Merge #38: Sicherheitsprüfung abarbeiten (v1.11.0)

Zwei Kommentare versprachen Schutz, den es nicht gab. Das ist schlimmer
als eine fehlende Zusage, weil man sich darauf verlaesst:

- In middleware.ts stand "Ohne Authentifizierungs-Cookie gar nicht erst
  weiterreichen". Die Middleware prueft keine Anmeldung, sie setzt
  Kopfzeilen; die Liste steuert allein den Cache-Control-Kopf. Wer den
  Satz glaubt, verzichtet an einer neuen Seite auf erfordereBenutzer().
  Die Liste heisst jetzt OHNE_CACHE_SPERRE und sagt selbst, was sie ist.

- In datei.ts hiess es, die Pfadpruefung fange "Symlink-Tricks" ab.
  resolve() rechnet mit Zeichenketten und folgt keinem Link - dafuer
  braeuchte es realpath(). Nachgeruestet wird es nicht: Wer dort einen
  Symlink anlegen kann, hat schon Schreibrechte im Datenverzeichnis. Der
  Satz musste trotzdem weg.

Dazu docs/SICHERHEIT.md: Bedrohungsmodell, der Durchgang entlang der
OWASP Top 10 - und ein eigener Abschnitt darueber, was ausdruecklich NICHT
geschuetzt ist.

Aus dem OWASP-Durchgang kamen keine weiteren Funde. Zwei Stellen sahen
danach aus und waren es nicht: Prisma.join() in suche.ts fuegt nur bereits
parametrisierte Fragmente zusammen, und der Suchausschnitt mit den
<mark>-Markern aus ts_headline wird zerlegt und als React-Kinder
gerendert, nicht als HTML - obwohl die Quelle der OCR-Text hochgeladener
Dokumente ist.

Refs #38

.env.example

@@ -15,9 +15,17 @@ DATABASE_URL="postgresql://cockpit:bitte-aendern@localhost:5432/betreuungs_cockp
 # 32 zufaellige Bytes, base64. Erzeugen: npm run schluessel
 AUTH_SECRET=
 # Oeffentliche Basis-URL der Anwendung (ohne abschliessenden Slash).
+# Hinter einem Proxy die Adresse, die im Browser in der Adresszeile steht -
+# nicht die interne. Passkeys pruefen dagegen.
 AUTH_URL=http://localhost:3000
-# Hinter einem Reverse Proxy auf true setzen.
+
-AUTH_TRUST_HOST=true
+# Darf der Host-Kopf der Anfrage die Adresse bestimmen?
+#
+# Solange AUTH_URL gesetzt ist: nein, und die Zeile bleibt weg. Die Adresse
+# ist dann bekannt und muss nicht aus einer Kopfzeile abgeleitet werden, die
+# von aussen kommt. Ein "X-Forwarded-Host: fremde.example" schlaegt sonst in
+# erzeugte Adressen durch.
+# AUTH_TRUST_HOST=true
 
 # --- Erreichbarkeit: HIER MUSST DU DICH ENTSCHEIDEN -------------------------
 #
@@ -73,6 +81,25 @@ LOGIN_MAX_VERSUCHE=5
 LOGIN_FENSTER_SEKUNDEN=900
 LOGIN_SPERRE_SEKUNDEN=900
 
+# Geheimnis fuer die Ersteinrichtung. OHNE DIESEN WERT LAESST SICH DER ERSTE
+# ZUGANG NICHT ANLEGEN - das ist Absicht.
+#
+# Zwischen dem ersten Start und dem Anlegen des Zugangs stand die
+# Einrichtungsseite sonst offen: Wer sie in diesem Fenster findet, wird
+# Administrator. Erzeugen: npm run schluessel
+ERSTEINRICHTUNG_GEHEIMNIS=
+
+# Steht ein Reverse Proxy davor?
+#
+# Nur mit "true" wird "X-Forwarded-For" geglaubt - und dann von HINTEN
+# gelesen, weil der vordere Teil der Liste vom Aufrufer selbst kommt.
+# Ohne diese Zeile zaehlt die Anmeldesperre nur nach E-Mail-Adresse.
+#
+# Der dokumentierte Betrieb (Reverse Proxy davor) braucht sie also:
+VERTRAUE_PROXY=true
+# Bei mehreren gestaffelten Proxys deren Anzahl. Sonst weglassen.
+# VERTRAUE_PROXY_STUFEN=1
+
 # --- Objektspeicher (S3-kompatibel, EU!) ------------------------------------
 # Wird ab Etappe 3 verwendet. Beispiel: Hetzner Object Storage, Falkenstein.
 # ACHTUNG: Mit dem Anbieter muss ein AV-Vertrag nach Art. 28 DSGVO bestehen.

.gitattributes

@@ -0,0 +1,32 @@
+# Zeilenenden
+#
+# Im Repository steht ueberall LF, unabhaengig davon, auf welchem System
+# gearbeitet wird. Der Grund ist nicht Geschmack, sondern eine Falle:
+#
+# Solange Dateien gemischt vorliegen, schreibt jedes zeilenweise
+# arbeitende Werkzeug - sed, ein Formatierer, ein Skript - die Datei mit
+# LF zurueck. Der Diff zeigt dann nicht die drei geaenderten Zeilen,
+# sondern die ganze Datei. Genau das ist passiert: 578 Diff-Zeilen statt
+# 8, kurz vor einem Push bemerkt.
+#
+# Nebenwirkung derselben Mischung: "git diff --check" meldet bei
+# CRLF-Dateien jede hinzugefuegte Zeile als "trailing whitespace", weil
+# es das CR so wertet. Damit ist die Pruefung fuer diese Dateien wertlos.
+* text=auto eol=lf
+
+# Shell-Skripte laufen auf dem Server. Ein CRLF im Shebang macht sie
+# unbrauchbar ("bad interpreter"), und der Fehler ist von aussen nicht
+# anzusehen. Deshalb hier ausdruecklich, nicht nur ueber die Regel oben.
+*.sh text eol=lf
+
+# Binaerdateien nie anfassen.
+*.png binary
+*.jpg binary
+*.jpeg binary
+*.gif binary
+*.ico binary
+*.pdf binary
+*.woff binary
+*.woff2 binary
+*.ttf binary
+*.zip binary

CHANGELOG.md

@@ -26,6 +26,235 @@ Wiederherstellung*.
 
 _Noch nichts._
 
+## [1.11.0] – 2026-08-24
+
+Diese Fassung geht aus einer Sicherheitsprüfung hervor. Sie ändert nichts
+an der Bedienung, schließt aber mehrere Lücken — darunter drei, bei denen
+im Code eine Zusage stand, die so nicht galt.
+
+### Vor dem Update: zwei neue Zeilen in der `.env`
+
+```bash
+ERSTEINRICHTUNG_GEHEIMNIS=<zufälliger Wert, npm run schluessel erzeugt einen>
+VERTRAUE_PROXY=true
+```
+
+Beide sind nicht zwingend, aber beide haben Folgen, wenn sie fehlen:
+
+- Ohne `ERSTEINRICHTUNG_GEHEIMNIS` läuft alles weiter — nur der **erste**
+  Zugang ließe sich nicht mehr anlegen. Auf einer bestehenden Installation
+  ist das genau richtig; bei einer Neuinstallation brauchst du den Wert.
+- Ohne `VERTRAUE_PROXY=true` zählt die Anmeldesperre nur noch nach
+  E-Mail-Adresse, nicht mehr zusätzlich nach Anschluss. Beim ersten Mal
+  steht eine erklärende Zeile im Log.
+
+### Nach dem Update, nur mit Objektspeicher
+
+Bereits abgelegte Dateien liegen weiter unverschlüsselt, bis sie einmal
+umgeschrieben werden. Lesen funktioniert durchgehend, der Lauf lässt sich
+jederzeit abbrechen und wiederholen:
+
+```bash
+npm run speicher:verschluesseln              # erst schauen
+npm run speicher:verschluesseln -- --anwenden
+```
+
+Wer beim Dateitreiber bleibt, muss nichts tun — dort wurde immer schon
+verschlüsselt.
+
+### Behoben
+
+- **Der zweite Faktor war eine Anzeige, keine Grenze.** „TOTP ist Pflicht"
+  galt nur für Seiten. Server Actions und Downloads liefen daran vorbei:
+  Wer sich mit Passwort angemeldet, die Einrichtung aber nie abgeschlossen
+  hatte, kam an die Daten. Die Prüfung sitzt jetzt an der Stelle, durch die
+  alles muss.
+
+- **Ein Dokumenten-Download fragte nur nach der Anmeldung.** Dieselbe
+  Lücke, an einer Stelle, die bei der ersten Durchsicht übersehen wurde.
+
+- **Die Anmeldesperre sperrte dauerhaft aus.** Jeder Versuch während einer
+  laufenden Sperre verlängerte sie um die volle Dauer. Wer alle zehn
+  Minuten ein falsches Passwort an eine fremde Adresse schickte, sperrte
+  deren Inhaber aus — ohne das Passwort zu kennen. Nebenbei wuchs die
+  Tabelle mit jedem Versuch.
+
+- **Ein Code aus der Authenticator-App galt mehrfach.** Bis zu 90 Sekunden
+  lang ließ sich derselbe Code erneut einlösen — abgelesen, abgefangen
+  oder aus dem Browserverlauf. Jetzt gilt jeder genau einmal.
+
+- **Passkeys ließen sich ohne Rückfrage anlegen und entfernen.** An einem
+  unbeaufsichtigten Rechner waren das zwei Klicks zu einem dauerhaften
+  eigenen Zugang, der auch einen Passwortwechsel überlebt hätte. Jetzt
+  fragt die Anwendung vorher nach Passwort und Code — wie beim Export.
+
+- **Die Ersteinrichtung stand offen.** Zwischen dem ersten Start und dem
+  Anlegen des Zugangs konnte jeder, der die Seite fand, Administrator
+  werden. Zwei gleichzeitige Anfragen legten außerdem beide einen Zugang
+  an.
+
+- **Dateien im Objektspeicher lagen mit dem Schlüssel des Anbieters da.**
+  Gegen eine verlorene Festplatte im Rechenzentrum half das, gegen den
+  Anbieter und gegen gestohlene Zugangsdaten zum Speicher nicht. Jetzt
+  liegt derselbe Umschlag darum wie bei der Ablage auf dem eigenen Server,
+  mit einem Schlüssel, der die Anwendung nie verlässt.
+
+- **Ein präpariertes PDF konnte den Server umbringen.** Beim Auslesen des
+  eingebetteten Texts gab es keine Obergrenze: Wenige Kilobyte Füllung
+  blähen sich beim Auspacken auf Gigabyte auf. Ebenso beim Umwandeln in
+  Bilder — die Seitengröße steht im Dokument, und bei fester Auflösung
+  ergab eine künstlich große Seite ein Bild von mehreren Gigabyte.
+
+- **32 Schwachstellen in mitgelieferten Paketen, davon 5 kritische.**
+  Jetzt keine.
+
+### Geändert
+
+- **Downloads laufen jetzt immer über die Anwendung**, auch mit
+  Objektspeicher. Das ist die Folge der Verschlüsselung — entschlüsseln
+  kann nur die Anwendung. Nebeneffekt: Jeder Abruf prüft die Berechtigung
+  und wird protokolliert. Ein weitergeleiteter Link allein öffnet nichts
+  mehr.
+
+- **`docs/SICHERHEIT.md`** ist neu: Bedrohungsmodell, der Durchgang entlang
+  der OWASP Top 10 — und ein Abschnitt darüber, was ausdrücklich **nicht**
+  geschützt ist.
+
+## [1.10.2] – 2026-08-24
+
+### Behoben
+
+- **Das Update brach ohne Meldung ab.** Beim Sprung von 1.5.0 auf 1.10.1
+  endete `scripts/update.sh` mitten in der Ausgabe — kein Fehler, keine
+  Zeile, einfach zurück zur Eingabeaufforderung. Ursache war eine
+  abgeschnittene Leitung:
+
+  ```
+  git log --oneline "HEAD..$ZIEL" | head -15 | sed ...
+  ```
+
+  `head` schließt die Leitung nach 15 Zeilen, `git log` schreibt weiter
+  und bekommt SIGPIPE. Weil das Skript mit `set -o pipefail` und
+  `set -e` läuft, gilt die ganze Kette als gescheitert und das Skript
+  beendet sich — stumm.
+
+  Das ist zeitabhängig und deshalb monatelang nicht aufgefallen: Solange
+  `git log` fertig war, bevor `head` zumachte, ging alles gut. Genau bei
+  1.10.0 lagen zum ersten Mal **mehr als 15 Commits** dazwischen.
+
+- **Dieselbe Falle in der Selbstprüfung der Sicherung.** `sicherung.sh`
+  prüfte mit `openssl … | head -c 5 | grep -q "PGDMP"`, ob sich die
+  frische Sicherung wieder entschlüsseln lässt. Bei kleiner Datenbank
+  ging das gut, weil alles im Puffer stand. Mit wachsender Datenbank
+  hätte es gekippt — und dann hätte das Skript eine **völlig intakte
+  Sicherung als kaputt gemeldet** und das Update verweigert.
+
+### Geändert
+
+- **Ein stummer Abbruch ist nicht mehr möglich.** `update.sh` meldet
+  jetzt bei jedem unerwarteten Ende die Zeilennummer und den Exitcode,
+  und erklärt bei 141 ausdrücklich, dass es sich um SIGPIPE handelt und
+  um einen Fehler im Skript, nicht um einen Bedienfehler.
+- Stehen mehr als 15 Commits an, steht jetzt „… und N weitere" darunter,
+  statt sie wortlos wegzulassen.
+
+### Geprüft
+
+- Ein Test verbietet das Muster künftig in allen Betriebsskripten:
+  Wer wieder `| head` in eine Leitung schreibt, bekommt die Zeilennummer
+  genannt. Gegenprobe gemacht — der Test schlägt an.
+- Der Ablauf von 1.5.0 auf 1.10.1 einmal nachgestellt: läuft durch.
+
+## [1.10.1] – 2026-08-23
+
+### Geändert
+
+- **Der Beispielfall hat jetzt ein Jahr Kontobewegungen**
+  ([#22](https://git.wilde-server.de/florian.wilde/betreuungs-cockpit/issues/22)).
+  Bisher brachte er Konten und Kontostände mit, aber keine einzige
+  Buchung — Kassenbuch, Belegpflicht, Dauerzahlungen und die Erkennung
+  wiederkehrender Zahlungen liefen darin also leer. Wer die Anwendung zum
+  ersten Mal ansah, musste erst eine CSV importieren.
+
+  Neu sind 107 Buchungen über zwölf Monate: Rente, Betriebsrente und
+  Pflegekasse als Einnahmen, Heimentgelt, Barbetrag, Sterbegeldbeitrag,
+  Telefon und Kontoführung als monatliche Ausgaben, dazu Rundfunkbeitrag
+  und Grundsteuer vierteljährlich sowie eine Handvoll Einzelposten.
+
+  Das betrifft nur neue Installationen mit `SEED_DEMO=true` — an einem
+  bestehenden Bestand ändert sich nichts.
+
+### Behoben
+
+- **„gGmbH" wurde nicht als Rechtsform erkannt.** Beim Zusammenfassen
+  wiederkehrender Zahlungen galten „Seniorenzentrum St. Katharina" und
+  „Seniorenzentrum St. Katharina gGmbH" als zwei verschiedene Empfänger —
+  und damit zerfiel die Gruppe genau dort, wo sie am meisten zählt: Heime,
+  Sozialdienste und Träger sind fast durchweg gGmbH.
+
+### Was der Beispielfall jetzt zeigt
+
+- Das Heimentgelt steht in **drei Schreibweisen** auf dem Auszug und wird
+  trotzdem als eine monatliche Zahlung von 2.489 € geführt.
+- Genau **eine** Buchung hat weder Quittung noch Begründung — damit die
+  Belegpflicht etwas zu zeigen hat, aber die Liste nicht rot leuchtet.
+- Die Sterbegeld-Lastschriften sind bewusst **nicht** zugeordnet: So lässt
+  sich der Handgriff „zwölf Zahlungen als belegt zuordnen" ausprobieren.
+  Der Beitrag steigt im Mai von 18,40 € auf 19,80 €, damit auch die
+  Abweichungsprüfung sichtbar wird.
+- Der Kontostand zum 31.07.2026 wird aus dem Anfangsstand und den
+  Buchungen **gerechnet**, nicht behauptet. Ein Beispielfall, der sich
+  selbst widerspricht, wäre schlimmer als einer ohne Buchungen.
+
+### Geprüft
+
+- Ein Einheitstest für die gGmbH-Erkennung.
+- Vier End-to-End-Tests am Beispielfall: Umfang und Zeitraum der
+  Buchungen, die Übereinstimmung von Kontostand und Buchungssumme, die
+  erkannten Zahlungsgruppen und das Kassenbuch.
+
+## [1.10.0] – 2026-08-23
+
+### Hinzugefügt
+
+- **Deine Anschrift steht jetzt in jedem Schreiben**
+  ([#21](https://git.wilde-server.de/florian.wilde/betreuungs-cockpit/issues/21)).
+  Bisher ging jeder Brief ohne Rücksendeadresse hinaus — im
+  Absenderblock stand nur dein Name, und in der Datumszeile fehlte der
+  Ort. Bei einer Versicherung oder Behörde wirkt das unseriös und macht
+  es der Gegenstelle unnötig schwer zu antworten.
+
+  Unter **Mein Konto → Meine Anschrift** einmal Straße, PLZ und Ort
+  hinterlegen. Ab da stehen sie im Absenderblock jedes erzeugten
+  Schreibens, und die Datumszeile lautet „Bayreuth, den 23.08.2026".
+  Betroffen ist alles: Rückkaufswert-Anfrage, Serienabfrage, Kündigung,
+  Sachstandsanfrage und die eigenen Vorlagen.
+
+- **Zwei neue Platzhalter** für eigene Vorlagen: `{{betreuer_anschrift}}`
+  und `{{betreuer_ort}}`.
+
+### Eine Zusage
+
+**Was fehlt, bleibt weg.** Jede der drei Angaben ist einzeln freiwillig.
+Hinterlegst du nur den Ort, bekommst du die Datumszeile mit Ort und einen
+Absenderblock, der weiterhin nur aus deinem Namen besteht — keine leeren
+Zeilen, kein Komma ohne Ort. Eine halb ausgefüllte Adresse sieht nach
+Fehler aus, ein bloßer Name nach Absicht.
+
+### Datenbank
+
+Eine Migration: drei Felder am Benutzer. Die Anschrift hängt an dir und
+nicht an der betreuten Person — sie gilt für alle Akten.
+
+### Geprüft
+
+- Sieben Einheitstests für den Absenderblock, darunter jede
+  Teilbefüllung und die Gegenprobe, dass nie die Heimadresse der
+  betreuten Person im Absender landet.
+- Vier End-to-End-Tests: der Brief ohne hinterlegte Anschrift, das
+  Speichern unter *Mein Konto*, der Brief danach und die Gegenprobe am
+  Rückkaufswert-Schreiben.
+
 ## [1.9.0] – 2026-08-23
 
 ### Hinzugefügt
@@ -1036,7 +1265,11 @@ Was davon wann angegangen wird, steht in [`docs/ROADMAP.md`](docs/ROADMAP.md).
 
 ---
 
-[Unveröffentlicht]: https://git.wilde-server.de/florian.wilde/betreuungs-cockpit/compare/v1.9.0...HEAD
+[Unveröffentlicht]: https://git.wilde-server.de/florian.wilde/betreuungs-cockpit/compare/v1.11.0...HEAD
+[1.11.0]: https://git.wilde-server.de/florian.wilde/betreuungs-cockpit/compare/v1.10.2...v1.11.0
+[1.10.2]: https://git.wilde-server.de/florian.wilde/betreuungs-cockpit/compare/v1.10.1...v1.10.2
+[1.10.1]: https://git.wilde-server.de/florian.wilde/betreuungs-cockpit/compare/v1.10.0...v1.10.1
+[1.10.0]: https://git.wilde-server.de/florian.wilde/betreuungs-cockpit/compare/v1.9.0...v1.10.0
 [1.9.0]: https://git.wilde-server.de/florian.wilde/betreuungs-cockpit/compare/v1.8.0...v1.9.0
 [1.8.0]: https://git.wilde-server.de/florian.wilde/betreuungs-cockpit/compare/v1.7.0...v1.8.0
 [1.7.0]: https://git.wilde-server.de/florian.wilde/betreuungs-cockpit/compare/v1.6.0...v1.7.0

README.md

@@ -97,11 +97,12 @@ DATABASE_URL="postgresql://cockpit:entwicklung@localhost:5433/betreuungs_cockpit
 **3. Datenbank einrichten:**
 
 ```bash
-npx prisma migrate dev --name fundament
+npm run setup             # Migrationen, Volltextsuche, Audit-Schutz, Beispieldaten
-npm run db:sql            # Volltextsuche und Audit-Schutz
-npm run db:seed
 ```
 
+Das ist die Kurzform für `db:deploy`, `db:sql` und `db:seed` — die drei
+Schritte laufen ohne Rückfrage durch.
+
 **4. Starten:**
 
 ```bash
@@ -513,6 +514,35 @@ npm run protokoll        # Bauprotokoll aus der Git-Historie
 npm run version -- patch # Version anheben, Changelog vorbereiten
 ```
 
+### Die Datenbankbefehle
+
+Welcher Befehl wofür — und welcher am Terminal Rückfragen stellt. Nur
+`db:migrate` ist interaktiv; alle anderen laufen in Skripten, in der CI
+und im Container durch.
+
+| Befehl | Wofür | Rückfragen? |
+|---|---|---|
+| `npm run setup` | Ersteinrichtung: Migrationen, SQL-Skripte, Beispieldaten | nein |
+| `npm run db:migration -- <name>` | Schemaänderung während der Entwicklung — erzeugt die Migration und nimmt die `DROP INDEX`-Zeilen zur Volltextsuche heraus | nein |
+| `npm run db:deploy` | Vorhandene Migrationen anwenden (Server, CI, Container) | nein |
+| `npm run db:migrate` | `prisma migrate dev` — fragt nach dem Namen und bietet an, die Datenbank zurückzusetzen | **ja** |
+| `npm run db:sql` | Volltextsuche und Audit-Schutz; läuft nicht mit den Migrationen mit | nein |
+| `npm run db:pruefen` | Nachsehen, ob die Trigramm-Indizes noch stehen | nein |
+| `npm run db:seed` | Beispieldaten einspielen | nein |
+
+Der übliche Weg für eine Schemaänderung:
+
+```bash
+# Schema in prisma/schema.prisma ändern, dann
+npm run db:migration -- ansprechpartner   # erzeugen und lesen
+npm run db:deploy                          # anwenden
+npm run db:pruefen                         # Indizes nachsehen
+```
+
+`db:migrate` braucht man dafür nicht mehr. Es bleibt für die Fälle, in
+denen man wirklich den interaktiven Prisma-Ablauf will — etwa um eine
+verkorkste Entwicklungsdatenbank zurückzusetzen.
+
 Konventionen — verbindlich für alle Beiträge:
 [`docs/KONVENTIONEN.md`](docs/KONVENTIONEN.md).
 Schnittstellen zwischen den Modulen:
@@ -545,7 +575,8 @@ Produktion.
   über den Abschnitt `environment:`.
 - Beim ersten Start eines Containers laufen die Migrationen automatisch
   mit. Die beiden SQL-Skripte (Volltextsuche, Audit-Schutz) sind
-  **einmalig von Hand** anzustoßen, siehe oben.
+  **einmalig von Hand** anzustoßen, siehe oben. Beim Aktualisieren
+  erledigt das `scripts/update.sh` mit — beide Skripte sind idempotent.
 
 ### Technische Grundlage
 

docs/INSTALLATION.md

@@ -131,14 +131,14 @@ cd /opt/betreuungs-cockpit
 
 # Auf die letzte veröffentlichte Fassung wechseln,
 # nicht auf den laufenden Entwicklungsstand
-git checkout v1.9.0
+git checkout v1.10.2
 ```
 
 ### Kontrolle
 
 ```bash
 ls docker-compose.yml Dockerfile .env.example   # alle drei da
-git describe --tags                              # v1.9.0
+git describe --tags                              # v1.10.2
 ```
 
 ---
@@ -156,6 +156,7 @@ const w = n => b(n).replace(/[+/=]/g,'x');
 console.log('AUTH_SECRET=' + b(32));
 console.log('ENC_KEY_V1=' + b(32));
 console.log('INDEX_KEY=' + b(32));
+console.log('ERSTEINRICHTUNG_GEHEIMNIS=' + w(24));
 console.log('POSTGRES_PASSWORD=' + w(24));
 console.log('SICHERUNG_PASSWORT=' + w(24));
 console.log('S3_ACCESS_KEY_ID=' + w(12));
@@ -192,7 +193,15 @@ POSTGRES_PASSWORD=<aus Schritt 2>
 # --- Anmeldung ---
 AUTH_SECRET=<aus Schritt 2>
 AUTH_URL=https://cockpit.deine-domain.de      # exakt deine Adresse, mit https
-AUTH_TRUST_HOST=true
+
+# Ohne diesen Wert laesst sich der erste Zugang nicht anlegen. Absicht:
+# sonst steht die Einrichtungsseite bis zum ersten Anlegen fuer jeden offen.
+ERSTEINRICHTUNG_GEHEIMNIS=<aus Schritt 2>
+
+# Ein Reverse Proxy steht davor (Schritt 7). Nur damit wird der
+# weitergereichte Kopf geglaubt, aus dem die Anmeldesperre den Anschluss
+# liest. Ohne die Zeile zaehlt sie nur nach E-Mail-Adresse.
+VERTRAUE_PROXY=true
 
 # --- Verschlüsselung ---
 ENC_KEY_V1=<aus Schritt 2>
@@ -258,12 +267,16 @@ chmod 600 .env
 
 ```bash
 # Sind alle Pflichtwerte gefüllt? Zeigt nur die Namen, nicht die Werte.
-grep -E '^(POSTGRES_PASSWORD|AUTH_SECRET|AUTH_URL|ENC_KEY_V1|INDEX_KEY|S3_ACCESS_KEY_ID|S3_SECRET_ACCESS_KEY|SICHERUNG_PASSWORT)=.+' .env \
+grep -E '^(POSTGRES_PASSWORD|AUTH_SECRET|AUTH_URL|ERSTEINRICHTUNG_GEHEIMNIS|VERTRAUE_PROXY|ENC_KEY_V1|INDEX_KEY|S3_ACCESS_KEY_ID|S3_SECRET_ACCESS_KEY|SICHERUNG_PASSWORT)=.+' .env \
   | sed 's/=.*/ = gesetzt/'
 ```
 
-Acht Zeilen müssen erscheinen. Fehlt eine, startet die Anwendung nicht —
+Zehn Zeilen müssen erscheinen. Fehlt eine, startet die Anwendung nicht —
-und sagt dir beim Start auch, welche.
+und sagt dir beim Start auch, welche. Zwei Ausnahmen: Fehlt
+`ERSTEINRICHTUNG_GEHEIMNIS`, startet die Anwendung, aber der erste Zugang
+lässt sich nicht anlegen. Fehlt `VERTRAUE_PROXY`, läuft alles — die
+Anmeldesperre zählt dann nur nach E-Mail-Adresse und schreibt beim ersten
+Mal eine Zeile ins Log.
 
 ---
 
@@ -299,7 +312,7 @@ betreuungs-cockpit-sicherung-1  Up
 ```bash
 # Antwortet die Anwendung? (Port anpassen, falls du APP_PORT gesetzt hast)
 curl -s http://127.0.0.1:3000/api/gesundheit
-# {"status":"bereit","version":"1.9.0","commit":"..."}
+# {"status":"bereit","version":"1.10.2","commit":"..."}
 ```
 
 Kommt hier nichts, sieh in die Logs:
@@ -649,7 +662,7 @@ Erst **vom Proxy-Server aus** — kommt er überhaupt an?
 
