
+          <Select name="art" defaultValue={werte.art}>
+            {VERTRAG_ARTEN.map((a) => (
+              <option key={a} value={a}>
+                {VERTRAG_ART_BESCHRIFTUNG[a as VertragArt]}
+              </option>
+            ))}
+          </Select>
+        </Feld>
+
+        <Feld id="status" beschriftung="Status" fehler={zustand.felder?.status}>
+          <Select name="status" defaultValue={werte.status}>
+            {VERTRAG_STATUS.map((s) => (
+              <option key={s} value={s}>
+                {VERTRAG_STATUS_BESCHRIFTUNG[s]}
+              </option>
+            ))}
+          </Select>
+        </Feld>
+
+        <Feld
+          id="vertragsnummer"
+          beschriftung="Vertragsnummer"
+          erklaerung="Wird verschlüsselt gespeichert. Ohne sie ordnet die Gesellschaft kein Schreiben zu."
+          fehler={zustand.felder?.vertragsnummer}
+          className="sm:col-span-2"
+        >
+          <Input name="vertragsnummer" defaultValue={werte.vertragsnummer} maxLength={80} />
+        </Feld>
+      </Feldgruppe>
+
+      <Feldgruppe
+        titel="Laufzeit und Kündigung"
+        beschreibung="Aus diesen Angaben rechnet die App den nächstmöglichen Kündigungstermin und den spätesten Absendetag."
+      >
+        <Feld id="beginnAm" beschriftung="Laufzeitbeginn" fehler={zustand.felder?.beginnAm}>
+          <Input name="beginnAm" type="date" defaultValue={werte.beginnAm} />
+        </Feld>
+
+        <Feld
+          id="endeAm"
+          beschriftung="Vereinbartes Ende"
+          erklaerung="Nur bei fester Ablaufzeit, z. B. einer Kapitallebensversicherung. Steht hier ein Datum, ergibt sich daraus zugleich die Laufzeit, um die sich der Vertrag verlängert — sonst wird mit einem Jahr gerechnet."
+          fehler={zustand.felder?.endeAm}
+        >
+          <Input name="endeAm" type="date" defaultValue={werte.endeAm} />
+        </Feld>
+
+        <Feld
+          id="kuendigungsfristMonate"
+          beschriftung="Kündigungsfrist in Monaten"
+          erklaerung="Wie lange vor dem Ende muss die Kündigung zugehen? Bei Versicherungen meist drei Monate."
+          fehler={zustand.felder?.kuendigungsfristMonate}
+        >
+          <Input
+            name="kuendigungsfristMonate"
+            inputMode="numeric"
+            defaultValue={werte.kuendigungsfristMonate}
+          />
+        </Feld>
+
+        <Feld
+          id="kuendigungZum"
+          beschriftung="Gekündigt zum"
+          fehler={zustand.felder?.kuendigungZum}
+        >
+          <Input name="kuendigungZum" type="date" defaultValue={werte.kuendigungZum} />
+        </Feld>
+
+        <Feld id="gekuendigtAm" beschriftung="Kündigung versandt am" fehler={zustand.felder?.gekuendigtAm}>
+          <Input name="gekuendigtAm" type="date" defaultValue={werte.gekuendigtAm} />
+        </Feld>
+      </Feldgruppe>
+
+      <Feldgruppe titel="Beitrag" beschreibung="Grundlage für den Jahresbeitrag in der Übersicht.">
+        <Feld id="beitrag" beschriftung="Beitrag" fehler={zustand.felder?.beitrag}>
+          <Input name="beitrag" inputMode="decimal" defaultValue={werte.beitrag} placeholder="25,40" />
+        </Feld>
+
+        <Feld id="rhythmus" beschriftung="Rhythmus" fehler={zustand.felder?.rhythmus}>
+          <Select name="rhythmus" defaultValue={werte.rhythmus}>
+            <option value="">— nicht angegeben —</option>
+            {ZAHL_RHYTHMEN.map((r) => (
+              <option key={r} value={r}>
+                {RHYTHMUS_BESCHRIFTUNG[r]}
+              </option>
+            ))}
+          </Select>
+        </Feld>
+      </Feldgruppe>
+
+      <Feldgruppe
+        titel="Bewertung fürs Sozialamt"
+        beschreibung="Deine Einordnung und deine Argumentation — keine Rechtsauskunft."
+      >
+        <Feld
+          id="bewertungSozialhilfe"
+          beschriftung="Einordnung"
+          erklaerung={BEWERTUNG_ERKLAERUNG[bewertung as SozialhilfeBewertung]}
+          fehler={zustand.felder?.bewertungSozialhilfe}
+        >
+          <Select
+            name="bewertungSozialhilfe"
+            value={bewertung}
+            onChange={(e) => setBewertung(e.target.value)}
+          >
+            {BEWERTUNGEN.map((b) => (
+              <option key={b} value={b}>
+                {BEWERTUNG_BESCHRIFTUNG[b]}
+              </option>
+            ))}
+          </Select>
+        </Feld>
+
+        <Feld
+          id="bewertungBegruendung"
+          beschriftung="Begründung"
+          erklaerung="Wird verschlüsselt gespeichert. Diese Zeilen stehen im Zweifel Jahre später im Widerspruchsverfahren."
+          fehler={zustand.felder?.bewertungBegruendung}
+          pflicht={bewertung !== 'UNGEPRUEFT'}
+          className="sm:col-span-2"
+        >
+          <Textarea
+            name="bewertungBegruendung"
+            defaultValue={werte.bewertungBegruendung}
+            rows={4}
+            maxLength={4000}
+          />
+        </Feld>
+      </Feldgruppe>
+
+      <Feld
+        id="notizen"
+        beschriftung="Notizen"
+        erklaerung="Wird verschlüsselt gespeichert."
+        fehler={zustand.felder?.notizen}
+      >
+        <Textarea name="notizen" defaultValue={werte.notizen} rows={4} maxLength={4000} />
+      </Feld>
+
+      <Rechtshinweis rechtsgrundlage="§ 90 Abs. 3 SGB XII" kurz />
+
+      <Absendeknopf>{istNeu ? 'Vertrag anlegen' : 'Änderungen speichern'}</Absendeknopf>
+    </form>
+  )
+}
@@ -0,0 +1,92 @@
+import 'server-only'
+import { env } from '@/lib/env'
+
+/**
+ * Von welchem Anschluss kommt diese Anfrage?
+ *
+ * Gebraucht wird das nur fuer eines: die zweite Dimension der Anmeldesperre.
+ * Gezaehlt wird nach E-Mail UND nach Anschluss, damit es weder hilft,
+ * dieselbe Adresse von vielen Anschluessen zu probieren, noch viele
+ * Adressen von einem.
+ *
+ * ## Warum das vorher nichts geschuetzt hat
+ *
+ * Der Wert kam aus "x-forwarded-for", und zwar aus dem ERSTEN Eintrag:
+ *
+ *     kopf.get('x-forwarded-for')?.split(',')[0]?.trim()
+ *
+ * Dieser Kopf ist eine Liste, an die jeder Zwischenknoten hinten anhaengt.
+ * Der erste Eintrag ist deshalb der, den der Aufrufer selbst geschickt hat -
+ * frei erfunden. Wer bei jeder Anfrage eine andere Zahl hineinschrieb, sah
+ * fuer die Sperre wie tausend verschiedene Anschluesse aus. Die Zaehlung
+ * nach Anschluss war damit nicht nur wirkungslos, sondern irrefuehrend: Im
+ * Protokoll standen tausend Anschluesse, wo einer war.
+ *
+ * Richtig ist das andere Ende: Was der vertraute Proxy anhaengt, hat er
+ * selbst gesehen und nicht der Aufrufer geschrieben.
+ *
+ * ## Und wenn kein Proxy davor steht
+ *
+ * Dann ist der Kopf vollstaendig fremdbestimmt und es gibt hier nichts zu
+ * holen - also null. Keine Zaehlung nach Anschluss ist besser als eine, die
+ * sich mit einer Kopfzeile aushebeln laesst. Deshalb muss der Betrieb
+ * ausdruecklich sagen, dass ein Proxy davorsteht (VERTRAUE_PROXY=true).
+ */
+
+let gewarnt = false
+
+/**
+ * Warnt einmal, wenn weitergereichte Koepfe ankommen, ihnen aber nicht
+ * geglaubt wird. Genau dann fehlt die Einstellung im Betrieb.
+ */
+function einmalWarnen(): void {
+  if (gewarnt) return
+  gewarnt = true
+  console.warn(
+    '[anschluss] Es kommen "x-forwarded-for"-Koepfe an, aber VERTRAUE_PROXY ist nicht gesetzt. ' +
+      'Die Anmeldesperre zaehlt deshalb nur nach E-Mail-Adresse, nicht nach Anschluss. ' +
+      'Steht ein Reverse Proxy davor, setze VERTRAUE_PROXY=true (und, bei mehreren, ' +
+      'VERTRAUE_PROXY_STUFEN=<Anzahl>). Steht keiner davor, ist das hier richtig so.',
+  )
+}
+
+/**
+ * Liest die Adresse des Aufrufers aus den Koepfen.
+ *
+ * @param kopf Die Kopfzeilen der Anfrage.
+ * @returns Die Adresse, oder null, wenn sie sich nicht vertrauenswuerdig
+ *          bestimmen laesst.
+ */
+export function anschlussAus(kopf: Headers): string | null {
+  const weitergereicht = kopf.get('x-forwarded-for')
+  const echterIp = kopf.get('x-real-ip')
+
+  if (!env.vertraueProxy) {
+    if (weitergereicht || echterIp) einmalWarnen()
+    return null
+  }
+
+  if (weitergereicht) {
+    const kette = weitergereicht
+      .split(',')
+      .map((teil) => teil.trim())
+      .filter((teil) => teil.length > 0)
+
+    // Von hinten zaehlen: Der letzte Eintrag stammt vom naechsten
+    // Zwischenknoten, der zweitletzte von dem davor. Bei einer Stufe ist
+    // der letzte Eintrag der Aufrufer, wie der Proxy ihn gesehen hat.
+    if (kette.length > 0) {
+      const stelle = kette.length - env.vertraueProxyStufen
+      return kette[Math.max(0, stelle)] ?? null
+    }
+  }
+
+  // Manche Proxys setzen nur diesen Kopf. Er enthaelt genau eine Adresse,
+  // also gibt es hier nichts abzuzaehlen.
+  return echterIp?.trim() || null
+}
+
+/** Nur fuer Tests: setzt die einmalige Warnung zurueck. */
+export function warnungZuruecksetzen(): void {
+  gewarnt = false
+}
@@ -14,8 +14,32 @@ import { ipHashen } from '@/lib/crypto/hash'
 * Gezaehlt wird nach E-Mail UND nach Anschluss (IP-Hash). Damit hilft es
 * weder, dieselbe Adresse von vielen Anschluessen zu probieren, noch viele
 * Adressen von einem Anschluss.
+ *
+ * ## Warum abgewiesene Versuche nicht mitzaehlen
+ *
+ * Frueher wurde jeder Aufruf festgehalten, auch der, der wegen einer
+ * laufenden Sperre gar nicht geprueft wurde. Zusammen mit einer Frist, die
+ * vom juengsten Fehlversuch aus gerechnet wurde, ergab das eine
+ * Rueckkopplung: Jeder abgewiesene Aufruf schob die Frist um die volle
+ * Sperrdauer nach hinten. Wer alle zehn Minuten ein falsches Passwort an
+ * eine fremde Adresse schickte, sperrte deren Inhaber dauerhaft aus - ohne
+ * das Passwort zu kennen. Und jeder dieser Aufrufe hinterliess eine Zeile,
+ * die erst der Wartungslauf nach 30 Tagen wieder los wurde.
+ *
+ * Deshalb jetzt zwei getrennte Dinge:
+ *
+ * - Ein *geprueft* fehlgeschlagener Versuch (falsches Passwort, falscher
+ *   Code, unbekannte Adresse) zaehlt und wird einzeln festgehalten.
+ * - Ein *abgewiesener* Aufruf waehrend der Sperre zaehlt nicht und wird
+ *   hoechstens einmal je Sperre vermerkt.
+ *
+ * Damit steht die Frist fest, sobald sie einmal gesetzt ist, und die
+ * Tabelle waechst nicht mit der Zahl der Angriffsversuche.
 */

+/** Grund fuer eine Zeile, die nur den abgewiesenen Aufruf dokumentiert. */
+const GRUND_ABGEWIESEN = 'gesperrt'
+
 export type SperrErgebnis =
  | { gesperrt: false; verbleibendeVersuche: number }
  | { gesperrt: true; nochSekunden: number }
@@ -29,33 +53,49 @@ function fensterStart(): Date {
 * Passwortvergleich aufgerufen - ein gesperrter Zugang soll gar nicht erst
 * Rechenzeit fuer Argon2 kosten.
 */
-export async function anmeldungErlaubt(
-  email: string,
-  ip: string | null,
-): Promise<SperrErgebnis> {
-  const seit = fensterStart()
+export async function anmeldungErlaubt(email: string, ip: string | null): Promise<SperrErgebnis> {
+  const jetzt = Date.now()
  const kennung = email.trim().toLowerCase()
  const ipH = ipHashen(ip)

  const fehlversuche = await db.loginVersuch.findMany({
    where: {
      erfolg: false,
-      zeitpunkt: { gte: seit },
+      // Abgewiesene Aufrufe zaehlen nicht mit - sonst haelt sich die Sperre
+      // selbst am Leben, siehe Kopf dieser Datei.
+      grund: { not: GRUND_ABGEWIESEN },
+      zeitpunkt: { gte: new Date(jetzt - env.loginFensterSekunden * 1000) },
      OR: [{ email: kennung }, ...(ipH ? [{ ipHash: ipH }] : [])],
    },
-    orderBy: { zeitpunkt: 'desc' },
+    orderBy: { zeitpunkt: 'asc' },
    select: { zeitpunkt: true },
-    take: env.loginMaxVersuche + 1,
+    // Deckel gegen eine ausufernde Abfrage. Mehr als eine Handvoll Runden
+    // passt ohnehin nicht in ein Zeitfenster, in dem jede Runde gesperrt
+    // wird.
+    take: 200,
  })

-  if (fehlversuche.length >= env.loginMaxVersuche) {
-    const juengster = fehlversuche[0]!.zeitpunkt.getTime()
-    const frei = juengster + env.loginSperreSekunden * 1000
-    const nochSekunden = Math.max(1, Math.ceil((frei - Date.now()) / 1000))
-    return { gesperrt: true, nochSekunden }
+  // Von alt nach neu durchgehen und die Runden nachvollziehen: Sobald das
+  // Mass voll ist, beginnt an genau diesem Versuch eine Sperre, und der
+  // Zaehler faengt von vorn an. Ist ihre Frist inzwischen abgelaufen, sind
+  // die Versuche davor abgegolten - sonst bliebe der Zugang bis zum Ende
+  // des Zeitfensters dicht, obwohl die Sperre laengst um ist.
+  let zaehler = 0
+  let sperreBis = 0
+
+  for (const versuch of fehlversuche) {
+    zaehler += 1
+    if (zaehler >= env.loginMaxVersuche) {
+      sperreBis = versuch.zeitpunkt.getTime() + env.loginSperreSekunden * 1000
+      zaehler = 0
+    }
  }

-  return { gesperrt: false, verbleibendeVersuche: env.loginMaxVersuche - fehlversuche.length }
+  if (sperreBis > jetzt) {
+    return { gesperrt: true, nochSekunden: Math.max(1, Math.ceil((sperreBis - jetzt) / 1000)) }
+  }
+
+  return { gesperrt: false, verbleibendeVersuche: env.loginMaxVersuche - zaehler }
 }

 /** Haelt einen Versuch fest. Der Grund hilft spaeter beim Nachvollziehen. */
@@ -75,6 +115,34 @@ export async function versuchFesthalten(
  })
 }

+/**
+ * Vermerkt einen abgewiesenen Aufruf - aber nur den ersten je Sperre.
+ *
+ * Dass eine Sperre gegriffen hat, will man im Protokoll sehen. Wie oft
+ * dagegen geklopft wurde, ist die Information nicht wert: Sie kostet eine
+ * Zeile pro Anfrage, und genau daraus laesst sich die Tabelle vollschreiben.
+ * Eine Zeile je Sperre reicht, um den Vorgang zu erkennen.
+ *
+ * @returns true, wenn tatsaechlich vermerkt wurde.
+ */
+export async function sperreVermerken(email: string, ip: string | null): Promise<boolean> {
+  const kennung = email.trim().toLowerCase()
+  const vorhanden = await db.loginVersuch.findFirst({
+    where: {
+      email: kennung,
+      erfolg: false,
+      grund: GRUND_ABGEWIESEN,
+      zeitpunkt: { gte: fensterStart() },
+    },
+    select: { id: true },
+  })
+
+  if (vorhanden) return false
+
+  await versuchFesthalten(kennung, ip, false, GRUND_ABGEWIESEN)
+  return true
+}
+
 /**
 * Nach einer erfolgreichen Anmeldung werden die Fehlversuche dieser
 * Adresse geloescht - sonst bliebe der Zaehler bis zum Fensterende stehen.
@@ -46,8 +46,46 @@ export async function aktuellerBenutzer(): Promise<User | null> {
  return benutzer
 }

-/** Wie aktuellerBenutzer, leitet aber zum Anmeldeformular um. */
+/** Hat dieser Benutzer den zweiten Faktor abgeschlossen? */
+export function zweiterFaktorFertig(benutzer: User): boolean {
+  return Boolean(benutzer.totpAktiviertAm && benutzer.totpSecretVerschluesselt)
+}
+
+/**
+ * Der angemeldete Benutzer - mit abgeschlossenem zweitem Faktor.
+ *
+ * Die MFA-Pflicht steckt bewusst HIER und nicht im App-Layout. Ein Layout
+ * schuetzt nur, was durch das Layout gerendert wird; Server Actions und
+ * Route Handler laufen daran vorbei. Wer eine Passwort-Sitzung hat, aber
+ * die TOTP-Einrichtung nie abgeschlossen hat, konnte sie frueher direkt
+ * aufrufen - "MFA ist Pflicht" war damit eine Aussage ueber die
+ * Oberflaeche, keine Sicherheitsgrenze.
+ *
+ * Massgeblich ist der Datenbankstand aus aktuellerBenutzer(), nicht das
+ * Feld im Sitzungstoken: Das laesst sich ueber session.update() vom
+ * Client beeinflussen.
+ *
+ * Die Ausnahmen sind klein und aufgezaehlt - Einrichtung des zweiten
+ * Faktors und Abmelden. Wer eine weitere braucht, nimmt bewusst
+ * erfordereBenutzerOhneZweitenFaktor() und begruendet es dort.
+ */
 export async function erfordereBenutzer(zielNachAnmeldung?: string): Promise<User> {
+  const benutzer = await erfordereBenutzerOhneZweitenFaktor(zielNachAnmeldung)
+  if (!zweiterFaktorFertig(benutzer)) {
+    redirect('/zwei-faktor/einrichten')
+  }
+  return benutzer
+}
+
+/**
+ * Nur fuer die Handvoll Stellen, die VOR abgeschlossener MFA erreichbar
+ * sein muessen: die Einrichtung selbst und das Abmelden. Jede weitere
+ * Verwendung ist ein Loch in der MFA-Pflicht und braucht eine
+ * Begruendung im Code.
+ */
+export async function erfordereBenutzerOhneZweitenFaktor(
+  zielNachAnmeldung?: string,
+): Promise<User> {
  const benutzer = await aktuellerBenutzer()
  if (!benutzer) {
    const ziel = zielNachAnmeldung ? `?weiter=${encodeURIComponent(zielNachAnmeldung)}` : ''
@@ -57,11 +95,37 @@ export async function erfordereBenutzer(zielNachAnmeldung?: string): Promise<Use
 }

 /**
- * Erzwingt den eingerichteten zweiten Faktor. Wird im App-Layout
- * aufgerufen: ohne TOTP kommt niemand an Fachdaten.
+ * Fuer Route Handler: Statt umzuleiten wird abgewiesen.
+ *
+ * Ein Redirect ist bei einer Datei- oder Kalenderantwort die falsche
+ * Antwort - der Aufrufer will Daten, nicht eine Anmeldeseite als Inhalt.
+ */
+export async function benutzerFuerRoute(): Promise<
+  { ok: true; benutzer: User } | { ok: false; antwort: Response }
+> {
+  const benutzer = await aktuellerBenutzer()
+  if (!benutzer) {
+    return { ok: false, antwort: new Response('Nicht angemeldet.', { status: 401 }) }
+  }
+  if (!zweiterFaktorFertig(benutzer)) {
+    return {
+      ok: false,
+      antwort: new Response('Zweiter Faktor ist nicht eingerichtet.', { status: 403 }),
+    }
+  }
+  return { ok: true, benutzer }
+}
+
+/**
+ * Erzwingt den eingerichteten zweiten Faktor.
+ *
+ * Bleibt als eigener Aufruf im App-Layout bestehen, obwohl
+ * erfordereBenutzer() das inzwischen selbst tut: Zwei Sperren an
+ * derselben Stelle kosten nichts und die aeussere ist die, die man beim
+ * Lesen des Layouts sieht.
 */
 export async function erfordereZweitenFaktor(benutzer: User): Promise<void> {
-  if (!benutzer.totpAktiviertAm || !benutzer.totpSecretVerschluesselt) {
+  if (!zweiterFaktorFertig(benutzer)) {
    redirect('/zwei-faktor/einrichten')
  }
 }
@@ -0,0 +1,121 @@
+import 'server-only'
+import { db, nichtGeloescht } from '@/lib/db'
+
+/**
+ * Gehoert ein verknuepfter Datensatz zu dieser Akte?
+ *
+ * Wenn ein Formular einen Fremdschluessel mitschickt - Konto, Vertrag,
+ * Immobilie, Dokument, Vorgang, Kontakt -, dann kommt der aus einer
+ * Auswahlliste im Browser. Der Server darf sich darauf nicht verlassen:
+ * Eine veraenderte Anfrage kann jede beliebige Id enthalten.
+ *
+ * Ohne die Pruefung entstuende eine Verknuepfung ueber Aktengrenzen
+ * hinweg. Was daran gefaehrlich ist, sieht man erst an den Folgen: Der
+ * Rueckkaufswert der einen Akte haengt am Vertrag der anderen, ein
+ * fremder Name steht im Briefkopf, ein fremder Beschluss in der
+ * Genehmigungskette.
+ *
+ * Solange nur eine betreute Person angelegt ist, ist all das folgenlos.
+ * Die Pruefung gehoert trotzdem hin - sie kostet eine Abfrage, und die
+ * zweite betreute Person kommt frueher, als man denkt.
+ *
+ * Bewusst KEINE Ausnahme geworfen: Formularaktionen geben Fehler zurueck,
+ * damit die Eingaben des Benutzers nicht verlorengehen.
+ */
+
+/** Die Tabellen, auf die ein Formular verweisen darf. */
+export type Verweisziel =
+  | 'konto'
+  | 'vertrag'
+  | 'immobilie'
+  | 'dokument'
+  | 'vorgang'
+  | 'kontakt'
+  | 'vermoegensposten'
+  | 'buchung'
+
+type Sucher = (id: string, betreuteId: string) => Promise<{ id: string } | null>
+
+/**
+ * Je Ziel eine Abfrage, ausgeschrieben statt dynamisch zusammengesetzt.
+ *
+ * Das ist ein paar Zeilen laenger als ein Zugriff ueber den Tabellennamen -
+ * dafuer ist die Liste der erlaubten Ziele eine bewusste Aufzaehlung und
+ * keine Nebenwirkung, und der Typpruefer sieht jede Abfrage.
+ */
+const SUCHER: Record<Verweisziel, Sucher> = {
+  konto: (id, betreuteId) =>
+    db.konto.findFirst({ where: { id, betreuteId, ...nichtGeloescht }, select: { id: true } }),
+  vertrag: (id, betreuteId) =>
+    db.vertrag.findFirst({ where: { id, betreuteId, ...nichtGeloescht }, select: { id: true } }),
+  immobilie: (id, betreuteId) =>
+    db.immobilie.findFirst({ where: { id, betreuteId, ...nichtGeloescht }, select: { id: true } }),
+  dokument: (id, betreuteId) =>
+    db.dokument.findFirst({ where: { id, betreuteId, ...nichtGeloescht }, select: { id: true } }),
+  vorgang: (id, betreuteId) =>
+    db.vorgang.findFirst({ where: { id, betreuteId, ...nichtGeloescht }, select: { id: true } }),
+  kontakt: (id, betreuteId) =>
+    db.kontakt.findFirst({ where: { id, betreuteId, ...nichtGeloescht }, select: { id: true } }),
+  vermoegensposten: (id, betreuteId) =>
+    db.vermoegensposten.findFirst({
+      where: { id, betreuteId, ...nichtGeloescht },
+      select: { id: true },
+    }),
+  buchung: (id, betreuteId) =>
+    db.buchung.findFirst({ where: { id, betreuteId, ...nichtGeloescht }, select: { id: true } }),
+}
+
+const BESCHRIFTUNG: Record<Verweisziel, string> = {
+  konto: 'Dieses Konto',
+  vertrag: 'Dieser Vertrag',
+  immobilie: 'Diese Immobilie',
+  dokument: 'Dieses Dokument',
+  vorgang: 'Dieser Vorgang',
+  kontakt: 'Dieser Kontakt',
+  vermoegensposten: 'Dieser Vermögensposten',
+  buchung: 'Diese Buchung',
+}
+
+/**
+ * Prueft einen einzelnen Verweis.
+ *
+ * Ein leerer Verweis ist in Ordnung - "keine Verknuepfung" ist ein
+ * gueltiger Zustand und keine Verletzung.
+ *
+ * @returns null, wenn alles stimmt; sonst die fertige Fehlermeldung.
+ */
+export async function verweisPruefen(
+  ziel: Verweisziel,
+  id: string | null | undefined,
+  betreuteId: string,
+): Promise<string | null> {
+  if (!id) return null
+
+  const treffer = await SUCHER[ziel](id, betreuteId)
+
+  return treffer ? null : `${BESCHRIFTUNG[ziel]} gehört nicht zu dieser betreuten Person.`
+}
+
+/**
+ * Prueft mehrere Verweise auf einmal und meldet den ersten Verstoss.
+ *
+ * Die Abfragen laufen nebeneinander: Bei vier Verweisen ist das eine
+ * Wartezeit statt vier.
+ *
+ * @example
+ *   const fehler = await verweisePruefen(betreuteId, {
+ *     konto: werte.kontoId,
+ *     vertrag: werte.vertragId,
+ *   })
+ *   if (fehler) return { fehler }
+ */
+export async function verweisePruefen(
+  betreuteId: string,
+  verweise: Partial<Record<Verweisziel, string | null | undefined>>,
+): Promise<string | null> {
+  const eintraege = Object.entries(verweise) as [Verweisziel, string | null | undefined][]
+  const ergebnisse = await Promise.all(
+    eintraege.map(([ziel, id]) => verweisPruefen(ziel, id, betreuteId)),
+  )
+  return ergebnisse.find((meldung) => meldung !== null) ?? null
+}
@@ -0,0 +1,93 @@
+import 'server-only'
+import type { User } from '@prisma/client'
+import { db } from '@/lib/db'
+import { wiederherstellungscodeFinden } from '@/lib/crypto/hash'
+import { totpPruefen, totpSchritt, totpSecretEntschluesseln } from '@/lib/crypto/totp'
+
+/**
+ * Einloesen des zweiten Faktors - einmal und nur einmal.
+ *
+ * Ein TOTP-Code gilt 30 Sekunden, mit der Toleranz von einem Fenster bis zu
+ * 90. Wer ihn in dieser Zeit noch einmal einreicht, kommt ohne die
+ * Toleranz ein zweites Mal herein: abgelesen ueber die Schulter,
+ * mitgeschrieben von einem Zwischenglied, oder aus einem Formular, das im
+ * Browserverlauf steht. Der Kommentar in totp.ts versprach seit dem Anfang,
+ * der Aufrufer speichere das getroffene Fenster - getan hat es niemand.
+ *
+ * Deshalb hier: Der Schritt wird festgehalten, und angenommen wird nur ein
+ * groesserer. Damit ist jeder Code genau einmal gut.
+ *
+ * ## Warum updateMany und nicht update
+ *
+ * Die Bedingung steht im WHERE, nicht in einem if davor. Zwei Anfragen mit
+ * demselben Code, gleichzeitig abgeschickt, wuerden sonst beide den
+ * Vergleich bestehen, bevor eine von ihnen schreibt. So entscheidet die
+ * Datenbank: Genau eine trifft eine Zeile, die andere keine.
+ */
+
+export type ZweiterFaktorErgebnis =
+  | { ok: true; art: 'totp' | 'wiederherstellungscode' }
+  | { ok: false; grund: 'falsch' | 'wiederverwendet' }
+
+/** Ab dieser Laenge wird die Eingabe als Wiederherstellungscode gelesen. */
+const CODE_MINDESTLAENGE = 12
+
+/**
+ * Prueft die Eingabe und verbraucht sie.
+ *
+ * Nimmt sowohl einen sechsstelligen TOTP-Code als auch einen
+ * Wiederherstellungscode. Letzterer wird nach Gebrauch aus der Liste
+ * entfernt - auch das eine Einmalverwendung, nur mit anderem Mechanismus.
+ *
+ * @param benutzer Der Datensatz aus der Datenbank, nicht aus der Sitzung.
+ * @param eingabe  Was im Formular stand, ungereinigt.
+ */
+export async function zweitenFaktorEinloesen(
+  benutzer: User,
+  eingabe: string,
+): Promise<ZweiterFaktorErgebnis> {
+  const ohneTrenner = eingabe.replace(/[\s-]/g, '')
+
+  if (/^\d{6}$/.test(ohneTrenner)) {
+    if (!benutzer.totpSecretVerschluesselt) return { ok: false, grund: 'falsch' }
+
+    const secret = totpSecretEntschluesseln(benutzer.totpSecretVerschluesselt)
+    const { gueltig, delta } = totpPruefen(secret, benutzer.email, ohneTrenner)
+    if (!gueltig || delta === null) return { ok: false, grund: 'falsch' }
+
+    const schritt = totpSchritt(delta)
+
+    const { count } = await db.user.updateMany({
+      where: {
+        id: benutzer.id,
+        OR: [{ totpLetzterSchritt: null }, { totpLetzterSchritt: { lt: schritt } }],
+      },
+      data: { totpLetzterSchritt: schritt },
+    })
+
+    // Keine Zeile getroffen: Dieser Schritt war schon einmal dran. Der Code
+    // ist rechnerisch richtig und trotzdem verbraucht.
+    if (count === 0) return { ok: false, grund: 'wiederverwendet' }
+
+    return { ok: true, art: 'totp' }
+  }
+
+  if (ohneTrenner.length >= CODE_MINDESTLAENGE) {
+    const treffer = await wiederherstellungscodeFinden(benutzer.wiederherstellungscodes, eingabe)
+    if (treffer < 0) return { ok: false, grund: 'falsch' }
+
+    // Auch hier die Bedingung in die Abfrage: Sonst koennten zwei
+    // gleichzeitige Anmeldungen denselben Code einloesen, weil beide noch
+    // die alte Liste sehen.
+    const rest = benutzer.wiederherstellungscodes.filter((_, i) => i !== treffer)
+    const { count } = await db.user.updateMany({
+      where: { id: benutzer.id, wiederherstellungscodes: { equals: benutzer.wiederherstellungscodes } },
+      data: { wiederherstellungscodes: rest },
+    })
+    if (count === 0) return { ok: false, grund: 'wiederverwendet' }
+
+    return { ok: true, art: 'wiederherstellungscode' }
+  }
+
+  return { ok: false, grund: 'falsch' }
+}
@@ -1,213 +1,213 @@
-import 'server-only'
-import {
-  AlignmentType,
-  BorderStyle,
-  Document,
-  Footer,
-  Header,
-  HeadingLevel,
-  PageNumber,
-  Packer,
-  Paragraph,
-  TextRun,
-  convertMillimetersToTwip,
-} from 'docx'
-import { formatDatum } from '@/lib/utils'
-import { textZuAbschnitten } from '@/lib/berichte/jahresbericht.entwurf'
-
-/**
- * DOCX-Ausgabe.
- *
- * Warum zusaetzlich zum PDF? Weil ein Jahresbericht selten beim ersten Mal
- * fertig ist. Das Gericht schickt Rueckfragen, der Rechtspfleger will einen
- * Absatz anders, im naechsten Jahr will man den Vorjahresbericht als
- * Grundlage nehmen. Ein PDF laesst sich dafuer nicht anfassen, eine
- * .docx-Datei schon - in Word, LibreOffice oder Google Docs.
- *
- * Das PDF bleibt die Fassung, die abgegeben wird; die .docx ist die
- * Arbeitsfassung.
- *
- * Der Kopf wird hier bewusst als eigener Typ beschrieben und nicht aus
- * src/lib/pdf/rahmen.tsx importiert: Die DOCX-Ausgabe soll auch dann
- * funktionieren, wenn am PDF-Rahmen gerade gearbeitet wird. Die Felder sind
- * dieselben, ein Berichtskopf passt ohne Umbau hinein.
- */
-
-export type DocxKopf = {
-  titel: string
-  betreute: { name: string; geburtsdatum: Date | null }
-  behoerde?: string
-  aktenzeichen?: string
-  zeitraumVon?: Date | null
-  zeitraumBis?: Date | null
-  stichtag?: Date | null
-  rechtsgrundlage?: string
-  erstelltAm: Date
-  erstelltVon: string
-}
-
-const SCHRIFT = 'Arial'
-
-function zeile(text: string, optionen: { fett?: boolean; grau?: boolean; groesse?: number } = {}) {
-  return new TextRun({
-    text,
-    bold: optionen.fett ?? false,
-    color: optionen.grau ? '555555' : '000000',
-    size: (optionen.groesse ?? 11) * 2, // docx rechnet in halben Punkten
-    font: SCHRIFT,
-  })
-}
-
-function kopfzeilen(kopf: DocxKopf): string[] {
-  const zeilen: string[] = [
-    `Betreute Person: ${kopf.betreute.name}` +
-      (kopf.betreute.geburtsdatum ? `, geboren am ${formatDatum(kopf.betreute.geburtsdatum)}` : ''),
-  ]
-  if (kopf.behoerde) zeilen.push(kopf.behoerde)
-  if (kopf.aktenzeichen) zeilen.push(`Aktenzeichen: ${kopf.aktenzeichen}`)
-  if (kopf.zeitraumVon || kopf.zeitraumBis) {
-    zeilen.push(
-      `Berichtszeitraum: ${formatDatum(kopf.zeitraumVon)} bis ${formatDatum(kopf.zeitraumBis)}`,
-    )
-  }
-  if (kopf.stichtag) zeilen.push(`Stichtag: ${formatDatum(kopf.stichtag)}`)
-  if (kopf.rechtsgrundlage) zeilen.push(`Rechtsgrundlage: ${kopf.rechtsgrundlage}`)
-  return zeilen
-}
-
-function unterschriftenblock(kopf: DocxKopf): Paragraph[] {
-  return [
-    new Paragraph({ children: [zeile('')], spacing: { before: 600 } }),
-    new Paragraph({
-      children: [zeile(`Ort, Datum: ${formatDatum(kopf.erstelltAm)}`)],
-      spacing: { after: 500 },
-    }),
-    new Paragraph({
-      children: [zeile('')],
-      border: { top: { style: BorderStyle.SINGLE, size: 6, color: '000000', space: 2 } },
-      spacing: { after: 60 },
-    }),
-    new Paragraph({
-      children: [zeile(`${kopf.erstelltVon}, rechtliche Betreuerin bzw. rechtlicher Betreuer`, { groesse: 9, grau: true })],
-    }),
-  ]
-}
-
-/**
- * Setzt den (ueberarbeiteten) Entwurfstext als Word-Dokument. Ueberschriften
- * erkennt der Satz an der fuehrenden Nummer, Aufzaehlungen am
- * Aufzaehlungszeichen - dieselbe Regel wie im PDF.
- */
-export function docxAusEntwurf(kopf: DocxKopf, text: string): Document {
-  const abschnitte = textZuAbschnitten(text)
-
-  const inhalt: Paragraph[] = [
-    new Paragraph({
-      children: [zeile(kopf.titel, { fett: true, groesse: 16 })],
-      spacing: { after: 160 },
-    }),
-    ...kopfzeilen(kopf).map(
-      (text_) => new Paragraph({ children: [zeile(text_, { groesse: 10, grau: true })] }),
-    ),
-    new Paragraph({
-      children: [zeile('')],
-      border: { bottom: { style: BorderStyle.SINGLE, size: 6, color: 'AAAAAA', space: 2 } },
-      spacing: { after: 200 },
-    }),
-  ]
-
-  for (const abschnitt of abschnitte) {
-    if (abschnitt.titel) {
-      inhalt.push(
-        new Paragraph({
-          children: [zeile(abschnitt.titel, { fett: true, groesse: 12 })],
-          heading: HeadingLevel.HEADING_2,
-          spacing: { before: 260, after: 100 },
-        }),
-      )
-    }
-    for (const absatz of abschnitt.absaetze) {
-      const istAufzaehlung = absatz.startsWith('•')
-      inhalt.push(
-        new Paragraph({
-          children: [zeile(istAufzaehlung ? absatz.replace(/^•\s*/, '') : absatz)],
-          bullet: istAufzaehlung ? { level: 0 } : undefined,
-          alignment: istAufzaehlung ? AlignmentType.LEFT : AlignmentType.JUSTIFIED,
-          spacing: { after: 120, line: 300 },
-        }),
-      )
-    }
-  }
-
-  inhalt.push(...unterschriftenblock(kopf))
-
-  return new Document({
-    creator: kopf.erstelltVon,
-    title: kopf.titel,
-    description: `${kopf.titel} für ${kopf.betreute.name}`,
-    sections: [
-      {
-        properties: {
-          page: {
-            margin: {
-              top: convertMillimetersToTwip(25),
-              bottom: convertMillimetersToTwip(20),
-              left: convertMillimetersToTwip(25),
-              right: convertMillimetersToTwip(20),
-            },
-          },
-        },
-        headers: {
-          default: new Header({
-            children: [
-              new Paragraph({
-                alignment: AlignmentType.RIGHT,
-                children: [
-                  zeile(
-                    `${kopf.betreute.name}${kopf.aktenzeichen ? ` · ${kopf.aktenzeichen}` : ''}`,
-                    { groesse: 8, grau: true },
-                  ),
-                ],
-              }),
-            ],
-          }),
-        },
-        footers: {
-          default: new Footer({
-            children: [
-              new Paragraph({
-                alignment: AlignmentType.CENTER,
-                children: [
-                  zeile('Seite ', { groesse: 8, grau: true }),
-                  new TextRun({
-                    children: [PageNumber.CURRENT],
-                    size: 16,
-                    color: '555555',
-                    font: SCHRIFT,
-                  }),
-                  zeile(' von ', { groesse: 8, grau: true }),
-                  new TextRun({
-                    children: [PageNumber.TOTAL_PAGES],
-                    size: 16,
-                    color: '555555',
-                    font: SCHRIFT,
-                  }),
-                  zeile(`  ·  erstellt am ${formatDatum(kopf.erstelltAm)}`, {
-                    groesse: 8,
-                    grau: true,
-                  }),
-                ],
-              }),
-            ],
-          }),
-        },
-        children: inhalt,
-      },
-    ],
-  })
-}
-
-/** Fertige .docx-Datei als Buffer. */
-export async function docxErzeugen(kopf: DocxKopf, text: string): Promise<Buffer> {
-  return Packer.toBuffer(docxAusEntwurf(kopf, text))
-}
+import 'server-only'
+import {
+  AlignmentType,
+  BorderStyle,
+  Document,
+  Footer,
+  Header,
+  HeadingLevel,
+  PageNumber,
+  Packer,
+  Paragraph,
+  TextRun,
+  convertMillimetersToTwip,
+} from 'docx'
+import { formatDatum } from '@/lib/utils'
+import { textZuAbschnitten } from '@/lib/berichte/jahresbericht.entwurf'
+
+/**
+ * DOCX-Ausgabe.
+ *
+ * Warum zusaetzlich zum PDF? Weil ein Jahresbericht selten beim ersten Mal
+ * fertig ist. Das Gericht schickt Rueckfragen, der Rechtspfleger will einen
+ * Absatz anders, im naechsten Jahr will man den Vorjahresbericht als
+ * Grundlage nehmen. Ein PDF laesst sich dafuer nicht anfassen, eine
+ * .docx-Datei schon - in Word, LibreOffice oder Google Docs.
+ *
+ * Das PDF bleibt die Fassung, die abgegeben wird; die .docx ist die
+ * Arbeitsfassung.
+ *
+ * Der Kopf wird hier bewusst als eigener Typ beschrieben und nicht aus
+ * src/lib/pdf/rahmen.tsx importiert: Die DOCX-Ausgabe soll auch dann
+ * funktionieren, wenn am PDF-Rahmen gerade gearbeitet wird. Die Felder sind
+ * dieselben, ein Berichtskopf passt ohne Umbau hinein.
+ */
+
+export type DocxKopf = {
+  titel: string
+  betreute: { name: string; geburtsdatum: Date | null }
+  behoerde?: string
+  aktenzeichen?: string
+  zeitraumVon?: Date | null
+  zeitraumBis?: Date | null
+  stichtag?: Date | null
+  rechtsgrundlage?: string
+  erstelltAm: Date
+  erstelltVon: string
+}
+
+const SCHRIFT = 'Arial'
+
+function zeile(text: string, optionen: { fett?: boolean; grau?: boolean; groesse?: number } = {}) {
+  return new TextRun({
+    text,
+    bold: optionen.fett ?? false,
+    color: optionen.grau ? '555555' : '000000',
+    size: (optionen.groesse ?? 11) * 2, // docx rechnet in halben Punkten
+    font: SCHRIFT,
+  })
+}
+
+function kopfzeilen(kopf: DocxKopf): string[] {
+  const zeilen: string[] = [
+    `Betreute Person: ${kopf.betreute.name}` +
+      (kopf.betreute.geburtsdatum ? `, geboren am ${formatDatum(kopf.betreute.geburtsdatum)}` : ''),
+  ]
+  if (kopf.behoerde) zeilen.push(kopf.behoerde)
+  if (kopf.aktenzeichen) zeilen.push(`Aktenzeichen: ${kopf.aktenzeichen}`)
+  if (kopf.zeitraumVon || kopf.zeitraumBis) {
+    zeilen.push(
+      `Berichtszeitraum: ${formatDatum(kopf.zeitraumVon)} bis ${formatDatum(kopf.zeitraumBis)}`,
+    )
+  }
+  if (kopf.stichtag) zeilen.push(`Stichtag: ${formatDatum(kopf.stichtag)}`)
+  if (kopf.rechtsgrundlage) zeilen.push(`Rechtsgrundlage: ${kopf.rechtsgrundlage}`)
+  return zeilen
+}
+
+function unterschriftenblock(kopf: DocxKopf): Paragraph[] {
+  return [
+    new Paragraph({ children: [zeile('')], spacing: { before: 600 } }),
+    new Paragraph({
+      children: [zeile(`Ort, Datum: ${formatDatum(kopf.erstelltAm)}`)],
+      spacing: { after: 500 },
+    }),
+    new Paragraph({
+      children: [zeile('')],
+      border: { top: { style: BorderStyle.SINGLE, size: 6, color: '000000', space: 2 } },
+      spacing: { after: 60 },
+    }),
+    new Paragraph({
+      children: [zeile(`${kopf.erstelltVon}, rechtliche Betreuerin bzw. rechtlicher Betreuer`, { groesse: 9, grau: true })],
+    }),
+  ]
+}
+
+/**
+ * Setzt den (ueberarbeiteten) Entwurfstext als Word-Dokument. Ueberschriften
+ * erkennt der Satz an der fuehrenden Nummer, Aufzaehlungen am
+ * Aufzaehlungszeichen - dieselbe Regel wie im PDF.
+ */
+export function docxAusEntwurf(kopf: DocxKopf, text: string): Document {
+  const abschnitte = textZuAbschnitten(text)
+
+  const inhalt: Paragraph[] = [
+    new Paragraph({
+      children: [zeile(kopf.titel, { fett: true, groesse: 16 })],
+      spacing: { after: 160 },
+    }),
+    ...kopfzeilen(kopf).map(
+      (text_) => new Paragraph({ children: [zeile(text_, { groesse: 10, grau: true })] }),
+    ),
+    new Paragraph({
+      children: [zeile('')],
+      border: { bottom: { style: BorderStyle.SINGLE, size: 6, color: 'AAAAAA', space: 2 } },
+      spacing: { after: 200 },
+    }),
+  ]
+
+  for (const abschnitt of abschnitte) {
+    if (abschnitt.titel) {
+      inhalt.push(
+        new Paragraph({
+          children: [zeile(abschnitt.titel, { fett: true, groesse: 12 })],
+          heading: HeadingLevel.HEADING_2,
+          spacing: { before: 260, after: 100 },
+        }),
+      )
+    }
+    for (const absatz of abschnitt.absaetze) {
+      const istAufzaehlung = absatz.startsWith('•')
+      inhalt.push(
+        new Paragraph({
+          children: [zeile(istAufzaehlung ? absatz.replace(/^•\s*/, '') : absatz)],
+          bullet: istAufzaehlung ? { level: 0 } : undefined,
+          alignment: istAufzaehlung ? AlignmentType.LEFT : AlignmentType.JUSTIFIED,
+          spacing: { after: 120, line: 300 },
+        }),
+      )
+    }
+  }
+
+  inhalt.push(...unterschriftenblock(kopf))
+
+  return new Document({
+    creator: kopf.erstelltVon,
+    title: kopf.titel,
+    description: `${kopf.titel} für ${kopf.betreute.name}`,
+    sections: [
+      {
+        properties: {
+          page: {
+            margin: {
+              top: convertMillimetersToTwip(25),
+              bottom: convertMillimetersToTwip(20),
+              left: convertMillimetersToTwip(25),
+              right: convertMillimetersToTwip(20),
+            },
+          },
+        },
+        headers: {
+          default: new Header({
+            children: [
+              new Paragraph({
+                alignment: AlignmentType.RIGHT,
+                children: [
+                  zeile(
+                    `${kopf.betreute.name}${kopf.aktenzeichen ? ` · ${kopf.aktenzeichen}` : ''}`,
+                    { groesse: 8, grau: true },
+                  ),
+                ],
+              }),
+            ],
+          }),
+        },
+        footers: {
+          default: new Footer({
+            children: [
+              new Paragraph({
+                alignment: AlignmentType.CENTER,
+                children: [
+                  zeile('Seite ', { groesse: 8, grau: true }),
+                  new TextRun({
+                    children: [PageNumber.CURRENT],
+                    size: 16,
+                    color: '555555',
+                    font: SCHRIFT,
+                  }),
+                  zeile(' von ', { groesse: 8, grau: true }),
+                  new TextRun({
+                    children: [PageNumber.TOTAL_PAGES],
+                    size: 16,
+                    color: '555555',
+                    font: SCHRIFT,
+                  }),
+                  zeile(`  ·  erstellt am ${formatDatum(kopf.erstelltAm)}`, {
+                    groesse: 8,
+                    grau: true,
+                  }),
+                ],
+              }),
+            ],
+          }),
+        },
+        children: inhalt,
+      },
+    ],
+  })
+}
+
+/** Fertige .docx-Datei als Buffer. */
+export async function docxErzeugen(kopf: DocxKopf, text: string): Promise<Buffer> {
+  return Packer.toBuffer(docxAusEntwurf(kopf, text))
+}
@@ -20,6 +20,9 @@ const ZIFFERN = 6
 const PERIODE = 30
 const TOLERANZ_FENSTER = 1

+/** Laenge eines TOTP-Fensters in Sekunden - fuer den Wiederverwendungsschutz. */
+export const TOTP_PERIODE = PERIODE
+
 function totpBauen(secret: string, kennung: string): TOTP {
  return new TOTP({
    issuer: AUSSTELLER,
@@ -54,10 +57,24 @@ export async function totpQrCode(secret: string, kennung: string): Promise<strin
  })
 }

+/**
+ * Der absolute Zeitschritt, auf den ein Code passt.
+ *
+ * validate() gibt nur die Abweichung zum aktuellen Fenster zurueck (delta).
+ * Zum Festhalten braucht es eine Zahl, die nicht davon abhaengt, wann
+ * geprueft wurde - sonst waere ein spaeter geprueftes Fenster kleiner als
+ * ein frueher geprueftes.
+ */
+export function totpSchritt(delta: number, jetztMs = Date.now()): number {
+  return Math.floor(jetztMs / 1000 / PERIODE) + delta
+}
+
 /**
 * Prueft einen eingegebenen Sechsstelligen gegen das Geheimnis.
- * Gibt zusaetzlich das getroffene Zeitfenster zurueck - der Aufrufer
- * speichert es, um eine Wiederverwendung desselben Codes zu verhindern.
+ *
+ * Gibt zusaetzlich das getroffene Zeitfenster zurueck. Wer damit anmeldet,
+ * muss es ueber zweitenFaktorEinloesen() festhalten - sonst gilt derselbe
+ * Code bis zu 90 Sekunden lang ein zweites Mal.
 */
 export function totpPruefen(
  secret: string,
@@ -24,6 +24,42 @@ export const WARTEZEIT_DRINGEND_TAGE = 21
 /** Wie viele Ausschlussfristen zeigt die Warnung hoechstens? */
 const AUSSCHLUSSFRISTEN_MAX = 3

+/**
+ * Wie weit im Voraus eine Ausschlussfrist die Warnung ausloest.
+ *
+ * Frueher gab es diese Grenze nicht: Der Warnblock fragte nur, OB etwas
+ * eine Ausschlussfrist ist, nie WANN sie faellig wird. Auf dem Dashboard
+ * standen deshalb dauerhaft drei rote Kaesten mit Warndreieck - fuer
+ * Aufwandspauschalen, die 2027, 2028 und 2029 ablaufen. Die Pflichtfristen
+ * werden bewusst drei Jahre im Voraus angelegt (jahreVoraus in
+ * pflichtfristen.ts), und alle landeten ungefiltert in der Warnung.
+ *
+ * Das ist nicht nur laestig, sondern gefaehrlich: Eine Warnung, die
+ * monatelang dasteht und nichts von einem will, stumpft ab. Man uebersieht
+ * die vierte, die etwas will - und bei § 1878 BGB ist das die
+ * Jahrespauschale, die ersatzlos erlischt.
+ *
+ * 90 Tage, weil die kuerzeste hier vorkommende Ausschlussfrist sechs
+ * Monate Zeit laesst. Drei Monate Vorlauf sind reichlich, und solange
+ * nichts ansteht, bleibt der Kasten leer - dann bedeutet er etwas.
+ *
+ * Verschwinden tut nichts: Was ausserhalb des Horizonts liegt, steht
+ * weiterhin in der Fristenliste.
+ */
+const AUSSCHLUSSFRIST_HORIZONT_TAGE = 90
+
+/**
+ * Gehoert diese Frist in den hervorgehobenen Warnblock?
+ *
+ * Abgelaufenes immer - eine versaeumte Ausschlussfrist bleibt eine
+ * schlechte Nachricht, auch wenn sie lange zurueckliegt. Sonst nur, was
+ * innerhalb des Horizonts faellig wird.
+ */
+function warntJetzt(eintrag: { ausschlussfrist: boolean; tage: number }): boolean {
+  if (!eintrag.ausschlussfrist) return false
+  return eintrag.tage < 0 || eintrag.tage <= AUSSCHLUSSFRIST_HORIZONT_TAGE
+}
+
 /**
 * Datumsfelder ohne Uhrzeit (@db.Date) kommen als UTC-Mitternacht aus der
 * Datenbank. Wer sie unbesehen mit einem lokalen "heute" vergleicht,
@@ -126,7 +162,7 @@ export function fristenEinordnen(fristen: FristRoh[], heute: Date): FristenAmpel
    dieseWoche: eintraege.filter((e) => e.stufe === 'orange'),
    diesenMonat: eintraege.filter((e) => e.stufe === 'gelb'),
    weitereOffen: eintraege.filter((e) => e.stufe === 'gruen').length,
-    ausschlussfristen: eintraege.filter((e) => e.ausschlussfrist).slice(0, AUSSCHLUSSFRISTEN_MAX),
+    ausschlussfristen: eintraege.filter(warntJetzt).slice(0, AUSSCHLUSSFRISTEN_MAX),
    gesamtOffen: eintraege.length,
  }
 }
@@ -31,6 +31,18 @@ function zahl(name: string, standard: number): number {
  return n
 }

+/**
+ * Ein Ja/Nein-Schalter. Bewusst nur "true"/"1"/"ja" als Ja - alles andere,
+ * auch ein Tippfehler, gilt als Nein. Bei einem Sicherheitsschalter ist das
+ * die richtige Richtung: Wer sich verschreibt, bekommt die strengere
+ * Einstellung, nicht die laxere.
+ */
+function schalter(name: string, standard = false): boolean {
+  const wert = process.env[name]?.trim().toLowerCase()
+  if (wert === undefined || wert === '') return standard
+  return wert === 'true' || wert === '1' || wert === 'ja'
+}
+
 function schluessel32(name: string): Buffer {
  const roh = pflicht(name)
  const buf = Buffer.from(roh, 'base64')
@@ -151,6 +163,26 @@ export const env = {
      bucket: pflicht('S3_BUCKET'),
      accessKeyId: pflicht('S3_ACCESS_KEY_ID'),
      secretAccessKey: pflicht('S3_SECRET_ACCESS_KEY'),
+
+      /**
+       * Serverseitige Verschluesselung - nur, wenn ausdruecklich gewuenscht.
+       *
+       * Frueher stand im Treiber fest ServerSideEncryption: 'AES256'. Das
+       * mitgelieferte MinIO laeuft ohne KMS und lehnt das mit
+       * "NotImplemented" ab: Es liess sich kein einziges Dokument ablegen,
+       * und wer der INSTALLATION.md folgte, landete zwangslaeufig dort.
+       *
+       * Gebraucht wird sie ohnehin nicht mehr. Seit v1.11.0 verschluesselt
+       * die Anwendung jede Datei selbst, bevor sie den Server verlaesst
+       * (src/lib/speicher/umschlag.ts). Serverseitige Verschluesselung
+       * schuetzt vor nichts, was der eigene Umschlag nicht schon abdeckt -
+       * sie ist hoechstens eine zweite Lage fuer Anbieter, die sie
+       * anbieten.
+       *
+       * Leer bedeutet aus. Wer sie will, setzt S3_SSE=AES256 oder den Wert,
+       * den sein Anbieter erwartet.
+       */
+      serverseitigeVerschluesselung: process.env.S3_SSE?.trim() || null,
    }
  },

