Files
betreuungs-cockpit/docs/ANLEITUNG.md
T
Florian Wilde c38c988c3c feat: Anmelden mit Passkey
Passkeys (WebAuthn/FIDO2) als zweiter Anmeldeweg - auf der Anmeldeseite
und bei der erneuten Bestaetigung vor sensiblen Aktionen. Verwaltet unter
"Mein Konto".

Der Passkey ERSETZT den zweiten Faktor, statt zu ihm hinzuzukommen. Das
ist tragbar, weil er zwei Faktoren in sich vereint: Besitz des Geraets
und dessen Entsperrung. Damit das keine Annahme bleibt, wird die
Nutzerverifikation angefordert (userVerification: 'required') und
serverseitig nachgeprueft - eine Antwort ohne sie wird abgewiesen.

TOTP muss vorher eingerichtet sein. Ein Passkey haengt an einem Geraet;
waere er der einzige Weg hinein, koennte ein verlorenes Handy die Akte
schliessen.

Aufbau:
- Die Pruefung laeuft vollstaendig im Credentials-Provider "passkey",
  nicht in der Server Action davor. Ein "war schon geprueft" ueber die
  Grenze zu reichen waere die Stelle, an der sich Anmeldungen faelschen
  lassen.
- Challenges liegen serverseitig und werden per DELETE genau einmal
  verbraucht - die Datenbank entscheidet, wer sie bekommt.
- Bereichskennung und Herkunft kommen aus AUTH_URL, nicht aus einer
  zweiten Konfigurationsquelle.
- Ohne https wird der Knopf gar nicht erst angeboten.
- Rate-Limiting, Kontosperre und Audit-Log gelten unveraendert; die
  Anmeldung nennt den verwendeten Passkey namentlich.

Zwei Anmerkungen zur Migration:
- "prisma migrate diff" wollte zusaetzlich die Trigramm-Indizes aus
  prisma/sql/suche.sql loeschen, die Prisma nicht kennt. Die Zeilen sind
  entfernt und im Migrationskopf vermerkt - ein DROP haette die unscharfe
  Suche stillgelegt, ohne dass etwas fehlgeschlagen waere.
- "prisma format" hat das Schema durchgaengig neu ausgerichtet. Ohne
  Whitespace betrachtet sind es 88 hinzugefuegte Zeilen und keine
  geloeschte.

Geprueft: 21 Einheitstests, drei End-to-End-Tests gegen Chromiums
virtuellen Authenticator (einrichten, anmelden, bestaetigen, entfernen,
Geraet ohne Verifikation abgewiesen), beide Geraeteprofile. 496 Tests,
null Typfehler, Produktionsbau steht.

Nebenbei: Die Zahlen im README waren veraltet (24 statt 33 Modelle, 46
statt 79 Seiten). Sie stehen jetzt mit dem Befehl daneben, mit dem man
sie nachzaehlt.
2026-08-22 18:44:56 +02:00

536 lines
22 KiB
Markdown

# Bedienungsanleitung
Für dich als ehrenamtlichen Betreuer. Kein Handbuch zum Durchlesen —
sondern eine Sammlung der Handgriffe, die du tatsächlich brauchst, in der
Reihenfolge, in der sie im Alltag vorkommen.
> Diese Anwendung ist ein **Arbeits- und Dokumentationswerkzeug**. Sie
> rechnet Fristen aus und sortiert Unterlagen. Sie erteilt **keine
> Rechtsberatung** und kennt deinen Einzelfall nicht. Wo ein Paragraph
> steht, steht daneben der Hinweis, dass er die Rückfrage bei Gericht,
> Bezirk oder Anwalt nicht ersetzt. Nimm den ernst.
---
## Der Grundgedanke in drei Sätzen
Du trägst einmal ein, was passiert ist — ein Schreiben, ein Besuch, eine
Überweisung. Die Anwendung merkt sich, wann daraus etwas folgt, und
erinnert dich rechtzeitig. Am Ende des Betreuungsjahres erzeugt sie aus
demselben Bestand die Berichte, die Gericht und Bezirk von dir wollen.
Das heißt umgekehrt: **Was du nicht einträgst, steht später nicht im
Bericht.** Der Aufwand liegt vorn, der Gewinn hinten.
---
## Der erste Tag
Beim allerersten Aufruf führt dich ein Assistent durch drei Schritte.