 ```bash
 curl -s http://10.0.0.5:3000/api/gesundheit
-# {"status":"bereit","version":"1.9.0",...}
+# {"status":"bereit","version":"1.10.2",...}
 ```
 
 Kommt hier nichts, liegt es an 7a: falsche `APP_BIND`, Firewall, oder der
@@ -700,7 +713,7 @@ Zum Schluss: **Fristen → Pflichtfristen ableiten**.
 - Du kommst mit E-Mail, Passwort und dem Code aus der App herein.
 - Unter **Fristen** stehen Einträge mit Paragraphenbezug.
 - Unter **Protokoll** siehst du deine eigene Anmeldung.
-- Unten links in der Seitenleiste steht `Version 1.9.0 · <commit>`.
+- Unten links in der Seitenleiste steht `Version 1.10.2 · <commit>`.
 
 ---
 
@@ -875,7 +888,7 @@ alles so vor wie zuvor.
 | Aufruf | Wirkung |
 |---|---|
 | `./scripts/update.sh` | auf die neueste veröffentlichte Fassung |
-| `./scripts/update.sh v1.9.0` | auf eine bestimmte Fassung |
+| `./scripts/update.sh v1.10.2` | auf eine bestimmte Fassung |
 | `./scripts/update.sh --pruefen` | nur nachsehen, nichts ändern |
 | `./scripts/update.sh --ja` | ohne Rückfrage (für cron) |
 | `./scripts/update.sh --verwerfen` | eigene Änderungen wegwerfen statt beiseitelegen |
@@ -913,7 +926,7 @@ git fetch --tags
 git log --oneline HEAD..origin/main
 
 # 3. Umschalten
-git checkout v1.9.0
+git checkout v1.10.2
 
 # 4. Neu bauen und starten
 GIT_COMMIT=$(git rev-parse --short HEAD) BUILD_ZEIT=$(date -Iseconds) docker compose up -d --build

docs/ROADMAP.md

@@ -9,7 +9,7 @@ Zeit spart. Er steht weit unten, wenn er nur schön wäre.
 Diese Datei ist eine Absichtserklärung, kein Vertrag. Was sich im Betrieb
 als wichtiger herausstellt, rutscht nach oben.
 
-Stand: 23.08.2026 · Aktuelle Fassung: **1.9.0** ([CHANGELOG](../CHANGELOG.md))
+Stand: 23.08.2026 · Aktuelle Fassung: **1.10.2** ([CHANGELOG](../CHANGELOG.md))
 
 ---
 

docs/SICHERHEIT.md

@@ -0,0 +1,168 @@
+# Sicherheit
+
+Was in dieser Anwendung gegen welche Bedrohung steht — und was
+ausdrücklich **nicht**. Der zweite Teil ist der wichtigere: Eine Zusage,
+die nicht gilt, ist gefährlicher als eine fehlende, weil man sich auf sie
+verlässt.
+
+Stand: v1.11.0. Die Fassung entstand beim Abarbeiten von Issue #38
+(Sicherheitsprüfung durch ein zweites Modell) und dem eigenen Durchgang
+entlang der OWASP Top 10 (2021).
+
+---
+
+## Das Bedrohungsmodell
+
+Eine ehrenamtliche rechtliche Betreuung. Ein Benutzer, eine betreute
+Person, ein kleiner Server hinter einem Reverse Proxy. In der Datenbank
+liegen Gesundheitsdaten (Art. 9 DSGVO), Kontobewegungen und
+Vermögensverzeichnisse.
+
+Nach Wahrscheinlichkeit geordnet:
+
+| Was | Wie wahrscheinlich | Was dagegen steht |
+|---|---|---|
+| Offene Sitzung an einem unbeaufsichtigten Rechner | hoch | Abmeldung nach 30 min Leerlauf; erneute Bestätigung vor Export, Löschen, Benutzer- und Passkey-Verwaltung |
+| Verlorenes oder gestohlenes Gerät | mittel | Zweiter Faktor ist Pflicht; Passkeys verlangen Nutzerverifikation |
+| Kopiertes Backup, falsch gerechtetes Verzeichnis | mittel | Feldverschlüsselung (AES-256-GCM), Dateien im Umschlag, Schlüssel nur in der Umgebung |
+| Zugangsdaten zum Objektspeicher abhandengekommen | mittel | Objekte liegen verschlüsselt, an ihren Ablageort gebunden |
+| Raten von Passwörtern über das Formular | mittel | Anmeldesperre nach E-Mail **und** Anschluss, Argon2id |
+| Einbruch in den Server selbst | gering | Kaum etwas — wer dort Wurzelrechte hat, hat die Schlüssel |
+
+Der letzte Punkt ist keine Nachlässigkeit, sondern eine Grenze: Die
+Anwendung braucht die Schlüssel zur Laufzeit. Wer den Prozess kontrolliert,
+kommt an sie heran. Dagegen hilft Betriebssicherheit, kein Anwendungscode.
+
+---
+
+## Was ausdrücklich nicht geschützt ist
+
+- **Der Server selbst.** Siehe oben.
+- **Metadaten in der Datenbank.** Verschlüsselt sind einzelne Felder —
+  Diagnosen, IBANs, Verwendungszwecke, Notizen. Dass es einen Vorgang
+  „Betreuungsgericht" gibt und wann er angelegt wurde, steht im Klartext.
+  Sonst ließe sich nichts mehr sortieren oder filtern.
+- **Symlinks im Ablageverzeichnis.** `resolve()` folgt keinen Links. Wer
+  dort einen anlegen kann, hat bereits Schreibrechte im Datenverzeichnis —
+  dann ist der Umweg über einen Link die geringste Sorge. Bis v1.10.2 stand
+  im Code das Gegenteil; der Satz ist entfernt.
+- **Die Middleware prüft keine Anmeldung.** Sie setzt Kopfzeilen, mehr
+  nicht. Der Zugriffsschutz sitzt in `src/lib/auth/sitzung.ts`, und nur
+  dort. Bis v1.10.2 behauptete ein Kommentar das Gegenteil.
+- **Verfügbarkeit.** Es gibt keinen Schutz gegen jemanden, der den Server
+  mit Anfragen überzieht. Bei einem Nutzer hinter einem Proxy ist das die
+  Aufgabe des Proxys.
+
+---
+
+## Der Durchgang entlang der OWASP Top 10 (2021)
+
+### A01 Broken Access Control
+
+Jede Server Action und jede Seite geht durch `erfordereZugang()`, das
+zeilenweise gegen die `betreuteId` prüft — nie nur im UI ausgeblendet.
+Fremdschlüssel aus Formularen werden über `src/lib/auth/verweise.ts`
+geprüft; ein verändertes Auswahlfeld kann keine fremde Akte verknüpfen
+(e2e-Test `fremdakte.spec.ts`).
+
+Weiterleitungsziele laufen durch `sicheresZiel()` — kein offener Redirect.
+
+**Behoben in dieser Runde:** Die MFA-Pflicht galt nur für Seiten, nicht
+für Server Actions und Route Handler. Sie steckt jetzt in
+`erfordereBenutzer()` selbst. `tests/mfa-grenze.test.ts` liest den
+Quelltext und schlägt an, sobald eine weitere Umgehung dazukommt.
+
+### A02 Cryptographic Failures
+
+- Felder: AES-256-GCM, Umschlag `bc1.<version>.<iv>.<tag>.<ct>`, Feldname
+  als Zusatzdaten — ein Geheimtext lässt sich nicht von einem Feld in ein
+  anderes kopieren.
+- Dateien: AES-256-GCM, Umschlag `BCD1`, seit v1.11.0 **beide** Treiber,
+  mit dem Ablageschlüssel als Zusatzdaten.
+- Passwörter: Argon2id, Parameter im Hash, Nachziehen beim Anmelden.
+- Schlüsselrotation über `ENC_KEY_V<n>` / `ENC_KEY_AKTIV`; alte Schlüssel
+  bleiben zum Entschlüsseln stehen.
+- Alle Geheimnisvergleiche laufen über `timingSafeEqual` — geprüft für
+  Reauth-Cookie, Zugriffstoken, ICS-Signatur, Wartungsschlüssel und das
+  Einrichtungsgeheimnis.
+
+**Behoben in dieser Runde:** Der Objektspeicher verließ sich auf
+`ServerSideEncryption: 'AES256'` — den Schlüssel des Anbieters.
+
+### A03 Injection
+
+Prisma parametrisiert. Die fünf Rohabfragen benutzen ausnahmslos
+`Prisma.sql`-Templates; `Prisma.join()` in `suche.ts` fügt nur bereits
+parametrisierte Fragmente zusammen und ist damit unbedenklich.
+
+Zu XSS: `ts_headline` liefert `<mark>`-Marker im Suchausschnitt, und die
+Quelle ist der OCR-Text hochgeladener Dokumente. Gerendert wird er in
+`dokument-liste.tsx` aber nicht als HTML, sondern zerlegt und als React-
+Kinder ausgegeben — also escaped. Das einzige
+`dangerouslySetInnerHTML` der Anwendung setzt eine feste Konstante für die
+Themenumschaltung. **Kein Fund.**
+
+### A04 Insecure Design
+
+Erneute Bestätigung vor den folgenschweren Handlungen. Anmeldesperre nach
+zwei Dimensionen. Löschen ist ein Papierkorb mit 30 Tagen Frist.
+
+**Behoben in dieser Runde:** Passkeys ließen sich ohne erneute
+Bestätigung anlegen und entfernen — ein Passkey ist ein vollwertiger
+Zugang, der einen Passwortwechsel überlebt.
+
+### A05 Security Misconfiguration
+
+CSP mit Nonce pro Anfrage und `strict-dynamic` im Produktivbetrieb; dazu
+`X-Content-Type-Options`, `X-Frame-Options: DENY`, `Referrer-Policy:
+no-referrer`, `Permissions-Policy`, HSTS mit zwei Jahren.
+`poweredByHeader` aus.
+
+**Behoben in dieser Runde:** `trustHost` stand fest auf `true`, obwohl
+`AUTH_URL` gesetzt ist. `X-Forwarded-For` wurde ohne Proxy geglaubt und
+aus dem falschen Ende gelesen.
+
+### A06 Vulnerable and Outdated Components
+
+`npm audit`: 0 Schwachstellen (vorher 32, davon 5 kritisch).
+
+### A07 Identification and Authentication Failures
+
+Passwort + TOTP in einem Schritt, kein Zwischenzustand. Passkeys mit
+erzwungener Nutzerverifikation zählen als zwei Faktoren.
+`sitzungsGeneration` macht alle Sitzungen auf einen Schlag ungültig.
+Antwortzeiten sind angeglichen, damit sich keine E-Mail-Adressen abfragen
+lassen.
+
+**Behoben in dieser Runde:** TOTP-Codes galten mehrfach; die Anmeldesperre
+verlängerte sich selbst; die Ersteinrichtung stand offen und war nicht
+atomar.
+
+### A08 Software and Data Integrity Failures
+
+Zu jedem abgelegten Dokument steht eine SHA-256-Prüfsumme über den
+Klartext in der Datenbank — der Nachweis der Unverändertheit gegenüber dem
+Gericht. Der Umschlag ist authentifiziert (GCM), Veränderungen fallen beim
+Lesen auf.
+
+### A09 Security Logging and Monitoring Failures
+
+`AuditLog` hält Anmeldungen, Fehlversuche, Exporte, Löschungen und
+Passkey-Änderungen fest. Anmeldeversuche stehen zusätzlich in
+`login_versuch` und werden nach 30 Tagen aufgeräumt.
+
+**Behoben in dieser Runde:** Während einer Sperre entstand pro Anfrage
+eine Zeile — die Tabelle ließ sich vollschreiben. Jetzt eine je Sperre.
+
+### A10 Server-Side Request Forgery
+
+Die Anwendung ruft nichts von außen ab: kein `fetch`, keine
+HTTP-Bibliothek, keine Webhooks, keine URL-Vorschauen. Ausgehend geht nur
+SMTP an den konfigurierten Server. **Keine Angriffsfläche.**
+
+---
+
+## Wenn etwas gefunden wird
+
+Kein öffentliches Issue. Der Weg führt über das Dashboard; dort wird
+entschieden, ob und wie es hier landet.

docs/schema-wuensche/dokumente.md

@@ -1,187 +1,187 @@
-# Schema-Wünsche aus Etappe 3 „Papier“
+# Schema-Wünsche aus Etappe 3 „Papier“
-
+
-Gesammelt beim Bau der Dokumentenakte. `prisma/schema.prisma` wurde
+Gesammelt beim Bau der Dokumentenakte. `prisma/schema.prisma` wurde
-absprachegemäß **nicht** angefasst; alles hier ist umgangen worden und
+absprachegemäß **nicht** angefasst; alles hier ist umgangen worden und
-funktioniert, wäre aber sauberer, wenn es im Modell stünde.
+funktioniert, wäre aber sauberer, wenn es im Modell stünde.
-
+
-Reihenfolge: was am meisten weh tut, steht oben.
+Reihenfolge: was am meisten weh tut, steht oben.
-
+
----
+---
-
+
-## 1. `DokumentVerknuepfung`: genau eine Zielspalte — nur in der Anwendung erzwungen
+## 1. `DokumentVerknuepfung`: genau eine Zielspalte — nur in der Anwendung erzwungen
-
+
-**Stand:** Zwölf nullbare Fremdschlüsselspalten. Der Kommentar im Schema sagt
+**Stand:** Zwölf nullbare Fremdschlüsselspalten. Der Kommentar im Schema sagt
-„Die Anwendung stellt sicher, dass genau eine Ziel-Spalte gesetzt ist“ — genau
+„Die Anwendung stellt sicher, dass genau eine Ziel-Spalte gesetzt ist“ — genau
-so ist es umgesetzt (`ZIEL_SPALTE` in `src/lib/validierung/dokumente.ts`,
+so ist es umgesetzt (`ZIEL_SPALTE` in `src/lib/validierung/dokumente.ts`,
-Prüfung in `dokumentVerknuepfen`).
+Prüfung in `dokumentVerknuepfen`).
-
+
-**Wunsch:** Ein CHECK-Constraint in der Datenbank, damit auch ein Skript, ein
+**Wunsch:** Ein CHECK-Constraint in der Datenbank, damit auch ein Skript, ein
-Seed oder ein späterer Import das nicht verletzen kann:
+Seed oder ein späterer Import das nicht verletzen kann:
-
+
-```sql
+```sql
-ALTER TABLE dokument_verknuepfung ADD CONSTRAINT genau_ein_ziel CHECK (
+ALTER TABLE dokument_verknuepfung ADD CONSTRAINT genau_ein_ziel CHECK (
-  (("vorgangId" IS NOT NULL)::int + ("fristId" IS NOT NULL)::int
+  (("vorgangId" IS NOT NULL)::int + ("fristId" IS NOT NULL)::int
-   + ("buchungId" IS NOT NULL)::int + ("vermoegenspostenId" IS NOT NULL)::int
+   + ("buchungId" IS NOT NULL)::int + ("vermoegenspostenId" IS NOT NULL)::int
-   + ("immobilieId" IS NOT NULL)::int + ("vertragId" IS NOT NULL)::int
+   + ("immobilieId" IS NOT NULL)::int + ("vertragId" IS NOT NULL)::int
-   + ("kontaktprotokollId" IS NOT NULL)::int + ("gesundheitsereignisId" IS NOT NULL)::int
+   + ("kontaktprotokollId" IS NOT NULL)::int + ("gesundheitsereignisId" IS NOT NULL)::int
-   + ("genehmigungId" IS NOT NULL)::int + ("nachforderungId" IS NOT NULL)::int
+   + ("genehmigungId" IS NOT NULL)::int + ("nachforderungId" IS NOT NULL)::int
-   + ("bescheidId" IS NOT NULL)::int + ("kontaktId" IS NOT NULL)::int) = 1
+   + ("bescheidId" IS NOT NULL)::int + ("kontaktId" IS NOT NULL)::int) = 1
-);
+);
-```
+```
-
+
-Ließe sich als eigenes SQL-Skript neben `volltextsuche.sql` legen, ohne das
+Ließe sich als eigenes SQL-Skript neben `volltextsuche.sql` legen, ohne das
-Prisma-Schema zu ändern. **Warum wichtig:** Eine Akte, in der eine Verknüpfung
+Prisma-Schema zu ändern. **Warum wichtig:** Eine Akte, in der eine Verknüpfung
-auf zwei Dinge gleichzeitig zeigt, ist gegenüber dem Gericht nicht mehr
+auf zwei Dinge gleichzeitig zeigt, ist gegenüber dem Gericht nicht mehr
-erklärbar.
+erklärbar.
-
+
-**Zusätzlich:** Es fehlt eine Eindeutigkeit je Paar. Doppelte Verknüpfungen
+**Zusätzlich:** Es fehlt eine Eindeutigkeit je Paar. Doppelte Verknüpfungen
-werden derzeit vor dem Anlegen abgefragt (`findFirst`) — ein Race zwischen zwei
+werden derzeit vor dem Anlegen abgefragt (`findFirst`) — ein Race zwischen zwei
-Klicks kann sie trotzdem erzeugen. Ein partieller Unique-Index je Zielspalte,
+Klicks kann sie trotzdem erzeugen. Ein partieller Unique-Index je Zielspalte,
-z. B. `CREATE UNIQUE INDEX ... ON dokument_verknuepfung ("dokumentId", "vorgangId")
+z. B. `CREATE UNIQUE INDEX ... ON dokument_verknuepfung ("dokumentId", "vorgangId")
-WHERE "vorgangId" IS NOT NULL;`, würde das schließen.
+WHERE "vorgangId" IS NOT NULL;`, würde das schließen.
-
+
----
+---
-
+
-## 2. `Dokument.ocrStatus` ist ein freier String
+## 2. `Dokument.ocrStatus` ist ein freier String
-
+
-**Stand:** `ocrStatus String?` mit dem Kommentar
+**Stand:** `ocrStatus String?` mit dem Kommentar
-`"ausstehend" | "laeuft" | "fertig" | "fehlgeschlagen" | "nicht_verfuegbar"`.
+`"ausstehend" | "laeuft" | "fertig" | "fehlgeschlagen" | "nicht_verfuegbar"`.
-
+
-**Wunsch:** Ein Enum `OcrStatus` mit genau diesen fünf Werten. Der Vertrag in
+**Wunsch:** Ein Enum `OcrStatus` mit genau diesen fünf Werten. Der Vertrag in
-`docs/SCHNITTSTELLEN.md` Abschnitt 3 gibt sie ohnehin vor, und die Oberfläche
+`docs/SCHNITTSTELLEN.md` Abschnitt 3 gibt sie ohnehin vor, und die Oberfläche
-(`OcrAbzeichen`) schaltet darauf. Ein Tippfehler beim Zurückschreiben fällt
+(`OcrAbzeichen`) schaltet darauf. Ein Tippfehler beim Zurückschreiben fällt
-heute erst auf, wenn das Abzeichen leer bleibt.
+heute erst auf, wenn das Abzeichen leer bleibt.
-
+
----
+---
-
+
-## 3. Kein Index auf `Dokument.objektSchluessel`
+## 3. Kein Index auf `Dokument.objektSchluessel`
-
+
-**Stand:** Die Ausliefer-Route `/api/dokumente/datei/[signatur]` sucht das
+**Stand:** Die Ausliefer-Route `/api/dokumente/datei/[signatur]` sucht das
-Dokument über `objektSchluessel`, um Anzeigename und Protokolleintrag zu
+Dokument über `objektSchluessel`, um Anzeigename und Protokolleintrag zu
-bekommen. Ohne Index ist das ein Seq-Scan bei jedem Dateiabruf.
+bekommen. Ohne Index ist das ein Seq-Scan bei jedem Dateiabruf.
-
+
-**Wunsch:** `@@unique([objektSchluessel])` (der Schlüssel ist eine UUID, also
+**Wunsch:** `@@unique([objektSchluessel])` (der Schlüssel ist eine UUID, also
-ohnehin eindeutig) oder mindestens `@@index([objektSchluessel])`.
+ohnehin eindeutig) oder mindestens `@@index([objektSchluessel])`.
-
+
----
+---
-
+
-## 4. Keine Dublettenerkennung über die Prüfsumme
+## 4. Keine Dublettenerkennung über die Prüfsumme
-
+
-**Stand:** `pruefsumme String?` (SHA-256, wird beim Ablegen gefüllt). Wer
+**Stand:** `pruefsumme String?` (SHA-256, wird beim Ablegen gefüllt). Wer
-denselben Bescheid zweimal fotografiert, bekommt zwei Datensätze.
+denselben Bescheid zweimal fotografiert, bekommt zwei Datensätze.
-
+
-**Wunsch:** `@@index([betreuteId, pruefsumme])`. Dann ließe sich beim Upload
+**Wunsch:** `@@index([betreuteId, pruefsumme])`. Dann ließe sich beim Upload
-sagen „dieses Blatt liegt schon in der Akte, angelegt am 12.03.2026“ — ohne den
+sagen „dieses Blatt liegt schon in der Akte, angelegt am 12.03.2026“ — ohne den
-zweiten Upload zu verbieten (manchmal ist die zweite Kopie gewollt).
+zweiten Upload zu verbieten (manchmal ist die zweite Kopie gewollt).
-
+
----
+---
-
+
-## 5. `Nachforderung` und `Bescheid` tragen keine `betreuteId`
+## 5. `Nachforderung` und `Bescheid` tragen keine `betreuteId`
-
+
-**Stand:** Beide hängen nur am `SozialhilfeAntrag`. Die Zugriffsprüfung beim
+**Stand:** Beide hängen nur am `SozialhilfeAntrag`. Die Zugriffsprüfung beim
-Verknüpfen muss deshalb über die Beziehung gehen
+Verknüpfen muss deshalb über die Beziehung gehen
-(`where: { id, antrag: { betreuteId } }`, siehe `zielGehoertZurAkte`).
+(`where: { id, antrag: { betreuteId } }`, siehe `zielGehoertZurAkte`).
-
+
-**Wunsch:** Eine denormalisierte `betreuteId` wie bei allen anderen
+**Wunsch:** Eine denormalisierte `betreuteId` wie bei allen anderen
-Fachentitäten. Die Konvention „jede Abfrage ist auf `betreuteId` eingegrenzt“
+Fachentitäten. Die Konvention „jede Abfrage ist auf `betreuteId` eingegrenzt“
-ist sonst an genau diesen zwei Stellen nicht wörtlich einhaltbar — und
+ist sonst an genau diesen zwei Stellen nicht wörtlich einhaltbar — und
-Ausnahmen von einer Sicherheitsregel sind die Stellen, an denen später Fehler
+Ausnahmen von einer Sicherheitsregel sind die Stellen, an denen später Fehler
-passieren.
+passieren.
-
+
----
+---
-
+
-## 6. Seitenzahl und OCR-Lauf ohne Zeitstempel
+## 6. Seitenzahl und OCR-Lauf ohne Zeitstempel
-
+
-**Stand:** `seitenzahl Int?` wird von der Texterkennung nachgetragen. Wann ein
+**Stand:** `seitenzahl Int?` wird von der Texterkennung nachgetragen. Wann ein
-OCR-Lauf zuletzt versucht wurde, steht nirgends.
+OCR-Lauf zuletzt versucht wurde, steht nirgends.
-
+
-**Wunsch:** `ocrVersuchtAm DateTime?`. `ocrNachziehen()` in
+**Wunsch:** `ocrVersuchtAm DateTime?`. `ocrNachziehen()` in
-`src/lib/dokumente/ocr-nachlauf.ts` holt heute alles nach, was auf
+`src/lib/dokumente/ocr-nachlauf.ts` holt heute alles nach, was auf
-`ausstehend`/`fehlgeschlagen` steht — mit einem Zeitstempel ließe sich ein
+`ausstehend`/`fehlgeschlagen` steht — mit einem Zeitstempel ließe sich ein
-dauerhaft kaputtes Dokument nach dem dritten Versuch in Ruhe lassen, statt es
+dauerhaft kaputtes Dokument nach dem dritten Versuch in Ruhe lassen, statt es
-bei jedem Nachziehen erneut durch Tesseract zu schicken.
+bei jedem Nachziehen erneut durch Tesseract zu schicken.
-
+
----
+---
-
+
-## 7. Anmerkung zur Verschlüsselung der abgelegten Dateien
+## 7. Anmerkung zur Verschlüsselung der abgelegten Dateien
-
+
-Kein Schema-Wunsch, aber eine Abweichung vom Kommentar im Schema, die
+Kein Schema-Wunsch, aber eine Abweichung vom Kommentar im Schema, die
-festgehalten gehört. Bei `Dokument.ocrText` steht:
+festgehalten gehört. Bei `Dokument.ocrText` steht:
-
+
-> „die Datei selbst liegt verschlüsselt im Objektspeicher“
+> „die Datei selbst liegt verschlüsselt im Objektspeicher“
-
+
-Umgesetzt ist das **nur beim Dateitreiber**: `src/lib/speicher/datei.ts`
+Umgesetzt ist das **nur beim Dateitreiber**: `src/lib/speicher/datei.ts`
-verschlüsselt jede Datei anwendungsseitig mit AES-256-GCM (eigener Binär-
+verschlüsselt jede Datei anwendungsseitig mit AES-256-GCM (eigener Binär-
-Umschlag `BCD1 | Schlüsselversion | IV | Tag | Geheimtext`, Schlüssel aus
+Umschlag `BCD1 | Schlüsselversion | IV | Tag | Geheimtext`, Schlüssel aus
-`ENC_KEY_V*`). Beim S3-Treiber geht das nicht: Der Vertrag verlangt für
+`ENC_KEY_V*`). Beim S3-Treiber geht das nicht: Der Vertrag verlangt für
-`signierteUrl()` eine presigned URL, die der Objektspeicher selbst ausliefert —
+`signierteUrl()` eine presigned URL, die der Objektspeicher selbst ausliefert —
-ein anwendungsseitig verschlüsselter Blob käme dort als Datenmüll an. Dort
+ein anwendungsseitig verschlüsselter Blob käme dort als Datenmüll an. Dort
-läuft der Schutz deshalb über `ServerSideEncryption: AES256` plus den
+läuft der Schutz deshalb über `ServerSideEncryption: AES256` plus den
-AV-Vertrag nach Art. 28 DSGVO mit dem Anbieter.
+AV-Vertrag nach Art. 28 DSGVO mit dem Anbieter.
-
+
-Die SHA-256-Prüfsumme wird in **beiden** Fällen über den Klartext gebildet —
+Die SHA-256-Prüfsumme wird in **beiden** Fällen über den Klartext gebildet —
-sonst wäre sie als Nachweis gegenüber dem Gericht wertlos.
+sonst wäre sie als Nachweis gegenüber dem Gericht wertlos.
-
+
-Wer das vereinheitlichen will, müsste den Vertrag ändern: `signierteUrl()`
+Wer das vereinheitlichen will, müsste den Vertrag ändern: `signierteUrl()`
-würde auch beim S3-Treiber auf die eigene Route zeigen, die den Blob holt,
+würde auch beim S3-Treiber auf die eigene Route zeigen, die den Blob holt,
-entschlüsselt und ausliefert. Das kostet Durchsatz bei großen Scans, wäre aber
+entschlüsselt und ausliefert. Das kostet Durchsatz bei großen Scans, wäre aber
-konsequenter. Bewusst offengelassen, weil es Abschnitt 1 der Schnittstellen
+konsequenter. Bewusst offengelassen, weil es Abschnitt 1 der Schnittstellen
-berührt.
+berührt.
-
+
----
+---
-
+
-# Anhang: kein Schema-Wunsch, aber dringend
+# Anhang: kein Schema-Wunsch, aber dringend
-
+
-## `@react-pdf/renderer` kann ohne Krücke keinen Buchstaben setzen
+## `@react-pdf/renderer` kann ohne Krücke keinen Buchstaben setzen
-
+
-Beim Bau der Belegmappe aufgefallen und **betrifft jedes PDF der Anwendung**,
+Beim Bau der Belegmappe aufgefallen und **betrifft jedes PDF der Anwendung**,
-also auch die Berichte aus Etappe 5.
+also auch die Berichte aus Etappe 5.
-
+
-**Befund:** Jeder Aufruf von `renderToBuffer` scheitert mit
+**Befund:** Jeder Aufruf von `renderToBuffer` scheitert mit
-
+
-```
+```
-TypeError: Cannot read properties of undefined (reading 'unitsPerEm')
+TypeError: Cannot read properties of undefined (reading 'unitsPerEm')
-  at @react-pdf/textkit/lib/textkit.js:3090
+  at @react-pdf/textkit/lib/textkit.js:3090
-```
+```
-
+
-— auch bei einem Dokument ganz ohne Stilangaben. Nicht die Testumgebung ist
+— auch bei einem Dokument ganz ohne Stilangaben. Nicht die Testumgebung ist
-schuld: in reinem Node reproduziert es genauso.
+schuld: in reinem Node reproduziert es genauso.
-
+
-**Ursache:** In `package.json` ist nur `@react-pdf/renderer` auf `4.1.6`
+**Ursache:** In `package.json` ist nur `@react-pdf/renderer` auf `4.1.6`
-festgelegt. Seine Unterabhängigkeiten stehen als Caret-Bereiche darin und sind
+festgelegt. Seine Unterabhängigkeiten stehen als Caret-Bereiche darin und sind
-inzwischen weitergewandert:
+inzwischen weitergewandert:
-
+
-| Paket | installiert | von renderer 4.1.6 erwartet |
+| Paket | installiert | von renderer 4.1.6 erwartet |
-|---|---|---|
+|---|---|---|
-| `@react-pdf/font` | 3.1.0 | `^3.0.1` |
+| `@react-pdf/font` | 3.1.0 | `^3.0.1` |
-| `@react-pdf/layout` | 4.7.1 | `^4.2.0` |
+| `@react-pdf/layout` | 4.7.1 | `^4.2.0` |
-| `@react-pdf/textkit` | 6.4.1 | (kommt über `layout`) |
+| `@react-pdf/textkit` | 6.4.1 | (kommt über `layout`) |
-
+
-`@react-pdf/font@3.1.0` gibt für die Standardschriften `null` zurück — früher
+`@react-pdf/font@3.1.0` gibt für die Standardschriften `null` zurück — früher
-löste die Schicht darunter den bloßen Namen selbst auf.
+löste die Schicht darunter den bloßen Namen selbst auf.
-`@react-pdf/textkit@6.4.1` verlangt dagegen ein echtes Schriftobjekt mit
+`@react-pdf/textkit@6.4.1` verlangt dagegen ein echtes Schriftobjekt mit
-`layout()` und wirft bei einem Namen ausdrücklich `Invalid font`. Zwischen
+`layout()` und wirft bei einem Namen ausdrücklich `Invalid font`. Zwischen
-beiden klafft eine Lücke.
+beiden klafft eine Lücke.
-
+
-**Was ich getan habe:** `src/lib/pdf/standardschrift.ts` baut das fehlende
+**Was ich getan habe:** `src/lib/pdf/standardschrift.ts` baut das fehlende
-Schriftobjekt aus den Metriken, die `@react-pdf/pdfkit` ohnehin mitbringt, und
+Schriftobjekt aus den Metriken, die `@react-pdf/pdfkit` ohnehin mitbringt, und
-hängt sich vor die Schriftauflösung — aber nur, wenn sie kaputt ist. Kein neues
+hängt sich vor die Schriftauflösung — aber nur, wenn sie kaputt ist. Kein neues
-Paket, kein Nachladen aus dem Netz. `pdfErzeugen()` ruft das von selbst auf,
+Paket, kein Nachladen aus dem Netz. `pdfErzeugen()` ruft das von selbst auf,
-alle PDF-Wege dieser Anwendung sind damit wieder benutzbar (Test:
+alle PDF-Wege dieser Anwendung sind damit wieder benutzbar (Test:
-„Aus einem Bericht und einem Beleg wird eine Mappe" in `tests/dokumente.test.ts`).
+„Aus einem Bericht und einem Beleg wird eine Mappe" in `tests/dokumente.test.ts`).
-
+
-**Was noch zu tun ist** (außerhalb meiner Pfade, deshalb hier):
+**Was noch zu tun ist** (außerhalb meiner Pfade, deshalb hier):
-`package.json` um Festlegungen ergänzen, damit die Pakete zueinander passen —
+`package.json` um Festlegungen ergänzen, damit die Pakete zueinander passen —
-
+
-```jsonc
+```jsonc
-"overrides": {
+"overrides": {
-  "@react-pdf/layout": "4.2.x",
+  "@react-pdf/layout": "4.2.x",
-  "@react-pdf/textkit": "5.x"
+  "@react-pdf/textkit": "5.x"
-}
+}
-```
+```
-
+
-Die genauen Stände bitte gegen `@react-pdf/renderer@4.1.6` prüfen; alternativ
+Die genauen Stände bitte gegen `@react-pdf/renderer@4.1.6` prüfen; alternativ
-`@react-pdf/renderer` auf einen aktuellen Stand heben, dessen
+`@react-pdf/renderer` auf einen aktuellen Stand heben, dessen
-Unterabhängigkeiten wieder zusammenpassen. Danach kann
+Unterabhängigkeiten wieder zusammenpassen. Danach kann
-`standardschrift.ts` ersatzlos entfallen — `standardschriftenSicherstellen()`
+`standardschrift.ts` ersatzlos entfallen — `standardschriftenSicherstellen()`
-merkt von selbst, dass es nicht mehr gebraucht wird, und hält sich heraus.
+merkt von selbst, dass es nicht mehr gebraucht wird, und hält sich heraus.

docs/schema-wuensche/sozialhilfe.md

@@ -1,243 +1,243 @@
-# Schema-Wünsche aus Etappe 5 „Behörde“
+# Schema-Wünsche aus Etappe 5 „Behörde“
-
+
-Das Schema wurde nicht angefasst. Was beim Bauen des Sozialhilfemoduls
+Das Schema wurde nicht angefasst. Was beim Bauen des Sozialhilfemoduls
-gefehlt hat, steht hier — nach Dringlichkeit sortiert, jeweils mit dem
+gefehlt hat, steht hier — nach Dringlichkeit sortiert, jeweils mit dem
-Behelf, der jetzt an seiner Stelle steht.
+Behelf, der jetzt an seiner Stelle steht.
-
+
----
+---
-
+
-## 1. `Heimkostenmonat`: Kostenseite und Deckungsseite überschneiden sich — wichtig
+## 1. `Heimkostenmonat`: Kostenseite und Deckungsseite überschneiden sich — wichtig
-
+
-Dieselbe Sache wie Punkt 1 in `docs/schema-wuensche/dashboard.md`, hier aus
+Dieselbe Sache wie Punkt 1 in `docs/schema-wuensche/dashboard.md`, hier aus
-Sicht des Moduls, das die Gegenüberstellung baut.
+Sicht des Moduls, das die Gegenüberstellung baut.
-
+
-**Das Problem.** `pflegeEigenanteilCent` heißt „einrichtungseinheitlicher
+**Das Problem.** `pflegeEigenanteilCent` heißt „einrichtungseinheitlicher
-Eigenanteil". Der ist definitionsgemäß **schon um die Pauschale der
+Eigenanteil". Der ist definitionsgemäß **schon um die Pauschale der
-Pflegekasse nach § 43 Abs. 2 SGB XI gekürzt**. Steht in derselben Zeile
+Pflegekasse nach § 43 Abs. 2 SGB XI gekürzt**. Steht in derselben Zeile
-zusätzlich `pflegekasseCent` als Deckung, wird dasselbe Geld zweimal
+zusätzlich `pflegekasseCent` als Deckung, wird dasselbe Geld zweimal
-gezählt — die Deckungslücke fällt um die Pauschale zu klein aus, bei
+gezählt — die Deckungslücke fällt um die Pauschale zu klein aus, bei
-Pflegegrad 3 um 1.319 Euro im Monat.
+Pflegegrad 3 um 1.319 Euro im Monat.
-
+
-**Was ich entschieden habe.** Dieses Modul rechnet in der Lesart
+**Was ich entschieden habe.** Dieses Modul rechnet in der Lesart
-`EIGENANTEIL_NETTO` (siehe Kopfkommentar in
+`EIGENANTEIL_NETTO` (siehe Kopfkommentar in
-`src/lib/sozialhilfe/heimkosten.ts`):
+`src/lib/sozialhilfe/heimkosten.ts`):
-
+
-```
+```
-Bedarf   = pflegeEigenanteil (netto, wie auf der Heimrechnung)
+Bedarf   = pflegeEigenanteil (netto, wie auf der Heimrechnung)
-         + unterkunftVerpflegung + investitionskosten
+         + unterkunftVerpflegung + investitionskosten
-         + ausbildungsumlage + zusatzleistungen
+         + ausbildungsumlage + zusatzleistungen
-         + barbetrag + bekleidungspauschale
+         + barbetrag + bekleidungspauschale
-
+
-Deckung  = leistungszuschlag + rente + sonstigeEinkuenfte
+Deckung  = leistungszuschlag + rente + sonstigeEinkuenfte
-         + sozialhilfe + eigenmittel
+         + sozialhilfe + eigenmittel
-
+
-Deckungslücke = Bedarf − Deckung
+Deckungslücke = Bedarf − Deckung
-```
+```
-
+
-`pflegekasseCent` zählt **nicht** als Deckung. Der Wert wird als
+`pflegekasseCent` zählt **nicht** als Deckung. Der Wert wird als
-`pflegekasseNachrichtlichCent` mitgeführt und angezeigt; ist er ungleich
+`pflegekasseNachrichtlichCent` mitgeführt und angezeigt; ist er ungleich
-null, gibt `heimkostenAuswerten()` einen Hinweis aus, der die
+null, gibt `heimkostenAuswerten()` einen Hinweis aus, der die
-Doppelzählung erklärt. Das Formular belegt das Feld nicht mehr vor.
+Doppelzählung erklärt. Das Formular belegt das Feld nicht mehr vor.
-
+
-`leistungszuschlagCent` zählt dagegen **sehr wohl** als Deckung: Der
+`leistungszuschlagCent` zählt dagegen **sehr wohl** als Deckung: Der
-Zuschlag nach § 43c SGB XI mindert den Eigenanteil erst danach und steht
+Zuschlag nach § 43c SGB XI mindert den Eigenanteil erst danach und steht
-auf der Heimrechnung als eigene Abzugsposition.
+auf der Heimrechnung als eigene Abzugsposition.
-
+
-Die Alternative — durchgängig den Bruttosatz erfassen — ist als Lesart
+Die Alternative — durchgängig den Bruttosatz erfassen — ist als Lesart
-`PFLEGESATZ_BRUTTO` implementiert und getestet: Bei konsistenter Erfassung
+`PFLEGESATZ_BRUTTO` implementiert und getestet: Bei konsistenter Erfassung
-kommen beide Lesarten auf dieselbe Deckungslücke. Benutzt wird sie in der
+kommen beide Lesarten auf dieselbe Deckungslücke. Benutzt wird sie in der
-Oberfläche nicht, weil das Schema keinen Ort hat, um die Wahl zu
+Oberfläche nicht, weil das Schema keinen Ort hat, um die Wahl zu
-speichern.
+speichern.
-
+
-**Wunsch, in dieser Reihenfolge:**
+**Wunsch, in dieser Reihenfolge:**
-
+
-1. Den Kommentar am Feld schärfen, damit die Lesart im Schema steht und
+1. Den Kommentar am Feld schärfen, damit die Lesart im Schema steht und
-   nicht nur hier:
+   nicht nur hier:
-
+
-```prisma
+```prisma
-/// NETTO: der einrichtungseinheitliche Eigenanteil, wie er auf der
+/// NETTO: der einrichtungseinheitliche Eigenanteil, wie er auf der
-/// Heimrechnung steht - bereits um § 43 Abs. 2 SGB XI gekuerzt, noch
+/// Heimrechnung steht - bereits um § 43 Abs. 2 SGB XI gekuerzt, noch
-/// nicht um den Leistungszuschlag. pflegekasseCent zaehlt deshalb NICHT
+/// nicht um den Leistungszuschlag. pflegekasseCent zaehlt deshalb NICHT
-/// als Deckung, sondern nur nachrichtlich.
+/// als Deckung, sondern nur nachrichtlich.
-pflegeEigenanteilCent BigInt @default(0)
+pflegeEigenanteilCent BigInt @default(0)
-```
+```
-
+
-2. Wenn beide Lesarten gebraucht werden, ein Feld dafür — sonst muss jedes
+2. Wenn beide Lesarten gebraucht werden, ein Feld dafür — sonst muss jedes
-   Modul raten, was in der Zeile steht:
+   Modul raten, was in der Zeile steht:
-
+
-```prisma
+```prisma
-enum Kostenlesart {
+enum Kostenlesart {
-  EIGENANTEIL_NETTO
+  EIGENANTEIL_NETTO
-  PFLEGESATZ_BRUTTO
+  PFLEGESATZ_BRUTTO
-}
+}
-
+
-lesart Kostenlesart @default(EIGENANTEIL_NETTO)
+lesart Kostenlesart @default(EIGENANTEIL_NETTO)
-```
+```
-
+
-3. Alternativ ein `heimrechnungGesamtCent`, das schlicht den
+3. Alternativ ein `heimrechnungGesamtCent`, das schlicht den
-   Rechnungsbetrag trägt; die Aufteilung wäre dann nur noch informativ und
+   Rechnungsbetrag trägt; die Aufteilung wäre dann nur noch informativ und
-   die Summe könnte gegen sie geprüft werden.
+   die Summe könnte gegen sie geprüft werden.
-
+
-**Verabredung bis dahin**: Wer `Heimkostenmonat` schreibt — dieses Modul,
+**Verabredung bis dahin**: Wer `Heimkostenmonat` schreibt — dieses Modul,
-das Dashboard, ein Import — trägt als `pflegeEigenanteilCent` den Netto-
+das Dashboard, ein Import — trägt als `pflegeEigenanteilCent` den Netto-
-Eigenanteil ein und lässt `pflegekasseCent` auf 0.
+Eigenanteil ein und lässt `pflegekasseCent` auf 0.
-
+
----
+---
-
+
-## 2. `Nachforderung.checklistenSchluessel` — wichtig
+## 2. `Nachforderung.checklistenSchluessel` — wichtig
-
+
-```prisma
+```prisma
-/// Stabiler Schluessel aus src/lib/sozialhilfe/checkliste.ts.
+/// Stabiler Schluessel aus src/lib/sozialhilfe/checkliste.ts.
-/// Verhindert Dubletten beim erneuten Uebernehmen der Standardunterlagen.
+/// Verhindert Dubletten beim erneuten Uebernehmen der Standardunterlagen.
-checklistenSchluessel String?
+checklistenSchluessel String?
-
+
-@@unique([antragId, checklistenSchluessel])
+@@unique([antragId, checklistenSchluessel])
-```
+```
-
+
-**Warum**: `ausCheckliste: Boolean` merkt sich nur *dass* eine Zeile aus der
+**Warum**: `ausCheckliste: Boolean` merkt sich nur *dass* eine Zeile aus der
-Checkliste kam, nicht *welche* Position. Um beim zweiten Aufruf des Panels
+Checkliste kam, nicht *welche* Position. Um beim zweiten Aufruf des Panels
-nicht dieselbe Unterlage noch einmal anzulegen, vergleicht
+nicht dieselbe Unterlage noch einmal anzulegen, vergleicht
-`nochNichtUebernommen()` derzeit über die **Bezeichnung** (kleingeschrieben,
+`nochNichtUebernommen()` derzeit über die **Bezeichnung** (kleingeschrieben,
-getrimmt). Das reicht, solange niemand die Bezeichnung ändert — tut er es,
+getrimmt). Das reicht, solange niemand die Bezeichnung ändert — tut er es,
-entsteht beim nächsten Übernehmen eine Dublette.
+entsteht beim nächsten Übernehmen eine Dublette.
-
+
-**Behelf**: Vergleich über die Bezeichnung in
+**Behelf**: Vergleich über die Bezeichnung in
-`src/lib/sozialhilfe/checkliste.ts` und in `checklisteUebernehmen()`.
+`src/lib/sozialhilfe/checkliste.ts` und in `checklisteUebernehmen()`.
-
+
----
+---
-
+
-## 3. Rückkaufswert am Vertrag — wichtig
+## 3. Rückkaufswert am Vertrag — wichtig
-
+
-```prisma
+```prisma
-model Vertrag {
+model Vertrag {
-  // ...
+  // ...
-  rueckkaufswertCent      BigInt?
+  rueckkaufswertCent      BigInt?
-  rueckkaufswertStichtag  DateTime? @db.Date
+  rueckkaufswertStichtag  DateTime? @db.Date
-}
+}
-```
+```
-
+
-**Warum**: Die Bewertungsansicht stellt Vermögensposten und Verträge
+**Warum**: Die Bewertungsansicht stellt Vermögensposten und Verträge
-nebeneinander. Ein Vermögensposten trägt seinen Wert über `Wertstand`,
+nebeneinander. Ein Vermögensposten trägt seinen Wert über `Wertstand`,
-ein Vertrag hat gar kein Wertfeld — nur `beitragCent`, und das ist die
+ein Vertrag hat gar kein Wertfeld — nur `beitragCent`, und das ist die
-Prämie, nicht der Wert. Verträge erscheinen deshalb ohne Betrag, und die
+Prämie, nicht der Wert. Verträge erscheinen deshalb ohne Betrag, und die
-Summe „verwertbar“ ist unvollständig, solange nicht zu jeder Versicherung
+Summe „verwertbar“ ist unvollständig, solange nicht zu jeder Versicherung
-zusätzlich ein Vermögensposten angelegt wurde.
+zusätzlich ein Vermögensposten angelegt wurde.
-
+
-Für das Sozialhilfeverfahren ist genau dieser Wert der entscheidende: Der
+Für das Sozialhilfeverfahren ist genau dieser Wert der entscheidende: Der
-Träger fragt nach Rückkaufswerten, nicht nach Versicherungssummen.
+Träger fragt nach Rückkaufswerten, nicht nach Versicherungssummen.
-
+
-**Behelf**: Die Bewertungsansicht zeigt nur Verträge, die überhaupt einen
+**Behelf**: Die Bewertungsansicht zeigt nur Verträge, die überhaupt einen
-Wert haben können (`MIT_RUECKKAUFSWERT` aus
+Wert haben können (`MIT_RUECKKAUFSWERT` aus
-`src/lib/vertraege/konstanten.ts`), und markiert sie mit „Wert noch nicht
+`src/lib/vertraege/konstanten.ts`), und markiert sie mit „Wert noch nicht
-ermittelt“. Wer den Betrag braucht, legt zusätzlich einen
+ermittelt“. Wer den Betrag braucht, legt zusätzlich einen
-`Vermoegensposten` mit `vertragId` und einem `Wertstand` an — dann wird der
+`Vermoegensposten` mit `vertragId` und einem `Wertstand` an — dann wird der
-Vertrag in der Liste ausgeblendet, damit die Summe nicht doppelt zählt.
+Vertrag in der Liste ausgeblendet, damit die Summe nicht doppelt zählt.
-
+
----
+---
-
+
-## 4. `Bescheid.rechtsbehelfsbelehrungVorhanden` — mittel
+## 4. `Bescheid.rechtsbehelfsbelehrungVorhanden` — mittel
-
+
-```prisma
+```prisma
-/// Ausdrueckliche Einschaetzung, nicht aus der Fristlaenge abgeleitet.
+/// Ausdrueckliche Einschaetzung, nicht aus der Fristlaenge abgeleitet.
-rechtsbehelfsbelehrungVorhanden Boolean @default(true)
+rechtsbehelfsbelehrungVorhanden Boolean @default(true)
-rechtsbehelfsbelehrungBemerkung String?
+rechtsbehelfsbelehrungBemerkung String?
-```
+```
-
+
-**Warum**: Ob die Jahresfrist des § 66 Abs. 2 SGG gilt, ist eine bewusste
+**Warum**: Ob die Jahresfrist des § 66 Abs. 2 SGG gilt, ist eine bewusste
-Einschätzung mit Begründung („die Belehrung nennt die falsche Behörde“).
+Einschätzung mit Begründung („die Belehrung nennt die falsche Behörde“).
-Derzeit wird sie aus `rechtsbehelfsfristMonate === 12` zurückgeschlossen —
+Derzeit wird sie aus `rechtsbehelfsfristMonate === 12` zurückgeschlossen —
-das trägt, verliert aber die Begründung, und die bräuchte man genau dann,
+das trägt, verliert aber die Begründung, und die bräuchte man genau dann,
-wenn man sich im Widerspruchsverfahren darauf beruft.
+wenn man sich im Widerspruchsverfahren darauf beruft.
-
+
-**Behelf**: `belehrungZuMonaten()` in
+**Behelf**: `belehrungZuMonaten()` in
-`src/lib/sozialhilfe/rechtsbehelf.ts`. Die Begründung gehört bis auf
+`src/lib/sozialhilfe/rechtsbehelf.ts`. Die Begründung gehört bis auf
-Weiteres in `notizenVerschluesselt`.
+Weiteres in `notizenVerschluesselt`.
-
+
----
+---
-
+
-## 5. `Bescheid.widerspruchFristId` → `Frist` — mittel
+## 5. `Bescheid.widerspruchFristId` → `Frist` — mittel
-
+
-```prisma
+```prisma
-widerspruchFristId String? @unique
+widerspruchFristId String? @unique
-widerspruchFrist   Frist?  @relation(fields: [widerspruchFristId], references: [id], onDelete: SetNull)
+widerspruchFrist   Frist?  @relation(fields: [widerspruchFristId], references: [id], onDelete: SetNull)
-```
+```
-
+
-**Warum**: Die angelegte Frist „Widerspruch möglich bis“ wird derzeit über
+**Warum**: Die angelegte Frist „Widerspruch möglich bis“ wird derzeit über
-`Frist.systemSchluessel = "sozialhilfe-widerspruch-<bescheidId>"` gefunden.
+`Frist.systemSchluessel = "sozialhilfe-widerspruch-<bescheidId>"` gefunden.
-Das funktioniert (`@@unique([betreuteId, systemSchluessel])` trägt es), ist
+Das funktioniert (`@@unique([betreuteId, systemSchluessel])` trägt es), ist
-aber eine Verknüpfung über eine zusammengesetzte Zeichenkette. Ein echter
+aber eine Verknüpfung über eine zusammengesetzte Zeichenkette. Ein echter
-Fremdschlüssel wäre sauberer und ließe die Frist beim Löschen des Bescheids
+Fremdschlüssel wäre sauberer und ließe die Frist beim Löschen des Bescheids
-mitziehen. Dasselbe gilt für
+mitziehen. Dasselbe gilt für
-`"sozialhilfe-nachforderung-<nachforderungId>"`.
+`"sozialhilfe-nachforderung-<nachforderungId>"`.
-
+
-**Behelf**: `systemSchluessel` mit festem Präfix, `upsert` statt `create`.
+**Behelf**: `systemSchluessel` mit festem Präfix, `upsert` statt `create`.
-
+
----
+---
-
+
-## 6. `Heimkostenmonat` — Feld für die tatsächliche Zahlung — mittel
+## 6. `Heimkostenmonat` — Feld für die tatsächliche Zahlung — mittel
-
+
-```prisma
+```prisma
-/// Was tatsaechlich vom Konto ging - fuer den Abgleich mit dem Bescheid.
+/// Was tatsaechlich vom Konto ging - fuer den Abgleich mit dem Bescheid.
-gezahltCent    BigInt?
+gezahltCent    BigInt?
-gezahltAm      DateTime? @db.Date
+gezahltAm      DateTime? @db.Date
-rechnungsnummer String?
+rechnungsnummer String?
-```
+```
-
+
-**Warum**: Die Gegenüberstellung rechnet Bedarf gegen Deckung. Was
+**Warum**: Die Gegenüberstellung rechnet Bedarf gegen Deckung. Was
-tatsächlich abgebucht wurde, steht nirgends — und genau die Differenz
+tatsächlich abgebucht wurde, steht nirgends — und genau die Differenz
-zwischen „laut Bescheid“ und „tatsächlich abgebucht“ ist der Anlass, beim
+zwischen „laut Bescheid“ und „tatsächlich abgebucht“ ist der Anlass, beim
-Träger nachzufragen.
+Träger nachzufragen.
-
+
-**Behelf**: `bemerkung`.
+**Behelf**: `bemerkung`.
-
+
----
+---
-
+
-## 7. `Heimkostenmonat.abwesenheitsminderungCent` — klein
+## 7. `Heimkostenmonat.abwesenheitsminderungCent` — klein
-
+
-```prisma
+```prisma
-/// Tatsaechliche Minderung laut Heimrechnung, nicht die Schaetzung.
+/// Tatsaechliche Minderung laut Heimrechnung, nicht die Schaetzung.
-abwesenheitsminderungCent BigInt @default(0)
+abwesenheitsminderungCent BigInt @default(0)
-```
+```
-
+
-**Warum**: `abwesenheitstage` ist da, die Wirkung schätzt
+**Warum**: `abwesenheitstage` ist da, die Wirkung schätzt
-`abwesenheitSchaetzen()` nach dem Rahmenvertrag (drei Karenztage, danach
+`abwesenheitSchaetzen()` nach dem Rahmenvertrag (drei Karenztage, danach
-25 % auf Pflegeanteil sowie Unterkunft und Verpflegung). Was die
+25 % auf Pflegeanteil sowie Unterkunft und Verpflegung). Was die
-Einrichtung wirklich abgezogen hat, steht auf der Rechnung und ließe sich
+Einrichtung wirklich abgezogen hat, steht auf der Rechnung und ließe sich
-nicht festhalten.
+nicht festhalten.
-
+
-**Behelf**: Die Schätzung wird ausdrücklich als Schätzung ausgewiesen und
+**Behelf**: Die Schätzung wird ausdrücklich als Schätzung ausgewiesen und
-neben die erfasste Lücke gestellt, nicht in sie hineingerechnet.
+neben die erfasste Lücke gestellt, nicht in sie hineingerechnet.
-
+
----
+---
-
+
-## 8. `Leistung.wiederholungsfristMonat/-tag` — klein
+## 8. `Leistung.wiederholungsfristMonat/-tag` — klein
-
+
-```prisma
+```prisma
-/// Fuer jaehrlich zu wiederholende Antraege: Stichtag im Jahr.
+/// Fuer jaehrlich zu wiederholende Antraege: Stichtag im Jahr.
-antragsschlussMonat Int?
+antragsschlussMonat Int?
-antragsschlussTag   Int?
+antragsschlussTag   Int?
-```
+```
-
+
-**Warum**: `jaehrlichNeuBeantragen: Boolean` sagt, *dass* wiederholt werden
+**Warum**: `jaehrlichNeuBeantragen: Boolean` sagt, *dass* wiederholt werden
-muss, nicht *bis wann*. Beim Landespflegegeld ist der 31.12. eine
+muss, nicht *bis wann*. Beim Landespflegegeld ist der 31.12. eine
-Ausschlussfrist — daraus ließe sich automatisch eine Frist ableiten,
+Ausschlussfrist — daraus ließe sich automatisch eine Frist ableiten,
-statt sie von Hand anzulegen.
+statt sie von Hand anzulegen.
-
+
-**Behelf**: `antragsschluss` als Text im Katalog
+**Behelf**: `antragsschluss` als Text im Katalog
-(`src/lib/sozialhilfe/leistungskatalog.ts`) und ein Hinweis in der
+(`src/lib/sozialhilfe/leistungskatalog.ts`) und ein Hinweis in der
-Oberfläche. Die Fristableitung übernimmt `pflichtfristenAbleiten()` mit
+Oberfläche. Die Fristableitung übernimmt `pflichtfristenAbleiten()` mit
-`landespflegegeld-<jahr>` (siehe `docs/SCHNITTSTELLEN.md`).
+`landespflegegeld-<jahr>` (siehe `docs/SCHNITTSTELLEN.md`).
-
+
----
+---
-
+
-## 9. `Nachforderung.notizenVerschluesselt` — klein
+## 9. `Nachforderung.notizenVerschluesselt` — klein
-
+
-**Warum**: `erlaeuterung` und `begruendungNichtVorhanden` liegen im
+**Warum**: `erlaeuterung` und `begruendungNichtVorhanden` liegen im
-Klartext. Beides ist meist harmlos („Grundbuchauszug beim Amtsgericht
+Klartext. Beides ist meist harmlos („Grundbuchauszug beim Amtsgericht
-angefordert“), kann aber Gesundheits- oder Vermögensangaben enthalten
+angefordert“), kann aber Gesundheits- oder Vermögensangaben enthalten
-(„Rückkaufswert 12.480 Euro, Police verpfändet“). Wäre mindestens die
+(„Rückkaufswert 12.480 Euro, Police verpfändet“). Wäre mindestens die
-Begründung verschlüsselt, wäre das konsequenter zum Rest des Schemas.
+Begründung verschlüsselt, wäre das konsequenter zum Rest des Schemas.
-
+
-**Behelf**: keiner. Die Felder werden benutzt, wie sie sind. Falls sie
+**Behelf**: keiner. Die Felder werden benutzt, wie sie sind. Falls sie
-verschlüsselt werden sollen, gehört `Nachforderung` in
+verschlüsselt werden sollen, gehört `Nachforderung` in
-`VERSCHLUESSELTE_FELDER` in `src/lib/crypto/feld.ts`.
+`VERSCHLUESSELTE_FELDER` in `src/lib/crypto/feld.ts`.

e2e/absenderanschrift.spec.ts

@@ -0,0 +1,97 @@
+import { expect, test } from '@playwright/test'
+import { PrismaClient } from '@prisma/client'
+import { anmelden } from './hilfen'
+
+/**
+ * Die eigene Anschrift im Schreiben — gegen die echte Anwendung.
+ *
+ * Der Weg, um den es geht: einmal unter „Mein Konto" hinterlegen, und
+ * ab da steht sie im Absenderblock und der Ort in der Datumszeile —
+ * ohne dass man beim Schreiben daran denken muss.
+ */
+
+async function mitDb<T>(arbeit: (db: PrismaClient) => Promise<T>): Promise<T> {
+  const db = new PrismaClient()
+  try {
+    return await arbeit(db)
+  } finally {
+    await db.$disconnect()
+  }
+}
+
+/** Zurück auf „nichts hinterlegt", damit der Fall auch prüfbar bleibt. */
+async function anschriftLeeren(): Promise<void> {
+  await mitDb(async (db) => {
+    await db.user.updateMany({ data: { strasse: null, plz: null, ort: null } })
+  })
+}
+
+test.describe('Absenderanschrift', () => {
+  test.beforeAll(async () => {
+    await anschriftLeeren()
+  })
+
+  test.afterAll(async () => {
+    await anschriftLeeren()
+  })
+
+  test('ohne hinterlegte Anschrift steht nur der Name im Brief', async ({ page }) => {
+    await anmelden(page)
+    await page.goto('/schreiben/neu?art=FREI')
+
+    const text = await page.locator('textarea#text').inputValue()
+    const zeilen = text.split('\n')
+
+    // Erste Zeile ist der Absender, danach kommt gleich die Leerzeile.
+    expect(zeilen[0]).toBe('Florian Wilde')
+    expect(zeilen[1]).toBe('')
+    // Kein Ort in der Datumszeile, also auch kein Komma davor.
+    expect(text).not.toContain(', den ')
+  })
+
+  test('speichert die Anschrift unter Mein Konto', async ({ page }) => {
+    await anmelden(page)
+    await page.goto('/konto')
+
+    await page.locator('input#strasse').fill('Cottenbacher Str. 23')
+    await page.locator('input#plz').fill('95445')
+    await page.locator('input#ort').fill('Bayreuth')
+    await page.getByRole('button', { name: 'Anschrift speichern' }).click()
+
+    await expect(page.getByText('Deine Anschrift ist gespeichert.')).toBeVisible()
+
+    await page.reload()
+    await expect(page.locator('input#strasse')).toHaveValue('Cottenbacher Str. 23')
+  })
+
+  test('trägt sie in Absenderblock und Datumszeile des Schreibens', async ({ page }) => {
+    await anmelden(page)
+    await page.goto('/schreiben/neu?art=FREI')
+
+    const text = await page.locator('textarea#text').inputValue()
+    const zeilen = text.split('\n')
+
+    expect(zeilen[0]).toBe('Florian Wilde')
+    expect(zeilen[1]).toBe('Cottenbacher Str. 23')
+    expect(zeilen[2]).toBe('95445 Bayreuth')
+    expect(text).toContain('Bayreuth, den ')
+  })
+
+  test('steht auch im Rückkaufswert-Schreiben zum Vertrag', async ({ page }) => {
+    const vertragId = await mitDb(async (db) => {
+      const vertrag = await db.vertrag.findFirst({
+        where: { art: 'LEBENSVERSICHERUNG', geloeschtAm: null },
+        select: { id: true },
+      })
+      return vertrag?.id ?? ''
+    })
+    test.skip(vertragId === '', 'Kein Lebensversicherungsvertrag im Bestand.')
+
+    await anmelden(page)
+    await page.goto(`/schreiben/neu?art=RUECKKAUFSWERT&vertragId=${vertragId}`)
+
+    const text = await page.locator('textarea#text').inputValue()
+    expect(text).toContain('Cottenbacher Str. 23')
+    expect(text).toContain('Bayreuth, den ')
+  })
+})

e2e/demofall.spec.ts

@@ -0,0 +1,138 @@
+import { expect, test } from '@playwright/test'
+import { PrismaClient } from '@prisma/client'
+import { anmelden } from './hilfen'
+
+/**
+ * Der Demo-Fall mit Kontobewegungen — gegen die echte Anwendung.
+ *
+ * Was hier geprüft wird, ist kein Verhalten der Anwendung, sondern die
+ * Brauchbarkeit der Beispieldaten: Wer die Anwendung zum ersten Mal
+ * ansieht, soll auf den Finanzseiten etwas vorfinden und nicht erst
+ * eine CSV importieren müssen.
+ *
+ * Die Prüfungen sind bewusst grob gehalten — sie sollen anschlagen, wenn
+ * der Demo-Fall leer läuft, und nicht bei jeder geänderten Zahl.
+ */
+
+async function mitDb<T>(arbeit: (db: PrismaClient) => Promise<T>): Promise<T> {
+  const db = new PrismaClient()
+  try {
+    return await arbeit(db)
+  } finally {
+    await db.$disconnect()
+  }
+}
+
+test.describe('Demo-Fall', () => {
+  test('bringt ein Jahr Kontobewegungen mit', async () => {
+    const zahlen = await mitDb(async (db) => {
+      const betreute = await db.betreute.findFirst({
+        where: { vorname: 'Erika', nachname: 'Musterfrau' },
+        select: { id: true },
+      })
+      if (!betreute) return null
+
+      const buchungen = await db.buchung.findMany({
+        where: { betreuteId: betreute.id, geloeschtAm: null },
+        select: { datum: true },
+        orderBy: { datum: 'asc' },
+      })
+      const ohneNachweis = await db.buchung.count({
+        where: { betreuteId: betreute.id, belegId: null, belegFehltBegruendung: null },
+      })
+      return { buchungen, ohneNachweis }
+    })
+
+    test.skip(zahlen === null, 'Kein Demo-Fall in dieser Datenbank.')
+    if (!zahlen) return
+
+    expect(zahlen.buchungen.length).toBeGreaterThan(50)
+
+    // Über mindestens zwölf Monate verteilt, nicht alle an einem Tag.
+    const erste = zahlen.buchungen[0]!.datum
+    const letzte = zahlen.buchungen[zahlen.buchungen.length - 1]!.datum
+    const monate =
+      (letzte.getUTCFullYear() - erste.getUTCFullYear()) * 12 +
+      (letzte.getUTCMonth() - erste.getUTCMonth())
+    expect(monate).toBeGreaterThanOrEqual(11)
+
+    // Genau ein Fall ohne Beleg und ohne Begründung — sonst hätte die
+    // Belegpflicht nichts zu zeigen, oder zu viel.
+    expect(zahlen.ohneNachweis).toBe(1)
+  })
+
+  test('der Kontostand stimmt mit der Summe der Buchungen überein', async () => {
+    const ergebnis = await mitDb(async (db) => {
+      const konto = await db.konto.findFirst({
+        where: { art: 'GIRO', betreute: { vorname: 'Erika', nachname: 'Musterfrau' } },
+        select: { id: true },
+      })
+      if (!konto) return null
+
+      const staende = await db.saldostand.findMany({
+        where: { kontoId: konto.id },
+        orderBy: { stichtag: 'asc' },
+      })
+      if (staende.length < 2) return null
+
+      const [anfang, ende] = [staende[0]!, staende[staende.length - 1]!]
+      const bewegungen = await db.buchung.findMany({
+        where: {
+          kontoId: konto.id,
+          geloeschtAm: null,
+          datum: { gt: anfang.stichtag, lte: ende.stichtag },
+        },
+        select: { betragCent: true, richtung: true },
+      })
+
+      const summe = bewegungen.reduce(
+        (wert, b) => (b.richtung === 'EINNAHME' ? wert + b.betragCent : wert - b.betragCent),
+        0n,
+      )
+      return { erwartet: anfang.betragCent + summe, tatsaechlich: ende.betragCent }
+    })
+
+    test.skip(ergebnis === null, 'Kein Demo-Fall mit zwei Kontoständen.')
+    if (!ergebnis) return
+
+    // Ein Demo-Fall, der sich selbst widerspricht, ist schlimmer als
+    // einer ohne Buchungen: Man rechnet nach und verliert das Vertrauen.
+    expect(ergebnis.tatsaechlich).toBe(ergebnis.erwartet)
+  })
+
+  test('die Erkennung wiederkehrender Zahlungen findet mehrere Gruppen', async ({ page }) => {
+    await anmelden(page)
+    await page.goto('/finanzen/wiederkehrend')
+
+    const inhalt = await page.locator('body').innerText()
+
+    // Monatliches und Vierteljährliches, beides erkannt.
+    expect(inhalt).toContain('Seniorenzentrum')
+    expect(inhalt).toContain('TeleCare')
+    expect(inhalt).toContain('Beitragsservice')
+    expect(inhalt).toContain('monatlich')
+    expect(inhalt).toContain('vierteljährlich')
+
+    // Der eigentliche Vorführeffekt: Das Heim steht in drei Schreibweisen
+    // auf dem Auszug und wird trotzdem als eine Zahlung geführt.
+    expect(inhalt).toContain('3 Schreibweisen zusammengefasst')
+
+    // Die Sterbekasse steht im zweiten Abschnitt: Zu ihr gibt es einen
+    // Vertrag, die Zahlungen sind ihm aber noch nicht zugeordnet. Damit
+    // lässt sich der Handgriff aus der Dauerzahlungs-Zuordnung am
+    // Demo-Fall ausprobieren, statt ihn nur zu beschreiben.
+    expect(inhalt).toContain('Schon einem Vertrag zugeordnet')
+    expect(inhalt).toContain('Nordheim Sterbekasse')
+    expect(inhalt).toContain('als belegt zuordnen')
+  })
+
+  test('das Kassenbuch zeigt die Buchungen und die fehlende Quittung', async ({ page }) => {
+    await anmelden(page)
+    await page.goto('/finanzen/buchungen')
+
+    const inhalt = await page.locator('body').innerText()
+    expect(inhalt).toContain('Heimentgelt')
+    // Die eine Buchung ohne Quittung und ohne Begründung.
+    expect(inhalt).toContain('Modehaus Lindner')
+  })
+})

e2e/fremdakte.spec.ts

@@ -0,0 +1,116 @@
+import { expect, test } from '@playwright/test'
+import { PrismaClient } from '@prisma/client'
+import { anmelden } from './hilfen'
+
+/**
+ * Verweise über Aktengrenzen hinweg — gegen die echte Anwendung.
+ *
+ * Die Auswahllisten im Browser zeigen nur die eigene Akte. Darauf darf
+ * sich der Server nicht verlassen: Wer das Formular verändert, schickt
+ * jede beliebige Id.
+ *
+ * Genau das wird hier nachgestellt — nicht als nachgebauter Aufruf,
+ * sondern indem dem echten Auswahlfeld ein Eintrag mit einer fremden Id
+ * untergeschoben und das Formular ganz normal abgeschickt wird. Nur so
+ * beweist der Test etwas: Er liefe rot, wenn die Prüfung fehlte.
+ *
+ * Solange nur eine betreute Person angelegt ist, wäre der Fehler
+ * folgenlos. Er bliebe es nicht — ein fremder Name stünde im Briefkopf.
+ */
+
+const KENNUNG = 'Prüfhausen Fremdakte'
+
+async function mitDb<T>(arbeit: (db: PrismaClient) => Promise<T>): Promise<T> {
+  const db = new PrismaClient()
+  try {
+    return await arbeit(db)
+  } finally {
+    await db.$disconnect()
+  }
+}
+
+async function aufraeumen(): Promise<void> {
+  await mitDb(async (db) => {
+    await db.betreute.deleteMany({ where: { nachname: { contains: 'Fremdakte' } } })
+  })
+}
+
+test.describe('Verweise auf eine fremde Akte', () => {
+  test.beforeAll(async () => {
+    await aufraeumen()
+  })
+
+  test.afterAll(async () => {
+    await aufraeumen()
+  })
+
+  test('weist einen Kontakt aus einer anderen Akte ab', async ({ page }) => {
+    // Zweite Akte mit einem Kontakt darin — der angemeldete Benutzer hat
+    // auf sie keinen Zugriff.
+    const fremderKontakt = await mitDb(async (db) => {
+      const fremde = await db.betreute.create({
+        data: {
+          vorname: 'Otto',
+          nachname: `${KENNUNG} Fremdakte`,
+          geburtsdatum: new Date(Date.UTC(1940, 0, 1)),
+        },
+      })
+      const kontakt = await db.kontakt.create({
+        data: {
+          betreuteId: fremde.id,
+          name: `${KENNUNG} Fremder Sachbearbeiter`,
+          rolle: 'SACHBEARBEITER_BEZIRK',
+        },
+      })
+      return kontakt.id
+    })
+
+    await anmelden(page)
+    // Irgendeinen Vorgang der eigenen Akte öffnen.
+    const vorgangId = await mitDb(async (db) => {
+      const vorgang = await db.vorgang.findFirst({
+        where: { geloeschtAm: null, betreute: { vorname: 'Erika' } },
+        select: { id: true },
+      })
+      return vorgang?.id ?? ''
+    })
+    test.skip(vorgangId === '', 'Kein Vorgang in der eigenen Akte.')
+
+    await page.goto(`/vorgaenge/${vorgangId}`)
+    const auswahl = page.locator('select[name="ansprechpartnerId"]')
+    await auswahl.waitFor()
+
+    // Dem echten Auswahlfeld die fremde Id unterschieben und ganz normal
+    // abschicken — so, wie es ein verändertes Formular täte.
+    await auswahl.evaluate((feld, id) => {
+      const eintrag = document.createElement('option')
+      eintrag.value = id
+      eintrag.textContent = 'untergeschoben'
+      ;(feld as HTMLSelectElement).append(eintrag)
+      ;(feld as HTMLSelectElement).value = id
+    }, fremderKontakt)
+
+    await page.getByRole('button', { name: 'Speichern' }).click()
+
+    // Der Server lehnt ab, mit einer Meldung, die den Grund nennt.
+    // Grosszuegige Frist: Im Entwicklungsmodus wird die Server Action beim
+    // ersten Aufruf uebersetzt, und das dauert laenger als die Vorgabe.
+    await expect(page.getByText(/gehört nicht zu dieser betreuten Person/).first()).toBeVisible({
+      timeout: 45_000,
+    })
+
+    // Und vor allem: Die Verknüpfung ist nicht entstanden.
+    const verknuepft = await mitDb((db) =>
+      db.vorgang.count({ where: { ansprechpartnerId: fremderKontakt } }),
+    )
+    expect(verknuepft).toBe(0)
+  })
+
+  test('die Auswahlliste zeigt den fremden Kontakt gar nicht erst', async ({ page }) => {
+    await anmelden(page)
+    await page.goto('/vorgaenge')
+
+    const inhalt = await page.locator('body').innerText()
+    expect(inhalt).not.toContain('Fremder Sachbearbeiter')
+  })
+})

e2e/hilfen.ts

@@ -117,3 +117,46 @@ export function beispielPdf(text = 'Bescheid'): Buffer {
 
   return Buffer.from(pdf, 'latin1')
 }
+
+/**
+ * Doppelt gerenderte Listen — was beim Suchen schiefgeht.
+ *
+ * Die Dokumentenliste (und moeglicherweise kuenftig weitere) rendert
+ * denselben Inhalt ZWEIMAL: als Karten fuers Handy, als Tabelle ab
+ * Tablet. Eine der beiden Fassungen ist per Breakpoint versteckt, steht
+ * aber im DOM.
+ *
+ * Die Folge im Test:
+ *
+ *   await expect(page.getByText('Bescheid').first()).toBeVisible()
+ *   // -> "element is not visible", obwohl die Seite richtig aussieht
+ *
+ * `.first()` nimmt, was zuerst im Baum steht - und das ist die Karte,
+ * also am Schreibtisch die unsichtbare Fassung. Es liegt NICHT an der
+ * Anwendung.
+ *
+ * Nachgemessen an /dokumente mit acht Dokumenten: Ein Titel liefert 16
+ * Treffer, davon 8 sichtbar - und `.first()` ist unsichtbar.
+ *
+ * Drei Wege, die tragen:
+ *
+ *   1. Ueber den Seitentext pruefen, wenn es nur um "steht das da?" geht:
+ *
+ *        const inhalt = await page.locator('body').innerText()
+ *        expect(inhalt).toContain('Bescheid')
+ *
+ *      innerText liefert nur sichtbaren Text - die versteckte Fassung
+ *      faellt von selbst weg. (Fuer Inhalt in einem zugeklappten
+ *      <details> braucht es dagegen textContent.)
+ *
+ *   2. Auf die sichtbare Fassung einschraenken, wenn geklickt wird:
+ *
+ *        page.getByRole('link', { name: 'Bescheid' }).locator('visible=true')
+ *
+ *   3. Die Zusammenfassungszeile pruefen ("12 Dokumente"), wenn es um
+ *      Anzahlen geht - die steht nur einmal.
+ *
+ * Was nicht traegt: eine feste Anzahl erwarten. `getByText(...)` findet
+ * jeden Eintrag zweimal, und wer das mit toHaveCount(1) prueft, schreibt
+ * einen Test, der bei jeder Layoutaenderung umfaellt.
+ */

package.json

@@ -1,6 +1,6 @@
 {
   "name": "betreuungs-cockpit",
-  "version": "1.9.0",
+  "version": "1.11.0",
   "private": true,
   "description": "Arbeits- und Dokumentationswerkzeug fuer die ehrenamtliche rechtliche Betreuung",
   "engines": {
@@ -17,6 +17,9 @@
     "db:generate": "prisma generate",
     "db:migrate": "prisma migrate dev",
     "db:deploy": "prisma migrate deploy",
+    "db:migration": "node scripts/migration-erzeugen.mjs",
+    "speicher:verschluesseln": "tsx --env-file=.env scripts/speicher-verschluesseln.mts",
+    "db:pruefen": "node -e \"import('./scripts/migration-erzeugen.mjs').then(m => m.indizesPruefen())\"",
     "db:volltext": "prisma db execute --schema prisma/schema.prisma --file prisma/sql/volltextsuche.sql",
     "db:seed": "prisma db seed",
     "db:studio": "prisma studio",
@@ -35,8 +38,8 @@
     "seed": "tsx prisma/seed.ts"
   },
   "dependencies": {
-    "@aws-sdk/client-s3": "3.735.0",
+    "@aws-sdk/client-s3": "3.1116.0",
-    "@aws-sdk/s3-request-presigner": "3.735.0",
+    "@aws-sdk/s3-request-presigner": "3.1116.0",
     "@node-rs/argon2": "2.0.2",
     "@prisma/client": "6.3.1",
     "@radix-ui/react-dialog": "1.1.4",
@@ -52,9 +55,9 @@
     "date-fns": "4.1.0",
     "docx": "9.1.1",
     "lucide-react": "0.474.0",
-    "next": "15.1.6",
+    "next": "15.5.23",
-    "next-auth": "5.0.0-beta.25",
+    "next-auth": "5.0.0-beta.32",
-    "nodemailer": "6.10.0",
+    "nodemailer": "9.0.5",
     "otpauth": "9.3.6",
     "pdf-lib": "1.17.1",
     "qrcode": "1.5.4",
@@ -67,22 +70,22 @@
     "zod": "3.24.1"
   },
   "devDependencies": {
-    "@playwright/test": "1.50.1",
+    "@playwright/test": "1.62.1",
     "@types/archiver": "6.0.3",
     "@types/node": "22.13.1",
-    "@types/nodemailer": "6.4.17",
+    "@types/nodemailer": "7.0.4",
     "@types/qrcode": "1.5.5",
     "@types/react": "19.0.8",
     "@types/react-dom": "19.0.3",
     "autoprefixer": "10.4.20",
-    "eslint": "9.19.0",
+    "eslint": "9.39.1",
-    "eslint-config-next": "15.1.6",
+    "eslint-config-next": "15.5.23",
-    "postcss": "8.5.1",
+    "postcss": "8.5.26",
     "prisma": "6.3.1",
     "tailwindcss": "3.4.17",
-    "tsx": "4.19.2",
+    "tsx": "4.20.6",
     "typescript": "5.7.3",
-    "vitest": "3.0.5"
+    "vitest": "3.2.6"
   },
   "allowScripts": {
     "@prisma/client@6.3.1": true,
@@ -97,6 +100,9 @@
     "next-auth": {
       "@simplewebauthn/server": "$@simplewebauthn/server",
       "@simplewebauthn/browser": "$@simplewebauthn/browser"
-    }
+    },
+    "nodemailer": "9.0.5",
+    "postcss": "8.5.26",
+    "sharp": "0.35.3"
   }
 }

prisma/migrations/20260822160000_passkey_anmeldung/migration.sql

@@ -2,10 +2,11 @@
 --
 -- ACHTUNG beim Erzeugen weiterer Migrationen: "prisma migrate diff" wollte
 -- hier zusaetzlich die Trigramm-Indizes "dokument_absender_trgm" und
--- "vorgang_titel_trgm" loeschen. Die stammen aus prisma/sql/suche.sql und
+-- "vorgang_titel_trgm" loeschen. Die stammen aus prisma/sql/volltextsuche.sql und
 -- sind Prisma unbekannt - ein DROP haette die unscharfe Suche stillgelegt,
 -- ohne dass irgendetwas fehlgeschlagen waere. Solche Zeilen gehoeren aus
 -- jeder erzeugten Migration entfernt.
+-- Kuenftig nimmt "npm run db:migration" diese Zeilen selbst heraus.
 
 -- CreateEnum
 CREATE TYPE "PasskeyAnfrageArt" AS ENUM ('REGISTRIERUNG', 'ANMELDUNG');

prisma/migrations/20260823000500_zahlungsgruppe_geklaert/migration.sql

@@ -2,10 +2,11 @@
 --
 -- ACHTUNG, zum zweiten Mal in diesem Projekt: "prisma migrate diff" wollte
 -- hier wieder die Trigramm-Indizes "dokument_absender_trgm" und
--- "vorgang_titel_trgm" loeschen. Die stammen aus prisma/sql/suche.sql und
+-- "vorgang_titel_trgm" loeschen. Die stammen aus prisma/sql/volltextsuche.sql und
 -- sind Prisma unbekannt; ein DROP haette die unscharfe Suche stillgelegt,
 -- ohne dass irgendetwas fehlgeschlagen waere. Die Zeilen sind entfernt.
 -- Wer die naechste Migration erzeugt: nachsehen und wieder herausnehmen.
+-- Kuenftig nimmt "npm run db:migration" diese Zeilen selbst heraus.
 
 -- CreateTable
 CREATE TABLE "zahlungsgruppe_geklaert" (

prisma/migrations/20260823062000_buchung_vertragszahlung/migration.sql

@@ -2,10 +2,11 @@
 --
 -- ACHTUNG, zum dritten Mal: "prisma migrate diff" wollte wieder die
 -- Trigramm-Indizes "dokument_absender_trgm" und "vorgang_titel_trgm"
--- loeschen. Sie stammen aus prisma/sql/suche.sql und sind Prisma
+-- loeschen. Sie stammen aus prisma/sql/volltextsuche.sql und sind Prisma
 -- unbekannt; ein DROP legt die unscharfe Suche stumm, ohne dass etwas
 -- fehlschlaegt. Zeilen entfernt. Wer die naechste Migration erzeugt:
 -- nachsehen.
+-- Kuenftig nimmt "npm run db:migration" diese Zeilen selbst heraus.
 
 -- AlterTable
 ALTER TABLE "buchung" ADD COLUMN     "vertragAutomatisch" BOOLEAN NOT NULL DEFAULT false,

prisma/migrations/20260823102500_schreibvorlage/migration.sql

@@ -1,8 +1,9 @@
 -- Eigene Schreibvorlagen.
 --
 -- ACHTUNG, zum vierten Mal: "prisma migrate diff" wollte wieder die
--- Trigramm-Indizes aus prisma/sql/suche.sql loeschen. Zeilen entfernt.
+-- Trigramm-Indizes aus prisma/sql/volltextsuche.sql loeschen. Zeilen entfernt.
 -- Wer die naechste Migration erzeugt: nachsehen.
+-- Kuenftig nimmt "npm run db:migration" diese Zeilen selbst heraus.
 
 -- CreateTable
 CREATE TABLE "schreibvorlage" (

prisma/migrations/20260823153000_ansprechpartner/migration.sql

@@ -1,8 +1,9 @@
 -- Ansprechpartner am Vorgang, Anrede am Kontakt.
 --
 -- ACHTUNG, zum fuenften Mal: "prisma migrate diff" wollte wieder die
--- Trigramm-Indizes aus prisma/sql/suche.sql loeschen. Zeilen entfernt.
+-- Trigramm-Indizes aus prisma/sql/volltextsuche.sql loeschen. Zeilen entfernt.
 -- Wer die naechste Migration erzeugt: nachsehen.
+-- Kuenftig nimmt "npm run db:migration" diese Zeilen selbst heraus.
 
 -- CreateEnum
 CREATE TYPE "KontaktAnrede" AS ENUM ('OHNE', 'FRAU', 'HERR');

prisma/migrations/20260823193832_betreuer_anschrift/migration.sql

@@ -0,0 +1,14 @@
+-- betreuer_anschrift
+--
+-- Erzeugt mit "npm run db:migration". Entfernt wurden die
+-- DROP-INDEX-Anweisungen zu diesen Indizes:
+--   dokument_absender_trgm
+--   vorgang_titel_trgm
+--
+-- Sie stammen aus prisma/sql/volltextsuche.sql und sind Prisma unbekannt;
+-- ohne sie waere die Volltextsuche still langsam geworden.
+
+-- AlterTable
+ALTER TABLE "benutzer" ADD COLUMN     "ort" TEXT,
+ADD COLUMN     "plz" TEXT,
+ADD COLUMN     "strasse" TEXT;

prisma/migrations/20260824074643_sicherheitsaudit/migration.sql

@@ -0,0 +1,31 @@
+-- sicherheitsaudit
+--
+-- Erzeugt mit "npm run db:migration". Entfernt wurden die
+-- DROP-INDEX-Anweisungen zu diesen Indizes:
+--   dokument_absender_trgm
+--   vorgang_titel_trgm
+--
+-- Sie stammen aus prisma/sql/volltextsuche.sql und sind Prisma unbekannt;
+-- ohne sie waere die Volltextsuche still langsam geworden.
+
+-- AlterTable
+ALTER TABLE "benutzer" ADD COLUMN     "totpLetzterSchritt" INTEGER;
+
+-- CreateTable
+CREATE TABLE "ersteinrichtung" (
+    "id" TEXT NOT NULL,
+    "abgeschlossenAm" TIMESTAMP(3) NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    "userId" TEXT,
+
+    CONSTRAINT "ersteinrichtung_pkey" PRIMARY KEY ("id")
+);
+
+-- Bestehende Installationen nachziehen.
+--
+-- Die Tabelle oben ist die Sperre fuer die Ersteinrichtung. Auf einem
+-- System, das schon laeuft, ist die Einrichtung laengst erledigt - ohne
+-- diese Zeile stuende die Sperre nach dem Update offen, und der Weg zum
+-- Anlegen eines Administrators waere wieder frei.
+INSERT INTO "ersteinrichtung" ("id", "userId")
+SELECT 'einmalig', (SELECT "id" FROM "benutzer" ORDER BY "erstelltAm" ASC LIMIT 1)
+WHERE EXISTS (SELECT 1 FROM "benutzer");

prisma/schema.prisma

@@ -70,6 +70,13 @@ model User {
   // TOTP ist Pflicht. Das Secret liegt verschluesselt, nicht im Klartext.
   totpSecretVerschluesselt String?
   totpAktiviertAm          DateTime?
+  /// Der zuletzt akzeptierte TOTP-Zeitschritt (Unixzeit / 30).
+  ///
+  /// Ein TOTP-Code gilt 30 Sekunden, mit Toleranz bis zu 90. In dieser Zeit
+  /// liesse sich derselbe Code ein zweites Mal einloesen - abgelesen ueber
+  /// die Schulter oder abgefangen. Deshalb wird der Schritt festgehalten
+  /// und nur noch ein groesserer akzeptiert.
+  totpLetzterSchritt       Int?
   // Einmal-Wiederherstellungscodes, einzeln Argon2id-gehasht.
   wiederherstellungscodes  String[]  @default([])
 
@@ -81,6 +88,13 @@ model User {
   // (Passwortwechsel, Rollenaenderung, Verdacht auf Kompromittierung).
   sitzungsGeneration Int @default(0)
 
+  /// Die eigene Anschrift - Absenderblock und Ort in der Datumszeile
+  /// jedes erzeugten Schreibens. Sie gehoert zum Betreuer und nicht zur
+  /// betreuten Person: Sie gilt fuer alle Akten.
+  strasse String?
+  plz     String?
+  ort     String?
+
   // Oberflaechen-Einstellungen
   theme String @default("system") // "system" | "hell" | "dunkel"
 
@@ -121,6 +135,25 @@ model BetreuungsZugang {
   @@map("betreuungs_zugang")
 }
 
+/// Haelt fest, dass die Ersteinrichtung stattgefunden hat.
+///
+/// Die Tabelle hat genau eine Zeile mit fester Id. Das ist kein Protokoll,
+/// sondern eine Sperre: Vorher stand im Code "wenn es noch keinen Benutzer
+/// gibt, lege einen an" - zwei Anfragen gleichzeitig kamen beide durch die
+/// Pruefung und legten beide einen Administrator an. Ueber den
+/// Primaerschluessel entscheidet das jetzt die Datenbank, und zwar fuer
+/// genau einen Gewinner.
+model Ersteinrichtung {
+  /// Immer "einmalig". Der feste Wert ist die Sperre.
+  id String @id
+
+  abgeschlossenAm DateTime @default(now())
+  /// Wer den Zugang angelegt hat - nur zum Nachvollziehen.
+  userId          String?
+
+  @@map("ersteinrichtung")
+}
+
 /// Fehlgeschlagene und erfolgreiche Anmeldeversuche - Grundlage fuer das
 /// Rate-Limiting am Login. Wird nach 30 Tagen aufgeraeumt.
 model LoginVersuch {

prisma/seed.ts

@@ -22,7 +22,7 @@
  *
  * Der Seed ist idempotent: mehrfaches Ausfuehren aendert nichts.
  */
-import { PrismaClient } from '@prisma/client'
+import { PrismaClient, type BuchungKategorie, type Prisma } from '@prisma/client'
 import { hash } from '@node-rs/argon2'
 import { createCipheriv, randomBytes } from 'node:crypto'
 
@@ -112,6 +112,14 @@ async function ersterZugang() {
     },
   })
 
+  // Die Ersteinrichtung ist damit erledigt. Ohne diese Zeile stuende die
+  // Einrichtungsseite nach dem Seed weiter offen.
+  await db.ersteinrichtung.upsert({
+    where: { id: 'einmalig' },
+    update: {},
+    create: { id: 'einmalig', userId: benutzer.id },
+  })
+
   console.log(`Zugang ${email} angelegt.`)
   if (devSecret) {
     console.log('  Zweiter Faktor mit dem Entwicklungs-Geheimnis vorbelegt.')
@@ -263,9 +271,11 @@ async function demofall(userId: string) {
       art: 'GIRO',
       ibanVerschluesselt: verschluesseln('DE02773501100123456789', 'ibanVerschluesselt'),
       saldostaende: {
+        // Nur der Anfangsstand. Der spaetere wird weiter unten aus den
+        // Buchungen gerechnet - ein Demofall, der sich selbst
+        // widerspricht, waere schlimmer als einer ohne Buchungen.
         create: [
           { stichtag: datum('2026-02-14'), betragCent: cent(4218.36), quelle: 'Kontoauszug 02/2026' },
-          { stichtag: datum('2026-07-31'), betragCent: cent(2967.11), quelle: 'Kontoauszug 07/2026' },
         ],
       },
     },
@@ -523,6 +533,309 @@ async function demofall(userId: string) {
     })
   }
 
+
+  // --- Kontobewegungen ----------------------------------------------------
+  // Zwoelf Monate auf dem Girokonto. Erzeugt aus einem Muster und nicht
+  // einzeln abgetippt: So bleibt der Fall aenderbar, und die Betraege
+  // widersprechen sich nicht.
+  //
+  // Die Gegenstellen sind absichtlich uneinheitlich geschrieben. Genau
+  // damit muss die Zusammenfassung wiederkehrender Zahlungen umgehen - auf
+  // einem Kontoauszug steht dieselbe Stelle auch mal in Grossbuchstaben.
+  type Buchungsvorlage = {
+    tag: number
+    betrag: number
+    richtung: 'EINNAHME' | 'AUSGABE'
+    kategorie: BuchungKategorie
+    gegenstellen: string[]
+    zweck: string
+  }
+
+  const MONATLICH: Buchungsvorlage[] = [
+    {
+      tag: 1,
+      betrag: 1284.17,
+      richtung: 'EINNAHME',
+      kategorie: 'RENTE',
+      gegenstellen: [
+        'Deutsche Rentenversicherung Bund',
+        'DRV BUND',
+        'Deutsche Rentenversich. Bund',
+      ],
+      zweck: 'Altersrente',
+    },
+    {
+      tag: 1,
+      betrag: 96.4,
+      richtung: 'EINNAHME',
+      kategorie: 'RENTE',
+      gegenstellen: ['Zusatzversorgungskasse Bayern', 'ZVK Bayern'],
+      zweck: 'Betriebsrente',
+    },
+    {
+      tag: 3,
+      betrag: 1262,
+      richtung: 'EINNAHME',
+      kategorie: 'PFLEGEKASSE',
+      gegenstellen: ['Pflegekasse bei der AOK Bayern', 'AOK Bayern - Pflegekasse'],
+      zweck: 'Leistung vollstationaere Pflege, Pflegegrad 3',
+    },
+    {
+      tag: 5,
+      betrag: 2489,
+      richtung: 'AUSGABE',
+      kategorie: 'HEIMKOSTEN',
+      gegenstellen: [
+        'Seniorenzentrum St. Katharina',
+        'SENIORENZENTRUM ST KATHARINA',
+        'Seniorenzentrum St. Katharina gGmbH',
+      ],
+      zweck: 'Heimentgelt',
+    },
+    {
+      tag: 5,
+      betrag: 135,
+      richtung: 'AUSGABE',
+      kategorie: 'BARBETRAG',
+      // Eigene Gegenstelle, nicht das Heim: Sonst faellt der Barbetrag
+      // mit dem Heimentgelt in eine Gruppe, und aus zwei sauberen
+      // monatlichen Zahlungen wird eine "schwankende".
+      gegenstellen: ['Barauszahlung Verwahrgeldkonto'],
+      zweck: 'Barbetrag zur persoenlichen Verfuegung',
+    },
+    {
+      tag: 15,
+      betrag: 18.4,
+      richtung: 'AUSGABE',
+      kategorie: 'VERSICHERUNG',
+      gegenstellen: ['Nordheim Sterbekasse VVaG', 'NORDHEIM STERBEKASSE', 'Nordheim Sterbekasse'],
+      zweck: 'Beitrag Sterbegeldversicherung SG-220417',
+    },
+    {
+      tag: 20,
+      betrag: 24.9,
+      richtung: 'AUSGABE',
+      kategorie: 'TELEFON_INTERNET',
+      gegenstellen: ['TeleCare Kommunikation GmbH', 'TELECARE KOMMUNIKATION'],
+      zweck: 'Telefon und Fernsehen im Zimmer',
+    },
+    {
+      tag: 28,
+      betrag: 4.9,
+      richtung: 'AUSGABE',
+      kategorie: 'BANKGEBUEHREN',
+      gegenstellen: ['Sparkasse Bayreuth'],
+      zweck: 'Kontofuehrung',
+    },
+  ]
+
+  /** Zwoelf Monate bis einschliesslich Juli 2026. */
+  const MONATE = [
+    '2025-08',
+    '2025-09',
+    '2025-10',
+    '2025-11',
+    '2025-12',
+    '2026-01',
+    '2026-02',
+    '2026-03',
+    '2026-04',
+    '2026-05',
+    '2026-06',
+    '2026-07',
+  ]
+
+  const buchungen: Prisma.BuchungCreateManyInput[] = []
+
+  MONATE.forEach((monat, lauf) => {
+    MONATLICH.forEach((vorlage, stelle) => {
+      // Die Sterbegeld-Lastschrift steigt im Mai 2026. Daran wird die
+      // Pruefung beim Zuordnen einer Dauerzahlung sichtbar: Der Betrag
+      // weicht vom hinterlegten Beitrag ab.
+      const betrag =
+        vorlage.kategorie === 'VERSICHERUNG' && monat >= '2026-05' ? 19.8 : vorlage.betrag
+
+      buchungen.push({
+        betreuteId: betreute.id,
+        kontoId: giro.id,
+        datum: datum(`${monat}-${String(vorlage.tag).padStart(2, '0')}`),
+        betragCent: cent(betrag),
+        richtung: vorlage.richtung,
+        kategorie: vorlage.kategorie,
+        gegenstelle: vorlage.gegenstellen[lauf % vorlage.gegenstellen.length],
+        verwendungszweckVerschluesselt: verschluesseln(
+          vorlage.zweck,
+          'verwendungszweckVerschluesselt',
+        ),
+        // Wiederkehrende Zahlungen brauchen keinen Einzelbeleg - der
+        // Bescheid bzw. der Vertrag dahinter ist der Nachweis.
+        belegFehltBegruendung:
+          vorlage.richtung === 'EINNAHME'
+            ? 'Laufender Bezug, Nachweis ist der Bescheid.'
+            : 'Wiederkehrende Zahlung aus laufendem Vertrag.',
+        // Die Stelle in der Vorlagenliste gehoert in die Referenz: Zwei
+        // Renten am Monatsersten haetten sonst dieselbe, und der
+        // Unique-Index gegen Doppelbuchungen schlaegt zu Recht zu.
+        importReferenz: `demo-${monat}-${stelle}-${vorlage.kategorie}`,
+      })
+    })
+  })
+
+  // Vierteljaehrliches und Einmaliges - damit nicht alles im Monatsraster
+  // liegt und die Belegpflicht etwas zu zeigen hat.
+  const EINZELN: {
+    datum: string
+    betrag: number
+    richtung: 'EINNAHME' | 'AUSGABE'
+    kategorie: BuchungKategorie
+    gegenstelle: string
+    zweck: string
+    begruendung?: string
+  }[] = [
+    {
+      datum: '2025-08-15',
+      betrag: 55.08,
+      richtung: 'AUSGABE',
+      kategorie: 'RUNDFUNKBEITRAG',
+      gegenstelle: 'ARD ZDF Deutschlandradio Beitragsservice',
+      zweck: 'Rundfunkbeitrag 3. Quartal 2025',
+      begruendung: 'Wiederkehrende Zahlung, Beitragsbescheid liegt vor.',
+    },
+    {
+      datum: '2025-11-15',
+      betrag: 55.08,
+      richtung: 'AUSGABE',
+      kategorie: 'RUNDFUNKBEITRAG',
+      gegenstelle: 'ARD ZDF Deutschlandradio Beitragsservice',
+      zweck: 'Rundfunkbeitrag 4. Quartal 2025',
+      begruendung: 'Wiederkehrende Zahlung, Beitragsbescheid liegt vor.',
+    },
+    {
+      datum: '2026-02-15',
+      betrag: 55.08,
+      richtung: 'AUSGABE',
+      kategorie: 'RUNDFUNKBEITRAG',
+      gegenstelle: 'ARD ZDF Deutschlandradio Beitragsservice',
+      zweck: 'Rundfunkbeitrag 1. Quartal 2026',
+      begruendung: 'Wiederkehrende Zahlung, Beitragsbescheid liegt vor.',
+    },
+    {
+      datum: '2026-05-15',
+      betrag: 55.08,
+      richtung: 'AUSGABE',
+      kategorie: 'RUNDFUNKBEITRAG',
+      gegenstelle: 'ARD ZDF Deutschlandradio Beitragsservice',
+      zweck: 'Rundfunkbeitrag 2. Quartal 2026',
+      begruendung: 'Wiederkehrende Zahlung, Beitragsbescheid liegt vor.',
+    },
+    {
+      datum: '2026-02-16',
+      betrag: 187.5,
+      richtung: 'AUSGABE',
+      kategorie: 'GRUNDSTEUER',
+      gegenstelle: 'Gemeinde Bindlach',
+      zweck: 'Grundsteuer B, 1. Rate 2026',
+      begruendung: 'Bescheid der Gemeinde liegt in der Akte.',
+    },
+    {
+      datum: '2026-05-16',
+      betrag: 187.5,
+      richtung: 'AUSGABE',
+      kategorie: 'GRUNDSTEUER',
+      gegenstelle: 'Gemeinde Bindlach',
+      zweck: 'Grundsteuer B, 2. Rate 2026',
+      begruendung: 'Bescheid der Gemeinde liegt in der Akte.',
+    },
+    {
+      datum: '2026-01-19',
+      betrag: 240,
+      richtung: 'AUSGABE',
+      kategorie: 'IMMOBILIE_BETRIEBSKOSTEN',
+      gegenstelle: 'Stadtwerke Bayreuth',
+      zweck: 'Abschlag Strom und Wasser, Haus Bindlach',
+      begruendung: 'Jahresabrechnung steht noch aus.',
+    },
+    {
+      datum: '2026-03-11',
+      betrag: 10,
+      richtung: 'AUSGABE',
+      kategorie: 'ZUZAHLUNG',
+      gegenstelle: 'Apotheke am Markt',
+      zweck: 'Zuzahlung Rezept',
+      begruendung: 'Quittung liegt in der Akte.',
+    },
+    // Der Fall fuer die Belegpflicht: keine Quittung und keine Begruendung.
+    // Genau so sieht eine Buchung aus, die noch Arbeit macht.
+    {
+      datum: '2026-04-08',
+      betrag: 89.95,
+      richtung: 'AUSGABE',
+      kategorie: 'BEKLEIDUNG',
+      gegenstelle: 'Modehaus Lindner',
+      zweck: 'Winterjacke und zwei Nachthemden',
+    },
+    {
+      datum: '2026-06-17',
+      betrag: 23,
+      richtung: 'AUSGABE',
+      kategorie: 'SONSTIGE_AUSGABE',
+      gegenstelle: 'Friseur im Haus',
+      zweck: 'Friseur',
+      begruendung: 'Bar aus dem Barbetrag bezahlt, keine Quittung ausgestellt.',
+    },
+    {
+      datum: '2026-07-02',
+      betrag: 62.4,
+      richtung: 'EINNAHME',
+      kategorie: 'ZINSEN',
+      gegenstelle: 'Sparkasse Bayreuth',
+      zweck: 'Zinsgutschrift',
+      begruendung: 'Der Kontoauszug ist der Nachweis.',
+    },
+  ]
+
+  for (const eintrag of EINZELN) {
+    buchungen.push({
+      betreuteId: betreute.id,
+      kontoId: giro.id,
+      datum: datum(eintrag.datum),
+      betragCent: cent(eintrag.betrag),
+      richtung: eintrag.richtung,
+      kategorie: eintrag.kategorie,
+      gegenstelle: eintrag.gegenstelle,
+      verwendungszweckVerschluesselt: verschluesseln(
+        eintrag.zweck,
+        'verwendungszweckVerschluesselt',
+      ),
+      belegFehltBegruendung: eintrag.begruendung ?? null,
+      importReferenz: `demo-${eintrag.datum}-${eintrag.kategorie}`,
+    })
+  }
+
+  await db.buchung.createMany({ data: buchungen })
+
+  // Der Kontostand zum 31.07.2026 wird gerechnet, nicht behauptet: Anfangs-
+  // stand plus alles, was seither ueber das Konto gelaufen ist. Sonst
+  // widerspraeche der Demofall sich selbst, sobald jemand nachrechnet.
+  const bewegungCent = buchungen
+    .filter((eintrag) => {
+      const tag = eintrag.datum as Date
+      return tag > datum('2026-02-14') && tag <= datum('2026-07-31')
+    })
+    .reduce((summe, eintrag) => {
+      const betrag = eintrag.betragCent as bigint
+      return eintrag.richtung === 'EINNAHME' ? summe + betrag : summe - betrag
+    }, 0n)
+
+  await db.saldostand.create({
+    data: {
+      kontoId: giro.id,
+      stichtag: datum('2026-07-31'),
+      betragCent: cent(4218.36) + bewegungCent,
+      quelle: 'Kontoauszug 07/2026',
+    },
+  })
+
   console.log('Demofall "Erika Musterfrau" angelegt.')
 }
 

scripts/migration-erzeugen.d.mts

@@ -0,0 +1,32 @@
+/**
+ * Typen fuer das Werkzeugskript.
+ *
+ * Das Skript selbst bleibt .mjs - es laeuft ohne Bauschritt, auch auf
+ * einem Rechner, auf dem nur Node steht. Die Typen daneben sorgen dafuer,
+ * dass die Tests trotzdem geprueft werden und nicht stillschweigend
+ * gegen "any" laufen.
+ */
+
+export type GeschuetzterIndex = {
+  name: string
+  quelle: string
+}
+
+export declare const GESCHUETZTE_INDIZES: GeschuetzterIndex[]
+
+export declare function dropZeilenEntfernen(
+  sql: string,
+  geschuetzt?: GeschuetzterIndex[],
+): { sql: string; entfernt: string[] }
+
+export declare function hatAnweisungen(sql: string): boolean
+
+export declare function kopfBauen(
+  name: string,
+  entfernt: string[],
+  geschuetzt?: GeschuetzterIndex[],
+): string
+
+export declare function ordnernameBauen(name: string, jetzt?: Date): string
+
+export declare function indizesPruefen(): void

scripts/migration-erzeugen.mjs

@@ -0,0 +1,296 @@
+#!/usr/bin/env node
+/**
+ * Eine Migration erzeugen, ohne die Volltextsuche kaputtzumachen.
+ *
+ *   npm run db:migration -- ansprechpartner
+ *   npm run db:migration -- ansprechpartner --anwenden
+ *
+ * Das Problem, das dieses Skript loest: "prisma migrate diff" kennt nur
+ * das, was im Prisma-Schema steht. Die Trigramm-Indizes der Suche stehen
+ * aber in prisma/sql/volltextsuche.sql und sind Prisma unbekannt - also
+ * haelt es sie fuer ueberfluessig und schreibt in JEDE erzeugte Migration:
+ *
+ *   DROP INDEX "dokument_absender_trgm";
+ *   DROP INDEX "vorgang_titel_trgm";
+ *
+ * Fuenfmal ist das passiert, fuenfmal mussten die Zeilen von Hand raus.
+ * Auf dem Server waere es nicht aufgefallen, weil update.sh die Indizes
+ * hinterher ohnehin neu anlegt - in der Entwicklung dagegen waere die
+ * Suche still langsam geworden, ohne dass etwas fehlschlaegt.
+ *
+ * Was das Skript macht:
+ *   1. Migration mit "migrate diff" erzeugen.
+ *   2. DROP-Zeilen zu geschuetzten Indizes entfernen und im Kopf
+ *      vermerken, welche das waren.
+ *   3. Auf Wunsch (--anwenden) "migrate deploy" laufen lassen und danach