@@ -214,6 +246,65 @@ export const env = {
    }
  },

+  /**
+   * Darf der Host-Kopf der Anfrage die oeffentliche Adresse bestimmen?
+   *
+   * Standard: nur dann, wenn AUTH_URL nicht gesetzt ist. Ist die Adresse
+   * konfiguriert - der dokumentierte Betrieb setzt sie, Passkeys brauchen
+   * sie ohnehin -, gibt es keinen Grund, sie aus einer Kopfzeile von aussen
+   * abzuleiten. Vorher stand in auth.ts fest "true", und ein
+   * "X-Forwarded-Host: fremde.example" haette in erzeugte Adressen
+   * durchgeschlagen.
+   *
+   * AUTH_TRUST_HOST bleibt wirksam, damit die dokumentierte Einstellung
+   * nicht stillschweigend uebergangen wird.
+   */
+  get vertraueHost() {
+    return schalter('AUTH_TRUST_HOST', !process.env.AUTH_URL)
+  },
+
+  /**
+   * Geheimnis fuer die Ersteinrichtung.
+   *
+   * Zwischen dem ersten Start und dem Anlegen des Zugangs steht die Seite
+   * offen: Wer sie in diesem Fenster findet, legt sich selbst einen
+   * Administratorzugang an. Das Fenster ist kurz, aber es ist da - und bei
+   * einer Anwendung mit Gesundheits- und Finanzdaten ist "kurz" kein
+   * Argument.
+   *
+   * Ohne diesen Wert ist die Ersteinrichtung gesperrt. Das ist Absicht:
+   * Eine Installation, bei der das Feld vergessen wurde, soll nicht
+   * einrichtbar sein, sondern eine Meldung zeigen.
+   */
+  get ersteinrichtungGeheimnis() {
+    return process.env.ERSTEINRICHTUNG_GEHEIMNIS?.trim() ?? ''
+  },
+
+  /**
+   * Steht ein Reverse Proxy davor, dem die weitergereichten Koepfe zu
+   * glauben sind?
+   *
+   * Standard ist nein. Das ist die unbequeme, aber richtige Voreinstellung:
+   * Ohne Proxy ist "x-forwarded-for" frei erfunden, und eine Sperre, die
+   * darauf zaehlt, laesst sich mit einer Kopfzeile aushebeln. Wer einen
+   * Proxy davorstellt - der dokumentierte Betrieb tut das -, sagt es hier
+   * ausdruecklich. Siehe src/lib/auth/anschluss.ts.
+   */
+  get vertraueProxy() {
+    return schalter('VERTRAUE_PROXY', false)
+  },
+
+  /**
+   * Wie viele Zwischenknoten vertraut werden. Bei einem Proxy: 1.
+   *
+   * Die Zahl sagt, wie weit von hinten in der Kette der Aufrufer steht.
+   * Zu hoch gesetzt liest man wieder fremdbestimmte Eintraege, deshalb
+   * bleibt es bei eins, solange nichts anderes dasteht.
+   */
+  get vertraueProxyStufen() {
+    return Math.max(1, zahl('VERTRAUE_PROXY_STUFEN', 1))
+  },
+
  get istProduktion() {
    return process.env.NODE_ENV === 'production'
  },
@@ -122,6 +122,10 @@ export type Zahlungsgruppe = {
 const RECHTSFORMEN = [
  'gmbh & co kg',
  'gmbh und co kg',
+  // Die haeufigste Rechtsform in diesem Fachgebiet ueberhaupt: Heime,
+  // Sozialdienste und Traeger sind fast durchweg gGmbH. Fehlte sie,
+  // zerfiele die Zusammenfassung genau dort, wo sie gebraucht wird.
+  'ggmbh',
  'gmbh',
  'mbh',
  'ohg',
@@ -1,6 +1,6 @@
 import 'server-only'
 import { execFile } from 'node:child_process'
-import { mkdtemp, readdir, readFile, rm, writeFile } from 'node:fs/promises'
+import { mkdtemp, readdir, readFile, rm, stat, writeFile } from 'node:fs/promises'
 import { tmpdir } from 'node:os'
 import { join } from 'node:path'
 import { promisify } from 'node:util'
@@ -43,6 +43,26 @@ const MAX_SEITEN = 30
 /** Mehr als das braucht keine Volltextsuche - und die Spalte bleibt handhabbar. */
 const MAX_ZEICHEN = 400_000

+/**
+ * Laengste Kante einer gerenderten Seite in Pixeln.
+ *
+ * Vorher wurde mit festen 300 dpi gerendert. Bei einer normalen A4-Seite
+ * sind das rund 2480 x 3510 Pixel - unproblematisch. Die Seitengroesse
+ * steht aber im PDF und kann beliebig gross angegeben werden: Bei einer
+ * Seite von 200 x 200 Zoll ergeben 300 dpi ein Bild von 60000 x 60000
+ * Pixeln, also mehrere Gigabyte auf der Platte, und das je Seite. Ein
+ * Dokument, das jemand in die Akte legt, haette so den Server vollschreiben
+ * koennen.
+ *
+ * "-scale-to" haengt die Aufloesung an die Pixelzahl statt an die
+ * angegebene Papiergroesse. 3500 Pixel entsprechen bei A4 etwa 300 dpi -
+ * fuer den Regelfall bleibt also alles wie vorher.
+ */
+const MAX_KANTE_PIXEL = 3500
+
+/** Wie viel die gerenderten Seiten zusammen belegen duerfen. */
+const MAX_BILDER_BYTES = 512 * 1024 * 1024
+
 // -----------------------------------------------------------------------------
 // Verfuegbarkeit
 // -----------------------------------------------------------------------------
@@ -146,14 +166,39 @@ async function tesseractAufDatei(pfad: string): Promise<{ text: string; meldung?
 async function pdfInBilder(verzeichnis: string, pdfPfad: string): Promise<string[]> {
  await ausfuehren(
    'pdftoppm',
-    ['-r', '300', '-gray', '-png', '-l', String(MAX_SEITEN), pdfPfad, join(verzeichnis, 'seite')],
-    { timeout: ZEITGRENZE_JE_SEITE_MS * 4, windowsHide: true },
+    [
+      // Statt fester dpi: Die laengste Kante wird auf eine feste Pixelzahl
+      // gebracht. Siehe MAX_KANTE_PIXEL - eine im PDF angegebene Riesenseite
+      // ergibt sonst ein Riesenbild.
+      '-scale-to',
+      String(MAX_KANTE_PIXEL),
+      '-gray',
+      '-png',
+      '-l',
+      String(MAX_SEITEN),
+      pdfPfad,
+      join(verzeichnis, 'seite'),
+    ],
+    { timeout: ZEITGRENZE_JE_SEITE_MS * 4, maxBuffer: 1024 * 1024, windowsHide: true },
  )
-  const dateien = await readdir(verzeichnis)
-  return dateien
+
+  const dateien = (await readdir(verzeichnis))
    .filter((name) => name.startsWith('seite') && name.endsWith('.png'))
    .sort()
    .map((name) => join(verzeichnis, name))
+
+  // Zweiter Deckel, hinterher: Was pdftoppm trotz -scale-to abgelegt hat,
+  // wird nur bis zu einer Gesamtgroesse weiterverarbeitet. Der Rest bleibt
+  // liegen und wird mit dem Arbeitsverzeichnis geloescht.
+  const genommen: string[] = []
+  let gesamt = 0
+  for (const pfad of dateien) {
+    const { size } = await stat(pfad)
+    if (gesamt + size > MAX_BILDER_BYTES) break
+    gesamt += size
+    genommen.push(pfad)
+  }
+  return genommen
 }

 /**
@@ -15,8 +15,33 @@ import { inflateSync, inflateRawSync, unzipSync } from 'node:zlib'
 * "nicht_verfuegbar", und der Nutzer traegt die Metadaten von Hand ein.
 *
 * Rein, ohne Seiteneffekte, ohne Netz.
+ *
+ * ## Grenzen, und warum es sie braucht
+ *
+ * Ein Flate-Strom sagt nicht, wie gross er ausgepackt wird. Ein paar
+ * Kilobyte Nullen komprimieren auf fast nichts und blaehen sich beim
+ * Auspacken auf Gigabyte auf - die klassische Dekompressionsbombe. Vorher
+ * lief das Auspacken ohne Obergrenze, und ein Dokument, das jemand in die
+ * Akte legt, haette den Server damit aus dem Speicher werfen koennen.
+ *
+ * Deshalb drei Deckel: einer je Strom, einer fuer die Summe, und die
+ * bestehende Obergrenze von 2000 Stroemen. Wird einer erreicht, bricht das
+ * Auspacken ab und der Text ist eben unvollstaendig - besser ein
+ * "nicht_verfuegbar" als ein Serverneustart.
 */

+/**
+ * Wie gross ein einzelner ausgepackter Strom werden darf.
+ *
+ * Acht Megabyte sind fuer eine Seite Text absurd viel - ein
+ * Behoerdenbescheid liegt bei einigen Kilobyte. Die Grenze ist bewusst
+ * grosszuegig: Sie soll Bomben abfangen, nicht ungewoehnliche PDFs.
+ */
+const MAX_STROM_BYTES = 8 * 1024 * 1024
+
+/** Und wie viel es ueber alle Stroeme zusammen sein darf. */
+const MAX_GESAMT_BYTES = 64 * 1024 * 1024
+
 /** Oktal-Escapes und Standard-Escapes in PDF-Literalstrings. */
 function literalEntpacken(roh: string): string {
  let ergebnis = ''
@@ -108,8 +133,9 @@ function stroemeAuspacken(pdf: Buffer): string[] {
  const roh = pdf.toString('latin1')
  const stroeme: string[] = []
  let suchAb = 0
+  let gesamt = 0

-  while (stroeme.length < 2000) {
+  while (stroeme.length < 2000 && gesamt < MAX_GESAMT_BYTES) {
    const beginn = roh.indexOf('stream', suchAb)
    if (beginn < 0) break

@@ -131,28 +157,50 @@ function stroemeAuspacken(pdf: Buffer): string[] {
    }

    if (/\/Filter\s*(\/FlateDecode|\[\s*\/FlateDecode)/.test(kopf)) {
-      const entpackt = flateVersuchen(daten)
-      if (entpackt) stroeme.push(entpackt.toString('latin1'))
+      const entpackt = flateVersuchen(daten, MAX_GESAMT_BYTES - gesamt)
+      if (entpackt) {
+        gesamt += entpackt.length
+        stroeme.push(entpackt.toString('latin1'))
+      }
      continue
    }

    if (!/\/Filter/.test(kopf)) {
+      // Unkomprimiert: Hier gibt es nichts, was sich aufblaehen koennte -
+      // die Bytes stehen so in der Datei. Sie zaehlen trotzdem mit, damit
+      // die Summe stimmt.
+      gesamt += daten.length
      stroeme.push(daten.toString('latin1'))
      continue
    }

    // Unbekannter Filter: trotzdem einen Flate-Versuch wagen.
-    const entpackt = flateVersuchen(daten)
-    if (entpackt) stroeme.push(entpackt.toString('latin1'))
+    const entpackt = flateVersuchen(daten, MAX_GESAMT_BYTES - gesamt)
+    if (entpackt) {
+      gesamt += entpackt.length
+      stroeme.push(entpackt.toString('latin1'))
+    }
  }

  return stroeme
 }

-function flateVersuchen(daten: Buffer): Buffer | null {
+/**
+ * Packt einen Strom aus - mit Deckel.
+ *
+ * maxOutputLength laesst zlib abbrechen, sobald die Ausgabe die Grenze
+ * ueberschreitet; der Fehler landet im catch wie jeder andere. Ohne diese
+ * Angabe entpackt Node so lange, wie Speicher da ist.
+ *
+ * @param rest Wie viele Bytes ueber alle Stroeme noch uebrig sind.
+ */
+function flateVersuchen(daten: Buffer, rest: number): Buffer | null {
+  const grenze = Math.min(MAX_STROM_BYTES, rest)
+  if (grenze <= 0) return null
+
  for (const fn of [inflateSync, unzipSync, inflateRawSync]) {
    try {
-      return fn(daten)
+      return fn(daten, { maxOutputLength: grenze })
    } catch {
      // naechster Versuch
    }
@@ -1,214 +1,214 @@
-import 'server-only'
-import type * as React from 'react'
-import { renderToBuffer } from '@react-pdf/renderer'
-import { PDFDocument, StandardFonts, degrees, rgb } from 'pdf-lib'
-import { typErkennen } from '@/lib/speicher/dateityp'
-import { standardschriftenSicherstellen } from '@/lib/pdf/standardschrift'
-
-/**
- * PDF-Werkzeuge, auf die alle Ausgabemodule aufsetzen.
- *
- * Vertrag: docs/SCHNITTSTELLEN.md, Abschnitt 2.
- *
- * Zwei Wege fuehren hier zusammen:
- *   - pdfErzeugen()        rendert ein react-pdf-Dokument (eigene Berichte)
- *   - pdfsZusammenfuehren() klebt fremde PDFs und Fotos aneinander
- *                          (Belegmappe, Unterlagenpaket fuer das Gericht)
- * und paginieren() legt am Ende eine durchgehende Zaehlung darueber - das
- * ist die Zahl, auf die sich ein Inhaltsverzeichnis berufen kann.
- */
-
-/** A4 in PDF-Punkten (72 dpi). */
-export const A4_BREITE = 595.28
-export const A4_HOEHE = 841.89
-const RAND = 36
-
-/** Rendert ein react-pdf-Dokument zu einem Buffer. */
-export async function pdfErzeugen(dokument: React.ReactElement): Promise<Buffer> {
-  // Muss vor dem ersten Rendern laufen: repariert bei Bedarf die
-  // Aufloesung der eingebauten Standardschriften. Idempotent und ab dem
-  // zweiten Aufruf kostenlos - siehe src/lib/pdf/standardschrift.ts.
-  standardschriftenSicherstellen()
-
-  // renderToBuffer erwartet ein <Document>-Element; die Typen von
-  // @react-pdf/renderer sind hier enger als React.ReactElement.
-  const roh = await renderToBuffer(dokument as Parameters<typeof renderToBuffer>[0])
-  return Buffer.from(roh)
-}
-
-/**
- * Wandelt ein Bild in ein einseitiges PDF.
- *
- * JPEG und PNG kann pdf-lib direkt einbetten. WEBP, TIFF und HEIC (die
- * Formate moderner Handykameras) gehen vorher durch sharp - sonst waere
- * jedes iPhone-Foto eines Bescheids fuer die Belegmappe verloren.
- */
-export async function bildAlsPdf(inhalt: Buffer, beschriftung?: string): Promise<Buffer> {
-  const typ = typErkennen(inhalt)
-  if (!typ || !typ.istBild) {
-    throw new Error('Diese Datei ist kein Bild, das sich in ein PDF wandeln ließe.')
-  }
-
-  let daten = inhalt
-  let format: 'jpg' | 'png' = typ.endung === 'jpg' ? 'jpg' : 'png'
-
-  if (typ.endung !== 'jpg' && typ.endung !== 'png') {
-    const sharp = (await import('sharp')).default
-    daten = await sharp(inhalt).rotate().png().toBuffer()
-    format = 'png'
-  }
-
-  const pdf = await PDFDocument.create()
-  const bild = format === 'jpg' ? await pdf.embedJpg(daten) : await pdf.embedPng(daten)
-
-  const beschriftungshoehe = beschriftung ? 16 : 0
-  const nutzbareBreite = A4_BREITE - 2 * RAND
-  const nutzbareHoehe = A4_HOEHE - 2 * RAND - beschriftungshoehe
-
-  // Hochkant lassen, aber quer drehen, wenn das Blatt sonst winzig wuerde.
-  const querformat = bild.width > bild.height
-  const seitenBreite = querformat ? A4_HOEHE : A4_BREITE
-  const seitenHoehe = querformat ? A4_BREITE : A4_HOEHE
-  const platzBreite = querformat ? nutzbareHoehe : nutzbareBreite
-  const platzHoehe = querformat ? nutzbareBreite : nutzbareHoehe
-
-  const massstab = Math.min(platzBreite / bild.width, platzHoehe / bild.height, 1)
-  const breite = bild.width * massstab
-  const hoehe = bild.height * massstab
-
-  const seite = pdf.addPage([seitenBreite, seitenHoehe])
-  seite.drawImage(bild, {
-    x: (seitenBreite - breite) / 2,
-    y: (seitenHoehe - hoehe) / 2 + beschriftungshoehe / 2,
-    width: breite,
-    height: hoehe,
-  })
-
-  if (beschriftung) {
-    const schrift = await pdf.embedFont(StandardFonts.Helvetica)
-    seite.drawText(kuerzenFuerSchrift(beschriftung, 110), {
-      x: RAND,
-      y: RAND / 2,
-      size: 8,
-      font: schrift,
-      color: rgb(0.3, 0.3, 0.3),
-    })
-  }
-
-  return Buffer.from(await pdf.save())
-}
-
-/**
- * Fuegt mehrere PDFs zu einem zusammen (Belegmappe, Unterlagenpaket).
- * Bilder werden vorher in einseitige PDFs gewandelt. Nutzt pdf-lib.
- */
-export async function pdfsZusammenfuehren(teile: Buffer[]): Promise<Buffer> {
-  const ziel = await PDFDocument.create()
-  ziel.setProducer('Betreuungs-Cockpit')
-  ziel.setCreator('Betreuungs-Cockpit')
-
-  for (const teil of teile) {
-    const typ = typErkennen(teil)
-    const alsPdf = typ && typ.istBild ? await bildAlsPdf(teil) : teil
-
-    const quelle = await PDFDocument.load(alsPdf, { ignoreEncryption: true })
-    const seiten = await ziel.copyPages(quelle, quelle.getPageIndices())
-    for (const seite of seiten) ziel.addPage(seite)
-  }
-
-  if (ziel.getPageCount() === 0) {
-    // Ein leeres PDF laesst sich weder oeffnen noch abheften.
-    ziel.addPage([A4_BREITE, A4_HOEHE])
-  }
-
-  return Buffer.from(await ziel.save())
-}
-
-/**
- * Wie viele Seiten hat dieses PDF? Wird fuer das Inhaltsverzeichnis der
- * Belegmappe gebraucht, bevor zusammengefuehrt wird.
- */
-export async function seitenzahl(pdf: Buffer): Promise<number> {
-  const dokument = await PDFDocument.load(pdf, { ignoreEncryption: true })
-  return dokument.getPageCount()
-}
-
-/**
- * Seitenzahlen und Fusszeile ueber ein zusammengefuehrtes PDF legen.
- *
- * Wichtig fuer die Belegmappe: erst nach dem Zusammenfuehren steht fest,
- * auf welcher Seite ein Beleg liegt. Die Zaehlung hier ist die, auf die
- * sich das Inhaltsverzeichnis und spaeter das Gericht beziehen.
- */
-export async function paginieren(pdf: Buffer, fusszeile: string): Promise<Buffer> {
-  const dokument = await PDFDocument.load(pdf, { ignoreEncryption: true })
-  const schrift = await dokument.embedFont(StandardFonts.Helvetica)
-  const seiten = dokument.getPages()
-  const gesamt = seiten.length
-
-  seiten.forEach((seite, i) => {
-    const { width, height } = seite.getSize()
-    const drehung = seite.getRotation().angle % 360
-    const zaehlung = `Seite ${i + 1} von ${gesamt}`
-    const text = kuerzenFuerSchrift(fusszeile, 120)
-    const groesse = 7.5
-
-    // Gedrehte Seiten (Querformat-Scans) brauchen die Fusszeile ebenfalls
-    // gedreht, sonst steht sie quer im Blatt.
-    if (drehung === 90 || drehung === 270) {
-      seite.drawText(`${text} · ${zaehlung}`, {
-        x: drehung === 90 ? 18 : width - 18,
-        y: drehung === 90 ? 20 : height - 20,
-        size: groesse,
-        font: schrift,
-        color: rgb(0.35, 0.35, 0.35),
-        rotate: degrees(drehung),
-      })
-      return
-    }
-
-    seite.drawText(text, {
-      x: 36,
-      y: 18,
-      size: groesse,
-      font: schrift,
-      color: rgb(0.35, 0.35, 0.35),
-    })
-    const breite = schrift.widthOfTextAtSize(zaehlung, groesse)
-    seite.drawText(zaehlung, {
-      x: width - 36 - breite,
-      y: 18,
-      size: groesse,
-      font: schrift,
-      color: rgb(0.35, 0.35, 0.35),
-    })
-  })
-
-  return Buffer.from(await dokument.save())
-}
-
-/**
- * Helvetica in pdf-lib kann nur WinAnsi. Zeichen ausserhalb davon (etwa
- * ein Gedankenstrich aus einem OCR-Text) wuerden das Speichern abbrechen -
- * deshalb hier ersetzen statt riskieren.
- */
-export { standardschriftenSicherstellen } from '@/lib/pdf/standardschrift'
-
-export function fuerStandardschrift(text: string): string {
-  return text
-    .replace(/[\u2013\u2014]/g, '-')
-    .replace(/[\u2018\u2019\u201a]/g, "'")
-    .replace(/[\u201c\u201d\u201e]/g, '"')
-    .replace(/\u2026/g, '...')
-    .replace(/\u20ac/g, 'EUR')
-    .replace(/[\u00a0\u2007\u202f]/g, ' ')
-    // Alles ausserhalb von WinAnsi (Latin-1) wird ersetzt, statt das
-    // Speichern des PDFs scheitern zu lassen.
-    // eslint-disable-next-line no-control-regex
-    .replace(/[^\u0020-\u007e\u00a1-\u00ff]/g, '?')
-}
-
-function kuerzenFuerSchrift(text: string, maxZeichen: number): string {
-  const sauber = fuerStandardschrift(text)
-  return sauber.length > maxZeichen ? `${sauber.slice(0, maxZeichen - 1)}...` : sauber
-}
+import 'server-only'
+import type * as React from 'react'
+import { renderToBuffer } from '@react-pdf/renderer'
+import { PDFDocument, StandardFonts, degrees, rgb } from 'pdf-lib'
+import { typErkennen } from '@/lib/speicher/dateityp'
+import { standardschriftenSicherstellen } from '@/lib/pdf/standardschrift'
+
+/**
+ * PDF-Werkzeuge, auf die alle Ausgabemodule aufsetzen.
+ *
+ * Vertrag: docs/SCHNITTSTELLEN.md, Abschnitt 2.
+ *
+ * Zwei Wege fuehren hier zusammen:
+ *   - pdfErzeugen()        rendert ein react-pdf-Dokument (eigene Berichte)
+ *   - pdfsZusammenfuehren() klebt fremde PDFs und Fotos aneinander
+ *                          (Belegmappe, Unterlagenpaket fuer das Gericht)
+ * und paginieren() legt am Ende eine durchgehende Zaehlung darueber - das
+ * ist die Zahl, auf die sich ein Inhaltsverzeichnis berufen kann.
+ */
+
+/** A4 in PDF-Punkten (72 dpi). */
+export const A4_BREITE = 595.28
+export const A4_HOEHE = 841.89
+const RAND = 36
+
+/** Rendert ein react-pdf-Dokument zu einem Buffer. */
+export async function pdfErzeugen(dokument: React.ReactElement): Promise<Buffer> {
+  // Muss vor dem ersten Rendern laufen: repariert bei Bedarf die
+  // Aufloesung der eingebauten Standardschriften. Idempotent und ab dem
+  // zweiten Aufruf kostenlos - siehe src/lib/pdf/standardschrift.ts.
+  standardschriftenSicherstellen()
+
+  // renderToBuffer erwartet ein <Document>-Element; die Typen von
+  // @react-pdf/renderer sind hier enger als React.ReactElement.
+  const roh = await renderToBuffer(dokument as Parameters<typeof renderToBuffer>[0])
+  return Buffer.from(roh)
+}
+
+/**
+ * Wandelt ein Bild in ein einseitiges PDF.
+ *
+ * JPEG und PNG kann pdf-lib direkt einbetten. WEBP, TIFF und HEIC (die
+ * Formate moderner Handykameras) gehen vorher durch sharp - sonst waere
+ * jedes iPhone-Foto eines Bescheids fuer die Belegmappe verloren.
+ */
+export async function bildAlsPdf(inhalt: Buffer, beschriftung?: string): Promise<Buffer> {
+  const typ = typErkennen(inhalt)
+  if (!typ || !typ.istBild) {
+    throw new Error('Diese Datei ist kein Bild, das sich in ein PDF wandeln ließe.')
+  }
+
+  let daten = inhalt
+  let format: 'jpg' | 'png' = typ.endung === 'jpg' ? 'jpg' : 'png'
+
+  if (typ.endung !== 'jpg' && typ.endung !== 'png') {
+    const sharp = (await import('sharp')).default
+    daten = await sharp(inhalt).rotate().png().toBuffer()
+    format = 'png'
+  }
+
+  const pdf = await PDFDocument.create()
+  const bild = format === 'jpg' ? await pdf.embedJpg(daten) : await pdf.embedPng(daten)
+
+  const beschriftungshoehe = beschriftung ? 16 : 0
+  const nutzbareBreite = A4_BREITE - 2 * RAND
+  const nutzbareHoehe = A4_HOEHE - 2 * RAND - beschriftungshoehe
+
+  // Hochkant lassen, aber quer drehen, wenn das Blatt sonst winzig wuerde.
+  const querformat = bild.width > bild.height
+  const seitenBreite = querformat ? A4_HOEHE : A4_BREITE
+  const seitenHoehe = querformat ? A4_BREITE : A4_HOEHE
+  const platzBreite = querformat ? nutzbareHoehe : nutzbareBreite
+  const platzHoehe = querformat ? nutzbareBreite : nutzbareHoehe
+
+  const massstab = Math.min(platzBreite / bild.width, platzHoehe / bild.height, 1)
+  const breite = bild.width * massstab
+  const hoehe = bild.height * massstab
+
+  const seite = pdf.addPage([seitenBreite, seitenHoehe])
+  seite.drawImage(bild, {
+    x: (seitenBreite - breite) / 2,
+    y: (seitenHoehe - hoehe) / 2 + beschriftungshoehe / 2,
+    width: breite,
+    height: hoehe,
+  })
+
+  if (beschriftung) {
+    const schrift = await pdf.embedFont(StandardFonts.Helvetica)
+    seite.drawText(kuerzenFuerSchrift(beschriftung, 110), {
+      x: RAND,
+      y: RAND / 2,
+      size: 8,
+      font: schrift,
+      color: rgb(0.3, 0.3, 0.3),
+    })
+  }
+
+  return Buffer.from(await pdf.save())
+}
+
+/**
+ * Fuegt mehrere PDFs zu einem zusammen (Belegmappe, Unterlagenpaket).
+ * Bilder werden vorher in einseitige PDFs gewandelt. Nutzt pdf-lib.
+ */
+export async function pdfsZusammenfuehren(teile: Buffer[]): Promise<Buffer> {
+  const ziel = await PDFDocument.create()
+  ziel.setProducer('Betreuungs-Cockpit')
+  ziel.setCreator('Betreuungs-Cockpit')
+
+  for (const teil of teile) {
+    const typ = typErkennen(teil)
+    const alsPdf = typ && typ.istBild ? await bildAlsPdf(teil) : teil
+
+    const quelle = await PDFDocument.load(alsPdf, { ignoreEncryption: true })
+    const seiten = await ziel.copyPages(quelle, quelle.getPageIndices())
+    for (const seite of seiten) ziel.addPage(seite)
+  }
+
+  if (ziel.getPageCount() === 0) {
+    // Ein leeres PDF laesst sich weder oeffnen noch abheften.
+    ziel.addPage([A4_BREITE, A4_HOEHE])
+  }
+
+  return Buffer.from(await ziel.save())
+}
+
+/**
+ * Wie viele Seiten hat dieses PDF? Wird fuer das Inhaltsverzeichnis der
+ * Belegmappe gebraucht, bevor zusammengefuehrt wird.
+ */
+export async function seitenzahl(pdf: Buffer): Promise<number> {
+  const dokument = await PDFDocument.load(pdf, { ignoreEncryption: true })
+  return dokument.getPageCount()
+}
+
+/**
+ * Seitenzahlen und Fusszeile ueber ein zusammengefuehrtes PDF legen.
+ *
+ * Wichtig fuer die Belegmappe: erst nach dem Zusammenfuehren steht fest,
+ * auf welcher Seite ein Beleg liegt. Die Zaehlung hier ist die, auf die
+ * sich das Inhaltsverzeichnis und spaeter das Gericht beziehen.
+ */
+export async function paginieren(pdf: Buffer, fusszeile: string): Promise<Buffer> {
+  const dokument = await PDFDocument.load(pdf, { ignoreEncryption: true })
+  const schrift = await dokument.embedFont(StandardFonts.Helvetica)
+  const seiten = dokument.getPages()
+  const gesamt = seiten.length
+
+  seiten.forEach((seite, i) => {
+    const { width, height } = seite.getSize()
+    const drehung = seite.getRotation().angle % 360
+    const zaehlung = `Seite ${i + 1} von ${gesamt}`
+    const text = kuerzenFuerSchrift(fusszeile, 120)
+    const groesse = 7.5
+
+    // Gedrehte Seiten (Querformat-Scans) brauchen die Fusszeile ebenfalls
+    // gedreht, sonst steht sie quer im Blatt.
+    if (drehung === 90 || drehung === 270) {
+      seite.drawText(`${text} · ${zaehlung}`, {
+        x: drehung === 90 ? 18 : width - 18,
+        y: drehung === 90 ? 20 : height - 20,
+        size: groesse,
+        font: schrift,
+        color: rgb(0.35, 0.35, 0.35),
+        rotate: degrees(drehung),
+      })
+      return
+    }
+
+    seite.drawText(text, {
+      x: 36,
+      y: 18,
+      size: groesse,
+      font: schrift,
+      color: rgb(0.35, 0.35, 0.35),
+    })
+    const breite = schrift.widthOfTextAtSize(zaehlung, groesse)
+    seite.drawText(zaehlung, {
+      x: width - 36 - breite,
+      y: 18,
+      size: groesse,
+      font: schrift,
+      color: rgb(0.35, 0.35, 0.35),
+    })
+  })
+
+  return Buffer.from(await dokument.save())
+}
+
+/**
+ * Helvetica in pdf-lib kann nur WinAnsi. Zeichen ausserhalb davon (etwa
+ * ein Gedankenstrich aus einem OCR-Text) wuerden das Speichern abbrechen -
+ * deshalb hier ersetzen statt riskieren.
+ */
+export { standardschriftenSicherstellen } from '@/lib/pdf/standardschrift'
+
+export function fuerStandardschrift(text: string): string {
+  return text
+    .replace(/[\u2013\u2014]/g, '-')
+    .replace(/[\u2018\u2019\u201a]/g, "'")
+    .replace(/[\u201c\u201d\u201e]/g, '"')
+    .replace(/\u2026/g, '...')
+    .replace(/\u20ac/g, 'EUR')
+    .replace(/[\u00a0\u2007\u202f]/g, ' ')
+    // Alles ausserhalb von WinAnsi (Latin-1) wird ersetzt, statt das
+    // Speichern des PDFs scheitern zu lassen.
+    // eslint-disable-next-line no-control-regex
+    .replace(/[^\u0020-\u007e\u00a1-\u00ff]/g, '?')
+}
+
+function kuerzenFuerSchrift(text: string, maxZeichen: number): string {
+  const sauber = fuerStandardschrift(text)
+  return sauber.length > maxZeichen ? `${sauber.slice(0, maxZeichen - 1)}...` : sauber
+}
@@ -1,237 +1,237 @@
-/**
- * Beträge, Staffeln und Grenzwerte des Sozialhilfeverfahrens.
- *
- * ACHTUNG - EINZIGE STELLE.
- * Alles, was sich jährlich (oder mit dem nächsten Gesetzespaket) ändert,
- * steht hier und nirgendwo sonst. Jede Konstante trägt ihr Stand-Datum und
- * die Fundstelle. Wer einen Wert im Fachcode findet, hat einen Fehler
- * gefunden.
- *
- * Und der wichtigste Satz vorweg: Diese Zahlen sind Arbeitsgrundlage für
- * die eigene Vorbereitung, nicht die Rechtslage. Maßgeblich ist immer der
- * Bescheid des Trägers. Vor jedem Antrag und zu jedem Jahreswechsel
- * gehören die Werte hier nachgeprüft.
- */
-
-/** Wann wurden die Werte in dieser Datei zuletzt geprüft? */
-export const KONSTANTEN_STAND = '2025-01-01'
-
-/**
- * Nächster Termin, zu dem die Werte hier durchzusehen sind. Die Oberfläche
- * blendet ab diesem Datum einen Prüfhinweis ein.
- */
-export const KONSTANTEN_NAECHSTE_PRUEFUNG = '2027-01-01'
-
-// -----------------------------------------------------------------------------
-// Regelbedarf - Bezugsgröße für Barbetrag und Zuzahlungsbefreiung
-// -----------------------------------------------------------------------------
-
-/**
- * Regelbedarfsstufe 1 nach der Regelbedarfsstufen-Fortschreibungsverordnung.
- * Stand 01.01.2025: 563,00 EUR monatlich (unverändert gegenüber 2024, die
- * Fortschreibung ergab rechnerisch keine Erhöhung).
- *
- * Aus diesem Wert leiten sich unten der Barbetrag und die Belastungsgrenze
- * der Zuzahlungsbefreiung ab - deshalb steht er hier oben und wird nicht
- * doppelt gepflegt.
- */
-export const REGELBEDARFSSTUFE_1_CENT = 56_300n
-
-/**
- * Barbetrag zur persönlichen Verfügung ("Taschengeld") für Menschen in
- * Einrichtungen, § 27b Abs. 2 SGB XII: mindestens 27 % der
- * Regelbedarfsstufe 1.
- *
- * 27 % von 563,00 EUR = 152,01 EUR monatlich (Stand 01.01.2025).
- *
- * "Mindestens": Der Träger darf mehr festsetzen, und einzelne Bezirke tun
- * das auch. Steht im Bescheid ein höherer Betrag, gilt der Bescheid.
- */
-export const BARBETRAG_ANTEIL_PROZENT = 27
-export const BARBETRAG_CENT = (REGELBEDARFSSTUFE_1_CENT * BigInt(BARBETRAG_ANTEIL_PROZENT)) / 100n
-
-/**
- * Bekleidungspauschale.
- *
- * Bewusst ohne Zahl. Es gibt keinen bundeseinheitlichen Betrag - die
- * Bekleidungsbeihilfe nach § 27b Abs. 1 SGB XII setzt der jeweilige Träger
- * fest, der Bezirk Oberfranken zahlt sie üblicherweise als Pauschale je
- * Quartal oder Jahr. Der Betrag ist dem Bewilligungsbescheid zu entnehmen
- * und im Heimkostenmonat einzutragen. Eine erfundene Zahl wäre hier
- * schädlicher als gar keine.
- */
-export const BEKLEIDUNGSPAUSCHALE_CENT: bigint | null = null
-export const BEKLEIDUNGSPAUSCHALE_HINWEIS =
-  'Die Höhe der Bekleidungspauschale legt der Träger fest (§ 27b Abs. 1 SGB XII). ' +
-  'Übernimm den Betrag aus dem Bewilligungsbescheid, er ist regional unterschiedlich.'
-
-// -----------------------------------------------------------------------------
-// Leistungen der Pflegekasse, § 43 SGB XI
-// -----------------------------------------------------------------------------
-
-export type Pflegegrad = 1 | 2 | 3 | 4 | 5
-
-/**
- * Monatliche Pauschalen der Pflegekasse bei vollstationärer Pflege,
- * § 43 Abs. 2 SGB XI. Stand 01.01.2025 (Erhöhung um 4,5 % durch das
- * Pflegeunterstützungs- und -entlastungsgesetz).
- *
- * Pflegegrad 1 ist der Sonderfall: § 43 Abs. 2 SGB XI greift dort nicht.
- * Wer mit Pflegegrad 1 vollstationär gepflegt wird, erhält nach
- * § 43 Abs. 3 SGB XI einen Zuschuss von 125 EUR monatlich - deshalb steht
- * er hier mit ebendiesem Betrag, aber unter eigener Rechtsgrundlage.
- *
- * Die nächste turnusmäßige Anpassung nach § 30 SGB XI ist gesetzlich für
- * 2028 vorgesehen. Trotzdem: zum Jahreswechsel nachsehen.
- */
-export const PFLEGEKASSE_VOLLSTATIONAER_CENT: Record<Pflegegrad, bigint> = {
-  1: 12_500n, // § 43 Abs. 3 SGB XI - Zuschuss, keine Pauschale
-  2: 80_500n,
-  3: 131_900n,
-  4: 185_500n,
-  5: 209_600n,
-}
-
-export const PFLEGEKASSE_RECHTSGRUNDLAGE: Record<Pflegegrad, string> = {
-  1: '§ 43 Abs. 3 SGB XI',
-  2: '§ 43 Abs. 2 SGB XI',
-  3: '§ 43 Abs. 2 SGB XI',
-  4: '§ 43 Abs. 2 SGB XI',
-  5: '§ 43 Abs. 2 SGB XI',
-}
-
-// -----------------------------------------------------------------------------
-// Leistungszuschlag, § 43c SGB XI
-// -----------------------------------------------------------------------------
-//
-// STEHT NICHT HIER. Die Staffel (15 / 30 / 50 / 75 Prozent nach
-// Verweildauer, Stand 01.01.2024) gehoert dem Pflegemodul und liegt in
-// src/lib/pflege/konstanten.ts. Dieses Modul benutzt sie ueber
-// src/lib/sozialhilfe/heimkosten.ts, kopiert sie aber nicht - zwei Kopien
-// derselben Prozentsaetze werden bei der naechsten Gesetzesaenderung
-// zuverlaessig nur an einer Stelle nachgezogen.
-//
-// Merksatz zur Anwendung: Der Zuschlag mindert ausschliesslich den
-// pflegebedingten Eigenanteil (EEE) - nicht Unterkunft und Verpflegung,
-// nicht die Investitionskosten, nicht die Ausbildungsumlage. Wer ihn auf
-// die ganze Heimrechnung anwendet, rechnet die Deckungsluecke zu klein.
-
-// -----------------------------------------------------------------------------
-// Abwesenheit (Krankenhaus, Reha, Urlaub)
-// -----------------------------------------------------------------------------
-
-/**
- * Abwesenheitstage mindern die Heimrechnung nicht ab dem ersten Tag.
- *
- * Die Rahmenverträge nach § 75 SGB XI regeln das landesweit: Die ersten
- * drei Abwesenheitstage sind voll zu zahlen, erst ab dem vierten
- * zusammenhängenden Tag wird das Entgelt gemindert - in Bayern
- * üblicherweise um 25 % von Pflegesatz sowie Unterkunft und Verpflegung.
- * Die Investitionskosten laufen weiter, der Platz wird ja freigehalten
- * (§ 87a Abs. 1 SGB XI, Platzfreihaltung bis 42 Tage im Kalenderjahr).
- *
- * Weil die Prozentsätze im Rahmenvertrag und im Heimvertrag stehen und
- * nicht im Gesetz, rechnet die Anwendung damit nur eine *Schätzung*. Was
- * gilt, steht in der Heimrechnung.
- */
-export const ABWESENHEIT_KARENZTAGE = 3
-export const ABWESENHEIT_MINDERUNG_PROZENT = 25
-export const ABWESENHEIT_PLATZFREIHALTUNG_TAGE = 42
-
-// -----------------------------------------------------------------------------
-// Vermögen, § 90 SGB XII
-// -----------------------------------------------------------------------------
-
-/**
- * Vermögensfreibetrag ("kleinere Barbeträge"), § 90 Abs. 2 Nr. 9 SGB XII
- * i.V.m. § 1 Abs. 1 Nr. 1 lit. b der Verordnung zur Durchführung des
- * § 90 Abs. 2 Nr. 9 SGB XII: 10.000 EUR.
- *
- * Stand 01.01.2023 (bis dahin 5.000 EUR). Für jede Person, die von der
- * leistungsberechtigten Person überwiegend unterhalten wird, kommen
- * weitere 500 EUR hinzu (§ 1 Abs. 2 der Verordnung).
- */
-export const VERMOEGENSFREIBETRAG_CENT = 1_000_000n
-export const VERMOEGENSFREIBETRAG_JE_UNTERHALTENE_PERSON_CENT = 50_000n
-export const VERMOEGENSFREIBETRAG_STAND = '2023-01-01'
-
-/**
- * Rückforderung einer Schenkung wegen Verarmung, § 528 BGB.
- * Der Anspruch ist ausgeschlossen, wenn zum Zeitpunkt des Eintritts der
- * Bedürftigkeit seit der Leistung des geschenkten Gegenstands zehn Jahre
- * verstrichen sind (§ 529 Abs. 1 BGB). Deshalb fragt der Träger nach
- * notariellen Übertragungen der letzten zehn Jahre.
- */
-export const SCHENKUNG_RUECKFORDERUNG_JAHRE = 10
-
-// -----------------------------------------------------------------------------
-// Rechtsbehelf
-// -----------------------------------------------------------------------------
-
-/** Regelfall: ein Monat ab Bekanntgabe, § 84 Abs. 1 Satz 1 SGG. */
-export const WIDERSPRUCHSFRIST_MONATE_REGEL = 1
-
-/**
- * Fehlt die Rechtsbehelfsbelehrung oder ist sie unrichtig erteilt, beträgt
- * die Frist ein Jahr seit Bekanntgabe (§ 66 Abs. 2 Satz 1 SGG).
- * Das wird ausdrücklich ausgewählt und nie automatisch angenommen.
- */
-export const WIDERSPRUCHSFRIST_MONATE_OHNE_BELEHRUNG = 12
-
-/**
- * Zugangsvermutung bei Übermittlung durch die Post im Inland:
- * bekanntgegeben am dritten Tag nach der Aufgabe zur Post
- * (§ 37 Abs. 2 Satz 1 SGB X).
- */
-export const ZUGANGSVERMUTUNG_TAGE = 3
-
-/** Vorwarnstufen für die Frist "Widerspruch möglich bis" (Tage vorher). */
-export const WIDERSPRUCH_VORWARNUNG_TAGE = [21, 14, 7, 3, 1]
-
-/** Vorwarnstufen für eine vom Träger gesetzte Nachforderungsfrist. */
-export const NACHFORDERUNG_VORWARNUNG_TAGE = [14, 7, 3, 1]
-
-// -----------------------------------------------------------------------------
-// Weitere Leistungen
-// -----------------------------------------------------------------------------
-
-/**
- * Bayerisches Landespflegegeld: 1.000 EUR im Jahr, ab Pflegegrad 2,
- * Antrag bis 31.12. des jeweiligen Jahres (Bayerisches
- * Landespflegegeldgesetz - BayLPflGG).
- *
- * Der Betrag steht im Haushalt des Freistaats und wurde politisch schon
- * mehrfach in Frage gestellt. Vor der Antragstellung die aktuelle Höhe
- * beim Landesamt für Pflege prüfen.
- */
-export const LANDESPFLEGEGELD_CENT = 100_000n
-export const LANDESPFLEGEGELD_AB_PFLEGEGRAD = 2
-export const LANDESPFLEGEGELD_ANTRAGSSCHLUSS = '31.12.'
-
-/**
- * Zuzahlungsbefreiung, § 62 SGB V: Die Belastungsgrenze liegt bei 2 % der
- * jährlichen Bruttoeinnahmen zum Lebensunterhalt, bei schwerwiegend
- * chronisch Kranken bei 1 %.
- *
- * Für Menschen, die Leistungen nach dem SGB XII in einer Einrichtung
- * erhalten, ist als Bruttoeinnahme der Regelbedarf der Regelbedarfsstufe 1
- * anzusetzen (§ 62 Abs. 2 Satz 5 und 6 SGB V) - nicht die tatsächliche
- * Rente. Das macht die Befreiung meist schon im Januar erreichbar.
- *
- * 2 % von 12 x 563,00 EUR = 135,12 EUR; 1 % = 67,56 EUR (Stand 2025).
- */
-export const ZUZAHLUNG_BELASTUNGSGRENZE_PROZENT = 2
-export const ZUZAHLUNG_BELASTUNGSGRENZE_CHRONIKER_PROZENT = 1
-export const ZUZAHLUNG_BELASTUNGSGRENZE_CENT =
-  (REGELBEDARFSSTUFE_1_CENT * 12n * BigInt(ZUZAHLUNG_BELASTUNGSGRENZE_PROZENT)) / 100n
-export const ZUZAHLUNG_BELASTUNGSGRENZE_CHRONIKER_CENT =
-  (REGELBEDARFSSTUFE_1_CENT * 12n * BigInt(ZUZAHLUNG_BELASTUNGSGRENZE_CHRONIKER_PROZENT)) / 100n
-
-/**
- * Rundfunkbeitrag je Wohnung, § 8 Rundfunkfinanzierungsstaatsvertrag:
- * 18,36 EUR monatlich, unverändert seit 01.08.2021. Die Ermäßigung auf ein
- * Drittel (§ 4 Abs. 2 RBStV, Merkzeichen RF) beträgt 6,12 EUR.
- */
-export const RUNDFUNKBEITRAG_CENT = 1_836n
-export const RUNDFUNKBEITRAG_ERMAESSIGT_CENT = 612n
-export const RUNDFUNKBEITRAG_STAND = '2021-08-01'
+/**
+ * Beträge, Staffeln und Grenzwerte des Sozialhilfeverfahrens.
+ *
+ * ACHTUNG - EINZIGE STELLE.
+ * Alles, was sich jährlich (oder mit dem nächsten Gesetzespaket) ändert,
+ * steht hier und nirgendwo sonst. Jede Konstante trägt ihr Stand-Datum und
+ * die Fundstelle. Wer einen Wert im Fachcode findet, hat einen Fehler
+ * gefunden.
+ *
+ * Und der wichtigste Satz vorweg: Diese Zahlen sind Arbeitsgrundlage für
+ * die eigene Vorbereitung, nicht die Rechtslage. Maßgeblich ist immer der
+ * Bescheid des Trägers. Vor jedem Antrag und zu jedem Jahreswechsel
+ * gehören die Werte hier nachgeprüft.
+ */
+
+/** Wann wurden die Werte in dieser Datei zuletzt geprüft? */
+export const KONSTANTEN_STAND = '2025-01-01'
+
+/**
+ * Nächster Termin, zu dem die Werte hier durchzusehen sind. Die Oberfläche
+ * blendet ab diesem Datum einen Prüfhinweis ein.
+ */
+export const KONSTANTEN_NAECHSTE_PRUEFUNG = '2027-01-01'
+
+// -----------------------------------------------------------------------------
+// Regelbedarf - Bezugsgröße für Barbetrag und Zuzahlungsbefreiung
+// -----------------------------------------------------------------------------
+
+/**
+ * Regelbedarfsstufe 1 nach der Regelbedarfsstufen-Fortschreibungsverordnung.
+ * Stand 01.01.2025: 563,00 EUR monatlich (unverändert gegenüber 2024, die
+ * Fortschreibung ergab rechnerisch keine Erhöhung).
+ *
+ * Aus diesem Wert leiten sich unten der Barbetrag und die Belastungsgrenze
+ * der Zuzahlungsbefreiung ab - deshalb steht er hier oben und wird nicht
+ * doppelt gepflegt.
+ */
+export const REGELBEDARFSSTUFE_1_CENT = 56_300n
+
+/**
+ * Barbetrag zur persönlichen Verfügung ("Taschengeld") für Menschen in
+ * Einrichtungen, § 27b Abs. 2 SGB XII: mindestens 27 % der
+ * Regelbedarfsstufe 1.
+ *
+ * 27 % von 563,00 EUR = 152,01 EUR monatlich (Stand 01.01.2025).
+ *
+ * "Mindestens": Der Träger darf mehr festsetzen, und einzelne Bezirke tun
+ * das auch. Steht im Bescheid ein höherer Betrag, gilt der Bescheid.
+ */
+export const BARBETRAG_ANTEIL_PROZENT = 27
+export const BARBETRAG_CENT = (REGELBEDARFSSTUFE_1_CENT * BigInt(BARBETRAG_ANTEIL_PROZENT)) / 100n
+
+/**
+ * Bekleidungspauschale.
+ *
+ * Bewusst ohne Zahl. Es gibt keinen bundeseinheitlichen Betrag - die
+ * Bekleidungsbeihilfe nach § 27b Abs. 1 SGB XII setzt der jeweilige Träger
+ * fest, der Bezirk Oberfranken zahlt sie üblicherweise als Pauschale je
+ * Quartal oder Jahr. Der Betrag ist dem Bewilligungsbescheid zu entnehmen
+ * und im Heimkostenmonat einzutragen. Eine erfundene Zahl wäre hier
+ * schädlicher als gar keine.
+ */
+export const BEKLEIDUNGSPAUSCHALE_CENT: bigint | null = null
+export const BEKLEIDUNGSPAUSCHALE_HINWEIS =
+  'Die Höhe der Bekleidungspauschale legt der Träger fest (§ 27b Abs. 1 SGB XII). ' +
+  'Übernimm den Betrag aus dem Bewilligungsbescheid, er ist regional unterschiedlich.'
+
+// -----------------------------------------------------------------------------
+// Leistungen der Pflegekasse, § 43 SGB XI
+// -----------------------------------------------------------------------------
+
+export type Pflegegrad = 1 | 2 | 3 | 4 | 5
+
+/**
+ * Monatliche Pauschalen der Pflegekasse bei vollstationärer Pflege,
+ * § 43 Abs. 2 SGB XI. Stand 01.01.2025 (Erhöhung um 4,5 % durch das
+ * Pflegeunterstützungs- und -entlastungsgesetz).
+ *
+ * Pflegegrad 1 ist der Sonderfall: § 43 Abs. 2 SGB XI greift dort nicht.
+ * Wer mit Pflegegrad 1 vollstationär gepflegt wird, erhält nach
+ * § 43 Abs. 3 SGB XI einen Zuschuss von 125 EUR monatlich - deshalb steht
+ * er hier mit ebendiesem Betrag, aber unter eigener Rechtsgrundlage.
+ *
+ * Die nächste turnusmäßige Anpassung nach § 30 SGB XI ist gesetzlich für
+ * 2028 vorgesehen. Trotzdem: zum Jahreswechsel nachsehen.
+ */
+export const PFLEGEKASSE_VOLLSTATIONAER_CENT: Record<Pflegegrad, bigint> = {
+  1: 12_500n, // § 43 Abs. 3 SGB XI - Zuschuss, keine Pauschale
+  2: 80_500n,
+  3: 131_900n,
+  4: 185_500n,
+  5: 209_600n,
+}
+
+export const PFLEGEKASSE_RECHTSGRUNDLAGE: Record<Pflegegrad, string> = {
+  1: '§ 43 Abs. 3 SGB XI',
+  2: '§ 43 Abs. 2 SGB XI',
+  3: '§ 43 Abs. 2 SGB XI',
+  4: '§ 43 Abs. 2 SGB XI',
+  5: '§ 43 Abs. 2 SGB XI',
+}
+
+// -----------------------------------------------------------------------------
+// Leistungszuschlag, § 43c SGB XI
+// -----------------------------------------------------------------------------
+//
+// STEHT NICHT HIER. Die Staffel (15 / 30 / 50 / 75 Prozent nach
+// Verweildauer, Stand 01.01.2024) gehoert dem Pflegemodul und liegt in
+// src/lib/pflege/konstanten.ts. Dieses Modul benutzt sie ueber
+// src/lib/sozialhilfe/heimkosten.ts, kopiert sie aber nicht - zwei Kopien
+// derselben Prozentsaetze werden bei der naechsten Gesetzesaenderung
+// zuverlaessig nur an einer Stelle nachgezogen.
+//
+// Merksatz zur Anwendung: Der Zuschlag mindert ausschliesslich den
+// pflegebedingten Eigenanteil (EEE) - nicht Unterkunft und Verpflegung,
+// nicht die Investitionskosten, nicht die Ausbildungsumlage. Wer ihn auf
+// die ganze Heimrechnung anwendet, rechnet die Deckungsluecke zu klein.
+
+// -----------------------------------------------------------------------------
+// Abwesenheit (Krankenhaus, Reha, Urlaub)
+// -----------------------------------------------------------------------------
+
+/**
+ * Abwesenheitstage mindern die Heimrechnung nicht ab dem ersten Tag.
+ *
+ * Die Rahmenverträge nach § 75 SGB XI regeln das landesweit: Die ersten
+ * drei Abwesenheitstage sind voll zu zahlen, erst ab dem vierten
+ * zusammenhängenden Tag wird das Entgelt gemindert - in Bayern
+ * üblicherweise um 25 % von Pflegesatz sowie Unterkunft und Verpflegung.
+ * Die Investitionskosten laufen weiter, der Platz wird ja freigehalten
+ * (§ 87a Abs. 1 SGB XI, Platzfreihaltung bis 42 Tage im Kalenderjahr).
+ *
+ * Weil die Prozentsätze im Rahmenvertrag und im Heimvertrag stehen und
+ * nicht im Gesetz, rechnet die Anwendung damit nur eine *Schätzung*. Was
+ * gilt, steht in der Heimrechnung.
+ */
+export const ABWESENHEIT_KARENZTAGE = 3
+export const ABWESENHEIT_MINDERUNG_PROZENT = 25
+export const ABWESENHEIT_PLATZFREIHALTUNG_TAGE = 42
+
+// -----------------------------------------------------------------------------
+// Vermögen, § 90 SGB XII
+// -----------------------------------------------------------------------------
+
+/**
+ * Vermögensfreibetrag ("kleinere Barbeträge"), § 90 Abs. 2 Nr. 9 SGB XII
+ * i.V.m. § 1 Abs. 1 Nr. 1 lit. b der Verordnung zur Durchführung des
+ * § 90 Abs. 2 Nr. 9 SGB XII: 10.000 EUR.
+ *
+ * Stand 01.01.2023 (bis dahin 5.000 EUR). Für jede Person, die von der
+ * leistungsberechtigten Person überwiegend unterhalten wird, kommen
+ * weitere 500 EUR hinzu (§ 1 Abs. 2 der Verordnung).
+ */
+export const VERMOEGENSFREIBETRAG_CENT = 1_000_000n
+export const VERMOEGENSFREIBETRAG_JE_UNTERHALTENE_PERSON_CENT = 50_000n
+export const VERMOEGENSFREIBETRAG_STAND = '2023-01-01'
+
+/**
+ * Rückforderung einer Schenkung wegen Verarmung, § 528 BGB.
+ * Der Anspruch ist ausgeschlossen, wenn zum Zeitpunkt des Eintritts der
+ * Bedürftigkeit seit der Leistung des geschenkten Gegenstands zehn Jahre
+ * verstrichen sind (§ 529 Abs. 1 BGB). Deshalb fragt der Träger nach
+ * notariellen Übertragungen der letzten zehn Jahre.
+ */
+export const SCHENKUNG_RUECKFORDERUNG_JAHRE = 10
+
+// -----------------------------------------------------------------------------
+// Rechtsbehelf
+// -----------------------------------------------------------------------------
+
+/** Regelfall: ein Monat ab Bekanntgabe, § 84 Abs. 1 Satz 1 SGG. */
+export const WIDERSPRUCHSFRIST_MONATE_REGEL = 1
+
+/**
+ * Fehlt die Rechtsbehelfsbelehrung oder ist sie unrichtig erteilt, beträgt
+ * die Frist ein Jahr seit Bekanntgabe (§ 66 Abs. 2 Satz 1 SGG).
+ * Das wird ausdrücklich ausgewählt und nie automatisch angenommen.
+ */
+export const WIDERSPRUCHSFRIST_MONATE_OHNE_BELEHRUNG = 12
+
+/**
+ * Zugangsvermutung bei Übermittlung durch die Post im Inland:
+ * bekanntgegeben am dritten Tag nach der Aufgabe zur Post
+ * (§ 37 Abs. 2 Satz 1 SGB X).
+ */
+export const ZUGANGSVERMUTUNG_TAGE = 3
+
+/** Vorwarnstufen für die Frist "Widerspruch möglich bis" (Tage vorher). */
+export const WIDERSPRUCH_VORWARNUNG_TAGE = [21, 14, 7, 3, 1]
+
+/** Vorwarnstufen für eine vom Träger gesetzte Nachforderungsfrist. */
+export const NACHFORDERUNG_VORWARNUNG_TAGE = [14, 7, 3, 1]
+
+// -----------------------------------------------------------------------------
+// Weitere Leistungen
+// -----------------------------------------------------------------------------
+
+/**
+ * Bayerisches Landespflegegeld: 1.000 EUR im Jahr, ab Pflegegrad 2,
+ * Antrag bis 31.12. des jeweiligen Jahres (Bayerisches
+ * Landespflegegeldgesetz - BayLPflGG).
+ *
+ * Der Betrag steht im Haushalt des Freistaats und wurde politisch schon
+ * mehrfach in Frage gestellt. Vor der Antragstellung die aktuelle Höhe
+ * beim Landesamt für Pflege prüfen.
+ */
+export const LANDESPFLEGEGELD_CENT = 100_000n
+export const LANDESPFLEGEGELD_AB_PFLEGEGRAD = 2
+export const LANDESPFLEGEGELD_ANTRAGSSCHLUSS = '31.12.'
+
+/**
+ * Zuzahlungsbefreiung, § 62 SGB V: Die Belastungsgrenze liegt bei 2 % der
+ * jährlichen Bruttoeinnahmen zum Lebensunterhalt, bei schwerwiegend
+ * chronisch Kranken bei 1 %.
+ *
+ * Für Menschen, die Leistungen nach dem SGB XII in einer Einrichtung
+ * erhalten, ist als Bruttoeinnahme der Regelbedarf der Regelbedarfsstufe 1
+ * anzusetzen (§ 62 Abs. 2 Satz 5 und 6 SGB V) - nicht die tatsächliche
+ * Rente. Das macht die Befreiung meist schon im Januar erreichbar.
+ *
+ * 2 % von 12 x 563,00 EUR = 135,12 EUR; 1 % = 67,56 EUR (Stand 2025).
+ */
+export const ZUZAHLUNG_BELASTUNGSGRENZE_PROZENT = 2
+export const ZUZAHLUNG_BELASTUNGSGRENZE_CHRONIKER_PROZENT = 1
+export const ZUZAHLUNG_BELASTUNGSGRENZE_CENT =
+  (REGELBEDARFSSTUFE_1_CENT * 12n * BigInt(ZUZAHLUNG_BELASTUNGSGRENZE_PROZENT)) / 100n
+export const ZUZAHLUNG_BELASTUNGSGRENZE_CHRONIKER_CENT =
+  (REGELBEDARFSSTUFE_1_CENT * 12n * BigInt(ZUZAHLUNG_BELASTUNGSGRENZE_CHRONIKER_PROZENT)) / 100n
+
+/**
+ * Rundfunkbeitrag je Wohnung, § 8 Rundfunkfinanzierungsstaatsvertrag:
+ * 18,36 EUR monatlich, unverändert seit 01.08.2021. Die Ermäßigung auf ein
+ * Drittel (§ 4 Abs. 2 RBStV, Merkzeichen RF) beträgt 6,12 EUR.
+ */
+export const RUNDFUNKBEITRAG_CENT = 1_836n
+export const RUNDFUNKBEITRAG_ERMAESSIGT_CENT = 612n
+export const RUNDFUNKBEITRAG_STAND = '2021-08-01'
@@ -1,8 +1,8 @@
 import 'server-only'
-import { createCipheriv, createDecipheriv, randomBytes } from 'node:crypto'
 import { mkdir, readFile, rm, stat, writeFile } from 'node:fs/promises'
 import { dirname, join, resolve, sep } from 'node:path'
 import { env } from '@/lib/env'
+import { entschluesselnBinaer, verschluesselnBinaer } from '@/lib/speicher/umschlag'
 import {
  dateiRoutePfad,
  schluesselErfordern,
@@ -23,15 +23,10 @@ import {
 * gibt sonst Bescheide, Arztbriefe und Kontoauszuege im Klartext preis.
 * Der Schluessel liegt in der Umgebung, nicht neben den Daten.
 *
- * Umschlag (binaer):
- *   "BCD1" | Schluesselversion (uint32 BE) | IV (12) | AuthTag (16) | Geheimtext
+ * Der Umschlag selbst steht in src/lib/speicher/umschlag.ts - der
+ * Objektspeicher benutzt denselben.
 */