**Schritt 1 — Dein Zugang.** Name, E-Mail, Passwort. Nimm vier zufällige
Wörter statt eines kurzen Kunstworts: *Kastanie-Waschbär-Turm-Grün* ist
leichter zu merken und deutlich schwerer zu knacken. Noch besser ist ein
Passwortmanager.
**Schritt 2 — Der zweite Faktor.** Installiere eine Authenticator-App —
**Aegis** (Android) oder **2FAS** (iOS) sind quelloffen und brauchen kein
Konto. Scanne den Code, tippe die sechs Ziffern ein.
Danach bekommst du **acht Wiederherstellungscodes**. Die sind der einzige
Weg zurück, wenn dein Handy verloren geht. Druck sie aus und leg sie zu
deinen Betreuungsunterlagen — **nicht** auf dasselbe Gerät wie die App.
Sie werden dir nie wieder angezeigt.
**Schritt 3 — Die betreute Person.** Nur das Nötigste. Ein Feld ist dabei
wichtiger als alle anderen:
> **Das Bestellungsdatum.** Es steht in deiner Bestellungsurkunde. Daraus
> berechnet die Anwendung dein Betreuungsjahr — und damit, wann
> Anfangsbericht, Vermögensverzeichnis, Jahresbericht und die
> Aufwandspauschale fällig sind. Ist es falsch, ist alles falsch.
Alles Weitere trägst du später unter **Stammdaten → Bearbeiten** in Ruhe
nach. Das lohnt sich: Was dort steht, taucht in jedem Bericht und in jedem
Anschreiben wieder auf.
**Zum Schluss:** Geh auf **Fristen** und klicke einmal auf
*Pflichtfristen ableiten*. Danach stehen deine gesetzlichen Termine drin.
Und wenn du magst: Richte unter **Mein Konto → Passkeys** einen Passkey
ein. Dann meldest du dich künftig mit dem Finger an, statt drei Felder
auszufüllen. Wie das geht, steht gleich im nächsten Abschnitt.
---
## Der Morgen: die Seite „Heute"
Diese eine Seite beantwortet die Frage, was ansteht. Von oben nach unten:
| Kachel | Was sie dir sagt |
|---|---|
| **Fristen** | Was überfällig ist (rot), was diese Woche fällig wird (orange), was diesen Monat (gelb) |
| **Wartet auf andere** | Vorgänge, bei denen die Gegenstelle am Zug ist — mit Tagen seit dem letzten Kontakt |
| **Nachforderungen des Trägers** | Was der Bezirk noch von dir will, mit Fortschrittsbalken |
| **Ungeprüfter Posteingang** | Neu hochgeladene Schreiben, die noch niemand zugeordnet hat |
| **Unverbuchte Belege** | Rechnungen ohne Buchung und Buchungen ohne Beleg |
| **Wo stehen wir?** | Vermögen zum letzten Stichtag, Heimkosten gegen Deckung, Tage bis zum Jahresbericht |
Jede Kachel endet in einer Handlung. Wenn irgendwo nichts steht, ist dort
auch nichts zu tun.
**Ist eine Kachel leer, obwohl du Daten erwartest?** Dann fehlt meist ein
Eintrag: keine Fristen ohne Bestellungsdatum, keine Deckungslücke ohne
erfassten Heimkostenmonat.
---
## Die zwölf häufigsten Handgriffe
### 1. Ein Behördenschreiben aufnehmen
**Dokumente → Aufnehmen**, oder unterwegs über den runden Knopf unten
rechts → *Beleg fotografieren*.
1. Foto machen oder PDF wählen — mehrere auf einmal sind ausdrücklich
erwünscht.
2. Warten, bis die Datei angenommen ist. Geprüft wird der **Inhalt**, nicht
die Endung: eine Datei, die sich nur als PDF ausgibt, wird abgelehnt.
3. Titel eintragen (oder leer lassen — die Erkennung schlägt einen vor).
4. **Eingangsdatum** setzen. Das ist wichtiger, als es aussieht: Bei
Bescheiden läuft die Widerspruchsfrist ab dem Zugang, nicht ab dem
Datum auf dem Brief.
5. Vorgang auswählen.
6. *In die Akte übernehmen*.
Danach liest der Server den Text (Texterkennung auf Deutsch) und schlägt
dir **Absender, Datum, Aktenzeichen, Dokumentart und eine im Text genannte
Frist** vor. Die Textstelle steht daneben — prüf sie, bevor du übernimmst.