+ *      pruefen, dass die geschuetzten Indizes wirklich noch stehen.
+ *
+ * Nicht automatisch angewendet wird die Migration ohne --anwenden: Erst
+ * liest man, was da erzeugt wurde.
+ */
+import { execFileSync } from 'node:child_process'
+import { mkdirSync, rmSync, writeFileSync } from 'node:fs'
+import { tmpdir } from 'node:os'
+import { dirname, join } from 'node:path'
+import { fileURLToPath } from 'node:url'
+
+const WURZEL = join(dirname(fileURLToPath(import.meta.url)), '..')
+
+/**
+ * Indizes, die es nur in prisma/sql/ gibt und die Prisma deshalb nicht
+ * kennt. Wer dort einen hinzufuegt, traegt ihn hier ein - sonst faellt er
+ * der naechsten Migration zum Opfer.
+ */
+export const GESCHUETZTE_INDIZES = [
+  { name: 'dokument_absender_trgm', quelle: 'prisma/sql/volltextsuche.sql' },
+  { name: 'vorgang_titel_trgm', quelle: 'prisma/sql/volltextsuche.sql' },
+]
+
+/**
+ * Entfernt DROP-INDEX-Anweisungen zu geschuetzten Indizes.
+ *
+ * Bewusst eng gefasst: Nur eine Anweisung, die genau einen geschuetzten
+ * Index nennt, faellt weg. Ein DROP INDEX auf einen Prisma-eigenen Index
+ * bleibt stehen - der soll ja weg. Der Kommentar "-- DropIndex", den
+ * Prisma darueber setzt, wird mitgenommen, damit keine verwaisten
+ * Ueberschriften zurueckbleiben.
+ *
+ * @param {string} sql
+ * @param {{name: string}[]} geschuetzt
+ * @returns {{sql: string, entfernt: string[]}}
+ */
+export function dropZeilenEntfernen(sql, geschuetzt = GESCHUETZTE_INDIZES) {
+  const namen = geschuetzt.map((eintrag) => eintrag.name)
+  const zeilen = sql.split('\n')
+  const behalten = []
+  const entfernt = []
+
+  for (let i = 0; i < zeilen.length; i++) {
+    const zeile = zeilen[i]
+    const treffer = namen.find(
+      (name) => /^\s*DROP\s+INDEX\b/i.test(zeile) && zeile.includes(name),
+    )
+
+    if (!treffer) {
+      behalten.push(zeile)
+      continue
+    }
+
+    entfernt.push(treffer)
+
+    // Die "-- DropIndex"-Ueberschrift darueber mitnehmen, samt der
+    // Leerzeile davor - sonst bleiben Luecken im Text stehen.
+    while (behalten.length > 0 && /^\s*--\s*DropIndex\s*$/i.test(behalten[behalten.length - 1])) {
+      behalten.pop()
+      while (behalten.length > 0 && behalten[behalten.length - 1].trim() === '') behalten.pop()
+    }
+
+    // Leerzeilen, die der entfernten Anweisung folgen, ebenfalls.
+    while (i + 1 < zeilen.length && zeilen[i + 1].trim() === '') i++
+  }
+
+  return { sql: behalten.join('\n').replace(/\n{3,}/g, '\n\n').trimStart(), entfernt }
+}
+
+/**
+ * Steht in dem SQL ueberhaupt noch eine Anweisung?
+ *
+ * Wichtig fuer den Normalfall: Wenn Schema und Datenbank uebereinstimmen,
+ * besteht der ganze Diff aus den beiden bekannten DROP-INDEX-Zeilen. Nach
+ * dem Entfernen bleibt nichts uebrig - und eine leere Migration anzulegen
+ * waere schlimmer als gar keine, weil sie als angewendet in der Historie
+ * steht und niemand mehr weiss, wofuer sie gut war.
+ *
+ * @param {string} sql
+ * @returns {boolean}
+ */
+export function hatAnweisungen(sql) {
+  return sql
+    .split('\n')
+    .some((zeile) => zeile.trim() !== '' && !zeile.trim().startsWith('--'))
+}
+
+/** Der Kopfkommentar der erzeugten Datei. */
+export function kopfBauen(name, entfernt, geschuetzt = GESCHUETZTE_INDIZES) {
+  const zeilen = [`-- ${name}`, '--']
+
+  if (entfernt.length === 0) {
+    zeilen.push('-- Erzeugt mit "npm run db:migration". Nichts zu entfernen.')
+  } else {
+    const quellen = [
+      ...new Set(
+        entfernt.map(
+          (eintrag) => geschuetzt.find((g) => g.name === eintrag)?.quelle ?? 'prisma/sql/',
+        ),
+      ),
+    ]
+    zeilen.push(
+      '-- Erzeugt mit "npm run db:migration". Entfernt wurden die',
+      '-- DROP-INDEX-Anweisungen zu diesen Indizes:',
+      ...entfernt.map((eintrag) => `--   ${eintrag}`),
+      '--',
+      `-- Sie stammen aus ${quellen.join(', ')} und sind Prisma unbekannt;`,
+      '-- ohne sie waere die Volltextsuche still langsam geworden.',
+    )
+  }
+
+  zeilen.push('')
+  return zeilen.join('\n')
+}
+
+/** Zeitstempel im Prisma-Format, aus der lokalen Uhr. */
+export function ordnernameBauen(name, jetzt = new Date()) {
+  const zwei = (zahl) => String(zahl).padStart(2, '0')
+  const stempel = [
+    jetzt.getFullYear(),
+    zwei(jetzt.getMonth() + 1),
+    zwei(jetzt.getDate()),
+    zwei(jetzt.getHours()),
+    zwei(jetzt.getMinutes()),
+    zwei(jetzt.getSeconds()),
+  ].join('')
+  return `${stempel}_${name}`
+}
+
+// --- Ab hier: Ausfuehrung ----------------------------------------------------
+
+/**
+ * Prisma direkt ueber sein Eintrittsskript aufrufen, nicht ueber npx.
+ *
+ * Mit "shell: true" wuerde Node warnen (Argumente werden dann nur
+ * aneinandergehaengt statt maskiert), und ohne Shell findet Windows das
+ * npx-Skript nicht. Der Weg ueber node loest beides und ist derselbe,
+ * den scripts/update.sh schon nimmt.
+ */
+function prisma(argumente, optionen = {}) {
+  const eintritt = join(WURZEL, 'node_modules', 'prisma', 'build', 'index.js')
+  return execFileSync(process.execPath, [eintritt, ...argumente], {
+    cwd: WURZEL,
+    encoding: 'utf8',
+    ...optionen,
+  })
+}
+
+function abbruch(meldung) {
+  console.error(`\n  Abbruch: ${meldung}\n`)
+  process.exit(1)
+}
+
+function hauptlauf() {
+  const argumente = process.argv.slice(2)
+  const anwenden = argumente.includes('--anwenden')
+  const name = argumente.find((eintrag) => !eintrag.startsWith('--'))
+
+  if (!name) {
+    abbruch(
+      'Bitte einen Namen angeben:  npm run db:migration -- <name> [--anwenden]\n' +
+        '           Beispiel:              npm run db:migration -- ansprechpartner',
+    )
+  }
+  if (!/^[a-z0-9_]+$/.test(name)) {
+    abbruch(`"${name}" taugt nicht als Ordnername. Erlaubt: a-z, 0-9 und _`)
+  }
+
+  console.log(`\n  Migration "${name}" erzeugen\n`)
+
+  let roh
+  try {
+    roh = prisma([
+      'migrate',
+      'diff',
+      '--from-schema-datasource',
+      'prisma/schema.prisma',
+      '--to-schema-datamodel',
+      'prisma/schema.prisma',
+      '--script',
+    ])
+  } catch (fehler) {
+    abbruch(`"prisma migrate diff" ist fehlgeschlagen:\n${fehler.message}`)
+  }
+
+  if (roh.trim() === '' || /^--\s*This is an empty migration/im.test(roh)) {
+    abbruch('Schema und Datenbank stimmen bereits ueberein - es gibt nichts zu migrieren.')
+  }
+
+  const { sql, entfernt } = dropZeilenEntfernen(roh)
+
+  if (!hatAnweisungen(sql)) {
+    const grund =
+      entfernt.length > 0
+        ? `Uebrig blieben nur die bekannten DROP-INDEX-Zeilen (${entfernt.join(', ')}).`
+        : 'Der Vergleich hat keine Anweisungen ergeben.'
+    abbruch(
+      `Es gibt nichts zu migrieren. ${grund}\n` +
+        '           Es wurde keine Migration angelegt.',
+    )
+  }
+
+  const ordner = join(WURZEL, 'prisma', 'migrations', ordnernameBauen(name))
+  mkdirSync(ordner, { recursive: true })
+  const datei = join(ordner, 'migration.sql')
+  writeFileSync(datei, `${kopfBauen(name, entfernt)}\n${sql.trimEnd()}\n`, 'utf8')
+
+  console.log(`  Geschrieben: ${datei.replace(WURZEL, '.')}`)
+  if (entfernt.length > 0) {
+    console.log('\n  Entfernte DROP-INDEX-Anweisungen:')
+    for (const eintrag of entfernt) console.log(`    - ${eintrag}`)
+  } else {
+    console.log('  Keine DROP-INDEX-Anweisung zu schuetzenden Indizes gefunden.')
+  }
+
+  if (!anwenden) {
+    console.log('\n  Jetzt: die Datei lesen, dann anwenden mit')
+    console.log('    npm run db:deploy && npm run db:pruefen\n')
+    return
+  }
+
+  console.log('\n  Anwenden ...')
+  try {
+    prisma(['migrate', 'deploy'], { stdio: 'inherit' })
+  } catch {
+    abbruch('"prisma migrate deploy" ist fehlgeschlagen. Die Datei bleibt liegen.')
+  }
+
+  indizesPruefen()
+}
+
+/**
+ * Stehen die geschuetzten Indizes noch?
+ *
+ * Der Sinn des ganzen Skripts haengt an dieser Pruefung: Sie ist der
+ * Unterschied zwischen "sollte gutgegangen sein" und "nachgesehen".
+ */
+export function indizesPruefen() {
+  const bedingung = GESCHUETZTE_INDIZES.map((eintrag) => `'${eintrag.name}'`).join(', ')
+  const sql = `DO $$
+BEGIN
+  IF (SELECT count(*) FROM pg_indexes WHERE indexname IN (${bedingung})) <> ${GESCHUETZTE_INDIZES.length} THEN
+    RAISE EXCEPTION 'Es fehlen geschuetzte Indizes';
+  END IF;
+END $$;`
+
+  // In den Temp-Ordner, nicht ins Repository: Die Datei ist Werkzeug,
+  // kein Bestandteil des Projekts.
+  const datei = join(tmpdir(), `indizes-pruefung-${process.pid}.sql`)
+  writeFileSync(datei, sql, 'utf8')
+
+  try {
+    prisma(['db', 'execute', '--schema', 'prisma/schema.prisma', '--file', datei], {
+      stdio: 'pipe',
+    })
+    console.log('\n  Geschuetzte Indizes stehen:')
+    for (const eintrag of GESCHUETZTE_INDIZES) console.log(`    - ${eintrag.name}`)
+    console.log('')
+  } catch {
+    abbruch(
+      'Nach der Migration fehlen geschuetzte Indizes.\n' +
+        '           Wiederherstellen mit:  npm run db:sql',
+    )
+  } finally {
+    rmSync(datei, { force: true })
+  }
+}
+
+if (process.argv[1] && process.argv[1].endsWith('migration-erzeugen.mjs')) {
+  hauptlauf()
+}

scripts/schluessel-erzeugen.mjs

@@ -18,6 +18,7 @@ AUTH_SECRET=${b64(32)}
 ENC_KEY_V1=${b64(32)}
 ENC_KEY_AKTIV=1
 INDEX_KEY=${b64(32)}
+ERSTEINRICHTUNG_GEHEIMNIS=${b64(24)}
 POSTGRES_PASSWORD=${b64(24).replace(/[+/=]/g, 'x')}
 
 # WICHTIG: ENC_KEY_V1 geht NICHT verloren gehen duerfen.

scripts/sicherung.sh

@@ -75,9 +75,19 @@ done
 # --- Selbstpruefung ----------------------------------------------------------
 # Ein Backup, das sich nicht entschluesseln laesst, ist kein Backup.
 # Deshalb wird sofort geprueft, ob die Datei wieder lesbar ist.
-if openssl enc -d -aes-256-cbc -pbkdf2 -iter 200000 \
+# Kein "| head -c 5 | grep -q": Beide schliessen die Leitung, sobald sie
-     -pass env:SICHERUNG_PASSWORT -in "$DATEI" 2>/dev/null \
+# genug haben. openssl schreibt dann in ein geschlossenes Rohr, bekommt
-   | head -c 5 | grep -q "PGDMP"; then
+# SIGPIPE - und mit "set -o pipefail" gilt die ganze Kette als
+# gescheitert. Bei einer kleinen Datenbank faellt das nicht auf, weil
+# alles schon im Puffer steht; mit wachsender Datenbank kippt es, und
+# dann meldet die Selbstpruefung eine INTAKTE Sicherung als kaputt.
+#
+# "dd" liest eine feste Menge und beendet sich regulaer.
+KOPF="$(openssl enc -d -aes-256-cbc -pbkdf2 -iter 200000 \
+          -pass env:SICHERUNG_PASSWORT -in "$DATEI" 2>/dev/null \
+        | dd bs=1 count=5 2>/dev/null || true)"
+
+if [ "$KOPF" = "PGDMP" ]; then
   echo "$(date -Iseconds) Selbstpruefung bestanden."
 else
   echo "$(date -Iseconds) FEHLER: Die Sicherung laesst sich nicht entschluesseln!" >&2

scripts/speicher-verschluesseln.mts

@@ -0,0 +1,184 @@
+/**
+ * Bestehende Dateien nachtraeglich in den Umschlag stecken.
+ *
+ *   npm run speicher:verschluesseln            # nur schauen
+ *   npm run speicher:verschluesseln -- --anwenden
+ *
+ * Warum es diesen Lauf gibt: Der Objektspeicher-Treiber hat bis v1.10.2
+ * unverschluesselt abgelegt - es stand nur ServerSideEncryption: 'AES256'
+ * darauf, also Verschluesselung mit dem Schluessel des Anbieters. Seit
+ * v1.11.0 liegt derselbe Umschlag darum wie beim Dateitreiber. Neue Dateien
+ * bekommen ihn beim Ablegen; die alten liegen weiter im Klartext, bis sie
+ * hier einmal umgeschrieben werden.
+ *
+ * Lesen funktioniert waehrenddessen durchgehend: Der Treiber erkennt am
+ * Kopf, ob ein Umschlag da ist, und reicht alles andere unveraendert durch.
+ * Der Lauf laesst sich also jederzeit starten, abbrechen und wiederholen.
+ *
+ * Er ist absichtlich langsam und einfach: ein Objekt nach dem anderen,
+ * lesen, pruefen, zurueckschreiben. Bei ein paar hundert Dokumenten dauert
+ * das Sekunden, und ein Fehler betrifft immer nur eine Datei.
+ *
+ * OHNE --anwenden wird nichts geschrieben.
+ */
+import { createRequire } from 'node:module'
+import { readFile, writeFile } from 'node:fs/promises'
+
+/**
+ * "server-only" fuer diesen Lauf neutralisieren.
+ *
+ * Das Paket wirft beim Import ausserhalb einer Server-Umgebung - genau
+ * dafuer ist es da. Hier laufen wir aber bewusst ausserhalb von Next, und
+ * die Alternative waere, den Umschlag im Skript noch einmal zu schreiben.
+ * Zwei Fassungen derselben Krypto sind die schlechtere Wahl: Wenn eine
+ * davon abweicht, merkt es niemand, bis eine Datei nicht mehr aufgeht.
+ *
+ * Deshalb wird der Modullader vorher umgebogen und danach dynamisch
+ * importiert - statische Importe wuerden vorgezogen und liefen in den
+ * Fehler.
+ */
+const verlangen = createRequire(import.meta.url)
+const modulLader = verlangen('node:module') as {
+  _load: (anfrage: string, ...rest: unknown[]) => unknown
+}
+const echterLader = modulLader._load
+modulLader._load = function (anfrage: string, ...rest: unknown[]) {
+  if (anfrage === 'server-only') return {}
+  return echterLader.call(this, anfrage, ...rest)
+}
+
+const { env } = await import('../src/lib/env')
+const { istVerschluesselt, verschluesselnBinaer } = await import('../src/lib/speicher/umschlag')
+
+const anwenden = process.argv.includes('--anwenden')
+
+type Bilanz = { geprueft: number; umgeschrieben: number; schonGut: number; fehler: number }
+
+function zeile(text = ''): void {
+  console.log(text)
+}
+
+/** Objektspeicher: auflisten, lesen, bei Bedarf zurueckschreiben. */
+async function s3Durchgehen(): Promise<Bilanz> {
+  const s3 = await import('../src/lib/speicher/s3')
+  const bilanz: Bilanz = { geprueft: 0, umgeschrieben: 0, schonGut: 0, fehler: 0 }
+
+  const schluessel = await s3.objekteAuflisten()
+  zeile(`  ${schluessel.length} Objekte im Eimer "${env.s3.bucket}".`)
+  zeile()
+
+  for (const eintrag of schluessel) {
+    bilanz.geprueft += 1
+    try {
+      const roh = await s3.rohLesen(eintrag)
+
+      if (istVerschluesselt(roh)) {
+        bilanz.schonGut += 1
+        continue
+      }
+
+      if (anwenden) {
+        // schreiben() legt den Umschlag selbst an - der Inhalt geht also
+        // als Klartext hinein und kommt verschluesselt im Eimer an.
+        await s3.schreiben(eintrag, roh, 'application/octet-stream')
+      }
+      bilanz.umgeschrieben += 1
+      zeile(`    ${anwenden ? 'umgeschrieben' : 'waere umzuschreiben'}: ${eintrag}`)
+    } catch (fehler) {
+      bilanz.fehler += 1
+      zeile(`    FEHLER bei ${eintrag}: ${fehler instanceof Error ? fehler.message : fehler}`)
+    }
+  }
+
+  return bilanz
+}
+
+/** Dateitreiber: dasselbe fuer das Ablageverzeichnis. */
+async function dateienDurchgehen(): Promise<Bilanz> {
+  const { readdir, stat } = await import('node:fs/promises')
+  const { join, relative, sep } = await import('node:path')
+  const treiber = await import('../src/lib/speicher/datei')
+  const bilanz: Bilanz = { geprueft: 0, umgeschrieben: 0, schonGut: 0, fehler: 0 }
+
+  const wurzel = treiber.ablageverzeichnis()
+  zeile(`  Verzeichnis ${wurzel}`)
+  zeile()
+
+  async function absteigen(verzeichnis: string): Promise<void> {
+    let eintraege: string[]
+    try {
+      eintraege = await readdir(verzeichnis)
+    } catch {
+      return // gibt es noch nicht
+    }
+
+    for (const name of eintraege) {
+      const pfad = join(verzeichnis, name)
+      if ((await stat(pfad)).isDirectory()) {
+        await absteigen(pfad)
+        continue
+      }
+
+      bilanz.geprueft += 1
+      try {
+        const roh = await readFile(pfad)
+        if (istVerschluesselt(roh)) {
+          bilanz.schonGut += 1
+          continue
+        }
+
+        // Der Ablageschluessel ist der Pfad unterhalb der Wurzel, mit
+        // Schraegstrichen - genau das, was der Treiber beim Schreiben
+        // benutzt. Er gehoert in die Zusatzdaten, sonst waere die Datei
+        // hinterher zwar verschluesselt, aber nicht an ihren Platz
+        // gebunden, und liesse sich unter fremdem Namen wieder einspielen.
+        const ablageschluessel = relative(wurzel, pfad).split(sep).join('/')
+
+        if (anwenden) {
+          await writeFile(pfad, verschluesselnBinaer(roh, ablageschluessel), { mode: 0o600 })
+        }
+        bilanz.umgeschrieben += 1
+        zeile(`    ${anwenden ? 'umgeschrieben' : 'waere umzuschreiben'}: ${pfad}`)
+      } catch (fehler) {
+        bilanz.fehler += 1
+        zeile(`    FEHLER bei ${pfad}: ${fehler instanceof Error ? fehler.message : fehler}`)
+      }
+    }
+  }
+
+  await absteigen(wurzel)
+  return bilanz
+}
+
+async function main(): Promise<void> {
+  zeile()
+  zeile('  Bestehende Dateien in den Umschlag stecken')
+  zeile('  ' + '-'.repeat(50))
+  zeile()
+
+  if (!anwenden) {
+    zeile('  TROCKENLAUF - es wird nichts geschrieben.')
+    zeile('  Zum Anwenden: npm run speicher:verschluesseln -- --anwenden')
+    zeile()
+  }
+
+  const treiber = env.speicherTreiber
+  zeile(`  Treiber: ${treiber}`)
+  zeile()
+
+  const bilanz = treiber === 's3' ? await s3Durchgehen() : await dateienDurchgehen()
+
+  zeile()
+  zeile(`  Geprueft:        ${bilanz.geprueft}`)
+  zeile(`  Schon im Umschlag: ${bilanz.schonGut}`)
+  zeile(`  ${anwenden ? 'Umgeschrieben' : 'Umzuschreiben'}:   ${bilanz.umgeschrieben}`)
+  if (bilanz.fehler > 0) zeile(`  Fehler:          ${bilanz.fehler}`)
+  zeile()
+
+  if (bilanz.fehler > 0) process.exitCode = 1
+}
+
+main().catch((fehler) => {
+  console.error(fehler)
+  process.exitCode = 1
+})

scripts/update.sh

@@ -52,6 +52,32 @@ gut()      { printf '    %s%s%s\n' "$GRUEN" "$1" "$AUS"; }
 warnung()  { printf '    %s%s%s\n' "$GELB" "$1" "$AUS"; }
 abbruch()  { printf '\n%sAbbruch: %s%s\n\n' "$ROT" "$1" "$AUS" >&2; exit 1; }
 
+# --- Unerwarteter Abbruch ----------------------------------------------------
+#
+# "set -e" beendet das Skript bei jedem Befehl, der nicht 0 zurueckgibt -
+# stumm. Auf dem Bildschirm bricht die Ausgabe dann einfach ab, und man
+# sucht an der falschen Stelle.
+#
+# Genau das ist beim Sprung von v1.5.0 auf v1.10.1 passiert: Eine Leitung
+# der Form "git log ... | head -15" hat den Erzeuger mit SIGPIPE beendet,
+# "pipefail" hat das an die Kette weitergereicht, und das Skript war weg.
+#
+# Diese Falle sagt jetzt wenigstens, WO es passiert ist. Exitcode 141
+# heisst SIGPIPE - dann wurde irgendwo wieder eine Leitung zu frueh
+# geschlossen.
+unerwartet() {
+  code=$1
+  zeile=$2
+  printf '%sAbbruch in Zeile %s (Exitcode %s).%s\n' "$ROT" "$zeile" "$code" "$AUS" >&2
+  if [ "$code" = "141" ]; then
+    printf '%sExitcode 141 ist SIGPIPE: eine Leitung wurde zu frueh geschlossen,%s\n' "$ROT" "$AUS" >&2
+    printf '%setwa durch "| head". Das ist ein Fehler im Skript, nicht bei dir.%s\n' "$ROT" "$AUS" >&2
+  fi
+  printf '%sKam der Abbruch vor Schritt 5, wurde nichts veraendert.%s\n' "$ROT" "$AUS" >&2
+}
+trap 'unerwartet $? $LINENO' ERR
+
+
 # --- Aufrufparameter ---------------------------------------------------------
 
 ZIEL=""
@@ -113,7 +139,11 @@ if ! git fetch --tags --quiet origin; then
 fi
 
 JETZT="$(git describe --tags --exact-match 2>/dev/null || git rev-parse --short HEAD)"
-NEUESTE="$(git tag --list 'v*' --sort=-v:refname | head -1)"
+# Kein "| head -1": Siehe den Hinweis zu SIGPIPE weiter unten. Die erste
+# Zeile holt die Shell selbst.
+ALLE_TAGS="$(git tag --list 'v*' --sort=-v:refname)"
+NEUESTE="${ALLE_TAGS%%$'
+'*}"
 
 [ -n "$NEUESTE" ] || abbruch "Es gibt keine veroeffentlichte Fassung (kein Tag)."
 
@@ -123,7 +153,8 @@ fi
 
 git rev-parse --verify --quiet "$ZIEL^{commit}" >/dev/null \
   || abbruch "Die Fassung '$ZIEL' gibt es nicht. Vorhanden:
-$(git tag --list 'v*' --sort=-v:refname | head -5 | sed 's/^/           /')"
+$(printf '%s
+' "$ALLE_TAGS" | sed -n '1,5p' | sed 's/^/           /')"
 
 printf '    Jetzt:   %s\n' "$JETZT"
 printf '    Ziel:    %s%s%s\n' "$FETT" "$ZIEL" "$AUS"
@@ -152,14 +183,23 @@ if [ -n "$CHANGELOG" ]; then
       if (nummer == jetzt) exit
       drucken = (nummer != "Unveröffentlicht")
     }
-    drucken { print "    " $0 }
+    drucken && zeilen < 60 { print "    " $0; zeilen++ }
-  ' | head -60
+  '
 else
   warnung "Kein CHANGELOG.md in $ZIEL gefunden."
 fi
 
 printf '\n'
-git log --oneline --no-decorate "HEAD..$ZIEL" | head -15 | sed 's/^/    /'
+# "-15" statt "| head -15": Bei mehr Commits als der Grenze schliesst head
+# die Leitung, git bekommt SIGPIPE, und mit "set -o pipefail" gilt die ganze
+# Kette als gescheitert - "set -e" beendet das Skript dann OHNE Meldung.
+# Genau das ist beim Sprung von v1.5.0 auf v1.10.1 passiert.
+ANZAHL="$(git rev-list --count "HEAD..$ZIEL")"
+git log --oneline --no-decorate -15 "HEAD..$ZIEL" | sed 's/^/    /'
+if [ "$ANZAHL" -gt 15 ]; then
+  printf '    ... und %s weitere
+' "$((ANZAHL - 15))"
+fi
 
 if [ "$NUR_PRUEFEN" = "1" ]; then
   printf '\n'

src/app/(app)/berichte/export/datei/route.ts

@@ -1,6 +1,6 @@
 import { Readable } from 'node:stream'
 import type { NextRequest } from 'next/server'
-import { aktiveBetreute, erfordereBenutzer, reauthGueltig } from '@/lib/auth/sitzung'
+import { aktiveBetreute, benutzerFuerRoute, reauthGueltig } from '@/lib/auth/sitzung'
 import { darf } from '@/lib/auth/rollen'
 import { db, nichtGeloescht } from '@/lib/db'
 import { protokollieren } from '@/lib/audit'
@@ -33,7 +33,11 @@ function abgelehnt(nachricht: string, status: number): Response {
 }
 
 export async function GET(anfrage: NextRequest): Promise<Response> {
-  const benutzer = await erfordereBenutzer('/berichte/export')
+  // Eine Route antwortet mit einem Statuscode, nicht mit einer
+  // Anmeldeseite als Dateiinhalt.
+  const angemeldet = await benutzerFuerRoute()
+  if (!angemeldet.ok) return angemeldet.antwort
+  const benutzer = angemeldet.benutzer
 
   const gewuenscht = anfrage.nextUrl.searchParams.get('betreute')
   const aktive = await aktiveBetreute(benutzer)

src/app/(app)/berichte/page.tsx

@@ -1,163 +1,163 @@
-import Link from 'next/link'
+import Link from 'next/link'
-import {
+import {
-  Archive,
+  Archive,
-  CalendarClock,
+  CalendarClock,
-  FolderArchive,
+  FolderArchive,
-  Paperclip,
+  Paperclip,
-  ScrollText,
+  ScrollText,
-} from 'lucide-react'
+} from 'lucide-react'
-import { SeitenKopf } from '@/components/seiten-kopf'
+import { SeitenKopf } from '@/components/seiten-kopf'
-import { Rechtshinweis } from '@/components/rechtshinweis'
+import { Rechtshinweis } from '@/components/rechtshinweis'
-import { Badge } from '@/components/ui/badge'
+import { Badge } from '@/components/ui/badge'
-import { Card, CardDescription, CardHeader, CardTitle } from '@/components/ui/card'
+import { Card, CardDescription, CardHeader, CardTitle } from '@/components/ui/card'
-import { BerichtsListe } from '@/components/berichte/berichts-liste'
+import { BerichtsListe } from '@/components/berichte/berichts-liste'
-import { berichtskontext, berichtsZeilenLaden } from '@/components/berichte/kontext'
+import { berichtskontext, berichtsZeilenLaden } from '@/components/berichte/kontext'
-import { HinweisKarten } from '@/components/hinweise/HinweisKarten'
+import { HinweisKarten } from '@/components/hinweise/HinweisKarten'
-import { db, nichtGeloescht } from '@/lib/db'
+import { db, nichtGeloescht } from '@/lib/db'
-import { formatDatum, relativeTage, tageBis } from '@/lib/utils'
+import { formatDatum, relativeTage, tageBis } from '@/lib/utils'
-
+
-export const metadata = { title: 'Berichte' }
+export const metadata = { title: 'Berichte' }
-
+
-/** Fristen, hinter denen ein Bericht steht - danach sucht die Übersicht. */
+/** Fristen, hinter denen ein Bericht steht - danach sucht die Übersicht. */
-const BERICHTSFRISTEN = [
+const BERICHTSFRISTEN = [
-  'anfangsbericht',
+  'anfangsbericht',
-  'jahresbericht',
+  'jahresbericht',
-  'vermoegensverzeichnis',
+  'vermoegensverzeichnis',
-  'vermoegensuebersicht',
+  'vermoegensuebersicht',
-  'rechnungslegung',
+  'rechnungslegung',
-]
+]
-
+
-const WEGE = [
+const WEGE = [
-  {
+  {
-    href: '/berichte/jahresbericht',
+    href: '/berichte/jahresbericht',
-    titel: 'Jahresbericht',
+    titel: 'Jahresbericht',
-    beschreibung:
+    beschreibung:
-      'Textentwurf aus Kontaktprotokollen, Gesundheitsereignissen und Vorgängen – zum Überarbeiten, nicht zum blinden Abgeben.',
+      'Textentwurf aus Kontaktprotokollen, Gesundheitsereignissen und Vorgängen – zum Überarbeiten, nicht zum blinden Abgeben.',
-    icon: ScrollText,
+    icon: ScrollText,
-  },
+  },
-  {
+  {
-    href: '/berichte/belegmappe',
+    href: '/berichte/belegmappe',
-    titel: 'Belegmappe',
+    titel: 'Belegmappe',
-    beschreibung:
+    beschreibung:
-      'Alle Belege eines Zeitraums oder eines Vorgangs als ein PDF mit Deckblatt und Verzeichnis.',
+      'Alle Belege eines Zeitraums oder eines Vorgangs als ein PDF mit Deckblatt und Verzeichnis.',
-    icon: FolderArchive,
+    icon: FolderArchive,
-  },
+  },
-  {
+  {
-    href: '/berichte/unterlagenpaket',
+    href: '/berichte/unterlagenpaket',
-    titel: 'Unterlagen für den Träger',
+    titel: 'Unterlagen für den Träger',
-    beschreibung:
+    beschreibung:
-      'Die nachgeforderten Unterlagen als ein PDF mit Anschreiben, laufender Nummer und Inhaltsverzeichnis.',
+      'Die nachgeforderten Unterlagen als ein PDF mit Anschreiben, laufender Nummer und Inhaltsverzeichnis.',
-    icon: Paperclip,
+    icon: Paperclip,
-  },
+  },
-  {
+  {
-    href: '/berichte/export',
+    href: '/berichte/export',
-    titel: 'Vollexport',
+    titel: 'Vollexport',
-    beschreibung:
+    beschreibung:
-      'Alles, was gespeichert ist, als ZIP – damit du auch ohne diese Anwendung weiterarbeiten kannst.',
+      'Alles, was gespeichert ist, als ZIP – damit du auch ohne diese Anwendung weiterarbeiten kannst.',
-    icon: Archive,
+    icon: Archive,
-  },
+  },
-]
+]
-
+
-/**
+/**
- * Die Berichtsuebersicht beantwortet zwei Fragen:
+ * Die Berichtsuebersicht beantwortet zwei Fragen:
- * "Was ist demnaechst faellig?" und "Was habe ich wann abgegeben?".
+ * "Was ist demnaechst faellig?" und "Was habe ich wann abgegeben?".
- *
+ *
- * Die erste Frage kommt aus den Fristen - dort stehen die gesetzlichen
+ * Die erste Frage kommt aus den Fristen - dort stehen die gesetzlichen
- * Pflichten mit Datum. Die zweite aus den protokollierten Berichten.
+ * Pflichten mit Datum. Die zweite aus den protokollierten Berichten.
- */
+ */
-export default async function BerichteSeite() {
+export default async function BerichteSeite() {
-  const { betreuteId, darfBerichteSchreiben } = await berichtskontext('lesen')
+  const { betreuteId, darfBerichteSchreiben } = await berichtskontext('lesen')
-
+
-  const [fristen, zeilen] = await Promise.all([
+  const [fristen, zeilen] = await Promise.all([
-    db.frist.findMany({
+    db.frist.findMany({
-      where: {
+      where: {
-        betreuteId,
+        betreuteId,
-        status: 'OFFEN',
+        status: 'OFFEN',
-        ...nichtGeloescht,
+        ...nichtGeloescht,
-        OR: BERICHTSFRISTEN.map((schluessel) => ({
+        OR: BERICHTSFRISTEN.map((schluessel) => ({
-          systemSchluessel: { startsWith: schluessel },
+          systemSchluessel: { startsWith: schluessel },
-        })),
+        })),
-      },
+      },
-      orderBy: { datum: 'asc' },
+      orderBy: { datum: 'asc' },
-      take: 10,
+      take: 10,
-    }),
+    }),
-    berichtsZeilenLaden(betreuteId, darfBerichteSchreiben),
+    berichtsZeilenLaden(betreuteId, darfBerichteSchreiben),
-  ])
+  ])
-
+
-  return (
+  return (
-    <div className="space-y-8">
+    <div className="space-y-8">
-      <SeitenKopf
+      <SeitenKopf
-        titel="Berichte"
+        titel="Berichte"
-        pfad={[{ titel: 'Berichte' }]}
+        pfad={[{ titel: 'Berichte' }]}
-        beschreibung="Was das Betreuungsgericht und der Sozialhilfeträger von dir sehen wollen – und was du ihnen wann vorgelegt hast."
+        beschreibung="Was das Betreuungsgericht und der Sozialhilfeträger von dir sehen wollen – und was du ihnen wann vorgelegt hast."
-      />
+      />
-
+
-      <section className="space-y-3" aria-label="Demnächst fällig">
+      <section className="space-y-3" aria-label="Demnächst fällig">
-        <h2 className="text-base font-semibold">Demnächst fällig</h2>
+        <h2 className="text-base font-semibold">Demnächst fällig</h2>
-        {fristen.length === 0 ? (
+        {fristen.length === 0 ? (
-          <p className="text-sm text-muted-foreground">
+          <p className="text-sm text-muted-foreground">
-            Zurzeit steht keine Berichtsfrist offen. Prüfe unter{' '}
+            Zurzeit steht keine Berichtsfrist offen. Prüfe unter{' '}
-            <Link href="/fristen" className="underline underline-offset-4">
+            <Link href="/fristen" className="underline underline-offset-4">
-              Fristen
+              Fristen
-            </Link>
+            </Link>
-            , ob die Pflichtfristen aus dem Bestellungsdatum schon abgeleitet sind.
+            , ob die Pflichtfristen aus dem Bestellungsdatum schon abgeleitet sind.
-          </p>
+          </p>
-        ) : (
+        ) : (
-          <ul className="divide-y rounded-md border">
+          <ul className="divide-y rounded-md border">
-            {fristen.map((frist) => {
+            {fristen.map((frist) => {
-              const tage = tageBis(frist.datum)
+              const tage = tageBis(frist.datum)
-              const variante =
+              const variante =
-                tage < 0 ? 'rot' : tage <= 7 ? 'orange' : tage <= 31 ? 'gelb' : 'gruen'
+                tage < 0 ? 'rot' : tage <= 7 ? 'orange' : tage <= 31 ? 'gelb' : 'gruen'
-              return (
+              return (
-                <li key={frist.id} className="flex flex-wrap items-center gap-3 p-3">
+                <li key={frist.id} className="flex flex-wrap items-center gap-3 p-3">
-                  <CalendarClock className="size-5 shrink-0 text-muted-foreground" aria-hidden="true" />
+                  <CalendarClock className="size-5 shrink-0 text-muted-foreground" aria-hidden="true" />
-                  <span className="min-w-0 flex-1">
+                  <span className="min-w-0 flex-1">
-                    <span className="block font-medium">{frist.titel}</span>
+                    <span className="block font-medium">{frist.titel}</span>
-                    <span className="text-sm text-muted-foreground">
+                    <span className="text-sm text-muted-foreground">
-                      {formatDatum(frist.datum)}
+                      {formatDatum(frist.datum)}
-                      {frist.rechtsgrundlage ? ` · ${frist.rechtsgrundlage}` : ''}
+                      {frist.rechtsgrundlage ? ` · ${frist.rechtsgrundlage}` : ''}
-                    </span>
+                    </span>
-                  </span>
+                  </span>
-                  {frist.ausschlussfrist && <Badge variant="rot">Ausschlussfrist</Badge>}
+                  {frist.ausschlussfrist && <Badge variant="rot">Ausschlussfrist</Badge>}
-                  <Badge variant={variante}>
+                  <Badge variant={variante}>
-                    {tage < 0 ? `überfällig, ${relativeTage(tage)}` : relativeTage(tage)}
+                    {tage < 0 ? `überfällig, ${relativeTage(tage)}` : relativeTage(tage)}
-                  </Badge>
+                  </Badge>
-                </li>
+                </li>
-              )
+              )
-            })}
+            })}
-          </ul>
+          </ul>
-        )}
+        )}
-      </section>
+      </section>
-
+
-      <section className="grid gap-4 md:grid-cols-2" aria-label="Was möchtest du erzeugen?">
+      <section className="grid gap-4 md:grid-cols-2" aria-label="Was möchtest du erzeugen?">
-        {WEGE.map((weg) => {
+        {WEGE.map((weg) => {
-          const Icon = weg.icon
+          const Icon = weg.icon
-          return (
+          return (
-            <Card key={weg.href}>
+            <Card key={weg.href}>
-              <CardHeader className="flex flex-row items-start gap-3 space-y-0">
+              <CardHeader className="flex flex-row items-start gap-3 space-y-0">
-                <Icon className="mt-0.5 size-5 shrink-0 text-primary" aria-hidden="true" />
+                <Icon className="mt-0.5 size-5 shrink-0 text-primary" aria-hidden="true" />
-                <div className="min-w-0">
+                <div className="min-w-0">
-                  <CardTitle className="text-lg">
+                  <CardTitle className="text-lg">
-                    <Link href={weg.href} className="underline-offset-4 hover:underline">
+                    <Link href={weg.href} className="underline-offset-4 hover:underline">
-                      {weg.titel}
+                      {weg.titel}
-                    </Link>
+                    </Link>
-                  </CardTitle>
+                  </CardTitle>
-                  <CardDescription className="mt-1">{weg.beschreibung}</CardDescription>
+                  <CardDescription className="mt-1">{weg.beschreibung}</CardDescription>
-                </div>
+                </div>
-              </CardHeader>
+              </CardHeader>
-            </Card>
+            </Card>
-          )
+          )
-        })}
+        })}
-      </section>
+      </section>
-
+
-      <section className="space-y-3" aria-label="Erzeugte Berichte">
+      <section className="space-y-3" aria-label="Erzeugte Berichte">
-        <h2 className="text-base font-semibold">Was ich abgegeben habe</h2>
+        <h2 className="text-base font-semibold">Was ich abgegeben habe</h2>
-        <BerichtsListe zeilen={zeilen} darfSchreiben={darfBerichteSchreiben} />
+        <BerichtsListe zeilen={zeilen} darfSchreiben={darfBerichteSchreiben} />
-      </section>
+      </section>
-
+
-      <HinweisKarten kontext={['BERICHTE']} />
+      <HinweisKarten kontext={['BERICHTE']} />
-
+
-      <Rechtshinweis rechtsgrundlage="§ 1863 BGB" />
+      <Rechtshinweis rechtsgrundlage="§ 1863 BGB" />
-    </div>
+    </div>
-  )
+  )
-}
+}

src/app/(app)/konto/anschrift-formular.tsx

@@ -0,0 +1,89 @@
+'use client'
+
+import { useActionState } from 'react'
+import { useFormStatus } from 'react-dom'
+import { AlertCircle, CheckCircle2, Loader2 } from 'lucide-react'
+import { anschriftSpeichern, type AnschriftZustand } from '@/server/actions/konto'
+import { Alert, AlertDescription } from '@/components/ui/alert'
+import { Button } from '@/components/ui/button'
+import { Input } from '@/components/ui/input'
+import { Feld } from '@/components/feld'
+
+function Absenden() {
+  const { pending } = useFormStatus()
+  return (
+    <Button type="submit" disabled={pending}>
+      {pending && <Loader2 className="animate-spin" aria-hidden="true" />}
+      {pending ? 'Wird gespeichert …' : 'Anschrift speichern'}
+    </Button>
+  )
+}
+
+export function AnschriftFormular({
+  strasse,
+  plz,
+  ort,
+}: {
+  strasse: string | null
+  plz: string | null
+  ort: string | null
+}) {
+  const [zustand, aktion] = useActionState<AnschriftZustand, FormData>(anschriftSpeichern, {})
+
+  return (
+    <form action={aktion} className="space-y-4" noValidate>
+      {zustand.fehler && (
+        <Alert variant="fehler">
+          <AlertCircle aria-hidden="true" />
+          <AlertDescription>{zustand.fehler}</AlertDescription>
+        </Alert>
+      )}
+      {zustand.erfolg && (
+        <Alert variant="erfolg">
+          <CheckCircle2 aria-hidden="true" />
+          <AlertDescription>{zustand.erfolg}</AlertDescription>
+        </Alert>
+      )}
+
+      <Feld id="strasse" beschriftung="Straße und Hausnummer" fehler={zustand.felder?.strasse}>
+        <Input
+          id="strasse"
+          name="strasse"
+          defaultValue={strasse ?? ''}
+          maxLength={150}
+          autoComplete="street-address"
+        />
+      </Feld>
+
+      <div className="grid gap-4 sm:grid-cols-[8rem_1fr]">
+        <Feld id="plz" beschriftung="PLZ" fehler={zustand.felder?.plz}>
+          <Input
+            id="plz"
+            name="plz"
+            defaultValue={plz ?? ''}
+            maxLength={10}
+            autoComplete="postal-code"
+            inputMode="numeric"
+          />
+        </Feld>
+
+        <Feld
+          id="ort"
+          beschriftung="Ort"
+          erklaerung="Steht außerdem in der Datumszeile: „Bayreuth, den 23.08.2026“."
+          fehler={zustand.felder?.ort}
+        >
+          <Input
+            id="ort"
+            name="ort"
+            defaultValue={ort ?? ''}
+            maxLength={100}
+            autoComplete="address-level2"
+          />
+        </Feld>
+      </div>
+
+      <Absenden />
+    </form>
+  )
+}

src/app/(app)/konto/page.tsx

@@ -1,6 +1,6 @@
 import type { Metadata } from 'next'
 import Link from 'next/link'
-import { Fingerprint, KeyRound, ShieldCheck } from 'lucide-react'
+import { Fingerprint, KeyRound, MapPin, ShieldCheck } from 'lucide-react'
 import { Badge } from '@/components/ui/badge'
 import { Button } from '@/components/ui/button'
 import { Card, CardContent, CardDescription, CardHeader, CardTitle } from '@/components/ui/card'
@@ -11,6 +11,7 @@ import { PasskeyVerwaltung } from '@/components/konto/passkey-verwaltung'
 import { ROLLEN_BESCHRIFTUNG, ROLLEN_ERKLAERUNG } from '@/lib/auth/rollen'
 import { formatDatumZeit } from '@/lib/utils'
 import { PasswortFormular } from './passwort-formular'
+import { AnschriftFormular } from './anschrift-formular'
 
 export const metadata: Metadata = { title: 'Mein Konto' }
 export const dynamic = 'force-dynamic'
@@ -22,7 +23,10 @@ export default async function KontoSeite() {
 
   return (
     <div className="max-w-2xl space-y-6">
-      <SeitenKopf titel="Mein Konto" beschreibung="Zugangsdaten, zweiter Faktor und Passkeys." />
+      <SeitenKopf
+        titel="Mein Konto"
+        beschreibung="Zugangsdaten, eigene Anschrift, zweiter Faktor und Passkeys."
+      />
 
       <Card>
         <CardHeader className="pb-3">
@@ -55,6 +59,27 @@ export default async function KontoSeite() {
         </CardContent>
       </Card>
 
+      <Card>
+        <CardHeader className="pb-3">
+          <CardTitle className="flex items-center gap-2 text-base">
+            <MapPin className="size-5" aria-hidden="true" />
+            Meine Anschrift
+          </CardTitle>
+          <CardDescription>
+            Steht im Absenderblock jedes Schreibens, das hier entsteht, und liefert den Ort für
+            die Datumszeile. Ohne sie geht ein förmlicher Brief ohne Rücksendeadresse hinaus.
+            Jede Angabe ist einzeln freiwillig — was fehlt, bleibt im Brief einfach weg.
+          </CardDescription>
+        </CardHeader>
+        <CardContent>
+          <AnschriftFormular
+            strasse={benutzer.strasse}
+            plz={benutzer.plz}
+            ort={benutzer.ort}
+          />
+        </CardContent>
+      </Card>
+
       <Card>
         <CardHeader className="pb-3">
           <CardTitle className="flex items-center gap-2 text-base">

src/app/(app)/schreiben/neu/page.tsx

@@ -50,7 +50,7 @@ export default async function SchreibenSeite({
   try {
     entwurf = await entwurfBauen({
       betreuteId: aktive.id,
-      benutzerName: benutzer.name,
+      benutzer,
       art,
       vertragId: text('vertragId') || null,
       vorgangId: text('vorgangId') || null,

src/app/(app)/sozialhilfe/[antragId]/bescheide/[bescheidId]/page.tsx

@@ -1,149 +1,149 @@
-import { notFound } from 'next/navigation'
+import { notFound } from 'next/navigation'
-import { Trash2 } from 'lucide-react'
+import { Trash2 } from 'lucide-react'
-import { SeitenKopf } from '@/components/seiten-kopf'
+import { SeitenKopf } from '@/components/seiten-kopf'
-import { Card, CardContent, CardDescription, CardHeader, CardTitle } from '@/components/ui/card'
+import { Card, CardContent, CardDescription, CardHeader, CardTitle } from '@/components/ui/card'
-import { AktionMitRueckfrage } from '@/components/sozialhilfe/bausteine'
+import { AktionMitRueckfrage } from '@/components/sozialhilfe/bausteine'
-import { BescheidFormular } from '@/components/sozialhilfe/bescheid-formular'
+import { BescheidFormular } from '@/components/sozialhilfe/bescheid-formular'
-import { BescheidPruefung } from '@/components/sozialhilfe/bescheid-pruefung'
+import { BescheidPruefung } from '@/components/sozialhilfe/bescheid-pruefung'
-import { oeffnen } from '@/lib/crypto/feld'
+import { oeffnen } from '@/lib/crypto/feld'
-import { db, nichtGeloescht } from '@/lib/db'
+import { db, nichtGeloescht } from '@/lib/db'
-import { alsIsoTag, heuteAlsTag } from '@/lib/fristen/datum'
+import { alsIsoTag, heuteAlsTag } from '@/lib/fristen/datum'
-import { BESCHEID_ART_BESCHRIFTUNG } from '@/lib/sozialhilfe/bescheide'
+import { BESCHEID_ART_BESCHRIFTUNG } from '@/lib/sozialhilfe/bescheide'
-import { betragFormatieren } from '@/lib/finanzen/betrag'
+import { betragFormatieren } from '@/lib/finanzen/betrag'
-import {
+import {
-  fristAmpel,
+  fristAmpel,
-  rechtsbehelfsfristBerechnen,
+  rechtsbehelfsfristBerechnen,
-  zugangsvermutung,
+  zugangsvermutung,
-} from '@/lib/sozialhilfe/rechtsbehelf'
+} from '@/lib/sozialhilfe/rechtsbehelf'
-import { sozialhilfeKontext } from '@/lib/sozialhilfe/zugang'
+import { sozialhilfeKontext } from '@/lib/sozialhilfe/zugang'
-import { bescheidLoeschen } from '@/server/actions/sozialhilfe'
+import { bescheidLoeschen } from '@/server/actions/sozialhilfe'
-import { formatDatum } from '@/lib/utils'
+import { formatDatum } from '@/lib/utils'
-
+
-export const dynamic = 'force-dynamic'
+export const dynamic = 'force-dynamic'
-
+
-/**
+/**
- * Bescheid-Prüfung.
+ * Bescheid-Prüfung.
- *
+ *
- * Der Rechenweg der Widerspruchsfrist steht ausgeschrieben da - die
+ * Der Rechenweg der Widerspruchsfrist steht ausgeschrieben da - die
- * Anwendung kann sich irren, und wer eine Frist verpasst, soll sehen
+ * Anwendung kann sich irren, und wer eine Frist verpasst, soll sehen
- * können, wo die Rechnung abgebogen ist.
+ * können, wo die Rechnung abgebogen ist.
- */
+ */
-export default async function BescheidSeite({
+export default async function BescheidSeite({
-  params,
+  params,
-}: {
+}: {
-  params: Promise<{ antragId: string; bescheidId: string }>
+  params: Promise<{ antragId: string; bescheidId: string }>
-}) {
+}) {
-  const { antragId, bescheidId } = await params
+  const { antragId, bescheidId } = await params
-  const { betreuteId, darfSchreiben } = await sozialhilfeKontext()
+  const { betreuteId, darfSchreiben } = await sozialhilfeKontext()
-
+
-  const bescheid = await db.bescheid.findFirst({
+  const bescheid = await db.bescheid.findFirst({
-    where: { id: bescheidId, antragId, antrag: { betreuteId }, ...nichtGeloescht },
+    where: { id: bescheidId, antragId, antrag: { betreuteId }, ...nichtGeloescht },
-    include: { antrag: { select: { id: true, traeger: true, aktenzeichen: true } } },
+    include: { antrag: { select: { id: true, traeger: true, aktenzeichen: true } } },
-  })
+  })
-  if (!bescheid) notFound()
+  if (!bescheid) notFound()
-
+
-  const offen = oeffnen('Bescheid', bescheid)
+  const offen = oeffnen('Bescheid', bescheid)
-  const heute = heuteAlsTag()
+  const heute = heuteAlsTag()
-
+
-  const ergebnis = rechtsbehelfsfristBerechnen({
+  const ergebnis = rechtsbehelfsfristBerechnen({
-    zugegangenAm: bescheid.zugegangenAm,
+    zugegangenAm: bescheid.zugegangenAm,
-    bescheidVom: bescheid.bescheidVom,
+    bescheidVom: bescheid.bescheidVom,
-    fristMonate: bescheid.rechtsbehelfsfristMonate,
+    fristMonate: bescheid.rechtsbehelfsfristMonate,
-    heute,
+    heute,
-  })
+  })
-
+
-  const vorschlag = zugangsvermutung(bescheid.bescheidVom)
+  const vorschlag = zugangsvermutung(bescheid.bescheidVom)
-
+
-  return (
+  return (
-    <div className="space-y-8">
+    <div className="space-y-8">
-      <SeitenKopf
+      <SeitenKopf
-        titel={`${BESCHEID_ART_BESCHRIFTUNG[bescheid.art]} vom ${formatDatum(bescheid.bescheidVom)}`}
+        titel={`${BESCHEID_ART_BESCHRIFTUNG[bescheid.art]} vom ${formatDatum(bescheid.bescheidVom)}`}
-        beschreibung={
+        beschreibung={
-          <>
+          <>
-            {bescheid.antrag.traeger}
+            {bescheid.antrag.traeger}
-            {bescheid.antrag.aktenzeichen ? ` · Az. ${bescheid.antrag.aktenzeichen}` : ''} · Zugang{' '}
+            {bescheid.antrag.aktenzeichen ? ` · Az. ${bescheid.antrag.aktenzeichen}` : ''} · Zugang{' '}
-            {formatDatum(bescheid.zugegangenAm)}
+            {formatDatum(bescheid.zugegangenAm)}
-          </>
+          </>
-        }
+        }
-        pfad={[
+        pfad={[
-          { titel: 'Start', href: '/heute' },
+          { titel: 'Start', href: '/heute' },
-          { titel: 'Sozialhilfe', href: '/sozialhilfe' },
+          { titel: 'Sozialhilfe', href: '/sozialhilfe' },
-          { titel: 'Antragsakte', href: `/sozialhilfe/${antragId}` },
+          { titel: 'Antragsakte', href: `/sozialhilfe/${antragId}` },
-          { titel: 'Bescheid' },
+          { titel: 'Bescheid' },
-        ]}
+        ]}
-      />
+      />
-
+
-      <BescheidPruefung
+      <BescheidPruefung
-        bescheidId={bescheid.id}
+        bescheidId={bescheid.id}
-        pruefStatus={bescheid.pruefStatus}
+        pruefStatus={bescheid.pruefStatus}
-        widerspruchEingelegtAm={
+        widerspruchEingelegtAm={
-          bescheid.widerspruchEingelegtAm ? alsIsoTag(bescheid.widerspruchEingelegtAm) : ''
+          bescheid.widerspruchEingelegtAm ? alsIsoTag(bescheid.widerspruchEingelegtAm) : ''
-        }
+        }
-        darfSchreiben={darfSchreiben}
+        darfSchreiben={darfSchreiben}
-        rechenweg={{
+        rechenweg={{
-          berechenbar: ergebnis.berechenbar,
+          berechenbar: ergebnis.berechenbar,
-          widerspruchMoeglichBis: ergebnis.widerspruchMoeglichBis
+          widerspruchMoeglichBis: ergebnis.widerspruchMoeglichBis
-            ? alsIsoTag(ergebnis.widerspruchMoeglichBis)
+            ? alsIsoTag(ergebnis.widerspruchMoeglichBis)
-            : null,
+            : null,
-          rechnerischesEnde: ergebnis.rechnerischesEnde
+          rechnerischesEnde: ergebnis.rechnerischesEnde
-            ? alsIsoTag(ergebnis.rechnerischesEnde)
+            ? alsIsoTag(ergebnis.rechnerischesEnde)
-            : null,
+            : null,
-          verschoben: ergebnis.verschoben,
+          verschoben: ergebnis.verschoben,
-          tageVerbleibend: ergebnis.tageVerbleibend,
+          tageVerbleibend: ergebnis.tageVerbleibend,
-          abgelaufen: ergebnis.abgelaufen,
+          abgelaufen: ergebnis.abgelaufen,
-          ampel: fristAmpel(ergebnis),
+          ampel: fristAmpel(ergebnis),
-          schritte: ergebnis.schritte,
+          schritte: ergebnis.schritte,
-          hinweise: ergebnis.hinweise,
+          hinweise: ergebnis.hinweise,
-        }}
+        }}
-      />
+      />
-
+
-      {offen.notizen && (
+      {offen.notizen && (
-        <Card>
+        <Card>
-          <CardHeader>
+          <CardHeader>
-            <CardTitle>Notizen</CardTitle>
+            <CardTitle>Notizen</CardTitle>
-            <CardDescription>Verschlüsselt gespeichert.</CardDescription>
+            <CardDescription>Verschlüsselt gespeichert.</CardDescription>
-          </CardHeader>
+          </CardHeader>
-          <CardContent>
+          <CardContent>
-            <p className="whitespace-pre-line text-sm">{offen.notizen}</p>
+            <p className="whitespace-pre-line text-sm">{offen.notizen}</p>
-          </CardContent>
+          </CardContent>
-        </Card>
+        </Card>
-      )}
+      )}
-
+
-      {darfSchreiben && (
+      {darfSchreiben && (
-        <section className="space-y-4">
+        <section className="space-y-4">
-          <h2 className="text-lg font-semibold">Bescheid bearbeiten</h2>
+          <h2 className="text-lg font-semibold">Bescheid bearbeiten</h2>
-          <BescheidFormular
+          <BescheidFormular
-            antragId={antragId}
+            antragId={antragId}
-            zugangsvorschlag={{ datum: alsIsoTag(vorschlag.datum), hinweis: vorschlag.hinweis }}
+            zugangsvorschlag={{ datum: alsIsoTag(vorschlag.datum), hinweis: vorschlag.hinweis }}
-            werte={{
+            werte={{
-              id: bescheid.id,
+              id: bescheid.id,
-              art: bescheid.art,
+              art: bescheid.art,
-              bescheidVom: alsIsoTag(bescheid.bescheidVom),
+              bescheidVom: alsIsoTag(bescheid.bescheidVom),
-              zugegangenAm: bescheid.zugegangenAm ? alsIsoTag(bescheid.zugegangenAm) : '',
+              zugegangenAm: bescheid.zugegangenAm ? alsIsoTag(bescheid.zugegangenAm) : '',
-              zeitraumVon: bescheid.zeitraumVon ? alsIsoTag(bescheid.zeitraumVon) : '',
+              zeitraumVon: bescheid.zeitraumVon ? alsIsoTag(bescheid.zeitraumVon) : '',
-              zeitraumBis: bescheid.zeitraumBis ? alsIsoTag(bescheid.zeitraumBis) : '',
+              zeitraumBis: bescheid.zeitraumBis ? alsIsoTag(bescheid.zeitraumBis) : '',
-              betrag: bescheid.betragCent === null ? '' : betragFormatieren(bescheid.betragCent),
+              betrag: bescheid.betragCent === null ? '' : betragFormatieren(bescheid.betragCent),
-              rechtsbehelfsfristMonate: bescheid.rechtsbehelfsfristMonate,
+              rechtsbehelfsfristMonate: bescheid.rechtsbehelfsfristMonate,
-              widerspruchEingelegtAm: bescheid.widerspruchEingelegtAm
+              widerspruchEingelegtAm: bescheid.widerspruchEingelegtAm
-                ? alsIsoTag(bescheid.widerspruchEingelegtAm)
+                ? alsIsoTag(bescheid.widerspruchEingelegtAm)
-                : '',
+                : '',
-              notizen: offen.notizen ?? '',
+              notizen: offen.notizen ?? '',
-            }}
+            }}
-          />
+          />
-
+
-          <div className="border-t pt-6">
+          <div className="border-t pt-6">
-            <AktionMitRueckfrage
+            <AktionMitRueckfrage
-              aktion={bescheidLoeschen.bind(null, bescheid.id)}
+              aktion={bescheidLoeschen.bind(null, bescheid.id)}
-              frage="Diesen Bescheid in den Papierkorb legen? Er bleibt dort 30 Tage."
+              frage="Diesen Bescheid in den Papierkorb legen? Er bleibt dort 30 Tage."
-              variant="outline"
+              variant="outline"
-              size="default"
+              size="default"
-            >
+            >
-              <Trash2 aria-hidden="true" />
+              <Trash2 aria-hidden="true" />
-              Bescheid löschen
+              Bescheid löschen
-            </AktionMitRueckfrage>
+            </AktionMitRueckfrage>
-          </div>
+          </div>
-        </section>
+        </section>
-      )}
+      )}
-    </div>
+    </div>
-  )
+  )
-}
+}

src/app/(app)/sozialhilfe/vermoegen/page.tsx

@@ -1,232 +1,232 @@
-import { SeitenKopf } from '@/components/seiten-kopf'
+import { SeitenKopf } from '@/components/seiten-kopf'
-import { Rechtshinweis } from '@/components/rechtshinweis'
+import { Rechtshinweis } from '@/components/rechtshinweis'
-import { Alert, AlertDescription, AlertTitle } from '@/components/ui/alert'
+import { Alert, AlertDescription, AlertTitle } from '@/components/ui/alert'
-import { Card, CardContent } from '@/components/ui/card'
+import { Card, CardContent } from '@/components/ui/card'
-import { Vermoegensliste, type ListenPosten } from '@/components/sozialhilfe/vermoegensliste'
+import { Vermoegensliste, type ListenPosten } from '@/components/sozialhilfe/vermoegensliste'
-import { oeffnen } from '@/lib/crypto/feld'
+import { oeffnen } from '@/lib/crypto/feld'
-import { centZuZahl, db, nichtGeloescht } from '@/lib/db'
+import { centZuZahl, db, nichtGeloescht } from '@/lib/db'
-import { alsIsoTag } from '@/lib/fristen/datum'
+import { alsIsoTag } from '@/lib/fristen/datum'
-import { VERMOEGENS_ART_BESCHRIFTUNG } from '@/lib/finanzen/kategorien'
+import { VERMOEGENS_ART_BESCHRIFTUNG } from '@/lib/finanzen/kategorien'
-import { MIT_RUECKKAUFSWERT, VERTRAG_ART_BESCHRIFTUNG } from '@/lib/vertraege/konstanten'
+import { MIT_RUECKKAUFSWERT, VERTRAG_ART_BESCHRIFTUNG } from '@/lib/vertraege/konstanten'
-import { BEWERTUNG_BESCHRIFTUNG } from '@/lib/sozialhilfe/schonvermoegen'
+import { BEWERTUNG_BESCHRIFTUNG } from '@/lib/sozialhilfe/schonvermoegen'
-import { freibetragVergleichen, uebersichtBilden } from '@/lib/sozialhilfe/vermoegensuebersicht'
+import { freibetragVergleichen, uebersichtBilden } from '@/lib/sozialhilfe/vermoegensuebersicht'
-import { sozialhilfeKontext } from '@/lib/sozialhilfe/zugang'
+import { sozialhilfeKontext } from '@/lib/sozialhilfe/zugang'
-import { formatCent } from '@/lib/utils'
+import { formatCent } from '@/lib/utils'
-import { AlertCircle } from 'lucide-react'
+import { AlertCircle } from 'lucide-react'
-
+
-export const dynamic = 'force-dynamic'
+export const dynamic = 'force-dynamic'
-
+
-/**
+/**
- * Vermögens-Bewertungsansicht.
+ * Vermögens-Bewertungsansicht.
- *
+ *
- * Sie zählt zusammen und stellt gegenüber - sie entscheidet nichts. Was
+ * Sie zählt zusammen und stellt gegenüber - sie entscheidet nichts. Was
- * geschützt ist, sagt der Träger; bleibt man uneins, das Sozialgericht.
+ * geschützt ist, sagt der Träger; bleibt man uneins, das Sozialgericht.
- * Deshalb heißt die Spalte "Einschätzung" und nicht "Bewertung".
+ * Deshalb heißt die Spalte "Einschätzung" und nicht "Bewertung".
- */
+ */
-export default async function VermoegensbewertungSeite() {
+export default async function VermoegensbewertungSeite() {
-  const { betreuteId, darfSchreiben } = await sozialhilfeKontext()
+  const { betreuteId, darfSchreiben } = await sozialhilfeKontext()
-
+
-  const [posten, vertraege] = await Promise.all([
+  const [posten, vertraege] = await Promise.all([
-    db.vermoegensposten.findMany({
+    db.vermoegensposten.findMany({
-      where: { betreuteId, ...nichtGeloescht },
+      where: { betreuteId, ...nichtGeloescht },
-      include: { wertstaende: { orderBy: { stichtag: 'desc' }, take: 1 } },
+      include: { wertstaende: { orderBy: { stichtag: 'desc' }, take: 1 } },
-      orderBy: { bezeichnung: 'asc' },
+      orderBy: { bezeichnung: 'asc' },
-    }),
+    }),
-    db.vertrag.findMany({
+    db.vertrag.findMany({
-      where: {
+      where: {
-        betreuteId,
+        betreuteId,
-        // Nur Vertraege, die ueberhaupt einen Wert darstellen koennen. Ein
+        // Nur Vertraege, die ueberhaupt einen Wert darstellen koennen. Ein
-        // Stromvertrag hat keinen Rueckkaufswert und wuerde die Liste zumuellen.
+        // Stromvertrag hat keinen Rueckkaufswert und wuerde die Liste zumuellen.
-        art: { in: [...MIT_RUECKKAUFSWERT] },
+        art: { in: [...MIT_RUECKKAUFSWERT] },
-        ...nichtGeloescht,
+        ...nichtGeloescht,
-      },
+      },
-      orderBy: { bezeichnung: 'asc' },
+      orderBy: { bezeichnung: 'asc' },
-    }),
+    }),
-  ])
+  ])
-
+
-  // Verträge, die schon als Vermögensposten geführt werden, nicht doppelt
+  // Verträge, die schon als Vermögensposten geführt werden, nicht doppelt
-  // zeigen - sonst wäre die Summe zweimal drin.
+  // zeigen - sonst wäre die Summe zweimal drin.
-  const bereitsAlsPosten = new Set(
+  const bereitsAlsPosten = new Set(
-    posten.map((p) => p.vertragId).filter((id): id is string => id !== null),
+    posten.map((p) => p.vertragId).filter((id): id is string => id !== null),
-  )
+  )
-
+
-  const zeilen: ListenPosten[] = [
+  const zeilen: ListenPosten[] = [
-    ...posten.map((p) => {
+    ...posten.map((p) => {
-      const geoeffnet = oeffnen('Vermoegensposten', p)
+      const geoeffnet = oeffnen('Vermoegensposten', p)
-      const stand = p.wertstaende[0]
+      const stand = p.wertstaende[0]
-      return {
+      return {
-        id: p.id,
+        id: p.id,
-        bezeichnung: p.bezeichnung,
+        bezeichnung: p.bezeichnung,
-        herkunft: 'VERMOEGEN' as const,
+        herkunft: 'VERMOEGEN' as const,
-        art: p.art,
+        art: p.art,
-        artBeschriftung: VERMOEGENS_ART_BESCHRIFTUNG[p.art],
+        artBeschriftung: VERMOEGENS_ART_BESCHRIFTUNG[p.art],
-        bewertung: p.bewertungSozialhilfe,
+        bewertung: p.bewertungSozialhilfe,
-        wertCent: stand ? centZuZahl(stand.wertCent) : null,
+        wertCent: stand ? centZuZahl(stand.wertCent) : null,
-        wertStichtag: stand ? alsIsoTag(stand.stichtag) : null,
+        wertStichtag: stand ? alsIsoTag(stand.stichtag) : null,
-        begruendung: geoeffnet.bewertungBegruendung ?? '',
+        begruendung: geoeffnet.bewertungBegruendung ?? '',
-        zusatz: stand ? stand.wertquelle : null,
+        zusatz: stand ? stand.wertquelle : null,
-      }
+      }
-    }),
+    }),
-    ...vertraege
+    ...vertraege
-      .filter((v) => !bereitsAlsPosten.has(v.id))
+      .filter((v) => !bereitsAlsPosten.has(v.id))
-      .map((v) => {
+      .map((v) => {
-        const geoeffnet = oeffnen('Vertrag', v)
+        const geoeffnet = oeffnen('Vertrag', v)
-        return {
+        return {
-          id: v.id,
+          id: v.id,
-          bezeichnung: v.bezeichnung,
+          bezeichnung: v.bezeichnung,
-          herkunft: 'VERTRAG' as const,
+          herkunft: 'VERTRAG' as const,
-          art: v.art,
+          art: v.art,
-          artBeschriftung: VERTRAG_ART_BESCHRIFTUNG[v.art],
+          artBeschriftung: VERTRAG_ART_BESCHRIFTUNG[v.art],
-          bewertung: v.bewertungSozialhilfe,
+          bewertung: v.bewertungSozialhilfe,
-          // Der Rückkaufswert steht am Vertrag nicht als Betrag; er wird
+          // Der Rückkaufswert steht am Vertrag nicht als Betrag; er wird
-          // als Vermögensposten mit Wertstand geführt. Bis dahin: offen.
+          // als Vermögensposten mit Wertstand geführt. Bis dahin: offen.
-          wertCent: null,
+          wertCent: null,
-          wertStichtag: null,
+          wertStichtag: null,
-          begruendung: geoeffnet.bewertungBegruendung ?? '',
+          begruendung: geoeffnet.bewertungBegruendung ?? '',
-          zusatz: v.gesellschaft,
+          zusatz: v.gesellschaft,
-        }
+        }
-      }),
+      }),
-  ]
+  ]
-
+
-  const uebersicht = uebersichtBilden(
+  const uebersicht = uebersichtBilden(
-    zeilen.map((z) => ({
+    zeilen.map((z) => ({
-      id: z.id,
+      id: z.id,
-      bezeichnung: z.bezeichnung,
+      bezeichnung: z.bezeichnung,
-      herkunft: z.herkunft,
+      herkunft: z.herkunft,
-      artBeschriftung: z.artBeschriftung,
+      artBeschriftung: z.artBeschriftung,
-      bewertung: z.bewertung,
+      bewertung: z.bewertung,
-      wertCent: z.wertCent === null ? null : BigInt(z.wertCent),
+      wertCent: z.wertCent === null ? null : BigInt(z.wertCent),
-      wertStichtag: null,
+      wertStichtag: null,
-      begruendung: z.begruendung,
+      begruendung: z.begruendung,
-      href: '#',
+      href: '#',
-    })),
+    })),
-  )
+  )
-
+
-  const vergleich = freibetragVergleichen(uebersicht.jeBewertung.VERWERTBAR.summeCent)
+  const vergleich = freibetragVergleichen(uebersicht.jeBewertung.VERWERTBAR.summeCent)
-
+
-  return (
+  return (
-    <div className="space-y-8">
+    <div className="space-y-8">
-      <SeitenKopf
+      <SeitenKopf
-        titel="Vermögen bewerten"
+        titel="Vermögen bewerten"
-        beschreibung="Jeder Posten bekommt eine Einschätzung und — das ist der wichtige Teil — eine Begründung. Ohne Begründung hilft die Einordnung im Widerspruchsverfahren nicht weiter."
+        beschreibung="Jeder Posten bekommt eine Einschätzung und — das ist der wichtige Teil — eine Begründung. Ohne Begründung hilft die Einordnung im Widerspruchsverfahren nicht weiter."
-        pfad={[
+        pfad={[
-          { titel: 'Start', href: '/heute' },
+          { titel: 'Start', href: '/heute' },
-          { titel: 'Sozialhilfe', href: '/sozialhilfe' },
+          { titel: 'Sozialhilfe', href: '/sozialhilfe' },
-          { titel: 'Vermögen' },
+          { titel: 'Vermögen' },
-        ]}
+        ]}
-      />
+      />
-
+
-      <div className="grid gap-4 sm:grid-cols-2 lg:grid-cols-4">
+      <div className="grid gap-4 sm:grid-cols-2 lg:grid-cols-4">
-        <Summenkachel
+        <Summenkachel
-          titel={BEWERTUNG_BESCHRIFTUNG.VERWERTBAR}
+          titel={BEWERTUNG_BESCHRIFTUNG.VERWERTBAR}
-          betrag={uebersicht.jeBewertung.VERWERTBAR.summeCent}
+          betrag={uebersicht.jeBewertung.VERWERTBAR.summeCent}
-          anzahl={uebersicht.jeBewertung.VERWERTBAR.anzahl}
+          anzahl={uebersicht.jeBewertung.VERWERTBAR.anzahl}
-          ohneWert={uebersicht.jeBewertung.VERWERTBAR.ohneWert}
+          ohneWert={uebersicht.jeBewertung.VERWERTBAR.ohneWert}
-          farbe="text-ampel-rot"
+          farbe="text-ampel-rot"
-        />
+        />
-        <Summenkachel
+        <Summenkachel
-          titel={BEWERTUNG_BESCHRIFTUNG.GESCHUETZT}
+          titel={BEWERTUNG_BESCHRIFTUNG.GESCHUETZT}
-          betrag={uebersicht.jeBewertung.GESCHUETZT.summeCent}
+          betrag={uebersicht.jeBewertung.GESCHUETZT.summeCent}
-          anzahl={uebersicht.jeBewertung.GESCHUETZT.anzahl}
+          anzahl={uebersicht.jeBewertung.GESCHUETZT.anzahl}
-          ohneWert={uebersicht.jeBewertung.GESCHUETZT.ohneWert}
+          ohneWert={uebersicht.jeBewertung.GESCHUETZT.ohneWert}
-          farbe="text-ampel-gruen"
+          farbe="text-ampel-gruen"
-        />
+        />
-        <Summenkachel
+        <Summenkachel
-          titel={BEWERTUNG_BESCHRIFTUNG.STRITTIG}
+          titel={BEWERTUNG_BESCHRIFTUNG.STRITTIG}
-          betrag={uebersicht.jeBewertung.STRITTIG.summeCent}
+          betrag={uebersicht.jeBewertung.STRITTIG.summeCent}
-          anzahl={uebersicht.jeBewertung.STRITTIG.anzahl}
+          anzahl={uebersicht.jeBewertung.STRITTIG.anzahl}
-          ohneWert={uebersicht.jeBewertung.STRITTIG.ohneWert}
+          ohneWert={uebersicht.jeBewertung.STRITTIG.ohneWert}
-          farbe="text-ampel-orange"
+          farbe="text-ampel-orange"
-        />
+        />
-        <Summenkachel
+        <Summenkachel
-          titel={BEWERTUNG_BESCHRIFTUNG.UNGEPRUEFT}
+          titel={BEWERTUNG_BESCHRIFTUNG.UNGEPRUEFT}
-          betrag={uebersicht.jeBewertung.UNGEPRUEFT.summeCent}
+          betrag={uebersicht.jeBewertung.UNGEPRUEFT.summeCent}
-          anzahl={uebersicht.jeBewertung.UNGEPRUEFT.anzahl}
+          anzahl={uebersicht.jeBewertung.UNGEPRUEFT.anzahl}
-          ohneWert={uebersicht.jeBewertung.UNGEPRUEFT.ohneWert}
+          ohneWert={uebersicht.jeBewertung.UNGEPRUEFT.ohneWert}
-          farbe="text-muted-foreground"
+          farbe="text-muted-foreground"
-        />
+        />
-      </div>
+      </div>
-
+
-      <Card>
+      <Card>
-        <CardContent className="space-y-2 pt-5">
+        <CardContent className="space-y-2 pt-5">
-          <div className="flex flex-wrap items-baseline justify-between gap-3">
+          <div className="flex flex-wrap items-baseline justify-between gap-3">
-            <span className="text-sm text-muted-foreground">
+            <span className="text-sm text-muted-foreground">
-              Vermögensfreibetrag (§ 90 Abs. 2 Nr. 9 SGB XII)
+              Vermögensfreibetrag (§ 90 Abs. 2 Nr. 9 SGB XII)
-            </span>
+            </span>
-            <span className="text-lg font-semibold tabular-nums">
+            <span className="text-lg font-semibold tabular-nums">
-              {formatCent(vergleich.freibetragCent)}
+              {formatCent(vergleich.freibetragCent)}
-            </span>
+            </span>
-          </div>
+          </div>
-          <div className="flex flex-wrap items-baseline justify-between gap-3">
+          <div className="flex flex-wrap items-baseline justify-between gap-3">
-            <span className="text-sm text-muted-foreground">Über dem Freibetrag</span>
+            <span className="text-sm text-muted-foreground">Über dem Freibetrag</span>
-            <span
+            <span
-              className={`text-lg font-semibold tabular-nums ${
+              className={`text-lg font-semibold tabular-nums ${
-                vergleich.ausgeschoepft ? 'text-ampel-rot' : 'text-ampel-gruen'
+                vergleich.ausgeschoepft ? 'text-ampel-rot' : 'text-ampel-gruen'
-              }`}
+              }`}
-            >
+            >
-              {formatCent(vergleich.ueberFreibetragCent)}
+              {formatCent(vergleich.ueberFreibetragCent)}
-            </span>
+            </span>
-          </div>
+          </div>
-          <p className="text-sm text-muted-foreground">{vergleich.hinweis}</p>
+          <p className="text-sm text-muted-foreground">{vergleich.hinweis}</p>
-          <Rechtshinweis rechtsgrundlage="§ 90 SGB XII" kurz />
+          <Rechtshinweis rechtsgrundlage="§ 90 SGB XII" kurz />
-        </CardContent>
+        </CardContent>
-      </Card>
+      </Card>
-
+
-      {uebersicht.ungeprueft.length > 0 && (
+      {uebersicht.ungeprueft.length > 0 && (
-        <Alert variant="warnung">
+        <Alert variant="warnung">
-          <AlertCircle aria-hidden="true" />
+          <AlertCircle aria-hidden="true" />
-          <AlertTitle>
+          <AlertTitle>
-            {uebersicht.ungeprueft.length}{' '}
+            {uebersicht.ungeprueft.length}{' '}
-            {uebersicht.ungeprueft.length === 1 ? 'Posten ist' : 'Posten sind'} noch ungeprüft
+            {uebersicht.ungeprueft.length === 1 ? 'Posten ist' : 'Posten sind'} noch ungeprüft
-          </AlertTitle>
+          </AlertTitle>
-          <AlertDescription>
+          <AlertDescription>
-            Vor dem Antrag sollte hier nichts mehr stehen — der Träger fragt sonst nach, und das
+            Vor dem Antrag sollte hier nichts mehr stehen — der Träger fragt sonst nach, und das
-            kostet Wochen.
+            kostet Wochen.
-          </AlertDescription>
+          </AlertDescription>
-        </Alert>
+        </Alert>
-      )}
+      )}
-
+
-      {uebersicht.ohneBegruendung.length > 0 && (
+      {uebersicht.ohneBegruendung.length > 0 && (
-        <Alert variant="warnung">
+        <Alert variant="warnung">
-          <AlertCircle aria-hidden="true" />
+          <AlertCircle aria-hidden="true" />
-          <AlertTitle>Bewertung ohne Begründung</AlertTitle>
+          <AlertTitle>Bewertung ohne Begründung</AlertTitle>
-          <AlertDescription>
+          <AlertDescription>
-            {uebersicht.ohneBegruendung.map((p) => p.bezeichnung).join(', ')} — trag nach, worauf
+            {uebersicht.ohneBegruendung.map((p) => p.bezeichnung).join(', ')} — trag nach, worauf
-            sich die Einschätzung stützt. Im Widerspruchsverfahren zählt nur, was begründet ist.
+            sich die Einschätzung stützt. Im Widerspruchsverfahren zählt nur, was begründet ist.
-          </AlertDescription>
+          </AlertDescription>
-        </Alert>
+        </Alert>
-      )}
+      )}
-
+
-      <Vermoegensliste posten={zeilen} darfSchreiben={darfSchreiben} />
+      <Vermoegensliste posten={zeilen} darfSchreiben={darfSchreiben} />
-
+
-      <Rechtshinweis rechtsgrundlage="§ 90 SGB XII, § 91 SGB XII" />
+      <Rechtshinweis rechtsgrundlage="§ 90 SGB XII, § 91 SGB XII" />
-    </div>
+    </div>
-  )
+  )
-}
+}
-
+
-function Summenkachel({
+function Summenkachel({
-  titel,
+  titel,
-  betrag,
+  betrag,
-  anzahl,
+  anzahl,
-  ohneWert,
+  ohneWert,
-  farbe,
+  farbe,
-}: {
+}: {
-  titel: string
+  titel: string
-  betrag: bigint
+  betrag: bigint
-  anzahl: number
+  anzahl: number
-  ohneWert: number
+  ohneWert: number
-  farbe: string
+  farbe: string
-}) {
+}) {
-  return (
+  return (
-    <Card>
+    <Card>
-      <CardContent className="pt-5">
+      <CardContent className="pt-5">
-        <p className="text-sm text-muted-foreground">{titel}</p>
+        <p className="text-sm text-muted-foreground">{titel}</p>
-        <p className={`text-xl font-semibold tabular-nums ${farbe}`}>{formatCent(betrag)}</p>
+        <p className={`text-xl font-semibold tabular-nums ${farbe}`}>{formatCent(betrag)}</p>
-        <p className="mt-1 text-xs text-muted-foreground">
+        <p className="mt-1 text-xs text-muted-foreground">
-          {anzahl} {anzahl === 1 ? 'Posten' : 'Posten'}
+          {anzahl} {anzahl === 1 ? 'Posten' : 'Posten'}
-          {ohneWert > 0 && `, davon ${ohneWert} ohne Wert`}
+          {ohneWert > 0 && `, davon ${ohneWert} ohne Wert`}
-        </p>
+        </p>
-      </CardContent>
+      </CardContent>
-    </Card>
+    </Card>
-  )
+  )
-}
+}

src/app/(app)/vertraege/[id]/bearbeiten/page.tsx

@@ -1,77 +1,77 @@
-import { notFound, redirect } from 'next/navigation'
+import { notFound, redirect } from 'next/navigation'
-import { SeitenKopf } from '@/components/seiten-kopf'
+import { SeitenKopf } from '@/components/seiten-kopf'
-import { VertragFormular } from '@/components/vertraege/vertrag-formular'
+import { VertragFormular } from '@/components/vertraege/vertrag-formular'
-import { aktiveBetreute, erfordereBenutzer, erfordereZugang } from '@/lib/auth/sitzung'
+import { aktiveBetreute, erfordereBenutzer, erfordereZugang } from '@/lib/auth/sitzung'
-import { db, nichtGeloescht } from '@/lib/db'
+import { db, nichtGeloescht } from '@/lib/db'
-import { oeffnen } from '@/lib/crypto/feld'
+import { oeffnen } from '@/lib/crypto/feld'
-import { alsIsoTag } from '@/lib/fristen/datum'
+import { alsIsoTag } from '@/lib/fristen/datum'
-
+
-export const dynamic = 'force-dynamic'
+export const dynamic = 'force-dynamic'
-
+
-/** Cent als Eingabetext: 481255 wird zu "4812,55". */
+/** Cent als Eingabetext: 481255 wird zu "4812,55". */
-function centAlsText(cent: bigint | null): string {
+function centAlsText(cent: bigint | null): string {
-  if (cent === null) return ''
+  if (cent === null) return ''
-  const negativ = cent < 0n
+  const negativ = cent < 0n
-  const betrag = negativ ? -cent : cent
+  const betrag = negativ ? -cent : cent
-  const euro = betrag / 100n
+  const euro = betrag / 100n
-  const rest = betrag % 100n
+  const rest = betrag % 100n
-  return `${negativ ? '-' : ''}${euro},${rest.toString().padStart(2, '0')}`
+  return `${negativ ? '-' : ''}${euro},${rest.toString().padStart(2, '0')}`
-}
+}
-
+
-export default async function VertragBearbeiten({
+export default async function VertragBearbeiten({
-  params,
+  params,
-}: {
+}: {
-  params: Promise<{ id: string }>
+  params: Promise<{ id: string }>
-}) {
+}) {
-  const { id } = await params
+  const { id } = await params
-  const benutzer = await erfordereBenutzer(`/vertraege/${id}/bearbeiten`)
+  const benutzer = await erfordereBenutzer(`/vertraege/${id}/bearbeiten`)
-  const aktive = await aktiveBetreute(benutzer)
+  const aktive = await aktiveBetreute(benutzer)
-  if (!aktive) return null
+  if (!aktive) return null
-
+
-  const { darfSchreiben } = await erfordereZugang(aktive.id, 'VERTRAEGE', 'lesen')
+  const { darfSchreiben } = await erfordereZugang(aktive.id, 'VERTRAEGE', 'lesen')
-  if (!darfSchreiben('VERTRAEGE')) redirect(`/vertraege/${id}`)
+  if (!darfSchreiben('VERTRAEGE')) redirect(`/vertraege/${id}`)
-
+
-  const vertrag = await db.vertrag.findFirst({
+  const vertrag = await db.vertrag.findFirst({
-    where: { id, betreuteId: aktive.id, ...nichtGeloescht },
+    where: { id, betreuteId: aktive.id, ...nichtGeloescht },
-  })
+  })
-  if (!vertrag) notFound()
+  if (!vertrag) notFound()
-
+
-  const offen = oeffnen('Vertrag', vertrag)
+  const offen = oeffnen('Vertrag', vertrag)
-
+
-  return (
+  return (
-    <div className="space-y-6">
+    <div className="space-y-6">
-      <SeitenKopf
+      <SeitenKopf
-        titel={`${vertrag.bezeichnung} bearbeiten`}
+        titel={`${vertrag.bezeichnung} bearbeiten`}
-        beschreibung="Änderungen werden protokolliert. Die Vertragsnummer wird verschlüsselt gespeichert."
+        beschreibung="Änderungen werden protokolliert. Die Vertragsnummer wird verschlüsselt gespeichert."
-        pfad={[
+        pfad={[
-          { titel: 'Übersicht', href: '/heute' },
+          { titel: 'Übersicht', href: '/heute' },
-          { titel: 'Verträge', href: '/vertraege' },
+          { titel: 'Verträge', href: '/vertraege' },
-          { titel: vertrag.bezeichnung, href: `/vertraege/${id}` },
+          { titel: vertrag.bezeichnung, href: `/vertraege/${id}` },
-          { titel: 'Bearbeiten' },
+          { titel: 'Bearbeiten' },
-        ]}
+        ]}
-      />
+      />
-
+
-      <VertragFormular
+      <VertragFormular
-        betreuteId={aktive.id}
+        betreuteId={aktive.id}
-        werte={{
+        werte={{
-          id: vertrag.id,
+          id: vertrag.id,
-          bezeichnung: vertrag.bezeichnung,
+          bezeichnung: vertrag.bezeichnung,
-          gesellschaft: vertrag.gesellschaft ?? '',
+          gesellschaft: vertrag.gesellschaft ?? '',
-          art: vertrag.art,
+          art: vertrag.art,
-          status: vertrag.status,
+          status: vertrag.status,
-          vertragsnummer: offen.vertragsnummer ?? '',
+          vertragsnummer: offen.vertragsnummer ?? '',
-          beginnAm: vertrag.beginnAm ? alsIsoTag(vertrag.beginnAm) : '',
+          beginnAm: vertrag.beginnAm ? alsIsoTag(vertrag.beginnAm) : '',
-          endeAm: vertrag.endeAm ? alsIsoTag(vertrag.endeAm) : '',
+          endeAm: vertrag.endeAm ? alsIsoTag(vertrag.endeAm) : '',
-          kuendigungsfristMonate: vertrag.kuendigungsfristMonate?.toString() ?? '',
+          kuendigungsfristMonate: vertrag.kuendigungsfristMonate?.toString() ?? '',
-          kuendigungZum: vertrag.kuendigungZum ? alsIsoTag(vertrag.kuendigungZum) : '',
+          kuendigungZum: vertrag.kuendigungZum ? alsIsoTag(vertrag.kuendigungZum) : '',
-          gekuendigtAm: vertrag.gekuendigtAm ? alsIsoTag(vertrag.gekuendigtAm) : '',
+          gekuendigtAm: vertrag.gekuendigtAm ? alsIsoTag(vertrag.gekuendigtAm) : '',
-          beitrag: centAlsText(vertrag.beitragCent),
+          beitrag: centAlsText(vertrag.beitragCent),
-          rhythmus: vertrag.rhythmus ?? '',
+          rhythmus: vertrag.rhythmus ?? '',
-          bewertungSozialhilfe: vertrag.bewertungSozialhilfe,
+          bewertungSozialhilfe: vertrag.bewertungSozialhilfe,
-          bewertungBegruendung: offen.bewertungBegruendung ?? '',
+          bewertungBegruendung: offen.bewertungBegruendung ?? '',
-          notizen: offen.notizen ?? '',
+          notizen: offen.notizen ?? '',
-        }}
+        }}
-      />
+      />
-    </div>
+    </div>
-  )
+  )
-}
+}

src/app/(app)/vertraege/[id]/kuendigen/page.tsx

@@ -1,96 +1,96 @@
-import { notFound } from 'next/navigation'
+import { notFound } from 'next/navigation'
-import { SeitenKopf } from '@/components/seiten-kopf'
+import { SeitenKopf } from '@/components/seiten-kopf'
-import { KuendigungsAssistent } from '@/components/vertraege/kuendigungs-assistent'
+import { KuendigungsAssistent } from '@/components/vertraege/kuendigungs-assistent'
-import { aktiveBetreute, erfordereBenutzer, erfordereZugang } from '@/lib/auth/sitzung'
+import { aktiveBetreute, erfordereBenutzer, erfordereZugang } from '@/lib/auth/sitzung'
-import { db, nichtGeloescht } from '@/lib/db'
+import { db, nichtGeloescht } from '@/lib/db'
-import { oeffnen } from '@/lib/crypto/feld'
+import { oeffnen } from '@/lib/crypto/feld'
-import { alsIsoTag, heuteAlsTag } from '@/lib/fristen/datum'
+import { alsIsoTag, heuteAlsTag } from '@/lib/fristen/datum'
-import { briefkopfBauen } from '@/lib/vertraege/briefkopf'
+import { briefkopfBauen } from '@/lib/vertraege/briefkopf'
-import { kuendigungsassistent } from '@/lib/vertraege/kuendigungsassistent'
+import { kuendigungsassistent } from '@/lib/vertraege/kuendigungsassistent'
-import { laufzeitAusVertrag } from '@/lib/vertraege/kuendigung'
+import { laufzeitAusVertrag } from '@/lib/vertraege/kuendigung'
-import { VERTRAG_ART_BESCHRIFTUNG } from '@/lib/vertraege/konstanten'
+import { VERTRAG_ART_BESCHRIFTUNG } from '@/lib/vertraege/konstanten'
-
+
-export const dynamic = 'force-dynamic'
+export const dynamic = 'force-dynamic'
-
+
-export default async function VertragKuendigen({
+export default async function VertragKuendigen({
-  params,
+  params,
-}: {
+}: {
-  params: Promise<{ id: string }>
+  params: Promise<{ id: string }>
-}) {
+}) {
-  const { id } = await params
+  const { id } = await params
-  const benutzer = await erfordereBenutzer(`/vertraege/${id}/kuendigen`)
+  const benutzer = await erfordereBenutzer(`/vertraege/${id}/kuendigen`)
-  const aktive = await aktiveBetreute(benutzer)
+  const aktive = await aktiveBetreute(benutzer)
-  if (!aktive) return null
+  if (!aktive) return null
-
+
-  const { darfSchreiben } = await erfordereZugang(aktive.id, 'VERTRAEGE', 'lesen')
+  const { darfSchreiben } = await erfordereZugang(aktive.id, 'VERTRAEGE', 'lesen')
-  const schreiben = darfSchreiben('VERTRAEGE')
+  const schreiben = darfSchreiben('VERTRAEGE')
-
+
-  const vertrag = await db.vertrag.findFirst({
+  const vertrag = await db.vertrag.findFirst({
-    where: { id, betreuteId: aktive.id, ...nichtGeloescht },
+    where: { id, betreuteId: aktive.id, ...nichtGeloescht },
-  })
+  })
-  if (!vertrag) notFound()
+  if (!vertrag) notFound()
-
+
-  const offen = oeffnen('Vertrag', vertrag)
+  const offen = oeffnen('Vertrag', vertrag)
-  const heute = heuteAlsTag()
+  const heute = heuteAlsTag()
-
+
-  const paket = kuendigungsassistent({
+  const paket = kuendigungsassistent({
-    kopf: briefkopfBauen({ betreute: aktive, benutzer }),
+    kopf: briefkopfBauen({ betreute: aktive, benutzer }),
-    empfaenger: { gesellschaft: vertrag.gesellschaft, anschrift: null },
+    empfaenger: { gesellschaft: vertrag.gesellschaft, anschrift: null },
-    vertragsbezeichnung: `${VERTRAG_ART_BESCHRIFTUNG[vertrag.art]} — ${vertrag.bezeichnung}`,
+    vertragsbezeichnung: `${VERTRAG_ART_BESCHRIFTUNG[vertrag.art]} — ${vertrag.bezeichnung}`,
-    vertragsnummer: offen.vertragsnummer,
+    vertragsnummer: offen.vertragsnummer,
-    art: vertrag.art,
+    art: vertrag.art,
-    laufzeit: {
+    laufzeit: {
-      beginnAm: vertrag.beginnAm,
+      beginnAm: vertrag.beginnAm,
-      endeAm: vertrag.endeAm,
+      endeAm: vertrag.endeAm,
-      laufzeitJahre: laufzeitAusVertrag(vertrag.beginnAm, vertrag.endeAm),
+      laufzeitJahre: laufzeitAusVertrag(vertrag.beginnAm, vertrag.endeAm),
-      kuendigungsfristMonate: vertrag.kuendigungsfristMonate,
+      kuendigungsfristMonate: vertrag.kuendigungsfristMonate,
-    },
+    },
-    heute,
+    heute,
-  })
+  })
-
+
-  return (
+  return (
-    <div className="space-y-6">
+    <div className="space-y-6">
-      <SeitenKopf
+      <SeitenKopf
-        titel="Kündigungs-Assistent"
+        titel="Kündigungs-Assistent"
-        beschreibung={`${vertrag.bezeichnung} — Frist prüfen, Genehmigungsfrage stellen, Schreiben erzeugen, Versandnachweis sichern.`}
+        beschreibung={`${vertrag.bezeichnung} — Frist prüfen, Genehmigungsfrage stellen, Schreiben erzeugen, Versandnachweis sichern.`}
-        pfad={[
+        pfad={[
-          { titel: 'Übersicht', href: '/heute' },
+          { titel: 'Übersicht', href: '/heute' },
-          { titel: 'Verträge', href: '/vertraege' },
+          { titel: 'Verträge', href: '/vertraege' },
-          { titel: vertrag.bezeichnung, href: `/vertraege/${id}` },
+          { titel: vertrag.bezeichnung, href: `/vertraege/${id}` },
-          { titel: 'Kündigen' },
+          { titel: 'Kündigen' },
-        ]}
+        ]}
-      />
+      />
-
+
-      <KuendigungsAssistent
+      <KuendigungsAssistent
-        betreuteId={aktive.id}
+        betreuteId={aktive.id}
-        vertragId={id}
+        vertragId={id}
-        darfSchreiben={schreiben}
+        darfSchreiben={schreiben}
-        heuteIso={alsIsoTag(heute)}
+        heuteIso={alsIsoTag(heute)}
-        daten={{
+        daten={{
-          schreiben: paket.schreiben,
+          schreiben: paket.schreiben,
-          warnungen: paket.warnungen,
+          warnungen: paket.warnungen,
-          genehmigung: paket.genehmigung,
+          genehmigung: paket.genehmigung,
-          versandnachweis: {
+          versandnachweis: {
-            moeglichkeiten: [...paket.versandnachweis.moeglichkeiten],
+            moeglichkeiten: [...paket.versandnachweis.moeglichkeiten],
-            hinweis: paket.versandnachweis.hinweis,
+            hinweis: paket.versandnachweis.hinweis,
-          },
+          },
-          plan: {
+          plan: {
-            berechenbar: paket.plan.berechenbar,
+            berechenbar: paket.plan.berechenbar,
-            naechsterTermin: paket.plan.naechsterTermin
+            naechsterTermin: paket.plan.naechsterTermin
-              ? alsIsoTag(paket.plan.naechsterTermin)
+              ? alsIsoTag(paket.plan.naechsterTermin)
-              : null,
+              : null,
-            zugangSpaetestensAm: paket.plan.zugangSpaetestensAm
+            zugangSpaetestensAm: paket.plan.zugangSpaetestensAm
-              ? alsIsoTag(paket.plan.zugangSpaetestensAm)
+              ? alsIsoTag(paket.plan.zugangSpaetestensAm)
-              : null,
+              : null,
-            spaetesterAbsendetag: paket.plan.spaetesterAbsendetag
+            spaetesterAbsendetag: paket.plan.spaetesterAbsendetag
-              ? alsIsoTag(paket.plan.spaetesterAbsendetag)
+              ? alsIsoTag(paket.plan.spaetesterAbsendetag)
-              : null,
+              : null,
-            tageBisAbsendetag: paket.plan.tageBisAbsendetag,
+            tageBisAbsendetag: paket.plan.tageBisAbsendetag,
-            verpasst: paket.plan.verpasst,
+            verpasst: paket.plan.verpasst,
-            hinweise: paket.plan.hinweise,
+            hinweise: paket.plan.hinweise,
-          },
+          },
-        }}
+        }}
-      />
+      />
-    </div>
+    </div>
-  )
+  )
-}
+}

src/app/(app)/vertraege/[id]/page.tsx

@@ -1,275 +1,275 @@
-import Link from 'next/link'