-const MAGIE = Buffer.from('BCD1', 'ascii')
-const IV_LAENGE = 12
-const TAG_LAENGE = 16
-const KOPF_LAENGE = MAGIE.length + 4 + IV_LAENGE + TAG_LAENGE
-
 function wurzel(): string {
  return resolve(process.cwd(), env.dateiSpeicherPfad)
 }
@@ -39,8 +34,18 @@ function wurzel(): string {
 /**
 * Baut den Dateipfad - und prueft danach noch einmal, dass er wirklich
 * unterhalb des Ablageverzeichnisses liegt. Der Schluessel ist zwar bereits
- * streng geprueft, aber diese zweite Sperre kostet nichts und faengt auch
- * Symlink-Tricks und Windows-Eigenheiten ab.
+ * streng geprueft, aber diese zweite Sperre kostet nichts.
+ *
+ * Was sie NICHT abfaengt, obwohl hier lange das Gegenteil stand: Symlinks.
+ * resolve() rechnet nur mit Zeichenketten und folgt keinem Link - dafuer
+ * braeuchte es realpath(). Ein untergeschobener Symlink im Ablageverzeichnis
+ * wuerde also nicht auffallen.
+ *
+ * Nachgeruestet wird das trotzdem nicht, und zwar aus einem Grund und nicht
+ * aus Bequemlichkeit: Wer dort einen Symlink anlegen kann, hat bereits
+ * Schreibrechte im Datenverzeichnis des Servers - dann ist der Umweg ueber
+ * einen Link die Sorge, die am wenigsten draengt. Der Satz musste
+ * verschwinden, weil er eine Sicherheit versprach, die es nie gab.
 */
 function pfadFuer(schluessel: string): string {
  const geprueft = schluesselErfordern(schluessel)
@@ -52,57 +57,15 @@ function pfadFuer(schluessel: string): string {
  return ziel
 }

-function verschluesselnBinaer(inhalt: Buffer): Buffer {
-  const version = env.aktiveSchluesselversion
-  const schluessel = env.verschluesselungsschluessel.get(version)
-  if (!schluessel) throw new Error(`Verschlüsselungsschlüssel Version ${version} fehlt.`)
-
-  const iv = randomBytes(IV_LAENGE)
-  const cipher = createCipheriv('aes-256-gcm', schluessel, iv, { authTagLength: TAG_LAENGE })
-  cipher.setAAD(Buffer.from(`bcd:${version}`, 'utf8'))
-  const geheim = Buffer.concat([cipher.update(inhalt), cipher.final()])
-
-  const versionBytes = Buffer.alloc(4)
-  versionBytes.writeUInt32BE(version, 0)
-
-  return Buffer.concat([MAGIE, versionBytes, iv, cipher.getAuthTag(), geheim])
-}
-
-function entschluesselnBinaer(roh: Buffer): Buffer {
-  // Dateien ohne Umschlag (von Hand hineingelegt, aus einer aelteren
-  // Installation uebernommen) werden unveraendert durchgereicht.
-  if (roh.length < KOPF_LAENGE || !roh.subarray(0, MAGIE.length).equals(MAGIE)) return roh
-
-  const version = roh.readUInt32BE(MAGIE.length)
-  const schluessel = env.verschluesselungsschluessel.get(version)
-  if (!schluessel) {
-    throw new Error(
-      `Zum Entschlüsseln dieser Datei fehlt ENC_KEY_V${version}. Alte Schlüssel dürfen beim ` +
-        `Rotieren nicht aus der Umgebung entfernt werden.`,
-    )
-  }
-
-  const ivVon = MAGIE.length + 4
-  const iv = roh.subarray(ivVon, ivVon + IV_LAENGE)
-  const tag = roh.subarray(ivVon + IV_LAENGE, ivVon + IV_LAENGE + TAG_LAENGE)
-  const geheim = roh.subarray(KOPF_LAENGE)
-
-  const decipher = createDecipheriv('aes-256-gcm', schluessel, iv, { authTagLength: TAG_LAENGE })
-  decipher.setAAD(Buffer.from(`bcd:${version}`, 'utf8'))
-  decipher.setAuthTag(tag)
-
-  return Buffer.concat([decipher.update(geheim), decipher.final()])
-}
-
 export async function schreiben(schluessel: string, inhalt: Buffer): Promise<void> {
  const pfad = pfadFuer(schluessel)
  await mkdir(dirname(pfad), { recursive: true })
-  await writeFile(pfad, verschluesselnBinaer(inhalt), { mode: 0o600 })
+  await writeFile(pfad, verschluesselnBinaer(inhalt, schluessel), { mode: 0o600 })
 }

 export async function lesen(schluessel: string): Promise<Buffer> {
  const roh = await readFile(pfadFuer(schluessel))
-  return entschluesselnBinaer(roh)
+  return entschluesselnBinaer(roh, schluessel)
 }

 export async function entfernen(schluessel: string): Promise<void> {
@@ -130,6 +93,36 @@ export async function signierteUrl(
  return dateiRoutePfad(zugriffTokenErzeugen(schluessel, sekunden))
 }

+// -----------------------------------------------------------------------------
+// Bereitschaftspruefung
+// -----------------------------------------------------------------------------
+//
+// Ohne Umschlag und ohne die strenge Schluesselpruefung: Der Probeschluessel
+// gehoert zu keiner betreuten Person und faellt durch das Muster.
+
+function probepfad(schluessel: string): string {
+  const basis = wurzel()
+  const ziel = resolve(basis, ...schluessel.split('/'))
+  if (ziel !== basis && !ziel.startsWith(basis + sep)) {
+    throw new Error('Der Ablagepfad läge außerhalb des Dokumentenverzeichnisses.')
+  }
+  return ziel
+}
+
+export async function rohSchreiben(schluessel: string, inhalt: Buffer): Promise<void> {
+  const pfad = probepfad(schluessel)
+  await mkdir(dirname(pfad), { recursive: true })
+  await writeFile(pfad, inhalt, { mode: 0o600 })
+}
+
+export async function rohLesen(schluessel: string): Promise<Buffer> {
+  return readFile(probepfad(schluessel))
+}
+
+export async function rohEntfernen(schluessel: string): Promise<void> {
+  await rm(probepfad(schluessel), { force: true })
+}
+
 /** Nur fuer Wartungsskripte: das Ablageverzeichnis. */
 export function ablageverzeichnis(): string {
  return wurzel()
@@ -0,0 +1,129 @@
+import 'server-only'
+
+/**
+ * Speicherfehler in Sätze übersetzen, mit denen jemand etwas anfangen kann.
+ *
+ * Anlass ist eine Fehlersuche vom 31.08.2026. Beim Ablegen eines Schreibens
+ * stand in der Oberfläche:
+ *
+ *     Das Schreiben konnte nicht abgelegt werden.
+ *
+ * Dahinter lagen nacheinander DREI verschiedene Ursachen — ein fehlender
+ * Ablagebereich, ein falsch konfigurierter Endpunkt und eine
+ * Verschlüsselung, die der Speicher nicht anbietet. Jedes Mal derselbe
+ * Satz. Die Suche dauerte entsprechend, und ohne Zugang zum Serverlog wäre
+ * sie aussichtslos gewesen.
+ *
+ * ## Was hier NICHT passiert
+ *
+ * Es wird nichts durchgereicht, was der Speicher sagt. Fremde
+ * Fehlertexte können Hostnamen, Eimernamen und Anfragekennungen
+ * enthalten - das gehört ins Log, nicht auf den Bildschirm eines
+ * Betreuers. Übersetzt werden nur die Fälle, die wir kennen; alles andere
+ * bleibt bei der allgemeinen Meldung des Aufrufers.
+ *
+ * Die technische Ursache steht weiterhin vollständig im Log.
+ */
+
+/** Ein erkannter Speicherfehler samt Sprachfassung. */
+export type Speicherfehler = {
+  /** Kurzform für Protokoll und Gesundheitsauskunft. */
+  art: 'kein-ablagebereich' | 'verschluesselung' | 'zugang' | 'nicht-erreichbar'
+  /** Was in der Oberfläche stehen soll. */
+  meldung: string
+}
+
+/**
+ * Holt den Fehlercode heraus.
+ *
+ * Die Reihenfolge ist wichtig und war zuerst falsch: "name" traegt bei
+ * einem gewoehnlichen Node-Fehler den Wert "Error" - eine nichtssagende
+ * Zeichenkette, die aber nicht leer ist. Stuende sie vorn, kaeme der
+ * eigentliche Code aus "code" (ECONNREFUSED und Verwandte) nie zum Zug.
+ *
+ * Deshalb: erst "Code" (AWS-SDK), dann "code" (Node-Systemaufruf), und
+ * "name" nur als letzte Zuflucht.
+ */
+function code(fehler: unknown): string {
+  if (typeof fehler !== 'object' || fehler === null) return ''
+  const mitCode = fehler as { Code?: unknown; code?: unknown; name?: unknown }
+  for (const wert of [mitCode.Code, mitCode.code, mitCode.name]) {
+    if (typeof wert === 'string' && wert !== '' && wert !== 'Error') return wert
+  }
+  return ''
+}
+
+function nachricht(fehler: unknown): string {
+  return fehler instanceof Error ? fehler.message : ''
+}
+
+/**
+ * Erkennt die häufigen Speicherfehler.
+ *
+ * @returns null, wenn es keiner der bekannten Fälle ist - dann bleibt es
+ *          bei der allgemeinen Meldung des Aufrufers.
+ */
+export function speicherfehlerErkennen(fehler: unknown): Speicherfehler | null {
+  const kennung = code(fehler)
+  const text = nachricht(fehler)
+
+  if (kennung === 'NoSuchBucket') {
+    return {
+      art: 'kein-ablagebereich',
+      meldung:
+        'Im Objektspeicher fehlt der Ablagebereich für die Dokumente. Er wird bei der ' +
+        'Installation einmalig angelegt — siehe INSTALLATION.md, Schritt 6. Bis dahin lässt ' +
+        'sich nichts ablegen; deine Eingaben gehen aber nicht verloren.',
+    }
+  }
+
+  // MinIO ohne KMS antwortet so, sobald S3_SSE gesetzt ist.
+  if (kennung === 'NotImplemented' && /encryption/i.test(text)) {
+    return {
+      art: 'verschluesselung',
+      meldung:
+        'Der Objektspeicher unterstützt die eingestellte serverseitige Verschlüsselung nicht. ' +
+        'Der mitgelieferte Speicher braucht sie auch nicht — die Anwendung verschlüsselt selbst. ' +
+        'Nimm S3_SSE aus der .env heraus.',
+    }
+  }
+
+  if (
+    kennung === 'AccessDenied' ||
+    kennung === 'SignatureDoesNotMatch' ||
+    kennung === 'InvalidAccessKeyId'
+  ) {
+    return {
+      art: 'zugang',
+      meldung:
+        'Die Zugangsdaten zum Objektspeicher werden abgelehnt. Prüfe S3_ACCESS_KEY_ID und ' +
+        'S3_SECRET_ACCESS_KEY in der .env — und ob sie zu dem Speicher gehören, auf den ' +
+        'S3_ENDPOINT zeigt.',
+    }
+  }
+
+  if (
+    ['ECONNREFUSED', 'ENOTFOUND', 'ETIMEDOUT', 'EAI_AGAIN', 'TimeoutError'].includes(kennung) ||
+    /ECONNREFUSED|ENOTFOUND|ETIMEDOUT/.test(text)
+  ) {
+    return {
+      art: 'nicht-erreichbar',
+      meldung:
+        'Der Objektspeicher antwortet nicht. Läuft er, und zeigt S3_ENDPOINT auf die richtige ' +
+        'Adresse? Deine Eingaben gehen nicht verloren.',
+    }
+  }
+
+  return null
+}
+
+/**
+ * Bequemer Aufruf für die Stellen, die eine Meldung brauchen.
+ *
+ * @param allgemein Was stehen soll, wenn der Fehler keiner der bekannten
+ *                  ist - z.B. "Das Schreiben konnte nicht abgelegt werden."
+ */
+export function speicherfehlerMeldung(fehler: unknown, allgemein: string): string {
+  const erkannt = speicherfehlerErkennen(fehler)
+  return erkannt ? erkannt.meldung : allgemein
+}
@@ -0,0 +1,154 @@
+import 'server-only'
+import { randomUUID } from 'node:crypto'
+import { env } from '@/lib/env'
+import { speicherfehlerErkennen } from '@/lib/speicher/fehler'
+
+/**
+ * Ist die Dateiablage benutzbar?
+ *
+ * Bis v1.12.0 fiel eine kaputte Speicherkonfiguration erst auf, wenn
+ * jemand ein Dokument ablegen wollte. Auf dem Livesystem waren das
+ * mehrere Wochen nach der Installation - und dann mitten in der Arbeit,
+ * mit einer Meldung, die nichts sagte.
+ *
+ * Diese Pruefung schreibt eine winzige Datei, liest sie zurueck und raeumt
+ * sie weg. Sie beantwortet damit alle drei Fragen auf einmal: erreichbar,
+ * Ablagebereich vorhanden, Schreibrecht da.
+ *
+ * ## Sie verhindert den Start nicht
+ *
+ * Eine Anwendung, die wegen des Objektspeichers nicht hochkommt, ist
+ * schlimmer als eine, die ihn meldet: Ohne Oberflaeche sieht niemand die
+ * Erklaerung, und der Rest der Akte - Fristen, Buchungen, Stammdaten -
+ * waere ohne Not mit abgeschaltet.
+ */
+
+export type Speicherzustand =
+  | { ok: true; treiber: string }
+  | { ok: false; treiber: string; art: string; meldung: string }
+
+/** Der Ablageschluessel fuer die Probe. Liegt im eigenen Bereich. */
+function probeschluessel(): string {
+  return `pruefung/${randomUUID()}.txt`
+}
+
+/**
+ * Schreibt, liest und loescht eine Probedatei.
+ *
+ * Bewusst ueber die Treiber und nicht ueber die Fassade in index.ts: Die
+ * prueft den Ablageschluessel gegen das Muster fuer Dokumente einer
+ * betreuten Person, und darum geht es hier nicht.
+ */
+export async function speicherPruefen(): Promise<Speicherzustand> {
+  const treiber = env.speicherTreiber
+  const schluessel = probeschluessel()
+  const inhalt = Buffer.from(`bereitschaftspruefung ${new Date().toISOString()}`, 'utf8')
+
+  try {
+    if (treiber === 's3') {
+      const s3 = await import('@/lib/speicher/s3')
+      await s3.rohSchreiben(schluessel, inhalt)
+      await s3.rohLesen(schluessel)
+      await s3.rohEntfernen(schluessel)
+    } else {
+      const datei = await import('@/lib/speicher/datei')
+      await datei.rohSchreiben(schluessel, inhalt)
+      await datei.rohLesen(schluessel)
+      await datei.rohEntfernen(schluessel)
+    }
+    return { ok: true, treiber }
+  } catch (fehler) {
+    const erkannt = speicherfehlerErkennen(fehler)
+    return {
+      ok: false,
+      treiber,
+      art: erkannt?.art ?? 'unbekannt',
+      meldung: erkannt?.meldung ?? 'Die Dateiablage ist nicht benutzbar.',
+    }
+  }
+}
+
+// -----------------------------------------------------------------------------
+// Gemerkter Zustand
+// -----------------------------------------------------------------------------
+
+/**
+ * Warum die Pruefung an der Gesundheitsabfrage haengt und nicht an einem
+ * Startaufruf.
+ *
+ * Der naheliegende Ort waere instrumentation.ts - der Haken von Next.js
+ * fuer "einmal beim Hochfahren". Der wird aber auch fuer die
+ * Edge-Laufzeit gebuendelt, und ueber die Treiber kaeme node:path in ein
+ * Buendel, in dem es das nicht gibt: Der Build schlaegt fehl. Es gibt
+ * Kunstgriffe dagegen; sie sind fragil und muessten bei jedem
+ * Next-Wechsel nachgezogen werden.
+ *
+ * Der Healthcheck aus docker-compose ruft /api/gesundheit ohnehin ab 40
+ * Sekunden nach dem Start alle 30 Sekunden auf. Die erste Pruefung
+ * passiert damit von selbst kurz nach dem Hochfahren, und die Zeile steht
+ * im Log, wo man sie sucht. Ohne Behaelter geschieht dasselbe beim ersten
+ * Aufruf der Adresse.
+ */
+const NEU_PRUEFEN_NACH_MS = 5 * 60 * 1000
+
+let gemerkt: { zustand: Speicherzustand; zeitpunkt: number } | null = null
+let zuletztGemeldet: string | null = null
+
+/**
+ * Der Zustand der Ablage, hoechstens alle fuenf Minuten frisch geholt.
+ *
+ * Ohne diese Schonfrist schriebe der Healthcheck alle 30 Sekunden eine
+ * Probedatei in den Objektspeicher - unnoetiger Verkehr fuer eine Frage,
+ * deren Antwort sich selten aendert.
+ */
+export async function speicherZustand(): Promise<Speicherzustand> {
+  const jetzt = Date.now()
+  if (gemerkt && jetzt - gemerkt.zeitpunkt < NEU_PRUEFEN_NACH_MS) {
+    return gemerkt.zustand
+  }
+
+  const zustand = await speicherPruefen()
+  gemerkt = { zustand, zeitpunkt: jetzt }
+  melden(zustand)
+  return zustand
+}
+
+/**
+ * Schreibt eine Zeile ins Protokoll - aber nur, wenn sich etwas geaendert
+ * hat. Sonst stuende alle fuenf Minuten dieselbe Meldung im Log und
+ * niemand liest sie mehr.
+ */
+function melden(zustand: Speicherzustand): void {
+  const kennung = zustand.ok ? 'ok' : `fehler:${zustand.art}`
+  if (kennung === zuletztGemeldet) return
+  zuletztGemeldet = kennung
+
+  if (zustand.ok) {
+    console.log(`[speicher] Ablage bereit (Treiber: ${zustand.treiber}).`)
+    return
+  }
+
+  console.error(
+    `[speicher] Die Dateiablage ist NICHT benutzbar (Treiber: ${zustand.treiber}, ` +
+      `${zustand.art}). ${zustand.meldung} ` +
+      `Die Anwendung laeuft trotzdem weiter - alles ausser dem Ablegen von ` +
+      `Dateien funktioniert.`,
+  )
+}
+
+/**
+ * Nur fuer Tests: die Schonfrist ueberspringen.
+ *
+ * Bewusst OHNE zuletztGemeldet zurueckzusetzen - das entspricht dem, was
+ * nach fuenf Minuten im Betrieb passiert: neu geprueft, aber nur bei einer
+ * Aenderung gemeldet.
+ */
+export function schonfristUeberspringen(): void {
+  gemerkt = null
+}
+
+/** Nur fuer Tests: auch das Meldegedaechtnis leeren. */
+export function zustandVergessen(): void {
+  gemerkt = null
+  zuletztGemeldet = null
+}
@@ -3,12 +3,19 @@ import {
  DeleteObjectCommand,
  GetObjectCommand,
  HeadObjectCommand,
+  ListObjectsV2Command,
  PutObjectCommand,
  S3Client,
+  type ServerSideEncryption,
 } from '@aws-sdk/client-s3'
-import { getSignedUrl } from '@aws-sdk/s3-request-presigner'
 import { env } from '@/lib/env'
-import { schluesselErfordern, TOKEN_STANDARD_SEKUNDEN } from '@/lib/speicher/schluessel'
+import {
+  dateiRoutePfad,
+  schluesselErfordern,
+  zugriffTokenErzeugen,
+  TOKEN_STANDARD_SEKUNDEN,
+} from '@/lib/speicher/schluessel'
+import { entschluesselnBinaer, verschluesselnBinaer } from '@/lib/speicher/umschlag'

 /**
 * Treiber "s3": S3-kompatibler Objektspeicher, betrieben in der EU.
@@ -17,10 +24,33 @@ import { schluesselErfordern, TOKEN_STANDARD_SEKUNDEN } from '@/lib/speicher/sch
 * Art. 28 DSGVO mit dem Anbieter - hier liegen Gesundheits- und
 * Finanzdaten. Ohne diesen Vertrag bleibt es beim Dateitreiber.
 *
- * Ausgeliefert wird nur ueber kurzlebige presigned URLs. Sie tragen
- * Content-Disposition: attachment und einen festen Content-Type, damit der
- * Objektspeicher eine hochgeladene Datei niemals als HTML im Browser
- * rendern kann.
+ * ## Anwendungsseitige Verschluesselung
+ *
+ * Frueher stand hier nur ServerSideEncryption: 'AES256'. Das ist
+ * Verschluesselung mit dem Schluessel des Anbieters: Er entschluesselt beim
+ * Ausliefern selbst. Gegen eine verlorene Festplatte im Rechenzentrum hilft
+ * das, gegen den Anbieter und gegen gestohlene Zugangsdaten zum Eimer
+ * nicht - und in diesem Eimer liegen Bescheide, Arztbriefe und
+ * Kontoauszuege.
+ *
+ * Deshalb liegt jetzt derselbe Umschlag darum wie beim Dateitreiber, mit
+ * einem Schluessel aus der Umgebung.
+ *
+ * Die serverseitige Verschluesselung ist damit ueberfluessig und wird nur
+ * noch gesendet, wenn S3_SSE gesetzt ist. Im Kommentar stand hier einmal,
+ * sie "kostet nichts" - das war falsch: Das mitgelieferte MinIO laeuft
+ * ohne KMS und lehnte jedes PutObject mit "NotImplemented" ab. Sie kostete
+ * die gesamte Funktion.
+ *
+ * ## Und deshalb keine presigned URLs mehr
+ *
+ * Eine presigned URL laesst den Browser direkt beim Objektspeicher laden.
+ * Was dort liegt, ist jetzt aber Geheimtext - der Browser bekaeme
+ * unlesbare Bytes. Die Auslieferung geht darum ueber dieselbe eigene Route
+ * wie beim Dateitreiber: Sie prueft zusaetzlich die Berechtigung des
+ * angemeldeten Benutzers und schreibt einen Audit-Eintrag. Dass jeder
+ * Abruf durch die Anwendung laeuft, ist bei einer Handvoll Dokumenten am
+ * Tag kein Thema.
 */

 let klient: S3Client | null = null
@@ -42,22 +72,34 @@ function eimer(): string {
  return env.s3.bucket
 }

+/**
+ * Legt ein Objekt ab - verschluesselt.
+ *
+ * Der gemeldete MIME-Typ wird nicht mehr gebraucht: Was hier landet, ist
+ * Geheimtext und wird als application/octet-stream ausgezeichnet. Der
+ * Parameter bleibt in der Signatur, damit die Fassade beide Treiber gleich
+ * aufrufen kann.
+ */
 export async function schreiben(
  schluessel: string,
  inhalt: Buffer,
-  mimeTyp: string,
+  _mimeTyp: string,
 ): Promise<void> {
  const geprueft = schluesselErfordern(schluessel)
+  const sse = env.s3.serverseitigeVerschluesselung
  await s3().send(
    new PutObjectCommand({
      Bucket: eimer(),
      Key: geprueft,
-      Body: inhalt,
-      ContentType: mimeTyp,
+      Body: verschluesselnBinaer(inhalt, geprueft),
+      // Bewusst nicht der echte Typ: Was hier liegt, ist Geheimtext. Ein
+      // "application/pdf" darauf waere eine Falschauskunft, und der einzige
+      // Weg zum Inhalt fuehrt ohnehin durch die Anwendung.
+      ContentType: 'application/octet-stream',
      // Auch beim direkten Abruf niemals im Browser darstellen.
      ContentDisposition: 'attachment',
-      // Serverseitige Verschluesselung, wo der Anbieter sie unterstuetzt.
-      ServerSideEncryption: 'AES256',
+      // Nur mitschicken, wenn konfiguriert - siehe env.s3.
+      ...(sse ? { ServerSideEncryption: sse as ServerSideEncryption } : {}),
    }),
  )
 }
@@ -67,7 +109,10 @@ export async function lesen(schluessel: string): Promise<Buffer> {
  const antwort = await s3().send(new GetObjectCommand({ Bucket: eimer(), Key: geprueft }))
  if (!antwort.Body) throw new Error(`Objekt ${geprueft} ist leer.`)
  const bytes = await antwort.Body.transformToByteArray()
-  return Buffer.from(bytes)
+  // Objekte, die vor dieser Aenderung abgelegt wurden, tragen keinen
+  // Umschlag und kommen unveraendert zurueck. Der Migrationslauf
+  // (npm run speicher:verschluesseln) schreibt sie nach und nach um.
+  return entschluesselnBinaer(Buffer.from(bytes), geprueft)
 }

 export async function entfernen(schluessel: string): Promise<void> {
@@ -85,20 +130,76 @@ export async function existiert(schluessel: string): Promise<boolean> {
  }
 }