Nichts davon wird automatisch angelegt.
**Trag ein, wo das Papier liegt.** Es gibt ein Feld für Ordner und
Register. Wenn der Rechtspfleger das Original sehen will, findest du es
dann in zehn Sekunden.
### 2. Aus einem Schreiben eine Frist machen
Öffne das Dokument. Steht unter den Vorschlägen eine erkannte Frist,
genügt ein Klick auf *Als Frist übernehmen*. Sonst: **Fristen → Neu**,
Datum eintragen, Vorgang zuordnen.
Setz bei behördlichen Fristen die Vorwarnung großzügig. Der Standard ist
60/30/7/1 Tage vorher.
### 3. Einen Besuch festhalten — in zwanzig Sekunden
Runder Knopf unten rechts → *Notiz / Kontakt festhalten*.
Datum ist auf heute vorbelegt, die Art wählst du aus einer Knopfreihe, die
Dauer per Schnellwahl. Ein Freitextfeld, fertig.
Zwei Felder lohnen die zusätzlichen Sekunden:
- **„Persönlicher Kontakt zur betreuten Person"** — dieses Häkchen zählt
direkt in den Jahresbericht. Es ist bewusst **nicht** vorbelegt: ein
versehentlich gesetztes Häkchen wäre eine falsche Angabe gegenüber dem
Gericht.
- **Geäußerte Wünsche** — seit der Reform 2023 ist der Wille der betreuten
Person die Leitschnur deines Handelns (§ 1821 BGB). Was du hier
festhältst, landet im Jahresbericht und trägt deine Entscheidungen.
Das ist der Handgriff, der sich am meisten auszahlt. Ein Jahresbericht aus
vierzig kurzen Notizen schreibt sich fast von selbst; einer aus der
Erinnerung ist eine Qual.
### 4. Eine Buchung erfassen
**Vermögen & Kasse → Buchungen → Neu**, oder über den runden Knopf.
Wichtig ist die Trennung: **Betrifft die Buchung die betreute Person oder
ist es deine eigene Auslage?** Läuft eine Buchung auf ein als privat
markiertes Konto und ist trotzdem als „betrifft die Betreute"
gekennzeichnet, warnt die Anwendung. Das ist der Fehler, der einem in der
Rechnungslegung um die Ohren fliegt.
**Belege.** Eine Buchung ohne Beleg wird in der Liste markiert. Das ist
kein Verbot — manchmal gibt es keinen. Dann trag eine Begründung ein, dann
ist die Zeile sauber und du weißt später noch, warum.
### 5. Einen Vorgang anlegen
**Vorgänge → Neuer Vorgang.** Nimm eine Vorlage, wenn eine passt:
Heimeinzug · Antrag Hilfe zur Pflege · Wohnungsauflösung · Hausverkauf ·
Darlehen § 91 SGB XII · Versicherungsverwertung · Pflegegrad-Höherstufung ·
Steuererklärung · Widerspruch gegen Bescheid
Jede bringt eine durchdachte Aufgabenliste in der richtigen Reihenfolge
mit. Bei den genehmigungspflichtigen erzwingt sie die Reihenfolge
**Mitteilung → Genehmigung → Rechtsgeschäft**.
Ein Feld solltest du immer pflegen: **Nächster Schritt.** Es steht auf dem
Dashboard und beantwortet dir in vier Wochen die Frage, was du dir dabei
gedacht hast.
### 6. Ein genehmigungspflichtiges Geschäft
Hausverkauf, Wohnungskündigung, Kreditaufnahme, Verwertung einer
Lebensversicherung — dafür brauchst du das Betreuungsgericht.
Markiere den Vorgang als genehmigungspflichtig und wähle die
Rechtsgrundlage. Die Anwendung zeigt dann eine feste Stufenfolge:
**Mitteilung ans Gericht → Antrag gestellt → Anhörung → Beschluss →
Rechtskraft → Vollzug**
> Die Stufe **Vollzug lässt sich erst setzen, wenn ein Beschlussdokument
> hinterlegt ist.** Das ist Absicht: Nach § 1858 BGB muss die Genehmigung
> **vor** dem Rechtsgeschäft vorliegen. Ein Vertrag, den du vorher
> unterschreibst, ist schwebend unwirksam.