+import Link from 'next/link'
-import { notFound } from 'next/navigation'
+import { notFound } from 'next/navigation'
-import { FileX2, Pencil, Shield } from 'lucide-react'
+import { FileX2, Pencil, Shield } from 'lucide-react'
-import { Badge } from '@/components/ui/badge'
+import { Badge } from '@/components/ui/badge'
-import { Button } from '@/components/ui/button'
+import { Button } from '@/components/ui/button'
-import { Card, CardContent, CardDescription, CardHeader, CardTitle } from '@/components/ui/card'
+import { Card, CardContent, CardDescription, CardHeader, CardTitle } from '@/components/ui/card'
-import { SeitenKopf } from '@/components/seiten-kopf'
+import { SeitenKopf } from '@/components/seiten-kopf'
-import { Datenzeile } from '@/components/substanz-formular'
+import { Datenzeile } from '@/components/substanz-formular'
-import { Rechtshinweis } from '@/components/rechtshinweis'
+import { Rechtshinweis } from '@/components/rechtshinweis'
-import { Rueckkaufswert } from '@/components/vertraege/rueckkaufswert'
+import { Rueckkaufswert } from '@/components/vertraege/rueckkaufswert'
-import { aktiveBetreute, erfordereBenutzer, erfordereZugang } from '@/lib/auth/sitzung'
+import { aktiveBetreute, erfordereBenutzer, erfordereZugang } from '@/lib/auth/sitzung'
-import { centZuZahl, db, nichtGeloescht } from '@/lib/db'
+import { centZuZahl, db, nichtGeloescht } from '@/lib/db'
-import { oeffnen } from '@/lib/crypto/feld'
+import { oeffnen } from '@/lib/crypto/feld'
-import { alsIsoTag, heuteAlsTag } from '@/lib/fristen/datum'
+import { alsIsoTag, heuteAlsTag } from '@/lib/fristen/datum'
-import { briefkopfBauen } from '@/lib/vertraege/briefkopf'
+import { briefkopfBauen } from '@/lib/vertraege/briefkopf'
-import {
+import {
-  kuendigungsampel,
+  kuendigungsampel,
-  kuendigungsplan,
+  kuendigungsplan,
-  laufzeitAusVertrag,
+  laufzeitAusVertrag,
-} from '@/lib/vertraege/kuendigung'
+} from '@/lib/vertraege/kuendigung'
-import {
+import {
-  anfrageStatus,
+  anfrageStatus,
-  rueckkaufswertAnschreiben,
+  rueckkaufswertAnschreiben,
-  wertHistorie,
+  wertHistorie,
-} from '@/lib/vertraege/rueckkaufswert'
+} from '@/lib/vertraege/rueckkaufswert'
-import { wertalterBestimmen } from '@/lib/finanzen/wertalter'
+import { wertalterBestimmen } from '@/lib/finanzen/wertalter'
-import {
+import {
-  BEWERTUNG_BESCHRIFTUNG,
+  BEWERTUNG_BESCHRIFTUNG,
-  BEWERTUNG_ERKLAERUNG,
+  BEWERTUNG_ERKLAERUNG,
-  jahresbeitragCent,
+  jahresbeitragCent,
-  kannRueckkaufswertHaben,
+  kannRueckkaufswertHaben,
-  RHYTHMUS_BESCHRIFTUNG,
+  RHYTHMUS_BESCHRIFTUNG,
-  VERTRAG_ART_BESCHRIFTUNG,
+  VERTRAG_ART_BESCHRIFTUNG,
-  VERTRAG_STATUS_BESCHRIFTUNG,
+  VERTRAG_STATUS_BESCHRIFTUNG,
-} from '@/lib/vertraege/konstanten'
+} from '@/lib/vertraege/konstanten'
-import { formatCent, formatDatum } from '@/lib/utils'
+import { formatCent, formatDatum } from '@/lib/utils'
-
+
-export const dynamic = 'force-dynamic'
+export const dynamic = 'force-dynamic'
-
+
-export default async function VertragDetail({ params }: { params: Promise<{ id: string }> }) {
+export default async function VertragDetail({ params }: { params: Promise<{ id: string }> }) {
-  const { id } = await params
+  const { id } = await params
-  const benutzer = await erfordereBenutzer(`/vertraege/${id}`)
+  const benutzer = await erfordereBenutzer(`/vertraege/${id}`)
-  const aktive = await aktiveBetreute(benutzer)
+  const aktive = await aktiveBetreute(benutzer)
-  if (!aktive) return null
+  if (!aktive) return null
-
+
-  const { darfSchreiben } = await erfordereZugang(aktive.id, 'VERTRAEGE', 'lesen')
+  const { darfSchreiben } = await erfordereZugang(aktive.id, 'VERTRAEGE', 'lesen')
-  const schreiben = darfSchreiben('VERTRAEGE')
+  const schreiben = darfSchreiben('VERTRAEGE')
-
+
-  const vertrag = await db.vertrag.findFirst({
+  const vertrag = await db.vertrag.findFirst({
-    where: { id, betreuteId: aktive.id, ...nichtGeloescht },
+    where: { id, betreuteId: aktive.id, ...nichtGeloescht },
-    include: {
+    include: {
-      // Ueber die Verknuepfung, nicht ueber die Art - siehe wertHistorie().
+      // Ueber die Verknuepfung, nicht ueber die Art - siehe wertHistorie().
-      vermoegensposten: {
+      vermoegensposten: {
-        where: nichtGeloescht,
+        where: nichtGeloescht,
-        include: { wertstaende: { orderBy: { stichtag: 'desc' } } },
+        include: { wertstaende: { orderBy: { stichtag: 'desc' } } },
-      },
+      },
-    },
+    },
-  })
+  })
-  if (!vertrag) notFound()
+  if (!vertrag) notFound()
-
+
-  const offen = oeffnen('Vertrag', vertrag)
+  const offen = oeffnen('Vertrag', vertrag)
-  const heute = heuteAlsTag()
+  const heute = heuteAlsTag()
-
+
-  const plan = kuendigungsplan({
+  const plan = kuendigungsplan({
-    beginnAm: vertrag.beginnAm,
+    beginnAm: vertrag.beginnAm,
-    endeAm: vertrag.endeAm,
+    endeAm: vertrag.endeAm,
-    laufzeitJahre: laufzeitAusVertrag(vertrag.beginnAm, vertrag.endeAm),
+    laufzeitJahre: laufzeitAusVertrag(vertrag.beginnAm, vertrag.endeAm),
-    kuendigungsfristMonate: vertrag.kuendigungsfristMonate,
+    kuendigungsfristMonate: vertrag.kuendigungsfristMonate,
-    heute,
+    heute,
-  })
+  })
-  const ampel = kuendigungsampel(plan)
+  const ampel = kuendigungsampel(plan)
-  const anfrage = anfrageStatus(vertrag.rueckkaufswertAngefragtAm, heute)
+  const anfrage = anfrageStatus(vertrag.rueckkaufswertAngefragtAm, heute)
-  const jahresbeitrag = jahresbeitragCent(vertrag.beitragCent, vertrag.rhythmus)
+  const jahresbeitrag = jahresbeitragCent(vertrag.beitragCent, vertrag.rhythmus)
-
+
-  const kopf = briefkopfBauen({ betreute: aktive, benutzer })
+  const kopf = briefkopfBauen({ betreute: aktive, benutzer })
-  const anschreiben = rueckkaufswertAnschreiben({
+  const anschreiben = rueckkaufswertAnschreiben({
-    kopf,
+    kopf,
-    empfaenger: { gesellschaft: vertrag.gesellschaft, anschrift: null },
+    empfaenger: { gesellschaft: vertrag.gesellschaft, anschrift: null },
-    vertragsbezeichnung: `${VERTRAG_ART_BESCHRIFTUNG[vertrag.art]} — ${vertrag.bezeichnung}`,
+    vertragsbezeichnung: `${VERTRAG_ART_BESCHRIFTUNG[vertrag.art]} — ${vertrag.bezeichnung}`,
-    vertragsnummer: offen.vertragsnummer,
+    vertragsnummer: offen.vertragsnummer,
-    stichtag: heute,
+    stichtag: heute,
-    heute,
+    heute,
-  })
+  })
-
+
-  const wertstaende = wertHistorie(vertrag.vermoegensposten)
+  const wertstaende = wertHistorie(vertrag.vermoegensposten)
-
+
-  return (
+  return (
-    <div className="space-y-6">
+    <div className="space-y-6">
-      <SeitenKopf
+      <SeitenKopf
-        titel={vertrag.bezeichnung}
+        titel={vertrag.bezeichnung}
-        beschreibung={
+        beschreibung={
-          [vertrag.gesellschaft, VERTRAG_ART_BESCHRIFTUNG[vertrag.art]]
+          [vertrag.gesellschaft, VERTRAG_ART_BESCHRIFTUNG[vertrag.art]]
-            .filter(Boolean)
+            .filter(Boolean)
-            .join(' · ') || VERTRAG_ART_BESCHRIFTUNG[vertrag.art]
+            .join(' · ') || VERTRAG_ART_BESCHRIFTUNG[vertrag.art]
-        }
+        }
-        pfad={[
+        pfad={[
-          { titel: 'Übersicht', href: '/heute' },
+          { titel: 'Übersicht', href: '/heute' },
-          { titel: 'Verträge', href: '/vertraege' },
+          { titel: 'Verträge', href: '/vertraege' },
-          { titel: vertrag.bezeichnung },
+          { titel: vertrag.bezeichnung },
-        ]}
+        ]}
-        aktionen={
+        aktionen={
-          schreiben && (
+          schreiben && (
-            <div className="flex flex-wrap gap-2">
+            <div className="flex flex-wrap gap-2">
-              <Button asChild variant="outline">
+              <Button asChild variant="outline">
-                <Link href={`/vertraege/${id}/kuendigen`}>
+                <Link href={`/vertraege/${id}/kuendigen`}>
-                  <FileX2 aria-hidden="true" />
+                  <FileX2 aria-hidden="true" />
-                  Kündigen
+                  Kündigen
-                </Link>
+                </Link>
-              </Button>
+              </Button>
-              <Button asChild>
+              <Button asChild>
-                <Link href={`/vertraege/${id}/bearbeiten`}>
+                <Link href={`/vertraege/${id}/bearbeiten`}>
-                  <Pencil aria-hidden="true" />
+                  <Pencil aria-hidden="true" />
-                  Bearbeiten
+                  Bearbeiten
-                </Link>
+                </Link>
-              </Button>
+              </Button>
-            </div>
+            </div>
-          )
+          )
-        }
+        }
-      />
+      />
-
+
-      <Card>
+      <Card>
-        <CardHeader>
+        <CardHeader>
-          <CardTitle className="flex items-center gap-2">
+          <CardTitle className="flex items-center gap-2">
-            <Shield className="size-5" aria-hidden="true" />
+            <Shield className="size-5" aria-hidden="true" />
-            Vertragsdaten
+            Vertragsdaten
-          </CardTitle>
+          </CardTitle>
-          <CardDescription>
+          <CardDescription>
-            Die Vertragsnummer wird verschlüsselt gespeichert und hier nur zum Lesen angezeigt.
+            Die Vertragsnummer wird verschlüsselt gespeichert und hier nur zum Lesen angezeigt.
-          </CardDescription>
+          </CardDescription>
-        </CardHeader>
+        </CardHeader>
-        <CardContent className="grid gap-x-8 sm:grid-cols-2">
+        <CardContent className="grid gap-x-8 sm:grid-cols-2">
-          <dl className="divide-y">
+          <dl className="divide-y">
-            <Datenzeile beschriftung="Vertragsnummer">
+            <Datenzeile beschriftung="Vertragsnummer">
-              {offen.vertragsnummer ?? '–'}
+              {offen.vertragsnummer ?? '–'}
-            </Datenzeile>
+            </Datenzeile>
-            <Datenzeile beschriftung="Status">
+            <Datenzeile beschriftung="Status">
-              {VERTRAG_STATUS_BESCHRIFTUNG[vertrag.status]}
+              {VERTRAG_STATUS_BESCHRIFTUNG[vertrag.status]}
-            </Datenzeile>
+            </Datenzeile>
-            <Datenzeile beschriftung="Laufzeitbeginn">
+            <Datenzeile beschriftung="Laufzeitbeginn">
-              {formatDatum(vertrag.beginnAm)}
+              {formatDatum(vertrag.beginnAm)}
-            </Datenzeile>
+            </Datenzeile>
-            <Datenzeile beschriftung="Vereinbartes Ende">
+            <Datenzeile beschriftung="Vereinbartes Ende">
-              {formatDatum(vertrag.endeAm)}
+              {formatDatum(vertrag.endeAm)}
-            </Datenzeile>
+            </Datenzeile>
-            <Datenzeile beschriftung="Kündigungsfrist">
+            <Datenzeile beschriftung="Kündigungsfrist">
-              {vertrag.kuendigungsfristMonate !== null
+              {vertrag.kuendigungsfristMonate !== null
-                ? `${vertrag.kuendigungsfristMonate} Monate`
+                ? `${vertrag.kuendigungsfristMonate} Monate`
-                : 'nicht erfasst'}
+                : 'nicht erfasst'}
-            </Datenzeile>
+            </Datenzeile>
-          </dl>
+          </dl>
-          <dl className="divide-y">
+          <dl className="divide-y">
-            <Datenzeile beschriftung="Beitrag">
+            <Datenzeile beschriftung="Beitrag">
-              {formatCent(vertrag.beitragCent)}
+              {formatCent(vertrag.beitragCent)}
-              {vertrag.rhythmus ? ` (${RHYTHMUS_BESCHRIFTUNG[vertrag.rhythmus]})` : ''}
+              {vertrag.rhythmus ? ` (${RHYTHMUS_BESCHRIFTUNG[vertrag.rhythmus]})` : ''}
-            </Datenzeile>
+            </Datenzeile>
-            <Datenzeile beschriftung="Jahresbeitrag">{formatCent(jahresbeitrag)}</Datenzeile>
+            <Datenzeile beschriftung="Jahresbeitrag">{formatCent(jahresbeitrag)}</Datenzeile>
-            <Datenzeile beschriftung="Gekündigt am">
+            <Datenzeile beschriftung="Gekündigt am">
-              {formatDatum(vertrag.gekuendigtAm)}
+              {formatDatum(vertrag.gekuendigtAm)}
-            </Datenzeile>
+            </Datenzeile>
-            <Datenzeile beschriftung="Gekündigt zum">
+            <Datenzeile beschriftung="Gekündigt zum">
-              {formatDatum(vertrag.kuendigungZum)}
+              {formatDatum(vertrag.kuendigungZum)}
-            </Datenzeile>
+            </Datenzeile>
-            <Datenzeile beschriftung="Rückkaufswert angefragt">
+            <Datenzeile beschriftung="Rückkaufswert angefragt">
-              {formatDatum(vertrag.rueckkaufswertAngefragtAm)}
+              {formatDatum(vertrag.rueckkaufswertAngefragtAm)}
-            </Datenzeile>
+            </Datenzeile>
-          </dl>
+          </dl>
-
+
-          {offen.notizen && (
+          {offen.notizen && (
-            <div className="mt-4 rounded-md border bg-muted/40 p-3 sm:col-span-2">
+            <div className="mt-4 rounded-md border bg-muted/40 p-3 sm:col-span-2">
-              <p className="whitespace-pre-line text-sm">{offen.notizen}</p>
+              <p className="whitespace-pre-line text-sm">{offen.notizen}</p>
-            </div>
+            </div>
-          )}
+          )}
-        </CardContent>
+        </CardContent>
-      </Card>
+      </Card>
-
+
-      <Card>
+      <Card>
-        <CardHeader>
+        <CardHeader>
-          <CardTitle>Kündigungsfrist</CardTitle>
+          <CardTitle>Kündigungsfrist</CardTitle>
-          <CardDescription>
+          <CardDescription>
-            Eine Kündigung wird mit dem Zugang wirksam, nicht mit dem Absenden. Deshalb ist der
+            Eine Kündigung wird mit dem Zugang wirksam, nicht mit dem Absenden. Deshalb ist der
-            Absendetag früher als der Fristablauf.
+            Absendetag früher als der Fristablauf.
-          </CardDescription>
+          </CardDescription>
-        </CardHeader>
+        </CardHeader>
-        <CardContent className="space-y-4">
+        <CardContent className="space-y-4">
-          {plan.berechenbar ? (
+          {plan.berechenbar ? (
-            <>
+            <>
-              <dl className="grid gap-3 sm:grid-cols-3">
+              <dl className="grid gap-3 sm:grid-cols-3">
-                <div className="rounded-md border p-3">
+                <div className="rounded-md border p-3">
-                  <dt className="text-sm text-muted-foreground">Nächster Kündigungstermin</dt>
+                  <dt className="text-sm text-muted-foreground">Nächster Kündigungstermin</dt>
-                  <dd className="text-lg font-semibold">{formatDatum(plan.naechsterTermin)}</dd>
+                  <dd className="text-lg font-semibold">{formatDatum(plan.naechsterTermin)}</dd>
-                </div>
+                </div>
-                <div className="rounded-md border p-3">
+                <div className="rounded-md border p-3">
-                  <dt className="text-sm text-muted-foreground">Zugang spätestens</dt>
+                  <dt className="text-sm text-muted-foreground">Zugang spätestens</dt>
-                  <dd className="text-lg font-semibold">
+                  <dd className="text-lg font-semibold">
-                    {formatDatum(plan.zugangSpaetestensAm)}
+                    {formatDatum(plan.zugangSpaetestensAm)}
-                  </dd>
+                  </dd>
-                </div>
+                </div>
-                <div className="rounded-md border p-3">
+                <div className="rounded-md border p-3">
-                  <dt className="text-sm text-muted-foreground">Brief spätestens absenden</dt>
+                  <dt className="text-sm text-muted-foreground">Brief spätestens absenden</dt>
-                  <dd className="text-lg font-semibold">
+                  <dd className="text-lg font-semibold">
-                    {formatDatum(plan.spaetesterAbsendetag)}
+                    {formatDatum(plan.spaetesterAbsendetag)}
-                  </dd>
+                  </dd>
-                  {ampel && (
+                  {ampel && (
-                    <dd className="mt-1">
+                    <dd className="mt-1">
-                      <Badge variant={ampel.variante}>{ampel.text}</Badge>
+                      <Badge variant={ampel.variante}>{ampel.text}</Badge>
-                    </dd>
+                    </dd>
-                  )}
+                  )}
-                </div>
+                </div>
-              </dl>
+              </dl>
-              <ul className="space-y-1.5 text-sm text-muted-foreground">
+              <ul className="space-y-1.5 text-sm text-muted-foreground">
-                {plan.hinweise.map((hinweis) => (
+                {plan.hinweise.map((hinweis) => (
-                  <li key={hinweis}>{hinweis}</li>
+                  <li key={hinweis}>{hinweis}</li>
-                ))}
+                ))}
-              </ul>
+              </ul>
-            </>
+            </>
-          ) : (
+          ) : (
-            <p className="text-sm text-muted-foreground">
+            <p className="text-sm text-muted-foreground">
-              {plan.hinweise[0] ??
+              {plan.hinweise[0] ??
-                'Ohne Laufzeitbeginn lässt sich kein Kündigungstermin berechnen.'}
+                'Ohne Laufzeitbeginn lässt sich kein Kündigungstermin berechnen.'}
-            </p>
+            </p>
-          )}
+          )}
-        </CardContent>
+        </CardContent>
-      </Card>
+      </Card>
-
+
-      {kannRueckkaufswertHaben(vertrag.art) && (
+      {kannRueckkaufswertHaben(vertrag.art) && (
-        <Rueckkaufswert
+        <Rueckkaufswert
-          betreuteId={aktive.id}
+          betreuteId={aktive.id}
-          vertragId={id}
+          vertragId={id}
-          darfSchreiben={schreiben}
+          darfSchreiben={schreiben}
-          angefragtAm={vertrag.rueckkaufswertAngefragtAm?.toISOString() ?? null}
+          angefragtAm={vertrag.rueckkaufswertAngefragtAm?.toISOString() ?? null}
-          erinnerungFaellig={anfrage.erinnerungFaellig}
+          erinnerungFaellig={anfrage.erinnerungFaellig}
-          tageSeitAnfrage={anfrage.tageSeitAnfrage}
+          tageSeitAnfrage={anfrage.tageSeitAnfrage}
-          anschreiben={anschreiben}
+          anschreiben={anschreiben}
-          stichtagVorschlag={alsIsoTag(heute)}
+          stichtagVorschlag={alsIsoTag(heute)}
-          alterHinweis={
+          alterHinweis={
-            wertalterBestimmen(wertstaende[0]?.stichtag ?? null, heute)?.hinweis ?? null
+            wertalterBestimmen(wertstaende[0]?.stichtag ?? null, heute)?.hinweis ?? null
-          }
+          }
-          werte={wertstaende.map((w) => ({
+          werte={wertstaende.map((w) => ({
-            id: w.id,
+            id: w.id,
-            stichtag: w.stichtag.toISOString(),
+            stichtag: w.stichtag.toISOString(),
-            wertCent: centZuZahl(w.wertCent) ?? 0,
+            wertCent: centZuZahl(w.wertCent) ?? 0,
-            wertquelle: w.wertquelle,
+            wertquelle: w.wertquelle,
-            bemerkung: w.bemerkung,
+            bemerkung: w.bemerkung,
-          }))}
+          }))}
-        />
+        />
-      )}
+      )}
-
+
-      <Card>
+      <Card>
-        <CardHeader>
+        <CardHeader>
-          <CardTitle>Bewertung fürs Sozialamt</CardTitle>
+          <CardTitle>Bewertung fürs Sozialamt</CardTitle>
-          <CardDescription>
+          <CardDescription>
-            Meine Einordnung und meine Begründung — keine Rechtsauskunft.
+            Meine Einordnung und meine Begründung — keine Rechtsauskunft.
-          </CardDescription>
+          </CardDescription>
-        </CardHeader>
+        </CardHeader>
-        <CardContent className="space-y-3">
+        <CardContent className="space-y-3">
-          <Badge variant="outline">{BEWERTUNG_BESCHRIFTUNG[vertrag.bewertungSozialhilfe]}</Badge>
+          <Badge variant="outline">{BEWERTUNG_BESCHRIFTUNG[vertrag.bewertungSozialhilfe]}</Badge>
-          <p className="text-sm text-muted-foreground">
+          <p className="text-sm text-muted-foreground">
-            {BEWERTUNG_ERKLAERUNG[vertrag.bewertungSozialhilfe]}
+            {BEWERTUNG_ERKLAERUNG[vertrag.bewertungSozialhilfe]}
-          </p>
+          </p>
-          {offen.bewertungBegruendung ? (
+          {offen.bewertungBegruendung ? (
-            <p className="whitespace-pre-line rounded-md border bg-muted/40 p-3 text-sm">
+            <p className="whitespace-pre-line rounded-md border bg-muted/40 p-3 text-sm">
-              {offen.bewertungBegruendung}
+              {offen.bewertungBegruendung}
-            </p>
+            </p>
-          ) : (
+          ) : (
-            <p className="text-sm text-muted-foreground">
+            <p className="text-sm text-muted-foreground">
-              Noch keine Begründung hinterlegt. Sie gehört dazu, bevor der Vertrag in einer
+              Noch keine Begründung hinterlegt. Sie gehört dazu, bevor der Vertrag in einer
-              Aufstellung an den Bezirk auftaucht.
+              Aufstellung an den Bezirk auftaucht.
-            </p>
+            </p>
-          )}
+          )}
-          <Rechtshinweis rechtsgrundlage="§ 90 Abs. 3 SGB XII" kurz />
+          <Rechtshinweis rechtsgrundlage="§ 90 Abs. 3 SGB XII" kurz />
-        </CardContent>
+        </CardContent>
-      </Card>
+      </Card>
-    </div>
+    </div>
-  )
+  )
-}
+}

src/app/(app)/vorgaenge/[id]/page.tsx

@@ -1,438 +1,438 @@
-import { notFound } from 'next/navigation'
+import { notFound } from 'next/navigation'
-import Link from 'next/link'
+import Link from 'next/link'
-import { ArrowLeft, FileDown, Clock } from 'lucide-react'
+import { ArrowLeft, FileDown, Clock } from 'lucide-react'
-import type { VorgangStatus } from '@prisma/client'
+import type { VorgangStatus } from '@prisma/client'
-import { Badge } from '@/components/ui/badge'
+import { Badge } from '@/components/ui/badge'
-import { Button } from '@/components/ui/button'
+import { Button } from '@/components/ui/button'
-import { Card, CardContent, CardHeader, CardTitle } from '@/components/ui/card'
+import { Card, CardContent, CardHeader, CardTitle } from '@/components/ui/card'
-import { SeitenKopf } from '@/components/seiten-kopf'
+import { SeitenKopf } from '@/components/seiten-kopf'
-import { AufgabenListe, type AufgabenZeile } from '@/components/vorgaenge/aufgaben-liste'
+import { AufgabenListe, type AufgabenZeile } from '@/components/vorgaenge/aufgaben-liste'
-import { Faelligkeit } from '@/components/vorgaenge/faelligkeit'
+import { Faelligkeit } from '@/components/vorgaenge/faelligkeit'
-import { GenehmigungAnlegen } from '@/components/vorgaenge/genehmigung-anlegen'
+import { GenehmigungAnlegen } from '@/components/vorgaenge/genehmigung-anlegen'
-import {
+import {
-  GenehmigungsKette,
+  GenehmigungsKette,
-  type GenehmigungsAnzeige,
+  type GenehmigungsAnzeige,
-} from '@/components/vorgaenge/genehmigungs-kette'
+} from '@/components/vorgaenge/genehmigungs-kette'
-import { SachstandsanfrageKnopf } from '@/components/vorgaenge/sachstandsanfrage-knopf'
+import { SachstandsanfrageKnopf } from '@/components/vorgaenge/sachstandsanfrage-knopf'
-import { StatusWechsler } from '@/components/vorgaenge/status-wechsler'
+import { StatusWechsler } from '@/components/vorgaenge/status-wechsler'
-import { VorgangLoeschen } from '@/components/vorgaenge/vorgang-loeschen'
+import { VorgangLoeschen } from '@/components/vorgaenge/vorgang-loeschen'
-import { VorgangsFormular } from '@/components/vorgaenge/vorgangs-formular'
+import { VorgangsFormular } from '@/components/vorgaenge/vorgangs-formular'
-import { ZeitstrahlAnzeige } from '@/components/vorgaenge/zeitstrahl-anzeige'
+import { ZeitstrahlAnzeige } from '@/components/vorgaenge/zeitstrahl-anzeige'
-import { aktiveBetreute, erfordereBenutzer, erfordereZugang } from '@/lib/auth/sitzung'
+import { aktiveBetreute, erfordereBenutzer, erfordereZugang } from '@/lib/auth/sitzung'
-import { centZuZahl, db, nichtGeloescht } from '@/lib/db'
+import { centZuZahl, db, nichtGeloescht } from '@/lib/db'
-import { entschluesselnWennMoeglich, oeffnen } from '@/lib/crypto/feld'
+import { entschluesselnWennMoeglich, oeffnen } from '@/lib/crypto/feld'
-import { KATEGORIE_BESCHRIFTUNG, PRIORITAET_BESCHRIFTUNG } from '@/lib/validierung/vorgaenge'
+import { KATEGORIE_BESCHRIFTUNG, PRIORITAET_BESCHRIFTUNG } from '@/lib/validierung/vorgaenge'
-import { sachstandsanfrageErzeugen } from '@/lib/vorgaenge/sachstandsanfrage'
+import { sachstandsanfrageErzeugen } from '@/lib/vorgaenge/sachstandsanfrage'
-import {
+import {
-  VORGANG_STATUS_BESCHRIFTUNG,
+  VORGANG_STATUS_BESCHRIFTUNG,
-  zeitstrahlBauen,
+  zeitstrahlBauen,
-  type ZeitstrahlStatuswechsel,
+  type ZeitstrahlStatuswechsel,
-} from '@/lib/vorgaenge/zeitstrahl'
+} from '@/lib/vorgaenge/zeitstrahl'
-import { formatDatum } from '@/lib/utils'
+import { formatDatum } from '@/lib/utils'
-
+
-/**
+/**
- * Die Fallakte.
+ * Die Fallakte.
- *
+ *
- * Kopf mit Status, Gegenstelle, Aktenzeichen und dem nächsten Handgriff;
+ * Kopf mit Status, Gegenstelle, Aktenzeichen und dem nächsten Handgriff;
- * darunter die Aufgabenliste, das Genehmigungsverfahren und der
+ * darunter die Aufgabenliste, das Genehmigungsverfahren und der
- * Zeitstrahl, der alles zusammenführt, was in dieser Sache passiert ist.
+ * Zeitstrahl, der alles zusammenführt, was in dieser Sache passiert ist.
- */
+ */
-export default async function VorgangSeite({ params }: { params: Promise<{ id: string }> }) {
+export default async function VorgangSeite({ params }: { params: Promise<{ id: string }> }) {
-  const { id } = await params
+  const { id } = await params
-  const benutzer = await erfordereBenutzer(`/vorgaenge/${id}`)
+  const benutzer = await erfordereBenutzer(`/vorgaenge/${id}`)
-  const aktive = await aktiveBetreute(benutzer)
+  const aktive = await aktiveBetreute(benutzer)
-  if (!aktive) notFound()
+  if (!aktive) notFound()
-
+
-  const vorgang = await db.vorgang.findFirst({
+  const vorgang = await db.vorgang.findFirst({
-    where: { id, betreuteId: aktive.id, ...nichtGeloescht },
+    where: { id, betreuteId: aktive.id, ...nichtGeloescht },
-    include: {
+    include: {
-      aufgaben: { orderBy: [{ reihenfolge: 'asc' }, { erstelltAm: 'asc' }] },
+      aufgaben: { orderBy: [{ reihenfolge: 'asc' }, { erstelltAm: 'asc' }] },
-      genehmigungen: {
+      genehmigungen: {
-        where: nichtGeloescht,
+        where: nichtGeloescht,
-        include: { beschlussDokument: { select: { id: true, titel: true } } },
+        include: { beschlussDokument: { select: { id: true, titel: true } } },
-        orderBy: { erstelltAm: 'asc' },
+        orderBy: { erstelltAm: 'asc' },
-      },
+      },
-      fristen: { where: nichtGeloescht, orderBy: { datum: 'asc' } },
+      fristen: { where: nichtGeloescht, orderBy: { datum: 'asc' } },
-      buchungen: { where: nichtGeloescht, orderBy: { datum: 'desc' } },
+      buchungen: { where: nichtGeloescht, orderBy: { datum: 'desc' } },
-      kontaktprotokolle: { where: nichtGeloescht, orderBy: { datum: 'desc' } },
+      kontaktprotokolle: { where: nichtGeloescht, orderBy: { datum: 'desc' } },
-      verknuepfungen: { include: { dokument: true } },
+      verknuepfungen: { include: { dokument: true } },
-      ansprechpartner: true,
+      ansprechpartner: true,
-    },
+    },
-  })
+  })
-  if (!vorgang) notFound()
+  if (!vorgang) notFound()
-
+
-  const { darfSchreiben } = await erfordereZugang(aktive.id, 'VORGAENGE', 'lesen')
+  const { darfSchreiben } = await erfordereZugang(aktive.id, 'VORGAENGE', 'lesen')
-  const schreiben = darfSchreiben('VORGAENGE')
+  const schreiben = darfSchreiben('VORGAENGE')
-
+
-  const offen = oeffnen('Vorgang', vorgang)
+  const offen = oeffnen('Vorgang', vorgang)
-
+
-  // Kontakte dieser Akte fuer die Wahl des Ansprechpartners.
+  // Kontakte dieser Akte fuer die Wahl des Ansprechpartners.
-  const kontakte = await db.kontakt.findMany({
+  const kontakte = await db.kontakt.findMany({
-    where: { betreuteId: aktive.id, ...nichtGeloescht },
+    where: { betreuteId: aktive.id, ...nichtGeloescht },
-    select: { id: true, name: true, organisation: true },
+    select: { id: true, name: true, organisation: true },
-    orderBy: [{ organisation: 'asc' }, { name: 'asc' }],
+    orderBy: [{ organisation: 'asc' }, { name: 'asc' }],
-    take: 300,
+    take: 300,
-  })
+  })
-
+
-  // --- Statuswechsel aus dem Audit-Log --------------------------------------
+  // --- Statuswechsel aus dem Audit-Log --------------------------------------
-  // Das Log ist ohnehin der Nachweis gegenueber dem Gericht; daraus die
+  // Das Log ist ohnehin der Nachweis gegenueber dem Gericht; daraus die
-  // Statuschronik zu lesen, spart eine zusaetzliche Tabelle.
+  // Statuschronik zu lesen, spart eine zusaetzliche Tabelle.
-  const protokolle = await db.auditLog.findMany({
+  const protokolle = await db.auditLog.findMany({
-    where: { entitaet: 'Vorgang', entitaetId: vorgang.id, aktion: 'GEAENDERT' },
+    where: { entitaet: 'Vorgang', entitaetId: vorgang.id, aktion: 'GEAENDERT' },
-    orderBy: { zeitpunkt: 'asc' },
+    orderBy: { zeitpunkt: 'asc' },
-    take: 200,
+    take: 200,
-  })
+  })
-
+
-  const statuswechsel: ZeitstrahlStatuswechsel[] = []
+  const statuswechsel: ZeitstrahlStatuswechsel[] = []
-  for (const eintrag of protokolle) {
+  for (const eintrag of protokolle) {
-    const roh = entschluesselnWennMoeglich(
+    const roh = entschluesselnWennMoeglich(
-      eintrag.aenderungVerschluesselt,
+      eintrag.aenderungVerschluesselt,
-      'aenderungVerschluesselt',
+      'aenderungVerschluesselt',
-    )
+    )
-    if (!roh) continue
+    if (!roh) continue
-    try {
+    try {
-      const gelesen = JSON.parse(roh) as Record<string, { alt: unknown; neu: unknown }>
+      const gelesen = JSON.parse(roh) as Record<string, { alt: unknown; neu: unknown }>
-      const status = gelesen.status
+      const status = gelesen.status
-      if (!status || typeof status.neu !== 'string') continue
+      if (!status || typeof status.neu !== 'string') continue
-      statuswechsel.push({
+      statuswechsel.push({
-        id: eintrag.id,
+        id: eintrag.id,
-        zeitpunkt: eintrag.zeitpunkt,
+        zeitpunkt: eintrag.zeitpunkt,
-        von: typeof status.alt === 'string' ? (status.alt as VorgangStatus) : null,
+        von: typeof status.alt === 'string' ? (status.alt as VorgangStatus) : null,
-        nach: status.neu as VorgangStatus,
+        nach: status.neu as VorgangStatus,
-        wer: eintrag.userName,
+        wer: eintrag.userName,
-      })
+      })
-    } catch {
+    } catch {
-      // Ein unlesbarer Protokolleintrag darf die Akte nicht blockieren.
+      // Ein unlesbarer Protokolleintrag darf die Akte nicht blockieren.
-      continue
+      continue
-    }
+    }
-  }
+  }
-
+
-  // --- Zeitstrahl -----------------------------------------------------------
+  // --- Zeitstrahl -----------------------------------------------------------
-  const zeitstrahl = zeitstrahlBauen({
+  const zeitstrahl = zeitstrahlBauen({
-    vorgang: {
+    vorgang: {
-      titel: vorgang.titel,
+      titel: vorgang.titel,
-      erstelltAm: vorgang.erstelltAm,
+      erstelltAm: vorgang.erstelltAm,
-      erledigtAm: vorgang.erledigtAm,
+      erledigtAm: vorgang.erledigtAm,
-    },
+    },
-    dokumente: vorgang.verknuepfungen
+    dokumente: vorgang.verknuepfungen
-      .map((v) => v.dokument)
+      .map((v) => v.dokument)
-      .filter((d) => d.geloeschtAm === null)
+      .filter((d) => d.geloeschtAm === null)
-      .map((d) => ({
+      .map((d) => ({
-        id: d.id,
+        id: d.id,
-        titel: d.titel,
+        titel: d.titel,
-        eingangAm: d.eingangAm,
+        eingangAm: d.eingangAm,
-        versandAm: d.versandAm,
+        versandAm: d.versandAm,
-        erstelltAm: d.erstelltAm,
+        erstelltAm: d.erstelltAm,
-        absender: d.absender,
+        absender: d.absender,
-        empfaenger: d.empfaenger,
+        empfaenger: d.empfaenger,
-      })),
+      })),
-    kontaktprotokolle: vorgang.kontaktprotokolle.map((p) => {
+    kontaktprotokolle: vorgang.kontaktprotokolle.map((p) => {
-      const klar = oeffnen('Kontaktprotokoll', p)
+      const klar = oeffnen('Kontaktprotokoll', p)
-      return {
+      return {
-        id: p.id,
+        id: p.id,
-        datum: p.datum,
+        datum: p.datum,
-        art: p.art,
+        art: p.art,
-        gespraechspartner: p.gespraechspartner,
+        gespraechspartner: p.gespraechspartner,
-        mitBetreuter: p.mitBetreuter,
+        mitBetreuter: p.mitBetreuter,
-        inhalt: klar.inhalt ?? null,
+        inhalt: klar.inhalt ?? null,
-      }
+      }
-    }),
+    }),
-    fristen: vorgang.fristen.map((f) => ({
+    fristen: vorgang.fristen.map((f) => ({
-      id: f.id,
+      id: f.id,
-      titel: f.titel,
+      titel: f.titel,
-      datum: f.datum,
+      datum: f.datum,
-      erledigtAm: f.erledigtAm,
+      erledigtAm: f.erledigtAm,
-      ausschlussfrist: f.ausschlussfrist,
+      ausschlussfrist: f.ausschlussfrist,
-      rechtsgrundlage: f.rechtsgrundlage,
+      rechtsgrundlage: f.rechtsgrundlage,
-    })),
+    })),
-    buchungen: vorgang.buchungen.map((b) => {
+    buchungen: vorgang.buchungen.map((b) => {
-      const klar = oeffnen('Buchung', b)
+      const klar = oeffnen('Buchung', b)
-      return {
+      return {
-        id: b.id,
+        id: b.id,
-        datum: b.datum,
+        datum: b.datum,
-        betragCent: centZuZahl(b.betragCent) ?? 0,
+        betragCent: centZuZahl(b.betragCent) ?? 0,
-        richtung: b.richtung,
+        richtung: b.richtung,
-        gegenstelle: b.gegenstelle,
+        gegenstelle: b.gegenstelle,
-        verwendungszweck: klar.verwendungszweck ?? null,
+        verwendungszweck: klar.verwendungszweck ?? null,
-      }
+      }
-    }),
+    }),
-    genehmigungen: vorgang.genehmigungen.map((g) => ({
+    genehmigungen: vorgang.genehmigungen.map((g) => ({
-      id: g.id,
+      id: g.id,
-      titel: g.titel,
+      titel: g.titel,
-      rechtsgrundlage: g.rechtsgrundlage,
+      rechtsgrundlage: g.rechtsgrundlage,
-      status: g.status,
+      status: g.status,
-      mitteilungAm: g.mitteilungAm,
+      mitteilungAm: g.mitteilungAm,
-      antragAm: g.antragAm,
+      antragAm: g.antragAm,
-      anhoerungAm: g.anhoerungAm,
+      anhoerungAm: g.anhoerungAm,
-      beschlussAm: g.beschlussAm,
+      beschlussAm: g.beschlussAm,
-      rechtskraftAm: g.rechtskraftAm,
+      rechtskraftAm: g.rechtskraftAm,
-      vollzugAm: g.vollzugAm,
+      vollzugAm: g.vollzugAm,
-    })),
+    })),
-    statuswechsel,
+    statuswechsel,
-  })
+  })
-
+
-  // --- Sachstandsanfrage ----------------------------------------------------
+  // --- Sachstandsanfrage ----------------------------------------------------
-  // Nur, wenn tatsaechlich auf jemanden gewartet wird - sonst waere der
+  // Nur, wenn tatsaechlich auf jemanden gewartet wird - sonst waere der
-  // Knopf nur Zierde.
+  // Knopf nur Zierde.
-  const wartetAufDritte = vorgang.status === 'WARTET_AUF_DRITTE'
+  const wartetAufDritte = vorgang.status === 'WARTET_AUF_DRITTE'
-  const anfrage = wartetAufDritte
+  const anfrage = wartetAufDritte
-    ? sachstandsanfrageErzeugen({
+    ? sachstandsanfrageErzeugen({
-        vorgangTitel: vorgang.titel,
+        vorgangTitel: vorgang.titel,
-        gegenstelle: vorgang.gegenstelle,
+        gegenstelle: vorgang.gegenstelle,
-        aktenzeichen: vorgang.aktenzeichen,
+        aktenzeichen: vorgang.aktenzeichen,
-        letzterKontaktAm: vorgang.letzterKontaktAm,
+        letzterKontaktAm: vorgang.letzterKontaktAm,
-        betreute: {
+        betreute: {
-          vorname: aktive.vorname,
+          vorname: aktive.vorname,
-          nachname: aktive.nachname,
+          nachname: aktive.nachname,
-          geburtsdatum: aktive.geburtsdatum,
+          geburtsdatum: aktive.geburtsdatum,
-        },
+        },
-        betreuer: {
+        betreuer: {
-          name: benutzer.name,
+          name: benutzer.name,
-          aktenzeichenGericht: aktive.aktenzeichenGericht,
+          aktenzeichenGericht: aktive.aktenzeichenGericht,
-          betreuungsgericht: aktive.betreuungsgericht,
+          betreuungsgericht: aktive.betreuungsgericht,
-        },
+        },
-        ansprechpartner: vorgang.ansprechpartner
+        ansprechpartner: vorgang.ansprechpartner
-          ? {
+          ? {
-              name: vorgang.ansprechpartner.name,
+              name: vorgang.ansprechpartner.name,
-              anrede: vorgang.ansprechpartner.anrede,
+              anrede: vorgang.ansprechpartner.anrede,
-            }
+            }
-          : null,
+          : null,
-      })
+      })
-    : null
+    : null
-
+
-  // Dokumente der betreuten Person - Auswahl fuer das Beschlussdokument.
+  // Dokumente der betreuten Person - Auswahl fuer das Beschlussdokument.
-  const dokumente = vorgang.genehmigungen.length
+  const dokumente = vorgang.genehmigungen.length
-    ? await db.dokument.findMany({
+    ? await db.dokument.findMany({
-        where: { betreuteId: aktive.id, ...nichtGeloescht },
+        where: { betreuteId: aktive.id, ...nichtGeloescht },
-        select: { id: true, titel: true },
+        select: { id: true, titel: true },
-        orderBy: { erstelltAm: 'desc' },
+        orderBy: { erstelltAm: 'desc' },
-        take: 100,
+        take: 100,
-      })
+      })
-    : []
+    : []
-
+
-  const aufgaben: AufgabenZeile[] = vorgang.aufgaben.map((a) => ({
+  const aufgaben: AufgabenZeile[] = vorgang.aufgaben.map((a) => ({
-    id: a.id,
+    id: a.id,
-    titel: a.titel,
+    titel: a.titel,
-    beschreibung: a.beschreibung,
+    beschreibung: a.beschreibung,
-    erledigt: a.erledigt,
+    erledigt: a.erledigt,
-    faelligAm: a.faelligAm,
+    faelligAm: a.faelligAm,
-  }))
+  }))
-
+
-  const genehmigungen: GenehmigungsAnzeige[] = vorgang.genehmigungen.map((g) => ({
+  const genehmigungen: GenehmigungsAnzeige[] = vorgang.genehmigungen.map((g) => ({
-    id: g.id,
+    id: g.id,
-    titel: g.titel,
+    titel: g.titel,
-    rechtsgrundlage: g.rechtsgrundlage,
+    rechtsgrundlage: g.rechtsgrundlage,
-    status: g.status,
+    status: g.status,
-    mitteilungAm: g.mitteilungAm,
+    mitteilungAm: g.mitteilungAm,
-    antragAm: g.antragAm,
+    antragAm: g.antragAm,
-    anhoerungAm: g.anhoerungAm,
+    anhoerungAm: g.anhoerungAm,
-    beschlussAm: g.beschlussAm,
+    beschlussAm: g.beschlussAm,
-    rechtskraftAm: g.rechtskraftAm,
+    rechtskraftAm: g.rechtskraftAm,
-    vollzugAm: g.vollzugAm,
+    vollzugAm: g.vollzugAm,
-    beschlussDokumentId: g.beschlussDokumentId,
+    beschlussDokumentId: g.beschlussDokumentId,
-    beschlussDokumentTitel: g.beschlussDokument?.titel ?? null,
+    beschlussDokumentTitel: g.beschlussDokument?.titel ?? null,
-    dokumente,
+    dokumente,
-  }))
+  }))
-
+
-  return (
+  return (
-    <div className="space-y-8">
+    <div className="space-y-8">
-      <SeitenKopf
+      <SeitenKopf
-        titel={vorgang.titel}
+        titel={vorgang.titel}
-        beschreibung={offen.beschreibung ?? undefined}
+        beschreibung={offen.beschreibung ?? undefined}
-        pfad={[
+        pfad={[
-          { titel: 'Start', href: '/heute' },
+          { titel: 'Start', href: '/heute' },
-          { titel: 'Vorgänge', href: '/vorgaenge' },
+          { titel: 'Vorgänge', href: '/vorgaenge' },
-          { titel: vorgang.titel },
+          { titel: vorgang.titel },
-        ]}
+        ]}
-        aktionen={
+        aktionen={
-          <>
+          <>
-            <Button variant="ghost" asChild>
+            <Button variant="ghost" asChild>
-              <Link href="/vorgaenge">
+              <Link href="/vorgaenge">
-                <ArrowLeft aria-hidden="true" />
+                <ArrowLeft aria-hidden="true" />
-                Zurück
+                Zurück
-              </Link>
+              </Link>
-            </Button>
+            </Button>
-            {anfrage && (
+            {anfrage && (
-              <SachstandsanfrageKnopf
+              <SachstandsanfrageKnopf
-                vorgangId={vorgang.id}
+                vorgangId={vorgang.id}
-                betreff={anfrage.betreff}
+                betreff={anfrage.betreff}
-                text={anfrage.text}
+                text={anfrage.text}
-                darfSchreiben={schreiben}
+                darfSchreiben={schreiben}
-              />
+              />
-            )}
+            )}
-            {schreiben && (
+            {schreiben && (
-              <Button asChild variant="outline">
+              <Button asChild variant="outline">
-                <Link href={`/schreiben/neu?art=SACHSTAND&vorgangId=${vorgang.id}`}>
+                <Link href={`/schreiben/neu?art=SACHSTAND&vorgangId=${vorgang.id}`}>
-                  <FileDown aria-hidden="true" />
+                  <FileDown aria-hidden="true" />
-                  Als Word-Datei und in die Akte
+                  Als Word-Datei und in die Akte
-                </Link>
+                </Link>
-              </Button>
+              </Button>
-            )}
+            )}
-            {schreiben && <VorgangLoeschen vorgangId={vorgang.id} titel={vorgang.titel} />}
+            {schreiben && <VorgangLoeschen vorgangId={vorgang.id} titel={vorgang.titel} />}
-          </>
+          </>
-        }
+        }
-      />
+      />
-
+
-      {/* --- Kopf der Akte ---------------------------------------------- */}
+      {/* --- Kopf der Akte ---------------------------------------------- */}
-      <Card>
+      <Card>
-        <CardContent className="grid gap-5 p-5 sm:grid-cols-2 lg:grid-cols-3">
+        <CardContent className="grid gap-5 p-5 sm:grid-cols-2 lg:grid-cols-3">
-          <div className="space-y-1">
+          <div className="space-y-1">
-            <p className="text-sm text-muted-foreground">Status</p>
+            <p className="text-sm text-muted-foreground">Status</p>
-            <p className="font-medium">{VORGANG_STATUS_BESCHRIFTUNG[vorgang.status]}</p>
+            <p className="font-medium">{VORGANG_STATUS_BESCHRIFTUNG[vorgang.status]}</p>
-            {schreiben && (
+            {schreiben && (
-              <StatusWechsler vorgangId={vorgang.id} status={vorgang.status} klein />
+              <StatusWechsler vorgangId={vorgang.id} status={vorgang.status} klein />
-            )}
+            )}
-          </div>
+          </div>
-
+
-          <div className="space-y-1">
+          <div className="space-y-1">
-            <p className="text-sm text-muted-foreground">Gegenstelle</p>
+            <p className="text-sm text-muted-foreground">Gegenstelle</p>
-            <p className="font-medium">{vorgang.gegenstelle ?? '–'}</p>
+            <p className="font-medium">{vorgang.gegenstelle ?? '–'}</p>
-            {vorgang.letzterKontaktAm && (
+            {vorgang.letzterKontaktAm && (
-              <p className="flex items-center gap-1.5 text-sm text-muted-foreground">
+              <p className="flex items-center gap-1.5 text-sm text-muted-foreground">
-                <Clock className="size-3.5" aria-hidden="true" />
+                <Clock className="size-3.5" aria-hidden="true" />
-                Letzter Kontakt: {formatDatum(vorgang.letzterKontaktAm)}
+                Letzter Kontakt: {formatDatum(vorgang.letzterKontaktAm)}
-              </p>
+              </p>
-            )}
+            )}
-          </div>
+          </div>
-
+
-          <div className="space-y-1">
+          <div className="space-y-1">
-            <p className="text-sm text-muted-foreground">Aktenzeichen</p>
+            <p className="text-sm text-muted-foreground">Aktenzeichen</p>
-            <p className="font-medium">{vorgang.aktenzeichen ?? '–'}</p>
+            <p className="font-medium">{vorgang.aktenzeichen ?? '–'}</p>
-          </div>
+          </div>
-
+
-          {/* Wen frage ich, bevor ich anrufe? Durchwahl und Adresse
+          {/* Wen frage ich, bevor ich anrufe? Durchwahl und Adresse
-              stehen dabei - sonst schlaegt man sie doch wieder nach. */}
+              stehen dabei - sonst schlaegt man sie doch wieder nach. */}
-          <div className="space-y-1">
+          <div className="space-y-1">
-            <p className="text-sm text-muted-foreground">Ansprechpartner</p>
+            <p className="text-sm text-muted-foreground">Ansprechpartner</p>
-            {vorgang.ansprechpartner ? (
+            {vorgang.ansprechpartner ? (
-              <>
+              <>
-                <p className="font-medium">
+                <p className="font-medium">
-                  <Link
+                  <Link
-                    href={`/kontakte/${vorgang.ansprechpartner.id}`}
+                    href={`/kontakte/${vorgang.ansprechpartner.id}`}
-                    className="hover:underline"
+                    className="hover:underline"
-                  >
+                  >
-                    {vorgang.ansprechpartner.name}
+                    {vorgang.ansprechpartner.name}
-                  </Link>
+                  </Link>
-                </p>
+                </p>
-                {vorgang.ansprechpartner.organisation && (
+                {vorgang.ansprechpartner.organisation && (
-                  <p className="text-sm text-muted-foreground">
+                  <p className="text-sm text-muted-foreground">
-                    {vorgang.ansprechpartner.organisation}
+                    {vorgang.ansprechpartner.organisation}
-                  </p>
+                  </p>
-                )}
+                )}
-                {(vorgang.ansprechpartner.telefon || vorgang.ansprechpartner.email) && (
+                {(vorgang.ansprechpartner.telefon || vorgang.ansprechpartner.email) && (
-                  <p className="text-sm text-muted-foreground">
+                  <p className="text-sm text-muted-foreground">
-                    {[vorgang.ansprechpartner.telefon, vorgang.ansprechpartner.email]
+                    {[vorgang.ansprechpartner.telefon, vorgang.ansprechpartner.email]
-                      .filter(Boolean)
+                      .filter(Boolean)
-                      .join(' · ')}
+                      .join(' · ')}
-                  </p>
+                  </p>
-                )}
+                )}
-              </>
+              </>
-            ) : (
+            ) : (
-              <p className="text-sm text-muted-foreground">
+              <p className="text-sm text-muted-foreground">
-                Keiner benannt — Schreiben gehen an „Sehr geehrte Damen und Herren“.
+                Keiner benannt — Schreiben gehen an „Sehr geehrte Damen und Herren“.
-              </p>
+              </p>
-            )}
+            )}
-          </div>
+          </div>
-
+
-          <div className="space-y-1 sm:col-span-2">
+          <div className="space-y-1 sm:col-span-2">
-            <p className="text-sm text-muted-foreground">Nächster Schritt</p>
+            <p className="text-sm text-muted-foreground">Nächster Schritt</p>
-            <p className="font-medium">
+            <p className="font-medium">
-              {vorgang.naechsterSchritt ?? 'Kein offener Handgriff notiert.'}
+              {vorgang.naechsterSchritt ?? 'Kein offener Handgriff notiert.'}
-            </p>
+            </p>
-          </div>
+          </div>
-
+
-          <div className="space-y-2">
+          <div className="space-y-2">
-            <p className="text-sm text-muted-foreground">Einordnung</p>
+            <p className="text-sm text-muted-foreground">Einordnung</p>
-            <div className="flex flex-wrap gap-2">
+            <div className="flex flex-wrap gap-2">
-              <Badge variant="outline">{KATEGORIE_BESCHRIFTUNG[vorgang.kategorie]}</Badge>
+              <Badge variant="outline">{KATEGORIE_BESCHRIFTUNG[vorgang.kategorie]}</Badge>
-              <Badge variant="secondary">
+              <Badge variant="secondary">
-                {PRIORITAET_BESCHRIFTUNG[vorgang.prioritaet] ?? 'Normal'}
+                {PRIORITAET_BESCHRIFTUNG[vorgang.prioritaet] ?? 'Normal'}
-              </Badge>
+              </Badge>
-              <Faelligkeit datum={vorgang.faelligAm} />
+              <Faelligkeit datum={vorgang.faelligAm} />
-            </div>
+            </div>
-          </div>
+          </div>
-        </CardContent>
+        </CardContent>
-      </Card>
+      </Card>
-
+
-      {/* --- Aufgaben ----------------------------------------------------- */}
+      {/* --- Aufgaben ----------------------------------------------------- */}
-      <section aria-labelledby="aufgaben" className="space-y-4">
+      <section aria-labelledby="aufgaben" className="space-y-4">
-        <h2 id="aufgaben" className="text-xl font-semibold">
+        <h2 id="aufgaben" className="text-xl font-semibold">
-          Aufgaben
+          Aufgaben
-        </h2>
+        </h2>
-        <AufgabenListe
+        <AufgabenListe
-          vorgangId={vorgang.id}
+          vorgangId={vorgang.id}
-          aufgaben={aufgaben}
+          aufgaben={aufgaben}
-          darfSchreiben={schreiben}
+          darfSchreiben={schreiben}
-        />
+        />
-      </section>
+      </section>
-
+
-      {/* --- Genehmigungen ------------------------------------------------ */}
+      {/* --- Genehmigungen ------------------------------------------------ */}
-      {(vorgang.genehmigungspflichtig || genehmigungen.length > 0) && (
+      {(vorgang.genehmigungspflichtig || genehmigungen.length > 0) && (
-        <section aria-labelledby="genehmigungen" className="space-y-6">
+        <section aria-labelledby="genehmigungen" className="space-y-6">
-          <h2 id="genehmigungen" className="text-xl font-semibold">
+          <h2 id="genehmigungen" className="text-xl font-semibold">
-            Genehmigung des Betreuungsgerichts
+            Genehmigung des Betreuungsgerichts
-          </h2>
+          </h2>
-
+
-          {genehmigungen.map((genehmigung) => (
+          {genehmigungen.map((genehmigung) => (
-            <GenehmigungsKette
+            <GenehmigungsKette
-              key={genehmigung.id}
+              key={genehmigung.id}
-              genehmigung={genehmigung}
+              genehmigung={genehmigung}
-              darfSchreiben={schreiben}
+              darfSchreiben={schreiben}
-            />
+            />
-          ))}
+          ))}
-
+
-          {schreiben && genehmigungen.length === 0 && (
+          {schreiben && genehmigungen.length === 0 && (
-            <GenehmigungAnlegen vorgangId={vorgang.id} />
+            <GenehmigungAnlegen vorgangId={vorgang.id} />
-          )}
+          )}
-        </section>
+        </section>
-      )}
+      )}
-
+
-      {/* --- Zeitstrahl --------------------------------------------------- */}
+      {/* --- Zeitstrahl --------------------------------------------------- */}
-      <section aria-labelledby="zeitstrahl" className="space-y-4">
+      <section aria-labelledby="zeitstrahl" className="space-y-4">
-        <h2 id="zeitstrahl" className="text-xl font-semibold">
+        <h2 id="zeitstrahl" className="text-xl font-semibold">
-          Zeitstrahl
+          Zeitstrahl
-        </h2>
+        </h2>
-        <p className="text-sm text-muted-foreground">
+        <p className="text-sm text-muted-foreground">
-          Dokumente, Gespräche, Fristen, Zahlungen und Statuswechsel in einer Spalte - neueste
+          Dokumente, Gespräche, Fristen, Zahlungen und Statuswechsel in einer Spalte - neueste
-          zuerst.
+          zuerst.
-        </p>
+        </p>
-        <ZeitstrahlAnzeige eintraege={zeitstrahl} />
+        <ZeitstrahlAnzeige eintraege={zeitstrahl} />
-      </section>
+      </section>
-
+
-      {/* --- Bearbeiten --------------------------------------------------- */}
+      {/* --- Bearbeiten --------------------------------------------------- */}
-      {schreiben && (
+      {schreiben && (
-        <section aria-labelledby="bearbeiten" className="space-y-4">
+        <section aria-labelledby="bearbeiten" className="space-y-4">
-          <Card>
+          <Card>
-            <CardHeader>
+            <CardHeader>
-              <CardTitle id="bearbeiten">Angaben bearbeiten</CardTitle>
+              <CardTitle id="bearbeiten">Angaben bearbeiten</CardTitle>
-            </CardHeader>
+            </CardHeader>
-            <CardContent>
+            <CardContent>
-              <VorgangsFormular
+              <VorgangsFormular
-                modus="aendern"
+                modus="aendern"
-                betreuteId={aktive.id}
+                betreuteId={aktive.id}
-                vorgangId={vorgang.id}
+                vorgangId={vorgang.id}
-                abbrechenHref={`/vorgaenge/${vorgang.id}`}
+                abbrechenHref={`/vorgaenge/${vorgang.id}`}
-                kontakte={kontakte}
+                kontakte={kontakte}
-                werte={{
+                werte={{
-                  titel: vorgang.titel,
+                  titel: vorgang.titel,
-                  kategorie: vorgang.kategorie,
+                  kategorie: vorgang.kategorie,
-                  status: vorgang.status,
+                  status: vorgang.status,
-                  prioritaet: vorgang.prioritaet,
+                  prioritaet: vorgang.prioritaet,
-                  beschreibung: offen.beschreibung ?? null,
+                  beschreibung: offen.beschreibung ?? null,
-                  gegenstelle: vorgang.gegenstelle,
+                  gegenstelle: vorgang.gegenstelle,
-                  aktenzeichen: vorgang.aktenzeichen,
+                  aktenzeichen: vorgang.aktenzeichen,
-                  ansprechpartnerId: vorgang.ansprechpartnerId,
+                  ansprechpartnerId: vorgang.ansprechpartnerId,
-                  verantwortlich: vorgang.verantwortlich,
+                  verantwortlich: vorgang.verantwortlich,
-                  naechsterSchritt: vorgang.naechsterSchritt,
+                  naechsterSchritt: vorgang.naechsterSchritt,
-                  faelligAm: vorgang.faelligAm,
+                  faelligAm: vorgang.faelligAm,
-                  letzterKontaktAm: vorgang.letzterKontaktAm,
+                  letzterKontaktAm: vorgang.letzterKontaktAm,
-                  genehmigungspflichtig: vorgang.genehmigungspflichtig,
+                  genehmigungspflichtig: vorgang.genehmigungspflichtig,
-                }}
+                }}
-              />
+              />
-            </CardContent>
+            </CardContent>
-          </Card>
+          </Card>
-        </section>
+        </section>
-      )}
+      )}
-    </div>
+    </div>
-  )
+  )
-}
+}

src/app/(auth)/ersteinrichtung/page.tsx

@@ -21,8 +21,16 @@ export const dynamic = 'force-dynamic'
 export default async function ErsteinrichtungSeite() {
   const anzahlBenutzer = await db.user.count({ where: { geloeschtAm: null } })
 
+  // Die Sperrzeile ist die eigentliche Auskunft darueber, ob eingerichtet
+  // wurde. Der Benutzerzaehler allein genuegt nicht: Liegt der erste Zugang
+  // im Papierkorb, stuende Schritt 1 sonst wieder offen.
+  const sperre = await db.ersteinrichtung.findUnique({
+    where: { id: 'einmalig' },
+    select: { id: true },
+  })
+
   // --- Schritt 1: Es gibt noch keinen Zugang -------------------------------
-  if (anzahlBenutzer === 0) {
+  if (anzahlBenutzer === 0 && !sperre) {
     return (
       <>
         <Card>

src/app/(auth)/ersteinrichtung/zugang-formular.tsx

@@ -61,6 +61,23 @@ export function ZugangFormular() {
         />
       </Feld>
 
+      <Feld
+        id="geheimnis"
+        beschriftung="Einrichtungsgeheimnis"
+        erklaerung="Der Wert von ERSTEINRICHTUNG_GEHEIMNIS aus der .env. Er verhindert, dass jemand
+          anders diesen Zugang anlegt, solange die Seite noch offensteht."
+        fehler={zustand.felder?.geheimnis}
+        pflicht
+      >
+        <Input
+          name="geheimnis"
+          type="password"
+          autoComplete="off"
+          spellCheck={false}
+          required
+        />
+      </Feld>
+
       <Feld
         id="passwort"
         beschriftung="Passwort"

src/app/api/dokumente/datei/[signatur]/route.ts

@@ -2,7 +2,7 @@ import { NextResponse } from 'next/server'
 import type { Modul } from '@prisma/client'
 import { protokollieren } from '@/lib/audit'
 import { darf } from '@/lib/auth/rollen'
-import { aktuellerBenutzer } from '@/lib/auth/sitzung'
+import { benutzerFuerRoute } from '@/lib/auth/sitzung'
 import { db, nichtGeloescht } from '@/lib/db'
 import { typErkennen } from '@/lib/speicher/dateityp'
 import { betreuteIdAusSchluessel, lesen } from '@/lib/speicher'
@@ -55,7 +55,10 @@ function nurText(status: number, meldung: string): NextResponse {
 export async function GET(
   _anfrage: Request,
   { params }: { params: Promise<{ signatur: string }> },
-): Promise<NextResponse> {
+  // Response statt NextResponse: Die Abweisung ohne zweiten Faktor kommt
+  // aus benutzerFuerRoute() und ist eine schlichte Response. NextResponse
+  // erbt davon, die uebrigen Rueckgaben passen also weiterhin.
+): Promise<Response> {
   const { signatur } = await params
 
   // 1. Signatur und Ablauf
@@ -70,9 +73,14 @@ export async function GET(
   }
   const schluessel = geprueft.schluessel
 
-  // 2. Angemeldet?
+  // 2. Angemeldet - und mit abgeschlossenem zweitem Faktor.
-  const benutzer = await aktuellerBenutzer()
+  //
-  if (!benutzer) return nurText(401, 'Bitte melde dich an.')
+  // Frueher stand hier nur die Frage nach der Anmeldung. Damit kam jemand,
+  // der die TOTP-Einrichtung nie abgeschlossen hatte, an jedes Dokument -
+  // die MFA-Pflicht galt nur fuer Seiten, nicht fuer diesen Abruf.
+  const angemeldet = await benutzerFuerRoute()
+  if (!angemeldet.ok) return angemeldet.antwort
+  const benutzer = angemeldet.benutzer
 
   // 3. Zugriff auf genau diese betreute Person
   const betreuteId = betreuteIdAusSchluessel(schluessel)

src/auth.ts

@@ -3,15 +3,17 @@ import Credentials from 'next-auth/providers/credentials'
 import type { Rolle } from '@prisma/client'
 import { db } from '@/lib/db'
 import { env } from '@/lib/env'
-import { hashVeraltet, passwortHashen, passwortPruefen, wiederherstellungscodeFinden } from '@/lib/crypto/hash'
+import { hashVeraltet, passwortHashen, passwortPruefen } from '@/lib/crypto/hash'
-import { totpPruefen, totpSecretEntschluesseln } from '@/lib/crypto/totp'
 import {
   anmeldungErlaubt,
   aufMindestdauerWarten,
   fehlversucheZuruecksetzen,
+  sperreVermerken,
   versuchFesthalten,
 } from '@/lib/auth/ratelimit'
 import { protokollieren } from '@/lib/audit'
+import { zweitenFaktorEinloesen } from '@/lib/auth/zweiter-faktor'
+import { anschlussAus } from '@/lib/auth/anschluss'
 import { PasskeyFehler, anmeldungPruefen } from '@/lib/auth/passkey'
 import type { AuthenticationResponseJSON } from '@simplewebauthn/server'
 
@@ -64,12 +66,13 @@ export class PasskeyAnmeldeFehler extends CredentialsSignin {
 
 function ipAusAnfrage(anfrage: Request | undefined): string | null {
   if (!anfrage) return null
-  const weitergeleitet = anfrage.headers.get('x-forwarded-for')?.split(',')[0]?.trim()
+  return anschlussAus(anfrage.headers)
-  return weitergeleitet || anfrage.headers.get('x-real-ip') || null
 }
 
 export const { handlers, signIn, signOut, auth } = NextAuth({
-  trustHost: true,
+  // Siehe env.vertraueHost: Ist AUTH_URL gesetzt, wird dem Host-Kopf nicht
+  // geglaubt. Vorher stand hier fest "true".
+  trustHost: env.vertraueHost,
   secret: process.env.AUTH_SECRET,
 
   session: {
@@ -110,7 +113,7 @@ export const { handlers, signIn, signOut, auth } = NextAuth({
         // 1. Sperre pruefen, bevor teuer gerechnet wird.
         const sperre = await anmeldungErlaubt(email, ip)
         if (sperre.gesperrt) {
-          await versuchFesthalten(email, ip, false, 'gesperrt')
+          await sperreVermerken(email, ip)
           throw new AnmeldeFehler('gesperrt', sperre.nochSekunden)
         }
 
@@ -141,33 +144,13 @@ export const { handlers, signIn, signOut, auth } = NextAuth({
           throw new AnmeldeFehler('konto-inaktiv')
         }
 
-        // 3. Zweiter Faktor. Ohne eingerichtetes TOTP kommt der Benutzer
+        // 3. Zweiter Faktor. Ist er noch nicht eingerichtet, kommt der
-        //    zwar herein, das App-Layout schickt ihn aber sofort zur
+        //    Benutzer nur bis zur Einrichtungsseite - erzwungen in
-        //    Einrichtung - er kann nichts anderes tun.
+        //    erfordereBenutzer(), nicht erst im Layout.
         if (benutzer.totpSecretVerschluesselt && benutzer.totpAktiviertAm) {
-          const codeOhneTrenner = code.replace(/[\s-]/g, '')
+          const eingeloest = await zweitenFaktorEinloesen(benutzer, code)
-          let zweiterFaktorOk = false
 
-          if (/^\d{6}$/.test(codeOhneTrenner)) {
+          if (!eingeloest.ok) {
-            const secret = totpSecretEntschluesseln(benutzer.totpSecretVerschluesselt)
-            zweiterFaktorOk = totpPruefen(secret, benutzer.email, codeOhneTrenner).gueltig
-          } else if (codeOhneTrenner.length >= 12) {
-            // Wiederherstellungscode - wird nach Gebrauch entfernt.
-            const treffer = await wiederherstellungscodeFinden(
-              benutzer.wiederherstellungscodes,
-              code,
-            )
-            if (treffer >= 0) {
-              zweiterFaktorOk = true
-              const rest = benutzer.wiederherstellungscodes.filter((_, i) => i !== treffer)
-              await db.user.update({
-                where: { id: benutzer.id },
-                data: { wiederherstellungscodes: rest },
-              })
-            }
-          }
-
-          if (!zweiterFaktorOk) {
             await versuchFesthalten(email, ip, false, 'code-falsch')
             await protokollieren({
               aktion: 'ANMELDUNG_FEHLGESCHLAGEN',
@@ -175,7 +158,10 @@ export const { handlers, signIn, signOut, auth } = NextAuth({
               entitaetId: benutzer.id,
               userEmail: email,
               userId: benutzer.id,
-              bezeichnung: 'Zweiter Faktor falsch',
+              bezeichnung:
+                eingeloest.grund === 'wiederverwendet'
+                  ? 'Zweiter Faktor bereits verbraucht'
+                  : 'Zweiter Faktor falsch',
             })
             await aufMindestdauerWarten(begonnen)
             throw new AnmeldeFehler('code-falsch')
@@ -274,7 +260,7 @@ export const { handlers, signIn, signOut, auth } = NextAuth({
         // anmeldet - erraten laesst sich ein Passkey ohnehin nicht.
         const sperre = await anmeldungErlaubt(benutzer.email, ip)
         if (sperre.gesperrt) {
-          await versuchFesthalten(benutzer.email, ip, false, 'gesperrt')
+          await sperreVermerken(benutzer.email, ip)
           throw new AnmeldeFehler('gesperrt', sperre.nochSekunden)
         }
 

src/components/dokumente/dokument-liste.tsx

@@ -17,6 +17,21 @@ import {
  *
  * Am Handy eine Karte je Dokument, ab Tablet eine Tabelle - die Tabelle
  * scrollt dabei im eigenen Rahmen, nie die ganze Seite.
+ *
+ * ACHTUNG, jeder Inhalt steht ZWEIMAL im DOM: einmal als Karte, einmal
+ * als Tabellenzeile. Eine der beiden Fassungen ist per Breakpoint
+ * versteckt, steht aber trotzdem im Baum.
+ *
+ * Fuer Tests heisst das: getByText(...).first() trifft womoeglich die
+ * unsichtbare Kopie, und die Pruefung scheitert mit "element is not
+ * visible" an einer Stelle, die augenscheinlich in Ordnung ist. Der Weg,
+ * der traegt, steht in e2e/hilfen.ts unter "Doppelt gerenderte Listen".
+ *
+ * Warum nicht eine Fassung fuer beide? Eine Tabelle, die sich zu Karten
+ * umbricht, verlangt display:block auf Zeilen und Zellen. Damit ist es
+ * keine Tabelle mehr - Vorlesesoftware verliert den Zusammenhang von
+ * Spaltenkopf und Wert, und genau der macht eine Dokumentenliste mit
+ * acht Spalten erst benutzbar. Die Verdopplung ist der Preis dafuer.
  */
 export function DokumentListe({ eintraege }: { eintraege: Listeneintrag[] }) {
   return (

src/components/sozialhilfe/heimkosten-formular.tsx

@@ -1,310 +1,310 @@
-'use client'
+'use client'
-
+
-import { useActionState, useState } from 'react'
+import { useActionState, useState } from 'react'
-import { Feld, Feldgruppe } from '@/components/feld'
+import { Feld, Feldgruppe } from '@/components/feld'
-import { Rechtshinweis } from '@/components/rechtshinweis'
+import { Rechtshinweis } from '@/components/rechtshinweis'
-import { Card, CardContent, CardDescription, CardHeader, CardTitle } from '@/components/ui/card'
+import { Card, CardContent, CardDescription, CardHeader, CardTitle } from '@/components/ui/card'
-import { Input } from '@/components/ui/input'
+import { Input } from '@/components/ui/input'
-import { Select } from '@/components/ui/select'
+import { Select } from '@/components/ui/select'
-import { Textarea } from '@/components/ui/textarea'
+import { Textarea } from '@/components/ui/textarea'
-import { Absenden, Meldung } from '@/components/sozialhilfe/bausteine'
+import { Absenden, Meldung } from '@/components/sozialhilfe/bausteine'
-import { MONATSNAMEN } from '@/lib/sozialhilfe/heimkosten'
+import { MONATSNAMEN } from '@/lib/sozialhilfe/heimkosten'
-import { heimkostenSpeichern, type Formularzustand } from '@/server/actions/sozialhilfe'
+import { heimkostenSpeichern, type Formularzustand } from '@/server/actions/sozialhilfe'
-
+
-export type HeimkostenWerte = {
+export type HeimkostenWerte = {
-  jahr: number
+  jahr: number
-  monat: number
+  monat: number
-  pflegeEigenanteil: string
+  pflegeEigenanteil: string
-  unterkunftVerpflegung: string
+  unterkunftVerpflegung: string
-  investitionskosten: string
+  investitionskosten: string
-  ausbildungsumlage: string
+  ausbildungsumlage: string
-  zusatzleistungen: string
+  zusatzleistungen: string
-  pflegekasse: string
+  pflegekasse: string
-  leistungszuschlagProzent: number
+  leistungszuschlagProzent: number
-  leistungszuschlag: string
+  leistungszuschlag: string
-  rente: string
+  rente: string
-  sonstigeEinkuenfte: string
+  sonstigeEinkuenfte: string
-  sozialhilfe: string
+  sozialhilfe: string
-  eigenmittel: string
+  eigenmittel: string
-  barbetrag: string
+  barbetrag: string
-  bekleidungspauschale: string
+  bekleidungspauschale: string
-  abwesenheitstage: number
+  abwesenheitstage: number
-  bemerkung: string
+  bemerkung: string
-}
+}
-
+
-/**
+/**
- * Ein Monat der Gegenüberstellung.
+ * Ein Monat der Gegenüberstellung.
- *
+ *
- * Die Reihenfolge folgt der Heimrechnung: erst die vier Bausteine der
+ * Die Reihenfolge folgt der Heimrechnung: erst die vier Bausteine der
- * Kosten, dann die Deckungsquellen, dann das, was der betreuten Person
+ * Kosten, dann die Deckungsquellen, dann das, was der betreuten Person
- * verbleiben muss. Wer von oben nach unten abtippt, findet alles an der
+ * verbleiben muss. Wer von oben nach unten abtippt, findet alles an der
- * Stelle, an der es auf der Rechnung steht.
+ * Stelle, an der es auf der Rechnung steht.
- */
+ */
-export function HeimkostenFormular({
+export function HeimkostenFormular({
-  werte,
+  werte,
-  jahre,
+  jahre,
-  hinweisPflegekasse,
+  hinweisPflegekasse,
-  vorschlagBarbetrag,
+  vorschlagBarbetrag,
-}: {
+}: {
-  werte: HeimkostenWerte
+  werte: HeimkostenWerte
-  jahre: number[]
+  jahre: number[]
-  /**
+  /**
-   * Erklaerung zum Feld "Leistung der Pflegekasse". Bewusst KEIN
+   * Erklaerung zum Feld "Leistung der Pflegekasse". Bewusst KEIN
-   * Uebernehmen-Knopf: Unter der Lesart dieses Moduls ist der
+   * Uebernehmen-Knopf: Unter der Lesart dieses Moduls ist der
-   * Eigenanteil bereits um die Pauschale gekuerzt, das Feld gehoert
+   * Eigenanteil bereits um die Pauschale gekuerzt, das Feld gehoert
-   * deshalb auf 0. Siehe src/lib/sozialhilfe/heimkosten.ts.
+   * deshalb auf 0. Siehe src/lib/sozialhilfe/heimkosten.ts.
-   */
+   */
-  hinweisPflegekasse: string
+  hinweisPflegekasse: string
-  vorschlagBarbetrag: { betrag: string; text: string }
+  vorschlagBarbetrag: { betrag: string; text: string }
-}) {
+}) {
-  const [zustand, aktion] = useActionState<Formularzustand, FormData>(heimkostenSpeichern, {})
+  const [zustand, aktion] = useActionState<Formularzustand, FormData>(heimkostenSpeichern, {})
-  const [barbetrag, setBarbetrag] = useState(werte.barbetrag)
+  const [barbetrag, setBarbetrag] = useState(werte.barbetrag)
-
+
-  return (
+  return (
-    <form action={aktion} className="space-y-6">
+    <form action={aktion} className="space-y-6">
-      <Meldung zustand={zustand} />
+      <Meldung zustand={zustand} />
-
+
-      <Card>
+      <Card>
-        <CardHeader>
+        <CardHeader>
-          <CardTitle>Monat erfassen</CardTitle>
+          <CardTitle>Monat erfassen</CardTitle>
-          <CardDescription>
+          <CardDescription>
-            Beträge wie auf der Heimrechnung, z.B. 1.234,56. Ein bereits erfasster Monat wird
+            Beträge wie auf der Heimrechnung, z.B. 1.234,56. Ein bereits erfasster Monat wird
-            überschrieben.
+            überschrieben.
-          </CardDescription>
+          </CardDescription>
-        </CardHeader>
+        </CardHeader>
-
+
-        <CardContent className="space-y-6">
+        <CardContent className="space-y-6">
-          <div className="grid gap-4 sm:grid-cols-2">
+          <div className="grid gap-4 sm:grid-cols-2">
-            <Feld id="jahr" beschriftung="Jahr" pflicht fehler={zustand.felder?.jahr}>
+            <Feld id="jahr" beschriftung="Jahr" pflicht fehler={zustand.felder?.jahr}>
-              <Select name="jahr" defaultValue={String(werte.jahr)}>
+              <Select name="jahr" defaultValue={String(werte.jahr)}>
-                {jahre.map((j) => (
+                {jahre.map((j) => (
-                  <option key={j} value={j}>
+                  <option key={j} value={j}>
-                    {j}
+                    {j}
-                  </option>
+                  </option>
-                ))}
+                ))}
-              </Select>
+              </Select>
-            </Feld>
+            </Feld>
-
+
-            <Feld id="monat" beschriftung="Monat" pflicht fehler={zustand.felder?.monat}>
+            <Feld id="monat" beschriftung="Monat" pflicht fehler={zustand.felder?.monat}>
-              <Select name="monat" defaultValue={String(werte.monat)}>
+              <Select name="monat" defaultValue={String(werte.monat)}>
-                {MONATSNAMEN.map((name, i) => (
+                {MONATSNAMEN.map((name, i) => (
-                  <option key={name} value={i + 1}>
+                  <option key={name} value={i + 1}>
-                    {name}
+                    {name}
-                  </option>
+                  </option>
-                ))}
+                ))}
-              </Select>
+              </Select>
-            </Feld>
+            </Feld>
-          </div>
+          </div>
-
+
-          <Feldgruppe
+          <Feldgruppe
-            titel="Kosten"
+            titel="Kosten"
-            beschreibung="Die vier Bausteine der Heimrechnung, dazu Zusatzleistungen."
+            beschreibung="Die vier Bausteine der Heimrechnung, dazu Zusatzleistungen."
-          >
+          >
-            <Feld
+            <Feld
-              id="pflegeEigenanteil"
+              id="pflegeEigenanteil"
-              beschriftung="Einrichtungseinheitlicher Eigenanteil"
+              beschriftung="Einrichtungseinheitlicher Eigenanteil"
-              fehler={zustand.felder?.pflegeEigenanteil}
+              fehler={zustand.felder?.pflegeEigenanteil}
-              erklaerung="Der pflegebedingte Anteil (EEE), genau wie er auf der Heimrechnung steht — also bereits abzüglich der Pauschale der Pflegekasse (§ 43 Abs. 2 SGB XI). In jedem Pflegegrad gleich hoch. Nur auf ihn wirkt der Leistungszuschlag."
+              erklaerung="Der pflegebedingte Anteil (EEE), genau wie er auf der Heimrechnung steht — also bereits abzüglich der Pauschale der Pflegekasse (§ 43 Abs. 2 SGB XI). In jedem Pflegegrad gleich hoch. Nur auf ihn wirkt der Leistungszuschlag."
-            >
+            >
-              <Input
+              <Input
-                name="pflegeEigenanteil"
+                name="pflegeEigenanteil"
-                inputMode="decimal"
+                inputMode="decimal"
-                defaultValue={werte.pflegeEigenanteil}
+                defaultValue={werte.pflegeEigenanteil}
-              />
+              />
-            </Feld>
+            </Feld>
-
+
-            <Feld
+            <Feld
-              id="unterkunftVerpflegung"
+              id="unterkunftVerpflegung"
-              beschriftung="Unterkunft und Verpflegung"
+              beschriftung="Unterkunft und Verpflegung"
-              fehler={zustand.felder?.unterkunftVerpflegung}
+              fehler={zustand.felder?.unterkunftVerpflegung}
-            >
+            >
-              <Input
+              <Input
-                name="unterkunftVerpflegung"
+                name="unterkunftVerpflegung"
-                inputMode="decimal"
+                inputMode="decimal"
-                defaultValue={werte.unterkunftVerpflegung}
+                defaultValue={werte.unterkunftVerpflegung}
-              />
+              />
-            </Feld>
+            </Feld>
-
+
-            <Feld
+            <Feld
-              id="investitionskosten"
+              id="investitionskosten"
-              beschriftung="Investitionskosten"
+              beschriftung="Investitionskosten"
-              fehler={zustand.felder?.investitionskosten}
+              fehler={zustand.felder?.investitionskosten}
-              erklaerung="Gebäude und Instandhaltung. Laufen auch bei Abwesenheit weiter."
+              erklaerung="Gebäude und Instandhaltung. Laufen auch bei Abwesenheit weiter."
-            >
+            >
-              <Input
+              <Input
-                name="investitionskosten"
+                name="investitionskosten"
-                inputMode="decimal"
+                inputMode="decimal"
-                defaultValue={werte.investitionskosten}
+                defaultValue={werte.investitionskosten}
-              />
+              />
-            </Feld>
+            </Feld>
-
+
-            <Feld
+            <Feld
-              id="ausbildungsumlage"
+              id="ausbildungsumlage"
-              beschriftung="Ausbildungsumlage"
+              beschriftung="Ausbildungsumlage"
-              fehler={zustand.felder?.ausbildungsumlage}
+              fehler={zustand.felder?.ausbildungsumlage}
-            >
+            >
-              <Input
+              <Input
-                name="ausbildungsumlage"
+                name="ausbildungsumlage"
-                inputMode="decimal"
+                inputMode="decimal"
-                defaultValue={werte.ausbildungsumlage}
+                defaultValue={werte.ausbildungsumlage}
-              />
+              />
-            </Feld>
+            </Feld>
-
+
-            <Feld
+            <Feld
-              id="zusatzleistungen"
+              id="zusatzleistungen"
-              beschriftung="Zusatzleistungen"
+              beschriftung="Zusatzleistungen"
-              fehler={zustand.felder?.zusatzleistungen}
+              fehler={zustand.felder?.zusatzleistungen}
-              erklaerung="Friseur, Komfortleistungen. Der Träger übernimmt sie in aller Regel nicht — sie gehen vom Barbetrag ab."
+              erklaerung="Friseur, Komfortleistungen. Der Träger übernimmt sie in aller Regel nicht — sie gehen vom Barbetrag ab."
-            >
+            >
-              <Input
+              <Input
-                name="zusatzleistungen"
+                name="zusatzleistungen"
-                inputMode="decimal"
+                inputMode="decimal"
-                defaultValue={werte.zusatzleistungen}
+                defaultValue={werte.zusatzleistungen}
-              />
+              />
-            </Feld>
+            </Feld>
-          </Feldgruppe>
+          </Feldgruppe>
-
+
-          <Feldgruppe titel="Deckung" beschreibung="Wer zahlt welchen Teil?">
+          <Feldgruppe titel="Deckung" beschreibung="Wer zahlt welchen Teil?">
-            <Feld
+            <Feld
-              id="pflegekasse"
+              id="pflegekasse"
-              beschriftung="Leistung der Pflegekasse (nachrichtlich)"
+              beschriftung="Leistung der Pflegekasse (nachrichtlich)"
-              fehler={zustand.felder?.pflegekasse}
+              fehler={zustand.felder?.pflegekasse}
-              erklaerung={hinweisPflegekasse}
+              erklaerung={hinweisPflegekasse}
-            >
+            >
-              <Input name="pflegekasse" inputMode="decimal" defaultValue={werte.pflegekasse} />
+              <Input name="pflegekasse" inputMode="decimal" defaultValue={werte.pflegekasse} />
-            </Feld>
+            </Feld>
-
+
-            <Feld
+            <Feld
-              id="leistungszuschlagProzent"
+              id="leistungszuschlagProzent"
-              beschriftung="Leistungszuschlag in Prozent"
+              beschriftung="Leistungszuschlag in Prozent"
-              fehler={zustand.felder?.leistungszuschlagProzent}
+              fehler={zustand.felder?.leistungszuschlagProzent}
-              erklaerung="§ 43c SGB XI: 15 / 30 / 50 / 75 Prozent nach Verweildauer. Steht auf der Heimrechnung."
+              erklaerung="§ 43c SGB XI: 15 / 30 / 50 / 75 Prozent nach Verweildauer. Steht auf der Heimrechnung."
-            >
+            >
-              <Input
+              <Input
-                name="leistungszuschlagProzent"
+                name="leistungszuschlagProzent"
-                type="number"
+                type="number"
-                min={0}
+                min={0}
-                max={100}
+                max={100}
-                defaultValue={werte.leistungszuschlagProzent}
+                defaultValue={werte.leistungszuschlagProzent}
-              />
+              />
-            </Feld>
+            </Feld>
-
+
-            <Feld
+            <Feld
-              id="leistungszuschlag"
+              id="leistungszuschlag"
-              beschriftung="Leistungszuschlag in Euro"
+              beschriftung="Leistungszuschlag in Euro"
-              fehler={zustand.felder?.leistungszuschlag}
+              fehler={zustand.felder?.leistungszuschlag}
-              erklaerung="Nur auf den pflegebedingten Eigenanteil, nicht auf die ganze Rechnung."
+              erklaerung="Nur auf den pflegebedingten Eigenanteil, nicht auf die ganze Rechnung."
-            >
+            >
-              <Input
+              <Input
-                name="leistungszuschlag"
+                name="leistungszuschlag"
-                inputMode="decimal"
+                inputMode="decimal"
-                defaultValue={werte.leistungszuschlag}
+                defaultValue={werte.leistungszuschlag}
-              />
+              />
-            </Feld>
+            </Feld>
-
+
-            <Feld id="rente" beschriftung="Rente" fehler={zustand.felder?.rente}>
+            <Feld id="rente" beschriftung="Rente" fehler={zustand.felder?.rente}>
-              <Input name="rente" inputMode="decimal" defaultValue={werte.rente} />
+              <Input name="rente" inputMode="decimal" defaultValue={werte.rente} />
-            </Feld>
+            </Feld>
-
+
-            <Feld
+            <Feld
-              id="sonstigeEinkuenfte"
+              id="sonstigeEinkuenfte"
-              beschriftung="Sonstige Einkünfte"
+              beschriftung="Sonstige Einkünfte"
-              fehler={zustand.felder?.sonstigeEinkuenfte}
+              fehler={zustand.felder?.sonstigeEinkuenfte}
-              erklaerung="Betriebsrente, Mieteinnahmen, Zinsen."
+              erklaerung="Betriebsrente, Mieteinnahmen, Zinsen."
-            >
+            >
-              <Input
+              <Input
-                name="sonstigeEinkuenfte"
+                name="sonstigeEinkuenfte"
-                inputMode="decimal"
+                inputMode="decimal"
-                defaultValue={werte.sonstigeEinkuenfte}
+                defaultValue={werte.sonstigeEinkuenfte}
-              />
+              />
-            </Feld>
+            </Feld>
-
+
-            <Feld
+            <Feld
-              id="sozialhilfe"
+              id="sozialhilfe"
-              beschriftung="Anteil der Sozialhilfe"
+              beschriftung="Anteil der Sozialhilfe"
-              fehler={zustand.felder?.sozialhilfe}
+              fehler={zustand.felder?.sozialhilfe}
-              erklaerung="Was der Bezirk laut Bescheid übernimmt."
+              erklaerung="Was der Bezirk laut Bescheid übernimmt."
-            >
+            >
-              <Input name="sozialhilfe" inputMode="decimal" defaultValue={werte.sozialhilfe} />
+              <Input name="sozialhilfe" inputMode="decimal" defaultValue={werte.sozialhilfe} />
-            </Feld>
+            </Feld>
-
+
-            <Feld
+            <Feld
-              id="eigenmittel"
+              id="eigenmittel"
-              beschriftung="Eigenmittel"
+              beschriftung="Eigenmittel"
-              fehler={zustand.felder?.eigenmittel}
+              fehler={zustand.felder?.eigenmittel}
-              erklaerung="Was aus dem eigenen Vermögen zugeschossen wurde."
+              erklaerung="Was aus dem eigenen Vermögen zugeschossen wurde."
-            >
+            >