+/**
+ * Zeigt auf die eigene, signierte Route - nicht mehr auf den
+ * Objektspeicher.
+ *
+ * Der direkte Weg zum Anbieter lieferte den Rohinhalt aus. Solange der
+ * Klartext war, ging das; jetzt ist es Geheimtext, und entschluesseln kann
+ * nur die Anwendung. Der Nebeneffekt ist erwuenscht: Die Route prueft die
+ * Berechtigung des angemeldeten Benutzers und schreibt einen Audit-Eintrag.
+ * Ein weitergeleiteter Link allein oeffnet also nichts mehr.
+ */
 export async function signierteUrl(
  schluessel: string,
  sekunden: number = TOKEN_STANDARD_SEKUNDEN,
 ): Promise<string> {
  const geprueft = schluesselErfordern(schluessel)
-  return getSignedUrl(
-    s3(),
-    new GetObjectCommand({
+  return dateiRoutePfad(zugriffTokenErzeugen(geprueft, sekunden))
+}
+
+// -----------------------------------------------------------------------------
+// Wartung
+// -----------------------------------------------------------------------------
+//
+// Nur fuer den Migrationslauf, der bestehende Objekte nachtraeglich in den
+// Umschlag steckt. Bewusst hier und nicht im Skript: Der Zugang zum Eimer
+// wird an genau einer Stelle aufgebaut.
+
+/** Alle Ablageschluessel im Eimer, seitenweise geholt. */
+export async function objekteAuflisten(): Promise<string[]> {
+  const gefunden: string[] = []
+  let weiter: string | undefined
+
+  do {
+    const antwort = await s3().send(
+      new ListObjectsV2Command({ Bucket: eimer(), ContinuationToken: weiter }),
+    )
+    for (const eintrag of antwort.Contents ?? []) {
+      if (eintrag.Key) gefunden.push(eintrag.Key)
+    }
+    weiter = antwort.IsTruncated ? antwort.NextContinuationToken : undefined
+  } while (weiter)
+
+  return gefunden
+}
+
+/**
+ * Legt Bytes ohne Umschlag ab. Nur fuer die Bereitschaftspruefung.
+ *
+ * Bewusst ohne schluesselErfordern(): Der Probeschluessel gehoert zu
+ * keiner betreuten Person und faellt durch das Muster.
+ */
+export async function rohSchreiben(schluessel: string, inhalt: Buffer): Promise<void> {
+  await s3().send(
+    new PutObjectCommand({
      Bucket: eimer(),
-      Key: geprueft,
-      // Die Antwort des Objektspeichers wird hier festgenagelt: Anhang,
-      // niemals HTML, egal was beim Hochladen gemeldet wurde.
-      ResponseContentDisposition: 'attachment',
+      Key: schluessel,
+      Body: inhalt,
+      ContentType: 'application/octet-stream',
+      ContentDisposition: 'attachment',
    }),
-    { expiresIn: Math.min(Math.max(Math.floor(sekunden), 1), 60 * 60) },
  )
 }
+
+/** Raeumt die Probedatei wieder weg. */
+export async function rohEntfernen(schluessel: string): Promise<void> {
+  await s3().send(new DeleteObjectCommand({ Bucket: eimer(), Key: schluessel }))
+}
+
+/** Der Inhalt, wie er im Eimer liegt - ohne den Umschlag abzunehmen. */
+export async function rohLesen(schluessel: string): Promise<Buffer> {
+  const antwort = await s3().send(new GetObjectCommand({ Bucket: eimer(), Key: schluessel }))
+  if (!antwort.Body) throw new Error(`Objekt ${schluessel} ist leer.`)
+  return Buffer.from(await antwort.Body.transformToByteArray())
+}
@@ -0,0 +1,119 @@
+import 'server-only'
+import { createCipheriv, createDecipheriv, randomBytes } from 'node:crypto'
+import { env } from '@/lib/env'
+
+/**
+ * Anwendungsseitiger Umschlag fuer abgelegte Dateien (AES-256-GCM).
+ *
+ * Der Dateitreiber hat das von Anfang an getan, der Objektspeicher nicht:
+ * Dort stand nur ServerSideEncryption: 'AES256'. Das ist Verschluesselung
+ * mit dem Schluessel des Anbieters - er entschluesselt beim Ausliefern
+ * selbst. Gegen ein kopiertes Backup hilft es, gegen den Anbieter und gegen
+ * gestohlene Zugangsdaten zum Eimer nicht. Bei Bescheiden, Arztbriefen und
+ * Kontoauszuegen ist das der falsche Zuschnitt.
+ *
+ * Jetzt liegt derselbe Umschlag um beides. Der Schluessel kommt aus der
+ * Umgebung und nie aus der Datenbank oder vom Anbieter.
+ *
+ * ## Format
+ *
+ *     "BCD1" | Schluesselversion (uint32 BE) | IV (12) | AuthTag (16) | Geheimtext
+ *
+ * Bewusst dasselbe Format wie bisher im Dateitreiber - bestehende Dateien
+ * bleiben ohne Umschreiben lesbar.
+ *
+ * ## Zusatzdaten
+ *
+ * Mitauthentifiziert wird die Schluesselversion und, wo der Aufrufer ihn
+ * angibt, der Ablageschluessel des Objekts. Letzteres bindet den Geheimtext
+ * an seinen Platz: Wer Schreibrechte auf den Eimer hat, kann die Bytes von
+ * Dokument A nicht unter dem Namen von Dokument B ablegen - beim Lesen
+ * schlaegt die Pruefung fehl, statt den falschen Bescheid auszuliefern.
+ *
+ * Ohne Angabe bleibt es bei "bcd:<version>", damit die Dateien, die der
+ * Dateitreiber frueher geschrieben hat, weiter aufgehen.
+ */
+
+const MAGIE = Buffer.from('BCD1', 'ascii')
+const IV_LAENGE = 12
+const TAG_LAENGE = 16
+
+export const KOPF_LAENGE = MAGIE.length + 4 + IV_LAENGE + TAG_LAENGE
+
+function zusatzdaten(version: number, ablageschluessel?: string): Buffer {
+  return Buffer.from(
+    ablageschluessel ? `bcd:${version}:${ablageschluessel}` : `bcd:${version}`,
+    'utf8',
+  )
+}
+
+/** Traegt dieser Inhalt bereits einen Umschlag? */
+export function istVerschluesselt(roh: Buffer): boolean {
+  return roh.length >= KOPF_LAENGE && roh.subarray(0, MAGIE.length).equals(MAGIE)
+}
+
+export function verschluesselnBinaer(inhalt: Buffer, ablageschluessel?: string): Buffer {
+  const version = env.aktiveSchluesselversion
+  const schluessel = env.verschluesselungsschluessel.get(version)
+  if (!schluessel) throw new Error(`Verschlüsselungsschlüssel Version ${version} fehlt.`)
+
+  const iv = randomBytes(IV_LAENGE)
+  const cipher = createCipheriv('aes-256-gcm', schluessel, iv, { authTagLength: TAG_LAENGE })
+  cipher.setAAD(zusatzdaten(version, ablageschluessel))
+  const geheim = Buffer.concat([cipher.update(inhalt), cipher.final()])
+
+  const versionBytes = Buffer.alloc(4)
+  versionBytes.writeUInt32BE(version, 0)
+
+  return Buffer.concat([MAGIE, versionBytes, iv, cipher.getAuthTag(), geheim])
+}
+
+/**
+ * Nimmt den Umschlag ab.
+ *
+ * Inhalte ohne Umschlag werden unveraendert durchgereicht: Dateien aus
+ * einer aelteren Installation, von Hand hineingelegte, und - bis der
+ * Migrationslauf durch ist - die Objekte, die vor dieser Aenderung im
+ * Objektspeicher lagen.
+ */
+export function entschluesselnBinaer(roh: Buffer, ablageschluessel?: string): Buffer {
+  if (!istVerschluesselt(roh)) return roh
+
+  const version = roh.readUInt32BE(MAGIE.length)
+  const schluessel = env.verschluesselungsschluessel.get(version)
+  if (!schluessel) {
+    throw new Error(
+      `Zum Entschlüsseln dieser Datei fehlt ENC_KEY_V${version}. Alte Schlüssel dürfen beim ` +
+        `Rotieren nicht aus der Umgebung entfernt werden.`,
+    )
+  }
+
+  const ivVon = MAGIE.length + 4
+  const iv = roh.subarray(ivVon, ivVon + IV_LAENGE)
+  const tag = roh.subarray(ivVon + IV_LAENGE, ivVon + IV_LAENGE + TAG_LAENGE)
+  const geheim = roh.subarray(KOPF_LAENGE)
+
+  // Zwei Anlaeufe: erst mit dem Ablageschluessel als Zusatzdaten, dann ohne.
+  // Der zweite Anlauf ist fuer alles, was vor der Bindung an den Platz
+  // geschrieben wurde - ohne ihn waeren die alten Dateien nicht mehr
+  // lesbar, und das waere ein Datenverlust fuer eine Verbesserung.
+  const varianten = ablageschluessel ? [ablageschluessel, undefined] : [undefined]
+
+  let letzterFehler: unknown = null
+  for (const variante of varianten) {
+    try {
+      const decipher = createDecipheriv('aes-256-gcm', schluessel, iv, {
+        authTagLength: TAG_LAENGE,
+      })
+      decipher.setAAD(zusatzdaten(version, variante))
+      decipher.setAuthTag(tag)
+      return Buffer.concat([decipher.update(geheim), decipher.final()])
+    } catch (fehler) {
+      letzterFehler = fehler
+    }
+  }
+
+  throw letzterFehler instanceof Error
+    ? letzterFehler
+    : new Error('Die Datei ließ sich nicht entschlüsseln.')
+}
@@ -1,437 +1,437 @@
-import { z } from 'zod'
-import { betragParsenWennMoeglich } from '@/lib/finanzen/betrag'
-
-/**
- * Eingabeprüfung für das Sozialhilfemodul.
- *
- * Geprüft wird immer serverseitig. Die Meldungen sagen, was zu tun ist -
- * nicht, welche Regel verletzt wurde. Wer am Handy im Heim steht und eine
- * Nachforderung erfasst, hat keine Lust auf "invalid input".
- */
-
-const optionalerText = (max = 200) =>
-  z
-    .string()
-    .trim()
-    .max(max, `Bitte höchstens ${max} Zeichen.`)
-    .transform((wert) => (wert === '' ? null : wert))
-    .nullable()
-    .default(null)
-
-const optionalesDatum = z
-  .string()
-  .trim()
-  .transform((wert) => (wert === '' ? null : wert))
-  .nullable()
-  .default(null)
-  .refine((wert) => wert === null || /^\d{4}-\d{2}-\d{2}$/.test(wert), {
-    message: 'Bitte ein Datum im Format TT.MM.JJJJ wählen.',
-  })
-  .transform((wert) => (wert === null ? null : new Date(`${wert}T00:00:00.000Z`)))
-
-const pflichtDatum = z
-  .string()
-  .trim()
-  .min(1, 'Bitte ein Datum angeben.')
-  .refine((wert) => /^\d{4}-\d{2}-\d{2}$/.test(wert), {
-    message: 'Bitte ein Datum im Format TT.MM.JJJJ wählen.',
-  })
-  .transform((wert) => new Date(`${wert}T00:00:00.000Z`))
-
-/**
- * Geldbetrag aus einem Textfeld. Leer wird zu null, nicht zu 0 - "keine
- * Angabe" und "null Euro" sind fachlich zweierlei.
- */
-const optionalerBetrag = z
-  .string()
-  .trim()
-  .default('')
-  .transform((wert, ctx) => {
-    if (wert === '') return null
-    const cent = betragParsenWennMoeglich(wert)
-    if (cent === null) {
-      ctx.addIssue({
-        code: z.ZodIssueCode.custom,
-        message: 'Bitte einen Betrag wie 1.234,56 eingeben.',
-      })
-      return z.NEVER
-    }
-    return cent
-  })
-
-/** Betrag, der in einer Gegenüberstellung stehen muss - leer heißt 0. */
-const betragOderNull = z
-  .string()
-  .trim()
-  .default('')
-  .transform((wert, ctx) => {
-    if (wert === '') return 0n
-    const cent = betragParsenWennMoeglich(wert)
-    if (cent === null) {
-      ctx.addIssue({
-        code: z.ZodIssueCode.custom,
-        message: 'Bitte einen Betrag wie 1.234,56 eingeben.',
-      })
-      return z.NEVER
-    }
-    if (cent < 0n) {
-      ctx.addIssue({
-        code: z.ZodIssueCode.custom,
-        message: 'In dieser Aufstellung stehen nur positive Beträge.',
-      })
-      return z.NEVER
-    }
-    return cent
-  })
-
-// -----------------------------------------------------------------------------
-// Antragsakte
-// -----------------------------------------------------------------------------
-
-export const AntragSchema = z
-  .object({
-    traeger: z
-      .string()
-      .trim()
-      .min(2, 'Bitte den Träger angeben, z.B. „Bezirk Oberfranken“.')
-      .max(150),
-    leistungsart: z
-      .string()
-      .trim()
-      .min(2, 'Bitte die Leistungsart angeben.')
-      .max(200),
-    aktenzeichen: optionalerText(80),
-    sachbearbeiter: optionalerText(150),
-    telefon: optionalerText(50),
-    email: z
-      .string()
-      .trim()
-      .max(200)
-      .transform((wert) => (wert === '' ? null : wert))
-      .nullable()
-      .default(null)
-      .refine((wert) => wert === null || /^[^\s@]+@[^\s@]+\.[^\s@]+$/.test(wert), {
-        message: 'Bitte eine gültige E-Mail-Adresse angeben oder das Feld leer lassen.',
-      }),
-    antragAm: optionalesDatum,
-    eingangBeimTraegerAm: optionalesDatum,
-    bewilligtVon: optionalesDatum,
-    bewilligtBis: optionalesDatum,
-    notizen: optionalerText(4000),
-  })
-  .refine(
-    (daten) =>
-      !daten.bewilligtVon || !daten.bewilligtBis || daten.bewilligtVon <= daten.bewilligtBis,
-    {
-      message: 'Das Ende des Bewilligungszeitraums liegt vor dem Beginn.',
-      path: ['bewilligtBis'],
-    },
-  )
-  .refine(
-    (daten) =>
-      !daten.antragAm ||
-      !daten.eingangBeimTraegerAm ||
-      daten.antragAm <= daten.eingangBeimTraegerAm,
-    {
-      message: 'Der Eingang beim Träger kann nicht vor dem Antragsdatum liegen.',
-      path: ['eingangBeimTraegerAm'],
-    },
-  )
-
-export type AntragEingabe = z.infer<typeof AntragSchema>
-
-// -----------------------------------------------------------------------------
-// Nachforderung
-// -----------------------------------------------------------------------------
-
-export const NACHFORDERUNG_STATUS_WERTE = [
-  'OFFEN',
-  'IN_BESCHAFFUNG',
-  'UEBERSANDT',
-  'ANERKANNT',
-  'NICHT_VORHANDEN',
-] as const
-
-export const NachforderungSchema = z
-  .object({
-    bezeichnung: z
-      .string()
-      .trim()
-      .min(2, 'Bitte benennen, welche Unterlage der Träger will.')
-      .max(200),
-    erlaeuterung: optionalerText(2000),
-    status: z.enum(NACHFORDERUNG_STATUS_WERTE).default('OFFEN'),
-    angefordertAm: optionalesDatum,
-    fristBis: optionalesDatum,
-    uebersandtAm: optionalesDatum,
-    begruendungNichtVorhanden: optionalerText(2000),
-    reihenfolge: z.coerce.number().int().min(0).max(10_000).default(0),
-    dokumentId: optionalerText(40),
-    /** Soll aus der Frist des Trägers eine Frist im Fristenmodul werden? */
-    fristAnlegen: z.coerce.boolean().default(false),
-  })
-  .refine(
-    (daten) =>
-      daten.status !== 'NICHT_VORHANDEN' ||
-      (daten.begruendungNichtVorhanden !== null &&
-        daten.begruendungNichtVorhanden.trim().length >= 5),
-    {
-      message:
-        'Bitte begründen, warum es die Unterlage nicht gibt. Die Begründung geht mit ins ' +
-        'Unterlagenpaket — ohne sie sieht der Träger nur eine Lücke.',
-      path: ['begruendungNichtVorhanden'],
-    },
-  )
-  .refine((daten) => daten.status !== 'UEBERSANDT' || daten.uebersandtAm !== null, {
-    message:
-      'Bitte das Übersendungsdatum angeben — es ist der Nachweis der Mitwirkung, wenn der ' +
-      'Träger später von fehlenden Unterlagen ausgeht.',
-    path: ['uebersandtAm'],
-  })
-  .refine((daten) => !daten.fristAnlegen || daten.fristBis !== null, {
-    message: 'Für eine Frist im Fristenmodul brauche ich ein Fristdatum.',
-    path: ['fristBis'],
-  })
-
-export type NachforderungEingabe = z.infer<typeof NachforderungSchema>
-
-export const NachforderungStatusSchema = z
-  .object({
-    nachforderungId: z.string().trim().min(1),
-    status: z.enum(NACHFORDERUNG_STATUS_WERTE),
-    begruendungNichtVorhanden: optionalerText(2000),
-    uebersandtAm: optionalesDatum,
-  })
-  .refine(
-    (daten) =>
-      daten.status !== 'NICHT_VORHANDEN' ||
-      (daten.begruendungNichtVorhanden !== null &&
-        daten.begruendungNichtVorhanden.trim().length >= 5),
-    {
-      message: 'Bitte begründen, warum es die Unterlage nicht gibt.',
-      path: ['begruendungNichtVorhanden'],
-    },
-  )
-
-export const ChecklisteSchema = z.object({
-  antragId: z.string().trim().min(1),
-  schluessel: z.array(z.string().trim().min(1)).min(1, 'Bitte mindestens eine Position auswählen.'),
-  angefordertAm: optionalesDatum,
-  fristBis: optionalesDatum,
-})
-
-// -----------------------------------------------------------------------------
-// Bescheid
-// -----------------------------------------------------------------------------
-
-export const BESCHEID_ART_WERTE = [
-  'BEWILLIGUNG',
-  'ABLEHNUNG',
-  'AENDERUNG',
-  'AUFHEBUNG',
-  'ERSTATTUNG',
-  'VORSCHUSS',
-  'WIDERSPRUCHSBESCHEID',
-] as const
-
-export const PRUEFSTATUS_WERTE = [
-  'UNGEPRUEFT',
-  'GEPRUEFT_OK',
-  'WIDERSPRUCH_EINGELEGT',
-  'WIDERSPRUCH_ERLEDIGT',
-  'FRIST_VERSTRICHEN',
-] as const
-
-export const BescheidSchema = z
-  .object({
-    art: z.enum(BESCHEID_ART_WERTE),
-    bescheidVom: pflichtDatum,
-    zugegangenAm: optionalesDatum,
-    zeitraumVon: optionalesDatum,
-    zeitraumBis: optionalesDatum,
-    betrag: optionalerBetrag,
-    /**
-     * 1 = Regelfall (§ 84 SGG), 12 = fehlende oder fehlerhafte
-     * Rechtsbehelfsbelehrung (§ 66 SGG). Wird ausgewählt, nie geraten.
-     */
-    rechtsbehelfsfristMonate: z.coerce
-      .number()
-      .int()
-      .refine((wert) => wert === 1 || wert === 12, {
-        message: 'Es kommen nur ein Monat (Regelfall) oder ein Jahr (fehlende Belehrung) in Betracht.',
-      })
-      .default(1),
-    widerspruchEingelegtAm: optionalesDatum,
-    notizen: optionalerText(4000),
-    dokumentId: optionalerText(40),
-    /** Soll die Frist "Widerspruch möglich bis" angelegt werden? */
-    fristAnlegen: z.coerce.boolean().default(false),
-  })
-  .refine(
-    (daten) => !daten.zugegangenAm || daten.zugegangenAm >= daten.bescheidVom,
-    {
-      message:
-        'Der Bescheid kann nicht vor seinem Ausstellungsdatum zugegangen sein. Prüfe den ' +
-        'Poststempel.',
-      path: ['zugegangenAm'],
-    },
-  )
-  .refine(
-    (daten) => !daten.zeitraumVon || !daten.zeitraumBis || daten.zeitraumVon <= daten.zeitraumBis,
-    { message: 'Das Ende des Zeitraums liegt vor dem Beginn.', path: ['zeitraumBis'] },
-  )
-  .refine((daten) => !daten.fristAnlegen || daten.zugegangenAm !== null, {
-    message:
-      'Ohne Zugangsdatum lässt sich die Widerspruchsfrist nicht berechnen — und damit auch ' +
-      'keine Frist anlegen.',
-    path: ['zugegangenAm'],
-  })
-
-export type BescheidEingabe = z.infer<typeof BescheidSchema>
-
-export const BescheidStatusSchema = z.object({
-  bescheidId: z.string().trim().min(1),
-  pruefStatus: z.enum(PRUEFSTATUS_WERTE),
-  widerspruchEingelegtAm: optionalesDatum,
-})
-
-// -----------------------------------------------------------------------------
-// Vermögensbewertung
-// -----------------------------------------------------------------------------
-
-export const BEWERTUNG_WERTE = ['UNGEPRUEFT', 'VERWERTBAR', 'GESCHUETZT', 'STRITTIG'] as const
-
-export const BewertungSchema = z
-  .object({
-    herkunft: z.enum(['VERMOEGEN', 'VERTRAG']),
-    id: z.string().trim().min(1),
-    bewertung: z.enum(BEWERTUNG_WERTE),
-    begruendung: optionalerText(6000),
-  })
-  .refine(
-    (daten) =>
-      daten.bewertung === 'UNGEPRUEFT' ||
-      (daten.begruendung !== null && daten.begruendung.trim().length >= 10),
-    {
-      message:
-        'Eine Bewertung ohne Begründung hilft im Widerspruchsverfahren nicht weiter. ' +
-        'Übernimm einen der Textbausteine und passe ihn an.',
-      path: ['begruendung'],
-    },
-  )
-
-// -----------------------------------------------------------------------------
-// Heimkosten
-// -----------------------------------------------------------------------------
-
-export const HeimkostenSchema = z.object({
-  jahr: z.coerce
-    .number()
-    .int()
-    .min(2000, 'Das Jahr liegt außerhalb des sinnvollen Bereichs.')
-    .max(2100, 'Das Jahr liegt außerhalb des sinnvollen Bereichs.'),
-  monat: z.coerce.number().int().min(1, 'Bitte einen Monat wählen.').max(12),
-
-  pflegeEigenanteil: betragOderNull,
-  unterkunftVerpflegung: betragOderNull,
-  investitionskosten: betragOderNull,
-  ausbildungsumlage: betragOderNull,
-  zusatzleistungen: betragOderNull,
-
-  pflegekasse: betragOderNull,
-  leistungszuschlagProzent: z.coerce
-    .number()
-    .int()
-    .min(0, 'Der Zuschlag liegt zwischen 0 und 100 Prozent.')
-    .max(100, 'Der Zuschlag liegt zwischen 0 und 100 Prozent.')
-    .default(0),
-  leistungszuschlag: betragOderNull,
-  rente: betragOderNull,
-  sonstigeEinkuenfte: betragOderNull,
-  sozialhilfe: betragOderNull,
-  eigenmittel: betragOderNull,
-
-  barbetrag: betragOderNull,
-  bekleidungspauschale: betragOderNull,
-
-  abwesenheitstage: z.coerce
-    .number()
-    .int()
-    .min(0, 'Abwesenheitstage können nicht negativ sein.')
-    .max(31, 'Ein Monat hat höchstens 31 Tage.')
-    .default(0),
-
-  bemerkung: optionalerText(2000),
-})
-
-export type HeimkostenEingabeFormular = z.infer<typeof HeimkostenSchema>
-
-// -----------------------------------------------------------------------------
-// Weitere Leistungen
-// -----------------------------------------------------------------------------
-
-export const LEISTUNG_STATUS_WERTE = [
-  'NICHT_GEPRUEFT',
-  'PRUEFUNG_LAEUFT',
-  'BEANTRAGT',
-  'BEWILLIGT',
-  'ABGELEHNT',
-  'LAEUFT',
-  'NICHT_ZUTREFFEND',
-] as const
-
-export const LeistungSchema = z
-  .object({
-    leistungId: optionalerText(40),
-    katalogSchluessel: optionalerText(80),
-    bezeichnung: z.string().trim().min(2, 'Bitte die Leistung benennen.').max(200),
-    traeger: optionalerText(200),
-    rechtsgrundlage: optionalerText(200),
-    status: z.enum(LEISTUNG_STATUS_WERTE).default('NICHT_GEPRUEFT'),
-    beantragtAm: optionalesDatum,
-    bewilligtAm: optionalesDatum,
-    gueltigBis: optionalesDatum,
-    betrag: optionalerBetrag,
-    jaehrlichNeuBeantragen: z.coerce.boolean().default(false),
-    notizen: optionalerText(2000),
-  })
-  .refine((daten) => !daten.bewilligtAm || !daten.beantragtAm || daten.bewilligtAm >= daten.beantragtAm, {
-    message: 'Die Bewilligung kann nicht vor dem Antrag liegen.',
-    path: ['bewilligtAm'],
-  })
-
-export const KatalogUebernehmenSchema = z.object({
-  schluessel: z.array(z.string().trim().min(1)).min(1, 'Bitte mindestens eine Leistung auswählen.'),
-})
-
-// -----------------------------------------------------------------------------
-// Formularhilfen
-// -----------------------------------------------------------------------------
-
-/** Kontrollkästchen liefern "on" oder gar nichts. */
-export function kaestchen(formular: FormData, name: string): boolean {
-  const wert = formular.get(name)
-  return wert === 'on' || wert === 'true' || wert === '1'
-}
-
-/** Liest ein FormData flach in ein Objekt - ohne Mehrfachwerte. */
-export function formularLesen(formular: FormData): Record<string, unknown> {
-  const roh: Record<string, unknown> = {}
-  for (const [name, wert] of formular.entries()) {
-    if (typeof wert === 'string') roh[name] = wert
-  }
-  return roh
-}
-
-/**
- * Zod-Feldfehler in die flache Form bringen, die die Formulare erwarten.
- */
-export function feldfehler(fehler: z.ZodError): Record<string, string> {
-  const flach = fehler.flatten().fieldErrors
-  const ergebnis: Record<string, string> = {}
-  for (const [feld, meldungen] of Object.entries(flach)) {
-    const erste = meldungen?.[0]
-    if (erste) ergebnis[feld] = erste
-  }
-  return ergebnis
-}
+import { z } from 'zod'
+import { betragParsenWennMoeglich } from '@/lib/finanzen/betrag'
+
+/**
+ * Eingabeprüfung für das Sozialhilfemodul.
+ *
+ * Geprüft wird immer serverseitig. Die Meldungen sagen, was zu tun ist -
+ * nicht, welche Regel verletzt wurde. Wer am Handy im Heim steht und eine
+ * Nachforderung erfasst, hat keine Lust auf "invalid input".
+ */
+
+const optionalerText = (max = 200) =>
+  z
+    .string()
+    .trim()
+    .max(max, `Bitte höchstens ${max} Zeichen.`)
+    .transform((wert) => (wert === '' ? null : wert))
+    .nullable()
+    .default(null)
+
+const optionalesDatum = z
+  .string()
+  .trim()
+  .transform((wert) => (wert === '' ? null : wert))
+  .nullable()
+  .default(null)
+  .refine((wert) => wert === null || /^\d{4}-\d{2}-\d{2}$/.test(wert), {
+    message: 'Bitte ein Datum im Format TT.MM.JJJJ wählen.',
+  })
+  .transform((wert) => (wert === null ? null : new Date(`${wert}T00:00:00.000Z`)))
+
+const pflichtDatum = z
+  .string()
+  .trim()
+  .min(1, 'Bitte ein Datum angeben.')
+  .refine((wert) => /^\d{4}-\d{2}-\d{2}$/.test(wert), {
+    message: 'Bitte ein Datum im Format TT.MM.JJJJ wählen.',
+  })
+  .transform((wert) => new Date(`${wert}T00:00:00.000Z`))
+
+/**
+ * Geldbetrag aus einem Textfeld. Leer wird zu null, nicht zu 0 - "keine
+ * Angabe" und "null Euro" sind fachlich zweierlei.
+ */
+const optionalerBetrag = z
+  .string()
+  .trim()
+  .default('')
+  .transform((wert, ctx) => {
+    if (wert === '') return null
+    const cent = betragParsenWennMoeglich(wert)
+    if (cent === null) {
+      ctx.addIssue({
+        code: z.ZodIssueCode.custom,
+        message: 'Bitte einen Betrag wie 1.234,56 eingeben.',
+      })
+      return z.NEVER
+    }
+    return cent
+  })
+
+/** Betrag, der in einer Gegenüberstellung stehen muss - leer heißt 0. */
+const betragOderNull = z
+  .string()
+  .trim()
+  .default('')
+  .transform((wert, ctx) => {
+    if (wert === '') return 0n
+    const cent = betragParsenWennMoeglich(wert)
+    if (cent === null) {
+      ctx.addIssue({
+        code: z.ZodIssueCode.custom,
+        message: 'Bitte einen Betrag wie 1.234,56 eingeben.',
+      })
+      return z.NEVER
+    }
+    if (cent < 0n) {
+      ctx.addIssue({
+        code: z.ZodIssueCode.custom,
+        message: 'In dieser Aufstellung stehen nur positive Beträge.',
+      })
+      return z.NEVER
+    }
+    return cent
+  })
+
+// -----------------------------------------------------------------------------
+// Antragsakte
+// -----------------------------------------------------------------------------
+
+export const AntragSchema = z
+  .object({
+    traeger: z
+      .string()
+      .trim()
+      .min(2, 'Bitte den Träger angeben, z.B. „Bezirk Oberfranken“.')
+      .max(150),
+    leistungsart: z
+      .string()
+      .trim()
+      .min(2, 'Bitte die Leistungsart angeben.')
+      .max(200),
+    aktenzeichen: optionalerText(80),
+    sachbearbeiter: optionalerText(150),
+    telefon: optionalerText(50),
+    email: z
+      .string()
+      .trim()
+      .max(200)
+      .transform((wert) => (wert === '' ? null : wert))
+      .nullable()
+      .default(null)
+      .refine((wert) => wert === null || /^[^\s@]+@[^\s@]+\.[^\s@]+$/.test(wert), {
+        message: 'Bitte eine gültige E-Mail-Adresse angeben oder das Feld leer lassen.',
+      }),
+    antragAm: optionalesDatum,
+    eingangBeimTraegerAm: optionalesDatum,
+    bewilligtVon: optionalesDatum,
+    bewilligtBis: optionalesDatum,
+    notizen: optionalerText(4000),
+  })
+  .refine(
+    (daten) =>
+      !daten.bewilligtVon || !daten.bewilligtBis || daten.bewilligtVon <= daten.bewilligtBis,
+    {
+      message: 'Das Ende des Bewilligungszeitraums liegt vor dem Beginn.',
+      path: ['bewilligtBis'],
+    },
+  )
+  .refine(
+    (daten) =>
+      !daten.antragAm ||
+      !daten.eingangBeimTraegerAm ||
+      daten.antragAm <= daten.eingangBeimTraegerAm,
+    {
+      message: 'Der Eingang beim Träger kann nicht vor dem Antragsdatum liegen.',
+      path: ['eingangBeimTraegerAm'],
+    },
+  )
+
+export type AntragEingabe = z.infer<typeof AntragSchema>
+
+// -----------------------------------------------------------------------------
+// Nachforderung
+// -----------------------------------------------------------------------------
+
+export const NACHFORDERUNG_STATUS_WERTE = [
+  'OFFEN',
+  'IN_BESCHAFFUNG',
+  'UEBERSANDT',
+  'ANERKANNT',
+  'NICHT_VORHANDEN',
+] as const
+
+export const NachforderungSchema = z
+  .object({
+    bezeichnung: z
+      .string()
+      .trim()
+      .min(2, 'Bitte benennen, welche Unterlage der Träger will.')
+      .max(200),
+    erlaeuterung: optionalerText(2000),
+    status: z.enum(NACHFORDERUNG_STATUS_WERTE).default('OFFEN'),
+    angefordertAm: optionalesDatum,
+    fristBis: optionalesDatum,
+    uebersandtAm: optionalesDatum,
+    begruendungNichtVorhanden: optionalerText(2000),
+    reihenfolge: z.coerce.number().int().min(0).max(10_000).default(0),
+    dokumentId: optionalerText(40),
+    /** Soll aus der Frist des Trägers eine Frist im Fristenmodul werden? */
+    fristAnlegen: z.coerce.boolean().default(false),
+  })
+  .refine(
+    (daten) =>
+      daten.status !== 'NICHT_VORHANDEN' ||
+      (daten.begruendungNichtVorhanden !== null &&
+        daten.begruendungNichtVorhanden.trim().length >= 5),
+    {
+      message:
+        'Bitte begründen, warum es die Unterlage nicht gibt. Die Begründung geht mit ins ' +
+        'Unterlagenpaket — ohne sie sieht der Träger nur eine Lücke.',
+      path: ['begruendungNichtVorhanden'],
+    },
+  )
+  .refine((daten) => daten.status !== 'UEBERSANDT' || daten.uebersandtAm !== null, {
+    message:
+      'Bitte das Übersendungsdatum angeben — es ist der Nachweis der Mitwirkung, wenn der ' +
+      'Träger später von fehlenden Unterlagen ausgeht.',
+    path: ['uebersandtAm'],
+  })
+  .refine((daten) => !daten.fristAnlegen || daten.fristBis !== null, {
+    message: 'Für eine Frist im Fristenmodul brauche ich ein Fristdatum.',
+    path: ['fristBis'],
+  })
+
+export type NachforderungEingabe = z.infer<typeof NachforderungSchema>
+
+export const NachforderungStatusSchema = z
+  .object({
+    nachforderungId: z.string().trim().min(1),
+    status: z.enum(NACHFORDERUNG_STATUS_WERTE),
+    begruendungNichtVorhanden: optionalerText(2000),
+    uebersandtAm: optionalesDatum,
+  })
+  .refine(
+    (daten) =>
+      daten.status !== 'NICHT_VORHANDEN' ||
+      (daten.begruendungNichtVorhanden !== null &&
+        daten.begruendungNichtVorhanden.trim().length >= 5),
+    {
+      message: 'Bitte begründen, warum es die Unterlage nicht gibt.',
+      path: ['begruendungNichtVorhanden'],
+    },
+  )
+
+export const ChecklisteSchema = z.object({
+  antragId: z.string().trim().min(1),
+  schluessel: z.array(z.string().trim().min(1)).min(1, 'Bitte mindestens eine Position auswählen.'),
+  angefordertAm: optionalesDatum,
+  fristBis: optionalesDatum,
+})
+
+// -----------------------------------------------------------------------------
+// Bescheid
+// -----------------------------------------------------------------------------
+
+export const BESCHEID_ART_WERTE = [
+  'BEWILLIGUNG',
+  'ABLEHNUNG',
+  'AENDERUNG',
+  'AUFHEBUNG',
+  'ERSTATTUNG',
+  'VORSCHUSS',
+  'WIDERSPRUCHSBESCHEID',
+] as const
+
+export const PRUEFSTATUS_WERTE = [
+  'UNGEPRUEFT',
+  'GEPRUEFT_OK',
+  'WIDERSPRUCH_EINGELEGT',
+  'WIDERSPRUCH_ERLEDIGT',
+  'FRIST_VERSTRICHEN',
+] as const
+
+export const BescheidSchema = z
+  .object({
+    art: z.enum(BESCHEID_ART_WERTE),
+    bescheidVom: pflichtDatum,
+    zugegangenAm: optionalesDatum,
+    zeitraumVon: optionalesDatum,
+    zeitraumBis: optionalesDatum,
+    betrag: optionalerBetrag,
+    /**
+     * 1 = Regelfall (§ 84 SGG), 12 = fehlende oder fehlerhafte
+     * Rechtsbehelfsbelehrung (§ 66 SGG). Wird ausgewählt, nie geraten.
+     */
+    rechtsbehelfsfristMonate: z.coerce
+      .number()
+      .int()
+      .refine((wert) => wert === 1 || wert === 12, {
+        message: 'Es kommen nur ein Monat (Regelfall) oder ein Jahr (fehlende Belehrung) in Betracht.',
+      })
+      .default(1),
+    widerspruchEingelegtAm: optionalesDatum,
+    notizen: optionalerText(4000),
+    dokumentId: optionalerText(40),
+    /** Soll die Frist "Widerspruch möglich bis" angelegt werden? */
+    fristAnlegen: z.coerce.boolean().default(false),
+  })
+  .refine(
+    (daten) => !daten.zugegangenAm || daten.zugegangenAm >= daten.bescheidVom,
+    {
+      message:
+        'Der Bescheid kann nicht vor seinem Ausstellungsdatum zugegangen sein. Prüfe den ' +
+        'Poststempel.',
+      path: ['zugegangenAm'],
+    },
+  )
+  .refine(
+    (daten) => !daten.zeitraumVon || !daten.zeitraumBis || daten.zeitraumVon <= daten.zeitraumBis,
+    { message: 'Das Ende des Zeitraums liegt vor dem Beginn.', path: ['zeitraumBis'] },
+  )
+  .refine((daten) => !daten.fristAnlegen || daten.zugegangenAm !== null, {
+    message:
+      'Ohne Zugangsdatum lässt sich die Widerspruchsfrist nicht berechnen — und damit auch ' +
+      'keine Frist anlegen.',
+    path: ['zugegangenAm'],
+  })
+
+export type BescheidEingabe = z.infer<typeof BescheidSchema>
+
+export const BescheidStatusSchema = z.object({
+  bescheidId: z.string().trim().min(1),
+  pruefStatus: z.enum(PRUEFSTATUS_WERTE),
+  widerspruchEingelegtAm: optionalesDatum,
+})
+
+// -----------------------------------------------------------------------------
+// Vermögensbewertung
+// -----------------------------------------------------------------------------
+
+export const BEWERTUNG_WERTE = ['UNGEPRUEFT', 'VERWERTBAR', 'GESCHUETZT', 'STRITTIG'] as const
+
+export const BewertungSchema = z
+  .object({
+    herkunft: z.enum(['VERMOEGEN', 'VERTRAG']),
+    id: z.string().trim().min(1),
+    bewertung: z.enum(BEWERTUNG_WERTE),
+    begruendung: optionalerText(6000),
+  })
+  .refine(
+    (daten) =>
+      daten.bewertung === 'UNGEPRUEFT' ||
+      (daten.begruendung !== null && daten.begruendung.trim().length >= 10),
+    {
+      message:
+        'Eine Bewertung ohne Begründung hilft im Widerspruchsverfahren nicht weiter. ' +
+        'Übernimm einen der Textbausteine und passe ihn an.',
+      path: ['begruendung'],
+    },
+  )
+
+// -----------------------------------------------------------------------------
+// Heimkosten
+// -----------------------------------------------------------------------------
+
+export const HeimkostenSchema = z.object({
+  jahr: z.coerce
+    .number()
+    .int()
+    .min(2000, 'Das Jahr liegt außerhalb des sinnvollen Bereichs.')
+    .max(2100, 'Das Jahr liegt außerhalb des sinnvollen Bereichs.'),
+  monat: z.coerce.number().int().min(1, 'Bitte einen Monat wählen.').max(12),
+
+  pflegeEigenanteil: betragOderNull,
+  unterkunftVerpflegung: betragOderNull,
+  investitionskosten: betragOderNull,
+  ausbildungsumlage: betragOderNull,
+  zusatzleistungen: betragOderNull,
+
+  pflegekasse: betragOderNull,
+  leistungszuschlagProzent: z.coerce
+    .number()
+    .int()
+    .min(0, 'Der Zuschlag liegt zwischen 0 und 100 Prozent.')
+    .max(100, 'Der Zuschlag liegt zwischen 0 und 100 Prozent.')
+    .default(0),
+  leistungszuschlag: betragOderNull,
+  rente: betragOderNull,
+  sonstigeEinkuenfte: betragOderNull,
+  sozialhilfe: betragOderNull,
+  eigenmittel: betragOderNull,
+
+  barbetrag: betragOderNull,
+  bekleidungspauschale: betragOderNull,
+
+  abwesenheitstage: z.coerce
+    .number()
+    .int()
+    .min(0, 'Abwesenheitstage können nicht negativ sein.')
+    .max(31, 'Ein Monat hat höchstens 31 Tage.')
+    .default(0),
+
+  bemerkung: optionalerText(2000),
+})
+
+export type HeimkostenEingabeFormular = z.infer<typeof HeimkostenSchema>
+
+// -----------------------------------------------------------------------------
+// Weitere Leistungen
+// -----------------------------------------------------------------------------
+
+export const LEISTUNG_STATUS_WERTE = [
+  'NICHT_GEPRUEFT',
+  'PRUEFUNG_LAEUFT',
+  'BEANTRAGT',
+  'BEWILLIGT',
+  'ABGELEHNT',
+  'LAEUFT',
+  'NICHT_ZUTREFFEND',
+] as const
+
+export const LeistungSchema = z
+  .object({
+    leistungId: optionalerText(40),
+    katalogSchluessel: optionalerText(80),
+    bezeichnung: z.string().trim().min(2, 'Bitte die Leistung benennen.').max(200),
+    traeger: optionalerText(200),
+    rechtsgrundlage: optionalerText(200),
+    status: z.enum(LEISTUNG_STATUS_WERTE).default('NICHT_GEPRUEFT'),
+    beantragtAm: optionalesDatum,
+    bewilligtAm: optionalesDatum,
+    gueltigBis: optionalesDatum,
+    betrag: optionalerBetrag,
+    jaehrlichNeuBeantragen: z.coerce.boolean().default(false),
+    notizen: optionalerText(2000),
+  })
+  .refine((daten) => !daten.bewilligtAm || !daten.beantragtAm || daten.bewilligtAm >= daten.beantragtAm, {
+    message: 'Die Bewilligung kann nicht vor dem Antrag liegen.',
+    path: ['bewilligtAm'],
+  })
+
+export const KatalogUebernehmenSchema = z.object({
+  schluessel: z.array(z.string().trim().min(1)).min(1, 'Bitte mindestens eine Leistung auswählen.'),
+})
+
+// -----------------------------------------------------------------------------
+// Formularhilfen
+// -----------------------------------------------------------------------------
+
+/** Kontrollkästchen liefern "on" oder gar nichts. */
+export function kaestchen(formular: FormData, name: string): boolean {
+  const wert = formular.get(name)
+  return wert === 'on' || wert === 'true' || wert === '1'
+}
+
+/** Liest ein FormData flach in ein Objekt - ohne Mehrfachwerte. */
+export function formularLesen(formular: FormData): Record<string, unknown> {
+  const roh: Record<string, unknown> = {}
+  for (const [name, wert] of formular.entries()) {
+    if (typeof wert === 'string') roh[name] = wert
+  }
+  return roh
+}
+
+/**
+ * Zod-Feldfehler in die flache Form bringen, die die Formulare erwarten.
+ */
+export function feldfehler(fehler: z.ZodError): Record<string, string> {
+  const flach = fehler.flatten().fieldErrors
+  const ergebnis: Record<string, string> = {}
+  for (const [feld, meldungen] of Object.entries(flach)) {
+    const erste = meldungen?.[0]
+    if (erste) ergebnis[feld] = erste
+  }
+  return ergebnis
+}
@@ -1,171 +1,171 @@
-import { z } from 'zod'
-import {
-  optionalerBetrag,
-  optionalerText,
-  optionaleZahl,
-  optionalesDatum,
-  pflichtBetrag,
-  pflichtDatum,
-  pflichtText,
-} from '@/lib/validierung/substanz'
-import { WERTQUELLEN_VERTRAG } from '@/lib/vertraege/konstanten'
-
-/**
- * Eingabepruefung fuer Versicherungen und Vertraege.
- */
-
-export const VERTRAG_ARTEN = [
-  'LEBENSVERSICHERUNG',
-  'STERBEGELDVERSICHERUNG',
-  'BESTATTUNGSVORSORGE',
-  'RENTENVERSICHERUNG_PRIVAT',
-  'UNFALLVERSICHERUNG',
-  'HAFTPFLICHT',
-  'HAUSRAT',
-  'WOHNGEBAEUDE',
-  'KRANKENZUSATZ',
-  'PFLEGEZUSATZ',
-  'RECHTSSCHUTZ',
-  'STERBEKASSE',
-  'STROM',
-  'GAS',
-  'WASSER',
-  'TELEFON_INTERNET',
-  'RUNDFUNKBEITRAG',
-  'MITGLIEDSCHAFT',
-  'ABONNEMENT',
-  'SONSTIGES',
-] as const
-
-export const VERTRAG_STATUS = [
-  'AKTIV',
-  'BEITRAGSFREI',
-  'RUHEND',
-  'GEKUENDIGT',
-  'ABGETRETEN',
-  'VERWERTET',
-  'ABGELAUFEN',
-] as const
-
-export const ZAHL_RHYTHMEN = [
-  'MONATLICH',
-  'VIERTELJAEHRLICH',
-  'HALBJAEHRLICH',
-  'JAEHRLICH',
-  'EINMALIG',
-] as const
-
-export const BEWERTUNGEN = ['UNGEPRUEFT', 'VERWERTBAR', 'GESCHUETZT', 'STRITTIG'] as const
-
-export const VertragSchema = z
-  .object({
-    bezeichnung: pflichtText(
-      150,
-      'Bitte eine Bezeichnung angeben, z. B. „Sterbegeldversicherung Allianz“.',
-    ),
-    gesellschaft: optionalerText(150),
-    art: z.enum(VERTRAG_ARTEN),
-    status: z.enum(VERTRAG_STATUS).default('AKTIV'),
-
-    /** Wird verschlüsselt gespeichert. */
-    vertragsnummer: optionalerText(80),
-
-    beginnAm: optionalesDatum,
-    endeAm: optionalesDatum,
-    kuendigungsfristMonate: optionaleZahl(
-      0,
-      120,
-      'Bitte die Kündigungsfrist in ganzen Monaten angeben.',
-    ),
-    kuendigungZum: optionalesDatum,
-    gekuendigtAm: optionalesDatum,
-
-    beitrag: optionalerBetrag,
-    rhythmus: z.enum(ZAHL_RHYTHMEN).nullable().catch(null),
-
-    bewertungSozialhilfe: z.enum(BEWERTUNGEN).default('UNGEPRUEFT'),
-    bewertungBegruendung: optionalerText(4000),
-
-    notizen: optionalerText(4000),
-  })
-  .superRefine((daten, kontext) => {
-    if (daten.beginnAm && daten.endeAm && daten.endeAm.getTime() < daten.beginnAm.getTime()) {
-      kontext.addIssue({
-        code: z.ZodIssueCode.custom,
-        path: ['endeAm'],
-        message: 'Das Vertragsende liegt vor dem Beginn.',
-      })
-    }
-    if (daten.beitrag !== null && !daten.rhythmus) {
-      kontext.addIssue({
-        code: z.ZodIssueCode.custom,
-        path: ['rhythmus'],
-        message: 'Zu einem Beitrag gehört der Zahlungsrhythmus — sonst lässt sich der Jahresbeitrag nicht rechnen.',
-      })
-    }
-    if (daten.bewertungSozialhilfe !== 'UNGEPRUEFT' && !daten.bewertungBegruendung) {
-      kontext.addIssue({
-        code: z.ZodIssueCode.custom,
-        path: ['bewertungBegruendung'],
-        message:
-          'Bitte begründen, warum du den Vertrag so einordnest. Der Bezirk fragt danach, ' +
-          'und im Zweifel steht diese Begründung Jahre später im Widerspruchsverfahren.',
-      })
-    }
-    if (daten.status === 'GEKUENDIGT' && !daten.gekuendigtAm) {
-      kontext.addIssue({
-        code: z.ZodIssueCode.custom,
-        path: ['gekuendigtAm'],
-        message: 'Bitte das Datum der Kündigung angeben.',
-      })
-    }
-  })
-
-export type VertragEingabe = z.infer<typeof VertragSchema>
-
-/** Rückkaufswert zu einem Stichtag - Historie, nichts wird überschrieben. */
-export const RueckkaufswertSchema = z.object({
-  stichtag: pflichtDatum,
-  wert: pflichtBetrag,
-  wertquelle: z.enum(WERTQUELLEN_VERTRAG, {
-    errorMap: () => ({ message: 'Bitte angeben, woher der Wert stammt.' }),
-  }),
-  bemerkung: optionalerText(1000),
-})
-
-export type RueckkaufswertEingabe = z.infer<typeof RueckkaufswertSchema>
-
-export const RueckkaufswertAnfrageSchema = z.object({
-  stichtag: pflichtDatum,
-  empfaengerAnschrift: optionalerText(500),
-})
-
-export type RueckkaufswertAnfrageEingabe = z.infer<typeof RueckkaufswertAnfrageSchema>
-
-/**
- * Kündigung vermerken. Der Versandnachweis ist Pflicht: Ohne ihn lässt
- * sich der Zugang nicht beweisen, und beweisen muss ihn derjenige, der
- * gekündigt hat.
- */
-export const KuendigungVermerkenSchema = z
-  .object({
-    gekuendigtAm: pflichtDatum,
-    kuendigungZum: optionalesDatum,
-    versandart: pflichtText(100, 'Bitte angeben, wie die Kündigung versandt wurde.'),
-    nachweisVorhanden: z.boolean().default(false),
-    genehmigungGeklaert: z.boolean().default(false),
-    bemerkung: optionalerText(2000),
-  })
-  .superRefine((daten, kontext) => {
-    if (!daten.nachweisVorhanden) {
-      kontext.addIssue({
-        code: z.ZodIssueCode.custom,
-        path: ['nachweisVorhanden'],
-        message:
-          'Ohne Versandnachweis wird die Kündigung nicht als erledigt geführt. ' +
-          'Lade Einschreibenbeleg oder Faxprotokoll als Dokument hoch und hake dann an.',
-      })
-    }
-  })
-
-export type KuendigungVermerkenEingabe = z.infer<typeof KuendigungVermerkenSchema>
+import { z } from 'zod'
+import {
+  optionalerBetrag,
+  optionalerText,
+  optionaleZahl,
+  optionalesDatum,
+  pflichtBetrag,
+  pflichtDatum,
+  pflichtText,
+} from '@/lib/validierung/substanz'
+import { WERTQUELLEN_VERTRAG } from '@/lib/vertraege/konstanten'
+
+/**
+ * Eingabepruefung fuer Versicherungen und Vertraege.
+ */
+
+export const VERTRAG_ARTEN = [
+  'LEBENSVERSICHERUNG',
+  'STERBEGELDVERSICHERUNG',
+  'BESTATTUNGSVORSORGE',
+  'RENTENVERSICHERUNG_PRIVAT',
+  'UNFALLVERSICHERUNG',
+  'HAFTPFLICHT',
+  'HAUSRAT',
+  'WOHNGEBAEUDE',
+  'KRANKENZUSATZ',
+  'PFLEGEZUSATZ',
+  'RECHTSSCHUTZ',
+  'STERBEKASSE',
+  'STROM',
+  'GAS',
+  'WASSER',
+  'TELEFON_INTERNET',
+  'RUNDFUNKBEITRAG',
+  'MITGLIEDSCHAFT',
+  'ABONNEMENT',
+  'SONSTIGES',
+] as const
+
+export const VERTRAG_STATUS = [
+  'AKTIV',
+  'BEITRAGSFREI',
+  'RUHEND',
+  'GEKUENDIGT',
+  'ABGETRETEN',
+  'VERWERTET',
+  'ABGELAUFEN',
+] as const
+
+export const ZAHL_RHYTHMEN = [
+  'MONATLICH',
+  'VIERTELJAEHRLICH',
+  'HALBJAEHRLICH',
+  'JAEHRLICH',
+  'EINMALIG',
+] as const
+
+export const BEWERTUNGEN = ['UNGEPRUEFT', 'VERWERTBAR', 'GESCHUETZT', 'STRITTIG'] as const
+
+export const VertragSchema = z
+  .object({
+    bezeichnung: pflichtText(
+      150,
+      'Bitte eine Bezeichnung angeben, z. B. „Sterbegeldversicherung Allianz“.',
+    ),
+    gesellschaft: optionalerText(150),
+    art: z.enum(VERTRAG_ARTEN),
+    status: z.enum(VERTRAG_STATUS).default('AKTIV'),
+
+    /** Wird verschlüsselt gespeichert. */
+    vertragsnummer: optionalerText(80),
+
+    beginnAm: optionalesDatum,
+    endeAm: optionalesDatum,
+    kuendigungsfristMonate: optionaleZahl(
+      0,
+      120,
+      'Bitte die Kündigungsfrist in ganzen Monaten angeben.',
+    ),
+    kuendigungZum: optionalesDatum,
+    gekuendigtAm: optionalesDatum,
+
+    beitrag: optionalerBetrag,
+    rhythmus: z.enum(ZAHL_RHYTHMEN).nullable().catch(null),
+
+    bewertungSozialhilfe: z.enum(BEWERTUNGEN).default('UNGEPRUEFT'),
+    bewertungBegruendung: optionalerText(4000),
+
+    notizen: optionalerText(4000),
+  })
+  .superRefine((daten, kontext) => {
+    if (daten.beginnAm && daten.endeAm && daten.endeAm.getTime() < daten.beginnAm.getTime()) {
+      kontext.addIssue({
+        code: z.ZodIssueCode.custom,
+        path: ['endeAm'],
+        message: 'Das Vertragsende liegt vor dem Beginn.',
+      })
+    }
+    if (daten.beitrag !== null && !daten.rhythmus) {
+      kontext.addIssue({
+        code: z.ZodIssueCode.custom,
+        path: ['rhythmus'],
+        message: 'Zu einem Beitrag gehört der Zahlungsrhythmus — sonst lässt sich der Jahresbeitrag nicht rechnen.',
+      })
+    }
+    if (daten.bewertungSozialhilfe !== 'UNGEPRUEFT' && !daten.bewertungBegruendung) {
+      kontext.addIssue({
+        code: z.ZodIssueCode.custom,
+        path: ['bewertungBegruendung'],
+        message:
+          'Bitte begründen, warum du den Vertrag so einordnest. Der Bezirk fragt danach, ' +
+          'und im Zweifel steht diese Begründung Jahre später im Widerspruchsverfahren.',
+      })
+    }
+    if (daten.status === 'GEKUENDIGT' && !daten.gekuendigtAm) {
+      kontext.addIssue({
+        code: z.ZodIssueCode.custom,
+        path: ['gekuendigtAm'],
+        message: 'Bitte das Datum der Kündigung angeben.',
+      })
+    }
+  })
+
+export type VertragEingabe = z.infer<typeof VertragSchema>
+
+/** Rückkaufswert zu einem Stichtag - Historie, nichts wird überschrieben. */
+export const RueckkaufswertSchema = z.object({
+  stichtag: pflichtDatum,
+  wert: pflichtBetrag,
+  wertquelle: z.enum(WERTQUELLEN_VERTRAG, {
+    errorMap: () => ({ message: 'Bitte angeben, woher der Wert stammt.' }),
+  }),
+  bemerkung: optionalerText(1000),
+})
+
+export type RueckkaufswertEingabe = z.infer<typeof RueckkaufswertSchema>
+
+export const RueckkaufswertAnfrageSchema = z.object({
+  stichtag: pflichtDatum,
+  empfaengerAnschrift: optionalerText(500),
+})
+
+export type RueckkaufswertAnfrageEingabe = z.infer<typeof RueckkaufswertAnfrageSchema>
+
+/**
+ * Kündigung vermerken. Der Versandnachweis ist Pflicht: Ohne ihn lässt
+ * sich der Zugang nicht beweisen, und beweisen muss ihn derjenige, der
+ * gekündigt hat.
+ */
+export const KuendigungVermerkenSchema = z
+  .object({
+    gekuendigtAm: pflichtDatum,
+    kuendigungZum: optionalesDatum,
+    versandart: pflichtText(100, 'Bitte angeben, wie die Kündigung versandt wurde.'),
+    nachweisVorhanden: z.boolean().default(false),
+    genehmigungGeklaert: z.boolean().default(false),
+    bemerkung: optionalerText(2000),
+  })
+  .superRefine((daten, kontext) => {
+    if (!daten.nachweisVorhanden) {
+      kontext.addIssue({
+        code: z.ZodIssueCode.custom,
+        path: ['nachweisVorhanden'],
+        message:
+          'Ohne Versandnachweis wird die Kündigung nicht als erledigt geführt. ' +
+          'Lade Einschreibenbeleg oder Faxprotokoll als Dokument hoch und hake dann an.',
+      })
+    }
+  })
+
+export type KuendigungVermerkenEingabe = z.infer<typeof KuendigungVermerkenSchema>
@@ -17,7 +17,7 @@
 */

 /** Muss zur "version" in der package.json passen. */
-export const VERSION = '1.10.0'
+export const VERSION = '1.12.0'

 /**
 * Kurzer Git-Stand, beim Bauen hineingereicht:
@@ -1,227 +1,227 @@
-import { alsIsoTag, heuteAlsTag, plusJahre, plusMonate, plusTage, tageZwischen, tagesdatum } from '@/lib/fristen/datum'
-
-/**
- * Kuendigungsfrist-Rechner.
- *
- * Die eigentliche Falle bei Versicherungsvertraegen ist nicht der
- * Kuendigungstermin, sondern der Tag, an dem der Brief spaetestens raus
- * muss. Eine Kuendigung wird mit dem ZUGANG beim Versicherer wirksam, nicht
- * mit dem Absenden - wer am letzten Tag der Frist einwirft, hat die Frist
- * verpasst und zahlt ein weiteres Jahr.
- *
- * Deshalb rechnet diese Datei drei Daten aus:
- *
- *   1. den naechstmoeglichen Kuendigungstermin (zu wann kann gekuendigt werden),
- *   2. den Tag, an dem die Kuendigung spaetestens zugehen muss,
- *   3. den spaetesten Absendetag mit Postlaufpuffer.
- *
- * Reine Logik, keine Datenbank.
- */
-
-/**
- * Puffer zwischen Absenden und Zugang. Drei Kalendertage sind knapp, aber
- * bei einem Einwurf-Einschreiben realistisch. Wer es genauer braucht,
- * schickt zusaetzlich ein Fax oder eine E-Mail - beides zaehlt fuer den
- * Zugang und ist am selben Tag da.
- */
-export const POSTLAUF_PUFFER_TAGE = 3
-
-/** Ab wann wird gewarnt, dass der Absendetag naeher rueckt. */
-export const KUENDIGUNG_VORWARNUNG_TAGE = 30
-
-/**
- * Verlaengerung, wenn im Vertrag keine Laufzeit hinterlegt ist. Ein Jahr
- * ist bei Versicherungen der Regelfall (§ 11 Abs. 1 VVG).
- */
-export const STANDARD_LAUFZEIT_JAHRE = 1
-
-export type KuendigungEingabe = {
-  /** Laufzeitbeginn laut Vertrag. */
-  beginnAm: Date | null
-  /** Fest vereinbartes Vertragsende, falls bekannt. */
-  endeAm?: Date | null
-  /** Vertragsdauer in Jahren; fehlt sie, wird mit einem Jahr gerechnet. */
-  laufzeitJahre?: number | null
-  /** Kuendigungsfrist in Monaten zum Ende der Laufzeit. */
-  kuendigungsfristMonate: number | null
-  /** Verlaengert sich der Vertrag stillschweigend? Regelfall: ja. */
-  verlaengertSichAutomatisch?: boolean
-  /** Bezugstag; im Test gesetzt, sonst heute. */
-  heute?: Date
-}
-
-export type Kuendigungsplan = {
-  /** Laesst sich ueberhaupt etwas berechnen? */
-  berechenbar: boolean
-  /** Zu diesem Tag kann als Naechstes gekuendigt werden. */
-  naechsterTermin: Date | null
-  /** Bis zu diesem Tag muss die Kuendigung beim Vertragspartner sein. */
-  zugangSpaetestensAm: Date | null
-  /** Bis zu diesem Tag muss der Brief raus (Zugang minus Postlauf). */
-  spaetesterAbsendetag: Date | null
-  /** Tage von heute bis zum Absendetag. Negativ heisst: schon vorbei. */
-  tageBisAbsendetag: number | null
-  /** Weniger als 30 Tage bis zum Absendetag - jetzt handeln. */
-  vorwarnung: boolean
-  /** Der Absendetag ist verstrichen und der Vertrag laeuft aus. */
-  verpasst: boolean
-  /** Erklaerungen und Annahmen, die in die Rechnung eingegangen sind. */
-  hinweise: string[]
-}
-
-const LEERER_PLAN: Kuendigungsplan = {
-  berechenbar: false,
-  naechsterTermin: null,
-  zugangSpaetestensAm: null,
-  spaetesterAbsendetag: null,
-  tageBisAbsendetag: null,
-  vorwarnung: false,
-  verpasst: false,
-  hinweise: [],
-}
-
-/**
- * Berechnet den naechstmoeglichen Kuendigungstermin.
- *
- * Vorgehen: Vom ersten Ablauftermin an wird geprueft, ob der zugehoerige
- * Absendetag noch in der Zukunft liegt. Ist er verstrichen, wird um eine
- * Laufzeit weitergerueckt. Der erste Termin, dessen Brief noch rechtzeitig
- * rausgeht, ist der naechstmoegliche.
- */
-export function kuendigungsplan(eingabe: KuendigungEingabe): Kuendigungsplan {
-  const heute = tagesdatum(eingabe.heute ?? heuteAlsTag())
-  const hinweise: string[] = []
-
-  const frist = eingabe.kuendigungsfristMonate
-  if (frist === null || frist === undefined) {
-    hinweise.push(
-      'Es ist keine Kündigungsfrist hinterlegt. Es wird ohne Frist gerechnet — ' +
-        'bitte im Vertrag nachsehen und nachtragen.',
-    )
-  }
-  const fristMonate = frist ?? 0
-
-  const laufzeit =
-    eingabe.laufzeitJahre && eingabe.laufzeitJahre > 0
-      ? eingabe.laufzeitJahre
-      : STANDARD_LAUFZEIT_JAHRE
-  if (!eingabe.laufzeitJahre || eingabe.laufzeitJahre <= 0) {
-    hinweise.push(
-      `Im Vertrag steht keine Laufzeit. Gerechnet wird mit einer Verlängerung um ` +
-        `${STANDARD_LAUFZEIT_JAHRE} Jahr — bei Versicherungen der Regelfall.`,
-    )
-  }
-
-  const verlaengert = eingabe.verlaengertSichAutomatisch ?? true
-
-  // Erster Ablauftermin: das vereinbarte Ende, sonst Beginn plus Laufzeit.
-  let termin: Date | null = null
-  if (eingabe.endeAm) {
-    termin = tagesdatum(eingabe.endeAm)
-  } else if (eingabe.beginnAm) {
-    termin = plusJahre(tagesdatum(eingabe.beginnAm), laufzeit)
-  }
-
-  if (!termin) {
-    return {
-      ...LEERER_PLAN,
-      hinweise: [
-        'Ohne Laufzeitbeginn oder Vertragsende lässt sich kein Kündigungstermin ' +
-          'berechnen. Bitte mindestens den Vertragsbeginn eintragen.',
-      ],
-    }
-  }
-
-  // Bis zu 200 Verlaengerungen durchgehen - deckt auch einen Vertrag von
-  // 1962 ab, ohne bei fehlerhaften Daten endlos zu laufen.
-  let absendetag = absendetagZu(termin, fristMonate)
-  let durchlaeufe = 0
-  while (absendetag.getTime() < heute.getTime() && verlaengert && durchlaeufe < 200) {
-    termin = plusJahre(termin, laufzeit)
-    absendetag = absendetagZu(termin, fristMonate)
-    durchlaeufe += 1
-  }
-
-  const zugang = plusMonate(termin, -fristMonate)
-  const tageBis = tageZwischen(heute, absendetag)
-  const verpasst = absendetag.getTime() < heute.getTime()
-
-  if (verpasst) {
-    hinweise.push(
-      `Der Absendetag für den Termin ${alsIsoTag(termin)} ist verstrichen. ` +
-        `Dieser Vertrag verlängert sich nicht automatisch — eine Kündigung zu diesem ` +
-        `Termin ist nicht mehr möglich.`,
-    )
-  } else if (durchlaeufe > 0) {
-    hinweise.push(
-      `Der Vertrag hat sich bereits ${durchlaeufe}-mal verlängert. Angezeigt ist der ` +
-        `nächste Termin, zu dem noch rechtzeitig gekündigt werden kann.`,
-    )
-  }
-
-  hinweise.push(
-    `Eine Kündigung wird mit dem Zugang wirksam, nicht mit dem Absenden. Deshalb ` +
-      `sind zwischen Absendetag und Zugang ${POSTLAUF_PUFFER_TAGE} Tage Postlauf ` +
-      `eingerechnet. Am sichersten: Einschreiben mit Rückschein oder zusätzlich ` +
-      `ein Fax mit Sendeprotokoll.`,
-  )
-
-  return {
-    berechenbar: true,
-    naechsterTermin: termin,
-    zugangSpaetestensAm: zugang,
-    spaetesterAbsendetag: absendetag,
-    tageBisAbsendetag: tageBis,
-    vorwarnung: !verpasst && tageBis <= KUENDIGUNG_VORWARNUNG_TAGE,
-    verpasst,
-    hinweise,
-  }
-}
-
-/** Der Absendetag zu einem Termin: Termin minus Frist minus Postlauf. */
-export function absendetagZu(termin: Date, fristMonate: number): Date {
-  return plusTage(plusMonate(tagesdatum(termin), -fristMonate), -POSTLAUF_PUFFER_TAGE)
-}
-
-/**
- * Kurzfassung fuer die Uebersichtstabelle: eine Ampelstufe je Vertrag.
- * Farbe ist nie die einzige Information - der Text steht daneben.
- */
-export type Kuendigungsampel = {
-  variante: 'rot' | 'orange' | 'gelb' | 'gruen'
-  text: string
-}
-
-export function kuendigungsampel(plan: Kuendigungsplan): Kuendigungsampel | null {
-  if (!plan.berechenbar || plan.tageBisAbsendetag === null) return null
-  if (plan.verpasst) {
-    return { variante: 'rot', text: 'Absendetag verstrichen' }
-  }
-  const tage = plan.tageBisAbsendetag
-  if (tage <= 7) return { variante: 'rot', text: `Brief muss in ${tage} Tagen raus` }
-  if (tage <= KUENDIGUNG_VORWARNUNG_TAGE) {
-    return { variante: 'orange', text: `Brief muss in ${tage} Tagen raus` }
-  }
-  if (tage <= 60) return { variante: 'gelb', text: `Absendetag in ${tage} Tagen` }
-  return { variante: 'gruen', text: `Absendetag in ${tage} Tagen` }
-}
-
-/**
- * Die Vertragsdauer aus Beginn und vereinbartem Ende.
- *
- * Das Datenmodell kennt kein Feld "Laufzeit" (siehe
- * docs/schema-wuensche/substanz.md, Punkt 8). Stehen aber beide Daten im
- * Vertrag, ergibt sich die Dauer daraus: Ein Vertrag vom 01.01.2018 bis
- * 01.01.2021 hat eine dreijaehrige Laufzeit und verlaengert sich um
- * dieselbe Spanne. Gerundet wird auf volle Jahre - ein Jahr sind 365 Tage,
- * ein Schaltjahr 366, und beides soll dieselbe Laufzeit ergeben. Liegt die
- * Spanne unter einem halben Jahr, bleibt es beim Standard.
- */
-export function laufzeitAusVertrag(
-  beginnAm: Date | null,
-  endeAm: Date | null,
-): number | null {
-  if (!beginnAm || !endeAm) return null
-  const jahre = Math.round(tageZwischen(beginnAm, endeAm) / 365.25)
-  return jahre >= 1 ? jahre : null
-}
+import { alsIsoTag, heuteAlsTag, plusJahre, plusMonate, plusTage, tageZwischen, tagesdatum } from '@/lib/fristen/datum'
+
+/**
+ * Kuendigungsfrist-Rechner.
+ *
+ * Die eigentliche Falle bei Versicherungsvertraegen ist nicht der
+ * Kuendigungstermin, sondern der Tag, an dem der Brief spaetestens raus
+ * muss. Eine Kuendigung wird mit dem ZUGANG beim Versicherer wirksam, nicht
+ * mit dem Absenden - wer am letzten Tag der Frist einwirft, hat die Frist
+ * verpasst und zahlt ein weiteres Jahr.
+ *
+ * Deshalb rechnet diese Datei drei Daten aus:
+ *
+ *   1. den naechstmoeglichen Kuendigungstermin (zu wann kann gekuendigt werden),
+ *   2. den Tag, an dem die Kuendigung spaetestens zugehen muss,
+ *   3. den spaetesten Absendetag mit Postlaufpuffer.
+ *
+ * Reine Logik, keine Datenbank.
+ */
+
+/**
+ * Puffer zwischen Absenden und Zugang. Drei Kalendertage sind knapp, aber
+ * bei einem Einwurf-Einschreiben realistisch. Wer es genauer braucht,
+ * schickt zusaetzlich ein Fax oder eine E-Mail - beides zaehlt fuer den
+ * Zugang und ist am selben Tag da.
+ */
+export const POSTLAUF_PUFFER_TAGE = 3
+
+/** Ab wann wird gewarnt, dass der Absendetag naeher rueckt. */
+export const KUENDIGUNG_VORWARNUNG_TAGE = 30
+
+/**
+ * Verlaengerung, wenn im Vertrag keine Laufzeit hinterlegt ist. Ein Jahr
+ * ist bei Versicherungen der Regelfall (§ 11 Abs. 1 VVG).
+ */
+export const STANDARD_LAUFZEIT_JAHRE = 1
+
+export type KuendigungEingabe = {
+  /** Laufzeitbeginn laut Vertrag. */
+  beginnAm: Date | null
+  /** Fest vereinbartes Vertragsende, falls bekannt. */
+  endeAm?: Date | null
+  /** Vertragsdauer in Jahren; fehlt sie, wird mit einem Jahr gerechnet. */
+  laufzeitJahre?: number | null
+  /** Kuendigungsfrist in Monaten zum Ende der Laufzeit. */
+  kuendigungsfristMonate: number | null
+  /** Verlaengert sich der Vertrag stillschweigend? Regelfall: ja. */
+  verlaengertSichAutomatisch?: boolean
+  /** Bezugstag; im Test gesetzt, sonst heute. */
+  heute?: Date
+}
+
+export type Kuendigungsplan = {
+  /** Laesst sich ueberhaupt etwas berechnen? */
+  berechenbar: boolean
+  /** Zu diesem Tag kann als Naechstes gekuendigt werden. */
+  naechsterTermin: Date | null
+  /** Bis zu diesem Tag muss die Kuendigung beim Vertragspartner sein. */
+  zugangSpaetestensAm: Date | null
+  /** Bis zu diesem Tag muss der Brief raus (Zugang minus Postlauf). */
+  spaetesterAbsendetag: Date | null
+  /** Tage von heute bis zum Absendetag. Negativ heisst: schon vorbei. */
+  tageBisAbsendetag: number | null
+  /** Weniger als 30 Tage bis zum Absendetag - jetzt handeln. */
+  vorwarnung: boolean
+  /** Der Absendetag ist verstrichen und der Vertrag laeuft aus. */
+  verpasst: boolean
+  /** Erklaerungen und Annahmen, die in die Rechnung eingegangen sind. */
+  hinweise: string[]
+}
+
+const LEERER_PLAN: Kuendigungsplan = {
+  berechenbar: false,
+  naechsterTermin: null,
+  zugangSpaetestensAm: null,
+  spaetesterAbsendetag: null,
+  tageBisAbsendetag: null,
+  vorwarnung: false,
+  verpasst: false,
+  hinweise: [],
+}
+
+/**
+ * Berechnet den naechstmoeglichen Kuendigungstermin.
+ *
+ * Vorgehen: Vom ersten Ablauftermin an wird geprueft, ob der zugehoerige
+ * Absendetag noch in der Zukunft liegt. Ist er verstrichen, wird um eine
+ * Laufzeit weitergerueckt. Der erste Termin, dessen Brief noch rechtzeitig
+ * rausgeht, ist der naechstmoegliche.
+ */
+export function kuendigungsplan(eingabe: KuendigungEingabe): Kuendigungsplan {
+  const heute = tagesdatum(eingabe.heute ?? heuteAlsTag())
+  const hinweise: string[] = []
+
+  const frist = eingabe.kuendigungsfristMonate
+  if (frist === null || frist === undefined) {
+    hinweise.push(
+      'Es ist keine Kündigungsfrist hinterlegt. Es wird ohne Frist gerechnet — ' +
+        'bitte im Vertrag nachsehen und nachtragen.',
+    )
+  }
+  const fristMonate = frist ?? 0
+
+  const laufzeit =
+    eingabe.laufzeitJahre && eingabe.laufzeitJahre > 0
+      ? eingabe.laufzeitJahre
+      : STANDARD_LAUFZEIT_JAHRE
+  if (!eingabe.laufzeitJahre || eingabe.laufzeitJahre <= 0) {
+    hinweise.push(
+      `Im Vertrag steht keine Laufzeit. Gerechnet wird mit einer Verlängerung um ` +
+        `${STANDARD_LAUFZEIT_JAHRE} Jahr — bei Versicherungen der Regelfall.`,
+    )
+  }
+
+  const verlaengert = eingabe.verlaengertSichAutomatisch ?? true
+
+  // Erster Ablauftermin: das vereinbarte Ende, sonst Beginn plus Laufzeit.
+  let termin: Date | null = null
+  if (eingabe.endeAm) {
+    termin = tagesdatum(eingabe.endeAm)
+  } else if (eingabe.beginnAm) {
+    termin = plusJahre(tagesdatum(eingabe.beginnAm), laufzeit)
+  }
+
+  if (!termin) {
+    return {
+      ...LEERER_PLAN,
+      hinweise: [
+        'Ohne Laufzeitbeginn oder Vertragsende lässt sich kein Kündigungstermin ' +
+          'berechnen. Bitte mindestens den Vertragsbeginn eintragen.',
+      ],
+    }
+  }
+
+  // Bis zu 200 Verlaengerungen durchgehen - deckt auch einen Vertrag von
+  // 1962 ab, ohne bei fehlerhaften Daten endlos zu laufen.
+  let absendetag = absendetagZu(termin, fristMonate)
+  let durchlaeufe = 0
+  while (absendetag.getTime() < heute.getTime() && verlaengert && durchlaeufe < 200) {
+    termin = plusJahre(termin, laufzeit)
+    absendetag = absendetagZu(termin, fristMonate)
+    durchlaeufe += 1
+  }
+
+  const zugang = plusMonate(termin, -fristMonate)
+  const tageBis = tageZwischen(heute, absendetag)
+  const verpasst = absendetag.getTime() < heute.getTime()
+
+  if (verpasst) {
+    hinweise.push(
+      `Der Absendetag für den Termin ${alsIsoTag(termin)} ist verstrichen. ` +
+        `Dieser Vertrag verlängert sich nicht automatisch — eine Kündigung zu diesem ` +
+        `Termin ist nicht mehr möglich.`,
+    )
+  } else if (durchlaeufe > 0) {
+    hinweise.push(
+      `Der Vertrag hat sich bereits ${durchlaeufe}-mal verlängert. Angezeigt ist der ` +
+        `nächste Termin, zu dem noch rechtzeitig gekündigt werden kann.`,
+    )
+  }
+
+  hinweise.push(
+    `Eine Kündigung wird mit dem Zugang wirksam, nicht mit dem Absenden. Deshalb ` +
+      `sind zwischen Absendetag und Zugang ${POSTLAUF_PUFFER_TAGE} Tage Postlauf ` +
+      `eingerechnet. Am sichersten: Einschreiben mit Rückschein oder zusätzlich ` +
+      `ein Fax mit Sendeprotokoll.`,
+  )
+
+  return {
+    berechenbar: true,
+    naechsterTermin: termin,
+    zugangSpaetestensAm: zugang,
+    spaetesterAbsendetag: absendetag,
+    tageBisAbsendetag: tageBis,
+    vorwarnung: !verpasst && tageBis <= KUENDIGUNG_VORWARNUNG_TAGE,
+    verpasst,
+    hinweise,
+  }
+}
+
+/** Der Absendetag zu einem Termin: Termin minus Frist minus Postlauf. */
+export function absendetagZu(termin: Date, fristMonate: number): Date {
+  return plusTage(plusMonate(tagesdatum(termin), -fristMonate), -POSTLAUF_PUFFER_TAGE)
+}
+
+/**
+ * Kurzfassung fuer die Uebersichtstabelle: eine Ampelstufe je Vertrag.
+ * Farbe ist nie die einzige Information - der Text steht daneben.
+ */
+export type Kuendigungsampel = {
+  variante: 'rot' | 'orange' | 'gelb' | 'gruen'
+  text: string
+}
+
+export function kuendigungsampel(plan: Kuendigungsplan): Kuendigungsampel | null {
+  if (!plan.berechenbar || plan.tageBisAbsendetag === null) return null
+  if (plan.verpasst) {
+    return { variante: 'rot', text: 'Absendetag verstrichen' }
+  }
+  const tage = plan.tageBisAbsendetag
+  if (tage <= 7) return { variante: 'rot', text: `Brief muss in ${tage} Tagen raus` }
+  if (tage <= KUENDIGUNG_VORWARNUNG_TAGE) {
+    return { variante: 'orange', text: `Brief muss in ${tage} Tagen raus` }
+  }
+  if (tage <= 60) return { variante: 'gelb', text: `Absendetag in ${tage} Tagen` }
+  return { variante: 'gruen', text: `Absendetag in ${tage} Tagen` }
+}
+
+/**
+ * Die Vertragsdauer aus Beginn und vereinbartem Ende.
+ *
+ * Das Datenmodell kennt kein Feld "Laufzeit" (siehe
+ * docs/schema-wuensche/substanz.md, Punkt 8). Stehen aber beide Daten im
+ * Vertrag, ergibt sich die Dauer daraus: Ein Vertrag vom 01.01.2018 bis
+ * 01.01.2021 hat eine dreijaehrige Laufzeit und verlaengert sich um
+ * dieselbe Spanne. Gerundet wird auf volle Jahre - ein Jahr sind 365 Tage,
+ * ein Schaltjahr 366, und beides soll dieselbe Laufzeit ergeben. Liegt die
+ * Spanne unter einem halben Jahr, bleibt es beim Standard.
+ */
+export function laufzeitAusVertrag(
+  beginnAm: Date | null,
+  endeAm: Date | null,
+): number | null {
+  if (!beginnAm || !endeAm) return null
+  const jahre = Math.round(tageZwischen(beginnAm, endeAm) / 365.25)
+  return jahre >= 1 ? jahre : null
+}
@@ -30,8 +30,21 @@ import { NextResponse, type NextRequest } from 'next/server'
 *   Data-URI eingebettet, statt sie ueber einen Fremddienst zu holen.
 */