Sprich vorher mit dem Rechtspfleger. Die Anwendung ersetzt das Gespräch
nicht, sie erinnert dich nur daran.
### 7. Eine Nachforderung des Bezirks abarbeiten
**Sozialhilfe → Akte öffnen.** Jede angeforderte Unterlage steht als
eigene Zeile mit Status und Frist. Der Fortschrittsbalken zeigt „x von y
Unterlagen geliefert".
Beim Anlegen des Antrags kannst du die **Checkliste der Standardunterlagen**
übernehmen — Rentenbescheide, Kontoauszüge, Versicherungsunterlagen,
notarielle Übertragungsverträge, Pflegegradbescheid, Heimvertrag,
Grundbuchauszug. Zu jeder steht dabei, **warum** der Träger sie will. Das
erspart Rückfragen.
Gibt es eine Unterlage nicht, setz den Status auf *nicht vorhanden* und
schreib eine Begründung dazu. Die geht später mit ins Unterlagenpaket —
besser als kommentarloses Schweigen.
Wenn alles beisammen ist: **Berichte → Unterlagenpaket**. Das macht aus
den markierten Dokumenten **eine** PDF mit Anschreiben, laufender Nummer
und Inhaltsverzeichnis.
### 8. Einen Bescheid prüfen
**Sozialhilfe → Akte → Bescheide → Neu.**
Trag das **Zugangsdatum** ein, nicht das Datum auf dem Bescheid. Die
Widerspruchsfrist läuft ab Bekanntgabe.
Die Anwendung rechnet die Frist aus — mit Wochenende, bayerischen
Feiertagen und dem Sonderfall, dass bei fehlender oder falscher
Rechtsbehelfsbelehrung ein Jahr statt eines Monats gilt (§ 66 SGG). Der
Rechenweg wird ausgegeben, damit du ihn nachvollziehen kannst. Aus dem
Ergebnis entsteht automatisch die Frist *Widerspruch möglich bis*.
**Rechne im Zweifel nach oder frag beim Bezirk.** Eine verstrichene
Widerspruchsfrist bekommst du nicht zurück.
### 9. Einen Rückkaufswert anfordern
**Verträge → Vertrag öffnen → Rückkaufswert anfordern.** Es entsteht ein
Anschreiben zum Kopieren, und die Anwendung legt eine **Wiedervorlage in
vier Wochen** an. Versicherer antworten selten von selbst.
### 10. Einen Vertrag kündigen
**Verträge → Vertrag öffnen → Kündigen.**
Der Rechner nennt dir den **spätesten Absendetag**, nicht den Fristablauf —
eine Kündigung wirkt mit dem Zugang, nicht mit dem Abschicken. Drei Tage
Postlauf sind eingerechnet.
Der Assistent fragt dich nach der Genehmigung. Er beantwortet die Frage
nicht, und das soll er auch nicht: Ob die Verwertung einer
Lebensversicherung genehmigungspflichtig ist, entscheidet der
Rechtspfleger. Der **Versandnachweis** (Einschreiben, Faxprotokoll) ist
Pflichtfeld — ohne ihn geht die Kündigung nicht durch.
### 11. Einen Wertstand nachtragen
**Vermögen & Kasse → Vermögen → Posten öffnen → Wert eintragen.**
Stichtag, Betrag und **Wertquelle** — letztere ist Pflicht. „Eigene
Schätzung" ist eine zulässige Antwort, „keine Angabe" nicht: Im
Vermögensverzeichnis steht die Quelle mit dabei, und das Gericht darf
wissen, woher die Zahl kommt.
Alte Werte werden **nie überschrieben**. Jede Vermögensübersicht bleibt
später reproduzierbar.
### 12. Etwas versehentlich Gelöschtes zurückholen
**Einstellungen → Papierkorb.** Gelöschtes bleibt 30 Tage liegen und lässt
sich mit einem Klick zurückholen. Erst danach ist es wirklich weg.
Endgültiges Löschen verlangt eine erneute Anmeldung.