-              <Input name="eigenmittel" inputMode="decimal" defaultValue={werte.eigenmittel} />
+              <Input name="eigenmittel" inputMode="decimal" defaultValue={werte.eigenmittel} />
-            </Feld>
+            </Feld>
-          </Feldgruppe>
+          </Feldgruppe>
-
+
-          <Feldgruppe
+          <Feldgruppe
-            titel="Was verbleiben muss"
+            titel="Was verbleiben muss"
-            beschreibung="Barbetrag und Bekleidungspauschale sind Teil des Bedarfs, nicht Rest."
+            beschreibung="Barbetrag und Bekleidungspauschale sind Teil des Bedarfs, nicht Rest."
-          >
+          >
-            <Feld
+            <Feld
-              id="barbetrag"
+              id="barbetrag"
-              beschriftung="Barbetrag"
+              beschriftung="Barbetrag"
-              fehler={zustand.felder?.barbetrag}
+              fehler={zustand.felder?.barbetrag}
-              erklaerung={
+              erklaerung={
-                <>
+                <>
-                  {vorschlagBarbetrag.text}{' '}
+                  {vorschlagBarbetrag.text}{' '}
-                  <button
+                  <button
-                    type="button"
+                    type="button"
-                    onClick={() => setBarbetrag(vorschlagBarbetrag.betrag)}
+                    onClick={() => setBarbetrag(vorschlagBarbetrag.betrag)}
-                    className="font-medium text-primary underline-offset-4 hover:underline"
+                    className="font-medium text-primary underline-offset-4 hover:underline"
-                  >
+                  >
-                    Wert übernehmen
+                    Wert übernehmen
-                  </button>
+                  </button>
-                </>
+                </>
-              }
+              }
-            >
+            >
-              <Input
+              <Input
-                name="barbetrag"
+                name="barbetrag"
-                inputMode="decimal"
+                inputMode="decimal"
-                value={barbetrag}
+                value={barbetrag}
-                onChange={(e) => setBarbetrag(e.target.value)}
+                onChange={(e) => setBarbetrag(e.target.value)}
-              />
+              />
-            </Feld>
+            </Feld>
-
+
-            <Feld
+            <Feld
-              id="bekleidungspauschale"
+              id="bekleidungspauschale"
-              beschriftung="Bekleidungspauschale"
+              beschriftung="Bekleidungspauschale"
-              fehler={zustand.felder?.bekleidungspauschale}
+              fehler={zustand.felder?.bekleidungspauschale}
-              erklaerung="Höhe legt der Träger fest (§ 27b Abs. 1 SGB XII) — übernimm den Betrag aus dem Bescheid."
+              erklaerung="Höhe legt der Träger fest (§ 27b Abs. 1 SGB XII) — übernimm den Betrag aus dem Bescheid."
-            >
+            >
-              <Input
+              <Input
-                name="bekleidungspauschale"
+                name="bekleidungspauschale"
-                inputMode="decimal"
+                inputMode="decimal"
-                defaultValue={werte.bekleidungspauschale}
+                defaultValue={werte.bekleidungspauschale}
-              />
+              />
-            </Feld>
+            </Feld>
-
+
-            <Feld
+            <Feld
-              id="abwesenheitstage"
+              id="abwesenheitstage"
-              beschriftung="Abwesenheitstage"
+              beschriftung="Abwesenheitstage"
-              fehler={zustand.felder?.abwesenheitstage}
+              fehler={zustand.felder?.abwesenheitstage}
-              erklaerung="Krankenhaus, Reha, Urlaub. Die ersten drei Tage sind voll zu zahlen; ab dem vierten mindert sich das Entgelt nach dem Rahmenvertrag — die Anwendung schätzt das nur, maßgeblich ist die Heimrechnung."
+              erklaerung="Krankenhaus, Reha, Urlaub. Die ersten drei Tage sind voll zu zahlen; ab dem vierten mindert sich das Entgelt nach dem Rahmenvertrag — die Anwendung schätzt das nur, maßgeblich ist die Heimrechnung."
-            >
+            >
-              <Input
+              <Input
-                name="abwesenheitstage"
+                name="abwesenheitstage"
-                type="number"
+                type="number"
-                min={0}
+                min={0}
-                max={31}
+                max={31}
-                defaultValue={werte.abwesenheitstage}
+                defaultValue={werte.abwesenheitstage}
-              />
+              />
-            </Feld>
+            </Feld>
-          </Feldgruppe>
+          </Feldgruppe>
-
+
-          <Feld id="bemerkung" beschriftung="Bemerkung" fehler={zustand.felder?.bemerkung}>
+          <Feld id="bemerkung" beschriftung="Bemerkung" fehler={zustand.felder?.bemerkung}>
-            <Textarea name="bemerkung" defaultValue={werte.bemerkung} rows={2} />
+            <Textarea name="bemerkung" defaultValue={werte.bemerkung} rows={2} />
-          </Feld>
+          </Feld>
-        </CardContent>
+        </CardContent>
-      </Card>
+      </Card>
-
+
-      <Rechtshinweis rechtsgrundlage="§ 43 SGB XI, § 43c SGB XI, § 27b SGB XII" />
+      <Rechtshinweis rechtsgrundlage="§ 43 SGB XI, § 43c SGB XI, § 27b SGB XII" />
-
+
-      <Absenden>Monat speichern</Absenden>
+      <Absenden>Monat speichern</Absenden>
-    </form>
+    </form>
-  )
+  )
-}
+}

src/components/vertraege/vertrag-formular.tsx

@@ -1,237 +1,237 @@
-'use client'
+'use client'
-
+
-import { useActionState, useState } from 'react'
+import { useActionState, useState } from 'react'
-import type { SozialhilfeBewertung, VertragArt } from '@prisma/client'
+import type { SozialhilfeBewertung, VertragArt } from '@prisma/client'
-import { Input } from '@/components/ui/input'
+import { Input } from '@/components/ui/input'
-import { Select } from '@/components/ui/select'
+import { Select } from '@/components/ui/select'
-import { Textarea } from '@/components/ui/textarea'
+import { Textarea } from '@/components/ui/textarea'
-import { Feld, Feldgruppe } from '@/components/feld'
+import { Feld, Feldgruppe } from '@/components/feld'
-import { Rechtshinweis } from '@/components/rechtshinweis'
+import { Rechtshinweis } from '@/components/rechtshinweis'
-import { Absendeknopf, Zustandsmeldung } from '@/components/substanz-formular'
+import { Absendeknopf, Zustandsmeldung } from '@/components/substanz-formular'
-import {
+import {
-  BEWERTUNG_BESCHRIFTUNG,
+  BEWERTUNG_BESCHRIFTUNG,
-  BEWERTUNG_ERKLAERUNG,
+  BEWERTUNG_ERKLAERUNG,
-  RHYTHMUS_BESCHRIFTUNG,
+  RHYTHMUS_BESCHRIFTUNG,
-  VERTRAG_ART_BESCHRIFTUNG,
+  VERTRAG_ART_BESCHRIFTUNG,
-  VERTRAG_STATUS_BESCHRIFTUNG,
+  VERTRAG_STATUS_BESCHRIFTUNG,
-} from '@/lib/vertraege/konstanten'
+} from '@/lib/vertraege/konstanten'
-import { BEWERTUNGEN, VERTRAG_ARTEN, VERTRAG_STATUS, ZAHL_RHYTHMEN } from '@/lib/validierung/vertraege'
+import { BEWERTUNGEN, VERTRAG_ARTEN, VERTRAG_STATUS, ZAHL_RHYTHMEN } from '@/lib/validierung/vertraege'
-import { vertragSpeichern } from '@/server/actions/vertraege'
+import { vertragSpeichern } from '@/server/actions/vertraege'
-import type { Formularzustand } from '@/lib/validierung/substanz'
+import type { Formularzustand } from '@/lib/validierung/substanz'
-
+
-export type VertragWerte = {
+export type VertragWerte = {
-  id?: string
+  id?: string
-  bezeichnung: string
+  bezeichnung: string
-  gesellschaft: string
+  gesellschaft: string
-  art: string
+  art: string
-  status: string
+  status: string
-  vertragsnummer: string
+  vertragsnummer: string
-  beginnAm: string
+  beginnAm: string
-  endeAm: string
+  endeAm: string
-  kuendigungsfristMonate: string
+  kuendigungsfristMonate: string
-  kuendigungZum: string
+  kuendigungZum: string
-  gekuendigtAm: string
+  gekuendigtAm: string
-  beitrag: string
+  beitrag: string
-  rhythmus: string
+  rhythmus: string
-  bewertungSozialhilfe: string
+  bewertungSozialhilfe: string
-  bewertungBegruendung: string
+  bewertungBegruendung: string
-  notizen: string
+  notizen: string
-}
+}
-
+
-export const LEERER_VERTRAG: VertragWerte = {
+export const LEERER_VERTRAG: VertragWerte = {
-  bezeichnung: '',
+  bezeichnung: '',
-  gesellschaft: '',
+  gesellschaft: '',
-  art: 'LEBENSVERSICHERUNG',
+  art: 'LEBENSVERSICHERUNG',
-  status: 'AKTIV',
+  status: 'AKTIV',
-  vertragsnummer: '',
+  vertragsnummer: '',
-  beginnAm: '',
+  beginnAm: '',
-  endeAm: '',
+  endeAm: '',
-  kuendigungsfristMonate: '3',
+  kuendigungsfristMonate: '3',
-  kuendigungZum: '',
+  kuendigungZum: '',
-  gekuendigtAm: '',
+  gekuendigtAm: '',
-  beitrag: '',
+  beitrag: '',
-  rhythmus: 'MONATLICH',
+  rhythmus: 'MONATLICH',
-  bewertungSozialhilfe: 'UNGEPRUEFT',
+  bewertungSozialhilfe: 'UNGEPRUEFT',
-  bewertungBegruendung: '',
+  bewertungBegruendung: '',
-  notizen: '',
+  notizen: '',
-}
+}
-
+
-export function VertragFormular({
+export function VertragFormular({
-  betreuteId,
+  betreuteId,
-  werte,
+  werte,
-}: {
+}: {
-  betreuteId: string
+  betreuteId: string
-  werte: VertragWerte
+  werte: VertragWerte
-}) {
+}) {
-  const [zustand, aktion] = useActionState<Formularzustand, FormData>(vertragSpeichern, {})
+  const [zustand, aktion] = useActionState<Formularzustand, FormData>(vertragSpeichern, {})
-  const [bewertung, setBewertung] = useState(werte.bewertungSozialhilfe)
+  const [bewertung, setBewertung] = useState(werte.bewertungSozialhilfe)
-  const istNeu = !werte.id
+  const istNeu = !werte.id
-
+
-  return (
+  return (
-    <form action={aktion} className="space-y-8" noValidate>
+    <form action={aktion} className="space-y-8" noValidate>
-      <input type="hidden" name="betreuteId" value={betreuteId} />
+      <input type="hidden" name="betreuteId" value={betreuteId} />
-      {werte.id && <input type="hidden" name="vertragId" value={werte.id} />}
+      {werte.id && <input type="hidden" name="vertragId" value={werte.id} />}
-
+
-      <Zustandsmeldung zustand={zustand} />
+      <Zustandsmeldung zustand={zustand} />
-
+
-      <Feldgruppe titel="Vertrag" beschreibung="Wer, was und unter welcher Nummer.">
+      <Feldgruppe titel="Vertrag" beschreibung="Wer, was und unter welcher Nummer.">
-        <Feld
+        <Feld
-          id="bezeichnung"
+          id="bezeichnung"
-          beschriftung="Bezeichnung"
+          beschriftung="Bezeichnung"
-          erklaerung="Ein Name, unter dem du den Vertrag wiedererkennst."
+          erklaerung="Ein Name, unter dem du den Vertrag wiedererkennst."
-          fehler={zustand.felder?.bezeichnung}
+          fehler={zustand.felder?.bezeichnung}
-          pflicht
+          pflicht
-        >
+        >
-          <Input name="bezeichnung" defaultValue={werte.bezeichnung} required maxLength={150} />
+          <Input name="bezeichnung" defaultValue={werte.bezeichnung} required maxLength={150} />
-        </Feld>
+        </Feld>
-
+
-        <Feld id="gesellschaft" beschriftung="Gesellschaft" fehler={zustand.felder?.gesellschaft}>
+        <Feld id="gesellschaft" beschriftung="Gesellschaft" fehler={zustand.felder?.gesellschaft}>
-          <Input name="gesellschaft" defaultValue={werte.gesellschaft} maxLength={150} />
+          <Input name="gesellschaft" defaultValue={werte.gesellschaft} maxLength={150} />
-        </Feld>
+        </Feld>
-
+
-        <Feld id="art" beschriftung="Art" fehler={zustand.felder?.art} pflicht>
+        <Feld id="art" beschriftung="Art" fehler={zustand.felder?.art} pflicht>
-          <Select name="art" defaultValue={werte.art}>
+          <Select name="art" defaultValue={werte.art}>
-            {VERTRAG_ARTEN.map((a) => (
+            {VERTRAG_ARTEN.map((a) => (
-              <option key={a} value={a}>
+              <option key={a} value={a}>
-                {VERTRAG_ART_BESCHRIFTUNG[a as VertragArt]}
+                {VERTRAG_ART_BESCHRIFTUNG[a as VertragArt]}
-              </option>
+              </option>
-            ))}
+            ))}
-          </Select>
+          </Select>
-        </Feld>
+        </Feld>
-
+
-        <Feld id="status" beschriftung="Status" fehler={zustand.felder?.status}>
+        <Feld id="status" beschriftung="Status" fehler={zustand.felder?.status}>
-          <Select name="status" defaultValue={werte.status}>
+          <Select name="status" defaultValue={werte.status}>
-            {VERTRAG_STATUS.map((s) => (
+            {VERTRAG_STATUS.map((s) => (
-              <option key={s} value={s}>
+              <option key={s} value={s}>
-                {VERTRAG_STATUS_BESCHRIFTUNG[s]}
+                {VERTRAG_STATUS_BESCHRIFTUNG[s]}
-              </option>
+              </option>
-            ))}
+            ))}
-          </Select>
+          </Select>
-        </Feld>
+        </Feld>
-
+
-        <Feld
+        <Feld
-          id="vertragsnummer"
+          id="vertragsnummer"
-          beschriftung="Vertragsnummer"
+          beschriftung="Vertragsnummer"
-          erklaerung="Wird verschlüsselt gespeichert. Ohne sie ordnet die Gesellschaft kein Schreiben zu."
+          erklaerung="Wird verschlüsselt gespeichert. Ohne sie ordnet die Gesellschaft kein Schreiben zu."
-          fehler={zustand.felder?.vertragsnummer}
+          fehler={zustand.felder?.vertragsnummer}
-          className="sm:col-span-2"
+          className="sm:col-span-2"
-        >
+        >
-          <Input name="vertragsnummer" defaultValue={werte.vertragsnummer} maxLength={80} />
+          <Input name="vertragsnummer" defaultValue={werte.vertragsnummer} maxLength={80} />
-        </Feld>
+        </Feld>
-      </Feldgruppe>
+      </Feldgruppe>
-
+
-      <Feldgruppe
+      <Feldgruppe
-        titel="Laufzeit und Kündigung"
+        titel="Laufzeit und Kündigung"
-        beschreibung="Aus diesen Angaben rechnet die App den nächstmöglichen Kündigungstermin und den spätesten Absendetag."
+        beschreibung="Aus diesen Angaben rechnet die App den nächstmöglichen Kündigungstermin und den spätesten Absendetag."
-      >
+      >
-        <Feld id="beginnAm" beschriftung="Laufzeitbeginn" fehler={zustand.felder?.beginnAm}>
+        <Feld id="beginnAm" beschriftung="Laufzeitbeginn" fehler={zustand.felder?.beginnAm}>
-          <Input name="beginnAm" type="date" defaultValue={werte.beginnAm} />
+          <Input name="beginnAm" type="date" defaultValue={werte.beginnAm} />
-        </Feld>
+        </Feld>
-
+
-        <Feld
+        <Feld
-          id="endeAm"
+          id="endeAm"
-          beschriftung="Vereinbartes Ende"
+          beschriftung="Vereinbartes Ende"
-          erklaerung="Nur bei fester Ablaufzeit, z. B. einer Kapitallebensversicherung. Steht hier ein Datum, ergibt sich daraus zugleich die Laufzeit, um die sich der Vertrag verlängert — sonst wird mit einem Jahr gerechnet."
+          erklaerung="Nur bei fester Ablaufzeit, z. B. einer Kapitallebensversicherung. Steht hier ein Datum, ergibt sich daraus zugleich die Laufzeit, um die sich der Vertrag verlängert — sonst wird mit einem Jahr gerechnet."
-          fehler={zustand.felder?.endeAm}
+          fehler={zustand.felder?.endeAm}
-        >
+        >
-          <Input name="endeAm" type="date" defaultValue={werte.endeAm} />
+          <Input name="endeAm" type="date" defaultValue={werte.endeAm} />
-        </Feld>
+        </Feld>
-
+
-        <Feld
+        <Feld
-          id="kuendigungsfristMonate"
+          id="kuendigungsfristMonate"
-          beschriftung="Kündigungsfrist in Monaten"
+          beschriftung="Kündigungsfrist in Monaten"
-          erklaerung="Wie lange vor dem Ende muss die Kündigung zugehen? Bei Versicherungen meist drei Monate."
+          erklaerung="Wie lange vor dem Ende muss die Kündigung zugehen? Bei Versicherungen meist drei Monate."
-          fehler={zustand.felder?.kuendigungsfristMonate}
+          fehler={zustand.felder?.kuendigungsfristMonate}
-        >
+        >
-          <Input
+          <Input
-            name="kuendigungsfristMonate"
+            name="kuendigungsfristMonate"
-            inputMode="numeric"
+            inputMode="numeric"
-            defaultValue={werte.kuendigungsfristMonate}
+            defaultValue={werte.kuendigungsfristMonate}
-          />
+          />
-        </Feld>
+        </Feld>
-
+
-        <Feld
+        <Feld
-          id="kuendigungZum"
+          id="kuendigungZum"
-          beschriftung="Gekündigt zum"
+          beschriftung="Gekündigt zum"
-          fehler={zustand.felder?.kuendigungZum}
+          fehler={zustand.felder?.kuendigungZum}
-        >
+        >
-          <Input name="kuendigungZum" type="date" defaultValue={werte.kuendigungZum} />
+          <Input name="kuendigungZum" type="date" defaultValue={werte.kuendigungZum} />
-        </Feld>
+        </Feld>
-
+
-        <Feld id="gekuendigtAm" beschriftung="Kündigung versandt am" fehler={zustand.felder?.gekuendigtAm}>
+        <Feld id="gekuendigtAm" beschriftung="Kündigung versandt am" fehler={zustand.felder?.gekuendigtAm}>
-          <Input name="gekuendigtAm" type="date" defaultValue={werte.gekuendigtAm} />
+          <Input name="gekuendigtAm" type="date" defaultValue={werte.gekuendigtAm} />
-        </Feld>
+        </Feld>
-      </Feldgruppe>
+      </Feldgruppe>
-
+
-      <Feldgruppe titel="Beitrag" beschreibung="Grundlage für den Jahresbeitrag in der Übersicht.">
+      <Feldgruppe titel="Beitrag" beschreibung="Grundlage für den Jahresbeitrag in der Übersicht.">
-        <Feld id="beitrag" beschriftung="Beitrag" fehler={zustand.felder?.beitrag}>
+        <Feld id="beitrag" beschriftung="Beitrag" fehler={zustand.felder?.beitrag}>
-          <Input name="beitrag" inputMode="decimal" defaultValue={werte.beitrag} placeholder="25,40" />
+          <Input name="beitrag" inputMode="decimal" defaultValue={werte.beitrag} placeholder="25,40" />
-        </Feld>
+        </Feld>
-
+
-        <Feld id="rhythmus" beschriftung="Rhythmus" fehler={zustand.felder?.rhythmus}>
+        <Feld id="rhythmus" beschriftung="Rhythmus" fehler={zustand.felder?.rhythmus}>
-          <Select name="rhythmus" defaultValue={werte.rhythmus}>
+          <Select name="rhythmus" defaultValue={werte.rhythmus}>
-            <option value="">— nicht angegeben —</option>
+            <option value="">— nicht angegeben —</option>
-            {ZAHL_RHYTHMEN.map((r) => (
+            {ZAHL_RHYTHMEN.map((r) => (
-              <option key={r} value={r}>
+              <option key={r} value={r}>
-                {RHYTHMUS_BESCHRIFTUNG[r]}
+                {RHYTHMUS_BESCHRIFTUNG[r]}
-              </option>
+              </option>
-            ))}
+            ))}
-          </Select>
+          </Select>
-        </Feld>
+        </Feld>
-      </Feldgruppe>
+      </Feldgruppe>
-
+
-      <Feldgruppe
+      <Feldgruppe
-        titel="Bewertung fürs Sozialamt"
+        titel="Bewertung fürs Sozialamt"
-        beschreibung="Deine Einordnung und deine Argumentation — keine Rechtsauskunft."
+        beschreibung="Deine Einordnung und deine Argumentation — keine Rechtsauskunft."
-      >
+      >
-        <Feld
+        <Feld
-          id="bewertungSozialhilfe"
+          id="bewertungSozialhilfe"
-          beschriftung="Einordnung"
+          beschriftung="Einordnung"
-          erklaerung={BEWERTUNG_ERKLAERUNG[bewertung as SozialhilfeBewertung]}
+          erklaerung={BEWERTUNG_ERKLAERUNG[bewertung as SozialhilfeBewertung]}
-          fehler={zustand.felder?.bewertungSozialhilfe}
+          fehler={zustand.felder?.bewertungSozialhilfe}
-        >
+        >
-          <Select
+          <Select
-            name="bewertungSozialhilfe"
+            name="bewertungSozialhilfe"
-            value={bewertung}
+            value={bewertung}
-            onChange={(e) => setBewertung(e.target.value)}
+            onChange={(e) => setBewertung(e.target.value)}
-          >
+          >
-            {BEWERTUNGEN.map((b) => (
+            {BEWERTUNGEN.map((b) => (
-              <option key={b} value={b}>
+              <option key={b} value={b}>
-                {BEWERTUNG_BESCHRIFTUNG[b]}
+                {BEWERTUNG_BESCHRIFTUNG[b]}
-              </option>
+              </option>
-            ))}
+            ))}
-          </Select>
+          </Select>
-        </Feld>
+        </Feld>
-
+
-        <Feld
+        <Feld
-          id="bewertungBegruendung"
+          id="bewertungBegruendung"
-          beschriftung="Begründung"
+          beschriftung="Begründung"
-          erklaerung="Wird verschlüsselt gespeichert. Diese Zeilen stehen im Zweifel Jahre später im Widerspruchsverfahren."
+          erklaerung="Wird verschlüsselt gespeichert. Diese Zeilen stehen im Zweifel Jahre später im Widerspruchsverfahren."
-          fehler={zustand.felder?.bewertungBegruendung}
+          fehler={zustand.felder?.bewertungBegruendung}
-          pflicht={bewertung !== 'UNGEPRUEFT'}
+          pflicht={bewertung !== 'UNGEPRUEFT'}
-          className="sm:col-span-2"
+          className="sm:col-span-2"
-        >
+        >
-          <Textarea
+          <Textarea
-            name="bewertungBegruendung"
+            name="bewertungBegruendung"
-            defaultValue={werte.bewertungBegruendung}
+            defaultValue={werte.bewertungBegruendung}
-            rows={4}
+            rows={4}
-            maxLength={4000}
+            maxLength={4000}
-          />
+          />
-        </Feld>
+        </Feld>
-      </Feldgruppe>
+      </Feldgruppe>
-
+
-      <Feld
+      <Feld
-        id="notizen"
+        id="notizen"
-        beschriftung="Notizen"
+        beschriftung="Notizen"
-        erklaerung="Wird verschlüsselt gespeichert."
+        erklaerung="Wird verschlüsselt gespeichert."
-        fehler={zustand.felder?.notizen}
+        fehler={zustand.felder?.notizen}
-      >
+      >
-        <Textarea name="notizen" defaultValue={werte.notizen} rows={4} maxLength={4000} />
+        <Textarea name="notizen" defaultValue={werte.notizen} rows={4} maxLength={4000} />
-      </Feld>
+      </Feld>
-
+
-      <Rechtshinweis rechtsgrundlage="§ 90 Abs. 3 SGB XII" kurz />
+      <Rechtshinweis rechtsgrundlage="§ 90 Abs. 3 SGB XII" kurz />
-
+
-      <Absendeknopf>{istNeu ? 'Vertrag anlegen' : 'Änderungen speichern'}</Absendeknopf>
+      <Absendeknopf>{istNeu ? 'Vertrag anlegen' : 'Änderungen speichern'}</Absendeknopf>
-    </form>
+    </form>
-  )
+  )
-}
+}

src/lib/auth/anschluss.ts

@@ -0,0 +1,92 @@
+import 'server-only'
+import { env } from '@/lib/env'
+
+/**
+ * Von welchem Anschluss kommt diese Anfrage?
+ *
+ * Gebraucht wird das nur fuer eines: die zweite Dimension der Anmeldesperre.
+ * Gezaehlt wird nach E-Mail UND nach Anschluss, damit es weder hilft,
+ * dieselbe Adresse von vielen Anschluessen zu probieren, noch viele
+ * Adressen von einem.
+ *
+ * ## Warum das vorher nichts geschuetzt hat
+ *
+ * Der Wert kam aus "x-forwarded-for", und zwar aus dem ERSTEN Eintrag:
+ *
+ *     kopf.get('x-forwarded-for')?.split(',')[0]?.trim()
+ *
+ * Dieser Kopf ist eine Liste, an die jeder Zwischenknoten hinten anhaengt.
+ * Der erste Eintrag ist deshalb der, den der Aufrufer selbst geschickt hat -
+ * frei erfunden. Wer bei jeder Anfrage eine andere Zahl hineinschrieb, sah
+ * fuer die Sperre wie tausend verschiedene Anschluesse aus. Die Zaehlung
+ * nach Anschluss war damit nicht nur wirkungslos, sondern irrefuehrend: Im
+ * Protokoll standen tausend Anschluesse, wo einer war.
+ *
+ * Richtig ist das andere Ende: Was der vertraute Proxy anhaengt, hat er
+ * selbst gesehen und nicht der Aufrufer geschrieben.
+ *
+ * ## Und wenn kein Proxy davor steht
+ *
+ * Dann ist der Kopf vollstaendig fremdbestimmt und es gibt hier nichts zu
+ * holen - also null. Keine Zaehlung nach Anschluss ist besser als eine, die
+ * sich mit einer Kopfzeile aushebeln laesst. Deshalb muss der Betrieb
+ * ausdruecklich sagen, dass ein Proxy davorsteht (VERTRAUE_PROXY=true).
+ */
+
+let gewarnt = false
+
+/**
+ * Warnt einmal, wenn weitergereichte Koepfe ankommen, ihnen aber nicht
+ * geglaubt wird. Genau dann fehlt die Einstellung im Betrieb.
+ */
+function einmalWarnen(): void {
+  if (gewarnt) return
+  gewarnt = true
+  console.warn(
+    '[anschluss] Es kommen "x-forwarded-for"-Koepfe an, aber VERTRAUE_PROXY ist nicht gesetzt. ' +
+      'Die Anmeldesperre zaehlt deshalb nur nach E-Mail-Adresse, nicht nach Anschluss. ' +
+      'Steht ein Reverse Proxy davor, setze VERTRAUE_PROXY=true (und, bei mehreren, ' +
+      'VERTRAUE_PROXY_STUFEN=<Anzahl>). Steht keiner davor, ist das hier richtig so.',
+  )
+}
+
+/**
+ * Liest die Adresse des Aufrufers aus den Koepfen.
+ *
+ * @param kopf Die Kopfzeilen der Anfrage.
+ * @returns Die Adresse, oder null, wenn sie sich nicht vertrauenswuerdig
+ *          bestimmen laesst.
+ */
+export function anschlussAus(kopf: Headers): string | null {
+  const weitergereicht = kopf.get('x-forwarded-for')
+  const echterIp = kopf.get('x-real-ip')
+
+  if (!env.vertraueProxy) {
+    if (weitergereicht || echterIp) einmalWarnen()
+    return null
+  }
+
+  if (weitergereicht) {
+    const kette = weitergereicht
+      .split(',')
+      .map((teil) => teil.trim())
+      .filter((teil) => teil.length > 0)
+
+    // Von hinten zaehlen: Der letzte Eintrag stammt vom naechsten
+    // Zwischenknoten, der zweitletzte von dem davor. Bei einer Stufe ist
+    // der letzte Eintrag der Aufrufer, wie der Proxy ihn gesehen hat.
+    if (kette.length > 0) {
+      const stelle = kette.length - env.vertraueProxyStufen
+      return kette[Math.max(0, stelle)] ?? null
+    }
+  }
+
+  // Manche Proxys setzen nur diesen Kopf. Er enthaelt genau eine Adresse,
+  // also gibt es hier nichts abzuzaehlen.
+  return echterIp?.trim() || null
+}
+
+/** Nur fuer Tests: setzt die einmalige Warnung zurueck. */
+export function warnungZuruecksetzen(): void {
+  gewarnt = false
+}

src/lib/auth/ratelimit.ts

@@ -14,8 +14,32 @@ import { ipHashen } from '@/lib/crypto/hash'
  * Gezaehlt wird nach E-Mail UND nach Anschluss (IP-Hash). Damit hilft es
  * weder, dieselbe Adresse von vielen Anschluessen zu probieren, noch viele
  * Adressen von einem Anschluss.
+ *
+ * ## Warum abgewiesene Versuche nicht mitzaehlen
+ *
+ * Frueher wurde jeder Aufruf festgehalten, auch der, der wegen einer
+ * laufenden Sperre gar nicht geprueft wurde. Zusammen mit einer Frist, die
+ * vom juengsten Fehlversuch aus gerechnet wurde, ergab das eine
+ * Rueckkopplung: Jeder abgewiesene Aufruf schob die Frist um die volle
+ * Sperrdauer nach hinten. Wer alle zehn Minuten ein falsches Passwort an
+ * eine fremde Adresse schickte, sperrte deren Inhaber dauerhaft aus - ohne
+ * das Passwort zu kennen. Und jeder dieser Aufrufe hinterliess eine Zeile,
+ * die erst der Wartungslauf nach 30 Tagen wieder los wurde.
+ *
+ * Deshalb jetzt zwei getrennte Dinge:
+ *
+ * - Ein *geprueft* fehlgeschlagener Versuch (falsches Passwort, falscher
+ *   Code, unbekannte Adresse) zaehlt und wird einzeln festgehalten.
+ * - Ein *abgewiesener* Aufruf waehrend der Sperre zaehlt nicht und wird
+ *   hoechstens einmal je Sperre vermerkt.
+ *
+ * Damit steht die Frist fest, sobald sie einmal gesetzt ist, und die
+ * Tabelle waechst nicht mit der Zahl der Angriffsversuche.
  */
 
+/** Grund fuer eine Zeile, die nur den abgewiesenen Aufruf dokumentiert. */
+const GRUND_ABGEWIESEN = 'gesperrt'
+
 export type SperrErgebnis =
   | { gesperrt: false; verbleibendeVersuche: number }
   | { gesperrt: true; nochSekunden: number }
@@ -29,33 +53,49 @@ function fensterStart(): Date {
  * Passwortvergleich aufgerufen - ein gesperrter Zugang soll gar nicht erst
  * Rechenzeit fuer Argon2 kosten.
  */
-export async function anmeldungErlaubt(
+export async function anmeldungErlaubt(email: string, ip: string | null): Promise<SperrErgebnis> {
-  email: string,
+  const jetzt = Date.now()
-  ip: string | null,
-): Promise<SperrErgebnis> {
-  const seit = fensterStart()
   const kennung = email.trim().toLowerCase()
   const ipH = ipHashen(ip)
 
   const fehlversuche = await db.loginVersuch.findMany({
     where: {
       erfolg: false,
-      zeitpunkt: { gte: seit },
+      // Abgewiesene Aufrufe zaehlen nicht mit - sonst haelt sich die Sperre
+      // selbst am Leben, siehe Kopf dieser Datei.
+      grund: { not: GRUND_ABGEWIESEN },
+      zeitpunkt: { gte: new Date(jetzt - env.loginFensterSekunden * 1000) },
       OR: [{ email: kennung }, ...(ipH ? [{ ipHash: ipH }] : [])],
     },
-    orderBy: { zeitpunkt: 'desc' },
+    orderBy: { zeitpunkt: 'asc' },
     select: { zeitpunkt: true },
-    take: env.loginMaxVersuche + 1,
+    // Deckel gegen eine ausufernde Abfrage. Mehr als eine Handvoll Runden
+    // passt ohnehin nicht in ein Zeitfenster, in dem jede Runde gesperrt
+    // wird.
+    take: 200,
   })
 
-  if (fehlversuche.length >= env.loginMaxVersuche) {
+  // Von alt nach neu durchgehen und die Runden nachvollziehen: Sobald das
-    const juengster = fehlversuche[0]!.zeitpunkt.getTime()
+  // Mass voll ist, beginnt an genau diesem Versuch eine Sperre, und der
-    const frei = juengster + env.loginSperreSekunden * 1000
+  // Zaehler faengt von vorn an. Ist ihre Frist inzwischen abgelaufen, sind
-    const nochSekunden = Math.max(1, Math.ceil((frei - Date.now()) / 1000))
+  // die Versuche davor abgegolten - sonst bliebe der Zugang bis zum Ende
-    return { gesperrt: true, nochSekunden }
+  // des Zeitfensters dicht, obwohl die Sperre laengst um ist.
+  let zaehler = 0
+  let sperreBis = 0
+
+  for (const versuch of fehlversuche) {
+    zaehler += 1
+    if (zaehler >= env.loginMaxVersuche) {
+      sperreBis = versuch.zeitpunkt.getTime() + env.loginSperreSekunden * 1000
+      zaehler = 0
+    }
   }
 
-  return { gesperrt: false, verbleibendeVersuche: env.loginMaxVersuche - fehlversuche.length }
+  if (sperreBis > jetzt) {
+    return { gesperrt: true, nochSekunden: Math.max(1, Math.ceil((sperreBis - jetzt) / 1000)) }
+  }
+
+  return { gesperrt: false, verbleibendeVersuche: env.loginMaxVersuche - zaehler }
 }
 
 /** Haelt einen Versuch fest. Der Grund hilft spaeter beim Nachvollziehen. */
@@ -75,6 +115,34 @@ export async function versuchFesthalten(
   })
 }
 
+/**
+ * Vermerkt einen abgewiesenen Aufruf - aber nur den ersten je Sperre.
+ *
+ * Dass eine Sperre gegriffen hat, will man im Protokoll sehen. Wie oft
+ * dagegen geklopft wurde, ist die Information nicht wert: Sie kostet eine
+ * Zeile pro Anfrage, und genau daraus laesst sich die Tabelle vollschreiben.
+ * Eine Zeile je Sperre reicht, um den Vorgang zu erkennen.
+ *
+ * @returns true, wenn tatsaechlich vermerkt wurde.
+ */
+export async function sperreVermerken(email: string, ip: string | null): Promise<boolean> {
+  const kennung = email.trim().toLowerCase()
+  const vorhanden = await db.loginVersuch.findFirst({
+    where: {
+      email: kennung,
+      erfolg: false,
+      grund: GRUND_ABGEWIESEN,
+      zeitpunkt: { gte: fensterStart() },
+    },
+    select: { id: true },
+  })
+
+  if (vorhanden) return false
+
+  await versuchFesthalten(kennung, ip, false, GRUND_ABGEWIESEN)
+  return true
+}
+
 /**
  * Nach einer erfolgreichen Anmeldung werden die Fehlversuche dieser
  * Adresse geloescht - sonst bliebe der Zaehler bis zum Fensterende stehen.

src/lib/auth/sitzung.ts

@@ -46,8 +46,46 @@ export async function aktuellerBenutzer(): Promise<User | null> {
   return benutzer
 }
 
-/** Wie aktuellerBenutzer, leitet aber zum Anmeldeformular um. */
+/** Hat dieser Benutzer den zweiten Faktor abgeschlossen? */
+export function zweiterFaktorFertig(benutzer: User): boolean {
+  return Boolean(benutzer.totpAktiviertAm && benutzer.totpSecretVerschluesselt)
+}
+
+/**
+ * Der angemeldete Benutzer - mit abgeschlossenem zweitem Faktor.
+ *
+ * Die MFA-Pflicht steckt bewusst HIER und nicht im App-Layout. Ein Layout
+ * schuetzt nur, was durch das Layout gerendert wird; Server Actions und
+ * Route Handler laufen daran vorbei. Wer eine Passwort-Sitzung hat, aber
+ * die TOTP-Einrichtung nie abgeschlossen hat, konnte sie frueher direkt
+ * aufrufen - "MFA ist Pflicht" war damit eine Aussage ueber die
+ * Oberflaeche, keine Sicherheitsgrenze.
+ *
+ * Massgeblich ist der Datenbankstand aus aktuellerBenutzer(), nicht das
+ * Feld im Sitzungstoken: Das laesst sich ueber session.update() vom
+ * Client beeinflussen.
+ *
+ * Die Ausnahmen sind klein und aufgezaehlt - Einrichtung des zweiten
+ * Faktors und Abmelden. Wer eine weitere braucht, nimmt bewusst
+ * erfordereBenutzerOhneZweitenFaktor() und begruendet es dort.
+ */
 export async function erfordereBenutzer(zielNachAnmeldung?: string): Promise<User> {
+  const benutzer = await erfordereBenutzerOhneZweitenFaktor(zielNachAnmeldung)
+  if (!zweiterFaktorFertig(benutzer)) {
+    redirect('/zwei-faktor/einrichten')
+  }
+  return benutzer
+}
+
+/**
+ * Nur fuer die Handvoll Stellen, die VOR abgeschlossener MFA erreichbar
+ * sein muessen: die Einrichtung selbst und das Abmelden. Jede weitere
+ * Verwendung ist ein Loch in der MFA-Pflicht und braucht eine
+ * Begruendung im Code.
+ */
+export async function erfordereBenutzerOhneZweitenFaktor(
+  zielNachAnmeldung?: string,
+): Promise<User> {
   const benutzer = await aktuellerBenutzer()
   if (!benutzer) {
     const ziel = zielNachAnmeldung ? `?weiter=${encodeURIComponent(zielNachAnmeldung)}` : ''
@@ -57,11 +95,37 @@ export async function erfordereBenutzer(zielNachAnmeldung?: string): Promise<Use
 }
 
 /**
- * Erzwingt den eingerichteten zweiten Faktor. Wird im App-Layout
+ * Fuer Route Handler: Statt umzuleiten wird abgewiesen.
- * aufgerufen: ohne TOTP kommt niemand an Fachdaten.
+ *
+ * Ein Redirect ist bei einer Datei- oder Kalenderantwort die falsche
+ * Antwort - der Aufrufer will Daten, nicht eine Anmeldeseite als Inhalt.
+ */
+export async function benutzerFuerRoute(): Promise<
+  { ok: true; benutzer: User } | { ok: false; antwort: Response }
+> {
+  const benutzer = await aktuellerBenutzer()
+  if (!benutzer) {
+    return { ok: false, antwort: new Response('Nicht angemeldet.', { status: 401 }) }
+  }
+  if (!zweiterFaktorFertig(benutzer)) {
+    return {
+      ok: false,
+      antwort: new Response('Zweiter Faktor ist nicht eingerichtet.', { status: 403 }),
+    }
+  }
+  return { ok: true, benutzer }
+}
+
+/**
+ * Erzwingt den eingerichteten zweiten Faktor.
+ *
+ * Bleibt als eigener Aufruf im App-Layout bestehen, obwohl
+ * erfordereBenutzer() das inzwischen selbst tut: Zwei Sperren an
+ * derselben Stelle kosten nichts und die aeussere ist die, die man beim
+ * Lesen des Layouts sieht.
  */
 export async function erfordereZweitenFaktor(benutzer: User): Promise<void> {
-  if (!benutzer.totpAktiviertAm || !benutzer.totpSecretVerschluesselt) {
+  if (!zweiterFaktorFertig(benutzer)) {
     redirect('/zwei-faktor/einrichten')
   }
 }

src/lib/auth/verweise.ts

@@ -0,0 +1,121 @@
+import 'server-only'
+import { db, nichtGeloescht } from '@/lib/db'
+
+/**
+ * Gehoert ein verknuepfter Datensatz zu dieser Akte?
+ *
+ * Wenn ein Formular einen Fremdschluessel mitschickt - Konto, Vertrag,
+ * Immobilie, Dokument, Vorgang, Kontakt -, dann kommt der aus einer
+ * Auswahlliste im Browser. Der Server darf sich darauf nicht verlassen:
+ * Eine veraenderte Anfrage kann jede beliebige Id enthalten.
+ *
+ * Ohne die Pruefung entstuende eine Verknuepfung ueber Aktengrenzen
+ * hinweg. Was daran gefaehrlich ist, sieht man erst an den Folgen: Der
+ * Rueckkaufswert der einen Akte haengt am Vertrag der anderen, ein
+ * fremder Name steht im Briefkopf, ein fremder Beschluss in der
+ * Genehmigungskette.
+ *
+ * Solange nur eine betreute Person angelegt ist, ist all das folgenlos.
+ * Die Pruefung gehoert trotzdem hin - sie kostet eine Abfrage, und die
+ * zweite betreute Person kommt frueher, als man denkt.
+ *
+ * Bewusst KEINE Ausnahme geworfen: Formularaktionen geben Fehler zurueck,
+ * damit die Eingaben des Benutzers nicht verlorengehen.
+ */
+
+/** Die Tabellen, auf die ein Formular verweisen darf. */
+export type Verweisziel =
+  | 'konto'
+  | 'vertrag'
+  | 'immobilie'
+  | 'dokument'
+  | 'vorgang'
+  | 'kontakt'
+  | 'vermoegensposten'
+  | 'buchung'
+
+type Sucher = (id: string, betreuteId: string) => Promise<{ id: string } | null>
+
+/**
+ * Je Ziel eine Abfrage, ausgeschrieben statt dynamisch zusammengesetzt.
+ *
+ * Das ist ein paar Zeilen laenger als ein Zugriff ueber den Tabellennamen -
+ * dafuer ist die Liste der erlaubten Ziele eine bewusste Aufzaehlung und
+ * keine Nebenwirkung, und der Typpruefer sieht jede Abfrage.
+ */
+const SUCHER: Record<Verweisziel, Sucher> = {
+  konto: (id, betreuteId) =>
+    db.konto.findFirst({ where: { id, betreuteId, ...nichtGeloescht }, select: { id: true } }),
+  vertrag: (id, betreuteId) =>
+    db.vertrag.findFirst({ where: { id, betreuteId, ...nichtGeloescht }, select: { id: true } }),
+  immobilie: (id, betreuteId) =>
+    db.immobilie.findFirst({ where: { id, betreuteId, ...nichtGeloescht }, select: { id: true } }),
+  dokument: (id, betreuteId) =>
+    db.dokument.findFirst({ where: { id, betreuteId, ...nichtGeloescht }, select: { id: true } }),
+  vorgang: (id, betreuteId) =>
+    db.vorgang.findFirst({ where: { id, betreuteId, ...nichtGeloescht }, select: { id: true } }),
+  kontakt: (id, betreuteId) =>
+    db.kontakt.findFirst({ where: { id, betreuteId, ...nichtGeloescht }, select: { id: true } }),
+  vermoegensposten: (id, betreuteId) =>
+    db.vermoegensposten.findFirst({
+      where: { id, betreuteId, ...nichtGeloescht },
+      select: { id: true },
+    }),
+  buchung: (id, betreuteId) =>
+    db.buchung.findFirst({ where: { id, betreuteId, ...nichtGeloescht }, select: { id: true } }),
+}
+
+const BESCHRIFTUNG: Record<Verweisziel, string> = {
+  konto: 'Dieses Konto',
+  vertrag: 'Dieser Vertrag',
+  immobilie: 'Diese Immobilie',
+  dokument: 'Dieses Dokument',
+  vorgang: 'Dieser Vorgang',
+  kontakt: 'Dieser Kontakt',
+  vermoegensposten: 'Dieser Vermögensposten',
+  buchung: 'Diese Buchung',
+}
+
+/**
+ * Prueft einen einzelnen Verweis.
+ *
+ * Ein leerer Verweis ist in Ordnung - "keine Verknuepfung" ist ein
+ * gueltiger Zustand und keine Verletzung.
+ *
+ * @returns null, wenn alles stimmt; sonst die fertige Fehlermeldung.
+ */
+export async function verweisPruefen(
+  ziel: Verweisziel,
+  id: string | null | undefined,
+  betreuteId: string,
+): Promise<string | null> {
+  if (!id) return null
+
+  const treffer = await SUCHER[ziel](id, betreuteId)
+
+  return treffer ? null : `${BESCHRIFTUNG[ziel]} gehört nicht zu dieser betreuten Person.`
+}
+
+/**
+ * Prueft mehrere Verweise auf einmal und meldet den ersten Verstoss.
+ *
+ * Die Abfragen laufen nebeneinander: Bei vier Verweisen ist das eine
+ * Wartezeit statt vier.
+ *
+ * @example
+ *   const fehler = await verweisePruefen(betreuteId, {
+ *     konto: werte.kontoId,
+ *     vertrag: werte.vertragId,
+ *   })
+ *   if (fehler) return { fehler }
+ */
+export async function verweisePruefen(
+  betreuteId: string,
+  verweise: Partial<Record<Verweisziel, string | null | undefined>>,
+): Promise<string | null> {
+  const eintraege = Object.entries(verweise) as [Verweisziel, string | null | undefined][]
+  const ergebnisse = await Promise.all(
+    eintraege.map(([ziel, id]) => verweisPruefen(ziel, id, betreuteId)),
+  )
+  return ergebnisse.find((meldung) => meldung !== null) ?? null
+}

src/lib/auth/zweiter-faktor.ts

@@ -0,0 +1,93 @@
+import 'server-only'
+import type { User } from '@prisma/client'
+import { db } from '@/lib/db'
+import { wiederherstellungscodeFinden } from '@/lib/crypto/hash'
+import { totpPruefen, totpSchritt, totpSecretEntschluesseln } from '@/lib/crypto/totp'
+
+/**
+ * Einloesen des zweiten Faktors - einmal und nur einmal.
+ *
+ * Ein TOTP-Code gilt 30 Sekunden, mit der Toleranz von einem Fenster bis zu
+ * 90. Wer ihn in dieser Zeit noch einmal einreicht, kommt ohne die
+ * Toleranz ein zweites Mal herein: abgelesen ueber die Schulter,
+ * mitgeschrieben von einem Zwischenglied, oder aus einem Formular, das im
+ * Browserverlauf steht. Der Kommentar in totp.ts versprach seit dem Anfang,
+ * der Aufrufer speichere das getroffene Fenster - getan hat es niemand.
+ *
+ * Deshalb hier: Der Schritt wird festgehalten, und angenommen wird nur ein
+ * groesserer. Damit ist jeder Code genau einmal gut.
+ *
+ * ## Warum updateMany und nicht update
+ *
+ * Die Bedingung steht im WHERE, nicht in einem if davor. Zwei Anfragen mit
+ * demselben Code, gleichzeitig abgeschickt, wuerden sonst beide den
+ * Vergleich bestehen, bevor eine von ihnen schreibt. So entscheidet die
+ * Datenbank: Genau eine trifft eine Zeile, die andere keine.
+ */
+
+export type ZweiterFaktorErgebnis =
+  | { ok: true; art: 'totp' | 'wiederherstellungscode' }
+  | { ok: false; grund: 'falsch' | 'wiederverwendet' }
+
+/** Ab dieser Laenge wird die Eingabe als Wiederherstellungscode gelesen. */
+const CODE_MINDESTLAENGE = 12
+
+/**
+ * Prueft die Eingabe und verbraucht sie.
+ *
+ * Nimmt sowohl einen sechsstelligen TOTP-Code als auch einen
+ * Wiederherstellungscode. Letzterer wird nach Gebrauch aus der Liste
+ * entfernt - auch das eine Einmalverwendung, nur mit anderem Mechanismus.
+ *
+ * @param benutzer Der Datensatz aus der Datenbank, nicht aus der Sitzung.
+ * @param eingabe  Was im Formular stand, ungereinigt.
+ */
+export async function zweitenFaktorEinloesen(
+  benutzer: User,
+  eingabe: string,
+): Promise<ZweiterFaktorErgebnis> {
+  const ohneTrenner = eingabe.replace(/[\s-]/g, '')
+
+  if (/^\d{6}$/.test(ohneTrenner)) {
+    if (!benutzer.totpSecretVerschluesselt) return { ok: false, grund: 'falsch' }
+
+    const secret = totpSecretEntschluesseln(benutzer.totpSecretVerschluesselt)
+    const { gueltig, delta } = totpPruefen(secret, benutzer.email, ohneTrenner)
+    if (!gueltig || delta === null) return { ok: false, grund: 'falsch' }
+
+    const schritt = totpSchritt(delta)
+
+    const { count } = await db.user.updateMany({
+      where: {
+        id: benutzer.id,
+        OR: [{ totpLetzterSchritt: null }, { totpLetzterSchritt: { lt: schritt } }],
+      },
+      data: { totpLetzterSchritt: schritt },
+    })
+
+    // Keine Zeile getroffen: Dieser Schritt war schon einmal dran. Der Code
+    // ist rechnerisch richtig und trotzdem verbraucht.
+    if (count === 0) return { ok: false, grund: 'wiederverwendet' }
+
+    return { ok: true, art: 'totp' }
+  }
+
+  if (ohneTrenner.length >= CODE_MINDESTLAENGE) {
+    const treffer = await wiederherstellungscodeFinden(benutzer.wiederherstellungscodes, eingabe)
+    if (treffer < 0) return { ok: false, grund: 'falsch' }
+
+    // Auch hier die Bedingung in die Abfrage: Sonst koennten zwei
+    // gleichzeitige Anmeldungen denselben Code einloesen, weil beide noch
+    // die alte Liste sehen.
+    const rest = benutzer.wiederherstellungscodes.filter((_, i) => i !== treffer)
+    const { count } = await db.user.updateMany({
+      where: { id: benutzer.id, wiederherstellungscodes: { equals: benutzer.wiederherstellungscodes } },
+      data: { wiederherstellungscodes: rest },
+    })
+    if (count === 0) return { ok: false, grund: 'wiederverwendet' }
+
+    return { ok: true, art: 'wiederherstellungscode' }
+  }
+
+  return { ok: false, grund: 'falsch' }
+}

src/lib/berichte/docx.ts

@@ -1,213 +1,213 @@
-import 'server-only'
+import 'server-only'
-import {
+import {
-  AlignmentType,
+  AlignmentType,
-  BorderStyle,
+  BorderStyle,
-  Document,
+  Document,
-  Footer,
+  Footer,
-  Header,
+  Header,
-  HeadingLevel,
+  HeadingLevel,
-  PageNumber,
+  PageNumber,
-  Packer,
+  Packer,
-  Paragraph,
+  Paragraph,
-  TextRun,
+  TextRun,
-  convertMillimetersToTwip,
+  convertMillimetersToTwip,
-} from 'docx'
+} from 'docx'
-import { formatDatum } from '@/lib/utils'
+import { formatDatum } from '@/lib/utils'
-import { textZuAbschnitten } from '@/lib/berichte/jahresbericht.entwurf'
+import { textZuAbschnitten } from '@/lib/berichte/jahresbericht.entwurf'
-
+
-/**
+/**
- * DOCX-Ausgabe.
+ * DOCX-Ausgabe.
- *
+ *
- * Warum zusaetzlich zum PDF? Weil ein Jahresbericht selten beim ersten Mal
+ * Warum zusaetzlich zum PDF? Weil ein Jahresbericht selten beim ersten Mal
- * fertig ist. Das Gericht schickt Rueckfragen, der Rechtspfleger will einen
+ * fertig ist. Das Gericht schickt Rueckfragen, der Rechtspfleger will einen
- * Absatz anders, im naechsten Jahr will man den Vorjahresbericht als
+ * Absatz anders, im naechsten Jahr will man den Vorjahresbericht als
- * Grundlage nehmen. Ein PDF laesst sich dafuer nicht anfassen, eine
+ * Grundlage nehmen. Ein PDF laesst sich dafuer nicht anfassen, eine
- * .docx-Datei schon - in Word, LibreOffice oder Google Docs.
+ * .docx-Datei schon - in Word, LibreOffice oder Google Docs.
- *
+ *
- * Das PDF bleibt die Fassung, die abgegeben wird; die .docx ist die
+ * Das PDF bleibt die Fassung, die abgegeben wird; die .docx ist die
- * Arbeitsfassung.
+ * Arbeitsfassung.
- *
+ *
- * Der Kopf wird hier bewusst als eigener Typ beschrieben und nicht aus
+ * Der Kopf wird hier bewusst als eigener Typ beschrieben und nicht aus
- * src/lib/pdf/rahmen.tsx importiert: Die DOCX-Ausgabe soll auch dann
+ * src/lib/pdf/rahmen.tsx importiert: Die DOCX-Ausgabe soll auch dann
- * funktionieren, wenn am PDF-Rahmen gerade gearbeitet wird. Die Felder sind
+ * funktionieren, wenn am PDF-Rahmen gerade gearbeitet wird. Die Felder sind
- * dieselben, ein Berichtskopf passt ohne Umbau hinein.
+ * dieselben, ein Berichtskopf passt ohne Umbau hinein.
- */
+ */
-
+
-export type DocxKopf = {
+export type DocxKopf = {
-  titel: string
+  titel: string
-  betreute: { name: string; geburtsdatum: Date | null }
+  betreute: { name: string; geburtsdatum: Date | null }
-  behoerde?: string
+  behoerde?: string
-  aktenzeichen?: string
+  aktenzeichen?: string
-  zeitraumVon?: Date | null
+  zeitraumVon?: Date | null
-  zeitraumBis?: Date | null
+  zeitraumBis?: Date | null
-  stichtag?: Date | null
+  stichtag?: Date | null
-  rechtsgrundlage?: string
+  rechtsgrundlage?: string
-  erstelltAm: Date
+  erstelltAm: Date
-  erstelltVon: string
+  erstelltVon: string
-}
+}
-
+
-const SCHRIFT = 'Arial'
+const SCHRIFT = 'Arial'
-
+
-function zeile(text: string, optionen: { fett?: boolean; grau?: boolean; groesse?: number } = {}) {
+function zeile(text: string, optionen: { fett?: boolean; grau?: boolean; groesse?: number } = {}) {
-  return new TextRun({
+  return new TextRun({
-    text,
+    text,
-    bold: optionen.fett ?? false,
+    bold: optionen.fett ?? false,
-    color: optionen.grau ? '555555' : '000000',
+    color: optionen.grau ? '555555' : '000000',
-    size: (optionen.groesse ?? 11) * 2, // docx rechnet in halben Punkten
+    size: (optionen.groesse ?? 11) * 2, // docx rechnet in halben Punkten
-    font: SCHRIFT,
+    font: SCHRIFT,
-  })
+  })
-}
+}
-
+
-function kopfzeilen(kopf: DocxKopf): string[] {
+function kopfzeilen(kopf: DocxKopf): string[] {
-  const zeilen: string[] = [
+  const zeilen: string[] = [
-    `Betreute Person: ${kopf.betreute.name}` +
+    `Betreute Person: ${kopf.betreute.name}` +
-      (kopf.betreute.geburtsdatum ? `, geboren am ${formatDatum(kopf.betreute.geburtsdatum)}` : ''),
+      (kopf.betreute.geburtsdatum ? `, geboren am ${formatDatum(kopf.betreute.geburtsdatum)}` : ''),
-  ]
+  ]
-  if (kopf.behoerde) zeilen.push(kopf.behoerde)
+  if (kopf.behoerde) zeilen.push(kopf.behoerde)
-  if (kopf.aktenzeichen) zeilen.push(`Aktenzeichen: ${kopf.aktenzeichen}`)
+  if (kopf.aktenzeichen) zeilen.push(`Aktenzeichen: ${kopf.aktenzeichen}`)
-  if (kopf.zeitraumVon || kopf.zeitraumBis) {
+  if (kopf.zeitraumVon || kopf.zeitraumBis) {
-    zeilen.push(
+    zeilen.push(
-      `Berichtszeitraum: ${formatDatum(kopf.zeitraumVon)} bis ${formatDatum(kopf.zeitraumBis)}`,
+      `Berichtszeitraum: ${formatDatum(kopf.zeitraumVon)} bis ${formatDatum(kopf.zeitraumBis)}`,
-    )
+    )
-  }
+  }
-  if (kopf.stichtag) zeilen.push(`Stichtag: ${formatDatum(kopf.stichtag)}`)
+  if (kopf.stichtag) zeilen.push(`Stichtag: ${formatDatum(kopf.stichtag)}`)
-  if (kopf.rechtsgrundlage) zeilen.push(`Rechtsgrundlage: ${kopf.rechtsgrundlage}`)
+  if (kopf.rechtsgrundlage) zeilen.push(`Rechtsgrundlage: ${kopf.rechtsgrundlage}`)
-  return zeilen
+  return zeilen
-}
+}
-
+
-function unterschriftenblock(kopf: DocxKopf): Paragraph[] {
+function unterschriftenblock(kopf: DocxKopf): Paragraph[] {
-  return [
+  return [
-    new Paragraph({ children: [zeile('')], spacing: { before: 600 } }),
+    new Paragraph({ children: [zeile('')], spacing: { before: 600 } }),
-    new Paragraph({
+    new Paragraph({
-      children: [zeile(`Ort, Datum: ${formatDatum(kopf.erstelltAm)}`)],
+      children: [zeile(`Ort, Datum: ${formatDatum(kopf.erstelltAm)}`)],
-      spacing: { after: 500 },
+      spacing: { after: 500 },
-    }),
+    }),
-    new Paragraph({
+    new Paragraph({
-      children: [zeile('')],
+      children: [zeile('')],
-      border: { top: { style: BorderStyle.SINGLE, size: 6, color: '000000', space: 2 } },
+      border: { top: { style: BorderStyle.SINGLE, size: 6, color: '000000', space: 2 } },
-      spacing: { after: 60 },
+      spacing: { after: 60 },
-    }),
+    }),
-    new Paragraph({
+    new Paragraph({
-      children: [zeile(`${kopf.erstelltVon}, rechtliche Betreuerin bzw. rechtlicher Betreuer`, { groesse: 9, grau: true })],
+      children: [zeile(`${kopf.erstelltVon}, rechtliche Betreuerin bzw. rechtlicher Betreuer`, { groesse: 9, grau: true })],
-    }),
+    }),
-  ]
+  ]
-}
+}
-
+
-/**
+/**
- * Setzt den (ueberarbeiteten) Entwurfstext als Word-Dokument. Ueberschriften
+ * Setzt den (ueberarbeiteten) Entwurfstext als Word-Dokument. Ueberschriften
- * erkennt der Satz an der fuehrenden Nummer, Aufzaehlungen am
+ * erkennt der Satz an der fuehrenden Nummer, Aufzaehlungen am
- * Aufzaehlungszeichen - dieselbe Regel wie im PDF.
+ * Aufzaehlungszeichen - dieselbe Regel wie im PDF.
- */
+ */
-export function docxAusEntwurf(kopf: DocxKopf, text: string): Document {
+export function docxAusEntwurf(kopf: DocxKopf, text: string): Document {
-  const abschnitte = textZuAbschnitten(text)
+  const abschnitte = textZuAbschnitten(text)
-
+
-  const inhalt: Paragraph[] = [
+  const inhalt: Paragraph[] = [
-    new Paragraph({
+    new Paragraph({
-      children: [zeile(kopf.titel, { fett: true, groesse: 16 })],
+      children: [zeile(kopf.titel, { fett: true, groesse: 16 })],
-      spacing: { after: 160 },
+      spacing: { after: 160 },
-    }),
+    }),
-    ...kopfzeilen(kopf).map(
+    ...kopfzeilen(kopf).map(
-      (text_) => new Paragraph({ children: [zeile(text_, { groesse: 10, grau: true })] }),
+      (text_) => new Paragraph({ children: [zeile(text_, { groesse: 10, grau: true })] }),
-    ),
+    ),
-    new Paragraph({
+    new Paragraph({
-      children: [zeile('')],
+      children: [zeile('')],
-      border: { bottom: { style: BorderStyle.SINGLE, size: 6, color: 'AAAAAA', space: 2 } },
+      border: { bottom: { style: BorderStyle.SINGLE, size: 6, color: 'AAAAAA', space: 2 } },
-      spacing: { after: 200 },
+      spacing: { after: 200 },
-    }),
+    }),
-  ]
+  ]
-
+
-  for (const abschnitt of abschnitte) {
+  for (const abschnitt of abschnitte) {
-    if (abschnitt.titel) {
+    if (abschnitt.titel) {
-      inhalt.push(
+      inhalt.push(
-        new Paragraph({
+        new Paragraph({
-          children: [zeile(abschnitt.titel, { fett: true, groesse: 12 })],
+          children: [zeile(abschnitt.titel, { fett: true, groesse: 12 })],
-          heading: HeadingLevel.HEADING_2,
+          heading: HeadingLevel.HEADING_2,
-          spacing: { before: 260, after: 100 },
+          spacing: { before: 260, after: 100 },
-        }),
+        }),
-      )
+      )
-    }
+    }
-    for (const absatz of abschnitt.absaetze) {
+    for (const absatz of abschnitt.absaetze) {
-      const istAufzaehlung = absatz.startsWith('•')
+      const istAufzaehlung = absatz.startsWith('•')
-      inhalt.push(
+      inhalt.push(
-        new Paragraph({
+        new Paragraph({
-          children: [zeile(istAufzaehlung ? absatz.replace(/^•\s*/, '') : absatz)],
+          children: [zeile(istAufzaehlung ? absatz.replace(/^•\s*/, '') : absatz)],
-          bullet: istAufzaehlung ? { level: 0 } : undefined,
+          bullet: istAufzaehlung ? { level: 0 } : undefined,
-          alignment: istAufzaehlung ? AlignmentType.LEFT : AlignmentType.JUSTIFIED,
+          alignment: istAufzaehlung ? AlignmentType.LEFT : AlignmentType.JUSTIFIED,
-          spacing: { after: 120, line: 300 },
+          spacing: { after: 120, line: 300 },
-        }),
+        }),
-      )
+      )
-    }
+    }
-  }
+  }
-
+
-  inhalt.push(...unterschriftenblock(kopf))
+  inhalt.push(...unterschriftenblock(kopf))
-
+
-  return new Document({
+  return new Document({
-    creator: kopf.erstelltVon,
+    creator: kopf.erstelltVon,
-    title: kopf.titel,
+    title: kopf.titel,
-    description: `${kopf.titel} für ${kopf.betreute.name}`,
+    description: `${kopf.titel} für ${kopf.betreute.name}`,
-    sections: [
+    sections: [
-      {
+      {
-        properties: {
+        properties: {
-          page: {
+          page: {
-            margin: {
+            margin: {
-              top: convertMillimetersToTwip(25),
+              top: convertMillimetersToTwip(25),
-              bottom: convertMillimetersToTwip(20),
+              bottom: convertMillimetersToTwip(20),
-              left: convertMillimetersToTwip(25),
+              left: convertMillimetersToTwip(25),
-              right: convertMillimetersToTwip(20),
+              right: convertMillimetersToTwip(20),
-            },
+            },
-          },
+          },
-        },
+        },
-        headers: {
+        headers: {
-          default: new Header({
+          default: new Header({
-            children: [
+            children: [
-              new Paragraph({
+              new Paragraph({
-                alignment: AlignmentType.RIGHT,
+                alignment: AlignmentType.RIGHT,
-                children: [
+                children: [
-                  zeile(
+                  zeile(
-                    `${kopf.betreute.name}${kopf.aktenzeichen ? ` · ${kopf.aktenzeichen}` : ''}`,
+                    `${kopf.betreute.name}${kopf.aktenzeichen ? ` · ${kopf.aktenzeichen}` : ''}`,
-                    { groesse: 8, grau: true },
+                    { groesse: 8, grau: true },
-                  ),
+                  ),
-                ],
+                ],
-              }),
+              }),
-            ],
+            ],
-          }),
+          }),
-        },
+        },
-        footers: {
+        footers: {
-          default: new Footer({
+          default: new Footer({
-            children: [
+            children: [
-              new Paragraph({
+              new Paragraph({
-                alignment: AlignmentType.CENTER,
+                alignment: AlignmentType.CENTER,
-                children: [
+                children: [
-                  zeile('Seite ', { groesse: 8, grau: true }),
+                  zeile('Seite ', { groesse: 8, grau: true }),
-                  new TextRun({
+                  new TextRun({
-                    children: [PageNumber.CURRENT],
+                    children: [PageNumber.CURRENT],
-                    size: 16,
+                    size: 16,
-                    color: '555555',
+                    color: '555555',
-                    font: SCHRIFT,
+                    font: SCHRIFT,
-                  }),
+                  }),
-                  zeile(' von ', { groesse: 8, grau: true }),
+                  zeile(' von ', { groesse: 8, grau: true }),
-                  new TextRun({
+                  new TextRun({
-                    children: [PageNumber.TOTAL_PAGES],
+                    children: [PageNumber.TOTAL_PAGES],
-                    size: 16,
+                    size: 16,
-                    color: '555555',
+                    color: '555555',
-                    font: SCHRIFT,
+                    font: SCHRIFT,
-                  }),
+                  }),
-                  zeile(`  ·  erstellt am ${formatDatum(kopf.erstelltAm)}`, {
+                  zeile(`  ·  erstellt am ${formatDatum(kopf.erstelltAm)}`, {
-                    groesse: 8,
+                    groesse: 8,
-                    grau: true,
+                    grau: true,
-                  }),
+                  }),
-                ],
+                ],
-              }),
+              }),
-            ],
+            ],
-          }),
+          }),
-        },
+        },
-        children: inhalt,
+        children: inhalt,
-      },
+      },
-    ],
+    ],
-  })
+  })
-}
+}
-
+
-/** Fertige .docx-Datei als Buffer. */
+/** Fertige .docx-Datei als Buffer. */
-export async function docxErzeugen(kopf: DocxKopf, text: string): Promise<Buffer> {
+export async function docxErzeugen(kopf: DocxKopf, text: string): Promise<Buffer> {
-  return Packer.toBuffer(docxAusEntwurf(kopf, text))
+  return Packer.toBuffer(docxAusEntwurf(kopf, text))
-}
+}

src/lib/crypto/totp.ts

@@ -20,6 +20,9 @@ const ZIFFERN = 6
 const PERIODE = 30
 const TOLERANZ_FENSTER = 1
 
+/** Laenge eines TOTP-Fensters in Sekunden - fuer den Wiederverwendungsschutz. */
+export const TOTP_PERIODE = PERIODE
+
 function totpBauen(secret: string, kennung: string): TOTP {
   return new TOTP({
     issuer: AUSSTELLER,
@@ -54,10 +57,24 @@ export async function totpQrCode(secret: string, kennung: string): Promise<strin
   })
 }
 
+/**
+ * Der absolute Zeitschritt, auf den ein Code passt.
+ *
+ * validate() gibt nur die Abweichung zum aktuellen Fenster zurueck (delta).
+ * Zum Festhalten braucht es eine Zahl, die nicht davon abhaengt, wann
+ * geprueft wurde - sonst waere ein spaeter geprueftes Fenster kleiner als
+ * ein frueher geprueftes.
+ */
+export function totpSchritt(delta: number, jetztMs = Date.now()): number {
+  return Math.floor(jetztMs / 1000 / PERIODE) + delta
+}
+
 /**
  * Prueft einen eingegebenen Sechsstelligen gegen das Geheimnis.
- * Gibt zusaetzlich das getroffene Zeitfenster zurueck - der Aufrufer
+ *
- * speichert es, um eine Wiederverwendung desselben Codes zu verhindern.
+ * Gibt zusaetzlich das getroffene Zeitfenster zurueck. Wer damit anmeldet,
+ * muss es ueber zweitenFaktorEinloesen() festhalten - sonst gilt derselbe
+ * Code bis zu 90 Sekunden lang ein zweites Mal.
  */
 export function totpPruefen(
   secret: string,

src/lib/env.ts

@@ -31,6 +31,18 @@ function zahl(name: string, standard: number): number {
   return n
 }
 
+/**
+ * Ein Ja/Nein-Schalter. Bewusst nur "true"/"1"/"ja" als Ja - alles andere,
+ * auch ein Tippfehler, gilt als Nein. Bei einem Sicherheitsschalter ist das
+ * die richtige Richtung: Wer sich verschreibt, bekommt die strengere
+ * Einstellung, nicht die laxere.
+ */
+function schalter(name: string, standard = false): boolean {
+  const wert = process.env[name]?.trim().toLowerCase()
+  if (wert === undefined || wert === '') return standard
+  return wert === 'true' || wert === '1' || wert === 'ja'
+}
+
 function schluessel32(name: string): Buffer {
   const roh = pflicht(name)
   const buf = Buffer.from(roh, 'base64')
@@ -214,6 +226,65 @@ export const env = {
     }
   },
 
+  /**
+   * Darf der Host-Kopf der Anfrage die oeffentliche Adresse bestimmen?
+   *
+   * Standard: nur dann, wenn AUTH_URL nicht gesetzt ist. Ist die Adresse
+   * konfiguriert - der dokumentierte Betrieb setzt sie, Passkeys brauchen
+   * sie ohnehin -, gibt es keinen Grund, sie aus einer Kopfzeile von aussen
+   * abzuleiten. Vorher stand in auth.ts fest "true", und ein
+   * "X-Forwarded-Host: fremde.example" haette in erzeugte Adressen
+   * durchgeschlagen.
+   *
+   * AUTH_TRUST_HOST bleibt wirksam, damit die dokumentierte Einstellung
+   * nicht stillschweigend uebergangen wird.
+   */
+  get vertraueHost() {
+    return schalter('AUTH_TRUST_HOST', !process.env.AUTH_URL)
+  },
+
+  /**
+   * Geheimnis fuer die Ersteinrichtung.
+   *
+   * Zwischen dem ersten Start und dem Anlegen des Zugangs steht die Seite
+   * offen: Wer sie in diesem Fenster findet, legt sich selbst einen
+   * Administratorzugang an. Das Fenster ist kurz, aber es ist da - und bei
+   * einer Anwendung mit Gesundheits- und Finanzdaten ist "kurz" kein
+   * Argument.
+   *
+   * Ohne diesen Wert ist die Ersteinrichtung gesperrt. Das ist Absicht:
+   * Eine Installation, bei der das Feld vergessen wurde, soll nicht
+   * einrichtbar sein, sondern eine Meldung zeigen.
+   */
+  get ersteinrichtungGeheimnis() {
+    return process.env.ERSTEINRICHTUNG_GEHEIMNIS?.trim() ?? ''
+  },
+
+  /**
+   * Steht ein Reverse Proxy davor, dem die weitergereichten Koepfe zu
+   * glauben sind?
+   *
+   * Standard ist nein. Das ist die unbequeme, aber richtige Voreinstellung:
+   * Ohne Proxy ist "x-forwarded-for" frei erfunden, und eine Sperre, die
+   * darauf zaehlt, laesst sich mit einer Kopfzeile aushebeln. Wer einen
+   * Proxy davorstellt - der dokumentierte Betrieb tut das -, sagt es hier
+   * ausdruecklich. Siehe src/lib/auth/anschluss.ts.
+   */
+  get vertraueProxy() {
+    return schalter('VERTRAUE_PROXY', false)
+  },
+
+  /**
+   * Wie viele Zwischenknoten vertraut werden. Bei einem Proxy: 1.
+   *
+   * Die Zahl sagt, wie weit von hinten in der Kette der Aufrufer steht.
+   * Zu hoch gesetzt liest man wieder fremdbestimmte Eintraege, deshalb
+   * bleibt es bei eins, solange nichts anderes dasteht.
+   */
+  get vertraueProxyStufen() {
+    return Math.max(1, zahl('VERTRAUE_PROXY_STUFEN', 1))
+  },
+
   get istProduktion() {
     return process.env.NODE_ENV === 'production'
   },

src/lib/finanzen/wiederkehrend.ts

@@ -122,6 +122,10 @@ export type Zahlungsgruppe = {
 const RECHTSFORMEN = [
   'gmbh & co kg',
   'gmbh und co kg',
+  // Die haeufigste Rechtsform in diesem Fachgebiet ueberhaupt: Heime,
+  // Sozialdienste und Traeger sind fast durchweg gGmbH. Fehlte sie,
+  // zerfiele die Zusammenfassung genau dort, wo sie gebraucht wird.
+  'ggmbh',
   'gmbh',
   'mbh',
   'ohg',

src/lib/ocr/index.ts

@@ -1,6 +1,6 @@
 import 'server-only'
 import { execFile } from 'node:child_process'
-import { mkdtemp, readdir, readFile, rm, writeFile } from 'node:fs/promises'
+import { mkdtemp, readdir, readFile, rm, stat, writeFile } from 'node:fs/promises'
 import { tmpdir } from 'node:os'
 import { join } from 'node:path'
 import { promisify } from 'node:util'
@@ -43,6 +43,26 @@ const MAX_SEITEN = 30
 /** Mehr als das braucht keine Volltextsuche - und die Spalte bleibt handhabbar. */
 const MAX_ZEICHEN = 400_000
 
+/**
+ * Laengste Kante einer gerenderten Seite in Pixeln.
+ *
+ * Vorher wurde mit festen 300 dpi gerendert. Bei einer normalen A4-Seite
+ * sind das rund 2480 x 3510 Pixel - unproblematisch. Die Seitengroesse
+ * steht aber im PDF und kann beliebig gross angegeben werden: Bei einer
+ * Seite von 200 x 200 Zoll ergeben 300 dpi ein Bild von 60000 x 60000
+ * Pixeln, also mehrere Gigabyte auf der Platte, und das je Seite. Ein
+ * Dokument, das jemand in die Akte legt, haette so den Server vollschreiben
+ * koennen.
+ *
+ * "-scale-to" haengt die Aufloesung an die Pixelzahl statt an die
+ * angegebene Papiergroesse. 3500 Pixel entsprechen bei A4 etwa 300 dpi -
+ * fuer den Regelfall bleibt also alles wie vorher.
+ */
+const MAX_KANTE_PIXEL = 3500
+
+/** Wie viel die gerenderten Seiten zusammen belegen duerfen. */
+const MAX_BILDER_BYTES = 512 * 1024 * 1024
+
 // -----------------------------------------------------------------------------
 // Verfuegbarkeit
 // -----------------------------------------------------------------------------
@@ -146,14 +166,39 @@ async function tesseractAufDatei(pfad: string): Promise<{ text: string; meldung?
 async function pdfInBilder(verzeichnis: string, pdfPfad: string): Promise<string[]> {
   await ausfuehren(
     'pdftoppm',
-    ['-r', '300', '-gray', '-png', '-l', String(MAX_SEITEN), pdfPfad, join(verzeichnis, 'seite')],
+    [
-    { timeout: ZEITGRENZE_JE_SEITE_MS * 4, windowsHide: true },
+      // Statt fester dpi: Die laengste Kante wird auf eine feste Pixelzahl
+      // gebracht. Siehe MAX_KANTE_PIXEL - eine im PDF angegebene Riesenseite
+      // ergibt sonst ein Riesenbild.
+      '-scale-to',
+      String(MAX_KANTE_PIXEL),
+      '-gray',
+      '-png',
+      '-l',
+      String(MAX_SEITEN),
+      pdfPfad,
+      join(verzeichnis, 'seite'),
+    ],
+    { timeout: ZEITGRENZE_JE_SEITE_MS * 4, maxBuffer: 1024 * 1024, windowsHide: true },
   )
-  const dateien = await readdir(verzeichnis)
+
-  return dateien
+  const dateien = (await readdir(verzeichnis))
     .filter((name) => name.startsWith('seite') && name.endsWith('.png'))
     .sort()
     .map((name) => join(verzeichnis, name))
+
+  // Zweiter Deckel, hinterher: Was pdftoppm trotz -scale-to abgelegt hat,
+  // wird nur bis zu einer Gesamtgroesse weiterverarbeitet. Der Rest bleibt
+  // liegen und wird mit dem Arbeitsverzeichnis geloescht.
+  const genommen: string[] = []
+  let gesamt = 0
+  for (const pfad of dateien) {
+    const { size } = await stat(pfad)
+    if (gesamt + size > MAX_BILDER_BYTES) break
+    gesamt += size
+    genommen.push(pfad)
+  }
+  return genommen
 }
 
 /**

src/lib/ocr/pdf-text.ts

@@ -15,8 +15,33 @@ import { inflateSync, inflateRawSync, unzipSync } from 'node:zlib'
  * "nicht_verfuegbar", und der Nutzer traegt die Metadaten von Hand ein.
  *
  * Rein, ohne Seiteneffekte, ohne Netz.
+ *
+ * ## Grenzen, und warum es sie braucht
+ *
+ * Ein Flate-Strom sagt nicht, wie gross er ausgepackt wird. Ein paar
+ * Kilobyte Nullen komprimieren auf fast nichts und blaehen sich beim
+ * Auspacken auf Gigabyte auf - die klassische Dekompressionsbombe. Vorher
+ * lief das Auspacken ohne Obergrenze, und ein Dokument, das jemand in die
+ * Akte legt, haette den Server damit aus dem Speicher werfen koennen.
+ *
+ * Deshalb drei Deckel: einer je Strom, einer fuer die Summe, und die
+ * bestehende Obergrenze von 2000 Stroemen. Wird einer erreicht, bricht das
+ * Auspacken ab und der Text ist eben unvollstaendig - besser ein
+ * "nicht_verfuegbar" als ein Serverneustart.
  */
 
+/**
+ * Wie gross ein einzelner ausgepackter Strom werden darf.
+ *
+ * Acht Megabyte sind fuer eine Seite Text absurd viel - ein
+ * Behoerdenbescheid liegt bei einigen Kilobyte. Die Grenze ist bewusst
+ * grosszuegig: Sie soll Bomben abfangen, nicht ungewoehnliche PDFs.
+ */
+const MAX_STROM_BYTES = 8 * 1024 * 1024
+
+/** Und wie viel es ueber alle Stroeme zusammen sein darf. */
+const MAX_GESAMT_BYTES = 64 * 1024 * 1024
+
 /** Oktal-Escapes und Standard-Escapes in PDF-Literalstrings. */
 function literalEntpacken(roh: string): string {
   let ergebnis = ''
@@ -108,8 +133,9 @@ function stroemeAuspacken(pdf: Buffer): string[] {
   const roh = pdf.toString('latin1')
   const stroeme: string[] = []
   let suchAb = 0
+  let gesamt = 0
 
-  while (stroeme.length < 2000) {
+  while (stroeme.length < 2000 && gesamt < MAX_GESAMT_BYTES) {
     const beginn = roh.indexOf('stream', suchAb)
     if (beginn < 0) break
 
@@ -131,28 +157,50 @@ function stroemeAuspacken(pdf: Buffer): string[] {
     }
 
     if (/\/Filter\s*(\/FlateDecode|\[\s*\/FlateDecode)/.test(kopf)) {
-      const entpackt = flateVersuchen(daten)
+      const entpackt = flateVersuchen(daten, MAX_GESAMT_BYTES - gesamt)
-      if (entpackt) stroeme.push(entpackt.toString('latin1'))
+      if (entpackt) {
+        gesamt += entpackt.length
+        stroeme.push(entpackt.toString('latin1'))
+      }
       continue
     }
 
     if (!/\/Filter/.test(kopf)) {
+      // Unkomprimiert: Hier gibt es nichts, was sich aufblaehen koennte -
+      // die Bytes stehen so in der Datei. Sie zaehlen trotzdem mit, damit
+      // die Summe stimmt.
+      gesamt += daten.length
       stroeme.push(daten.toString('latin1'))
       continue
     }
 
     // Unbekannter Filter: trotzdem einen Flate-Versuch wagen.
-    const entpackt = flateVersuchen(daten)
+    const entpackt = flateVersuchen(daten, MAX_GESAMT_BYTES - gesamt)
-    if (entpackt) stroeme.push(entpackt.toString('latin1'))
+    if (entpackt) {
+      gesamt += entpackt.length
+      stroeme.push(entpackt.toString('latin1'))
+    }
   }
 
   return stroeme
 }
 
-function flateVersuchen(daten: Buffer): Buffer | null {
+/**
+ * Packt einen Strom aus - mit Deckel.
+ *
+ * maxOutputLength laesst zlib abbrechen, sobald die Ausgabe die Grenze
+ * ueberschreitet; der Fehler landet im catch wie jeder andere. Ohne diese
+ * Angabe entpackt Node so lange, wie Speicher da ist.
+ *
+ * @param rest Wie viele Bytes ueber alle Stroeme noch uebrig sind.
+ */
+function flateVersuchen(daten: Buffer, rest: number): Buffer | null {
+  const grenze = Math.min(MAX_STROM_BYTES, rest)
+  if (grenze <= 0) return null
+
   for (const fn of [inflateSync, unzipSync, inflateRawSync]) {
     try {
-      return fn(daten)
+      return fn(daten, { maxOutputLength: grenze })
     } catch {
       // naechster Versuch
     }

src/lib/pdf/erzeugen.ts

@@ -1,214 +1,214 @@
-import 'server-only'
+import 'server-only'
-import type * as React from 'react'
+import type * as React from 'react'
-import { renderToBuffer } from '@react-pdf/renderer'
+import { renderToBuffer } from '@react-pdf/renderer'
-import { PDFDocument, StandardFonts, degrees, rgb } from 'pdf-lib'
+import { PDFDocument, StandardFonts, degrees, rgb } from 'pdf-lib'
-import { typErkennen } from '@/lib/speicher/dateityp'
+import { typErkennen } from '@/lib/speicher/dateityp'
-import { standardschriftenSicherstellen } from '@/lib/pdf/standardschrift'
+import { standardschriftenSicherstellen } from '@/lib/pdf/standardschrift'
-
+
-/**
+/**
- * PDF-Werkzeuge, auf die alle Ausgabemodule aufsetzen.
+ * PDF-Werkzeuge, auf die alle Ausgabemodule aufsetzen.
- *
+ *
- * Vertrag: docs/SCHNITTSTELLEN.md, Abschnitt 2.
+ * Vertrag: docs/SCHNITTSTELLEN.md, Abschnitt 2.
- *
+ *
- * Zwei Wege fuehren hier zusammen:
+ * Zwei Wege fuehren hier zusammen:
- *   - pdfErzeugen()        rendert ein react-pdf-Dokument (eigene Berichte)
+ *   - pdfErzeugen()        rendert ein react-pdf-Dokument (eigene Berichte)
- *   - pdfsZusammenfuehren() klebt fremde PDFs und Fotos aneinander
+ *   - pdfsZusammenfuehren() klebt fremde PDFs und Fotos aneinander
- *                          (Belegmappe, Unterlagenpaket fuer das Gericht)
+ *                          (Belegmappe, Unterlagenpaket fuer das Gericht)
- * und paginieren() legt am Ende eine durchgehende Zaehlung darueber - das
+ * und paginieren() legt am Ende eine durchgehende Zaehlung darueber - das
- * ist die Zahl, auf die sich ein Inhaltsverzeichnis berufen kann.
+ * ist die Zahl, auf die sich ein Inhaltsverzeichnis berufen kann.
- */
+ */
-
+
-/** A4 in PDF-Punkten (72 dpi). */
+/** A4 in PDF-Punkten (72 dpi). */
-export const A4_BREITE = 595.28
+export const A4_BREITE = 595.28
-export const A4_HOEHE = 841.89
+export const A4_HOEHE = 841.89
-const RAND = 36
+const RAND = 36
-
+
-/** Rendert ein react-pdf-Dokument zu einem Buffer. */
+/** Rendert ein react-pdf-Dokument zu einem Buffer. */
-export async function pdfErzeugen(dokument: React.ReactElement): Promise<Buffer> {
+export async function pdfErzeugen(dokument: React.ReactElement): Promise<Buffer> {
-  // Muss vor dem ersten Rendern laufen: repariert bei Bedarf die
+  // Muss vor dem ersten Rendern laufen: repariert bei Bedarf die
-  // Aufloesung der eingebauten Standardschriften. Idempotent und ab dem
+  // Aufloesung der eingebauten Standardschriften. Idempotent und ab dem
-  // zweiten Aufruf kostenlos - siehe src/lib/pdf/standardschrift.ts.
+  // zweiten Aufruf kostenlos - siehe src/lib/pdf/standardschrift.ts.
-  standardschriftenSicherstellen()
+  standardschriftenSicherstellen()
-
+
-  // renderToBuffer erwartet ein <Document>-Element; die Typen von
+  // renderToBuffer erwartet ein <Document>-Element; die Typen von
-  // @react-pdf/renderer sind hier enger als React.ReactElement.
+  // @react-pdf/renderer sind hier enger als React.ReactElement.
-  const roh = await renderToBuffer(dokument as Parameters<typeof renderToBuffer>[0])
+  const roh = await renderToBuffer(dokument as Parameters<typeof renderToBuffer>[0])
-  return Buffer.from(roh)
+  return Buffer.from(roh)
-}
+}
-
+
-/**
+/**
- * Wandelt ein Bild in ein einseitiges PDF.
+ * Wandelt ein Bild in ein einseitiges PDF.
- *
+ *
- * JPEG und PNG kann pdf-lib direkt einbetten. WEBP, TIFF und HEIC (die
+ * JPEG und PNG kann pdf-lib direkt einbetten. WEBP, TIFF und HEIC (die
- * Formate moderner Handykameras) gehen vorher durch sharp - sonst waere
+ * Formate moderner Handykameras) gehen vorher durch sharp - sonst waere
- * jedes iPhone-Foto eines Bescheids fuer die Belegmappe verloren.
+ * jedes iPhone-Foto eines Bescheids fuer die Belegmappe verloren.
- */
+ */
-export async function bildAlsPdf(inhalt: Buffer, beschriftung?: string): Promise<Buffer> {
+export async function bildAlsPdf(inhalt: Buffer, beschriftung?: string): Promise<Buffer> {
-  const typ = typErkennen(inhalt)
+  const typ = typErkennen(inhalt)
-  if (!typ || !typ.istBild) {
+  if (!typ || !typ.istBild) {
-    throw new Error('Diese Datei ist kein Bild, das sich in ein PDF wandeln ließe.')
+    throw new Error('Diese Datei ist kein Bild, das sich in ein PDF wandeln ließe.')
-  }
+  }
-
+
-  let daten = inhalt
+  let daten = inhalt
-  let format: 'jpg' | 'png' = typ.endung === 'jpg' ? 'jpg' : 'png'
+  let format: 'jpg' | 'png' = typ.endung === 'jpg' ? 'jpg' : 'png'
-
+
-  if (typ.endung !== 'jpg' && typ.endung !== 'png') {
+  if (typ.endung !== 'jpg' && typ.endung !== 'png') {
-    const sharp = (await import('sharp')).default
+    const sharp = (await import('sharp')).default
-    daten = await sharp(inhalt).rotate().png().toBuffer()
+    daten = await sharp(inhalt).rotate().png().toBuffer()
-    format = 'png'
+    format = 'png'
-  }
+  }
-
+
-  const pdf = await PDFDocument.create()
+  const pdf = await PDFDocument.create()
-  const bild = format === 'jpg' ? await pdf.embedJpg(daten) : await pdf.embedPng(daten)
+  const bild = format === 'jpg' ? await pdf.embedJpg(daten) : await pdf.embedPng(daten)
-
+
-  const beschriftungshoehe = beschriftung ? 16 : 0
+  const beschriftungshoehe = beschriftung ? 16 : 0
-  const nutzbareBreite = A4_BREITE - 2 * RAND
+  const nutzbareBreite = A4_BREITE - 2 * RAND
-  const nutzbareHoehe = A4_HOEHE - 2 * RAND - beschriftungshoehe
+  const nutzbareHoehe = A4_HOEHE - 2 * RAND - beschriftungshoehe
-
+
-  // Hochkant lassen, aber quer drehen, wenn das Blatt sonst winzig wuerde.
+  // Hochkant lassen, aber quer drehen, wenn das Blatt sonst winzig wuerde.
-  const querformat = bild.width > bild.height
+  const querformat = bild.width > bild.height
-  const seitenBreite = querformat ? A4_HOEHE : A4_BREITE
+  const seitenBreite = querformat ? A4_HOEHE : A4_BREITE
-  const seitenHoehe = querformat ? A4_BREITE : A4_HOEHE
+  const seitenHoehe = querformat ? A4_BREITE : A4_HOEHE
-  const platzBreite = querformat ? nutzbareHoehe : nutzbareBreite
+  const platzBreite = querformat ? nutzbareHoehe : nutzbareBreite
-  const platzHoehe = querformat ? nutzbareBreite : nutzbareHoehe
+  const platzHoehe = querformat ? nutzbareBreite : nutzbareHoehe
-
+
-  const massstab = Math.min(platzBreite / bild.width, platzHoehe / bild.height, 1)
+  const massstab = Math.min(platzBreite / bild.width, platzHoehe / bild.height, 1)
-  const breite = bild.width * massstab
+  const breite = bild.width * massstab
-  const hoehe = bild.height * massstab
+  const hoehe = bild.height * massstab
-
+
-  const seite = pdf.addPage([seitenBreite, seitenHoehe])
+  const seite = pdf.addPage([seitenBreite, seitenHoehe])
-  seite.drawImage(bild, {
+  seite.drawImage(bild, {
-    x: (seitenBreite - breite) / 2,
+    x: (seitenBreite - breite) / 2,
-    y: (seitenHoehe - hoehe) / 2 + beschriftungshoehe / 2,
+    y: (seitenHoehe - hoehe) / 2 + beschriftungshoehe / 2,
-    width: breite,
+    width: breite,
-    height: hoehe,
+    height: hoehe,
-  })
+  })
-
+
-  if (beschriftung) {
+  if (beschriftung) {
-    const schrift = await pdf.embedFont(StandardFonts.Helvetica)
+    const schrift = await pdf.embedFont(StandardFonts.Helvetica)
-    seite.drawText(kuerzenFuerSchrift(beschriftung, 110), {
+    seite.drawText(kuerzenFuerSchrift(beschriftung, 110), {
-      x: RAND,
+      x: RAND,
-      y: RAND / 2,
+      y: RAND / 2,
-      size: 8,
+      size: 8,
-      font: schrift,
+      font: schrift,
-      color: rgb(0.3, 0.3, 0.3),
+      color: rgb(0.3, 0.3, 0.3),
-    })
+    })
-  }
+  }
-
+
-  return Buffer.from(await pdf.save())
+  return Buffer.from(await pdf.save())
-}
+}
-
+
-/**
+/**
- * Fuegt mehrere PDFs zu einem zusammen (Belegmappe, Unterlagenpaket).
+ * Fuegt mehrere PDFs zu einem zusammen (Belegmappe, Unterlagenpaket).
- * Bilder werden vorher in einseitige PDFs gewandelt. Nutzt pdf-lib.
+ * Bilder werden vorher in einseitige PDFs gewandelt. Nutzt pdf-lib.
- */
+ */
-export async function pdfsZusammenfuehren(teile: Buffer[]): Promise<Buffer> {
+export async function pdfsZusammenfuehren(teile: Buffer[]): Promise<Buffer> {
-  const ziel = await PDFDocument.create()
+  const ziel = await PDFDocument.create()
-  ziel.setProducer('Betreuungs-Cockpit')
+  ziel.setProducer('Betreuungs-Cockpit')
-  ziel.setCreator('Betreuungs-Cockpit')
+  ziel.setCreator('Betreuungs-Cockpit')
-
+
-  for (const teil of teile) {
+  for (const teil of teile) {
-    const typ = typErkennen(teil)
+    const typ = typErkennen(teil)
-    const alsPdf = typ && typ.istBild ? await bildAlsPdf(teil) : teil
+    const alsPdf = typ && typ.istBild ? await bildAlsPdf(teil) : teil
-
+
-    const quelle = await PDFDocument.load(alsPdf, { ignoreEncryption: true })
+    const quelle = await PDFDocument.load(alsPdf, { ignoreEncryption: true })
-    const seiten = await ziel.copyPages(quelle, quelle.getPageIndices())
+    const seiten = await ziel.copyPages(quelle, quelle.getPageIndices())
-    for (const seite of seiten) ziel.addPage(seite)
+    for (const seite of seiten) ziel.addPage(seite)
-  }
+  }
-
+
-  if (ziel.getPageCount() === 0) {
+  if (ziel.getPageCount() === 0) {
-    // Ein leeres PDF laesst sich weder oeffnen noch abheften.
+    // Ein leeres PDF laesst sich weder oeffnen noch abheften.
-    ziel.addPage([A4_BREITE, A4_HOEHE])
+    ziel.addPage([A4_BREITE, A4_HOEHE])
-  }
+  }
-
+
-  return Buffer.from(await ziel.save())
+  return Buffer.from(await ziel.save())
-}
+}
-
+
-/**
+/**
- * Wie viele Seiten hat dieses PDF? Wird fuer das Inhaltsverzeichnis der
+ * Wie viele Seiten hat dieses PDF? Wird fuer das Inhaltsverzeichnis der
- * Belegmappe gebraucht, bevor zusammengefuehrt wird.
+ * Belegmappe gebraucht, bevor zusammengefuehrt wird.
- */
+ */
-export async function seitenzahl(pdf: Buffer): Promise<number> {
+export async function seitenzahl(pdf: Buffer): Promise<number> {
-  const dokument = await PDFDocument.load(pdf, { ignoreEncryption: true })
+  const dokument = await PDFDocument.load(pdf, { ignoreEncryption: true })
-  return dokument.getPageCount()
+  return dokument.getPageCount()
-}
+}
-
+
-/**
+/**
- * Seitenzahlen und Fusszeile ueber ein zusammengefuehrtes PDF legen.
+ * Seitenzahlen und Fusszeile ueber ein zusammengefuehrtes PDF legen.
- *
+ *
- * Wichtig fuer die Belegmappe: erst nach dem Zusammenfuehren steht fest,
+ * Wichtig fuer die Belegmappe: erst nach dem Zusammenfuehren steht fest,
- * auf welcher Seite ein Beleg liegt. Die Zaehlung hier ist die, auf die
+ * auf welcher Seite ein Beleg liegt. Die Zaehlung hier ist die, auf die
- * sich das Inhaltsverzeichnis und spaeter das Gericht beziehen.
+ * sich das Inhaltsverzeichnis und spaeter das Gericht beziehen.
- */
+ */
-export async function paginieren(pdf: Buffer, fusszeile: string): Promise<Buffer> {
+export async function paginieren(pdf: Buffer, fusszeile: string): Promise<Buffer> {
-  const dokument = await PDFDocument.load(pdf, { ignoreEncryption: true })
+  const dokument = await PDFDocument.load(pdf, { ignoreEncryption: true })
-  const schrift = await dokument.embedFont(StandardFonts.Helvetica)
+  const schrift = await dokument.embedFont(StandardFonts.Helvetica)
-  const seiten = dokument.getPages()
+  const seiten = dokument.getPages()
-  const gesamt = seiten.length
+  const gesamt = seiten.length
-
+
-  seiten.forEach((seite, i) => {
+  seiten.forEach((seite, i) => {
-    const { width, height } = seite.getSize()
+    const { width, height } = seite.getSize()
-    const drehung = seite.getRotation().angle % 360
+    const drehung = seite.getRotation().angle % 360
-    const zaehlung = `Seite ${i + 1} von ${gesamt}`
+    const zaehlung = `Seite ${i + 1} von ${gesamt}`
-    const text = kuerzenFuerSchrift(fusszeile, 120)
+    const text = kuerzenFuerSchrift(fusszeile, 120)
-    const groesse = 7.5
+    const groesse = 7.5
-
+
-    // Gedrehte Seiten (Querformat-Scans) brauchen die Fusszeile ebenfalls
+    // Gedrehte Seiten (Querformat-Scans) brauchen die Fusszeile ebenfalls
-    // gedreht, sonst steht sie quer im Blatt.
+    // gedreht, sonst steht sie quer im Blatt.
-    if (drehung === 90 || drehung === 270) {
+    if (drehung === 90 || drehung === 270) {
-      seite.drawText(`${text} · ${zaehlung}`, {
+      seite.drawText(`${text} · ${zaehlung}`, {
-        x: drehung === 90 ? 18 : width - 18,
+        x: drehung === 90 ? 18 : width - 18,
-        y: drehung === 90 ? 20 : height - 20,
+        y: drehung === 90 ? 20 : height - 20,
-        size: groesse,
+        size: groesse,
-        font: schrift,
+        font: schrift,
-        color: rgb(0.35, 0.35, 0.35),
+        color: rgb(0.35, 0.35, 0.35),
-        rotate: degrees(drehung),
+        rotate: degrees(drehung),
-      })
+      })
-      return
+      return
-    }
+    }
-
+
-    seite.drawText(text, {
+    seite.drawText(text, {
-      x: 36,
+      x: 36,
-      y: 18,
+      y: 18,
-      size: groesse,
+      size: groesse,