-/** Ohne Authentifizierungs-Cookie gar nicht erst weiterreichen. */
-const OEFFENTLICHE_PFADE = [
+/**
+ * Seiten, die auch ohne Anmeldung sinnvoll im Verlauf stehen duerfen.
+ *
+ * ACHTUNG - was diese Liste NICHT ist: eine Zugriffskontrolle. Frueher
+ * stand hier "Ohne Authentifizierungs-Cookie gar nicht erst weiterreichen",
+ * und das war schlicht falsch: Die Middleware prueft keine Anmeldung, sie
+ * setzt Kopfzeilen. Ausgewertet wird die Liste einzig fuer die Frage, ob
+ * "Cache-Control: no-store" gesetzt wird.
+ *
+ * Der Irrtum waere teuer geworden: Wer den Satz glaubt, verzichtet an einer
+ * neuen Seite auf erfordereBenutzer() - "die Middleware faengt das ja ab".
+ * Sie faengt nichts ab. Der Zugriffsschutz sitzt in
+ * src/lib/auth/sitzung.ts, und nur dort.
+ */
+const OHNE_CACHE_SPERRE = [
  '/anmelden',
  '/ersteinrichtung',
  '/datenschutz',
@@ -79,7 +92,7 @@ export function middleware(anfrage: NextRequest) {

  // Verhindert, dass ein Bericht oder Beleg im Verlauf des Browsers
  // zwischengespeichert wird.
-  if (!OEFFENTLICHE_PFADE.some((pfad) => anfrage.nextUrl.pathname.startsWith(pfad))) {
+  if (!OHNE_CACHE_SPERRE.some((pfad) => anfrage.nextUrl.pathname.startsWith(pfad))) {
    antwort.headers.set('Cache-Control', 'no-store, must-revalidate')
  }

@@ -5,6 +5,7 @@ import { headers } from 'next/headers'
 import { z } from 'zod'
 import { signIn } from '@/auth'
 import { anmeldungErlaubt } from '@/lib/auth/ratelimit'
+import { anschlussAus } from '@/lib/auth/anschluss'

 /**
 * Server Action fuer das Anmeldeformular.
@@ -43,11 +44,10 @@ function istWeiterleitung(fehler: unknown): boolean {
  )
 }

-/** Hinter dem Reverse Proxy steht die echte Adresse im weitergereichten Kopf. */
+/** Siehe src/lib/auth/anschluss.ts - der Kopf wird nur mit Proxy geglaubt. */
 async function ipDerAnfrage(): Promise<string | null> {
  try {
-    const kopf = await headers()
-    return kopf.get('x-forwarded-for')?.split(',')[0]?.trim() || kopf.get('x-real-ip') || null
+    return anschlussAus(await headers())
  } catch {
    return null
  }
@@ -5,7 +5,7 @@ import { z } from 'zod'
 import { db } from '@/lib/db'
 import { erfordereBenutzer, reauthBestaetigen } from '@/lib/auth/sitzung'
 import { passwortPruefen } from '@/lib/crypto/hash'
-import { totpPruefen, totpSecretEntschluesseln } from '@/lib/crypto/totp'
+import { zweitenFaktorEinloesen } from '@/lib/auth/zweiter-faktor'
 import { aufMindestdauerWarten } from '@/lib/auth/ratelimit'

 /**
@@ -56,10 +56,14 @@ export async function anmeldungBestaetigen(

  const passwortStimmt = await passwortPruefen(frisch.passwortHash, gelesen.data.passwort)

+  // Der Code wird nur eingeloest, wenn das Passwort stimmt. Sonst
+  // verbrauchte ein falsches Passwort mit richtigem Code das Zeitfenster,
+  // und der Benutzer muesste dreissig Sekunden auf den naechsten warten -
+  // ohne zu verstehen, warum.
  let codeStimmt = true
-  if (frisch.totpSecretVerschluesselt && frisch.totpAktiviertAm) {
-    const secret = totpSecretEntschluesseln(frisch.totpSecretVerschluesselt)
-    codeStimmt = totpPruefen(secret, frisch.email, gelesen.data.code).gueltig
+  if (passwortStimmt && frisch.totpSecretVerschluesselt && frisch.totpAktiviertAm) {
+    const eingeloest = await zweitenFaktorEinloesen(frisch, gelesen.data.code)
+    codeStimmt = eingeloest.ok
  }

  if (!passwortStimmt || !codeStimmt) {
@@ -11,6 +11,7 @@ import { bekannteAbsender } from '@/lib/dokumente/suche'
 import { erkennungsvorschlaege, type Erkennungsergebnis } from '@/lib/dokumente/erkennung'
 import { ocrAnstossen } from '@/lib/dokumente/ocr-nachlauf'
 import { ablegenMitTyp, DateiAbgelehnt, entfernen, signierteUrl } from '@/lib/speicher'
+import { speicherfehlerMeldung } from '@/lib/speicher/fehler'
 import {
  DokumentMetadatenSchema,
  FristUebernehmenSchema,
@@ -217,7 +218,10 @@ export async function dokumenteHochladen(
      const meldung =
        fehler instanceof DateiAbgelehnt
          ? fehler.message
-          : `„${anzeigename}“ konnte nicht gespeichert werden. Bitte versuche es erneut.`
+          : speicherfehlerMeldung(
+              fehler,
+              `„${anzeigename}“ konnte nicht gespeichert werden. Bitte versuche es erneut.`,
+            )
      if (!(fehler instanceof DateiAbgelehnt)) {
        console.error('[dokumente] Upload gescheitert:', fehler)
      }
@@ -1,25 +1,49 @@
 'use server'

 import { redirect } from 'next/navigation'
+import { createHash, timingSafeEqual } from 'node:crypto'
 import { z } from 'zod'
 import { db } from '@/lib/db'
+import { env } from '@/lib/env'
 import { passwortHashen } from '@/lib/crypto/hash'
 import { protokollieren } from '@/lib/audit'
+import { aufMindestdauerWarten } from '@/lib/auth/ratelimit'

 /**
 * Anlegen des allerersten Zugangs.
 *
- * Diese Aktion ist nur so lange erreichbar, wie es noch keinen Benutzer
- * gibt. Danach sperrt sie sich selbst - sonst koennte sich jemand von
- * aussen einen Administratorzugang anlegen.
+ * Diese Aktion ist die einzige Stelle der Anwendung, an der jemand ohne
+ * Anmeldung etwas schreiben darf. Entsprechend eng ist sie gebaut - zwei
+ * Dinge sichern sie ab:
+ *
+ * ## 1. Ein Geheimnis aus der Umgebung
+ *
+ * Vorher galt: "Wenn es noch keinen Benutzer gibt, darf jeder einen
+ * anlegen." Zwischen dem ersten Start und dem Anlegen des Zugangs stand die
+ * Seite damit offen - wer sie in diesem Fenster fand, wurde Administrator
+ * einer Anwendung mit Gesundheits- und Finanzdaten. Das Fenster ist kurz,
+ * aber Zufall ist keine Zugriffskontrolle. Jetzt muss ERSTEINRICHTUNG_
+ * GEHEIMNIS aus der .env mit eingegeben werden.
+ *
+ * ## 2. Eine Sperre in der Datenbank
+ *
+ * Die Pruefung "gibt es schon einen Benutzer?" und das Anlegen waren zwei
+ * getrennte Schritte. Zwei Anfragen gleichzeitig kamen beide durch die
+ * Pruefung, bevor eine von ihnen schrieb - und legten beide einen
+ * Administrator an. Jetzt entscheidet der Primaerschluessel der Tabelle
+ * ersteinrichtung, und der laesst genau einen Gewinner zu.
 */

 const PASSWORT_MINDESTLAENGE = 12

+/** Fester Schluessel der einen Zeile, die die Sperre bildet. */
+const SPERRE = 'einmalig'
+
 const ZugangSchema = z
  .object({
    name: z.string().trim().min(2, 'Bitte deinen Namen angeben.').max(120),
    email: z.string().trim().toLowerCase().email('Bitte eine gültige E-Mail-Adresse angeben.'),
+    geheimnis: z.string().min(1, 'Bitte das Einrichtungsgeheimnis aus der .env eingeben.'),
    passwort: z
      .string()
      .min(
@@ -37,22 +61,54 @@ const ZugangSchema = z

 export type ZugangZustand = {
  fehler?: string
-  felder?: Partial<Record<'name' | 'email' | 'passwort' | 'passwortWiederholung', string>>
+  felder?: Partial<
+    Record<'name' | 'email' | 'passwort' | 'passwortWiederholung' | 'geheimnis', string>
+  >
  werte?: { name?: string; email?: string }
 }

+/**
+ * Vergleicht zwei Zeichenketten in gleichbleibender Zeit.
+ *
+ * Ueber die Laenge wird gehasht, nicht abgeschnitten: timingSafeEqual will
+ * gleich lange Puffer, und ein vorgeschalteter Laengenvergleich verriete
+ * die Laenge des Geheimnisses.
+ */
+function gleich(eingabe: string, erwartet: string): boolean {
+  const a = createHash('sha256').update(eingabe).digest()
+  const b = createHash('sha256').update(erwartet).digest()
+  return timingSafeEqual(a, b)
+}
+
 export async function erstenZugangAnlegen(
  _vorher: ZugangZustand,
  formular: FormData,
 ): Promise<ZugangZustand> {
-  const vorhandene = await db.user.count()
-  if (vorhandene > 0) {
+  const begonnen = Date.now()
+
+  // Ist die Einrichtung schon gelaufen, ist hier Schluss - unabhaengig
+  // davon, ob der Benutzer inzwischen im Papierkorb liegt.
+  const bereitsErledigt = await db.ersteinrichtung.findUnique({
+    where: { id: SPERRE },
+    select: { id: true },
+  })
+  if (bereitsErledigt || (await db.user.count()) > 0) {
    return { fehler: 'Es gibt bereits einen Zugang. Bitte melde dich an.' }
  }

+  if (env.ersteinrichtungGeheimnis === '') {
+    return {
+      fehler:
+        'Die Ersteinrichtung ist gesperrt, weil ERSTEINRICHTUNG_GEHEIMNIS in der .env fehlt. ' +
+        'Trage dort einen zufälligen Wert ein („npm run schluessel“ erzeugt passende), starte ' +
+        'die Anwendung neu und gib ihn hier ein.',
+    }
+  }
+
  const gelesen = ZugangSchema.safeParse({
    name: formular.get('name'),
    email: formular.get('email'),
+    geheimnis: formular.get('geheimnis'),
    passwort: formular.get('passwort'),
    passwortWiederholung: formular.get('passwortWiederholung'),
  })
@@ -64,6 +120,7 @@ export async function erstenZugangAnlegen(
      felder: {
        name: felder.name?.[0],
        email: felder.email?.[0],
+        geheimnis: felder.geheimnis?.[0],
        passwort: felder.passwort?.[0],
        passwortWiederholung: felder.passwortWiederholung?.[0],
      },
@@ -74,24 +131,50 @@ export async function erstenZugangAnlegen(
    }
  }

-  const { name, email, passwort } = gelesen.data
+  const { name, email, passwort, geheimnis } = gelesen.data

-  const benutzer = await db.user.create({
-    data: {
-      name,
-      email,
-      passwortHash: await passwortHashen(passwort),
-      // Der erste Zugang verwaltet auch die Anwendung.
-      rolle: 'ADMIN',
-    },
-  })
+  if (!gleich(geheimnis, env.ersteinrichtungGeheimnis)) {
+    // Dieselbe Mindestdauer wie am Anmeldeformular: Sonst verraet die
+    // Antwortzeit, ob das Geheimnis stimmte und erst das Anlegen scheiterte.
+    await aufMindestdauerWarten(begonnen)
+    return {
+      fehler: 'Das Einrichtungsgeheimnis stimmt nicht.',
+      felder: { geheimnis: 'Stimmt nicht mit ERSTEINRICHTUNG_GEHEIMNIS überein.' },
+      werte: { name, email },
+    }
+  }
+
+  // Anlegen und Sperren in einem Zug. Kommt eine zweite Anfrage gleichzeitig
+  // hier an, scheitert sie am Primaerschluessel der Sperrzeile - und zwar
+  // bevor ein zweiter Administrator entstanden ist.
+  let benutzerId: string
+  try {
+    const ergebnis = await db.$transaction(async (tx) => {
+      const benutzer = await tx.user.create({
+        data: {
+          name,
+          email,
+          passwortHash: await passwortHashen(passwort),
+          // Der erste Zugang verwaltet auch die Anwendung.
+          rolle: 'ADMIN',
+        },
+      })
+      await tx.ersteinrichtung.create({ data: { id: SPERRE, userId: benutzer.id } })
+      return benutzer
+    })
+    benutzerId = ergebnis.id
+  } catch {
+    // Der haeufigste Fall ist die verlorene Wettlauf-Anfrage. Für den, der
+    // davorsitzt, ist die Auskunft dieselbe wie oben.
+    return { fehler: 'Es gibt bereits einen Zugang. Bitte melde dich an.' }
+  }

  await protokollieren({
    aktion: 'ERSTELLT',
    entitaet: 'User',
-    entitaetId: benutzer.id,
+    entitaetId: benutzerId,
    bezeichnung: `${name} (erster Zugang)`,
-    userId: benutzer.id,
+    userId: benutzerId,
    userEmail: email,
    userName: name,
  })
@@ -4,6 +4,7 @@ import { revalidatePath } from 'next/cache'
 import { redirect } from 'next/navigation'
 import { Prisma } from '@prisma/client'
 import { db, nichtGeloescht } from '@/lib/db'
+import { verweisePruefen } from '@/lib/auth/verweise'
 import { erfordereZugang, ZugriffVerweigert } from '@/lib/auth/sitzung'
 import { aenderungErmitteln, protokollieren } from '@/lib/audit'
 import { sealen } from '@/lib/crypto/feld'
@@ -325,29 +326,15 @@ export async function buchungSpeichern(
    }
    const werte = gepruft.data

-    if (werte.kontoId) {
-      const konto = await db.konto.findFirst({
-        where: { id: werte.kontoId, betreuteId, ...nichtGeloescht },
-        select: { id: true },
-      })
-      if (!konto) return { fehler: 'Dieses Konto gehört nicht zu dieser betreuten Person.' }
-    }
-
-    // Wie beim Konto: Der Vertrag muss zu dieser Akte gehoeren.
-    if (werte.vertragId) {
-      const vertrag = await db.vertrag.findFirst({
-        where: { id: werte.vertragId, betreuteId, ...nichtGeloescht },
-        select: { id: true },
-      })
-      if (!vertrag) return { fehler: 'Dieser Vertrag gehört nicht zu dieser betreuten Person.' }
-    }
-    if (werte.belegId) {
-      const beleg = await db.dokument.findFirst({
-        where: { id: werte.belegId, betreuteId, ...nichtGeloescht },
-        select: { id: true },
-      })
-      if (!beleg) return { fehler: 'Dieses Dokument gehört nicht zu dieser betreuten Person.' }
-    }
+    // Alle vier Verweise auf einmal - der Vorgang war bisher der einzige,
+    // der ungeprueft durchging.
+    const verweisfehler = await verweisePruefen(betreuteId, {
+      konto: werte.kontoId,
+      vertrag: werte.vertragId,
+      dokument: werte.belegId,
+      vorgang: werte.vorgangId,
+    })
+    if (verweisfehler) return { fehler: verweisfehler }

    const felder = {
      kontoId: werte.kontoId,
@@ -635,34 +622,14 @@ export async function vermoegenspostenSpeichern(
    }
    const werte = gepruft.data

-    if (werte.kontoId) {
-      const konto = await db.konto.findFirst({
-        where: { id: werte.kontoId, betreuteId, ...nichtGeloescht },
-        select: { id: true },
-      })
-      if (!konto) return { fehler: 'Dieses Konto gehört nicht zu dieser betreuten Person.' }
-    }
-
-    // Dieselbe Pruefung fuer die beiden anderen Verweise. Sie fehlte:
-    // An der Verknuepfung zum Vertrag haengt dessen Rueckkaufswert, und
-    // die darf nicht in eine fremde Akte zeigen.
-    if (werte.vertragId) {
-      const vertrag = await db.vertrag.findFirst({
-        where: { id: werte.vertragId, betreuteId, ...nichtGeloescht },
-        select: { id: true },
-      })
-      if (!vertrag) return { fehler: 'Dieser Vertrag gehört nicht zu dieser betreuten Person.' }
-    }
-
-    if (werte.immobilieId) {
-      const immobilie = await db.immobilie.findFirst({
-        where: { id: werte.immobilieId, betreuteId, ...nichtGeloescht },
-        select: { id: true },
-      })
-      if (!immobilie) {
-        return { fehler: 'Diese Immobilie gehört nicht zu dieser betreuten Person.' }
-      }
-    }
+    // An der Verknuepfung zum Vertrag haengt dessen Rueckkaufswert - sie
+    // darf nicht in eine fremde Akte zeigen.
+    const verweisfehler = await verweisePruefen(betreuteId, {
+      konto: werte.kontoId,
+      vertrag: werte.vertragId,
+      immobilie: werte.immobilieId,
+    })
+    if (verweisfehler) return { fehler: verweisfehler }

    const felder = {
      bezeichnung: werte.bezeichnung,
@@ -1,385 +1,385 @@
-'use server'
-
-import { revalidatePath } from 'next/cache'
-import type { Modul } from '@prisma/client'
-import { db, nichtGeloescht } from '@/lib/db'
-import { protokollieren } from '@/lib/audit'
-import { passwortHashen } from '@/lib/crypto/hash'
-import { erfordereBenutzer, erfordereFrischeAnmeldung, erfordereZugang } from '@/lib/auth/sitzung'
-import { MODUL_BESCHRIFTUNG, ROLLEN_BESCHRIFTUNG } from '@/lib/auth/rollen'
-import {
-  benutzerAktivSchema,
-  benutzerAnlegenSchema,
-  darfBenutzerVerwalten,
-  darfFreigabenVergeben,
-  freigabeAenderung,
-  freigabenNormalisieren,
-  freigabenSchema,
-  letzterAdminGeschuetzt,
-  rolleAendernSchema,
-  sitzungenBeendenSchema,
-} from '@/lib/validierung/freigaben'
-
-/**
- * Benutzerverwaltung und Modulfreigaben.
- *
- * Alles hier ist eine sensible Aktion: Wer Rollen aendert oder einem
- * Mitleser die Gesundheitsdaten freigibt, verschiebt die Grenze, wer was
- * ueber einen kranken Menschen erfahren darf. Deshalb gilt durchgehend:
- * frische Anmeldung, Administratorrecht bzw. Betreuerrecht fuer die
- * betroffene Person, und ein Audit-Eintrag, der spaeter beantwortet, wer
- * wem wann was freigegeben hat.
- */
-
-export type Aktionszustand = {
-  fehler?: string
-  felder?: Record<string, string>
-  erfolg?: string
-  warnung?: string
-}
-
-function felderAusZod(fehler: { path: (string | number)[]; message: string }[]): Record<string, string> {
-  const felder: Record<string, string> = {}
-  for (const problem of fehler) {
-    const schluessel = String(problem.path[0] ?? 'formular')
-    if (!felder[schluessel]) felder[schluessel] = problem.message
-  }
-  return felder
-}
-
-async function administratorSein(weiter: string) {
-  const benutzer = await erfordereBenutzer(weiter)
-  if (!darfBenutzerVerwalten(benutzer.rolle)) {
-    throw new Error('Die Benutzerverwaltung ist Administratoren vorbehalten.')
-  }
-  await erfordereFrischeAnmeldung(benutzer, weiter)
-  return benutzer
-}
-
-async function anzahlAktiverAdmins(): Promise<number> {
-  return db.user.count({ where: { rolle: 'ADMIN', aktiv: true, ...nichtGeloescht } })
-}
-
-// -----------------------------------------------------------------------------
-// Benutzer
-// -----------------------------------------------------------------------------
-
-export async function benutzerAnlegen(
-  _zustand: Aktionszustand,
-  formular: FormData,
-): Promise<Aktionszustand> {
-  const gelesen = benutzerAnlegenSchema.safeParse({
-    name: formular.get('name'),
-    email: formular.get('email'),
-    rolle: formular.get('rolle'),
-    passwort: formular.get('passwort'),
-  })
-  if (!gelesen.success) {
-    return { fehler: 'Bitte prüfe deine Eingaben.', felder: felderAusZod(gelesen.error.issues) }
-  }
-
-  const admin = await administratorSein('/einstellungen/benutzer')
-
-  const vorhanden = await db.user.findUnique({ where: { email: gelesen.data.email } })
-  if (vorhanden) {
-    return {
-      fehler: 'Unter dieser E-Mail-Adresse gibt es schon ein Konto.',
-      felder: { email: 'Bereits vergeben.' },
-    }
-  }
-
-  const neu = await db.user.create({
-    data: {
-      name: gelesen.data.name,
-      email: gelesen.data.email,
-      rolle: gelesen.data.rolle,
-      passwortHash: await passwortHashen(gelesen.data.passwort),
-    },
-  })
-
-  await protokollieren({
-    aktion: 'ERSTELLT',
-    entitaet: 'User',
-    entitaetId: neu.id,
-    bezeichnung: `${neu.name} <${neu.email}> als ${ROLLEN_BESCHRIFTUNG[neu.rolle]}`,
-    userId: admin.id,
-    userEmail: admin.email,
-    userName: admin.name,
-  })
-
-  revalidatePath('/einstellungen/benutzer')
-  return {
-    erfolg:
-      `${neu.name} ist angelegt. Beim ersten Anmelden muss der zweite Faktor eingerichtet ` +
-      `werden – ohne ihn kommt niemand an Fachdaten.`,
-  }
-}
-
-export async function rolleAendern(
-  _zustand: Aktionszustand,
-  formular: FormData,
-): Promise<Aktionszustand> {
-  const gelesen = rolleAendernSchema.safeParse({
-    userId: formular.get('userId'),
-    rolle: formular.get('rolle'),
-  })
-  if (!gelesen.success) {
-    return { fehler: 'Bitte prüfe deine Eingaben.', felder: felderAusZod(gelesen.error.issues) }
-  }
-
-  const admin = await administratorSein('/einstellungen/benutzer')
-
-  const ziel = await db.user.findFirst({ where: { id: gelesen.data.userId, ...nichtGeloescht } })
-  if (!ziel) return { fehler: 'Diesen Benutzer gibt es nicht (mehr).' }
-  if (ziel.rolle === gelesen.data.rolle) return { erfolg: 'Die Rolle war bereits so gesetzt.' }
-
-  const schutz = letzterAdminGeschuetzt({
-    zielRolleVorher: ziel.rolle,
-    zielRolleNachher: gelesen.data.rolle,
-    zielBleibtAktiv: ziel.aktiv,
-    anzahlAktiverAdmins: await anzahlAktiverAdmins(),
-  })
-  if (schutz) return { fehler: schutz }
-
-  // Eine Rollenaenderung beendet alle laufenden Sitzungen des Benutzers -
-  // sonst behielte er bis zum Ablauf des Tokens seine alten Rechte.
-  await db.user.update({
-    where: { id: ziel.id },
-    data: { rolle: gelesen.data.rolle, sitzungsGeneration: { increment: 1 } },
-  })
-
-  await protokollieren({
-    aktion: 'ROLLE_GEAENDERT',
-    entitaet: 'User',
-    entitaetId: ziel.id,
-    bezeichnung: `${ziel.name}: ${ROLLEN_BESCHRIFTUNG[ziel.rolle]} → ${ROLLEN_BESCHRIFTUNG[gelesen.data.rolle]}`,
-    userId: admin.id,
-    userEmail: admin.email,
-    userName: admin.name,
-    aenderung: { rolle: { alt: ziel.rolle, neu: gelesen.data.rolle } },
-  })
-
-  revalidatePath('/einstellungen/benutzer')
-  return {
-    erfolg: `${ziel.name} ist jetzt ${ROLLEN_BESCHRIFTUNG[gelesen.data.rolle]}. Bestehende Anmeldungen wurden beendet.`,
-  }
-}
-
-export async function benutzerAktivSetzen(
-  _zustand: Aktionszustand,
-  formular: FormData,
-): Promise<Aktionszustand> {
-  const gelesen = benutzerAktivSchema.safeParse({
-    userId: formular.get('userId'),
-    aktiv: formular.get('aktiv') === 'ja',
-  })
-  if (!gelesen.success) return { fehler: 'Bitte prüfe deine Eingaben.' }
-
-  const admin = await administratorSein('/einstellungen/benutzer')
-
-  const ziel = await db.user.findFirst({ where: { id: gelesen.data.userId, ...nichtGeloescht } })
-  if (!ziel) return { fehler: 'Diesen Benutzer gibt es nicht (mehr).' }
-  if (ziel.id === admin.id && !gelesen.data.aktiv) {
-    return { fehler: 'Du kannst dich nicht selbst abschalten.' }
-  }
-
-  const schutz = letzterAdminGeschuetzt({
-    zielRolleVorher: ziel.rolle,
-    zielRolleNachher: ziel.rolle,
-    zielBleibtAktiv: gelesen.data.aktiv,
-    anzahlAktiverAdmins: await anzahlAktiverAdmins(),
-  })
-  if (schutz) return { fehler: schutz }
-
-  await db.user.update({
-    where: { id: ziel.id },
-    data: {
-      aktiv: gelesen.data.aktiv,
-      // Wer abgeschaltet wird, ist sofort abgemeldet.
-      sitzungsGeneration: gelesen.data.aktiv ? undefined : { increment: 1 },
-    },
-  })
-
-  await protokollieren({
-    aktion: 'GEAENDERT',
-    entitaet: 'User',
-    entitaetId: ziel.id,
-    bezeichnung: `${ziel.name} ${gelesen.data.aktiv ? 'wieder aktiviert' : 'deaktiviert'}`,
-    userId: admin.id,
-    userEmail: admin.email,
-    userName: admin.name,
-    aenderung: { aktiv: { alt: ziel.aktiv, neu: gelesen.data.aktiv } },
-  })
-
-  revalidatePath('/einstellungen/benutzer')
-  return {
-    erfolg: gelesen.data.aktiv
-      ? `${ziel.name} kann sich wieder anmelden.`
-      : `${ziel.name} ist deaktiviert und sofort abgemeldet.`,
-  }
-}
-
-export async function sitzungenBeenden(
-  _zustand: Aktionszustand,
-  formular: FormData,
-): Promise<Aktionszustand> {
-  const gelesen = sitzungenBeendenSchema.safeParse({ userId: formular.get('userId') })
-  if (!gelesen.success) return { fehler: 'Bitte prüfe deine Eingaben.' }
-
-  const admin = await administratorSein('/einstellungen/benutzer')
-
-  const ziel = await db.user.findFirst({ where: { id: gelesen.data.userId, ...nichtGeloescht } })
-  if (!ziel) return { fehler: 'Diesen Benutzer gibt es nicht (mehr).' }
-
-  await db.user.update({
-    where: { id: ziel.id },
-    data: { sitzungsGeneration: { increment: 1 } },
-  })
-
-  await protokollieren({
-    aktion: 'GEAENDERT',
-    entitaet: 'User',
-    entitaetId: ziel.id,
-    bezeichnung: `Alle Sitzungen von ${ziel.name} beendet`,
-    userId: admin.id,
-    userEmail: admin.email,
-    userName: admin.name,
-    aenderung: {
-      sitzungsGeneration: { alt: ziel.sitzungsGeneration, neu: ziel.sitzungsGeneration + 1 },
-    },
-  })
-
-  revalidatePath('/einstellungen/benutzer')
-  return { erfolg: `Alle Geräte von ${ziel.name} sind abgemeldet.` }
-}
-
-// -----------------------------------------------------------------------------
-// Freigaben je betreuter Person
-// -----------------------------------------------------------------------------
-
-export async function freigabenSpeichern(
-  _zustand: Aktionszustand,
-  formular: FormData,
-): Promise<Aktionszustand> {
-  const gelesen = freigabenSchema.safeParse({
-    userId: formular.get('userId'),
-    betreuteId: formular.get('betreuteId'),
-    rolle: formular.get('rolle'),
-    freigegebeneModule: formular.getAll('freigegebeneModule').map(String),
-  })
-  if (!gelesen.success) {
-    return { fehler: 'Bitte prüfe deine Eingaben.', felder: felderAusZod(gelesen.error.issues) }
-  }
-
-  const { userId, betreuteId, rolle } = gelesen.data
-  const { benutzer, zugang, betreute } = await erfordereZugang(betreuteId, 'STAMMDATEN', 'schreiben')
-
-  if (!darfFreigabenVergeben(zugang)) {
-    return { fehler: 'Freigaben vergibt nur der Betreuer dieser Person oder ein Administrator.' }
-  }
-  await erfordereFrischeAnmeldung(benutzer, `/einstellungen/freigaben?betreute=${betreuteId}`)
-
-  const ziel = await db.user.findFirst({ where: { id: userId, ...nichtGeloescht } })
-  if (!ziel) return { fehler: 'Diesen Benutzer gibt es nicht (mehr).' }
-
-  const freigaben = freigabenNormalisieren(rolle, gelesen.data.freigegebeneModule as Modul[])
-
-  const vorher = await db.betreuungsZugang.findUnique({
-    where: { userId_betreuteId: { userId, betreuteId } },
-    select: { rolle: true, freigegebeneModule: true },
-  })
-
-  const aenderung = freigabeAenderung(
-    vorher ?? { rolle: 'MITLESER', freigegebeneModule: [] },
-    { rolle, freigegebeneModule: freigaben },
-  )
-
-  await db.betreuungsZugang.upsert({
-    where: { userId_betreuteId: { userId, betreuteId } },
-    create: { userId, betreuteId, rolle, freigegebeneModule: freigaben },
-    update: { rolle, freigegebeneModule: freigaben },
-  })
-
-  // Wer Rechte verliert, soll sie nicht bis zum Ablauf seines Tokens
-  // weiterbenutzen koennen.
-  if (aenderung.entfernt.length > 0 || aenderung.rolleGeaendert) {
-    await db.user.update({ where: { id: userId }, data: { sitzungsGeneration: { increment: 1 } } })
-  }
-
-  const beschreibung = [
-    aenderung.rolleGeaendert
-      ? `Rolle ${ROLLEN_BESCHRIFTUNG[aenderung.rolleVorher]} → ${ROLLEN_BESCHRIFTUNG[aenderung.rolleNachher]}`
-      : null,
-    aenderung.hinzugefuegt.length > 0
-      ? `freigegeben: ${aenderung.hinzugefuegt.map((m) => MODUL_BESCHRIFTUNG[m]).join(', ')}`
-      : null,
-    aenderung.entfernt.length > 0
-      ? `entzogen: ${aenderung.entfernt.map((m) => MODUL_BESCHRIFTUNG[m]).join(', ')}`
-      : null,
-  ]
-    .filter(Boolean)
-    .join('; ')
-
-  await protokollieren({
-    aktion: aenderung.rolleGeaendert ? 'ROLLE_GEAENDERT' : 'FREIGABE_GEAENDERT',
-    entitaet: 'BetreuungsZugang',
-    entitaetId: userId,
-    bezeichnung: `${ziel.name} für ${betreute.vorname} ${betreute.nachname}: ${beschreibung || 'unverändert'}`,
-    betreuteId,
-    userId: benutzer.id,
-    userEmail: benutzer.email,
-    userName: benutzer.name,
-    aenderung: {
-      rolle: { alt: aenderung.rolleVorher, neu: aenderung.rolleNachher },
-      freigegebeneModule: { alt: vorher?.freigegebeneModule ?? [], neu: freigaben },
-    },
-  })
-
-  revalidatePath('/einstellungen/freigaben')
-  revalidatePath('/', 'layout')
-
-  const warnung =
-    aenderung.sensibelHinzugefuegt.length > 0
-      ? `Achtung: ${aenderung.sensibelHinzugefuegt.map((m) => MODUL_BESCHRIFTUNG[m]).join(' und ')} ` +
-        `enthalten besonders schützenswerte Daten. ${ziel.name} kann sie ab sofort lesen.`
-      : undefined
-
-  return { erfolg: beschreibung ? `Gespeichert: ${beschreibung}.` : 'Es gab nichts zu ändern.', warnung }
-}
-
-export async function zugangEntziehen(
-  _zustand: Aktionszustand,
-  formular: FormData,
-): Promise<Aktionszustand> {
-  const userId = String(formular.get('userId') ?? '')
-  const betreuteId = String(formular.get('betreuteId') ?? '')
-
-  const { benutzer, zugang, betreute } = await erfordereZugang(betreuteId, 'STAMMDATEN', 'schreiben')
-  if (!darfFreigabenVergeben(zugang)) {
-    return { fehler: 'Zugänge entzieht nur der Betreuer dieser Person oder ein Administrator.' }
-  }
-  await erfordereFrischeAnmeldung(benutzer, `/einstellungen/freigaben?betreute=${betreuteId}`)
-
-  if (userId === benutzer.id) {
-    return { fehler: 'Du kannst dir den eigenen Zugang nicht entziehen.' }
-  }
-
-  const ziel = await db.user.findFirst({ where: { id: userId }, select: { name: true } })
-  await db.betreuungsZugang.deleteMany({ where: { userId, betreuteId } })
-  await db.user.update({ where: { id: userId }, data: { sitzungsGeneration: { increment: 1 } } })
-
-  await protokollieren({
-    aktion: 'FREIGABE_GEAENDERT',
-    entitaet: 'BetreuungsZugang',
-    entitaetId: userId,
-    bezeichnung: `Zugang von ${ziel?.name ?? userId} zu ${betreute.vorname} ${betreute.nachname} entzogen`,
-    betreuteId,
-    userId: benutzer.id,
-    userEmail: benutzer.email,
-    userName: benutzer.name,
-  })
-
-  revalidatePath('/einstellungen/freigaben')
-  revalidatePath('/', 'layout')
-  return { erfolg: `${ziel?.name ?? 'Der Benutzer'} hat keinen Zugriff mehr auf diese Person.` }
-}
+'use server'
+
+import { revalidatePath } from 'next/cache'
+import type { Modul } from '@prisma/client'
+import { db, nichtGeloescht } from '@/lib/db'
+import { protokollieren } from '@/lib/audit'
+import { passwortHashen } from '@/lib/crypto/hash'
+import { erfordereBenutzer, erfordereFrischeAnmeldung, erfordereZugang } from '@/lib/auth/sitzung'
+import { MODUL_BESCHRIFTUNG, ROLLEN_BESCHRIFTUNG } from '@/lib/auth/rollen'
+import {
+  benutzerAktivSchema,
+  benutzerAnlegenSchema,
+  darfBenutzerVerwalten,
+  darfFreigabenVergeben,
+  freigabeAenderung,
+  freigabenNormalisieren,
+  freigabenSchema,
+  letzterAdminGeschuetzt,
+  rolleAendernSchema,
+  sitzungenBeendenSchema,
+} from '@/lib/validierung/freigaben'
+
+/**
+ * Benutzerverwaltung und Modulfreigaben.
+ *
+ * Alles hier ist eine sensible Aktion: Wer Rollen aendert oder einem
+ * Mitleser die Gesundheitsdaten freigibt, verschiebt die Grenze, wer was
+ * ueber einen kranken Menschen erfahren darf. Deshalb gilt durchgehend:
+ * frische Anmeldung, Administratorrecht bzw. Betreuerrecht fuer die
+ * betroffene Person, und ein Audit-Eintrag, der spaeter beantwortet, wer
+ * wem wann was freigegeben hat.
+ */
+
+export type Aktionszustand = {
+  fehler?: string
+  felder?: Record<string, string>
+  erfolg?: string
+  warnung?: string
+}
+
+function felderAusZod(fehler: { path: (string | number)[]; message: string }[]): Record<string, string> {
+  const felder: Record<string, string> = {}
+  for (const problem of fehler) {
+    const schluessel = String(problem.path[0] ?? 'formular')
+    if (!felder[schluessel]) felder[schluessel] = problem.message
+  }
+  return felder
+}
+
+async function administratorSein(weiter: string) {
+  const benutzer = await erfordereBenutzer(weiter)
+  if (!darfBenutzerVerwalten(benutzer.rolle)) {
+    throw new Error('Die Benutzerverwaltung ist Administratoren vorbehalten.')
+  }
+  await erfordereFrischeAnmeldung(benutzer, weiter)
+  return benutzer
+}
+
+async function anzahlAktiverAdmins(): Promise<number> {
+  return db.user.count({ where: { rolle: 'ADMIN', aktiv: true, ...nichtGeloescht } })
+}
+
+// -----------------------------------------------------------------------------
+// Benutzer
+// -----------------------------------------------------------------------------
+
+export async function benutzerAnlegen(
+  _zustand: Aktionszustand,
+  formular: FormData,
+): Promise<Aktionszustand> {
+  const gelesen = benutzerAnlegenSchema.safeParse({
+    name: formular.get('name'),
+    email: formular.get('email'),
+    rolle: formular.get('rolle'),
+    passwort: formular.get('passwort'),
+  })
+  if (!gelesen.success) {
+    return { fehler: 'Bitte prüfe deine Eingaben.', felder: felderAusZod(gelesen.error.issues) }
+  }
+
+  const admin = await administratorSein('/einstellungen/benutzer')
+
+  const vorhanden = await db.user.findUnique({ where: { email: gelesen.data.email } })
+  if (vorhanden) {
+    return {
+      fehler: 'Unter dieser E-Mail-Adresse gibt es schon ein Konto.',
+      felder: { email: 'Bereits vergeben.' },
+    }
+  }
+
+  const neu = await db.user.create({
+    data: {
+      name: gelesen.data.name,
+      email: gelesen.data.email,
+      rolle: gelesen.data.rolle,
+      passwortHash: await passwortHashen(gelesen.data.passwort),
+    },
+  })
+
+  await protokollieren({
+    aktion: 'ERSTELLT',
+    entitaet: 'User',
+    entitaetId: neu.id,
+    bezeichnung: `${neu.name} <${neu.email}> als ${ROLLEN_BESCHRIFTUNG[neu.rolle]}`,
+    userId: admin.id,
+    userEmail: admin.email,
+    userName: admin.name,
+  })
+
+  revalidatePath('/einstellungen/benutzer')
+  return {
+    erfolg:
+      `${neu.name} ist angelegt. Beim ersten Anmelden muss der zweite Faktor eingerichtet ` +
+      `werden – ohne ihn kommt niemand an Fachdaten.`,
+  }
+}
+
+export async function rolleAendern(
+  _zustand: Aktionszustand,
+  formular: FormData,
+): Promise<Aktionszustand> {
+  const gelesen = rolleAendernSchema.safeParse({
+    userId: formular.get('userId'),
+    rolle: formular.get('rolle'),
+  })
+  if (!gelesen.success) {
+    return { fehler: 'Bitte prüfe deine Eingaben.', felder: felderAusZod(gelesen.error.issues) }
+  }
+
+  const admin = await administratorSein('/einstellungen/benutzer')
+
+  const ziel = await db.user.findFirst({ where: { id: gelesen.data.userId, ...nichtGeloescht } })
+  if (!ziel) return { fehler: 'Diesen Benutzer gibt es nicht (mehr).' }
+  if (ziel.rolle === gelesen.data.rolle) return { erfolg: 'Die Rolle war bereits so gesetzt.' }
+
+  const schutz = letzterAdminGeschuetzt({
+    zielRolleVorher: ziel.rolle,
+    zielRolleNachher: gelesen.data.rolle,
+    zielBleibtAktiv: ziel.aktiv,
+    anzahlAktiverAdmins: await anzahlAktiverAdmins(),
+  })
+  if (schutz) return { fehler: schutz }
+
+  // Eine Rollenaenderung beendet alle laufenden Sitzungen des Benutzers -
+  // sonst behielte er bis zum Ablauf des Tokens seine alten Rechte.
+  await db.user.update({
+    where: { id: ziel.id },
+    data: { rolle: gelesen.data.rolle, sitzungsGeneration: { increment: 1 } },
+  })
+
+  await protokollieren({
+    aktion: 'ROLLE_GEAENDERT',
+    entitaet: 'User',
+    entitaetId: ziel.id,
+    bezeichnung: `${ziel.name}: ${ROLLEN_BESCHRIFTUNG[ziel.rolle]} → ${ROLLEN_BESCHRIFTUNG[gelesen.data.rolle]}`,
+    userId: admin.id,
+    userEmail: admin.email,
+    userName: admin.name,
+    aenderung: { rolle: { alt: ziel.rolle, neu: gelesen.data.rolle } },
+  })
+
+  revalidatePath('/einstellungen/benutzer')
+  return {
+    erfolg: `${ziel.name} ist jetzt ${ROLLEN_BESCHRIFTUNG[gelesen.data.rolle]}. Bestehende Anmeldungen wurden beendet.`,
+  }
+}
+
+export async function benutzerAktivSetzen(
+  _zustand: Aktionszustand,
+  formular: FormData,
+): Promise<Aktionszustand> {
+  const gelesen = benutzerAktivSchema.safeParse({
+    userId: formular.get('userId'),
+    aktiv: formular.get('aktiv') === 'ja',
+  })
+  if (!gelesen.success) return { fehler: 'Bitte prüfe deine Eingaben.' }
+
+  const admin = await administratorSein('/einstellungen/benutzer')
+
+  const ziel = await db.user.findFirst({ where: { id: gelesen.data.userId, ...nichtGeloescht } })
+  if (!ziel) return { fehler: 'Diesen Benutzer gibt es nicht (mehr).' }
+  if (ziel.id === admin.id && !gelesen.data.aktiv) {
+    return { fehler: 'Du kannst dich nicht selbst abschalten.' }
+  }
+
+  const schutz = letzterAdminGeschuetzt({
+    zielRolleVorher: ziel.rolle,
+    zielRolleNachher: ziel.rolle,
+    zielBleibtAktiv: gelesen.data.aktiv,
+    anzahlAktiverAdmins: await anzahlAktiverAdmins(),
+  })
+  if (schutz) return { fehler: schutz }
+
+  await db.user.update({
+    where: { id: ziel.id },
+    data: {
+      aktiv: gelesen.data.aktiv,
+      // Wer abgeschaltet wird, ist sofort abgemeldet.
+      sitzungsGeneration: gelesen.data.aktiv ? undefined : { increment: 1 },
+    },
+  })
+
+  await protokollieren({
+    aktion: 'GEAENDERT',
+    entitaet: 'User',
+    entitaetId: ziel.id,
+    bezeichnung: `${ziel.name} ${gelesen.data.aktiv ? 'wieder aktiviert' : 'deaktiviert'}`,
+    userId: admin.id,
+    userEmail: admin.email,
+    userName: admin.name,
+    aenderung: { aktiv: { alt: ziel.aktiv, neu: gelesen.data.aktiv } },
+  })
+
+  revalidatePath('/einstellungen/benutzer')
+  return {
+    erfolg: gelesen.data.aktiv
+      ? `${ziel.name} kann sich wieder anmelden.`
+      : `${ziel.name} ist deaktiviert und sofort abgemeldet.`,
+  }
+}
+
+export async function sitzungenBeenden(
+  _zustand: Aktionszustand,
+  formular: FormData,
+): Promise<Aktionszustand> {
+  const gelesen = sitzungenBeendenSchema.safeParse({ userId: formular.get('userId') })
+  if (!gelesen.success) return { fehler: 'Bitte prüfe deine Eingaben.' }
+
+  const admin = await administratorSein('/einstellungen/benutzer')
+
+  const ziel = await db.user.findFirst({ where: { id: gelesen.data.userId, ...nichtGeloescht } })
+  if (!ziel) return { fehler: 'Diesen Benutzer gibt es nicht (mehr).' }
+
+  await db.user.update({
+    where: { id: ziel.id },
+    data: { sitzungsGeneration: { increment: 1 } },
+  })
+
+  await protokollieren({
+    aktion: 'GEAENDERT',
+    entitaet: 'User',
+    entitaetId: ziel.id,
+    bezeichnung: `Alle Sitzungen von ${ziel.name} beendet`,
+    userId: admin.id,
+    userEmail: admin.email,
+    userName: admin.name,
+    aenderung: {
+      sitzungsGeneration: { alt: ziel.sitzungsGeneration, neu: ziel.sitzungsGeneration + 1 },
+    },
+  })
+
+  revalidatePath('/einstellungen/benutzer')
+  return { erfolg: `Alle Geräte von ${ziel.name} sind abgemeldet.` }
+}
+
+// -----------------------------------------------------------------------------
+// Freigaben je betreuter Person
+// -----------------------------------------------------------------------------
+
+export async function freigabenSpeichern(
+  _zustand: Aktionszustand,
+  formular: FormData,
+): Promise<Aktionszustand> {
+  const gelesen = freigabenSchema.safeParse({
+    userId: formular.get('userId'),
+    betreuteId: formular.get('betreuteId'),
+    rolle: formular.get('rolle'),
+    freigegebeneModule: formular.getAll('freigegebeneModule').map(String),
+  })
+  if (!gelesen.success) {
+    return { fehler: 'Bitte prüfe deine Eingaben.', felder: felderAusZod(gelesen.error.issues) }
+  }
+
+  const { userId, betreuteId, rolle } = gelesen.data
+  const { benutzer, zugang, betreute } = await erfordereZugang(betreuteId, 'STAMMDATEN', 'schreiben')
+
+  if (!darfFreigabenVergeben(zugang)) {
+    return { fehler: 'Freigaben vergibt nur der Betreuer dieser Person oder ein Administrator.' }
+  }
+  await erfordereFrischeAnmeldung(benutzer, `/einstellungen/freigaben?betreute=${betreuteId}`)
+
+  const ziel = await db.user.findFirst({ where: { id: userId, ...nichtGeloescht } })
+  if (!ziel) return { fehler: 'Diesen Benutzer gibt es nicht (mehr).' }
+
+  const freigaben = freigabenNormalisieren(rolle, gelesen.data.freigegebeneModule as Modul[])
+
+  const vorher = await db.betreuungsZugang.findUnique({
+    where: { userId_betreuteId: { userId, betreuteId } },
+    select: { rolle: true, freigegebeneModule: true },
+  })
+
+  const aenderung = freigabeAenderung(
+    vorher ?? { rolle: 'MITLESER', freigegebeneModule: [] },
+    { rolle, freigegebeneModule: freigaben },
+  )
+
+  await db.betreuungsZugang.upsert({
+    where: { userId_betreuteId: { userId, betreuteId } },
+    create: { userId, betreuteId, rolle, freigegebeneModule: freigaben },
+    update: { rolle, freigegebeneModule: freigaben },
+  })
+
+  // Wer Rechte verliert, soll sie nicht bis zum Ablauf seines Tokens
+  // weiterbenutzen koennen.
+  if (aenderung.entfernt.length > 0 || aenderung.rolleGeaendert) {
+    await db.user.update({ where: { id: userId }, data: { sitzungsGeneration: { increment: 1 } } })
+  }
+
+  const beschreibung = [
+    aenderung.rolleGeaendert
+      ? `Rolle ${ROLLEN_BESCHRIFTUNG[aenderung.rolleVorher]} → ${ROLLEN_BESCHRIFTUNG[aenderung.rolleNachher]}`
+      : null,
+    aenderung.hinzugefuegt.length > 0
+      ? `freigegeben: ${aenderung.hinzugefuegt.map((m) => MODUL_BESCHRIFTUNG[m]).join(', ')}`
+      : null,
+    aenderung.entfernt.length > 0
+      ? `entzogen: ${aenderung.entfernt.map((m) => MODUL_BESCHRIFTUNG[m]).join(', ')}`
+      : null,
+  ]
+    .filter(Boolean)
+    .join('; ')
+
+  await protokollieren({
+    aktion: aenderung.rolleGeaendert ? 'ROLLE_GEAENDERT' : 'FREIGABE_GEAENDERT',
+    entitaet: 'BetreuungsZugang',
+    entitaetId: userId,
+    bezeichnung: `${ziel.name} für ${betreute.vorname} ${betreute.nachname}: ${beschreibung || 'unverändert'}`,
+    betreuteId,
+    userId: benutzer.id,
+    userEmail: benutzer.email,
+    userName: benutzer.name,
+    aenderung: {
+      rolle: { alt: aenderung.rolleVorher, neu: aenderung.rolleNachher },
+      freigegebeneModule: { alt: vorher?.freigegebeneModule ?? [], neu: freigaben },
+    },
+  })
+
+  revalidatePath('/einstellungen/freigaben')
+  revalidatePath('/', 'layout')
+
+  const warnung =
+    aenderung.sensibelHinzugefuegt.length > 0
+      ? `Achtung: ${aenderung.sensibelHinzugefuegt.map((m) => MODUL_BESCHRIFTUNG[m]).join(' und ')} ` +
+        `enthalten besonders schützenswerte Daten. ${ziel.name} kann sie ab sofort lesen.`
+      : undefined
+
+  return { erfolg: beschreibung ? `Gespeichert: ${beschreibung}.` : 'Es gab nichts zu ändern.', warnung }
+}
+
+export async function zugangEntziehen(
+  _zustand: Aktionszustand,
+  formular: FormData,
+): Promise<Aktionszustand> {
+  const userId = String(formular.get('userId') ?? '')
+  const betreuteId = String(formular.get('betreuteId') ?? '')
+
+  const { benutzer, zugang, betreute } = await erfordereZugang(betreuteId, 'STAMMDATEN', 'schreiben')
+  if (!darfFreigabenVergeben(zugang)) {
+    return { fehler: 'Zugänge entzieht nur der Betreuer dieser Person oder ein Administrator.' }
+  }
+  await erfordereFrischeAnmeldung(benutzer, `/einstellungen/freigaben?betreute=${betreuteId}`)
+
+  if (userId === benutzer.id) {
+    return { fehler: 'Du kannst dir den eigenen Zugang nicht entziehen.' }
+  }
+
+  const ziel = await db.user.findFirst({ where: { id: userId }, select: { name: true } })
+  await db.betreuungsZugang.deleteMany({ where: { userId, betreuteId } })
+  await db.user.update({ where: { id: userId }, data: { sitzungsGeneration: { increment: 1 } } })
+
+  await protokollieren({
+    aktion: 'FREIGABE_GEAENDERT',
+    entitaet: 'BetreuungsZugang',
+    entitaetId: userId,
+    bezeichnung: `Zugang von ${ziel?.name ?? userId} zu ${betreute.vorname} ${betreute.nachname} entzogen`,
+    betreuteId,
+    userId: benutzer.id,
+    userEmail: benutzer.email,
+    userName: benutzer.name,
+  })
+
+  revalidatePath('/einstellungen/freigaben')
+  revalidatePath('/', 'layout')
+  return { erfolg: `${ziel?.name ?? 'Der Benutzer'} hat keinen Zugriff mehr auf diese Person.` }
+}
@@ -1,293 +1,293 @@
-'use server'
-
-import { revalidatePath } from 'next/cache'
-import type { Modul } from '@prisma/client'
-import { db, papierkorbGrenze } from '@/lib/db'
-import { protokollieren } from '@/lib/audit'
-import { erfordereFrischeAnmeldung, erfordereZugang } from '@/lib/auth/sitzung'
-import { entfernen } from '@/lib/speicher'
-import { papierkorbSchema } from '@/lib/validierung/freigaben'
-
-/**
- * Papierkorb.
- *
- * Loeschen heisst in dieser Anwendung: "geloeschtAm" setzen. Der Datensatz
- * bleibt 30 Tage sichtbar und wiederherstellbar. Das ist kein Luxus - in
- * einer Betreuungsakte ist ein versehentlich geloeschter Bescheid ein
- * echtes Problem, und der Nachweis gegenueber dem Gericht haengt daran.
- *
- * Endgueltig geloescht wird nur hier, nur einzeln und nur nach frischer
- * Anmeldung. Danach ist der Datensatz weg; im Audit-Log bleibt stehen, dass
- * es ihn gab und wer ihn entfernt hat.
- */
-
-export type Aktionszustand = {
-  fehler?: string
-  erfolg?: string
-}
-
-/**
- * Was im Papierkorb auftauchen kann. Bewusst eine feste Liste und keine
- * dynamische Modellsuche: Der Entitaetsname kommt aus einem Formular, und
- * daraus darf niemals ein beliebiger Datenbankzugriff werden.
- */
-type Eintragsart = {
-  bezeichnung: string
-  mehrzahl: string
-  modul: Modul
-  laden: (betreuteId: string, seit: Date) => Promise<PapierkorbEintrag[]>
-  wiederherstellen: (id: string, betreuteId: string) => Promise<void>
-  endgueltigLoeschen: (id: string, betreuteId: string) => Promise<void>
-}
-
-export type PapierkorbEintrag = {
-  id: string
-  entitaet: string
-  bezeichnung: string
-  geloeschtAm: Date
-}
-
-/** Kleine Hilfe, damit die Tabelle unten nicht 20-mal dasselbe wiederholt. */
-function einfach<T extends { id: string; geloeschtAm: Date | null }>(
-  entitaet: string,
-  bezeichnung: string,
-  mehrzahl: string,
-  modul: Modul,
-  zugriff: {
-    findMany: (args: unknown) => Promise<T[]>
-    update: (args: unknown) => Promise<unknown>
-    delete: (args: unknown) => Promise<unknown>
-  },
-  titelFeld: string,
-): Eintragsart {
-  return {
-    bezeichnung,
-    mehrzahl,
-    modul,
-    laden: async (betreuteId, seit) => {
-      const treffer = await zugriff.findMany({
-        where: { betreuteId, geloeschtAm: { gte: seit } },
-        orderBy: { geloeschtAm: 'desc' },
-      })
-      return treffer.map((datensatz) => ({
-        id: datensatz.id,
-        entitaet,
-        bezeichnung:
-          String((datensatz as unknown as Record<string, unknown>)[titelFeld] ?? '(ohne Titel)'),
-        geloeschtAm: datensatz.geloeschtAm!,
-      }))
-    },
-    wiederherstellen: async (id, betreuteId) => {
-      await zugriff.update({ where: { id, betreuteId }, data: { geloeschtAm: null } })
-    },
-    endgueltigLoeschen: async (id, betreuteId) => {
-      await zugriff.delete({ where: { id, betreuteId } })
-    },
-  }
-}
-
-function eintragsarten(): Record<string, Eintragsart> {
-  /* eslint-disable @typescript-eslint/no-explicit-any */
-  const z = db as any
-  return {
-    Vorgang: einfach('Vorgang', 'Vorgang', 'Vorgänge', 'VORGAENGE', z.vorgang, 'titel'),
-    Frist: einfach('Frist', 'Frist', 'Fristen', 'FRISTEN', z.frist, 'titel'),
-    Dokument: einfach('Dokument', 'Dokument', 'Dokumente', 'DOKUMENTE', z.dokument, 'titel'),
-    Konto: einfach('Konto', 'Konto', 'Konten', 'FINANZEN', z.konto, 'bezeichnung'),
-    Buchung: einfach('Buchung', 'Buchung', 'Buchungen', 'FINANZEN', z.buchung, 'gegenstelle'),
-    Vermoegensposten: einfach(
-      'Vermoegensposten',
-      'Vermögensposten',
-      'Vermögensposten',
-      'FINANZEN',
-      z.vermoegensposten,
-      'bezeichnung',
-    ),
-    Immobilie: einfach('Immobilie', 'Immobilie', 'Immobilien', 'IMMOBILIE', z.immobilie, 'bezeichnung'),
-    Vertrag: einfach('Vertrag', 'Vertrag', 'Verträge', 'VERTRAEGE', z.vertrag, 'bezeichnung'),
-    Schreibvorlage: einfach(
-      'Schreibvorlage',
-      'Vorlage',
-      'Vorlagen',
-      'DOKUMENTE',
-      z.schreibvorlage,
-      'name',
-    ),
-    Kontakt: einfach('Kontakt', 'Kontakt', 'Kontakte', 'KONTAKTE', z.kontakt, 'name'),
-    Kontaktprotokoll: einfach(
-      'Kontaktprotokoll',
-      'Kontaktprotokoll',
-      'Kontaktprotokolle',
-      'KONTAKTE',
-      z.kontaktprotokoll,
-      'gespraechspartner',
-    ),
-    Gesundheitsereignis: einfach(
-      'Gesundheitsereignis',
-      'Gesundheitsereignis',
-      'Gesundheitsereignisse',
-      'GESUNDHEIT',
-      z.gesundheitsereignis,
-      'titel',
-    ),
-    Genehmigung: einfach(
-      'Genehmigung',
-      'Genehmigung',
-      'Genehmigungen',
-      'VORGAENGE',
-      z.genehmigung,
-      'titel',
-    ),
-    SozialhilfeAntrag: einfach(
-      'SozialhilfeAntrag',
-      'Sozialhilfeantrag',
-      'Sozialhilfeanträge',
-      'SOZIALHILFE',
-      z.sozialhilfeAntrag,
-      'leistungsart',
-    ),
-    Leistung: einfach('Leistung', 'Leistung', 'Leistungen', 'SOZIALHILFE', z.leistung, 'bezeichnung'),
-    Bericht: einfach('Bericht', 'Bericht', 'Berichte', 'BERICHTE', z.bericht, 'titel'),
-  }
-  /* eslint-enable @typescript-eslint/no-explicit-any */
-}
-
-/** Alles, was in den letzten 30 Tagen geloescht wurde. */
-export async function papierkorbLaden(betreuteId: string): Promise<
-  { art: string; bezeichnung: string; eintraege: PapierkorbEintrag[] }[]
-> {
-  const { zugang } = await erfordereZugang(betreuteId, 'STAMMDATEN', 'lesen')
-  const seit = papierkorbGrenze()
-
-  const gruppen: { art: string; bezeichnung: string; eintraege: PapierkorbEintrag[] }[] = []
-  for (const [art, beschreibung] of Object.entries(eintragsarten())) {
-    // Ein Mitleser sieht auch im Papierkorb nur, was ihm freigegeben ist.
-    if (zugang.rolle === 'MITLESER' && !zugang.freigegebeneModule.includes(beschreibung.modul)) {
-      continue
-    }
-    const eintraege = await beschreibung.laden(betreuteId, seit)
-    if (eintraege.length > 0) {
-      gruppen.push({ art, bezeichnung: beschreibung.mehrzahl, eintraege })
-    }
-  }
-  return gruppen
-}
-
-/**
- * Haengt an diesem Datensatz eine Datei im Objektspeicher?
- *
- * Die beiden Faelle werden ausdruecklich getrennt abgefragt statt ueber
- * eine gemeinsam gehaltene Tabellenvariable: Prisma gibt jedem Modell
- * eigene Signaturen, und eine Variable, die mal das eine und mal das
- * andere Delegate haelt, laesst sich nicht mehr aufrufen.
- */
-async function objektSchluesselFinden(
-  entitaet: string,
-  entitaetId: string,
-  betreuteId: string,
-): Promise<string | null> {
-  if (entitaet === 'Dokument') {
-    const dokument = await db.dokument.findFirst({
-      where: { id: entitaetId, betreuteId },
-      select: { objektSchluessel: true },
-    })
-    return dokument?.objektSchluessel ?? null
-  }
-  if (entitaet === 'Bericht') {
-    const bericht = await db.bericht.findFirst({
-      where: { id: entitaetId, betreuteId },
-      select: { objektSchluessel: true },
-    })
-    return bericht?.objektSchluessel ?? null
-  }
-  return null
-}
-
-export async function wiederherstellen(
-  _zustand: Aktionszustand,
-  formular: FormData,
-): Promise<Aktionszustand> {
-  const gelesen = papierkorbSchema.safeParse({
-    betreuteId: formular.get('betreuteId'),
-    entitaet: formular.get('entitaet'),
-    entitaetId: formular.get('entitaetId'),
-  })
-  if (!gelesen.success) return { fehler: 'Diese Angaben ergeben keinen Sinn.' }
-
-  const art = eintragsarten()[gelesen.data.entitaet]
-  if (!art) return { fehler: 'Diese Art von Datensatz kennt der Papierkorb nicht.' }
-
-  const { benutzer, zugang } = await erfordereZugang(gelesen.data.betreuteId, art.modul, 'schreiben')
-  if (zugang.rolle === 'MITLESER') return { fehler: 'Als Mitleser darfst du nichts wiederherstellen.' }
-
-  await art.wiederherstellen(gelesen.data.entitaetId, gelesen.data.betreuteId)
-
-  await protokollieren({
-    aktion: 'WIEDERHERGESTELLT',
-    entitaet: gelesen.data.entitaet,
-    entitaetId: gelesen.data.entitaetId,
-    bezeichnung: `${art.bezeichnung} aus dem Papierkorb geholt`,
-    betreuteId: gelesen.data.betreuteId,
-    userId: benutzer.id,
-    userEmail: benutzer.email,
-    userName: benutzer.name,
-  })
-
-  revalidatePath('/einstellungen/papierkorb')
-  return { erfolg: `${art.bezeichnung} ist wieder da.` }
-}
-
-/**
- * Endgueltig loeschen. Danach ist der Datensatz weg - auch die Datei im
- * Objektspeicher, falls es eine gibt. Nur nach frischer Anmeldung.
- */
-export async function endgueltigLoeschen(
-  _zustand: Aktionszustand,
-  formular: FormData,
-): Promise<Aktionszustand> {
-  const gelesen = papierkorbSchema.safeParse({
-    betreuteId: formular.get('betreuteId'),
-    entitaet: formular.get('entitaet'),
-    entitaetId: formular.get('entitaetId'),
-  })
-  if (!gelesen.success) return { fehler: 'Diese Angaben ergeben keinen Sinn.' }
-
-  const art = eintragsarten()[gelesen.data.entitaet]
-  if (!art) return { fehler: 'Diese Art von Datensatz kennt der Papierkorb nicht.' }
-
-  const { benutzer, zugang } = await erfordereZugang(gelesen.data.betreuteId, art.modul, 'schreiben')
-  if (zugang.rolle === 'MITLESER') return { fehler: 'Als Mitleser darfst du nichts löschen.' }
-  await erfordereFrischeAnmeldung(benutzer, '/einstellungen/papierkorb')
-
-  // Bei Dokumenten und Berichten haengt eine Datei daran. Sie wird zuerst
-  // entfernt: Bliebe sie liegen, waere sie eine verwaiste Kopie von Daten,
-  // die ausdruecklich verschwinden sollten.
-  const schluessel = await objektSchluesselFinden(
-    gelesen.data.entitaet,
-    gelesen.data.entitaetId,
-    gelesen.data.betreuteId,
-  )
-  if (schluessel) {
-    try {
-      await entfernen(schluessel)
-    } catch (fehler) {
-      console.error('[papierkorb] Datei konnte nicht entfernt werden:', fehler)
-    }
-  }
-
-  await art.endgueltigLoeschen(gelesen.data.entitaetId, gelesen.data.betreuteId)
-
-  await protokollieren({
-    aktion: 'ENDGUELTIG_GELOESCHT',
-    entitaet: gelesen.data.entitaet,
-    entitaetId: gelesen.data.entitaetId,
-    bezeichnung: `${art.bezeichnung} endgültig gelöscht`,
-    betreuteId: gelesen.data.betreuteId,
-    userId: benutzer.id,
-    userEmail: benutzer.email,
-    userName: benutzer.name,
-  })
-
-  revalidatePath('/einstellungen/papierkorb')
-  return { erfolg: `${art.bezeichnung} ist endgültig entfernt.` }
-}
+'use server'
+
+import { revalidatePath } from 'next/cache'
+import type { Modul } from '@prisma/client'
+import { db, papierkorbGrenze } from '@/lib/db'
+import { protokollieren } from '@/lib/audit'
+import { erfordereFrischeAnmeldung, erfordereZugang } from '@/lib/auth/sitzung'
+import { entfernen } from '@/lib/speicher'
+import { papierkorbSchema } from '@/lib/validierung/freigaben'
+
+/**
+ * Papierkorb.
+ *
+ * Loeschen heisst in dieser Anwendung: "geloeschtAm" setzen. Der Datensatz
+ * bleibt 30 Tage sichtbar und wiederherstellbar. Das ist kein Luxus - in
+ * einer Betreuungsakte ist ein versehentlich geloeschter Bescheid ein
+ * echtes Problem, und der Nachweis gegenueber dem Gericht haengt daran.
+ *
+ * Endgueltig geloescht wird nur hier, nur einzeln und nur nach frischer
+ * Anmeldung. Danach ist der Datensatz weg; im Audit-Log bleibt stehen, dass
+ * es ihn gab und wer ihn entfernt hat.
+ */
+
+export type Aktionszustand = {
+  fehler?: string
+  erfolg?: string
+}
+
+/**
+ * Was im Papierkorb auftauchen kann. Bewusst eine feste Liste und keine
+ * dynamische Modellsuche: Der Entitaetsname kommt aus einem Formular, und
+ * daraus darf niemals ein beliebiger Datenbankzugriff werden.
+ */
+type Eintragsart = {
+  bezeichnung: string
+  mehrzahl: string
+  modul: Modul
+  laden: (betreuteId: string, seit: Date) => Promise<PapierkorbEintrag[]>
+  wiederherstellen: (id: string, betreuteId: string) => Promise<void>
+  endgueltigLoeschen: (id: string, betreuteId: string) => Promise<void>
+}
+
+export type PapierkorbEintrag = {
+  id: string
+  entitaet: string
+  bezeichnung: string
+  geloeschtAm: Date
+}
+
+/** Kleine Hilfe, damit die Tabelle unten nicht 20-mal dasselbe wiederholt. */
+function einfach<T extends { id: string; geloeschtAm: Date | null }>(
+  entitaet: string,
+  bezeichnung: string,
+  mehrzahl: string,
+  modul: Modul,
+  zugriff: {
+    findMany: (args: unknown) => Promise<T[]>
+    update: (args: unknown) => Promise<unknown>
+    delete: (args: unknown) => Promise<unknown>
+  },
+  titelFeld: string,
+): Eintragsart {
+  return {
+    bezeichnung,
+    mehrzahl,
+    modul,
+    laden: async (betreuteId, seit) => {
+      const treffer = await zugriff.findMany({
+        where: { betreuteId, geloeschtAm: { gte: seit } },
+        orderBy: { geloeschtAm: 'desc' },
+      })
+      return treffer.map((datensatz) => ({
+        id: datensatz.id,
+        entitaet,
+        bezeichnung:
+          String((datensatz as unknown as Record<string, unknown>)[titelFeld] ?? '(ohne Titel)'),
+        geloeschtAm: datensatz.geloeschtAm!,
+      }))
+    },
+    wiederherstellen: async (id, betreuteId) => {
+      await zugriff.update({ where: { id, betreuteId }, data: { geloeschtAm: null } })
+    },
+    endgueltigLoeschen: async (id, betreuteId) => {
+      await zugriff.delete({ where: { id, betreuteId } })
+    },
+  }
+}
+
+function eintragsarten(): Record<string, Eintragsart> {
+  /* eslint-disable @typescript-eslint/no-explicit-any */
+  const z = db as any
+  return {
+    Vorgang: einfach('Vorgang', 'Vorgang', 'Vorgänge', 'VORGAENGE', z.vorgang, 'titel'),
+    Frist: einfach('Frist', 'Frist', 'Fristen', 'FRISTEN', z.frist, 'titel'),
+    Dokument: einfach('Dokument', 'Dokument', 'Dokumente', 'DOKUMENTE', z.dokument, 'titel'),
+    Konto: einfach('Konto', 'Konto', 'Konten', 'FINANZEN', z.konto, 'bezeichnung'),
+    Buchung: einfach('Buchung', 'Buchung', 'Buchungen', 'FINANZEN', z.buchung, 'gegenstelle'),
+    Vermoegensposten: einfach(
+      'Vermoegensposten',
+      'Vermögensposten',
+      'Vermögensposten',
+      'FINANZEN',
+      z.vermoegensposten,
+      'bezeichnung',
+    ),
+    Immobilie: einfach('Immobilie', 'Immobilie', 'Immobilien', 'IMMOBILIE', z.immobilie, 'bezeichnung'),
+    Vertrag: einfach('Vertrag', 'Vertrag', 'Verträge', 'VERTRAEGE', z.vertrag, 'bezeichnung'),
+    Schreibvorlage: einfach(
+      'Schreibvorlage',
+      'Vorlage',
+      'Vorlagen',
+      'DOKUMENTE',
+      z.schreibvorlage,
+      'name',
+    ),
+    Kontakt: einfach('Kontakt', 'Kontakt', 'Kontakte', 'KONTAKTE', z.kontakt, 'name'),
+    Kontaktprotokoll: einfach(
+      'Kontaktprotokoll',
+      'Kontaktprotokoll',
+      'Kontaktprotokolle',
+      'KONTAKTE',
+      z.kontaktprotokoll,
+      'gespraechspartner',
+    ),
+    Gesundheitsereignis: einfach(
+      'Gesundheitsereignis',
+      'Gesundheitsereignis',
+      'Gesundheitsereignisse',
+      'GESUNDHEIT',
+      z.gesundheitsereignis,
+      'titel',
+    ),
+    Genehmigung: einfach(
+      'Genehmigung',
+      'Genehmigung',
+      'Genehmigungen',
+      'VORGAENGE',
+      z.genehmigung,
+      'titel',
+    ),
+    SozialhilfeAntrag: einfach(
+      'SozialhilfeAntrag',
+      'Sozialhilfeantrag',
+      'Sozialhilfeanträge',
+      'SOZIALHILFE',
+      z.sozialhilfeAntrag,
+      'leistungsart',
+    ),
+    Leistung: einfach('Leistung', 'Leistung', 'Leistungen', 'SOZIALHILFE', z.leistung, 'bezeichnung'),
+    Bericht: einfach('Bericht', 'Bericht', 'Berichte', 'BERICHTE', z.bericht, 'titel'),
+  }
+  /* eslint-enable @typescript-eslint/no-explicit-any */
+}
+
+/** Alles, was in den letzten 30 Tagen geloescht wurde. */
+export async function papierkorbLaden(betreuteId: string): Promise<
+  { art: string; bezeichnung: string; eintraege: PapierkorbEintrag[] }[]
+> {
+  const { zugang } = await erfordereZugang(betreuteId, 'STAMMDATEN', 'lesen')
+  const seit = papierkorbGrenze()
+
+  const gruppen: { art: string; bezeichnung: string; eintraege: PapierkorbEintrag[] }[] = []
+  for (const [art, beschreibung] of Object.entries(eintragsarten())) {
+    // Ein Mitleser sieht auch im Papierkorb nur, was ihm freigegeben ist.
+    if (zugang.rolle === 'MITLESER' && !zugang.freigegebeneModule.includes(beschreibung.modul)) {
+      continue
+    }
+    const eintraege = await beschreibung.laden(betreuteId, seit)
+    if (eintraege.length > 0) {
+      gruppen.push({ art, bezeichnung: beschreibung.mehrzahl, eintraege })
+    }
+  }
+  return gruppen
+}
+
+/**
+ * Haengt an diesem Datensatz eine Datei im Objektspeicher?
+ *
+ * Die beiden Faelle werden ausdruecklich getrennt abgefragt statt ueber
+ * eine gemeinsam gehaltene Tabellenvariable: Prisma gibt jedem Modell
+ * eigene Signaturen, und eine Variable, die mal das eine und mal das
+ * andere Delegate haelt, laesst sich nicht mehr aufrufen.
+ */
+async function objektSchluesselFinden(
+  entitaet: string,
+  entitaetId: string,
+  betreuteId: string,
+): Promise<string | null> {
+  if (entitaet === 'Dokument') {
+    const dokument = await db.dokument.findFirst({
+      where: { id: entitaetId, betreuteId },
+      select: { objektSchluessel: true },
+    })
+    return dokument?.objektSchluessel ?? null
+  }
+  if (entitaet === 'Bericht') {
+    const bericht = await db.bericht.findFirst({
+      where: { id: entitaetId, betreuteId },
+      select: { objektSchluessel: true },
+    })
+    return bericht?.objektSchluessel ?? null
+  }
+  return null
+}
+
+export async function wiederherstellen(
+  _zustand: Aktionszustand,
+  formular: FormData,
+): Promise<Aktionszustand> {
+  const gelesen = papierkorbSchema.safeParse({
+    betreuteId: formular.get('betreuteId'),
+    entitaet: formular.get('entitaet'),
+    entitaetId: formular.get('entitaetId'),
+  })
+  if (!gelesen.success) return { fehler: 'Diese Angaben ergeben keinen Sinn.' }
+
+  const art = eintragsarten()[gelesen.data.entitaet]
+  if (!art) return { fehler: 'Diese Art von Datensatz kennt der Papierkorb nicht.' }
+
+  const { benutzer, zugang } = await erfordereZugang(gelesen.data.betreuteId, art.modul, 'schreiben')
+  if (zugang.rolle === 'MITLESER') return { fehler: 'Als Mitleser darfst du nichts wiederherstellen.' }
+
+  await art.wiederherstellen(gelesen.data.entitaetId, gelesen.data.betreuteId)
+
+  await protokollieren({
+    aktion: 'WIEDERHERGESTELLT',
+    entitaet: gelesen.data.entitaet,
+    entitaetId: gelesen.data.entitaetId,
+    bezeichnung: `${art.bezeichnung} aus dem Papierkorb geholt`,
+    betreuteId: gelesen.data.betreuteId,
+    userId: benutzer.id,
+    userEmail: benutzer.email,
+    userName: benutzer.name,
+  })
+
+  revalidatePath('/einstellungen/papierkorb')
+  return { erfolg: `${art.bezeichnung} ist wieder da.` }
+}
+
+/**
+ * Endgueltig loeschen. Danach ist der Datensatz weg - auch die Datei im
+ * Objektspeicher, falls es eine gibt. Nur nach frischer Anmeldung.
+ */
+export async function endgueltigLoeschen(
+  _zustand: Aktionszustand,
+  formular: FormData,
+): Promise<Aktionszustand> {
+  const gelesen = papierkorbSchema.safeParse({
+    betreuteId: formular.get('betreuteId'),
+    entitaet: formular.get('entitaet'),
+    entitaetId: formular.get('entitaetId'),
+  })
+  if (!gelesen.success) return { fehler: 'Diese Angaben ergeben keinen Sinn.' }
+
+  const art = eintragsarten()[gelesen.data.entitaet]
+  if (!art) return { fehler: 'Diese Art von Datensatz kennt der Papierkorb nicht.' }
+
+  const { benutzer, zugang } = await erfordereZugang(gelesen.data.betreuteId, art.modul, 'schreiben')
+  if (zugang.rolle === 'MITLESER') return { fehler: 'Als Mitleser darfst du nichts löschen.' }
+  await erfordereFrischeAnmeldung(benutzer, '/einstellungen/papierkorb')
+
+  // Bei Dokumenten und Berichten haengt eine Datei daran. Sie wird zuerst
+  // entfernt: Bliebe sie liegen, waere sie eine verwaiste Kopie von Daten,
+  // die ausdruecklich verschwinden sollten.
+  const schluessel = await objektSchluesselFinden(
+    gelesen.data.entitaet,
+    gelesen.data.entitaetId,
+    gelesen.data.betreuteId,
+  )
+  if (schluessel) {
+    try {
+      await entfernen(schluessel)
+    } catch (fehler) {
+      console.error('[papierkorb] Datei konnte nicht entfernt werden:', fehler)
+    }
+  }
+
+  await art.endgueltigLoeschen(gelesen.data.entitaetId, gelesen.data.betreuteId)
+
+  await protokollieren({
+    aktion: 'ENDGUELTIG_GELOESCHT',
+    entitaet: gelesen.data.entitaet,
+    entitaetId: gelesen.data.entitaetId,
+    bezeichnung: `${art.bezeichnung} endgültig gelöscht`,
+    betreuteId: gelesen.data.betreuteId,
+    userId: benutzer.id,
+    userEmail: benutzer.email,
+    userName: benutzer.name,
+  })
+
+  revalidatePath('/einstellungen/papierkorb')
+  return { erfolg: `${art.bezeichnung} ist endgültig entfernt.` }
+}
@@ -20,7 +20,11 @@ import {
  registrierungPruefen,
  registrierungVorbereiten,
 } from '@/lib/auth/passkey'
-import { erfordereBenutzer, reauthBestaetigen } from '@/lib/auth/sitzung'
+import {
+  erfordereBenutzer,
+  erfordereFrischeAnmeldung,
+  reauthBestaetigen,
+} from '@/lib/auth/sitzung'