---
## Das Betreuungsjahr
Dein Jahr läuft **ab dem Tag der Bestellung**, nicht ab dem 1. Januar. Wer
am 14. Februar bestellt wurde, hat sein erstes Betreuungsjahr bis zum
13. Februar des Folgejahres.
| Wann | Was | Grundlage |
|---|---|---|
| 3 Monate nach Bestellung | Vermögensverzeichnis und Anfangsbericht | §§ 1835, 1863 BGB |
| Zum Ende jedes Betreuungsjahres | Jahresbericht und Vermögensübersicht | §§ 1859, 1863 BGB |
| Bis 6 Monate danach | **Aufwandspauschale beantragen** | § 1878 BGB |
| Jährlich bis 31.12. | Bayerisches Landespflegegeld | BayLPflGG |
| Jährlich | Zuzahlungsbefreiung der Krankenkasse | § 62 SGB V |
| Jährlich | Rückkaufswerte aller Versicherungen aktualisieren | — |
> **Die Aufwandspauschale ist eine Ausschlussfrist.** Läuft sie ab, ist
> der Anspruch ersatzlos weg — keine Nachsicht, keine Wiedereinsetzung.
> Die Anwendung warnt deshalb schon 90 Tage vorher und markiert sie rot.
---
## Die Berichte
Alle unter **Berichte**, die beiden Finanzberichte unter **Vermögen &
Kasse → Berichte**. Jeder trägt Kopf mit Aktenzeichen, Fußzeile mit
Seitenzahl und ein Unterschriftenfeld.
**Vermögensverzeichnis (§ 1835 BGB).** Stichtag wählen, Knopf drücken.
Aktiva nach Gruppen, Passiva, laufende Einnahmen und Ausgaben,
Belegverweise. Hat ein Posten zum Stichtag keinen Wert, erscheint er als
**Lücke** — nicht als 0,00 €. Das ist ehrlicher und fällt dir auf.
**Vermögensübersicht / Rechnungslegung (§§ 1859, 1865 BGB).**
Betreuungsjahr wählen. Anfangsbestand, geordnete Einnahmen und Ausgaben,
Endbestand, Belegliste.
Zwei Varianten: die knappe Übersicht für **befreite Betreuer** (§ 1859 BGB
— als Angehöriger bist du das in der Regel) und die vollständige
Rechnungslegung.
> Geht die Rechenprobe nicht auf, wird die **Differenz im Bericht
> ausgewiesen** und jeder fehlende Saldostand benannt. Das ist Absicht.
> Eine still geglättete Rechnungslegung ist gegenüber dem Gericht wertlos —
> und meistens fehlt einfach ein Kontoauszug.
**Jahresbericht (§ 1863 BGB).** Die Anwendung erzeugt einen **Entwurf** aus
deinen Kontaktprotokollen, Gesundheitsereignissen und Vorgängen, gegliedert
nach dem, was das Gericht sehen will. Du überarbeitest ihn im Browser
(wird automatisch zwischengespeichert) und gibst ihn dann als PDF oder DOCX
aus.
> Es ist ein Entwurf, kein fertiger Bericht. Lies ihn durch, bevor du ihn
> abgibst. Was dort steht, verantwortest du.
**Belegmappe.** Alle Dokumente eines Vorgangs oder Zeitraums als eine
chronologisch sortierte, paginierte PDF mit Deckblatt und
Inhaltsverzeichnis. Genau das, was Gericht und Bezirk haben wollen.
**Vollexport.** Ein ZIP mit allen Originaldateien, allen Daten als
lesbarem JSON, den Berichten und Prüfsummen. Damit kannst du diese
Anwendung jederzeit verlassen. Verlangt eine erneute Anmeldung.
---
## Anmelden mit dem Finger: Passkeys
Drei Felder auszufüllen, nur um kurz eine Frist nachzusehen, ist lästig —
und lästige Sicherheit wird umgangen. Ein Passkey macht daraus einen
Handgriff.
### Einrichten
**Mein Konto → Passkeys.** Gib dem Gerät einen Namen, an dem du es später
wiedererkennst („iPhone", „Laptop Büro"), und klicke auf *Passkey
einrichten*. Dein Gerät fragt nach Fingerabdruck, Gesicht oder PIN —
fertig.
Mach das auf **jedem Gerät**, mit dem du arbeitest. Sie stören sich nicht
gegenseitig.
### Anmelden
Auf der Anmeldeseite steht unter dem Formular *Mit Passkey anmelden*. Ein
Klick, ein Finger, drin. Keine E-Mail, kein Passwort, kein Code.