-      font: schrift,
+      font: schrift,
-      color: rgb(0.35, 0.35, 0.35),
+      color: rgb(0.35, 0.35, 0.35),
-    })
+    })
-    const breite = schrift.widthOfTextAtSize(zaehlung, groesse)
+    const breite = schrift.widthOfTextAtSize(zaehlung, groesse)
-    seite.drawText(zaehlung, {
+    seite.drawText(zaehlung, {
-      x: width - 36 - breite,
+      x: width - 36 - breite,
-      y: 18,
+      y: 18,
-      size: groesse,
+      size: groesse,
-      font: schrift,
+      font: schrift,
-      color: rgb(0.35, 0.35, 0.35),
+      color: rgb(0.35, 0.35, 0.35),
-    })
+    })
-  })
+  })
-
+
-  return Buffer.from(await dokument.save())
+  return Buffer.from(await dokument.save())
-}
+}
-
+
-/**
+/**
- * Helvetica in pdf-lib kann nur WinAnsi. Zeichen ausserhalb davon (etwa
+ * Helvetica in pdf-lib kann nur WinAnsi. Zeichen ausserhalb davon (etwa
- * ein Gedankenstrich aus einem OCR-Text) wuerden das Speichern abbrechen -
+ * ein Gedankenstrich aus einem OCR-Text) wuerden das Speichern abbrechen -
- * deshalb hier ersetzen statt riskieren.
+ * deshalb hier ersetzen statt riskieren.
- */
+ */
-export { standardschriftenSicherstellen } from '@/lib/pdf/standardschrift'
+export { standardschriftenSicherstellen } from '@/lib/pdf/standardschrift'
-
+
-export function fuerStandardschrift(text: string): string {
+export function fuerStandardschrift(text: string): string {
-  return text
+  return text
-    .replace(/[\u2013\u2014]/g, '-')
+    .replace(/[\u2013\u2014]/g, '-')
-    .replace(/[\u2018\u2019\u201a]/g, "'")
+    .replace(/[\u2018\u2019\u201a]/g, "'")
-    .replace(/[\u201c\u201d\u201e]/g, '"')
+    .replace(/[\u201c\u201d\u201e]/g, '"')
-    .replace(/\u2026/g, '...')
+    .replace(/\u2026/g, '...')
-    .replace(/\u20ac/g, 'EUR')
+    .replace(/\u20ac/g, 'EUR')
-    .replace(/[\u00a0\u2007\u202f]/g, ' ')
+    .replace(/[\u00a0\u2007\u202f]/g, ' ')
-    // Alles ausserhalb von WinAnsi (Latin-1) wird ersetzt, statt das
+    // Alles ausserhalb von WinAnsi (Latin-1) wird ersetzt, statt das
-    // Speichern des PDFs scheitern zu lassen.
+    // Speichern des PDFs scheitern zu lassen.
-    // eslint-disable-next-line no-control-regex
+    // eslint-disable-next-line no-control-regex
-    .replace(/[^\u0020-\u007e\u00a1-\u00ff]/g, '?')
+    .replace(/[^\u0020-\u007e\u00a1-\u00ff]/g, '?')
-}
+}
-
+
-function kuerzenFuerSchrift(text: string, maxZeichen: number): string {
+function kuerzenFuerSchrift(text: string, maxZeichen: number): string {
-  const sauber = fuerStandardschrift(text)
+  const sauber = fuerStandardschrift(text)
-  return sauber.length > maxZeichen ? `${sauber.slice(0, maxZeichen - 1)}...` : sauber
+  return sauber.length > maxZeichen ? `${sauber.slice(0, maxZeichen - 1)}...` : sauber
-}
+}

src/lib/schreiben/entwurf.ts

@@ -1,7 +1,7 @@
 import 'server-only'
 import { db, nichtGeloescht } from '@/lib/db'
 import { oeffnen } from '@/lib/crypto/feld'
-import { briefkopfBauen } from '@/lib/vertraege/briefkopf'
+import { briefkopfBauen, type Absender } from '@/lib/vertraege/briefkopf'
 import {
   absenderBlock,
   anschriftBlock,
@@ -107,7 +107,8 @@ export function betreffAusText(text: string): string {
 
 export type EntwurfEingabe = {
   betreuteId: string
-  benutzerName: string
+  /** Wer schreibt - mit Anschrift, wenn hinterlegt. */
+  benutzer: Absender
   art: SchreibenArt
   vertragId?: string | null
   vorgangId?: string | null
@@ -127,7 +128,7 @@ export async function entwurfBauen(eingabe: EntwurfEingabe): Promise<SchreibenEn
 
   const kopf = briefkopfBauen({
     betreute: oeffnen('Betreute', betreute),
-    benutzer: { name: eingabe.benutzerName },
+    benutzer: eingabe.benutzer,
   })
 
   const gemeinsam = {
@@ -229,7 +230,7 @@ export async function entwurfBauen(eingabe: EntwurfEingabe): Promise<SchreibenEn
         geburtsdatum: betreute.geburtsdatum,
       },
       betreuer: {
-        name: eingabe.benutzerName,
+        name: eingabe.benutzer.name,
         aktenzeichenGericht: betreute.aktenzeichenGericht,
         betreuungsgericht: betreute.betreuungsgericht,
       },
@@ -278,6 +279,11 @@ export async function entwurfBauen(eingabe: EntwurfEingabe): Promise<SchreibenEn
         : null,
       betreute_anschrift: kopf.betreuteAnschrift,
       betreuer_name: kopf.betreuerName,
+      betreuer_anschrift:
+        [kopf.betreuerStrasse, [kopf.betreuerPlz, kopf.betreuerOrt].filter(Boolean).join(' ')]
+          .filter((zeile) => zeile && zeile.trim() !== '')
+          .join('\n') || null,
+      betreuer_ort: kopf.betreuerOrt,
       betreuungsgericht: kopf.betreuungsgericht,
       aktenzeichen_gericht: kopf.aktenzeichenGericht,
       bestellung_datum: kopf.bestellungAm ? formatDatum(kopf.bestellungAm) : null,

src/lib/schreiben/platzhalter.ts

@@ -21,6 +21,8 @@ export type PlatzhalterName =
   | 'betreute_geburtsdatum'
   | 'betreute_anschrift'
   | 'betreuer_name'
+  | 'betreuer_anschrift'
+  | 'betreuer_ort'
   | 'betreuungsgericht'
   | 'aktenzeichen_gericht'
   | 'bestellung_datum'
@@ -49,6 +51,12 @@ export const PLATZHALTER: readonly PlatzhalterBeschreibung[] = [
   { name: 'betreute_geburtsdatum', beschriftung: 'Geburtsdatum', quelle: 'Stammdaten' },
   { name: 'betreute_anschrift', beschriftung: 'Anschrift (Heim)', quelle: 'Stammdaten' },
   { name: 'betreuer_name', beschriftung: 'Dein Name', quelle: 'Dein Zugang' },
+  {
+    name: 'betreuer_anschrift',
+    beschriftung: 'Deine Anschrift',
+    quelle: 'Mein Konto',
+  },
+  { name: 'betreuer_ort', beschriftung: 'Dein Ort', quelle: 'Mein Konto' },
   { name: 'betreuungsgericht', beschriftung: 'Betreuungsgericht', quelle: 'Stammdaten' },
   { name: 'aktenzeichen_gericht', beschriftung: 'Aktenzeichen des Gerichts', quelle: 'Stammdaten' },
   { name: 'bestellung_datum', beschriftung: 'Datum der Bestellung', quelle: 'Stammdaten' },

src/lib/sozialhilfe/konstanten.ts

@@ -1,237 +1,237 @@
-/**
+/**
- * Beträge, Staffeln und Grenzwerte des Sozialhilfeverfahrens.
+ * Beträge, Staffeln und Grenzwerte des Sozialhilfeverfahrens.
- *
+ *
- * ACHTUNG - EINZIGE STELLE.
+ * ACHTUNG - EINZIGE STELLE.
- * Alles, was sich jährlich (oder mit dem nächsten Gesetzespaket) ändert,
+ * Alles, was sich jährlich (oder mit dem nächsten Gesetzespaket) ändert,
- * steht hier und nirgendwo sonst. Jede Konstante trägt ihr Stand-Datum und
+ * steht hier und nirgendwo sonst. Jede Konstante trägt ihr Stand-Datum und
- * die Fundstelle. Wer einen Wert im Fachcode findet, hat einen Fehler
+ * die Fundstelle. Wer einen Wert im Fachcode findet, hat einen Fehler
- * gefunden.
+ * gefunden.
- *
+ *
- * Und der wichtigste Satz vorweg: Diese Zahlen sind Arbeitsgrundlage für
+ * Und der wichtigste Satz vorweg: Diese Zahlen sind Arbeitsgrundlage für
- * die eigene Vorbereitung, nicht die Rechtslage. Maßgeblich ist immer der
+ * die eigene Vorbereitung, nicht die Rechtslage. Maßgeblich ist immer der
- * Bescheid des Trägers. Vor jedem Antrag und zu jedem Jahreswechsel
+ * Bescheid des Trägers. Vor jedem Antrag und zu jedem Jahreswechsel
- * gehören die Werte hier nachgeprüft.
+ * gehören die Werte hier nachgeprüft.
- */
+ */
-
+
-/** Wann wurden die Werte in dieser Datei zuletzt geprüft? */
+/** Wann wurden die Werte in dieser Datei zuletzt geprüft? */
-export const KONSTANTEN_STAND = '2025-01-01'
+export const KONSTANTEN_STAND = '2025-01-01'
-
+
-/**
+/**
- * Nächster Termin, zu dem die Werte hier durchzusehen sind. Die Oberfläche
+ * Nächster Termin, zu dem die Werte hier durchzusehen sind. Die Oberfläche
- * blendet ab diesem Datum einen Prüfhinweis ein.
+ * blendet ab diesem Datum einen Prüfhinweis ein.
- */
+ */
-export const KONSTANTEN_NAECHSTE_PRUEFUNG = '2027-01-01'
+export const KONSTANTEN_NAECHSTE_PRUEFUNG = '2027-01-01'
-
+
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-// Regelbedarf - Bezugsgröße für Barbetrag und Zuzahlungsbefreiung
+// Regelbedarf - Bezugsgröße für Barbetrag und Zuzahlungsbefreiung
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-
+
-/**
+/**
- * Regelbedarfsstufe 1 nach der Regelbedarfsstufen-Fortschreibungsverordnung.
+ * Regelbedarfsstufe 1 nach der Regelbedarfsstufen-Fortschreibungsverordnung.
- * Stand 01.01.2025: 563,00 EUR monatlich (unverändert gegenüber 2024, die
+ * Stand 01.01.2025: 563,00 EUR monatlich (unverändert gegenüber 2024, die
- * Fortschreibung ergab rechnerisch keine Erhöhung).
+ * Fortschreibung ergab rechnerisch keine Erhöhung).
- *
+ *
- * Aus diesem Wert leiten sich unten der Barbetrag und die Belastungsgrenze
+ * Aus diesem Wert leiten sich unten der Barbetrag und die Belastungsgrenze
- * der Zuzahlungsbefreiung ab - deshalb steht er hier oben und wird nicht
+ * der Zuzahlungsbefreiung ab - deshalb steht er hier oben und wird nicht
- * doppelt gepflegt.
+ * doppelt gepflegt.
- */
+ */
-export const REGELBEDARFSSTUFE_1_CENT = 56_300n
+export const REGELBEDARFSSTUFE_1_CENT = 56_300n
-
+
-/**
+/**
- * Barbetrag zur persönlichen Verfügung ("Taschengeld") für Menschen in
+ * Barbetrag zur persönlichen Verfügung ("Taschengeld") für Menschen in
- * Einrichtungen, § 27b Abs. 2 SGB XII: mindestens 27 % der
+ * Einrichtungen, § 27b Abs. 2 SGB XII: mindestens 27 % der
- * Regelbedarfsstufe 1.
+ * Regelbedarfsstufe 1.
- *
+ *
- * 27 % von 563,00 EUR = 152,01 EUR monatlich (Stand 01.01.2025).
+ * 27 % von 563,00 EUR = 152,01 EUR monatlich (Stand 01.01.2025).
- *
+ *
- * "Mindestens": Der Träger darf mehr festsetzen, und einzelne Bezirke tun
+ * "Mindestens": Der Träger darf mehr festsetzen, und einzelne Bezirke tun
- * das auch. Steht im Bescheid ein höherer Betrag, gilt der Bescheid.
+ * das auch. Steht im Bescheid ein höherer Betrag, gilt der Bescheid.
- */
+ */
-export const BARBETRAG_ANTEIL_PROZENT = 27
+export const BARBETRAG_ANTEIL_PROZENT = 27
-export const BARBETRAG_CENT = (REGELBEDARFSSTUFE_1_CENT * BigInt(BARBETRAG_ANTEIL_PROZENT)) / 100n
+export const BARBETRAG_CENT = (REGELBEDARFSSTUFE_1_CENT * BigInt(BARBETRAG_ANTEIL_PROZENT)) / 100n
-
+
-/**
+/**
- * Bekleidungspauschale.
+ * Bekleidungspauschale.
- *
+ *
- * Bewusst ohne Zahl. Es gibt keinen bundeseinheitlichen Betrag - die
+ * Bewusst ohne Zahl. Es gibt keinen bundeseinheitlichen Betrag - die
- * Bekleidungsbeihilfe nach § 27b Abs. 1 SGB XII setzt der jeweilige Träger
+ * Bekleidungsbeihilfe nach § 27b Abs. 1 SGB XII setzt der jeweilige Träger
- * fest, der Bezirk Oberfranken zahlt sie üblicherweise als Pauschale je
+ * fest, der Bezirk Oberfranken zahlt sie üblicherweise als Pauschale je
- * Quartal oder Jahr. Der Betrag ist dem Bewilligungsbescheid zu entnehmen
+ * Quartal oder Jahr. Der Betrag ist dem Bewilligungsbescheid zu entnehmen
- * und im Heimkostenmonat einzutragen. Eine erfundene Zahl wäre hier
+ * und im Heimkostenmonat einzutragen. Eine erfundene Zahl wäre hier
- * schädlicher als gar keine.
+ * schädlicher als gar keine.
- */
+ */
-export const BEKLEIDUNGSPAUSCHALE_CENT: bigint | null = null
+export const BEKLEIDUNGSPAUSCHALE_CENT: bigint | null = null
-export const BEKLEIDUNGSPAUSCHALE_HINWEIS =
+export const BEKLEIDUNGSPAUSCHALE_HINWEIS =
-  'Die Höhe der Bekleidungspauschale legt der Träger fest (§ 27b Abs. 1 SGB XII). ' +
+  'Die Höhe der Bekleidungspauschale legt der Träger fest (§ 27b Abs. 1 SGB XII). ' +
-  'Übernimm den Betrag aus dem Bewilligungsbescheid, er ist regional unterschiedlich.'
+  'Übernimm den Betrag aus dem Bewilligungsbescheid, er ist regional unterschiedlich.'
-
+
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-// Leistungen der Pflegekasse, § 43 SGB XI
+// Leistungen der Pflegekasse, § 43 SGB XI
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-
+
-export type Pflegegrad = 1 | 2 | 3 | 4 | 5
+export type Pflegegrad = 1 | 2 | 3 | 4 | 5
-
+
-/**
+/**
- * Monatliche Pauschalen der Pflegekasse bei vollstationärer Pflege,
+ * Monatliche Pauschalen der Pflegekasse bei vollstationärer Pflege,
- * § 43 Abs. 2 SGB XI. Stand 01.01.2025 (Erhöhung um 4,5 % durch das
+ * § 43 Abs. 2 SGB XI. Stand 01.01.2025 (Erhöhung um 4,5 % durch das
- * Pflegeunterstützungs- und -entlastungsgesetz).
+ * Pflegeunterstützungs- und -entlastungsgesetz).
- *
+ *
- * Pflegegrad 1 ist der Sonderfall: § 43 Abs. 2 SGB XI greift dort nicht.
+ * Pflegegrad 1 ist der Sonderfall: § 43 Abs. 2 SGB XI greift dort nicht.
- * Wer mit Pflegegrad 1 vollstationär gepflegt wird, erhält nach
+ * Wer mit Pflegegrad 1 vollstationär gepflegt wird, erhält nach
- * § 43 Abs. 3 SGB XI einen Zuschuss von 125 EUR monatlich - deshalb steht
+ * § 43 Abs. 3 SGB XI einen Zuschuss von 125 EUR monatlich - deshalb steht
- * er hier mit ebendiesem Betrag, aber unter eigener Rechtsgrundlage.
+ * er hier mit ebendiesem Betrag, aber unter eigener Rechtsgrundlage.
- *
+ *
- * Die nächste turnusmäßige Anpassung nach § 30 SGB XI ist gesetzlich für
+ * Die nächste turnusmäßige Anpassung nach § 30 SGB XI ist gesetzlich für
- * 2028 vorgesehen. Trotzdem: zum Jahreswechsel nachsehen.
+ * 2028 vorgesehen. Trotzdem: zum Jahreswechsel nachsehen.
- */
+ */
-export const PFLEGEKASSE_VOLLSTATIONAER_CENT: Record<Pflegegrad, bigint> = {
+export const PFLEGEKASSE_VOLLSTATIONAER_CENT: Record<Pflegegrad, bigint> = {
-  1: 12_500n, // § 43 Abs. 3 SGB XI - Zuschuss, keine Pauschale
+  1: 12_500n, // § 43 Abs. 3 SGB XI - Zuschuss, keine Pauschale
-  2: 80_500n,
+  2: 80_500n,
-  3: 131_900n,
+  3: 131_900n,
-  4: 185_500n,
+  4: 185_500n,
-  5: 209_600n,
+  5: 209_600n,
-}
+}
-
+
-export const PFLEGEKASSE_RECHTSGRUNDLAGE: Record<Pflegegrad, string> = {
+export const PFLEGEKASSE_RECHTSGRUNDLAGE: Record<Pflegegrad, string> = {
-  1: '§ 43 Abs. 3 SGB XI',
+  1: '§ 43 Abs. 3 SGB XI',
-  2: '§ 43 Abs. 2 SGB XI',
+  2: '§ 43 Abs. 2 SGB XI',
-  3: '§ 43 Abs. 2 SGB XI',
+  3: '§ 43 Abs. 2 SGB XI',
-  4: '§ 43 Abs. 2 SGB XI',
+  4: '§ 43 Abs. 2 SGB XI',
-  5: '§ 43 Abs. 2 SGB XI',
+  5: '§ 43 Abs. 2 SGB XI',
-}
+}
-
+
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-// Leistungszuschlag, § 43c SGB XI
+// Leistungszuschlag, § 43c SGB XI
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-//
+//
-// STEHT NICHT HIER. Die Staffel (15 / 30 / 50 / 75 Prozent nach
+// STEHT NICHT HIER. Die Staffel (15 / 30 / 50 / 75 Prozent nach
-// Verweildauer, Stand 01.01.2024) gehoert dem Pflegemodul und liegt in
+// Verweildauer, Stand 01.01.2024) gehoert dem Pflegemodul und liegt in
-// src/lib/pflege/konstanten.ts. Dieses Modul benutzt sie ueber
+// src/lib/pflege/konstanten.ts. Dieses Modul benutzt sie ueber
-// src/lib/sozialhilfe/heimkosten.ts, kopiert sie aber nicht - zwei Kopien
+// src/lib/sozialhilfe/heimkosten.ts, kopiert sie aber nicht - zwei Kopien
-// derselben Prozentsaetze werden bei der naechsten Gesetzesaenderung
+// derselben Prozentsaetze werden bei der naechsten Gesetzesaenderung
-// zuverlaessig nur an einer Stelle nachgezogen.
+// zuverlaessig nur an einer Stelle nachgezogen.
-//
+//
-// Merksatz zur Anwendung: Der Zuschlag mindert ausschliesslich den
+// Merksatz zur Anwendung: Der Zuschlag mindert ausschliesslich den
-// pflegebedingten Eigenanteil (EEE) - nicht Unterkunft und Verpflegung,
+// pflegebedingten Eigenanteil (EEE) - nicht Unterkunft und Verpflegung,
-// nicht die Investitionskosten, nicht die Ausbildungsumlage. Wer ihn auf
+// nicht die Investitionskosten, nicht die Ausbildungsumlage. Wer ihn auf
-// die ganze Heimrechnung anwendet, rechnet die Deckungsluecke zu klein.
+// die ganze Heimrechnung anwendet, rechnet die Deckungsluecke zu klein.
-
+
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-// Abwesenheit (Krankenhaus, Reha, Urlaub)
+// Abwesenheit (Krankenhaus, Reha, Urlaub)
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-
+
-/**
+/**
- * Abwesenheitstage mindern die Heimrechnung nicht ab dem ersten Tag.
+ * Abwesenheitstage mindern die Heimrechnung nicht ab dem ersten Tag.
- *
+ *
- * Die Rahmenverträge nach § 75 SGB XI regeln das landesweit: Die ersten
+ * Die Rahmenverträge nach § 75 SGB XI regeln das landesweit: Die ersten
- * drei Abwesenheitstage sind voll zu zahlen, erst ab dem vierten
+ * drei Abwesenheitstage sind voll zu zahlen, erst ab dem vierten
- * zusammenhängenden Tag wird das Entgelt gemindert - in Bayern
+ * zusammenhängenden Tag wird das Entgelt gemindert - in Bayern
- * üblicherweise um 25 % von Pflegesatz sowie Unterkunft und Verpflegung.
+ * üblicherweise um 25 % von Pflegesatz sowie Unterkunft und Verpflegung.
- * Die Investitionskosten laufen weiter, der Platz wird ja freigehalten
+ * Die Investitionskosten laufen weiter, der Platz wird ja freigehalten
- * (§ 87a Abs. 1 SGB XI, Platzfreihaltung bis 42 Tage im Kalenderjahr).
+ * (§ 87a Abs. 1 SGB XI, Platzfreihaltung bis 42 Tage im Kalenderjahr).
- *
+ *
- * Weil die Prozentsätze im Rahmenvertrag und im Heimvertrag stehen und
+ * Weil die Prozentsätze im Rahmenvertrag und im Heimvertrag stehen und
- * nicht im Gesetz, rechnet die Anwendung damit nur eine *Schätzung*. Was
+ * nicht im Gesetz, rechnet die Anwendung damit nur eine *Schätzung*. Was
- * gilt, steht in der Heimrechnung.
+ * gilt, steht in der Heimrechnung.
- */
+ */
-export const ABWESENHEIT_KARENZTAGE = 3
+export const ABWESENHEIT_KARENZTAGE = 3
-export const ABWESENHEIT_MINDERUNG_PROZENT = 25
+export const ABWESENHEIT_MINDERUNG_PROZENT = 25
-export const ABWESENHEIT_PLATZFREIHALTUNG_TAGE = 42
+export const ABWESENHEIT_PLATZFREIHALTUNG_TAGE = 42
-
+
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-// Vermögen, § 90 SGB XII
+// Vermögen, § 90 SGB XII
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-
+
-/**
+/**
- * Vermögensfreibetrag ("kleinere Barbeträge"), § 90 Abs. 2 Nr. 9 SGB XII
+ * Vermögensfreibetrag ("kleinere Barbeträge"), § 90 Abs. 2 Nr. 9 SGB XII
- * i.V.m. § 1 Abs. 1 Nr. 1 lit. b der Verordnung zur Durchführung des
+ * i.V.m. § 1 Abs. 1 Nr. 1 lit. b der Verordnung zur Durchführung des
- * § 90 Abs. 2 Nr. 9 SGB XII: 10.000 EUR.
+ * § 90 Abs. 2 Nr. 9 SGB XII: 10.000 EUR.
- *
+ *
- * Stand 01.01.2023 (bis dahin 5.000 EUR). Für jede Person, die von der
+ * Stand 01.01.2023 (bis dahin 5.000 EUR). Für jede Person, die von der
- * leistungsberechtigten Person überwiegend unterhalten wird, kommen
+ * leistungsberechtigten Person überwiegend unterhalten wird, kommen
- * weitere 500 EUR hinzu (§ 1 Abs. 2 der Verordnung).
+ * weitere 500 EUR hinzu (§ 1 Abs. 2 der Verordnung).
- */
+ */
-export const VERMOEGENSFREIBETRAG_CENT = 1_000_000n
+export const VERMOEGENSFREIBETRAG_CENT = 1_000_000n
-export const VERMOEGENSFREIBETRAG_JE_UNTERHALTENE_PERSON_CENT = 50_000n
+export const VERMOEGENSFREIBETRAG_JE_UNTERHALTENE_PERSON_CENT = 50_000n
-export const VERMOEGENSFREIBETRAG_STAND = '2023-01-01'
+export const VERMOEGENSFREIBETRAG_STAND = '2023-01-01'
-
+
-/**
+/**
- * Rückforderung einer Schenkung wegen Verarmung, § 528 BGB.
+ * Rückforderung einer Schenkung wegen Verarmung, § 528 BGB.
- * Der Anspruch ist ausgeschlossen, wenn zum Zeitpunkt des Eintritts der
+ * Der Anspruch ist ausgeschlossen, wenn zum Zeitpunkt des Eintritts der
- * Bedürftigkeit seit der Leistung des geschenkten Gegenstands zehn Jahre
+ * Bedürftigkeit seit der Leistung des geschenkten Gegenstands zehn Jahre
- * verstrichen sind (§ 529 Abs. 1 BGB). Deshalb fragt der Träger nach
+ * verstrichen sind (§ 529 Abs. 1 BGB). Deshalb fragt der Träger nach
- * notariellen Übertragungen der letzten zehn Jahre.
+ * notariellen Übertragungen der letzten zehn Jahre.
- */
+ */
-export const SCHENKUNG_RUECKFORDERUNG_JAHRE = 10
+export const SCHENKUNG_RUECKFORDERUNG_JAHRE = 10
-
+
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-// Rechtsbehelf
+// Rechtsbehelf
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-
+
-/** Regelfall: ein Monat ab Bekanntgabe, § 84 Abs. 1 Satz 1 SGG. */
+/** Regelfall: ein Monat ab Bekanntgabe, § 84 Abs. 1 Satz 1 SGG. */
-export const WIDERSPRUCHSFRIST_MONATE_REGEL = 1
+export const WIDERSPRUCHSFRIST_MONATE_REGEL = 1
-
+
-/**
+/**
- * Fehlt die Rechtsbehelfsbelehrung oder ist sie unrichtig erteilt, beträgt
+ * Fehlt die Rechtsbehelfsbelehrung oder ist sie unrichtig erteilt, beträgt
- * die Frist ein Jahr seit Bekanntgabe (§ 66 Abs. 2 Satz 1 SGG).
+ * die Frist ein Jahr seit Bekanntgabe (§ 66 Abs. 2 Satz 1 SGG).
- * Das wird ausdrücklich ausgewählt und nie automatisch angenommen.
+ * Das wird ausdrücklich ausgewählt und nie automatisch angenommen.
- */
+ */
-export const WIDERSPRUCHSFRIST_MONATE_OHNE_BELEHRUNG = 12
+export const WIDERSPRUCHSFRIST_MONATE_OHNE_BELEHRUNG = 12
-
+
-/**
+/**
- * Zugangsvermutung bei Übermittlung durch die Post im Inland:
+ * Zugangsvermutung bei Übermittlung durch die Post im Inland:
- * bekanntgegeben am dritten Tag nach der Aufgabe zur Post
+ * bekanntgegeben am dritten Tag nach der Aufgabe zur Post
- * (§ 37 Abs. 2 Satz 1 SGB X).
+ * (§ 37 Abs. 2 Satz 1 SGB X).
- */
+ */
-export const ZUGANGSVERMUTUNG_TAGE = 3
+export const ZUGANGSVERMUTUNG_TAGE = 3
-
+
-/** Vorwarnstufen für die Frist "Widerspruch möglich bis" (Tage vorher). */
+/** Vorwarnstufen für die Frist "Widerspruch möglich bis" (Tage vorher). */
-export const WIDERSPRUCH_VORWARNUNG_TAGE = [21, 14, 7, 3, 1]
+export const WIDERSPRUCH_VORWARNUNG_TAGE = [21, 14, 7, 3, 1]
-
+
-/** Vorwarnstufen für eine vom Träger gesetzte Nachforderungsfrist. */
+/** Vorwarnstufen für eine vom Träger gesetzte Nachforderungsfrist. */
-export const NACHFORDERUNG_VORWARNUNG_TAGE = [14, 7, 3, 1]
+export const NACHFORDERUNG_VORWARNUNG_TAGE = [14, 7, 3, 1]
-
+
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-// Weitere Leistungen
+// Weitere Leistungen
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-
+
-/**
+/**
- * Bayerisches Landespflegegeld: 1.000 EUR im Jahr, ab Pflegegrad 2,
+ * Bayerisches Landespflegegeld: 1.000 EUR im Jahr, ab Pflegegrad 2,
- * Antrag bis 31.12. des jeweiligen Jahres (Bayerisches
+ * Antrag bis 31.12. des jeweiligen Jahres (Bayerisches
- * Landespflegegeldgesetz - BayLPflGG).
+ * Landespflegegeldgesetz - BayLPflGG).
- *
+ *
- * Der Betrag steht im Haushalt des Freistaats und wurde politisch schon
+ * Der Betrag steht im Haushalt des Freistaats und wurde politisch schon
- * mehrfach in Frage gestellt. Vor der Antragstellung die aktuelle Höhe
+ * mehrfach in Frage gestellt. Vor der Antragstellung die aktuelle Höhe
- * beim Landesamt für Pflege prüfen.
+ * beim Landesamt für Pflege prüfen.
- */
+ */
-export const LANDESPFLEGEGELD_CENT = 100_000n
+export const LANDESPFLEGEGELD_CENT = 100_000n
-export const LANDESPFLEGEGELD_AB_PFLEGEGRAD = 2
+export const LANDESPFLEGEGELD_AB_PFLEGEGRAD = 2
-export const LANDESPFLEGEGELD_ANTRAGSSCHLUSS = '31.12.'
+export const LANDESPFLEGEGELD_ANTRAGSSCHLUSS = '31.12.'
-
+
-/**
+/**
- * Zuzahlungsbefreiung, § 62 SGB V: Die Belastungsgrenze liegt bei 2 % der
+ * Zuzahlungsbefreiung, § 62 SGB V: Die Belastungsgrenze liegt bei 2 % der
- * jährlichen Bruttoeinnahmen zum Lebensunterhalt, bei schwerwiegend
+ * jährlichen Bruttoeinnahmen zum Lebensunterhalt, bei schwerwiegend
- * chronisch Kranken bei 1 %.
+ * chronisch Kranken bei 1 %.
- *
+ *
- * Für Menschen, die Leistungen nach dem SGB XII in einer Einrichtung
+ * Für Menschen, die Leistungen nach dem SGB XII in einer Einrichtung
- * erhalten, ist als Bruttoeinnahme der Regelbedarf der Regelbedarfsstufe 1
+ * erhalten, ist als Bruttoeinnahme der Regelbedarf der Regelbedarfsstufe 1
- * anzusetzen (§ 62 Abs. 2 Satz 5 und 6 SGB V) - nicht die tatsächliche
+ * anzusetzen (§ 62 Abs. 2 Satz 5 und 6 SGB V) - nicht die tatsächliche
- * Rente. Das macht die Befreiung meist schon im Januar erreichbar.
+ * Rente. Das macht die Befreiung meist schon im Januar erreichbar.
- *
+ *
- * 2 % von 12 x 563,00 EUR = 135,12 EUR; 1 % = 67,56 EUR (Stand 2025).
+ * 2 % von 12 x 563,00 EUR = 135,12 EUR; 1 % = 67,56 EUR (Stand 2025).
- */
+ */
-export const ZUZAHLUNG_BELASTUNGSGRENZE_PROZENT = 2
+export const ZUZAHLUNG_BELASTUNGSGRENZE_PROZENT = 2
-export const ZUZAHLUNG_BELASTUNGSGRENZE_CHRONIKER_PROZENT = 1
+export const ZUZAHLUNG_BELASTUNGSGRENZE_CHRONIKER_PROZENT = 1
-export const ZUZAHLUNG_BELASTUNGSGRENZE_CENT =
+export const ZUZAHLUNG_BELASTUNGSGRENZE_CENT =
-  (REGELBEDARFSSTUFE_1_CENT * 12n * BigInt(ZUZAHLUNG_BELASTUNGSGRENZE_PROZENT)) / 100n
+  (REGELBEDARFSSTUFE_1_CENT * 12n * BigInt(ZUZAHLUNG_BELASTUNGSGRENZE_PROZENT)) / 100n
-export const ZUZAHLUNG_BELASTUNGSGRENZE_CHRONIKER_CENT =
+export const ZUZAHLUNG_BELASTUNGSGRENZE_CHRONIKER_CENT =
-  (REGELBEDARFSSTUFE_1_CENT * 12n * BigInt(ZUZAHLUNG_BELASTUNGSGRENZE_CHRONIKER_PROZENT)) / 100n
+  (REGELBEDARFSSTUFE_1_CENT * 12n * BigInt(ZUZAHLUNG_BELASTUNGSGRENZE_CHRONIKER_PROZENT)) / 100n
-
+
-/**
+/**
- * Rundfunkbeitrag je Wohnung, § 8 Rundfunkfinanzierungsstaatsvertrag:
+ * Rundfunkbeitrag je Wohnung, § 8 Rundfunkfinanzierungsstaatsvertrag:
- * 18,36 EUR monatlich, unverändert seit 01.08.2021. Die Ermäßigung auf ein
+ * 18,36 EUR monatlich, unverändert seit 01.08.2021. Die Ermäßigung auf ein
- * Drittel (§ 4 Abs. 2 RBStV, Merkzeichen RF) beträgt 6,12 EUR.
+ * Drittel (§ 4 Abs. 2 RBStV, Merkzeichen RF) beträgt 6,12 EUR.
- */
+ */
-export const RUNDFUNKBEITRAG_CENT = 1_836n
+export const RUNDFUNKBEITRAG_CENT = 1_836n
-export const RUNDFUNKBEITRAG_ERMAESSIGT_CENT = 612n
+export const RUNDFUNKBEITRAG_ERMAESSIGT_CENT = 612n
-export const RUNDFUNKBEITRAG_STAND = '2021-08-01'
+export const RUNDFUNKBEITRAG_STAND = '2021-08-01'

src/lib/speicher/datei.ts

@@ -1,8 +1,8 @@
 import 'server-only'
-import { createCipheriv, createDecipheriv, randomBytes } from 'node:crypto'
 import { mkdir, readFile, rm, stat, writeFile } from 'node:fs/promises'
 import { dirname, join, resolve, sep } from 'node:path'
 import { env } from '@/lib/env'
+import { entschluesselnBinaer, verschluesselnBinaer } from '@/lib/speicher/umschlag'
 import {
   dateiRoutePfad,
   schluesselErfordern,
@@ -23,15 +23,10 @@ import {
  * gibt sonst Bescheide, Arztbriefe und Kontoauszuege im Klartext preis.
  * Der Schluessel liegt in der Umgebung, nicht neben den Daten.
  *
- * Umschlag (binaer):
+ * Der Umschlag selbst steht in src/lib/speicher/umschlag.ts - der
- *   "BCD1" | Schluesselversion (uint32 BE) | IV (12) | AuthTag (16) | Geheimtext
+ * Objektspeicher benutzt denselben.
  */
 
-const MAGIE = Buffer.from('BCD1', 'ascii')
-const IV_LAENGE = 12
-const TAG_LAENGE = 16
-const KOPF_LAENGE = MAGIE.length + 4 + IV_LAENGE + TAG_LAENGE
-
 function wurzel(): string {
   return resolve(process.cwd(), env.dateiSpeicherPfad)
 }
@@ -39,8 +34,18 @@ function wurzel(): string {
 /**
  * Baut den Dateipfad - und prueft danach noch einmal, dass er wirklich
  * unterhalb des Ablageverzeichnisses liegt. Der Schluessel ist zwar bereits
- * streng geprueft, aber diese zweite Sperre kostet nichts und faengt auch
+ * streng geprueft, aber diese zweite Sperre kostet nichts.
- * Symlink-Tricks und Windows-Eigenheiten ab.
+ *
+ * Was sie NICHT abfaengt, obwohl hier lange das Gegenteil stand: Symlinks.
+ * resolve() rechnet nur mit Zeichenketten und folgt keinem Link - dafuer
+ * braeuchte es realpath(). Ein untergeschobener Symlink im Ablageverzeichnis
+ * wuerde also nicht auffallen.
+ *
+ * Nachgeruestet wird das trotzdem nicht, und zwar aus einem Grund und nicht
+ * aus Bequemlichkeit: Wer dort einen Symlink anlegen kann, hat bereits
+ * Schreibrechte im Datenverzeichnis des Servers - dann ist der Umweg ueber
+ * einen Link die Sorge, die am wenigsten draengt. Der Satz musste
+ * verschwinden, weil er eine Sicherheit versprach, die es nie gab.
  */
 function pfadFuer(schluessel: string): string {
   const geprueft = schluesselErfordern(schluessel)
@@ -52,57 +57,15 @@ function pfadFuer(schluessel: string): string {
   return ziel
 }
 
-function verschluesselnBinaer(inhalt: Buffer): Buffer {
-  const version = env.aktiveSchluesselversion
-  const schluessel = env.verschluesselungsschluessel.get(version)
-  if (!schluessel) throw new Error(`Verschlüsselungsschlüssel Version ${version} fehlt.`)
-
-  const iv = randomBytes(IV_LAENGE)
-  const cipher = createCipheriv('aes-256-gcm', schluessel, iv, { authTagLength: TAG_LAENGE })
-  cipher.setAAD(Buffer.from(`bcd:${version}`, 'utf8'))
-  const geheim = Buffer.concat([cipher.update(inhalt), cipher.final()])
-
-  const versionBytes = Buffer.alloc(4)
-  versionBytes.writeUInt32BE(version, 0)
-
-  return Buffer.concat([MAGIE, versionBytes, iv, cipher.getAuthTag(), geheim])
-}
-
-function entschluesselnBinaer(roh: Buffer): Buffer {
-  // Dateien ohne Umschlag (von Hand hineingelegt, aus einer aelteren
-  // Installation uebernommen) werden unveraendert durchgereicht.
-  if (roh.length < KOPF_LAENGE || !roh.subarray(0, MAGIE.length).equals(MAGIE)) return roh
-
-  const version = roh.readUInt32BE(MAGIE.length)
-  const schluessel = env.verschluesselungsschluessel.get(version)
-  if (!schluessel) {
-    throw new Error(
-      `Zum Entschlüsseln dieser Datei fehlt ENC_KEY_V${version}. Alte Schlüssel dürfen beim ` +
-        `Rotieren nicht aus der Umgebung entfernt werden.`,
-    )
-  }
-
-  const ivVon = MAGIE.length + 4
-  const iv = roh.subarray(ivVon, ivVon + IV_LAENGE)
-  const tag = roh.subarray(ivVon + IV_LAENGE, ivVon + IV_LAENGE + TAG_LAENGE)
-  const geheim = roh.subarray(KOPF_LAENGE)
-
-  const decipher = createDecipheriv('aes-256-gcm', schluessel, iv, { authTagLength: TAG_LAENGE })
-  decipher.setAAD(Buffer.from(`bcd:${version}`, 'utf8'))
-  decipher.setAuthTag(tag)
-
-  return Buffer.concat([decipher.update(geheim), decipher.final()])
-}
-
 export async function schreiben(schluessel: string, inhalt: Buffer): Promise<void> {
   const pfad = pfadFuer(schluessel)
   await mkdir(dirname(pfad), { recursive: true })
-  await writeFile(pfad, verschluesselnBinaer(inhalt), { mode: 0o600 })
+  await writeFile(pfad, verschluesselnBinaer(inhalt, schluessel), { mode: 0o600 })
 }
 
 export async function lesen(schluessel: string): Promise<Buffer> {
   const roh = await readFile(pfadFuer(schluessel))
-  return entschluesselnBinaer(roh)
+  return entschluesselnBinaer(roh, schluessel)
 }
 
 export async function entfernen(schluessel: string): Promise<void> {

src/lib/speicher/s3.ts

@@ -3,12 +3,18 @@ import {
   DeleteObjectCommand,
   GetObjectCommand,
   HeadObjectCommand,
+  ListObjectsV2Command,
   PutObjectCommand,
   S3Client,
 } from '@aws-sdk/client-s3'
-import { getSignedUrl } from '@aws-sdk/s3-request-presigner'
 import { env } from '@/lib/env'
-import { schluesselErfordern, TOKEN_STANDARD_SEKUNDEN } from '@/lib/speicher/schluessel'
+import {
+  dateiRoutePfad,
+  schluesselErfordern,
+  zugriffTokenErzeugen,
+  TOKEN_STANDARD_SEKUNDEN,
+} from '@/lib/speicher/schluessel'
+import { entschluesselnBinaer, verschluesselnBinaer } from '@/lib/speicher/umschlag'
 
 /**
  * Treiber "s3": S3-kompatibler Objektspeicher, betrieben in der EU.
@@ -17,10 +23,28 @@ import { schluesselErfordern, TOKEN_STANDARD_SEKUNDEN } from '@/lib/speicher/sch
  * Art. 28 DSGVO mit dem Anbieter - hier liegen Gesundheits- und
  * Finanzdaten. Ohne diesen Vertrag bleibt es beim Dateitreiber.
  *
- * Ausgeliefert wird nur ueber kurzlebige presigned URLs. Sie tragen
+ * ## Anwendungsseitige Verschluesselung
- * Content-Disposition: attachment und einen festen Content-Type, damit der
+ *
- * Objektspeicher eine hochgeladene Datei niemals als HTML im Browser
+ * Frueher stand hier nur ServerSideEncryption: 'AES256'. Das ist
- * rendern kann.
+ * Verschluesselung mit dem Schluessel des Anbieters: Er entschluesselt beim
+ * Ausliefern selbst. Gegen eine verlorene Festplatte im Rechenzentrum hilft
+ * das, gegen den Anbieter und gegen gestohlene Zugangsdaten zum Eimer
+ * nicht - und in diesem Eimer liegen Bescheide, Arztbriefe und
+ * Kontoauszuege.
+ *
+ * Deshalb liegt jetzt derselbe Umschlag darum wie beim Dateitreiber, mit
+ * einem Schluessel aus der Umgebung. Die serverseitige Verschluesselung
+ * bleibt zusaetzlich stehen; sie kostet nichts.
+ *
+ * ## Und deshalb keine presigned URLs mehr
+ *
+ * Eine presigned URL laesst den Browser direkt beim Objektspeicher laden.
+ * Was dort liegt, ist jetzt aber Geheimtext - der Browser bekaeme
+ * unlesbare Bytes. Die Auslieferung geht darum ueber dieselbe eigene Route
+ * wie beim Dateitreiber: Sie prueft zusaetzlich die Berechtigung des
+ * angemeldeten Benutzers und schreibt einen Audit-Eintrag. Dass jeder
+ * Abruf durch die Anwendung laeuft, ist bei einer Handvoll Dokumenten am
+ * Tag kein Thema.
  */
 
 let klient: S3Client | null = null
@@ -42,18 +66,29 @@ function eimer(): string {
   return env.s3.bucket
 }
 
+/**
+ * Legt ein Objekt ab - verschluesselt.
+ *
+ * Der gemeldete MIME-Typ wird nicht mehr gebraucht: Was hier landet, ist
+ * Geheimtext und wird als application/octet-stream ausgezeichnet. Der
+ * Parameter bleibt in der Signatur, damit die Fassade beide Treiber gleich
+ * aufrufen kann.
+ */
 export async function schreiben(
   schluessel: string,
   inhalt: Buffer,
-  mimeTyp: string,
+  _mimeTyp: string,
 ): Promise<void> {
   const geprueft = schluesselErfordern(schluessel)
   await s3().send(
     new PutObjectCommand({
       Bucket: eimer(),
       Key: geprueft,
-      Body: inhalt,
+      Body: verschluesselnBinaer(inhalt, geprueft),
-      ContentType: mimeTyp,
+      // Bewusst nicht der echte Typ: Was hier liegt, ist Geheimtext. Ein
+      // "application/pdf" darauf waere eine Falschauskunft, und der einzige
+      // Weg zum Inhalt fuehrt ohnehin durch die Anwendung.
+      ContentType: 'application/octet-stream',
       // Auch beim direkten Abruf niemals im Browser darstellen.
       ContentDisposition: 'attachment',
       // Serverseitige Verschluesselung, wo der Anbieter sie unterstuetzt.
@@ -67,7 +102,10 @@ export async function lesen(schluessel: string): Promise<Buffer> {
   const antwort = await s3().send(new GetObjectCommand({ Bucket: eimer(), Key: geprueft }))
   if (!antwort.Body) throw new Error(`Objekt ${geprueft} ist leer.`)
   const bytes = await antwort.Body.transformToByteArray()
-  return Buffer.from(bytes)
+  // Objekte, die vor dieser Aenderung abgelegt wurden, tragen keinen
+  // Umschlag und kommen unveraendert zurueck. Der Migrationslauf
+  // (npm run speicher:verschluesseln) schreibt sie nach und nach um.
+  return entschluesselnBinaer(Buffer.from(bytes), geprueft)
 }
 
 export async function entfernen(schluessel: string): Promise<void> {
@@ -85,20 +123,54 @@ export async function existiert(schluessel: string): Promise<boolean> {
   }
 }
 
+/**
+ * Zeigt auf die eigene, signierte Route - nicht mehr auf den
+ * Objektspeicher.
+ *
+ * Der direkte Weg zum Anbieter lieferte den Rohinhalt aus. Solange der
+ * Klartext war, ging das; jetzt ist es Geheimtext, und entschluesseln kann
+ * nur die Anwendung. Der Nebeneffekt ist erwuenscht: Die Route prueft die
+ * Berechtigung des angemeldeten Benutzers und schreibt einen Audit-Eintrag.
+ * Ein weitergeleiteter Link allein oeffnet also nichts mehr.
+ */
 export async function signierteUrl(
   schluessel: string,
   sekunden: number = TOKEN_STANDARD_SEKUNDEN,
 ): Promise<string> {
   const geprueft = schluesselErfordern(schluessel)
-  return getSignedUrl(
+  return dateiRoutePfad(zugriffTokenErzeugen(geprueft, sekunden))
-    s3(),
+}
-    new GetObjectCommand({
+
-      Bucket: eimer(),
+// -----------------------------------------------------------------------------
-      Key: geprueft,
+// Wartung
-      // Die Antwort des Objektspeichers wird hier festgenagelt: Anhang,
+// -----------------------------------------------------------------------------
-      // niemals HTML, egal was beim Hochladen gemeldet wurde.
+//
-      ResponseContentDisposition: 'attachment',
+// Nur fuer den Migrationslauf, der bestehende Objekte nachtraeglich in den
-    }),
+// Umschlag steckt. Bewusst hier und nicht im Skript: Der Zugang zum Eimer
-    { expiresIn: Math.min(Math.max(Math.floor(sekunden), 1), 60 * 60) },
+// wird an genau einer Stelle aufgebaut.
-  )
+
+/** Alle Ablageschluessel im Eimer, seitenweise geholt. */
+export async function objekteAuflisten(): Promise<string[]> {
+  const gefunden: string[] = []
+  let weiter: string | undefined
+
+  do {
+    const antwort = await s3().send(
+      new ListObjectsV2Command({ Bucket: eimer(), ContinuationToken: weiter }),
+    )
+    for (const eintrag of antwort.Contents ?? []) {
+      if (eintrag.Key) gefunden.push(eintrag.Key)
+    }
+    weiter = antwort.IsTruncated ? antwort.NextContinuationToken : undefined
+  } while (weiter)
+
+  return gefunden
+}
+
+/** Der Inhalt, wie er im Eimer liegt - ohne den Umschlag abzunehmen. */
+export async function rohLesen(schluessel: string): Promise<Buffer> {
+  const geprueft = schluesselErfordern(schluessel)
+  const antwort = await s3().send(new GetObjectCommand({ Bucket: eimer(), Key: geprueft }))
+  if (!antwort.Body) throw new Error(`Objekt ${geprueft} ist leer.`)
+  return Buffer.from(await antwort.Body.transformToByteArray())
 }

src/lib/speicher/umschlag.ts

@@ -0,0 +1,119 @@
+import 'server-only'
+import { createCipheriv, createDecipheriv, randomBytes } from 'node:crypto'
+import { env } from '@/lib/env'
+
+/**
+ * Anwendungsseitiger Umschlag fuer abgelegte Dateien (AES-256-GCM).
+ *
+ * Der Dateitreiber hat das von Anfang an getan, der Objektspeicher nicht:
+ * Dort stand nur ServerSideEncryption: 'AES256'. Das ist Verschluesselung
+ * mit dem Schluessel des Anbieters - er entschluesselt beim Ausliefern
+ * selbst. Gegen ein kopiertes Backup hilft es, gegen den Anbieter und gegen
+ * gestohlene Zugangsdaten zum Eimer nicht. Bei Bescheiden, Arztbriefen und
+ * Kontoauszuegen ist das der falsche Zuschnitt.
+ *
+ * Jetzt liegt derselbe Umschlag um beides. Der Schluessel kommt aus der
+ * Umgebung und nie aus der Datenbank oder vom Anbieter.
+ *
+ * ## Format
+ *
+ *     "BCD1" | Schluesselversion (uint32 BE) | IV (12) | AuthTag (16) | Geheimtext
+ *
+ * Bewusst dasselbe Format wie bisher im Dateitreiber - bestehende Dateien
+ * bleiben ohne Umschreiben lesbar.
+ *
+ * ## Zusatzdaten
+ *
+ * Mitauthentifiziert wird die Schluesselversion und, wo der Aufrufer ihn
+ * angibt, der Ablageschluessel des Objekts. Letzteres bindet den Geheimtext
+ * an seinen Platz: Wer Schreibrechte auf den Eimer hat, kann die Bytes von
+ * Dokument A nicht unter dem Namen von Dokument B ablegen - beim Lesen
+ * schlaegt die Pruefung fehl, statt den falschen Bescheid auszuliefern.
+ *
+ * Ohne Angabe bleibt es bei "bcd:<version>", damit die Dateien, die der
+ * Dateitreiber frueher geschrieben hat, weiter aufgehen.
+ */
+
+const MAGIE = Buffer.from('BCD1', 'ascii')
+const IV_LAENGE = 12
+const TAG_LAENGE = 16
+
+export const KOPF_LAENGE = MAGIE.length + 4 + IV_LAENGE + TAG_LAENGE
+
+function zusatzdaten(version: number, ablageschluessel?: string): Buffer {
+  return Buffer.from(
+    ablageschluessel ? `bcd:${version}:${ablageschluessel}` : `bcd:${version}`,
+    'utf8',
+  )
+}
+
+/** Traegt dieser Inhalt bereits einen Umschlag? */
+export function istVerschluesselt(roh: Buffer): boolean {
+  return roh.length >= KOPF_LAENGE && roh.subarray(0, MAGIE.length).equals(MAGIE)
+}
+
+export function verschluesselnBinaer(inhalt: Buffer, ablageschluessel?: string): Buffer {
+  const version = env.aktiveSchluesselversion
+  const schluessel = env.verschluesselungsschluessel.get(version)
+  if (!schluessel) throw new Error(`Verschlüsselungsschlüssel Version ${version} fehlt.`)
+
+  const iv = randomBytes(IV_LAENGE)
+  const cipher = createCipheriv('aes-256-gcm', schluessel, iv, { authTagLength: TAG_LAENGE })
+  cipher.setAAD(zusatzdaten(version, ablageschluessel))
+  const geheim = Buffer.concat([cipher.update(inhalt), cipher.final()])
+
+  const versionBytes = Buffer.alloc(4)
+  versionBytes.writeUInt32BE(version, 0)
+
+  return Buffer.concat([MAGIE, versionBytes, iv, cipher.getAuthTag(), geheim])
+}
+
+/**
+ * Nimmt den Umschlag ab.
+ *
+ * Inhalte ohne Umschlag werden unveraendert durchgereicht: Dateien aus
+ * einer aelteren Installation, von Hand hineingelegte, und - bis der
+ * Migrationslauf durch ist - die Objekte, die vor dieser Aenderung im
+ * Objektspeicher lagen.
+ */
+export function entschluesselnBinaer(roh: Buffer, ablageschluessel?: string): Buffer {
+  if (!istVerschluesselt(roh)) return roh
+
+  const version = roh.readUInt32BE(MAGIE.length)
+  const schluessel = env.verschluesselungsschluessel.get(version)
+  if (!schluessel) {
+    throw new Error(
+      `Zum Entschlüsseln dieser Datei fehlt ENC_KEY_V${version}. Alte Schlüssel dürfen beim ` +
+        `Rotieren nicht aus der Umgebung entfernt werden.`,
+    )
+  }
+
+  const ivVon = MAGIE.length + 4
+  const iv = roh.subarray(ivVon, ivVon + IV_LAENGE)
+  const tag = roh.subarray(ivVon + IV_LAENGE, ivVon + IV_LAENGE + TAG_LAENGE)
+  const geheim = roh.subarray(KOPF_LAENGE)
+
+  // Zwei Anlaeufe: erst mit dem Ablageschluessel als Zusatzdaten, dann ohne.
+  // Der zweite Anlauf ist fuer alles, was vor der Bindung an den Platz
+  // geschrieben wurde - ohne ihn waeren die alten Dateien nicht mehr
+  // lesbar, und das waere ein Datenverlust fuer eine Verbesserung.
+  const varianten = ablageschluessel ? [ablageschluessel, undefined] : [undefined]
+
+  let letzterFehler: unknown = null
+  for (const variante of varianten) {
+    try {
+      const decipher = createDecipheriv('aes-256-gcm', schluessel, iv, {
+        authTagLength: TAG_LAENGE,
+      })
+      decipher.setAAD(zusatzdaten(version, variante))
+      decipher.setAuthTag(tag)
+      return Buffer.concat([decipher.update(geheim), decipher.final()])
+    } catch (fehler) {
+      letzterFehler = fehler
+    }
+  }
+
+  throw letzterFehler instanceof Error
+    ? letzterFehler
+    : new Error('Die Datei ließ sich nicht entschlüsseln.')
+}

src/lib/validierung/sozialhilfe.ts

@@ -1,437 +1,437 @@
-import { z } from 'zod'
+import { z } from 'zod'
-import { betragParsenWennMoeglich } from '@/lib/finanzen/betrag'
+import { betragParsenWennMoeglich } from '@/lib/finanzen/betrag'
-
+
-/**
+/**
- * Eingabeprüfung für das Sozialhilfemodul.
+ * Eingabeprüfung für das Sozialhilfemodul.
- *
+ *
- * Geprüft wird immer serverseitig. Die Meldungen sagen, was zu tun ist -
+ * Geprüft wird immer serverseitig. Die Meldungen sagen, was zu tun ist -
- * nicht, welche Regel verletzt wurde. Wer am Handy im Heim steht und eine
+ * nicht, welche Regel verletzt wurde. Wer am Handy im Heim steht und eine
- * Nachforderung erfasst, hat keine Lust auf "invalid input".
+ * Nachforderung erfasst, hat keine Lust auf "invalid input".
- */
+ */
-
+
-const optionalerText = (max = 200) =>
+const optionalerText = (max = 200) =>
-  z
+  z
-    .string()
+    .string()
-    .trim()
+    .trim()
-    .max(max, `Bitte höchstens ${max} Zeichen.`)
+    .max(max, `Bitte höchstens ${max} Zeichen.`)
-    .transform((wert) => (wert === '' ? null : wert))
+    .transform((wert) => (wert === '' ? null : wert))
-    .nullable()
+    .nullable()
-    .default(null)
+    .default(null)
-
+
-const optionalesDatum = z
+const optionalesDatum = z
-  .string()
+  .string()
-  .trim()
+  .trim()
-  .transform((wert) => (wert === '' ? null : wert))
+  .transform((wert) => (wert === '' ? null : wert))
-  .nullable()
+  .nullable()
-  .default(null)
+  .default(null)
-  .refine((wert) => wert === null || /^\d{4}-\d{2}-\d{2}$/.test(wert), {
+  .refine((wert) => wert === null || /^\d{4}-\d{2}-\d{2}$/.test(wert), {
-    message: 'Bitte ein Datum im Format TT.MM.JJJJ wählen.',
+    message: 'Bitte ein Datum im Format TT.MM.JJJJ wählen.',
-  })
+  })
-  .transform((wert) => (wert === null ? null : new Date(`${wert}T00:00:00.000Z`)))
+  .transform((wert) => (wert === null ? null : new Date(`${wert}T00:00:00.000Z`)))
-
+
-const pflichtDatum = z
+const pflichtDatum = z
-  .string()
+  .string()
-  .trim()
+  .trim()
-  .min(1, 'Bitte ein Datum angeben.')
+  .min(1, 'Bitte ein Datum angeben.')
-  .refine((wert) => /^\d{4}-\d{2}-\d{2}$/.test(wert), {
+  .refine((wert) => /^\d{4}-\d{2}-\d{2}$/.test(wert), {
-    message: 'Bitte ein Datum im Format TT.MM.JJJJ wählen.',
+    message: 'Bitte ein Datum im Format TT.MM.JJJJ wählen.',
-  })
+  })
-  .transform((wert) => new Date(`${wert}T00:00:00.000Z`))
+  .transform((wert) => new Date(`${wert}T00:00:00.000Z`))
-
+
-/**
+/**
- * Geldbetrag aus einem Textfeld. Leer wird zu null, nicht zu 0 - "keine
+ * Geldbetrag aus einem Textfeld. Leer wird zu null, nicht zu 0 - "keine
- * Angabe" und "null Euro" sind fachlich zweierlei.
+ * Angabe" und "null Euro" sind fachlich zweierlei.
- */
+ */
-const optionalerBetrag = z
+const optionalerBetrag = z
-  .string()
+  .string()
-  .trim()
+  .trim()
-  .default('')
+  .default('')
-  .transform((wert, ctx) => {
+  .transform((wert, ctx) => {
-    if (wert === '') return null
+    if (wert === '') return null
-    const cent = betragParsenWennMoeglich(wert)
+    const cent = betragParsenWennMoeglich(wert)
-    if (cent === null) {
+    if (cent === null) {
-      ctx.addIssue({
+      ctx.addIssue({
-        code: z.ZodIssueCode.custom,
+        code: z.ZodIssueCode.custom,
-        message: 'Bitte einen Betrag wie 1.234,56 eingeben.',
+        message: 'Bitte einen Betrag wie 1.234,56 eingeben.',
-      })
+      })
-      return z.NEVER
+      return z.NEVER
-    }
+    }
-    return cent
+    return cent
-  })
+  })
-
+
-/** Betrag, der in einer Gegenüberstellung stehen muss - leer heißt 0. */
+/** Betrag, der in einer Gegenüberstellung stehen muss - leer heißt 0. */
-const betragOderNull = z
+const betragOderNull = z
-  .string()
+  .string()
-  .trim()
+  .trim()
-  .default('')
+  .default('')
-  .transform((wert, ctx) => {
+  .transform((wert, ctx) => {
-    if (wert === '') return 0n
+    if (wert === '') return 0n
-    const cent = betragParsenWennMoeglich(wert)
+    const cent = betragParsenWennMoeglich(wert)
-    if (cent === null) {
+    if (cent === null) {
-      ctx.addIssue({
+      ctx.addIssue({
-        code: z.ZodIssueCode.custom,
+        code: z.ZodIssueCode.custom,
-        message: 'Bitte einen Betrag wie 1.234,56 eingeben.',
+        message: 'Bitte einen Betrag wie 1.234,56 eingeben.',
-      })
+      })
-      return z.NEVER
+      return z.NEVER
-    }
+    }
-    if (cent < 0n) {
+    if (cent < 0n) {
-      ctx.addIssue({
+      ctx.addIssue({
-        code: z.ZodIssueCode.custom,
+        code: z.ZodIssueCode.custom,
-        message: 'In dieser Aufstellung stehen nur positive Beträge.',
+        message: 'In dieser Aufstellung stehen nur positive Beträge.',
-      })
+      })
-      return z.NEVER
+      return z.NEVER
-    }
+    }
-    return cent
+    return cent
-  })
+  })
-
+
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-// Antragsakte
+// Antragsakte
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-
+
-export const AntragSchema = z
+export const AntragSchema = z
-  .object({
+  .object({
-    traeger: z
+    traeger: z
-      .string()
+      .string()
-      .trim()
+      .trim()
-      .min(2, 'Bitte den Träger angeben, z.B. „Bezirk Oberfranken“.')
+      .min(2, 'Bitte den Träger angeben, z.B. „Bezirk Oberfranken“.')
-      .max(150),
+      .max(150),
-    leistungsart: z
+    leistungsart: z
-      .string()
+      .string()
-      .trim()
+      .trim()
-      .min(2, 'Bitte die Leistungsart angeben.')
+      .min(2, 'Bitte die Leistungsart angeben.')
-      .max(200),
+      .max(200),
-    aktenzeichen: optionalerText(80),
+    aktenzeichen: optionalerText(80),
-    sachbearbeiter: optionalerText(150),
+    sachbearbeiter: optionalerText(150),
-    telefon: optionalerText(50),
+    telefon: optionalerText(50),
-    email: z
+    email: z
-      .string()
+      .string()
-      .trim()
+      .trim()
-      .max(200)
+      .max(200)
-      .transform((wert) => (wert === '' ? null : wert))
+      .transform((wert) => (wert === '' ? null : wert))
-      .nullable()
+      .nullable()
-      .default(null)
+      .default(null)
-      .refine((wert) => wert === null || /^[^\s@]+@[^\s@]+\.[^\s@]+$/.test(wert), {
+      .refine((wert) => wert === null || /^[^\s@]+@[^\s@]+\.[^\s@]+$/.test(wert), {
-        message: 'Bitte eine gültige E-Mail-Adresse angeben oder das Feld leer lassen.',
+        message: 'Bitte eine gültige E-Mail-Adresse angeben oder das Feld leer lassen.',
-      }),
+      }),
-    antragAm: optionalesDatum,
+    antragAm: optionalesDatum,
-    eingangBeimTraegerAm: optionalesDatum,
+    eingangBeimTraegerAm: optionalesDatum,
-    bewilligtVon: optionalesDatum,
+    bewilligtVon: optionalesDatum,
-    bewilligtBis: optionalesDatum,
+    bewilligtBis: optionalesDatum,
-    notizen: optionalerText(4000),
+    notizen: optionalerText(4000),
-  })
+  })
-  .refine(
+  .refine(
-    (daten) =>
+    (daten) =>
-      !daten.bewilligtVon || !daten.bewilligtBis || daten.bewilligtVon <= daten.bewilligtBis,
+      !daten.bewilligtVon || !daten.bewilligtBis || daten.bewilligtVon <= daten.bewilligtBis,
-    {
+    {
-      message: 'Das Ende des Bewilligungszeitraums liegt vor dem Beginn.',
+      message: 'Das Ende des Bewilligungszeitraums liegt vor dem Beginn.',
-      path: ['bewilligtBis'],
+      path: ['bewilligtBis'],
-    },
+    },
-  )
+  )
-  .refine(
+  .refine(
-    (daten) =>
+    (daten) =>
-      !daten.antragAm ||
+      !daten.antragAm ||
-      !daten.eingangBeimTraegerAm ||
+      !daten.eingangBeimTraegerAm ||
-      daten.antragAm <= daten.eingangBeimTraegerAm,
+      daten.antragAm <= daten.eingangBeimTraegerAm,
-    {
+    {
-      message: 'Der Eingang beim Träger kann nicht vor dem Antragsdatum liegen.',
+      message: 'Der Eingang beim Träger kann nicht vor dem Antragsdatum liegen.',
-      path: ['eingangBeimTraegerAm'],
+      path: ['eingangBeimTraegerAm'],
-    },
+    },
-  )
+  )
-
+
-export type AntragEingabe = z.infer<typeof AntragSchema>
+export type AntragEingabe = z.infer<typeof AntragSchema>
-
+
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-// Nachforderung
+// Nachforderung
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-
+
-export const NACHFORDERUNG_STATUS_WERTE = [
+export const NACHFORDERUNG_STATUS_WERTE = [
-  'OFFEN',
+  'OFFEN',
-  'IN_BESCHAFFUNG',
+  'IN_BESCHAFFUNG',
-  'UEBERSANDT',
+  'UEBERSANDT',
-  'ANERKANNT',
+  'ANERKANNT',
-  'NICHT_VORHANDEN',
+  'NICHT_VORHANDEN',
-] as const
+] as const
-
+
-export const NachforderungSchema = z
+export const NachforderungSchema = z
-  .object({
+  .object({
-    bezeichnung: z
+    bezeichnung: z
-      .string()
+      .string()
-      .trim()
+      .trim()
-      .min(2, 'Bitte benennen, welche Unterlage der Träger will.')
+      .min(2, 'Bitte benennen, welche Unterlage der Träger will.')
-      .max(200),
+      .max(200),
-    erlaeuterung: optionalerText(2000),
+    erlaeuterung: optionalerText(2000),
-    status: z.enum(NACHFORDERUNG_STATUS_WERTE).default('OFFEN'),
+    status: z.enum(NACHFORDERUNG_STATUS_WERTE).default('OFFEN'),
-    angefordertAm: optionalesDatum,
+    angefordertAm: optionalesDatum,
-    fristBis: optionalesDatum,
+    fristBis: optionalesDatum,
-    uebersandtAm: optionalesDatum,
+    uebersandtAm: optionalesDatum,
-    begruendungNichtVorhanden: optionalerText(2000),
+    begruendungNichtVorhanden: optionalerText(2000),
-    reihenfolge: z.coerce.number().int().min(0).max(10_000).default(0),
+    reihenfolge: z.coerce.number().int().min(0).max(10_000).default(0),
-    dokumentId: optionalerText(40),
+    dokumentId: optionalerText(40),
-    /** Soll aus der Frist des Trägers eine Frist im Fristenmodul werden? */
+    /** Soll aus der Frist des Trägers eine Frist im Fristenmodul werden? */
-    fristAnlegen: z.coerce.boolean().default(false),
+    fristAnlegen: z.coerce.boolean().default(false),
-  })
+  })
-  .refine(
+  .refine(
-    (daten) =>
+    (daten) =>
-      daten.status !== 'NICHT_VORHANDEN' ||
+      daten.status !== 'NICHT_VORHANDEN' ||
-      (daten.begruendungNichtVorhanden !== null &&
+      (daten.begruendungNichtVorhanden !== null &&
-        daten.begruendungNichtVorhanden.trim().length >= 5),
+        daten.begruendungNichtVorhanden.trim().length >= 5),
-    {
+    {
-      message:
+      message:
-        'Bitte begründen, warum es die Unterlage nicht gibt. Die Begründung geht mit ins ' +
+        'Bitte begründen, warum es die Unterlage nicht gibt. Die Begründung geht mit ins ' +
-        'Unterlagenpaket — ohne sie sieht der Träger nur eine Lücke.',
+        'Unterlagenpaket — ohne sie sieht der Träger nur eine Lücke.',
-      path: ['begruendungNichtVorhanden'],
+      path: ['begruendungNichtVorhanden'],
-    },
+    },
-  )
+  )
-  .refine((daten) => daten.status !== 'UEBERSANDT' || daten.uebersandtAm !== null, {
+  .refine((daten) => daten.status !== 'UEBERSANDT' || daten.uebersandtAm !== null, {
-    message:
+    message:
-      'Bitte das Übersendungsdatum angeben — es ist der Nachweis der Mitwirkung, wenn der ' +
+      'Bitte das Übersendungsdatum angeben — es ist der Nachweis der Mitwirkung, wenn der ' +
-      'Träger später von fehlenden Unterlagen ausgeht.',
+      'Träger später von fehlenden Unterlagen ausgeht.',
-    path: ['uebersandtAm'],
+    path: ['uebersandtAm'],
-  })
+  })
-  .refine((daten) => !daten.fristAnlegen || daten.fristBis !== null, {
+  .refine((daten) => !daten.fristAnlegen || daten.fristBis !== null, {
-    message: 'Für eine Frist im Fristenmodul brauche ich ein Fristdatum.',
+    message: 'Für eine Frist im Fristenmodul brauche ich ein Fristdatum.',
-    path: ['fristBis'],
+    path: ['fristBis'],
-  })
+  })
-
+
-export type NachforderungEingabe = z.infer<typeof NachforderungSchema>
+export type NachforderungEingabe = z.infer<typeof NachforderungSchema>
-
+
-export const NachforderungStatusSchema = z
+export const NachforderungStatusSchema = z
-  .object({
+  .object({
-    nachforderungId: z.string().trim().min(1),
+    nachforderungId: z.string().trim().min(1),
-    status: z.enum(NACHFORDERUNG_STATUS_WERTE),
+    status: z.enum(NACHFORDERUNG_STATUS_WERTE),
-    begruendungNichtVorhanden: optionalerText(2000),
+    begruendungNichtVorhanden: optionalerText(2000),
-    uebersandtAm: optionalesDatum,
+    uebersandtAm: optionalesDatum,
-  })
+  })
-  .refine(
+  .refine(
-    (daten) =>
+    (daten) =>
-      daten.status !== 'NICHT_VORHANDEN' ||
+      daten.status !== 'NICHT_VORHANDEN' ||
-      (daten.begruendungNichtVorhanden !== null &&
+      (daten.begruendungNichtVorhanden !== null &&
-        daten.begruendungNichtVorhanden.trim().length >= 5),
+        daten.begruendungNichtVorhanden.trim().length >= 5),
-    {
+    {
-      message: 'Bitte begründen, warum es die Unterlage nicht gibt.',
+      message: 'Bitte begründen, warum es die Unterlage nicht gibt.',
-      path: ['begruendungNichtVorhanden'],
+      path: ['begruendungNichtVorhanden'],
-    },
+    },
-  )
+  )
-
+
-export const ChecklisteSchema = z.object({
+export const ChecklisteSchema = z.object({
-  antragId: z.string().trim().min(1),
+  antragId: z.string().trim().min(1),
-  schluessel: z.array(z.string().trim().min(1)).min(1, 'Bitte mindestens eine Position auswählen.'),
+  schluessel: z.array(z.string().trim().min(1)).min(1, 'Bitte mindestens eine Position auswählen.'),
-  angefordertAm: optionalesDatum,
+  angefordertAm: optionalesDatum,
-  fristBis: optionalesDatum,
+  fristBis: optionalesDatum,
-})
+})
-
+
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-// Bescheid
+// Bescheid
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-
+
-export const BESCHEID_ART_WERTE = [
+export const BESCHEID_ART_WERTE = [
-  'BEWILLIGUNG',
+  'BEWILLIGUNG',
-  'ABLEHNUNG',
+  'ABLEHNUNG',
-  'AENDERUNG',
+  'AENDERUNG',
-  'AUFHEBUNG',
+  'AUFHEBUNG',
-  'ERSTATTUNG',
+  'ERSTATTUNG',
-  'VORSCHUSS',
+  'VORSCHUSS',
-  'WIDERSPRUCHSBESCHEID',
+  'WIDERSPRUCHSBESCHEID',
-] as const
+] as const
-
+
-export const PRUEFSTATUS_WERTE = [
+export const PRUEFSTATUS_WERTE = [
-  'UNGEPRUEFT',
+  'UNGEPRUEFT',
-  'GEPRUEFT_OK',
+  'GEPRUEFT_OK',
-  'WIDERSPRUCH_EINGELEGT',
+  'WIDERSPRUCH_EINGELEGT',
-  'WIDERSPRUCH_ERLEDIGT',
+  'WIDERSPRUCH_ERLEDIGT',
-  'FRIST_VERSTRICHEN',
+  'FRIST_VERSTRICHEN',
-] as const
+] as const
-
+
-export const BescheidSchema = z
+export const BescheidSchema = z
-  .object({
+  .object({
-    art: z.enum(BESCHEID_ART_WERTE),
+    art: z.enum(BESCHEID_ART_WERTE),
-    bescheidVom: pflichtDatum,
+    bescheidVom: pflichtDatum,
-    zugegangenAm: optionalesDatum,
+    zugegangenAm: optionalesDatum,
-    zeitraumVon: optionalesDatum,
+    zeitraumVon: optionalesDatum,
-    zeitraumBis: optionalesDatum,
+    zeitraumBis: optionalesDatum,
-    betrag: optionalerBetrag,
+    betrag: optionalerBetrag,
-    /**
+    /**
-     * 1 = Regelfall (§ 84 SGG), 12 = fehlende oder fehlerhafte
+     * 1 = Regelfall (§ 84 SGG), 12 = fehlende oder fehlerhafte
-     * Rechtsbehelfsbelehrung (§ 66 SGG). Wird ausgewählt, nie geraten.
+     * Rechtsbehelfsbelehrung (§ 66 SGG). Wird ausgewählt, nie geraten.
-     */
+     */
-    rechtsbehelfsfristMonate: z.coerce
+    rechtsbehelfsfristMonate: z.coerce
-      .number()
+      .number()
-      .int()
+      .int()
-      .refine((wert) => wert === 1 || wert === 12, {
+      .refine((wert) => wert === 1 || wert === 12, {
-        message: 'Es kommen nur ein Monat (Regelfall) oder ein Jahr (fehlende Belehrung) in Betracht.',
+        message: 'Es kommen nur ein Monat (Regelfall) oder ein Jahr (fehlende Belehrung) in Betracht.',
-      })
+      })
-      .default(1),
+      .default(1),
-    widerspruchEingelegtAm: optionalesDatum,
+    widerspruchEingelegtAm: optionalesDatum,
-    notizen: optionalerText(4000),
+    notizen: optionalerText(4000),
-    dokumentId: optionalerText(40),
+    dokumentId: optionalerText(40),
-    /** Soll die Frist "Widerspruch möglich bis" angelegt werden? */
+    /** Soll die Frist "Widerspruch möglich bis" angelegt werden? */
-    fristAnlegen: z.coerce.boolean().default(false),
+    fristAnlegen: z.coerce.boolean().default(false),
-  })
+  })
-  .refine(
+  .refine(
-    (daten) => !daten.zugegangenAm || daten.zugegangenAm >= daten.bescheidVom,
+    (daten) => !daten.zugegangenAm || daten.zugegangenAm >= daten.bescheidVom,
-    {
+    {
-      message:
+      message:
-        'Der Bescheid kann nicht vor seinem Ausstellungsdatum zugegangen sein. Prüfe den ' +
+        'Der Bescheid kann nicht vor seinem Ausstellungsdatum zugegangen sein. Prüfe den ' +
-        'Poststempel.',
+        'Poststempel.',
-      path: ['zugegangenAm'],
+      path: ['zugegangenAm'],
-    },
+    },
-  )
+  )
-  .refine(
+  .refine(
-    (daten) => !daten.zeitraumVon || !daten.zeitraumBis || daten.zeitraumVon <= daten.zeitraumBis,
+    (daten) => !daten.zeitraumVon || !daten.zeitraumBis || daten.zeitraumVon <= daten.zeitraumBis,
-    { message: 'Das Ende des Zeitraums liegt vor dem Beginn.', path: ['zeitraumBis'] },
+    { message: 'Das Ende des Zeitraums liegt vor dem Beginn.', path: ['zeitraumBis'] },
-  )
+  )
-  .refine((daten) => !daten.fristAnlegen || daten.zugegangenAm !== null, {
+  .refine((daten) => !daten.fristAnlegen || daten.zugegangenAm !== null, {
-    message:
+    message:
-      'Ohne Zugangsdatum lässt sich die Widerspruchsfrist nicht berechnen — und damit auch ' +
+      'Ohne Zugangsdatum lässt sich die Widerspruchsfrist nicht berechnen — und damit auch ' +
-      'keine Frist anlegen.',
+      'keine Frist anlegen.',
-    path: ['zugegangenAm'],
+    path: ['zugegangenAm'],
-  })
+  })
-
+
-export type BescheidEingabe = z.infer<typeof BescheidSchema>
+export type BescheidEingabe = z.infer<typeof BescheidSchema>
-
+
-export const BescheidStatusSchema = z.object({
+export const BescheidStatusSchema = z.object({
-  bescheidId: z.string().trim().min(1),
+  bescheidId: z.string().trim().min(1),
-  pruefStatus: z.enum(PRUEFSTATUS_WERTE),
+  pruefStatus: z.enum(PRUEFSTATUS_WERTE),
-  widerspruchEingelegtAm: optionalesDatum,
+  widerspruchEingelegtAm: optionalesDatum,
-})
+})
-
+
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-// Vermögensbewertung
+// Vermögensbewertung
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-
+
-export const BEWERTUNG_WERTE = ['UNGEPRUEFT', 'VERWERTBAR', 'GESCHUETZT', 'STRITTIG'] as const
+export const BEWERTUNG_WERTE = ['UNGEPRUEFT', 'VERWERTBAR', 'GESCHUETZT', 'STRITTIG'] as const
-
+
-export const BewertungSchema = z
+export const BewertungSchema = z
-  .object({
+  .object({
-    herkunft: z.enum(['VERMOEGEN', 'VERTRAG']),
+    herkunft: z.enum(['VERMOEGEN', 'VERTRAG']),
-    id: z.string().trim().min(1),
+    id: z.string().trim().min(1),
-    bewertung: z.enum(BEWERTUNG_WERTE),
+    bewertung: z.enum(BEWERTUNG_WERTE),
-    begruendung: optionalerText(6000),
+    begruendung: optionalerText(6000),
-  })
+  })
-  .refine(
+  .refine(
-    (daten) =>
+    (daten) =>
-      daten.bewertung === 'UNGEPRUEFT' ||
+      daten.bewertung === 'UNGEPRUEFT' ||
-      (daten.begruendung !== null && daten.begruendung.trim().length >= 10),
+      (daten.begruendung !== null && daten.begruendung.trim().length >= 10),
-    {
+    {
-      message:
+      message:
-        'Eine Bewertung ohne Begründung hilft im Widerspruchsverfahren nicht weiter. ' +
+        'Eine Bewertung ohne Begründung hilft im Widerspruchsverfahren nicht weiter. ' +
-        'Übernimm einen der Textbausteine und passe ihn an.',
+        'Übernimm einen der Textbausteine und passe ihn an.',
-      path: ['begruendung'],
+      path: ['begruendung'],
-    },
+    },
-  )
+  )
-
+
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-// Heimkosten
+// Heimkosten
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-
+
-export const HeimkostenSchema = z.object({
+export const HeimkostenSchema = z.object({
-  jahr: z.coerce
+  jahr: z.coerce
-    .number()
+    .number()
-    .int()
+    .int()
-    .min(2000, 'Das Jahr liegt außerhalb des sinnvollen Bereichs.')
+    .min(2000, 'Das Jahr liegt außerhalb des sinnvollen Bereichs.')
-    .max(2100, 'Das Jahr liegt außerhalb des sinnvollen Bereichs.'),
+    .max(2100, 'Das Jahr liegt außerhalb des sinnvollen Bereichs.'),
-  monat: z.coerce.number().int().min(1, 'Bitte einen Monat wählen.').max(12),
+  monat: z.coerce.number().int().min(1, 'Bitte einen Monat wählen.').max(12),
-
+
-  pflegeEigenanteil: betragOderNull,
+  pflegeEigenanteil: betragOderNull,
-  unterkunftVerpflegung: betragOderNull,
+  unterkunftVerpflegung: betragOderNull,
-  investitionskosten: betragOderNull,
+  investitionskosten: betragOderNull,
-  ausbildungsumlage: betragOderNull,
+  ausbildungsumlage: betragOderNull,
-  zusatzleistungen: betragOderNull,
+  zusatzleistungen: betragOderNull,
-
+
-  pflegekasse: betragOderNull,
+  pflegekasse: betragOderNull,
-  leistungszuschlagProzent: z.coerce
+  leistungszuschlagProzent: z.coerce
-    .number()
+    .number()
-    .int()
+    .int()
-    .min(0, 'Der Zuschlag liegt zwischen 0 und 100 Prozent.')
+    .min(0, 'Der Zuschlag liegt zwischen 0 und 100 Prozent.')
-    .max(100, 'Der Zuschlag liegt zwischen 0 und 100 Prozent.')
+    .max(100, 'Der Zuschlag liegt zwischen 0 und 100 Prozent.')
-    .default(0),
+    .default(0),
-  leistungszuschlag: betragOderNull,
+  leistungszuschlag: betragOderNull,
-  rente: betragOderNull,
+  rente: betragOderNull,
-  sonstigeEinkuenfte: betragOderNull,
+  sonstigeEinkuenfte: betragOderNull,
-  sozialhilfe: betragOderNull,
+  sozialhilfe: betragOderNull,
-  eigenmittel: betragOderNull,
+  eigenmittel: betragOderNull,
-
+
-  barbetrag: betragOderNull,
+  barbetrag: betragOderNull,
-  bekleidungspauschale: betragOderNull,
+  bekleidungspauschale: betragOderNull,
-
+
-  abwesenheitstage: z.coerce
+  abwesenheitstage: z.coerce
-    .number()
+    .number()
-    .int()
+    .int()
-    .min(0, 'Abwesenheitstage können nicht negativ sein.')
+    .min(0, 'Abwesenheitstage können nicht negativ sein.')
-    .max(31, 'Ein Monat hat höchstens 31 Tage.')
+    .max(31, 'Ein Monat hat höchstens 31 Tage.')
-    .default(0),
+    .default(0),
-
+
-  bemerkung: optionalerText(2000),
+  bemerkung: optionalerText(2000),
-})
+})
-
+
-export type HeimkostenEingabeFormular = z.infer<typeof HeimkostenSchema>
+export type HeimkostenEingabeFormular = z.infer<typeof HeimkostenSchema>
-
+
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-// Weitere Leistungen
+// Weitere Leistungen
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-
+
-export const LEISTUNG_STATUS_WERTE = [
+export const LEISTUNG_STATUS_WERTE = [
-  'NICHT_GEPRUEFT',
+  'NICHT_GEPRUEFT',
-  'PRUEFUNG_LAEUFT',
+  'PRUEFUNG_LAEUFT',
-  'BEANTRAGT',
+  'BEANTRAGT',
-  'BEWILLIGT',
+  'BEWILLIGT',
-  'ABGELEHNT',
+  'ABGELEHNT',
-  'LAEUFT',
+  'LAEUFT',
-  'NICHT_ZUTREFFEND',
+  'NICHT_ZUTREFFEND',
-] as const
+] as const
-
+
-export const LeistungSchema = z
+export const LeistungSchema = z
-  .object({
+  .object({
-    leistungId: optionalerText(40),
+    leistungId: optionalerText(40),
-    katalogSchluessel: optionalerText(80),
+    katalogSchluessel: optionalerText(80),
-    bezeichnung: z.string().trim().min(2, 'Bitte die Leistung benennen.').max(200),
+    bezeichnung: z.string().trim().min(2, 'Bitte die Leistung benennen.').max(200),
-    traeger: optionalerText(200),
+    traeger: optionalerText(200),
-    rechtsgrundlage: optionalerText(200),
+    rechtsgrundlage: optionalerText(200),
-    status: z.enum(LEISTUNG_STATUS_WERTE).default('NICHT_GEPRUEFT'),
+    status: z.enum(LEISTUNG_STATUS_WERTE).default('NICHT_GEPRUEFT'),
-    beantragtAm: optionalesDatum,
+    beantragtAm: optionalesDatum,
-    bewilligtAm: optionalesDatum,
+    bewilligtAm: optionalesDatum,
-    gueltigBis: optionalesDatum,
+    gueltigBis: optionalesDatum,
-    betrag: optionalerBetrag,
+    betrag: optionalerBetrag,
-    jaehrlichNeuBeantragen: z.coerce.boolean().default(false),
+    jaehrlichNeuBeantragen: z.coerce.boolean().default(false),
-    notizen: optionalerText(2000),
+    notizen: optionalerText(2000),
-  })
+  })
-  .refine((daten) => !daten.bewilligtAm || !daten.beantragtAm || daten.bewilligtAm >= daten.beantragtAm, {
+  .refine((daten) => !daten.bewilligtAm || !daten.beantragtAm || daten.bewilligtAm >= daten.beantragtAm, {
-    message: 'Die Bewilligung kann nicht vor dem Antrag liegen.',
+    message: 'Die Bewilligung kann nicht vor dem Antrag liegen.',
-    path: ['bewilligtAm'],
+    path: ['bewilligtAm'],
-  })
+  })
-
+
-export const KatalogUebernehmenSchema = z.object({
+export const KatalogUebernehmenSchema = z.object({
-  schluessel: z.array(z.string().trim().min(1)).min(1, 'Bitte mindestens eine Leistung auswählen.'),
+  schluessel: z.array(z.string().trim().min(1)).min(1, 'Bitte mindestens eine Leistung auswählen.'),
-})
+})
-
+
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-// Formularhilfen
+// Formularhilfen
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-
+
-/** Kontrollkästchen liefern "on" oder gar nichts. */
+/** Kontrollkästchen liefern "on" oder gar nichts. */
-export function kaestchen(formular: FormData, name: string): boolean {
+export function kaestchen(formular: FormData, name: string): boolean {
-  const wert = formular.get(name)
+  const wert = formular.get(name)
-  return wert === 'on' || wert === 'true' || wert === '1'
+  return wert === 'on' || wert === 'true' || wert === '1'
-}
+}
-
+
-/** Liest ein FormData flach in ein Objekt - ohne Mehrfachwerte. */
+/** Liest ein FormData flach in ein Objekt - ohne Mehrfachwerte. */
-export function formularLesen(formular: FormData): Record<string, unknown> {
+export function formularLesen(formular: FormData): Record<string, unknown> {
-  const roh: Record<string, unknown> = {}
+  const roh: Record<string, unknown> = {}
-  for (const [name, wert] of formular.entries()) {
+  for (const [name, wert] of formular.entries()) {
-    if (typeof wert === 'string') roh[name] = wert
+    if (typeof wert === 'string') roh[name] = wert
-  }
+  }
-  return roh
+  return roh
-}
+}
-
+
-/**
+/**
- * Zod-Feldfehler in die flache Form bringen, die die Formulare erwarten.
+ * Zod-Feldfehler in die flache Form bringen, die die Formulare erwarten.
- */
+ */
-export function feldfehler(fehler: z.ZodError): Record<string, string> {
+export function feldfehler(fehler: z.ZodError): Record<string, string> {
-  const flach = fehler.flatten().fieldErrors
+  const flach = fehler.flatten().fieldErrors
-  const ergebnis: Record<string, string> = {}
+  const ergebnis: Record<string, string> = {}
-  for (const [feld, meldungen] of Object.entries(flach)) {
+  for (const [feld, meldungen] of Object.entries(flach)) {
-    const erste = meldungen?.[0]
+    const erste = meldungen?.[0]
-    if (erste) ergebnis[feld] = erste
+    if (erste) ergebnis[feld] = erste
-  }
+  }
-  return ergebnis
+  return ergebnis
-}
+}

src/lib/validierung/vertraege.ts

@@ -1,171 +1,171 @@
-import { z } from 'zod'
+import { z } from 'zod'
-import {
+import {
-  optionalerBetrag,
+  optionalerBetrag,
-  optionalerText,
+  optionalerText,
-  optionaleZahl,
+  optionaleZahl,
-  optionalesDatum,
+  optionalesDatum,
-  pflichtBetrag,
+  pflichtBetrag,
-  pflichtDatum,
+  pflichtDatum,
-  pflichtText,
+  pflichtText,
-} from '@/lib/validierung/substanz'
+} from '@/lib/validierung/substanz'
-import { WERTQUELLEN_VERTRAG } from '@/lib/vertraege/konstanten'
+import { WERTQUELLEN_VERTRAG } from '@/lib/vertraege/konstanten'
-
+
-/**
+/**
- * Eingabepruefung fuer Versicherungen und Vertraege.
+ * Eingabepruefung fuer Versicherungen und Vertraege.
- */
+ */
-
+
-export const VERTRAG_ARTEN = [
+export const VERTRAG_ARTEN = [
-  'LEBENSVERSICHERUNG',
+  'LEBENSVERSICHERUNG',
-  'STERBEGELDVERSICHERUNG',
+  'STERBEGELDVERSICHERUNG',
-  'BESTATTUNGSVORSORGE',
+  'BESTATTUNGSVORSORGE',
-  'RENTENVERSICHERUNG_PRIVAT',
+  'RENTENVERSICHERUNG_PRIVAT',
-  'UNFALLVERSICHERUNG',
+  'UNFALLVERSICHERUNG',
-  'HAFTPFLICHT',
+  'HAFTPFLICHT',
-  'HAUSRAT',
+  'HAUSRAT',
-  'WOHNGEBAEUDE',
+  'WOHNGEBAEUDE',
-  'KRANKENZUSATZ',
+  'KRANKENZUSATZ',
-  'PFLEGEZUSATZ',
+  'PFLEGEZUSATZ',
-  'RECHTSSCHUTZ',
+  'RECHTSSCHUTZ',
-  'STERBEKASSE',
+  'STERBEKASSE',
-  'STROM',
+  'STROM',
-  'GAS',
+  'GAS',
-  'WASSER',
+  'WASSER',
-  'TELEFON_INTERNET',
+  'TELEFON_INTERNET',
-  'RUNDFUNKBEITRAG',
+  'RUNDFUNKBEITRAG',
-  'MITGLIEDSCHAFT',
+  'MITGLIEDSCHAFT',
-  'ABONNEMENT',
+  'ABONNEMENT',
-  'SONSTIGES',
+  'SONSTIGES',
-] as const
+] as const
-
+
-export const VERTRAG_STATUS = [
+export const VERTRAG_STATUS = [
-  'AKTIV',
+  'AKTIV',
-  'BEITRAGSFREI',
+  'BEITRAGSFREI',
-  'RUHEND',
+  'RUHEND',
-  'GEKUENDIGT',
+  'GEKUENDIGT',
-  'ABGETRETEN',
+  'ABGETRETEN',
-  'VERWERTET',
+  'VERWERTET',
-  'ABGELAUFEN',
+  'ABGELAUFEN',
-] as const
+] as const
-
+
-export const ZAHL_RHYTHMEN = [
+export const ZAHL_RHYTHMEN = [
-  'MONATLICH',
+  'MONATLICH',
-  'VIERTELJAEHRLICH',
+  'VIERTELJAEHRLICH',
-  'HALBJAEHRLICH',
+  'HALBJAEHRLICH',
-  'JAEHRLICH',
+  'JAEHRLICH',
-  'EINMALIG',
+  'EINMALIG',
-] as const
+] as const
-
+
-export const BEWERTUNGEN = ['UNGEPRUEFT', 'VERWERTBAR', 'GESCHUETZT', 'STRITTIG'] as const
+export const BEWERTUNGEN = ['UNGEPRUEFT', 'VERWERTBAR', 'GESCHUETZT', 'STRITTIG'] as const
-
+
-export const VertragSchema = z
+export const VertragSchema = z
-  .object({
+  .object({
-    bezeichnung: pflichtText(
+    bezeichnung: pflichtText(
-      150,
+      150,
-      'Bitte eine Bezeichnung angeben, z. B. „Sterbegeldversicherung Allianz“.',
+      'Bitte eine Bezeichnung angeben, z. B. „Sterbegeldversicherung Allianz“.',
-    ),
+    ),
-    gesellschaft: optionalerText(150),
+    gesellschaft: optionalerText(150),
-    art: z.enum(VERTRAG_ARTEN),
+    art: z.enum(VERTRAG_ARTEN),
-    status: z.enum(VERTRAG_STATUS).default('AKTIV'),
+    status: z.enum(VERTRAG_STATUS).default('AKTIV'),
-
+
-    /** Wird verschlüsselt gespeichert. */
+    /** Wird verschlüsselt gespeichert. */
-    vertragsnummer: optionalerText(80),
+    vertragsnummer: optionalerText(80),
-
+
-    beginnAm: optionalesDatum,
+    beginnAm: optionalesDatum,
-    endeAm: optionalesDatum,
+    endeAm: optionalesDatum,
-    kuendigungsfristMonate: optionaleZahl(
+    kuendigungsfristMonate: optionaleZahl(
-      0,
+      0,
-      120,
+      120,
-      'Bitte die Kündigungsfrist in ganzen Monaten angeben.',
+      'Bitte die Kündigungsfrist in ganzen Monaten angeben.',
-    ),
+    ),
-    kuendigungZum: optionalesDatum,
+    kuendigungZum: optionalesDatum,
-    gekuendigtAm: optionalesDatum,
+    gekuendigtAm: optionalesDatum,
-
+
-    beitrag: optionalerBetrag,
+    beitrag: optionalerBetrag,
-    rhythmus: z.enum(ZAHL_RHYTHMEN).nullable().catch(null),
+    rhythmus: z.enum(ZAHL_RHYTHMEN).nullable().catch(null),
-
+
-    bewertungSozialhilfe: z.enum(BEWERTUNGEN).default('UNGEPRUEFT'),
+    bewertungSozialhilfe: z.enum(BEWERTUNGEN).default('UNGEPRUEFT'),
-    bewertungBegruendung: optionalerText(4000),
+    bewertungBegruendung: optionalerText(4000),
-
+
-    notizen: optionalerText(4000),
+    notizen: optionalerText(4000),
-  })
+  })
-  .superRefine((daten, kontext) => {
+  .superRefine((daten, kontext) => {
-    if (daten.beginnAm && daten.endeAm && daten.endeAm.getTime() < daten.beginnAm.getTime()) {
+    if (daten.beginnAm && daten.endeAm && daten.endeAm.getTime() < daten.beginnAm.getTime()) {
-      kontext.addIssue({
+      kontext.addIssue({
-        code: z.ZodIssueCode.custom,
+        code: z.ZodIssueCode.custom,
-        path: ['endeAm'],
+        path: ['endeAm'],
-        message: 'Das Vertragsende liegt vor dem Beginn.',
+        message: 'Das Vertragsende liegt vor dem Beginn.',
-      })
+      })
-    }
+    }
-    if (daten.beitrag !== null && !daten.rhythmus) {
+    if (daten.beitrag !== null && !daten.rhythmus) {
-      kontext.addIssue({
+      kontext.addIssue({
-        code: z.ZodIssueCode.custom,
+        code: z.ZodIssueCode.custom,
-        path: ['rhythmus'],
+        path: ['rhythmus'],
-        message: 'Zu einem Beitrag gehört der Zahlungsrhythmus — sonst lässt sich der Jahresbeitrag nicht rechnen.',
+        message: 'Zu einem Beitrag gehört der Zahlungsrhythmus — sonst lässt sich der Jahresbeitrag nicht rechnen.',
-      })
+      })
-    }
+    }
-    if (daten.bewertungSozialhilfe !== 'UNGEPRUEFT' && !daten.bewertungBegruendung) {
+    if (daten.bewertungSozialhilfe !== 'UNGEPRUEFT' && !daten.bewertungBegruendung) {
-      kontext.addIssue({
+      kontext.addIssue({
-        code: z.ZodIssueCode.custom,
+        code: z.ZodIssueCode.custom,
-        path: ['bewertungBegruendung'],
+        path: ['bewertungBegruendung'],
-        message:
+        message:
-          'Bitte begründen, warum du den Vertrag so einordnest. Der Bezirk fragt danach, ' +
+          'Bitte begründen, warum du den Vertrag so einordnest. Der Bezirk fragt danach, ' +
-          'und im Zweifel steht diese Begründung Jahre später im Widerspruchsverfahren.',
+          'und im Zweifel steht diese Begründung Jahre später im Widerspruchsverfahren.',
-      })
+      })
-    }
+    }
-    if (daten.status === 'GEKUENDIGT' && !daten.gekuendigtAm) {
+    if (daten.status === 'GEKUENDIGT' && !daten.gekuendigtAm) {
-      kontext.addIssue({
+      kontext.addIssue({
-        code: z.ZodIssueCode.custom,
+        code: z.ZodIssueCode.custom,
-        path: ['gekuendigtAm'],
+        path: ['gekuendigtAm'],
-        message: 'Bitte das Datum der Kündigung angeben.',
+        message: 'Bitte das Datum der Kündigung angeben.',
-      })
+      })
-    }
+    }
-  })
+  })
-
+
-export type VertragEingabe = z.infer<typeof VertragSchema>
+export type VertragEingabe = z.infer<typeof VertragSchema>
-
+
-/** Rückkaufswert zu einem Stichtag - Historie, nichts wird überschrieben. */
+/** Rückkaufswert zu einem Stichtag - Historie, nichts wird überschrieben. */
-export const RueckkaufswertSchema = z.object({
+export const RueckkaufswertSchema = z.object({
-  stichtag: pflichtDatum,
+  stichtag: pflichtDatum,
-  wert: pflichtBetrag,
+  wert: pflichtBetrag,
-  wertquelle: z.enum(WERTQUELLEN_VERTRAG, {
+  wertquelle: z.enum(WERTQUELLEN_VERTRAG, {
-    errorMap: () => ({ message: 'Bitte angeben, woher der Wert stammt.' }),
+    errorMap: () => ({ message: 'Bitte angeben, woher der Wert stammt.' }),
-  }),
+  }),
-  bemerkung: optionalerText(1000),
+  bemerkung: optionalerText(1000),
-})
+})
-
+
-export type RueckkaufswertEingabe = z.infer<typeof RueckkaufswertSchema>
+export type RueckkaufswertEingabe = z.infer<typeof RueckkaufswertSchema>
-
+
-export const RueckkaufswertAnfrageSchema = z.object({
+export const RueckkaufswertAnfrageSchema = z.object({
-  stichtag: pflichtDatum,
+  stichtag: pflichtDatum,
-  empfaengerAnschrift: optionalerText(500),
+  empfaengerAnschrift: optionalerText(500),
-})
+})
-
+
-export type RueckkaufswertAnfrageEingabe = z.infer<typeof RueckkaufswertAnfrageSchema>
+export type RueckkaufswertAnfrageEingabe = z.infer<typeof RueckkaufswertAnfrageSchema>
-
+
-/**
+/**
- * Kündigung vermerken. Der Versandnachweis ist Pflicht: Ohne ihn lässt
+ * Kündigung vermerken. Der Versandnachweis ist Pflicht: Ohne ihn lässt
- * sich der Zugang nicht beweisen, und beweisen muss ihn derjenige, der
+ * sich der Zugang nicht beweisen, und beweisen muss ihn derjenige, der
- * gekündigt hat.
+ * gekündigt hat.
- */
+ */
-export const KuendigungVermerkenSchema = z
+export const KuendigungVermerkenSchema = z
-  .object({
+  .object({
-    gekuendigtAm: pflichtDatum,
+    gekuendigtAm: pflichtDatum,
-    kuendigungZum: optionalesDatum,
+    kuendigungZum: optionalesDatum,
-    versandart: pflichtText(100, 'Bitte angeben, wie die Kündigung versandt wurde.'),
+    versandart: pflichtText(100, 'Bitte angeben, wie die Kündigung versandt wurde.'),
-    nachweisVorhanden: z.boolean().default(false),
+    nachweisVorhanden: z.boolean().default(false),
-    genehmigungGeklaert: z.boolean().default(false),
+    genehmigungGeklaert: z.boolean().default(false),
-    bemerkung: optionalerText(2000),
+    bemerkung: optionalerText(2000),
-  })
+  })
-  .superRefine((daten, kontext) => {
+  .superRefine((daten, kontext) => {
-    if (!daten.nachweisVorhanden) {
+    if (!daten.nachweisVorhanden) {
-      kontext.addIssue({
+      kontext.addIssue({
-        code: z.ZodIssueCode.custom,
+        code: z.ZodIssueCode.custom,
-        path: ['nachweisVorhanden'],
+        path: ['nachweisVorhanden'],
-        message:
+        message:
-          'Ohne Versandnachweis wird die Kündigung nicht als erledigt geführt. ' +
+          'Ohne Versandnachweis wird die Kündigung nicht als erledigt geführt. ' +
-          'Lade Einschreibenbeleg oder Faxprotokoll als Dokument hoch und hake dann an.',
+          'Lade Einschreibenbeleg oder Faxprotokoll als Dokument hoch und hake dann an.',
-      })
+      })
-    }
+    }
-  })
+  })
-
+
-export type KuendigungVermerkenEingabe = z.infer<typeof KuendigungVermerkenSchema>
+export type KuendigungVermerkenEingabe = z.infer<typeof KuendigungVermerkenSchema>

src/lib/version.ts

@@ -17,7 +17,7 @@
  */
 
 /** Muss zur "version" in der package.json passen. */
-export const VERSION = '1.9.0'
+export const VERSION = '1.11.0'
 
 /**
  * Kurzer Git-Stand, beim Bauen hineingereicht:

src/lib/vertraege/briefkopf.ts

@@ -3,11 +3,20 @@ import type { Briefkopf } from '@/lib/vertraege/anschreiben'
 /**
  * Baut den Briefkopf aus Stammdaten und angemeldetem Benutzer.
  *
- * Die Anschrift des Betreuers steht im Datenmodell nicht - der Benutzer
+ * Die Anschrift des Betreuers haengt am Benutzer, nicht an der betreuten
- * hat nur Name und E-Mail. Sie bleibt deshalb leer; im erzeugten Text
+ * Person: Sie gehoert zu mir und gilt fuer alle Akten. Ist sie nicht
- * fehlen dann schlicht die beiden Zeilen, und wer den Entwurf kopiert,
+ * hinterlegt, bleiben die Zeilen weg - ein Absenderblock mit leeren
- * ergaenzt sie im Briefkopf seines Textverarbeitungsprogramms ohnehin.
+ * Zeilen sieht schlimmer aus als einer, der nur aus dem Namen besteht.
  */
+
+/** Wer schreibt - Name und, wenn hinterlegt, die eigene Anschrift. */
+export type Absender = {
+  name: string
+  strasse?: string | null
+  plz?: string | null
+  ort?: string | null
+}
+
 export type BriefkopfQuelle = {
   betreute: {
     vorname: string
@@ -22,7 +31,7 @@ export type BriefkopfQuelle = {
     aktenzeichenGericht: string | null
     bestellungAm: Date | null
   }
-  benutzer: { name: string }
+  benutzer: Absender
 }
 
 export function briefkopfBauen(quelle: BriefkopfQuelle): Briefkopf {
@@ -37,11 +46,11 @@ export function briefkopfBauen(quelle: BriefkopfQuelle): Briefkopf {
 
   return {
     betreuerName: quelle.benutzer.name,
-    betreuerStrasse: null,
+    betreuerStrasse: quelle.benutzer.strasse ?? null,
-    betreuerPlz: null,
+    betreuerPlz: quelle.benutzer.plz ?? null,
-    // Der Ort in der Datumszeile ist der Ort des Betreuers, nicht der des
+    // Der Ort in der Datumszeile ist der Ort des Betreuers, nicht der
-    // Heims - er steht nirgends im Datenmodell und bleibt deshalb leer.
+    // des Heims.
-    betreuerOrt: null,
+    betreuerOrt: quelle.benutzer.ort ?? null,
     betreuteName: `${b.anrede ? `${b.anrede} ` : ''}${b.vorname} ${b.nachname}`.trim(),
     betreuteGeburtsdatum: b.geburtsdatum,
     betreuteAnschrift: anschrift || null,

src/lib/vertraege/kuendigung.ts

@@ -1,227 +1,227 @@
-import { alsIsoTag, heuteAlsTag, plusJahre, plusMonate, plusTage, tageZwischen, tagesdatum } from '@/lib/fristen/datum'
+import { alsIsoTag, heuteAlsTag, plusJahre, plusMonate, plusTage, tageZwischen, tagesdatum } from '@/lib/fristen/datum'
-
+
-/**
+/**
- * Kuendigungsfrist-Rechner.
+ * Kuendigungsfrist-Rechner.
- *
+ *
- * Die eigentliche Falle bei Versicherungsvertraegen ist nicht der
+ * Die eigentliche Falle bei Versicherungsvertraegen ist nicht der
- * Kuendigungstermin, sondern der Tag, an dem der Brief spaetestens raus
+ * Kuendigungstermin, sondern der Tag, an dem der Brief spaetestens raus
- * muss. Eine Kuendigung wird mit dem ZUGANG beim Versicherer wirksam, nicht
+ * muss. Eine Kuendigung wird mit dem ZUGANG beim Versicherer wirksam, nicht
- * mit dem Absenden - wer am letzten Tag der Frist einwirft, hat die Frist
+ * mit dem Absenden - wer am letzten Tag der Frist einwirft, hat die Frist
- * verpasst und zahlt ein weiteres Jahr.