 /**
 * Server Actions rund um Passkeys.
@@ -42,6 +46,21 @@ export type PasskeyStart<T> = { ok: true; optionen: T } | { ok: false; fehler: s
 /** Ergebnis eines abschliessenden Schritts. */
 export type PasskeyErgebnis = { ok: true; meldung?: string } | { ok: false; fehler: string }

+/**
+ * Erkennt die Weiterleitung, die Next.js intern als Ausnahme wirft.
+ * Wie in anmelden.ts ueber das digest-Feld statt ueber einen Import aus
+ * next/dist - interne Pfade aendern sich zwischen Nebenversionen.
+ */
+function istWeiterleitung(fehler: unknown): boolean {
+  return (
+    typeof fehler === 'object' &&
+    fehler !== null &&
+    'digest' in fehler &&
+    typeof (fehler as { digest?: unknown }).digest === 'string' &&
+    (fehler as { digest: string }).digest.startsWith('NEXT_REDIRECT')
+  )
+}
+
 function alsFehler(fehler: unknown): { ok: false; fehler: string } {
  if (fehler instanceof PasskeyFehler) {
    return { ok: false, fehler: PASSKEY_MELDUNG[fehler.grund] }
@@ -50,6 +69,18 @@ function alsFehler(fehler: unknown): { ok: false; fehler: string } {
  return { ok: false, fehler: PASSKEY_MELDUNG.ungueltig }
 }

+/**
+ * Wie alsFehler, wirft aber die Weiterleitung von Next durch.
+ *
+ * Ohne das verschwindet der Ruf nach einer erneuten Bestaetigung in der
+ * allgemeinen Meldung "Der Passkey konnte nicht geprueft werden" - der
+ * Benutzer sieht einen Fehler, wo eine Zwischenfrage gemeint war.
+ */
+function alsFehlerOderWeiter(fehler: unknown): { ok: false; fehler: string } {
+  if (istWeiterleitung(fehler)) throw fehler
+  return alsFehler(fehler)
+}
+
 /**
 * Parst die Antwort des Browsers.
 *
@@ -74,14 +105,26 @@ function antwortLesen<T>(roh: string): T {
 // Einrichten (angemeldet, unter "Mein Konto")
 // ---------------------------------------------------------------------------

+/**
+ * Ein Passkey ist ein vollwertiger Zugang - wer einen anlegt, kommt danach
+ * ohne Passwort und ohne Code herein. Deshalb dasselbe Vorzimmer wie beim
+ * Vollexport: Die Anmeldung muss frisch sein.
+ *
+ * Das ist genau der Fall, gegen den die erneute Bestaetigung da ist: Eine
+ * offene Sitzung an einem unbeaufsichtigten Rechner ist in diesem Umfeld
+ * der wahrscheinlichste Angriffsweg. Wer daran vorbeikaeme, richtete sich
+ * in zwei Klicks einen dauerhaften eigenen Zugang ein - und der ueberlebte
+ * auch einen Passwortwechsel.
+ */
 export async function passkeyEinrichtungStarten(): Promise<
  PasskeyStart<PublicKeyCredentialCreationOptionsJSON>
 > {
  try {
    const benutzer = await erfordereBenutzer()
+    await erfordereFrischeAnmeldung(benutzer, '/konto')
    return { ok: true, optionen: await registrierungVorbereiten(benutzer) }
  } catch (fehler) {
-    return alsFehler(fehler)
+    return alsFehlerOderWeiter(fehler)
  }
 }

@@ -97,6 +140,11 @@ export async function passkeyEinrichtungAbschliessen(
 ): Promise<PasskeyErgebnis> {
  try {
    const benutzer = await erfordereBenutzer()
+    // Auch im zweiten Schritt: Zwischen Optionen holen und Antwort
+    // einreichen liegt der Griff zum Sensor, und die Frist kann in dieser
+    // Zeit ablaufen. Ohne die Pruefung waere der erste Schritt nur eine
+    // Empfehlung.
+    await erfordereFrischeAnmeldung(benutzer, '/konto')

    const geprueft = NameSchema.safeParse(name)
    if (!geprueft.success) {
@@ -122,7 +170,7 @@ export async function passkeyEinrichtungAbschliessen(
    revalidatePath('/konto')
    return { ok: true, meldung: `„${passkey.name}“ ist eingerichtet.` }
  } catch (fehler) {
-    return alsFehler(fehler)
+    return alsFehlerOderWeiter(fehler)
  }
 }

@@ -130,9 +178,15 @@ export async function passkeyEinrichtungAbschliessen(
 // Verwalten
 // ---------------------------------------------------------------------------

+/**
+ * Entfernen braucht die frische Anmeldung genauso wie das Anlegen: Wer
+ * einem Betreuer alle Passkeys wegnimmt, sperrt ihn von dem Weg aus, auf
+ * dem er hereinkommt.
+ */
 export async function passkeyEntfernen(id: string): Promise<PasskeyErgebnis> {
  try {
    const benutzer = await erfordereBenutzer()
+    await erfordereFrischeAnmeldung(benutzer, '/konto')

    // Zeilenweise Pruefung: Es genuegt nicht, dass die ID existiert - sie
    // muss zu DIESEM Benutzer gehoeren. deleteMany mit userId im WHERE
@@ -163,7 +217,7 @@ export async function passkeyEntfernen(id: string): Promise<PasskeyErgebnis> {
    revalidatePath('/konto')
    return { ok: true, meldung: `„${passkey.name}“ wurde entfernt.` }
  } catch (fehler) {
-    return alsFehler(fehler)
+    return alsFehlerOderWeiter(fehler)
  }
 }

@@ -187,21 +241,6 @@ function sicheresZiel(ziel: string): string {
  return ziel
 }

-/**
- * Erkennt die Weiterleitung, die Next.js intern als Ausnahme wirft.
- * Wie in anmelden.ts ueber das digest-Feld statt ueber einen Import aus
- * next/dist - interne Pfade aendern sich zwischen Nebenversionen.
- */
-function istWeiterleitung(fehler: unknown): boolean {
-  return (
-    typeof fehler === 'object' &&
-    fehler !== null &&
-    'digest' in fehler &&
-    typeof (fehler as { digest?: unknown }).digest === 'string' &&
-    (fehler as { digest: string }).digest.startsWith('NEXT_REDIRECT')
-  )
-}
-
 /**
 * Uebersetzt den Fehlercode aus authorize() in einen lesbaren Satz.
 * "passkey:<grund>" kommt aus PasskeyAnmeldeFehler, alles andere aus dem
@@ -6,6 +6,7 @@ import { db, nichtGeloescht } from '@/lib/db'
 import { erfordereZugang, ZugriffVerweigert } from '@/lib/auth/sitzung'
 import { protokollieren } from '@/lib/audit'
 import { ablegenMitTyp } from '@/lib/speicher'
+import { speicherfehlerMeldung } from '@/lib/speicher/fehler'
 import { heuteAlsTag } from '@/lib/fristen/datum'
 import { tagAusText } from '@/lib/finanzen/datum'
 import {
@@ -228,7 +229,9 @@ export async function schreibenAblegen(
    const verweigert = zugriffsfehler(ausnahme)
    if (verweigert) return verweigert
    console.error('[schreiben] Ablegen fehlgeschlagen:', ausnahme)
-    return { fehler: 'Das Schreiben konnte nicht abgelegt werden.' }
+    return {
+      fehler: speicherfehlerMeldung(ausnahme, 'Das Schreiben konnte nicht abgelegt werden.'),
+    }
  }
 }

@@ -6,6 +6,7 @@ import type { Prisma } from '@prisma/client'
 import { db, nichtGeloescht } from '@/lib/db'
 import { erfordereZugang } from '@/lib/auth/sitzung'
 import { aenderungErmitteln, protokollieren, type Aenderung } from '@/lib/audit'
+import { verweisePruefen } from '@/lib/auth/verweise'
 import { oeffnen, sealen } from '@/lib/crypto/feld'
 import {
  AufgabeAbhakenSchema,
@@ -69,34 +70,6 @@ async function kontaktnameZu(kontaktId: string | null): Promise<string | null> {
  return [kontakt.name, kontakt.organisation].filter(Boolean).join(', ')
 }

-/**
- * Gehoert der Ansprechpartner zu dieser Akte?
- *
- * Ohne die Pruefung koennte ein veraendertes Formular einen Kontakt aus
- * einer fremden Akte an den Vorgang haengen - und sein Name stuende
- * anschliessend im Briefkopf.
- */
-async function ansprechpartnerPruefen(
-  betreuteId: string,
-  ansprechpartnerId: string | null,
-): Promise<{ ok: true } | { ok: false; zustand: Formularzustand }> {
-  if (!ansprechpartnerId) return { ok: true }
-
-  const kontakt = await db.kontakt.findFirst({
-    where: { id: ansprechpartnerId, betreuteId, geloeschtAm: null },
-    select: { id: true },
-  })
-  if (kontakt) return { ok: true }
-
-  return {
-    ok: false,
-    zustand: {
-      fehler: 'Diesen Kontakt gibt es nicht (mehr).',
-      felder: { ansprechpartnerId: 'Bitte einen Kontakt aus dem Verzeichnis wählen.' },
-    },
-  }
-}
-
 export async function vorgangAnlegen(
  _vorher: Formularzustand,
  formular: FormData,
@@ -119,8 +92,13 @@ export async function vorgangAnlegen(

  const eingabe = gelesen.data

-  const geprueft = await ansprechpartnerPruefen(betreuteId, eingabe.ansprechpartnerId)
-  if (!geprueft.ok) return geprueft.zustand
+  // Sein Name stuende sonst im Briefkopf - siehe lib/auth/verweise.ts.
+  const verweisfehler = await verweisePruefen(betreuteId, {
+    kontakt: eingabe.ansprechpartnerId,
+  })
+  if (verweisfehler) {
+    return { fehler: verweisfehler, felder: { ansprechpartnerId: verweisfehler } }
+  }

  const jetzt = new Date()

@@ -250,8 +228,12 @@ export async function vorgangAendern(

  const eingabe = gelesen.data

-  const geprueft = await ansprechpartnerPruefen(vorgang.betreuteId, eingabe.ansprechpartnerId)
-  if (!geprueft.ok) return geprueft.zustand
+  const verweisfehler = await verweisePruefen(vorgang.betreuteId, {
+    kontakt: eingabe.ansprechpartnerId,
+  })
+  if (verweisfehler) {
+    return { fehler: verweisfehler, felder: { ansprechpartnerId: verweisfehler } }
+  }

  const vorherOffen = oeffnen('Vorgang', vorgang)

@@ -3,10 +3,15 @@
 import { revalidatePath } from 'next/cache'
 import { z } from 'zod'
 import { db } from '@/lib/db'
-import { erfordereBenutzer, erfordereFrischeAnmeldung } from '@/lib/auth/sitzung'
+import {
+  erfordereBenutzer,
+  erfordereBenutzerOhneZweitenFaktor,
+  erfordereFrischeAnmeldung,
+} from '@/lib/auth/sitzung'
 import { protokollieren } from '@/lib/audit'
 import {
  totpPruefen,
+  totpSchritt,
  totpQrCode,
  totpSecretEntschluesseln,
  totpSecretErzeugen,
@@ -40,7 +45,9 @@ export type EinrichtungsDaten = {
 }

 export async function zweitenFaktorVorbereiten(): Promise<EinrichtungsDaten> {
-  const benutzer = await erfordereBenutzer()
+  // Ausnahme von der MFA-Pflicht, und zwar die offensichtliche: Wer den
+  // zweiten Faktor gerade einrichtet, hat ihn noch nicht.
+  const benutzer = await erfordereBenutzerOhneZweitenFaktor()

  if (benutzer.totpAktiviertAm && benutzer.totpSecretVerschluesselt) {
    // Schon eingerichtet - kein neues Geheimnis, sonst waere die alte App
@@ -78,7 +85,8 @@ export async function zweitenFaktorBestaetigen(
  _vorher: BestaetigungsZustand,
  formular: FormData,
 ): Promise<BestaetigungsZustand> {
-  const benutzer = await erfordereBenutzer()
+  // Zweite und letzte Ausnahme: der Abschluss der Einrichtung selbst.
+  const benutzer = await erfordereBenutzerOhneZweitenFaktor()

  if (benutzer.totpAktiviertAm) {
    return { fehler: 'Der zweite Faktor ist bereits eingerichtet.' }
@@ -93,9 +101,9 @@ export async function zweitenFaktorBestaetigen(
  }

  const secret = totpSecretEntschluesseln(benutzer.totpSecretVerschluesselt)
-  const { gueltig } = totpPruefen(secret, benutzer.email, gelesen.data)
+  const { gueltig, delta } = totpPruefen(secret, benutzer.email, gelesen.data)

-  if (!gueltig) {
+  if (!gueltig || delta === null) {
    return {
      fehler:
        'Der Code stimmt nicht. Prüfe, ob die Uhrzeit deines Geräts automatisch gestellt wird — ' +
@@ -108,7 +116,14 @@ export async function zweitenFaktorBestaetigen(

  await db.user.update({
    where: { id: benutzer.id },
-    data: { totpAktiviertAm: new Date(), wiederherstellungscodes: hashes },
+    data: {
+      totpAktiviertAm: new Date(),
+      wiederherstellungscodes: hashes,
+      // Der Code, mit dem gerade bestaetigt wurde, ist verbraucht. Ohne
+      // diese Zeile liesse er sich unmittelbar danach fuer die erste
+      // Anmeldung noch einmal verwenden.
+      totpLetzterSchritt: totpSchritt(delta),
+    },
  })

  await protokollieren({
@@ -0,0 +1,110 @@
+import { readFileSync } from 'node:fs'
+import { describe, expect, it } from 'vitest'
+
+/**
+ * Die Installationsanleitung muss ausführbar sein, nicht nur lesbar.
+ *
+ * Anlass ist eine Fehlersuche vom 31.08.2026. Drei Stellen der Anleitung
+ * haben dabei Zeit gekostet — keine davon war falsch formuliert, alle drei
+ * waren schlicht nicht durchdacht:
+ *
+ * 1. `mc alias set` wurde einmalig gesetzt. Der Alias liegt in `/root/.mc`
+ *    **im Behälter** und ist nach jedem `docker compose up -d minio` weg.
+ *    `mc ls lokal` liefert dann kommentarlos nichts — man hält seine
+ *    Dokumente für verschwunden.
+ * 2. Der Bucket-Name stand fest im Befehl, die Anwendung liest ihn aus
+ *    `S3_BUCKET`. Weichen sie ab, zeigen beide aneinander vorbei.
+ * 3. `set -a && source .env` exportiert alle Werte in die Shell — und die
+ *    haben danach Vorrang vor der `.env`-Datei. Wer später etwas ändert
+ *    und neu startet, sieht keine Wirkung.
+ *
+ * Diese Prüfungen lesen den Text. Sie können die Anleitung nicht
+ * ausführen, aber sie schlagen an, sobald jemand in eine der Fallen
+ * zurückfällt.
+ */
+
+const anleitung = readFileSync('docs/INSTALLATION.md', 'utf8')
+
+/** Alle Zeilen mit einem mc-Aufruf, ohne Fließtext und Zitate. */
+function mcZeilen(): string[] {
+  return anleitung
+    .split('\n')
+    .filter((zeile) => /\bmc (ls|mb|mirror|cp|rm|stat)\b/.test(zeile))
+    .filter((zeile) => !zeile.trim().startsWith('>'))
+}
+
+describe('Installationsanleitung', () => {
+  it('setzt bei jedem mc-Aufruf den Alias selbst', () => {
+    // Sonst funktioniert der Befehl nur, solange der Behaelter nicht neu
+    // erstellt wurde - und das sagt einem niemand.
+    const abschnitte = anleitung.split('```')
+    const ohneAlias = abschnitte
+      .filter((block) => /\bmc (ls|mb|mirror|cp|rm|stat)\b/.test(block))
+      .filter((block) => !block.includes('mc alias set'))
+
+    expect(
+      ohneAlias.length,
+      'Ein mc-Befehl ohne "mc alias set" im selben Block läuft nur, solange ' +
+        'der MinIO-Behälter nicht neu erstellt wurde.',
+    ).toBe(0)
+  })
+
+  it('verdrahtet den Namen des Ablagebereichs nicht fest', () => {
+    const festVerdrahtet = mcZeilen().filter((zeile) => /lokal\/betreuungs-cockpit/.test(zeile))
+
+    expect(
+      festVerdrahtet,
+      'Der Name gehört aus $S3_BUCKET - sonst zeigen Anwendung und ' +
+        'Ablagebereich aneinander vorbei, sobald jemand ihn ändert.',
+    ).toEqual([])
+  })
+
+  it('empfiehlt kein "source .env" mehr', () => {
+    // Exportierte Werte ueberstimmen danach jedes "docker compose up".
+    const zeilen = anleitung
+      .split('\n')
+      .filter((zeile) => !zeile.trim().startsWith('>'))
+      .filter((zeile) => !zeile.trim().startsWith('#'))
+      .filter((zeile) => /source \.env/.test(zeile))
+
+    expect(zeilen).toEqual([])
+  })
+
+  it('erklärt trotzdem, warum es nicht empfohlen wird', () => {
+    // Weglassen allein hilft nicht: Wer den Kniff von woanders kennt,
+    // benutzt ihn weiter.
+    expect(anleitung).toMatch(/Vorrang vor der/)
+  })
+
+  it('sagt, wo die Daten liegen', () => {
+    expect(anleitung).toMatch(/## Wo deine Daten liegen/)
+    expect(anleitung).toMatch(/docker volume inspect/)
+    expect(anleitung).toMatch(/minio-daten/)
+    expect(anleitung).toMatch(/postgres-daten/)
+  })
+
+  it('zeigt, wie man Akte und Speicher abgleicht', () => {
+    // Die wichtigste Kontrolle: Zu jedem Akteneintrag muss eine Datei
+    // gehoeren, sonst belegt eine Pruefsumme ein Dokument, das es nicht
+    // mehr gibt.
+    expect(anleitung).toMatch(/objektSchluessel/)
+    expect(anleitung).toMatch(/comm -23/)
+  })
+
+  it('nennt die Schlüssel, ohne die nichts mehr lesbar ist', () => {
+    const abschnitt = anleitung.slice(anleitung.indexOf('## Wo deine Daten liegen'))
+    for (const schluessel of ['ENC_KEY_V1', 'SICHERUNG_PASSWORT', 'MINIO_KMS_SECRET_KEY']) {
+      expect(abschnitt, `${schluessel} fehlt in der Aufzählung`).toContain(schluessel)
+    }
+  })
+
+  it('weist docker-compose.override.yml als Ort für eigene Anpassungen aus', () => {
+    expect(anleitung).toMatch(/docker-compose\.override\.yml/)
+    expect(readFileSync('.gitignore', 'utf8')).toMatch(/docker-compose\.override\.yml/)
+  })
+
+  it('behauptet nicht mehr, die Dokumente seien ungesichert', () => {
+    // Stand bis v1.12.0 so drin und stimmt seit der Sicherung nicht mehr.
+    expect(anleitung).not.toMatch(/Was das Backup nicht enthält:.*Dateien im Objektspeicher/s)
+  })
+})
@@ -0,0 +1,250 @@
+import { beforeEach, describe, expect, it, vi } from 'vitest'
+
+/**
+ * Die Anmeldesperre - und warum sie sich frueher selbst am Leben hielt.
+ *
+ * Bis v1.10.2 wurde jeder Aufruf festgehalten, auch der, der wegen einer
+ * laufenden Sperre gar nicht geprueft wurde. Gleichzeitig lief die Frist ab
+ * dem juengsten Fehlversuch. Beides zusammen ergab eine Rueckkopplung: Wer
+ * regelmaessig gegen eine gesperrte Adresse klopfte, verlaengerte die Sperre
+ * bei jedem Klopfen um die volle Dauer - und sperrte den Inhaber damit
+ * dauerhaft aus, ohne dessen Passwort zu kennen. Nebenbei wuchs die Tabelle
+ * mit jedem Versuch.
+ *
+ * Diese Tests laufen gegen eine Attrappe der Datenbank. Das reicht: Was hier
+ * geprueft wird, ist die Rechnung, nicht die Abfrage.
+ */
+
+// Kuerzere Sperre als Zeitfenster - nur so wird sichtbar, ob die Frist
+// wirklich ablaeuft oder bis zum Fensterende stehen bleibt.
+process.env.LOGIN_MAX_VERSUCHE = '5'
+process.env.LOGIN_FENSTER_SEKUNDEN = '3600'
+process.env.LOGIN_SPERRE_SEKUNDEN = '900'
+
+type Zeile = {
+  id: string
+  email: string
+  ipHash: string | null
+  erfolg: boolean
+  grund: string | null
+  zeitpunkt: Date
+}
+
+let tabelle: Zeile[] = []
+let laufendeNummer = 0
+
+/** Nur die Abfrageformen, die in ratelimit.ts wirklich vorkommen. */
+function passt(zeile: Zeile, wo: Record<string, unknown>): boolean {
+  if ('erfolg' in wo && zeile.erfolg !== wo.erfolg) return false
+  if ('email' in wo && zeile.email !== wo.email) return false
+
+  if ('grund' in wo) {
+    const bedingung = wo.grund
+    if (typeof bedingung === 'object' && bedingung !== null && 'not' in bedingung) {
+      if (zeile.grund === (bedingung as { not: string }).not) return false
+    } else if (zeile.grund !== bedingung) {
+      return false
+    }
+  }
+
+  if ('zeitpunkt' in wo) {
+    const { gte, lt } = wo.zeitpunkt as { gte?: Date; lt?: Date }
+    if (gte && zeile.zeitpunkt < gte) return false
+    if (lt && zeile.zeitpunkt >= lt) return false
+  }
+
+  if ('OR' in wo) {
+    const zweige = wo.OR as Record<string, unknown>[]
+    if (!zweige.some((zweig) => passt(zeile, zweig))) return false
+  }
+
+  if ('ipHash' in wo && zeile.ipHash !== wo.ipHash) return false
+
+  return true
+}
+
+vi.mock('@/lib/db', () => ({
+  db: {
+    loginVersuch: {
+      findMany: async ({
+        where,
+        orderBy,
+        take,
+      }: {
+        where: Record<string, unknown>
+        orderBy?: { zeitpunkt?: 'asc' | 'desc' }
+        take?: number
+      }) => {
+        const treffer = tabelle.filter((zeile) => passt(zeile, where))
+        treffer.sort((a, b) =>
+          orderBy?.zeitpunkt === 'desc'
+            ? b.zeitpunkt.getTime() - a.zeitpunkt.getTime()
+            : a.zeitpunkt.getTime() - b.zeitpunkt.getTime(),
+        )
+        return take ? treffer.slice(0, take) : treffer
+      },
+
+      findFirst: async ({ where }: { where: Record<string, unknown> }) =>
+        tabelle.find((zeile) => passt(zeile, where)) ?? null,
+
+      create: async ({ data }: { data: Omit<Zeile, 'id' | 'zeitpunkt'> }) => {
+        laufendeNummer += 1
+        const zeile: Zeile = {
+          id: `z${laufendeNummer}`,
+          email: data.email,
+          ipHash: data.ipHash ?? null,
+          erfolg: data.erfolg,
+          grund: data.grund ?? null,
+          zeitpunkt: new Date(),
+        }
+        tabelle.push(zeile)
+        return zeile
+      },
+
+      deleteMany: async ({ where }: { where: Record<string, unknown> }) => {
+        const vorher = tabelle.length
+        tabelle = tabelle.filter((zeile) => !passt(zeile, where))
+        return { count: vorher - tabelle.length }
+      },
+    },
+  },
+}))
+
+const { anmeldungErlaubt, sperreVermerken, versuchFesthalten, fehlversucheZuruecksetzen } =
+  await import('@/lib/auth/ratelimit')
+
+const OPFER = 'opfer@example.de'
+const ANSCHLUSS = '198.51.100.7'
+const FREMD = '203.0.113.9'
+const START = new Date('2026-08-24T12:00:00Z').getTime()
+
+/** Setzt die Uhr auf START plus so viele Sekunden. */
+function beiSekunde(sekunden: number): void {
+  vi.setSystemTime(new Date(START + sekunden * 1000))
+}
+
+async function fehlversuch(sekunde: number): Promise<void> {
+  beiSekunde(sekunde)
+  await versuchFesthalten(OPFER, ANSCHLUSS, false, 'passwort-falsch')
+}
+
+describe('Anmeldesperre', () => {
+  beforeEach(() => {
+    tabelle = []
+    laufendeNummer = 0
+    vi.useFakeTimers()
+    beiSekunde(0)
+  })
+
+  it('sperrt erst, wenn das Mass voll ist', async () => {
+    for (let i = 0; i < 4; i += 1) await fehlversuch(i)
+
+    beiSekunde(10)
+    expect((await anmeldungErlaubt(OPFER, ANSCHLUSS)).gesperrt).toBe(false)
+
+    await fehlversuch(11)
+    beiSekunde(12)
+    expect((await anmeldungErlaubt(OPFER, ANSCHLUSS)).gesperrt).toBe(true)
+  })
+
+  it('laesst die Frist ablaufen, obwohl die Fehlversuche noch im Zeitfenster stehen', async () => {
+    for (let i = 0; i < 5; i += 1) await fehlversuch(i)
+
+    beiSekunde(890)
+    expect((await anmeldungErlaubt(OPFER, ANSCHLUSS)).gesperrt).toBe(true)
+
+    // Kurz danach offen - und mit vollem Kontingent, nicht mit null
+    // Restversuchen. Das Zeitfenster laeuft noch (3600 s), die fuenf
+    // Fehlversuche stehen also weiterhin in der Tabelle.
+    beiSekunde(905)
+    const frei = await anmeldungErlaubt(OPFER, ANSCHLUSS)
+    expect(frei.gesperrt).toBe(false)
+    if (!frei.gesperrt) expect(frei.verbleibendeVersuche).toBe(5)
+  })
+
+  it('laesst sich durch Klopfen waehrend der Sperre nicht verlaengern', async () => {
+    for (let i = 0; i < 5; i += 1) await fehlversuch(i)
+
+    // Der Angreifer klopft mitten in der Sperre weiter. Genau das hat die
+    // Frist frueher jedes Mal um volle 900 s nach hinten geschoben.
+    for (const sekunde of [100, 300, 600, 880]) {
+      beiSekunde(sekunde)
+      expect((await anmeldungErlaubt(OPFER, ANSCHLUSS)).gesperrt).toBe(true)
+      await sperreVermerken(OPFER, FREMD)
+    }
+
+    // Die Frist haengt am fuenften echten Fehlversuch (Sekunde 4), nicht am
+    // letzten Klopfen (Sekunde 880).
+    beiSekunde(905)
+    expect((await anmeldungErlaubt(OPFER, ANSCHLUSS)).gesperrt).toBe(false)
+  })
+
+  it('rechnet einen abgewiesenen Aufruf nicht als Fehlversuch', async () => {
+    // Vier echte Fehlversuche - das Mass ist noch nicht voll.
+    for (let i = 0; i < 4; i += 1) await fehlversuch(i)
+
+    // Dazu ein Vermerk ueber einen abgewiesenen Aufruf. Er steht als
+    // fuenfte Zeile in der Tabelle, darf aber nicht mitzaehlen: Geprueft
+    // wurde bei ihm nichts, also sagt er ueber die Zugangsdaten nichts aus.
+    beiSekunde(5)
+    await sperreVermerken(OPFER, FREMD)
+    expect(tabelle.length).toBe(5)
+
+    beiSekunde(6)
+    const stand = await anmeldungErlaubt(OPFER, ANSCHLUSS)
+    expect(stand.gesperrt).toBe(false)
+    if (!stand.gesperrt) expect(stand.verbleibendeVersuche).toBe(1)
+  })
+
+  it('rechnet die Frist ab dem Versuch, der das Mass vollgemacht hat', async () => {
+    // Vier Fehlversuche ganz frueh, der fuenfte deutlich spaeter. Die
+    // Sperre beginnt beim fuenften - nicht beim ersten und nicht beim
+    // naechsten, der noch kommt.
+    for (let i = 0; i < 4; i += 1) await fehlversuch(i)
+    await fehlversuch(600)
+
+    beiSekunde(1400)
+    expect((await anmeldungErlaubt(OPFER, ANSCHLUSS)).gesperrt).toBe(true)
+
+    beiSekunde(1510)
+    expect((await anmeldungErlaubt(OPFER, ANSCHLUSS)).gesperrt).toBe(false)
+  })
+
+  it('schreibt je Sperre hoechstens eine Zeile, egal wie oft geklopft wird', async () => {
+    for (let i = 0; i < 5; i += 1) await fehlversuch(i)
+    const nachSperre = tabelle.length
+
+    for (let i = 0; i < 200; i += 1) {
+      beiSekunde(10 + i)
+      await sperreVermerken(OPFER, FREMD)
+    }
+
+    expect(tabelle.length).toBe(nachSperre + 1)
+  })
+
+  it('zaehlt die naechste Runde erst nach Ablauf der Sperre wieder hoch', async () => {
+    for (let i = 0; i < 5; i += 1) await fehlversuch(i)
+
+    await fehlversuch(906)
+    const stand = await anmeldungErlaubt(OPFER, ANSCHLUSS)
+    expect(stand.gesperrt).toBe(false)
+    if (!stand.gesperrt) expect(stand.verbleibendeVersuche).toBe(4)
+
+    // Vier weitere - dann greift die zweite Sperre.
+    for (let i = 1; i < 5; i += 1) await fehlversuch(906 + i)
+    beiSekunde(915)
+    expect((await anmeldungErlaubt(OPFER, ANSCHLUSS)).gesperrt).toBe(true)
+  })
+
+  it('raeumt die Fehlversuche nach erfolgreicher Anmeldung ab', async () => {
+    for (let i = 0; i < 5; i += 1) await fehlversuch(i)
+    beiSekunde(10)
+    expect((await anmeldungErlaubt(OPFER, ANSCHLUSS)).gesperrt).toBe(true)
+
+    await fehlversucheZuruecksetzen(OPFER)
+
+    const frei = await anmeldungErlaubt(OPFER, ANSCHLUSS)
+    expect(frei.gesperrt).toBe(false)
+    if (!frei.gesperrt) expect(frei.verbleibendeVersuche).toBe(5)
+  })
+})
@@ -0,0 +1,136 @@
+import { afterEach, beforeEach, describe, expect, it, vi } from 'vitest'
+import { anschlussAus, warnungZuruecksetzen } from '@/lib/auth/anschluss'
+
+/**
+ * Aus welchem Kopf die Adresse des Aufrufers gelesen wird.
+ *
+ * Vorher stand dort der ERSTE Eintrag von "x-forwarded-for". Das ist die
+ * klassische Verwechslung: Der Kopf ist eine Liste, an die jeder
+ * Zwischenknoten hinten anhaengt - der erste Eintrag ist also der, den der
+ * Aufrufer selbst mitgeschickt hat. Wer bei jeder Anfrage eine andere Zahl
+ * hineinschrieb, sah fuer die Anmeldesperre wie tausend Anschluesse aus.
+ */
+
+function koepfe(werte: Record<string, string>): Headers {
+  return new Headers(werte)
+}
+
+describe('Anschluss des Aufrufers', () => {
+  beforeEach(() => {
+    warnungZuruecksetzen()
+    delete process.env.VERTRAUE_PROXY
+    delete process.env.VERTRAUE_PROXY_STUFEN
+  })
+
+  afterEach(() => {
+    delete process.env.VERTRAUE_PROXY
+    delete process.env.VERTRAUE_PROXY_STUFEN
+    vi.restoreAllMocks()
+  })
+
+  describe('ohne vertrauten Proxy', () => {
+    it('glaubt dem weitergereichten Kopf nicht', () => {
+      const warnung = vi.spyOn(console, 'warn').mockImplementation(() => {})
+
+      expect(anschlussAus(koepfe({ 'x-forwarded-for': '203.0.113.9' }))).toBeNull()
+      expect(warnung).toHaveBeenCalledOnce()
+    })
+
+    it('warnt nur einmal, nicht bei jeder Anfrage', () => {
+      const warnung = vi.spyOn(console, 'warn').mockImplementation(() => {})
+
+      for (let i = 0; i < 20; i += 1) {
+        anschlussAus(koepfe({ 'x-forwarded-for': `203.0.113.${i}` }))
+      }
+
+      expect(warnung).toHaveBeenCalledOnce()
+    })
+
+    it('schweigt, wenn gar kein solcher Kopf ankommt', () => {
+      const warnung = vi.spyOn(console, 'warn').mockImplementation(() => {})
+
+      expect(anschlussAus(koepfe({}))).toBeNull()
+      expect(warnung).not.toHaveBeenCalled()
+    })
+  })
+
+  describe('mit einem vertrauten Proxy', () => {
+    beforeEach(() => {
+      process.env.VERTRAUE_PROXY = 'true'
+    })
+
+    it('nimmt den letzten Eintrag, nicht den ersten', () => {
+      // Links das, was der Aufrufer selbst behauptet hat; rechts das, was
+      // der Proxy gesehen hat. Nur letzteres ist etwas wert.
+      const kopf = koepfe({ 'x-forwarded-for': '10.0.0.1, 198.51.100.7' })
+
+      expect(anschlussAus(kopf)).toBe('198.51.100.7')
+    })
+
+    it('laesst sich durch eine erfundene Kette nicht taeuschen', () => {
+      const kopf = koepfe({
+        'x-forwarded-for': '1.1.1.1, 2.2.2.2, 3.3.3.3, 198.51.100.7',
+      })
+
+      expect(anschlussAus(kopf)).toBe('198.51.100.7')
+    })
+
+    it('nimmt den einzigen Eintrag, wenn der Aufrufer keinen mitschickte', () => {
+      expect(anschlussAus(koepfe({ 'x-forwarded-for': '198.51.100.7' }))).toBe('198.51.100.7')
+    })
+
+    it('faellt auf x-real-ip zurueck', () => {
+      expect(anschlussAus(koepfe({ 'x-real-ip': '198.51.100.7' }))).toBe('198.51.100.7')
+    })
+
+    it('gibt null, wenn nichts da ist', () => {
+      expect(anschlussAus(koepfe({}))).toBeNull()
+    })
+
+    it('kommt mit Leerraum und leeren Gliedern zurecht', () => {
+      const kopf = koepfe({ 'x-forwarded-for': ' 10.0.0.1 ,  , 198.51.100.7 ' })
+
+      expect(anschlussAus(kopf)).toBe('198.51.100.7')
+    })
+  })
+
+  describe('mit mehreren Stufen', () => {
+    it('zaehlt die angegebene Anzahl von hinten ab', () => {
+      process.env.VERTRAUE_PROXY = 'true'
+      process.env.VERTRAUE_PROXY_STUFEN = '2'
+
+      // Zwei eigene Zwischenknoten: der aeussere haengt 198.51.100.7 an,
+      // der innere 10.0.0.5. Der Aufrufer steht eine Stelle weiter links.
+      const kopf = koepfe({ 'x-forwarded-for': 'erfunden, 198.51.100.7, 10.0.0.5' })
+
+      expect(anschlussAus(kopf)).toBe('198.51.100.7')
+    })
+
+    it('greift nicht ueber den Anfang der Kette hinaus', () => {
+      process.env.VERTRAUE_PROXY = 'true'
+      process.env.VERTRAUE_PROXY_STUFEN = '9'
+
+      expect(anschlussAus(koepfe({ 'x-forwarded-for': '198.51.100.7' }))).toBe('198.51.100.7')
+    })
+  })
+
+  describe('der Schalter selbst', () => {
+    it('gilt nur bei ausdruecklichem Ja', () => {
+      for (const wert of ['false', 'nein', '0', 'vielleicht', '']) {
+        warnungZuruecksetzen()
+        vi.spyOn(console, 'warn').mockImplementation(() => {})
+        process.env.VERTRAUE_PROXY = wert
+
+        expect(anschlussAus(koepfe({ 'x-forwarded-for': '198.51.100.7' }))).toBeNull()
+      }
+    })
+
+    it('nimmt true, 1 und ja', () => {
+      for (const wert of ['true', '1', 'ja', 'TRUE', ' Ja ']) {
+        process.env.VERTRAUE_PROXY = wert
+
+        expect(anschlussAus(koepfe({ 'x-forwarded-for': '198.51.100.7' }))).toBe('198.51.100.7')
+      }
+    })
+  })
+})
@@ -92,9 +92,10 @@ describe('Fristen-Ampel', () => {
      [
        frist({ id: 'normal', datum: dbTag('2026-08-20') }),
        frist({
+          // Weit genug weg fuer "gruen", nah genug fuer die Warnung.
          id: 'pauschale',
          titel: 'Aufwandspauschale 2026',
-          datum: dbTag('2026-12-31'),
+          datum: dbTag('2026-10-15'),
          ausschlussfrist: true,
          rechtsgrundlage: '§ 1878 BGB',
        }),
@@ -103,6 +104,81 @@ describe('Fristen-Ampel', () => {
    )