### Warum das nicht unsicherer ist
Es sieht nach weniger aus, ist aber dasselbe — zweimal:
| | Bisher | Mit Passkey |
|---|---|---|
| Erster Faktor | Passwort (Wissen) | Das Gerät selbst (Besitz) |
| Zweiter Faktor | Code aus der App (Besitz) | Fingerabdruck, Gesicht oder PIN |
Der entscheidende Zusatz: **Ein Passkey ist an die Adresse gebunden**,
unter der du ihn eingerichtet hast. Landest du auf einer nachgebauten
Anmeldeseite, funktioniert er dort schlicht nicht — er lässt sich nicht
abtippen und nicht weitergeben. Genau das ist der übliche Weg, an einen
Code aus der Authenticator-App zu kommen.
Ein Gerät, das den Passkey ohne Fingerabdruck oder PIN freigibt, wird
abgewiesen. Das wäre nur ein Faktor, und dafür ist hier zu viel zu
verlieren.
### Die Authenticator-App bleibt
Du kannst sie nicht abschaffen, und das ist Absicht. **Ein Passkey hängt
an einem Gerät.** Geht das Handy in der Donau baden und wäre der Passkey
der einzige Weg hinein, käme niemand mehr an die Akte — auch der Bezirk
nicht, auch das Gericht nicht.
Deshalb: erst Authenticator-App und Wiederherstellungscodes, dann Passkeys.
Die Anmeldung mit E-Mail, Passwort und Code bleibt daneben immer offen.
### Was in der Liste steht
Unter **Mein Konto → Passkeys** siehst du zu jedem Gerät, wann es
eingerichtet und wann es zuletzt benutzt wurde. **Sieh da gelegentlich
hinein.** Ein Eintrag, den du nicht zuordnen kannst, gehört sofort
entfernt — und danach das Passwort gewechselt.
Steht bei einem Eintrag *gesichert*, wird der Schlüssel vom Anbieter
mitgesichert (iCloud-Schlüsselbund, Google, Bitwarden) und taucht auf
einem neuen Gerät von selbst wieder auf. Ohne diesen Vermerk liegt er nur
auf diesem einen Gerät.
### Wenn ein Gerät verloren geht
1. Auf einem anderen Gerät mit E-Mail, Passwort und Code anmelden.
2. **Mein Konto → Passkeys**, den Eintrag des verlorenen Geräts entfernen.
3. Fertig — der Schlüssel auf dem Gerät ist damit wertlos.
Ein Passkey allein reicht ohnehin niemandem, der das Gerät findet: Ohne
Fingerabdruck oder PIN gibt das Gerät ihn nicht heraus.
### Wenn der Knopf gar nicht erscheint
Dann bietet der Server Passkeys nicht an — das Verfahren verlangt eine
verschlüsselte Verbindung (`https`). Oder der Browser ist zu alt. Melde
dich mit E-Mail, Passwort und Code an; alles andere funktioniert
unverändert.
---
## Am Handy
Die Anwendung ist am Telefon vollwertig bedienbar — sie ist dafür gebaut,
nicht dafür angepasst.
- Menü über das Symbol links oben, schließt mit Wischen oder Escape.
- Der **runde Knopf unten rechts** ist immer erreichbar: Beleg
fotografieren, Notiz festhalten, Frist anlegen, Buchung erfassen.
- Tabellen scrollen in ihrem eigenen Rahmen, nie die ganze Seite.
- Zoomen ist erlaubt und abgeschaltet wird es nie.
Der typische Fall: Du sitzt im Heim, fotografierst die Heimrechnung,
ordnest sie dem Vorgang zu, hältst den Besuch fest — drei Minuten, und
abends musst du nichts nacharbeiten.
---
## Wenn etwas schiefgeht
**Ich will den Zugang auf ein zweites Gerät legen.**
Das Geheimnis wird nur einmal angezeigt, beim Einrichten. Wer es später
noch einmal braucht — Handy und Tablet, oder ein Ersatzgerät im Schrank —
liest es auf dem Server aus:
```bash
docker compose exec app node scripts/totp-geheimnis.mjs deine@adresse.de
```
Läuft der Behälter noch mit einer Fassung vor 1.0.1, fehlt das Skript im
Abbild (`Cannot find module`). Dann entweder aktualisieren, oder einmalig:
```bash
docker compose cp scripts/totp-geheimnis.mjs app:/app/totp-geheimnis.mjs
docker compose exec app node totp-geheimnis.mjs deine@adresse.de
```
Das ist keine Hintertür: Es läuft nur mit Zugriff auf die Datenbank **und**
auf `ENC_KEY_V1`. Wer beides hat, kommt ohnehin an alles. Die Ausgabe
gehört trotzdem in kein Protokoll und in keine E-Mail.