+ * verpasst und zahlt ein weiteres Jahr.
- *
+ *
- * Deshalb rechnet diese Datei drei Daten aus:
+ * Deshalb rechnet diese Datei drei Daten aus:
- *
+ *
- *   1. den naechstmoeglichen Kuendigungstermin (zu wann kann gekuendigt werden),
+ *   1. den naechstmoeglichen Kuendigungstermin (zu wann kann gekuendigt werden),
- *   2. den Tag, an dem die Kuendigung spaetestens zugehen muss,
+ *   2. den Tag, an dem die Kuendigung spaetestens zugehen muss,
- *   3. den spaetesten Absendetag mit Postlaufpuffer.
+ *   3. den spaetesten Absendetag mit Postlaufpuffer.
- *
+ *
- * Reine Logik, keine Datenbank.
+ * Reine Logik, keine Datenbank.
- */
+ */
-
+
-/**
+/**
- * Puffer zwischen Absenden und Zugang. Drei Kalendertage sind knapp, aber
+ * Puffer zwischen Absenden und Zugang. Drei Kalendertage sind knapp, aber
- * bei einem Einwurf-Einschreiben realistisch. Wer es genauer braucht,
+ * bei einem Einwurf-Einschreiben realistisch. Wer es genauer braucht,
- * schickt zusaetzlich ein Fax oder eine E-Mail - beides zaehlt fuer den
+ * schickt zusaetzlich ein Fax oder eine E-Mail - beides zaehlt fuer den
- * Zugang und ist am selben Tag da.
+ * Zugang und ist am selben Tag da.
- */
+ */
-export const POSTLAUF_PUFFER_TAGE = 3
+export const POSTLAUF_PUFFER_TAGE = 3
-
+
-/** Ab wann wird gewarnt, dass der Absendetag naeher rueckt. */
+/** Ab wann wird gewarnt, dass der Absendetag naeher rueckt. */
-export const KUENDIGUNG_VORWARNUNG_TAGE = 30
+export const KUENDIGUNG_VORWARNUNG_TAGE = 30
-
+
-/**
+/**
- * Verlaengerung, wenn im Vertrag keine Laufzeit hinterlegt ist. Ein Jahr
+ * Verlaengerung, wenn im Vertrag keine Laufzeit hinterlegt ist. Ein Jahr
- * ist bei Versicherungen der Regelfall (§ 11 Abs. 1 VVG).
+ * ist bei Versicherungen der Regelfall (§ 11 Abs. 1 VVG).
- */
+ */
-export const STANDARD_LAUFZEIT_JAHRE = 1
+export const STANDARD_LAUFZEIT_JAHRE = 1
-
+
-export type KuendigungEingabe = {
+export type KuendigungEingabe = {
-  /** Laufzeitbeginn laut Vertrag. */
+  /** Laufzeitbeginn laut Vertrag. */
-  beginnAm: Date | null
+  beginnAm: Date | null
-  /** Fest vereinbartes Vertragsende, falls bekannt. */
+  /** Fest vereinbartes Vertragsende, falls bekannt. */
-  endeAm?: Date | null
+  endeAm?: Date | null
-  /** Vertragsdauer in Jahren; fehlt sie, wird mit einem Jahr gerechnet. */
+  /** Vertragsdauer in Jahren; fehlt sie, wird mit einem Jahr gerechnet. */
-  laufzeitJahre?: number | null
+  laufzeitJahre?: number | null
-  /** Kuendigungsfrist in Monaten zum Ende der Laufzeit. */
+  /** Kuendigungsfrist in Monaten zum Ende der Laufzeit. */
-  kuendigungsfristMonate: number | null
+  kuendigungsfristMonate: number | null
-  /** Verlaengert sich der Vertrag stillschweigend? Regelfall: ja. */
+  /** Verlaengert sich der Vertrag stillschweigend? Regelfall: ja. */
-  verlaengertSichAutomatisch?: boolean
+  verlaengertSichAutomatisch?: boolean
-  /** Bezugstag; im Test gesetzt, sonst heute. */
+  /** Bezugstag; im Test gesetzt, sonst heute. */
-  heute?: Date
+  heute?: Date
-}
+}
-
+
-export type Kuendigungsplan = {
+export type Kuendigungsplan = {
-  /** Laesst sich ueberhaupt etwas berechnen? */
+  /** Laesst sich ueberhaupt etwas berechnen? */
-  berechenbar: boolean
+  berechenbar: boolean
-  /** Zu diesem Tag kann als Naechstes gekuendigt werden. */
+  /** Zu diesem Tag kann als Naechstes gekuendigt werden. */
-  naechsterTermin: Date | null
+  naechsterTermin: Date | null
-  /** Bis zu diesem Tag muss die Kuendigung beim Vertragspartner sein. */
+  /** Bis zu diesem Tag muss die Kuendigung beim Vertragspartner sein. */
-  zugangSpaetestensAm: Date | null
+  zugangSpaetestensAm: Date | null
-  /** Bis zu diesem Tag muss der Brief raus (Zugang minus Postlauf). */
+  /** Bis zu diesem Tag muss der Brief raus (Zugang minus Postlauf). */
-  spaetesterAbsendetag: Date | null
+  spaetesterAbsendetag: Date | null
-  /** Tage von heute bis zum Absendetag. Negativ heisst: schon vorbei. */
+  /** Tage von heute bis zum Absendetag. Negativ heisst: schon vorbei. */
-  tageBisAbsendetag: number | null
+  tageBisAbsendetag: number | null
-  /** Weniger als 30 Tage bis zum Absendetag - jetzt handeln. */
+  /** Weniger als 30 Tage bis zum Absendetag - jetzt handeln. */
-  vorwarnung: boolean
+  vorwarnung: boolean
-  /** Der Absendetag ist verstrichen und der Vertrag laeuft aus. */
+  /** Der Absendetag ist verstrichen und der Vertrag laeuft aus. */
-  verpasst: boolean
+  verpasst: boolean
-  /** Erklaerungen und Annahmen, die in die Rechnung eingegangen sind. */
+  /** Erklaerungen und Annahmen, die in die Rechnung eingegangen sind. */
-  hinweise: string[]
+  hinweise: string[]
-}
+}
-
+
-const LEERER_PLAN: Kuendigungsplan = {
+const LEERER_PLAN: Kuendigungsplan = {
-  berechenbar: false,
+  berechenbar: false,
-  naechsterTermin: null,
+  naechsterTermin: null,
-  zugangSpaetestensAm: null,
+  zugangSpaetestensAm: null,
-  spaetesterAbsendetag: null,
+  spaetesterAbsendetag: null,
-  tageBisAbsendetag: null,
+  tageBisAbsendetag: null,
-  vorwarnung: false,
+  vorwarnung: false,
-  verpasst: false,
+  verpasst: false,
-  hinweise: [],
+  hinweise: [],
-}
+}
-
+
-/**
+/**
- * Berechnet den naechstmoeglichen Kuendigungstermin.
+ * Berechnet den naechstmoeglichen Kuendigungstermin.
- *
+ *
- * Vorgehen: Vom ersten Ablauftermin an wird geprueft, ob der zugehoerige
+ * Vorgehen: Vom ersten Ablauftermin an wird geprueft, ob der zugehoerige
- * Absendetag noch in der Zukunft liegt. Ist er verstrichen, wird um eine
+ * Absendetag noch in der Zukunft liegt. Ist er verstrichen, wird um eine
- * Laufzeit weitergerueckt. Der erste Termin, dessen Brief noch rechtzeitig
+ * Laufzeit weitergerueckt. Der erste Termin, dessen Brief noch rechtzeitig
- * rausgeht, ist der naechstmoegliche.
+ * rausgeht, ist der naechstmoegliche.
- */
+ */
-export function kuendigungsplan(eingabe: KuendigungEingabe): Kuendigungsplan {
+export function kuendigungsplan(eingabe: KuendigungEingabe): Kuendigungsplan {
-  const heute = tagesdatum(eingabe.heute ?? heuteAlsTag())
+  const heute = tagesdatum(eingabe.heute ?? heuteAlsTag())
-  const hinweise: string[] = []
+  const hinweise: string[] = []
-
+
-  const frist = eingabe.kuendigungsfristMonate
+  const frist = eingabe.kuendigungsfristMonate
-  if (frist === null || frist === undefined) {
+  if (frist === null || frist === undefined) {
-    hinweise.push(
+    hinweise.push(
-      'Es ist keine Kündigungsfrist hinterlegt. Es wird ohne Frist gerechnet — ' +
+      'Es ist keine Kündigungsfrist hinterlegt. Es wird ohne Frist gerechnet — ' +
-        'bitte im Vertrag nachsehen und nachtragen.',
+        'bitte im Vertrag nachsehen und nachtragen.',
-    )
+    )
-  }
+  }
-  const fristMonate = frist ?? 0
+  const fristMonate = frist ?? 0
-
+
-  const laufzeit =
+  const laufzeit =
-    eingabe.laufzeitJahre && eingabe.laufzeitJahre > 0
+    eingabe.laufzeitJahre && eingabe.laufzeitJahre > 0
-      ? eingabe.laufzeitJahre
+      ? eingabe.laufzeitJahre
-      : STANDARD_LAUFZEIT_JAHRE
+      : STANDARD_LAUFZEIT_JAHRE
-  if (!eingabe.laufzeitJahre || eingabe.laufzeitJahre <= 0) {
+  if (!eingabe.laufzeitJahre || eingabe.laufzeitJahre <= 0) {
-    hinweise.push(
+    hinweise.push(
-      `Im Vertrag steht keine Laufzeit. Gerechnet wird mit einer Verlängerung um ` +
+      `Im Vertrag steht keine Laufzeit. Gerechnet wird mit einer Verlängerung um ` +
-        `${STANDARD_LAUFZEIT_JAHRE} Jahr — bei Versicherungen der Regelfall.`,
+        `${STANDARD_LAUFZEIT_JAHRE} Jahr — bei Versicherungen der Regelfall.`,
-    )
+    )
-  }
+  }
-
+
-  const verlaengert = eingabe.verlaengertSichAutomatisch ?? true
+  const verlaengert = eingabe.verlaengertSichAutomatisch ?? true
-
+
-  // Erster Ablauftermin: das vereinbarte Ende, sonst Beginn plus Laufzeit.
+  // Erster Ablauftermin: das vereinbarte Ende, sonst Beginn plus Laufzeit.
-  let termin: Date | null = null
+  let termin: Date | null = null
-  if (eingabe.endeAm) {
+  if (eingabe.endeAm) {
-    termin = tagesdatum(eingabe.endeAm)
+    termin = tagesdatum(eingabe.endeAm)
-  } else if (eingabe.beginnAm) {
+  } else if (eingabe.beginnAm) {
-    termin = plusJahre(tagesdatum(eingabe.beginnAm), laufzeit)
+    termin = plusJahre(tagesdatum(eingabe.beginnAm), laufzeit)
-  }
+  }
-
+
-  if (!termin) {
+  if (!termin) {
-    return {
+    return {
-      ...LEERER_PLAN,
+      ...LEERER_PLAN,
-      hinweise: [
+      hinweise: [
-        'Ohne Laufzeitbeginn oder Vertragsende lässt sich kein Kündigungstermin ' +
+        'Ohne Laufzeitbeginn oder Vertragsende lässt sich kein Kündigungstermin ' +
-          'berechnen. Bitte mindestens den Vertragsbeginn eintragen.',
+          'berechnen. Bitte mindestens den Vertragsbeginn eintragen.',
-      ],
+      ],
-    }
+    }
-  }
+  }
-
+
-  // Bis zu 200 Verlaengerungen durchgehen - deckt auch einen Vertrag von
+  // Bis zu 200 Verlaengerungen durchgehen - deckt auch einen Vertrag von
-  // 1962 ab, ohne bei fehlerhaften Daten endlos zu laufen.
+  // 1962 ab, ohne bei fehlerhaften Daten endlos zu laufen.
-  let absendetag = absendetagZu(termin, fristMonate)
+  let absendetag = absendetagZu(termin, fristMonate)
-  let durchlaeufe = 0
+  let durchlaeufe = 0
-  while (absendetag.getTime() < heute.getTime() && verlaengert && durchlaeufe < 200) {
+  while (absendetag.getTime() < heute.getTime() && verlaengert && durchlaeufe < 200) {
-    termin = plusJahre(termin, laufzeit)
+    termin = plusJahre(termin, laufzeit)
-    absendetag = absendetagZu(termin, fristMonate)
+    absendetag = absendetagZu(termin, fristMonate)
-    durchlaeufe += 1
+    durchlaeufe += 1
-  }
+  }
-
+
-  const zugang = plusMonate(termin, -fristMonate)
+  const zugang = plusMonate(termin, -fristMonate)
-  const tageBis = tageZwischen(heute, absendetag)
+  const tageBis = tageZwischen(heute, absendetag)
-  const verpasst = absendetag.getTime() < heute.getTime()
+  const verpasst = absendetag.getTime() < heute.getTime()
-
+
-  if (verpasst) {
+  if (verpasst) {
-    hinweise.push(
+    hinweise.push(
-      `Der Absendetag für den Termin ${alsIsoTag(termin)} ist verstrichen. ` +
+      `Der Absendetag für den Termin ${alsIsoTag(termin)} ist verstrichen. ` +
-        `Dieser Vertrag verlängert sich nicht automatisch — eine Kündigung zu diesem ` +
+        `Dieser Vertrag verlängert sich nicht automatisch — eine Kündigung zu diesem ` +
-        `Termin ist nicht mehr möglich.`,
+        `Termin ist nicht mehr möglich.`,
-    )
+    )
-  } else if (durchlaeufe > 0) {
+  } else if (durchlaeufe > 0) {
-    hinweise.push(
+    hinweise.push(
-      `Der Vertrag hat sich bereits ${durchlaeufe}-mal verlängert. Angezeigt ist der ` +
+      `Der Vertrag hat sich bereits ${durchlaeufe}-mal verlängert. Angezeigt ist der ` +
-        `nächste Termin, zu dem noch rechtzeitig gekündigt werden kann.`,
+        `nächste Termin, zu dem noch rechtzeitig gekündigt werden kann.`,
-    )
+    )
-  }
+  }
-
+
-  hinweise.push(
+  hinweise.push(
-    `Eine Kündigung wird mit dem Zugang wirksam, nicht mit dem Absenden. Deshalb ` +
+    `Eine Kündigung wird mit dem Zugang wirksam, nicht mit dem Absenden. Deshalb ` +
-      `sind zwischen Absendetag und Zugang ${POSTLAUF_PUFFER_TAGE} Tage Postlauf ` +
+      `sind zwischen Absendetag und Zugang ${POSTLAUF_PUFFER_TAGE} Tage Postlauf ` +
-      `eingerechnet. Am sichersten: Einschreiben mit Rückschein oder zusätzlich ` +
+      `eingerechnet. Am sichersten: Einschreiben mit Rückschein oder zusätzlich ` +
-      `ein Fax mit Sendeprotokoll.`,
+      `ein Fax mit Sendeprotokoll.`,
-  )
+  )
-
+
-  return {
+  return {
-    berechenbar: true,
+    berechenbar: true,
-    naechsterTermin: termin,
+    naechsterTermin: termin,
-    zugangSpaetestensAm: zugang,
+    zugangSpaetestensAm: zugang,
-    spaetesterAbsendetag: absendetag,
+    spaetesterAbsendetag: absendetag,
-    tageBisAbsendetag: tageBis,
+    tageBisAbsendetag: tageBis,
-    vorwarnung: !verpasst && tageBis <= KUENDIGUNG_VORWARNUNG_TAGE,
+    vorwarnung: !verpasst && tageBis <= KUENDIGUNG_VORWARNUNG_TAGE,
-    verpasst,
+    verpasst,
-    hinweise,
+    hinweise,
-  }
+  }
-}
+}
-
+
-/** Der Absendetag zu einem Termin: Termin minus Frist minus Postlauf. */
+/** Der Absendetag zu einem Termin: Termin minus Frist minus Postlauf. */
-export function absendetagZu(termin: Date, fristMonate: number): Date {
+export function absendetagZu(termin: Date, fristMonate: number): Date {
-  return plusTage(plusMonate(tagesdatum(termin), -fristMonate), -POSTLAUF_PUFFER_TAGE)
+  return plusTage(plusMonate(tagesdatum(termin), -fristMonate), -POSTLAUF_PUFFER_TAGE)
-}
+}
-
+
-/**
+/**
- * Kurzfassung fuer die Uebersichtstabelle: eine Ampelstufe je Vertrag.
+ * Kurzfassung fuer die Uebersichtstabelle: eine Ampelstufe je Vertrag.
- * Farbe ist nie die einzige Information - der Text steht daneben.
+ * Farbe ist nie die einzige Information - der Text steht daneben.
- */
+ */
-export type Kuendigungsampel = {
+export type Kuendigungsampel = {
-  variante: 'rot' | 'orange' | 'gelb' | 'gruen'
+  variante: 'rot' | 'orange' | 'gelb' | 'gruen'
-  text: string
+  text: string
-}
+}
-
+
-export function kuendigungsampel(plan: Kuendigungsplan): Kuendigungsampel | null {
+export function kuendigungsampel(plan: Kuendigungsplan): Kuendigungsampel | null {
-  if (!plan.berechenbar || plan.tageBisAbsendetag === null) return null
+  if (!plan.berechenbar || plan.tageBisAbsendetag === null) return null
-  if (plan.verpasst) {
+  if (plan.verpasst) {
-    return { variante: 'rot', text: 'Absendetag verstrichen' }
+    return { variante: 'rot', text: 'Absendetag verstrichen' }
-  }
+  }
-  const tage = plan.tageBisAbsendetag
+  const tage = plan.tageBisAbsendetag
-  if (tage <= 7) return { variante: 'rot', text: `Brief muss in ${tage} Tagen raus` }
+  if (tage <= 7) return { variante: 'rot', text: `Brief muss in ${tage} Tagen raus` }
-  if (tage <= KUENDIGUNG_VORWARNUNG_TAGE) {
+  if (tage <= KUENDIGUNG_VORWARNUNG_TAGE) {
-    return { variante: 'orange', text: `Brief muss in ${tage} Tagen raus` }
+    return { variante: 'orange', text: `Brief muss in ${tage} Tagen raus` }
-  }
+  }
-  if (tage <= 60) return { variante: 'gelb', text: `Absendetag in ${tage} Tagen` }
+  if (tage <= 60) return { variante: 'gelb', text: `Absendetag in ${tage} Tagen` }
-  return { variante: 'gruen', text: `Absendetag in ${tage} Tagen` }
+  return { variante: 'gruen', text: `Absendetag in ${tage} Tagen` }
-}
+}
-
+
-/**
+/**
- * Die Vertragsdauer aus Beginn und vereinbartem Ende.
+ * Die Vertragsdauer aus Beginn und vereinbartem Ende.
- *
+ *
- * Das Datenmodell kennt kein Feld "Laufzeit" (siehe
+ * Das Datenmodell kennt kein Feld "Laufzeit" (siehe
- * docs/schema-wuensche/substanz.md, Punkt 8). Stehen aber beide Daten im
+ * docs/schema-wuensche/substanz.md, Punkt 8). Stehen aber beide Daten im
- * Vertrag, ergibt sich die Dauer daraus: Ein Vertrag vom 01.01.2018 bis
+ * Vertrag, ergibt sich die Dauer daraus: Ein Vertrag vom 01.01.2018 bis
- * 01.01.2021 hat eine dreijaehrige Laufzeit und verlaengert sich um
+ * 01.01.2021 hat eine dreijaehrige Laufzeit und verlaengert sich um
- * dieselbe Spanne. Gerundet wird auf volle Jahre - ein Jahr sind 365 Tage,
+ * dieselbe Spanne. Gerundet wird auf volle Jahre - ein Jahr sind 365 Tage,
- * ein Schaltjahr 366, und beides soll dieselbe Laufzeit ergeben. Liegt die
+ * ein Schaltjahr 366, und beides soll dieselbe Laufzeit ergeben. Liegt die
- * Spanne unter einem halben Jahr, bleibt es beim Standard.
+ * Spanne unter einem halben Jahr, bleibt es beim Standard.
- */
+ */
-export function laufzeitAusVertrag(
+export function laufzeitAusVertrag(
-  beginnAm: Date | null,
+  beginnAm: Date | null,
-  endeAm: Date | null,
+  endeAm: Date | null,
-): number | null {
+): number | null {
-  if (!beginnAm || !endeAm) return null
+  if (!beginnAm || !endeAm) return null
-  const jahre = Math.round(tageZwischen(beginnAm, endeAm) / 365.25)
+  const jahre = Math.round(tageZwischen(beginnAm, endeAm) / 365.25)
-  return jahre >= 1 ? jahre : null
+  return jahre >= 1 ? jahre : null
-}
+}

src/lib/vertraege/serienlauf.ts

@@ -4,7 +4,7 @@ import { db, nichtGeloescht } from '@/lib/db'
 import { oeffnen } from '@/lib/crypto/feld'
 import { protokollieren } from '@/lib/audit'
 import { ablegenMitTyp } from '@/lib/speicher'
-import { briefkopfBauen } from '@/lib/vertraege/briefkopf'
+import { briefkopfBauen, type Absender } from '@/lib/vertraege/briefkopf'
 import {
   RUECKKAUFSWERT_WIEDERVORLAGE_TAGE,
   rueckkaufswertAnschreiben,
@@ -53,7 +53,7 @@ export async function serienlaufDurchfuehren(eingabe: {
   betreuteId: string
   vertragIds: string[]
   stichtag: Date
-  benutzer: { id: string; name: string; email: string }
+  benutzer: { id: string; name: string; email: string } & Absender
 }): Promise<SerienErgebnis> {
   const heute = heuteAlsTag()
   const { betreuteId, benutzer } = eingabe
@@ -65,7 +65,7 @@ export async function serienlaufDurchfuehren(eingabe: {
 
   const kopf = briefkopfBauen({
     betreute: oeffnen('Betreute', betreute),
-    benutzer: { name: benutzer.name },
+    benutzer,
   })
 
   // Nur Vertraege dieser betreuten Person - fremde IDs laufen ins Leere.

src/middleware.ts

@@ -30,8 +30,21 @@ import { NextResponse, type NextRequest } from 'next/server'
  *   Data-URI eingebettet, statt sie ueber einen Fremddienst zu holen.
  */
 
-/** Ohne Authentifizierungs-Cookie gar nicht erst weiterreichen. */
+/**
-const OEFFENTLICHE_PFADE = [
+ * Seiten, die auch ohne Anmeldung sinnvoll im Verlauf stehen duerfen.
+ *
+ * ACHTUNG - was diese Liste NICHT ist: eine Zugriffskontrolle. Frueher
+ * stand hier "Ohne Authentifizierungs-Cookie gar nicht erst weiterreichen",
+ * und das war schlicht falsch: Die Middleware prueft keine Anmeldung, sie
+ * setzt Kopfzeilen. Ausgewertet wird die Liste einzig fuer die Frage, ob
+ * "Cache-Control: no-store" gesetzt wird.
+ *
+ * Der Irrtum waere teuer geworden: Wer den Satz glaubt, verzichtet an einer
+ * neuen Seite auf erfordereBenutzer() - "die Middleware faengt das ja ab".
+ * Sie faengt nichts ab. Der Zugriffsschutz sitzt in
+ * src/lib/auth/sitzung.ts, und nur dort.
+ */
+const OHNE_CACHE_SPERRE = [
   '/anmelden',
   '/ersteinrichtung',
   '/datenschutz',
@@ -79,7 +92,7 @@ export function middleware(anfrage: NextRequest) {
 
   // Verhindert, dass ein Bericht oder Beleg im Verlauf des Browsers
   // zwischengespeichert wird.
-  if (!OEFFENTLICHE_PFADE.some((pfad) => anfrage.nextUrl.pathname.startsWith(pfad))) {
+  if (!OHNE_CACHE_SPERRE.some((pfad) => anfrage.nextUrl.pathname.startsWith(pfad))) {
     antwort.headers.set('Cache-Control', 'no-store, must-revalidate')
   }
 

src/server/actions/anmelden.ts

@@ -5,6 +5,7 @@ import { headers } from 'next/headers'
 import { z } from 'zod'
 import { signIn } from '@/auth'
 import { anmeldungErlaubt } from '@/lib/auth/ratelimit'
+import { anschlussAus } from '@/lib/auth/anschluss'
 
 /**
  * Server Action fuer das Anmeldeformular.
@@ -43,11 +44,10 @@ function istWeiterleitung(fehler: unknown): boolean {
   )
 }
 
-/** Hinter dem Reverse Proxy steht die echte Adresse im weitergereichten Kopf. */
+/** Siehe src/lib/auth/anschluss.ts - der Kopf wird nur mit Proxy geglaubt. */
 async function ipDerAnfrage(): Promise<string | null> {
   try {
-    const kopf = await headers()
+    return anschlussAus(await headers())
-    return kopf.get('x-forwarded-for')?.split(',')[0]?.trim() || kopf.get('x-real-ip') || null
   } catch {
     return null
   }

src/server/actions/bestaetigen.ts

@@ -5,7 +5,7 @@ import { z } from 'zod'
 import { db } from '@/lib/db'
 import { erfordereBenutzer, reauthBestaetigen } from '@/lib/auth/sitzung'
 import { passwortPruefen } from '@/lib/crypto/hash'
-import { totpPruefen, totpSecretEntschluesseln } from '@/lib/crypto/totp'
+import { zweitenFaktorEinloesen } from '@/lib/auth/zweiter-faktor'
 import { aufMindestdauerWarten } from '@/lib/auth/ratelimit'
 
 /**
@@ -56,10 +56,14 @@ export async function anmeldungBestaetigen(
 
   const passwortStimmt = await passwortPruefen(frisch.passwortHash, gelesen.data.passwort)
 
+  // Der Code wird nur eingeloest, wenn das Passwort stimmt. Sonst
+  // verbrauchte ein falsches Passwort mit richtigem Code das Zeitfenster,
+  // und der Benutzer muesste dreissig Sekunden auf den naechsten warten -
+  // ohne zu verstehen, warum.
   let codeStimmt = true
-  if (frisch.totpSecretVerschluesselt && frisch.totpAktiviertAm) {
+  if (passwortStimmt && frisch.totpSecretVerschluesselt && frisch.totpAktiviertAm) {
-    const secret = totpSecretEntschluesseln(frisch.totpSecretVerschluesselt)
+    const eingeloest = await zweitenFaktorEinloesen(frisch, gelesen.data.code)
-    codeStimmt = totpPruefen(secret, frisch.email, gelesen.data.code).gueltig
+    codeStimmt = eingeloest.ok
   }
 
   if (!passwortStimmt || !codeStimmt) {

src/server/actions/ersteinrichtung.ts

@@ -1,25 +1,49 @@
 'use server'
 
 import { redirect } from 'next/navigation'
+import { createHash, timingSafeEqual } from 'node:crypto'
 import { z } from 'zod'
 import { db } from '@/lib/db'
+import { env } from '@/lib/env'
 import { passwortHashen } from '@/lib/crypto/hash'
 import { protokollieren } from '@/lib/audit'
+import { aufMindestdauerWarten } from '@/lib/auth/ratelimit'
 
 /**
  * Anlegen des allerersten Zugangs.
  *
- * Diese Aktion ist nur so lange erreichbar, wie es noch keinen Benutzer
+ * Diese Aktion ist die einzige Stelle der Anwendung, an der jemand ohne
- * gibt. Danach sperrt sie sich selbst - sonst koennte sich jemand von
+ * Anmeldung etwas schreiben darf. Entsprechend eng ist sie gebaut - zwei
- * aussen einen Administratorzugang anlegen.
+ * Dinge sichern sie ab:
+ *
+ * ## 1. Ein Geheimnis aus der Umgebung
+ *
+ * Vorher galt: "Wenn es noch keinen Benutzer gibt, darf jeder einen
+ * anlegen." Zwischen dem ersten Start und dem Anlegen des Zugangs stand die
+ * Seite damit offen - wer sie in diesem Fenster fand, wurde Administrator
+ * einer Anwendung mit Gesundheits- und Finanzdaten. Das Fenster ist kurz,
+ * aber Zufall ist keine Zugriffskontrolle. Jetzt muss ERSTEINRICHTUNG_
+ * GEHEIMNIS aus der .env mit eingegeben werden.
+ *
+ * ## 2. Eine Sperre in der Datenbank
+ *
+ * Die Pruefung "gibt es schon einen Benutzer?" und das Anlegen waren zwei
+ * getrennte Schritte. Zwei Anfragen gleichzeitig kamen beide durch die
+ * Pruefung, bevor eine von ihnen schrieb - und legten beide einen
+ * Administrator an. Jetzt entscheidet der Primaerschluessel der Tabelle
+ * ersteinrichtung, und der laesst genau einen Gewinner zu.
  */
 
 const PASSWORT_MINDESTLAENGE = 12
 
+/** Fester Schluessel der einen Zeile, die die Sperre bildet. */
+const SPERRE = 'einmalig'
+
 const ZugangSchema = z
   .object({
     name: z.string().trim().min(2, 'Bitte deinen Namen angeben.').max(120),
     email: z.string().trim().toLowerCase().email('Bitte eine gültige E-Mail-Adresse angeben.'),
+    geheimnis: z.string().min(1, 'Bitte das Einrichtungsgeheimnis aus der .env eingeben.'),
     passwort: z
       .string()
       .min(
@@ -37,22 +61,54 @@ const ZugangSchema = z
 
 export type ZugangZustand = {
   fehler?: string
-  felder?: Partial<Record<'name' | 'email' | 'passwort' | 'passwortWiederholung', string>>
+  felder?: Partial<
+    Record<'name' | 'email' | 'passwort' | 'passwortWiederholung' | 'geheimnis', string>
+  >
   werte?: { name?: string; email?: string }
 }
 
+/**
+ * Vergleicht zwei Zeichenketten in gleichbleibender Zeit.
+ *
+ * Ueber die Laenge wird gehasht, nicht abgeschnitten: timingSafeEqual will
+ * gleich lange Puffer, und ein vorgeschalteter Laengenvergleich verriete
+ * die Laenge des Geheimnisses.
+ */
+function gleich(eingabe: string, erwartet: string): boolean {
+  const a = createHash('sha256').update(eingabe).digest()
+  const b = createHash('sha256').update(erwartet).digest()
+  return timingSafeEqual(a, b)
+}
+
 export async function erstenZugangAnlegen(
   _vorher: ZugangZustand,
   formular: FormData,
 ): Promise<ZugangZustand> {
-  const vorhandene = await db.user.count()
+  const begonnen = Date.now()
-  if (vorhandene > 0) {
+
+  // Ist die Einrichtung schon gelaufen, ist hier Schluss - unabhaengig
+  // davon, ob der Benutzer inzwischen im Papierkorb liegt.
+  const bereitsErledigt = await db.ersteinrichtung.findUnique({
+    where: { id: SPERRE },
+    select: { id: true },
+  })
+  if (bereitsErledigt || (await db.user.count()) > 0) {
     return { fehler: 'Es gibt bereits einen Zugang. Bitte melde dich an.' }
   }
 
+  if (env.ersteinrichtungGeheimnis === '') {
+    return {
+      fehler:
+        'Die Ersteinrichtung ist gesperrt, weil ERSTEINRICHTUNG_GEHEIMNIS in der .env fehlt. ' +
+        'Trage dort einen zufälligen Wert ein („npm run schluessel“ erzeugt passende), starte ' +
+        'die Anwendung neu und gib ihn hier ein.',
+    }
+  }
+
   const gelesen = ZugangSchema.safeParse({
     name: formular.get('name'),
     email: formular.get('email'),
+    geheimnis: formular.get('geheimnis'),
     passwort: formular.get('passwort'),
     passwortWiederholung: formular.get('passwortWiederholung'),
   })
@@ -64,6 +120,7 @@ export async function erstenZugangAnlegen(
       felder: {
         name: felder.name?.[0],
         email: felder.email?.[0],
+        geheimnis: felder.geheimnis?.[0],
         passwort: felder.passwort?.[0],
         passwortWiederholung: felder.passwortWiederholung?.[0],
       },
@@ -74,24 +131,50 @@ export async function erstenZugangAnlegen(
     }
   }
 
-  const { name, email, passwort } = gelesen.data
+  const { name, email, passwort, geheimnis } = gelesen.data
 
-  const benutzer = await db.user.create({
+  if (!gleich(geheimnis, env.ersteinrichtungGeheimnis)) {
-    data: {
+    // Dieselbe Mindestdauer wie am Anmeldeformular: Sonst verraet die
-      name,
+    // Antwortzeit, ob das Geheimnis stimmte und erst das Anlegen scheiterte.
-      email,
+    await aufMindestdauerWarten(begonnen)
-      passwortHash: await passwortHashen(passwort),
+    return {
-      // Der erste Zugang verwaltet auch die Anwendung.
+      fehler: 'Das Einrichtungsgeheimnis stimmt nicht.',
-      rolle: 'ADMIN',
+      felder: { geheimnis: 'Stimmt nicht mit ERSTEINRICHTUNG_GEHEIMNIS überein.' },
-    },
+      werte: { name, email },
-  })
+    }
+  }
+
+  // Anlegen und Sperren in einem Zug. Kommt eine zweite Anfrage gleichzeitig
+  // hier an, scheitert sie am Primaerschluessel der Sperrzeile - und zwar
+  // bevor ein zweiter Administrator entstanden ist.
+  let benutzerId: string
+  try {
+    const ergebnis = await db.$transaction(async (tx) => {
+      const benutzer = await tx.user.create({
+        data: {
+          name,
+          email,
+          passwortHash: await passwortHashen(passwort),
+          // Der erste Zugang verwaltet auch die Anwendung.
+          rolle: 'ADMIN',
+        },
+      })
+      await tx.ersteinrichtung.create({ data: { id: SPERRE, userId: benutzer.id } })
+      return benutzer
+    })
+    benutzerId = ergebnis.id
+  } catch {
+    // Der haeufigste Fall ist die verlorene Wettlauf-Anfrage. Für den, der
+    // davorsitzt, ist die Auskunft dieselbe wie oben.
+    return { fehler: 'Es gibt bereits einen Zugang. Bitte melde dich an.' }
+  }
 
   await protokollieren({
     aktion: 'ERSTELLT',
     entitaet: 'User',
-    entitaetId: benutzer.id,
+    entitaetId: benutzerId,
     bezeichnung: `${name} (erster Zugang)`,
-    userId: benutzer.id,
+    userId: benutzerId,
     userEmail: email,
     userName: name,
   })

src/server/actions/finanzen.ts

@@ -4,6 +4,7 @@ import { revalidatePath } from 'next/cache'
 import { redirect } from 'next/navigation'
 import { Prisma } from '@prisma/client'
 import { db, nichtGeloescht } from '@/lib/db'
+import { verweisePruefen } from '@/lib/auth/verweise'
 import { erfordereZugang, ZugriffVerweigert } from '@/lib/auth/sitzung'
 import { aenderungErmitteln, protokollieren } from '@/lib/audit'
 import { sealen } from '@/lib/crypto/feld'
@@ -325,29 +326,15 @@ export async function buchungSpeichern(
     }
     const werte = gepruft.data
 
-    if (werte.kontoId) {
+    // Alle vier Verweise auf einmal - der Vorgang war bisher der einzige,
-      const konto = await db.konto.findFirst({
+    // der ungeprueft durchging.
-        where: { id: werte.kontoId, betreuteId, ...nichtGeloescht },
+    const verweisfehler = await verweisePruefen(betreuteId, {
-        select: { id: true },
+      konto: werte.kontoId,
-      })
+      vertrag: werte.vertragId,
-      if (!konto) return { fehler: 'Dieses Konto gehört nicht zu dieser betreuten Person.' }
+      dokument: werte.belegId,
-    }
+      vorgang: werte.vorgangId,
-
+    })
-    // Wie beim Konto: Der Vertrag muss zu dieser Akte gehoeren.
+    if (verweisfehler) return { fehler: verweisfehler }
-    if (werte.vertragId) {
-      const vertrag = await db.vertrag.findFirst({
-        where: { id: werte.vertragId, betreuteId, ...nichtGeloescht },
-        select: { id: true },
-      })
-      if (!vertrag) return { fehler: 'Dieser Vertrag gehört nicht zu dieser betreuten Person.' }
-    }
-    if (werte.belegId) {
-      const beleg = await db.dokument.findFirst({
-        where: { id: werte.belegId, betreuteId, ...nichtGeloescht },
-        select: { id: true },
-      })
-      if (!beleg) return { fehler: 'Dieses Dokument gehört nicht zu dieser betreuten Person.' }
-    }
 
     const felder = {
       kontoId: werte.kontoId,
@@ -635,34 +622,14 @@ export async function vermoegenspostenSpeichern(
     }
     const werte = gepruft.data
 
-    if (werte.kontoId) {
+    // An der Verknuepfung zum Vertrag haengt dessen Rueckkaufswert - sie
-      const konto = await db.konto.findFirst({
+    // darf nicht in eine fremde Akte zeigen.
-        where: { id: werte.kontoId, betreuteId, ...nichtGeloescht },
+    const verweisfehler = await verweisePruefen(betreuteId, {
-        select: { id: true },
+      konto: werte.kontoId,
-      })
+      vertrag: werte.vertragId,
-      if (!konto) return { fehler: 'Dieses Konto gehört nicht zu dieser betreuten Person.' }
+      immobilie: werte.immobilieId,
-    }
+    })
-
+    if (verweisfehler) return { fehler: verweisfehler }
-    // Dieselbe Pruefung fuer die beiden anderen Verweise. Sie fehlte:
-    // An der Verknuepfung zum Vertrag haengt dessen Rueckkaufswert, und
-    // die darf nicht in eine fremde Akte zeigen.
-    if (werte.vertragId) {
-      const vertrag = await db.vertrag.findFirst({
-        where: { id: werte.vertragId, betreuteId, ...nichtGeloescht },
-        select: { id: true },
-      })
-      if (!vertrag) return { fehler: 'Dieser Vertrag gehört nicht zu dieser betreuten Person.' }
-    }
-
-    if (werte.immobilieId) {
-      const immobilie = await db.immobilie.findFirst({
-        where: { id: werte.immobilieId, betreuteId, ...nichtGeloescht },
-        select: { id: true },
-      })
-      if (!immobilie) {
-        return { fehler: 'Diese Immobilie gehört nicht zu dieser betreuten Person.' }
-      }
-    }
 
     const felder = {
       bezeichnung: werte.bezeichnung,

src/server/actions/freigaben.ts

@@ -1,385 +1,385 @@
-'use server'
+'use server'
-
+
-import { revalidatePath } from 'next/cache'
+import { revalidatePath } from 'next/cache'
-import type { Modul } from '@prisma/client'
+import type { Modul } from '@prisma/client'
-import { db, nichtGeloescht } from '@/lib/db'
+import { db, nichtGeloescht } from '@/lib/db'
-import { protokollieren } from '@/lib/audit'
+import { protokollieren } from '@/lib/audit'
-import { passwortHashen } from '@/lib/crypto/hash'
+import { passwortHashen } from '@/lib/crypto/hash'
-import { erfordereBenutzer, erfordereFrischeAnmeldung, erfordereZugang } from '@/lib/auth/sitzung'
+import { erfordereBenutzer, erfordereFrischeAnmeldung, erfordereZugang } from '@/lib/auth/sitzung'
-import { MODUL_BESCHRIFTUNG, ROLLEN_BESCHRIFTUNG } from '@/lib/auth/rollen'
+import { MODUL_BESCHRIFTUNG, ROLLEN_BESCHRIFTUNG } from '@/lib/auth/rollen'
-import {
+import {
-  benutzerAktivSchema,
+  benutzerAktivSchema,
-  benutzerAnlegenSchema,
+  benutzerAnlegenSchema,
-  darfBenutzerVerwalten,
+  darfBenutzerVerwalten,
-  darfFreigabenVergeben,
+  darfFreigabenVergeben,
-  freigabeAenderung,
+  freigabeAenderung,
-  freigabenNormalisieren,
+  freigabenNormalisieren,
-  freigabenSchema,
+  freigabenSchema,
-  letzterAdminGeschuetzt,
+  letzterAdminGeschuetzt,
-  rolleAendernSchema,
+  rolleAendernSchema,
-  sitzungenBeendenSchema,
+  sitzungenBeendenSchema,
-} from '@/lib/validierung/freigaben'
+} from '@/lib/validierung/freigaben'
-
+
-/**
+/**
- * Benutzerverwaltung und Modulfreigaben.
+ * Benutzerverwaltung und Modulfreigaben.
- *
+ *
- * Alles hier ist eine sensible Aktion: Wer Rollen aendert oder einem
+ * Alles hier ist eine sensible Aktion: Wer Rollen aendert oder einem
- * Mitleser die Gesundheitsdaten freigibt, verschiebt die Grenze, wer was
+ * Mitleser die Gesundheitsdaten freigibt, verschiebt die Grenze, wer was
- * ueber einen kranken Menschen erfahren darf. Deshalb gilt durchgehend:
+ * ueber einen kranken Menschen erfahren darf. Deshalb gilt durchgehend:
- * frische Anmeldung, Administratorrecht bzw. Betreuerrecht fuer die
+ * frische Anmeldung, Administratorrecht bzw. Betreuerrecht fuer die
- * betroffene Person, und ein Audit-Eintrag, der spaeter beantwortet, wer
+ * betroffene Person, und ein Audit-Eintrag, der spaeter beantwortet, wer
- * wem wann was freigegeben hat.
+ * wem wann was freigegeben hat.
- */
+ */
-
+
-export type Aktionszustand = {
+export type Aktionszustand = {
-  fehler?: string
+  fehler?: string
-  felder?: Record<string, string>
+  felder?: Record<string, string>
-  erfolg?: string
+  erfolg?: string
-  warnung?: string
+  warnung?: string
-}
+}
-
+
-function felderAusZod(fehler: { path: (string | number)[]; message: string }[]): Record<string, string> {
+function felderAusZod(fehler: { path: (string | number)[]; message: string }[]): Record<string, string> {
-  const felder: Record<string, string> = {}
+  const felder: Record<string, string> = {}
-  for (const problem of fehler) {
+  for (const problem of fehler) {
-    const schluessel = String(problem.path[0] ?? 'formular')
+    const schluessel = String(problem.path[0] ?? 'formular')
-    if (!felder[schluessel]) felder[schluessel] = problem.message
+    if (!felder[schluessel]) felder[schluessel] = problem.message
-  }
+  }
-  return felder
+  return felder
-}
+}
-
+
-async function administratorSein(weiter: string) {
+async function administratorSein(weiter: string) {
-  const benutzer = await erfordereBenutzer(weiter)
+  const benutzer = await erfordereBenutzer(weiter)
-  if (!darfBenutzerVerwalten(benutzer.rolle)) {
+  if (!darfBenutzerVerwalten(benutzer.rolle)) {
-    throw new Error('Die Benutzerverwaltung ist Administratoren vorbehalten.')
+    throw new Error('Die Benutzerverwaltung ist Administratoren vorbehalten.')
-  }
+  }
-  await erfordereFrischeAnmeldung(benutzer, weiter)
+  await erfordereFrischeAnmeldung(benutzer, weiter)
-  return benutzer
+  return benutzer
-}
+}
-
+
-async function anzahlAktiverAdmins(): Promise<number> {
+async function anzahlAktiverAdmins(): Promise<number> {
-  return db.user.count({ where: { rolle: 'ADMIN', aktiv: true, ...nichtGeloescht } })
+  return db.user.count({ where: { rolle: 'ADMIN', aktiv: true, ...nichtGeloescht } })
-}
+}
-
+
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-// Benutzer
+// Benutzer
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-
+
-export async function benutzerAnlegen(
+export async function benutzerAnlegen(
-  _zustand: Aktionszustand,
+  _zustand: Aktionszustand,
-  formular: FormData,
+  formular: FormData,
-): Promise<Aktionszustand> {
+): Promise<Aktionszustand> {
-  const gelesen = benutzerAnlegenSchema.safeParse({
+  const gelesen = benutzerAnlegenSchema.safeParse({
-    name: formular.get('name'),
+    name: formular.get('name'),
-    email: formular.get('email'),
+    email: formular.get('email'),
-    rolle: formular.get('rolle'),
+    rolle: formular.get('rolle'),
-    passwort: formular.get('passwort'),
+    passwort: formular.get('passwort'),
-  })
+  })
-  if (!gelesen.success) {
+  if (!gelesen.success) {
-    return { fehler: 'Bitte prüfe deine Eingaben.', felder: felderAusZod(gelesen.error.issues) }
+    return { fehler: 'Bitte prüfe deine Eingaben.', felder: felderAusZod(gelesen.error.issues) }
-  }
+  }
-
+
-  const admin = await administratorSein('/einstellungen/benutzer')
+  const admin = await administratorSein('/einstellungen/benutzer')
-
+
-  const vorhanden = await db.user.findUnique({ where: { email: gelesen.data.email } })
+  const vorhanden = await db.user.findUnique({ where: { email: gelesen.data.email } })
-  if (vorhanden) {
+  if (vorhanden) {
-    return {
+    return {
-      fehler: 'Unter dieser E-Mail-Adresse gibt es schon ein Konto.',
+      fehler: 'Unter dieser E-Mail-Adresse gibt es schon ein Konto.',
-      felder: { email: 'Bereits vergeben.' },
+      felder: { email: 'Bereits vergeben.' },
-    }
+    }
-  }
+  }
-
+
-  const neu = await db.user.create({
+  const neu = await db.user.create({
-    data: {
+    data: {
-      name: gelesen.data.name,
+      name: gelesen.data.name,
-      email: gelesen.data.email,
+      email: gelesen.data.email,
-      rolle: gelesen.data.rolle,
+      rolle: gelesen.data.rolle,
-      passwortHash: await passwortHashen(gelesen.data.passwort),
+      passwortHash: await passwortHashen(gelesen.data.passwort),
-    },
+    },
-  })
+  })
-
+
-  await protokollieren({
+  await protokollieren({
-    aktion: 'ERSTELLT',
+    aktion: 'ERSTELLT',
-    entitaet: 'User',
+    entitaet: 'User',
-    entitaetId: neu.id,
+    entitaetId: neu.id,
-    bezeichnung: `${neu.name} <${neu.email}> als ${ROLLEN_BESCHRIFTUNG[neu.rolle]}`,
+    bezeichnung: `${neu.name} <${neu.email}> als ${ROLLEN_BESCHRIFTUNG[neu.rolle]}`,
-    userId: admin.id,
+    userId: admin.id,
-    userEmail: admin.email,
+    userEmail: admin.email,
-    userName: admin.name,
+    userName: admin.name,
-  })
+  })
-
+
-  revalidatePath('/einstellungen/benutzer')
+  revalidatePath('/einstellungen/benutzer')
-  return {
+  return {
-    erfolg:
+    erfolg:
-      `${neu.name} ist angelegt. Beim ersten Anmelden muss der zweite Faktor eingerichtet ` +
+      `${neu.name} ist angelegt. Beim ersten Anmelden muss der zweite Faktor eingerichtet ` +
-      `werden – ohne ihn kommt niemand an Fachdaten.`,
+      `werden – ohne ihn kommt niemand an Fachdaten.`,
-  }
+  }
-}
+}
-
+
-export async function rolleAendern(
+export async function rolleAendern(
-  _zustand: Aktionszustand,
+  _zustand: Aktionszustand,
-  formular: FormData,
+  formular: FormData,
-): Promise<Aktionszustand> {
+): Promise<Aktionszustand> {
-  const gelesen = rolleAendernSchema.safeParse({
+  const gelesen = rolleAendernSchema.safeParse({
-    userId: formular.get('userId'),
+    userId: formular.get('userId'),
-    rolle: formular.get('rolle'),
+    rolle: formular.get('rolle'),
-  })
+  })
-  if (!gelesen.success) {
+  if (!gelesen.success) {
-    return { fehler: 'Bitte prüfe deine Eingaben.', felder: felderAusZod(gelesen.error.issues) }
+    return { fehler: 'Bitte prüfe deine Eingaben.', felder: felderAusZod(gelesen.error.issues) }
-  }
+  }
-
+
-  const admin = await administratorSein('/einstellungen/benutzer')
+  const admin = await administratorSein('/einstellungen/benutzer')
-
+
-  const ziel = await db.user.findFirst({ where: { id: gelesen.data.userId, ...nichtGeloescht } })
+  const ziel = await db.user.findFirst({ where: { id: gelesen.data.userId, ...nichtGeloescht } })
-  if (!ziel) return { fehler: 'Diesen Benutzer gibt es nicht (mehr).' }
+  if (!ziel) return { fehler: 'Diesen Benutzer gibt es nicht (mehr).' }
-  if (ziel.rolle === gelesen.data.rolle) return { erfolg: 'Die Rolle war bereits so gesetzt.' }
+  if (ziel.rolle === gelesen.data.rolle) return { erfolg: 'Die Rolle war bereits so gesetzt.' }
-
+
-  const schutz = letzterAdminGeschuetzt({
+  const schutz = letzterAdminGeschuetzt({
-    zielRolleVorher: ziel.rolle,
+    zielRolleVorher: ziel.rolle,
-    zielRolleNachher: gelesen.data.rolle,
+    zielRolleNachher: gelesen.data.rolle,
-    zielBleibtAktiv: ziel.aktiv,
+    zielBleibtAktiv: ziel.aktiv,
-    anzahlAktiverAdmins: await anzahlAktiverAdmins(),
+    anzahlAktiverAdmins: await anzahlAktiverAdmins(),
-  })
+  })
-  if (schutz) return { fehler: schutz }
+  if (schutz) return { fehler: schutz }
-
+
-  // Eine Rollenaenderung beendet alle laufenden Sitzungen des Benutzers -
+  // Eine Rollenaenderung beendet alle laufenden Sitzungen des Benutzers -
-  // sonst behielte er bis zum Ablauf des Tokens seine alten Rechte.
+  // sonst behielte er bis zum Ablauf des Tokens seine alten Rechte.
-  await db.user.update({
+  await db.user.update({
-    where: { id: ziel.id },
+    where: { id: ziel.id },
-    data: { rolle: gelesen.data.rolle, sitzungsGeneration: { increment: 1 } },
+    data: { rolle: gelesen.data.rolle, sitzungsGeneration: { increment: 1 } },
-  })
+  })
-
+
-  await protokollieren({
+  await protokollieren({
-    aktion: 'ROLLE_GEAENDERT',
+    aktion: 'ROLLE_GEAENDERT',
-    entitaet: 'User',
+    entitaet: 'User',
-    entitaetId: ziel.id,
+    entitaetId: ziel.id,
-    bezeichnung: `${ziel.name}: ${ROLLEN_BESCHRIFTUNG[ziel.rolle]} → ${ROLLEN_BESCHRIFTUNG[gelesen.data.rolle]}`,
+    bezeichnung: `${ziel.name}: ${ROLLEN_BESCHRIFTUNG[ziel.rolle]} → ${ROLLEN_BESCHRIFTUNG[gelesen.data.rolle]}`,
-    userId: admin.id,
+    userId: admin.id,
-    userEmail: admin.email,
+    userEmail: admin.email,
-    userName: admin.name,
+    userName: admin.name,
-    aenderung: { rolle: { alt: ziel.rolle, neu: gelesen.data.rolle } },
+    aenderung: { rolle: { alt: ziel.rolle, neu: gelesen.data.rolle } },
-  })
+  })
-
+
-  revalidatePath('/einstellungen/benutzer')
+  revalidatePath('/einstellungen/benutzer')
-  return {
+  return {
-    erfolg: `${ziel.name} ist jetzt ${ROLLEN_BESCHRIFTUNG[gelesen.data.rolle]}. Bestehende Anmeldungen wurden beendet.`,
+    erfolg: `${ziel.name} ist jetzt ${ROLLEN_BESCHRIFTUNG[gelesen.data.rolle]}. Bestehende Anmeldungen wurden beendet.`,
-  }
+  }
-}
+}
-
+
-export async function benutzerAktivSetzen(
+export async function benutzerAktivSetzen(
-  _zustand: Aktionszustand,
+  _zustand: Aktionszustand,
-  formular: FormData,
+  formular: FormData,
-): Promise<Aktionszustand> {
+): Promise<Aktionszustand> {
-  const gelesen = benutzerAktivSchema.safeParse({
+  const gelesen = benutzerAktivSchema.safeParse({
-    userId: formular.get('userId'),
+    userId: formular.get('userId'),
-    aktiv: formular.get('aktiv') === 'ja',
+    aktiv: formular.get('aktiv') === 'ja',
-  })
+  })
-  if (!gelesen.success) return { fehler: 'Bitte prüfe deine Eingaben.' }
+  if (!gelesen.success) return { fehler: 'Bitte prüfe deine Eingaben.' }
-
+
-  const admin = await administratorSein('/einstellungen/benutzer')
+  const admin = await administratorSein('/einstellungen/benutzer')
-
+
-  const ziel = await db.user.findFirst({ where: { id: gelesen.data.userId, ...nichtGeloescht } })
+  const ziel = await db.user.findFirst({ where: { id: gelesen.data.userId, ...nichtGeloescht } })
-  if (!ziel) return { fehler: 'Diesen Benutzer gibt es nicht (mehr).' }
+  if (!ziel) return { fehler: 'Diesen Benutzer gibt es nicht (mehr).' }
-  if (ziel.id === admin.id && !gelesen.data.aktiv) {
+  if (ziel.id === admin.id && !gelesen.data.aktiv) {
-    return { fehler: 'Du kannst dich nicht selbst abschalten.' }
+    return { fehler: 'Du kannst dich nicht selbst abschalten.' }
-  }
+  }
-
+
-  const schutz = letzterAdminGeschuetzt({
+  const schutz = letzterAdminGeschuetzt({
-    zielRolleVorher: ziel.rolle,
+    zielRolleVorher: ziel.rolle,
-    zielRolleNachher: ziel.rolle,
+    zielRolleNachher: ziel.rolle,
-    zielBleibtAktiv: gelesen.data.aktiv,
+    zielBleibtAktiv: gelesen.data.aktiv,
-    anzahlAktiverAdmins: await anzahlAktiverAdmins(),
+    anzahlAktiverAdmins: await anzahlAktiverAdmins(),
-  })
+  })
-  if (schutz) return { fehler: schutz }
+  if (schutz) return { fehler: schutz }
-
+
-  await db.user.update({
+  await db.user.update({
-    where: { id: ziel.id },
+    where: { id: ziel.id },
-    data: {
+    data: {
-      aktiv: gelesen.data.aktiv,
+      aktiv: gelesen.data.aktiv,
-      // Wer abgeschaltet wird, ist sofort abgemeldet.
+      // Wer abgeschaltet wird, ist sofort abgemeldet.
-      sitzungsGeneration: gelesen.data.aktiv ? undefined : { increment: 1 },
+      sitzungsGeneration: gelesen.data.aktiv ? undefined : { increment: 1 },
-    },
+    },
-  })
+  })
-
+
-  await protokollieren({
+  await protokollieren({
-    aktion: 'GEAENDERT',
+    aktion: 'GEAENDERT',
-    entitaet: 'User',
+    entitaet: 'User',
-    entitaetId: ziel.id,
+    entitaetId: ziel.id,
-    bezeichnung: `${ziel.name} ${gelesen.data.aktiv ? 'wieder aktiviert' : 'deaktiviert'}`,
+    bezeichnung: `${ziel.name} ${gelesen.data.aktiv ? 'wieder aktiviert' : 'deaktiviert'}`,
-    userId: admin.id,
+    userId: admin.id,
-    userEmail: admin.email,
+    userEmail: admin.email,
-    userName: admin.name,
+    userName: admin.name,
-    aenderung: { aktiv: { alt: ziel.aktiv, neu: gelesen.data.aktiv } },
+    aenderung: { aktiv: { alt: ziel.aktiv, neu: gelesen.data.aktiv } },
-  })
+  })
-
+
-  revalidatePath('/einstellungen/benutzer')
+  revalidatePath('/einstellungen/benutzer')
-  return {
+  return {
-    erfolg: gelesen.data.aktiv
+    erfolg: gelesen.data.aktiv
-      ? `${ziel.name} kann sich wieder anmelden.`
+      ? `${ziel.name} kann sich wieder anmelden.`
-      : `${ziel.name} ist deaktiviert und sofort abgemeldet.`,
+      : `${ziel.name} ist deaktiviert und sofort abgemeldet.`,
-  }
+  }
-}
+}
-
+
-export async function sitzungenBeenden(
+export async function sitzungenBeenden(
-  _zustand: Aktionszustand,
+  _zustand: Aktionszustand,
-  formular: FormData,
+  formular: FormData,
-): Promise<Aktionszustand> {
+): Promise<Aktionszustand> {
-  const gelesen = sitzungenBeendenSchema.safeParse({ userId: formular.get('userId') })
+  const gelesen = sitzungenBeendenSchema.safeParse({ userId: formular.get('userId') })
-  if (!gelesen.success) return { fehler: 'Bitte prüfe deine Eingaben.' }
+  if (!gelesen.success) return { fehler: 'Bitte prüfe deine Eingaben.' }
-
+
-  const admin = await administratorSein('/einstellungen/benutzer')
+  const admin = await administratorSein('/einstellungen/benutzer')
-
+
-  const ziel = await db.user.findFirst({ where: { id: gelesen.data.userId, ...nichtGeloescht } })
+  const ziel = await db.user.findFirst({ where: { id: gelesen.data.userId, ...nichtGeloescht } })
-  if (!ziel) return { fehler: 'Diesen Benutzer gibt es nicht (mehr).' }
+  if (!ziel) return { fehler: 'Diesen Benutzer gibt es nicht (mehr).' }
-
+
-  await db.user.update({
+  await db.user.update({
-    where: { id: ziel.id },
+    where: { id: ziel.id },
-    data: { sitzungsGeneration: { increment: 1 } },
+    data: { sitzungsGeneration: { increment: 1 } },
-  })
+  })
-
+
-  await protokollieren({
+  await protokollieren({
-    aktion: 'GEAENDERT',
+    aktion: 'GEAENDERT',
-    entitaet: 'User',
+    entitaet: 'User',
-    entitaetId: ziel.id,
+    entitaetId: ziel.id,
-    bezeichnung: `Alle Sitzungen von ${ziel.name} beendet`,
+    bezeichnung: `Alle Sitzungen von ${ziel.name} beendet`,
-    userId: admin.id,
+    userId: admin.id,
-    userEmail: admin.email,
+    userEmail: admin.email,
-    userName: admin.name,
+    userName: admin.name,
-    aenderung: {
+    aenderung: {
-      sitzungsGeneration: { alt: ziel.sitzungsGeneration, neu: ziel.sitzungsGeneration + 1 },
+      sitzungsGeneration: { alt: ziel.sitzungsGeneration, neu: ziel.sitzungsGeneration + 1 },
-    },
+    },
-  })
+  })
-
+
-  revalidatePath('/einstellungen/benutzer')
+  revalidatePath('/einstellungen/benutzer')
-  return { erfolg: `Alle Geräte von ${ziel.name} sind abgemeldet.` }
+  return { erfolg: `Alle Geräte von ${ziel.name} sind abgemeldet.` }
-}
+}
-
+
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-// Freigaben je betreuter Person
+// Freigaben je betreuter Person
-// -----------------------------------------------------------------------------
+// -----------------------------------------------------------------------------
-
+
-export async function freigabenSpeichern(
+export async function freigabenSpeichern(
-  _zustand: Aktionszustand,
+  _zustand: Aktionszustand,
-  formular: FormData,
+  formular: FormData,
-): Promise<Aktionszustand> {
+): Promise<Aktionszustand> {
-  const gelesen = freigabenSchema.safeParse({
+  const gelesen = freigabenSchema.safeParse({
-    userId: formular.get('userId'),
+    userId: formular.get('userId'),
-    betreuteId: formular.get('betreuteId'),
+    betreuteId: formular.get('betreuteId'),
-    rolle: formular.get('rolle'),
+    rolle: formular.get('rolle'),
-    freigegebeneModule: formular.getAll('freigegebeneModule').map(String),
+    freigegebeneModule: formular.getAll('freigegebeneModule').map(String),
-  })
+  })
-  if (!gelesen.success) {
+  if (!gelesen.success) {
-    return { fehler: 'Bitte prüfe deine Eingaben.', felder: felderAusZod(gelesen.error.issues) }
+    return { fehler: 'Bitte prüfe deine Eingaben.', felder: felderAusZod(gelesen.error.issues) }
-  }
+  }
-
+
-  const { userId, betreuteId, rolle } = gelesen.data
+  const { userId, betreuteId, rolle } = gelesen.data
-  const { benutzer, zugang, betreute } = await erfordereZugang(betreuteId, 'STAMMDATEN', 'schreiben')
+  const { benutzer, zugang, betreute } = await erfordereZugang(betreuteId, 'STAMMDATEN', 'schreiben')
-
+
-  if (!darfFreigabenVergeben(zugang)) {
+  if (!darfFreigabenVergeben(zugang)) {
-    return { fehler: 'Freigaben vergibt nur der Betreuer dieser Person oder ein Administrator.' }
+    return { fehler: 'Freigaben vergibt nur der Betreuer dieser Person oder ein Administrator.' }
-  }
+  }
-  await erfordereFrischeAnmeldung(benutzer, `/einstellungen/freigaben?betreute=${betreuteId}`)
+  await erfordereFrischeAnmeldung(benutzer, `/einstellungen/freigaben?betreute=${betreuteId}`)
-
+
-  const ziel = await db.user.findFirst({ where: { id: userId, ...nichtGeloescht } })
+  const ziel = await db.user.findFirst({ where: { id: userId, ...nichtGeloescht } })
-  if (!ziel) return { fehler: 'Diesen Benutzer gibt es nicht (mehr).' }
+  if (!ziel) return { fehler: 'Diesen Benutzer gibt es nicht (mehr).' }
-
+
-  const freigaben = freigabenNormalisieren(rolle, gelesen.data.freigegebeneModule as Modul[])
+  const freigaben = freigabenNormalisieren(rolle, gelesen.data.freigegebeneModule as Modul[])
-
+
-  const vorher = await db.betreuungsZugang.findUnique({
+  const vorher = await db.betreuungsZugang.findUnique({
-    where: { userId_betreuteId: { userId, betreuteId } },
+    where: { userId_betreuteId: { userId, betreuteId } },
-    select: { rolle: true, freigegebeneModule: true },
+    select: { rolle: true, freigegebeneModule: true },
-  })
+  })
-
+
-  const aenderung = freigabeAenderung(
+  const aenderung = freigabeAenderung(
-    vorher ?? { rolle: 'MITLESER', freigegebeneModule: [] },
+    vorher ?? { rolle: 'MITLESER', freigegebeneModule: [] },
-    { rolle, freigegebeneModule: freigaben },
+    { rolle, freigegebeneModule: freigaben },
-  )
+  )
-
+
-  await db.betreuungsZugang.upsert({
+  await db.betreuungsZugang.upsert({
-    where: { userId_betreuteId: { userId, betreuteId } },
+    where: { userId_betreuteId: { userId, betreuteId } },
-    create: { userId, betreuteId, rolle, freigegebeneModule: freigaben },
+    create: { userId, betreuteId, rolle, freigegebeneModule: freigaben },
-    update: { rolle, freigegebeneModule: freigaben },
+    update: { rolle, freigegebeneModule: freigaben },
-  })
+  })
-
+
-  // Wer Rechte verliert, soll sie nicht bis zum Ablauf seines Tokens
+  // Wer Rechte verliert, soll sie nicht bis zum Ablauf seines Tokens
-  // weiterbenutzen koennen.
+  // weiterbenutzen koennen.
-  if (aenderung.entfernt.length > 0 || aenderung.rolleGeaendert) {
+  if (aenderung.entfernt.length > 0 || aenderung.rolleGeaendert) {
-    await db.user.update({ where: { id: userId }, data: { sitzungsGeneration: { increment: 1 } } })
+    await db.user.update({ where: { id: userId }, data: { sitzungsGeneration: { increment: 1 } } })
-  }
+  }
-
+
-  const beschreibung = [
+  const beschreibung = [
-    aenderung.rolleGeaendert
+    aenderung.rolleGeaendert
-      ? `Rolle ${ROLLEN_BESCHRIFTUNG[aenderung.rolleVorher]} → ${ROLLEN_BESCHRIFTUNG[aenderung.rolleNachher]}`
+      ? `Rolle ${ROLLEN_BESCHRIFTUNG[aenderung.rolleVorher]} → ${ROLLEN_BESCHRIFTUNG[aenderung.rolleNachher]}`
-      : null,
+      : null,
-    aenderung.hinzugefuegt.length > 0
+    aenderung.hinzugefuegt.length > 0
-      ? `freigegeben: ${aenderung.hinzugefuegt.map((m) => MODUL_BESCHRIFTUNG[m]).join(', ')}`
+      ? `freigegeben: ${aenderung.hinzugefuegt.map((m) => MODUL_BESCHRIFTUNG[m]).join(', ')}`
-      : null,
+      : null,
-    aenderung.entfernt.length > 0
+    aenderung.entfernt.length > 0
-      ? `entzogen: ${aenderung.entfernt.map((m) => MODUL_BESCHRIFTUNG[m]).join(', ')}`
+      ? `entzogen: ${aenderung.entfernt.map((m) => MODUL_BESCHRIFTUNG[m]).join(', ')}`
-      : null,
+      : null,
-  ]
+  ]
-    .filter(Boolean)
+    .filter(Boolean)
-    .join('; ')
+    .join('; ')
-
+
-  await protokollieren({
+  await protokollieren({
-    aktion: aenderung.rolleGeaendert ? 'ROLLE_GEAENDERT' : 'FREIGABE_GEAENDERT',
+    aktion: aenderung.rolleGeaendert ? 'ROLLE_GEAENDERT' : 'FREIGABE_GEAENDERT',
-    entitaet: 'BetreuungsZugang',
+    entitaet: 'BetreuungsZugang',
-    entitaetId: userId,
+    entitaetId: userId,
-    bezeichnung: `${ziel.name} für ${betreute.vorname} ${betreute.nachname}: ${beschreibung || 'unverändert'}`,
+    bezeichnung: `${ziel.name} für ${betreute.vorname} ${betreute.nachname}: ${beschreibung || 'unverändert'}`,
-    betreuteId,
+    betreuteId,
-    userId: benutzer.id,
+    userId: benutzer.id,
-    userEmail: benutzer.email,
+    userEmail: benutzer.email,
-    userName: benutzer.name,
+    userName: benutzer.name,
-    aenderung: {
+    aenderung: {
-      rolle: { alt: aenderung.rolleVorher, neu: aenderung.rolleNachher },
+      rolle: { alt: aenderung.rolleVorher, neu: aenderung.rolleNachher },
-      freigegebeneModule: { alt: vorher?.freigegebeneModule ?? [], neu: freigaben },
+      freigegebeneModule: { alt: vorher?.freigegebeneModule ?? [], neu: freigaben },
-    },
+    },
-  })
+  })
-
+
-  revalidatePath('/einstellungen/freigaben')
+  revalidatePath('/einstellungen/freigaben')
-  revalidatePath('/', 'layout')
+  revalidatePath('/', 'layout')
-
+
-  const warnung =
+  const warnung =
-    aenderung.sensibelHinzugefuegt.length > 0
+    aenderung.sensibelHinzugefuegt.length > 0
-      ? `Achtung: ${aenderung.sensibelHinzugefuegt.map((m) => MODUL_BESCHRIFTUNG[m]).join(' und ')} ` +
+      ? `Achtung: ${aenderung.sensibelHinzugefuegt.map((m) => MODUL_BESCHRIFTUNG[m]).join(' und ')} ` +
-        `enthalten besonders schützenswerte Daten. ${ziel.name} kann sie ab sofort lesen.`
+        `enthalten besonders schützenswerte Daten. ${ziel.name} kann sie ab sofort lesen.`
-      : undefined
+      : undefined
-
+
-  return { erfolg: beschreibung ? `Gespeichert: ${beschreibung}.` : 'Es gab nichts zu ändern.', warnung }
+  return { erfolg: beschreibung ? `Gespeichert: ${beschreibung}.` : 'Es gab nichts zu ändern.', warnung }
-}
+}
-
+
-export async function zugangEntziehen(
+export async function zugangEntziehen(
-  _zustand: Aktionszustand,
+  _zustand: Aktionszustand,
-  formular: FormData,
+  formular: FormData,
-): Promise<Aktionszustand> {
+): Promise<Aktionszustand> {
-  const userId = String(formular.get('userId') ?? '')
+  const userId = String(formular.get('userId') ?? '')
-  const betreuteId = String(formular.get('betreuteId') ?? '')
+  const betreuteId = String(formular.get('betreuteId') ?? '')
-
+
-  const { benutzer, zugang, betreute } = await erfordereZugang(betreuteId, 'STAMMDATEN', 'schreiben')
+  const { benutzer, zugang, betreute } = await erfordereZugang(betreuteId, 'STAMMDATEN', 'schreiben')
-  if (!darfFreigabenVergeben(zugang)) {
+  if (!darfFreigabenVergeben(zugang)) {
-    return { fehler: 'Zugänge entzieht nur der Betreuer dieser Person oder ein Administrator.' }
+    return { fehler: 'Zugänge entzieht nur der Betreuer dieser Person oder ein Administrator.' }
-  }
+  }
-  await erfordereFrischeAnmeldung(benutzer, `/einstellungen/freigaben?betreute=${betreuteId}`)
+  await erfordereFrischeAnmeldung(benutzer, `/einstellungen/freigaben?betreute=${betreuteId}`)
-
+
-  if (userId === benutzer.id) {
+  if (userId === benutzer.id) {
-    return { fehler: 'Du kannst dir den eigenen Zugang nicht entziehen.' }
+    return { fehler: 'Du kannst dir den eigenen Zugang nicht entziehen.' }
-  }
+  }
-
+
-  const ziel = await db.user.findFirst({ where: { id: userId }, select: { name: true } })
+  const ziel = await db.user.findFirst({ where: { id: userId }, select: { name: true } })
-  await db.betreuungsZugang.deleteMany({ where: { userId, betreuteId } })
+  await db.betreuungsZugang.deleteMany({ where: { userId, betreuteId } })
-  await db.user.update({ where: { id: userId }, data: { sitzungsGeneration: { increment: 1 } } })
+  await db.user.update({ where: { id: userId }, data: { sitzungsGeneration: { increment: 1 } } })
-
+
-  await protokollieren({
+  await protokollieren({
-    aktion: 'FREIGABE_GEAENDERT',
+    aktion: 'FREIGABE_GEAENDERT',
-    entitaet: 'BetreuungsZugang',
+    entitaet: 'BetreuungsZugang',
-    entitaetId: userId,
+    entitaetId: userId,
-    bezeichnung: `Zugang von ${ziel?.name ?? userId} zu ${betreute.vorname} ${betreute.nachname} entzogen`,
+    bezeichnung: `Zugang von ${ziel?.name ?? userId} zu ${betreute.vorname} ${betreute.nachname} entzogen`,
-    betreuteId,
+    betreuteId,
-    userId: benutzer.id,
+    userId: benutzer.id,
-    userEmail: benutzer.email,
+    userEmail: benutzer.email,
-    userName: benutzer.name,
+    userName: benutzer.name,
-  })
+  })
-
+
-  revalidatePath('/einstellungen/freigaben')
+  revalidatePath('/einstellungen/freigaben')
-  revalidatePath('/', 'layout')
+  revalidatePath('/', 'layout')
-  return { erfolg: `${ziel?.name ?? 'Der Benutzer'} hat keinen Zugriff mehr auf diese Person.` }
+  return { erfolg: `${ziel?.name ?? 'Der Benutzer'} hat keinen Zugriff mehr auf diese Person.` }
-}
+}

src/server/actions/konto.ts

@@ -1,5 +1,6 @@
 'use server'
 
+import { revalidatePath } from 'next/cache'
 import { z } from 'zod'
 import { db } from '@/lib/db'
 import { erfordereBenutzer } from '@/lib/auth/sitzung'
@@ -102,3 +103,82 @@ export async function passwortAendern(
   await aufMindestdauerWarten(begonnen)
   return { erfolg: true }
 }
+
+/**
+ * Die eigene Anschrift.
+ *
+ * Sie steht im Absenderblock jedes erzeugten Schreibens und liefert den
+ * Ort fuer die Datumszeile. Angaben sind einzeln freiwillig: Wer nur den
+ * Ort hinterlegt, bekommt "Bayreuth, den 23.08.2026" und keinen
+ * Absenderblock mit leeren Zeilen.
+ */
+const AnschriftSchema = z.object({
+  strasse: z.string().trim().max(150, 'Bitte höchstens 150 Zeichen.'),
+  plz: z.string().trim().max(10, 'Bitte höchstens 10 Zeichen.'),
+  ort: z.string().trim().max(100, 'Bitte höchstens 100 Zeichen.'),
+})
+
+export type AnschriftZustand = {
+  fehler?: string
+  felder?: Partial<Record<'strasse' | 'plz' | 'ort', string>>
+  erfolg?: string
+}
+
+export async function anschriftSpeichern(
+  _vorher: AnschriftZustand,
+  formular: FormData,
+): Promise<AnschriftZustand> {
+  const benutzer = await erfordereBenutzer()
+
+  const gelesen = AnschriftSchema.safeParse({
+    strasse: formular.get('strasse') ?? '',
+    plz: formular.get('plz') ?? '',
+    ort: formular.get('ort') ?? '',
+  })
+
+  if (!gelesen.success) {
+    const felder = gelesen.error.flatten().fieldErrors
+    return {
+      fehler: 'Bitte prüfe die Eingaben.',
+      felder: {
+        strasse: felder.strasse?.[0],
+        plz: felder.plz?.[0],
+        ort: felder.ort?.[0],
+      },
+    }
+  }
+
+  // Leer heisst "nicht hinterlegt", nicht "leere Zeichenkette" - sonst
+  // stuende im Brief eine Zeile aus Leerzeichen.
+  const leerZuNull = (wert: string) => (wert === '' ? null : wert)
+
+  await db.user.update({
+    where: { id: benutzer.id },
+    data: {
+      strasse: leerZuNull(gelesen.data.strasse),
+      plz: leerZuNull(gelesen.data.plz),
+      ort: leerZuNull(gelesen.data.ort),
+    },
+  })
+
+  await protokollieren({
+    aktion: 'GEAENDERT',
+    entitaet: 'User',
+    entitaetId: benutzer.id,
+    bezeichnung: benutzer.name,
+    userId: benutzer.id,
+    userEmail: benutzer.email,
+    userName: benutzer.name,
+    aenderung: {
+      anschrift: {
+        alt: [benutzer.strasse, benutzer.plz, benutzer.ort].filter(Boolean).join(', ') || null,
+        neu:
+          [gelesen.data.strasse, gelesen.data.plz, gelesen.data.ort].filter(Boolean).join(', ') ||
+          null,
+      },
+    },
+  })
+
+  revalidatePath('/konto')
+  return { erfolg: 'Deine Anschrift ist gespeichert.' }
+}

src/server/actions/papierkorb.ts

@@ -1,293 +1,293 @@
-'use server'
+'use server'
-
+
-import { revalidatePath } from 'next/cache'
+import { revalidatePath } from 'next/cache'
-import type { Modul } from '@prisma/client'
+import type { Modul } from '@prisma/client'
-import { db, papierkorbGrenze } from '@/lib/db'
+import { db, papierkorbGrenze } from '@/lib/db'
-import { protokollieren } from '@/lib/audit'
+import { protokollieren } from '@/lib/audit'
-import { erfordereFrischeAnmeldung, erfordereZugang } from '@/lib/auth/sitzung'
+import { erfordereFrischeAnmeldung, erfordereZugang } from '@/lib/auth/sitzung'
-import { entfernen } from '@/lib/speicher'
+import { entfernen } from '@/lib/speicher'
-import { papierkorbSchema } from '@/lib/validierung/freigaben'
+import { papierkorbSchema } from '@/lib/validierung/freigaben'
-
+
-/**
+/**
- * Papierkorb.
+ * Papierkorb.
- *
+ *
- * Loeschen heisst in dieser Anwendung: "geloeschtAm" setzen. Der Datensatz
+ * Loeschen heisst in dieser Anwendung: "geloeschtAm" setzen. Der Datensatz
- * bleibt 30 Tage sichtbar und wiederherstellbar. Das ist kein Luxus - in
+ * bleibt 30 Tage sichtbar und wiederherstellbar. Das ist kein Luxus - in
- * einer Betreuungsakte ist ein versehentlich geloeschter Bescheid ein
+ * einer Betreuungsakte ist ein versehentlich geloeschter Bescheid ein
- * echtes Problem, und der Nachweis gegenueber dem Gericht haengt daran.
+ * echtes Problem, und der Nachweis gegenueber dem Gericht haengt daran.
- *
+ *
- * Endgueltig geloescht wird nur hier, nur einzeln und nur nach frischer
+ * Endgueltig geloescht wird nur hier, nur einzeln und nur nach frischer
- * Anmeldung. Danach ist der Datensatz weg; im Audit-Log bleibt stehen, dass
+ * Anmeldung. Danach ist der Datensatz weg; im Audit-Log bleibt stehen, dass
- * es ihn gab und wer ihn entfernt hat.
+ * es ihn gab und wer ihn entfernt hat.
- */
+ */
-
+
-export type Aktionszustand = {
+export type Aktionszustand = {
-  fehler?: string
+  fehler?: string
-  erfolg?: string
+  erfolg?: string
-}
+}
-
+
-/**
+/**
- * Was im Papierkorb auftauchen kann. Bewusst eine feste Liste und keine
+ * Was im Papierkorb auftauchen kann. Bewusst eine feste Liste und keine
- * dynamische Modellsuche: Der Entitaetsname kommt aus einem Formular, und
+ * dynamische Modellsuche: Der Entitaetsname kommt aus einem Formular, und
- * daraus darf niemals ein beliebiger Datenbankzugriff werden.
+ * daraus darf niemals ein beliebiger Datenbankzugriff werden.
- */
+ */
-type Eintragsart = {
+type Eintragsart = {
-  bezeichnung: string
+  bezeichnung: string
-  mehrzahl: string
+  mehrzahl: string
-  modul: Modul
+  modul: Modul
-  laden: (betreuteId: string, seit: Date) => Promise<PapierkorbEintrag[]>
+  laden: (betreuteId: string, seit: Date) => Promise<PapierkorbEintrag[]>
-  wiederherstellen: (id: string, betreuteId: string) => Promise<void>
+  wiederherstellen: (id: string, betreuteId: string) => Promise<void>
-  endgueltigLoeschen: (id: string, betreuteId: string) => Promise<void>
+  endgueltigLoeschen: (id: string, betreuteId: string) => Promise<void>
-}
+}
-
+
-export type PapierkorbEintrag = {
+export type PapierkorbEintrag = {
-  id: string
+  id: string
-  entitaet: string
+  entitaet: string
-  bezeichnung: string
+  bezeichnung: string
-  geloeschtAm: Date
+  geloeschtAm: Date
-}
+}
-
+
-/** Kleine Hilfe, damit die Tabelle unten nicht 20-mal dasselbe wiederholt. */
+/** Kleine Hilfe, damit die Tabelle unten nicht 20-mal dasselbe wiederholt. */
-function einfach<T extends { id: string; geloeschtAm: Date | null }>(
+function einfach<T extends { id: string; geloeschtAm: Date | null }>(
-  entitaet: string,
+  entitaet: string,
-  bezeichnung: string,
+  bezeichnung: string,
-  mehrzahl: string,
+  mehrzahl: string,
-  modul: Modul,
+  modul: Modul,
-  zugriff: {
+  zugriff: {
-    findMany: (args: unknown) => Promise<T[]>
+    findMany: (args: unknown) => Promise<T[]>
-    update: (args: unknown) => Promise<unknown>
+    update: (args: unknown) => Promise<unknown>
-    delete: (args: unknown) => Promise<unknown>
+    delete: (args: unknown) => Promise<unknown>
-  },
+  },
-  titelFeld: string,
+  titelFeld: string,
-): Eintragsart {
+): Eintragsart {
-  return {
+  return {
-    bezeichnung,
+    bezeichnung,
-    mehrzahl,
+    mehrzahl,
-    modul,
+    modul,
-    laden: async (betreuteId, seit) => {
+    laden: async (betreuteId, seit) => {
-      const treffer = await zugriff.findMany({
+      const treffer = await zugriff.findMany({
-        where: { betreuteId, geloeschtAm: { gte: seit } },
+        where: { betreuteId, geloeschtAm: { gte: seit } },
-        orderBy: { geloeschtAm: 'desc' },
+        orderBy: { geloeschtAm: 'desc' },
-      })
+      })
-      return treffer.map((datensatz) => ({
+      return treffer.map((datensatz) => ({
-        id: datensatz.id,
+        id: datensatz.id,
-        entitaet,
+        entitaet,
-        bezeichnung:
+        bezeichnung:
-          String((datensatz as unknown as Record<string, unknown>)[titelFeld] ?? '(ohne Titel)'),
+          String((datensatz as unknown as Record<string, unknown>)[titelFeld] ?? '(ohne Titel)'),
-        geloeschtAm: datensatz.geloeschtAm!,
+        geloeschtAm: datensatz.geloeschtAm!,
-      }))
+      }))
-    },
+    },
-    wiederherstellen: async (id, betreuteId) => {
+    wiederherstellen: async (id, betreuteId) => {
-      await zugriff.update({ where: { id, betreuteId }, data: { geloeschtAm: null } })
+      await zugriff.update({ where: { id, betreuteId }, data: { geloeschtAm: null } })
-    },
+    },
-    endgueltigLoeschen: async (id, betreuteId) => {
+    endgueltigLoeschen: async (id, betreuteId) => {
-      await zugriff.delete({ where: { id, betreuteId } })
+      await zugriff.delete({ where: { id, betreuteId } })
-    },
+    },
-  }
+  }
-}
+}
-
+
-function eintragsarten(): Record<string, Eintragsart> {
+function eintragsarten(): Record<string, Eintragsart> {
-  /* eslint-disable @typescript-eslint/no-explicit-any */
+  /* eslint-disable @typescript-eslint/no-explicit-any */
-  const z = db as any
+  const z = db as any
-  return {
+  return {
-    Vorgang: einfach('Vorgang', 'Vorgang', 'Vorgänge', 'VORGAENGE', z.vorgang, 'titel'),
+    Vorgang: einfach('Vorgang', 'Vorgang', 'Vorgänge', 'VORGAENGE', z.vorgang, 'titel'),
-    Frist: einfach('Frist', 'Frist', 'Fristen', 'FRISTEN', z.frist, 'titel'),
+    Frist: einfach('Frist', 'Frist', 'Fristen', 'FRISTEN', z.frist, 'titel'),
-    Dokument: einfach('Dokument', 'Dokument', 'Dokumente', 'DOKUMENTE', z.dokument, 'titel'),
+    Dokument: einfach('Dokument', 'Dokument', 'Dokumente', 'DOKUMENTE', z.dokument, 'titel'),
-    Konto: einfach('Konto', 'Konto', 'Konten', 'FINANZEN', z.konto, 'bezeichnung'),
+    Konto: einfach('Konto', 'Konto', 'Konten', 'FINANZEN', z.konto, 'bezeichnung'),
-    Buchung: einfach('Buchung', 'Buchung', 'Buchungen', 'FINANZEN', z.buchung, 'gegenstelle'),
+    Buchung: einfach('Buchung', 'Buchung', 'Buchungen', 'FINANZEN', z.buchung, 'gegenstelle'),
-    Vermoegensposten: einfach(
+    Vermoegensposten: einfach(
-      'Vermoegensposten',
+      'Vermoegensposten',
-      'Vermögensposten',
+      'Vermögensposten',
-      'Vermögensposten',
+      'Vermögensposten',
-      'FINANZEN',
+      'FINANZEN',
-      z.vermoegensposten,
+      z.vermoegensposten,
-      'bezeichnung',
+      'bezeichnung',
-    ),
+    ),
-    Immobilie: einfach('Immobilie', 'Immobilie', 'Immobilien', 'IMMOBILIE', z.immobilie, 'bezeichnung'),
+    Immobilie: einfach('Immobilie', 'Immobilie', 'Immobilien', 'IMMOBILIE', z.immobilie, 'bezeichnung'),
-    Vertrag: einfach('Vertrag', 'Vertrag', 'Verträge', 'VERTRAEGE', z.vertrag, 'bezeichnung'),
+    Vertrag: einfach('Vertrag', 'Vertrag', 'Verträge', 'VERTRAEGE', z.vertrag, 'bezeichnung'),
-    Schreibvorlage: einfach(
+    Schreibvorlage: einfach(
-      'Schreibvorlage',
+      'Schreibvorlage',
-      'Vorlage',
+      'Vorlage',
-      'Vorlagen',
+      'Vorlagen',
-      'DOKUMENTE',
+      'DOKUMENTE',
-      z.schreibvorlage,
+      z.schreibvorlage,
-      'name',
+      'name',
-    ),
+    ),
-    Kontakt: einfach('Kontakt', 'Kontakt', 'Kontakte', 'KONTAKTE', z.kontakt, 'name'),
+    Kontakt: einfach('Kontakt', 'Kontakt', 'Kontakte', 'KONTAKTE', z.kontakt, 'name'),
-    Kontaktprotokoll: einfach(
+    Kontaktprotokoll: einfach(
-      'Kontaktprotokoll',
+      'Kontaktprotokoll',
-      'Kontaktprotokoll',
+      'Kontaktprotokoll',
-      'Kontaktprotokolle',
+      'Kontaktprotokolle',
-      'KONTAKTE',
+      'KONTAKTE',
-      z.kontaktprotokoll,
+      z.kontaktprotokoll,
-      'gespraechspartner',
+      'gespraechspartner',
-    ),
+    ),
-    Gesundheitsereignis: einfach(
+    Gesundheitsereignis: einfach(
-      'Gesundheitsereignis',
+      'Gesundheitsereignis',
-      'Gesundheitsereignis',
+      'Gesundheitsereignis',
-      'Gesundheitsereignisse',
+      'Gesundheitsereignisse',
-      'GESUNDHEIT',
+      'GESUNDHEIT',
-      z.gesundheitsereignis,
+      z.gesundheitsereignis,
-      'titel',
+      'titel',
-    ),
+    ),
-    Genehmigung: einfach(
+    Genehmigung: einfach(
-      'Genehmigung',
+      'Genehmigung',
-      'Genehmigung',
+      'Genehmigung',
-      'Genehmigungen',
+      'Genehmigungen',
-      'VORGAENGE',
+      'VORGAENGE',
-      z.genehmigung,
+      z.genehmigung,
-      'titel',
+      'titel',
-    ),
+    ),
-    SozialhilfeAntrag: einfach(
+    SozialhilfeAntrag: einfach(
-      'SozialhilfeAntrag',
+      'SozialhilfeAntrag',
-      'Sozialhilfeantrag',
+      'Sozialhilfeantrag',
-      'Sozialhilfeanträge',
+      'Sozialhilfeanträge',
-      'SOZIALHILFE',
+      'SOZIALHILFE',
-      z.sozialhilfeAntrag,
+      z.sozialhilfeAntrag,
-      'leistungsart',
+      'leistungsart',
-    ),
+    ),
-    Leistung: einfach('Leistung', 'Leistung', 'Leistungen', 'SOZIALHILFE', z.leistung, 'bezeichnung'),
+    Leistung: einfach('Leistung', 'Leistung', 'Leistungen', 'SOZIALHILFE', z.leistung, 'bezeichnung'),
-    Bericht: einfach('Bericht', 'Bericht', 'Berichte', 'BERICHTE', z.bericht, 'titel'),
+    Bericht: einfach('Bericht', 'Bericht', 'Berichte', 'BERICHTE', z.bericht, 'titel'),
-  }
+  }
-  /* eslint-enable @typescript-eslint/no-explicit-any */
+  /* eslint-enable @typescript-eslint/no-explicit-any */
-}
+}
-
+
-/** Alles, was in den letzten 30 Tagen geloescht wurde. */
+/** Alles, was in den letzten 30 Tagen geloescht wurde. */
-export async function papierkorbLaden(betreuteId: string): Promise<
+export async function papierkorbLaden(betreuteId: string): Promise<
-  { art: string; bezeichnung: string; eintraege: PapierkorbEintrag[] }[]
+  { art: string; bezeichnung: string; eintraege: PapierkorbEintrag[] }[]
-> {
+> {
-  const { zugang } = await erfordereZugang(betreuteId, 'STAMMDATEN', 'lesen')
+  const { zugang } = await erfordereZugang(betreuteId, 'STAMMDATEN', 'lesen')
-  const seit = papierkorbGrenze()
+  const seit = papierkorbGrenze()
-
+
-  const gruppen: { art: string; bezeichnung: string; eintraege: PapierkorbEintrag[] }[] = []
+  const gruppen: { art: string; bezeichnung: string; eintraege: PapierkorbEintrag[] }[] = []
-  for (const [art, beschreibung] of Object.entries(eintragsarten())) {
+  for (const [art, beschreibung] of Object.entries(eintragsarten())) {
-    // Ein Mitleser sieht auch im Papierkorb nur, was ihm freigegeben ist.
+    // Ein Mitleser sieht auch im Papierkorb nur, was ihm freigegeben ist.
-    if (zugang.rolle === 'MITLESER' && !zugang.freigegebeneModule.includes(beschreibung.modul)) {
+    if (zugang.rolle === 'MITLESER' && !zugang.freigegebeneModule.includes(beschreibung.modul)) {
-      continue
+      continue
-    }
+    }
-    const eintraege = await beschreibung.laden(betreuteId, seit)
+    const eintraege = await beschreibung.laden(betreuteId, seit)
-    if (eintraege.length > 0) {
+    if (eintraege.length > 0) {
-      gruppen.push({ art, bezeichnung: beschreibung.mehrzahl, eintraege })
+      gruppen.push({ art, bezeichnung: beschreibung.mehrzahl, eintraege })
-    }
+    }
-  }
+  }
-  return gruppen
+  return gruppen
-}
+}
-
+
-/**
+/**
- * Haengt an diesem Datensatz eine Datei im Objektspeicher?
+ * Haengt an diesem Datensatz eine Datei im Objektspeicher?
- *
+ *
- * Die beiden Faelle werden ausdruecklich getrennt abgefragt statt ueber
+ * Die beiden Faelle werden ausdruecklich getrennt abgefragt statt ueber
- * eine gemeinsam gehaltene Tabellenvariable: Prisma gibt jedem Modell
+ * eine gemeinsam gehaltene Tabellenvariable: Prisma gibt jedem Modell
- * eigene Signaturen, und eine Variable, die mal das eine und mal das
+ * eigene Signaturen, und eine Variable, die mal das eine und mal das
- * andere Delegate haelt, laesst sich nicht mehr aufrufen.
+ * andere Delegate haelt, laesst sich nicht mehr aufrufen.
- */
+ */
-async function objektSchluesselFinden(
+async function objektSchluesselFinden(
-  entitaet: string,
+  entitaet: string,
-  entitaetId: string,
+  entitaetId: string,
-  betreuteId: string,
+  betreuteId: string,
-): Promise<string | null> {
+): Promise<string | null> {
-  if (entitaet === 'Dokument') {
+  if (entitaet === 'Dokument') {
-    const dokument = await db.dokument.findFirst({
+    const dokument = await db.dokument.findFirst({
-      where: { id: entitaetId, betreuteId },
+      where: { id: entitaetId, betreuteId },
-      select: { objektSchluessel: true },
+      select: { objektSchluessel: true },
-    })
+    })
-    return dokument?.objektSchluessel ?? null
+    return dokument?.objektSchluessel ?? null
-  }
+  }
-  if (entitaet === 'Bericht') {
+  if (entitaet === 'Bericht') {
-    const bericht = await db.bericht.findFirst({
+    const bericht = await db.bericht.findFirst({
-      where: { id: entitaetId, betreuteId },
+      where: { id: entitaetId, betreuteId },
-      select: { objektSchluessel: true },
+      select: { objektSchluessel: true },
-    })
+    })
-    return bericht?.objektSchluessel ?? null
+    return bericht?.objektSchluessel ?? null
-  }
+  }
-  return null
+  return null
-}
+}
-
+
-export async function wiederherstellen(
+export async function wiederherstellen(
-  _zustand: Aktionszustand,
+  _zustand: Aktionszustand,
-  formular: FormData,
+  formular: FormData,
-): Promise<Aktionszustand> {
+): Promise<Aktionszustand> {
-  const gelesen = papierkorbSchema.safeParse({
+  const gelesen = papierkorbSchema.safeParse({
-    betreuteId: formular.get('betreuteId'),
+    betreuteId: formular.get('betreuteId'),
-    entitaet: formular.get('entitaet'),
+    entitaet: formular.get('entitaet'),
-    entitaetId: formular.get('entitaetId'),
+    entitaetId: formular.get('entitaetId'),
-  })
+  })
-  if (!gelesen.success) return { fehler: 'Diese Angaben ergeben keinen Sinn.' }
+  if (!gelesen.success) return { fehler: 'Diese Angaben ergeben keinen Sinn.' }
-
+
-  const art = eintragsarten()[gelesen.data.entitaet]
+  const art = eintragsarten()[gelesen.data.entitaet]
-  if (!art) return { fehler: 'Diese Art von Datensatz kennt der Papierkorb nicht.' }
+  if (!art) return { fehler: 'Diese Art von Datensatz kennt der Papierkorb nicht.' }
-
+
-  const { benutzer, zugang } = await erfordereZugang(gelesen.data.betreuteId, art.modul, 'schreiben')
+  const { benutzer, zugang } = await erfordereZugang(gelesen.data.betreuteId, art.modul, 'schreiben')
-  if (zugang.rolle === 'MITLESER') return { fehler: 'Als Mitleser darfst du nichts wiederherstellen.' }
+  if (zugang.rolle === 'MITLESER') return { fehler: 'Als Mitleser darfst du nichts wiederherstellen.' }
-
+
-  await art.wiederherstellen(gelesen.data.entitaetId, gelesen.data.betreuteId)
+  await art.wiederherstellen(gelesen.data.entitaetId, gelesen.data.betreuteId)
-
+
-  await protokollieren({
+  await protokollieren({
-    aktion: 'WIEDERHERGESTELLT',
+    aktion: 'WIEDERHERGESTELLT',
-    entitaet: gelesen.data.entitaet,
+    entitaet: gelesen.data.entitaet,
-    entitaetId: gelesen.data.entitaetId,
+    entitaetId: gelesen.data.entitaetId,
-    bezeichnung: `${art.bezeichnung} aus dem Papierkorb geholt`,
+    bezeichnung: `${art.bezeichnung} aus dem Papierkorb geholt`,
-    betreuteId: gelesen.data.betreuteId,
+    betreuteId: gelesen.data.betreuteId,
-    userId: benutzer.id,
+    userId: benutzer.id,
-    userEmail: benutzer.email,
+    userEmail: benutzer.email,
-    userName: benutzer.name,
+    userName: benutzer.name,
-  })
+  })
-
+
-  revalidatePath('/einstellungen/papierkorb')
+  revalidatePath('/einstellungen/papierkorb')
-  return { erfolg: `${art.bezeichnung} ist wieder da.` }
+  return { erfolg: `${art.bezeichnung} ist wieder da.` }
-}
+}
-
+
-/**
+/**
- * Endgueltig loeschen. Danach ist der Datensatz weg - auch die Datei im
+ * Endgueltig loeschen. Danach ist der Datensatz weg - auch die Datei im
- * Objektspeicher, falls es eine gibt. Nur nach frischer Anmeldung.
+ * Objektspeicher, falls es eine gibt. Nur nach frischer Anmeldung.
- */
+ */
-export async function endgueltigLoeschen(
+export async function endgueltigLoeschen(
-  _zustand: Aktionszustand,
+  _zustand: Aktionszustand,
-  formular: FormData,
+  formular: FormData,
-): Promise<Aktionszustand> {
+): Promise<Aktionszustand> {
-  const gelesen = papierkorbSchema.safeParse({
+  const gelesen = papierkorbSchema.safeParse({
-    betreuteId: formular.get('betreuteId'),
+    betreuteId: formular.get('betreuteId'),
-    entitaet: formular.get('entitaet'),
+    entitaet: formular.get('entitaet'),
-    entitaetId: formular.get('entitaetId'),
+    entitaetId: formular.get('entitaetId'),
-  })
+  })
-  if (!gelesen.success) return { fehler: 'Diese Angaben ergeben keinen Sinn.' }
+  if (!gelesen.success) return { fehler: 'Diese Angaben ergeben keinen Sinn.' }
-
+
-  const art = eintragsarten()[gelesen.data.entitaet]
+  const art = eintragsarten()[gelesen.data.entitaet]
-  if (!art) return { fehler: 'Diese Art von Datensatz kennt der Papierkorb nicht.' }
+  if (!art) return { fehler: 'Diese Art von Datensatz kennt der Papierkorb nicht.' }
-
+
-  const { benutzer, zugang } = await erfordereZugang(gelesen.data.betreuteId, art.modul, 'schreiben')
+  const { benutzer, zugang } = await erfordereZugang(gelesen.data.betreuteId, art.modul, 'schreiben')
-  if (zugang.rolle === 'MITLESER') return { fehler: 'Als Mitleser darfst du nichts löschen.' }
+  if (zugang.rolle === 'MITLESER') return { fehler: 'Als Mitleser darfst du nichts löschen.' }
-  await erfordereFrischeAnmeldung(benutzer, '/einstellungen/papierkorb')
+  await erfordereFrischeAnmeldung(benutzer, '/einstellungen/papierkorb')
-
+
-  // Bei Dokumenten und Berichten haengt eine Datei daran. Sie wird zuerst
+  // Bei Dokumenten und Berichten haengt eine Datei daran. Sie wird zuerst
-  // entfernt: Bliebe sie liegen, waere sie eine verwaiste Kopie von Daten,
+  // entfernt: Bliebe sie liegen, waere sie eine verwaiste Kopie von Daten,
-  // die ausdruecklich verschwinden sollten.
+  // die ausdruecklich verschwinden sollten.
-  const schluessel = await objektSchluesselFinden(
+  const schluessel = await objektSchluesselFinden(
-    gelesen.data.entitaet,
+    gelesen.data.entitaet,
-    gelesen.data.entitaetId,
+    gelesen.data.entitaetId,
-    gelesen.data.betreuteId,
+    gelesen.data.betreuteId,
-  )
+  )
-  if (schluessel) {
+  if (schluessel) {
-    try {
+    try {
-      await entfernen(schluessel)
+      await entfernen(schluessel)
-    } catch (fehler) {
+    } catch (fehler) {
-      console.error('[papierkorb] Datei konnte nicht entfernt werden:', fehler)
+      console.error('[papierkorb] Datei konnte nicht entfernt werden:', fehler)
-    }
+    }
-  }
+  }
-
+
-  await art.endgueltigLoeschen(gelesen.data.entitaetId, gelesen.data.betreuteId)
+  await art.endgueltigLoeschen(gelesen.data.entitaetId, gelesen.data.betreuteId)
-
+
-  await protokollieren({
+  await protokollieren({
-    aktion: 'ENDGUELTIG_GELOESCHT',
+    aktion: 'ENDGUELTIG_GELOESCHT',
-    entitaet: gelesen.data.entitaet,
+    entitaet: gelesen.data.entitaet,
-    entitaetId: gelesen.data.entitaetId,
+    entitaetId: gelesen.data.entitaetId,
-    bezeichnung: `${art.bezeichnung} endgültig gelöscht`,
+    bezeichnung: `${art.bezeichnung} endgültig gelöscht`,
-    betreuteId: gelesen.data.betreuteId,
+    betreuteId: gelesen.data.betreuteId,
-    userId: benutzer.id,
+    userId: benutzer.id,
-    userEmail: benutzer.email,
+    userEmail: benutzer.email,
-    userName: benutzer.name,
+    userName: benutzer.name,
-  })
+  })
-
+
-  revalidatePath('/einstellungen/papierkorb')
+  revalidatePath('/einstellungen/papierkorb')
-  return { erfolg: `${art.bezeichnung} ist endgültig entfernt.` }
+  return { erfolg: `${art.bezeichnung} ist endgültig entfernt.` }
-}
+}

src/server/actions/passkey.ts

@@ -20,7 +20,11 @@ import {
   registrierungPruefen,