    expect(daten.ausschlussfristen.map((e) => e.id)).toEqual(['pauschale'])
+    // Nicht in einem der Faelligkeitstoepfe - der Warnblock steht daneben.
+    expect(daten.weitereOffen).toBe(1)
+  })
+
+  describe('Ausschlussfristen: nur warnen, wenn es etwas zu tun gibt', () => {
+    /**
+     * Der Anlass: Auf dem Dashboard standen dauerhaft drei rote Kaesten mit
+     * Warndreieck - Aufwandspauschalen mit Verfall 2027, 2028 und 2029. Die
+     * Pflichtfristen werden bewusst drei Jahre im Voraus angelegt, und der
+     * Warnblock fragte nur, OB etwas eine Ausschlussfrist ist, nie WANN sie
+     * faellig wird.
+     *
+     * Eine Warnung, die monatelang dasteht und nichts von einem will,
+     * stumpft ab. Genau davor schuetzen diese Tests.
+     */
+    function pauschale(id: string, datum: string) {
+      return frist({
+        id,
+        titel: `Aufwandspauschale ${id}`,
+        datum: dbTag(datum),
+        ausschlussfrist: true,
+        rechtsgrundlage: '§ 1878 BGB',
+      })
+    }
+
+    it('lässt Fristen weit in der Zukunft aus der Warnung heraus', () => {
+      const daten = fristenEinordnen(
+        [
+          pauschale('2027', '2027-05-06'),
+          pauschale('2028', '2028-05-06'),
+          pauschale('2029', '2029-05-06'),
+        ],
+        HEUTE,
+      )
+
+      expect(daten.ausschlussfristen).toEqual([])
+      // Verschwunden sind sie deshalb nicht - sie stehen in der Liste.
+      expect(daten.weitereOffen).toBe(3)
+      expect(daten.gesamtOffen).toBe(3)
+    })
+
+    it('warnt, sobald eine in den Horizont rückt', () => {
+      // 90 Tage nach dem 19.08.2026 ist der 17.11.2026.
+      const daten = fristenEinordnen([pauschale('bald', '2026-11-17')], HEUTE)
+
+      expect(daten.ausschlussfristen.map((e) => e.id)).toEqual(['bald'])
+    })
+
+    it('warnt einen Tag davor noch nicht', () => {
+      const daten = fristenEinordnen([pauschale('knapp-drueber', '2026-11-18')], HEUTE)
+
+      expect(daten.ausschlussfristen).toEqual([])
+    })
+
+    it('warnt bei einer versäumten Frist immer, egal wie lange sie zurückliegt', () => {
+      // Eine verfallene Aufwandspauschale bleibt eine schlechte Nachricht.
+      // Sie stillschweigend aus der Warnung zu nehmen, waere das Gegenteil
+      // von dem, was hier gewollt ist.
+      const daten = fristenEinordnen([pauschale('verpasst', '2024-05-06')], HEUTE)
+
+      expect(daten.ausschlussfristen.map((e) => e.id)).toEqual(['verpasst'])
+    })
+
+    it('mischt Fälliges und Fernes richtig', () => {
+      const daten = fristenEinordnen(
+        [
+          pauschale('verpasst', '2025-05-06'),
+          pauschale('bald', '2026-10-01'),
+          pauschale('fern', '2029-05-06'),
+        ],
+        HEUTE,
+      )
+
+      expect(daten.ausschlussfristen.map((e) => e.id)).toEqual(['verpasst', 'bald'])
+    })
  })