**Ich habe mein Handy mit der Authenticator-App verloren.**
Melde dich mit einem deiner Wiederherstellungscodes an — statt der sechs
Ziffern gibst du den Code im Format `XXXX-XXXX-XXXX` ein. Jeder
funktioniert einmal. Danach unter **Konto → Zweiter Faktor** neu
einrichten und **neue Codes erzeugen**.
**Ich habe auch die Wiederherstellungscodes verloren.**
Dann kommt nur noch jemand mit Zugriff auf den Server weiter, indem er den
zweiten Faktor in der Datenbank zurücksetzt. Genau deshalb: Codes
ausdrucken.
**Der Code wird nicht angenommen.**
Fast immer geht die Uhr des Telefons falsch. TOTP-Codes hängen an der
Uhrzeit. Stell die automatische Zeitsynchronisierung ein.
**„Zu viele Fehlversuche."**
Nach fünf Fehlversuchen wird für eine Viertelstunde gesperrt. Warte ab —
das gilt auch dann, wenn du selbst es warst.
**Ich habe mein Passwort geändert und bin überall abgemeldet.**
So gewollt. Ein Passwortwechsel beendet alle Sitzungen, auch auf Geräten,
an denen du gerade nicht sitzt.
**Eine Frist stimmt nicht.**
Prüf zuerst das Bestellungsdatum unter **Stammdaten**. Änderst du es,
werden die Pflichtfristen neu berechnet. Erledigte Fristen bleiben dabei
unangetastet.
**Ein Bericht zeigt eine Differenz.**
Meistens fehlt ein Saldostand. Der Bericht sagt dir, welcher. Trag ihn
unter **Vermögen & Kasse → Konten** nach und erzeuge neu.
**Die Texterkennung findet nichts.**
Sie braucht Tesseract auf dem Server. Fehlt es, funktioniert der Upload
trotzdem — nur ohne Volltextsuche. Titel und Absender kannst du von Hand
eintragen.
---
## Was diese Anwendung nicht tut
Damit du dich nicht darauf verlässt:
- **Sie berät dich nicht.** Sie rechnet Fristen und schlägt Einordnungen
vor. Ob dein Fall eine Ausnahme ist, weiß sie nicht.
- **Sie entscheidet nicht, was Schonvermögen ist.** Sie gibt dir
Argumentationshilfen zu § 90 SGB XII zum Übernehmen. Entscheiden tun der
Träger und notfalls das Sozialgericht.
- **Sie schätzt keine Bewilligungschancen.**
- **Sie holt keine Kontoauszüge ab.** Kontobewegungen kommen per
CSV-Import oder von Hand.
- **Sie verschickt nichts.** Anschreiben entstehen als Text zum Kopieren,
Berichte als PDF. Absenden musst du selbst — und den Versandnachweis
hochladen.
- **Sie ersetzt deine Papierablage nicht.** Originale bleiben Originale.
Deshalb gibt es das Feld für den Ablageort.
---
## Zwei Gewohnheiten, die sich lohnen
**Jeden Kontakt festhalten, sofort.** Auch das kurze Telefonat. Zwanzig
Sekunden jetzt sparen dir im Januar einen halben Tag.
**Einmal im Jahr die Wiederherstellung üben.** Ein Backup, das nie
zurückgespielt wurde, ist kein Backup. Die Anleitung steht in der README
unter *Sicherung und Wiederherstellung*. Zwanzig Minuten, einmal im Jahr.
---
## Wo du weiterkommst
- **Hinweise** in der Anwendung — 37 Karten zu den häufigen Fallstricken,
jede mit Rechtsgrundlage und Link zum Gesetzestext.
- **Protokoll** — jede Änderung, lückenlos und unveränderlich. Dein
Nachweis gegenüber Gericht und möglichen Miterben.
- Dein **Rechtspfleger** beim Betreuungsgericht. Er ist zuständig und
antwortet. Bei allem, was genehmigungspflichtig sein könnte: vorher
fragen, nicht nachher.
- Die örtliche **Betreuungsbehörde** und die Betreuungsvereine beraten
ehrenamtliche Betreuer kostenlos.