   registrierungVorbereiten,
 } from '@/lib/auth/passkey'
-import { erfordereBenutzer, reauthBestaetigen } from '@/lib/auth/sitzung'
+import {
+  erfordereBenutzer,
+  erfordereFrischeAnmeldung,
+  reauthBestaetigen,
+} from '@/lib/auth/sitzung'
 
 /**
  * Server Actions rund um Passkeys.
@@ -42,6 +46,21 @@ export type PasskeyStart<T> = { ok: true; optionen: T } | { ok: false; fehler: s
 /** Ergebnis eines abschliessenden Schritts. */
 export type PasskeyErgebnis = { ok: true; meldung?: string } | { ok: false; fehler: string }
 
+/**
+ * Erkennt die Weiterleitung, die Next.js intern als Ausnahme wirft.
+ * Wie in anmelden.ts ueber das digest-Feld statt ueber einen Import aus
+ * next/dist - interne Pfade aendern sich zwischen Nebenversionen.
+ */
+function istWeiterleitung(fehler: unknown): boolean {
+  return (
+    typeof fehler === 'object' &&
+    fehler !== null &&
+    'digest' in fehler &&
+    typeof (fehler as { digest?: unknown }).digest === 'string' &&
+    (fehler as { digest: string }).digest.startsWith('NEXT_REDIRECT')
+  )
+}
+
 function alsFehler(fehler: unknown): { ok: false; fehler: string } {
   if (fehler instanceof PasskeyFehler) {
     return { ok: false, fehler: PASSKEY_MELDUNG[fehler.grund] }
@@ -50,6 +69,18 @@ function alsFehler(fehler: unknown): { ok: false; fehler: string } {
   return { ok: false, fehler: PASSKEY_MELDUNG.ungueltig }
 }
 
+/**
+ * Wie alsFehler, wirft aber die Weiterleitung von Next durch.
+ *
+ * Ohne das verschwindet der Ruf nach einer erneuten Bestaetigung in der
+ * allgemeinen Meldung "Der Passkey konnte nicht geprueft werden" - der
+ * Benutzer sieht einen Fehler, wo eine Zwischenfrage gemeint war.
+ */
+function alsFehlerOderWeiter(fehler: unknown): { ok: false; fehler: string } {
+  if (istWeiterleitung(fehler)) throw fehler
+  return alsFehler(fehler)
+}
+
 /**
  * Parst die Antwort des Browsers.
  *
@@ -74,14 +105,26 @@ function antwortLesen<T>(roh: string): T {
 // Einrichten (angemeldet, unter "Mein Konto")
 // ---------------------------------------------------------------------------
 
+/**
+ * Ein Passkey ist ein vollwertiger Zugang - wer einen anlegt, kommt danach
+ * ohne Passwort und ohne Code herein. Deshalb dasselbe Vorzimmer wie beim
+ * Vollexport: Die Anmeldung muss frisch sein.
+ *
+ * Das ist genau der Fall, gegen den die erneute Bestaetigung da ist: Eine
+ * offene Sitzung an einem unbeaufsichtigten Rechner ist in diesem Umfeld
+ * der wahrscheinlichste Angriffsweg. Wer daran vorbeikaeme, richtete sich
+ * in zwei Klicks einen dauerhaften eigenen Zugang ein - und der ueberlebte
+ * auch einen Passwortwechsel.
+ */
 export async function passkeyEinrichtungStarten(): Promise<
   PasskeyStart<PublicKeyCredentialCreationOptionsJSON>
 > {
   try {
     const benutzer = await erfordereBenutzer()
+    await erfordereFrischeAnmeldung(benutzer, '/konto')
     return { ok: true, optionen: await registrierungVorbereiten(benutzer) }
   } catch (fehler) {
-    return alsFehler(fehler)
+    return alsFehlerOderWeiter(fehler)
   }
 }
 
@@ -97,6 +140,11 @@ export async function passkeyEinrichtungAbschliessen(
 ): Promise<PasskeyErgebnis> {
   try {
     const benutzer = await erfordereBenutzer()
+    // Auch im zweiten Schritt: Zwischen Optionen holen und Antwort
+    // einreichen liegt der Griff zum Sensor, und die Frist kann in dieser
+    // Zeit ablaufen. Ohne die Pruefung waere der erste Schritt nur eine
+    // Empfehlung.
+    await erfordereFrischeAnmeldung(benutzer, '/konto')
 
     const geprueft = NameSchema.safeParse(name)
     if (!geprueft.success) {
@@ -122,7 +170,7 @@ export async function passkeyEinrichtungAbschliessen(
     revalidatePath('/konto')
     return { ok: true, meldung: `„${passkey.name}“ ist eingerichtet.` }
   } catch (fehler) {
-    return alsFehler(fehler)
+    return alsFehlerOderWeiter(fehler)
   }
 }
 
@@ -130,9 +178,15 @@ export async function passkeyEinrichtungAbschliessen(
 // Verwalten
 // ---------------------------------------------------------------------------
 
+/**
+ * Entfernen braucht die frische Anmeldung genauso wie das Anlegen: Wer
+ * einem Betreuer alle Passkeys wegnimmt, sperrt ihn von dem Weg aus, auf
+ * dem er hereinkommt.
+ */
 export async function passkeyEntfernen(id: string): Promise<PasskeyErgebnis> {
   try {
     const benutzer = await erfordereBenutzer()
+    await erfordereFrischeAnmeldung(benutzer, '/konto')
 
     // Zeilenweise Pruefung: Es genuegt nicht, dass die ID existiert - sie
     // muss zu DIESEM Benutzer gehoeren. deleteMany mit userId im WHERE
@@ -163,7 +217,7 @@ export async function passkeyEntfernen(id: string): Promise<PasskeyErgebnis> {
     revalidatePath('/konto')
     return { ok: true, meldung: `„${passkey.name}“ wurde entfernt.` }
   } catch (fehler) {
-    return alsFehler(fehler)
+    return alsFehlerOderWeiter(fehler)
   }
 }
 
@@ -187,21 +241,6 @@ function sicheresZiel(ziel: string): string {
   return ziel
 }
 
-/**
- * Erkennt die Weiterleitung, die Next.js intern als Ausnahme wirft.
- * Wie in anmelden.ts ueber das digest-Feld statt ueber einen Import aus
- * next/dist - interne Pfade aendern sich zwischen Nebenversionen.
- */
-function istWeiterleitung(fehler: unknown): boolean {
-  return (
-    typeof fehler === 'object' &&
-    fehler !== null &&
-    'digest' in fehler &&
-    typeof (fehler as { digest?: unknown }).digest === 'string' &&
-    (fehler as { digest: string }).digest.startsWith('NEXT_REDIRECT')
-  )
-}
-
 /**
  * Uebersetzt den Fehlercode aus authorize() in einen lesbaren Satz.
  * "passkey:<grund>" kommt aus PasskeyAnmeldeFehler, alles andere aus dem

src/server/actions/vorgaenge.ts

@@ -6,6 +6,7 @@ import type { Prisma } from '@prisma/client'
 import { db, nichtGeloescht } from '@/lib/db'
 import { erfordereZugang } from '@/lib/auth/sitzung'
 import { aenderungErmitteln, protokollieren, type Aenderung } from '@/lib/audit'
+import { verweisePruefen } from '@/lib/auth/verweise'
 import { oeffnen, sealen } from '@/lib/crypto/feld'
 import {
   AufgabeAbhakenSchema,
@@ -69,34 +70,6 @@ async function kontaktnameZu(kontaktId: string | null): Promise<string | null> {
   return [kontakt.name, kontakt.organisation].filter(Boolean).join(', ')
 }
 
-/**
- * Gehoert der Ansprechpartner zu dieser Akte?
- *
- * Ohne die Pruefung koennte ein veraendertes Formular einen Kontakt aus
- * einer fremden Akte an den Vorgang haengen - und sein Name stuende
- * anschliessend im Briefkopf.
- */
-async function ansprechpartnerPruefen(
-  betreuteId: string,
-  ansprechpartnerId: string | null,
-): Promise<{ ok: true } | { ok: false; zustand: Formularzustand }> {
-  if (!ansprechpartnerId) return { ok: true }
-
-  const kontakt = await db.kontakt.findFirst({
-    where: { id: ansprechpartnerId, betreuteId, geloeschtAm: null },
-    select: { id: true },
-  })
-  if (kontakt) return { ok: true }
-
-  return {
-    ok: false,
-    zustand: {
-      fehler: 'Diesen Kontakt gibt es nicht (mehr).',
-      felder: { ansprechpartnerId: 'Bitte einen Kontakt aus dem Verzeichnis wählen.' },
-    },
-  }
-}
-
 export async function vorgangAnlegen(
   _vorher: Formularzustand,
   formular: FormData,
@@ -119,8 +92,13 @@ export async function vorgangAnlegen(
 
   const eingabe = gelesen.data
 
-  const geprueft = await ansprechpartnerPruefen(betreuteId, eingabe.ansprechpartnerId)
+  // Sein Name stuende sonst im Briefkopf - siehe lib/auth/verweise.ts.
-  if (!geprueft.ok) return geprueft.zustand
+  const verweisfehler = await verweisePruefen(betreuteId, {
+    kontakt: eingabe.ansprechpartnerId,
+  })
+  if (verweisfehler) {
+    return { fehler: verweisfehler, felder: { ansprechpartnerId: verweisfehler } }
+  }
 
   const jetzt = new Date()
 
@@ -250,8 +228,12 @@ export async function vorgangAendern(
 
   const eingabe = gelesen.data
 
-  const geprueft = await ansprechpartnerPruefen(vorgang.betreuteId, eingabe.ansprechpartnerId)
+  const verweisfehler = await verweisePruefen(vorgang.betreuteId, {
-  if (!geprueft.ok) return geprueft.zustand
+    kontakt: eingabe.ansprechpartnerId,
+  })
+  if (verweisfehler) {
+    return { fehler: verweisfehler, felder: { ansprechpartnerId: verweisfehler } }
+  }
 
   const vorherOffen = oeffnen('Vorgang', vorgang)
 

src/server/actions/zwei-faktor.ts

@@ -3,10 +3,15 @@
 import { revalidatePath } from 'next/cache'
 import { z } from 'zod'
 import { db } from '@/lib/db'
-import { erfordereBenutzer, erfordereFrischeAnmeldung } from '@/lib/auth/sitzung'
+import {
+  erfordereBenutzer,
+  erfordereBenutzerOhneZweitenFaktor,
+  erfordereFrischeAnmeldung,
+} from '@/lib/auth/sitzung'
 import { protokollieren } from '@/lib/audit'
 import {
   totpPruefen,
+  totpSchritt,
   totpQrCode,
   totpSecretEntschluesseln,
   totpSecretErzeugen,
@@ -40,7 +45,9 @@ export type EinrichtungsDaten = {
 }
 
 export async function zweitenFaktorVorbereiten(): Promise<EinrichtungsDaten> {
-  const benutzer = await erfordereBenutzer()
+  // Ausnahme von der MFA-Pflicht, und zwar die offensichtliche: Wer den
+  // zweiten Faktor gerade einrichtet, hat ihn noch nicht.
+  const benutzer = await erfordereBenutzerOhneZweitenFaktor()
 
   if (benutzer.totpAktiviertAm && benutzer.totpSecretVerschluesselt) {
     // Schon eingerichtet - kein neues Geheimnis, sonst waere die alte App
@@ -78,7 +85,8 @@ export async function zweitenFaktorBestaetigen(
   _vorher: BestaetigungsZustand,
   formular: FormData,
 ): Promise<BestaetigungsZustand> {
-  const benutzer = await erfordereBenutzer()
+  // Zweite und letzte Ausnahme: der Abschluss der Einrichtung selbst.
+  const benutzer = await erfordereBenutzerOhneZweitenFaktor()
 
   if (benutzer.totpAktiviertAm) {
     return { fehler: 'Der zweite Faktor ist bereits eingerichtet.' }
@@ -93,9 +101,9 @@ export async function zweitenFaktorBestaetigen(
   }
 
   const secret = totpSecretEntschluesseln(benutzer.totpSecretVerschluesselt)
-  const { gueltig } = totpPruefen(secret, benutzer.email, gelesen.data)
+  const { gueltig, delta } = totpPruefen(secret, benutzer.email, gelesen.data)
 
-  if (!gueltig) {
+  if (!gueltig || delta === null) {
     return {
       fehler:
         'Der Code stimmt nicht. Prüfe, ob die Uhrzeit deines Geräts automatisch gestellt wird — ' +
@@ -108,7 +116,14 @@ export async function zweitenFaktorBestaetigen(
 
   await db.user.update({
     where: { id: benutzer.id },
-    data: { totpAktiviertAm: new Date(), wiederherstellungscodes: hashes },
+    data: {
+      totpAktiviertAm: new Date(),
+      wiederherstellungscodes: hashes,
+      // Der Code, mit dem gerade bestaetigt wurde, ist verbraucht. Ohne
+      // diese Zeile liesse er sich unmittelbar danach fuer die erste
+      // Anmeldung noch einmal verwenden.
+      totpLetzterSchritt: totpSchritt(delta),
+    },
   })
 
   await protokollieren({

tests/anmeldesperre.test.ts

@@ -0,0 +1,250 @@
+import { beforeEach, describe, expect, it, vi } from 'vitest'
+
+/**
+ * Die Anmeldesperre - und warum sie sich frueher selbst am Leben hielt.
+ *
+ * Bis v1.10.2 wurde jeder Aufruf festgehalten, auch der, der wegen einer
+ * laufenden Sperre gar nicht geprueft wurde. Gleichzeitig lief die Frist ab
+ * dem juengsten Fehlversuch. Beides zusammen ergab eine Rueckkopplung: Wer
+ * regelmaessig gegen eine gesperrte Adresse klopfte, verlaengerte die Sperre
+ * bei jedem Klopfen um die volle Dauer - und sperrte den Inhaber damit
+ * dauerhaft aus, ohne dessen Passwort zu kennen. Nebenbei wuchs die Tabelle
+ * mit jedem Versuch.
+ *
+ * Diese Tests laufen gegen eine Attrappe der Datenbank. Das reicht: Was hier
+ * geprueft wird, ist die Rechnung, nicht die Abfrage.
+ */
+
+// Kuerzere Sperre als Zeitfenster - nur so wird sichtbar, ob die Frist
+// wirklich ablaeuft oder bis zum Fensterende stehen bleibt.
+process.env.LOGIN_MAX_VERSUCHE = '5'
+process.env.LOGIN_FENSTER_SEKUNDEN = '3600'
+process.env.LOGIN_SPERRE_SEKUNDEN = '900'
+
+type Zeile = {
+  id: string
+  email: string
+  ipHash: string | null
+  erfolg: boolean
+  grund: string | null
+  zeitpunkt: Date
+}
+
+let tabelle: Zeile[] = []
+let laufendeNummer = 0
+
+/** Nur die Abfrageformen, die in ratelimit.ts wirklich vorkommen. */
+function passt(zeile: Zeile, wo: Record<string, unknown>): boolean {
+  if ('erfolg' in wo && zeile.erfolg !== wo.erfolg) return false
+  if ('email' in wo && zeile.email !== wo.email) return false
+
+  if ('grund' in wo) {
+    const bedingung = wo.grund
+    if (typeof bedingung === 'object' && bedingung !== null && 'not' in bedingung) {
+      if (zeile.grund === (bedingung as { not: string }).not) return false
+    } else if (zeile.grund !== bedingung) {
+      return false
+    }
+  }
+
+  if ('zeitpunkt' in wo) {
+    const { gte, lt } = wo.zeitpunkt as { gte?: Date; lt?: Date }
+    if (gte && zeile.zeitpunkt < gte) return false
+    if (lt && zeile.zeitpunkt >= lt) return false
+  }
+
+  if ('OR' in wo) {
+    const zweige = wo.OR as Record<string, unknown>[]
+    if (!zweige.some((zweig) => passt(zeile, zweig))) return false
+  }
+
+  if ('ipHash' in wo && zeile.ipHash !== wo.ipHash) return false
+
+  return true
+}
+
+vi.mock('@/lib/db', () => ({
+  db: {
+    loginVersuch: {
+      findMany: async ({
+        where,
+        orderBy,
+        take,
+      }: {
+        where: Record<string, unknown>
+        orderBy?: { zeitpunkt?: 'asc' | 'desc' }
+        take?: number
+      }) => {
+        const treffer = tabelle.filter((zeile) => passt(zeile, where))
+        treffer.sort((a, b) =>
+          orderBy?.zeitpunkt === 'desc'
+            ? b.zeitpunkt.getTime() - a.zeitpunkt.getTime()
+            : a.zeitpunkt.getTime() - b.zeitpunkt.getTime(),
+        )
+        return take ? treffer.slice(0, take) : treffer
+      },
+
+      findFirst: async ({ where }: { where: Record<string, unknown> }) =>
+        tabelle.find((zeile) => passt(zeile, where)) ?? null,
+
+      create: async ({ data }: { data: Omit<Zeile, 'id' | 'zeitpunkt'> }) => {
+        laufendeNummer += 1
+        const zeile: Zeile = {
+          id: `z${laufendeNummer}`,
+          email: data.email,
+          ipHash: data.ipHash ?? null,
+          erfolg: data.erfolg,
+          grund: data.grund ?? null,
+          zeitpunkt: new Date(),
+        }
+        tabelle.push(zeile)
+        return zeile
+      },
+
+      deleteMany: async ({ where }: { where: Record<string, unknown> }) => {
+        const vorher = tabelle.length
+        tabelle = tabelle.filter((zeile) => !passt(zeile, where))
+        return { count: vorher - tabelle.length }
+      },
+    },
+  },
+}))
+
+const { anmeldungErlaubt, sperreVermerken, versuchFesthalten, fehlversucheZuruecksetzen } =
+  await import('@/lib/auth/ratelimit')
+
+const OPFER = 'opfer@example.de'
+const ANSCHLUSS = '198.51.100.7'
+const FREMD = '203.0.113.9'
+const START = new Date('2026-08-24T12:00:00Z').getTime()
+
+/** Setzt die Uhr auf START plus so viele Sekunden. */
+function beiSekunde(sekunden: number): void {
+  vi.setSystemTime(new Date(START + sekunden * 1000))
+}
+
+async function fehlversuch(sekunde: number): Promise<void> {
+  beiSekunde(sekunde)
+  await versuchFesthalten(OPFER, ANSCHLUSS, false, 'passwort-falsch')
+}
+
+describe('Anmeldesperre', () => {
+  beforeEach(() => {
+    tabelle = []
+    laufendeNummer = 0
+    vi.useFakeTimers()
+    beiSekunde(0)
+  })
+
+  it('sperrt erst, wenn das Mass voll ist', async () => {
+    for (let i = 0; i < 4; i += 1) await fehlversuch(i)
+
+    beiSekunde(10)
+    expect((await anmeldungErlaubt(OPFER, ANSCHLUSS)).gesperrt).toBe(false)
+
+    await fehlversuch(11)
+    beiSekunde(12)
+    expect((await anmeldungErlaubt(OPFER, ANSCHLUSS)).gesperrt).toBe(true)
+  })
+
+  it('laesst die Frist ablaufen, obwohl die Fehlversuche noch im Zeitfenster stehen', async () => {
+    for (let i = 0; i < 5; i += 1) await fehlversuch(i)
+
+    beiSekunde(890)
+    expect((await anmeldungErlaubt(OPFER, ANSCHLUSS)).gesperrt).toBe(true)
+
+    // Kurz danach offen - und mit vollem Kontingent, nicht mit null
+    // Restversuchen. Das Zeitfenster laeuft noch (3600 s), die fuenf
+    // Fehlversuche stehen also weiterhin in der Tabelle.
+    beiSekunde(905)
+    const frei = await anmeldungErlaubt(OPFER, ANSCHLUSS)
+    expect(frei.gesperrt).toBe(false)
+    if (!frei.gesperrt) expect(frei.verbleibendeVersuche).toBe(5)
+  })
+
+  it('laesst sich durch Klopfen waehrend der Sperre nicht verlaengern', async () => {
+    for (let i = 0; i < 5; i += 1) await fehlversuch(i)
+
+    // Der Angreifer klopft mitten in der Sperre weiter. Genau das hat die
+    // Frist frueher jedes Mal um volle 900 s nach hinten geschoben.
+    for (const sekunde of [100, 300, 600, 880]) {
+      beiSekunde(sekunde)
+      expect((await anmeldungErlaubt(OPFER, ANSCHLUSS)).gesperrt).toBe(true)
+      await sperreVermerken(OPFER, FREMD)
+    }
+
+    // Die Frist haengt am fuenften echten Fehlversuch (Sekunde 4), nicht am
+    // letzten Klopfen (Sekunde 880).
+    beiSekunde(905)
+    expect((await anmeldungErlaubt(OPFER, ANSCHLUSS)).gesperrt).toBe(false)
+  })
+
+  it('rechnet einen abgewiesenen Aufruf nicht als Fehlversuch', async () => {
+    // Vier echte Fehlversuche - das Mass ist noch nicht voll.
+    for (let i = 0; i < 4; i += 1) await fehlversuch(i)
+
+    // Dazu ein Vermerk ueber einen abgewiesenen Aufruf. Er steht als
+    // fuenfte Zeile in der Tabelle, darf aber nicht mitzaehlen: Geprueft
+    // wurde bei ihm nichts, also sagt er ueber die Zugangsdaten nichts aus.
+    beiSekunde(5)
+    await sperreVermerken(OPFER, FREMD)
+    expect(tabelle.length).toBe(5)
+
+    beiSekunde(6)
+    const stand = await anmeldungErlaubt(OPFER, ANSCHLUSS)
+    expect(stand.gesperrt).toBe(false)
+    if (!stand.gesperrt) expect(stand.verbleibendeVersuche).toBe(1)
+  })
+
+  it('rechnet die Frist ab dem Versuch, der das Mass vollgemacht hat', async () => {
+    // Vier Fehlversuche ganz frueh, der fuenfte deutlich spaeter. Die
+    // Sperre beginnt beim fuenften - nicht beim ersten und nicht beim
+    // naechsten, der noch kommt.
+    for (let i = 0; i < 4; i += 1) await fehlversuch(i)
+    await fehlversuch(600)
+
+    beiSekunde(1400)
+    expect((await anmeldungErlaubt(OPFER, ANSCHLUSS)).gesperrt).toBe(true)
+
+    beiSekunde(1510)
+    expect((await anmeldungErlaubt(OPFER, ANSCHLUSS)).gesperrt).toBe(false)
+  })
+
+  it('schreibt je Sperre hoechstens eine Zeile, egal wie oft geklopft wird', async () => {
+    for (let i = 0; i < 5; i += 1) await fehlversuch(i)
+    const nachSperre = tabelle.length
+
+    for (let i = 0; i < 200; i += 1) {
+      beiSekunde(10 + i)
+      await sperreVermerken(OPFER, FREMD)
+    }
+
+    expect(tabelle.length).toBe(nachSperre + 1)
+  })
+
+  it('zaehlt die naechste Runde erst nach Ablauf der Sperre wieder hoch', async () => {
+    for (let i = 0; i < 5; i += 1) await fehlversuch(i)
+
+    await fehlversuch(906)
+    const stand = await anmeldungErlaubt(OPFER, ANSCHLUSS)
+    expect(stand.gesperrt).toBe(false)
+    if (!stand.gesperrt) expect(stand.verbleibendeVersuche).toBe(4)
+
+    // Vier weitere - dann greift die zweite Sperre.
+    for (let i = 1; i < 5; i += 1) await fehlversuch(906 + i)
+    beiSekunde(915)
+    expect((await anmeldungErlaubt(OPFER, ANSCHLUSS)).gesperrt).toBe(true)
+  })
+
+  it('raeumt die Fehlversuche nach erfolgreicher Anmeldung ab', async () => {
+    for (let i = 0; i < 5; i += 1) await fehlversuch(i)
+    beiSekunde(10)
+    expect((await anmeldungErlaubt(OPFER, ANSCHLUSS)).gesperrt).toBe(true)
+
+    await fehlversucheZuruecksetzen(OPFER)
+
+    const frei = await anmeldungErlaubt(OPFER, ANSCHLUSS)
+    expect(frei.gesperrt).toBe(false)
+    if (!frei.gesperrt) expect(frei.verbleibendeVersuche).toBe(5)
+  })
+})

tests/anschluss.test.ts

@@ -0,0 +1,136 @@
+import { afterEach, beforeEach, describe, expect, it, vi } from 'vitest'
+import { anschlussAus, warnungZuruecksetzen } from '@/lib/auth/anschluss'
+
+/**
+ * Aus welchem Kopf die Adresse des Aufrufers gelesen wird.
+ *
+ * Vorher stand dort der ERSTE Eintrag von "x-forwarded-for". Das ist die
+ * klassische Verwechslung: Der Kopf ist eine Liste, an die jeder
+ * Zwischenknoten hinten anhaengt - der erste Eintrag ist also der, den der
+ * Aufrufer selbst mitgeschickt hat. Wer bei jeder Anfrage eine andere Zahl
+ * hineinschrieb, sah fuer die Anmeldesperre wie tausend Anschluesse aus.
+ */
+
+function koepfe(werte: Record<string, string>): Headers {
+  return new Headers(werte)
+}
+
+describe('Anschluss des Aufrufers', () => {
+  beforeEach(() => {
+    warnungZuruecksetzen()
+    delete process.env.VERTRAUE_PROXY
+    delete process.env.VERTRAUE_PROXY_STUFEN
+  })
+
+  afterEach(() => {
+    delete process.env.VERTRAUE_PROXY
+    delete process.env.VERTRAUE_PROXY_STUFEN
+    vi.restoreAllMocks()
+  })
+
+  describe('ohne vertrauten Proxy', () => {
+    it('glaubt dem weitergereichten Kopf nicht', () => {
+      const warnung = vi.spyOn(console, 'warn').mockImplementation(() => {})
+
+      expect(anschlussAus(koepfe({ 'x-forwarded-for': '203.0.113.9' }))).toBeNull()
+      expect(warnung).toHaveBeenCalledOnce()
+    })
+
+    it('warnt nur einmal, nicht bei jeder Anfrage', () => {
+      const warnung = vi.spyOn(console, 'warn').mockImplementation(() => {})
+
+      for (let i = 0; i < 20; i += 1) {
+        anschlussAus(koepfe({ 'x-forwarded-for': `203.0.113.${i}` }))
+      }
+
+      expect(warnung).toHaveBeenCalledOnce()
+    })
+
+    it('schweigt, wenn gar kein solcher Kopf ankommt', () => {
+      const warnung = vi.spyOn(console, 'warn').mockImplementation(() => {})
+
+      expect(anschlussAus(koepfe({}))).toBeNull()
+      expect(warnung).not.toHaveBeenCalled()
+    })
+  })
+
+  describe('mit einem vertrauten Proxy', () => {
+    beforeEach(() => {
+      process.env.VERTRAUE_PROXY = 'true'
+    })
+
+    it('nimmt den letzten Eintrag, nicht den ersten', () => {
+      // Links das, was der Aufrufer selbst behauptet hat; rechts das, was
+      // der Proxy gesehen hat. Nur letzteres ist etwas wert.
+      const kopf = koepfe({ 'x-forwarded-for': '10.0.0.1, 198.51.100.7' })
+
+      expect(anschlussAus(kopf)).toBe('198.51.100.7')
+    })
+
+    it('laesst sich durch eine erfundene Kette nicht taeuschen', () => {
+      const kopf = koepfe({
+        'x-forwarded-for': '1.1.1.1, 2.2.2.2, 3.3.3.3, 198.51.100.7',
+      })
+
+      expect(anschlussAus(kopf)).toBe('198.51.100.7')
+    })
+
+    it('nimmt den einzigen Eintrag, wenn der Aufrufer keinen mitschickte', () => {
+      expect(anschlussAus(koepfe({ 'x-forwarded-for': '198.51.100.7' }))).toBe('198.51.100.7')
+    })
+
+    it('faellt auf x-real-ip zurueck', () => {
+      expect(anschlussAus(koepfe({ 'x-real-ip': '198.51.100.7' }))).toBe('198.51.100.7')
+    })
+
+    it('gibt null, wenn nichts da ist', () => {
+      expect(anschlussAus(koepfe({}))).toBeNull()
+    })
+
+    it('kommt mit Leerraum und leeren Gliedern zurecht', () => {
+      const kopf = koepfe({ 'x-forwarded-for': ' 10.0.0.1 ,  , 198.51.100.7 ' })
+
+      expect(anschlussAus(kopf)).toBe('198.51.100.7')
+    })
+  })
+
+  describe('mit mehreren Stufen', () => {
+    it('zaehlt die angegebene Anzahl von hinten ab', () => {
+      process.env.VERTRAUE_PROXY = 'true'
+      process.env.VERTRAUE_PROXY_STUFEN = '2'
+
+      // Zwei eigene Zwischenknoten: der aeussere haengt 198.51.100.7 an,
+      // der innere 10.0.0.5. Der Aufrufer steht eine Stelle weiter links.
+      const kopf = koepfe({ 'x-forwarded-for': 'erfunden, 198.51.100.7, 10.0.0.5' })
+
+      expect(anschlussAus(kopf)).toBe('198.51.100.7')
+    })
+
+    it('greift nicht ueber den Anfang der Kette hinaus', () => {
+      process.env.VERTRAUE_PROXY = 'true'
+      process.env.VERTRAUE_PROXY_STUFEN = '9'
+
+      expect(anschlussAus(koepfe({ 'x-forwarded-for': '198.51.100.7' }))).toBe('198.51.100.7')
+    })
+  })
+
+  describe('der Schalter selbst', () => {
+    it('gilt nur bei ausdruecklichem Ja', () => {
+      for (const wert of ['false', 'nein', '0', 'vielleicht', '']) {
+        warnungZuruecksetzen()
+        vi.spyOn(console, 'warn').mockImplementation(() => {})
+        process.env.VERTRAUE_PROXY = wert
+
+        expect(anschlussAus(koepfe({ 'x-forwarded-for': '198.51.100.7' }))).toBeNull()
+      }
+    })
+
+    it('nimmt true, 1 und ja', () => {
+      for (const wert of ['true', '1', 'ja', 'TRUE', ' Ja ']) {
+        process.env.VERTRAUE_PROXY = wert
+
+        expect(anschlussAus(koepfe({ 'x-forwarded-for': '198.51.100.7' }))).toBe('198.51.100.7')
+      }
+    })
+  })
+})

tests/briefkopf.test.ts

@@ -0,0 +1,84 @@
+import { describe, expect, it } from 'vitest'
+import { briefkopfBauen } from '@/lib/vertraege/briefkopf'
+import { absenderBlock, datumsZeile } from '@/lib/vertraege/anschreiben'
+
+/**
+ * Der Absenderblock.
+ *
+ * Ein foermliches Schreiben ohne Ruecksendeadresse wirkt unserioes und
+ * macht es der Gegenstelle schwer zu antworten. Umgekehrt gilt: Lieber
+ * nur der Name als ein Block mit leeren Zeilen - eine halb ausgefuellte
+ * Adresse sieht nach Fehler aus, ein blosser Name nach Absicht.
+ */
+
+const BETREUTE = {
+  vorname: 'Erika',
+  nachname: 'Musterfrau',
+  anrede: 'Frau',
+  geburtsdatum: new Date(Date.UTC(1943, 3, 17)),
+  heimName: 'Seniorenheim Sonnenhof',
+  heimStrasse: 'Heimweg 3',
+  heimPlz: '95445',
+  heimOrt: 'Bayreuth',
+  betreuungsgericht: 'Amtsgericht Bayreuth',
+  aktenzeichenGericht: 'XVII 412/25',
+  bestellungAm: new Date(Date.UTC(2026, 1, 14)),
+}
+
+const VOLLSTAENDIG = {
+  name: 'Florian Wilde',
+  strasse: 'Cottenbacher Str. 23',
+  plz: '95445',
+  ort: 'Bayreuth',
+}
+
+describe('Absenderblock', () => {
+  it('nennt Name, Straße und Ort', () => {
+    const kopf = briefkopfBauen({ betreute: BETREUTE, benutzer: VOLLSTAENDIG })
+    expect(absenderBlock(kopf)).toBe('Florian Wilde\nCottenbacher Str. 23\n95445 Bayreuth')
+  })
+
+  it('bleibt beim Namen, wenn keine Anschrift hinterlegt ist', () => {
+    // Kein Block mit leeren Zeilen - das sieht nach Fehler aus.
+    const kopf = briefkopfBauen({ betreute: BETREUTE, benutzer: { name: 'Florian Wilde' } })
+    expect(absenderBlock(kopf)).toBe('Florian Wilde')
+  })
+
+  it('lässt die Straße weg, wenn nur der Ort bekannt ist', () => {
+    const kopf = briefkopfBauen({
+      betreute: BETREUTE,
+      benutzer: { name: 'Florian Wilde', plz: '95445', ort: 'Bayreuth' },
+    })
+    expect(absenderBlock(kopf)).toBe('Florian Wilde\n95445 Bayreuth')
+  })
+
+  it('verträgt einen Ort ohne PLZ', () => {
+    const kopf = briefkopfBauen({
+      betreute: BETREUTE,
+      benutzer: { name: 'Florian Wilde', ort: 'Bayreuth' },
+    })
+    expect(absenderBlock(kopf)).toBe('Florian Wilde\nBayreuth')
+  })
+
+  it('nimmt die Anschrift vom Betreuer, nicht vom Heim', () => {
+    // Die Heimadresse ist die der betreuten Person und gehört in den
+    // Anschriftenblock, nie in den Absender.
+    const kopf = briefkopfBauen({ betreute: BETREUTE, benutzer: VOLLSTAENDIG })
+    expect(absenderBlock(kopf)).not.toContain('Heimweg')
+    expect(kopf.betreuteAnschrift).toContain('Heimweg 3')
+  })
+})
+
+describe('Datumszeile', () => {
+  const heute = new Date(Date.UTC(2026, 7, 23))
+
+  it('stellt den Ort des Betreuers voran', () => {
+    const kopf = briefkopfBauen({ betreute: BETREUTE, benutzer: VOLLSTAENDIG })
+    expect(datumsZeile(kopf.betreuerOrt, heute)).toBe('Bayreuth, den 23.08.2026')
+  })
+
+  it('lässt ohne Ort das Komma weg', () => {
+    const kopf = briefkopfBauen({ betreute: BETREUTE, benutzer: { name: 'Florian Wilde' } })
+    expect(datumsZeile(kopf.betreuerOrt, heute)).toBe('23.08.2026')
+  })
+})

tests/mfa-grenze.test.ts

@@ -0,0 +1,133 @@
+import { readFileSync, readdirSync, statSync } from 'node:fs'
+import { join, relative, sep } from 'node:path'
+import { describe, expect, it } from 'vitest'
+
+/**
+ * Die MFA-Pflicht als Grenze, nicht als Behauptung.
+ *
+ * "Der zweite Faktor ist Pflicht" stand lange im Kopf von src/auth.ts,
+ * durchgesetzt wurde es aber nur im App-Layout. Ein Layout schuetzt, was
+ * durch das Layout gerendert wird - Server Actions und Route Handler laufen
+ * daran vorbei. Wer eine Passwort-Sitzung hatte, die TOTP-Einrichtung aber
+ * nie abgeschlossen hat, kam trotzdem an die Daten.
+ *
+ * Seitdem steckt die Pruefung in erfordereBenutzer() selbst. Damit sie dort
+ * bleibt, prueft dieser Test die Bauform statt des Verhaltens: Er liest den
+ * Quelltext und besteht darauf, dass die Umgehungen aufgezaehlt bleiben.
+ *
+ * Ein Integrationstest waere schoener, braeuchte aber eine Sitzung mit
+ * halbfertigem zweitem Faktor - also genau den Zustand, den die Anwendung
+ * nicht mehr herstellen laesst. Diese Pruefung greift dafuer bei jedem
+ * neuen Endpunkt, auch bei dem, an den beim Testeschreiben niemand denkt.
+ */
+
+const WURZEL = join(__dirname, '..', 'src')
+
+/**
+ * Wer an aktuellerBenutzer() oder erfordereBenutzerOhneZweitenFaktor()
+ * vorbei darf - und warum.
+ *
+ * Gemeinsam ist allen: Sie geben keine Daten einer betreuten Person heraus.
+ * Wer hier etwas ergaenzt, hebelt die MFA-Pflicht fuer diesen Pfad aus und
+ * schuldet eine Begruendung.
+ */
+const ERLAUBT = new Map<string, string>([
+  ['lib/auth/sitzung.ts', 'definiert die Funktionen'],
+  ['app/(auth)/anmelden/page.tsx', 'leitet bereits Angemeldete weiter, zeigt nichts an'],
+  ['app/(auth)/ersteinrichtung/page.tsx', 'laeuft, bevor es einen zweiten Faktor geben kann'],
+  ['app/(auth)/zwei-faktor/einrichten/page.tsx', 'ist die Einrichtung selbst'],
+  ['server/actions/zwei-faktor.ts', 'Vorbereiten und Bestaetigen der Einrichtung'],
+])
+
+/** Route Handler, die absichtlich ohne Anmeldung erreichbar sind. */
+const OEFFENTLICHE_ROUTEN = new Map<string, string>([
+  ['app/api/auth/[...nextauth]/route.ts', 'die Anmeldung selbst'],
+  ['app/api/gesundheit/route.ts', 'Statusabfrage fuer die Ueberwachung, ohne Daten'],
+  ['app/api/kalender/[signatur]/route.ts', 'signierter Abo-Link, eigene Pruefung'],
+  ['app/api/wartung/route.ts', 'Aufruf per Geheimnis aus dem Systemdienst'],
+])
+
+/** Alles, was einen angemeldeten Benutzer mit fertigem zweitem Faktor sichert. */
+const WAECHTER = [
+  'benutzerFuerRoute',
+  'erfordereZugang',
+  'erfordereBenutzer(',
+  'finanzKontext',
+  'berichtsKontext',
+]
+
+function dateienUnter(verzeichnis: string, endungen: string[]): string[] {
+  const gefunden: string[] = []
+
+  for (const eintrag of readdirSync(verzeichnis)) {
+    if (eintrag === 'node_modules' || eintrag === '.next') continue
+    const pfad = join(verzeichnis, eintrag)
+
+    if (statSync(pfad).isDirectory()) {
+      gefunden.push(...dateienUnter(pfad, endungen))
+    } else if (endungen.some((endung) => eintrag.endsWith(endung))) {
+      gefunden.push(pfad)
+    }
+  }
+
+  return gefunden
+}
+
+/** Pfad relativ zu src/, immer mit Schraegstrich - auch unter Windows. */
+function kennung(pfad: string): string {
+  return relative(WURZEL, pfad).split(sep).join('/')
+}
+
+describe('MFA-Grenze', () => {
+  it('umgeht die Pflicht nur an den aufgezaehlten Stellen', () => {
+    const umgehungen = dateienUnter(WURZEL, ['.ts', '.tsx'])
+      .filter((pfad) => {
+        const quelltext = readFileSync(pfad, 'utf-8')
+        return (
+          quelltext.includes('aktuellerBenutzer') ||
+          quelltext.includes('erfordereBenutzerOhneZweitenFaktor')
+        )
+      })
+      .map(kennung)
+      .sort()
+
+    expect(umgehungen).toEqual([...ERLAUBT.keys()].sort())
+  })
+
+  it('sichert jeden Route Handler oder erklaert, warum nicht', () => {
+    const ungesichert = dateienUnter(join(WURZEL, 'app'), ['route.ts'])
+      .map(kennung)
+      .filter((datei) => !OEFFENTLICHE_ROUTEN.has(datei))
+      .filter((datei) => {
+        const quelltext = readFileSync(join(WURZEL, datei), 'utf-8')
+        return !WAECHTER.some((waechter) => quelltext.includes(waechter))
+      })
+
+    expect(ungesichert).toEqual([])
+  })
+
+  it('weist einen Abruf ohne zweiten Faktor ab, statt ihn umzuleiten', () => {
+    // Ein Redirect auf die Anmeldeseite waere bei einer Datei die falsche
+    // Antwort: Der Aufrufer bekaeme HTML, wo er ein Dokument erwartet, und
+    // ein Skript wertete das womoeglich als Erfolg.
+    const quelltext = readFileSync(join(WURZEL, 'lib', 'auth', 'sitzung.ts'), 'utf-8')
+    const abschnitt = quelltext.slice(quelltext.indexOf('export async function benutzerFuerRoute'))
+
+    expect(abschnitt).toContain('status: 401')
+    expect(abschnitt).toContain('status: 403')
+  })
+
+  it('prueft den zweiten Faktor am Datenbankstand, nicht am Sitzungstoken', () => {
+    const quelltext = readFileSync(join(WURZEL, 'lib', 'auth', 'sitzung.ts'), 'utf-8')
+    const funktion = quelltext.slice(
+      quelltext.indexOf('export function zweiterFaktorFertig'),
+      quelltext.indexOf('export async function erfordereBenutzer'),
+    )
+
+    // Die Felder kommen aus dem User-Datensatz. Stuende hier etwas aus der
+    // Sitzung, liesse es sich ueber session.update() vom Client setzen.
+    expect(funktion).toContain('benutzer.totpAktiviertAm')
+    expect(funktion).toContain('benutzer.totpSecretVerschluesselt')
+    expect(funktion).not.toContain('sitzung')
+  })
+})

tests/migration-erzeugen.test.ts

@@ -0,0 +1,128 @@
+import { describe, expect, it } from 'vitest'
+import {
+  dropZeilenEntfernen,
+  hatAnweisungen,
+  kopfBauen,
+  ordnernameBauen,
+} from '../scripts/migration-erzeugen.mjs'
+
+/**
+ * Der Migrations-Wrapper.
+ *
+ * Die eine Sache, die hier schiefgehen darf und nicht schiefgehen soll:
+ * zu viel entfernen. Ein DROP INDEX, das Prisma zu Recht schreibt, muss
+ * stehen bleiben - sonst repariert das Skript die Suche und zerlegt
+ * dafuer das Schema.
+ */
+
+const GESCHUETZT = [
+  { name: 'dokument_absender_trgm', quelle: 'prisma/sql/volltextsuche.sql' },
+  { name: 'vorgang_titel_trgm', quelle: 'prisma/sql/volltextsuche.sql' },
+]
+
+describe('DROP-Zeilen entfernen', () => {
+  it('nimmt die geschützte Anweisung samt Überschrift heraus', () => {
+    const roh = [
+      '-- DropIndex',
+      'DROP INDEX "dokument_absender_trgm";',
+      '',
+      '-- AlterTable',
+      'ALTER TABLE "kontakt" ADD COLUMN "anrede" TEXT;',
+    ].join('\n')
+
+    const { sql, entfernt } = dropZeilenEntfernen(roh, GESCHUETZT)
+
+    expect(entfernt).toEqual(['dokument_absender_trgm'])
+    expect(sql).not.toContain('DROP INDEX')
+    expect(sql).not.toContain('DropIndex')
+    expect(sql).toContain('ALTER TABLE "kontakt"')
+  })
+
+  it('lässt ein DROP INDEX auf einen Prisma-eigenen Index stehen', () => {
+    // Der Kern der Sache: Das Skript darf nicht alles wegräumen, was nach
+    // DROP INDEX aussieht - manche sollen wirklich weg.
+    const roh = ['-- DropIndex', 'DROP INDEX "vertrag_betreuteId_status_idx";'].join('\n')
+
+    const { sql, entfernt } = dropZeilenEntfernen(roh, GESCHUETZT)
+
+    expect(entfernt).toEqual([])
+    expect(sql).toContain('DROP INDEX "vertrag_betreuteId_status_idx";')
+    expect(sql).toContain('-- DropIndex')
+  })
+
+  it('entfernt mehrere geschützte Anweisungen und meldet beide', () => {
+    const roh = [
+      '-- DropIndex',
+      'DROP INDEX "dokument_absender_trgm";',
+      '',
+      '-- DropIndex',
+      'DROP INDEX "vorgang_titel_trgm";',
+      '',
+      '-- CreateTable',
+      'CREATE TABLE "schreibvorlage" ();',
+    ].join('\n')
+
+    const { sql, entfernt } = dropZeilenEntfernen(roh, GESCHUETZT)
+
+    expect(entfernt).toEqual(['dokument_absender_trgm', 'vorgang_titel_trgm'])
+    expect(sql.startsWith('-- CreateTable')).toBe(true)
+  })
+
+  it('verträgt IF EXISTS und abweichende Schreibweise', () => {
+    const roh = 'drop index if exists "vorgang_titel_trgm";'
+    expect(dropZeilenEntfernen(roh, GESCHUETZT).entfernt).toEqual(['vorgang_titel_trgm'])
+  })
+
+  it('lässt eine Migration ohne Treffer unverändert', () => {
+    const roh = ['-- AlterTable', 'ALTER TABLE "vorgang" ADD COLUMN "x" TEXT;'].join('\n')
+    const { sql, entfernt } = dropZeilenEntfernen(roh, GESCHUETZT)
+    expect(entfernt).toEqual([])
+    expect(sql).toBe(roh)
+  })
+
+  it('greift nicht bei einem bloßen Vorkommen des Namens im Text', () => {
+    // Ein Kommentar, der den Index nennt, ist keine Anweisung.
+    const roh = '-- dokument_absender_trgm bleibt bestehen'
+    const { sql, entfernt } = dropZeilenEntfernen(roh, GESCHUETZT)
+    expect(entfernt).toEqual([])
+    expect(sql).toBe(roh)
+  })
+})
+
+describe('Leere Migration erkennen', () => {
+  it('sieht eine echte Anweisung', () => {
+    expect(hatAnweisungen('-- AlterTable\nALTER TABLE "x" ADD COLUMN "y" TEXT;')).toBe(true)
+  })
+
+  it('hält reinen Kommentartext für leer', () => {
+    // Der Normalfall: Schema und Datenbank stimmen überein, der ganze
+    // Diff bestand aus den zwei bekannten DROP-Zeilen. Dann darf keine
+    // Migration entstehen — eine leere in der Historie ist schlimmer als
+    // keine.
+    expect(hatAnweisungen('-- nur ein Kommentar\n\n-- noch einer')).toBe(false)
+  })
+
+  it('hält Leerraum für leer', () => {
+    expect(hatAnweisungen('   \n\n  ')).toBe(false)
+  })
+})
+
+describe('Kopfkommentar', () => {
+  it('benennt die entfernten Indizes und ihre Quelle', () => {
+    const kopf = kopfBauen('ansprechpartner', ['vorgang_titel_trgm'], GESCHUETZT)
+    expect(kopf).toContain('vorgang_titel_trgm')
+    expect(kopf).toContain('prisma/sql/volltextsuche.sql')
+  })
+
+  it('sagt auch, wenn nichts zu entfernen war', () => {
+    expect(kopfBauen('leer', [], GESCHUETZT)).toContain('Nichts zu entfernen')
+  })
+})
+
+describe('Ordnername', () => {
+  it('baut den Zeitstempel im Prisma-Format', () => {
+    expect(ordnernameBauen('anrede', new Date(2026, 7, 23, 9, 5, 3))).toBe(
+      '20260823090503_anrede',
+    )
+  })
+})

tests/pdf-bombe.test.ts

@@ -0,0 +1,104 @@
+import { deflateSync } from 'node:zlib'
+import { describe, expect, it } from 'vitest'
+import { pdfTextLesen } from '@/lib/ocr/pdf-text'
+
+/**
+ * Was passiert, wenn jemand ein praepariertes PDF in die Akte legt?
+ *
+ * Ein Flate-Strom sagt nicht, wie gross er ausgepackt wird. Ein paar
+ * Kilobyte Nullen komprimieren auf fast nichts und blaehen sich beim
+ * Auspacken auf Gigabyte auf - die klassische Dekompressionsbombe. Der
+ * Textleser packte vorher ohne Obergrenze aus.
+ *
+ * Der Test rechnet nicht mit Gigabyte - das waere in einer Testsuite
+ * unhoeflich. Er baut eine Bombe, die die eingebaute Grenze knapp
+ * ueberschreitet, und besteht darauf, dass sie nicht ausgepackt wird.
+ */
+
+/** Baut ein minimales PDF mit einem einzigen Flate-Strom. */
+function pdfMitStrom(nutzlast: Buffer, filter = '/FlateDecode'): Buffer {
+  const kopf = Buffer.from(
+    `%PDF-1.4\n1 0 obj\n<< /Length ${nutzlast.length} /Filter ${filter} >>\nstream\n`,
+    'latin1',
+  )
+  const fuss = Buffer.from('\nendstream\nendobj\n%%EOF\n', 'latin1')
+  return Buffer.concat([kopf, nutzlast, fuss])
+}
+
+/**
+ * Text, den der Extraktor tatsaechlich findet: Er springt nur an, wenn im
+ * Strom PDF-Textoperatoren stehen.
+ */
+function inhaltsstrom(text: string): Buffer {
+  return Buffer.from(`BT /F1 12 Tf (${text}) Tj ET\n`, 'latin1')
+}
+
+describe('PDF-Textleser gegen praeparierte Dateien', () => {
+  it('liest einen gewoehnlichen Flate-Strom', () => {
+    const pdf = pdfMitStrom(deflateSync(inhaltsstrom('Bescheid vom Sozialamt')))
+
+    expect(pdfTextLesen(pdf)).toContain('Bescheid vom Sozialamt')
+  })
+
+  it('packt eine Bombe nicht aus, die die Stromgrenze ueberschreitet', () => {
+    // Die Nutzlast traegt eine erkennbare Marke UND 9 MB Fuellung. Beides
+    // ist wichtig: Ohne die Marke waere das Ergebnis auch ohne Grenze leer,
+    // und der Test bewiese nichts. Die Fuellung komprimiert auf wenige
+    // Kilobyte, die Grenze je Strom liegt bei 8 MB - zlib bricht ab, der
+    // Strom wird verworfen, und die Marke erscheint eben nicht.
+    const bombe = deflateSync(
+      Buffer.concat([inhaltsstrom('BOMBE-MARKE'), Buffer.alloc(9 * 1024 * 1024, 0x20)]),
+    )
+    const pdf = pdfMitStrom(bombe)
+
+    // Kein Absturz, kein Aufblaehen: einfach kein Text.
+    expect(pdfTextLesen(pdf)).toBe('')
+  })
+
+  it('liest denselben Strom, wenn er unter der Grenze bleibt', () => {
+    // Gegenprobe zum Test darueber: Dieselbe Bauform, nur 4 MB Fuellung.
+    // Damit ist belegt, dass oben die Grenze greift und nicht die Bauform
+    // des Testfalls.
+    const knappDrunter = deflateSync(
+      Buffer.concat([inhaltsstrom('BOMBE-MARKE'), Buffer.alloc(4 * 1024 * 1024, 0x20)]),
+    )
+
+    expect(pdfTextLesen(pdfMitStrom(knappDrunter))).toContain('BOMBE-MARKE')
+  })
+
+  it('bleibt handhabbar, wenn viele mittelgrosse Stroeme zusammenkommen', () => {
+    // Zwoelf Stroeme mit je 6 MB Nutzlast liegen einzeln unter der
+    // Stromgrenze, zusammen aber ueber der Gesamtgrenze von 64 MB. Ohne den
+    // zweiten Deckel waeren das 72 MB im Speicher, und zwar je Dokument.
+    const einer = deflateSync(Buffer.concat([inhaltsstrom('Seite'), Buffer.alloc(6 * 1024 * 1024, 0x20)]))
+    const teile: Buffer[] = [Buffer.from('%PDF-1.4\n', 'latin1')]
+    for (let i = 0; i < 12; i += 1) {
+      teile.push(
+        Buffer.from(`${i + 1} 0 obj\n<< /Length ${einer.length} /Filter /FlateDecode >>\nstream\n`, 'latin1'),
+        einer,
+        Buffer.from('\nendstream\nendobj\n', 'latin1'),
+      )
+    }
+    teile.push(Buffer.from('%%EOF\n', 'latin1'))
+
+    const text = pdfTextLesen(Buffer.concat(teile))
+
+    // Etwas wird gelesen - aber nicht alle zwoelf Stroeme. Waere der
+    // Gesamtdeckel weg, stuende "Seite" zwoelfmal darin.
+    const treffer = text.split('Seite').length - 1
+    expect(treffer).toBeGreaterThan(0)
+    expect(treffer).toBeLessThan(12)
+  })
+
+  it('kommt mit einem kaputten Strom zurecht, ohne zu werfen', () => {
+    const pdf = pdfMitStrom(Buffer.from('das ist kein zlib-strom', 'latin1'))
+
+    expect(() => pdfTextLesen(pdf)).not.toThrow()
+  })
+
+  it('ignoriert Bilddaten, statt sie auszupacken zu versuchen', () => {
+    const pdf = pdfMitStrom(deflateSync(inhaltsstrom('unsichtbar')), '/DCTDecode')
+
+    expect(pdfTextLesen(pdf)).toBe('')
+  })
+})

tests/skripte.test.ts

@@ -85,3 +85,50 @@ describe.skipIf(!mitGit)('Betriebsskripte', () => {
     }
   })
 })
+
+/**
+ * Abschneidende Leitungen in Skripten mit "pipefail".
+ *
+ * Anlass ist ein Abbruch im Betrieb: Beim Sprung von v1.5.0 auf v1.10.1
+ * endete update.sh mitten in der Ausgabe, ohne jede Meldung. Ursache war
+ *
+ *     git log --oneline "HEAD..$ZIEL" | head -15 | sed ...
+ *
+ * "head" schliesst die Leitung nach 15 Zeilen, "git log" schreibt weiter
+ * und bekommt SIGPIPE (Exitcode 141). Mit "set -o pipefail" gilt die
+ * ganze Kette als gescheitert, "set -e" beendet das Skript - stumm.
+ *
+ * Es ist zeitabhaengig: Solange der Erzeuger fertig wird, bevor "head"
+ * zumacht, faellt nichts auf. Deshalb lief es monatelang gut und riss
+ * genau dann, als zum ersten Mal mehr als 15 Commits dazwischenlagen.
+ *
+ * Dieselbe Falle steckte in der Selbstpruefung der Sicherung, wo sie
+ * eine intakte Sicherung als kaputt gemeldet haette, sobald die
+ * Datenbank gross genug ist.
+ *
+ * Der Test verbietet das Muster deshalb ganz. Wer eine Ausgabe kuerzen
+ * will, nimmt "git log -15", "sed -n '1,15p'" oder einen Zaehler in awk -
+ * alles drei liest bis zum Ende und schliesst nichts zu frueh.
+ */
+describe('Skripte mit pipefail', () => {
+  const skripte = ['scripts/update.sh', 'scripts/sicherung.sh', 'scripts/wiederherstellung.sh']
+
+  it.each(skripte)('%s schneidet keine Leitung mit head ab', (pfad) => {
+    const inhalt = readFileSync(pfad, 'utf8')
+    if (!/set -[a-z]*o pipefail|set -o pipefail/.test(inhalt)) return
+
+    const treffer = inhalt
+      .split('\n')
+      .map((zeile, nummer) => ({ zeile, nummer: nummer + 1 }))
+      // Kommentarzeilen erklaeren das Muster gerade - sie sind erlaubt.
+      .filter(({ zeile }) => !zeile.trim().startsWith('#'))
+      .filter(({ zeile }) => !zeile.includes('printf'))
+      .filter(({ zeile }) => /\|\s*head\b/.test(zeile))
+
+    expect(
+      treffer.map((t) => `Zeile ${t.nummer}: ${t.zeile.trim()}`),
+      'Abschneidende Leitung: der Erzeuger bekommt SIGPIPE, pipefail reicht ' +
+        'es weiter, set -e beendet das Skript stumm.',
+    ).toEqual([])
+  })
+})

tests/speicher-umschlag.test.ts

@@ -0,0 +1,129 @@
+import { describe, expect, it } from 'vitest'
+import {
+  entschluesselnBinaer,
+  istVerschluesselt,
+  KOPF_LAENGE,
+  verschluesselnBinaer,
+} from '@/lib/speicher/umschlag'
+
+/**
+ * Der Umschlag um abgelegte Dateien.
+ *
+ * Der Dateitreiber hat ihn von Anfang an benutzt, der Objektspeicher nicht:
+ * Dort stand nur ServerSideEncryption: 'AES256' - Verschluesselung mit dem
+ * Schluessel des Anbieters, der beim Ausliefern selbst entschluesselt.
+ * Gegen eine verlorene Platte im Rechenzentrum hilft das, gegen den
+ * Anbieter und gegen gestohlene Zugangsdaten zum Eimer nicht.
+ *
+ * Seit v1.11.0 liegt derselbe Umschlag um beides. Diese Tests halten die
+ * drei Eigenschaften fest, auf die es dabei ankommt: Er geht wieder auf,
+ * er merkt Veraenderungen, und er bindet den Inhalt an seinen Platz.
+ */
+
+const INHALT = Buffer.from('Bescheid des Sozialamts vom 3. Maerz, Seite 1 von 2.', 'utf8')
+const ORT = 'betreute/abc123/dokumente/eins.pdf'
+
+describe('Umschlag um abgelegte Dateien', () => {
+  it('geht wieder auf', () => {
+    const zu = verschluesselnBinaer(INHALT, ORT)
+
+    expect(entschluesselnBinaer(zu, ORT).equals(INHALT)).toBe(true)
+  })
+
+  it('sieht dem Geheimtext den Klartext nicht an', () => {
+    const zu = verschluesselnBinaer(INHALT, ORT)
+
+    expect(zu.includes(Buffer.from('Sozialamt', 'utf8'))).toBe(false)
+    expect(istVerschluesselt(zu)).toBe(true)
+    expect(zu.length).toBe(KOPF_LAENGE + INHALT.length)
+  })
+
+  it('erzeugt bei gleichem Inhalt zwei verschiedene Geheimtexte', () => {
+    // Sonst liesse sich an zwei gleich aussehenden Objekten ablesen, dass
+    // dasselbe Dokument zweimal in der Akte liegt.
+    const a = verschluesselnBinaer(INHALT, ORT)
+    const b = verschluesselnBinaer(INHALT, ORT)
+
+    expect(a.equals(b)).toBe(false)
+    expect(entschluesselnBinaer(a, ORT).equals(entschluesselnBinaer(b, ORT))).toBe(true)
+  })
+
+  it('merkt, wenn am Geheimtext gedreht wurde', () => {
+    const zu = verschluesselnBinaer(INHALT, ORT)
+    const letzte = zu.length - 1
+    zu.writeUInt8(zu.readUInt8(letzte) ^ 0x01, letzte)
+
+    expect(() => entschluesselnBinaer(zu, ORT)).toThrow()
+  })
+
+  it('merkt, wenn am Kopf gedreht wurde', () => {
+    const zu = verschluesselnBinaer(INHALT, ORT)
+    // Ein Bit im IV.
+    zu.writeUInt8(zu.readUInt8(8) ^ 0x01, 8)
+
+    expect(() => entschluesselnBinaer(zu, ORT)).toThrow()
+  })
+
+  describe('Bindung an den Ablageort', () => {
+    it('laesst sich nicht unter einem anderen Namen auspacken', () => {
+      // Der Angriff dahinter: Wer Schreibrechte auf den Eimer hat, legt die
+      // Bytes von Dokument A unter dem Namen von Dokument B ab. Ohne die
+      // Bindung lieferte die Anwendung anschliessend den falschen Bescheid
+      // aus - und zwar mit gueltiger Pruefsumme fuer den falschen Inhalt.
+      const zu = verschluesselnBinaer(INHALT, ORT)
+
+      expect(() =>
+        entschluesselnBinaer(zu, 'betreute/abc123/dokumente/zwei.pdf'),
+      ).toThrow()
+    })
+
+    it('laesst sich nicht in eine fremde Akte verschieben', () => {
+      const zu = verschluesselnBinaer(INHALT, ORT)
+
+      expect(() => entschluesselnBinaer(zu, 'betreute/xyz789/dokumente/eins.pdf')).toThrow()
+    })
+  })
+
+  describe('Rueckwaertsvertraeglichkeit', () => {
+    it('reicht Inhalte ohne Umschlag unveraendert durch', () => {
+      // Genau der Zustand, in dem die Objekte im Speicher liegen, bis der
+      // Migrationslauf sie umgeschrieben hat. Wuerde hier geworfen, waere
+      // nach dem Update kein einziges altes Dokument mehr abrufbar.
+      const roh = Buffer.from('%PDF-1.4 ganz gewoehnlich', 'utf8')
+
+      expect(istVerschluesselt(roh)).toBe(false)
+      expect(entschluesselnBinaer(roh, ORT).equals(roh)).toBe(true)
+    })
+
+    it('haelt auch etwas fuer unverpackt, das zufaellig kurz ist', () => {
+      const winzig = Buffer.from('abc', 'utf8')
+
+      expect(istVerschluesselt(winzig)).toBe(false)
+      expect(entschluesselnBinaer(winzig, ORT).equals(winzig)).toBe(true)
+    })
+
+    it('oeffnet einen Umschlag, der noch ohne Ortsbindung geschrieben wurde', () => {
+      // So hat der Dateitreiber bis v1.10.2 geschrieben. Diese Dateien
+      // muessen weiter aufgehen, sonst waere die Verbesserung ein
+      // Datenverlust.
+      const alt = verschluesselnBinaer(INHALT)
+
+      expect(entschluesselnBinaer(alt, ORT).equals(INHALT)).toBe(true)
+      expect(entschluesselnBinaer(alt).equals(INHALT)).toBe(true)
+    })
+  })
+
+  it('kommt mit einer leeren Datei zurecht', () => {
+    const leer = Buffer.alloc(0)
+    const zu = verschluesselnBinaer(leer, ORT)
+
+    expect(entschluesselnBinaer(zu, ORT).length).toBe(0)
+  })
+
+  it('kommt mit einer groesseren Datei zurecht', () => {
+    const gross = Buffer.alloc(3 * 1024 * 1024, 0x41)
+    const zu = verschluesselnBinaer(gross, ORT)
+
+    expect(entschluesselnBinaer(zu, ORT).equals(gross)).toBe(true)
+  })
+})

tests/totp-wiederverwendung.test.ts

@@ -0,0 +1,190 @@
+import { beforeEach, describe, expect, it, vi } from 'vitest'
+import type { User } from '@prisma/client'
+
+/**
+ * Ein TOTP-Code gilt genau einmal.
+ *
+ * Ein Code ist 30 Sekunden gueltig, mit der Toleranz von einem Fenster bis
+ * zu 90. In dieser Zeit liess er sich beliebig oft einloesen: abgelesen
+ * ueber die Schulter, mitgeschrieben von einem Zwischenglied, oder aus einem
+ * Formular im Browserverlauf. Der Kommentar in totp.ts versprach von Anfang
+ * an, der Aufrufer speichere das getroffene Fenster - getan hat es niemand.
+ *
+ * Geprueft wird gegen eine Attrappe der Datenbank, die das WHERE von
+ * updateMany nachbildet. Genau darauf beruht die Einmalverwendung: Die
+ * Bedingung steht in der Abfrage, nicht in einem if davor.
+ */
+
+let benutzer: User
+let updateAufrufe = 0
+
+function passtSchritt(bedingung: Record<string, unknown>, wert: number | null): boolean {
+  if ('OR' in bedingung) {
+    const zweige = bedingung.OR as Record<string, unknown>[]
+    return zweige.some((zweig) => passtSchritt(zweig, wert))
+  }
+  if ('totpLetzterSchritt' in bedingung) {
+    const erwartet = bedingung.totpLetzterSchritt
+    if (erwartet === null) return wert === null
+    if (typeof erwartet === 'object' && erwartet !== null && 'lt' in erwartet) {
+      return wert !== null && wert < (erwartet as { lt: number }).lt
+    }
+  }
+  return true
+}
+
+vi.mock('@/lib/db', () => ({
+  db: {
+    user: {
+      updateMany: async ({
+        where,
+        data,
+      }: {
+        where: Record<string, unknown>
+        data: Partial<User>
+      }) => {
+        updateAufrufe += 1
+
+        if (where.id !== benutzer.id) return { count: 0 }
+
+        // Die Liste der Wiederherstellungscodes muss noch die sein, die der
+        // Aufrufer gesehen hat - sonst war jemand schneller.
+        if ('wiederherstellungscodes' in where) {
+          const erwartet = (where.wiederherstellungscodes as { equals: string[] }).equals
+          const gleich =
+            erwartet.length === benutzer.wiederherstellungscodes.length &&
+            erwartet.every((wert, i) => wert === benutzer.wiederherstellungscodes[i])
+          if (!gleich) return { count: 0 }
+        }
+
+        if (('OR' in where || 'totpLetzterSchritt' in where) && !passtSchritt(where, benutzer.totpLetzterSchritt)) {
+          return { count: 0 }
+        }
+
+        benutzer = { ...benutzer, ...data }
+        return { count: 1 }
+      },
+    },
+  },
+}))
+
+const { zweitenFaktorEinloesen } = await import('@/lib/auth/zweiter-faktor')
+const { totpAktuellerCode, totpSchritt, totpSecretErzeugen, totpSecretVerschluesseln } =
+  await import('@/lib/crypto/totp')
+const { wiederherstellungscodeHashen, wiederherstellungscodesErzeugen } = await import(
+  '@/lib/crypto/hash'
+)
+
+const EMAIL = 'betreuer@example.de'
+const SECRET = totpSecretErzeugen()
+
+function grundstand(): User {
+  return {
+    id: 'benutzer-1',
+    email: EMAIL,
+    totpSecretVerschluesselt: totpSecretVerschluesseln(SECRET),
+    totpAktiviertAm: new Date('2026-01-01T00:00:00Z'),
+    totpLetzterSchritt: null,
+    wiederherstellungscodes: [],
+  } as unknown as User
+}
+
+describe('Zweiten Faktor einloesen', () => {
+  beforeEach(() => {
+    benutzer = grundstand()
+    updateAufrufe = 0
+    vi.useFakeTimers()
+    vi.setSystemTime(new Date('2026-08-24T12:00:15Z'))
+  })
+
+  it('nimmt einen gueltigen Code an und haelt das Fenster fest', async () => {
+    const code = totpAktuellerCode(SECRET, EMAIL)
+
+    const ergebnis = await zweitenFaktorEinloesen(benutzer, code)
+
+    expect(ergebnis).toEqual({ ok: true, art: 'totp' })
+    expect(benutzer.totpLetzterSchritt).toBe(totpSchritt(0))
+  })
+
+  it('lehnt denselben Code beim zweiten Mal ab', async () => {
+    const code = totpAktuellerCode(SECRET, EMAIL)
+
+    expect(await zweitenFaktorEinloesen(benutzer, code)).toEqual({ ok: true, art: 'totp' })
+
+    // Noch im selben Fenster - der Code waere rechnerisch weiter richtig.
+    vi.setSystemTime(new Date('2026-08-24T12:00:25Z'))
+    expect(await zweitenFaktorEinloesen(benutzer, code)).toEqual({
+      ok: false,
+      grund: 'wiederverwendet',
+    })
+  })
+
+  it('lehnt ihn auch im Toleranzfenster danach ab', async () => {
+    const code = totpAktuellerCode(SECRET, EMAIL)
+    await zweitenFaktorEinloesen(benutzer, code)
+
+    // Ein Fenster weiter: Die Toleranz liesse den alten Code noch gelten.
+    vi.setSystemTime(new Date('2026-08-24T12:00:45Z'))
+    expect(await zweitenFaktorEinloesen(benutzer, code)).toEqual({
+      ok: false,
+      grund: 'wiederverwendet',
+    })
+  })
+
+  it('nimmt den naechsten Code an', async () => {
+    await zweitenFaktorEinloesen(benutzer, totpAktuellerCode(SECRET, EMAIL))
+    const vorher = benutzer.totpLetzterSchritt
+
+    vi.setSystemTime(new Date('2026-08-24T12:00:45Z'))
+    const naechster = totpAktuellerCode(SECRET, EMAIL)
+    expect(await zweitenFaktorEinloesen(benutzer, naechster)).toEqual({ ok: true, art: 'totp' })
+    expect(benutzer.totpLetzterSchritt!).toBeGreaterThan(vorher!)
+  })
+
+  it('lehnt einen falschen Code ab, ohne zu schreiben', async () => {
+    expect(await zweitenFaktorEinloesen(benutzer, '000000')).toEqual({
+      ok: false,
+      grund: 'falsch',
+    })
+    expect(updateAufrufe).toBe(0)
+    expect(benutzer.totpLetzterSchritt).toBeNull()
+  })
+
+  it('toleriert Leerzeichen und Bindestriche in der Eingabe', async () => {
+    const code = totpAktuellerCode(SECRET, EMAIL)
+    const zerlegt = `${code.slice(0, 3)} ${code.slice(3)}`
+
+    expect(await zweitenFaktorEinloesen(benutzer, zerlegt)).toEqual({ ok: true, art: 'totp' })
+  })
+
+  it('loest einen Wiederherstellungscode genau einmal ein', async () => {
+    const codes = wiederherstellungscodesErzeugen(3)
+    benutzer = {
+      ...grundstand(),
+      wiederherstellungscodes: await Promise.all(codes.map(wiederherstellungscodeHashen)),
+    } as User
+
+    const erster = codes[0]!
+    expect(await zweitenFaktorEinloesen(benutzer, erster)).toEqual({
+      ok: true,
+      art: 'wiederherstellungscode',
+    })
+    expect(benutzer.wiederherstellungscodes).toHaveLength(2)
+
+    // Derselbe Code noch einmal: Er steht nicht mehr in der Liste.
+    expect(await zweitenFaktorEinloesen(benutzer, erster)).toEqual({
+      ok: false,
+      grund: 'falsch',
+    })
+    expect(benutzer.wiederherstellungscodes).toHaveLength(2)
+  })
+
+  it('haelt die Reihenfolge der Zeitschritte ein', () => {
+    const frueh = totpSchritt(0, Date.parse('2026-08-24T12:00:00Z'))
+    const spaet = totpSchritt(0, Date.parse('2026-08-24T12:00:30Z'))
+
+    expect(spaet).toBe(frueh + 1)
+    // Das Delta verschiebt um ganze Fenster, nicht um Sekunden.
+    expect(totpSchritt(1, Date.parse('2026-08-24T12:00:00Z'))).toBe(spaet)
+  })
+})

tests/vertraege.test.ts

@@ -1,343 +1,343 @@
-import { describe, expect, it } from 'vitest'
+import { describe, expect, it } from 'vitest'
-import { tag } from '@/lib/fristen/datum'
+import { tag } from '@/lib/fristen/datum'
-import {
+import {
-  absendetagZu,
+  absendetagZu,
-  kuendigungsampel,
+  kuendigungsampel,
-  kuendigungsplan,
+  kuendigungsplan,
-  KUENDIGUNG_VORWARNUNG_TAGE,
+  KUENDIGUNG_VORWARNUNG_TAGE,
-  laufzeitAusVertrag,
+  laufzeitAusVertrag,
-  POSTLAUF_PUFFER_TAGE,
+  POSTLAUF_PUFFER_TAGE,
-} from '@/lib/vertraege/kuendigung'
+} from '@/lib/vertraege/kuendigung'
-import { kuendigungsassistent, genehmigungsfrage } from '@/lib/vertraege/kuendigungsassistent'
+import { kuendigungsassistent, genehmigungsfrage } from '@/lib/vertraege/kuendigungsassistent'
-import {
+import {
-  anfrageStatus,
+  anfrageStatus,
-  juengsterWert,
+  juengsterWert,
-  rueckkaufswertAnschreiben,
+  rueckkaufswertAnschreiben,
-  wertHistorie,
+  wertHistorie,
-  wiedervorlageAm,
+  wiedervorlageAm,
-} from '@/lib/vertraege/rueckkaufswert'
+} from '@/lib/vertraege/rueckkaufswert'
-import { jahresbeitragCent, kannRueckkaufswertHaben } from '@/lib/vertraege/konstanten'
+import { jahresbeitragCent, kannRueckkaufswertHaben } from '@/lib/vertraege/konstanten'
-
+
-const kopf = {
+const kopf = {
-  betreuerName: 'Florian Wilde',
+  betreuerName: 'Florian Wilde',
-  betreuerStrasse: 'Musterweg 1',
+  betreuerStrasse: 'Musterweg 1',
-  betreuerPlz: '95444',
+  betreuerPlz: '95444',
-  betreuerOrt: 'Bayreuth',
+  betreuerOrt: 'Bayreuth',
-  betreuteName: 'Erika Wilde',
+  betreuteName: 'Erika Wilde',
-  betreuteGeburtsdatum: tag(1948, 5, 20),
+  betreuteGeburtsdatum: tag(1948, 5, 20),
-  betreuungsgericht: 'Amtsgericht Bayreuth',
+  betreuungsgericht: 'Amtsgericht Bayreuth',
-  aktenzeichenGericht: 'XVII 123/25',
+  aktenzeichenGericht: 'XVII 123/25',
-  bestellungAm: tag(2025, 11, 3),
+  bestellungAm: tag(2025, 11, 3),
-}
+}
-
+
-describe('Kündigungstermin', () => {
+describe('Kündigungstermin', () => {
-  it('rechnet den nächstmöglichen Termin über die Jahresgrenze', () => {
+  it('rechnet den nächstmöglichen Termin über die Jahresgrenze', () => {
-    // Jahresvertrag seit dem 15.03.2020, drei Monate Kündigungsfrist.
+    // Jahresvertrag seit dem 15.03.2020, drei Monate Kündigungsfrist.
-    // Für den Termin 15.03.2026 müsste der Zugang am 15.12.2025 vorliegen -
+    // Für den Termin 15.03.2026 müsste der Zugang am 15.12.2025 vorliegen -
-    // der Absendetag ist Anfang Februar 2026 längst vorbei.
+    // der Absendetag ist Anfang Februar 2026 längst vorbei.
-    const plan = kuendigungsplan({
+    const plan = kuendigungsplan({
-      beginnAm: tag(2020, 3, 15),
+      beginnAm: tag(2020, 3, 15),
-      laufzeitJahre: 1,
+      laufzeitJahre: 1,
-      kuendigungsfristMonate: 3,
+      kuendigungsfristMonate: 3,
-      heute: tag(2026, 2, 1),
+      heute: tag(2026, 2, 1),
-    })
+    })
-
+
-    expect(plan.berechenbar).toBe(true)
+    expect(plan.berechenbar).toBe(true)
-    expect(plan.naechsterTermin).toEqual(tag(2027, 3, 15))
+    expect(plan.naechsterTermin).toEqual(tag(2027, 3, 15))
-    expect(plan.zugangSpaetestensAm).toEqual(tag(2026, 12, 15))
+    expect(plan.zugangSpaetestensAm).toEqual(tag(2026, 12, 15))
-    expect(plan.spaetesterAbsendetag).toEqual(tag(2026, 12, 12))
+    expect(plan.spaetesterAbsendetag).toEqual(tag(2026, 12, 12))
-    expect(plan.verpasst).toBe(false)
+    expect(plan.verpasst).toBe(false)
-  })
+  })
-
+
-  it('rechnet über die Monatsgrenze kalendarisch, nicht in Tagen', () => {
+  it('rechnet über die Monatsgrenze kalendarisch, nicht in Tagen', () => {
-    // 31.05. minus drei Monate ist der 28.02. (2026 ist kein Schaltjahr),
+    // 31.05. minus drei Monate ist der 28.02. (2026 ist kein Schaltjahr),
-    // nicht der 02.03. oder 03.03.
+    // nicht der 02.03. oder 03.03.
-    const plan = kuendigungsplan({
+    const plan = kuendigungsplan({
-      beginnAm: tag(2019, 5, 31),
+      beginnAm: tag(2019, 5, 31),
-      laufzeitJahre: 1,
+      laufzeitJahre: 1,
-      kuendigungsfristMonate: 3,
+      kuendigungsfristMonate: 3,
-      heute: tag(2026, 1, 5),
+      heute: tag(2026, 1, 5),
-    })
+    })
-
+
-    expect(plan.naechsterTermin).toEqual(tag(2026, 5, 31))
+    expect(plan.naechsterTermin).toEqual(tag(2026, 5, 31))
-    expect(plan.zugangSpaetestensAm).toEqual(tag(2026, 2, 28))
+    expect(plan.zugangSpaetestensAm).toEqual(tag(2026, 2, 28))
-    expect(plan.spaetesterAbsendetag).toEqual(tag(2026, 2, 25))
+    expect(plan.spaetesterAbsendetag).toEqual(tag(2026, 2, 25))
-  })
+  })
-
+
-  it('trifft im Schaltjahr den 29. Februar', () => {
+  it('trifft im Schaltjahr den 29. Februar', () => {
-    const plan = kuendigungsplan({
+    const plan = kuendigungsplan({
-      beginnAm: tag(2019, 5, 31),
+      beginnAm: tag(2019, 5, 31),
-      laufzeitJahre: 1,
+      laufzeitJahre: 1,
-      kuendigungsfristMonate: 3,
+      kuendigungsfristMonate: 3,
-      heute: tag(2024, 1, 5),
+      heute: tag(2024, 1, 5),
-    })
+    })
-
+
-    expect(plan.zugangSpaetestensAm).toEqual(tag(2024, 2, 29))
+    expect(plan.zugangSpaetestensAm).toEqual(tag(2024, 2, 29))
-  })
+  })
-
+
-  it('springt bei mehrjähriger Laufzeit um die volle Laufzeit weiter', () => {
+  it('springt bei mehrjähriger Laufzeit um die volle Laufzeit weiter', () => {
-    const plan = kuendigungsplan({
+    const plan = kuendigungsplan({
-      beginnAm: tag(2018, 1, 1),
+      beginnAm: tag(2018, 1, 1),
-      laufzeitJahre: 3,
+      laufzeitJahre: 3,
-      kuendigungsfristMonate: 3,
+      kuendigungsfristMonate: 3,
-      heute: tag(2026, 2, 1),
+      heute: tag(2026, 2, 1),
-    })
+    })
-
+
-    // Termine: 2021, 2024, 2027 - für 2027 muss bis 30.09.2026 zugehen.
+    // Termine: 2021, 2024, 2027 - für 2027 muss bis 30.09.2026 zugehen.
-    expect(plan.naechsterTermin).toEqual(tag(2027, 1, 1))
+    expect(plan.naechsterTermin).toEqual(tag(2027, 1, 1))
-    expect(plan.zugangSpaetestensAm).toEqual(tag(2026, 10, 1))
+    expect(plan.zugangSpaetestensAm).toEqual(tag(2026, 10, 1))
-  })
+  })
-
+
-  it('rechnet den Postlauf zwischen Absenden und Zugang ein', () => {
+  it('rechnet den Postlauf zwischen Absenden und Zugang ein', () => {
-    expect(absendetagZu(tag(2026, 6, 30), 3)).toEqual(tag(2026, 3, 27))
+    expect(absendetagZu(tag(2026, 6, 30), 3)).toEqual(tag(2026, 3, 27))
-    expect(POSTLAUF_PUFFER_TAGE).toBe(3)
+    expect(POSTLAUF_PUFFER_TAGE).toBe(3)
-  })
+  })
-
+
-  it('warnt, wenn der Absendetag näher als 30 Tage rückt', () => {
+  it('warnt, wenn der Absendetag näher als 30 Tage rückt', () => {
-    const plan = kuendigungsplan({
+    const plan = kuendigungsplan({
-      beginnAm: tag(2020, 6, 30),
+      beginnAm: tag(2020, 6, 30),
-      laufzeitJahre: 1,
+      laufzeitJahre: 1,
-      kuendigungsfristMonate: 3,
+      kuendigungsfristMonate: 3,
-      heute: tag(2026, 3, 20),
+      heute: tag(2026, 3, 20),
-    })
+    })
-
+
-    expect(plan.spaetesterAbsendetag).toEqual(tag(2026, 3, 27))
+    expect(plan.spaetesterAbsendetag).toEqual(tag(2026, 3, 27))
-    expect(plan.tageBisAbsendetag).toBe(7)
+    expect(plan.tageBisAbsendetag).toBe(7)
-    expect(plan.vorwarnung).toBe(true)
+    expect(plan.vorwarnung).toBe(true)
-    expect(kuendigungsampel(plan)?.variante).toBe('rot')
+    expect(kuendigungsampel(plan)?.variante).toBe('rot')
-  })
+  })
-
+
-  it('warnt genau an der Grenze von 30 Tagen', () => {
+  it('warnt genau an der Grenze von 30 Tagen', () => {
-    const plan = kuendigungsplan({
+    const plan = kuendigungsplan({
-      beginnAm: tag(2020, 6, 30),
+      beginnAm: tag(2020, 6, 30),
-      laufzeitJahre: 1,
+      laufzeitJahre: 1,
-      kuendigungsfristMonate: 3,
+      kuendigungsfristMonate: 3,
-      heute: tag(2026, 2, 25),
+      heute: tag(2026, 2, 25),
-    })
+    })
-
+
-    expect(plan.tageBisAbsendetag).toBe(KUENDIGUNG_VORWARNUNG_TAGE)
+    expect(plan.tageBisAbsendetag).toBe(KUENDIGUNG_VORWARNUNG_TAGE)
-    expect(plan.vorwarnung).toBe(true)
+    expect(plan.vorwarnung).toBe(true)
-    expect(kuendigungsampel(plan)?.variante).toBe('orange')
+    expect(kuendigungsampel(plan)?.variante).toBe('orange')
-  })
+  })
-
+
-  it('warnt einen Tag vor der Grenze noch nicht', () => {
+  it('warnt einen Tag vor der Grenze noch nicht', () => {
-    const plan = kuendigungsplan({
+    const plan = kuendigungsplan({
-      beginnAm: tag(2020, 6, 30),
+      beginnAm: tag(2020, 6, 30),
-      laufzeitJahre: 1,
+      laufzeitJahre: 1,
-      kuendigungsfristMonate: 3,
+      kuendigungsfristMonate: 3,
-      heute: tag(2026, 2, 24),
+      heute: tag(2026, 2, 24),
-    })
+    })
-
+
-    expect(plan.tageBisAbsendetag).toBe(31)
+    expect(plan.tageBisAbsendetag).toBe(31)
-    expect(plan.vorwarnung).toBe(false)
+    expect(plan.vorwarnung).toBe(false)
-  })
+  })
-
+
-  it('nimmt ohne hinterlegte Laufzeit ein Jahr an und sagt das dazu', () => {
+  it('nimmt ohne hinterlegte Laufzeit ein Jahr an und sagt das dazu', () => {
-    const plan = kuendigungsplan({
+    const plan = kuendigungsplan({
-      beginnAm: tag(2020, 3, 15),
+      beginnAm: tag(2020, 3, 15),
-      laufzeitJahre: null,
+      laufzeitJahre: null,
-      kuendigungsfristMonate: 3,
+      kuendigungsfristMonate: 3,
-      heute: tag(2026, 2, 1),
+      heute: tag(2026, 2, 1),
-    })
+    })
-
+
-    expect(plan.naechsterTermin).toEqual(tag(2027, 3, 15))
+    expect(plan.naechsterTermin).toEqual(tag(2027, 3, 15))
-    expect(plan.hinweise.some((h) => h.includes('keine Laufzeit'))).toBe(true)
+    expect(plan.hinweise.some((h) => h.includes('keine Laufzeit'))).toBe(true)
-  })
+  })
-
+
-  it('meldet einen verpassten Termin, wenn sich der Vertrag nicht verlängert', () => {
+  it('meldet einen verpassten Termin, wenn sich der Vertrag nicht verlängert', () => {
-    const plan = kuendigungsplan({
+    const plan = kuendigungsplan({
-      beginnAm: tag(2010, 1, 1),
+      beginnAm: tag(2010, 1, 1),
-      endeAm: tag(2026, 3, 1),
+      endeAm: tag(2026, 3, 1),
-      kuendigungsfristMonate: 3,
+      kuendigungsfristMonate: 3,
-      verlaengertSichAutomatisch: false,
+      verlaengertSichAutomatisch: false,
-      heute: tag(2026, 2, 1),
+      heute: tag(2026, 2, 1),
-    })
+    })
-
+
-    expect(plan.verpasst).toBe(true)
+    expect(plan.verpasst).toBe(true)
-    expect(kuendigungsampel(plan)?.variante).toBe('rot')
+    expect(kuendigungsampel(plan)?.variante).toBe('rot')
-  })
+  })
-
+
-  it('rechnet gar nicht, wenn weder Beginn noch Ende bekannt sind', () => {
+  it('rechnet gar nicht, wenn weder Beginn noch Ende bekannt sind', () => {
-    const plan = kuendigungsplan({
+    const plan = kuendigungsplan({
-      beginnAm: null,
+      beginnAm: null,
-      kuendigungsfristMonate: 3,
+      kuendigungsfristMonate: 3,
-      heute: tag(2026, 2, 1),
+      heute: tag(2026, 2, 1),
-    })
+    })
-
+
-    expect(plan.berechenbar).toBe(false)
+    expect(plan.berechenbar).toBe(false)
-    expect(plan.naechsterTermin).toBeNull()
+    expect(plan.naechsterTermin).toBeNull()
-    expect(kuendigungsampel(plan)).toBeNull()
+    expect(kuendigungsampel(plan)).toBeNull()
-  })
+  })
-
+
-  it('weist auf die fehlende Kündigungsfrist hin, statt still mit null zu rechnen', () => {
+  it('weist auf die fehlende Kündigungsfrist hin, statt still mit null zu rechnen', () => {
-    const plan = kuendigungsplan({
+    const plan = kuendigungsplan({
-      beginnAm: tag(2020, 3, 15),
+      beginnAm: tag(2020, 3, 15),
-      kuendigungsfristMonate: null,
+      kuendigungsfristMonate: null,
-      heute: tag(2026, 2, 1),
+      heute: tag(2026, 2, 1),
-    })
+    })
-
+
-    expect(plan.hinweise.some((h) => h.includes('keine Kündigungsfrist'))).toBe(true)
+    expect(plan.hinweise.some((h) => h.includes('keine Kündigungsfrist'))).toBe(true)
-  })
+  })
-})
+})
-
+
-describe('Rückkaufswert-Anforderung', () => {
+describe('Rückkaufswert-Anforderung', () => {
-  it('legt die Wiedervorlage vier Wochen nach der Anfrage', () => {
+  it('legt die Wiedervorlage vier Wochen nach der Anfrage', () => {
-    expect(wiedervorlageAm(tag(2026, 3, 2))).toEqual(tag(2026, 3, 30))
+    expect(wiedervorlageAm(tag(2026, 3, 2))).toEqual(tag(2026, 3, 30))
-  })
+  })
-
+
-  it('fragt Rückkaufswert und beitragsfreie Versicherungssumme zusammen ab', () => {
+  it('fragt Rückkaufswert und beitragsfreie Versicherungssumme zusammen ab', () => {
-    const brief = rueckkaufswertAnschreiben({
+    const brief = rueckkaufswertAnschreiben({
-      kopf,
+      kopf,
-      empfaenger: { gesellschaft: 'Musterversicherung AG', anschrift: 'Postfach 1\n80000 München' },
+      empfaenger: { gesellschaft: 'Musterversicherung AG', anschrift: 'Postfach 1\n80000 München' },
-      vertragsbezeichnung: 'Sterbegeldversicherung',
+      vertragsbezeichnung: 'Sterbegeldversicherung',
-      vertragsnummer: 'LV-4711',
+      vertragsnummer: 'LV-4711',
-      stichtag: tag(2026, 1, 1),
+      stichtag: tag(2026, 1, 1),
-      heute: tag(2026, 3, 2),
+      heute: tag(2026, 3, 2),
-    })
+    })
-
+
-    expect(brief).toContain('LV-4711')
+    expect(brief).toContain('LV-4711')
-    expect(brief).toContain('Rückkaufswert')
+    expect(brief).toContain('Rückkaufswert')
-    expect(brief).toContain('beitragsfreie Versicherungssumme')
+    expect(brief).toContain('beitragsfreie Versicherungssumme')
-    expect(brief).toContain('Amtsgericht Bayreuth')
+    expect(brief).toContain('Amtsgericht Bayreuth')
-    expect(brief).toContain('XVII 123/25')
+    expect(brief).toContain('XVII 123/25')
-    expect(brief).toContain('01.01.2026')
+    expect(brief).toContain('01.01.2026')
-  })
+  })
-
+
-  it('meldet die Erinnerung, sobald vier Wochen ohne Antwort vergangen sind', () => {
+  it('meldet die Erinnerung, sobald vier Wochen ohne Antwort vergangen sind', () => {
-    expect(anfrageStatus(tag(2026, 3, 2), tag(2026, 3, 29)).erinnerungFaellig).toBe(false)
+    expect(anfrageStatus(tag(2026, 3, 2), tag(2026, 3, 29)).erinnerungFaellig).toBe(false)
-    expect(anfrageStatus(tag(2026, 3, 2), tag(2026, 3, 30)).erinnerungFaellig).toBe(true)
+    expect(anfrageStatus(tag(2026, 3, 2), tag(2026, 3, 30)).erinnerungFaellig).toBe(true)
-    expect(anfrageStatus(null, tag(2026, 3, 30)).offen).toBe(false)
+    expect(anfrageStatus(null, tag(2026, 3, 30)).offen).toBe(false)
-  })
+  })
-})
+})
-
+
-describe('Kündigungs-Assistent', () => {
+describe('Kündigungs-Assistent', () => {
-  const eingabe = {
+  const eingabe = {
-    kopf,
+    kopf,
-    empfaenger: { gesellschaft: 'Musterversicherung AG', anschrift: null },
+    empfaenger: { gesellschaft: 'Musterversicherung AG', anschrift: null },
-    vertragsbezeichnung: 'Kapitallebensversicherung',
+    vertragsbezeichnung: 'Kapitallebensversicherung',
-    vertragsnummer: 'LV-4711',
+    vertragsnummer: 'LV-4711',
-    art: 'LEBENSVERSICHERUNG' as const,
+    art: 'LEBENSVERSICHERUNG' as const,
-    laufzeit: {
+    laufzeit: {
-      beginnAm: tag(2000, 4, 1),
+      beginnAm: tag(2000, 4, 1),
-      laufzeitJahre: 1,
+      laufzeitJahre: 1,
-      kuendigungsfristMonate: 3,
+      kuendigungsfristMonate: 3,
-    },
+    },
-    heute: tag(2026, 2, 1),
+    heute: tag(2026, 2, 1),
-  }
+  }
-
+
-  it('erzeugt ein Schreiben mit Vertragsnummer und Bestellungsnachweis', () => {
+  it('erzeugt ein Schreiben mit Vertragsnummer und Bestellungsnachweis', () => {
-    const paket = kuendigungsassistent(eingabe)
+    const paket = kuendigungsassistent(eingabe)
-
+
-    expect(paket.schreiben).toContain('LV-4711')
+    expect(paket.schreiben).toContain('LV-4711')
-    expect(paket.schreiben).toContain('kündige ich den oben genannten Vertrag')
+    expect(paket.schreiben).toContain('kündige ich den oben genannten Vertrag')
-    expect(paket.schreiben).toContain('rechtlichen Betreuer')
+    expect(paket.schreiben).toContain('rechtlichen Betreuer')
-    expect(paket.schreiben).toContain('hilfsweise zum nächstmöglichen Zeitpunkt')
+    expect(paket.schreiben).toContain('hilfsweise zum nächstmöglichen Zeitpunkt')
-  })
+  })
-
+
-  it('stellt bei einer Lebensversicherung die Genehmigungsfrage, ohne sie zu beantworten', () => {
+  it('stellt bei einer Lebensversicherung die Genehmigungsfrage, ohne sie zu beantworten', () => {
-    const paket = kuendigungsassistent(eingabe)
+    const paket = kuendigungsassistent(eingabe)
-
+
-    expect(paket.genehmigung.stellen).toBe(true)
+    expect(paket.genehmigung.stellen).toBe(true)
-    expect(paket.genehmigung.rechtsgrundlage).toBe('§ 1850 BGB')
+    expect(paket.genehmigung.rechtsgrundlage).toBe('§ 1850 BGB')
-    expect(paket.genehmigung.frage).toMatch(/Rechtspfleger/)
+    expect(paket.genehmigung.frage).toMatch(/Rechtspfleger/)
-    expect(paket.genehmigung.hinweis).toMatch(/entscheidet das ausdrücklich nicht/)
+    expect(paket.genehmigung.hinweis).toMatch(/entscheidet das ausdrücklich nicht/)
-  })
+  })
-
+
-  it('stellt bei einer Hausratversicherung keine Genehmigungsfrage', () => {
+  it('stellt bei einer Hausratversicherung keine Genehmigungsfrage', () => {
-    expect(genehmigungsfrage('HAUSRAT').stellen).toBe(false)
+    expect(genehmigungsfrage('HAUSRAT').stellen).toBe(false)
-    expect(genehmigungsfrage('LEBENSVERSICHERUNG').stellen).toBe(true)
+    expect(genehmigungsfrage('LEBENSVERSICHERUNG').stellen).toBe(true)
-  })
+  })
-
+
-  it('verlangt immer einen Versandnachweis', () => {
+  it('verlangt immer einen Versandnachweis', () => {
-    const paket = kuendigungsassistent(eingabe)
+    const paket = kuendigungsassistent(eingabe)
-
+
-    expect(paket.versandnachweis.verlangt).toBe(true)
+    expect(paket.versandnachweis.verlangt).toBe(true)
-    expect(paket.versandnachweis.moeglichkeiten.join(' ')).toMatch(/Einschreiben/)
+    expect(paket.versandnachweis.moeglichkeiten.join(' ')).toMatch(/Einschreiben/)
-    expect(paket.versandnachweis.moeglichkeiten.join(' ')).toMatch(/Fax/)
+    expect(paket.versandnachweis.moeglichkeiten.join(' ')).toMatch(/Fax/)
-  })
+  })
-
+
-  it('erinnert vor der Kündigung an die Beitragsfreistellung als Alternative', () => {
+  it('erinnert vor der Kündigung an die Beitragsfreistellung als Alternative', () => {
-    const paket = kuendigungsassistent(eingabe)
+    const paket = kuendigungsassistent(eingabe)
-
+
-    expect(paket.warnungen.some((w) => w.includes('beitragsfreie Versicherungssumme'))).toBe(true)
+    expect(paket.warnungen.some((w) => w.includes('beitragsfreie Versicherungssumme'))).toBe(true)
-  })
+  })
-
+
-  it('warnt bei einer Bestattungsvorsorge vor der vorschnellen Kündigung', () => {
+  it('warnt bei einer Bestattungsvorsorge vor der vorschnellen Kündigung', () => {
-    const paket = kuendigungsassistent({ ...eingabe, art: 'BESTATTUNGSVORSORGE' })
+    const paket = kuendigungsassistent({ ...eingabe, art: 'BESTATTUNGSVORSORGE' })
-
+
-    expect(paket.warnungen.some((w) => w.includes('§ 90 Abs. 3 SGB XII'))).toBe(true)
+    expect(paket.warnungen.some((w) => w.includes('§ 90 Abs. 3 SGB XII'))).toBe(true)
-  })
+  })
-
+
-  it('warnt, wenn die Vertragsnummer fehlt', () => {
+  it('warnt, wenn die Vertragsnummer fehlt', () => {
-    const paket = kuendigungsassistent({ ...eingabe, vertragsnummer: null })
+    const paket = kuendigungsassistent({ ...eingabe, vertragsnummer: null })
-
+
-    expect(paket.warnungen.some((w) => w.includes('Vertragsnummer fehlt'))).toBe(true)
+    expect(paket.warnungen.some((w) => w.includes('Vertragsnummer fehlt'))).toBe(true)
-  })
+  })
-})
+})
-
+
-describe('Beiträge und Vertragsarten', () => {
+describe('Beiträge und Vertragsarten', () => {
-  it('rechnet den Jahresbeitrag aus Beitrag und Rhythmus', () => {
+  it('rechnet den Jahresbeitrag aus Beitrag und Rhythmus', () => {
-    expect(jahresbeitragCent(2_500n, 'MONATLICH')).toBe(30_000n)
+    expect(jahresbeitragCent(2_500n, 'MONATLICH')).toBe(30_000n)
-    expect(jahresbeitragCent(2_500n, 'VIERTELJAEHRLICH')).toBe(10_000n)
+    expect(jahresbeitragCent(2_500n, 'VIERTELJAEHRLICH')).toBe(10_000n)
-    expect(jahresbeitragCent(2_500n, 'JAEHRLICH')).toBe(2_500n)
+    expect(jahresbeitragCent(2_500n, 'JAEHRLICH')).toBe(2_500n)
-    expect(jahresbeitragCent(2_500n, 'EINMALIG')).toBeNull()
+    expect(jahresbeitragCent(2_500n, 'EINMALIG')).toBeNull()
-    expect(jahresbeitragCent(null, 'MONATLICH')).toBeNull()
+    expect(jahresbeitragCent(null, 'MONATLICH')).toBeNull()
-  })
+  })
-
+
-  it('kennt die Verträge, bei denen ein Rückkaufswert überhaupt anfällt', () => {
+  it('kennt die Verträge, bei denen ein Rückkaufswert überhaupt anfällt', () => {
-    expect(kannRueckkaufswertHaben('LEBENSVERSICHERUNG')).toBe(true)
+    expect(kannRueckkaufswertHaben('LEBENSVERSICHERUNG')).toBe(true)
-    expect(kannRueckkaufswertHaben('STERBEGELDVERSICHERUNG')).toBe(true)
+    expect(kannRueckkaufswertHaben('STERBEGELDVERSICHERUNG')).toBe(true)
-    expect(kannRueckkaufswertHaben('STROM')).toBe(false)
+    expect(kannRueckkaufswertHaben('STROM')).toBe(false)
-  })
+  })
-})
+})
-
+
-describe('Vertragsdauer aus Beginn und Ende', () => {
+describe('Vertragsdauer aus Beginn und Ende', () => {
-  it('leitet die Laufzeit aus einem festen Vertragsende ab', () => {
+  it('leitet die Laufzeit aus einem festen Vertragsende ab', () => {
-    expect(laufzeitAusVertrag(tag(2018, 1, 1), tag(2021, 1, 1))).toBe(3)
+    expect(laufzeitAusVertrag(tag(2018, 1, 1), tag(2021, 1, 1))).toBe(3)
-    expect(laufzeitAusVertrag(tag(2020, 3, 15), tag(2021, 3, 15))).toBe(1)
+    expect(laufzeitAusVertrag(tag(2020, 3, 15), tag(2021, 3, 15))).toBe(1)
-  })
+  })
-
+
-  it('gibt null zurück, wenn ein Datum fehlt oder die Spanne unter einem Jahr liegt', () => {
+  it('gibt null zurück, wenn ein Datum fehlt oder die Spanne unter einem Jahr liegt', () => {
-    expect(laufzeitAusVertrag(tag(2020, 1, 1), null)).toBeNull()
+    expect(laufzeitAusVertrag(tag(2020, 1, 1), null)).toBeNull()
-    expect(laufzeitAusVertrag(null, tag(2021, 1, 1))).toBeNull()
+    expect(laufzeitAusVertrag(null, tag(2021, 1, 1))).toBeNull()
-    expect(laufzeitAusVertrag(tag(2020, 1, 1), tag(2020, 7, 1))).toBeNull()
+    expect(laufzeitAusVertrag(tag(2020, 1, 1), tag(2020, 7, 1))).toBeNull()
-  })
+  })
-
+
-  it('lässt einen dreijährigen Vertrag um drei Jahre weiterspringen', () => {
+  it('lässt einen dreijährigen Vertrag um drei Jahre weiterspringen', () => {
-    const plan = kuendigungsplan({
+    const plan = kuendigungsplan({
-      beginnAm: tag(2018, 1, 1),
+      beginnAm: tag(2018, 1, 1),
-      endeAm: tag(2021, 1, 1),
+      endeAm: tag(2021, 1, 1),
-      laufzeitJahre: laufzeitAusVertrag(tag(2018, 1, 1), tag(2021, 1, 1)),
+      laufzeitJahre: laufzeitAusVertrag(tag(2018, 1, 1), tag(2021, 1, 1)),
-      kuendigungsfristMonate: 3,
+      kuendigungsfristMonate: 3,
-      heute: tag(2026, 2, 1),
+      heute: tag(2026, 2, 1),
-    })
+    })
-
+
-    expect(plan.naechsterTermin).toEqual(tag(2027, 1, 1))
+    expect(plan.naechsterTermin).toEqual(tag(2027, 1, 1))
-  })
+  })
-})
+})
-
+
-describe('Rückkaufswert-Historie am Vertrag', () => {
+describe('Rückkaufswert-Historie am Vertrag', () => {
-  const wert = (jahr: number, cent: number) => ({ stichtag: tag(jahr, 3, 1), wertCent: cent })
+  const wert = (jahr: number, cent: number) => ({ stichtag: tag(jahr, 3, 1), wertCent: cent })
-
+
-  it('sortiert über alle verknüpften Posten hinweg, jüngster zuerst', () => {
+  it('sortiert über alle verknüpften Posten hinweg, jüngster zuerst', () => {
-    // Zwei Posten am selben Vertrag: einer von Hand angelegt, einer beim
+    // Zwei Posten am selben Vertrag: einer von Hand angelegt, einer beim
-    // ersten Erfassen entstanden. Der Vertrag zeigt beide Reihen als eine.
+    // ersten Erfassen entstanden. Der Vertrag zeigt beide Reihen als eine.
-    const historie = wertHistorie([
+    const historie = wertHistorie([
-      { wertstaende: [wert(2024, 4000)] },
+      { wertstaende: [wert(2024, 4000)] },
-      { wertstaende: [wert(2026, 5200), wert(2025, 4600)] },
+      { wertstaende: [wert(2026, 5200), wert(2025, 4600)] },
-    ])
+    ])
-
+
-    expect(historie.map((w) => w.wertCent)).toEqual([5200, 4600, 4000])
+    expect(historie.map((w) => w.wertCent)).toEqual([5200, 4600, 4000])
-  })
+  })
-
+
-  it('nennt den zuletzt mitgeteilten Wert', () => {
+  it('nennt den zuletzt mitgeteilten Wert', () => {
-    expect(juengsterWert([{ wertstaende: [wert(2025, 4600), wert(2026, 5200)] }])?.wertCent).toBe(
+    expect(juengsterWert([{ wertstaende: [wert(2025, 4600), wert(2026, 5200)] }])?.wertCent).toBe(
-      5200,
+      5200,
-    )
+    )
-  })
+  })
-
+
-  it('gibt ohne jeden Wert null zurück, statt eine Null zu behaupten', () => {
+  it('gibt ohne jeden Wert null zurück, statt eine Null zu behaupten', () => {
-    expect(juengsterWert([{ wertstaende: [] }])).toBeNull()
+    expect(juengsterWert([{ wertstaende: [] }])).toBeNull()
-    expect(juengsterWert([])).toBeNull()
+    expect(juengsterWert([])).toBeNull()
-  })
+  })
-})
+})

tests/wiederkehrend.test.ts

@@ -75,6 +75,17 @@ describe('Schreibweisen vergleichbar machen', () => {
     expect(normalisieren('Debeka AG')).toBe(normalisieren('Debeka'))
   })
 
+  it('kennt die gGmbH', () => {
+    // Heime, Sozialdienste und Träger sind fast durchweg gGmbH — ohne
+    // sie zerfiele die Zusammenfassung genau dort, wo sie zählt.
+    expect(normalisieren('Seniorenzentrum St. Katharina gGmbH')).toBe(
+      normalisieren('Seniorenzentrum St. Katharina'),
+    )
+    expect(normalisieren('SENIORENZENTRUM ST KATHARINA GGMBH')).toBe(
+      normalisieren('Seniorenzentrum St. Katharina'),
+    )
+  })
+
   it('entfernt auch mehrteilige Rechtsformen', () => {
     expect(normalisieren('Stadtwerke Bamberg GmbH & Co KG')).toBe(
       normalisieren('Stadtwerke Bamberg'),