  it('warnt bei einer Ausschlussfrist ausdrücklich vor dem ersatzlosen Verfall', () => {
@@ -0,0 +1,100 @@
+import { readFileSync } from 'node:fs'
+import { describe, expect, it } from 'vitest'
+
+/**
+ * Die Beispielkonfiguration darf keine Falle enthalten.
+ *
+ * `.env.example` wird nach `.env` kopiert und dann Zeile für Zeile
+ * ausgefüllt. Was schon einen Wert hat, wird dabei leicht überlesen — und
+ * genau das ist am 31.08.2026 passiert:
+ *
+ *     S3_ENDPOINT=https://fsn1.your-objectstorage.com
+ *
+ * Die Zeile war als Beispiel gedacht. Sie stand aber aktiv in der `.env`,
+ * und damit sprach die Anwendung monatelang mit einem fremden Anbieter
+ * statt mit dem Objektspeicher nebenan. Jede Ablage scheiterte mit
+ * `NoSuchBucket`, und die Zugangs-ID des lokalen Speichers ging bei jedem
+ * Versuch nach draußen.
+ *
+ * Verschärfend: Die `docker-compose.yml` hatte längst einen brauchbaren
+ * Standard (`${S3_ENDPOINT:-http://minio:9000}`). Der greift aber nur bei
+ * leerer Variable — die Beispieldatei hebelte ihn aus. Der Mechanismus,
+ * der den Fehler verhindern sollte, war durch die Beispieldatei
+ * wirkungslos.
+ *
+ * Diese Tests halten fest: Ein Wert steht in der Beispieldatei nur, wenn
+ * er für die mitgelieferte Zusammenstellung auch richtig ist.
+ */
+
+const beispiel = readFileSync('.env.example', 'utf8')
+
+/** Alle aktiven Zuweisungen - Kommentarzeilen zählen nicht. */
+function zuweisungen(): [string, string][] {
+  return beispiel
+    .split('\n')
+    .map((zeile) => zeile.trim())
+    .filter((zeile) => zeile !== '' && !zeile.startsWith('#'))
+    .map((zeile) => {
+      const stelle = zeile.indexOf('=')
+      return [zeile.slice(0, stelle), zeile.slice(stelle + 1)] as [string, string]
+    })
+}
+
+/**
+ * Rechner, die zur mitgelieferten Zusammenstellung gehören. Alles andere
+ * ist ein fremder Host und hat in der Beispieldatei nichts verloren.
+ */
+const EIGENE_HOSTS = ['localhost', '127.0.0.1', '0.0.0.0', 'minio', 'db']
+
+describe('Beispielkonfiguration', () => {
+  it('zeigt mit keinem aktiven Wert auf einen fremden Host', () => {
+    const fremde = zuweisungen()
+      .filter(([, wert]) => /https?:\/\//.test(wert))
+      .filter(([, wert]) => {
+        const treffer = wert.match(/https?:\/\/([^:/"']+)/)
+        return treffer ? !EIGENE_HOSTS.includes(treffer[1]!) : false
+      })
+      .map(([name, wert]) => `${name}=${wert}`)
+
+    expect(
+      fremde,
+      'Diese Zeilen zeigen nach draußen. Wer die Datei kopiert und die ' +
+        'Zeile übersieht, schickt seine Daten an einen fremden Rechner.',
+    ).toEqual([])
+  })
+
+  it('lässt S3_ENDPOINT auskommentiert, damit der Compose-Standard greift', () => {
+    const aktiv = zuweisungen().some(([name]) => name === 'S3_ENDPOINT')
+
+    expect(
+      aktiv,
+      'Mit gesetztem S3_ENDPOINT greift ${S3_ENDPOINT:-http://minio:9000} ' +
+        'aus der docker-compose.yml nicht mehr.',
+    ).toBe(false)
+  })
+
+  it('erklärt trotzdem, wann man S3_ENDPOINT braucht', () => {
+    // Auskommentieren allein hilft nicht - dann sucht jemand mit externem
+    // Speicher vergeblich nach der Einstellung.
+    expect(beispiel).toMatch(/#\s*S3_ENDPOINT=/)
+    expect(beispiel).toMatch(/EXTERNER Objektspeicher/)
+  })
+
+  it('enthält keine persönliche E-Mail-Adresse', () => {
+    // Stand einmal drin: die Adresse des Betreibers als Vorgabe fuer den
+    // Seed. In einer mitgelieferten Beispieldatei hat sie nichts zu suchen.
+    const adressen = zuweisungen()
+      // Verbindungszeichenfolgen tragen ein "@" vor dem Rechnernamen -
+      // das ist keine E-Mail-Adresse.
+      .filter(([, wert]) => !wert.includes('://'))
+      .filter(([, wert]) => /[\w.+-]+@[\w-]+\.[a-z]{2,}/i.test(wert))
+      .filter(([, wert]) => !/example\.(de|com|org)/.test(wert))
+      .map(([name, wert]) => `${name}=${wert}`)
+
+    expect(adressen).toEqual([])
+  })
+
+  it('findet überhaupt Zuweisungen - sonst prüft der Test nichts', () => {
+    expect(zuweisungen().length).toBeGreaterThan(15)
+  })
+})
@@ -0,0 +1,133 @@
+import { readFileSync, readdirSync, statSync } from 'node:fs'
+import { join, relative, sep } from 'node:path'
+import { describe, expect, it } from 'vitest'
+
+/**
+ * Die MFA-Pflicht als Grenze, nicht als Behauptung.
+ *
+ * "Der zweite Faktor ist Pflicht" stand lange im Kopf von src/auth.ts,
+ * durchgesetzt wurde es aber nur im App-Layout. Ein Layout schuetzt, was
+ * durch das Layout gerendert wird - Server Actions und Route Handler laufen
+ * daran vorbei. Wer eine Passwort-Sitzung hatte, die TOTP-Einrichtung aber
+ * nie abgeschlossen hat, kam trotzdem an die Daten.
+ *
+ * Seitdem steckt die Pruefung in erfordereBenutzer() selbst. Damit sie dort
+ * bleibt, prueft dieser Test die Bauform statt des Verhaltens: Er liest den
+ * Quelltext und besteht darauf, dass die Umgehungen aufgezaehlt bleiben.
+ *
+ * Ein Integrationstest waere schoener, braeuchte aber eine Sitzung mit
+ * halbfertigem zweitem Faktor - also genau den Zustand, den die Anwendung
+ * nicht mehr herstellen laesst. Diese Pruefung greift dafuer bei jedem
+ * neuen Endpunkt, auch bei dem, an den beim Testeschreiben niemand denkt.
+ */
+
+const WURZEL = join(__dirname, '..', 'src')
+
+/**
+ * Wer an aktuellerBenutzer() oder erfordereBenutzerOhneZweitenFaktor()
+ * vorbei darf - und warum.
+ *
+ * Gemeinsam ist allen: Sie geben keine Daten einer betreuten Person heraus.
+ * Wer hier etwas ergaenzt, hebelt die MFA-Pflicht fuer diesen Pfad aus und
+ * schuldet eine Begruendung.
+ */
+const ERLAUBT = new Map<string, string>([
+  ['lib/auth/sitzung.ts', 'definiert die Funktionen'],
+  ['app/(auth)/anmelden/page.tsx', 'leitet bereits Angemeldete weiter, zeigt nichts an'],
+  ['app/(auth)/ersteinrichtung/page.tsx', 'laeuft, bevor es einen zweiten Faktor geben kann'],
+  ['app/(auth)/zwei-faktor/einrichten/page.tsx', 'ist die Einrichtung selbst'],
+  ['server/actions/zwei-faktor.ts', 'Vorbereiten und Bestaetigen der Einrichtung'],
+])
+
+/** Route Handler, die absichtlich ohne Anmeldung erreichbar sind. */
+const OEFFENTLICHE_ROUTEN = new Map<string, string>([
+  ['app/api/auth/[...nextauth]/route.ts', 'die Anmeldung selbst'],
+  ['app/api/gesundheit/route.ts', 'Statusabfrage fuer die Ueberwachung, ohne Daten'],
+  ['app/api/kalender/[signatur]/route.ts', 'signierter Abo-Link, eigene Pruefung'],
+  ['app/api/wartung/route.ts', 'Aufruf per Geheimnis aus dem Systemdienst'],
+])
+
+/** Alles, was einen angemeldeten Benutzer mit fertigem zweitem Faktor sichert. */
+const WAECHTER = [
+  'benutzerFuerRoute',
+  'erfordereZugang',
+  'erfordereBenutzer(',
+  'finanzKontext',
+  'berichtsKontext',
+]
+
+function dateienUnter(verzeichnis: string, endungen: string[]): string[] {
+  const gefunden: string[] = []
+
+  for (const eintrag of readdirSync(verzeichnis)) {
+    if (eintrag === 'node_modules' || eintrag === '.next') continue
+    const pfad = join(verzeichnis, eintrag)
+
+    if (statSync(pfad).isDirectory()) {
+      gefunden.push(...dateienUnter(pfad, endungen))
+    } else if (endungen.some((endung) => eintrag.endsWith(endung))) {
+      gefunden.push(pfad)
+    }
+  }
+
+  return gefunden
+}
+
+/** Pfad relativ zu src/, immer mit Schraegstrich - auch unter Windows. */
+function kennung(pfad: string): string {
+  return relative(WURZEL, pfad).split(sep).join('/')
+}
+
+describe('MFA-Grenze', () => {
+  it('umgeht die Pflicht nur an den aufgezaehlten Stellen', () => {
+    const umgehungen = dateienUnter(WURZEL, ['.ts', '.tsx'])
+      .filter((pfad) => {
+        const quelltext = readFileSync(pfad, 'utf-8')
+        return (
+          quelltext.includes('aktuellerBenutzer') ||
+          quelltext.includes('erfordereBenutzerOhneZweitenFaktor')
+        )
+      })
+      .map(kennung)
+      .sort()
+
+    expect(umgehungen).toEqual([...ERLAUBT.keys()].sort())
+  })
+
+  it('sichert jeden Route Handler oder erklaert, warum nicht', () => {
+    const ungesichert = dateienUnter(join(WURZEL, 'app'), ['route.ts'])
+      .map(kennung)
+      .filter((datei) => !OEFFENTLICHE_ROUTEN.has(datei))
+      .filter((datei) => {
+        const quelltext = readFileSync(join(WURZEL, datei), 'utf-8')
+        return !WAECHTER.some((waechter) => quelltext.includes(waechter))
+      })
+
+    expect(ungesichert).toEqual([])
+  })
+
+  it('weist einen Abruf ohne zweiten Faktor ab, statt ihn umzuleiten', () => {
+    // Ein Redirect auf die Anmeldeseite waere bei einer Datei die falsche
+    // Antwort: Der Aufrufer bekaeme HTML, wo er ein Dokument erwartet, und
+    // ein Skript wertete das womoeglich als Erfolg.
+    const quelltext = readFileSync(join(WURZEL, 'lib', 'auth', 'sitzung.ts'), 'utf-8')
+    const abschnitt = quelltext.slice(quelltext.indexOf('export async function benutzerFuerRoute'))
+
+    expect(abschnitt).toContain('status: 401')
+    expect(abschnitt).toContain('status: 403')
+  })
+
+  it('prueft den zweiten Faktor am Datenbankstand, nicht am Sitzungstoken', () => {
+    const quelltext = readFileSync(join(WURZEL, 'lib', 'auth', 'sitzung.ts'), 'utf-8')
+    const funktion = quelltext.slice(
+      quelltext.indexOf('export function zweiterFaktorFertig'),
+      quelltext.indexOf('export async function erfordereBenutzer'),
+    )
+
+    // Die Felder kommen aus dem User-Datensatz. Stuende hier etwas aus der
+    // Sitzung, liesse es sich ueber session.update() vom Client setzen.
+    expect(funktion).toContain('benutzer.totpAktiviertAm')
+    expect(funktion).toContain('benutzer.totpSecretVerschluesselt')
+    expect(funktion).not.toContain('sitzung')
+  })
+})
@@ -0,0 +1,104 @@
+import { deflateSync } from 'node:zlib'
+import { describe, expect, it } from 'vitest'
+import { pdfTextLesen } from '@/lib/ocr/pdf-text'
+
+/**
+ * Was passiert, wenn jemand ein praepariertes PDF in die Akte legt?
+ *
+ * Ein Flate-Strom sagt nicht, wie gross er ausgepackt wird. Ein paar
+ * Kilobyte Nullen komprimieren auf fast nichts und blaehen sich beim
+ * Auspacken auf Gigabyte auf - die klassische Dekompressionsbombe. Der
+ * Textleser packte vorher ohne Obergrenze aus.
+ *
+ * Der Test rechnet nicht mit Gigabyte - das waere in einer Testsuite
+ * unhoeflich. Er baut eine Bombe, die die eingebaute Grenze knapp
+ * ueberschreitet, und besteht darauf, dass sie nicht ausgepackt wird.
+ */
+
+/** Baut ein minimales PDF mit einem einzigen Flate-Strom. */
+function pdfMitStrom(nutzlast: Buffer, filter = '/FlateDecode'): Buffer {
+  const kopf = Buffer.from(
+    `%PDF-1.4\n1 0 obj\n<< /Length ${nutzlast.length} /Filter ${filter} >>\nstream\n`,
+    'latin1',
+  )
+  const fuss = Buffer.from('\nendstream\nendobj\n%%EOF\n', 'latin1')
+  return Buffer.concat([kopf, nutzlast, fuss])
+}
+
+/**
+ * Text, den der Extraktor tatsaechlich findet: Er springt nur an, wenn im
+ * Strom PDF-Textoperatoren stehen.
+ */
+function inhaltsstrom(text: string): Buffer {
+  return Buffer.from(`BT /F1 12 Tf (${text}) Tj ET\n`, 'latin1')
+}
+
+describe('PDF-Textleser gegen praeparierte Dateien', () => {
+  it('liest einen gewoehnlichen Flate-Strom', () => {
+    const pdf = pdfMitStrom(deflateSync(inhaltsstrom('Bescheid vom Sozialamt')))
+
+    expect(pdfTextLesen(pdf)).toContain('Bescheid vom Sozialamt')
+  })
+
+  it('packt eine Bombe nicht aus, die die Stromgrenze ueberschreitet', () => {
+    // Die Nutzlast traegt eine erkennbare Marke UND 9 MB Fuellung. Beides
+    // ist wichtig: Ohne die Marke waere das Ergebnis auch ohne Grenze leer,
+    // und der Test bewiese nichts. Die Fuellung komprimiert auf wenige
+    // Kilobyte, die Grenze je Strom liegt bei 8 MB - zlib bricht ab, der
+    // Strom wird verworfen, und die Marke erscheint eben nicht.
+    const bombe = deflateSync(
+      Buffer.concat([inhaltsstrom('BOMBE-MARKE'), Buffer.alloc(9 * 1024 * 1024, 0x20)]),
+    )
+    const pdf = pdfMitStrom(bombe)
+
+    // Kein Absturz, kein Aufblaehen: einfach kein Text.
+    expect(pdfTextLesen(pdf)).toBe('')
+  })
+
+  it('liest denselben Strom, wenn er unter der Grenze bleibt', () => {
+    // Gegenprobe zum Test darueber: Dieselbe Bauform, nur 4 MB Fuellung.
+    // Damit ist belegt, dass oben die Grenze greift und nicht die Bauform
+    // des Testfalls.
+    const knappDrunter = deflateSync(
+      Buffer.concat([inhaltsstrom('BOMBE-MARKE'), Buffer.alloc(4 * 1024 * 1024, 0x20)]),
+    )
+
+    expect(pdfTextLesen(pdfMitStrom(knappDrunter))).toContain('BOMBE-MARKE')
+  })
+
+  it('bleibt handhabbar, wenn viele mittelgrosse Stroeme zusammenkommen', () => {
+    // Zwoelf Stroeme mit je 6 MB Nutzlast liegen einzeln unter der
+    // Stromgrenze, zusammen aber ueber der Gesamtgrenze von 64 MB. Ohne den
+    // zweiten Deckel waeren das 72 MB im Speicher, und zwar je Dokument.
+    const einer = deflateSync(Buffer.concat([inhaltsstrom('Seite'), Buffer.alloc(6 * 1024 * 1024, 0x20)]))
+    const teile: Buffer[] = [Buffer.from('%PDF-1.4\n', 'latin1')]
+    for (let i = 0; i < 12; i += 1) {
+      teile.push(
+        Buffer.from(`${i + 1} 0 obj\n<< /Length ${einer.length} /Filter /FlateDecode >>\nstream\n`, 'latin1'),
+        einer,
+        Buffer.from('\nendstream\nendobj\n', 'latin1'),
+      )
+    }
+    teile.push(Buffer.from('%%EOF\n', 'latin1'))
+
+    const text = pdfTextLesen(Buffer.concat(teile))
+
+    // Etwas wird gelesen - aber nicht alle zwoelf Stroeme. Waere der
+    // Gesamtdeckel weg, stuende "Seite" zwoelfmal darin.
+    const treffer = text.split('Seite').length - 1
+    expect(treffer).toBeGreaterThan(0)
+    expect(treffer).toBeLessThan(12)
+  })
+
+  it('kommt mit einem kaputten Strom zurecht, ohne zu werfen', () => {
+    const pdf = pdfMitStrom(Buffer.from('das ist kein zlib-strom', 'latin1'))
+
+    expect(() => pdfTextLesen(pdf)).not.toThrow()
+  })
+
+  it('ignoriert Bilddaten, statt sie auszupacken zu versuchen', () => {
+    const pdf = pdfMitStrom(deflateSync(inhaltsstrom('unsichtbar')), '/DCTDecode')
+
+    expect(pdfTextLesen(pdf)).toBe('')
+  })
+})
@@ -85,3 +85,137 @@ describe.skipIf(!mitGit)('Betriebsskripte', () => {
    }
  })
 })
+
+/**
+ * Abschneidende Leitungen in Skripten mit "pipefail".
+ *
+ * Anlass ist ein Abbruch im Betrieb: Beim Sprung von v1.5.0 auf v1.10.1
+ * endete update.sh mitten in der Ausgabe, ohne jede Meldung. Ursache war
+ *
+ *     git log --oneline "HEAD..$ZIEL" | head -15 | sed ...
+ *
+ * "head" schliesst die Leitung nach 15 Zeilen, "git log" schreibt weiter
+ * und bekommt SIGPIPE (Exitcode 141). Mit "set -o pipefail" gilt die
+ * ganze Kette als gescheitert, "set -e" beendet das Skript - stumm.
+ *
+ * Es ist zeitabhaengig: Solange der Erzeuger fertig wird, bevor "head"
+ * zumacht, faellt nichts auf. Deshalb lief es monatelang gut und riss
+ * genau dann, als zum ersten Mal mehr als 15 Commits dazwischenlagen.
+ *
+ * Dieselbe Falle steckte in der Selbstpruefung der Sicherung, wo sie
+ * eine intakte Sicherung als kaputt gemeldet haette, sobald die
+ * Datenbank gross genug ist.
+ *
+ * Der Test verbietet das Muster deshalb ganz. Wer eine Ausgabe kuerzen
+ * will, nimmt "git log -15", "sed -n '1,15p'" oder einen Zaehler in awk -
+ * alles drei liest bis zum Ende und schliesst nichts zu frueh.
+ */
+describe('Skripte mit pipefail', () => {
+  const skripte = ['scripts/update.sh', 'scripts/sicherung.sh', 'scripts/wiederherstellung.sh']
+
+  it.each(skripte)('%s schneidet keine Leitung mit head ab', (pfad) => {
+    const inhalt = readFileSync(pfad, 'utf8')
+    if (!/set -[a-z]*o pipefail|set -o pipefail/.test(inhalt)) return
+
+    const treffer = inhalt
+      .split('\n')
+      .map((zeile, nummer) => ({ zeile, nummer: nummer + 1 }))
+      // Kommentarzeilen erklaeren das Muster gerade - sie sind erlaubt.
+      .filter(({ zeile }) => !zeile.trim().startsWith('#'))
+      .filter(({ zeile }) => !zeile.includes('printf'))
+      .filter(({ zeile }) => /\|\s*head\b/.test(zeile))
+
+    expect(
+      treffer.map((t) => `Zeile ${t.nummer}: ${t.zeile.trim()}`),
+      'Abschneidende Leitung: der Erzeuger bekommt SIGPIPE, pipefail reicht ' +
+        'es weiter, set -e beendet das Skript stumm.',
+    ).toEqual([])
+  })
+})
+
+/**
+ * Die Sicherung muss die Dokumente enthalten - nicht nur die Datenbank.
+ *
+ * Bis v1.11.0 sicherte scripts/sicherung.sh ausschliesslich die Datenbank.
+ * Nach einem Plattenschaden waere die Akte vollstaendig wiederhergestellt
+ * worden - mit allen Eintraegen, Verweisen und Pruefsummen, aber ohne eine
+ * einzige Datei dahinter. Die Pruefsumme in der Akte haette dann ein
+ * Dokument belegt, das es nicht mehr gibt.
+ *
+ * Aufgefallen ist das nicht durch einen Test, sondern beim Nachsehen, wo
+ * die Daten eigentlich liegen. Die folgenden Pruefungen lesen deshalb den
+ * Skripttext: Sie koennen die Sicherung nicht ausfuehren - dafuer braeuchte
+ * es Postgres, MinIO und einen Behaelter -, aber sie schlagen an, sobald
+ * einer der Bausteine wieder herausfaellt.
+ */
+describe('Sicherung umfasst die Dokumente', () => {
+  const sicherung = readFileSync('scripts/sicherung.sh', 'utf8')
+  const wiederherstellung = readFileSync('scripts/wiederherstellung.sh', 'utf8')
+
+  it('packt das Ablageverzeichnis ein', () => {
+    expect(sicherung).toMatch(/tar -czf - -C "\$DOKUMENTE_QUELLE"/)
+  })
+
+  it('verschlüsselt das Archiv mit demselben Verfahren wie den Datenbankstand', () => {
+    // Zwei Aufrufe: einer fuer den Dump, einer fuer die Dokumente.
+    const verschluesselt = sicherung.match(/openssl enc -aes-256-cbc -pbkdf2 -iter 200000 -salt/g)
+    expect(verschluesselt).toHaveLength(2)
+  })
+
+  it('legt zu beiden Teilen eine Prüfsumme', () => {
+    expect(sicherung).toMatch(/sha256sum "\$DATEI"/)
+    expect(sicherung).toMatch(/sha256sum "\$DOKUMENTE_DATEI"/)
+  })
+
+  it('bricht ab, wenn das Ablageverzeichnis nicht eingehängt ist', () => {
+    // Eine Sicherung, die nur die halbe Wahrheit enthaelt, aber
+    // vollstaendig aussieht, ist schlimmer als gar keine.
+    expect(sicherung).toMatch(/if \[ ! -d "\$DOKUMENTE_QUELLE" \]/)
+    expect(sicherung).toMatch(/rm -f "\$DATEI" "\$DATEI\.sha256"/)
+  })
+
+  it('prüft am Ende beide Teile, nicht nur den Datenbankstand', () => {
+    expect(sicherung).toMatch(/tar -tzf -/)
+    expect(sicherung).toMatch(/Datenbank und Dokumente/)
+  })
+
+  it('räumt alte Dokumentenarchive genauso auf wie alte Datenbankstände', () => {
+    expect(sicherung).toMatch(/dokumente_\*\.tar\.gz\.enc/)
+  })
+
+  it('verschont beim Monatsstand beide Teile', () => {
+    expect(sicherung).toMatch(/touch "\$DATEI\.monatsstand" "\$DOKUMENTE_DATEI\.monatsstand"/)
+  })
+
+  it('holt die Dokumente beim Zurückspielen mit zurück', () => {
+    expect(wiederherstellung).toMatch(/DOKUMENTE_DATEI=/)
+    expect(wiederherstellung).toMatch(/tar -xzf - -C "\$AUSPACKZIEL"/)
+  })
+
+  it('sagt beim Zurückspielen deutlich, wenn kein Dokumentenarchiv dabei ist', () => {
+    // Sonst haelt man eine halbe Wiederherstellung fuer eine ganze.
+    expect(wiederherstellung).toMatch(/kein Dokumentenarchiv/)
+  })
+
+  it('schreibt die Dokumente nicht selbst an ihren Platz', () => {
+    // Der Sicherungsdienst hat auf das Ablageverzeichnis nur Lesezugriff.
+    // In ein laufendes MinIO hineinzuschreiben wuerde dessen Datenbestand
+    // beschaedigen - der letzte Handgriff bleibt beim Menschen.
+    expect(wiederherstellung).toMatch(/docker compose stop minio app/)
+  })
+})
+
+/**
+ * Der Sicherungsdienst darf die Daten, die er sichert, nicht zerstoeren
+ * koennen.
+ *
+ * Er laeuft unbeaufsichtigt per cron. Ein Fehler im Skript oder ein
+ * kompromittierter Behaelter wuerde sonst Sicherung und Bestand auf einmal
+ * treffen - genau der Fall, gegen den eine Sicherung da ist.
+ */
+describe('Sicherungsdienst greift nur lesend auf die Dokumente zu', () => {
+  it('hängt das Ablageverzeichnis mit :ro ein', () => {
+    const compose = readFileSync('docker-compose.yml', 'utf8')
+    expect(compose).toMatch(/minio-daten:\/dokumente:ro/)
+  })
+})
@@ -0,0 +1,105 @@
+import { mkdtemp, readdir, rm, writeFile } from 'node:fs/promises'
+import { tmpdir } from 'node:os'
+import { join } from 'node:path'
+import { afterEach, beforeEach, describe, expect, it, vi } from 'vitest'
+
+/**
+ * Die Bereitschaftsprüfung der Dateiablage.
+ *
+ * Bis v1.12.0 fiel eine kaputte Speicherkonfiguration erst auf, wenn
+ * jemand ein Dokument ablegen wollte. Auf dem Livesystem waren das
+ * mehrere Wochen nach der Installation — und dann mitten in der Arbeit,
+ * mit einer Meldung, die nichts sagte.
+ *
+ * Die Prüfung schreibt eine winzige Datei, liest sie zurück und räumt sie
+ * weg. Sie beantwortet damit drei Fragen auf einmal: erreichbar,
+ * Ablagebereich vorhanden, Schreibrecht da.
+ */
+
+let verzeichnis = ''
+
+beforeEach(async () => {
+  verzeichnis = await mkdtemp(join(tmpdir(), 'bc-pruefung-'))
+  process.env.SPEICHER_TREIBER = 'datei'
+  process.env.DATEI_SPEICHER_PFAD = verzeichnis
+  vi.resetModules()
+})
+
+afterEach(async () => {
+  await rm(verzeichnis, { recursive: true, force: true })
+  delete process.env.SPEICHER_TREIBER
+  delete process.env.DATEI_SPEICHER_PFAD
+  vi.restoreAllMocks()
+})
+
+describe('Bereitschaftsprüfung', () => {
+  it('meldet eine benutzbare Ablage', async () => {
+    const { speicherPruefen } = await import('@/lib/speicher/pruefung')
+
+    const zustand = await speicherPruefen()
+
+    expect(zustand.ok).toBe(true)
+    expect(zustand.treiber).toBe('datei')
+  })
+
+  it('lässt nichts liegen', async () => {
+    // Eine Pruefung, die bei jedem Aufruf eine Datei zuruecklaesst, waere
+    // nach einem Jahr Betrieb ein Verzeichnis voller Muell.
+    const { speicherPruefen } = await import('@/lib/speicher/pruefung')
+
+    await speicherPruefen()
+    await speicherPruefen()
+    await speicherPruefen()
+
+    const inhalt = await readdir(join(verzeichnis, 'pruefung')).catch(() => [])
+    expect(inhalt).toEqual([])
+  })
+
+  it('meldet einen Fehler, statt zu werfen', async () => {
+    // Der Aufrufer ist die Gesundheitsauskunft. Wirft die Pruefung, ist
+    // die Auskunft weg - und mit ihr die Erklaerung.
+    // Eine Datei als Ablageverzeichnis: Das Anlegen des Unterordners
+    // scheitert dann zuverlaessig und auf jedem System.
+    const alsDatei = join(verzeichnis, 'keine-ablage')
+    await writeFile(alsDatei, 'ich bin eine Datei')
+    process.env.DATEI_SPEICHER_PFAD = alsDatei
+    const { speicherPruefen } = await import('@/lib/speicher/pruefung')
+
+    const zustand = await speicherPruefen()
+
+    expect(zustand.ok).toBe(false)
+    if (!zustand.ok) expect(zustand.meldung.length).toBeGreaterThan(10)
+  })
+})
+
+describe('Gemerkter Zustand', () => {
+  it('prüft nicht bei jedem Aufruf neu', async () => {
+    // Der Healthcheck fragt alle 30 Sekunden. Ohne Schonfrist schriebe er
+    // ebenso oft eine Probedatei in den Objektspeicher.
+    const modul = await import('@/lib/speicher/pruefung')
+    modul.zustandVergessen()
+
+    const erste = await modul.speicherZustand()
+    const zweite = await modul.speicherZustand()
+
+    expect(zweite).toBe(erste)
+  })
+
+  it('meldet denselben Zustand nicht wieder und wieder', async () => {
+    const protokoll = vi.spyOn(console, 'log').mockImplementation(() => {})
+    const modul = await import('@/lib/speicher/pruefung')
+    modul.zustandVergessen()
+
+    await modul.speicherZustand()
+    // Wie nach fuenf Minuten: neu pruefen, aber das Meldegedaechtnis bleibt.
+    modul.schonfristUeberspringen()
+    await modul.speicherZustand()
+
+    // Zweimal geprueft, aber nur die erste Meldung - sonst stuende alle
+    // fuenf Minuten dieselbe Zeile im Log und niemand liest sie mehr.
+    const speicherzeilen = protokoll.mock.calls.filter((aufruf) =>
+      String(aufruf[0]).startsWith('[speicher]'),
+    )
+    expect(speicherzeilen).toHaveLength(1)
+  })
+})
@@ -0,0 +1,136 @@
+import { afterEach, beforeEach, describe, expect, it, vi } from 'vitest'
+
+/**
+ * Was der S3-Treiber tatsächlich an den Objektspeicher schickt.
+ *
+ * Anlass: Der Treiber setzte bei jedem PutObject fest
+ * `ServerSideEncryption: 'AES256'`. Das mitgelieferte MinIO läuft ohne KMS
+ * und lehnte das mit `NotImplemented` ab — es ließ sich kein einziges
+ * Dokument ablegen, und wer der INSTALLATION.md folgte, landete
+ * zwangsläufig dort.
+ *
+ * Gemerkt hat das kein Test, weil in der Entwicklung der Dateitreiber
+ * läuft und der S3-Pfad nie ausgeführt wurde. Diese Datei schließt genau
+ * diese Lücke: Sie fängt den Befehl ab, bevor er das Netz sieht, und
+ * schaut hinein.
+ */
+
+process.env.S3_ENDPOINT = 'http://minio:9000'
+process.env.S3_BUCKET = 'betreuungs-cockpit'
+process.env.S3_ACCESS_KEY_ID = 'probe-zugang'
+process.env.S3_SECRET_ACCESS_KEY = 'probe-geheimnis'
+
+/** Der letzte Befehl, den der Treiber abgeschickt hat. */
+let letzterBefehl: Record<string, unknown> | null = null
+
+vi.mock('@aws-sdk/client-s3', () => {
+  class PutObjectCommand {
+    input: Record<string, unknown>
+    constructor(input: Record<string, unknown>) {
+      this.input = input
+    }
+  }
+  class GetObjectCommand extends PutObjectCommand {}
+  class DeleteObjectCommand extends PutObjectCommand {}
+  class HeadObjectCommand extends PutObjectCommand {}
+  class ListObjectsV2Command extends PutObjectCommand {}
+
+  class S3Client {
+    async send(befehl: { input: Record<string, unknown> }) {
+      letzterBefehl = befehl.input
+      return {}
+    }
+  }
+
+  return {
+    S3Client,
+    PutObjectCommand,
+    GetObjectCommand,
+    DeleteObjectCommand,
+    HeadObjectCommand,
+    ListObjectsV2Command,
+  }
+})
+
+const SCHLUESSEL = 'betreute/cmt4ey0jm0003o001wq4rc3m9/dokumente/ba7a8c1a-d4c5-41c7-8f5f-ebfb4805b0e5.pdf'
+const INHALT = Buffer.from('%PDF-1.4 ein Bescheid', 'utf8')
+
+/**
+ * Der Treiber baut seinen Klienten einmal und merkt ihn sich. Damit die
+ * Umgebungsvariable je Testfall neu gelesen wird, muss das Modul frisch
+ * geladen werden.
+ */
+async function treiberFrisch() {
+  vi.resetModules()
+  return import('@/lib/speicher/s3')
+}
+
+describe('S3-Treiber: serverseitige Verschlüsselung', () => {
+  beforeEach(() => {
+    letzterBefehl = null
+    delete process.env.S3_SSE
+  })
+
+  afterEach(() => {
+    delete process.env.S3_SSE
+  })
+
+  it('schickt ohne S3_SSE keinen Verschlüsselungskopf mit', async () => {
+    const s3 = await treiberFrisch()
+    await s3.schreiben(SCHLUESSEL, INHALT, 'application/pdf')
+
+    expect(letzterBefehl).not.toBeNull()
+    expect(letzterBefehl).not.toHaveProperty('ServerSideEncryption')
+  })
+
+  it('schickt ihn mit, wenn S3_SSE gesetzt ist', async () => {
+    process.env.S3_SSE = 'AES256'
+    const s3 = await treiberFrisch()
+    await s3.schreiben(SCHLUESSEL, INHALT, 'application/pdf')
+
+    expect(letzterBefehl?.ServerSideEncryption).toBe('AES256')
+  })
+
+  it('übernimmt auch einen anderen Wert, den ein Anbieter verlangt', async () => {
+    process.env.S3_SSE = 'aws:kms'
+    const s3 = await treiberFrisch()
+    await s3.schreiben(SCHLUESSEL, INHALT, 'application/pdf')
+
+    expect(letzterBefehl?.ServerSideEncryption).toBe('aws:kms')
+  })
+
+  it('behandelt eine leere Angabe wie "aus"', async () => {
+    // Sonst schickte eine leergelassene Zeile in der .env einen leeren
+    // Kopf, und der Anbieter antwortete mit einem Fehler, den niemand
+    // versteht.
+    process.env.S3_SSE = '   '
+    const s3 = await treiberFrisch()
+    await s3.schreiben(SCHLUESSEL, INHALT, 'application/pdf')
+
+    expect(letzterBefehl).not.toHaveProperty('ServerSideEncryption')
+  })
+})
+
+describe('S3-Treiber: was sonst noch mitgeht', () => {
+  beforeEach(() => {
+    letzterBefehl = null
+    delete process.env.S3_SSE
+  })
+
+  it('legt den Inhalt verschlüsselt ab, nicht im Klartext', async () => {
+    const s3 = await treiberFrisch()
+    await s3.schreiben(SCHLUESSEL, INHALT, 'application/pdf')
+
+    const koerper = letzterBefehl?.Body as Buffer
+    expect(koerper.subarray(0, 4).toString('ascii')).toBe('BCD1')
+    expect(koerper.includes(Buffer.from('ein Bescheid', 'utf8'))).toBe(false)
+  })
+
+  it('meldet den Inhaltstyp nicht als PDF - dort liegt Geheimtext', async () => {
+    const s3 = await treiberFrisch()
+    await s3.schreiben(SCHLUESSEL, INHALT, 'application/pdf')
+
+    expect(letzterBefehl?.ContentType).toBe('application/octet-stream')
+    expect(letzterBefehl?.ContentDisposition).toBe('attachment')
+  })
+})
@@ -0,0 +1,129 @@
+import { describe, expect, it } from 'vitest'
+import {
+  entschluesselnBinaer,
+  istVerschluesselt,
+  KOPF_LAENGE,
+  verschluesselnBinaer,
+} from '@/lib/speicher/umschlag'
+
+/**
+ * Der Umschlag um abgelegte Dateien.
+ *
+ * Der Dateitreiber hat ihn von Anfang an benutzt, der Objektspeicher nicht:
+ * Dort stand nur ServerSideEncryption: 'AES256' - Verschluesselung mit dem
+ * Schluessel des Anbieters, der beim Ausliefern selbst entschluesselt.
+ * Gegen eine verlorene Platte im Rechenzentrum hilft das, gegen den
+ * Anbieter und gegen gestohlene Zugangsdaten zum Eimer nicht.
+ *
+ * Seit v1.11.0 liegt derselbe Umschlag um beides. Diese Tests halten die
+ * drei Eigenschaften fest, auf die es dabei ankommt: Er geht wieder auf,
+ * er merkt Veraenderungen, und er bindet den Inhalt an seinen Platz.
+ */
+
+const INHALT = Buffer.from('Bescheid des Sozialamts vom 3. Maerz, Seite 1 von 2.', 'utf8')
+const ORT = 'betreute/abc123/dokumente/eins.pdf'
+
+describe('Umschlag um abgelegte Dateien', () => {
+  it('geht wieder auf', () => {
+    const zu = verschluesselnBinaer(INHALT, ORT)
+
+    expect(entschluesselnBinaer(zu, ORT).equals(INHALT)).toBe(true)
+  })
+
+  it('sieht dem Geheimtext den Klartext nicht an', () => {
+    const zu = verschluesselnBinaer(INHALT, ORT)
+
+    expect(zu.includes(Buffer.from('Sozialamt', 'utf8'))).toBe(false)
+    expect(istVerschluesselt(zu)).toBe(true)
+    expect(zu.length).toBe(KOPF_LAENGE + INHALT.length)
+  })
+
+  it('erzeugt bei gleichem Inhalt zwei verschiedene Geheimtexte', () => {
+    // Sonst liesse sich an zwei gleich aussehenden Objekten ablesen, dass
+    // dasselbe Dokument zweimal in der Akte liegt.
+    const a = verschluesselnBinaer(INHALT, ORT)
+    const b = verschluesselnBinaer(INHALT, ORT)
+
+    expect(a.equals(b)).toBe(false)
+    expect(entschluesselnBinaer(a, ORT).equals(entschluesselnBinaer(b, ORT))).toBe(true)
+  })
+
+  it('merkt, wenn am Geheimtext gedreht wurde', () => {
+    const zu = verschluesselnBinaer(INHALT, ORT)
+    const letzte = zu.length - 1
+    zu.writeUInt8(zu.readUInt8(letzte) ^ 0x01, letzte)
+
+    expect(() => entschluesselnBinaer(zu, ORT)).toThrow()
+  })
+
+  it('merkt, wenn am Kopf gedreht wurde', () => {
+    const zu = verschluesselnBinaer(INHALT, ORT)
+    // Ein Bit im IV.
+    zu.writeUInt8(zu.readUInt8(8) ^ 0x01, 8)
+
+    expect(() => entschluesselnBinaer(zu, ORT)).toThrow()
+  })
+
+  describe('Bindung an den Ablageort', () => {
+    it('laesst sich nicht unter einem anderen Namen auspacken', () => {
+      // Der Angriff dahinter: Wer Schreibrechte auf den Eimer hat, legt die
+      // Bytes von Dokument A unter dem Namen von Dokument B ab. Ohne die
+      // Bindung lieferte die Anwendung anschliessend den falschen Bescheid
+      // aus - und zwar mit gueltiger Pruefsumme fuer den falschen Inhalt.
+      const zu = verschluesselnBinaer(INHALT, ORT)
+
+      expect(() =>
+        entschluesselnBinaer(zu, 'betreute/abc123/dokumente/zwei.pdf'),
+      ).toThrow()
+    })
+
+    it('laesst sich nicht in eine fremde Akte verschieben', () => {
+      const zu = verschluesselnBinaer(INHALT, ORT)
+
+      expect(() => entschluesselnBinaer(zu, 'betreute/xyz789/dokumente/eins.pdf')).toThrow()
+    })
+  })
+
+  describe('Rueckwaertsvertraeglichkeit', () => {
+    it('reicht Inhalte ohne Umschlag unveraendert durch', () => {
+      // Genau der Zustand, in dem die Objekte im Speicher liegen, bis der
+      // Migrationslauf sie umgeschrieben hat. Wuerde hier geworfen, waere
+      // nach dem Update kein einziges altes Dokument mehr abrufbar.
+      const roh = Buffer.from('%PDF-1.4 ganz gewoehnlich', 'utf8')
+
+      expect(istVerschluesselt(roh)).toBe(false)
+      expect(entschluesselnBinaer(roh, ORT).equals(roh)).toBe(true)
+    })
+
+    it('haelt auch etwas fuer unverpackt, das zufaellig kurz ist', () => {
+      const winzig = Buffer.from('abc', 'utf8')
+
+      expect(istVerschluesselt(winzig)).toBe(false)
+      expect(entschluesselnBinaer(winzig, ORT).equals(winzig)).toBe(true)
+    })
+
+    it('oeffnet einen Umschlag, der noch ohne Ortsbindung geschrieben wurde', () => {
+      // So hat der Dateitreiber bis v1.10.2 geschrieben. Diese Dateien
+      // muessen weiter aufgehen, sonst waere die Verbesserung ein
+      // Datenverlust.
+      const alt = verschluesselnBinaer(INHALT)
+
+      expect(entschluesselnBinaer(alt, ORT).equals(INHALT)).toBe(true)
+      expect(entschluesselnBinaer(alt).equals(INHALT)).toBe(true)
+    })
+  })
+
+  it('kommt mit einer leeren Datei zurecht', () => {
+    const leer = Buffer.alloc(0)
+    const zu = verschluesselnBinaer(leer, ORT)
+
+    expect(entschluesselnBinaer(zu, ORT).length).toBe(0)
+  })
+
+  it('kommt mit einer groesseren Datei zurecht', () => {
+    const gross = Buffer.alloc(3 * 1024 * 1024, 0x41)
+    const zu = verschluesselnBinaer(gross, ORT)
+
+    expect(entschluesselnBinaer(zu, ORT).equals(gross)).toBe(true)
+  })
+})
@@ -0,0 +1,112 @@
+import { describe, expect, it } from 'vitest'
+import { speicherfehlerErkennen, speicherfehlerMeldung } from '@/lib/speicher/fehler'
+
+/**
+ * Speicherfehler müssen sagen, was zu tun ist.
+ *
+ * Anlass ist eine Fehlersuche vom 31.08.2026. In der Oberfläche stand
+ * dreimal hintereinander derselbe Satz — „Das Schreiben konnte nicht
+ * abgelegt werden." — und dahinter lagen drei völlig verschiedene
+ * Ursachen: ein fehlender Ablagebereich, ein Endpunkt, der auf einen
+ * fremden Anbieter zeigte, und eine Verschlüsselung, die der Speicher
+ * nicht anbietet.
+ *
+ * Ohne Zugang zum Serverlog wäre die Suche aussichtslos gewesen.
+ */
+
+/** Baut einen Fehler, wie ihn das AWS-SDK wirft. */
+function sdkFehler(code: string, nachricht = ''): Error {
+  const fehler = new Error(nachricht || code) as Error & { Code: string }
+  fehler.Code = code
+  return fehler
+}
+
+describe('Speicherfehler erklären', () => {
+  it('erkennt den fehlenden Ablagebereich und nennt den Installationsschritt', () => {
+    const erkannt = speicherfehlerErkennen(sdkFehler('NoSuchBucket'))
+
+    expect(erkannt?.art).toBe('kein-ablagebereich')
+    expect(erkannt?.meldung).toMatch(/Schritt 6/)
+  })
+
+  it('erkennt die nicht unterstützte Verschlüsselung und nennt die Stellschraube', () => {
+    const erkannt = speicherfehlerErkennen(
+      sdkFehler('NotImplemented', 'Server side encryption specified but KMS is not configured'),
+    )
+
+    expect(erkannt?.art).toBe('verschluesselung')
+    expect(erkannt?.meldung).toMatch(/S3_SSE/)
+  })
+
+  it('verwechselt ein anderes NotImplemented nicht damit', () => {
+    // "NotImplemented" schicken S3-Nachbauten fuer allerlei; nur der Fall
+    // mit der Verschluesselung hat eine passende Erklaerung.
+    expect(speicherfehlerErkennen(sdkFehler('NotImplemented', 'Versioning not supported'))).toBeNull()
+  })
+
+  it.each(['AccessDenied', 'SignatureDoesNotMatch', 'InvalidAccessKeyId'])(
+    'erkennt %s als Zugangsproblem',
+    (code) => {
+      const erkannt = speicherfehlerErkennen(sdkFehler(code))
+
+      expect(erkannt?.art).toBe('zugang')
+      expect(erkannt?.meldung).toMatch(/S3_ACCESS_KEY_ID/)
+    },
+  )
+
+  it.each(['ECONNREFUSED', 'ENOTFOUND', 'ETIMEDOUT'])(
+    'erkennt %s als nicht erreichbar',
+    (code) => {
+      const fehler = new Error('connect failed') as Error & { code: string }
+      fehler.code = code
+
+      expect(speicherfehlerErkennen(fehler)?.art).toBe('nicht-erreichbar')
+    },
+  )
+
+  it('verspricht bei einem Netzfehler, dass die Eingaben bleiben', () => {
+    const fehler = new Error('connect ECONNREFUSED 172.18.0.3:9000')
+
+    expect(speicherfehlerErkennen(fehler)?.meldung).toMatch(/gehen nicht verloren/)
+  })
+
+  it('gibt bei einem unbekannten Fehler null zurück', () => {
+    // Dann bleibt es bei der allgemeinen Meldung des Aufrufers. Fremde
+    // Fehlertexte durchzureichen waere die schlechtere Wahl.
+    expect(speicherfehlerErkennen(new Error('irgendwas ging schief'))).toBeNull()
+    expect(speicherfehlerErkennen(null)).toBeNull()
+    expect(speicherfehlerErkennen('kaputt')).toBeNull()
+  })
+
+  it('verrät nichts über Hostnamen, Eimer oder Anfragekennungen', () => {
+    // Solche Angaben stehen in den Fehlern des SDK und gehoeren ins Log,
+    // nicht auf den Bildschirm eines Betreuers.
+    const fehler = sdkFehler('NoSuchBucket', 'The specified bucket does not exist') as Error & {
+      BucketName: string
+      RequestId: string
+    }
+    fehler.BucketName = 'betreuungs-cockpit'
+    fehler.RequestId = '18D0FEDD87C08296'
+
+    const meldung = speicherfehlerErkennen(fehler)!.meldung
+
+    expect(meldung).not.toContain('betreuungs-cockpit')
+    expect(meldung).not.toContain('18D0FEDD87C08296')
+    expect(meldung).not.toContain('bucket')
+  })
+})
+
+describe('speicherfehlerMeldung', () => {
+  it('nimmt die erkannte Erklärung, wenn es eine gibt', () => {
+    const meldung = speicherfehlerMeldung(sdkFehler('NoSuchBucket'), 'Allgemeine Meldung.')
+
+    expect(meldung).not.toBe('Allgemeine Meldung.')
+    expect(meldung).toMatch(/Ablagebereich/)
+  })
+
+  it('fällt sonst auf die Meldung des Aufrufers zurück', () => {
+    const meldung = speicherfehlerMeldung(new Error('unbekannt'), 'Allgemeine Meldung.')
+
+    expect(meldung).toBe('Allgemeine Meldung.')
+  })
+})
@@ -0,0 +1,190 @@
+import { beforeEach, describe, expect, it, vi } from 'vitest'
+import type { User } from '@prisma/client'
+
+/**
+ * Ein TOTP-Code gilt genau einmal.
+ *
+ * Ein Code ist 30 Sekunden gueltig, mit der Toleranz von einem Fenster bis
+ * zu 90. In dieser Zeit liess er sich beliebig oft einloesen: abgelesen
+ * ueber die Schulter, mitgeschrieben von einem Zwischenglied, oder aus einem
+ * Formular im Browserverlauf. Der Kommentar in totp.ts versprach von Anfang
+ * an, der Aufrufer speichere das getroffene Fenster - getan hat es niemand.
+ *
+ * Geprueft wird gegen eine Attrappe der Datenbank, die das WHERE von
+ * updateMany nachbildet. Genau darauf beruht die Einmalverwendung: Die
+ * Bedingung steht in der Abfrage, nicht in einem if davor.
+ */
+
+let benutzer: User
+let updateAufrufe = 0
+
+function passtSchritt(bedingung: Record<string, unknown>, wert: number | null): boolean {
+  if ('OR' in bedingung) {
+    const zweige = bedingung.OR as Record<string, unknown>[]
+    return zweige.some((zweig) => passtSchritt(zweig, wert))
+  }
+  if ('totpLetzterSchritt' in bedingung) {
+    const erwartet = bedingung.totpLetzterSchritt
+    if (erwartet === null) return wert === null
+    if (typeof erwartet === 'object' && erwartet !== null && 'lt' in erwartet) {
+      return wert !== null && wert < (erwartet as { lt: number }).lt
+    }
+  }
+  return true
+}
+
+vi.mock('@/lib/db', () => ({
+  db: {
+    user: {
+      updateMany: async ({
+        where,
+        data,
+      }: {
+        where: Record<string, unknown>
+        data: Partial<User>
+      }) => {
+        updateAufrufe += 1
+
+        if (where.id !== benutzer.id) return { count: 0 }
+
+        // Die Liste der Wiederherstellungscodes muss noch die sein, die der
+        // Aufrufer gesehen hat - sonst war jemand schneller.
+        if ('wiederherstellungscodes' in where) {
+          const erwartet = (where.wiederherstellungscodes as { equals: string[] }).equals
+          const gleich =
+            erwartet.length === benutzer.wiederherstellungscodes.length &&
+            erwartet.every((wert, i) => wert === benutzer.wiederherstellungscodes[i])
+          if (!gleich) return { count: 0 }
+        }
+
+        if (('OR' in where || 'totpLetzterSchritt' in where) && !passtSchritt(where, benutzer.totpLetzterSchritt)) {
+          return { count: 0 }
+        }
+
+        benutzer = { ...benutzer, ...data }
+        return { count: 1 }
+      },
+    },
+  },
+}))
+
+const { zweitenFaktorEinloesen } = await import('@/lib/auth/zweiter-faktor')
+const { totpAktuellerCode, totpSchritt, totpSecretErzeugen, totpSecretVerschluesseln } =
+  await import('@/lib/crypto/totp')
+const { wiederherstellungscodeHashen, wiederherstellungscodesErzeugen } = await import(
+  '@/lib/crypto/hash'
+)
+
+const EMAIL = 'betreuer@example.de'
+const SECRET = totpSecretErzeugen()
+
+function grundstand(): User {
+  return {
+    id: 'benutzer-1',
+    email: EMAIL,
+    totpSecretVerschluesselt: totpSecretVerschluesseln(SECRET),
+    totpAktiviertAm: new Date('2026-01-01T00:00:00Z'),
+    totpLetzterSchritt: null,
+    wiederherstellungscodes: [],
+  } as unknown as User
+}
+
+describe('Zweiten Faktor einloesen', () => {
+  beforeEach(() => {
+    benutzer = grundstand()
+    updateAufrufe = 0
+    vi.useFakeTimers()
+    vi.setSystemTime(new Date('2026-08-24T12:00:15Z'))
+  })
+
+  it('nimmt einen gueltigen Code an und haelt das Fenster fest', async () => {
+    const code = totpAktuellerCode(SECRET, EMAIL)
+
+    const ergebnis = await zweitenFaktorEinloesen(benutzer, code)
+
+    expect(ergebnis).toEqual({ ok: true, art: 'totp' })
+    expect(benutzer.totpLetzterSchritt).toBe(totpSchritt(0))
+  })
+
+  it('lehnt denselben Code beim zweiten Mal ab', async () => {
+    const code = totpAktuellerCode(SECRET, EMAIL)
+
+    expect(await zweitenFaktorEinloesen(benutzer, code)).toEqual({ ok: true, art: 'totp' })
+
+    // Noch im selben Fenster - der Code waere rechnerisch weiter richtig.
+    vi.setSystemTime(new Date('2026-08-24T12:00:25Z'))
+    expect(await zweitenFaktorEinloesen(benutzer, code)).toEqual({
+      ok: false,
+      grund: 'wiederverwendet',
+    })
+  })
+
+  it('lehnt ihn auch im Toleranzfenster danach ab', async () => {
+    const code = totpAktuellerCode(SECRET, EMAIL)
+    await zweitenFaktorEinloesen(benutzer, code)
+
+    // Ein Fenster weiter: Die Toleranz liesse den alten Code noch gelten.
+    vi.setSystemTime(new Date('2026-08-24T12:00:45Z'))
+    expect(await zweitenFaktorEinloesen(benutzer, code)).toEqual({
+      ok: false,
+      grund: 'wiederverwendet',
+    })
+  })
+
+  it('nimmt den naechsten Code an', async () => {
+    await zweitenFaktorEinloesen(benutzer, totpAktuellerCode(SECRET, EMAIL))
+    const vorher = benutzer.totpLetzterSchritt
+
+    vi.setSystemTime(new Date('2026-08-24T12:00:45Z'))
+    const naechster = totpAktuellerCode(SECRET, EMAIL)
+    expect(await zweitenFaktorEinloesen(benutzer, naechster)).toEqual({ ok: true, art: 'totp' })
+    expect(benutzer.totpLetzterSchritt!).toBeGreaterThan(vorher!)
+  })
+
+  it('lehnt einen falschen Code ab, ohne zu schreiben', async () => {
+    expect(await zweitenFaktorEinloesen(benutzer, '000000')).toEqual({
+      ok: false,
+      grund: 'falsch',
+    })
+    expect(updateAufrufe).toBe(0)
+    expect(benutzer.totpLetzterSchritt).toBeNull()
+  })
+
+  it('toleriert Leerzeichen und Bindestriche in der Eingabe', async () => {
+    const code = totpAktuellerCode(SECRET, EMAIL)
+    const zerlegt = `${code.slice(0, 3)} ${code.slice(3)}`
+
+    expect(await zweitenFaktorEinloesen(benutzer, zerlegt)).toEqual({ ok: true, art: 'totp' })
+  })
+
+  it('loest einen Wiederherstellungscode genau einmal ein', async () => {
+    const codes = wiederherstellungscodesErzeugen(3)
+    benutzer = {
+      ...grundstand(),
+      wiederherstellungscodes: await Promise.all(codes.map(wiederherstellungscodeHashen)),
+    } as User
+
+    const erster = codes[0]!
+    expect(await zweitenFaktorEinloesen(benutzer, erster)).toEqual({
+      ok: true,
+      art: 'wiederherstellungscode',
+    })
+    expect(benutzer.wiederherstellungscodes).toHaveLength(2)
+
+    // Derselbe Code noch einmal: Er steht nicht mehr in der Liste.
+    expect(await zweitenFaktorEinloesen(benutzer, erster)).toEqual({
+      ok: false,
+      grund: 'falsch',
+    })
+    expect(benutzer.wiederherstellungscodes).toHaveLength(2)
+  })
+
+  it('haelt die Reihenfolge der Zeitschritte ein', () => {
+    const frueh = totpSchritt(0, Date.parse('2026-08-24T12:00:00Z'))
+    const spaet = totpSchritt(0, Date.parse('2026-08-24T12:00:30Z'))
+
+    expect(spaet).toBe(frueh + 1)
+    // Das Delta verschiebt um ganze Fenster, nicht um Sekunden.
+    expect(totpSchritt(1, Date.parse('2026-08-24T12:00:00Z'))).toBe(spaet)
+  })
+})
@@ -0,0 +1,113 @@
+import { readFileSync } from 'node:fs'
+import { describe, expect, it } from 'vitest'
+
+/**
+ * Was die Anwendung liest, muss der Behälter auch bekommen.
+ *
+ * Die `docker-compose.yml` zählt die Umgebungsvariablen des Dienstes `app`
+ * einzeln auf — sie hat kein `env_file:`. Wer einen neuen Wert einführt,
+ * ihn in `.env.example` dokumentiert und in `env.ts` ausliest, hat damit
+ * noch nichts erreicht: Im Behälter kommt er nicht an.
+ *
+ * Genau das ist mit v1.11.0 passiert. `ERSTEINRICHTUNG_GEHEIMNIS` und
+ * `VERTRAUE_PROXY` standen in der Anleitung, in der Beispieldatei und im
+ * Code — nur nicht in der Compose-Datei. Die Anleitung war damit schlicht
+ * falsch, und der Fehler war von außen nicht zu sehen: `VERTRAUE_PROXY`
+ * fehlt still, die Anmeldesperre zählt dann eine Dimension weniger.
+ *
+ * Dieser Test liest beide Seiten und vergleicht sie. Er prüft kein
+ * Verhalten, sondern die Verpackung — wie `skripte.test.ts`.
+ */
+
+const compose = readFileSync('docker-compose.yml', 'utf8')
+const envDatei = readFileSync('src/lib/env.ts', 'utf8')
+const beispiel = readFileSync('.env.example', 'utf8')
+
+/**
+ * Alles, was `env.ts` über seine Helfer ausliest.
+ *
+ * `process.env.X` direkt wird mitgenommen, ebenso `pflicht('X')`,
+ * `zahl('X', …)`, `schalter('X', …)` und `schluessel32('X')`.
+ */
+function gelesen(): Set<string> {
+  const namen = new Set<string>()
+
+  for (const treffer of envDatei.matchAll(/process\.env\.([A-Z_0-9]+)/g)) {
+    namen.add(treffer[1]!)
+  }
+  for (const treffer of envDatei.matchAll(
+    /(?:pflicht|zahl|schalter|schluessel32)\('([A-Z_0-9]+)'/g,
+  )) {
+    namen.add(treffer[1]!)
+  }
+
+  return namen
+}
+
+/** Die Variablen, die der Dienst `app` durchreicht. */
+function durchgereicht(): Set<string> {
+  const abschnitt = compose.slice(compose.indexOf('\n  app:'), compose.indexOf('\n  sicherung:'))
+  const namen = new Set<string>()
+  for (const treffer of abschnitt.matchAll(/^ {6}([A-Z_0-9]+):/gm)) {
+    namen.add(treffer[1]!)
+  }
+  return namen
+}
+
+/**
+ * Was absichtlich nicht durchgereicht wird - jeweils mit Grund.
+ *
+ * Wer hier etwas ergänzt, nimmt es bewusst aus der Prüfung. Das ist
+ * erlaubt, aber es soll dabeistehen, warum.
+ */
+const AUSNAHMEN = new Map<string, string>([
+  ['NODE_ENV', 'wird im Dienst gesetzt, kommt nicht aus der .env'],
+  ['NEXT_PUBLIC_GIT_COMMIT', 'Bauargument, steckt schon im Abbild'],
+  ['NEXT_PUBLIC_BUILD_ZEIT', 'Bauargument, steckt schon im Abbild'],
+  ['DATEI_SPEICHER_PFAD', 'nur fuer den Dateitreiber; im Behaelter laeuft s3'],
+  ['TESSERACT_BEFEHL', 'Standard "tesseract" stimmt im Abbild immer'],
+])
+
+describe('Umgebungsvariablen erreichen den Behälter', () => {
+  it('reicht jede Variable durch, die die Anwendung ausliest', () => {
+    const fehlend = [...gelesen()]
+      .filter((name) => !durchgereicht().has(name))
+      .filter((name) => !AUSNAHMEN.has(name))
+      // ENC_KEY_V2, V3 ... werden dynamisch gesucht; nur V1 ist Pflicht.
+      .filter((name) => !/^ENC_KEY_V\d+$/.test(name))
+      .sort()
+
+    expect(
+      fehlend,
+      'Diese Werte liest die Anwendung, aber die docker-compose.yml gibt sie ' +
+        'dem Dienst "app" nicht mit. In der .env stehen sie dann wirkungslos.',
+    ).toEqual([])
+  })
+
+  it('erklärt jede Ausnahme', () => {
+    for (const [name, grund] of AUSNAHMEN) {
+      expect(grund.length, `Ausnahme ${name} ohne Begründung`).toBeGreaterThan(10)
+    }
+  })
+
+  it('dokumentiert die beiden Werte aus v1.11.0 in der Beispieldatei', () => {
+    // Sie waren der Anlass. Verschwinden sie aus .env.example, merkt es
+    // sonst niemand, bis jemand eine Neuinstallation versucht.
+    expect(beispiel).toMatch(/ERSTEINRICHTUNG_GEHEIMNIS=/)
+    expect(beispiel).toMatch(/VERTRAUE_PROXY=/)
+  })
+
+  it('lässt VERTRAUE_PROXY ohne Vorgabewert', () => {
+    // Die strengere Einstellung bleibt die Voreinstellung. Ein Vorgabewert
+    // "true" waere bequem und falsch: Ohne Proxy ist der weitergereichte
+    // Kopf frei erfunden.
+    expect(compose).toMatch(/VERTRAUE_PROXY: \$\{VERTRAUE_PROXY:-\}/)
+  })
+
+  it('findet überhaupt etwas - sonst prüft der Test nichts', () => {
+    // Ein stiller Ausfall der Erkennung waere schlimmer als eine Luecke:
+    // Der Test staende gruen da und pruefte nichts.
+    expect(gelesen().size).toBeGreaterThan(15)
+    expect(durchgereicht().size).toBeGreaterThan(15)
+  })
+})
@@ -1,343 +1,343 @@
-import { describe, expect, it } from 'vitest'
-import { tag } from '@/lib/fristen/datum'
-import {
-  absendetagZu,
-  kuendigungsampel,
-  kuendigungsplan,
-  KUENDIGUNG_VORWARNUNG_TAGE,
-  laufzeitAusVertrag,
-  POSTLAUF_PUFFER_TAGE,
-} from '@/lib/vertraege/kuendigung'
-import { kuendigungsassistent, genehmigungsfrage } from '@/lib/vertraege/kuendigungsassistent'
-import {
-  anfrageStatus,
-  juengsterWert,
-  rueckkaufswertAnschreiben,
-  wertHistorie,
-  wiedervorlageAm,
-} from '@/lib/vertraege/rueckkaufswert'
-import { jahresbeitragCent, kannRueckkaufswertHaben } from '@/lib/vertraege/konstanten'
-
-const kopf = {
-  betreuerName: 'Florian Wilde',
-  betreuerStrasse: 'Musterweg 1',
-  betreuerPlz: '95444',
-  betreuerOrt: 'Bayreuth',
-  betreuteName: 'Erika Wilde',
-  betreuteGeburtsdatum: tag(1948, 5, 20),
-  betreuungsgericht: 'Amtsgericht Bayreuth',
-  aktenzeichenGericht: 'XVII 123/25',
-  bestellungAm: tag(2025, 11, 3),
-}
-
-describe('Kündigungstermin', () => {
-  it('rechnet den nächstmöglichen Termin über die Jahresgrenze', () => {
-    // Jahresvertrag seit dem 15.03.2020, drei Monate Kündigungsfrist.
-    // Für den Termin 15.03.2026 müsste der Zugang am 15.12.2025 vorliegen -
-    // der Absendetag ist Anfang Februar 2026 längst vorbei.
-    const plan = kuendigungsplan({
-      beginnAm: tag(2020, 3, 15),
-      laufzeitJahre: 1,
-      kuendigungsfristMonate: 3,
-      heute: tag(2026, 2, 1),
-    })
-
-    expect(plan.berechenbar).toBe(true)
-    expect(plan.naechsterTermin).toEqual(tag(2027, 3, 15))
-    expect(plan.zugangSpaetestensAm).toEqual(tag(2026, 12, 15))
-    expect(plan.spaetesterAbsendetag).toEqual(tag(2026, 12, 12))
-    expect(plan.verpasst).toBe(false)
-  })
-
-  it('rechnet über die Monatsgrenze kalendarisch, nicht in Tagen', () => {
-    // 31.05. minus drei Monate ist der 28.02. (2026 ist kein Schaltjahr),
-    // nicht der 02.03. oder 03.03.
-    const plan = kuendigungsplan({
-      beginnAm: tag(2019, 5, 31),
-      laufzeitJahre: 1,
-      kuendigungsfristMonate: 3,
-      heute: tag(2026, 1, 5),
-    })
-
-    expect(plan.naechsterTermin).toEqual(tag(2026, 5, 31))
-    expect(plan.zugangSpaetestensAm).toEqual(tag(2026, 2, 28))
-    expect(plan.spaetesterAbsendetag).toEqual(tag(2026, 2, 25))
-  })
-
-  it('trifft im Schaltjahr den 29. Februar', () => {
-    const plan = kuendigungsplan({
-      beginnAm: tag(2019, 5, 31),
-      laufzeitJahre: 1,
-      kuendigungsfristMonate: 3,
-      heute: tag(2024, 1, 5),
-    })
-
-    expect(plan.zugangSpaetestensAm).toEqual(tag(2024, 2, 29))
-  })
-
-  it('springt bei mehrjähriger Laufzeit um die volle Laufzeit weiter', () => {
-    const plan = kuendigungsplan({
-      beginnAm: tag(2018, 1, 1),
-      laufzeitJahre: 3,
-      kuendigungsfristMonate: 3,
-      heute: tag(2026, 2, 1),
-    })
-
-    // Termine: 2021, 2024, 2027 - für 2027 muss bis 30.09.2026 zugehen.
-    expect(plan.naechsterTermin).toEqual(tag(2027, 1, 1))
-    expect(plan.zugangSpaetestensAm).toEqual(tag(2026, 10, 1))
-  })
-
-  it('rechnet den Postlauf zwischen Absenden und Zugang ein', () => {
-    expect(absendetagZu(tag(2026, 6, 30), 3)).toEqual(tag(2026, 3, 27))
-    expect(POSTLAUF_PUFFER_TAGE).toBe(3)
-  })
-
-  it('warnt, wenn der Absendetag näher als 30 Tage rückt', () => {
-    const plan = kuendigungsplan({
-      beginnAm: tag(2020, 6, 30),
-      laufzeitJahre: 1,
-      kuendigungsfristMonate: 3,
-      heute: tag(2026, 3, 20),
-    })
-
-    expect(plan.spaetesterAbsendetag).toEqual(tag(2026, 3, 27))
-    expect(plan.tageBisAbsendetag).toBe(7)
-    expect(plan.vorwarnung).toBe(true)
-    expect(kuendigungsampel(plan)?.variante).toBe('rot')
-  })
-
-  it('warnt genau an der Grenze von 30 Tagen', () => {
-    const plan = kuendigungsplan({
-      beginnAm: tag(2020, 6, 30),
-      laufzeitJahre: 1,
-      kuendigungsfristMonate: 3,
-      heute: tag(2026, 2, 25),
-    })
-
-    expect(plan.tageBisAbsendetag).toBe(KUENDIGUNG_VORWARNUNG_TAGE)
-    expect(plan.vorwarnung).toBe(true)
-    expect(kuendigungsampel(plan)?.variante).toBe('orange')
-  })
-
-  it('warnt einen Tag vor der Grenze noch nicht', () => {
-    const plan = kuendigungsplan({
-      beginnAm: tag(2020, 6, 30),
-      laufzeitJahre: 1,
-      kuendigungsfristMonate: 3,
-      heute: tag(2026, 2, 24),
-    })
-
-    expect(plan.tageBisAbsendetag).toBe(31)
-    expect(plan.vorwarnung).toBe(false)
-  })
-
-  it('nimmt ohne hinterlegte Laufzeit ein Jahr an und sagt das dazu', () => {
-    const plan = kuendigungsplan({
-      beginnAm: tag(2020, 3, 15),
-      laufzeitJahre: null,
-      kuendigungsfristMonate: 3,
-      heute: tag(2026, 2, 1),
-    })
-
-    expect(plan.naechsterTermin).toEqual(tag(2027, 3, 15))
-    expect(plan.hinweise.some((h) => h.includes('keine Laufzeit'))).toBe(true)
-  })
-
-  it('meldet einen verpassten Termin, wenn sich der Vertrag nicht verlängert', () => {
-    const plan = kuendigungsplan({
-      beginnAm: tag(2010, 1, 1),
-      endeAm: tag(2026, 3, 1),
-      kuendigungsfristMonate: 3,
-      verlaengertSichAutomatisch: false,
-      heute: tag(2026, 2, 1),
-    })
-
-    expect(plan.verpasst).toBe(true)
-    expect(kuendigungsampel(plan)?.variante).toBe('rot')
-  })
-
-  it('rechnet gar nicht, wenn weder Beginn noch Ende bekannt sind', () => {
-    const plan = kuendigungsplan({
-      beginnAm: null,
-      kuendigungsfristMonate: 3,
-      heute: tag(2026, 2, 1),
-    })
-
-    expect(plan.berechenbar).toBe(false)
-    expect(plan.naechsterTermin).toBeNull()
-    expect(kuendigungsampel(plan)).toBeNull()
-  })
-
-  it('weist auf die fehlende Kündigungsfrist hin, statt still mit null zu rechnen', () => {
-    const plan = kuendigungsplan({
-      beginnAm: tag(2020, 3, 15),
-      kuendigungsfristMonate: null,
-      heute: tag(2026, 2, 1),
-    })
-
-    expect(plan.hinweise.some((h) => h.includes('keine Kündigungsfrist'))).toBe(true)
-  })
-})
-
-describe('Rückkaufswert-Anforderung', () => {
-  it('legt die Wiedervorlage vier Wochen nach der Anfrage', () => {
-    expect(wiedervorlageAm(tag(2026, 3, 2))).toEqual(tag(2026, 3, 30))
-  })
-
-  it('fragt Rückkaufswert und beitragsfreie Versicherungssumme zusammen ab', () => {
-    const brief = rueckkaufswertAnschreiben({
-      kopf,
-      empfaenger: { gesellschaft: 'Musterversicherung AG', anschrift: 'Postfach 1\n80000 München' },
-      vertragsbezeichnung: 'Sterbegeldversicherung',
-      vertragsnummer: 'LV-4711',
-      stichtag: tag(2026, 1, 1),
-      heute: tag(2026, 3, 2),
-    })
-
-    expect(brief).toContain('LV-4711')
-    expect(brief).toContain('Rückkaufswert')
-    expect(brief).toContain('beitragsfreie Versicherungssumme')
-    expect(brief).toContain('Amtsgericht Bayreuth')
-    expect(brief).toContain('XVII 123/25')
-    expect(brief).toContain('01.01.2026')
-  })
-
-  it('meldet die Erinnerung, sobald vier Wochen ohne Antwort vergangen sind', () => {
-    expect(anfrageStatus(tag(2026, 3, 2), tag(2026, 3, 29)).erinnerungFaellig).toBe(false)
-    expect(anfrageStatus(tag(2026, 3, 2), tag(2026, 3, 30)).erinnerungFaellig).toBe(true)
-    expect(anfrageStatus(null, tag(2026, 3, 30)).offen).toBe(false)
-  })
-})
-
-describe('Kündigungs-Assistent', () => {
-  const eingabe = {
-    kopf,
-    empfaenger: { gesellschaft: 'Musterversicherung AG', anschrift: null },
-    vertragsbezeichnung: 'Kapitallebensversicherung',
-    vertragsnummer: 'LV-4711',
-    art: 'LEBENSVERSICHERUNG' as const,
-    laufzeit: {
-      beginnAm: tag(2000, 4, 1),
-      laufzeitJahre: 1,
-      kuendigungsfristMonate: 3,
-    },
-    heute: tag(2026, 2, 1),
-  }
-
-  it('erzeugt ein Schreiben mit Vertragsnummer und Bestellungsnachweis', () => {
-    const paket = kuendigungsassistent(eingabe)
-
-    expect(paket.schreiben).toContain('LV-4711')
-    expect(paket.schreiben).toContain('kündige ich den oben genannten Vertrag')
-    expect(paket.schreiben).toContain('rechtlichen Betreuer')
-    expect(paket.schreiben).toContain('hilfsweise zum nächstmöglichen Zeitpunkt')
-  })
-
-  it('stellt bei einer Lebensversicherung die Genehmigungsfrage, ohne sie zu beantworten', () => {
-    const paket = kuendigungsassistent(eingabe)
-
-    expect(paket.genehmigung.stellen).toBe(true)
-    expect(paket.genehmigung.rechtsgrundlage).toBe('§ 1850 BGB')
-    expect(paket.genehmigung.frage).toMatch(/Rechtspfleger/)
-    expect(paket.genehmigung.hinweis).toMatch(/entscheidet das ausdrücklich nicht/)
-  })
-
-  it('stellt bei einer Hausratversicherung keine Genehmigungsfrage', () => {
-    expect(genehmigungsfrage('HAUSRAT').stellen).toBe(false)
-    expect(genehmigungsfrage('LEBENSVERSICHERUNG').stellen).toBe(true)
-  })
-
-  it('verlangt immer einen Versandnachweis', () => {
-    const paket = kuendigungsassistent(eingabe)
-
-    expect(paket.versandnachweis.verlangt).toBe(true)
-    expect(paket.versandnachweis.moeglichkeiten.join(' ')).toMatch(/Einschreiben/)
-    expect(paket.versandnachweis.moeglichkeiten.join(' ')).toMatch(/Fax/)
-  })
-
-  it('erinnert vor der Kündigung an die Beitragsfreistellung als Alternative', () => {
-    const paket = kuendigungsassistent(eingabe)
-
-    expect(paket.warnungen.some((w) => w.includes('beitragsfreie Versicherungssumme'))).toBe(true)
-  })
-
-  it('warnt bei einer Bestattungsvorsorge vor der vorschnellen Kündigung', () => {
-    const paket = kuendigungsassistent({ ...eingabe, art: 'BESTATTUNGSVORSORGE' })
-
-    expect(paket.warnungen.some((w) => w.includes('§ 90 Abs. 3 SGB XII'))).toBe(true)
-  })
-
-  it('warnt, wenn die Vertragsnummer fehlt', () => {
-    const paket = kuendigungsassistent({ ...eingabe, vertragsnummer: null })
-
-    expect(paket.warnungen.some((w) => w.includes('Vertragsnummer fehlt'))).toBe(true)
-  })
-})
-
-describe('Beiträge und Vertragsarten', () => {
-  it('rechnet den Jahresbeitrag aus Beitrag und Rhythmus', () => {
-    expect(jahresbeitragCent(2_500n, 'MONATLICH')).toBe(30_000n)
-    expect(jahresbeitragCent(2_500n, 'VIERTELJAEHRLICH')).toBe(10_000n)
-    expect(jahresbeitragCent(2_500n, 'JAEHRLICH')).toBe(2_500n)
-    expect(jahresbeitragCent(2_500n, 'EINMALIG')).toBeNull()
-    expect(jahresbeitragCent(null, 'MONATLICH')).toBeNull()
-  })
-
-  it('kennt die Verträge, bei denen ein Rückkaufswert überhaupt anfällt', () => {
-    expect(kannRueckkaufswertHaben('LEBENSVERSICHERUNG')).toBe(true)
-    expect(kannRueckkaufswertHaben('STERBEGELDVERSICHERUNG')).toBe(true)
-    expect(kannRueckkaufswertHaben('STROM')).toBe(false)
-  })
-})
-
-describe('Vertragsdauer aus Beginn und Ende', () => {
-  it('leitet die Laufzeit aus einem festen Vertragsende ab', () => {
-    expect(laufzeitAusVertrag(tag(2018, 1, 1), tag(2021, 1, 1))).toBe(3)
-    expect(laufzeitAusVertrag(tag(2020, 3, 15), tag(2021, 3, 15))).toBe(1)
-  })
-
-  it('gibt null zurück, wenn ein Datum fehlt oder die Spanne unter einem Jahr liegt', () => {
-    expect(laufzeitAusVertrag(tag(2020, 1, 1), null)).toBeNull()
-    expect(laufzeitAusVertrag(null, tag(2021, 1, 1))).toBeNull()
-    expect(laufzeitAusVertrag(tag(2020, 1, 1), tag(2020, 7, 1))).toBeNull()
-  })
-
-  it('lässt einen dreijährigen Vertrag um drei Jahre weiterspringen', () => {
-    const plan = kuendigungsplan({
-      beginnAm: tag(2018, 1, 1),
-      endeAm: tag(2021, 1, 1),
-      laufzeitJahre: laufzeitAusVertrag(tag(2018, 1, 1), tag(2021, 1, 1)),
-      kuendigungsfristMonate: 3,
-      heute: tag(2026, 2, 1),
-    })
-
-    expect(plan.naechsterTermin).toEqual(tag(2027, 1, 1))
-  })
-})
-
-describe('Rückkaufswert-Historie am Vertrag', () => {
-  const wert = (jahr: number, cent: number) => ({ stichtag: tag(jahr, 3, 1), wertCent: cent })
-
-  it('sortiert über alle verknüpften Posten hinweg, jüngster zuerst', () => {
-    // Zwei Posten am selben Vertrag: einer von Hand angelegt, einer beim
-    // ersten Erfassen entstanden. Der Vertrag zeigt beide Reihen als eine.
-    const historie = wertHistorie([
-      { wertstaende: [wert(2024, 4000)] },
-      { wertstaende: [wert(2026, 5200), wert(2025, 4600)] },
-    ])
-
-    expect(historie.map((w) => w.wertCent)).toEqual([5200, 4600, 4000])
-  })
-
-  it('nennt den zuletzt mitgeteilten Wert', () => {
-    expect(juengsterWert([{ wertstaende: [wert(2025, 4600), wert(2026, 5200)] }])?.wertCent).toBe(
-      5200,
-    )
-  })
-
-  it('gibt ohne jeden Wert null zurück, statt eine Null zu behaupten', () => {
-    expect(juengsterWert([{ wertstaende: [] }])).toBeNull()
-    expect(juengsterWert([])).toBeNull()
-  })
-})
+import { describe, expect, it } from 'vitest'
+import { tag } from '@/lib/fristen/datum'
+import {
+  absendetagZu,
+  kuendigungsampel,
+  kuendigungsplan,
+  KUENDIGUNG_VORWARNUNG_TAGE,
+  laufzeitAusVertrag,
+  POSTLAUF_PUFFER_TAGE,
+} from '@/lib/vertraege/kuendigung'
+import { kuendigungsassistent, genehmigungsfrage } from '@/lib/vertraege/kuendigungsassistent'
+import {
+  anfrageStatus,
+  juengsterWert,
+  rueckkaufswertAnschreiben,
+  wertHistorie,
+  wiedervorlageAm,
+} from '@/lib/vertraege/rueckkaufswert'
+import { jahresbeitragCent, kannRueckkaufswertHaben } from '@/lib/vertraege/konstanten'
+
+const kopf = {
+  betreuerName: 'Florian Wilde',
+  betreuerStrasse: 'Musterweg 1',
+  betreuerPlz: '95444',
+  betreuerOrt: 'Bayreuth',
+  betreuteName: 'Erika Wilde',
+  betreuteGeburtsdatum: tag(1948, 5, 20),
+  betreuungsgericht: 'Amtsgericht Bayreuth',
+  aktenzeichenGericht: 'XVII 123/25',
+  bestellungAm: tag(2025, 11, 3),
+}
+
+describe('Kündigungstermin', () => {
+  it('rechnet den nächstmöglichen Termin über die Jahresgrenze', () => {
+    // Jahresvertrag seit dem 15.03.2020, drei Monate Kündigungsfrist.
+    // Für den Termin 15.03.2026 müsste der Zugang am 15.12.2025 vorliegen -
+    // der Absendetag ist Anfang Februar 2026 längst vorbei.
+    const plan = kuendigungsplan({
+      beginnAm: tag(2020, 3, 15),
+      laufzeitJahre: 1,
+      kuendigungsfristMonate: 3,
+      heute: tag(2026, 2, 1),
+    })
+
+    expect(plan.berechenbar).toBe(true)
+    expect(plan.naechsterTermin).toEqual(tag(2027, 3, 15))
+    expect(plan.zugangSpaetestensAm).toEqual(tag(2026, 12, 15))
+    expect(plan.spaetesterAbsendetag).toEqual(tag(2026, 12, 12))
+    expect(plan.verpasst).toBe(false)
+  })
+
+  it('rechnet über die Monatsgrenze kalendarisch, nicht in Tagen', () => {
+    // 31.05. minus drei Monate ist der 28.02. (2026 ist kein Schaltjahr),
+    // nicht der 02.03. oder 03.03.
+    const plan = kuendigungsplan({
+      beginnAm: tag(2019, 5, 31),
+      laufzeitJahre: 1,
+      kuendigungsfristMonate: 3,
+      heute: tag(2026, 1, 5),
+    })
+
+    expect(plan.naechsterTermin).toEqual(tag(2026, 5, 31))
+    expect(plan.zugangSpaetestensAm).toEqual(tag(2026, 2, 28))
+    expect(plan.spaetesterAbsendetag).toEqual(tag(2026, 2, 25))
+  })
+
+  it('trifft im Schaltjahr den 29. Februar', () => {
+    const plan = kuendigungsplan({
+      beginnAm: tag(2019, 5, 31),
+      laufzeitJahre: 1,
+      kuendigungsfristMonate: 3,
+      heute: tag(2024, 1, 5),
+    })
+
+    expect(plan.zugangSpaetestensAm).toEqual(tag(2024, 2, 29))
+  })
+
+  it('springt bei mehrjähriger Laufzeit um die volle Laufzeit weiter', () => {
+    const plan = kuendigungsplan({
+      beginnAm: tag(2018, 1, 1),
+      laufzeitJahre: 3,
+      kuendigungsfristMonate: 3,
+      heute: tag(2026, 2, 1),
+    })
+
+    // Termine: 2021, 2024, 2027 - für 2027 muss bis 30.09.2026 zugehen.
+    expect(plan.naechsterTermin).toEqual(tag(2027, 1, 1))
+    expect(plan.zugangSpaetestensAm).toEqual(tag(2026, 10, 1))
+  })
+
+  it('rechnet den Postlauf zwischen Absenden und Zugang ein', () => {
+    expect(absendetagZu(tag(2026, 6, 30), 3)).toEqual(tag(2026, 3, 27))
+    expect(POSTLAUF_PUFFER_TAGE).toBe(3)
+  })
+
+  it('warnt, wenn der Absendetag näher als 30 Tage rückt', () => {
+    const plan = kuendigungsplan({
+      beginnAm: tag(2020, 6, 30),
+      laufzeitJahre: 1,
+      kuendigungsfristMonate: 3,
+      heute: tag(2026, 3, 20),
+    })
+
+    expect(plan.spaetesterAbsendetag).toEqual(tag(2026, 3, 27))
+    expect(plan.tageBisAbsendetag).toBe(7)
+    expect(plan.vorwarnung).toBe(true)
+    expect(kuendigungsampel(plan)?.variante).toBe('rot')
+  })
+
+  it('warnt genau an der Grenze von 30 Tagen', () => {
+    const plan = kuendigungsplan({
+      beginnAm: tag(2020, 6, 30),
+      laufzeitJahre: 1,
+      kuendigungsfristMonate: 3,
+      heute: tag(2026, 2, 25),
+    })
+
+    expect(plan.tageBisAbsendetag).toBe(KUENDIGUNG_VORWARNUNG_TAGE)
+    expect(plan.vorwarnung).toBe(true)
+    expect(kuendigungsampel(plan)?.variante).toBe('orange')
+  })
+
+  it('warnt einen Tag vor der Grenze noch nicht', () => {
+    const plan = kuendigungsplan({
+      beginnAm: tag(2020, 6, 30),
+      laufzeitJahre: 1,
+      kuendigungsfristMonate: 3,
+      heute: tag(2026, 2, 24),
+    })
+
+    expect(plan.tageBisAbsendetag).toBe(31)
+    expect(plan.vorwarnung).toBe(false)
+  })
+
+  it('nimmt ohne hinterlegte Laufzeit ein Jahr an und sagt das dazu', () => {
+    const plan = kuendigungsplan({
+      beginnAm: tag(2020, 3, 15),
+      laufzeitJahre: null,
+      kuendigungsfristMonate: 3,
+      heute: tag(2026, 2, 1),
+    })
+
+    expect(plan.naechsterTermin).toEqual(tag(2027, 3, 15))
+    expect(plan.hinweise.some((h) => h.includes('keine Laufzeit'))).toBe(true)
+  })
+
+  it('meldet einen verpassten Termin, wenn sich der Vertrag nicht verlängert', () => {
+    const plan = kuendigungsplan({
+      beginnAm: tag(2010, 1, 1),
+      endeAm: tag(2026, 3, 1),
+      kuendigungsfristMonate: 3,
+      verlaengertSichAutomatisch: false,
+      heute: tag(2026, 2, 1),
+    })
+
+    expect(plan.verpasst).toBe(true)
+    expect(kuendigungsampel(plan)?.variante).toBe('rot')
+  })
+
+  it('rechnet gar nicht, wenn weder Beginn noch Ende bekannt sind', () => {
+    const plan = kuendigungsplan({
+      beginnAm: null,
+      kuendigungsfristMonate: 3,
+      heute: tag(2026, 2, 1),
+    })
+
+    expect(plan.berechenbar).toBe(false)
+    expect(plan.naechsterTermin).toBeNull()
+    expect(kuendigungsampel(plan)).toBeNull()
+  })
+
+  it('weist auf die fehlende Kündigungsfrist hin, statt still mit null zu rechnen', () => {
+    const plan = kuendigungsplan({
+      beginnAm: tag(2020, 3, 15),
+      kuendigungsfristMonate: null,
+      heute: tag(2026, 2, 1),
+    })
+
+    expect(plan.hinweise.some((h) => h.includes('keine Kündigungsfrist'))).toBe(true)
+  })
+})
+
+describe('Rückkaufswert-Anforderung', () => {
+  it('legt die Wiedervorlage vier Wochen nach der Anfrage', () => {
+    expect(wiedervorlageAm(tag(2026, 3, 2))).toEqual(tag(2026, 3, 30))
+  })
+
+  it('fragt Rückkaufswert und beitragsfreie Versicherungssumme zusammen ab', () => {
+    const brief = rueckkaufswertAnschreiben({
+      kopf,
+      empfaenger: { gesellschaft: 'Musterversicherung AG', anschrift: 'Postfach 1\n80000 München' },
+      vertragsbezeichnung: 'Sterbegeldversicherung',
+      vertragsnummer: 'LV-4711',
+      stichtag: tag(2026, 1, 1),
+      heute: tag(2026, 3, 2),
+    })
+
+    expect(brief).toContain('LV-4711')
+    expect(brief).toContain('Rückkaufswert')
+    expect(brief).toContain('beitragsfreie Versicherungssumme')
+    expect(brief).toContain('Amtsgericht Bayreuth')
+    expect(brief).toContain('XVII 123/25')
+    expect(brief).toContain('01.01.2026')
+  })
+
+  it('meldet die Erinnerung, sobald vier Wochen ohne Antwort vergangen sind', () => {
+    expect(anfrageStatus(tag(2026, 3, 2), tag(2026, 3, 29)).erinnerungFaellig).toBe(false)
+    expect(anfrageStatus(tag(2026, 3, 2), tag(2026, 3, 30)).erinnerungFaellig).toBe(true)
+    expect(anfrageStatus(null, tag(2026, 3, 30)).offen).toBe(false)
+  })
+})
+
+describe('Kündigungs-Assistent', () => {
+  const eingabe = {
+    kopf,
+    empfaenger: { gesellschaft: 'Musterversicherung AG', anschrift: null },
+    vertragsbezeichnung: 'Kapitallebensversicherung',
+    vertragsnummer: 'LV-4711',
+    art: 'LEBENSVERSICHERUNG' as const,
+    laufzeit: {
+      beginnAm: tag(2000, 4, 1),
+      laufzeitJahre: 1,
+      kuendigungsfristMonate: 3,
+    },
+    heute: tag(2026, 2, 1),
+  }
+
+  it('erzeugt ein Schreiben mit Vertragsnummer und Bestellungsnachweis', () => {
+    const paket = kuendigungsassistent(eingabe)
+
+    expect(paket.schreiben).toContain('LV-4711')
+    expect(paket.schreiben).toContain('kündige ich den oben genannten Vertrag')
+    expect(paket.schreiben).toContain('rechtlichen Betreuer')
+    expect(paket.schreiben).toContain('hilfsweise zum nächstmöglichen Zeitpunkt')
+  })
+
+  it('stellt bei einer Lebensversicherung die Genehmigungsfrage, ohne sie zu beantworten', () => {
+    const paket = kuendigungsassistent(eingabe)
+
+    expect(paket.genehmigung.stellen).toBe(true)
+    expect(paket.genehmigung.rechtsgrundlage).toBe('§ 1850 BGB')
+    expect(paket.genehmigung.frage).toMatch(/Rechtspfleger/)
+    expect(paket.genehmigung.hinweis).toMatch(/entscheidet das ausdrücklich nicht/)
+  })
+
+  it('stellt bei einer Hausratversicherung keine Genehmigungsfrage', () => {
+    expect(genehmigungsfrage('HAUSRAT').stellen).toBe(false)
+    expect(genehmigungsfrage('LEBENSVERSICHERUNG').stellen).toBe(true)
+  })
+
+  it('verlangt immer einen Versandnachweis', () => {
+    const paket = kuendigungsassistent(eingabe)
+
+    expect(paket.versandnachweis.verlangt).toBe(true)
+    expect(paket.versandnachweis.moeglichkeiten.join(' ')).toMatch(/Einschreiben/)
+    expect(paket.versandnachweis.moeglichkeiten.join(' ')).toMatch(/Fax/)
+  })
+
+  it('erinnert vor der Kündigung an die Beitragsfreistellung als Alternative', () => {
+    const paket = kuendigungsassistent(eingabe)
+
+    expect(paket.warnungen.some((w) => w.includes('beitragsfreie Versicherungssumme'))).toBe(true)
+  })
+
+  it('warnt bei einer Bestattungsvorsorge vor der vorschnellen Kündigung', () => {
+    const paket = kuendigungsassistent({ ...eingabe, art: 'BESTATTUNGSVORSORGE' })
+
+    expect(paket.warnungen.some((w) => w.includes('§ 90 Abs. 3 SGB XII'))).toBe(true)
+  })
+
+  it('warnt, wenn die Vertragsnummer fehlt', () => {
+    const paket = kuendigungsassistent({ ...eingabe, vertragsnummer: null })
+
+    expect(paket.warnungen.some((w) => w.includes('Vertragsnummer fehlt'))).toBe(true)
+  })
+})
+
+describe('Beiträge und Vertragsarten', () => {
+  it('rechnet den Jahresbeitrag aus Beitrag und Rhythmus', () => {
+    expect(jahresbeitragCent(2_500n, 'MONATLICH')).toBe(30_000n)
+    expect(jahresbeitragCent(2_500n, 'VIERTELJAEHRLICH')).toBe(10_000n)
+    expect(jahresbeitragCent(2_500n, 'JAEHRLICH')).toBe(2_500n)
+    expect(jahresbeitragCent(2_500n, 'EINMALIG')).toBeNull()
+    expect(jahresbeitragCent(null, 'MONATLICH')).toBeNull()
+  })
+
+  it('kennt die Verträge, bei denen ein Rückkaufswert überhaupt anfällt', () => {
+    expect(kannRueckkaufswertHaben('LEBENSVERSICHERUNG')).toBe(true)
+    expect(kannRueckkaufswertHaben('STERBEGELDVERSICHERUNG')).toBe(true)
+    expect(kannRueckkaufswertHaben('STROM')).toBe(false)
+  })
+})
+
+describe('Vertragsdauer aus Beginn und Ende', () => {
+  it('leitet die Laufzeit aus einem festen Vertragsende ab', () => {
+    expect(laufzeitAusVertrag(tag(2018, 1, 1), tag(2021, 1, 1))).toBe(3)
+    expect(laufzeitAusVertrag(tag(2020, 3, 15), tag(2021, 3, 15))).toBe(1)
+  })
+
+  it('gibt null zurück, wenn ein Datum fehlt oder die Spanne unter einem Jahr liegt', () => {
+    expect(laufzeitAusVertrag(tag(2020, 1, 1), null)).toBeNull()
+    expect(laufzeitAusVertrag(null, tag(2021, 1, 1))).toBeNull()
+    expect(laufzeitAusVertrag(tag(2020, 1, 1), tag(2020, 7, 1))).toBeNull()
+  })
+
+  it('lässt einen dreijährigen Vertrag um drei Jahre weiterspringen', () => {
+    const plan = kuendigungsplan({
+      beginnAm: tag(2018, 1, 1),
+      endeAm: tag(2021, 1, 1),
+      laufzeitJahre: laufzeitAusVertrag(tag(2018, 1, 1), tag(2021, 1, 1)),
+      kuendigungsfristMonate: 3,
+      heute: tag(2026, 2, 1),
+    })
+
+    expect(plan.naechsterTermin).toEqual(tag(2027, 1, 1))
+  })
+})
+
+describe('Rückkaufswert-Historie am Vertrag', () => {
+  const wert = (jahr: number, cent: number) => ({ stichtag: tag(jahr, 3, 1), wertCent: cent })
+
+  it('sortiert über alle verknüpften Posten hinweg, jüngster zuerst', () => {
+    // Zwei Posten am selben Vertrag: einer von Hand angelegt, einer beim
+    // ersten Erfassen entstanden. Der Vertrag zeigt beide Reihen als eine.
+    const historie = wertHistorie([
+      { wertstaende: [wert(2024, 4000)] },
+      { wertstaende: [wert(2026, 5200), wert(2025, 4600)] },
+    ])
+
+    expect(historie.map((w) => w.wertCent)).toEqual([5200, 4600, 4000])
+  })
+
+  it('nennt den zuletzt mitgeteilten Wert', () => {
+    expect(juengsterWert([{ wertstaende: [wert(2025, 4600), wert(2026, 5200)] }])?.wertCent).toBe(
+      5200,
+    )
+  })
+
+  it('gibt ohne jeden Wert null zurück, statt eine Null zu behaupten', () => {
+    expect(juengsterWert([{ wertstaende: [] }])).toBeNull()
+    expect(juengsterWert([])).toBeNull()
+  })
+})
@@ -75,6 +75,17 @@ describe('Schreibweisen vergleichbar machen', () => {
    expect(normalisieren('Debeka AG')).toBe(normalisieren('Debeka'))
  })

+  it('kennt die gGmbH', () => {
+    // Heime, Sozialdienste und Träger sind fast durchweg gGmbH — ohne
+    // sie zerfiele die Zusammenfassung genau dort, wo sie zählt.
+    expect(normalisieren('Seniorenzentrum St. Katharina gGmbH')).toBe(
+      normalisieren('Seniorenzentrum St. Katharina'),
+    )
+    expect(normalisieren('SENIORENZENTRUM ST KATHARINA GGMBH')).toBe(
+      normalisieren('Seniorenzentrum St. Katharina'),
+    )
+  })
+
  it('entfernt auch mehrteilige Rechtsformen', () => {
    expect(normalisieren('Stadtwerke Bamberg GmbH & Co KG')).toBe(
      normalisieren('Stadtwerke Bamberg'),